Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
È possibile configurare i Defender seguenti per le funzionalità avanzate degli endpoint a seconda dei prodotti di sicurezza Microsoft nell'ambiente in uso.
Abilitare le funzionalità avanzate
Per abilitare o disabilitare una funzionalità avanzata nel portale di Microsoft Defender:
Passare al portale di Microsoft Defender ed eseguire l'accesso.
Nel riquadro di spostamento selezionare Impostazioni>Endpoint>Funzionalità avanzate.
Selezionare la funzionalità avanzata da configurare e impostare l'opzione su Attivato o Disattivato.
Selezionare Salva preferenze.
Usare le funzionalità avanzate seguenti per ottenere una migliore protezione da file potenzialmente dannosi e ottenere informazioni migliori durante le indagini sulla sicurezza.
Restringere la correlazione ai gruppi di dispositivi definiti dall'ambito
L'impostazione di correlazione del gruppo di dispositivi con ambito può essere usata per scenari in cui le operazioni SOC locali vogliono limitare le correlazioni degli avvisi solo ai gruppi di dispositivi a cui possono accedere. Quando l'impostazione di correlazione con ambito ai gruppi di dispositivi è attivata, un incidente composto da avvisi che interessano più gruppi di dispositivi non è più considerato un singolo incidente. Il SOC locale può quindi intervenire sull'evento imprevisto perché ha accesso a uno dei gruppi di dispositivi coinvolti. Tuttavia, il SOC globale vede diversi incidenti distinti per gruppo di dispositivi anziché un unico incidente. Non è consigliabile attivare questa impostazione a meno che non superi i vantaggi della correlazione degli eventi imprevisti nell'intera organizzazione.
Nota
La modifica di questa impostazione influisce solo sulle correlazioni degli avvisi future.
La creazione di gruppi di dispositivi è supportata in Defender for Endpoint nel Piano 1 e nel Piano 2.
Abilitare EDR in modalità blocco
Il rilevamento e la risposta degli endpoint (EDR) in modalità blocco offrono protezione da artefatti dannosi, anche quando Microsoft Defender Antivirus è in esecuzione in modalità passiva. Quando la funzionalità EDR in modalità blocco è attivata, blocca gli artefatti o i comportamenti dannosi rilevati in un dispositivo. EDR in modalità blocco funziona dietro le quinte per correggere gli artefatti dannosi rilevati dopo la violazione.
Risolvere automaticamente gli avvisi
Attivare l'impostazione degli avvisi di risoluzione automatica per risolvere automaticamente gli avvisi in cui non sono state trovate minacce o dove sono state risolte le minacce rilevate. Se non si vuole che gli avvisi vengano risolti automaticamente, è necessario disattivare manualmente la funzionalità.
Nota
- Il risultato dell'azione di risoluzione automatica può influenzare il calcolo del livello di rischio del dispositivo basato sugli avvisi attivi trovati in un dispositivo.
- Se un analista delle operazioni di sicurezza imposta manualmente lo stato di un avviso su "In corso" o "Risolto", la funzionalità di risoluzione automatica non lo sovrascriverà.
Configurare le impostazioni dei file consentiti o bloccati
Per usare questa funzionalità, l'organizzazione deve soddisfare questi requisiti:
- Microsoft Defender Antivirus è la soluzione antimalware attiva.
- La protezione basata sul cloud è abilitata.
Questa funzionalità consente di bloccare i file dannosi nella rete. Quando si blocca un file, i dispositivi nell'organizzazione non possono leggere, scrivere o eseguirlo.
Per attivare Consenti o blocca file:
Nel portale di Microsoft Defender selezionare Impostazioni>Endpoint>generali>Funzionalità> avanzateConsenti o blocca file.
Alterna l'impostazione tra Attivato e Disattivato.
a.
Selezionare Salva preferenze nella parte inferiore della pagina.
Dopo aver attivato questa funzionalità, è possibile bloccare i file dalla scheda Aggiungi indicatore nella pagina del profilo di un file.
Nascondere i potenziali record duplicati del dispositivo
Attivare questa funzionalità per nascondere i record dei dispositivi duplicati in modo da visualizzare solo i dati più accurati per ogni dispositivo. I duplicati possono verificarsi per molti motivi. Ad esempio, il rilevamento dei dispositivi potrebbe analizzare la rete e trovare un dispositivo già registrato o rimosso di recente.
Questa funzionalità identifica i duplicati in base all'hostname e all'ora dell'ultima occorrenza. Li nasconde dall'inventario dispositivi, dalle pagine Gestione delle vulnerabilità di Microsoft Defender e dalle API pubbliche per i dati del computer. Il record più accurato rimane visibile. I duplicati vengono ancora visualizzati nelle pagine di ricerca globale, ricerca avanzata, avvisi e eventi imprevisti.
Questa impostazione è attivata per impostazione predefinita e applica l'intero tenant. Per visualizzare i record duplicati, disattivare la funzionalità manualmente.
Configurare indicatori di rete personalizzati
L'attivazione di indicatori di rete personalizzati consente di creare indicatori per indirizzi IP, domini o URL, che determinano se saranno consentiti o bloccati in base all'elenco di indicatori personalizzato.
Per usare questa funzionalità, i dispositivi devono essere in esecuzione Windows 10 versione 1709 o successiva o Windows 11.
Per altre informazioni, vedere Panoramica degli indicatori.
Nota
La protezione di rete sfrutta i servizi di reputazione che elaborano le richieste in posizioni che potrebbero essere esterne alla posizione selezionata per i dati di Defender per endpoint.
Abilitare la protezione da manomissione
Durante gli attacchi informatici, gli utenti malintenzionati potrebbero provare a disattivare funzionalità di sicurezza come la protezione antivirus nei dispositivi. Queste operazioni consentono di accedere ai dati, installare malware o sfruttare l'identità e i dispositivi. La protezione antimanomissione blocca Microsoft Defender Antivirus e impedisce la modifica delle impostazioni di sicurezza da parte delle app o di altri metodi.
Per altre informazioni, tra cui come configurare la protezione dalle manomissioni, vedere Proteggere le impostazioni di sicurezza con la protezione dalle manomissioni.
Abilitare la visualizzazione dei dettagli utente
Attivare la funzionalità Mostra dettagli utente in modo da visualizzare i dettagli dell'utente archiviati in Microsoft Entra ID. I dettagli includono la foto, il nome, la qualifica e le informazioni sul reparto di un utente quando si analizzano le entità dell'account utente. È possibile trovare informazioni sull'account utente nelle visualizzazioni seguenti:
- Coda di avvisi
- Pagina dei dettagli del dispositivo
Per altre informazioni, vedere Analizzare un account utente.
Configurare l'integrazione Skype for Business
L'abilitazione dell'integrazione Skype for Business consente di comunicare con gli utenti usando Skype for Business, posta elettronica o telefono. L'integrazione Skype for Business può essere utile quando è necessario comunicare con l'utente e attenuare i rischi.
Nota
Quando un dispositivo viene isolato dalla rete, è disponibile un popup in cui è possibile scegliere di abilitare le comunicazioni di Outlook e Skype che consentono le comunicazioni all'utente mentre sono disconnesse dalla rete. L'opzione di comunicazione Outlook e Skype si applica solo quando i dispositivi sono in modalità di isolamento.
Configurare l'integrazione di Microsoft Defender for Cloud Apps
L'abilitazione dell'integrazione con Microsoft Defender for Cloud Apps inoltra i segnali di Defender for Endpoint a Microsoft Defender for Cloud Apps per offrire una maggiore visibilità sull'utilizzo delle applicazioni cloud. I dati inoltrati vengono archiviati ed elaborati nella stessa posizione dei dati Defender for Cloud Apps.
Per altre informazioni, vedere panoramica Microsoft Defender for Cloud Apps.
Configurare il filtro dei contenuti web
Bloccare l'accesso ai siti Web contenenti contenuti indesiderati e tenere traccia dell'attività Web in tutti i domini. Prima di distribuire la baseline di sicurezza Microsoft Defender per endpoint, assicurarsi che la protezione di rete sia in modalità di blocco. Per specificare le categorie di contenuto Web da bloccare, creare un criterio di filtro del contenuto Web.
Abilitare il log di controllo unificato
La ricerca in Microsoft Purview consente al team di sicurezza e conformità di visualizzare i dati critici degli eventi del log di controllo per ottenere informazioni dettagliate e analizzare le attività degli utenti. Ogni volta che un'attività verificata viene eseguita da un utente o un amministratore, viene generato e archiviato un record di controllo nel log di controllo di Microsoft 365 per l'organizzazione. Per altre informazioni, vedere Cercare nel log di controllo.
Abilitare l'individuazione dei dispositivi
Consente di trovare i dispositivi non gestiti connessi alla rete aziendale senza la necessità di appliance aggiuntive o modifiche di processo complesse. Usando i dispositivi di onboarding, è possibile trovare i dispositivi non gestiti nella rete e valutare vulnerabilità e rischi. Per altre informazioni, vedere Individuazione del dispositivo.
Nota
È sempre possibile applicare filtri per escludere i dispositivi non gestiti dall'elenco di inventario dei dispositivi. È anche possibile usare la colonna relativa allo stato di onboarding nelle query API per filtrare i dispositivi non gestiti.
Scarica i file in quarantena
Eseguire il backup dei file in quarantena in una posizione sicura e conforme in modo che possano essere scaricati direttamente dalla quarantena. Il pulsante Scarica file è sempre disponibile nella pagina del file. L'impostazione download dei file in quarantena è attivata per impostazione predefinita. Requisiti per il download di file in quarantena
Usare la connettività semplificata come impostazione predefinita per l'onboarding dei dispositivi nel portale Defender
Questa impostazione rende la connettività semplificata il pacchetto di onboarding predefinito per i sistemi operativi supportati. È comunque possibile usare il pacchetto standard, ma è necessario selezionarlo dall'elenco a discesa nella pagina di onboarding.
Attiva risposta in tempo reale
Attivare questa funzionalità in modo che gli utenti con le autorizzazioni appropriate possano avviare una sessione di risposta dinamica nei dispositivi.
Per assegnare ruoli per live response, vedere Creare e gestire i ruoli.
Abilita la risposta in tempo reale per i server
Attivare questa funzionalità in modo che gli utenti con le autorizzazioni appropriate possano avviare una sessione di risposta dinamica nei server.
Per altre informazioni sulle assegnazioni di ruolo, vedere Creare e gestire ruoli.
Consentire l'esecuzione di script non firmati in live response
L'abilitazione di questa funzionalità consente di eseguire script non firmati in una sessione di risposta dinamica.
Configurare l'interruzione automatica degli attacchi
L'interruzione automatica degli attacchi arresta gli attacchi isolando le risorse compromesse controllate dall'attaccante. Limita il movimento laterale in anticipo, riducendo così i costi e la perdita di produttività da un attacco. I team delle operazioni di sicurezza mantengono il controllo completo per analizzare, risolvere i problemi e riportare online gli asset. Per altre informazioni, vedere Interruzione automatica degli attacchi in Microsoft Defender.
Condividere gli avvisi degli endpoint con Il Centro conformità Microsoft
L'impostazione per la condivisione degli avvisi dell'endpoint invia gli avvisi di sicurezza degli endpoint e il relativo stato di triage al portale di Microsoft Purview. È possibile usare questi avvisi per migliorare i criteri di gestione dei rischi Insider e affrontare i rischi interni prima che causino danni. I dati inoltrati vengono archiviati nella stessa posizione dei dati Office 365.
Dopo aver configurato gli indicatori di violazione dei criteri di sicurezza nelle impostazioni di gestione dei rischi Insider, Defender for Endpoint condivide gli avvisi con la gestione dei rischi Insider per gli utenti interessati.
Configurare la connessione Microsoft Intune
È possibile integrare Defender per Endpoint con Microsoft Intune per abilitare l'accesso condizionale basato sul rischio del dispositivo. Quando si configura l'accesso condizionale, Defender per Endpoint condivide i dati del dispositivo con Intune per applicare i criteri.
Importante
È necessario abilitare questa integrazione sia in Intune che in Defender per endpoint. Per la procedura dettagliata, vedere Configurare l'accesso condizionale in Defender per endpoint.
Questa funzionalità richiede quanto segue:
- Tenant con licenza per Enterprise Mobility + Security E3 e Windows E5 (o Microsoft 365 Enterprise E5)
- Un ambiente Microsoft Intune attivo, con dispositivi Windows gestiti da Intune aggiunti a Microsoft Entra.
Abilitare i dati di telemetria autenticati
È possibile attivare i dati di telemetria autenticati per impedire lo spoofing dei dati di telemetria nel dashboard.
Abilita funzionalità di anteprima
Informazioni sulle nuove funzionalità nella versione di anteprima di Defender per endpoint.
Provare le funzionalità future attivando l'esperienza di anteprima. Si avrà accesso alle funzionalità future, su cui è possibile fornire commenti e suggerimenti per migliorare l'esperienza complessiva prima che le funzionalità siano disponibili a livello generale.
Se sono già attivate le funzionalità di anteprima, gestire le impostazioni dalle impostazioni principali Defender XDR.
Per altre informazioni, vedere Microsoft Defender XDR funzionalità di anteprima
Configurare le notifiche di attacco degli endpoint
Le notifiche di attacco degli endpoint consentono di Microsoft cercare minacce critiche nei dati degli endpoint. Le minacce vengono classificate in base all'urgenza e all'impatto.
Per la ricerca proattiva in Microsoft Defender XDR, comprese le minacce che interessano posta elettronica, collaborazione, identità, applicazioni cloud ed endpoint, iniziare a usare Microsoft Defender Experts.