La nuova esperienza di sicurezza dei server in Defender

  • Si applica a: Microsoft Defender for Endpoint Plan 2

La nuova esperienza di sicurezza Defender server unisce Defender for Endpoint e Defender for Servers nel portale Microsoft Defender. Usalo per gestire la protezione dei server e indagare sulle minacce con informazioni cloud e endpoint in un unico posto.

Questa anteprima pubblica copre gli ambienti Azure e i server on-premise. Vedere Novità per il riepilogo della versione.

In questa pagina: | Indagare su un incidente | Avvia ricerca | RBAC e gruppi di dispositivi.

Server che eseguono già Defender for Endpoint

I server che già utilizzano Defender for Endpoint continuano a funzionare con la configurazione esistente. Non è necessario eseguire nuovamente l'onboarding, reinstallarli o eseguirne la migrazione per mantenere la protezione esistente. Rivedi i requisiti per ogni funzionalità unificata prima di cambiare la configurazione.

Esaminare la pagina degli asset del server

La pagina dell'asset server raccoglie le informazioni disponibili sulle risorse cloud e sui dispositivi endpoint per lo stesso server, invece di richiedere pagine di indagine separate.

  1. In Microsoft Defender, apri un avviso riguardante il server e seleziona Apri la pagina dell'asset dal menu del server. Da un grafo incidente, apri il menu del nodo server e seleziona Dettagli dell'Asset.
  2. Controlla l'ID del dispositivo endpoint e, dove disponibile, l'ID risorsa Azure. Non identificare un server solo con il nome.
  3. Esaminare l'identità del server, lo stato di onboarding e i dettagli disponibili sulle risorse e sul sistema operativo.
  4. Selezionare Apri sequenza temporale dispositivo per esaminare l'attività dell'endpoint oppure Vai alla ricerca per analizzare gli eventi correlati.

Se i record appaiono duplicati o corrispondenti in modo errato, controlla entrambi gli identificatori prima di agire. Il contesto disponibile dipende dalle fonti di dati connesse; l'onboarding manuale non crea una risorsa Azure.

Le azioni di risposta dipendono dai tuoi permessi, dalla piattaforma e dallo stato del server. Usare le indicazioni supportate per la risposta dei dispositivi prima di eseguire un'azione che potrebbe influire sul carico di lavoro.

Analizzare gli avvisi e gli eventi imprevisti

Per indagare su un server, è necessario accedere ai relativi dati di indagine e il server deve avere un avviso o un incidente correlato.

  1. Apri un incidente che coinvolge il server e rivedi il suo grafo di attacco.
  2. Seleziona il nodo server. Per un server con record cloud e endpoint correlati, il grafo fornisce un'identità server e un menu di investigazione.
  3. Fare clic con il pulsante destro del mouse sul nodo oppure aprire il relativo menu con i puntini di sospensione. Scegliere Dettagli asset per il contesto, Aggiungi avvisi correlati per esaminare i rilevamenti correlati oppure Vai alla ricerca per analizzare l'attività.
  4. Apri un avviso correlato e segui il link al server. Conferma che conduca alla stessa identità del server prima di considerare un'azione di risposta.

Gli avvisi cloud e endpoint possono riferirsi allo stesso server senza diventare un singolo avviso. Un'identità condivisa di un asset non garantisce che ogni avviso venga raggruppato in un unico incidente.

Usare Vai alla ricerca

È necessario disporre dell'accesso alla ricerca avanzata per i dati sottoposti a query. Poter aprire una pagina di asset non concede l'accesso a tutte le tabelle di caccia.

  1. Dal grafo incident, apri il menu del nodo server e seleziona Avvia ricerca. Puoi anche usare l'azione dal contesto di avviso o asset del server, dove disponibile.
  2. Scegli Tutte le attività, Avvisi correlati o Visualizza tutte le query disponibili, poi seleziona la query di cui hai bisogno.
  3. Ispeziona la query generata e i suoi risultati nella caccia avanzata. Go Hunt può eseguire automaticamente la query generata invece di mostrarla solo per la revisione.
  4. Controlla che la query sia rivolta al server previsto. Se sono disponibili entrambe le identità, esaminare gli identificatori del dispositivo endpoint e della risorsa cloud, le tabelle selezionate e l'intervallo di tempo.
  5. Per indagare un'altra finestra temporale, regola il filtro timestamp della query ed eseguilo di nuovo. Usa UTC nelle espressioni di query.
  6. Apri i risultati rilevanti, confronta i loro timestamp con l'allarme e torna all'incidente per proseguire l'indagine.

Per un evento endpoint specifico, aprire Sequenza temporale dispositivo, selezionare l'evento e usare Cerca eventi correlati, se disponibile. Questo cerca intorno a quell'evento invece di partire dall'intero server.

Tutte le attività non garantisce l'inclusione di tutte le origini dati. Se i risultati sono vuoti o incompleti, controlla i filtri delle query, le tabelle disponibili, la retention, la reportistica degli endpoint e i permessi dei dati. Un risultato di query vuoto non dimostra che il server non sia stato influenzato. Vedi Go hunt query behavior per indicazioni sull'aggiustamento delle query.

Verifica RBAC e accesso al server

I ruoli definiscono cosa può fare una persona; gli ambiti definiscono a quali dati può accedere.

Controllo Purpose
Gruppo utenti Microsoft Entra Identifica le persone che ricevono l'accesso, come il team operativo dei server.
ruolo RBAC di Defender Concede le autorizzazioni selezionate di lettura, analisi, risposta o amministrazione.
Gruppo di dispositivi Raggruppa gli endpoint e controlla l'accesso ai loro dati tramite i gruppi di utenti Entra assegnati. Può anche definire il comportamento di correzione automatica.
Ambito cloud Raggruppa gli ambienti cloud selezionati, ad esempio le sottoscrizioni di Azure, per l'accesso ai dati cloud. È separato da Azure RBAC.

Per un server rappresentato sia nei dati cloud sia nei dati endpoint, configurare l'ambito cloud pertinente e il gruppo di dispositivi. Collegare un gruppo di dispositivi a un ambito cloud allinea l'appartenenza sul lato server; non sostituisce le assegnazioni di ruoli né concede l'accesso agli utenti da solo. Le distribuzioni esistenti solo per endpoint non hanno bisogno di una connessione cloud solo per continuare a funzionare.

Assegnare le autorizzazioni del team

Usa il modello di permessi attivo nel tuo tenant. Non attivare un modello diverso solo per seguire questa guida.

Per i tenant che utilizzano Microsoft Defender unified RBAC, un Amministratore di Sicurezza o un amministratore con i permessi di autorizzazione delegati richiesti può:

  1. Apri Permessi>Microsoft Defender XDR>Ruoli e crea o modifica il ruolo appropriato.
  2. Seleziona i permessi di cui il team ha bisogno. Tieni separato l'accesso all'investigazione dai permessi di risposta e amministrativi.
  3. Aggiungi un'assegnazione per il gruppo di sicurezza Microsoft Entra del team e le fonti dati richieste. L'accesso ai dati di Defender for Endpoint da solo non garantisce l'accesso ai dati di Defender per il cloud.
  4. Per i dati cloud, seleziona gli scope cloud previsti. Esaminare e inviare l'assegnazione.

Seguire Creare ruoli personalizzati per la procedura guidata completa. I tenant che usano ancora il modello endpoint precedente devono usare RBAC di Defender per endpoint; i ruoli esistenti non vengono sostituiti da questa esperienza.

Definisci un gruppo di dispositivi server

Crea un gruppo di dispositivi per gestire l'accesso ai server utilizzando le condizioni del dispositivo o scope cloud esistenti. Prima di iniziare, assicurati che i gruppi di utenti Microsoft Entra che desideri assegnare abbiano i ruoli appropriati di controllo di accesso basato sul ruolo (RBAC).

  1. Nel portale Microsoft Defender, vai su Impostazioni>Endpoint>Permessi>Gruppi di dispositivi.

  2. Selezionare Aggiungi gruppo di dispositivi oppure modificare un gruppo esistente. Inserisci un nome descrittivo e rivedi il livello di bonifica automatica.

  3. Nella pagina Dispositivi , scegli come popolare il gruppo:

    Option Description
    Definisci usando condizioni Abbina server utilizzando attributi del dispositivo supportati, come nome dispositivo, dominio, tag o piattaforma del sistema operativo.
    Seleziona scope cloud per popolare questo gruppo Seleziona uno o più scope cloud esistenti. Sono inclusi dispositivi di tutti gli ambiti selezionati. (anteprima)

  4. Seleziona Avanti e controlla i dispositivi corrispondenti nella pagina Dispositivi in anteprima prima di continuare.

  5. Nella pagina Accesso utente, seleziona i gruppi di utenti di Microsoft Entra che devono avere accesso, quindi seleziona Invia.

  6. Rivedi la membership del gruppo e le assegnazioni di accesso. Per i gruppi basati sulla condizione, rivedi la classifica dei gruppi: un dispositivo che corrisponde a più gruppi basati sulla condizione appartiene al gruppo con la classificazione più alta.

Nota

L'appartenenza all'ambito cloud include tutti i dispositivi degli ambiti selezionati. Esaminare gli ambiti selezionati per assicurarsi che il gruppo includa solo i dispositivi previsti.

Allinea un ambito cloud e un gruppo di dispositivi

  1. Se necessario, creare l'ambito Azure in Sistema>Autorizzazioni>Microsoft Defender XDR>Ambiti>Aggiungi ambito cloud. Seleziona gli abbonamenti Azure connessi desiderati.
  2. Assegnare le autorizzazioni per i dati cloud del team a tale ambito, quindi selezionarlo nel passaggio Dispositivi del gruppo di dispositivi.
  3. Mantenere l'assegnazione del ruolo endpoint del team e di Accesso utente del gruppo di dispositivi. Verifica l'accesso a entrambe le fonti di dati.

Seguire Gestire gli ambiti cloud se è richiesta l'attivazione dell'ambito. L'attivazione è un cambiamento di configurazione irreversibile: esamina le assegnazioni esistenti e il assistente di attivazione prima di procedere.

Il collegamento dell'ambito cloud aggiorna l'appartenenza dei dispositivi quando cambia il contenuto dell'ambito selezionato. Gli ambienti appena connessi non vengono automaticamente aggiunti all'ambito cloud. Rivedi l'appartenenza al scope quando aggiungi un ambiente Azure.

Controlla l'accesso effettivo

Testare con account di analisti ordinari, non solo con un account Amministratore della Sicurezza; un ampio accesso amministratore può nascondere errori di scoping. Un filtro di visualizzazione restringe una visuale ma non sostituisce i permessi.

Controlla Risultato richiesto
Aprire un server nell'ambito dell'accesso assegnato all'utente Il server di destinazione e i dati autorizzati sono disponibili.
Naviga da un allarme o un incidente all'asset e all'hunting L'identità del server rimane corretta e l'accesso rimane appropriato.
Tentativo di aprire un server fuori ambito Dati e azioni con restrizioni rimangono inaccessibili.
Controlla una risposta o un'azione di configurazione L'azione è disponibile solo per un utente autorizzato; non eseguire azioni dirompenti solo per testare l'accesso.

Se manca l'accesso atteso, verifica i permessi di ruolo, le assegnazioni delle sorgenti dati, l'appartenenza al gruppo Entra, il gruppo effettivo del dispositivo e il suo scope cloud. Se un analista visualizza dati del server non previsti, esaminare le altre assegnazioni di ruolo e gli accessi estesi prima di ampliare l'implementazione.

Rimuovere la protezione del server

Vedere Eseguire l'offboarding dei dispositivi per l'offboarding automatico di Azure e gli altri metodi di offboarding supportati.

Contenuti correlati

  • Ultimo aggiornamento: