Creazione di report aggregati in Microsoft Defender per endpoint

  • Si applica a: Microsoft Defender for Endpoint Plan 2

La creazione di report aggregati risolve i vincoli per la creazione di report degli eventi in Microsoft Defender per endpoint. La creazione di report aggregati estende gli intervalli di segnalazione dei segnali per ridurre significativamente le dimensioni degli eventi segnalati, mantenendo al tempo stesso le proprietà essenziali degli eventi.

Defender per endpoint riduce il rumore nei dati raccolti per migliorare il rapporto segnale-rumore bilanciando al tempo stesso le prestazioni e l'efficienza del prodotto. Limita la raccolta dei dati per mantenere questo equilibrio.

Con la creazione di report aggregati, Defender per endpoint garantisce che tutte le proprietà degli eventi essenziali utili per le attività di analisi e ricerca delle minacce vengano raccolte continuamente. Questa operazione viene eseguita con intervalli di report estesi di un'ora, che riducono le dimensioni degli eventi segnalati e consentono una raccolta di dati efficiente ma utile.

Quando la creazione di report aggregati è attivata, è possibile eseguire una query per un riepilogo di tutti i tipi di evento supportati, inclusi i dati di telemetria a bassa efficacia, che è possibile usare per le attività di analisi e ricerca.

Prerequisiti

Prima di attivare la creazione di report aggregati, è necessario soddisfare i requisiti seguenti:

  • Autorizzazioni per abilitare le funzionalità avanzate

Sistemi operativi supportati:

  • Windows 10 (20H2, 21H1, 21H2)
  • Windows 11 (22H2, Enterprise)
  • Windows Server 2019 e versioni successive
  • Windows Server versione 20H2 o Azure Stack HCI OS, versione 23H2 e successive
  • Versione del client: Windows 24H e successive

Attivare la creazione di report aggregati

Per attivare la creazione di report aggregati, passare a Impostazioni > Funzionalità avanzate degli > endpoint. Attivare o disattivare la funzionalità di creazione di report aggregati .

Screenshot dell'interruttore di creazione di report aggregati nella pagina delle impostazioni del portale di Microsoft Defender.

Dopo l'attivazione della creazione di report aggregati, possono essere necessari fino a sette giorni prima che i report aggregati diventino disponibili. È quindi possibile iniziare a eseguire query sui nuovi dati dopo l'attivazione della funzionalità.

Quando si disattiva la creazione di report aggregati, l'applicazione delle modifiche richiede alcune ore. Tutti i dati raccolti in precedenza rimangono.

Interrogare i report aggregati

La creazione di report aggregati supporta i tipi di evento seguenti:

Tipo di azione Tabella di caccia avanzata Presentazione della sequenza temporale del dispositivo Proprietà
FileCreatedAggregatedReport DeviceFileEvents {ProcessName} ha creato {Occorrenze} {FilePath} file 1. Percorso del file
2. Estensione file
3. Nome del processo
FileRenamedAggregatedReport DeviceFileEvents {ProcessName} ha rinominato {Occorrenze} {FilePath} file 1. Percorso del file
2. Estensione file
3. Nome del processo
FileModifiedAggregatedReport DeviceFileEvents {ProcessName} ha modificato {Occurrences} file {FilePath} 1. Percorso del file
2. Estensione file
3. Nome del processo
ProcessCreatedAggregatedReport DeviceProcessEvents {InitiatingProcessName} ha creato {Occorrenze} {ProcessName} processi 1. Avvio della riga
di comando del processo 2. Processo di avvio SHA1
3. Percorso del file del processo di avvio
4. Riga di comando processo
5. Elabora SHA1
6. Percorso della cartella
Report aggregato delle connessioni riuscite DeviceNetworkEvents {InitiatingProcessName} ha stabilito {Occurrences} connessioni con {RemoteIP}:{RemotePort} 1. Avvio del nome di processo
2. IP sorgente
3. IP remoto
4. Porta remota
ConnectionFailedAggregatedReport DeviceNetworkEvents {InitiatingProcessName} non è riuscito a stabilire connessioni {Occorrenze} con {RemoteIP:RemotePort} 1. Avvio del nome di processo
2. IP sorgente
3. IP remoto
4. Porta remota
LogonSuccessAggregatedReport DeviceLogonEvents {Occorrenze} {LogonType} accessi da {UserName}\{DomainName} 1. Nome utente
di destinazione 2. SID dell'utente di destinazione
3. Nome di dominio di destinazione
4. Tipo di accesso
LogonFailedAggregatedReport DeviceLogonEvents {Occorrenze}{LogonType} accessi non riusciti da {UserName}\{DomainName} 1. Nome utente
di destinazione 2. SID dell'utente di destinazione
3. Nome di dominio di destinazione
4. Tipo di accesso

Nota

L'attivazione del reporting aggregato migliora la visibilità dei segnali, il che potrebbe comportare costi di archiviazione più elevati se si trasmettono in streaming le tabelle di ricerca avanzata di Defender for Endpoint al SIEM o alle soluzioni di archiviazione.

Per interrogare i nuovi dati tramite report aggregati:

  1. Vai a Indagine e risposta > Ricerca avanzata > Regole di rilevamento personalizzate.

  2. Esaminare e modificare le regole e le query esistenti che potrebbero essere interessate dalla creazione di report aggregati.

  3. Se necessario, creare nuove regole personalizzate per incorporare nuovi tipi di azione.

  4. Passare alla pagina Ricerca avanzata ed eseguire query sui nuovi dati.

    Di seguito è riportato un esempio di risultati di query di ricerca avanzata con report aggregati.

    Schermata dei risultati delle query di ricerca avanzate con report aggregati.

Query di ricerca avanzata di esempio

È possibile usare le query KQL seguenti per raccogliere informazioni specifiche usando la creazione di report aggregati.

Query per attività di processo rumorose

La query seguente evidenzia l'attività di processo rumorosa, che può essere correlata a segnali dannosi.

DeviceProcessEvents
| where Timestamp > ago(1h)
| where ActionType == "ProcessCreatedAggregatedReport"
| extend uniqueEventsAggregated = toint(todynamic(AdditionalFields).uniqueEventsAggregated)
| project-reorder Timestamp, uniqueEventsAggregated, ProcessCommandLine, InitiatingProcessCommandLine, ActionType, SHA1, FolderPath, InitiatingProcessFolderPath, DeviceName
| sort by uniqueEventsAggregated desc

Query sugli errori dei tentativi di accesso ripetuti

La query seguente identifica gli errori ripetuti del tentativo di accesso.

DeviceLogonEvents
| where Timestamp > ago(30d)
| where ActionType == "LogonFailedAggregatedReport"
| extend uniqueEventsAggregated = toint(todynamic(AdditionalFields).uniqueEventsAggregated)
| where uniqueEventsAggregated > 10
| project-reorder Timestamp, DeviceId, uniqueEventsAggregated, LogonType, AccountName, AccountDomain, AccountSid
| sort by uniqueEventsAggregated desc

Eseguire una query per le connessioni RDP sospette

La query seguente identifica connessioni RDP sospette, che potrebbero indicare attività dannose.

DeviceNetworkEvents
| where Timestamp > ago(1d)
| where ActionType endswith "AggregatedReport"
| where RemotePort == "3389"
| extend uniqueEventsAggregated = toint(todynamic(AdditionalFields).uniqueEventsAggregated)
| where uniqueEventsAggregated > 10
| project-reorder ActionType, Timestamp, uniqueEventsAggregated 
| sort by uniqueEventsAggregated desc
  • Last updated on