Configurare l'individuazione dei dispositivi in Microsoft Defender per endpoint

Puoi configurare il device discovery per identificare dispositivi non gestiti nelle reti della tua organizzazione, valutare la loro postura di sicurezza e determinare quali dispositivi necessitano di protezione. Scegli la discovery di base o standard, seleziona i dispositivi integrati che effettuano scansioni attive, escludi i target sensibili e gestiscono le reti monitorate.

Prima di iniziare, esamina i sistemi operativi supportati e i permessi richiesti nei Prerequisiti.

Prerequisiti

Assicurati che il tuo ambiente soddisfi i seguenti requisiti:

• Un abbonamento Microsoft Defender per endpoint Plan 2.
• Dispositivi di scansione integrati che eseguono un sistema operativo supportato.
• Un account con il permesso di gestire Defender per le impostazioni di sicurezza degli endpoint. Per maggiori informazioni, consulta le opzioni Permessi.
• Assegna i tag dei dispositivi scanner se intendi limitare la scoperta standard ai dispositivi taggati.

Configura il rilevamento dei dispositivi

Nella pagina Scoperta dispositivi nel portale Microsoft Defender a https://security.microsoft.com/settings/device-discovery, configura la modalità di scoperta:

1. In modalità Scoperta, seleziona una delle seguenti opzioni:

   • Scoperta standard (consigliata): Utilizza osservazione passiva, protocolli di scoperta comuni, query multicast e scansione attiva per fornire un inventario dei dispositivi più completo.
   • Base: Osserva passivamente il traffico di rete senza sondare attivamente i dispositivi. Usa questa modalità per reti sensibili o legacy dove la scansione attiva non è appropriata.

2. Se selezioni la scoperta standard, scegli quali dispositivi integrati effettuano scansioni attive:

   • Tutti i dispositivi (consigliato): Usa tutti i dispositivi integrati che supportano la scoperta dei dispositivi.
   • Seleziona tag: Usa solo dispositivi con i tag di dispositivo selezionati. Questa opzione è utile quando vuoi dispositivi scanner in segmenti di rete specifici.

3. Seleziona Salva.

Controlla quali dispositivi eseguono il rilevamento standard

I dispositivi selezionati in Configura la scoperta dei dispositivi agiscono come scanner per la scoperta standard:

• Seleziona Tutti i dispositivi (consigliato) per utilizzare ogni dispositivo integrato che supporta il rilevamento dei dispositivi.
• Seleziona Seleziona tag per usare solo i dispositivi di cui è stato eseguito l'onboarding a cui sono associati i tag specificati. I dispositivi integrati al di fuori dei tag selezionati continuano a effettuare la scoperta di base.

Escludere i dispositivi dal rilevamento predefinito

Escludere indirizzi IP o sottoreti quando la scansione attiva potrebbe interferire con dispositivi sensibili, esche di rete o altri strumenti di sicurezza. Le esclusioni interrompono le scansioni attive, ma non impediscono la scoperta passiva né quella multicast.

Per escludere un dispositivo:

1. Nella pagina Scoperta dispositivi nel portale Microsoft Defender a https://security.microsoft.com/settings/device-discovery, seleziona Esclusioni.
2. Selezionare Aggiungi esclusione.
3. Nella pagina Aggiungi esclusione , inserisci l'indirizzo IP o la subnet da escludere dalle scansioni standard.
4. Inserisci una descrizione per l'esclusione.
5. Seleziona Salva.

L'esclusione appare nell'elenco Esclusioni . Seleziona un'esclusione per visualizzarla, modificarla o eliminarla.

Visualizzare e gestire le reti monitorate

La scheda Reti monitorate elenca le reti rilevate dai dispositivi integrati e mostra se la scoperta del dispositivo monitora o ignora ogni rete.

Di default, Defender for Endpoint monitora automaticamente le reti identificate come corporate e ignora le reti non aziendali. La pagina mostra fino a 50 reti, ordinate in base al numero di dispositivi visibili su ciascuna rete nei sette giorni precedenti.

Per informazioni su come Defender for Endpoint identifica le reti aziendali, vedi Reti monitorate.

Gestire le reti monitorate

Puoi sovrascrivere lo stato di monitoraggio assegnato automaticamente per una rete. Prima di monitorare una rete identificata come non aziendale, verifica che la tua organizzazione abbia il permesso di scoprire dispositivi su quella rete.

Nella pagina Scoperta dispositivi nel portale Microsoft Defender a https://security.microsoft.com/settings/device-discovery, seleziona Reti monitorate, seleziona il menu a tre punti accanto alla rete e seleziona una delle seguenti opzioni:

Filtrare l'elenco di rete

Nella scheda Reti monitorate, seleziona Filtro, seleziona stato del monitor di rete, scegli uno dei seguenti stati e poi seleziona Applica:

• Monitorato: reti in cui l'individuazione dei dispositivi è attiva.
• Ignorato: reti in cui l'individuazione dei dispositivi non è attiva.
• Tutti: Reti monitorate e ignorate.

Esaminare e valutare i dispositivi

Per esaminare e valutare i dispositivi di cui non è stato eseguito l'onboarding e per visualizzare altri dettagli sui dispositivi, vedi Esaminare e valutare i dispositivi.

Disabilitare l'individuazione dei dispositivi

Nella pagina Altre opzioni del portale Microsoft Defender all'indirizzo https://security.microsoft.com/securitysettings/endpoints/integration, imposta Individuazione dei dispositivi su Disattivato e quindi seleziona Salva preferenze. Per maggiori informazioni sull'ambientazione, vedi Funzionalità avanzate.

Disabilitare il rilevamento dei dispositivi impedisce a Defender for Endpoint di scoprire i dispositivi sulle tue reti. Il processo del sensore di rilevamento e risposta di rete, SenseNDR.exe, continua a essere eseguito sui dispositivi integrati.

Risolvere i problemi di rilevamento dei dispositivi

Se si verificano problemi con l'individuazione dei dispositivi o le analisi di rete autenticate, vedere Risolvere i problemi di individuazione dei dispositivi e analisi di rete autenticate.

Esplorare i dispositivi nella rete

Usa la DeviceNetworkInfo tabella per identificare i dispositivi integrati che si sono connessi a una rete mostrata nell'elenco Reti monitorate durante i sette giorni precedenti. Per i dettagli di tabelle e colonne, consulta il riferimento alla tabella DeviceNetworkInfo.

DeviceNetworkInfo
| where Timestamp > ago(7d)
| where ConnectedNetworks  != ""
| extend ConnectedNetworksExp = parse_json(ConnectedNetworks)
| mv-expand bagexpansion = array ConnectedNetworks=ConnectedNetworksExp
| extend NetworkName = tostring(ConnectedNetworks ["Name"]), Description = tostring(ConnectedNetworks ["Description"]), NetworkCategory = tostring(ConnectedNetworks ["Category"])
| where NetworkName == "<your network name here>"
| summarize arg_max(Timestamp, *) by DeviceId

Ottenere informazioni su un dispositivo

Usa la DeviceInfo tabella per restituire l'ultimo record disponibile per ciascun ID dispositivo associato a un nome specificato. Puoi usare gli ID dei dispositivi restituiti e i dettagli della piattaforma nelle query di hunting successive. Per i dettagli di tabelle e colonne, consulta il riferimento alla tabella DeviceInfo.

DeviceInfo
| where DeviceName == "<device name here>" and isnotempty(OSPlatform)
| summarize arg_max(Timestamp, *) by DeviceId

Contenuti correlati

• Panoramica del rilevamento dei dispositivi
• Risolvere i problemi di rilevamento dei dispositivi e delle scansioni di rete autenticate
• Esaminare e valutare i dispositivi