Intraprendere azioni di risposta su un dispositivo

Importante

Alcune informazioni in questo articolo fanno riferimento alle caratteristiche di un prodotto prima del rilascio, che possono essere modificate sostanzialmente prima della distribuzione al pubblico. Microsoft non fornisce alcuna garanzia, esplicita o implicita, in relazione alle informazioni contenute in questo documento.

Rispondere rapidamente agli attacchi rilevati isolando i dispositivi o raccogliendo un pacchetto di indagine. Dopo aver eseguita un'azione sui dispositivi, è possibile controllare i dettagli dell'attività nel Centro notifiche.

Le azioni di risposta vengono eseguite nella parte superiore di una pagina specifica del dispositivo e includono:

• Gestisci tag
• Avviare un'indagine automatizzata
• Avviare la sessione di risposta in tempo reale
• Raccogli il pacchetto di investigazione
• Analisi dei virus
• Limitare l'esecuzione dell'app
• Isola dispositivo
• Isolare il dispositivo
• Consultare un esperto di minacce
• Centro operativo

Nota

Defender for Endpoint Piano 1 include solo le seguenti azioni di risposta manuali:

• Analisi dei virus
• Isola dispositivo
• Bloccare e mettere in quarantena un file
• Aggiungere un indicatore per bloccare o consentire un file.

Microsoft Defender for Business in questo momento non include l'azione "Arresta e metti in quarantena un file".

La sottoscrizione deve includere Defender for Endpoint Piano 2 per disporre di tutte le azioni di risposta descritte in questo articolo.

È possibile trovare le pagine del dispositivo da una delle visualizzazioni seguenti:

• Coda avvisi: selezionare il nome del dispositivo accanto all'icona del dispositivo nella coda degli avvisi.
• Elenco dispositivi: selezionare l'intestazione del nome del dispositivo dall'elenco dei dispositivi.
• Casella di ricerca: selezionare Dispositivo dal menu a discesa e immettere il nome del dispositivo.

Importante

Per informazioni sulla disponibilità e sul supporto per ogni azione di risposta, vedere i requisiti minimi del sistema operativo supportati elencati in Requisiti minimi per Microsoft Defender per endpoint.

Limitazione delle azioni di risposta ad impatto elevato sugli asset di valore elevato

Alcune azioni di risposta ad impatto elevato possono essere limitate su asset di valore elevato per evitare potenziali interruzioni aziendali. Per altre informazioni, vedere Limitare le azioni di risposta su asset di valore elevato.

Gestire i tag

Aggiungere o gestire tag per creare un'affiliazione di gruppo logico. I tag del dispositivo supportano la mappatura corretta della rete, consentendo di collegare tag diversi per acquisire il contesto e consentire la creazione di elenchi dinamici come parte di un incidente.

Per altre informazioni sull'assegnazione di tag ai dispositivi, vedere Creare e gestire i tag del dispositivo.

Avviare un'indagine automatizzata

Se necessario, è possibile avviare una nuova indagine automatizzata per utilizzo generico nel dispositivo. Mentre un'indagine è in esecuzione, qualsiasi altro avviso generato dal dispositivo viene aggiunto a un'indagine automatizzata in corso fino al completamento dell'indagine. Inoltre, se la stessa minaccia viene rilevata in altri dispositivi, tali dispositivi vengono aggiunti all'indagine.

Per altre informazioni sulle indagini automatizzate, vedere Panoramica delle indagini automatizzate.

Avviare la sessione di risposta in tempo reale

La risposta dinamica è una funzionalità che consente l'accesso istantaneo a un dispositivo tramite una connessione shell remota. In questo modo è possibile eseguire indagini approfondite e intraprendere azioni di risposta immediata per contenere tempestivamente le minacce identificate in tempo reale.

La risposta dinamica è progettata per migliorare le indagini consentendo di raccogliere dati forensi, eseguire script, inviare entità sospette per l'analisi, correggere le minacce e cercare in modo proattivo le minacce emergenti.

Per altre informazioni sulla risposta in tempo reale, vedere Analizzare le entità nei dispositivi usando la risposta in tempo reale.

Raccogliere il pacchetto di investigazione dai dispositivi

Come parte del processo di indagine o risposta, è possibile raccogliere un pacchetto di indagine da un dispositivo. Raccogliendo il pacchetto di indagine, è possibile identificare lo stato corrente del dispositivo e comprendere ulteriormente gli strumenti e le tecniche usate dall'utente malintenzionato.

Per scaricare il pacchetto (cartella compressa) e analizzare gli eventi che si sono verificati in un dispositivo, seguire questa procedura:

1. Selezionare Raccogli pacchetto di indagine dalla riga delle azioni di risposta nella parte superiore della pagina del dispositivo.

2. Specificare nella casella di testo il motivo per cui si vuole eseguire questa azione. Selezionare Conferma.

3. Download del file ZIP.

In alternativa, usare questa procedura alternativa:

1. Selezionare Raccogli pacchetto di indagine nella sezione azioni di risposta della pagina del dispositivo.

   

2. Aggiungere commenti e quindi selezionare Conferma.

   

3. Selezionare Centro notifiche nella sezione azioni di risposta della pagina del dispositivo.

   

4. Selezionare Pacchetto della raccolta di pacchetti disponibile per scaricare il pacchetto della raccolta.

   

   Nota

   La raccolta del pacchetto di indagine potrebbe non riuscire se il dispositivo di destinazione ha un livello della batteria basso o usa una connessione a consumo.

Contenuto del pacchetto di analisi per i dispositivi Windows

Per i dispositivi Windows, il pacchetto contiene le cartelle descritte nella tabella seguente:

Cartella	Descrizione
Autoruns	Contiene un set di file che rappresentano ognuno il contenuto del Registro di sistema di un punto di ingresso di avvio automatico noto (ASEP) per identificare la persistenza dell'utente malintenzionato nel dispositivo. Se la chiave del Registro di sistema non viene trovata, il file contiene il messaggio seguente: "ERROR: The system was unable to find the specified registry key or value".
Programmi installati	Questo file .CSV contiene l'elenco dei programmi installati che consentono di identificare gli elementi attualmente installati nel dispositivo. Per altre informazioni, vedere Win32_Product classe .
Connessioni di rete	Questa cartella contiene un set di punti dati correlati alle informazioni di connettività che consentono di identificare la connettività agli URL sospetti, l'infrastruttura di comando e controllo dell'utente malintenzionato (C&C), qualsiasi spostamento laterale o connessioni remote. - ActiveNetConnections.txt: visualizza le statistiche del protocollo e le connessioni di rete TCP/IP correnti. Consente di cercare connessioni sospette effettuate da un processo. - Arp.txt: visualizza le tabelle della cache ARP (Address Resolution Protocol) correnti per tutte le interfacce. La cache ARP può rivelare altri host in una rete che sono stati compromessi o sistemi sospetti nella rete che potrebbero essere usati per eseguire un attacco interno. - DnsCache.txt: Visualizza il contenuto della cache del resolver client DNS, che include sia le voci precaricate dal file Hosts locale sia tutti i record di risorsa ottenuti di recente per le query di risoluzione dei nomi effettuate dal computer. Ciò può essere utile per identificare connessioni sospette. - IpConfig.txt: visualizza la configurazione TCP/IP completa per tutti gli adattatori. Gli adattatori possono rappresentare interfacce fisiche, ad esempio adattatori di rete installati, oppure interfacce logiche, ad esempio connessioni dial-up. - FirewallExecutionLog.txt e pfirewall.log Il pfirewall.log file deve esistere in %windir%\system32\logfiles\firewall\pfirewall.log. È incluso nel pacchetto di indagine. Per altre informazioni sulla creazione del file di log del firewall, vedere Configurare Windows Firewall con il log di sicurezza avanzata.
File di prelettura	I file prefetch di Windows sono progettati per velocizzare il processo di avvio dell'applicazione. Può essere usato per tenere traccia di tutti i file usati di recente nel sistema e trovare tracce per le applicazioni che potrebbero essere eliminate, ma che possono comunque essere trovate nell'elenco dei file di prelettura. - Prefetch folder: contiene una copia dei file di prelettura da %SystemRoot%\Prefetch. È consigliabile scaricare un visualizzatore di file di prelettura per visualizzare i file di prelettura. - PrefetchFilesList.txt: contiene l'elenco di tutti i file copiati che possono essere usati per tenere traccia di eventuali errori di copia nella cartella di prelettura.
Processi	Contiene un file .CSV che elenca i processi attualmente in esecuzione nel dispositivo. Questo può essere utile quando si identifica un processo sospetto e il relativo stato.
Attività pianificate	Contiene un file .CSV che elenca le attività pianificate, che può essere usato per identificare le routine eseguite automaticamente in un dispositivo scelto per cercare codice sospetto impostato per l'esecuzione automatica.
Registro eventi di sicurezza	Contiene il registro eventi di sicurezza, che contiene i record dell'attività di accesso o disconnessione o altri eventi correlati alla sicurezza specificati dai criteri di controllo del sistema. Aprire il file del registro eventi usando il Visualizzatore eventi.
Servizi	Contiene un file .CSV che elenca i servizi e i relativi stati.
Sessioni di Windows Server Message Block (SMB)	Elenca l'accesso condiviso a file, stampanti e porte seriali e le comunicazioni varie tra i nodi di una rete. In questo modo è possibile identificare l'esfiltrazione o lo spostamento laterale dei dati. Contiene i file per SMBInboundSessions e SMBOutboundSession. Se non sono presenti sessioni (in ingresso o in uscita), viene visualizzato un file di testo che indica che non sono state trovate sessioni SMB.
Informazioni di sistema	Contiene un SystemInformation.txt file che elenca le informazioni di sistema, ad esempio la versione del sistema operativo e le schede di rete.
Directory temporanee	Contiene un set di file di testo che elenca i file che si trovano in %Temp% per ogni utente del sistema. Ciò consente di tenere traccia dei file sospetti che un utente malintenzionato potrebbe aver eliminato nel sistema. Se il file contiene il messaggio seguente: "Il sistema non riesce a trovare il percorso specificato", significa che non esiste alcuna directory temporanea per l'utente e potrebbe essere dovuto al fatto che l'utente non ha eseguito l'accesso al sistema.
Utenti e gruppi	Fornisce un elenco di file che rappresentano ognuno un gruppo e i relativi membri.
WdSupportLogs	Fornisce il MpCmdRunLog.txt e il MPSupportFiles.cab. Questa cartella viene creata solo in Windows 10 versione 1709 o successiva con aggiornamento cumulativo di febbraio 2020 o versioni più recenti installate: - Win10 1709 (RS3) Build 16299.1717: KB4537816 - Win10 1803 (RS4) Build 17134.1345: KB4537795 - Win10 1809 (RS5) Build 17763.1075: KB4537818 - Win10 1903/1909 (19h1/19h2) Build 18362.693 e 18363.693: KB4535996
CollectionSummaryReport.xls	Questo file è un riepilogo della raccolta di pacchetti di analisi, contiene l'elenco dei punti dati, il comando usato per estrarre i dati, lo stato di esecuzione e il codice di errore in caso di errore. È possibile usare questo report per tenere traccia se il pacchetto include tutti i dati previsti e identificare se si sono verificati errori.

Contenuto del pacchetto di analisi per i dispositivi Mac e Linux

Nella tabella seguente sono elencati i contenuti dei pacchetti di raccolta per i dispositivi Mac e Linux:

Oggetto	macOS	Linux
Applicazioni	Elenco di tutte le applicazioni installate	Non applicabile
Volume del disco	- Quantità di spazio disponibile - Elenco di tutti i volumi di dischi montati - Elenco di tutte le partizioni	- Quantità di spazio disponibile - Elenco di tutti i volumi di dischi montati - Elenco di tutte le partizioni
File	Elenco di tutti i file aperti con i processi corrispondenti che usano questi file	Elenco di tutti i file aperti con i processi corrispondenti che usano questi file
Cronologia	Cronologia della shell	Non applicabile
Moduli del kernel	Tutti i moduli caricati	Non applicabile
Connessioni di rete	- Connessioni attive - Connessioni in ascolto attive - Tabella ARP - Regole del firewall - Configurazione dell'interfaccia - Impostazioni proxy - Impostazioni VPN	- Connessioni attive - Connessioni in ascolto attive - Tabella ARP - Regole del firewall - Elenco IP - Impostazioni proxy
Processi	Elenco di tutti i processi in esecuzione	Elenco di tutti i processi in esecuzione
Servizi e attività pianificate	-Certificati - Profili di configurazione - Informazioni sull'hardware	- Dettagli CPU - Informazioni sull'hardware - Informazioni sul sistema operativo
Informazioni di sicurezza del sistema	- Informazioni sull'integrità EFI (Extensible Firmware Interface) - Stato del firewall - Informazioni sullo strumento di rimozione malware (MRT) - Stato di System Integrity Protection (SIP)	Non applicabile
Utenti e gruppi	- Cronologia degli accessi - Sudoers	- Cronologia degli accessi - Sudoers

Eseguire una scansione antivirus di Microsoft Defender Antivirus sui dispositivi

Come parte del processo di indagine o risposta, è possibile avviare in remoto un'analisi antivirus per identificare e correggere il malware che potrebbe essere presente in un dispositivo compromesso.

Importante

• L'azione di analisi antivirus remota è supportata per macOS e Linux per la versione client 101.98.84 e successive. È anche possibile usare la risposta dinamica per eseguire l'azione. Per altre informazioni sulla risposta in tempo reale, vedere Analizzare le entità nei dispositivi usando la risposta in tempo reale
• Un'analisi antivirus Microsoft Defender può essere eseguita insieme ad altre soluzioni antivirus, indipendentemente dal fatto che Microsoft Defender Antivirus sia o meno la soluzione antivirus attiva. Microsoft Defender antivirus può essere in modalità passiva. Per altre informazioni, vedere compatibilità di Microsoft Defender Antivirus.

Selezionare Esegui analisi antivirus, selezionare il tipo di analisi che si vuole eseguire (rapido o completo) e aggiungere un commento prima di confermare l'analisi.

Il Centro notifiche mostra le informazioni sulla scansione e la cronologia del dispositivo include un nuovo evento, a indicare che è stata inviata un'azione di scansione sul dispositivo. Microsoft Defender gli avvisi antivirus riflettono eventuali rilevamenti visualizzati durante l'analisi.

Nota

Quando si attiva un'analisi tramite l'azione di risposta di Defender per endpoint, si applica il valore ScanAvgCPULoadFactor di Microsoft Defender Antivirus, che limita l'impatto della scansione sulla CPU. Se ScanAvgCPULoadFactor non è configurato, il valore predefinito è un limite del 50% di carico massimo della CPU durante un'analisi. Per altre informazioni, vedere configure-advanced-scan-types-microsoft-defender-antivirus.

Limitare l'esecuzione dell'app

Oltre a contenere un attacco arrestando i processi dannosi, è anche possibile bloccare un dispositivo e impedire l'esecuzione di successivi tentativi di programmi potenzialmente dannosi.

Importante

• Limitare l'esecuzione dell'app è disponibile per i dispositivi in Windows 10 versione 1709 o successiva, Windows 11 e Windows Server 2019 o versioni successive.
• Limitare l'esecuzione dell'app è disponibile se l'organizzazione usa antivirus Microsoft Defender.
• I requisiti per limitare l’esecuzione delle app devono soddisfare i formati dei criteri di integrità del codice di Windows Defender Application Control e i requisiti di firma. Per altre informazioni, vedere Formati e firma dei criteri di integrità del codice.

Per limitare l'esecuzione di un'applicazione, vengono applicati criteri di integrità del codice che consentono l'esecuzione dei file solo se firmati da un certificato rilasciato da Microsoft. La limitazione dell'esecuzione dell'app solo ai file Microsoft firmati può aiutare a impedire a un utente malintenzionato di controllare i dispositivi compromessi ed eseguire ulteriori attività dannose.

Nota

È possibile invertire la restrizione dell'esecuzione delle applicazioni in qualsiasi momento. Il pulsante nella pagina del dispositivo cambia per dire Rimuovi restrizioni dell'app e quindi esegui gli stessi passaggi della limitazione dell'esecuzione dell'app.

Dopo aver selezionato Limita l'esecuzione dell'app nella pagina del dispositivo, digitare un commento e selezionare Conferma. Il Centro operativo mostra le informazioni sulla scansione e la cronologia del dispositivo include un nuovo evento.

Notifica relativa all'utente del dispositivo

Quando un'app è limitata, viene visualizzata la notifica seguente per informare l'utente che l'esecuzione di un'app è limitata:

Nota

La notifica non è disponibile in Windows Server 2016 e Windows Server 2012 R2.

Isolare i dispositivi dalla rete

A seconda della gravità dell'attacco e della sensibilità del dispositivo, è possibile isolare il dispositivo dalla rete. L'isolamento del dispositivo può aiutare a impedire all'utente malintenzionato di controllare il dispositivo compromesso ed eseguire ulteriori attività, ad esempio l'esfiltrazione dei dati e lo spostamento laterale.

Punti importanti da tenere a mente:

• Negli ambienti in cui vengono usati proxy web (tra cui Configurazione automatica del proxy (PAC), WPAD o configurazioni proxy statiche o dirette), i dispositivi potrebbero non essere in grado di riprendersi dall'isolamento di rete. In questi casi usare l'isolamento selettivo. Quando si usa l'isolamento selettivo, le impostazioni di esclusione non sono necessarie per evitare questo scenario.

• L'isolamento dei dispositivi dalla rete è supportato per macOS per la versione client 101.98.84 e successive. È anche possibile usare la risposta dinamica per eseguire l'azione. Per altre informazioni sulla risposta in tempo reale, vedere Analizzare le entità nei dispositivi usando la risposta in tempo reale

• L'isolamento completo è disponibile per i dispositivi che eseguono Windows 11, Windows 10, versione 1703 o successiva, Windows Server 2012 R2 e versioni successive e Azure sistema operativo Stack HCI versione 23H2 e successive.

• L'isolamento dei dispositivi dalla rete è supportato quando Defender è in esecuzione in modalità passiva in tutti i sistemi operativi Windows supportati, macOS e Linux versioni supportate.

• È possibile usare la funzionalità di isolamento del dispositivo in tutti i Microsoft Defender per endpoint supportati in Linux elencati in Requisiti di sistema. Verificare che siano abilitati i prerequisiti seguenti:

  • iptables
  • ip6tables
  • Kernel Linux con CONFIG_NETFILTER, CONFIG_IP_NF_IPTABLES e CONFIG_IP_NF_MATCH_OWNER per le versioni del kernel inferiori alla 5.x e CONFIG_NETFILTER_XT_MATCH_OWNER a partire dal kernel 5.x.

• L'isolamento selettivo è disponibile per i dispositivi in esecuzione in Windows 11, Windows 10 versione 1703 o successiva, Windows Server 2012 R2 e versioni successive, Azure Stack HCI OS, versione 23H2 e successive e macOS. Per altre informazioni sull'isolamento selettivo, vedere Esclusioni di isolamento.

• Quando si isola un dispositivo, sono consentiti solo determinati processi e destinazioni. Pertanto, i dispositivi che si trovano dietro un tunnel VPN completo non saranno in grado di raggiungere il servizio cloud Microsoft Defender per endpoint dopo l'isolamento del dispositivo. È consigliabile usare una VPN con split tunneling per il traffico correlato a Microsoft Defender per endpoint e alla protezione basata sul cloud di Microsoft Defender Antivirus.

• La funzionalità supporta la connessione VPN.

• È necessario che ti sia assegnato almeno il ruolo Active remediation actions. Per altre informazioni, vedere Creare e gestire ruoli.

• È necessario avere accesso al dispositivo in base alle impostazioni del gruppo di dispositivi. Per altre informazioni, vedere Creare e gestire gruppi di dispositivi.

• Le esclusioni, ad esempio per e-mail, applicazioni di messaggistica e altre applicazioni, non sono supportate né per l'isolamento macOS né per quello Linux.

• Un dispositivo isolato viene rimosso dall'isolamento quando un amministratore modifica o aggiunge una nuova iptable regola al dispositivo isolato.

• L'isolamento di un server in esecuzione in Microsoft Hyper-V blocca il traffico di rete verso tutte le macchine virtuali figlio del server.

• L'isolamento del dispositivo viene rimosso automaticamente dopo sette giorni.

La funzionalità di isolamento del dispositivo disconnette il dispositivo compromesso dalla rete mantenendo al tempo stesso la connettività al servizio Defender per endpoint, che continua a monitorare il dispositivo. In Windows 10 versione 1709 o successiva è possibile usare l'isolamento selettivo per un maggiore controllo sul livello di isolamento della rete. È anche possibile scegliere di abilitare la connettività di Outlook e Microsoft Teams.

Nota

È possibile riconnettere il dispositivo alla rete in qualsiasi momento. Il pulsante nella pagina del dispositivo cambia per dire Rilascio dall'isolamento. In questa fase, è possibile eseguire gli stessi passaggi dell'isolamento del dispositivo.

Se un dispositivo è inattivo o offline quando viene inviata un'azione di isolamento, Microsoft Defender per endpoint ritenta l'applicazione dell'isolamento per un massimo di tre giorni. Se il dispositivo non si riconnette in quel momento, l'isolamento non verrà ritentato e gli amministratori dovranno rilasciare nuovamente l'azione di isolamento dopo che il dispositivo diventa attivo.

Dopo aver selezionato Isola dispositivo nella pagina del dispositivo, digitare un commento e selezionare Conferma. Il Centro operativo mostra le informazioni sulla scansione e la cronologia del dispositivo include un nuovo evento.

Nota

La notifica non è disponibile nelle piattaforme non Windows.

Isolare il dispositivo - Interruzione automatica degli attacchi (anteprima)

Quando si sospetta che un dispositivo dell'organizzazione sia compromesso, Microsoft Defender per endpoint può isolare automaticamente il dispositivo come parte dell'interruzione automatica degli attacchi. L'isolamento automatico consente di ridurre il rischio di un ulteriore impatto sull'organizzazione, limitare lo spostamento laterale degli utenti malintenzionati e prevenire effetti come l'esfiltrazione dei dati e la propagazione di ransomware. Quando un dispositivo viene isolato automaticamente:

• Il dispositivo compromesso viene disconnesso dalla rete, riducendo il rischio di un ulteriore impatto sull'organizzazione.
• Il dispositivo mantiene la connettività al servizio Microsoft Defender per endpoint, che continua a monitorare il dispositivo.

Nota

L'isolamento automatico dei dispositivi funziona solo nelle workstation degli utenti finali che vengono caricate e gestite da Microsoft Defender per endpoint.

Per isolare manualmente un dispositivo, vedere Isolare i dispositivi dalla rete.

Visualizzare le azioni di isolamento automatico dei dispositivi

Dopo aver applicato l'isolamento automatico, è possibile esaminare l'azione e il relativo stato nel portale di Defender:

• Aprire l'evento imprevisto pertinente ed esaminare la scheda Attività .

  

• Aprire la pagina del dispositivo interessato e confermare lo stato di isolamento del dispositivo.

• Aprire il Centro notifiche per esaminare la cronologia delle azioni e lo stato corrente.

  

Misure di sicurezza e impatto sull'azienda

Prima di implementare o di intervenire in risposta all'isolamento automatico del dispositivo, tenere presente quanto segue:

• Azione mirata: l'isolamento riguarda dispositivi specifici coinvolti nell'incidente, anziché essere applicato in modo esteso all'intero ambiente.
• Isolamento con limiti di tempo: l'isolamento viene annullato automaticamente dopo un intervallo di tempo definito. È anche possibile revocare prima l'isolamento dopo aver completato l'indagine e la correzione.
• Controllo dei clienti: gli operatori di sicurezza possono esaminare il contesto dell'evento imprevisto ed eseguire azioni di follow-up, incluso il rilascio dell'isolamento quando è sicuro farlo.

Esclusioni di isolamento ed esclusioni automatiche di interruzioni degli attacchi

Esistono due tipi di esclusioni rilevanti per l'isolamento automatico dei dispositivi:

• Esclusioni di isolamento selettivo: definire quali processi e destinazioni di rete rimangono accessibili in un dispositivo isolato. Usare queste funzionalità per mantenere le comunicazioni critiche, ad esempio strumenti di gestione o applicazioni aziendali, mentre il dispositivo è isolato. Le esclusioni di isolamento selettivo sono disponibili per i dispositivi in esecuzione in Windows 11, Windows 10 versione 1703 o successiva, Windows Server 2012 R2 e versioni successive, Azure Stack sistema operativo HCI, versione 23H2 e successive e macOS.
• Esclusioni automatiche dell'interruzione degli attacchi: definire i dispositivi o le entità esclusi completamente dalle azioni di interruzione automatica. Usare questi dispositivi per impedire che i dispositivi critici per l'azienda vengano isolati in primo luogo.

Nota

Quando viene definita una regola di esclusione dell'isolamento, l'interruzione automatica degli attacchi usa l'isolamento selettivo per impostazione predefinita e isola il dispositivo in base alle regole di esclusione dell'isolamento configurate.

Se un dispositivo isolato automaticamente è critico per l'azienda, assegnare priorità alla convalida rapida e al coordinamento degli stakeholder. Rilasciare l'isolamento solo dopo aver confermato che siano state predisposte misure appropriate di contenimento e risanamento. Prendere in considerazione l'uso di esclusioni automatiche di interruzione degli attacchi per ridurre la probabilità di isolare i dispositivi che non possono tollerare interruzioni.

Confermare l'isolamento automatico del dispositivo

1. Aprire l'evento imprevisto pertinente generato dall'interruzione automatica degli attacchi nel portale di Microsoft Defender.
2. Esaminare la scheda Attività o il Centro notifiche per vedere quali azioni di risposta automatizzate sono state applicate.
3. Aprire la pagina del dispositivo interessato e verificare che lo stato del dispositivo mostri che è isolato.
   • Se l'azione di isolamento viene visualizzata come non riuscita o in sospeso, verificare che il dispositivo sia online e possa segnalare a Defender per endpoint. Se disponibile, è possibile riprovare dal pannello delle azioni del dispositivo.
   • Se un dispositivo appare isolato ma non è possibile raccogliere dati di indagine, verificare che il metodo di indagine (ad esempio, la risposta dinamica) sia supportato per il dispositivo e lo scenario. Verificare anche che gli endpoint di servizio necessari siano raggiungibili nella configurazione di rete. Per altre informazioni, vedere Analizzare le entità nei dispositivi usando la risposta in tempo reale e Configurare la connettività dei dispositivi e le impostazioni proxy in Microsoft Defender per endpoint.

Rilasciare un dispositivo dall'isolamento automatico

È possibile rilasciare il dispositivo dal contenimento in qualsiasi momento dopo aver mitigato il rischio e aver completato l'indagine:

1. Selezionare il dispositivo dall'inventario del dispositivo o aprire la pagina del dispositivo.
2. Selezionare Rilascia dall'isolamento dal menu azione. Per altre informazioni sul rilascio dei dispositivi, vedere Isolare i dispositivi dalla rete.

Nota

Se l'isolamento viene rimosso in modo imprevisto, verificare se nell'ambiente si applica una finestra di annullamento con limiti di tempo ed esaminare la cronologia delle azioni per l'evento di rilascio.

Rilasciare forzatamente il dispositivo dall'isolamento

La funzionalità di isolamento del dispositivo è uno strumento prezioso per proteggere i dispositivi dalle minacce esterne. Tuttavia, esistono istanze in cui i dispositivi isolati non rispondono.

È disponibile uno script scaricabile per queste istanze che è possibile eseguire per rilasciare forzatamente i dispositivi dall'isolamento. Lo script è disponibile tramite un collegamento nella pagina del dispositivo nel portale di Microsoft Defender.

Nota

• Gli amministratori con le autorizzazioni per gestire le impostazioni di sicurezza nel Centro sicurezza possono rimuovere forzatamente i dispositivi dall'isolamento.
• Lo script è valido solo per il dispositivo specifico.
• Lo script scade tra tre giorni.

Per rilasciare forzatamente il dispositivo dall'isolamento:

1. Nella pagina del dispositivo selezionare Scarica script per forzare il rilascio di un dispositivo dall'isolamento dal menu azione.

2. Nel riquadro a destra selezionare Scarica script.

Requisiti minimi per lo sblocco forzato del dispositivo

Per rilasciare forzatamente un dispositivo dall'isolamento, il dispositivo deve eseguire Windows. Sono supportate le versioni seguenti:

• Windows 10 21H2 e 22H2 con KB KB5023773.
• Windows 11 versione 21H2, tutte le edizioni con KB5023774.
• Windows 11 versione 22H2, tutte le edizioni con KB5023778.

Notifica per l'utente del dispositivo

Quando un dispositivo viene isolato, viene visualizzata la notifica seguente per informare l'utente che il dispositivo è isolato dalla rete:

Nota

La notifica non è disponibile nelle piattaforme non Windows.

Contenente risorse critiche

Quando un asset critico viene compromesso e usato per diffondere le minacce all'interno di un'organizzazione, l'arresto della distribuzione può essere difficile perché questi asset devono continuare a funzionare per evitare perdite di produttività. Defender for Endpoint affronta questo problema isolando in modo granulare l'asset critico, impedendo la diffusione dell'attacco e garantendo al tempo stesso che l'asset rimanga operativo per la continuità aziendale.

Tramite l'interruzione automatica degli attacchi, Defender per endpoint incrimina un dispositivo dannoso, identifica il ruolo del dispositivo per applicare criteri corrispondenti per contenere automaticamente un asset critico. Il contenimento granulare viene eseguito bloccando solo porte e direzioni di comunicazione specifiche.

È possibile identificare gli asset critici in base al tag dell'asset critico nella pagina del dispositivo o dell'IP. Il contenimento dei dispositivi supporta tipi di asset critici, ad esempio controller di dominio, server DNS e server DHCP.

Isolare i dispositivi dalla rete

Dopo aver identificato un dispositivo non gestito compromesso o potenzialmente compromesso, è possibile che si voglia contenere tale dispositivo dalla rete per evitare che il potenziale attacco si sposti lateralmente attraverso la rete. Quando si contiene un dispositivo, qualsiasi dispositivo di cui è stato eseguito l'onboarding in Microsoft Defender per endpoint blocca le comunicazioni in entrata e in uscita con tale dispositivo. Contenere un dispositivo può aiutare a impedire che i dispositivi adiacenti vengano compromessi mentre l'analista delle operazioni di sicurezza individua, identifica e corregge la minaccia nel dispositivo compromesso.

Nota

Il blocco delle comunicazioni in ingresso e in uscita con un dispositivo "indipendente" è supportato nei dispositivi di Microsoft Defender per endpoint Windows 10 e Windows Server 2019+.

Una volta contenuti i dispositivi, è consigliabile analizzare e correggere la minaccia nei dispositivi contenuti il prima possibile. Dopo la correzione, è necessario rimuovere i dispositivi dal contenimento.

Come isolare un dispositivo

1. Passare alla pagina Inventario dispositivi e selezionare il dispositivo da contenere.

2. Selezionare Contenere il dispositivo dal menu azioni nel riquadro a comparsa del dispositivo.

   

3. Nella finestra popup del dispositivo di contenimento digitare un commento e selezionare Conferma.

   

Importante

La presenza di un numero elevato di dispositivi potrebbe causare problemi di prestazioni nei dispositivi sottoposti a onboarding in Microsoft Defender for Endpoint. Per evitare problemi, Microsoft consiglia di contenere fino a 100 dispositivi in qualsiasi momento.

Contenere un dispositivo dalla pagina del dispositivo

Un dispositivo può essere contenuto anche dalla pagina del dispositivo selezionando Contain device dalla barra delle azioni:

Nota

Possono essere necessari fino a 5 minuti prima che i dettagli relativi a un dispositivo appena isolato raggiungano i dispositivi di cui è stato eseguito l'onboarding in Microsoft Defender per endpoint.

Importante

• Se un dispositivo indipendente modifica il proprio indirizzo IP, tutti i dispositivi di cui è stato caricato Microsoft Defenders for Endpoint lo riconoscono e iniziano a bloccare le comunicazioni con il nuovo indirizzo IP. L'indirizzo IP originale non è più bloccato (potrebbero essere necessari fino a 5 minuti per visualizzare queste modifiche).
• Nei casi in cui l'indirizzo IP del dispositivo isolato è usato da un altro dispositivo sulla rete, durante l'isolamento del dispositivo viene visualizzato un avviso con un collegamento ad advanced hunting (con una query precompilata). Ciò offre visibilità ad altri dispositivi che usano lo stesso INDIRIZZO IP per prendere decisioni consapevoli se si vuole continuare a contenere il dispositivo.
• Nei casi in cui il dispositivo contenuto è un dispositivo di rete, viene visualizzato un avviso con un messaggio che indica che il contenimento può causare problemi di connettività di rete, ad esempio contenente un router che funge da gateway predefinito. A questo punto, è possibile scegliere se contenere o meno il dispositivo.

Dopo aver contenuto un dispositivo, se il comportamento non è quello previsto, verifica che il servizio BFE (Base Filtering Engine) sia abilitato sui dispositivi di cui è stato eseguito l'onboarding in Defender for Endpoint.

Interrompere il contenimento di un dispositivo

È possibile interrompere il contenimento di un dispositivo in qualsiasi momento.

1. Selezionare il dispositivo dall'inventario del dispositivo o aprire la pagina del dispositivo.

2. Selezionare Release from containment (Rilascia da contenimento) dal menu azione. Il rilascio dal contenimento ripristina la connessione del dispositivo alla rete.

Contengono gli indirizzi IP dei dispositivi non ancora scoperti

Importante

Alcune informazioni in questo articolo si riferiscono al prodotto pre-rilasciato, che potrebbe essere modificato in modo sostanziale prima del rilascio commerciale. Microsoft non fornisce alcuna garanzia, esplicita o implicita, in relazione alle informazioni contenute in questo documento.

Defender per endpoint può anche contenere indirizzi IP associati a dispositivi non scoperti o non caricati in Defender per endpoint. La capacità di contenere un indirizzo IP impedisce agli utenti malintenzionati di distribuire attacchi ad altri dispositivi non compromessi. Il contenimento di un indirizzo IP comporta che i dispositivi di cui è stato eseguito l'onboarding in Defender for Endpoint blocchino le comunicazioni in ingresso e in uscita con i dispositivi che utilizzano l'indirizzo IP contenuto

Nota

Il blocco delle comunicazioni in ingresso e in uscita da e verso un dispositivo "contenuto" è supportato nei dispositivi Windows 10, Windows 11, Windows 2012 R2 e Windows 2016 integrati in Microsoft Defender per endpoint.

Il contenimento di un indirizzo IP associato a dispositivi non individuati o a dispositivi non sottoposti a onboarding in Defender for Endpoint avviene automaticamente tramite l'interruzione automatica degli attacchi. Il criterio Contain IP blocca automaticamente un indirizzo IP dannoso quando Defender for Endpoint rileva che l'indirizzo IP è associato a un dispositivo non individuato o a un dispositivo di cui non è stato eseguito l'onboarding.

Un messaggio che indica che l'azione viene applicata viene visualizzato nella pagina evento imprevisto, dispositivo o IP applicabile. Ecco un esempio.

Dopo aver isolato un indirizzo IP, è possibile visualizzare l'azione nella visualizzazione Cronologia di Action Center. È possibile vedere quando si è verificata l'azione e identificare gli indirizzi IP contenuti.

Se un indirizzo IP contenuto fa parte di un evento imprevisto, un indicatore è presente nel grafico dell'evento imprevisto e nella scheda evidenza e risposta dell'evento imprevisto. Ecco un esempio.

È possibile arrestare il contenimento di un indirizzo IP in qualsiasi momento. Per interrompere il contenimento, selezionare l'azione Contieni IP nel Centro operativo. Nel riquadro a comparsa, seleziona Annulla. Questa azione ripristina la connessione dell'indirizzo IP alla rete.

Isolare l'utente dalla rete

Quando un'identità nella rete potrebbe essere compromessa, è necessario impedire a tale identità di accedere alla rete e a endpoint diversi. Defender for Endpoint può contenere un'identità, bloccandone l'accesso e contribuendo a prevenire gli attacchi, in particolare gli attacchi ransomware. Quando un'identità viene contenuta, qualsiasi dispositivo supportato di cui è stato eseguito l'onboarding in Microsoft Defender per endpoint blocca il traffico in ingresso su protocolli specifici correlati agli attacchi (nega gli accessi di rete, RPC, SMB, RDP), termina le sessioni remote in corso e disconnette le connessioni RDP esistenti (terminando la sessione stessa, inclusi tutti i processi correlati), consentendo al contempo il traffico legittimo. Contenere un'identità può contribuire in modo significativo a ridurre l'impatto di un attacco. Quando un'identità è contenuta, gli analisti delle operazioni di sicurezza hanno tempo aggiuntivo per individuare, identificare e correggere la minaccia all'identità compromessa. Una volta contenuto dall'interruzione automatica degli attacchi, un utente viene rimosso automaticamente dal contenimento nei prossimi cinque giorni.

Contiene note importanti per l'utente

• Defender per endpoint impone il contenimento degli utenti a livello di endpoint e non disabilita l'account nel provider di identità. Defender per endpoint blocca l'uso di identità compromesse nei dispositivi protetti e limita l'accesso basato sull'autenticazione, l'accesso al file system e i percorsi di comunicazione di rete. Questa azione applica i controlli a livello granulare, in modo che Microsoft possa indirizzare l'attività correlata agli attacchi e mantenere la normale comunicazione aziendale laddove possibile.
• Quando l'azione contenere l'utente viene attivata dalla schermatura predittiva (anteprima), l'azione di contenimento dell'utente applica restrizioni in modo più selettivo, con particolare attenzione agli utenti identificati come ad alto rischio tramite la logica di stima. L'azione di contenimento dell'utente nella schermatura predittiva impedisce nuove sessioni anziché interrompere quelle esistenti.
• Anche se la funzionalità di schermatura predittiva nel suo complesso è disponibile in anteprima, questa azione è disponibile a livello generale, sia in caso di interruzione dell'attacco che di schermatura predittiva.
• Il blocco delle comunicazioni in ingresso da un utente "contenuto" è supportato nei dispositivi Windows 10 e 11 con Microsoft Defender per endpoint sottoposti a onboarding (versione di Sense 8740 e successive), nei dispositivi Windows Server 2019 e versioni successive e in Windows Server 2012 R2 e 2016 con l'agente moderno.
• Importante: una volta applicata un'azione di Confinamento utente in un controller di dominio, viene avviato un aggiornamento dei Criteri di gruppo nel Criterio Controller di dominio predefinito. La modifica di un oggetto Criteri di gruppo (GPO) avvia la sincronizzazione tra i controller di dominio nel tuo ambiente. Si tratta di un comportamento previsto e, se si monitora il proprio ambiente per rilevare modifiche ai Criteri di gruppo (GPO) di Active Directory, si potrebbe ricevere una notifica di tali modifiche. Annullando l'azione Contieni utente, le modifiche ai Criteri di gruppo vengono ripristinate allo stato precedente, avviando quindi un'altra sincronizzazione dei Criteri di gruppo di Active Directory (AD) nell'ambiente. Altre informazioni sull'unione dei criteri di sicurezza nei controller di dominio.

Come limitare un utente

Attualmente, il contenimento degli utenti è disponibile solo in modo automatico tramite l'interruzione automatica degli attacchi. Quando Microsoft rileva che un utente viene compromesso, viene impostato automaticamente un criterio "Contain User".

Visualizzare l'oggetto contenente le azioni dell'utente

Dopo aver isolato un utente, è possibile visualizzare l'azione in questa vista Cronologia del Centro operativo. Qui è possibile vedere quando si è verificata l'azione e quali utenti dell'organizzazione sono contenuti:

Inoltre, una volta che un'identità viene considerata "contenuta", tale utente verrà bloccato da Defender for Endpoint e non potrà eseguire alcuno spostamento laterale malevolo né alcuna cifratura remota su o verso qualsiasi dispositivo supportato e integrato in Defender for Endpoint. Questi blocchi vengono visualizzati come avvisi che consentono di visualizzare rapidamente i dispositivi a cui l'utente compromesso ha tentato l'accesso e le potenziali tecniche di attacco:

Per visualizzare lo stato corrente dell'azione di contenimento dell'utente e di altre azioni, consulta Monitorare lo stato dell'azione nella scheda Attività (Anteprima).

Annulla azioni utente

Consiglio

Per annullare le azioni utente di contenimento è necessario appartenere al ruolo Amministratore globale^* in Microsoft Entra permissions.

^* Microsoft sostiene fortemente il principio dei privilegi minimi. L'assegnazione degli account solo alle autorizzazioni minime necessarie per eseguire le attività consente di ridurre i rischi per la sicurezza e di rafforzare la protezione complessiva dell'organizzazione. Amministratore globale è un ruolo con privilegi elevati che è consigliabile limitare agli scenari di emergenza o quando non è possibile usare un ruolo diverso.

È possibile rimuovere i blocchi e il contenimento applicati a un utente in qualsiasi momento:

1. Selezionare l'azione Conteri utente nel Centro notifiche. Nel riquadro laterale selezionare Annulla.

2. Selezionare l'utente nel riquadro dell'inventario utenti, nella pagina Eventi imprevisti o nel riquadro lato avviso e selezionare Annulla.

Questa azione ripristina la connessione dell'utente alla rete.

Funzionalità di indagine con Contain User

Dopo aver contenuto un utente, è possibile analizzare la potenziale minaccia visualizzando le azioni bloccate dall'utente compromesso. Nella visualizzazione sequenza temporale del dispositivo è possibile visualizzare informazioni su eventi specifici, tra cui la granularità del protocollo e dell'interfaccia e la tecnica MITRE pertinente associata.

Inoltre, è possibile espandere l'indagine usando la ricerca avanzata. Cercare qualsiasi tipo di azione che inizia con contain nella DeviceEvents tabella. È quindi possibile visualizzare tutti i diversi singoli eventi di blocco in relazione a Contain User nel tenant, approfondire il contesto di ogni blocco ed estrarre le diverse entità e tecniche associate a tali eventi.

Rafforzamento GPO (Anteprima)

Rafforzamento GPO - schermatura predittiva (Anteprima)

Come parte della funzionalità di protezione predittiva (Anteprima), Defender for Endpoint applica automaticamente l'azione di rafforzamento del GPO. La protezione avanzata dell'Oggetto Criteri di gruppo (GPO) impedisce temporaneamente che nuovi criteri GPO vengano applicati ai dispositivi identificati come ad alto rischio. Questa azione consente di evitare potenziali compromissioni limitando le modifiche alle configurazioni critiche.

Per arricchire le azioni di schermatura predittiva, è consigliabile usare il sensore Microsoft Defender per identità nell'ambiente. Per altre informazioni, vedi Arricchire la protezione predittiva con Microsoft Defender per identità.

Dopo aver applicato l'azione, è possibile visualizzare l'impatto dell'azione nel grafico degli eventi imprevisti, tenere traccia delle azioni nel Centro notifiche e analizzare ulteriormente usando la ricerca avanzata. Per altre informazioni, vedere Gestire le azioni di schermatura predittiva.

Irrobustimento di Safeboot (Anteprima)

Irrobustimento di Safeboot - protezione predittiva (Anteprima)

Come parte della funzionalità di schermatura predittiva (anteprima), Defender per endpoint applica automaticamente l'azione di protezione avanzata di Safeboot. La protezione avanzata dell'avvio sicuro consente di proteggere i dispositivi dalla compromissione applicando impostazioni di avvio più rigide nei dispositivi che si prevede siano ad alto rischio di compromissione.

Per arricchire le azioni di schermatura predittiva, è consigliabile usare il sensore Microsoft Defender per identità nell'ambiente. Per altre informazioni, vedere Arricchire la protezione predittiva con Microsoft Defender per identità.

Dopo aver applicato l'azione, è possibile visualizzare l'impatto dell'azione nel grafico degli eventi imprevisti, tenere traccia delle azioni nel Centro notifiche e analizzare ulteriormente usando la ricerca avanzata. Per altre informazioni, vedere Gestire le azioni di schermatura predittiva.

Per visualizzare lo stato corrente dell'azione di protezione avanzata di Safeboot e altre azioni, vedere Tenere traccia dello stato dell'azione nella scheda Attività (anteprima).

Consultare un esperto di minacce

È possibile consultare un esperto di minacce Microsoft per altre informazioni dettagliate su un dispositivo potenzialmente compromesso o già compromesso. Microsoft Threat Experts possono essere coinvolti direttamente dall'interno del portale di Defender per una risposta tempestiva e accurata. Gli esperti forniscono informazioni dettagliate non solo su un dispositivo potenzialmente compromesso, ma anche per comprendere meglio le minacce complesse, le notifiche di attacco mirate che si ottengono o se sono necessarie altre informazioni sugli avvisi o un contesto di intelligence sulle minacce visualizzato nel dashboard del portale.

Per informazioni dettagliate, vedere Configurare e gestire le notifiche di attacco degli endpoint .

Controllare i dettagli e lo stato dell'attività

Il Centro notifiche (https://security.microsoft.com/action-center) fornisce informazioni sulle azioni eseguite in un dispositivo o in un file. È possibile visualizzare i dettagli seguenti:

• Raccolta di pacchetti di analisi
• Analisi antivirus
• Restrizione dell'app
• Isolamento del dispositivo

Vengono visualizzati anche tutti gli altri dettagli correlati, ad esempio la data/ora di invio, l'invio dell'utente e se l'azione ha avuto esito positivo o negativo.

La scheda Attività nella pagina Eventi imprevisti mostra i dettagli e lo stato delle azioni eseguite come parte della risposta agli eventi imprevisti. Per altre informazioni, vedere Tenere traccia dello stato dell'azione nella scheda Attività (anteprima).

Vedere anche

• Intraprendere azioni di risposta su un file
• Azioni di risposta manuali in Piano 1 di Microsoft Defender per endpoint
• Imprecisione del report