Gestire gli eventi imprevisti di sicurezza in Microsoft Defender per il cloud

Triare e indagare sugli avvisi di sicurezza può richiedere molto tempo, anche per analisti di sicurezza esperti. Per molte persone, può essere difficile sapere da dove cominciare.

Defender per il cloud usa l'analisi per connettere le informazioni tra avvisi di sicurezza distinti. Utilizzando le connessioni tra gli avvisi di sicurezza correlati, Defender per il cloud offre una visuale unica di una campagna di attacco e degli avvisi correlati. Questa visuale ti aiuta a comprendere le azioni degli attaccanti e le risorse interessate. Per maggiori informazioni, consulta Avvisi di sicurezza in Defender per il cloud e Manage e rispondi agli avvisi di sicurezza.

Questo articolo fornisce una panoramica degli incidenti in Defender per il cloud.

Che cos'è un evento imprevisto della sicurezza?

In Defender per il cloud, un incidente di sicurezza è un'aggregazione di tutti gli avvisi relativi a una risorsa che sono in linea con gli schemi della kill chain. Gli incidenti appaiono nella pagina degli avvisi di sicurezza. Selezionare un evento imprevisto per visualizzare gli avvisi correlati e ottenere altre informazioni. Per i dettagli sulle tattiche, consulta tattiche di MITRE ATT&CK.

Gestire gli eventi imprevisti della sicurezza

Esegui i seguenti passaggi per individuare e gestire gli incidenti di sicurezza in Defender per il cloud:

1. Nella pagina degli avvisi di sicurezza di Defender per il cloud, usa il filtro Aggiungi per filtrare per nome dell'avviso per il nome dell'avviso Incidente di sicurezza rilevato su più risorse.

   

   L'elenco è ora filtrato per visualizzare solo gli eventi imprevisti. Gli incidenti di sicurezza hanno un'icona diversa dagli allerti di sicurezza.

   

2. Per visualizzare i dettagli di un evento imprevisto, selezionare uno dall'elenco. Appare un pannello con più dettagli sull'incidente.

   

3. Per visualizzare altri dettagli, selezionare Visualizza dettagli completi.

   

   Il pannello sinistro della pagina dell'incidente di sicurezza mostra informazioni di alto livello sull'incidente di sicurezza, inclusi titolo, gravità, stato, tempo di attività, descrizione e la risorsa interessata. Accanto alla risorsa interessata, puoi vedere i tag Azure rilevanti. Usa i tag Azure mostrati accanto alla risorsa interessata per dedurre il contesto organizzativo della risorsa durante l'indagine sull'avviso.

   Il riquadro destro include la scheda Avvisi con gli avvisi di sicurezza correlati come parte di questo evento imprevisto.

   Tip

   Per altre informazioni su un avviso specifico, selezionarlo.

   

4. Per passare alla scheda Prendi azione , seleziona la scheda o il pulsante Prendi azione in basso nel pannello destro. Usare questa scheda per eseguire altre azioni, ad esempio:

   • Mitigare la minaccia: fornisce passaggi manuali di bonifica per questo incidente di sicurezza.
   • Prevenire attacchi futuri: fornisce raccomandazioni di sicurezza per aiutare a ridurre la superficie di attacco, aumentare la postura di sicurezza e prevenire attacchi futuri.
   • Attiva la risposta automatica: offre l'opzione di attivare un'app Logic come risposta a questo incidente di sicurezza.
   • Sopprimere avvisi simili: offre l'opzione di sopprimere avvisi futuri con caratteristiche simili se l'avviso non è rilevante per la tua organizzazione.

   Note

   Un allarme di sicurezza può apparire sia come parte di un incidente sia come allarme autonomo.

5. Per mitigare le minacce nell'incidente, segui i passaggi di correzione forniti con ogni avviso.

Contenuti correlati

• Avvisi di sicurezza in Defender per il cloud

Passo successivo