Esamina i messaggi di Teams in Microsoft Defender per Office 365

Come il pannello riassunto Email, anche il pannello di entità messaggi di Microsoft Teams riunisce dettagli dei messaggi e azioni di risposta nel portale Microsoft Defender. Usa il pannello di entità dei messaggi di Teams per indagare su chat, canali e chat di gruppo sospette o malevole e rispondere alle minacce.

Le azioni disponibili dipendono dalla tua licenza e dai permessi. Defender per Office 365 Plan 1 include azioni di blocco e invio ma non Rimuovi l'utente dalla conversazione. Questo articolo spiega le informazioni e le azioni disponibili nel pannello dell'entità messaggio di Teams.

Autorizzazioni e licenze per il pannello di entità del messaggio di Teams

Per usare il pannello delle entità dei messaggi di Teams, è necessario assegnare le autorizzazioni. Sono disponibili le opzioni seguenti:

• Accesso completo:

  • Autorizzazioni per la posta elettronica e la collaborazione nel portale Microsoft Defender: Appartenenza ai gruppi di ruoli Gestione dell'organizzazione, Amministratore della sicurezza o Amministratore della quarantena.
  • Microsoft Entra autorizzazioni: l'appartenenza a uno dei ruoli seguenti offre agli utenti le autorizzazioni e le autorizzazioni necessarie per altre funzionalità in Microsoft 365: Amministratore^* globale, Amministratore della sicurezza o Operatore di sicurezza.

• Accesso di sola lettura:

  • Autorizzazioni di Microsoft Entra: Global Reader o Security Reader.

• Rimuovere gli utenti dalle chat di Teams: richiede l'appartenenza a uno dei ruoli di Microsoft Entra seguenti: Amministratore^* globale, Amministratore della sicurezza o Operatore di sicurezza.

  Importante

  ^* Microsoft sostiene fortemente il principio dei privilegi minimi. L'assegnazione degli account solo alle autorizzazioni minime necessarie per eseguire le attività consente di ridurre i rischi per la sicurezza e di rafforzare la protezione complessiva dell'organizzazione. Amministratore globale è un ruolo con privilegi elevati che è consigliabile limitare agli scenari di emergenza o quando non è possibile usare un ruolo diverso.

Dove trovare il riquadro dell'entità messaggio di Teams

Non sono presenti collegamenti diretti al pannello dell'entità messaggio di Teams dai livelli principali del portale di Defender. Il pannello dell'entità messaggio di Teams è invece disponibile nelle posizioni seguenti:

• Dalla pagina Quarantena all'indirizzo https://security.microsoft.com/quarantine: selezionare la scheda Messaggio di Teams> selezionare una voce facendo clic in qualsiasi punto della riga, ad eccezione della casella di controllo. Il riquadro a comparsa dei dettagli visualizzato è il riquadro dell'entità messaggio di Teams.

• Dalla pagina Invii all'indirizzo https://security.microsoft.com/reportsubmission:

  • Selezionare la scheda Messaggi di Teams> quindi selezionare una voce facendo clic in qualsiasi punto della riga, ad eccezione della casella di controllo.

  • Selezionare la scheda User reported> e quindi selezionare una voce di Teams facendo clic in qualsiasi punto della riga, tranne sulla casella di controllo. Il riquadro a comparsa dei dettagli visualizzato è il riquadro dell'entità messaggio di Teams.

    È possibile filtrare le voci selezionando Filtra>tipo di> messaggioTeams.

• Nella pagina Ricerca avanzata in https://security.microsoft.com/v2/advanced-huntingselezionare un valore TeamsMessageId (collegamento) dalla tabella MessageEvents nei risultati della query. Il riquadro a comparsa dei dettagli visualizzato è il riquadro dell'entità messaggio di Teams. Ad esempio:

  UrlClickEvents
  | where ThreatTypes !="" and Workload =="Teams"
  | summarize count() by Url, ThreatTypes, ActionType, Workload
  | project Url, ThreatTypes, ActionType, Workload, ClickCount=count_
  | top 20 by ClickCount
  
  UrlClickEvents
  | limit 100
  
  MessageEvents
  | limit 100
  

Che cosa contiene il pannello dell'entità messaggio di Teams

Le informazioni seguenti sono disponibili nella parte superiore del pannello dell'entità messaggio di Teams:

• Il titolo del riquadro a comparsa è l'oggetto o i primi 100 caratteri del messaggio di Teams.
• Esito attuale del messaggio.
• Numero di collegamenti nel messaggio.
• Le azioni disponibili nella parte superiore del riquadro a comparsa dipendono dal punto in cui è stato aperto il riquadro dell'entità messaggio di Teams.

Le sezioni seguenti nel pannello delle entità dei messaggi di Teams dipendono dalla posizione in cui è stata aperta:

• Messaggi di Teams in quarantena
• Visualizza i dettagli di invio dell'amministratore di Teams
• Visualizzare i dettagli dei messaggi di Teams segnalati dall'utente in Defender per Office 365 piano 2

Il resto del pannello dell'entità messaggio di Teams contiene le informazioni seguenti, indipendentemente dalla posizione in cui è stata aperta:

• Sezione Dettagli messaggio :

  • Minacce
  • Percorso del messaggio
  • Indirizzo del mittente
  • Ora di ricezione
  • Tecnologia di rilevamento
  • ID messaggio di Teams: è possibile usare questo valore come identificatore di un messaggio di Teams in Defender per Office 365.

• Sezione del mittente:

  • Nome e indirizzo di posta elettronica del mittente
  • Dominio
  • Esterno: il valore Sì indica che il messaggio è stato inviato tra un utente interno e un utente esterno.

• Una delle sezioni seguenti, a seconda che il messaggio provenisse da una chat o da un canale:

  • Chat: sezione Partecipanti :
    • Tipo di conversazione
    • Nome chat
    • Nome e indirizzo di posta elettronica: contiene il nome e gli indirizzi di posta elettronica di tutti i partecipanti (incluso il mittente). Se ci sono più di 10 partecipanti, si collega anche a un pannello secondario che elenca tutti i partecipanti alla chat al momento della minaccia sospetta.
  • Canale: sezione dettagli canale :
    • Tipo di conversazione
    • Nome conversazione: contiene il nome del canale.
    • Nome e indirizzo di posta elettronica: contiene il nome e l'indirizzo del canale.

• Sezione URL :

  • Nome e tipo Contiene l'URL del messaggio di Teams.
  • Minaccia

  Se il messaggio ha più di 10 URL, selezionare Visualizza tutti gli URL per visualizzarli tutti.

Rimuovi gli utenti dalle chat di Teams nel riquadro dell'entità messaggio di Teams

Usare la procedura seguente per rimuovere gli utenti da una chat di Teams dal pannello delle entità dei messaggi di Teams.

Nel pannello delle entità di Teams è possibile selezionare Esegui azione nella parte superiore del riquadro a comparsa (spesso in Altre azioni) per rimuovere gli utenti da una chat di Teams.

Eseguire i passaggi seguenti nella procedura guidata Esegui azione :

1. Nella pagina Scegli azioni di risposta selezionare Rimuovi utente dalla conversazione dalla sezione Azioni a livello di conversazione e quindi selezionare Avanti.

2. Nella pagina Scegli entità di destinazione configurare le opzioni seguenti:

   • Nome Immettere un nome descrittivo univoco per lo scenario di rimozione dell'utente.
   • Descrizione: immettere i dettagli facoltativi.

   Il resto della pagina contiene una tabella dei dettagli con le informazioni seguenti sugli utenti nella chat:

   • Asset interessato: L'indirizzo di posta elettronica dell'utente.
   • Azione: questo valore è sempre Rimuovi utente dalla conversazione.
   • Entità di destinazione: valore GUID id thread della chat.
   • Scade il

   Per impostazione predefinita, vengono selezionati tutti gli utenti della chat, inclusi gli utenti esterni che non è possibile rimuovere dalla chat. Verificare che gli utenti interni da rimuovere dalla chat siano selezionati.

   Al termine, nella pagina Scegli entità di destinazione selezionare Avanti.

   

3. Nella pagina Rivedi e invia, rivedi le selezioni precedenti.

   Selezionare Indietro per tornare indietro e modificare le selezioni.

   Al termine della pagina Rivedi e invia , selezionare Invia.

La rimozione di utenti da una chat di Teams viene registrata nella scheda Cronologia della pagina centro notifiche all'indirizzo https://security.microsoft.com/action-center/history. È possibile filtrare i risultati in base al tipo di> azioneRimuovere gli utenti dalle conversazioni di Teams e/o dalmessaggio di Teams> entità. Nei dettagli dell'avviso è possibile verificare che gli utenti siano stati o meno rimossi dalla chat di Teams.

Blocca mittenti e domini e invia messaggi Teams

Usa la guida Prendi azione per bloccare un mittente esterno o un dominio, invia un messaggio di Teams a Microsoft per la revisione o combina queste azioni. Il wizard è disponibile da ogni pannello di messaggi di Teams, inclusi i pannelli aperti da Submissions, Advanced Hunting e Quarantine.

Completa i seguenti passaggi nel wizard Prendere azione :

1. Nel pannello dell'entità dei messaggi di Teams, selezionare Agisci nella parte superiore del riquadro a comparsa.

   

2. Nella pagina Scegli azioni di risposta , seleziona una o più delle seguenti opzioni nella sezione Azioni a livello di Entità :

   • Blocca un dominio: Il wizard precompila i domini esterni dei partecipanti e dei mittenti nella chat.
   • Bloccare un utente: L'assistente precompila il mittente esterno.
   • Invia a Microsoft per la revisione: Le ragioni disponibili dipendono dal verdetto del messaggio:
     • Se il messaggio ha un verdetto di minaccia, sono disponibili Ho confermato che è pulito e Sembra pulito. Le ragioni sospette e di minaccia non sono disponibili.
     • Se il messaggio non ha una valutazione di minaccia, Sembra sospetto e Ho confermato che è una minaccia sono disponibili. Le ragioni pulite non sono disponibili.
     • Se selezioni Ho confermato che è una minaccia, scegli Spam, Phish o Malware come verdetto.

   Per rendere disponibili tutte le motivazioni di invio, seleziona Mostra tutte le azioni di risposta.

   Puoi selezionare più azioni. Ad esempio, invia il messaggio a Microsoft e blocca un mittente o un dominio. Puoi anche rimuovere gli utenti quando è disponibile Rimuovi utente dalla conversazione .

   

   Quando selezioni Blocca un dominio o Blocca un utente, si apre il flyout Seleziona entità da bloccare :

   • Rivedi i domini o il mittente che il wizard ha precompilato per il messaggio.
   • Per aggiungere domini non elencati, inserisci fino a 20 domini separati da virgole o interruzioni di riga. Seleziona Blocca per aggiungere i domini alla lista Entità .
   • Usa la Ricerca per trovare un'entità nella lista.
   • Seleziona le entità da bloccare e poi seleziona Aggiungi alla regola del blocco. La regola di aggiungere al blocco non è disponibile finché non selezioni almeno un'entità.

   Lo screenshot seguente mostra la lista vuota delle entità, dove puoi inserire domini da aggiungere alla regola di blocco.

   

   Al termine della pagina Scegliere le azioni di risposta , selezionare Avanti.

3. Nella pagina Scegli entità di destinazione configurare le opzioni seguenti:

   • Nome: Inserisci un nome unico e descrittivo per le azioni di risposta.
   • Descrizione: immettere i dettagli facoltativi.

   Seleziona i mittenti e i domini precompilati da aggiungere alla Tenant Allow/Block List. Esamina gli asset, le azioni e le entità target interessate, poi seleziona Next.

   

4. Nella pagina Recensione e invio , rivedi le tue selezioni. Per apportare modifiche, selezionare Indietro. Per completare le azioni, seleziona Invia.

Dopo aver inviato le azioni, il wizard mostra i risultati:

• I risultati per Blocco a dominio mostrano il dominio nella colonna Entità e Dominio nella colonna Tipo . Il valore di Stato è Bloccato, Permesso o Nessuna azione. Se il dominio è già bloccato nella Tenant Allow/Block List, i risultati mostrano lo stato esistente.
• I risultati per le azioni del mittente e di invio includono le colonne Risorsa Impattata, Azione, Entità Target, Scaduzione su, Ambito e Stato . L'entità target è l'ID del messaggio di Teams. L'ambito è MDO Teams Protection (Microsoft Defender per Office 365 Teams Protection).

I domini e i mittenti bloccati vengono visualizzati nella pagina Tenant Allow/Block List. Inviare un messaggio a Microsoft e bloccare un dominio o un mittente crea le voci di audit log. Rimuovi l'utente dalla conversazione crea anche una voce nel Centro notifiche e una voce nel registro di controllo.

Per dettagli sulle invii su Teams, consulta le impostazioni dei messaggi segnalati dagli utenti in Teams e Segnala i messaggi di Teams a Microsoft.

Per gestire i domini bloccati, vedi Block domains in Microsoft Teams usando la Tenant Allow/Block List.

Contenuti correlati

La pagina dell'entità di posta elettronica di Microsoft Defender per Office 365 e come funziona

Collegamenti sicuri in Microsoft Defender per Office 365

Eliminazione automatica a zero ore (ZAP) in Microsoft Teams