Guida alle operazioni di sicurezza di Microsoft Defender per endpoint

  • Si applica a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Questo articolo offre una panoramica dei requisiti e delle attività per il corretto funzionamento delle Microsoft Defender per endpoint nell'organizzazione. Queste attività consentono al Centro operativo di sicurezza (SOC) di rilevare e rispondere in modo efficace a Microsoft Defender per endpoint minacce alla sicurezza rilevate.

Questo articolo descrive anche le attività giornaliere, settimanali, mensili e ad hoc che il team di sicurezza può eseguire per l'organizzazione.

Nota

Questi sono i passaggi consigliati; controllarli in base ai propri criteri e all'ambiente per assicurarsi che siano adatti allo scopo.

Prerequisiti

L'endpoint Microsoft Defender deve essere configurato per supportare il normale processo delle operazioni di sicurezza. Sebbene non vengano trattati nel presente documento, gli articoli seguenti forniscono informazioni sulla configurazione e sull'installazione:

Attività quotidiane

Generale

  • Esaminare le azioni

    Nel centro notifiche, esamina le azioni che sono state eseguite nel tuo ambiente, sia quelle automatizzate sia quelle manuali. Queste informazioni consentono di verificare che l'analisi automatizzata e la risposta (AIR) funzionino come previsto e identificare eventuali azioni manuali che devono essere esaminate. Per altre informazioni, vedi Visita il Centro notifiche per visualizzare le azioni correttive.

Team delle operazioni di sicurezza

Team di amministrazione della sicurezza

  • Esaminare i report sull'integrità

    Esamina i report sullo stato di integrità per identificare eventuali tendenze relative allo stato dei dispositivi che richiedono attenzione. I report sull'integrità dei dispositivi riguardano firma AV, integrità della piattaforma e integrità EDR di Microsoft Defender per endpoint. Per altre informazioni, vedere Rapporti sull'integrità dei dispositivi in Microsoft Defender per endpoint.

  • Controllare l'integrità del sensore EDR (Endpoint Detection and Response)

    Lo stato di integrità EDR mantiene la connessione al servizio EDR per garantire che Defender per endpoint riceva i segnali necessari per avvisare e identificare le vulnerabilità.

    Esaminare i dispositivi non integri. Per ulteriori informazioni, vedi Integrità del dispositivo, integrità dei sensori & report del sistema operativo.

  • Controlla lo stato di integrità di Microsoft Defender Antivirus

    La visualizzazione dello stato degli aggiornamenti di Microsoft Defender Antivirus è fondamentale per le migliori prestazioni di Defender per endpoint nell'ambiente e per i rilevamenti aggiornati. La pagina relativa all'integrità del dispositivo mostra lo stato corrente di piattaforma, intelligence e versione del motore. Per altre informazioni, vedi il Integrità del dispositivo, report sull'integrità dell'antivirus Microsoft Defender.

Attività settimanali

Generale

  • Centro messaggi

    Microsoft Defender usa il centro messaggi di Microsoft 365 per notificare le modifiche imminenti, ad esempio funzionalità nuove e modificate, manutenzione pianificata o altri annunci importanti.

    Esamina i messaggi del Centro messaggi per comprendere eventuali modifiche in arrivo che interessano il tuo ambiente.

    È possibile accedervi nella interfaccia di amministrazione di Microsoft 365 nella scheda Integrità. Per altre informazioni, vedere Come controllare l'integrità del servizio Microsoft 365.

Team delle operazioni di sicurezza

Team di amministrazione della sicurezza

  • Esaminare lo stato di minaccia e vulnerabilità (TVM)

    Esaminare TVM per identificare eventuali nuove vulnerabilità e raccomandazioni che richiedono un'azione. Per altre informazioni, vedere Dashboard di gestione delle vulnerabilità.

  • Esaminare i report sulla riduzione della superficie di attacco

    Esaminare i report asr per identificare eventuali file che influiscono sull'ambiente. Per altre informazioni, vedere Report sulle regole di riduzione della superficie di attacco (ASR).

  • Esaminare gli eventi di protezione Web

    Esaminare il report di difesa Web per identificare eventuali URL o indirizzi IP bloccati. Per altre informazioni, vedere Protezione Web.

Attività mensili

Generale

Esaminare gli articoli seguenti per comprendere gli aggiornamenti rilasciati di recente:

Team di amministrazione della sicurezza

Periodicamente

Queste attività sono considerate parte del mantenimento del proprio stato di sicurezza e sono fondamentali per garantire una protezione continua. Tuttavia, poiché potrebbero richiedere tempo e fatica, è consigliabile impostare una pianificazione standard che è possibile gestire per eseguire queste attività.

  • Rivedi le esclusioni

    Esaminare le esclusioni impostate nell'ambiente per verificare che non sia stato creato un gap di protezione escludendo gli elementi che non sono più necessari per essere esclusi.

  • Esaminare le configurazioni dei criteri di Defender

    Esaminare periodicamente le impostazioni di configurazione di Defender per verificare che siano impostate come richiesto.

  • Esaminare i livelli di automazione

    Esaminare i livelli di automazione nelle funzionalità di analisi e correzione automatizzate. Per altre informazioni, vedere Livelli di automazione nell'analisi automatizzata e nella correzione.

  • Esaminare i rilevamenti personalizzati

    Verificare periodicamente se i rilevamenti personalizzati creati sono ancora validi ed efficaci. Per altre informazioni, vedere Esaminare il rilevamento personalizzato.

  • Rivedere la soppressione degli avvisi

    Esaminare periodicamente tutte le regole di eliminazione degli avvisi create per verificare che siano ancora necessarie e valide. Per altre informazioni, vedere Esaminare la soppressione degli avvisi.

Risoluzione dei problemi

Gli articoli seguenti forniscono indicazioni per risolvere e correggere gli errori che possono verificarsi durante la configurazione del servizio Microsoft Defender per endpoint.

  • Ultimo aggiornamento: