Panoramica del Centro notifiche in Microsoft Defender XDR

  • Si applica a: Microsoft Defender XDR

Important

A partire dal 1° settembre 2026, l'indagine automatizzata e la risposta (AIR) non verranno più eseguite come esperienza di indagine separata o saranno disponibili per l'attivazione manuale negli avvisi e nelle correzioni Microsoft Defender per endpoint.

  • Le funzionalità di rilevamento e risposta AIR per Defender per endpoint sono già incluse nello stack di protezione antivirus predefinito di Microsoft Defender per endpoint ed eseguito automaticamente. Per le indagini su richiesta, eseguire un'analisi antivirus completa in base alle esigenze.
  • Questa modifica si applica solo ai Microsoft Defender per endpoint. Le funzionalità AIR per Defender per Office 365 rimangono disponibili.

Il Centro operativo offre un'unica interfaccia per le attività relative a incidenti e avvisi, quali:

  • Approvazione delle azioni di correzione in sospeso.
  • Visualizzazione di un log di controllo delle azioni correttive già approvate.
  • revisione delle azioni di correzione completate.

Poiché il Centro operativo offre una panoramica completa di Microsoft Defender XDR in azione, il team delle operazioni di sicurezza può operare in modo più efficace ed efficiente.

Come funziona il Centro notifiche unificato

Il Centro azioni unificato (Centro azioni) elenca in un unico punto le azioni correttive in sospeso e completate per i tuoi dispositivi, i contenuti di posta elettronica e collaborazione e le identità.

Centro notifiche unificato nel portale di Microsoft Defender.

Il Centro azioni unificato riunisce le azioni di correzione di Microsoft Defender per endpoint e Microsoft Defender per Office 365. Definisce un linguaggio comune per tutte le azioni di correzione e offre un'esperienza di indagine unificata. Il team addetto alle operazioni di sicurezza può accedere a un'esperienza "singolo pannello di controllo" per visualizzare e gestire le azioni correttive.

È possibile usare il Centro notifiche unificato se si dispone delle autorizzazioni appropriate e di una o più delle sottoscrizioni seguenti:

Consiglio

Per altre informazioni, vedere Microsoft Defender XDR prerequisiti.

È possibile passare all'elenco delle azioni in attesa di approvazione in due modi diversi:

Utilizzare il Centro operativo

Usa i seguenti passaggi per aprire e collaborare con il centro d'azione:

  1. Passare a Microsoft Defender portale e accedere.

  2. Nel riquadro di spostamento in Azioni e invii scegliere Centro notifiche. Oppure, nella scheda Indagine e risposta automatizzate nella home page, selezionare Visualizza azioni in sospeso.

  3. Usa le schede Azioni in sospeso e Cronologia. La tabella seguente riepiloga ciò che verrà visualizzato in ogni scheda:

    Scheda Descrizione
    In sospeso Visualizza un elenco di azioni che richiedono attenzione. È possibile approvare o rifiutare le azioni una alla volta o selezionare più azioni se hanno lo stesso tipo di azione, ad esempio il file di quarantena.

    Assicurarsi di esaminare e approvare (o rifiutare) le azioni in sospeso il prima possibile in modo che le indagini automatizzate possano essere completate in modo tempestivo.
    Cronologia Funge da log di controllo per le azioni eseguite, ad esempio:
    • Azioni correttive eseguite a seguito di indagini automatizzate
    • Azioni di correzione eseguite su messaggi di posta elettronica, file o URL sospetti o dannosi
    • Azioni correttive approvate dal team delle operazioni di sicurezza
    • Comandi eseguiti e azioni di correzione applicate durante le sessioni di Live Response
    • Azioni di correzione eseguite dalla protezione antivirus


    Fornisce un modo per annullare determinate azioni (vedere Annullare le azioni completate).

  4. È possibile personalizzare, ordinare, filtrare ed esportare i dati nel Centro notifiche.

    Screenshot che mostra le funzionalità di ordinamento, filtro e personalizzazione del Centro notifiche.

    • Selezionare un'intestazione di colonna per ordinare gli elementi in ordine crescente o decrescente.
    • Usare il filtro periodo di tempo per visualizzare i dati relativi al giorno, alla settimana, ai 30 giorni o ai 6 mesi precedenti.
    • Scegliere le colonne da visualizzare.
    • Specificare il numero di elementi da includere in ogni pagina di dati.
    • Usare i filtri per visualizzare solo gli elementi che si desidera visualizzare.
    • Selezionare Esporta per esportare i risultati in un file di .csv.

Azioni registrate nel Centro operativo

Tutte le azioni, indipendentemente dal fatto che siano in attesa di approvazione o che siano già state eseguite, vengono rilevate nel centro notifiche. Le azioni disponibili includono quanto segue:

  • Raccogli il pacchetto di investigazione
  • Isolare il dispositivo (questa azione può essere annullata)
  • Eseguire l'offboarding di un computer
  • Esecuzione del codice di rilascio
  • Rilascio dalla quarantena
  • Richiedi un campione
  • Limitare l'esecuzione del codice (questa azione può essere annullata)
  • Analisi dei virus
  • Blocca e metti in quarantena
  • Isolare i dispositivi dalla rete

Oltre alle azioni di correzione eseguite automaticamente a seguito di indagini automatizzate, il Centro notifiche tiene traccia anche delle azioni intraprese dal team di sicurezza per affrontare le minacce rilevate e delle azioni eseguite in seguito alle funzionalità di protezione dalle minacce in Microsoft Defender XDR. Per altre informazioni sulle azioni di correzione automatiche e manuali, vedere Azioni di correzione.

Visualizza dettagli della sorgente dell'azione

Il Centro notifiche include una colonna origine azione che indica da dove proviene ogni azione. La tabella seguente descrive i possibili valori di origine dell'azione:

Valore dell'origine dell'azione Descrizione
Azione manuale del dispositivo Un'azione manuale eseguita su un dispositivo. Gli esempi includono l'isolamento del dispositivo o la quarantena dei file.
Azione di posta elettronica manuale Un'azione manuale eseguita sulla posta elettronica. Un esempio include l'eliminazione temporanea dei messaggi di posta elettronica o la correzione di un messaggio di posta elettronica.
Azione automatica del dispositivo Azione automatizzata eseguita su un'entità, ad esempio un file o un processo. Esempi di azioni automatizzate includono l'invio di un file in quarantena, l'arresto di un processo e la rimozione di una chiave del Registro di sistema. (Vedere Azioni correttive in Microsoft Defender per endpoint.)
Azione di posta elettronica automatizzata Azione automatizzata eseguita sul contenuto della posta elettronica, ad esempio un messaggio di posta elettronica, un allegato o un URL. Esempi di azioni automatizzate includono l'eliminazione temporanea dei messaggi di posta elettronica, il blocco degli URL e la disattivazione dell'inoltro della posta esterna. Vedere Azioni di correzione in Microsoft Defender per Office 365.
Azione di ricerca avanzata Azioni eseguite su dispositivi o posta elettronica con ricerca avanzata.
Azione Explorer Azioni eseguite sul contenuto della posta elettronica con Explorer.
Azione manuale di risposta in tempo reale Azioni eseguite su un dispositivo con risposta in tempo reale. Gli esempi includono l'eliminazione di un file, l'arresto di un processo e la rimozione di un'attività pianificata.
Azione di risposta in tempo reale Azioni eseguite su un dispositivo con API di Microsoft Defender per endpoint. Esempi di azioni includono l'isolamento di un dispositivo, l'esecuzione di un'analisi antivirus e il recupero di informazioni su un file.

Autorizzazioni necessarie per le attività del Centro notifiche

Per eseguire attività, ad esempio l'approvazione o il rifiuto di azioni in sospeso nel Centro notifiche, sono necessarie autorizzazioni specifiche. Sono disponibili le opzioni seguenti:

  • Microsoft Entra autorizzazioni: l'appartenenza ai ruoli di Microsoft Entra seguenti concede agli utenti le autorizzazioni e le autorizzazioni necessarie per altre funzionalità in Microsoft 365:

    • Correzione di Microsoft Defender per endpoint (dispositivi): appartenenza al ruolo Amministratore della sicurezza.

    • Correzione di Microsoft Defender per Office 365 (contenuto di Office e posta elettronica):

      • Appartenenza al ruolo Amministratore della sicurezza .

      e

  • Autorizzazioni per posta elettronica e collaborazione nel portale Microsoft Defender:

    • Correzione di Microsoft Defender per Office 365 (contenuto di Office e posta elettronica):

      • Appartenenza al gruppo di ruoli Amministratore della sicurezza

      e

  • Controllo degli accessi in base al ruolo unificato (URBAC) di Microsoft Defender XDR

    • Correzione di Microsoft Defender per endpoint: Operazioni di sicurezza \ Dati di sicurezza \ Risposta (gestisci).
    • Correzione in Microsoft Defender per Office 365 (contenuto di Office e posta elettronica, se le autorizzazioni di Posta elettronica e collaborazione>Defender per Office 365 sono Attive. Si applica solo al portale di Defender, non a PowerShell):
      • Accesso in lettura per la posta elettronica e le intestazioni dei messaggi di Teams: Operazioni di sicurezza/Dati non elaborati (posta elettronica & collaborazione)/Metadati di posta elettronica e collaborazione (lettura).
      • Correggere la posta elettronica dannosa: operazioni di sicurezza/Dati di sicurezza/Email & azioni avanzate di collaborazione (gestione).Remediate malicious email: Security operations/Security data/Email & collaboration advanced actions (manage).

    Consiglio

    L'appartenenza al gruppo di ruoli Amministratore della sicurezza Email & le autorizzazioni di collaborazione non concedono l'accesso al Centro notifiche o alle funzionalità di Microsoft Defender XDR. Per questi, è necessario essere membro del ruolo Amministratore della sicurezza in Autorizzazioni di Microsoft Entra.

  • Autorizzazioni per Defender for Endpoint:

    • Correzione di Microsoft Defender per endpoint (dispositivi): appartenenza al ruolo Azioni correttive attive.

Passaggio successivo

Per ulteriori informazioni, consulta Visualizza e gestisci le azioni di bonifica.

Consiglio

Vuoi saperne di più? Interagisci con la community di Microsoft Security nella nostra Tech Community: Microsoft Defender XDR Tech Community.

  • Last updated on