Considerazioni e domande frequenti sulla distribuzione della formazione del Simulatore di attacchi

• Si applica a:

  ✅ Microsoft Defender for Office 365 Plan 2

Consiglio

Sapevi che puoi provare le funzionalità in Microsoft Defender XDR gratuitamente per Office 365 Piano 2? Usa la versione di valutazione Defender per Office 365 di 90 giorni nell'hub delle versioni di valutazione del portale di Microsoft Defender. Informazioni dettagliate su chi può iscriversi e condizioni di provaqui.

Il training di simulazione degli attacchi consente alle organizzazioni di Microsoft 365 E5 o Microsoft Defender per Office 365 Piano 2 di misurare e gestire i rischi di social engineering consentendo la creazione e la gestione di simulazioni di phishing basate su payload di phishing reali e innocui. La formazione iper-mirata, fornita in collaborazione con terranova security, consente di migliorare le conoscenze e modificare il comportamento dei dipendenti.

Per altre informazioni sull'introduzione al training di simulazione degli attacchi, vedere Introduzione all'uso del training di simulazione degli attacchi.

Anche se l'esperienza di creazione e pianificazione della simulazione è progettata per essere a flusso libero e senza problemi, le simulazioni su scala aziendale richiedono una pianificazione. Questo articolo illustra le problematiche specifiche riscontrate dai clienti durante l'esecuzione di simulazioni nei propri ambienti.

Problemi con le esperienze degli utenti finali

URL di simulazione di phishing bloccati da Google Safe Browsing

Un servizio di reputazione URL potrebbe identificare uno o più URL usati dal training di simulazione degli attacchi come non sicuri. Google Safe Browsing in Google Chrome blocca alcuni degli URL di phishing simulati con un messaggio di anticipo del sito ingannevole . Anche se collaboriamo con molti fornitori di reputazione URL per consentire sempre gli URL di simulazione, non sempre abbiamo una copertura completa.

Questo problema non influisce su Microsoft Edge.

Come parte della fase di pianificazione, assicurarsi di controllare la disponibilità dell'URL nei Web browser supportati prima di usare l'URL in una campagna di phishing. Se gli URL sono bloccati da Google Safe Browsing, seguire queste indicazioni di Google per consentire l'accesso agli URL.

Per l'elenco degli URL attualmente usati dal training di simulazione degli attacchi, vedere Introduzione all'uso del training di simulazione degli attacchi.

URL di amministrazione e simulazione di phishing bloccati da soluzioni proxy di rete e driver di filtro

Sia gli URL di simulazione di phishing che gli URL di amministratore potrebbero essere bloccati o eliminati dai dispositivi o dai filtri di sicurezza intermedi. Ad esempio:

• Firewall
• Soluzioni web application firewall (WAF)
• Driver di filtro di terze parti (ad esempio, filtri in modalità kernel)

Anche se a questo livello sono stati bloccati pochi clienti, questo problema si verifica. Se si verificano problemi, provare a configurare gli URL seguenti per ignorare l'analisi da parte dei dispositivi di sicurezza o dei filtri in base alle esigenze:

• URL di phishing simulati come descritto in Introduzione all'uso del training di simulazione degli attacchi.
• https://security.microsoft.com/attacksimulator
• https://security.microsoft.com/attacksimulationreport
• https://security.microsoft.com/trainingassignments

Messaggi di simulazione non recapitati a tutti gli utenti di destinazione

È possibile che il numero di utenti che effettivamente ricevono i messaggi di posta elettronica di simulazione sia inferiore al numero di utenti interessati dalla simulazione. I tipi di utenti seguenti vengono esclusi come parte della convalida di destinazione:

• Indirizzi di posta elettronica del destinatario non validi.
• Utenti guest.
• Utenti che non sono più attivi in Microsoft Entra ID.

Se si usano gruppi di distribuzione o gruppi di sicurezza abilitati alla posta elettronica per gli utenti, è possibile usare il cmdlet Get-DistributionGroupMember in PowerShell di Exchange Online per visualizzare e convalidare i membri del gruppo di distribuzione.

Training assegnati in modo imprevisto o non assegnati agli utenti

La soglia di training nelle campagne di training impedisce agli utenti di avere gli stessi training assegnati durante un intervallo specifico (90 giorni per impostazione predefinita). Per altre informazioni, vedere Impostare la soglia di training.

Se è stata creata una simulazione o un'automazione di simulazione con il valore di assegnazione del training Assegna training per me (scelta consigliata), viene assegnato il training in base ai risultati precedenti della simulazione e del training di un utente. Per assegnare il training in base a criteri specifici, selezionare Selezionare personalmente i corsi di formazione e i moduli.

Cosa accade quando un utente risponde o inoltra un messaggio di simulazione?

Se un utente risponde o inoltra un messaggio di simulazione a un'altra cassetta postale, il messaggio viene trattato come un normale messaggio di posta elettronica (inclusa la detonazione da collegamenti sicuri o allegati sicuri). Il report Simulazione mostra se il messaggio di simulazione è stato risposto o inoltrato. Ogni URL nel messaggio di posta elettronica di simulazione è associato a un singolo utente, quindi le detonazioni dei collegamenti sicuri vengono identificate come clic dall'utente.

Se si usa una cassetta postale secOps (Dedicated Security Operations), assicurarsi di identificarla come secOps nei criteri di recapito avanzati in modo che i messaggi vengano recapitati senza filtri.

Come è possibile sfalsare il recapito dei messaggi di simulazione?

• Le simulazioni offrono il recapito in grado di riconoscere l'area.
• Le automazioni di simulazione hanno una pagina di pianificazione della simulazione in cui è possibile distribuire in modo casuale e configurare altri dettagli di recapito.

In entrambi i casi, è importante usare payload diversi per evitare discussioni e identificazione tra gli utenti.

Perché le immagini nei messaggi di simulazione vengono bloccate da Outlook?

Per impostazione predefinita, Outlook è configurato per bloccare i download automatici di immagini nei messaggi da Internet. Anche se è possibile configurare Outlook per scaricare automaticamente le immagini, non è consigliabile a causa delle implicazioni di sicurezza (potenziale download automatico di codice dannoso o bug Web, noto anche come web beacon o pixel di rilevamento).

Vengono visualizzati clic o eventi di compromissione da parte di utenti che insistono di non aver fatto clic sul collegamento nel messaggio di simulazione

I servizi di filtro di terze parti potrebbero essere da biasimare. Per tutti i sistemi di filtro non Microsoft usati, è necessario consentire o escludere gli elementi seguenti:

• Tutti gli URL di training della simulazione degli attacchi e i domini corrispondenti. Attualmente, non vengono inviati messaggi di simulazione da un elenco statico di indirizzi IP.
• Qualsiasi altro dominio usato nei payload personalizzati.

È possibile aggiungere il tag Esterno o i suggerimenti per la sicurezza ai messaggi di simulazione?

I payload personalizzati hanno la possibilità di aggiungere il tag External ai messaggi. Per altre informazioni, vedere Passaggio 5 in Creare payload.

Non sono disponibili opzioni predefinite per aggiungere suggerimenti di sicurezza ai payload, ma è possibile usare i metodi seguenti nella pagina Configura payload della configurazione guidata del payload::

• Usare un messaggio di posta elettronica esistente che contiene il suggerimento di sicurezza come modello. Salvare il messaggio come HTML e copiare le informazioni.

• Usare il codice di esempio seguente per il suggerimento per la sicurezza del primo contatto:

  <table class="MsoNormalTable" border="0" cellspacing="0" cellpadding="0" align="left" width="100%" style="width:100.0%;mso-cellspacing:0in;mso-yfti-tbllook:1184;
  mso-table-lspace:2.25pt;mso-table-rspace:2.25pt;mso-table-anchor-vertical:
  paragraph;mso-table-anchor-horizontal:column;mso-table-left:left;mso-padding-alt:
  0in 0in 0in 0in">
  <tbody><tr style="mso-yfti-irow:0;mso-yfti-firstrow:yes;mso-yfti-lastrow:yes">
    <td style="background:#A6A6A6;padding:5.25pt 1.5pt 5.25pt 1.5pt"></td>
    <td width="100%" style="width:100.0%;background:#EAEAEA;padding:5.25pt 3.75pt 5.25pt 11.25pt" cellpadding="7px 5px 7px 15px" color="#212121">
    <div>
    <p class="MsoNormal" style="mso-element:frame;mso-element-frame-hspace:2.25pt;
    mso-element-wrap:around;mso-element-anchor-vertical:paragraph;mso-element-anchor-horizontal:
    column;mso-height-rule:exactly"><span style="font-size:9.0pt;font-family:
    wf_segoe-ui_normal;mso-fareast-font-family:&quot;Times New Roman&quot;;mso-bidi-font-family:
    Aptos;color:#212121;mso-ligatures:none">You don't often get email from
    this sender <a rel="noopener" href="https://aka.ms/LearnAboutSenderIdentification" tabindex="-1" target="_blank">Learn why
    this is important</a></span></p>
    </div>
    </td>
    <td width="75" style="width:56.25pt;background:#EAEAEA;padding:5.25pt 3.75pt 5.25pt 3.75pt;
    align:left" cellpadding="7px 5px 7px 5px" color="#212121"></td>
  </tr>
  </tbody></table>
  <div>
  <p class="MsoNormal"><span lang="DA" style="font-size:12.0pt;font-family:&quot;Georgia&quot;,serif;
  color:black;mso-ansi-language:DA">Insert payload content here,</span></p>
  </div>
  

È possibile assegnare moduli di training senza inserire gli utenti in una simulazione?

Sì. Per altre informazioni, vedere Training delle campagne in Formazione sulla simulazione degli attacchi.

Come si trovano i messaggi di simulazione che non sono stati recapitati?

La scheda Utenti per la simulazione è filtrabile in base al recapito del messaggio di simulazione: non è stato possibile recapitare.

Se si è proprietari del dominio del mittente, il report di simulazione non recapitato viene restituito in un report di mancato recapito (noto anche come rapporto di mancato recapito o messaggio di mancato recapito). Per altre informazioni sui codici nel rapporto di mancato recapito, vedere Report di mancato recapito tramite posta elettronica ed errori SMTP in Exchange Online.

Problemi relativi alla creazione di report di training della simulazione degli attacchi

Consiglio

La registrazione dei dati di simulazione inizia pochi minuti dopo l'avvio della simulazione e dopo che gli utenti iniziano a interagire con i messaggi di simulazione. L'ora di inizio non è fissa. Gli eventi vengono ancora acquisiti al termine della simulazione.

Differenze nei dati delle attività utente rispetto ai report di training della simulazione degli attacchi e ad altri report

Per la creazione di report sulle attività utente correlate ai messaggi di simulazione, è consigliabile usare i report di simulazione predefiniti. I report provenienti da altre origini,ad esempio ricerca avanzata, potrebbero non essere accurati.

Gli URL di simulazione non sono inclusi nei collegamenti sicuri e vengono considerati collegamenti non inclusi nel wrapping. Non tutti i clic sui collegamenti non sottoposti a wrapping passano attraverso i collegamenti sicuri, quindi l'attività utente correlata ai messaggi di simulazione potrebbe non essere registrata nei log UrlClickEvents.

I report di training della simulazione degli attacchi non contengono dettagli sull'attività

Il training di simulazione degli attacchi include informazioni dettagliate complete e interattive che consentono di essere informati sull'avanzamento della preparazione delle minacce dei dipendenti. Se i report di training della simulazione degli attacchi non sono popolati con dati, verificare che la registrazione di controllo sia attivata nell'organizzazione (è attivata per impostazione predefinita).

La registrazione di controllo è necessaria per il training della simulazione degli attacchi, in modo che gli eventi possano essere acquisiti, registrati e letti. La disattivazione della registrazione di controllo ha le conseguenze seguenti per il training della simulazione degli attacchi:

• I dati di creazione di report non sono disponibili in tutti i report. I report vengono visualizzati vuoti.
• Le assegnazioni di training vengono bloccate perché i dati non sono disponibili.

Per verificare che la registrazione di controllo sia attivata o per attivarla, vedere Attivare o disattivare il controllo.

Consiglio

I dettagli dell'attività vuoti sono causati anche dall'assenza di licenze E5 assegnate agli utenti. Verificare che almeno una licenza E5 sia assegnata a un utente attivo per assicurarsi che gli eventi di segnalazione vengano acquisiti e registrati.

Le azioni utente e le azioni di amministratore vengono controllate. Nell'API Attività di gestione cercare i valori AuditLogRecordType 85, 88 e 218.

Alcune informazioni di controllo potrebbero essere disponibili anche nella tabella CloudAppEvents in Microsoft Defender XDR Advanced Hunting tramite il portale di Defender o l'API di streaming.

Segnalazione di problemi con le cassette postali locali

Il training della simulazione degli attacchi supporta le cassette postali locali, ma con funzionalità di creazione di report ridotte:

• I dati che indicano se gli utenti leggono, inoltrano o eliminano il messaggio di posta elettronica di simulazione non sono disponibili per le cassette postali locali.
• Il numero di utenti che hanno segnalato il messaggio di posta elettronica di simulazione non è disponibile per le cassette postali locali.

Consiglio

Oltre ai messaggi di simulazione inviati tramite la pipeline di trasporto rispetto all'inserimento diretto in Microsoft 365, le esperienze di training, automazione e gestione del contenuto sono le stesse per le cassette postali locali.

I report di simulazione non vengono aggiornati immediatamente

I report di simulazione dettagliati non vengono aggiornati immediatamente dopo l'avvio di una campagna. Non preoccuparti; questo comportamento è previsto.

Ogni campagna di simulazione ha un ciclo di vita. Quando viene creata per la prima volta, la simulazione è nello stato Pianificato . All'avvio della simulazione, passa allo stato In corso . Al termine, la simulazione passa allo stato Completato .

Mentre una simulazione è nello stato Pianificato , i report di simulazione sono per lo più vuoti. Durante questa fase, il motore di simulazione sta risolvendo gli indirizzi di posta elettronica degli utenti di destinazione, espandendo i gruppi di distribuzione, rimuovendo gli utenti guest dall'elenco e così via:

Una volta che la simulazione entra nella fase In corso , le informazioni iniziano a entrare nel report:

L'aggiornamento dei singoli report di simulazione dopo la transizione allo stato In corso può richiedere fino a 30 minuti. I dati del report continuano a essere compilati fino a quando la simulazione non raggiunge lo stato Completato . Gli aggiornamenti per la creazione di report vengono eseguiti a intervalli seguenti:

• Ogni 10 minuti per i primi 60 minuti.
• Ogni 15 minuti dopo 60 minuti fino a due giorni.
• Ogni 30 minuti dopo due giorni fino a sette giorni.
• Ogni 60 minuti dopo sette giorni.

I widget nella pagina Panoramica offrono uno snapshot rapido del comportamento di sicurezza basato sulla simulazione dell'organizzazione nel corso del tempo. Poiché questi widget riflettono il comportamento di sicurezza complessivo e il percorso nel tempo, vengono aggiornati dopo il completamento di ogni campagna di simulazione.

Nota

È possibile usare l'opzione Esporta nelle varie pagine di report per estrarre i dati.

I messaggi segnalati come phishing dagli utenti non vengono visualizzati nei report di simulazione

I report di simulazione nel training del simulatore di attacco forniscono dettagli sull'attività dell'utente. Ad esempio:

• Utenti che hanno fatto clic sul collegamento nel messaggio.
• Utenti che hanno rinunciato alle credenziali.
• Utenti che hanno segnalato il messaggio come phishing.

Se i messaggi segnalati dagli utenti come phishing non vengono acquisiti nei report di simulazione del training della simulazione degli attacchi, potrebbe essere presente una regola del flusso di posta di Exchange (nota anche come regola di trasporto) che blocca il recapito dei messaggi segnalati a Microsoft. Verificare che le regole del flusso di posta non blocchino il recapito agli indirizzi di posta elettronica seguenti:

• junk@office365.microsoft.com
• abuse@messaging.microsoft.com
• phish@office365.microsoft.com
• not_junk@office365.microsoft.com

Agli utenti viene assegnato il training dopo aver segnalato un messaggio simulato

Se agli utenti viene assegnato il training dopo aver segnalato un messaggio di simulazione di phishing, verificare se l'organizzazione usa una cassetta postale di report per ricevere i messaggi segnalati dall'utente all'indirizzo https://security.microsoft.com/securitysettings/userSubmission. La cassetta postale di report deve essere configurata per ignorare molti controlli di sicurezza, come descritto nei prerequisiti della cassetta postale di report.

Se non si configurano le esclusioni necessarie per la cassetta postale di report personalizzata, i messaggi potrebbero essere esplosi da collegamenti sicuri o protezione degli allegati sicuri, che causa assegnazioni di training.

Altre domande frequenti

D: Qual è il metodo consigliato per indirizzare gli utenti alle campagne di simulazione?

R: Sono disponibili diverse opzioni per gli utenti di destinazione:

• Includere tutti gli utenti (attualmente disponibili per le organizzazioni con meno di 40.000 utenti).
• Scegliere utenti specifici.
• Selezionare gli utenti da un file CSV (un indirizzo di posta elettronica per riga).
• Destinazione basata sul gruppo Microsoft Entra.

Scopriamo che le campagne in cui gli utenti di destinazione sono identificati dai gruppi di Microsoft Entra sono più facili da gestire.

D: Quanti moduli di training sono disponibili?

Attualmente, nella pagina Moduli di training sono presenti 94 training predefiniti.

D: Sono previsti limiti per la destinazione degli utenti durante l'importazione da un csv o l'aggiunta di utenti?

R: Il limite per l'importazione di destinatari da un file CSV o l'aggiunta di singoli destinatari a una simulazione è 40.000.

Un destinatario può essere un singolo utente o un gruppo. Un gruppo può contenere centinaia o migliaia di destinatari. Il limite massimo per il numero di utenti è 400.000, ma è consigliabile un limite di 200.000 utenti per ogni simulazione per ottenere prestazioni ottimali.

La gestione di un file CSV di grandi dimensioni o l'aggiunta di molti singoli destinatari può risultare complessa. L'uso dei gruppi di Microsoft Entra semplifica la gestione complessiva della simulazione.

Consiglio

Attualmente, le cassette postali condivise non sono supportate nel training della simulazione degli attacchi. Le simulazioni devono essere destinate a cassette postali o gruppi di utenti contenenti cassette postali utente.

I gruppi di distribuzione vengono espansi e l'elenco di utenti viene generato al momento del salvataggio dell'automazione della simulazione o della simulazione.

D: I limiti per il numero di simulazioni che possono essere distribuite durante un intervallo di tempo specifico?

R. No, anche se si potrebbe riscontrare una lentezza se si avviano molte simulazioni parallele. Le frequenze dei messaggi (incluse le frequenze dei messaggi di simulazione) sono vincolate dai limiti di frequenza dei messaggi del servizio.

D: Microsoft fornisce payload in altre lingue?

R: Attualmente sono disponibili oltre 40 payload localizzati in oltre 29 lingue: inglese, spagnolo, tedesco, giapponese, francese, portoghese, olandese, italiano, svedese, cinese (semplificato), norvegese Bokmål, polacco, russo, finlandese, coreano, turco, ungherese, ebraico, tailandese, arabo, vietnamita, slovacco, greco, indonesiano, rumeno, sloveno, croato, catalano e altro. È stato stabilito che la traduzione diretta o automatica dei payload esistenti in altre lingue causa imprecisioni e riduzione della rilevanza.

Detto questo, è possibile creare il proprio payload nel linguaggio preferito usando l'esperienza di creazione del payload personalizzata. È anche consigliabile raccogliere i payload esistenti usati per indirizzare gli utenti in un'area geografica specifica. In altre parole, consentire agli utenti malintenzionati di localizzare il contenuto.

D: Quanti video di training sono disponibili?

R: Attualmente sono disponibili più di 85 moduli di training nella raccolta contenuto.

D: Come è possibile passare ad altre lingue per il portale di amministrazione e l'esperienza di formazione?

R: In Microsoft 365 o Office 365 la configurazione della lingua è specifica e centralizzata per ogni account utente. Per istruzioni su come modificare l'impostazione della lingua, vedere Modificare la lingua di visualizzazione e il fuso orario in Microsoft 365 for Business.

La sincronizzazione della modifica della configurazione potrebbe richiedere fino a 30 minuti per tutti i servizi.

D: È possibile attivare una simulazione di test per comprendere l'aspetto prima di avviare una campagna completa?

R: Sì, puoi! Nell'ultima pagina Rivedi simulazione della nuova simulazione guidata selezionare Invia un test. Questa opzione invia un messaggio di simulazione di phishing di esempio all'utente attualmente connesso. Dopo aver convalidato il messaggio di phishing nella posta in arrivo, è possibile inviare la simulazione.

Consiglio

È anche possibile usare Invia un test dalla pagina Payload . Tuttavia, se si usa il payload selezionato in una simulazione, il messaggio di test viene visualizzato nei report di aggregazione. È possibile esportare i risultati o usare l'API Microsoft Graph per filtrare i risultati.

D: È possibile scegliere come destinazione gli utenti che appartengono a un tenant diverso nell'ambito della stessa campagna di simulazione?

R. No. Attualmente, le simulazioni tra tenant non sono supportate. Verificare che tutti gli utenti di destinazione si trovino nello stesso tenant. Tutti gli utenti cross-tenant o guest sono esclusi dalla campagna di simulazione.

D: Come funziona il recapito in grado di riconoscere l'area?

R: Il recapito in grado di riconoscere l'area usa l'attributo del fuso orario della cassetta postale dell'utente di destinazione per determinare quando recapitare il messaggio. Potrebbe esserci una differenza di ora di ± un'ora nel recapito della posta elettronica in base al fuso orario dell'utente. Si consideri, ad esempio, lo scenario seguente:

• Alle 7:00 nel fuso orario del Pacifico (UTC-8), un amministratore crea e pianifica una campagna per iniziare alle 9:00 dello stesso giorno.
• UserA si trova nel fuso orario orientale (UTC-5).
• UserB si trova anche nel fuso orario del Pacifico.

Alle 9:00 dello stesso giorno, il messaggio di simulazione viene inviato a UserB. Con il recapito in grado di riconoscere l'area, il messaggio non viene inviato all'UtenteA nello stesso giorno, perché le 9:00 ora del Pacifico sono le 12:00 ora orientale. Il messaggio viene invece inviato a UserA alle 9:00 ora orientale del giorno seguente.

Quindi, all'esecuzione iniziale di una campagna con il recapito con riconoscimento dell'area abilitato, potrebbe sembrare che il messaggio di simulazione sia stato inviato solo agli utenti in un fuso orario specifico. Tuttavia, man mano che il tempo passa e un numero maggiore di utenti entra nell'ambito, gli utenti di destinazione aumentano.

Se non si usa il recapito in grado di riconoscere l'area, la campagna viene avviata in base al fuso orario dell'utente che lo sta configurando.

D: Microsoft raccoglie o archivia le informazioni immesse dagli utenti nella pagina di accesso Credential Harvest, usata nella tecnica di simulazione Credential Harvest?

R. No. Tutte le informazioni immesse nella pagina di accesso alla raccolta delle credenziali vengono ignorate in modo invisibile all'utente. Viene registrato solo il "clic" per acquisire l'evento di compromissione. Microsoft non raccoglie, registra o archivia i dettagli immessi dall'utente in questo passaggio.

D: Per quanto tempo vengono conservate le informazioni di simulazione? È possibile eliminare i dati di simulazione?

R: Vedere la tabella seguente:

Tipo di dati	Conservazione
Metadati di simulazione	18 mesi a meno che la simulazione non venga eliminata prima da un amministratore.
Automazione della simulazione	18 mesi a meno che l'automazione della simulazione non venga eliminata prima da un amministratore.
Automazione del payload	18 mesi a meno che l'automazione del payload non venga eliminata prima da un amministratore.
Attività utente nei metadati di simulazione	18 mesi a meno che la simulazione non venga eliminata prima da un amministratore.
Payload globali	Salvato in modo permanente, a meno che non venga eliminato da Microsoft.
Payload del tenant	18 mesi a meno che il payload archiviato non venga eliminato prima da un amministratore.
Attività utente nei metadati di training	18 mesi a meno che la simulazione non venga eliminata prima da un amministratore.
Payload consigliati MDO	6 mesi.
Notifiche dell'utente finale globale	Salvato in modo permanente, a meno che non venga eliminato da Microsoft.
Notifiche dell'utente finale del tenant	18 mesi a meno che la notifica non venga eliminata prima da un amministratore.
Pagine di accesso globali	Salvato in modo permanente, a meno che non venga eliminato da Microsoft.
Pagine di accesso del tenant	18 mesi a meno che la pagina di accesso non venga eliminata prima da un amministratore.
Pagine di destinazione globali	Persistente a meno che non venga eliminato da Microsoft
Pagine di destinazione del tenant	18 mesi a meno che la pagina di destinazione non venga eliminata prima da un amministratore.

Se l'intero tenant viene eliminato, i dati di training della simulazione degli attacchi vengono eliminati dopo 90 giorni.

Per altre informazioni, vedere Informazioni sulla conservazione dei dati per Microsoft Defender per Office 365.

D: È possibile creare, visualizzare e gestire simulazioni usando un'API?

R: Sì. Gli scenari di lettura e scrittura sono supportati usando l'API Microsoft Graph:

• AttackSimulation.Read.All:
  • Leggere i metadati di simulazione
  • Leggere l'attività utente
  • Leggere i dati di training
  • Leggere i trasgressori ripetuti
• AttackSimulation.ReadWrite.All: eseguire simulazioni usando i payload, le notifiche e le pagine di accesso specificati.

Per altre informazioni, vedere Panoramica dell'API Elenca simulazioni e report per il training della simulazione degli attacchi come parte di Microsoft Defender per Office 365.

D: È possibile eliminare payload personalizzati?

R: Sì. Prima di tutto si archivia il payload, quindi si elimina il payload archiviato. Per istruzioni, vedere Payload di archiviazione.

D: È possibile modificare i payload predefiniti?

R: Non direttamente. È possibile copiare il payload e quindi modificare la copia. Per istruzioni, vedere Copiare payload.