Distribuire i servizi di sicurezza Microsoft per operazioni di sicurezza unificate

Il portale Microsoft Defender riunisce Microsoft Defender XDR, Microsoft Sentinel e altri servizi per operazioni di sicurezza unificate. Usa i servizi del portale Defender per avere una visione completa della tua postura di sicurezza. Puoi rilevare, indagare e rispondere alle minacce in tutta la tua organizzazione.

Gestione dell'esposizione in Microsoft Security e Microsoft Threat Intelligence sono disponibili in qualsiasi ambiente che soddisfi i prerequisiti per gli utenti configurati con le autorizzazioni necessarie.

Prerequisiti

• Prima di distribuire servizi Microsoft Defender per operazioni di sicurezza unificate, assicurati di avere un piano pronto. Il tuo piano dovrebbe includere un design dello spazio di lavoro e una comprensione dei costi e della fatturazione di Microsoft Sentinel.

  Per altre informazioni, vedere Linee guida per la pianificazione delle operazioni di sicurezza unificata nel portale di Microsoft Defender.

Distribuisci i servizi di Microsoft Defender XDR

Microsoft Defender XDR unifica la risposta agli incidenti integrando le funzionalità chiave tra i servizi. Questi servizi includono Microsoft Defender per endpoint, Defender per Office 365, Defender for Cloud Apps e Defender for Identity. Microsoft Defender XDR aggiunge potenti funzionalità accessibili tramite il portale Microsoft Defender.

1. Microsoft Defender XDR si attiva automaticamente quando i clienti idonei con le autorizzazioni necessarie visitano Microsoft Defender portale. Per altre informazioni, vedere Attivare Microsoft Defender XDR.

2. Continua distribuendo i servizi Microsoft Defender XDR. È consigliabile usare l'ordine seguente:

   1. Distribuire Microsoft Defender per identità.

   2. Distribuire Microsoft Defender per Office 365.

   3. Distribuisci Microsoft Defender per endpoint. Aggiungere Gestione delle vulnerabilità di Microsoft Defender e/o il monitoraggio aziendale per i dispositivi IoT, in base all'ambiente in uso.

   4. Distribuire Microsoft Defender for Cloud Apps.

Configurare Microsoft Entra ID Protection

Microsoft Defender XDR può assorbire segnali da Microsoft Entra ID Protection. Questo servizio valuta i dati di rischio provenienti da miliardi di tentativi di accesso e valuta il rischio di ogni accesso al tuo ambiente. Microsoft Entra ID utilizza questi dati per consentire o bloccare l'accesso agli account, in base a come sono configurate le politiche di Accesso Condizionale.

Configurare Microsoft Entra ID Protection per migliorare il comportamento di sicurezza e aggiungere segnali Microsoft Entra alle operazioni di sicurezza unificate. Per altre informazioni, vedere Configurare i criteri di protezione Microsoft Entra ID.

Distribuire Microsoft Defender per il cloud

Microsoft Defender per il cloud offre un'esperienza di gestione unificata della sicurezza per le risorse cloud e può anche inviare segnali a Microsoft Defender XDR. Ad esempio, è possibile iniziare connettendo le sottoscrizioni Azure a Microsoft Defender per il cloud e quindi passando ad altri ambienti cloud.

Per altre informazioni, vedere Connettere le sottoscrizioni Azure.

Accedere a Microsoft Security Copilot

Inserisci Microsoft Security Copilot per migliorare le tue operazioni di sicurezza con un'IA avanzata. Security Copilot ti aiuta a rilevare, indagare e rispondere alle minacce. Fornisce informazioni e raccomandazioni per aiutarti a rimanere un passo avanti ai rischi. Usa Security Copilot per automatizzare le attività di routine, ridurre i tempi di risposta e migliorare l'efficienza del tuo team di sicurezza.

Per altre informazioni, vedere Introduzione a Security Copilot.

Progettare l'area di lavoro ed eseguire l'onboarding in Microsoft Sentinel

Il primo passaggio per l'uso di Microsoft Sentinel consiste nel creare un'area di lavoro Log Analytics, se non è già disponibile. Un singolo spazio di lavoro Log Analytics potrebbe essere sufficiente per molti ambienti. Tuttavia, alcune organizzazioni creano più spazi di lavoro per ridurre i costi e soddisfare diverse esigenze aziendali. Il portale di Defender supporta un'area di lavoro primaria e più aree di lavoro secondarie.

1. Crea un gruppo di risorse per la sicurezza a scopi di governance, che ti permetta di isolare le risorse Microsoft Sentinel e l'accesso basato sui ruoli al gruppo di risorse.
2. Crea un'area di lavoro Log Analytics nel gruppo di risorse Security e integravi Microsoft Sentinel.

Per altre informazioni, vedere Integrare Microsoft Sentinel e Più aree di lavoro di Microsoft Sentinel nel portale di Defender.

Configurare ruoli e autorizzazioni

Eseguire il provisioning degli utenti in base al proprio piano documentato di ruoli e autorizzazioni di accesso. Per seguire i principi Zero Trust, utilizza il controllo di accesso basato sui ruoli (RBAC) per dare a ciascun utente accesso solo alle risorse di cui ha bisogno. Non fornire accesso all'intero ambiente.

L'autorizzazione minima richiesta perché un analista possa visualizzare i dati di Microsoft Sentinel consiste nella delega delle autorizzazioni per il ruolo Lettore di Sentinel di Azure RBAC. Queste autorizzazioni vengono applicate anche al portale unificato. Senza queste autorizzazioni, il menu di spostamento Microsoft Sentinel non è disponibile nel portale unificato, nonostante l'analista abbia accesso al portale di Microsoft Defender.

Una procedura consigliata consiste nell'avere tutte le risorse correlate Microsoft Sentinel nello stesso gruppo di risorse Azure, quindi delegare le autorizzazioni del ruolo Microsoft Sentinel (ad esempio il ruolo lettore Sentinel) a livello di gruppo di risorse che contiene l'area di lavoro Microsoft Sentinel. In questo modo, l'assegnazione di ruolo si applica a tutte le risorse che supportano Microsoft Sentinel.

Per altre informazioni, vedere:

• Prerequisiti per l'onboarding
• Assegnare ruoli di Microsoft Entra ID agli utenti
• Concedere a un utente l'accesso ai ruoli Azure
• Gestire il RBAC unificato in Microsoft Defender (video dimostrativo)

Eseguire l'onboarding nel portale di Defender

Collega Microsoft Sentinel al portale Defender per combinarlo con Microsoft Defender XDR. Questo ti offre una gestione unificata degli incidenti e una caccia avanzata. Per altre informazioni, vedere Connettere Microsoft Sentinel a Microsoft Defender.

Ottimizzare le configurazioni di sistema

Usare le opzioni di configurazione Microsoft Sentinel seguenti per ottimizzare la distribuzione:

Abilitare l'integrità e il controllo

Attiva la funzione di audit e monitoraggio della salute nella pagina Microsoft Sentinel Settings. Questa funzione monitora la salute e l'integrità delle risorse supportate di Microsoft Sentinel. Ottieni informazioni sulle deriva della salute, come eventi di fallimento recenti o cambiamenti da stato di successo a stato di fallimento. Puoi anche tracciare azioni non autorizzate e utilizzare i dati di audit per creare notifiche e azioni automatizzate.

Per ulteriori informazioni, vedere Attivare l'audit e il monitoraggio dell'integrità per Microsoft Sentinel.

Configurare il contenuto di Microsoft Sentinel

In base ai costi e alle origini dati Microsoft Sentinel pianificati, installare le soluzioni di Microsoft Sentinel corrispondenti e configurare i connettori dati. Microsoft Sentinel offre un'ampia gamma di soluzioni predefinite e connettori dati, ma è anche possibile creare connettori personalizzati e configurare i connettori per inserire i log CEF o Syslog.

Per altre informazioni, vedere:

• Configurare il contenuto
• Scopri e gestisci il contenuto predefinito di Microsoft Sentinel
• Trovare il connettore dati

Abilita l'analisi del comportamento di utenti ed entità (UEBA)

Dopo aver configurato i connettori dati in Microsoft Sentinel, assicurarsi di abilitare l'analisi del comportamento delle entità utente per identificare comportamenti sospetti che potrebbero causare exploit di phishing e, infine, attacchi come ransomware. Per altre informazioni, vedere Abilitare UEBA in Microsoft Sentinel.

Configurare la conservazione dei dati interattiva e a lungo termine

Configurare la conservazione dei dati interattiva e a lungo termine per assicurarsi che l'organizzazione conservi i dati importanti a lungo termine. Per altre informazioni, vedere Configurare la conservazione dei dati interattiva e a lungo termine.

Abilitare le regole di analisi

Le regole di analisi consentono a Microsoft Sentinel di avvisarti degli eventi in base a un insieme di condizioni che ritieni importanti. Le decisioni predefinite di Microsoft Sentinel si basano sull'analisi comportamentale delle entità utente (UEBA) e sulla correlazione dei dati provenienti da più origini dati. Quando si abilitano le regole di analisi per Microsoft Sentinel, dare priorità all'abilitazione in base alle origini dati connesse, al rischio organizzativo e alle tattiche MITRE.

Per altre informazioni, vedere Rilevamento delle minacce in Microsoft Sentinel.

Esaminare le regole di anomalia

Le regole di anomalia di Microsoft Sentinel sono disponibili pronte all'uso e abilitate per impostazione predefinita. Le regole di rilevamento delle anomalie si basano su modelli di apprendimento automatico e UEBA addestrati sui dati presenti nel tuo spazio di lavoro per segnalare comportamenti anomali tra utenti, host e altre entità. Esamina le regole di anomalia e la soglia del punteggio di anomalia per ciascuna. Se si osservano falsi positivi, ad esempio, è consigliabile duplicare la regola e modificare la soglia.

Per altre informazioni, vedere Usare le regole di analisi del rilevamento anomalie.

Usare la regola di analisi di Microsoft Threat Intelligence

Abilita la regola di analisi Microsoft Threat Intelligence pronta all'uso e verifica che corrisponda ai tuoi dati di log con l'intelligence sulle minacce generata da Microsoft. Per altre informazioni, vedere Rilevare le minacce con l'analisi degli indicatori delle minacce. Microsoft possiede un vasto archivio di dati di intelligence sulle minacce. La regola di analisi Microsoft Threat Intelligence utilizza un sottoinsieme di questi dati per generare avvisi e incidenti ad alta fedeltà da gestire dai team SOC (security operations center).

Evitare incidenti duplicati

Dopo aver connesso Microsoft Sentinel a Microsoft Defender, viene stabilita automaticamente una sincronizzazione bidirezionale tra eventi imprevisti Microsoft Defender XDR e Microsoft Sentinel. Per evitare la creazione di eventi imprevisti duplicati per gli stessi avvisi, è consigliabile disattivare tutte le regole di creazione di eventi imprevisti Microsoft per i prodotti integrati Microsoft Defender XDR, tra cui Defender per endpoint, Defender per identità, Defender per Office 365, Defender for Cloud Apps e protezione Microsoft Entra ID.

Per altre informazioni, vedere Creazione di eventi imprevisti Microsoft .

Eseguire una mappatura MITRE ATT&CK

Con le regole analitiche di Fusion, anomalie e threat intelligence abilitate, eseguire un crosswalk MITRE ATT&CK per decidere quali delle restanti regole analitiche abilitare e completare l’implementazione di un processo XDR (extended detection and response) maturo. Ciò consente di rilevare e rispondere per tutto il ciclo di vita di un attacco.

Per altre informazioni, vedere Informazioni sulla copertura della sicurezza.