Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
È possibile configurare i Defender seguenti per le funzionalità avanzate degli endpoint a seconda dei prodotti di sicurezza Microsoft nell'ambiente in uso.
Abilitare le funzionalità avanzate
Per abilitare o disabilitare una funzionalità avanzata nel portale di Microsoft Defender:
Passare al portale di Microsoft Defender ed eseguire l'accesso.
Nel riquadro di spostamento selezionare Impostazioni>Endpoint>Funzionalità avanzate.
Seleziona la funzione avanzata che vuoi configurare e seleziona Attivato o Disattivato.
Selezionare Salva preferenze.
Usare le funzionalità avanzate seguenti per ottenere una migliore protezione da file potenzialmente dannosi e ottenere informazioni migliori durante le indagini sulla sicurezza.
Limitare la correlazione all'interno di gruppi di dispositivi con ambito
L'impostazione di correlazione del gruppo di dispositivi con ambito può essere usata per scenari in cui le operazioni SOC locali vogliono limitare le correlazioni degli avvisi solo ai gruppi di dispositivi a cui possono accedere. Quando l'impostazione di correlazione con ambito ai gruppi di dispositivi è attivata, un incidente composto da avvisi che interessano più gruppi di dispositivi non è più considerato un singolo incidente. Il SOC locale può quindi intervenire sull'evento imprevisto perché ha accesso a uno dei gruppi di dispositivi coinvolti.
Il SOC globale visualizza più incidenti distinti, suddivisi per gruppo di dispositivi, anziché un unico incidente. Non è consigliabile attivare questa impostazione a meno che non superi i vantaggi della correlazione degli eventi imprevisti nell'intera organizzazione.
Nota
- La modifica di questa impostazione influisce solo sulle correlazioni degli avvisi future.
- La creazione di gruppi di dispositivi è supportata in Defender for Endpoint nel Piano 1 e nel Piano 2.
Abilitare EDR in modalità blocco
Il rilevamento e la risposta degli endpoint (EDR) in modalità blocco offrono protezione da artefatti dannosi, anche quando Microsoft Defender Antivirus è in esecuzione in modalità passiva. Quando la funzionalità EDR in modalità blocco è attivata, blocca gli artefatti o i comportamenti dannosi rilevati in un dispositivo. EDR in modalità blocco funziona dietro le quinte per correggere gli artefatti dannosi rilevati dopo la violazione.
Risolvere automaticamente gli avvisi
Attivare l'impostazione degli avvisi di risoluzione automatica per risolvere automaticamente gli avvisi in cui non sono state trovate minacce o dove sono state risolte le minacce rilevate. Se non vuoi che gli avvisi vengano risolti automaticamente, disattiva manualmente la funzione.
Nota
- Il risultato dell'azione di risoluzione automatica può influenzare il calcolo del livello di rischio del dispositivo basato sugli avvisi attivi trovati in un dispositivo.
- Se un analista delle operazioni di sicurezza imposta manualmente lo stato di un avviso su In corso o Risolto, la capacità di auto-risoluzione non lo sovrascrive.
Configurare le impostazioni dei file consentiti o bloccati
Per usare questa funzionalità, l'organizzazione deve soddisfare questi requisiti:
- Microsoft Defender Antivirus è la soluzione antimalware attiva.
- La protezione basata sul cloud è abilitata.
Questa funzionalità consente di bloccare i file dannosi nella rete. Quando si blocca un file, i dispositivi nell'organizzazione non possono leggere, scrivere o eseguirlo.
Per attivare Consenti o blocca file:
Nel portale di Microsoft Defender selezionare Impostazioni>Endpoint>generali>Funzionalità> avanzateConsenti o blocca file.
Seleziona un'impostazione Attivato o Disattivato.
Selezionare Salva preferenze.
Dopo aver attivato questa funzionalità, è possibile bloccare i file dalla scheda Aggiungi indicatore nella pagina del profilo di un file.
Nascondere i potenziali record duplicati del dispositivo
Attivare questa funzionalità per nascondere i record dei dispositivi duplicati in modo da visualizzare solo i dati più accurati per ogni dispositivo. I duplicati possono verificarsi per molti motivi. Ad esempio, il rilevamento dei dispositivi potrebbe analizzare la rete e trovare un dispositivo già registrato o rimosso di recente.
Questa funzionalità identifica i duplicati in base all'hostname e all'ora dell'ultima occorrenza. Li nasconde dall'inventario dispositivi, dalle pagine Gestione delle vulnerabilità di Microsoft Defender e dalle API pubbliche per i dati del computer. Il record più accurato rimane visibile. I duplicati vengono ancora visualizzati nelle pagine di ricerca globale, ricerca avanzata, avvisi e eventi imprevisti.
Questa impostazione è attivata per impostazione predefinita e applica l'intero tenant. Per visualizzare i record duplicati, disattivare la funzionalità manualmente.
Configurare indicatori di rete personalizzati
L'attivazione degli indicatori di rete personalizzati consente di creare indicatori per indirizzi IP, domini o URL e di stabilire se consentirli o bloccarli in base all'elenco di indicatori personalizzati.
Per usare questa funzionalità, i dispositivi devono essere in esecuzione Windows 10 versione 1709 o successiva o Windows 11.
Per altre informazioni, vedere Panoramica degli indicatori.
Nota
La protezione di rete sfrutta i servizi di reputazione che elaborano le richieste nelle posizioni che potrebbero essere esterne alla posizione selezionata per i dati di Defender per endpoint.
Abilitare la protezione da manomissione
Durante gli attacchi informatici, gli utenti malintenzionati potrebbero provare a disattivare funzionalità di sicurezza come la protezione antivirus nei dispositivi. Queste operazioni consentono di accedere ai dati, installare malware o sfruttare l'identità e i dispositivi. La protezione antimanomissione blocca Microsoft Defender Antivirus e impedisce la modifica delle impostazioni di sicurezza da parte delle app o di altri metodi.
Per ulteriori informazioni, incluso come configurare la protezione antimanomissione, vedi Panoramica della protezione antimanomissione.
Abilitare la visualizzazione dei dettagli utente
Attiva la funzione di mostrare dettagli utente così da poter vedere i dati utente memorizzati in Microsoft Entra ID, quando indaghi sulle entità degli account utente. I dettagli includono la foto dell'utente, il nome, il titolo e le informazioni del dipartimento. È possibile trovare informazioni sull'account utente nelle visualizzazioni seguenti:
- Coda di avvisi
- Pagina dei dettagli del dispositivo
Per altre informazioni, vedere Analizzare un account utente.
Configurare l'integrazione Skype for Business
L'abilitazione dell'integrazione Skype for Business consente di comunicare con gli utenti usando Skype for Business, posta elettronica o telefono. L'integrazione Skype for Business può essere utile quando è necessario comunicare con l'utente e attenuare i rischi.
Nota
Quando un dispositivo viene isolato dalla rete, è disponibile un popup in cui è possibile scegliere di abilitare le comunicazioni di Outlook e Skype che consentono le comunicazioni all'utente mentre sono disconnesse dalla rete. L'opzione di comunicazione Outlook e Skype si applica solo quando i dispositivi sono in modalità di isolamento.
Configurare l'integrazione di Microsoft Defender for Cloud Apps
L'abilitazione dell'integrazione con Microsoft Defender for Cloud Apps inoltra i segnali di Defender for Endpoint a Microsoft Defender for Cloud Apps per offrire una maggiore visibilità sull'utilizzo delle applicazioni cloud. I dati inoltrati vengono archiviati ed elaborati nella stessa posizione dei dati Defender for Cloud Apps.
Per altre informazioni, vedere panoramica Microsoft Defender for Cloud Apps.
Configurare il filtro dei contenuti web
Blocca l'accesso a siti web che contengono contenuti indesiderati e monitora l'attività web su tutti i domini. Prima di distribuire la baseline di sicurezza Microsoft Defender per endpoint, assicurarsi che la protezione di rete sia in modalità di blocco. Per specificare le categorie di contenuto Web da bloccare, creare un criterio di filtro del contenuto Web.
Abilitare il log di controllo unificato
La ricerca in Microsoft Purview consente al team di sicurezza e conformità di visualizzare i dati critici degli eventi del log di controllo per ottenere informazioni dettagliate e analizzare le attività degli utenti. Ogni volta che un'attività auditata viene eseguita da un utente o un amministratore, viene generato un record di audit che viene memorizzato nel registro di audit di Microsoft 365 per la tua organizzazione. Per altre informazioni, vedere Cercare nel log di controllo.
Abilitare l'individuazione dei dispositivi
Ti aiuta a trovare dispositivi non gestiti connessi alla rete aziendale senza dispositivi aggiuntivi o modifiche di processo ingombranti. Usando i dispositivi di onboarding, è possibile trovare i dispositivi non gestiti nella rete e valutare vulnerabilità e rischi. Per altre informazioni, vedere Individuazione del dispositivo.
Nota
È sempre possibile applicare filtri per escludere i dispositivi non gestiti dall'elenco di inventario dei dispositivi. È anche possibile usare la colonna relativa allo stato di onboarding nelle query API per filtrare i dispositivi non gestiti.
Scaricare i file in quarantena
Fai il backup dei file in quarantena in una posizione sicura e conforme così che possano essere scaricati direttamente dalla quarantena. Il pulsante Scarica file è sempre disponibile nella pagina del file. L'impostazione download dei file in quarantena è attivata per impostazione predefinita. Per ulteriori informazioni, vedere Scaricare i file in quarantena.
Usare la connettività semplificata come impostazione predefinita per l'onboarding dei dispositivi nel portale Defender
Questa impostazione rende la connettività semplificata il pacchetto di onboarding predefinito per i sistemi operativi supportati. Puoi comunque usare il pacchetto standard, ma devi selezionarlo dalla pagina di onboarding.
Attiva risposta in tempo reale
Attivare questa funzionalità in modo che gli utenti con le autorizzazioni appropriate possano avviare una sessione di risposta dinamica nei dispositivi.
Per assegnare ruoli per live response, vedere Creare e gestire i ruoli.
Abilita la risposta in tempo reale per i server
Attivare questa funzionalità in modo che gli utenti con le autorizzazioni appropriate possano avviare una sessione di risposta dinamica nei server.
Per altre informazioni sulle assegnazioni di ruolo, vedere Creare e gestire ruoli.
Consentire l'esecuzione di script non firmati in live response
L'abilitazione di questa funzionalità consente di eseguire script non firmati in una sessione di risposta dinamica.
Configurare l'interruzione automatica degli attacchi
L'interruzione automatica degli attacchi arresta gli attacchi isolando le risorse compromesse controllate dall'attaccante. Limita il movimento laterale in anticipo, riducendo così i costi e la perdita di produttività da un attacco. I team delle operazioni di sicurezza mantengono il controllo completo per analizzare, risolvere i problemi e riportare online gli asset. Per altre informazioni, vedere Interruzione automatica degli attacchi in Microsoft Defender.
Condividere gli avvisi degli endpoint con Il Centro conformità Microsoft
L'impostazione per la condivisione degli avvisi dell'endpoint invia gli avvisi di sicurezza degli endpoint e il relativo stato di triage al portale di Microsoft Purview. È possibile usare questi avvisi per migliorare i criteri di gestione dei rischi Insider e affrontare i rischi interni prima che causino danni. I dati inoltrati vengono archiviati nella stessa posizione dei dati Office 365.
Dopo aver configurato gli indicatori di policy nelle impostazioni di gestione del rischio interno, Defender for Endpoint condivide avvisi con la gestione del rischio interno per gli utenti pertinenti.
Configurare la connessione Microsoft Intune
È possibile integrare Defender per Endpoint con Microsoft Intune per abilitare l'accesso condizionale basato sul rischio del dispositivo. Quando si configura l'accesso condizionale, Defender per Endpoint condivide i dati del dispositivo con Intune per applicare i criteri.
Questa integrazione richiede Microsoft Intune. Intune è un prodotto separato che non fa parte di Microsoft Defender per endpoint. Non è incluso in tutti gli abbonamenti. Servono licenze che supportino Defender for Endpoint, Intune e Accesso condizionale di Microsoft Entra. Per ulteriori informazioni, consulta requisiti di licenza per la licenza Microsoft Intune e la politica di Accesso Condizionato.
Importante
È necessario abilitare questa integrazione sia in Intune che in Defender per endpoint. Per la procedura dettagliata, vedere Configurare l'accesso condizionale in Defender per endpoint.
Questa funzionalità richiede quanto segue:
- Un ambiente Microsoft Intune attivo, con dispositivi Windows gestiti da Intune aggiunti a Microsoft Entra.
Abilitare i dati di telemetria autenticati
È possibile attivare i dati di telemetria autenticati per impedire lo spoofing dei dati di telemetria nel dashboard.
Abilita funzionalità di anteprima
Informazioni sulle nuove funzionalità nella versione di anteprima di Defender per endpoint.
Provare le funzionalità future attivando l'esperienza di anteprima. Puoi avere accesso alle funzionalità in arrivo, su cui puoi fornire feedback per migliorare l'esperienza complessiva prima che le funzionalità siano generalmente disponibili.
Se sono già attivate le funzionalità di anteprima, gestire le impostazioni dalle impostazioni principali Defender XDR.
Per altre informazioni, vedere funzionalità di anteprima di Microsoft Defender XDR.
Configurare le notifiche di attacco degli endpoint
Le notifiche di attacco degli endpoint consentono di Microsoft cercare minacce critiche nei dati degli endpoint. Le minacce vengono classificate in base all'urgenza e all'impatto.
Per la ricerca proattiva in Microsoft Defender XDR, comprese le minacce che interessano posta elettronica, collaborazione, identità, applicazioni cloud ed endpoint, iniziare a usare Microsoft Defender Experts.