Gestire gli eventi imprevisti di sicurezza in Microsoft Defender per il cloud

La valutazione e l'analisi degli avvisi di sicurezza possono richiedere tempo anche per gli analisti della sicurezza più esperti. Per molti, è difficile capire da dove iniziare.

Defender per il cloud usa l'analisi per connettere le informazioni tra avvisi di sicurezza distinti. Per informazioni dettagliate sugli avvisi, vedere Avvisi di sicurezza in Defender per il cloud e Gestisci e rispondi agli avvisi di sicurezza. Utilizzando le connessioni tra gli avvisi di sicurezza correlati, Defender per il cloud offre una visuale unica di una campagna di attacco e degli avvisi correlati, aiutandoti a comprendere le azioni degli attaccanti e le risorse interessate.

Questa pagina offre una panoramica degli eventi imprevisti in Defender per il cloud.

Che cos'è un evento imprevisto della sicurezza?

In Defender per il cloud, un incidente di sicurezza è un'aggregazione di tutti gli avvisi relativi a una risorsa che sono in linea con gli schemi della kill chain. Per informazioni dettagliate sulle tattiche, vedere tattiche MITRE ATT&CK. Gli eventi imprevisti vengono visualizzati nella pagina Avvisi di sicurezza. Selezionare un evento imprevisto per visualizzare gli avvisi correlati e ottenere altre informazioni.

Gestire gli eventi imprevisti della sicurezza

Esegui i seguenti passaggi per individuare e gestire gli incidenti di sicurezza in Defender per il cloud:

1. Nella pagina degli avvisi di sicurezza di Defender per il cloud usare il pulsante Aggiungi filtro per filtrare in base al nome dell'avviso Rilevato evento imprevisto di sicurezza in più risorse.

   

   L'elenco è ora filtrato per visualizzare solo gli eventi imprevisti. Si noti che gli eventi imprevisti per la sicurezza hanno un'icona diversa rispetto agli avvisi di sicurezza.

   

2. Per visualizzare i dettagli di un evento imprevisto, selezionare uno dall'elenco. Viene visualizzato un riquadro laterale con altri dettagli sull'evento imprevisto.

   

3. Per visualizzare altri dettagli, selezionare Visualizza dettagli completi.

   

   Il riquadro a sinistra della pagina Evento imprevisto per la sicurezza mostra le informazioni generali relative all'evento imprevisto per la sicurezza, come titolo, gravità, stato, orario dell'attività, descrizione e risorsa interessata. Accanto alla risorsa interessata è possibile visualizzare i tag di Azure pertinenti. Usa i tag Azure mostrati accanto alla risorsa interessata per dedurre il contesto organizzativo della risorsa durante l'indagine sull'avviso.

   Il riquadro destro include la scheda Avvisi con gli avvisi di sicurezza correlati come parte di questo evento imprevisto.

   Tip

   Per altre informazioni su un avviso specifico, selezionarlo.

   

   Per passare alla scheda Prendi azione , seleziona la scheda o il pulsante Prendi azione in basso nel pannello destro. Usare questa scheda per eseguire altre azioni, ad esempio:

   • Attenuare la minaccia : fornisce passaggi di correzione manuali per questo evento imprevisto di sicurezza
   • Prevenire attacchi futuri: fornisce raccomandazioni sulla sicurezza per ridurre la superficie di attacco, aumentare il comportamento di sicurezza e prevenire attacchi futuri
   • Attivare la risposta automatica: offre l'opzione per attivare un'app per la logica come risposta a questo evento imprevisto di sicurezza
   • Elimina avvisi simili : consente di eliminare gli avvisi futuri con caratteristiche simili se l'avviso non è pertinente per l'organizzazione

   Note

   Un allarme di sicurezza può apparire sia come parte di un incidente sia come allarme autonomo.

4. Per mitigare le minacce nell'incidente, segui i passaggi di correzione forniti con ogni avviso.

Contenuti correlati

• Avvisi di sicurezza in Defender per il cloud

Passaggi successivi