Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
In Microsoft Defender un'identità rappresenta una persona o un'entità nell'organizzazione. Gli utenti hanno spesso più account presso provider quali Active Directory locale, Microsoft Entra ID, applicazioni SaaS e altri provider di identità. Defender correla questi account in una singola identità.
Ogni identità ha un account principale. Quando più account sono associati a un'identità, Microsoft Defender designa un account come primario e lo usa per i dettagli del profilo a livello di identità.
La pagina Identità consolida i dettagli dell'identità, l'attività osservata, gli avvisi e l'esposizione tra gli account collegati in modo che i team di sicurezza possano valutare rapidamente i rischi, determinare possibili compromissioni, comprendere l'accesso dell'identità nell'ambiente e rispondere con azioni correttive. È possibile aprire la pagina Identità selezionando un'identità da diverse aree del portale di Microsoft Defender, tra cui:
- Inventario delle identità
- Coda di avvisi
- Singole pagine di avviso
- Eventi imprevisti o dispositivi
- Risultati di ricerca avanzati
- Log attività
- Centro operativo
La pagina Identità è organizzata in una sezione superiore e in un set di schede. La sezione superiore mostra il contesto di identità, ad esempio le informazioni e i tag dell'organizzazione, e include il menu Azioni . Usare le schede per esaminare i dettagli di riepilogo, gli avvisi correlati e le visualizzazioni di analisi più approfondite.
- Informazioni sull'organizzazione: qualifica professionale, dipartimento e altre informazioni dell'identità.
- Tag dell'account: tag di Active Directory associati all'identità
Azioni di identità
Nella pagina Panoramica usare il menu Azioni per attivare azioni correttive sull'identità. Le azioni si applicano agli account associati all'identità e dipendono dai connettori abilitati, che si estendono su Active Directory locale, Microsoft Entra ID, sistemi IAM (Identity and Access Management) e app SaaS. Le azioni disponibili possono includere la disabilitazione o l'abilitazione di account, la revoca delle sessioni, l'uso forzato di una modifica della password e il contrassegno dell'utente come compromesso. È anche possibile visualizzare le impostazioni dell'account identità.
Per l'elenco completo delle azioni correttive e dei provider di identità e delle app connesse che le supportano, vedere Azioni correttive in Microsoft Defender per identità.
Scheda Panoramica
La scheda Panoramica fornisce uno snapshot di alto livello che consente agli analisti di valutare rapidamente i rischi e decidere se è necessaria un'indagine più approfondita.
La scheda panoramica include sezioni per:
- Dettagli entità
- Eventi imprevisti e avvisi
- Dispositivi di accesso interattivi associati
Dettagli entità
Il pannello Dettagli entità riepiloga le informazioni chiave sull'identità e i segnali di indagine, tra cui:
- Attributi e informazioni di contatto di Microsoft Entra ID
- Indicazioni sulla protezione e sulle minacce degli utenti
- Timestamp visti per la prima volta e visti per l'ultima volta
- Numero di dispositivi a cui l'identità ha effettuato l'accesso
- Account utente, dispositivi e appartenenze a gruppi collegati
- Avvisi e eventi imprevisti correlati, raggruppati per gravità
Altri dettagli vengono visualizzati a seconda dei servizi e delle funzionalità abilitati. Ad esempio:
- Gli ambienti con Microsoft Defender per identità possono visualizzare:
- Flag di controllo dell'account Active Directory, ad esempio password senza scadenza o stato di blocco dell'account
- Struttura ad albero dell'organizzazione che mostra la posizione dell'identità nella gerarchia di riporto.
- (Anteprima) Gli ambienti con Gestione dei rischi Insider Microsoft Purview possono visualizzare la gravità del rischio Insider di un utente e ottenere informazioni dettagliate sulle attività sospette di un utente nella pagina utente. Selezionare la gravità del rischio insider per visualizzare le informazioni sui rischi relative all'utente.
- (Anteprima) Gli ambienti con Microsoft Sentinel User and Entity Behavior Analytics (UEBA) possono vedere:
- Le prime tre anomalie UEBA dell'utente degli ultimi 30 giorni.
- Collegamenti per avviare query di ricerca avanzate predefinite e visualizzare tutti i comportamenti anomali correlati all'utente nella scheda eventi Microsoft Sentinel.
Scheda Eventi imprevisti e avvisi
Nella scheda Eventi imprevisti e avvisi sono elencati tutti gli avvisi e gli eventi imprevisti che coinvolgono l'identità all'interno della finestra di conservazione supportata. Per una descrizione dettagliata dell'elemento specifico, vedere la pagina eventi imprevisti o la pagina degli avvisi.
Visualizzato nella scheda Organizzazione
La scheda Osservata nell'organizzazione mostra dove e come viene visualizzata l'identità nell'ambiente, consentendo agli analisti di comprendere il raggio di esplosione e il potenziale movimento laterale.
Questa scheda può includere:
| Sezione | Descrizione |
|---|---|
| Account | Tutti gli account associati all'identità nei sistemi di identità, inclusi gli account correlati automaticamente e manualmente. Gli analisti possono collegare manualmente altri account correlati. Un indicatore mostra quale account è l'account primario. |
| Dispositivi | Dispositivi a cui l'account ha effettuato l'accesso. Questo in genere mostra attività recenti, |
| Posizioni | Posizioni osservate per gli accessi |
| Gruppi | Gruppi associati all'identità (se disponibili) |
Account principali
Ogni identità può includere più account correlati di provider di identità diversi. Microsoft Defender identifica un account come account primario e usa i valori del profilo di tale account per i campi a livello di identità, ad esempio il nome visualizzato e la qualifica professionale.
Microsoft Defender usa la logica di correlazione interna per determinare l'account primario.
Nella tabella Account, l'account principale è identificato dall'icona dell'account principale accanto al nome visualizzato dell'account.
Scheda Punteggio di rischio
La scheda Punteggio di rischio riepiloga il livello di rischio dell'identità combinando l'attività di avviso con attributi di identità come le assegnazioni di ruolo e la classificazione di riservatezza. Usare questa scheda per comprendere il punteggio di rischio di un'identità, identificare i fattori che contribuiscono e assegnare priorità all'analisi.
| Sezione | Descrizione |
|---|---|
| Riepilogo dei rischi | Visualizza:
|
| Probabilità di compromissione | Mostra il livello di gravità della probabilità e suddivide gli avvisi per fase della kill chain di MITRE ATT&CK (ad esempio Accesso iniziale, Persistenza ed Escalation dei privilegi) per ciascun set di account. |
| Impatto della compromissione | Mostra il livello di impatto potenziale in base al livello di criticità dell'identità, alla classificazione (ad esempio, amministratore globale) e alle assegnazioni di ruolo di Microsoft Entra Privileged Identity Management (PIM). |
| Tendenza di rischio | Grafico a linee che mostra come il punteggio di rischio è cambiato in un periodo di tempo configurabile, ad esempio 30 giorni. Selezionare Vai alla sequenza temporale per visualizzare la sequenza temporale dell'attività completa. |
| Probabilità di compromissione dei dettagli | Un grafico a barre che mostra la distribuzione degli avvisi nelle categorie MITRE ATT&CK, con una tabella degli avvisi filtrabile. Usare l'interruttore Avvisi attivi solo per concentrarsi sugli avvisi non risolti. Filtra per gruppo di account, stato o fase della kill chain. |
L'azione Conferma sicurezza ora include il rischio di Reset sia per il punteggio di rischio d'identità sia per il livello di rischio Microsoft Entra. Per altre informazioni, vedere Azioni di correzione in Microsoft Defender per identità.
Nota
Il rischio relativo alle identità in Microsoft Defender per identità utilizza una logica di riduzione automatica per consentire al SOC di definire le priorità. Se non vengono rilevati nuovi fattori di rischio, il punteggio di rischio dell’identità diminuisce nel tempo. Microsoft Entra ID mantiene il proprio livello di rischio in modo indipendente e non applica il decadimento. Di conseguenza, è possibile che venga visualizzato un livello di rischio Entra senza un punteggio di rischio di identità corrispondente quando il tempo di aggiornamento del rischio Entra è superiore a 30 giorni.
Scheda Sequenza temporale
La scheda Timeline offre una visuale cronologica e incentrata sull'identità dell'attività e degli avvisi correlati all'identità nel tuo ambiente: Active Directory locale, Microsoft Entra ID, IAM e altri provider di identità, applicazioni SaaS, cloud e endpoint. Aggrega dati provenienti da prodotti integrati di sicurezza Microsoft, come Microsoft Defender per identità, Microsoft Defender per endpoint, Microsoft Defender for Cloud Apps, e Microsoft Sentinel.
La timeline riunisce effettuazioni di accesso, eventi di audit, segnali di rischio, controlli applicati e valutazioni di Accesso Condizionato insieme a tutta l'attività del carico di lavoro, così puoi ricostruire sequenze di attività e correlare eventi durante un'indagine. Poiché l'attività è correlata a livello di identità, la timeline include eventi in cui l'identità è l'attore o il bersaglio. Copre ogni account collegato all'identità, inclusi account manuali e quelli correlati a policy (personalizzati). Gli eventi duplicati vengono rimossi così che la stessa attività non venga mostrata due volte; ad esempio, quando un accesso appare sia nei dati dell'Entra ID che nei dati dell'app cloud, la timeline favorisce la sorgente dell'Entra ID.
Tipi di attività visualizzate nella sequenza temporale
Nella sequenza temporale sono disponibili i tipi di dati seguenti:
- Avvisi interessati da un utente
- Attività di Active Directory e Microsoft Entra ID, inclusi i login di Microsoft Entra e gli eventi di attività (audit) di Microsoft Graph
- Segnali di rischio Microsoft Entra ID e risultati della valutazione dell'Accesso Condizionale, mostrati in linea
- Eventi delle app cloud
- Eventi di accesso al dispositivo
- Modifiche ai servizi di directory
- Attività associate a account personalizzati (manualmente o basati su policy) correlati
Tabelle aggregate nella linea temporale
La timeline attinge da più tabelle di caccia avanzate e le normalizza in un unico schema. Le seguenti tabelle sono utilizzate per costruire la timeline identità:
- AlertInfo
- IdentityLogonEvents
- IdentityQueryEvents
- IdentityDirectoryEvents
- CloudAppEvents
- DeviceLogonEvents
- EntraIdSignInEvents
- GraphApiAuditEvents
Schema della linea temporale
La timeline normalizza gli eventi dalle diverse tabelle sorgente in uno schema unificato. Alcune colonne sono mostrate di default; altri possono essere aggiunti dalle colonne Personalizza. Sono disponibili le colonne seguenti:
Nota
Un campo viene popolato solo se esiste nella tabella sorgente di quell'evento. Se la tabella sorgente non fornisce un valore per una colonna, quella colonna è vuota per l'evento.
| Column | Tipo | Mostrato di default | Filtrabile di default |
|---|---|---|---|
| Time | DateTime | Yes | Yes |
| Tipo | Enum (Evento o Avviso) | Yes | Yes |
| Title | String | Yes | Yes |
| ID account del fornitore di origine | String | Yes | Yes |
| Nome visualizzato dell'account | String | Yes | Yes |
| Fornitore di sorgente | String | Yes | Yes |
| Indirizzo IP | String | Yes | Yes |
| Dispositivo | String | Yes | Yes |
| Rischio/Gravità | String | Yes | Yes |
| Ubicazione | String | Yes | Yes |
| Criteri di accesso condizionale | Dinamico | Yes | No |
| Tabella di origine | String | Yes | No |
| Area di lavoro di Sentinel | String | No | No |
| Obiettivo | Dinamico | No | Non filtrabile |
| ID della sessione | String | No | No |
| Identificatore univoco del token | String | No | No |
| Informazioni aggiuntive | Dinamico | No | Non filtrabile |
| ReportId | String | No | No |
Pannello dettagli dell'evento
Seleziona un evento nella timeline per aprire un pannello laterale con i dettagli dell'evento. Il pannello organizza le informazioni in schede. Per gli eventi di accesso Microsoft Entra ID, il pannello include una scheda Accesso Condizionale che mostra le politiche di Accesso Condizionato valutate durante l'accesso, inclusi il nome di ciascuna politica, i controlli di concessione e il risultato (ad esempio, Successo, Non applicato o Blocco). Esaminare questi risultati aiuta gli analisti a capire quali controlli sono stati applicati durante un'indagine.
Scheda Raccomandazioni per la sicurezza
La scheda Raccomandazioni per la sicurezza visualizza le valutazioni del comportamento correlate all'identità identificate tramite Identity Security Posture Management (ISPM). Queste raccomandazioni evidenziano configurazioni errate o impostazioni rischiose negli account dell'identità e la selezione di una raccomandazione apre i dettagli in Microsoft Secure Score per le linee guida per la correzione.
Scheda Percorsi di attacco
La scheda Percorsi di attacco visualizza i potenziali percorsi di spostamento laterale che coinvolgono l'identità o portano ad essa. Queste informazioni dettagliate consentono ai team di sicurezza di comprendere le relazioni sfruttabili e ridurre la superficie di attacco basata sull'identità.
Scheda Criteri
La scheda Criteri visualizza i criteri di sicurezza correlati all'identità rilevanti per l'identità in base agli attributi, ai ruoli e all'attività osservata.
Questa visualizzazione fornisce il contesto di indagine mostrando quali criteri si applicano all'identità e in che modo influiscono sull'accesso o sulla valutazione dei rischi. I criteri vengono gestiti altrove; questa scheda consente agli analisti di correlare l'imposizione dei criteri con accessi, avvisi e risultati delle indagini.
Scheda Identity Explorer (anteprima)
Nota
La scheda Esplora identità richiede una licenza Microsoft Sentinel Data Lake.
La scheda Esplora identità usa il grafico di ricerca per visualizzare i percorsi di attacco delle identità e gli scenari di esposizione come grafici interattivi. Il grafo è prepopolato con l'identità corrente, così puoi vedere immediatamente come l'identità si relaziona alle altre entità nel tuo ambiente.
Usa Identity Explorer per individuare i percorsi di movimento laterale, i percorsi di escalation dei privilegi e i rischi legati all'accesso alle credenziali associati all'identità.
Ricerca con scenari predefiniti
Selezionare Cerca con scenari predefiniti per eseguire query incentrate sull'identità. Ogni scenario corrisponde a una o più tecniche MITRE ATT&CK e si concentra su un tipo specifico di rischio relativo all'identità.
Nella tabella seguente vengono descritti gli scenari di identità predefiniti disponibili in Esplora identità.
| Scenario | Descrizione | Tecnica MITRE |
|---|---|---|
| Utenti Entra sincronizzati con autorizzazioni sull'applicazione OAuth, che consentono l'autenticazione come Service Principal con privilegi elevati | Applicazioni OAuth che fungono da entità servizio con privilegi che possono accedere alle risorse senza l'interazione dell'utente. | Escalation dei privilegi, Movimento laterale |
| Gli utenti senza privilegi hanno un percorso che porta a utenti/gruppi sensibili (On-Prem/Cloud) | Utenti senza privilegi che dispongono di percorsi di accesso a identità sensibili, indicando un potenziale aumento dei privilegi. | Escalation dei privilegi, Movimento laterale |
| Account di servizio con accesso tramite RDP al dispositivo critico | Account di servizio che possono accedere in remoto ai dispositivi critici tramite RDP, creando rischi di accesso persistenti se compromessi. | Movimento laterale |
| Utenti kerberoastable con un percorso verso una risorsa critica | Utenti vulnerabili al Kerberoasting con percorsi di attacco verso asset critici, che consentono attacchi offline alle password e possono portare all'escalation dei privilegi. | Escalation dei privilegi, accesso alle credenziali |
| Utenti sincronizzati Entra con autorizzazioni dirette per le risorse cloud | Utenti di Microsoft Entra con autorizzazioni ibride su più risorse cloud, che oltrepassano i confini di sicurezza e violano il principio del privilegio minimo. | Movimento laterale |
| Utenti Entra esterni con autorizzazioni dirette per le risorse cloud | Identità esterne con accesso diretto alle risorse cloud, che rappresentano il rischio di terze parti e la possibile esposizione dei dati. | Movimento laterale |
| Utenti senza privilegi con un percorso per il dominio di Active Directory (DCSync) | Utenti senza privilegi con percorsi che consentono la compromissione completa del dominio di Active Directory tramite DCSync. | Escalation dei privilegi, accesso alle credenziali |
| Utenti non privilegiati che possono raggiungere il gruppo Domain Admins (<5 hop) | Utenti senza privilegi che possono raggiungere il gruppo Domain Admins in meno di cinque passaggi. | Escalation dei privilegi, Movimento laterale |
| Utenti ASREPRoastable con un percorso verso una risorsa critica | Account soggetti ad AS-REP roasting con percorsi verso risorse critiche che possono essere compromessi mediante cracking offline delle password. | Escalation dei privilegi, accesso alle credenziali |
| L'account utente senza privilegi esposto in più dispositivi dispone delle autorizzazioni di accesso RDP per gli asset critici (On-Prem/Cloud) | Utenti senza privilegi esposti su più dispositivi che possono accedere in remoto agli asset critici tramite RDP. | Accesso alle credenziali |
Per altre informazioni sul grafico di ricerca e sulle relative funzionalità, vedere Cercare le minacce usando il grafico di ricerca.
scheda eventi Microsoft Sentinel
Quando Microsoft Sentinel è collegato al portale Defender, questa scheda mostra una cronologia di Microsoft Sentinel relativa all'identità. La sequenza temporale include gli avvisi associati all'identità, inclusi gli avvisi visualizzati anche nella scheda Eventi imprevisti e avvisi e gli avvisi creati da Microsoft Sentinel. Mostra anche le ricerche con segnalibro che fanno riferimento all'identità, agli eventi di attività da origini dati esterne e ai comportamenti insoliti identificati da Microsoft Sentinel regole di anomalia.
Approfondimenti
La sezione Insights illustra le informazioni dettagliate sulle entità, ovvero le query di indagine definite dai ricercatori di sicurezza Microsoft per consentire agli analisti di analizzare le identità in modo più efficiente. Queste informazioni dettagliate evidenziano automaticamente i principali segnali di sicurezza, ad esempio l'attività di accesso, le modifiche di gruppo e il comportamento anomalo, e presentano i risultati come tabelle e grafici. Gli approfondimenti si basano su Microsoft Sentinel e sulle origini dati collegate, inclusi i log di Microsoft Entra ID e UEBA di Microsoft Sentinel, se abilitato.
Tipi di approfondimenti
Di seguito sono riportate alcune delle informazioni dettagliate visualizzate:
- Peer utente basati sull'appartenenza a gruppi di sicurezza
- Azioni per account
- Azioni sull'account
- Registri eventi cancellati dall'utente
- Addizioni di gruppo
- Numero di operazioni di office anomalamente elevato
- Accesso alle risorse
- Numero insolitamente elevato di risultati di accesso ad Azure
- Analisi UEBA
- Autorizzazioni di accesso degli utenti alle sottoscrizioni di Azure
- Indicatori di minaccia correlati all'utente
- Approfondimenti sulla watchlist (Anteprima)
- Attività di accesso a Windows
Origini dati per informazioni dettagliate
Le informazioni dettagliate si basano sulle origini dati seguenti:
- Syslog (Linux)
- EventoDiSicurezza (Windows)
- AuditLogs (Microsoft Entra ID)
- SigninLogs (Microsoft Entra ID)
- AttivitàUfficio (Office 365)
- BehaviorAnalytics (Microsoft Sentinel UEBA)
- Heartbeat (agente di monitoraggio Azure)
- CommonSecurityLog (Microsoft Sentinel)
Esplorare le informazioni dettagliate nella ricerca avanzata
Per esplorare ulteriormente eventuali informazioni dettagliate, selezionare il collegamento che accompagna le informazioni dettagliate. Il collegamento apre la pagina Ricerca avanzata con la query alla base dell’informazione dettagliata e i relativi risultati grezzi. È possibile modificare la query o eseguire il drill-down dei risultati per espandere l'indagine.
