Novità di Microsoft Sentinel

Questo articolo elenca le funzionalità recenti aggiunte per Microsoft Sentinel e le nuove funzionalità nei servizi correlati che offrono un'esperienza utente migliorata in Microsoft Sentinel. Per le nuove funzionalità relative alle operazioni di sicurezza unificata nel portale di Defender, vedere Novità per le operazioni di sicurezza unificata.

Le funzionalità elencate sono state rilasciate negli ultimi sei mesi. Per informazioni sulle funzionalità precedenti fornite, vedere i blog della community tecnica.

Agosto 2026

• Nuove fonti di dati per i comportamenti UEBA e il rilevamento delle anomalie (Anteprima)
• Anomalie UEBA sui comportamenti (Anteprima)
• Rilasci della soluzione SAP

Nuove fonti di dati per i comportamenti UEBA e il rilevamento delle anomalie (Anteprima)

Microsoft Sentinel UEBA amplia la copertura con nuove fonti di dati sia per il livello comportamentale che per il rilevamento delle anomalie.

Comportamenti Fortinet FortiGate

Il livello dei comportamenti UEBA ora supporta gli eventi del firewall Fortinet FortiGate dalla tabella CommonSecurityLog. Più di 40 nuovi comportamenti identificano attività amministrative sugli appliance FortiGate, inclusi rapidi riconfigurazioni di sistema, backup di configurazione, modifiche ai certificati e interruzioni dei servizi di sicurezza. Questi comportamenti sono mappati alle tecniche MITRE ATT&CK tra cui T1685, T1070, T1078 e T1602.002.

Anomalie di Check Point, Fortinet, Zscaler e AWS GuardDuty

Il rilevamento anomalie UEBA ora supporta gli eventi del firewall Check Point, Fortinet FortiGate e Zscaler, della VPN e del proxy Web dalla tabella CommonSecurityLog. Dieci nuove regole di anomalia confrontano ogni utente e dispositivo con la propria storia e attività a livello organizzativo per identificare:

• Accessi VPN anomali e non riusciti
• Accesso insolito a categorie web ad alto rischio
• Picchi di rilevamenti di sicurezza su un dispositivo potenzialmente compromesso
• Cambiamenti amministrativi sospetti

Le nuove regole di anomalia sono mappate alle tecniche MITRE ATT&CK tra cui T1078, T1133, T1110, T1071, T1562 e T1567. Gli eventi sono arricchiti da geolocalizzazione dell'IP di origine, ISP e contesto di threat intelligence.

Il rilevamento anomalie UEBA supporta anche i rilevamenti di AWS GuardDuty associati all'identità dalla tabella AWSGuardDuty, mappati alle tecniche MITRE ATT&CK, tra cui T1078, T1078.004, T1110, T1087.004 e T1567.002.

Anomalie UEBA sui comportamenti (Anteprima)

Microsoft Sentinel ora aggiunge direttamente ai record di comportamento UEBA informazioni contestuali relativi alle anomalie. Queste intuizioni aiutano gli analisti a identificare attività prima viste, volumi comportamentali insolitamente alti, valori non comuni e corrispondenze di intelligence sulle minacce senza corrispondere manualmente gli eventi grezzi. Per maggiori informazioni, vedi Indagare anomalie sui comportamenti UEBA.

Rilasci della soluzione SAP

La soluzione senza agente SAP versione 1.1.12 aggiunge miglioramenti nelle prestazioni dei log di audit e il parametro force-sal-filesystem . La soluzione SAP BTP versione 3.1.1 aggiunge una regola analitica per le app personalizzate non auditate con attività solo di accesso e rinomina le regole analitiche con il SAP BTP prefisso. La soluzione SAP LogServ versione 3.0.5 consente ai clienti che utilizzano RISE con SAP attivare contenuti di sicurezza basati su ASIM esistenti per i log standard di SAP LogServ; I rilevamenti HANA ora utilizzano Syslog invece del log personalizzato, con una copertura aggiornata dei connettori e una gestione di riserva. Per ulteriori informazioni, consulta la serie di blog sull'integrazione SAP LogServ.

Luglio 2026

• Supporto delle regole di rilevamento personalizzate nei repository Microsoft Sentinel (anteprima)

Supporto delle regole di rilevamento personalizzate nei repository Microsoft Sentinel (anteprima)

È ora possibile gestire le regole di rilevamento personalizzate come codice nel repository GitHub o Azure DevOps usando l'estensione BICEP Microsoft Security. Sincronizzare le regole di rilevamento personalizzate per Microsoft Sentinel usando la funzionalità Repository o distribuirle direttamente tramite l'interfaccia della riga di comando di BICEP. Per altre informazioni, vedere Distribuire regole di rilevamento personalizzate come codice.

Giugno 2026

• Collegare i risultati del comportamento agli eventi imprevisti nella ricerca avanzata (anteprima)
• Analizza i grafici di Microsoft Sentinel con lo strumento per i grafici (Anteprima)

Collegare i risultati del comportamento agli eventi imprevisti nella ricerca avanzata (anteprima)

È ora possibile collegare i risultati delle query basate sul comportamento dalla tabella BehaviorInfo a eventi imprevisti nuovi o esistenti nella ricerca avanzata. Questa funzionalità consente di arricchire il contesto degli eventi imprevisti con i record di comportamento di Microsoft Sentinel UEBA. La procedura guidata popola automaticamente i metadati e le entità dell'avviso dal record di comportamento selezionato. Per altre informazioni, vedere Collegare un risultato del comportamento a un evento imprevisto.

Riflettere sui grafi di Microsoft Sentinel con lo strumento per grafi (Anteprima)

La raccolta di strumenti per i grafi nel server Microsoft Sentinel Model Context Protocol (MCP) fornisce l'esplorazione visiva basata su grafi delle relazioni tra identità, dispositivi, minacce e segnali per valutare la copertura, le dipendenze e le lacune di configurazione. Per altre informazioni, vedere Esplorare i grafici Microsoft Sentinel con gli strumenti a grafo.

Maggio 2026

• La generazione di playbook usando l'intelligenza artificiale in Microsoft Sentinel è ora disponibile a livello generale
• Miglioramenti di UEBA: nuova esperienza di impostazioni, supporto di Okta V2 e altri rilevamenti di anomalie GCP

La generazione di playbook con l'IA in Microsoft Sentinel è ora generalmente disponibile (GA)

È ora possibile generare playbook usando l'intelligenza artificiale in Microsoft Sentinel. Il generatore di playbook SOAR crea flussi di lavoro di automazione basati su Python, sviluppati in collaborazione attraverso un’interazione conversazionale con Cline, un agente IA per la programmazione. Per altre informazioni, vedere il post di blog Playbook Generation.For more information, see the Playbook Generation blog post.

Miglioramenti di UEBA: nuova esperienza di impostazioni, supporto di Okta V2 e altri rilevamenti di anomalie GCP

• È stato introdotto un nuovo punto di ingresso e è stata creata una visualizzazione consolidata per le impostazioni UEBA e le impostazioni dei comportamenti. È ora possibile accedere alle impostazioni UEBA dalla nuova scheda UEBA nella pagina delle impostazioni di Microsoft Sentinel. Per ulteriori informazioni, vedere Abilitare User and Entity Behavior Analytics (UEBA) in Microsoft Sentinel.

• Le anomalie UEBA di Okta supportano ora la tabella OktaV2_CL insieme alla tabella Okta_CL esistente. Ciò estende i rilevamenti esistenti di attività anomale e errori MFA anomali ai clienti che usano il formato del connettore Okta più recente. Non sono stati introdotti nuovi tipi di anomalie. Per altre informazioni, vedere Informazioni di riferimento su UEBA.

• UEBA supporta ora cinque nuovi rilevamenti anomalie dei log di controllo GCP che identificano comportamenti di accesso insoliti, azioni privilegiate, distribuzioni di risorse, accesso alla chiave del segreto/servizio di gestione delle chiavi e modelli di utilizzo dell'infrastruttura. Per altre informazioni, vedere Anomalie UEBA.

Aprile 2026

• [Aggiornato] Invito all'azione: aggiornare l'automazione entro il 1º luglio 2026 - Il nome dell'account è ora in modo coerente il prefisso UPN negli avvisi delle regole di analisi
• federazione dei dati di Microsoft Sentinel (Anteprima)
• Trasformare i dati con funzionalità di filtro e suddivisione (anteprima)
• Accelerare lo sviluppo di connettori Microsoft Sentinel con l'agente generatore di connettori di Visual Studio Code (anteprima)
• Creare grafici di sicurezza personalizzati (anteprima)
• Entity Analyzer è ora disponibile a livello generale
• Lo strumento di migrazione SIEM basato su intelligenza artificiale è ora disponibile a livello generale
• Strumento di stima dei costi per clienti e partner (anteprima)
• Configurare l'accesso a livello di riga usando l'ambito di Microsoft Sentinel (Anteprima)

[Aggiornato] Invito all'azione: aggiornare l'automazione entro il 1º luglio 2026 - Il nome dell'account ora corrisponde sempre al prefisso UPN per gli avvisi delle regole di analisi

Microsoft Sentinel sta aggiornando il modo in cui viene popolato il valore Nome account dell'entità account per gli avvisi delle regole di analisi quando l'UPN completo viene mappato in Nome account. Questa modifica migliora la coerenza per le regole di automazione a valle e i playbook di Logic Apps.

Questa modifica potrebbe influire sulla logica di automazione che filtra o confronta la proprietà AccountName (Logic Apps: AccountName), soprattutto se prevede l'UPN completo.

Cosa sta cambiando

• Quando un UPN completo (ad esempio, user@domain.com) viene associato al Nome account in una regola di analisi, il Nome account corrisponderà sempre e solo al prefisso UPN (user). In precedenza, a volte poteva essere user e talvolta user@domain.com.
• Altri campi correlati all'UPN verranno aggiunti all'entità account nella SecurityAlert tabella: UserPrincipalName (UPN completo, ad esempio user@domain.com), UPNSuffixe il prefisso UPN.

Ad esempio:

• Prima: Analytics: user@domain.com -> Nome account regola di Automazione: user o user@domain.com
• Dopo: Analytics: user@domain.com -> Nome account regola di Automazione: user + UPNSuffix: domain.com

Operazioni da eseguire

Aggiornare le regole di automazione o le app per la logica che si confrontano con l'UPN completo. Sostituire i controlli di uguaglianza diretta con confronti separati per il prefisso UPN e il suffisso UPN. È consigliabile usare le operazioni Contains e Starts with invece dell'uguaglianza assoluta per mantenere la compatibilità sia prima che dopo la modifica.

Ad esempio, sostituire condizioni come AccountNameEqualsuser@domain.com con logica come:

• AccountName Contieneuser o Inizia conuser
• UPNSuffix Ugualedomain.com / Inizia condomain.com / Contienedomain.com

Per ulteriori informazioni, compresi esempi di prima e dopo, leggere l'articolo del blog Update: Changing the Account Name Entity Mapping in Microsoft Sentinel.

federazione dei dati Microsoft Sentinel (anteprima)

Basata su Microsoft Fabric, la federazione dei dati di Microsoft Sentinel consente di analizzare i dati di sicurezza dove risiedono già, senza copiarli né duplicarli. È possibile federare i dati da Microsoft Fabric, Azure Data Lake Storage e Azure Databricks nel data lake di Microsoft Sentinel, per poi usare le familiari funzionalità di Microsoft Sentinel, come KQL, notebook e grafici personalizzati, sia sui dati federati sia su quelli nativi.

Per altre informazioni, vedere Panoramica della federazione dei dati in Microsoft Sentinel data lake.

Trasformare i dati con funzionalità di filtro e suddivisione (anteprima)

Il filtro nativo e la suddivisione nel portale di Microsoft Defender consentono di ridurre il rumore prima dell'inserimento, controllare i costi e instradare in modo intelligente i dati tra i livelli di analisi e data lake in modo da ottimizzare gli elementi analizzati e conservati. Per altre informazioni, vedere Trasformare i dati usando il filtro e la suddivisione in Microsoft Sentinel.

Accelerare lo sviluppo di connettori Microsoft Sentinel con l'agente generatore di connettori di Visual Studio Code (anteprima)

Un agente a basso codice basato sull'intelligenza artificiale in Visual Studio Code consente di creare connettori Microsoft Sentinel in pochi minuti, velocizzando le nuove origini dati e sbloccando i risultati di sicurezza prima. Per altre informazioni, vedere Introduzione ai connettori personalizzati che usano l'agente di intelligenza artificiale in Microsoft Sentinel.

Compilare grafici personalizzati (anteprima)

Creare grafici di sicurezza personalizzati nell'Sentinel data lake e dati di terze parti per individuare percorsi di attacco, raggio di esplosione e relazioni nascoste. Questi grafici fungono anche da base per indagini avanzate e agenti di intelligenza artificiale. Per altre informazioni, vedi Panoramica del grafico personalizzato.

Esperienza dei grafici nel portale di Microsoft Defender (anteprima)

Dopo aver creato i grafici personalizzati, è possibile accedervi nella sezione Grafici del portale di Defender in Microsoft Sentinel. Da qui è possibile eseguire query GQL (Graph Query Language), visualizzare lo schema del grafo, visualizzare il grafico, visualizzare i risultati del grafico in formato tabulare e attraversare il grafico in modo interattivo fino all'hop successivo con un semplice clic.

Entity Analyzer è ora disponibile a livello generale

Analizzatore di entità nel Model Context Protocol (MCP) di Microsoft Sentinel la raccolta di strumenti di esplorazione dei dati consente di ottenere valutazioni del rischio delle entità pronte all'uso e spiegabili per URL e identità, basate su intelligence sulle minacce, prevalenza e contesto organizzativo.

Lo strumento di migrazione SIEM basato su intelligenza artificiale è ora disponibile a livello generale

Accelerare le migrazioni per Microsoft Sentinel da Splunk e QRadar usando un'esperienza di migrazione SIEM assistita dall'intelligenza artificiale progettata per ridurre l'impegno manuale e velocizzare il time-to-value. Per altre informazioni, vedere Eseguire la migrazione a Microsoft Sentinel con l'esperienza di migrazione SIEM.

Strumento di stima dei costi per clienti e partner (anteprima)

Una stima guidata dei costi Microsoft Sentinel a livello di contatore con proiezioni triennali consente alle organizzazioni di modellare la crescita dei dati, prevedere la spesa e pianificare l'adozione Microsoft Sentinel con fiducia. Per altre informazioni, vedere prezzi Microsoft Sentinel.

Configurare l'accesso a livello di riga usando l'ambito di Microsoft Sentinel (Anteprima)

Microsoft Sentinel ora supporta la definizione dell'ambito (controllo degli accessi in base al ruolo a livello di riga) per controllare l'accesso a specifici sottoinsiemi dei dati di Sentinel senza richiedere la separazione delle aree di lavoro. Gli amministratori possono definire ambiti logici, contrassegnare i dati in fase di inserimento e assegnare utenti o gruppi agli ambiti usando il controllo degli accessi in base al ruolo unificato, consentendo a più team di lavorare in modo sicuro all'interno di un ambiente di Sentinel condiviso. La definizione dell'ambito è configurata nel portale di Microsoft Defender. Per ulteriori informazioni, vedere Configurazione dell'ambito di Microsoft Sentinel (controllo di accesso a livello di riga basato sui ruoli)..

Marzo 2026

• Azione richiesta: aggiornare i contenuti Microsoft Sentinel meno recenti come codice (repository Sentinel) alle versioni API precedenti al 15 giugno 2026
• Microsoft Sentinel repository sono ora disponibili a livello generale. Per altre informazioni, vedere Gestire il contenuto come codice con Microsoft Sentinel repository.

Azione richiesta: aggiornare i contenuti Microsoft Sentinel meno recenti come codice (repository Sentinel) alle versioni API precedenti al 15 giugno 2026

A partire dal 15 giugno 2026, le versioni precedenti dell'API usate da Microsoft Sentinel repository non saranno più supportate. Questa modifica influisce su tutte le azioni del controllo del codice sorgente e dei controlli del codice sorgente nell'API REST Microsoft Sentinel per le versioni dell'API interessate.

Le versioni dell'API ritirate non saranno più supportate e le richieste che le usano avranno esito negativo. Le connessioni al repository esistenti create con tali API non sono interessate e i repository continueranno a funzionare.

Azione necessaria

Se si usano le API per creare o gestire connessioni al repository, passare all'API versione 2025-09-01, 2025-06-01 o 2025-07-01-preview prima del 1° giugno 2026 per evitare interruzioni del servizio.

Versioni dell'API interessate

Le seguenti versioni dell'API verranno ritirate il 1° giugno 2026:

Versioni dell'API consigliate da usare:

• 2025-09-01 (stabile)
• 2025-06-01 (stabile)
• 2025-07-01-preview (anteprima)

Febbraio 2026

Il livello dei comportamenti UEBA di Microsoft Sentinel è ora generalmente disponibile

Il livello comportamentale UEBA in Microsoft Sentinel è ora generalmente disponibile e riassume informazioni comportamentali chiare e facilmente comprensibili a partire da log di sicurezza grezzi ad alto volume. I comportamenti consentono di aggregare e sequenziare gli eventi correlati in comportamenti normalizzati, consentendo agli analisti di comprendere più rapidamente chi ha fatto cosa senza correlare manualmente i log non elaborati. Per altre informazioni, vedere Tradurre i log di sicurezza non elaborati in informazioni dettagliate sul comportamento usando comportamenti UEBA in Microsoft Sentinel.

Guardare il webinar dei comportamenti UEBA per una panoramica completa e una demo del livello dei comportamenti UEBA.

Nuova cartella di lavoro dei comportamenti UEBA

Per aiutare i team SOC a ottenere valore dai comportamenti fin dal primo giorno, Microsoft Sentinel ora fornisce la cartella di lavoro dei comportamenti come parte della soluzione UEBA Essentials. La cartella di lavoro offre visualizzazioni guidate e analisi predefinite e personalizzabili che trasformano dati comportamentali avanzati in informazioni dettagliate interattive in tre flussi di lavoro SOC principali:

• Panoramica: metriche e tendenze di alto livello che offrono ai responsabili del SOC e alla leadership una rapida consapevolezza della situazione
• Indagine: sequenze temporali approfondite incentrate sulle entità che consentono agli analisti di accelerare la risposta agli eventi imprevisti
• Ricerca: individuazione proattiva delle minacce per i cacciatori di minacce che usano il rilevamento delle anomalie e l'analisi della catena di attacchi

Per ulteriori informazioni sulla cartella di lavoro, vedere il post di blog Microsoft Sentinel Behaviors Workbook.

Generare playbook con intelligenza artificiale in Microsoft Sentinel (Anteprima)

È ora possibile generare playbook usando l'intelligenza artificiale in Microsoft Sentinel. Il generatore di playbook SOAR crea flussi di lavoro di automazione basati su Python, sviluppati in collaborazione attraverso un’interazione conversazionale con Cline, un agente IA per la programmazione. Per altre informazioni, vedere il post di blog Playbook Generation.For more information, see the Playbook Generation blog post.

Gennaio 2026

Nuovo widget Entity Behavior Analytics (UEBA) nella home page del portale di Defender (anteprima)

La home page del portale di Defender include ora un widget UEBA in cui gli analisti possono avere immediatamente visibilità sul comportamento anomalo degli utenti e quindi accelerare i flussi di lavoro di rilevamento delle minacce. Per altre informazioni, vedere Come UEBA consente agli analisti e semplifica i flussi di lavoro.

Data di aggiornamento: Microsoft Sentinel nel portale di Azure sarà ritirato a marzo 2027

Microsoft Sentinel è disponibile a livello generale nel portale di Microsoft Defender, anche per i clienti senza Microsoft Defender XDR o una licenza E5. Ciò significa che è possibile usare Microsoft Sentinel nel portale di Defender anche se non si usano altri servizi Microsoft Defender.

Dopo il 31 marzo 2027, Microsoft Sentinel non sarà più supportato nel portale di Azure e sarà disponibile solo nel portale di Microsoft Defender.

Se attualmente si usa Microsoft Sentinel nel portale di Azure, è consigliabile iniziare a pianificare la transizione al portale di Defender per garantire una transizione senza problemi e sfruttare appieno l'esperienza di operazioni di sicurezza unificata offerta da Microsoft Defender.

Per altre informazioni, vedere:

• Microsoft Sentinel nel portale di Microsoft Defender
• Eseguire la transizione dell'ambiente Microsoft Sentinel al portale di Defender
• Pianificazione del passaggio al portale di Microsoft Defender per tutti i clienti Microsoft Sentinel (blog)

Il livello dei comportamenti UEBA aggrega informazioni utili dai log grezzi in quasi tempo reale (Anteprima)

Microsoft Sentinel introduce un livello di comportamenti UEBA che trasforma i log di sicurezza di alto volume e di basso livello in informazioni comportamentali chiare e leggibili nel portale di Defender. Questa funzionalità basata sull'intelligenza artificiale aggrega e mette in sequenza gli eventi grezzi provenienti dalle fonti di dati supportate, trasformandoli in comportamenti normalizzati che spiegano "chi ha fatto cosa a chi" con il contesto MITRE ATT&CK.

Come i comportamenti colmano il divario tra avvisi e log non elaborati

Mentre i log non elaborati in ingresso sono rumorosi, non correlati e difficili da interpretare e gli avvisi chiamano gli analisti a intervenire su potenziali problemi, i comportamenti UEBA riepilogano i modelli di comportamento , normali o anomali, inseriti da origini dati supportate. In questo modo viene creato un livello di astrazione che ottimizza i dati per le indagini, la ricerca e il rilevamento. Ad esempio, invece di analizzare singoli eventi CLOUDTrail o log del firewall di AWS, gli analisti vedono un comportamento, ad esempio "Sessione di gestione remota in ingresso da indirizzo esterno", che riepiloga più eventi non elaborati e li esegue il mapping a tattiche, tecniche e procedure note.

Comportamenti UEBA:

• Accelerare le indagini: abilitare una risposta agli eventi imprevisti più rapida aggregando e sequenziando i comportamenti, consentendo agli analisti di concentrarsi su azioni significative anziché analizzare migliaia di eventi.
• Trasforma la telemetria rumorosa in informazioni utili e operative: converti log frammentati e voluminosi in osservazioni comportamentali chiare e facilmente interpretabili, rendendo più semplice comprendere gli eventi di sicurezza.
• Potenzia tutti gli utenti soc: migliora i flussi di lavoro per analisti SOC, cacciatori di minacce e ingegneri del rilevamento fornendo viste contestuali e blocchi predefiniti unificati per le regole di rilevamento e l'automazione.
• Garantire la possibilità di spiegazione: eseguire il mapping alle tattiche MITRE ATT&CK, ai ruoli di entità e ai log non elaborati a scopo di tracciabilità e chiarezza.

I comportamenti UEBA possono essere abilitati in modo indipendente dal rilevamento delle anomalie UEBA.

Origini dati supportate durante l'anteprima pubblica: AWS CloudTrail, CommonSecurityLog (CyberArk Vault, Palo Alto Threats) e GCPAuditLogs.

Per altre informazioni, vedere Tradurre i log di sicurezza non elaborati in informazioni dettagliate sul comportamento usando comportamenti UEBA in Microsoft Sentinel.

Abilitare UEBA direttamente dalla configurazione del connettore dati (anteprima)

È ora possibile abilitare UEBA per le origini dati supportate direttamente dalla pagina di configurazione del connettore dati, riducendo i tempi di gestione e evitando lacune di copertura. Quando si abilitano nuovi connettori, è possibile eseguire l'onboarding dell'origine dati in UEBA senza passare a una pagina di configurazione separata.

Questa integrazione consente di visualizzare quali origini dati vengono inserite in UEBA e di abilitare il feed direttamente dalla configurazione del connettore.

Per altre informazioni, vedere Connettere origini dati a Microsoft Sentinel usando i connettori dati.

Nuovi rilevamenti per Sentinel soluzione per SAP BTP

Questo aggiornamento espande la copertura del rilevamento per SAP BTP, potenziando la visibilità nel piano di controllo ad alto rischio, nell'integrazione e nelle attività di identità.

• SAP Integration Suite: rileva modifiche non autorizzate agli artefatti di integrazione, ai criteri di accesso, alle origini dati JDBC e alle importazioni di pacchetti che potrebbero abilitare l'esfiltrazione o le backdoor dei dati.
• SAP Cloud Identity Service: monitora le eliminazioni degli utenti, le concessioni di privilegi e le modifiche alla configurazione SAML/OIDC che attenuano i controlli di autenticazione o creano l'accesso permanente.
• SAP Build Work Zone: identifica eliminazioni massive di ruoli e accessi non autorizzati a risorse del portale riservate.
• Registrazione degli audit SAP BTP: rileva lacune e interruzioni nell'acquisizione dei log di audit che riducono la visibilità della sicurezza e consentono attività furtive.

Novembre 2025

Nuove esperienze ueba (Entity Behavior Analytics) nel portale di Defender (anteprima)

Microsoft Sentinel introduce nuove esperienze UEBA nel portale di Defender, portando informazioni dettagliate sul comportamento direttamente nei flussi di lavoro degli analisti chiave. Questi miglioramenti consentono agli analisti di assegnare priorità alle indagini e applicare il contesto UEBA in modo più efficace.

Indagini degli utenti incentrate sulle anomalie

Nel portale di Defender, gli utenti con anomalie comportamentali vengono automaticamente contrassegnati con anomalie UEBA, consentendo agli analisti di identificare rapidamente gli utenti da assegnare priorità.

Gli analisti possono visualizzare le prime tre anomalie degli ultimi 30 giorni in una sezione dedicata sulle principali anomalie UEBA, disponibile in:

• Pannelli lato utente accessibili da diverse posizioni del portale.
• La scheda Panoramica delle pagine delle entità utente.

Questa sezione include anche collegamenti diretti alle query sulle anomalie e alla sequenza temporale degli eventi Microsoft Sentinel, consentendo un'analisi più approfondita e una raccolta più rapida del contesto.

Analisi dettagliata delle anomalie utente dai grafici degli incidenti

Gli analisti possono accedere rapidamente a tutte le anomalie correlate a un utente selezionando Vai a caccia > di tutte le anomalie utente dal grafico degli eventi imprevisti. Questa query integrata fornisce immediatamente il contesto UEBA a supporto di indagini più approfondite.

Ricerca avanzata arricchita e rilevamenti personalizzati con informazioni dettagliate sul comportamento

Le esperienze avanzate di ricerca e rilevamento personalizzato includono ora un banner contestuale che richiede agli analisti di aggiungere la tabella Anomalie UEBA alle query che includono origini dati UEBA.

Tutte le funzionalità richiedono che UEBA sia abilitato e sono limitate all'area di lavoro attualmente selezionata.

Per altre informazioni, vedere Come UEBA consente agli analisti e semplifica i flussi di lavoro.

Connettori di dati SAP

• Connettore dati senza agente per la soluzione Sentinel per SAP è ora generalmente disponibile. Per altre informazioni, vedere il blog tech community.

• Pensionamento: L'agente containerizzato del connettore dati SAP sarà permanentemente disabilitato il 14 settembre 2026 e smetterà di fornire i log SAP a Microsoft Sentinel. Le regole di analisi, i workbook, le query di ricerca e i playbook che dipendono da questi log smetteranno di restituire risultati per i sistemi SAP interessati. La creazione di nuovi agenti containerizzati è già disabilitata. Il connettore dati senza agente, disponibile a livello generale, è la sostituzione supportata e la dismissione non modifica i contatori di fatturazione né quelli per la determinazione dei prezzi. Migra al connettore dati SAP senza agente prima della data di ritiro.

Invito all'azione: aggiornare le query e l'automazione entro il 1° luglio 2026 - standardizzazione dei nomi delle entità account in incidenti e avvisi.

Microsoft Sentinel sta aggiornando il modo in cui identifica le entità dell'account negli incidenti e negli avvisi. Questa modifica introduce una logica di denominazione standardizzata per migliorare la coerenza e l'affidabilità nei flussi di lavoro di analisi e automazione.

Microsoft Sentinel selezionerà ora l'identificatore dell'account più affidabile usando la priorità seguente:

1. Prefisso UPN: la parte precedente a "@" in un nome dell'entità utente

   • Esempio: john.doe@contoso.com → john.doe

2. Nome : usato se il prefisso UPN non è disponibile

3. Nome visualizzato – usato come ripiego se mancano entrambi i campi sopra

Aggiornare le query KQL e la logica di automazione in modo da seguire il nuovo modello che riconosce la precedenza. Usare la coalesce()funzione (/kusto/query/coalesce-function) per garantire la compatibilità:

coalesce(Account.UPNprefix, Account.Name, Account.DisplayName)

Testare tutte le modifiche in un'area di lavoro non di produzione prima di eseguire l'implementazione nell'ambiente di produzione.

Ottobre 2025

• Esportare gli oggetti di intelligence sulle minacce STIX (Anteprima)
• Invito all'azione: aggiornare le query e l'automazione entro il 1° luglio 2026 - standardizzazione dei nomi delle entità account in incidenti e avvisi

Esportare gli oggetti di intelligence sulle minacce STIX (anteprima)

Microsoft Sentinel supporta ora l'esportazione di oggetti di intelligence sulle minacce STIX in altre destinazioni, ad esempio piattaforme esterne. Se è stata inserita l'intelligence sulle minacce per Microsoft Sentinel da una piattaforma esterna, ad esempio quando si usa il connettore dati Threat Intelligence - TAXII, è ora possibile esportare di nuovo l'intelligence sulle minacce in tale piattaforma, abilitando la condivisione di intelligence bidirezionale. Questo nuovo supporto offre una condivisione diretta e sicura, riducendo la necessità di processi manuali o playbook personalizzati per distribuire l'intelligence sulle minacce.

L'esportazione di oggetti TI è attualmente supportata solo per le piattaforme basate su TAXII 2.1. È possibile accedere alla funzionalità di esportazione sia dal portale di Defender che dal portale di Azure:

Per altre informazioni, vedere:

• Usare STIX/TAXII per importare ed esportare informazioni sulle minacce in Microsoft Sentinel
• Esportare informazioni sulle minacce

Settembre 2025

• Microsoft Sentinel si evolve in un SIEM e una piattaforma

  Le aggiunte chiave includono:

  • Microsoft Sentinel data lake è ora disponibile a livello generale
  • grafico Microsoft Sentinel (anteprima)
  • Server MCP (Model Context Protocol) di Microsoft Sentinel (Anteprima)

• Nuove origini dati e analisi avanzata del comportamento di utenti ed entità (UEBA) (anteprima)

Microsoft Sentinel si sta evolvendo in un SIEM e una piattaforma

La sicurezza viene riprogettata per l'era dell'intelligenza artificiale, andando oltre i controlli statici basati su regole e la risposta post-violazione verso la difesa a velocità di macchina guidata dalla piattaforma. Per affrontare la sfida di strumenti frammentati, segnali tentacolari e architetture legacy che non possono corrispondere alla velocità e alla scala degli attacchi moderni, Microsoft Sentinel si è evoluto sia in un SIEM che in una piattaforma che unifica i dati per la difesa agentica. Questo aggiornamento riflette i miglioramenti dell'architettura che supportano le operazioni di sicurezza basate sull'intelligenza artificiale su larga scala. Per altre informazioni, vedere Che cos'è Microsoft Sentinel?

Le aggiunte principali includono Microsoft Sentinel data lake, Microsoft Sentinel graph e Microsoft Sentinel server MCP (Model Context Protocol), come descritto di seguito.

Microsoft Sentinel data lake è ora disponibile a livello generale

Una base scalabile ed efficiente in termini di costi per la conservazione dei dati a lungo termine e l'analisi multimodale. Microsoft Sentinel data lake consente alle organizzazioni di unificare i dati di sicurezza tra origini ed eseguire analisi avanzate senza sovraccarico dell'infrastruttura.

Per altre informazioni, vedere Microsoft Sentinel data lake.

grafo Microsoft Sentinel (Anteprima)

Analisi unificata del grafo per un contesto più approfondito e un ragionamento sulle minacce. Microsoft Sentinel mappa le relazioni tra utenti, dispositivi e attività per supportare indagini complesse sulle minacce e l’analisi prima e dopo una violazione.

Per altre informazioni, vedi Che cos'è Microsoft Sentinel graph? (Anteprima).

Server Microsoft Sentinel Model Context Protocol (MCP) (anteprima)

Interfaccia ospitata per la creazione di agenti intelligenti usando il linguaggio naturale. Microsoft Sentinel server MCP semplifica la creazione e l'esplorazione dei dati degli agenti consentendo ai tecnici di eseguire query e ragionare sui dati di sicurezza senza dover conoscere lo schema.

Per altre informazioni, vedere Panoramica di Model Context Protocol (MCP).

Nuove origini dati per l'analisi avanzata del comportamento di utenti ed entità (UEBA) (anteprima)

UEBA di Microsoft Sentinel offre ai team SOC il rilevamento anomalie basato sull'intelligenza artificiale in base ai segnali comportamentali nel tenant. Consente di assegnare priorità alle minacce usando baseline dinamiche, confronti tra peer e profili di entità arricchiti.

UEBA supporta ora il rilevamento anomalie usando sei nuove origini dati:

• Origini di autenticazione Microsoft:

  Queste origini offrono una visibilità più approfondita sul comportamento delle identità nell'ambiente Microsoft.

  • Eventi di accesso ai dispositivi Microsoft Defender XDR: acquisire le attività di accesso dagli endpoint, identificando gli spostamenti laterali, i modelli di accesso insoliti o i dispositivi compromessi.
  • Log di accesso delle identità gestite Microsoft Entra ID: monitorano gli accessi delle identità gestite utilizzate nell'automazione, ad esempio script e servizi. Ciò è fondamentale per individuare l'uso improprio invisibile all'utente delle identità del servizio.
  • Log di accesso dell'entità servizio Microsoft Entra ID: monitorano gli accessi da parte delle entità servizio, spesso usati da app o script, per rilevare anomalie, ad esempio l'accesso imprevisto o l'escalation dei privilegi.

• Piattaforme cloud e gestione delle identità di terze parti:

  UEBA si integra ora con le principali piattaforme di gestione delle identità e cloud per migliorare il rilevamento di compromissione delle identità, uso improprio dei privilegi e comportamenti di accesso rischiosi in ambienti multicloud.

  • Eventi di accesso di AWS CloudTrail: contrassegna i tentativi di accesso rischiosi in Amazon Web Services (AWS), ad esempio l'autenticazione a più fattori (MFA) non riuscita o l'uso dell'account radice, indicatori critici di potenziale compromissione dell'account.
  • Log di controllo GCP - Eventi di accesso IAM con esito negativo: acquisiscono i tentativi di accesso negati in Google Cloud Platform, per identificare i tentativi di escalation dei privilegi o i ruoli configurati in modo errato.
  • Okta MFA e gli eventi di modifica della sicurezza dell'autenticazione: problemi di Surface MFA e modifiche ai criteri di autenticazione in Okta, segnali che potrebbero indicare attacchi mirati o manomissioni di identità.

Queste nuove origini migliorano la capacità dell'UEBA di rilevare le minacce in ambienti Microsoft e ibridi in base a dati di identità di utenti, dispositivi e servizi arricchiti, contesto comportamentale avanzato e nuove funzionalità di rilevamento anomalie multipiattaforma.

Per abilitare le nuove origini dati, è necessario eseguire l'onboarding nel portale di Defender.

Per altre informazioni, vedere:

• La UEBA basata sull'IA di Microsoft Sentinel inaugura la prossima era dell'analisi comportamentale
• Rilevamento avanzato delle minacce con User and Entity Behavior Analytics (UEBA) in Microsoft Sentinel
• Abilita l'analisi del comportamento di utenti ed entità (UEBA) in Microsoft Sentinel
• Informazioni di riferimento su UEBA in Microsoft Sentinel
• Anomalie UEBA

Agosto 2025

• Modificare le cartelle di lavoro direttamente nel portale di Microsoft Defender

Modificare le cartelle di lavoro direttamente nel portale di Microsoft Defender (anteprima)

È ora possibile creare e modificare Microsoft Sentinel cartelle di lavoro direttamente nel portale di Microsoft Defender. Questo miglioramento semplifica il flusso di lavoro, consente di gestire le cartelle di lavoro in modo più efficiente e rende l'esperienza della cartella di lavoro più allineata all'esperienza nel portale di Azure.

Le cartelle di lavoro di Microsoft Sentinel si basano sulle cartelle di lavoro di Monitoraggio di Azure e consentono di visualizzare e monitorare i dati acquisiti in Microsoft Sentinel. Le cartelle di lavoro aggiungono tabelle e grafici con analisi per i log e le query agli strumenti già disponibili.

Le cartelle di lavoro sono disponibili nel portale di Defender in Microsoft Sentinel > Gestione delle minacce > Cartelle di lavoro. Per altre informazioni, vedere Visualizzare e monitorare i dati usando cartelle di lavoro in Microsoft Sentinel.

Luglio 2025

• Data lake di Microsoft Sentinel
• Impostazioni di gestione e conservazione delle tabelle nel portale di Microsoft Defender
• Autorizzazioni del data lake di Microsoft Sentinel integrate con Controllo degli accessi in base al ruolo unificato di Microsoft Defender XDR
• Solo per i nuovi clienti: onboarding automatico e reindirizzamento al portale di Microsoft Defender
• Nessun limite al numero di aree di lavoro di cui è possibile eseguire l'onboarding nel portale di Defender
• Microsoft Sentinel nel portale di Azure sarà ritirato a luglio 2026

Data lake di Microsoft Sentinel

Microsoft Sentinel è ora migliorato con un data lake moderno, progettato appositamente per semplificare la gestione dei dati, ridurre i costi e accelerare l'adozione dell'IA per i team delle operazioni di sicurezza. Il nuovo data lake Microsoft Sentinel offre un'archiviazione a lungo termine conveniente, eliminando la necessità di scegliere tra accessibilità e sicurezza affidabile. I team di sicurezza ottengono una visibilità più approfondita e una risoluzione degli eventi imprevisti più rapida, tutto all'interno della familiare esperienza di Microsoft Sentinel, arricchiti dall'integrazione senza problemi con strumenti avanzati di analisi dei dati.

I vantaggi principali del data lake Microsoft Sentinel includono: +Copia dati singola in formato aperto per un'archiviazione efficiente e conveniente +Separazione dell'archiviazione e del calcolo per una maggiore flessibilità +Supporto per più motori di analisi per sbloccare informazioni più approfondite dai dati di sicurezza +Integrazione nativa con Microsoft Sentinel, inclusa la possibilità di selezionare la suddivisione in livelli per i dati di log tra i livelli di analisi e lake Per altre informazioni, vedere

Esplora il data lake tramite query KQL oppure usa il nuovo notebook del data lake di Microsoft Sentinel per VS Code per visualizzare e analizzare i dati.

Per altre informazioni, vedere:

• Data lake di Microsoft Sentinel
• KQL e il data lake di Microsoft Sentinel (anteprima)
• Notebook Jupyter e il data lake di Microsoft Sentinel (anteprima)
• Blog tecnico di Data Lake

Impostazioni di gestione e conservazione delle tabelle nel portale di Microsoft Defender

Le impostazioni di gestione e conservazione delle tabelle sono ora disponibili nei portali di Microsoft Defender. È possibile visualizzare e gestire le impostazioni della tabella nel portale di Microsoft Defender, incluse le impostazioni di conservazione per le tabelle Microsoft Sentinel e Defender XDR e passare da un livello di analisi a un livello data lake.

Per altre informazioni, vedere:

• Gestire i livelli dati e la conservazione in Microsoft Sentinel
• Configurare le impostazioni della tabella in Microsoft Sentinel.

Autorizzazioni del data lake di Microsoft Sentinel integrate con Controllo degli accessi in base al ruolo unificato di Microsoft Defender XDR

A partire da luglio 2025, le autorizzazioni del data lake di Microsoft Sentinel sono fornite tramite il RBAC unificato di Microsoft Defender XDR. È disponibile anche il supporto per RBAC unificato, oltre a quello fornito dai ruoli globali di Microsoft Entra ID.

Per altre informazioni, vedere:

• Controllo degli accessi in base al ruolo unificato di Microsoft Defender XDR
• Crea ruoli personalizzati con il RBAC unificato di Microsoft Defender XDR
• Autorizzazioni nel controllo degli accessi in base al ruolo unificato (RBAC) di Microsoft Defender XDR
• Ruoli e autorizzazioni per il data lake Microsoft Sentinel

Solo per i nuovi clienti: onboarding automatico e reindirizzamento al portale di Microsoft Defender

Per questo aggiornamento, i nuovi clienti Microsoft Sentinel sono clienti che eseguono l'onboarding della prima area di lavoro nel tenant per Microsoft Sentinel il 1° luglio 2025 o dopo tale data.

A partire dal 1° luglio 2025, i nuovi clienti che dispongono delle autorizzazioni di una sottoscrizione Owner o di User access administrator e che non sono utenti delegati di Azure Lighthouse vedranno le proprie aree di lavoro sottoposte automaticamente a onboarding nel portale Defender insieme all'onboarding a Microsoft Sentinel. Gli utenti di tali aree di lavoro, che inoltre non sono utenti delegati di Azure Lighthouse, vedono in Microsoft Sentinel nel portale di Azure collegamenti che li reindirizzano al portale Defender. Tali utenti usano Microsoft Sentinel solo nel portale di Defender.

I nuovi clienti che non dispongono di autorizzazioni pertinenti non vengono caricati automaticamente nel portale di Defender, ma visualizzano comunque i collegamenti di reindirizzamento nella portale di Azure, insieme a richieste di chiedere a un utente con autorizzazioni pertinenti di eseguire manualmente l'onboarding dell'area di lavoro nel portale di Defender.

Questa modifica semplifica il processo di onboarding e garantisce che i nuovi clienti possano sfruttare immediatamente le funzionalità delle operazioni di sicurezza unificate senza eseguire manualmente l'onboarding delle aree di lavoro.

Per altre informazioni, vedere:

• Configurare Microsoft Sentinel
• Microsoft Sentinel nel portale di Microsoft Defender
• Modifiche per i nuovi clienti a partire da luglio 2025

Nessun limite al numero di aree di lavoro di cui è possibile eseguire l'onboarding nel portale di Defender

Non esiste più alcun limite al numero di aree di lavoro di cui è possibile eseguire l'onboarding nel portale di Defender.

Le limitazioni si applicano ancora al numero di aree di lavoro che è possibile includere in una query di Log Analytics e al numero di aree di lavoro che è possibile o deve includere in una regola di analisi pianificata.

Per altre informazioni, vedere:

• Connettere Microsoft Sentinel al portale di Microsoft Defender
• Più aree di lavoro Microsoft Sentinel nel portale di Defender
• Estendere Microsoft Sentinel tra più aree di lavoro e tenant

Microsoft Sentinel nel portale di Azure verrà ritirato a luglio 2026

Microsoft Sentinel è disponibile a livello generale nel portale di Microsoft Defender, anche per i clienti senza Microsoft Defender XDR o una licenza E5. Ciò significa che è possibile usare Microsoft Sentinel nel portale di Defender anche se non si usano altri servizi Microsoft Defender.

A partire da luglio 2026, Microsoft Sentinel sarà supportato solo nel portale di Defender e tutti i clienti rimanenti che usano il portale di Azure verranno reindirizzati automaticamente.

Se attualmente si usa Microsoft Sentinel nel portale di Azure, è consigliabile iniziare a pianificare la transizione al portale di Defender per garantire una transizione senza problemi e sfruttare appieno l'esperienza di operazioni di sicurezza unificata offerta da Microsoft Defender.

Per altre informazioni, vedere:

• Microsoft Sentinel nel portale di Microsoft Defender
• Eseguire la transizione dell'ambiente Microsoft Sentinel al portale di Defender
• Pianificazione del passaggio al portale di Microsoft Defender per tutti i clienti Microsoft Sentinel (blog)

Giugno 2025

• Microsoft Sentinel Codeless Connector Platform (CCP) rinominato Codeless Connector Framework (CCF)
• Informazioni di riferimento sul connettore dati Microsoft Sentinel consolidato
• Modelli di regole di riepilogo ora in anteprima pubblica

Codeless Connector Platform (CCP) rinominato Codeless Connector Framework (CCF)

La Microsoft Sentinel Codeless Connector Platform (CCP) è stata rinominata codeless connector framework (CCF). Il nuovo nome riflette l'evoluzione della piattaforma ed evita confusione con altri servizi orientati alla piattaforma, garantendo allo stesso tempo la stessa facilità d'uso e flessibilità che gli utenti si aspettano.

Per altre informazioni, vedere Creare un connettore senza codice per Microsoft Sentinel.

Riferimento consolidato dei connettori dati di Microsoft Sentinel

La documentazione di riferimento del connettore è stata consolidata, unendo gli articoli del connettore separati in un'unica tabella di riferimento completa.

Puoi trovare il nuovo riferimento del connettore all'indirizzo Connettori dati di Microsoft Sentinel. Per altre informazioni, vedere Creare un connettore senza codice e Sbloccare il potenziale del framework codeless connector di Microsoft Sentinel e fare di più con Microsoft Sentinel più velocemente.

Modelli di regole di riepilogo ora in anteprima pubblica

È ora possibile usare i modelli di regole di riepilogo per distribuire regole di riepilogo predefinite personalizzate per scenari di sicurezza comuni. Questi modelli consentono di aggregare e analizzare in modo efficiente set di dati di grandi dimensioni, non richiedono competenze approfondite, riducono i tempi di installazione e garantiscono le procedure consigliate. Per altre informazioni, vedere Aggregare Microsoft Sentinel dati con regole di riepilogo (anteprima).

Maggio 2025

• Tutti i casi d'uso Microsoft Sentinel disponibili a livello generale nel portale di Defender
• Tabella IdentityInfo unificata
• Aggiunte al supporto di ottimizzazione SOC (anteprima)

Tutti i casi d'uso Microsoft Sentinel disponibili a livello generale nel portale di Defender

Tutti i casi d'uso di Microsoft Sentinel generalmente disponibili, incluse le funzionalità multitenant e multi-area di lavoro e il supporto per tutti i cloud governativi e commerciali, sono ora supportati e generalmente disponibili anche nel portale di Defender.

È consigliabile eseguire l'onboarding delle aree di lavoro nel portale di Defender per sfruttare le operazioni di sicurezza unificate. Per altre informazioni, vedere:

Per altre informazioni, vedere:

• Il meglio di Microsoft Sentinel - ora in Microsoft Defender (blog)
• Microsoft Sentinel nel portale di Microsoft Defender
• Eseguire la transizione dell'ambiente Microsoft Sentinel al portale di Defender

Tabella Unified IdentityInfo

I clienti di Microsoft Sentinel nel portale di Defender che hanno abilitato UEBA possono ora sfruttare una nuova versione della tabella IdentityInfo, disponibile nella sezione Ricerca avanzata del portale di Defender, che include il più grande set possibile di campi comuni ai portali Defender e Azure. Questa tabella unificata consente di arricchire le indagini sulla sicurezza nell'intero portale di Defender.

Per altre informazioni, vedere Tabella IdentityInfo.

Novità del supporto per l'ottimizzazione SOC (anteprima)

Supporto dell'ottimizzazione SOC per:

• Consigli AI per l'assegnazione di tag MITRE ATT&CK (Anteprima): usa l'intelligenza artificiale per suggerire l'assegnazione di tag ai rilevamenti di sicurezza in base alle tattiche e tecniche MITRE ATT&CK.
• Raccomandazioni basate sui rischi (anteprima): consiglia di implementare controlli per risolvere le lacune di copertura legate ai casi d'uso che possono comportare rischi aziendali o perdite finanziarie, inclusi rischi operativi, finanziari, reputazionali, di conformità e legali.

Per altre informazioni, vedere Informazioni di riferimento sull'ottimizzazione SOC.

Aprile 2025

• Microsoft Sentinel soluzione per Microsoft Business Apps disponibile a livello generale nel portale di Azure
• Security Copilot genera riepiloghi degli eventi imprevisti in Microsoft Sentinel nel portale di Azure (anteprima)
• Supporto per più aree di lavoro e multi-tenant per Microsoft Sentinel nel portale Defender (anteprima)
• Microsoft Sentinel inserisce ora tutti gli oggetti e gli indicatori STIX in nuove tabelle di intelligence sulle minacce (anteprima)
• Supporto per l'ottimizzazione SOC per le colonne non utilizzate (Anteprima)

Microsoft Sentinel soluzione per Microsoft Business Apps disponibile a livello generale nel portale di Azure

La soluzione Microsoft Sentinel per Microsoft Business Apps è ora disponibile a livello generale nel portale di Azure.

Security Copilot genera riepiloghi degli eventi imprevisti in Microsoft Sentinel nel portale di Azure (anteprima)

Microsoft Sentinel nel portale di Azure ora include riepiloghi degli eventi imprevisti (in anteprima) generati da Security Copilot, allineandoli al portale di Defender. Questi riepiloghi forniscono agli analisti della sicurezza le informazioni iniziali necessarie per comprendere, valutare e iniziare rapidamente ad analizzare gli eventi imprevisti.

Per altre informazioni, vedi Riepilogare gli incidenti di Microsoft Sentinel con Security Copilot.

Supporto per più aree di lavoro e multi-tenant per Microsoft Sentinel nel portale Defender (Anteprima)

Per l'anteprima, nel portale di Defender connettersi a un'area di lavoro primaria e a più aree di lavoro secondarie per Microsoft Sentinel. Se si esegue l'onboarding di Microsoft Sentinel con Defender XDR, gli avvisi di un'area di lavoro primaria sono correlati ai dati Defender XDR. Gli eventi imprevisti includono quindi avvisi provenienti dall'area di lavoro principale di Microsoft Sentinel e Defender XDR. Tutte le altre aree di lavoro di cui è stato effettuato l'onboarding sono considerate aree di lavoro secondarie. Gli incidenti vengono creati in base ai dati dell'area di lavoro e non includeranno i dati di Defender XDR.

• Se si prevede di usare Microsoft Sentinel nel portale di Defender senza Defender XDR, è possibile gestire più aree di lavoro. Tuttavia, l'area di lavoro primaria non include i dati di Defender XDR e non si avrà accesso alle funzionalità di Defender XDR.
• Se si lavora con più tenant e più aree di lavoro per tenant, è anche possibile usare la gestione multi-tenant di Microsoft Defender per visualizzare incidenti e avvisi e cercare dati in Advanced hunting tra più aree di lavoro e tenant.

Per altre informazioni, vedere gli articoli seguenti:

• Più aree di lavoro Microsoft Sentinel nel portale di Defender
• Connettere Microsoft Sentinel al portale di Microsoft Defender
• gestione multi-tenant di Microsoft Defender
• Visualizzare e gestire incidenti e avvisi nella gestione multi-tenant di Microsoft Defender
• Ricerca avanzata nella gestione multi-tenant di Microsoft Defender

Microsoft Sentinel inserisce ora tutti gli oggetti e gli indicatori STIX in nuove tabelle di intelligence sulle minacce (anteprima)

Microsoft Sentinel inserisce ora gli oggetti e gli indicatori STIX nelle nuove tabelle di intelligence sulle minacce, ThreatIntelIndicators e ThreatIntelObjects. Le nuove tabelle supportano il nuovo schema STIX 2.1, che consente di inserire ed eseguire query su vari oggetti di Intelligence sulle minacce, tra cui identity, attack-patternthreat-actore relationship.

Microsoft Sentinel acquisirà tutta l'intelligence sulle minacce nelle nuove tabelle ThreatIntelIndicators e ThreatIntelObjects, continuando al contempo ad acquisire gli stessi dati nella tabella legacy ThreatIntelligenceIndicator fino al 31 luglio 2025.

Assicurarsi di aggiornare query personalizzate, regole di analisi e rilevamento, cartelle di lavoro e automazione per usare le nuove tabelle entro il 31 luglio 2025. Dopo questa data, Microsoft Sentinel smetterà di inserire i dati nella tabella legacyThreatIntelligenceIndicator. Stiamo aggiornando tutte le soluzioni predefinite di threat intelligence in Content hub per sfruttare le nuove tabelle.

Per altre informazioni, vedere gli articoli seguenti:

• Intelligence sulle minacce in Microsoft Sentinel
• Usare gli oggetti e gli indicatori STIX per migliorare l'intelligence sulle minacce e la ricerca delle minacce in Microsoft Sentinel (anteprima)

Supporto per l'ottimizzazione SOC per le colonne inutilizzate (Anteprima)

Per ottimizzare il rapporto costi/valore di sicurezza, l'ottimizzazione SOC presenta tabelle o connettori dati poco usati. L'ottimizzazione SOC ora visualizza le colonne non usate nelle tabelle. Per altre informazioni, vedere Informazioni di riferimento sull'ottimizzazione SOC delle raccomandazioni.

Passaggi successivi