Analizzare le app individuate da Microsoft Defender per endpoint

L'integrazione di Microsoft Defender for Cloud Apps con Microsoft Defender per endpoint offre una soluzione integrata per la visibilità e il controllo dello Shadow IT. L'integrazione consente agli amministratori Defender for Cloud Apps di analizzare i dispositivi individuati, gli eventi di rete e l'utilizzo delle app. Prima di iniziare, assicurarsi di soddisfare i prerequisiti, inclusa la configurazione del Defender per l'integrazione degli endpoint.

Prerequisiti

Prima di eseguire le procedure descritte in questo articolo, assicurarsi di aver completato l'Defender per Endpoint e l'integrazione Defender for Cloud Apps.

Analizzare i dispositivi individuati in Defender for Cloud Apps

Dopo aver integrato Defender for Endpoint con Defender for Cloud Apps, esamina i dati dei dispositivi individuati nel dashboard di rilevamento cloud.

1. Nel portale di Microsoft Defender, in Cloud Apps, selezionare Cloud Discovery>Dashboard.

2. In cima alla pagina del Cloud Discovery Dashboard, seleziona endpoint gestiti da Defender. Il flusso degli endpoint gestiti da Defender contiene i dati di tutti i sistemi operativi indicati nei prerequisiti di integrazione Defender for Cloud Apps.

In cima alla dashboard di Cloud Discovery, vedrai il numero di dispositivi scoperti aggiunti dopo la configurazione dell'integrazione con Defender for Endpoint e Defender for Cloud Apps.

1. Selezionare la scheda Dispositivi .

2. Approfondisci ciascun dispositivo elencato e usa le schede per visualizzare i dati dell'indagine. Trovare le correlazioni tra i dispositivi, gli utenti, gli indirizzi IP e le app coinvolte in eventi imprevisti:

   • Panoramica:

     • Livello di rischio del dispositivo: mostra quanto sia rischioso il profilo del dispositivo rispetto ad altri dispositivi dell'organizzazione, come indicato dalla gravità (alta, media, bassa, informativa). Defender for Cloud Apps usa i profili dei dispositivi da Defender per endpoint per ciascun dispositivo in base ad analisi avanzate. Le attività anomale nella baseline del dispositivo sono valutate e determinano il livello di rischio del dispositivo. Usare il livello di rischio del dispositivo per determinare quali dispositivi analizzare per primi.
     • Transazioni: informazioni sul numero di transazioni eseguite nel dispositivo nel periodo di tempo selezionato.
     • Traffico totale: informazioni sulla quantità totale di traffico (in MB) nel periodo di tempo selezionato.
     • Caricamenti: informazioni sulla quantità totale di traffico (in MB) caricata dal dispositivo nel periodo di tempo selezionato.
     • Download: informazioni sulla quantità totale di traffico (in MB) scaricata dal dispositivo nel periodo di tempo selezionato.

   • App rilevate: Elenca tutte le app rilevate a cui il dispositivo ha effettuato l'accesso.

   • Cronologia dell'utente: Elenca tutti gli utenti che hanno eseguito l'accesso al dispositivo.

   • Cronologia indirizzi IP: Elenchi tutti gli indirizzi IP assegnati al dispositivo.

Come per qualsiasi altra origine di individuazione cloud, è possibile esportare i dati dal report degli endpoint gestiti da Defender per ulteriori indagini.

Scoprire le app tramite Defender for Endpoint quando l'endpoint si trova dietro un proxy di rete

Defender for Cloud Apps può individuare gli eventi di rete Shadow IT rilevati dai dispositivi Defender for Endpoint che operano nello stesso ambiente di un proxy di rete. Ad esempio, se il dispositivo endpoint Windows 10 in uso si trova nello stesso ambiente di Zscaler, Defender for Cloud Apps può individuare applicazioni Shadow IT tramite il flusso Utenti endpoint Win10.

Indaga sugli eventi della rete dei dispositivi in Microsoft Defender

Gli eventi di rete sono registri temporali delle connessioni dei dispositivi catturati da Defender for Endpoint che ti aiutano a indagare l'attività relativa all'app su dispositivi specifici.

Usare la procedura seguente per ottenere una visibilità più granulare sull'attività di rete del dispositivo in Microsoft Defender per endpoint:

1. Nel portale Microsoft Defender selezionare Cloud Discovery in App cloud. Selezionare quindi la scheda Dispositivi .
2. Selezionare il computer da analizzare e quindi in alto a sinistra selezionare Visualizza in Microsoft Defender per endpoint.
3. Nel portale Defender, sotto Risorse ->Dispositivi> {dispositivo selezionato}, seleziona Timeline.
4. In Filtri selezionare Eventi di rete.
5. Analizzare gli eventi di rete del dispositivo in base alle esigenze.

Analizzare l'utilizzo delle app in Microsoft Defender XDR con ricerca avanzata

La ricerca avanzata è uno strumento di ricerca delle minacce basato su query in Microsoft Defender XDR che consente di esplorare i dati di telemetria non elaborati. Usare la procedura seguente per ottenere una visibilità più granulare sugli eventi di rete correlati alle app in Defender per endpoint:

1. Nel portale Microsoft Defender selezionare Cloud Discovery in App cloud. Selezionare quindi la scheda App individuate .

2. Selezionare l'app da analizzare per aprire il relativo cassetto.

3. Selezionare l'elenco Dominio dell'app e quindi copiare l'elenco di domini.

4. In Microsoft Defender XDR in Ricerca selezionare Ricerca avanzata.

5. Incollare la query seguente e sostituire <DOMAIN_LIST> con l'elenco di domini copiati in precedenza.

   DeviceNetworkEvents
   | where RemoteUrl has_any ("<DOMAIN_LIST>")
   | order by Timestamp desc
   

6. Esegui la query ed esamina gli eventi di rete per questa app.

   

Investiga le app non autorizzate in Microsoft Defender

Ogni tentativo di accedere a un'app non autorizzata attiva un avviso nel portale Defender con dettagli dettagliati sull'intera sessione. I dettagli dell'avviso consentono di eseguire indagini più approfondite sui tentativi di accesso alle app non approvate, oltre a fornire informazioni aggiuntive rilevanti per l'uso nell'analisi dei dispositivi endpoint.

In alcuni casi, l'accesso a un'app non autorizzata non è bloccato, perché il dispositivo endpoint non è configurato correttamente o se i criteri di imposizione non sono ancora stati propagati all'endpoint. Quando l'accesso a un'app non autorizzata non viene bloccato a causa di errata configurazione degli endpoint o ritardi nella propagazione delle policy, gli amministratori di Defender for Endpoint ricevono un avviso nel portale Defender che l'app non autorizzata non è stata bloccata.

Passaggi successivi

Video correlati

I video seguenti forniscono informazioni aggiuntive e procedure dettagliate per l'individuazione e l'analisi shadow IT.

• Ricerca con i dati di Microsoft Cloud App Security

• Individuare e bloccare Shadow IT usando Defender per endpoint

• Rilevamento dello shadow IT oltre la rete aziendale

Se si verificano problemi, siamo qui per aiutarti. Per ottenere assistenza o supporto per il problema del prodotto, aprire un ticket di supporto.