Eseguire la transizione dell'ambiente Microsoft Sentinel al portale di Defender

Microsoft Sentinel è disponibile nel portale di Microsoft Defender con Microsoft Defender XDR o autonomamente. Offre un'esperienza unificata in SIEM e XDR per un rilevamento e una risposta più veloci e accurati delle minacce, flussi di lavoro più semplici e una migliore efficienza operativa.

Questo articolo illustra come eseguire la transizione dell'esperienza di Microsoft Sentinel dal portale di Azure al portale di Defender. Se si usa Microsoft Sentinel nel portale di Azure, passare a Microsoft Defender per le operazioni di sicurezza unificata e le funzionalità più recenti. Prima di iniziare, consulta i Prerequisiti per la transizione alla sezione del portale Defender per accedere necessariamente e i passaggi preparatori. Per maggiori informazioni, consulta Microsoft Sentinel nel portale Microsoft Defender o guarda la nostra playlist video Microsoft Sentinel nel portale Defender.

Nota

La transizione al portale di Defender, anche per i clienti non E5, non comporta costi aggiuntivi per il cliente. Il cliente continua a essere fatturato come di consueto solo per il consumo relativo a Sentinel.

Prerequisiti

Prima di iniziare, tenere presente quanto segue:

Pianificare e configurare l'ambiente di transizione

Destinatari: Architetti della sicurezza

Video:

Rivedere le linee guida per la pianificazione, completare i prerequisiti e eseguire l'onboarding

Esaminare tutte le linee guida per la pianificazione e completare tutti i prerequisiti prima di eseguire l'onboarding dell'area di lavoro nel portale di Defender. Per altre informazioni, vedere gli articoli seguenti:

Esaminare le differenze per l'archiviazione e la privacy dei dati

Quando si usa il portale di Azure, si applicano i criteri di Microsoft Sentinel per l'archiviazione, il processo, la conservazione e la condivisione dei dati. Quando si usa il portale di Defender, vengono applicati i criteri di Microsoft Defender XDR, anche quando si usano dati Microsoft Sentinel.

Nella tabella seguente sono disponibili altri dettagli e collegamenti che consentono di confrontare le esperienze tra i portali Azure e Defender.

Area di supporto Portale di Azure Portale di Defender
Continuità aziendale e ripristino di emergenza (BCDR) I clienti sono responsabili della replica dei dati Microsoft Defender usa l'automazione per BCDR nei piani di controllo.
Trattamento e archiviazione dei dati - Percorso di archiviazione dati
- Aree supportate		 Percorso di archiviazione dati
Conservazione dei dati Conservazione dei dati Conservazione dei dati
Condivisione dati Condivisione dati Condivisione dati

Per altre informazioni sull'archiviazione e la privacy dei dati, vedere Disponibilità geografica e residenza dei dati in Microsoft Sentinel e Sicurezza e conservazione dei dati in Microsoft Defender XDR.

Configurazione iniziale nel portale Defender con chiavi gestite dal cliente (CMK)

Importante

La crittografia cmk non è completamente supportata per i dati archiviati nel data lake Microsoft Sentinel. Tutti i dati inseriti nel data lake, ad esempio tabelle personalizzate o dati trasformati, vengono crittografati usando chiavi gestite da Microsoft.

Se cmk è stato abilitato prima dell'onboarding, quando si esegue l'onboarding dell'area di lavoro abilitata per Microsoft Sentinel nel portale di Defender, tutti i dati di log nell'area di lavoro continuano a essere crittografati con CMK, inclusi i dati inseriti in precedenza e quelli appena inseriti.

Anche le regole di analisi e altri contenuti Sentinel, ad esempio le regole di automazione, continuano a essere crittografati tramite CMK. Tuttavia, gli avvisi e gli eventi imprevisti non saranno più crittografati con CMK dopo l'onboarding.

Per altre informazioni su CMK, vedere Configurare Microsoft Sentinel chiave gestita dal cliente.

Configurare la gestione di più aree di lavoro e multi-tenant

Defender supporta uno o più spazi di lavoro su più tenant tramite il portale multitenant Microsoft Defender, che funge da luogo centrale per gestire incidenti e avvisi, cercare minacce tra i tenant e permette ai Managed Security Service Partners (MSSP) di vedere tra i clienti.

Negli scenari con più aree di lavoro, il portale multi-tenant consente di connettere un'area di lavoro primaria e più aree di lavoro secondarie per ogni tenant. Effettuare l'onboarding di ogni spazio di lavoro sul portale Defender separatamente per ciascun tenant, proprio come si fa per un singolo tenant.

Per ulteriori informazioni sulla configurazione multi-tenant e con più aree di lavoro, vedere:

Configurare ed esaminare le impostazioni e il contenuto

Destinatari: Tecnici della sicurezza

Video: Gestione dei connettori in Microsoft Defender

Confermare e configurare la raccolta dati

Quando Microsoft Sentinel è integrato con Microsoft Defender, l'architettura fondamentale della raccolta dati e del flusso di telemetria rimane intatta. I connettori dati non Microsoft esistenti continuano a funzionare senza interruzioni. Tuttavia, l'acquisizione degli avvisi per i prodotti di sicurezza Microsoft cambia dopo l'onboarding nel portale Defender con Microsoft Defender XDR. Gli avvisi dei prodotti di sicurezza Microsoft vengono instradati tramite il connettore Microsoft Defender XDR anziché tramite i connettori di avviso dedicati dei singoli prodotti di sicurezza Microsoft.

Negli ambienti con più aree di lavoro il connettore Microsoft Defender XDR è connesso solo all'area di lavoro primaria. Per evitare avvisi duplicati basati su tenant in aree di lavoro, connettori dati autonomi per Microsoft Defender per Office 365, Microsoft Entra ID Protection, Microsoft Defender for Cloud Apps Microsoft Defender per endpoint e Microsoft Defender per identità vengono disconnessi automaticamente nelle aree di lavoro secondarie durante l'onboarding. Di conseguenza, gli avvisi basati su tenant di questi prodotti di sicurezza Microsoft sono disponibili solo nell'area di lavoro primaria.

Dal punto di vista Log Analytics, l'integrazione di Microsoft Sentinel in Microsoft Defender non cambia il modo in cui Microsoft Sentinel archivia i dati di log in Log Analytics. Nonostante l'unificazione front-end, il back-end Microsoft Sentinel rimane completamente integrato con Log Analytics per l'archiviazione, la ricerca e la correlazione dei dati.

Gli avvisi relativi ai prodotti Defender vengono trasmessi direttamente dal connettore Microsoft Defender per garantire la coerenza. Assicurarsi che gli incidenti e gli avvisi provenienti da questo connettore siano attivati nell'area di lavoro. Dopo aver configurato questo connettore dati nel tuo spazio di lavoro, la rimozione dell'area di lavoro da Microsoft Defender scollega anche il connettore di Microsoft Defender.

Nota

Questa modifica del routing dei connettori provoca differenze nello schema per alcuni allarmi. Per un confronto dettagliato, vedere Differenze dello schema degli avvisi: Standalone e Microsoft Defender XDR connector.

Per eseguire la migrazione delle impostazioni di creazione degli incidenti e di raggruppamento degli avvisi delle regole di analisi, vedere Eseguire la migrazione delle regole di creazione degli incidenti di Microsoft Sentinel e delle impostazioni di raggruppamento degli avvisi in Defender XDR.

Per altre informazioni, vedere Connettere dati da Microsoft Defender a Microsoft Sentinel.

Integrazione con Microsoft Defender per il cloud

Esaminare le azioni specifiche del connettore seguenti per evitare eventi duplicati durante l'integrazione di Microsoft Defender per il cloud con il portale di Defender:

  • Se si usa il connettore dati basato su tenant per Defender per il cloud, assicurarsi di intervenire per evitare eventi e avvisi duplicati.
  • Se invece si usa il connettore legacy basato su sottoscrizione, assicurarsi di disattivare la sincronizzazione di incidenti e avvisi con Microsoft Defender.

Per altre informazioni, vedere Avvisi ed eventi imprevisti in Microsoft Defender.

Visibilità del connettore dati nel portale di Defender

Dopo l'onboarding dell'area di lavoro in Defender, i connettori dati seguenti vengono usati per le operazioni di sicurezza unificata e non vengono visualizzati nella pagina Connettori dati nel portale di Defender:

  • Microsoft Defender for Cloud Apps per la sicurezza delle app cloud
  • Microsoft Defender per i punti finali
  • Microsoft Defender per identità
  • Microsoft Defender per Office 365 (anteprima)
  • Microsoft Defender XDR
  • Microsoft Defender per il cloud in abbonamento (Legacy)
  • Microsoft Defender per il cloud basato su tenant (Anteprima)

Questi connettori dati continuano a essere elencati in Microsoft Sentinel nel portale di Azure.

Configurare l'ecosistema

Anche se Workspace Manager di Microsoft Sentinel non è disponibile nel portale Defender, usa una delle seguenti funzionalità alternative per distribuire contenuti come codice nelle varie aree di lavoro:

In caso contrario, continuare a distribuire pacchetti di soluzioni che includono vari tipi di contenuto di sicurezza dall'hub contenuto nel portale di Defender. Per ulteriori informazioni, vedere Individuare e gestire il contenuto predefinito di Microsoft Sentinel.

Configurare le regole di analisi

Le regole di analisi di Microsoft Sentinel sono disponibili nel portale Defender per rilevamento, configurazione e gestione. Per ulteriori informazioni, consulta la configurazione di Microsoft Sentinel nel portale Defender. Le funzionalità delle regole di analisi rimangono invariate, incluse la creazione, l'aggiornamento e la gestione tramite la procedura guidata, i repository e l'API Microsoft Sentinel. La correlazione degli eventi imprevisti e il rilevamento degli attacchi in più fasi continuano a funzionare anche nel portale di Defender. La funzionalità di correlazione degli avvisi gestita dalla regola di analisi fusion nel portale di Azure viene gestita dal motore di Defender XDR nel portale di Defender, che consolida tutti i segnali in un'unica posizione.

Quando si passa al portale di Defender, è importante notare le modifiche seguenti:

Funzionalità Descrizione
Regole di rilevamento personalizzate Se si hanno casi d'uso di rilevamento che coinvolgono dati sia Defender XDR che Microsoft Sentinel, in cui non è necessario conservare i dati Defender XDR per più di 30 giorni, è consigliabile creare regole di rilevamento personalizzate che eseguono query sui dati da Microsoft Sentinel e Defender XDR tabelle.

È supportata la creazione di regole di rilevamento personalizzate che interrogano entrambe le sorgenti senza dover inghirare dati Defender XDR in Microsoft Sentinel. Per altre informazioni, vedi Usare le funzioni personalizzate di Microsoft Sentinel nella ricerca avanzata in Microsoft Defender.
Correlazione degli avvisi Nel portale di Defender le correlazioni vengono applicate automaticamente agli avvisi relativi ai dati Microsoft Defender e ai dati di terze parti inseriti da Microsoft Sentinel, indipendentemente dagli scenari di avviso.

I criteri usati per correlare gli avvisi in un singolo evento imprevisto fanno parte della logica di correlazione interna proprietaria del portale di Defender. Per altre informazioni, vedere Correlazione degli avvisi e unione di eventi imprevisti nel portale di Defender.
Raggruppamento di avvisi e unione di eventi imprevisti Anche se la configurazione del raggruppamento degli avvisi viene ancora visualizzata nelle regole di Analisi, il motore di correlazione Defender XDR controlla completamente il raggruppamento degli avvisi e l'unione degli eventi imprevisti quando necessario nel portale di Defender. In questo modo si garantisce una visualizzazione completa della storia di attacco completa raggruppando gli avvisi pertinenti per gli attacchi in più fasi.

Ad esempio, più regole di analisi individuali configurate per generare un incidente per ogni avviso possono dare origine a incidenti unificati se corrispondono alla logica di correlazione di Defender XDR.
Visibilità degli avvisi Se sono state configurate regole di analisi Microsoft Sentinel solo per attivare gli avvisi (vedere Configurare le impostazioni di creazione degli eventi imprevisti), con la creazione degli eventi imprevisti disattivata, questi avvisi non sono visibili nel portale di Defender.
Ottimizzazione degli avvisi Una volta che l'area di lavoro di Microsoft Sentinel è stata integrata in Defender, tutti gli incidenti, compresi quelli provenienti dalle regole di analisi di Microsoft Sentinel, vengono generati dal motore Defender XDR. Di conseguenza, le funzionalità di ottimizzazione degli avvisi nel portale di Defender, precedentemente disponibili solo per gli avvisi Defender XDR, possono ora essere applicate agli avvisi da Microsoft Sentinel.

La regolazione degli avvisi permette di semplificare la risposta agli incidenti automatizzando la risoluzione degli avvisi comuni, riducendo i falsi positivi e minimizzando il rumore, così che gli analisti possano dare priorità agli incidenti di sicurezza significativi.
Fusion: rilevamento avanzato degli attacchi a più stati La regola di analisi di Fusion, che nel portale di Azure crea eventi imprevisti in base alle correlazioni degli avvisi effettuate dal motore di correlazione Fusion, viene disabilitata quando si esegue l'onboarding di Microsoft Sentinel nel portale di Defender.

Non si perde la funzionalità di correlazione degli avvisi perché il portale di Defender usa le funzionalità di creazione e correlazione degli eventi imprevisti di Microsoft Defender XDR per sostituire quelle del motore Fusion.

Per altre informazioni, vedere Rilevamento avanzato degli attacchi multistage in Microsoft Sentinel

Configurare regole di automazione e playbook

In Microsoft Sentinel, i playbook si basano su flussi di lavoro creati in App per la logica di Azure, un servizio cloud che consente di pianificare, automatizzare e orchestrare attività e flussi di lavoro tra i sistemi dell'intera organizzazione.

Le limitazioni seguenti si applicano alle regole di automazione Microsoft Sentinel e ai playbook quando si lavora nel portale di Defender. Potrebbe essere necessario apportare alcune modifiche all'ambiente durante la transizione.

Funzionalità Descrizione
Regole di automazione con trigger di avviso Nel portale di Defender le regole di automazione con trigger di avviso agiscono solo sugli avvisi Microsoft Sentinel. Per automatizzare le risposte anche agli avvisi Defender XDR, usare il trigger di avviso avanzato.

Per altre informazioni, vedere Trigger di creazione di avvisi.
Regole di automazione con trigger di eventi imprevisti Sia nel portale di Azure che nel portale di Defender, la proprietà condizione del provider di eventi imprevisti viene rimossa, in quanto tutti gli eventi imprevisti hanno Microsoft XDR come provider di eventi imprevisti (il valore nel campo ProviderName).

A quel punto, tutte le regole di automazione esistenti vengono eseguite sia per gli incidenti di Microsoft Sentinel sia per quelli di Microsoft Defender XDR, compresi quelli in cui la condizione Provider dell'incidente è impostata solo su Microsoft Sentinel o Microsoft 365 Defender.

Tuttavia, le regole di automazione che specificano un nome di regola di analisi specifico vengono eseguite solo in caso di eventi imprevisti che contengono avvisi creati dalla regola di analisi specificata. Ciò significa che è possibile definire la proprietà della condizione del nome della regola di analisi in una regola di analisi che esiste solo in Microsoft Sentinel per limitare l'esecuzione della regola in caso di eventi imprevisti solo in Microsoft Sentinel.

Inoltre, dopo l'onboarding nel portale di Defender, la tabella SecurityIncident non include più un campo Descrizione . Quindi:

- Se si usa questo campo Descrizione come condizione per una regola di automazione con un trigger di creazione di eventi imprevisti, tale regola di automazione non funzionerà dopo l'onboarding nel portale di Defender. In questi casi, assicurarsi di aggiornare la configurazione in modo appropriato. Per ulteriori informazioni, vedi Condizioni di attivazione dell'incidente.
- Se si dispone di un'integrazione configurata con un sistema di ticketing esterno, ad esempio ServiceNow, la descrizione dell'evento imprevisto non sarà presente.
Latenza nei trigger del playbook Potrebbero essere necessari fino a 5 minuti perché gli incidenti di Microsoft Defender vengano visualizzati in Microsoft Sentinel. Se questo ritardo è presente, anche l'attivazione del playbook subisce un ritardo.
Finestra di invio in batch di automazione Se vengono apportate più modifiche allo stesso evento imprevisto in un periodo di 5-10 minuti, viene inviato un singolo aggiornamento a Microsoft Sentinel, con solo la modifica più recente. Gli aggiornamenti intermedi vengono persi, che possono influire sui flussi di lavoro che dipendono dall'elaborazione di modifiche sequenziali dello stato degli eventi imprevisti.

Per altre informazioni, vedere Trigger di aggiornamento degli eventi imprevisti.
Modifiche ai nomi degli eventi imprevisti esistenti Il portale di Defender usa un motore univoco per correlare eventi imprevisti e avvisi. Quando si effettua l'onboarding dell'area di lavoro nel portale Defender, i nomi degli incidenti esistenti potrebbero essere modificati se viene applicata la correlazione. Per garantire che le regole di automazione vengano sempre eseguite correttamente, è consigliabile evitare di usare i titoli degli eventi imprevisti come criteri di condizione nelle regole di automazione e suggerire invece di usare il nome di qualsiasi regola di analisi che ha creato avvisi inclusi nell'evento imprevisto e tag se è necessaria una maggiore specificità.
Aggiornato in base al campo Dopo l'onboarding dell'area di lavoro, il campo Aggiornato da include un nuovo set di valori supportati, che non includono più Microsoft 365 Defender. Nelle regole di automazione esistenti, Microsoft 365 Defender viene sostituito dal valore Altro dopo l'integrazione dell'area di lavoro.
Creazione di regole di automazione direttamente da un evento imprevisto La creazione di regole di automazione direttamente da un evento imprevisto è supportata solo nel portale di Azure. Se lavori nel portale Defender, crea da zero le regole di automazione nella pagina Automazione.
Regole di creazione di eventi imprevisti Microsoft Le regole di creazione di eventi imprevisti Microsoft non sono supportate nel portale di Defender.

Per altre informazioni, vedere gli eventi imprevisti di Microsoft Defender XDR e le regole di creazione degli eventi imprevisti di Microsoft.
Esecuzione di regole di automazione dal portale di Defender Potrebbero essere necessari fino a 10 minuti dal momento in cui viene attivato un avviso e viene creato o aggiornato un evento imprevisto nel portale di Defender a quando viene eseguita una regola di automazione. Questo ritardo è dovuto al fatto che l'evento imprevisto viene creato nel portale di Defender e quindi inoltrato a Microsoft Sentinel per la regola di automazione.
Scheda dei playbook attivi Dopo l'integrazione nel portale Defender, per impostazione predefinita la scheda Playbook attivi mostra un filtro predefinito con l'abbonamento dell'area di lavoro integrata. Nel portale di Azure aggiungere dati per altre sottoscrizioni usando il filtro di sottoscrizione.

Per altre informazioni, vedi Creare e personalizzare i playbook di Microsoft Sentinel a partire dai modelli.
Esecuzione manuale dei playbook su richiesta Le procedure seguenti non sono attualmente supportate nel portale di Defender:
  • Eseguire manualmente un playbook su un avviso
  • Eseguire manualmente un playbook su un'entità
    		•
    L'esecuzione di playbook sugli incidenti richiede la sincronizzazione con Microsoft Sentinel Se si tenta di eseguire un playbook su un evento imprevisto dal portale di Defender e viene visualizzato il messaggio "Non è possibile accedere ai dati correlati a questa azione. Aggiornare la schermata in pochi minuti", significa che l'evento imprevisto non è ancora sincronizzato con Microsoft Sentinel.

    Aggiornare la pagina dell'incidente dopo che l'incidente è stato sincronizzato per eseguire correttamente il playbook.
    Eventi imprevisti: aggiunta di avvisi agli eventi imprevisti/
    Rimozione di avvisi dagli incidenti    		 Poiché l'aggiunta o la rimozione di avvisi dagli incidenti non è supportata dopo l'integrazione dell'area di lavoro nel portale Defender, tali operazioni non sono supportate nemmeno all'interno dei playbook. Per altre informazioni, vedi Comprendere come gli avvisi vengono correlati e gli incidenti vengono uniti nel portale Defender.
    integrazione Microsoft Defender XDR in più aree di lavoro Se sono stati integrati dati XDR con più aree di lavoro in un singolo tenant, i dati verranno inseriti solo nell'area di lavoro primaria nel portale di Defender. Trasferire le regole di automazione nell'area di lavoro pertinente per mantenerle in esecuzione.
    Automazione e motore di correlazione Il motore di correlazione può combinare avvisi da più segnali in un singolo evento imprevisto, il che potrebbe comportare la ricezione di dati non anticipati da parte dell'automazione. È consigliabile esaminare le regole di automazione per assicurarsi di visualizzare i risultati previsti.

    Configurare le API

    L'esperienza unificata nel portale di Defender introduce importanti modifiche agli eventi imprevisti e agli avvisi delle API. Supporta le chiamate API basate sull'API REST di Microsoft Graph v1.0, che può essere usata per l'automazione correlata ad avvisi, eventi imprevisti, ricerca avanzata e altro ancora.

    L'API Microsoft Sentinel continua a supportare azioni su risorse Microsoft Sentinel, ad esempio regole di analisi, regole di automazione e altro ancora. Per interagire con eventi imprevisti e avvisi unificati, è consigliabile usare l'API REST di Microsoft Graph. Se usi l'API di Microsoft Sentinel SecurityInsights per interagire con gli incidenti di Microsoft Sentinel, potrebbe essere necessario aggiornare le condizioni di automazione e i criteri di attivazione a causa delle modifiche nel corpo della risposta.

    La tabella seguente elenca i campi importanti nei frammenti di risposta e li confronta tra i portali Azure e Defender:

    Funzionalità Portale di Azure Portale di Defender
    Collegamento all'evento imprevisto incidentUrl: L'URL diretto dell'incidente nel portale Microsoft Sentinel providerIncidentUrl: questo campo aggiuntivo fornisce un collegamento diretto all'evento imprevisto, che può essere usato per sincronizzare queste informazioni con un sistema di ticketing di terze parti come ServiceNow.

    incidentUrlè ancora disponibile, ma punta al portale Microsoft Sentinel.
    Origini che hanno attivato il rilevamento e pubblicato l'avviso alertProductNames alertProductNames: richiede l'aggiunta ?$expand=alerts a GET.

    Ad esempio, https://graph.microsoft.com/v1.0/security/incidents/368?$expand=alerts
    Nome del provider di avvisi providerName= "Azure Sentinel" providerName= "Microsoft XDR"
    Servizio o prodotto che ha creato l'avviso Non esiste nel portale di Azure serviceSource

    Ad esempio, "microsoftDefenderForCloudApps"
    La tecnologia o il sensore di rilevamento che ha identificato il componente o l'attività rilevante Non esiste nel portale di Azure detectionSource Ad esempio, "cloudAppSecurity"
    Nome del prodotto che ha pubblicato l'avviso Non esiste nel portale di Azure productNameAd esempio, "Microsoft Defender for Cloud Apps"

    Eseguire operazioni nel portale di Defender

    Destinatari: analisti della sicurezza

    Video:

    Aggiornare i processi di valutazione degli eventi imprevisti per il portale di Defender

    Se è stato usato Microsoft Sentinel nel portale di Azure, si noteranno miglioramenti significativi dell'esperienza utente nel portale di Defender. Anche se potrebbe essere necessario aggiornare i processi SOC e ripetere il training degli analisti, la progettazione consolida tutte le informazioni pertinenti in un'unica posizione per offrire flussi di lavoro più semplificati ed efficienti.

    La coda unificata degli incidenti nel portale Defender consolida gli incidenti di tutti i prodotti in un'unica visualizzazione, influenzando il modo in cui gli analisti classificano e assegnano priorità agli incidenti che ora contengono più avvisi provenienti da diversi domini della sicurezza. Ad esempio:

    • Tradizionalmente, gli analisti valutano gli incidenti in base a specifici domini di sicurezza o alle proprie aree di competenza, spesso gestendo i ticket per singola entità, ad esempio un utente o un host. Questo approccio può creare punti ciechi, che l'esperienza unificata mira ad affrontare.
    • Quando un attaccante si muove lateralmente, gli avvisi correlati potrebbero finire in incidenti separati a causa di domini di sicurezza diversi. L'esperienza unificata elimina questo problema fornendo una visualizzazione completa, assicurando che tutti gli avvisi correlati siano correlati e gestiti in modo coerente.

    Gli analisti possono anche visualizzare le origini di rilevamento e i nomi dei prodotti nel portale di Defender e applicare e condividere filtri per una valutazione degli eventi imprevisti e degli avvisi più efficiente.

    Il processo di valutazione unificata può contribuire a ridurre i carichi di lavoro degli analisti e anche a combinare potenzialmente i ruoli degli analisti di livello 1 e 2. Tuttavia, il processo di valutazione unificata può richiedere anche una conoscenza più ampia e più approfondita degli analisti. È consigliabile eseguire il training sulla nuova interfaccia del portale per garantire una transizione senza problemi.

    Il portale di Defender offre anche funzionalità di analisi non disponibili nel portale di Azure, tra cui la storia di attacco e il grafico degli eventi imprevisti per visualizzare l'ambito completo di un attacco e l'analisi del raggio di esplosione per consentire agli analisti di visualizzare i possibili percorsi di propagazione, valutare l'impatto aziendale e assegnare priorità alle azioni di contenimento.

    Per altre informazioni, vedere Eventi imprevisti e avvisi nel portale di Microsoft Defender.

    Informazioni sulla correlazione degli avvisi e sull'unione degli eventi imprevisti nel portale di Defender

    Il motore di correlazione di Defender unisce gli eventi imprevisti quando riconosce gli elementi comuni tra gli avvisi in eventi imprevisti separati. Quando un nuovo avviso soddisfa i criteri di correlazione, Microsoft Defender aggrega e lo correla con altri avvisi correlati da tutte le origini di rilevamento in un nuovo evento imprevisto. Dopo aver integrato Microsoft Sentinel nel portale Defender, la coda unificata degli incidenti offre una visione più completa dell’attacco, rendendo gli analisti più efficienti e fornendo un quadro completo dell’attacco.

    Negli scenari con più aree di lavoro, solo gli avvisi di un'area di lavoro primaria sono correlati ai dati Microsoft Defender XDR. Esistono anche scenari specifici in cui gli incidenti non vengono uniti.

    Dopo l'onboarding Microsoft Sentinel nel portale di Defender, le modifiche seguenti si applicano agli eventi imprevisti e agli avvisi:

    Funzionalità Descrizione
    Ritardare subito dopo l'onboarding dell'area di lavoro L'integrazione completa degli eventi imprevisti Microsoft Defender con Microsoft Sentinel può richiedere fino a 5 minuti. Ciò non influisce sulle funzionalità fornite direttamente da Microsoft Defender, ad esempio l'interruzione automatica degli attacchi.
    Regole di creazione degli eventi imprevisti di sicurezza Tutte le regole di creazione degli eventi imprevisti di sicurezza Microsoft attive vengono disattivate per evitare la creazione di eventi imprevisti duplicati. Le impostazioni di creazione degli eventi imprevisti in altri tipi di regole di analisi rimangono invariate e sono configurabili nel portale di Defender.
    Nome del provider di incidenti Nel portale di Defender il nome del provider di eventi imprevisti è sempre Microsoft XDR.
    Aggiunta/rimozione di avvisi da eventi imprevisti L'aggiunta o la rimozione di avvisi Microsoft Sentinel da o verso eventi imprevisti è supportata solo nel portale di Defender. Per rimuovere un avviso da un evento imprevisto nel portale di Defender, è necessario aggiungere l'avviso a un altro evento imprevisto.
    Modifica dei commenti Aggiungi commenti agli incidenti nel portale di Defender o di Azure, ma nel portale di Defender non è possibile modificare i commenti esistenti. Le modifiche apportate ai commenti nel portale di Azure non sono sincronizzate con il portale di Defender.
    Creazione manuale e programmatica di eventi imprevisti Gli incidenti creati in Microsoft Sentinel tramite l'API, da un playbook di Logic Apps o manualmente dal portale di Azure non vengono sincronizzati con il portale di Defender. Questi eventi imprevisti sono ancora supportati nella portale di Azure e nell'API. Vedi Creare manualmente i propri incidenti in Microsoft Sentinel.
    Riapertura degli incidenti chiusi Nel portale di Defender non è possibile impostare il raggruppamento degli avvisi nelle regole di analisi Microsoft Sentinel per riaprire gli eventi imprevisti chiusi se vengono aggiunti nuovi avvisi.
    In questo caso, gli incidenti chiusi non vengono riaperti e i nuovi avvisi attivano nuovi incidenti.

    Per altre informazioni, vedere Eventi imprevisti e avvisi nel portale di Microsoft Defender e Correlazione degli avvisi e unione di eventi imprevisti nel portale di Microsoft Defender.

    Annota le modifiche per le indagini con Advanced hunting

    Dopo aver eseguito l'onboarding di Microsoft Sentinel nel portale Defender, accedi e usa tutte le tabelle di log esistenti, le query Kusto Query Language (KQL) e le funzioni nella pagina Ricerca avanzata. Tutti gli avvisi Microsoft Sentinel associati agli eventi imprevisti vengono inseriti nella AlertInfo tabella, accessibile dalla pagina Ricerca avanzata.

    I segnalibri non sono disponibili nella caccia avanzata, che offre un'esperienza di query unificata nei dati di Microsoft Defender e Microsoft Sentinel. Tuttavia, i segnalibri sono ancora disponibili in Microsoft Sentinel>Threat management>Hunting, che fornisce l'esperienza di ricerca specifica del Microsoft Sentinel. È anche possibile usare alternative, ad esempio tag degli eventi imprevisti, query salvate o tabelle di ricerca personalizzate per mantenere e tenere traccia del contesto di indagine.

    Per altre informazioni, vedere Ricerca avanzata con dati di Microsoft Sentinel in Microsoft Defender, in particolare l'elenco dei problemi noti per la ricerca avanzata con i dati Microsoft Sentinel e Tenere traccia dei dati durante la ricerca con Microsoft Sentinel.

    Eseguire indagini con le entità nel portale Defender

    Nel portale di Microsoft Defender le entità sono in genere asset, ad esempio account, host o cassette postali, oppure prove, ad esempio indirizzi IP, file o URL.

    Dopo l'onboarding Microsoft Sentinel nel portale di Defender, le pagine di entità per le entità utente, le entità del dispositivo e gli indirizzi IP vengono consolidate in un'unica visualizzazione con una visualizzazione completa dell'attività e del contesto e dei dati dell'entità sia da Microsoft Sentinel che da Microsoft Defender XDR.

    Il portale di Defender offre anche una barra di ricerca globale che centralizza i risultati di tutte le entità in modo che sia possibile eseguire ricerche in SIEM e XDR.

    Per altre informazioni, vedere Pagine di entità in Microsoft Sentinel.

    Eseguire indagini con UEBA nel portale Defender

    La maggior parte delle funzionalità di Analisi del comportamento di utenti ed entità (UEBA) rimane invariata nel portale Defender rispetto al portale di Azure, ad eccezione dell'aggiunta di entità all'intelligence per le minacce e di IdentityInfo differenze nello schema della tabella:

    • L'aggiunta di entità all'intelligence sulle minacce dagli eventi imprevisti è supportata solo nel portale di Azure. Per altre informazioni, vedere Aggiungere entità agli indicatori di minaccia.

    • Quando si integra Microsoft Sentinel nel portale di Microsoft Defender, la tabella IdentityInfo è disponibile sia nella funzionalità di ricerca avanzata di Microsoft Defender sia nell'area di lavoro Log Analytics di Sentinel. La IdentityInfo tabella utilizzata in Ricerca avanzata include campi unificati provenienti sia da Defender XDR sia da Microsoft Sentinel. Alcuni campi presenti nella tabella dell'area di lavoro Sentinel Log Analytics vengono rinominati o non sono supportati nella tabella Ricerca avanzata. Assicurarsi di esaminare e aggiornare tutte le query eseguite in Microsoft Defender, ad esempio query di ricerca avanzata o rilevamenti personalizzati. Microsoft Sentinel, le regole di analisi, le cartelle di lavoro e altre query di Sentinel continuano a usare la tabella IdentityInfo nell'area di lavoro di Log Analytics e non ne sono influenzate. Per altre informazioni e un confronto degli schemi di tabella nell'esperienza di ricerca avanzata e in Log Analytics, vedere Tabella IdentityInfo.

    Importante

    Quando si effettua la transizione al portale Defender, la tabella IdentityInfo diventa una tabella nativa di Defender che non supporta il controllo degli accessi in base al ruolo (RBAC) a livello di tabella. Se l'organizzazione usa il controllo degli accessi in base al ruolo (RBAC) a livello di tabella per limitare l'accesso alla tabella IdentityInfo nel portale di Azure, questo controllo di accesso non sarà più disponibile dopo la transizione al portale Defender.

    Aggiornare i processi di indagine per utilizzare le informazioni sulle minacce di Microsoft Defender

    Per Microsoft Sentinel clienti che passano dal portale di Azure al portale di Defender, le familiari funzionalità di intelligence sulle minacce vengono mantenute nel portale di Defender in Gestione Intel e migliorate con altre funzionalità di intelligence sulle minacce disponibili nel portale di Defender. Le funzionalità supportate dipendono dalle licenze disponibili, ad esempio:

    Funzionalità Descrizione
    Analisi delle minacce Supportato per i clienti Microsoft Defender XDR. Una soluzione all'interno del prodotto fornita dai ricercatori di sicurezza Microsoft, progettata per aiutare i team di sicurezza offrendo informazioni dettagliate sulle minacce emergenti, le minacce attive e il loro impatto. I dati vengono presentati in un dashboard intuitivo con schede, righe di dati, filtri e altro ancora.
    Profili Intel Supportato per i clienti Microsoft Defender Threat Intelligence. Categorizzare le minacce e i comportamenti in base a un profilo di attore di minacce, semplificando il rilevamento e la correlazione. Questi profili includono qualsiasi indicatore di compromissione (IoC) correlato a tattiche, tecniche e strumenti usati negli attacchi.
    Intel Explorer Supportato per i clienti Microsoft Defender Threat Intelligence. Consolida gli IoC disponibili e fornisce articoli correlati alle minacce man mano che vengono pubblicati, consentendo ai team di sicurezza di rimanere aggiornati sulle minacce emergenti.
    Progetti Intel Deprecated. Per organizzare e indagare sugli indicatori di minaccia, collega gli indicatori a un caso.

    Nel portale di Defender usare ThreatIntelOjbects e ThreatIntelIndicators insieme a Indicatori di compromissione per la ricerca delle minacce, la risposta agli eventi imprevisti, Copilot, la creazione di report e per creare grafici relazionali che mostrano le connessioni tra indicatori ed entità.

    Per i clienti che usano il feed Microsoft Defender Threat Intelligence (MDTI), è disponibile una versione gratuita tramite il connettore dati di Microsoft Sentinel per MDTI. Gli utenti con licenze MDTI possono anche inserire dati MDTI e usare Security Copilot per l'analisi delle minacce, la revisione attiva delle minacce e la ricerca sugli attori delle minacce.

    Per altre informazioni sulla gestione delle minacce, l'analisi delle minacce, i progetti di intelligence e l'intelligence sulle minacce in Microsoft Sentinel, vedere:

    Usare le cartelle di lavoro per visualizzare e creare report sui dati Microsoft Defender

    I workbook di Azure continuano a essere lo strumento principale per la visualizzazione dei dati e l'interazione con essi nel portale Defender, proprio come nel portale di Azure.

    Per utilizzare le cartelle di lavoro con i dati di Advanced Hunting, importare i log in Microsoft Sentinel.

    Per altre informazioni, vedere Visualizzare e monitorare i dati usando cartelle di lavoro in Microsoft Sentinel.

    Eventi imprevisti simili (anteprima) non sono supportati nel portale di Defender

    La funzionalità Microsoft Sentinel eventi imprevisti simili nelle indagini sui casi è in anteprima e non è supportata nel portale Defender. Poiché questa funzione non è supportata nel portale Defender, la scheda Incidenti simili non è disponibile quando si visualizza una pagina di dettagli dell'incidente.

    Contenuto correlato

    Usare le risorse seguenti per altre informazioni sulla transizione di Microsoft Sentinel al portale di Defender:

    • Last updated on