Protezione Web in Microsoft Defender per endpoint

Questo articolo illustra come la protezione Web in Microsoft Defender per endpoint consente di proteggere i dispositivi dalle minacce Web e regolare il contenuto indesiderato. Vengono illustrate le funzionalità principali, ovvero la protezione dalle minacce Web, i filtri dei contenuti Web e gli indicatori personalizzati, oltre al supporto del browser, alle regole di precedenza dei criteri, alla risoluzione dei problemi e alle query di ricerca avanzate. Queste informazioni sono destinate agli amministratori della sicurezza e ai professionisti IT che gestiscono Defender per endpoint.

Overview

La protezione Web in Microsoft Defender per endpoint è una funzionalità costituita da protezione dalle minacce Web, filtri dei contenuti Web e indicatori personalizzati. La protezione Web consente di proteggere i dispositivi dalle minacce Web e consente di regolare i contenuti indesiderati. È possibile trovare report di protezione Web nel portale di Microsoft Defender passando a Protezione Web report>.

Protezione dalle minacce sul Web

Le schede che costituiscono la protezione dalle minacce Web sono i rilevamenti di minacce Web nel tempo e ilriepilogo delle minacce Web.

La protezione dalle minacce Web include:

• Visibilità completa sulle minacce Web che interessano l'organizzazione.
• Funzionalità di indagine sulle attività di minaccia correlate al Web tramite avvisi e profili completi di URL e dispositivi che accedono a questi URL.
• Un set completo di funzionalità di sicurezza che tengono traccia delle tendenze di accesso generali ai siti Web dannosi e indesiderati.

Nota

Per i processi diversi da Microsoft Edge e Internet Explorer, gli scenari di protezione Web sfruttano Protezione di rete per l'ispezione e l'imposizione:

• Gli indirizzi IP sono supportati per tutti e tre i protocolli (TCP, HTTP e HTTPS (TLS).)
• Sono supportati solo indirizzi IP singoli (nessun blocco CIDR o intervalli IP) negli indicatori personalizzati.
• Gli URL HTTP (incluso un percorso URL completo) possono essere bloccati per qualsiasi browser o processo
• I nomi di dominio completi HTTPS (FQDN) possono essere bloccati nei browser non Microsoft (gli indicatori che specificano un percorso URL completo possono essere bloccati solo in Microsoft Edge)
• Per bloccare gli FQDN nei browser diversi da Microsoft, è necessario disabilitare QUIC e Client Hello crittografato in tali browser
• Gli FQDN caricati tramite il coalescing delle connessioni HTTP2 possono essere bloccati solo in Microsoft Edge.
• Protezione di rete bloccherà le connessioni su tutte le porte (non solo 80 e 443).

Nei processi non Microsoft Edge, Protezione rete determina il nome di dominio completo per ogni connessione HTTPS esaminando il contenuto dell'handshake TLS che si verifica dopo un handshake TCP/IP. Ciò richiede che la connessione HTTPS usi TCP/IP (non UDP/QUIC) e che il messaggio ClientHello non sia crittografato. Per disabilitare QUIC e Encrypted Client Hello in Google Chrome, vedere QuicAllowed e EncryptedClientHelloEnabled. Per Mozilla Firefox, vedere Disabilitare EncryptedClientHello e network.http.http3.enable.

Potrebbero essere presenti fino a due ore di latenza (in genere meno) tra il momento in cui viene aggiunto un indicatore e quello applicato al client. Per altre informazioni, vedere Protezione dalle minacce Web.

Indicatori personalizzati

I rilevamenti di indicatori personalizzati sono riepilogati nei report sulle minacce Web in Rilevamenti minacce Web nel corso del tempo e riepilogo delle minacce Web.

Gli indicatori personalizzati forniscono:

• Possibilità di creare indicatori di compromissione basati su IP e URL per proteggere l'organizzazione dalle minacce.
• Possibilità di specificare il comportamento Consenti, Blocca o Avvisa.
• Funzionalità investigative sulle attività correlate agli indicatori IP/URL personalizzati e ai dispositivi che accedono a questi URL.

Per altre informazioni, vedere Creare indicatori per INDIRIZZI IP e URL/domini

Filtro contenuti Web

I blocchi di filtro del contenuto Web vengono riepilogati in Attività Web per categoria, Riepilogo filtro contenuto Web e Riepilogo attività Web.

Il filtro contenuto Web offre:

• Possibilità di impedire agli utenti di accedere ai siti Web in categorie bloccate, indipendentemente dal fatto che si trovino in locale o fuori.
• Supporto per l'applicazione di criteri diversi a gruppi di dispositivi diversi definiti nelle impostazioni del controllo degli accessi in base al ruolo di Microsoft Defender per endpoint.

  Nota

  La creazione di gruppi di dispositivi è supportata in Defender for Endpoint nel Piano 1 e nel Piano 2.

• Creazione di report Web nella stessa posizione centrale, con visibilità sui blocchi e sull'utilizzo del Web.

Per altre informazioni, vedere Filtro contenuto Web.

Ordine di precedenza

Quando più criteri di protezione Web possono essere applicati allo stesso URL o alla stessa richiesta IP, l'ordine di precedenza determina quali criteri prevale. La protezione Web è costituita dai componenti seguenti, elencati in ordine di precedenza. Ognuno di questi componenti viene applicato dal client SmartScreen in Microsoft Edge e dal client di Protezione rete in tutti gli altri browser e processi.

• Indicatori personalizzati (IP/URL, criteri di Microsoft Defender for Cloud Apps)

  • Consenti
  • Avvertire
  • Blocca

• Minacce Web (malware, phishing)

  • SmartScreen Intel

• Filtro dei contenuti Web (WCF)

Nota

Microsoft Defender for Cloud Apps attualmente genera indicatori solo per gli URL bloccati.

L'ordine di precedenza descrive la sequenza in cui i componenti di protezione Web (indicatori personalizzati, protezione dalle minacce Web e filtro del contenuto Web) valutano un URL o un INDIRIZZO IP. Ad esempio, se si dispone di un criterio di filtro del contenuto Web, è possibile creare esclusioni tramite indicatori IP/URL personalizzati. Gli indicatori personalizzati di compromissione (IoC) sono più alti nell'ordine di precedenza rispetto ai blocchi WCF.

Analogamente, durante un conflitto tra gli indicatori, consente di avere sempre la precedenza sui blocchi (logica di override). Ciò significa che un indicatore allow ha la precedenza su qualsiasi indicatore di blocco presente.

La tabella seguente riepiloga alcune configurazioni comuni che presentano conflitti all'interno dello stack di protezione Web. Identifica anche le determinazioni risultanti in base all'ordine di precedenza per i componenti di protezione Web.

Criteri indicatori personalizzati	Criteri di minaccia Web	Criterio WCF	criterio di Defender for Cloud Apps	Risultato
Consenti	Blocca	Blocca	Blocca	Consenti (eccezione alla protezione Web)
Consenti	Consenti	Blocca	Blocca	Consenti (eccezione WCF)
Avvertire	Blocca	Blocca	Blocca	Avvisa (sovrascrivi)

Gli indirizzi IP interni non sono supportati da indicatori personalizzati. Per un criterio di avviso, se viene aggirato dall'utente finale, il sito viene sbloccato per impostazione predefinita per 24 ore per quell'utente. Questo intervallo di tempo può essere modificato dal Amministrazione e viene passato dal servizio cloud SmartScreen. La possibilità di ignorare un avviso può anche essere disabilitata in Microsoft Edge usando CSP per i blocchi di minacce Web (malware/phishing). Per altre informazioni, vedere Impostazioni smartscreen di Microsoft Edge.

Protezione dei browser

In tutti gli scenari di protezione Web, SmartScreen e Protezione di rete possono essere usati insieme per garantire la protezione nei browser e nei processi Microsoft e non Microsoft. SmartScreen è integrato direttamente in Microsoft Edge, mentre Protezione rete monitora il traffico in browser e processi non Microsoft. Il diagramma seguente illustra come SmartScreen e Protezione di rete interagiscono tra browser e processi Microsoft e non Microsoft. Questo diagramma dei due client che lavorano insieme per fornire più coperture browser/app è accurato per tutte le funzionalità di Protezione Web (Indicatori, Minacce Web, Filtro contenuti).

Risolvere i problemi relativi ai blocchi di endpoint

Le risposte dal cloud SmartScreen sono standardizzate. Strumenti come Telerik Fiddler possono essere usati per esaminare la risposta dal servizio cloud, che consente di determinare l'origine del blocco.

Quando il servizio cloud SmartScreen risponde con una risposta consenti, blocca o avvisa, una categoria di risposta e un contesto del server vengono inoltrati di nuovo al client. In Microsoft Edge, la categoria di risposta è ciò che viene usato per determinare la pagina di blocco appropriata da visualizzare (dannoso, phishing, criteri dell'organizzazione).

La tabella seguente illustra le risposte e le relative funzionalità correlate.

Categoria di risposta	Funzione responsabile del blocco
CustomPolicy	WCF
CustomBlockList	Indicatori personalizzati
CasbPolicy	Defender per le app cloud
Dannosa	Minacce Web
Phishing	Minacce Web

Ricerca avanzata per la protezione Web

Le query Kusto nella ricerca avanzata possono essere usate per riepilogare i blocchi di protezione Web nell'organizzazione per un massimo di 30 giorni. Queste query usano le categorie di risposta della tabella Risolvere i problemi dei blocchi degli endpoint per distinguere tra le varie origini di blocchi e riepilogarle in modo semplice. Ad esempio, per trovare blocchi WCF (Web Content Filtering) rilevati da SmartScreen in Microsoft Edge, eseguire la query seguente. Questa query filtra DeviceEvents in base alle azioni di avviso URL di SmartScreen ed estrae campi chiave, come il nome del dispositivo, il timestamp, l'URL e la categoria dell'esperienza, per identificare i blocchi dovuti al filtro dei contenuti Web.

DeviceEvents
| where ActionType == "SmartScreenUrlWarning"
| extend ParsedFields=parse_json(AdditionalFields)
| project DeviceName, ActionType, Timestamp, RemoteUrl, InitiatingProcessFileName, Experience=tostring(ParsedFields.Experience)
| where Experience == "CustomPolicy"

Per identificare i blocchi WCF applicati da Protezione di rete nei browser non Microsoft, usare la query seguente. In questa query, ActionType è ExploitGuardNetworkProtectionBlocked e il campo del filtro è ResponseCategory anziché Experience.

DeviceEvents
| where ActionType == "ExploitGuardNetworkProtectionBlocked"
| extend ParsedFields=parse_json(AdditionalFields)
| project DeviceName, ActionType, Timestamp, RemoteUrl, InitiatingProcessFileName, ResponseCategory=tostring(ParsedFields.ResponseCategory)
| where ResponseCategory == "CustomPolicy"

Per elencare i blocchi dovuti ad altre funzionalità, ad esempio indicatori personalizzati, vedere la tabella ResponseCategory. La tabella ResponseCategory descrive ogni funzionalità e la rispettiva categoria di risposta. Queste query possono essere modificate per cercare i dati di telemetria correlati a computer specifici nell'organizzazione. ActionType illustrato in ogni query mostra solo le connessioni bloccate da una funzionalità di protezione Web e non tutto il traffico di rete.

Cosa vedono gli utenti quando la protezione Web blocca il contenuto

Se un utente visita una pagina Web che presenta un rischio di malware, phishing o altre minacce Web, Microsoft Edge visualizza una pagina di blocco simile all'immagine seguente:

A partire da Microsoft Edge 124, viene visualizzata la pagina di blocco seguente per tutti i blocchi di categoria Filtro contenuto Web.

In ogni caso, non vengono visualizzate pagine bloccate nei browser non Microsoft e l'utente visualizza invece una pagina "Connessione sicura non riuscita" insieme a una notifica di tipo avviso popup di Windows. A seconda del criterio responsabile del blocco, l'utente visualizza un messaggio diverso nella notifica popup. Ad esempio, il filtro contenuto Web visualizza il messaggio "Questo contenuto è bloccato".

Segnala falsi positivi

Per segnalare un falso positivo per i siti ritenuti pericolosi da SmartScreen, usare il collegamento visualizzato nella pagina di blocco Microsoft Edge.

Per il filtro contenuto Web (WCF), è possibile eseguire l'override di un blocco usando un indicatore Consenti e, facoltativamente, contestare la categoria di un dominio. Passare alla scheda Domini dei rapporti WCF. Vedi i puntini di sospensione accanto a ciascun dominio. Passa il mouse su questi puntini e seleziona Categoria della controversia. Si apre un riquadro a comparsa. Impostare la priorità dell'evento imprevisto e specificare altri dettagli, ad esempio la categoria suggerita. Per altre informazioni su come attivare WCF e su come contestare le categorie, vedere Filtro contenuto Web.

Per ulteriori informazioni su come inviare falsi positivi/negativi, vedi Gestire i falsi positivi/negativi in Microsoft Defender per endpoint.

Articoli correlati

Articolo	Descrizione
Protezione dalle minacce sul Web	Impedire l'accesso a siti di phishing, vettori di malware, siti di exploit, siti non attendibili o a bassa reputazione e siti bloccati.
Filtro contenuti Web	Tenere traccia e regolare l'accesso ai siti Web in base alle categorie di contenuto.