Configurare l'ambito di applicazione di Microsoft Sentinel (RBAC a livello di riga)

La definizione dell'ambito in Microsoft Sentinel fornisce il controllo degli accessi in base al ruolo (RBAC) a livello di riga, consentendo un accesso granulare a livello di riga senza richiedere la separazione del workspace. La definizione dell'ambito in Microsoft Sentinel consente a più team di operare in modo sicuro all'interno di un ambiente Microsoft Sentinel condiviso, utilizzando definizioni di ambito coerenti e riutilizzabili nelle diverse tabelle ed esperienze.

Configurare l'ambito di applicazione nel portale Microsoft Defender. Sentinel nel portale di Azure (Ibiza) non supporta la definizione di un ambito.

Che cos'è la definizione dell'ambito di Microsoft Sentinel?

L'ambito di Microsoft Sentinel estende la gestione delle autorizzazioni nel portale Defender, consentendo all'amministratore di concedere autorizzazioni a specifici sottoinsiemi di dati nelle tabelle di Sentinel. Per creare ambiti, completare la procedura seguente:

• Definire gli ambiti logici: creare definizioni di ambito allineate alla struttura organizzativa (per business unit, area geografica o riservatezza dei dati)
• Assegnare utenti o gruppi agli ambiti: assegnare utenti o gruppi specifici a uno o più ambiti usando il controllo degli accessi in base al ruolo unificato (controllo degli accessi in base al ruolo)
• Contrassegnare le righe di dati in fase di inserimento: applicare tag di ambito alle righe nelle tabelle usando Gestione tabelle, consentendo di creare regole che contrassegnhino automaticamente i dati appena inseriti
• Limitare l'accesso in base all'ambito: limitare l'accesso degli utenti ad avvisi, eventi imprevisti, query di ricerca ed esplorazione del data lake in base all'ambito assegnato

Gli ambiti si applicano alle tabelle Sentinel che supportano le trasformazioni al momento dell'inserimento.

Casi d'uso per la definizione dell'ambito di Microsoft Sentinel

La definizione dell'ambito di Microsoft Sentinel risulta utile nei seguenti scenari:

• Team SOC distribuiti o federati: le aziende di grandi dimensioni e i provider di servizi gestito spesso operano modelli SOC federati in cui team diversi sono responsabili di aree, business unit o clienti specifici. La definizione dell’ambito consente a ogni team SOC di operare in modo indipendente all’interno di un’area di lavoro Sentinel condivisa, garantendo che possa indagare sulle minacce nel rispettivo dominio e rispondere a esse senza accedere a dati non correlati.
• Accesso limitato per team esterni alla sicurezza: I team, come quelli di rete, delle operazioni IT o della conformità, spesso richiedono l'accesso a specifiche origini dati grezzi senza dover avere visibilità su contenuti di sicurezza più ampi. L'ambito a livello di riga consente a questi team esterni di accedere in modo sicuro solo ai dati rilevanti per la loro funzione.
• Protezione dei dati sensibili: proteggere determinati dati o tabelle applicando un approccio di accesso ai dati con privilegi minimi, assicurando che le informazioni riservate siano accessibili solo agli utenti autorizzati.

Prerequisiti

Prima di iniziare, verificare i prerequisiti seguenti:

• Accesso al portale di Microsoft Defender:https://security.microsoft.com
• Aree di lavoro di Microsoft Sentinel integrate nel portale di Defender: le aree di lavoro di Microsoft Sentinel devono essere disponibili nel portale di Defender prima di poter assegnare ruoli e autorizzazioni.
• Microsoft Sentinel abilitato in URBAC: è necessario abilitare Microsoft Sentinel in URBAC prima di utilizzare questa funzionalità.
• Autorizzazioni necessarie per l'utente che assegna l'ambito e contrassegna le tabelle:
  • Autorizzazione di sicurezza (Gestione) autorizzazione (URBAC) per creare ambiti e assegnazioni
  • Autorizzazione Operazioni sui dati (Gestione) (URBAC) per Gestione delle tabelle
  • Proprietario della sottoscrizione o a cui è stata assegnata l'autorizzazione Microsoft.Insights/DataCollectionRules/Write per creare regole di raccolta dati (DCR)

Passaggio 1: Crea un ambito di Sentinel

Per creare un ambito di Sentinel, seguire questa procedura:

1. Nel portale Microsoft Defender passare aAutorizzazioni>.
2. Selezionare Microsoft Defender XDR.
3. Apri la scheda Ambiti.
4. Selezionare Aggiungi ambito di Sentinel.
5. Immettere un nome di ambito e una descrizione facoltativa.
6. Selezionare Crea ambito.

È possibile creare più ambiti e definire nomi e descrizioni di ambito personalizzati per ogni ambito per riflettere la struttura e i criteri dell'organizzazione.

Passaggio 2: Assegnare tag di ambito a utenti o gruppi

Per assegnare tag di ambito a utenti o gruppi, seguire questa procedura:

1. In Autorizzazioni aprire la scheda Ruoli .

2. Selezionare Crea ruolo personalizzato.

3. Immettere il nome e la descrizione del ruolo e selezionare Avanti.

   

4. Assegnare le autorizzazioni necessarie al ruolo e selezionare Applica.

   

5. In Assegnazioni immettere un nome e selezionare:

   • Utenti o gruppi di utenti (gruppi di Microsoft Entra ID)
   • Origini dati e raccolte dati (aree di lavoro Sentinel)

6. In Ambito selezionare Modifica.

7. Selezionare uno o più ambiti da assegnare a questo ruolo.

8. Salva il ruolo.

È possibile assegnare utenti a più ambiti contemporaneamente su più aree di lavoro e aggregare i diritti di accesso da tutti gli ambiti assegnati. Gli utenti con restrizioni possono accedere solo ai dati SIEM associati agli ambiti assegnati.

Passaggio 3: Assegna alle tabelle l'attributo scope

Applicare gli ambiti contrassegnando i dati durante l'inserimento. Questo processo di assegnazione di tag crea una regola di raccolta dati (DCR) che applica i tag di ambito ai dati appena inseriti.

Tenere presenti i limiti seguenti prima di contrassegnare una tabella:

• È possibile contrassegnare solo le tabelle che supportano le trasformazioni in fase di inserimento. Le tabelle personalizzate basate su CLv1 non sono supportate; Sono supportate le tabelle CLv2.
• Le tabelle XDR non sono supportate, inclusa la conservazione estesa delle tabelle XDR nel lake.
• È possibile aggiungere trasformazioni solo nella stessa sottoscrizione della sottoscrizione dell'utente.
• È possibile contrassegnare solo i dati acquisiti di recente. I dati acquisiti in precedenza non sono inclusi e non possono essere inclusi nell'ambito retroattivamente.
• Le tabelle di Log Analytics SecurityAlerts e SecurityIncidents non ereditano automaticamente le autorizzazioni di ambito dalle tabelle di origine che le hanno generate, quindi gli utenti soggetti a limitazioni di ambito non possono accedervi per impostazione predefinita. Come soluzione alternativa, è possibile:
  • Usare le tabelle XDR AlertsInfo e AlertsEvidence, in cui l'ambito viene ereditato automaticamente, oppure
  • Applica manualmente l'ambito alle tabelle di Log Analytics. Questo metodo è limitato agli attributi nella tabella e potrebbe non essere equivalente all'ereditarietà dalle tabelle dati di origine.

Per aggiungere tag a una tabella:

1. In Microsoft Sentinel passare a Configurazione>Tabelle.

2. Selezionare una tabella che supporta le trasformazioni in fase di inserimento.

3. Selezionare Regola del tag di ambito.

   

4. Attiva l'interruttore Consenti l'uso dei tag di ambito per RBAC.

5. Abilita l'opzione regola del tag di ambito.

6. Definire un'espressione KQL che seleziona le righe usando gli operatori e i limiti supportati da transformKQL.

   Esempio per definire l'ambito in base alla posizione:

   Location == 'Spain'
   

7. Selezionare l'ambito da applicare alle righe corrispondenti all'espressione.

8. Salva la regola.

È possibile assegnare un tag solo ai dati acquisiti di recente. I dati acquisiti in precedenza non sono inclusi. Dopo l'assegnazione di tag, l'applicazione della nuova regola può richiedere fino a un'ora.

Passaggio 4: Accesso ai dati nell'ambito definito

Dopo aver creato, assegnato e applicato ambiti alle tabelle, gli utenti con ambito possono accedere alle esperienze Microsoft Sentinel in base all'ambito assegnato. Tutti i dati appena inseriti vengono contrassegnati automaticamente con ambito. I dati cronologici (inseriti in precedenza) non sono inclusi. Gli utenti con restrizioni di ambito non possono visualizzare dati che non rientrano esplicitamente nel loro ambito. Gli utenti senza restrizioni di ambito possono visualizzare tutti i dati nell'area di lavoro.

Gli utenti con un ambito definito possono:

• Visualizzare gli avvisi generati dai dati con ambito.
• Gestire gli avvisi se hanno accesso a tutti gli eventi collegati a tale avviso.
• Visualizza gli incidenti che contengono almeno un avviso con ambito definito.
• Gestire gli eventi imprevisti se hanno accesso a tutti gli avvisi sottostanti e hanno l'autorizzazione necessaria.
• Eseguire query di ricerca avanzate solo su righe con ambito.
• Eseguire query ed esplorare i dati nel lake Sentinel (tabelle con ambito).
• Filtrare gli avvisi e gli eventi imprevisti in base all'ambito di Sentinel.

Gli avvisi ereditano l'ambito di applicazione dai dati sottostanti. Gli incidenti sono visibili se almeno un alert rientra nell'ambito.

Usa il campo personalizzato SentinelScope_CF nelle query e nelle regole di rilevamento per fare riferimento all'ambito nelle analisi.

Limitazioni della definizione dell'ambito di Microsoft Sentinel

1. Se sei un utente non soggetto ad ambito, puoi anche selezionare Tutti i dati. Selezionando questa opzione, la regola è senza ambito, si applica a tutti i dati ed è visibile e modificabile solo dagli utenti senza ambito.

2. Completare la procedura guidata e salvare la regola.

   

Tieni presenti i seguenti limiti per i rilevamenti personalizzati con ambito definito:

• I rilevamenti personalizzati su AlertInfo e AlertEvidence non sono supportati ed eseguiti su tutti i dati, indipendentemente dall'ambito definito.
• Non creare rilevazioni con ambito definito su tabelle senza ambito definito. L'esecuzione di query su tabelle senza ambito da un rilevamento con ambito non restituisce mai risultati.
• I rilevamenti con ambito definito non possono usare la frequenza personalizzata quando le tabelle XDR sono incluse nella query. La frequenza personalizzata richiede che i dati vengano recuperati da Sentinel, dove le tabelle XDR non sono soggette ad ambito. Le tabelle XDR possono essere interrogate solo da rilevazioni non circoscritte.

Creare regole di automazione con ambito definito

Per creare regole di automazione con ambito, seguire questa procedura:

1. Nel portale di Microsoft Defender, vai a Microsoft Sentinel>Configurazione>Automazione.

2. Aprire la scheda Regole avanzate .

   

3. Selezionare Crea per aggiungere una nuova regola di automazione e quindi immettere i dettagli per la regola di automazione.

   

4. Selezionare l'ambito di Sentinel da applicare alla regola:

   • Se sei un utente con uno o più ambiti Sentinel assegnati, devi scegliere un ambito.
   • Se si è un utente senza ambito, è possibile scegliere Tutti gli ambiti disponibili e futuri di Sentinel.

   

5. Salva la regola.

La regola di automazione si applica ai dati associati all'ambito selezionato ed è visibile solo agli utenti assegnati a tale ambito.

Come funzionano le autorizzazioni e l'accesso con i dati con ambito definito

I punti seguenti descrivono il comportamento delle autorizzazioni e dell'accesso con ambito in Microsoft Sentinel:

• Gli utenti possono visualizzare un evento imprevisto se hanno accesso ad almeno un avviso nell'evento imprevisto. Possono gestire l'evento imprevisto solo se hanno accesso a tutti gli avvisi nell'evento imprevisto e dispongono dell'autorizzazione necessaria.
• L'utente con ambito definito può visualizzare solo i dati associati al proprio ambito. Se l'avviso contiene entità a cui l'utente non ha accesso, l'utente non può visualizzare tali entità. Se l'utente ha accesso ad almeno una delle entità associate, può visualizzare l'avviso stesso.
• Per definire l'ambito di un'intera tabella, usare una regola che corrisponda a tutte le righe, ad esempio usando una condizione sempre vera. I dati inseriti in precedenza non possono essere inclusi nell'ambito retroattivo.
• Gli utenti con ambito non possono gestire le risorse, ad esempio regole di rilevamento, playbook, regole di automazione, a meno che non venga loro assegnata l'autorizzazione in un'assegnazione di ruolo separata.

Passaggi successivi

Usa le risorse seguenti per continuare a pianificare la distribuzione per la definizione dell'ambito:

• Rivedi l'elenco delle tabelle che supportano le trasformazioni in fase di acquisizione
• Pianificare i nomi di ambito e la logica prima di contrassegnare i dati
• Iniziare con un ambito pilota per un piccolo team o un subset di dati
• Scopri di più su RBAC unificato in Microsoft Defender XDR