Gestire e rispondere agli avvisi di sicurezza

Microsoft Defender per il cloud raccoglie, analizza e integra i dati di log provenienti dalle tue risorse Azure, ibride e multicloud, dalla rete e dalle soluzioni partner connesse, come firewall e endpoint agent. Defender per il cloud usa i dati di log per rilevare minacce reali e ridurre i falsi positivi. Defender per il cloud mostra un elenco di avvisi di sicurezza prioritizzati insieme alle informazioni necessarie per indagare rapidamente sul problema e ai passaggi da seguire per risolvere un attacco.

Visualizza, investiga e rispondi agli avvisi di sicurezza in Defender per il cloud

Questo articolo illustra come visualizzare ed elaborare gli avvisi di Defender per il cloud e proteggere le risorse.

Quando trii gli avvisi di sicurezza, dai priorità agli avvisi in base alla loro gravità. Affronta prima gli avvisi di gravità più elevata. Per saperne di più, scopri come vengono classificati gli avvisi.

Prerequisiti

Per i prerequisiti e i requisiti, vedere Matrici di supporto per Defender per il cloud.

Gestire gli avvisi di sicurezza

Segui questi passaggi:

1. Accedi al portale di Azure.

2. Passare a Microsoft Defender per il cloud>Sicurezza avvisi.

   

3. (Facoltativo) Filtrare l'elenco degli avvisi con uno dei filtri pertinenti. Aggiungi filtri extra selezionando Aggiungi filtro.

   

   Gli avvisi elencano gli aggiornamenti in base ai filtri che scegli. Ad esempio, potresti voler affrontare gli allerti di sicurezza avvenuti nelle ultime 24 ore per indagare su una possibile violazione del sistema.

Analizzare un avviso di sicurezza

Ogni avviso contiene informazioni che ti aiutano a indagare sull'avviso.

Per analizzare un avviso di sicurezza:

1. Selezionare un avviso. Si apre un pannello che mostra una descrizione dell'allarme e di tutte le risorse interessate.

   

2. Esaminare le informazioni generali sull'avviso di sicurezza.

   • Gravità dell'avviso, stato e tempo attività
   • Descrizione che spiega l'attività precisa rilevata
   • Risorse interessate
   • Finalità kill chain della matrice MITRE ATT&CK, se applicabile

3. Selezionare Visualizza dettagli completi.

   Il pannello destro include la scheda Dettagli degli Avvisi che contiene ulteriori dettagli per aiutarti a indagare sull'avviso, come indirizzi IP, file e processi.

   

   Il pannello destro include anche la scheda Prendi azione . Usa questa scheda per effettuare ulteriori azioni riguardo all'allerta di sicurezza, come:

   • Ispeziona il contesto della risorsa: ti porta ai log di attività della risorsa che supportano l'allarme di sicurezza.
   • Mitiga la minaccia: Fornisce passaggi manuali per la correzione di questo avviso di sicurezza.
   • Prevenire attacchi futuri: fornisce raccomandazioni di sicurezza per ridurre la superficie di attacco, aumentare la postura di sicurezza e quindi prevenire attacchi futuri.
   • Attiva la risposta automatica: Offre l'opzione di attivare un'app logica come risposta a questo allarme di sicurezza.
   • Sopprimere avvisi simili: offre l'opzione di sopprimere avvisi futuri con caratteristiche simili se l'avviso non è rilevante per la tua organizzazione.

   

   Per saperne di più sull'allarta, contatta il proprietario della risorsa per verificare se l'attività rilevata sia un falso positivo. Puoi anche indagare sui log grezzi generati dalla risorsa attaccata.

Modificare lo stato di più avvisi di sicurezza contemporaneamente

L'elenco degli avvisi include caselle di controllo che consentono di gestire più avvisi contemporaneamente. Ad esempio, a scopo di valutazione, è possibile decidere di ignorare tutti gli avvisi informativi per una risorsa specifica.

1. Filtrare in base agli avvisi da gestire in blocco.

   In questo esempio vengono selezionati gli avvisi di gravità Informational per la risorsa ASC-AKS-CLOUD-TALK.

   

2. Usa le caselle di spunta per selezionare gli avvisi da elaborare.

   In questo esempio, selezioni tutti gli avvisi. Il pulsante Cambia stato è ora disponibile.

   

3. Usare le opzioni Cambia stato per impostare lo stato desiderato.

   

   Cambia lo stato degli avvisi mostrati nella pagina degli avvisi di sicurezza al valore selezionato.

Rispondere a un avviso di sicurezza

Dopo aver esaminato un avviso di sicurezza, è possibile rispondere all'avviso da Microsoft Defender per il cloud.

Per rispondere a un allarme di sicurezza:

1. Aprire la scheda Azione per visualizzare le risposte consigliate.

   

2. Esaminare la sezione Attenuare la minaccia per i passaggi di indagine manuali necessari per attenuare il problema.

3. Per rafforzare le risorse e prevenire attacchi futuri di questo tipo, correggere le raccomandazioni sulla sicurezza nella sezione Impedire attacchi futuri .

4. Per attivare un'app per la logica con passaggi di risposta automatizzati, usare la sezione Trigger automated response (Attiva risposta automatizzata ) e selezionare Trigger logic app (Attiva app per la logica).

5. Se l'attività rilevata non è malevola, puoi sopprimere futuri avvisi di questo tipo utilizzando la sezione Sopprimi avvisi simili e selezionando Crearegola di soppressione.

6. Seleziona Configura impostazioni di notifica email per vedere chi riceve email riguardo agli avvisi di sicurezza su questo abbonamento. Contatta il proprietario dell'abbonamento per configurare le impostazioni della posta elettronica.

7. Quando completi l'indagine sull'allarme e rispondi nel modo appropriato, cambia lo stato in Archiviato.

   

   L'avviso viene rimosso dall'elenco di avvisi principale. È possibile usare il filtro dalla pagina elenco avvisi per visualizzare tutti gli avvisi con stato Ignorato .

8. Ti invitiamo a fornire commenti e suggerimenti sull'avviso a Microsoft:

   1. Per È stato utile?, seleziona Sì o No.
   2. Selezionare un motivo e aggiungere un commento.

   

Per conoscere i tipi di allarme, consulta Allerti di sicurezza - una guida di riferimento.

Per informazioni su come Defender per il cloud rileva e risponde alle minacce, vedi Come Microsoft Defender per il cloud rileva e risponde alle minacce.

Esaminare i risultati dell'analisi senza agente

Puoi vedere i risultati sia per gli scanner basati su agenti che per quelli senza agente nella pagina degli avvisi di sicurezza .

Contenuti correlati

• Configurare le regole di eliminazione degli avvisi
• Guida di riferimento per gli avvisi di sicurezza

Passo successivo