Il riquadro dell'entità messaggio di Teams in Microsoft Defender per Office 365

Analogamente al pannello di riepilogo dei messaggi di posta elettronica per i messaggi di posta elettronica, le organizzazioni Microsoft 365 che dispongono di Microsoft Defender per Office 365 Piano 1 o Piano 2 (licenze aggiuntive o incluse in sottoscrizioni come Microsoft 365 E5) hanno il pannello entità del messaggio di Microsoft Teams nel portale Microsoft Defender. Il pannello delle entità dei messaggi di Teams è un riquadro a comparsa con i dettagli che include tutti i dati di Microsoft Teams relativi a chat, canali e chat di gruppo sospetti o malevoli in un unico pannello interattivo.

Questo articolo illustra le informazioni e le azioni nel pannello delle entità messaggio di Teams.

Autorizzazioni e licenze per il pannello di entità del messaggio di Teams

Per usare il pannello delle entità dei messaggi di Teams, è necessario assegnare le autorizzazioni. Sono disponibili le opzioni seguenti:

  • Accesso completo:

  • Accesso di sola lettura:

    • Autorizzazioni di Microsoft Entra: Global Reader o Security Reader.

  • Rimuovere gli utenti dalle chat di Teams: richiede l'appartenenza a uno dei ruoli di Microsoft Entra seguenti: Amministratore* globale, Amministratore della sicurezza o Operatore di sicurezza.

    Importante

    * Microsoft sostiene fortemente il principio dei privilegi minimi. L'assegnazione degli account solo alle autorizzazioni minime necessarie per eseguire le attività consente di ridurre i rischi per la sicurezza e di rafforzare la protezione complessiva dell'organizzazione. Amministratore globale è un ruolo con privilegi elevati che è consigliabile limitare agli scenari di emergenza o quando non è possibile usare un ruolo diverso.

Dove trovare il riquadro dell'entità messaggio di Teams

Non sono presenti collegamenti diretti al pannello dell'entità messaggio di Teams dai livelli principali del portale di Defender. Il pannello dell'entità messaggio di Teams è invece disponibile nelle posizioni seguenti:

  • Dalla pagina Quarantena all'indirizzo https://security.microsoft.com/quarantine: selezionare la scheda Messaggio di Teams> selezionare una voce facendo clic in qualsiasi punto della riga, ad eccezione della casella di controllo. Il riquadro a comparsa dei dettagli visualizzato è il riquadro dell'entità messaggio di Teams.

  • Dalla pagina Invii all'indirizzo https://security.microsoft.com/reportsubmission:

    • Selezionare la scheda Messaggi di Teams> quindi selezionare una voce facendo clic in qualsiasi punto della riga, ad eccezione della casella di controllo.

    • Selezionare la scheda User reported> e quindi selezionare una voce di Teams facendo clic in qualsiasi punto della riga, tranne sulla casella di controllo. Il riquadro a comparsa dei dettagli visualizzato è il riquadro dell'entità messaggio di Teams.

      È possibile filtrare le voci selezionando Filtra>tipo di> messaggioTeams.

  • Nella pagina Ricerca avanzata in https://security.microsoft.com/v2/advanced-huntingselezionare un valore TeamsMessageId (collegamento) dalla tabella MessageEvents nei risultati della query. Il riquadro a comparsa dei dettagli visualizzato è il riquadro dell'entità messaggio di Teams. Ad esempio:

    UrlClickEvents
| where ThreatTypes !="" and Workload =="Teams"
| summarize count() by Url, ThreatTypes, ActionType, Workload
| project Url, ThreatTypes, ActionType, Workload, ClickCount=count_
| top 20 by ClickCount

UrlClickEvents
| limit 100

MessageEvents
| limit 100

Che cosa contiene il pannello dell'entità messaggio di Teams

Le informazioni seguenti sono disponibili nella parte superiore del pannello dell'entità messaggio di Teams:

  • Il titolo del riquadro a comparsa è l'oggetto o i primi 100 caratteri del messaggio di Teams.
  • Esito attuale del messaggio.
  • Numero di collegamenti nel messaggio.
  • Le azioni disponibili nella parte superiore del riquadro a comparsa dipendono dal punto in cui è stato aperto il riquadro dell'entità messaggio di Teams.

Consiglio

Per visualizzare i dettagli di altri messaggi di Teams senza uscire dal pannello dell'entità del messaggio di Teams del messaggio corrente, usa Elemento precedente e Elemento successivo nella parte superiore del riquadro a comparsa.

Le sezioni seguenti nel pannello delle entità dei messaggi di Teams dipendono dalla posizione in cui è stata aperta:

Il resto del pannello dell'entità messaggio di Teams contiene le informazioni seguenti, indipendentemente dalla posizione in cui è stata aperta:

  • Sezione Dettagli messaggio :

    • Minacce
    • Percorso del messaggio
    • Indirizzo del mittente
    • Ora di ricezione
    • Tecnologia di rilevamento
    • ID messaggio di Teams: è possibile usare questo valore come identificatore di un messaggio di Teams in Defender per Office 365.

  • Sezione del mittente:

    • Nome e indirizzo di posta elettronica del mittente
    • Dominio
    • Esterno: il valore Sì indica che il messaggio è stato inviato tra un utente interno e un utente esterno.

  • Una delle sezioni seguenti, a seconda che il messaggio provenisse da una chat o da un canale:

    • Chat: sezione Partecipanti :
      • Tipo di conversazione
      • Nome chat
      • Nome e indirizzo di posta elettronica: contiene il nome e gli indirizzi di posta elettronica di tutti i partecipanti (incluso il mittente). Se ci sono più di 10 partecipanti, si collega anche a un pannello secondario che elenca tutti i partecipanti alla chat al momento della minaccia sospetta.
    • Canale: sezione dettagli canale :
      • Tipo di conversazione
      • Nome conversazione: contiene il nome del canale.
      • Nome e indirizzo di posta elettronica: contiene il nome e l'indirizzo del canale.

  • Sezione URL :

    • Nome e tipo Contiene l'URL del messaggio di Teams.
    • Minaccia

    Se il messaggio ha più di 10 URL, selezionare Visualizza tutti gli URL per visualizzarli tutti.

Screenshot del riquadro dell'entità messaggio di Teams aperto da un messaggio di Teams in quarantena, con le sezioni comuni.

Rimuovi gli utenti dalle chat di Teams nel riquadro dell'entità messaggio di Teams

Usare la procedura seguente per rimuovere gli utenti da una chat di Teams dal pannello delle entità dei messaggi di Teams.

Consiglio

È possibile rimuovere solo gli utenti interni dell'organizzazione da una chat.

Quando si rimuoveno utenti da una chat, il mittente della chat non viene bloccato e gli utenti rimossi possono avviare nuove chat con il mittente.

Nel pannello delle entità di Teams è possibile selezionare Esegui azione nella parte superiore del riquadro a comparsa (spesso in Altre azioni) per rimuovere gli utenti da una chat di Teams.

Eseguire i passaggi seguenti nella procedura guidata Esegui azione :

  1. Nella pagina Scegli azioni di risposta selezionare Rimuovi utente dalla conversazione dalla sezione Azioni a livello di conversazione e quindi selezionare Avanti.

  2. Nella pagina Scegli entità di destinazione configurare le opzioni seguenti:

    • Nome Immettere un nome descrittivo univoco per lo scenario di rimozione dell'utente.
    • Descrizione: immettere i dettagli facoltativi.

    Il resto della pagina contiene una tabella dei dettagli con le informazioni seguenti sugli utenti nella chat:

    • Asset interessato: L'indirizzo di posta elettronica dell'utente.
    • Azione: questo valore è sempre Rimuovi utente dalla conversazione.
    • Entità di destinazione: valore GUID id thread della chat.
    • Scade il

    Per impostazione predefinita, vengono selezionati tutti gli utenti della chat, inclusi gli utenti esterni che non è possibile rimuovere dalla chat. Verificare che gli utenti interni da rimuovere dalla chat siano selezionati.

    Al termine, nella pagina Scegli entità di destinazione selezionare Avanti.

    Screenshot della pagina Scegli entità di destinazione della procedura guidata Esegui azione nel riquadro dell'entità messaggio di Teams del portale di Microsoft Defender.

  3. Nella pagina Rivedi e invia, rivedi le selezioni precedenti.

    Selezionare Indietro per tornare indietro e modificare le selezioni.

    Al termine della pagina Rivedi e invia , selezionare Invia.

La rimozione di utenti da una chat di Teams viene registrata nella scheda Cronologia della pagina centro notifiche all'indirizzo https://security.microsoft.com/action-center/history. È possibile filtrare i risultati in base al tipo di> azioneRimuovere gli utenti dalle conversazioni di Teams e/o dalmessaggio di Teams> entità. Nei dettagli dell'avviso è possibile verificare che gli utenti siano stati o meno rimossi dalla chat di Teams.

Consiglio

La rimozione di utenti dalle chat di Teams non crea un ID indagine o un'indagine automatizzata.

Contenuti correlati

La pagina dell'entità di posta elettronica di Microsoft Defender per Office 365 e come funziona

Collegamenti sicuri in Microsoft Defender per Office 365

Eliminazione automatica a zero ore (ZAP) in Microsoft Teams

  • Last updated on