Gestire le impostazioni di correlazione delle regole di analisi in Microsoft Defender XDR

Questo articolo illustra come includere o escludere regole di analisi dal motore di correlazione Microsoft Defender XDR. L'inclusione o l'esclusione di regole di analisi dalla correlazione consente alle organizzazioni di eseguire la migrazione da Microsoft Sentinel mantenere un comportamento prevedibile degli eventi imprevisti e garantire la compatibilità con i flussi di lavoro di automazione esistenti.

Panoramica

Microsoft Defender raggruppa più avvisi e eventi imprevisti in storie di attacco unificate. Anche se questa funzionalità fornisce informazioni dettagliate sulla sicurezza avanzate, può comportare un comportamento imprevisto per le organizzazioni che eseguono la migrazione da Microsoft Sentinel, in cui gli eventi imprevisti sono statici e determinati esclusivamente dalle configurazioni delle regole di analisi.

Per impostazione predefinita, tutte le regole di analisi vengono escluse a livello di tenant quando si esegue l'onboarding per la prima volta in Microsoft Defender. A seconda delle esigenze dell'organizzazione, è possibile modificare questa impostazione per abilitare la correlazione per tutte le regole di analisi ed escludere solo regole specifiche oppure escludere tutte le regole di analisi e aggiungerne di specifiche per la correlazione.

Escludendo le regole di analisi dalla correlazione, è possibile assicurarsi che gli avvisi generati da tali regole ignorano il motore di correlazione e si raggruppano in eventi imprevisti esattamente come in Microsoft Sentinel, in base solo alla configurazione di raggruppamento della regola di analisi.

Per altre informazioni sul funzionamento della correlazione in Microsoft Defender, vedere Correlazione degli avvisi e unione degli eventi imprevisti nel portale di Microsoft Defender.

Prerequisiti

Per gestire le esclusioni delle regole di analisi dalla correlazione, sono necessarie le autorizzazioni seguenti:

Microsoft Sentinel Contributor Questo ruolo Azure ti permette di gestire i dati dello spazio di lavoro Microsoft Sentinel, inclusi avvisi e rilevamenti.

Funzionamento dell'esclusione

A seconda delle impostazioni del tenant, è possibile escludere tutte o solo regole di analisi specifiche dalla correlazione.

Quando si esclude una regola di analisi dalla correlazione:

• Qualsiasi avviso generato da tale regola ignora il motore di correlazione.
• Gli avvisi vengono raggruppati in eventi imprevisti in base esclusivamente alla configurazione di raggruppamento della regola di analisi.
• Il comportamento corrisponde al modo in cui gli eventi imprevisti sono stati creati in Microsoft Sentinel.
• La regola funziona indipendentemente dalla logica di correlazione che normalmente crea storie di attacco.

Configurare le impostazioni predefinite del comportamento di correlazione degli eventi imprevisti

Imposta il comportamento predefinito di correlazione degli incidenti per gli avvisi e gli incidenti generati dalle regole di analisi nell'intero tenant. L'impostazione predefinita di correlazione degli eventi imprevisti del tenant determina se Microsoft Defender include nel motore di correlazione tutte le regole di analisi che non hanno il comportamento di correlazione degli eventi imprevisti configurato in modo esplicito.

Per configurare il comportamento predefinito di correlazione degli incidenti del tenant, nel menu di navigazione del portale di Defender vai a Sistema>Impostazioni>Microsoft Defender XDR>Regole>Correlazione degli incidenti e attiva o disattiva Impostazione predefinita della correlazione degli incidenti.

Puoi sovrascrivere il comportamento predefinito per le singole regole aggiungendo un tag di descrizione. Quando disattivi l'impostazione predefinita del comportamento di correlazione degli incidenti, Microsoft Defender esclude tutte le regole di analisi dalla correlazione a meno che tu non includa esplicitamente una regola aggiungendo il #INC_CORR# tag (include correlation) alla sua descrizione. Quando attivi l'impostazione predefinita di correlazione per incidenti, Defender correla tutte le regole di analisi a meno che tu non le configuri esplicitamente per escluderle aggiungendo il #DONT_CORR# tag.

Gestire il comportamento di correlazione di una regola usando l'interfaccia utente

È possibile includere o escludere una regola di analisi specifica dalla correlazione usando la procedura guidata della regola di analisi.

1. Passare al portale di Microsoft Defender ed eseguire l'accesso.

2. Andare alla procedura guidata delle regole di analisi.

3. Nella scheda Generale della procedura guidata della regola, immetti un nome e una descrizione.

4. Nella scheda Imposta la logica della regola, configurare la logica della regola secondo necessità.

5. Nella scheda Impostazioni degli incidenti, scegliere una delle seguenti impostazioni nella casella a discesa Correlazione degli incidenti:

   • Impostazione predefinita tenant : usare l'impostazione relativa al comportamento di correlazione degli eventi imprevisti a livello di tenant
   • Abilitato : includere la regola di analisi per la correlazione
   • Disabilitato : escludere la regola di analisi dalla correlazione

   

Quando includi o escludi una regola usando l'interruttore dell'interfaccia utente, il #INC_CORR# tag o #DONT_CORR# viene aggiunto automaticamente all'inizio della descrizione della regola.

La visualizzazione regole di analisi include ora una colonna per lo stato di correlazione, in modo da poter vedere facilmente quali regole sono incluse o escluse e filtrare l'elenco per visualizzare le regole in uno stato specifico.

Gestire manualmente il comportamento di correlazione di una regola

È possibile aggiungere o rimuovere manualmente i #INC_CORR# tag e #DONT_CORR# per controllare lo stato di correlazione di una regola di analisi.

Aggiungere manualmente il tag

Per impostare manualmente lo stato di correlazione di una regola, aggiungere il tag appropriato all'inizio della descrizione della regola.

1. Aprire la regola di analisi in modalità di modifica.
2. Nel campo Descrizione della regola aggiungere #INC_CORR# o #DONT_CORR# all'inizio del testo.
3. Salva la regola.

Gestire il comportamento di correlazione tramite l'API

È possibile controllare a livello di codice lo stato di esclusione delle regole di analisi aggiungendo o rimuovendo il #INC_CORR# tag o #DONT_CORR# tramite l'API di analisi.

Per modificare lo stato di correlazione di una regola:

1. Usare l'API Microsoft Defender XDR per recuperare la configurazione corrente della regola.
2. Aggiungere o rimuovere il #INC_CORR# tag o #DONT_CORR# all'inizio del campo di descrizione della regola.
3. Aggiornare la regola usando l'API.

Per altre informazioni sull'uso dell'API Microsoft Defender, vedere panoramica delle API Microsoft Defender.

Considerazioni importanti per le impostazioni di correlazione delle regole di analisi

Quando si usa l'esclusione di correlazione, tenere presente quanto segue:

• Lo stato di correlazione corrisponde sempre al tag . Ad esempio, se escludi una regola usando l'interruttore dell'interfaccia utente e rimuovi manualmente il #DONT_CORR# tag dalla descrizione, lo stato di correlazione della regola torna a Correlazione abilitato.

• Anche quando si esclude una regola dalla correlazione, se si definisce una regola di analisi con un titolo dinamico, il titolo dell'evento imprevisto nel portale di Defender potrebbe essere diverso dal titolo in Microsoft Sentinel. Il titolo Microsoft Sentinel è il titolo del primo avviso e in Defender rientra nella tattica MITRE comune di tutti gli avvisi.

• La modifica dello stato di correlazione di una regola non influisce sugli avvisi creati prima della modifica. Gli avvisi ricevono lo stato di correlazione al momento della creazione e questo stato rimane statico.

• Il motore di correlazione è progettato per creare storie di attacco complete e aiuta in modo significativo gli analisti del Centro operativo di sicurezza (SOC) a comprendere gli attacchi e a rispondere in modo efficiente. Escludere le regole dalla correlazione solo se necessario per requisiti aziendali o operativi specifici.

• Regole di formattazione dei tag:

  • Non distinzione tra maiuscole e minuscole : è possibile usare qualsiasi combinazione di lettere maiuscole e minuscole (ad esempio, #dont_corr# o #DONT_CORR#).
  • La spaziatura è flessibile : è possibile aggiungere un numero qualsiasi di spazi tra il tag e il resto della descrizione o nessun spazio.
  • Deve essere all'inizio : il tag deve essere visualizzato all'inizio del campo della descrizione.

  Ad esempio, tutte le descrizioni seguenti sono valide:

  • #DONT_CORR# Questa regola rileva i tentativi di accesso sospetti
  • #dont_corr# Questa regola monitora le modifiche ai file
  • #DONT_CORR#Questa regola non ha spazio dopo il tag

Contenuti correlati

• Correlazione degli avvisi e unione di eventi imprevisti nel portale di Microsoft Defender
• Creare regole di rilevamento personalizzate
• Gestire i rilevamenti personalizzati
• Gestire gli eventi imprevisti in Microsoft Defender