Analizzare i rischi delle app cloud e le attività sospette

Dopo l'esecuzione di Microsoft Defender for Cloud Apps nell'ambiente cloud, è necessaria una fase di apprendimento e analisi. Informazioni su come usare gli strumenti di Microsoft Defender for Cloud Apps per comprendere meglio cosa accade nell'ambiente cloud. In base all'ambiente specifico e al modo in cui viene usato, è possibile identificare i requisiti per proteggere l'organizzazione dai rischi. Questo articolo descrive come eseguire un'indagine per ottenere una migliore comprensione dell'ambiente cloud.

Segna le app come autorizzate o non autorizzate

Un passaggio importante per comprendere il cloud consiste nel contrassegnare le app come approvate o non approvate. Dopo aver approvato un'app, è possibile filtrare le app che non sono approvate e avviare la migrazione alle app approvate della stessa categoria di app.

  • Nel portale di Microsoft Defender, in App cloud, vai a Catalogo app cloud o Cloud Discovery - >App individuate.

  • Nell'elenco delle app, nella riga in cui viene visualizzata l'app che vuoi contrassegnare come approvato, scegli i tre puntini alla fine della riga Screenshot dell'icona del menu a tre punti alla fine di una riga dell'app usata per contrassegnare un'app come approvata. e scegliere Sanzionato.

    Schermata dell'opzione del menu contestuale per contrassegnare un'app cloud come autorizzata in Microsoft Defender for Cloud Apps.

Usare gli strumenti di indagine

Usare la procedura seguente per analizzare attività, file, identità e app connesse nell'ambiente cloud.

  1. Nel portale di Microsoft Defender, in App cloud, vai a Log attività e filtra per un'app specifica. Controllare gli elementi seguenti:

    • Chi accede all'ambiente cloud?

    • Da quali intervalli di indirizzi IP?

    • Che cos'è l'attività di amministratore?

    • Da quali posizioni si connettono gli amministratori?

    • Sono presenti dispositivi obsoleti che si connettono all'ambiente cloud?

    • I tentativi di accesso non riusciti provengono da indirizzi IP previsti?

  2. Nel portale di Microsoft Defender, in App cloud, passare a File e controllare gli elementi seguenti:

    • Quanti file vengono condivisi pubblicamente in modo che chiunque possa accedervi senza un collegamento?

    • Con quali partner si condividono i file (condivisione in uscita)?

    • I file hanno un nome sensibile?

    • I file vengono condivisi con l'account personale di un utente?

  3. Nel portale di Microsoft Defender passare a Identità e controllare gli elementi seguenti:

    • Gli account sono stati inattivi in un determinato servizio per molto tempo? Forse puoi revocare la licenza di quell'utente per quel servizio.

    • Si vuole sapere quali utenti hanno un ruolo specifico?

    • Qualcuno è stato licenziato ma ha ancora accesso a un'app e può usare tale accesso per rubare informazioni?

    • Revocare l'autorizzazione di un utente a un'app specifica o richiedere a un utente specifico di usare l'autenticazione a più fattori?

    • È possibile eseguire il drill-down nell'account dell'utente selezionando i tre puntini alla fine della riga dell'account dell'utente e selezionando un'azione da eseguire. Eseguire un'azione, ad esempio Sospendere l'utente o Rimuovere le collaborazioni dell'utente. Se l'utente è stato importato da Microsoft Entra ID, è anche possibile selezionare Microsoft Entra impostazioni dell'account per ottenere un facile accesso alle funzionalità avanzate di gestione degli utenti. Esempi di funzionalità di gestione includono gestione dei gruppi, MFA, dettagli sugli accessi dell'utente e la possibilità di bloccare l'accesso.

  4. Nel portale di Microsoft Defender selezionare Impostazioni e quindi scegliere App cloud. In App connesse selezionare Connettori app e quindi selezionare un'app. Si apre la dashboard dell'app e ti fornisce informazioni e approfondimenti. È possibile usare le schede nella parte superiore per controllare:

    • Che tipo di dispositivi usano gli utenti per connettersi all'app?

    • Quali tipi di file vengono salvati nel cloud?

    • Quale attività viene eseguita nell'app in questo momento?

    • Sono presenti app di terze parti connesse all'ambiente?

    • Hai familiarità con queste app?

    • Sono autorizzati per il livello di accesso consentito?

    • Quanti utenti li hanno distribuiti? Quanto sono comuni queste app in generale?

    Schermata del dashboard dell'app connessa in Microsoft Defender for Cloud Apps che mostra informazioni su dispositivo, file e attività.

  5. Nel portale di Microsoft Defender, in App cloud, passare a Cloud Discovery. Selezionare la scheda Dashboard e controllare gli elementi seguenti:

    • Quali app cloud vengono usate, in che misura e da quali utenti?

    • Per quali scopi vengono usati?

    • Quanti dati vengono caricati in queste app cloud?

    • In quali categorie sono state approvate le app cloud e tuttavia gli utenti usano soluzioni alternative?

    • Per le soluzioni alternative, vuoi revocare l'approvazione di eventuali app cloud nell'organizzazione?

    • Sono presenti app cloud usate ma non conformi ai criteri dell'organizzazione?

Analisi di esempio dell'accesso all'indirizzo IP rischioso

Si supponga di non avere accesso all'ambiente cloud con indirizzi IP rischiosi. Ad esempio, si supponga Tor. Tuttavia, è possibile creare un criterio per gli INDIRIZZI IP di rischio solo per assicurarsi:

  1. Nel portale di Microsoft Defender, in App cloud, passare a Criteri ->Modelli di criteri.

  2. Scegliere il criterio di attività per il Tipo.

  3. Alla fine della riga Accesso da un indirizzo IP rischioso, seleziona il segno più (+) per creare un nuovo criterio.

  4. Modifica il nome del criterio in modo da poterlo identificare.

  5. In Attività corrispondenti a tutti i seguenti criteri, scegli + per aggiungere un filtro. Scorrere verso il basso fino al tag IP e quindi scegliere Tor.

    Screenshot di un criterio di attività configurato per rilevare gli accessi da indirizzi IP rischiosi, ad esempio Tor in Microsoft Defender for Cloud Apps.

Ora che hai configurato il criterio relativo agli IP rischiosi, scopri di avere un avviso che segnala la violazione del criterio.

  1. Nel portale di Microsoft Defender passare a Eventi imprevisti & avvisi ->Avvisi e visualizzare l'avviso relativo alla violazione dei criteri.

  2. Se si nota che l'avviso è simile a una violazione reale, si vuole contenere rischi o correggere la violazione.

    Per contenere il rischio, è possibile inviare all'utente una notifica per chiedere se la violazione era intenzionale e se l'utente ne era a conoscenza.

    È anche possibile eseguire il drill-down nell'avviso e sospendere l'utente fino a quando non si riesce a capire cosa deve essere fatto.

  3. Se l'evento è consentito e non è probabile che si verifichi nuovamente, è possibile ignorare l'avviso.

    Se l'evento è consentito e si prevede che l'evento si verifichi nuovamente, è possibile aggiornare i criteri in modo che gli accessi da tale origine approvata non vengano considerati violazioni in futuro.

Passaggi successivi

Se si verificano problemi, siamo qui per aiutarti. Per ottenere assistenza o supporto per il problema del prodotto, aprire un ticket di supporto.

  • Last updated on