Esaminare e valutare i dispositivi in Microsoft Defender per endpoint

  • Si applica a: Microsoft Defender for Endpoint Plan 2

L'individuazione dei dispositivi consente di migliorare la visibilità sui dispositivi non gestiti, valutarne il comportamento di sicurezza e intraprendere le azioni appropriate per proteggerli.

Questo articolo descrive come esaminare e valutare i dispositivi individuati dall'individuazione dei dispositivi in Microsoft Defender per endpoint. Si apprenderà anche come ottenere dati su dispositivi non caricati in Microsoft Defender per endpoint e come eseguire query sui dati nei dispositivi individuati.

Prerequisiti

Prima di poter esaminare e valutare i dispositivi individuati, assicurarsi che siano soddisfatti i requisiti seguenti:

  • La tua organizzazione ha una licenza Piano 2 di Microsoft Defender per endpoint.
  • Hai almeno un dispositivo registrato in Defender for Endpoint. I dispositivi registrati fungono da sensori di rete e fonti di dati per individuare i dispositivi non registrati.
  • È possibile accedere al portale di Microsoft Defender con le autorizzazioni appropriate per visualizzare l'inventario dei dispositivi ed eseguire query di ricerca avanzate.

Sistemi operativi supportati

L'individuazione dei dispositivi supporta i sistemi operativi seguenti:

  • Windows 10 e versioni successive
  • Windows Server 2019 e versioni successive.

Monitorare i dispositivi di cui non è stato eseguito l'onboarding nell'inventario dei dispositivi

È possibile esaminare l'inventario dei dispositivi individuati che non sono stati caricati in Defender per endpoint.

Nota

Un dispositivo di cui non è stato eseguito l’onboarding rimane nel portale Defender (per più di 180 giorni) se è soddisfatta una delle condizioni seguenti:

  • Il dispositivo viene individuato da un endpoint di cui è stato eseguito l'onboarding nella stessa rete
  • Il dispositivo viene individuato da un sensore OT

Per valutare questi dispositivi, passa all'inventario dei dispositivi e usa il filtro Onboarding status, selezionando uno dei valori seguenti:

Valore Descrizione
Onboarding eseguito L'endpoint viene caricato in Microsoft Defender per endpoint.
È possibile eseguire l'onboarding Defender for Endpoint individua il dispositivo nella rete e ne supporta il sistema operativo, ma il dispositivo non è stato sottoposto a onboarding.

Nota:
- Si consiglia vivamente di registrare questi dispositivi.
- È possibile notare differenze tra il numero di dispositivi elencati come che possono essere sottoposti a onboarding nell'inventario dei dispositivi, il suggerimento per la sicurezza eseguire l'onboarding in Microsoft Defender per Endpoint e il widget del dashboard dispositivi da sottoporre a onboarding. Il consiglio di sicurezza e il widget del dashboard sono per i dispositivi stabili nella rete, esclusi i dispositivi temporanei, i dispositivi guest e altri. L'idea è quella di consigliare sui dispositivi persistenti che influiscono anche sul punteggio di sicurezza complessivo dell'organizzazione.
Non supportato Defender per endpoint individua l'endpoint, ma non supporta il dispositivo.
Informazioni insufficienti Il sistema non è riuscito a determinare il supporto del dispositivo. Abilitare l'individuazione standard in più dispositivi della rete per arricchire gli attributi individuati.

Eseguire l'onboarding di dispositivi non gestiti

È possibile effettuare l'onboarding manuale dei dispositivi non gestiti. Gli endpoint non gestiti nella rete introducono vulnerabilità e rischi per la rete. L’integrazione di tali soggetti nel servizio può aumentare la visibilità nei loro confronti in termini di sicurezza.

Usare la ricerca avanzata nei dispositivi individuati

È possibile usare query di ricerca avanzate per ottenere visibilità sui dispositivi individuati. Nella tabella DeviceNetworkInfo sono disponibili informazioni dettagliate sui dispositivi individuati nella tabella DeviceInfo o informazioni correlate alla rete su tali dispositivi.

Consiglio

È anche possibile usare la colonna relativa allo stato di onboarding nelle query API per filtrare i dispositivi non gestiti.

Esplorare i dispositivi nella rete

Usare la query di ricerca avanzata seguente per identificare i dispositivi di cui è stato eseguito l'onboarding connessi a una rete specifica. La query recupera i dispositivi con dati di rete connessi dagli ultimi sette giorni, filtrati in base al nome di rete dall'elenco delle reti nelle impostazioni di individuazione dei dispositivi.

DeviceNetworkInfo
| where Timestamp > ago(7d)
| where ConnectedNetworks  != ""
| extend ConnectedNetworksExp = parse_json(ConnectedNetworks)
| mv-expand bagexpansion = array ConnectedNetworks=ConnectedNetworksExp
| extend NetworkName = tostring(ConnectedNetworks ["Name"]), Description = tostring(ConnectedNetworks ["Description"]), NetworkCategory = tostring(ConnectedNetworks ["Category"])
| where NetworkName == "<your network name here>"
| summarize arg_max(Timestamp, *) by DeviceId

Ottenere informazioni sul dispositivo

È possibile usare la query di ricerca avanzata seguente per ottenere le informazioni complete più recenti su un dispositivo specifico.

DeviceInfo
| where DeviceName == "<device name here>" and isnotempty(OSPlatform)
| summarize arg_max(Timestamp, *) by DeviceId

Dettagli delle query per i dispositivi individuati

La seguente query recupera l'ultimo record noto per ogni dispositivo individuato che non è stato sottoposto a onboarding, escludendo le voci invalidate o accorpate. Usarlo per identificare i dispositivi non gestiti ed esaminare i dettagli più up-to-date:

DeviceInfo
| summarize arg_max(Timestamp, *) by DeviceId  // Get latest known good per device Id
| where isempty(MergedToDeviceId) // Remove invalidated/merged devices
| where OnboardingStatus != "Onboarded"

Richiamando la funzione SeenBy nella query di ricerca avanzata, è possibile ottenere informazioni dettagliate sul dispositivo di cui è stato eseguito l'onboarding da cui è stato rilevato un dispositivo individuato. Queste informazioni consentono di determinare il percorso di rete di ogni dispositivo individuato e, successivamente, di identificarlo nella rete.

La query seguente recupera il record più recente per ogni dispositivo non sottoposto a onboarding, esclude i record uniti e richiama la funzione SeenBy per mostrare quale dispositivo sottoposto a onboarding lo ha rilevato:

DeviceInfo
| where OnboardingStatus != "Onboarded"
| summarize arg_max(Timestamp, *) by DeviceId 
| where isempty(MergedToDeviceId) 
| limit 100
| invoke SeenBy()
| project DeviceId, DeviceName, DeviceType, SeenBy

Per altre informazioni, vedere la funzione SeenBy( ).

Il rilevamento dei dispositivi sfrutta i dispositivi integrati in Defender for Endpoint come origine dei dati di rete per attribuire le attività ai dispositivi non integrati. Il sensore di rete nel dispositivo di cui è stato eseguito l'onboarding di Defender per endpoint identifica due nuovi tipi di connessione:

  • ConnectionAttempt - Tentativo di stabilire una connessione TCP (syn)
  • ConnectionAcknowledged - Riconoscimento dell'accettazione di una connessione TCP (syn\ack)

Questi tipi di connessione indicano che quando un dispositivo di cui non è stato eseguito l'onboarding tenta di comunicare con un dispositivo Defender per endpoint di cui è stato eseguito l'onboarding, il tentativo genera un DeviceNetworkEvent e le attività del dispositivo di cui non è stato eseguito l'onboarding possono essere visualizzate nella sequenza temporale del dispositivo di cui è stato eseguito l'onboarding e tramite la tabella DeviceNetworkEvents di ricerca avanzata.

La query seguente restituisce i 10 tentativi di connessione più recenti e le connessioni confermate, in modo da poter verificare quali dispositivi non sottoposti a onboarding comunicano con gli endpoint sottoposti a onboarding:

DeviceNetworkEvents
| where ActionType == "ConnectionAcknowledged" or ActionType == "ConnectionAttempt"
| take 10

Valutare le vulnerabilità nei dispositivi individuati

Gestione delle vulnerabilità di Microsoft Defender trova rischi nei dispositivi. Controlla anche i dispositivi non gestiti nella rete.

Per esaminare le vulnerabilità, passare aRaccomandazioni sulla gestione >dell'esposizionenel portale di Defender.

Ad esempio, cercare SSH per trovare vulnerabilità SSH nei dispositivi non gestiti e gestiti.

Per altre informazioni, vedere Gestione delle vulnerabilità di Microsoft Defender.

  • Last updated on