Creare indicatori per IP e URL/domini

  • Si applica a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Panoramica

Creando indicatori per INDIRIZZI IP e URL o domini, è ora possibile consentire o bloccare indirizzi IP, URL o domini in base alle proprie intelligence sulle minacce. È anche possibile avvisare gli utenti se aprono un'app rischiosa. Il prompt non impedisce loro di usare l'app; gli utenti possono ignorare l'avviso e continuare a usare l'app, se necessario.

Per bloccare indirizzi IP/URL dannosi, Defender per endpoint può usare:

  • Windows Defender SmartScreen per i browser Microsoft
  • Protezione di rete per browser non Microsoft e processi non browser

Il set di dati di intelligence sulle minacce predefinito per bloccare indirizzi IP/URL dannosi è gestito da Microsoft.

È possibile bloccare altri INDIRIZZI IP/URL dannosi configurando "Indicatori di rete personalizzati".

Prima di iniziare, esaminare i prerequisiti per assicurarsi che l'ambiente sia configurato correttamente.

Prerequisiti

È importante comprendere i prerequisiti seguenti prima di creare indicatori per indirizzi IP, URL o domini.

L'integrazione nei browser Microsoft è controllata dall'impostazione SmartScreen del browser. Per altri browser e applicazioni, l'organizzazione deve avere:

Sistemi operativi supportati

Gli indicatori IP, URL e dominio sono supportati nei sistemi operativi seguenti:

Requisiti di protezione di rete

Gli indicatori di accesso alla rete e di blocco nei browser Microsoft sono controllati dall'impostazione SmartScreen del browser.

Per altri browser e applicazioni, gli indicatori di accesso alla rete richiedono che la protezione di rete del componente Microsoft Defender per endpoint sia abilitata in modalità blocco. Per altre informazioni su Protezione rete e istruzioni di configurazione, vedere Abilitare la protezione di rete.

Requisiti degli indicatori di rete personalizzati

Per iniziare a bloccare gli indirizzi IP e/o gli URL, attivare la funzionalità "Indicatori di rete personalizzati" nel portale di Microsoft Defender. La funzionalità è disponibile in Impostazioni Endpoint>> Funzionalitàgenerali>avanzate. Per altre informazioni, vedere Funzionalità avanzate.

Per il supporto degli indicatori su iOS, vedere Microsoft Defender per endpoint on iOS.

Per il supporto degli indicatori in Android, vedere Microsoft Defender per endpoint in Android.

Limitazioni dell'elenco degli indicatori

Solo gli INDIRIZZI IP esterni possono essere aggiunti all'elenco di indicatori; non è possibile creare indicatori per gli indirizzi IP interni.

Processi non Microsoft Edge e Internet Explorer

Per i processi diversi da Microsoft Edge e Internet Explorer, gli scenari di protezione Web usano Protezione di rete per l'ispezione e l'imposizione:

  • Gli indirizzi IP sono supportati per tutti e tre i protocolli (TCP, HTTP e HTTPS (TLS))
  • Sono supportati solo indirizzi IP singoli (nessun blocco CIDR o intervalli IP) negli indicatori personalizzati
  • Gli URL HTTP (incluso un percorso URL completo) possono essere bloccati per qualsiasi browser o processo
  • I nomi di dominio completi HTTPS (FQDN) possono essere bloccati nei browser non Microsoft (gli indicatori che specificano un percorso URL completo possono essere bloccati solo in Microsoft Edge)
  • Il blocco degli FQDN nei browser non Microsoft richiede che QUIC e Encrypted Client Hello siano disabilitati in tali browser
  • Gli FQDN caricati mediante la coalescenza delle connessioni HTTP/2 possono essere bloccati solo in Microsoft Edge
  • Se sono presenti criteri di indicatore URL in conflitto, viene applicato il percorso più lungo. Ad esempio, i criteri https://support.microsoft.com/microsoft-365/ dell'indicatore URL hanno la precedenza sui criteri https://support.microsoft.comdell'indicatore URL.

Implementazione della protezione di rete

Nei processi non Microsoft Edge, Protezione rete determina il nome di dominio completo per ogni connessione HTTPS esaminando il contenuto dell'handshake TLS che si verifica dopo un handshake TCP/IP. Ciò richiede che la connessione HTTPS usi TCP/IP (non UDP/QUIC) e che il messaggio ClientHello non sia crittografato. Per disabilitare QUIC e Encrypted Client Hello in Google Chrome, vedere QuicAllowed e EncryptedClientHelloEnabled. Per Mozilla Firefox, vedere Disabilitare EncryptedClientHello e network.http.http3.enable.

La decisione se consentire o bloccare l'accesso a un sito viene presa dopo il completamento del three-way handshake tramite TCP/IP e di qualsiasi handshake TLS. Pertanto, quando un sito viene bloccato dalla protezione di rete, nel portale Microsoft Defender potrebbe essere visualizzato un tipo di azione ConnectionSuccess in NetworkConnectionEvents, anche se il sito è stato bloccato. NetworkConnectionEvents vengono segnalati dal livello TCP e non dalla protezione di rete. Dopo il completamento dell'handshake a tre fasi, l'accesso al sito viene consentito o bloccato dalla protezione di rete.

Ecco un esempio di come viene registrato il blocco della protezione di rete:

  1. Si supponga che un utente tenti di accedere a un sito Web nel proprio dispositivo. Il sito è ospitato in un dominio pericoloso e deve essere bloccato dalla protezione di rete.

  2. La stretta di mano TCP/IP ha inizio. Prima del completamento, viene registrata un'azione NetworkConnectionEvents e la relativa ActionType azione viene elencata come ConnectionSuccess. Tuttavia, non appena il processo di handshake TCP/IP viene completato, la protezione di rete blocca l'accesso al sito. La sequenza di handshake, registrazione e blocco avviene rapidamente. Un processo simile si verifica con Microsoft Defender SmartScreen; è dopo il completamento dell'handshake che viene effettuata una determinazione e l'accesso a un sito è bloccato o consentito.

  3. Nel portale Microsoft Defender viene elencato un avviso nella coda degli avvisi. I dettagli di quell'avviso includono sia NetworkConnectionEvents che AlertEvents. È possibile notare che il sito è stato bloccato, anche se si dispone anche di un NetworkConnectionEvents elemento con ActionType di ConnectionSuccess.

Controlli della modalità di avviso

Quando si usa la modalità di avviso, è possibile configurare i controlli seguenti:

  • Capacità di bypass

    • Pulsante "Consenti" in Microsoft Edge
    • Pulsante "Consenti" nella notifica popup (browser non Microsoft)
    • Escludere il parametro di durata sull'indicatore
    • Ignorare l'imposizione nei browser Microsoft e non Microsoft

  • URL di reindirizzamento

    • Parametro URL di reindirizzamento nell'indicatore
    • URL di reindirizzamento in Microsoft Edge
    • URL di reindirizzamento nella notifica popup (browser non Microsoft)

Per altre informazioni, vedi Applicare criteri di governance alle app individuate da Microsoft Defender per endpoint.

Ordine di gestione dei conflitti dei criteri per gli indicatori IP, URL e dominio

La gestione dei conflitti di criteri per domini, URL e indirizzi IP differisce dagli indicatori di certificato, che usano un ordine di precedenza separato. Per informazioni dettagliate sui criteri degli indicatori di certificato, vedere Creare indicatori basati sui certificati.

Nel caso in cui più tipi di azione diversi siano impostati sullo stesso indicatore (ad esempio, tre indicatori per Microsoft.com con i tipi di azione bloccano, avvisano e consentono), l'ordine in cui questi tipi di azione avrebbero effetto è:

  1. Consenti

  2. Avvertire

  3. Blocca

"Allow" ha la precedenza su "warn", che ha la precedenza su "block", come segue: Allow>Warn>Block Pertanto, nell'esempio precedente, Microsoft.com sarebbe consentito.

Indicatori di Defender for Cloud Apps

Se l'organizzazione ha abilitato l'integrazione tra Defender per endpoint e Defender for Cloud Apps, gli indicatori di blocco vengono creati in Defender per endpoint per tutte le applicazioni cloud non approvate. Se un'applicazione viene messa in modalità di monitoraggio, vengono creati indicatori di avviso (blocco ignorabile) per gli URL associati all'applicazione. Gli indicatori consentiti non vengono creati automaticamente per le applicazioni approvate. Gli indicatori creati da Defender for Cloud Apps usano lo stesso ordine di precedenza: Allow>Warn>Block.

Precedenza dei criteri

Il criterio di Microsoft Defender per endpoint ha la precedenza sul criterio di Microsoft Defender Antivirus. Nei casi in cui Defender per endpoint è impostato su Allow, ma Microsoft Defender Antivirus è impostato su Block, il risultato è Allow.

Precedenza per più criteri attivi

L'applicazione di più criteri di filtro del contenuto Web diversi allo stesso dispositivo comporta l'applicazione di criteri più restrittivi per ogni categoria. Considerare lo scenario descritto di seguito:

  • Criterio 1 blocca le categorie 1 e 2 e controlla le altre
  • Criterio 2 blocca le categorie 3 e 4 e verifica il resto

Il risultato è che le categorie da 1 a 4 sono tutte bloccate. Questo scenario è illustrato nell'immagine seguente.

Diagramma che mostra la precedenza della modalità di blocco dei criteri di filtro del contenuto Web rispetto alla modalità di controllo.

Creare un indicatore per indirizzi IP, URL o domini dalla pagina delle impostazioni

Importante

Il blocco di un URL o di un indirizzo IP in un dispositivo può richiedere fino a 48 ore dopo la creazione di un criterio. Nella maggior parte dei casi, i blocchi hanno effetto in meno di due ore.

Per creare un indicatore per indirizzi IP, URL o domini dal portale di Microsoft Defender, seguire questa procedura:

  1. Nel riquadro di spostamento selezionare Impostazioni>Endpoint>Indicatori (in Regole).

  2. Selezionare la scheda URL o INDIRIZZI IP/Domini .

  3. Selezionare Aggiungi elemento.

  4. Specificare i dettagli seguenti:

    • Indicatore: specificare i dettagli dell'entità e definire la scadenza dell'indicatore.
    • Azione: specificare l'azione da intraprendere e specificare una descrizione.
    • Ambito: specificare i gruppi di computer che devono applicare l'indicatore.

  5. Esaminare i dettagli nella scheda Riepilogo e quindi selezionare Salva.

Importante

Dopo aver creato un criterio per un URL o un indirizzo IP, l'applicazione del criterio può richiedere fino a 48 ore. Nella maggior parte dei casi, le modifiche ai criteri diventano effettive in meno di due ore.

Contenuti correlati

  • Last updated on