Esercitazione: Configurare i criteri di intelligence sulle minacce

Microsoft definisce minacce a gravità elevata come domini o URL associati a minacce come distribuzione di malware attivi, campagne di phishing e infrastruttura C2 (Command and Control). Microsoft e feed di intelligence sulle minacce non Microsoft identificano queste minacce con elevata attendibilità. Configurando l'intelligence sulle minacce, è possibile bloccare automaticamente queste destinazioni Web dannose note.

In questa esercitazione apprenderai a:

Concetti chiave

Che cos'è l'intelligence sulle minacce?

L'intelligence sulle minacce è basata su dati selezionati relativi a domini, URL e indirizzi IP dannosi noti. Questo elenco viene aggiornato continuamente come Microsoft aggrega l'intelligence da più origini, come gli esempi nella tabella seguente.

Ecco alcuni esempi di minacce bloccate. Per l'elenco completo, vedere Tipi di minacce di intelligence globale sull'accesso sicuro.

• MaliciousUrl: URL che servono malware.
• Phishing: indicatori correlati a una campagna di phishing.
• C2: nodo di comando e controllo di una botnet.
• Malware: indicatori che descrivono un file o un file dannoso.
• CryptoMining: traffico che comporta il crypto mining o l'abuso di risorse.

Differenze tra intelligence per le minacce e filtro del contenuto Web

• Blocchi di filtro dei contenuti Web per categoria (ad esempio gioco d'azzardo o contenuto per adulti).
• L'intelligence sulle minacce blocca gli attori malintenzionati noti indipendentemente dalla categoria.
• Un sito di notizie legittimo che è stato compromesso è bloccato dall'intelligence sulle minacce, non dal filtro dei contenuti web.
• Se l'ispezione TLS (Transport Layer Security) non è abilitata, l'intelligence sulle minacce non può proteggersi da URL dannosi. I tipi di rilevamento rimanenti vengono ancora rilevati e bloccati.

Obiettivo

In questa esercitazione si crea una politica di intelligence sulle minacce per bloccare siti noti dannosi. Facoltativamente, è possibile configurare un elenco di elementi consentiti per falsi positivi o siti business critical. Si collegano quindi i criteri a un profilo di sicurezza e si verifica l'applicazione della politica utente.

Video dimostrativi

Il video seguente illustra come configurare un criterio di Intelligence per le minacce.

Il video seguente illustra come testare i criteri di intelligence sulle minacce.

Passaggio 1: Creare un criterio di intelligence per le minacce

1. Dal centro di amministrazione di Microsoft Entra passare a Global Secure Access>Secure>Politiche di intelligence sulle minacce.

2. Selezionare Crea politica.

3. Immettere un nome e una descrizione per il criterio e quindi selezionare Avanti.

4. Mantieni azione predefinita come Consenti.

   Annotazioni

   L'azione predefinita per l'intelligence sulle minacce è Consenti. Se il traffico non corrisponde a una regola nella politica di intelligence sulle minacce, ovvero non viene rilevata alcuna minaccia, il motore delle politiche permette il passaggio del traffico. Un altro tipo di criteri potrebbe comunque valutare e bloccare il traffico, ad esempio il filtro del contenuto Web.

5. Selezionare Avanti ed esaminare i nuovi criteri di intelligence per le minacce.

6. Fare clic su Crea.

Passaggio 2: Configurare l'elenco elementi consentiti (facoltativo)

Se si è a conoscenza dei siti che potrebbero essere critici per l'azienda o sono etichettati come falsi positivi, è possibile configurare regole che consentono questi siti.

1. In Global Secure Access>Secure>Threat intelligence policies, seleziona il criterio di intelligence sulle minacce scelto.

2. Selezionare Regole.

3. Seleziona Aggiungi regola.

4. Immettere un nome, una descrizione, una priorità e uno stato per la regola.

5. Modifica FQDN di destinazione e seleziona la lista di domini per la lista di elementi consentiti.

   È possibile immettere questi nomi di dominio completi (FQDN) come domini delimitati da virgole.

6. Seleziona Aggiungi.

Passaggio 3: Collegare i criteri di intelligence sulle minacce al profilo di sicurezza

1. Passare a Accesso globale sicuro>Sicuro>Profili di sicurezza.
2. Selezionare il profilo di sicurezza creato nell'esercitazione sull'ispezione TLS.
3. Passare al riquadro Criteri di collegamento .
4. Selezionare Collega un criterio e quindi selezionare Criteri di Intelligence sulle minacce esistenti.
5. Selezionare la politica di intelligence sulle minacce che hai creato, quindi selezionare Aggiungi.

Verificare che il profilo di sicurezza sia assegnato a un criterio Microsoft Entra Conditional Access.

Passaggio 4: Verificare l'applicazione dei criteri

1. Per eseguire il test, passare a uno dei siti seguenti:

   • entratestthreat.com
   • smartscreentestratings2.net

   Gli esempi precedenti sono siti di test per verificare se i criteri di sicurezza funzionano. Sono benigni e sicuri da usare.

2. Verificare che l'accesso al sito sia bloccato. Espandere Altre informazioni e verificare che il tipo di minaccia sia MaliciousUrl.

   

3. È anche possibile visualizzare i log del traffico ed esaminare il campo Tipo di minaccia .

Se Windows Defender o SmartScreen blocca l'utente, eseguire l'override e accedere al sito per testare il messaggio di blocco accesso sicuro globale. Per eseguire questo passaggio, in Altre informazioni selezionare Continua al sito non sicuro (non consigliato). Eseguire questo passaggio solo in un ambiente di laboratorio o in un ambiente di proof-of-concept, non in ambiente di produzione.

Che cosa si è appreso

In questa esercitazione sono state eseguite le attività seguenti:

• Abilitazione della protezione automatizzata dalle minacce: Si è appreso che l'organizzazione è ora protetta da migliaia di siti dannosi noti senza gestire manualmente elenchi di blocchi. Microsoft aggiorna continuamente questo elenco di minacce in base ai segnali di intelligence.
• Hai compreso il modello "consenti predefinito": Hai appreso che i criteri di intelligence per le minacce bloccano solo il traffico che corrisponde a una minaccia nota. Altri criteri valutano tutto l'altro traffico che passa attraverso.
• Regole di eccezione configurate: Si è appreso come ignorare domini specifici, se necessario per motivi aziendali, anche se è consigliabile eseguire questo passaggio con moderazione.
• Classificazione dei tipi di minaccia osservati: Si è appreso che la pagina del blocco mostra il tipo di minaccia specifico, ad esempio MaliciousUrl, phishing e C2. Queste informazioni consentono di comprendere perché il traffico è stato bloccato.

Strategia di difesa avanzata

┌─────────────────────────────────────────────────────────┐
│                 Security layers                         │
├─────────────────────────────────────────────────────────┤
│ Layer 1: Web content filtering                          │
│   • Blocks unwanted categories like gambling or adult.  │
├─────────────────────────────────────────────────────────┤
│ Layer 2: Threat intelligence                            │
│   • Blocks known malicious destinations.                │
├─────────────────────────────────────────────────────────┤
│ Layer 3: Content policies                               │
│   • Prevents data exfiltration via file uploads.        │
├─────────────────────────────────────────────────────────┤
│ Layer 4: Microsoft Defender for Endpoint                │
│   • Is the last line of defense on the endpoint.        │
└─────────────────────────────────────────────────────────┘

Perché più livelli?

• L'intelligence sulle minacce è reattiva. Conosce soltanto le minacce che sono state scoperte.
• I nuovi siti malware e phishing vengono creati costantemente.
• Ogni livello rileva le minacce che agli altri potrebbero sfuggire.

Passo successivo