Analizzare gli asset
Microsoft Defender per identità fornisce agli utenti di Microsoft Defender XDR l'evidenza di quando utenti, computer e dispositivi hanno eseguito attività sospette o mostrano segni di compromissione.
Questo articolo fornisce consigli su come determinare i rischi per l'organizzazione, decidere come correggere e determinare il modo migliore per evitare attacchi simili in futuro.
Passaggi di indagine per utenti sospetti
Nota
Per informazioni su come visualizzare i profili utente in Microsoft Defender XDR, vedere la documentazione di Microsoft Defender XDR.
Se un avviso o un evento imprevisto indica che un utente potrebbe essere sospetto o compromesso, controllare e analizzare il profilo utente per i dettagli e le attività seguenti:
Identità utente
- L'utente è un utente sensibile (ad esempio amministratore o watchlist e così via)?
- Qual è il loro ruolo all'interno dell'organizzazione?
- Sono significativi nell'albero dell'organizzazione?
Analizzare le attività sospette, ad esempio:
- L'utente ha altri avvisi aperti in Defender per identità o in altri strumenti di sicurezza, ad esempio Microsoft Defender per endpoint, Microsoft Defender per il cloud e/o app Microsoft Defender per il cloud?
- L'utente non è riuscito ad accedere?
- Quali risorse hanno eseguito l'accesso all'utente?
- L'utente ha eseguito l'accesso a risorse di valore elevato?
- L'utente doveva accedere alle risorse a cui ha eseguito l'accesso?
- A quali dispositivi l'utente ha eseguito l'accesso?
- L'utente doveva accedere a tali dispositivi?
- Esiste un percorso di spostamento laterale (LMP) tra l'utente e un utente sensibile?
Usare le risposte a queste domande per determinare se l'account viene compromesso o se le attività sospette implicano azioni dannose.
Trovare le informazioni sull'identità nelle aree seguenti di Microsoft Defender XDR:
- Pagine dei dettagli delle identità individuali
- Pagina dei dettagli di singoli avvisi o eventi imprevisti
- Pagine dei dettagli del dispositivo
- Query di ricerca avanzate
- Pagina Centro notifiche
Ad esempio, l'immagine seguente mostra i dettagli in una pagina dei dettagli dell'identità:
Dettagli identità
Quando si esamina un'identità specifica, verranno visualizzati i dettagli seguenti in una pagina dei dettagli dell'identità:
| Area della pagina Dettagli identità | Descrizione |
|---|---|
| Scheda Panoramica | Dati di identità generali, ad esempio il livello di rischio di identità di Microsoft Entra, il numero di dispositivi a cui l'utente ha eseguito l'accesso, quando l'utente è stato visualizzato per la prima e l'ultima volta, gli account dell'utente e informazioni più importanti. Usare la scheda Panoramica per visualizzare anche grafici per eventi imprevisti e avvisi, il punteggio di priorità di indagine, un albero dell'organizzazione, i tag di entità e una sequenza temporale delle attività con punteggio. |
| Eventi imprevisti e avvisi | Elenca gli eventi imprevisti attivi e gli avvisi che coinvolgono l'utente negli ultimi 180 giorni, inclusi dettagli come la gravità dell'avviso e l'ora di generazione dell'avviso. |
| Osservato nell'organizzazione | Include le aree secondarie seguenti: - Dispositivi: dispositivi a cui l'identità ha eseguito l'accesso, inclusa la maggior parte e meno usata negli ultimi 180 giorni. - Località: le posizioni osservate dall'identità negli ultimi 30 giorni. - Gruppi: tutti i gruppi locali osservati per l'identità. - Percorsi di spostamento laterale: tutti i percorsi di spostamento laterale profilati dall'ambiente locale. |
| Sequenza temporale delle identità | La sequenza temporale rappresenta le attività e gli avvisi osservati dall'identità di un utente, unificando le voci di identità tra Microsoft Defender per identità, app Microsoft Defender per il cloud e Microsoft Defender per endpoint. Usare la sequenza temporale per concentrarsi sulle attività eseguite o eseguite da un utente in intervalli di tempo specifici. Selezionare il valore predefinito di 30 giorni per modificare l'intervallo di tempo in un altro valore predefinito o in un intervallo personalizzato. |
| Azioni correttive | Rispondere agli utenti compromessi disabilitando gli account o reimpostando la password. Dopo aver eseguito azioni sugli utenti, è possibile controllare i dettagli delle attività nel Centro notifiche di Microsoft Defender XDR **. |
Per altre informazioni, vedere Analizzare gli utenti nella documentazione di Microsoft Defender XDR.
Passaggi di indagine per i gruppi sospetti
Se un avviso o un'indagine sugli eventi imprevisti è correlato a un gruppo di Active Directory, controllare l'entità di gruppo per i dettagli e le attività seguenti:
Entità gruppo
- Il gruppo è un gruppo sensibile, ad esempio Domain Amministrazione s?
- Il gruppo include utenti sensibili?
Analizzare le attività sospette, ad esempio:
- Il gruppo ha altri avvisi correlati aperti in Defender per identità o in altri strumenti di sicurezza, ad esempio Microsoft Defender per endpoint, Microsoft Defender per il cloud e/o app Microsoft Defender per il cloud?
- Quali utenti sono stati aggiunti o rimossi di recente dal gruppo?
- Il gruppo è stato sottoposto di recente a query e da chi?
Usare le risposte a queste domande per facilitare l'indagine.
Nel riquadro dei dettagli di un'entità di gruppo selezionare Vai alla ricerca o Apri sequenza temporale per analizzare. È anche possibile trovare informazioni sui gruppi nelle aree di Microsoft Defender XDR seguenti:
- Pagina dei dettagli di singoli avvisi o eventi imprevisti
- Pagine dei dettagli del dispositivo o dell'utente
- Query di ricerca avanzate
Ad esempio, l'immagine seguente mostra la sequenza temporale dell'attività Server Operators , inclusi gli avvisi e le attività correlati degli ultimi 180 giorni:
Passaggi di indagine per i dispositivi sospetti
Gli avvisi di Microsoft Defender XDR elencano tutti i dispositivi e gli utenti connessi a ogni attività sospetta. Selezionare un dispositivo per visualizzare la pagina dei dettagli del dispositivo e quindi esaminare i dettagli e le attività seguenti:
Che cosa è successo intorno al momento dell'attività sospetta?
- Quale utente ha eseguito l'accesso al dispositivo?
- L'utente accede normalmente o accede al dispositivo di origine o di destinazione?
- Quali risorse sono state accessibili? Da quali utenti? Se si accede alle risorse, si tratta di risorse ad alto valore?
- L'utente doveva accedere a tali risorse?
- L'utente che ha eseguito l'accesso al dispositivo ha eseguito altre attività sospette?
Attività più sospette da analizzare:
- Altri avvisi sono stati aperti nello stesso momento di questo avviso in Defender per identità o in altri strumenti di sicurezza, ad esempio Microsoft Defender per endpoint, Microsoft Defender per il cloud e/o app Microsoft Defender per il cloud?
- Sono stati rilevati accessi non riusciti?
- Sono stati distribuiti o installati nuovi programmi?
Usare le risposte a queste domande per determinare se il dispositivo viene compromesso o se le attività sospette implicano azioni dannose.
Ad esempio, l'immagine seguente mostra una pagina dei dettagli del dispositivo:
Per altre informazioni, vedere Analizzare i dispositivi nella documentazione di Microsoft Defender XDR.
Passaggi successivi
- Analizzare i percorsi di spostamento laterale (LMP)
- Analizzare gli utenti in Microsoft Defender XDR
- Analizzare gli eventi imprevisti in Microsoft Defender XDR
Suggerimento
Provare la guida interattiva: Analizzare e rispondere agli attacchi con Microsoft Defender per identità