Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Il portale di Microsoft Defender applica l'analisi di correlazione e aggrega gli avvisi correlati e le indagini automatizzate da diversi prodotti in un evento imprevisto. Microsoft Sentinel e Defender attivano anche avvisi univoci sulle attività che possono essere identificate solo come dannose, data la visibilità end-to-end nella piattaforma unificata nell'intera suite di prodotti. Questa visualizzazione offre agli analisti della sicurezza la storia più ampia degli attacchi, che li aiuta a comprendere meglio e gestire le minacce complesse nell'intera organizzazione.
Importante
Microsoft Sentinel è disponibile a livello generale nel portale di Microsoft Defender, con o senza Microsoft Defender XDR o una licenza E5. Per altre informazioni, vedere Microsoft Sentinel nel portale di Microsoft Defender.
Dopo il 31 marzo 2027, Microsoft Sentinel non sarà più supportato nel portale di Azure e sarà disponibile solo nel portale di Microsoft Defender.
Se attualmente si usa Microsoft Sentinel nel portale di Azure, è consigliabile iniziare a pianificare la transizione al portale di Defender per garantire una transizione senza problemi e sfruttare appieno l'esperienza di operazioni di sicurezza unificata offerta da Microsoft Defender. Per altre informazioni, vedere Eseguire la transizione dell'ambiente Microsoft Sentinel al portale di Defender e Pianificare il passaggio al portale di Microsoft Defender per tutti i clienti Microsoft Sentinel (blog).
Coda degli incidenti
La coda eventi imprevisti mostra una coda di eventi imprevisti creati tra dispositivi, utenti, cassette postali e altre risorse. Consente di valutare gli eventi imprevisti, assegnare priorità e creare una decisione di risposta informata alla cybersecurity.
Trovare la coda degli eventi imprevisti in Eventi imprevisti & avvisi Eventi imprevisti > all'avvio rapido del portale di Microsoft Defender.
Selezionare Eventi imprevisti e avvisi più recenti per attivare o disattivare un grafico della sequenza temporale del numero di avvisi ricevuti e di eventi imprevisti creati nelle ultime 24 ore.
La coda degli incidenti include Defender Queue Assistant, che aiuta i team di sicurezza a orientarsi tra il gran numero di incidenti e a concentrarsi su quelli più importanti. Usando un algoritmo di definizione delle priorità di Machine Learning, Queue Assistant presenta gli eventi imprevisti con priorità più alta, spiega il ragionamento alla base della definizione delle priorità e fornisce strumenti intuitivi per ordinare e filtrare la coda degli eventi imprevisti. L'algoritmo viene eseguito per tutti gli avvisi, gli avvisi nativi Microsoft, i rilevamenti personalizzati o i segnali di terze parti. L'algoritmo viene sottoposto a training sui dati anonimi del mondo reale e prende in considerazione, tra le altre cose, i punti dati seguenti durante il calcolo del punteggio di priorità:
- Segnali di interruzione degli attacchi
- Analisi delle minacce
- Gravità
- SnR
- Tecniche MITRE
- Criticità degli asset
- Tipi di avviso e rarità
- Minacce di alto profilo come ransomware e attacchi condotti da Stati nazionali.
Agli eventi imprevisti viene assegnato automaticamente un punteggio di priorità compreso tra 0 e 100, con 100 come priorità più alta. Gli intervalli di punteggio vengono codificati in base al colore come indicato di seguito:
- Rosso: priorità superiore (punteggio > 85)
- Arancione: priorità media (15-85)
- Grigio: priorità bassa (<15)
Selezionare la riga dell'evento imprevisto in qualsiasi punto, ad eccezione del nome dell'evento imprevisto, per visualizzare un riquadro di riepilogo con informazioni chiave sull'evento imprevisto. Il riquadro include la valutazione della priorità, i fattori che influiscono sul punteggio di priorità, i dettagli dell'evento imprevisto, le azioni consigliate e le minacce correlate. Usa le frecce su e giù nella parte superiore del riquadro per passare all'incidente precedente o successivo nella coda degli incidenti. Per altre informazioni sull'analisi dell'evento imprevisto, vedere Analizzare gli eventi imprevisti.
Per impostazione predefinita, la coda degli incidenti mostra gli incidenti creati nell'ultima settimana. Scegliere un intervallo di tempo diverso selezionando l'elenco a discesa del selettore di tempo sopra la coda.
Il numero totale di incidenti nella coda viene visualizzato accanto al selettore dell'ora. Il numero di eventi imprevisti varia a seconda dei filtri in uso. È possibile cercare gli eventi imprevisti in base al nome o all'ID evento imprevisto
Selezionare Personalizza colonne per selezionare le colonne visualizzate nella coda. Seleziona o deseleziona le colonne che vuoi visualizzare nella coda degli incidenti. Disporre l'ordine delle colonne trascinandole verso l'alto e verso il basso.
Il pulsante Esporta consente di esportare i dati filtrati nella coda degli eventi imprevisti in un file CSV. Il numero massimo di record che è possibile esportare in un file CSV è 10.000.
Nomi degli incidenti
Per una maggiore visibilità a colpo d'occhio, Microsoft Defender genera automaticamente i nomi degli eventi imprevisti, in base agli attributi di avviso, ad esempio il numero di endpoint interessati, gli utenti interessati, le origini di rilevamento o le categorie. Questa denominazione specifica consente di comprendere rapidamente l'ambito dell'evento imprevisto.
Ad esempio: evento imprevisto a più fasi su più endpoint segnalato da più origini.
Se è stato caricato Microsoft Sentinel nel portale di Defender, è probabile che eventuali avvisi e eventi imprevisti provenienti da Microsoft Sentinel abbiano i nomi modificati (indipendentemente dal fatto che siano stati creati prima o dopo l'onboarding).
È consigliabile evitare di usare il nome dell'evento imprevisto come condizione per attivare le regole di automazione. Se il nome dell'evento imprevisto è una condizione e il nome dell'evento imprevisto cambia, la regola non verrà attivata.
Filtri
La coda degli eventi imprevisti offre anche più opzioni di filtro, che, se applicate, consentono di eseguire un'ampia analisi di tutti gli eventi imprevisti esistenti nell'ambiente o di decidere di concentrarsi su uno scenario o una minaccia specifici. Applicando i filtri a una coda di eventi imprevisti puoi determinare quale evento richiede un’attenzione immediata.
L'elenco Filtri sopra la coda degli incidenti mostra i filtri attualmente applicati alla coda. Selezionare Aggiungi filtro per applicare altri filtri per limitare il set di eventi imprevisti visualizzati.
Selezionare i filtri da usare e quindi selezionare Aggiungi. I filtri selezionati vengono visualizzati insieme ai filtri applicati esistenti. Selezionare il nuovo filtro per specificarne le condizioni. Ad esempio, se si seleziona il filtro "Origini di servizio/rilevamento", selezionarlo per scegliere le origini con cui filtrare l'elenco.
È possibile rimuovere un filtro selezionando la X nel nome del filtro nell'elenco dei filtri.
Nella tabella seguente sono elencati i filtri disponibili.
| Nome del filtro | Descrizione/Condizioni |
|---|---|
| Stato | Selezionare Nuovo, In corso o Risolto. |
|
Gravità dell'avviso Gravità dell'evento imprevisto |
La gravità di un avviso o di un evento imprevisto è indicativa dell'impatto che può avere sugli asset. Maggiore è la gravità, maggiore è l'impatto e in genere richiede l'attenzione più immediata. Selezionare Alto, Medio, Basso o Informativo. |
| Assegnazione degli incidenti | Selezionare l'utente o gli utenti assegnati. |
| Più servizi di origine | Specificare se il filtro è per più di un'origine del servizio. |
| Origini di servizio/rilevamento | Specificare gli eventi imprevisti che contengono avvisi da uno o più degli eventi seguenti: Molti di questi servizi possono essere espansi nel menu per rivelare altre scelte di origini di rilevamento all'interno di un determinato servizio. |
| Etichette | Selezionare uno o più nomi di tag dall'elenco. |
| Più categorie | Specificare se il filtro è per più di una categoria. |
| Categorie | Scegliere le categorie per concentrarsi su tattiche, tecniche o componenti di attacco specifici visualizzati. |
| Entità | Specificare il nome di un asset, ad esempio un utente, un dispositivo, una cassetta postale o un nome di applicazione. |
| Etichetta di riservatezza | Filtrare gli eventi imprevisti in base all'etichetta di riservatezza applicata ai dati. Alcuni attacchi si concentrano sull'esfiltrazione di dati sensibili o preziosi. Applicando un filtro per etichette di riservatezza specifiche, è possibile determinare rapidamente se le informazioni sensibili sono potenzialmente compromesse e assegnare priorità alla risoluzione di tali eventi imprevisti. |
| Gruppi di dispositivi | Specificare il nome di un gruppo di dispositivi . |
| Piattaforma del sistema operativo | Specificare i sistemi operativi del dispositivo. |
| Classificazione | Specificare il set di classificazioni degli avvisi correlati. |
| Stato dell'indagine automatizzata | Specificare lo stato dell'indagine automatizzata. |
| Minaccia associata | Specificare una minaccia denominata. |
| Criterio/regola del criterio | Filtrare gli incidenti in base al criterio o alla relativa regola. |
| Nomi di prodotto | Filtrare gli eventi imprevisti in base al nome del prodotto. |
| Flusso di dati | Filtrare gli eventi imprevisti in base alla posizione o al carico di lavoro. |
Nota
Se ti è stato concesso l'accesso a Gestione dei rischi Insider Microsoft Purview, puoi visualizzare e gestire gli avvisi di Insider Risk Management e individuare eventi di Insider Risk Management nel portale Microsoft Defender. Per altre informazioni, vedi Esaminare le minacce di rischio insider nel portale di Microsoft Defender.
Il filtro predefinito consiste nel visualizzare tutti gli avvisi e gli eventi imprevisti con stato Nuovo e In corso e con una gravità alta, media o bassa.
Puoi anche creare set di filtri nella pagina degli incidenti selezionando Query di filtro salvate > Crea set di filtri. Se non sono stati creati set di filtri, selezionare Salva per crearne uno.
Nota
I clienti di Microsoft Defender XDR possono ora filtrare gli incidenti con avvisi in cui un dispositivo compromesso ha comunicato con dispositivi OT (Operational Technology) connessi alla rete aziendale attraverso l'integrazione di individuazione dei dispositivi di Microsoft Defender per IoT e Microsoft Defender per endpoint. Per filtrare questi eventi imprevisti, selezionare Qualsiasi nelle origini di servizio/rilevamento, quindi selezionare Microsoft Defender per IoT nel nome del prodotto oppure vedere Analizzare gli eventi imprevisti e gli avvisi in Microsoft Defender per IoT nel portale di Defender. È anche possibile usare i gruppi di dispositivi per filtrare gli avvisi specifici del sito. Per altre informazioni sui prerequisiti di Defender per IoT, vedere Introduzione al monitoraggio IoT aziendale in Microsoft Defender XDR.
Salvare i filtri personalizzati come URL
Dopo aver configurato un filtro utile nella coda degli eventi imprevisti, è possibile aggiungere un segnalibro all'URL della scheda del browser o salvarlo in altro modo come collegamento in una pagina Web, un documento Word o una posizione di propria scelta. I segnalibri offrono accesso con un solo clic alle viste principali della coda degli incidenti, ad esempio:
- Nuovi eventi imprevisti
- Eventi imprevisti di gravità elevata
- Eventi imprevisti non assegnati
- Incidenti ad alta gravità non assegnati
- Incidenti assegnati a me
- Incidenti assegnati a me e relativi a Microsoft Defender per endpoint
- Incidenti con uno o più tag specifici
- Eventi imprevisti con una categoria di minacce specifica
- Eventi imprevisti con una minaccia associata specifica
- Eventi imprevisti con un attore specifico
Dopo aver compilato e archiviato l'elenco delle viste filtro utili come URL, usalo per esaminare rapidamente gli incidenti nella coda, assegnare loro una priorità e gestirli in vista dell'assegnazione e dell'analisi successive.
Ricerca
Nella casella Cerca nome o ID sopra l'elenco degli eventi imprevisti è possibile cercare gli eventi imprevisti in diversi modi per trovare rapidamente ciò che si sta cercando.
Ricerca in base al nome o all'ID dell'evento imprevisto
Cercare direttamente un evento imprevisto digitando l'ID evento imprevisto o il nome dell'evento imprevisto. Quando si seleziona un evento imprevisto dall'elenco dei risultati della ricerca, il portale di Microsoft Defender apre una nuova scheda con le proprietà dell'evento imprevisto, da cui è possibile avviare l'indagine.
Ricerca in base agli asset interessati
È possibile assegnare un nome a un asset, ad esempio un utente, un dispositivo, una cassetta postale, il nome dell'applicazione o una risorsa cloud, e trovare tutti gli eventi imprevisti correlati a tale asset.
Specificare un intervallo di tempo
L'elenco predefinito degli eventi imprevisti è per quelli che si sono verificati negli ultimi sei mesi. È possibile specificare un nuovo intervallo di tempo dalla casella a discesa accanto all'icona del calendario selezionando:
- Un giorno
- Tre giorni
- Una settimana
- 30 giorni
- 30 giorni
- Sei mesi
- Intervallo personalizzato in cui è possibile specificare sia date che ore
Passaggi successivi
Dopo aver determinato quale evento imprevisto richiede la priorità più alta, selezionarlo e:
- Gestisci le proprietà dell'incidente per quanto riguarda tag, assegnazione, risoluzione immediata per gli incidenti con falsi positivi e commenti.
- Inizia le indagini.
Defender Boxed
Per un periodo di tempo limitato, nei mesi di gennaio e luglio di ogni anno, Defender Boxed viene visualizzato automaticamente quando si apre per la prima volta la coda degli incidenti. Defender Boxed evidenzia il successo della sicurezza, i miglioramenti e le azioni di risposta dell'organizzazione durante i sei mesi o l'anno di calendario precedenti.
Nota
Defender Boxed è disponibile solo per gli utenti che hanno eseguito le attività applicabili nel portale di Microsoft Defender.
È possibile eseguire le azioni seguenti nella serie di schede visualizzate in Defender Boxed:
Scaricare un riepilogo dettagliato degli obiettivi che possono essere condivisi con altri utenti dell'organizzazione.
Modificare la frequenza di visualizzazione di Defender Boxed. È possibile scegliere tra una (ogni gennaio) o due volte (ogni gennaio e luglio) all'anno.
Condividi il tuo risultato con i tuoi social media, e-mail e altri forum salvando la diapositiva come immagine.
Per riaprire Defender Boxed, passare alla coda Eventi imprevisti e quindi selezionare Your Defender Boxed sul lato destro del riquadro.
Vedere anche
Consiglio
Vuoi saperne di più? Interagisci con la community Microsoft Security nella nostra Tech Community: Microsoft Defender XDR Tech Community.