Cercare in modo proattivo le minacce con ricerca avanzata in Microsoft Defender

La caccia avanzata è uno strumento basato su query per la caccia alle minacce che si utilizza per esplorare fino a 30 giorni di dati grezzi Defender XDR. Quando si integra uno spazio di lavoro Microsoft Sentinel, si possono anche interrogare i dati di livello analytics in base alla retention configurata per l'area di lavoro. È possibile controllare in modo proattivo eventi nella rete per localizzare indicatori ed entità di minaccia. L'accesso flessibile ai dati consente la ricerca senza vincoli di minacce sia note che potenziali.

La ricerca avanzata supporta due modalità: guidata e avanzata. Usare la modalità guidata se non si ha ancora familiarità con Linguaggio di query Kusto (KQL) o se si preferisce la praticità di un generatore di query. Usare la modalità avanzata se si ha familiarità con l'uso di KQL per creare query da zero.

Per iniziare la ricerca, vedere Scegliere tra modalità guidate e avanzate per la ricerca nel portale di Microsoft Defender.

È possibile usare le stesse query di ricerca delle minacce per creare regole di rilevamento personalizzate. Queste regole vengono eseguite automaticamente per verificare e quindi rispondere a sospette attività di violazione, computer non configurati correttamente e altri risultati.

La ricerca avanzata supporta query che controllano un set di dati più ampio proveniente da:

• Microsoft Defender per i punti finali
• Microsoft Defender per Office 365
• Microsoft Defender for Cloud Apps per la sicurezza delle app cloud
• Microsoft Defender per identità
• Microsoft Sentinel

Per usare la ricerca avanzata, attivare Microsoft Defender XDR. Per usare la ricerca avanzata con Microsoft Sentinel, connettere Microsoft Sentinel al portale di Defender.

Per altre informazioni sulla ricerca avanzata nei dati Microsoft Defender for Cloud Apps, vedere Ricerca avanzata in Defender for Cloud Apps (video).For more information on advanced hunting in Microsoft Defender for Cloud Apps data, see Advanced hunting in Defender for Cloud Apps (video).

Ottenere l'accesso

Prima di poter eseguire query di ricerca avanzate, è necessario disporre delle autorizzazioni necessarie. Sono disponibili le opzioni seguenti:

• Controllo degli accessi in base al ruolo unificato (URBAC) di Microsoft Defender XDR:

  • Accesso a Ricerca avanzata (tabelle Email & collaborazione): appartenenza assegnata con l'autorizzazione URBAC Operazioni di sicurezza>Dati grezzi>Metadati di posta elettronica & collaborazione (lettura). Questa autorizzazione consente di accedere a:
    • EmailEvents
    • EmailUrlInfo
    • EmailAttachmentInfo
    • EmailPostDeliveryEvents
    • CampaignInfo
    • FileMaliciousContentInfo
    • MessageEvents
    • MessagePostDeliveryEvents
    • MessageUrlInfo
    • UrlClickEvents
    • Metadati dell'entità email
  • Accesso alla ricerca avanzata (avvisi e tabelle dei comportamenti): appartenenza assegnata con l'autorizzazione URBAC Operazioni di sicurezza>Dati di sicurezza>Nozioni di base sui dati di sicurezza (lettura). Questa autorizzazione consente l'accesso allo schema Avvisi e comportamenti, ma non allo schema Posta elettronica e collaborazione.

• Autorizzazioni per posta elettronica e collaborazione nel portale Microsoft Defender: l'appartenenza a uno dei seguenti gruppi di ruoli Posta elettronica e collaborazione consente l'accesso alle tabelle dei dati di posta elettronica nella ricerca avanzata:

  • Amministratore della sicurezza
  • Operatore della sicurezza
  • Lettore di sicurezza

• Exchange Online autorizzazioni: per accedere ai dati Exchange Online visualizzati nella ricerca avanzata, gli utenti devono essere membri di uno dei gruppi di ruoli Exchange Online seguenti:

  • Gestione dell'organizzazione in sola visualizzazione
  • Configurazione di sola visualizzazione
  • Lettore di sicurezza
  • Lettore globale

• Microsoft Entra autorizzazioni: l'appartenenza a uno dei ruoli di Microsoft Entra seguenti concede l'accesso in lettura completo a tutti i dati di ricerca avanzati:

  • Amministratore globale
  • Amministratore della sicurezza
  • Lettore di sicurezza
  • Lettore globale

  L'accesso ai dati dell'endpoint è determinato dalle impostazioni del controllo degli accessi in base al ruolo in Microsoft Defender per endpoint. Per altre informazioni, vedere Gestire l'accesso alle Microsoft Defender con ruoli globali Microsoft Entra.

Aggiornamento dei dati e frequenza di aggiornamento

I dati di ricerca avanzata rientrano in due tipi distinti, ognuno con un processo di consolidamento diverso.

Dati relativi a eventi o attività.

I dati di eventi o attività popolano le tabelle relative ad avvisi, eventi di sicurezza, eventi di sistema e valutazioni di routine. La ricerca avanzata riceve questi dati quasi immediatamente dopo che i sensori che li raccolgono li trasmettono correttamente ai servizi cloud corrispondenti. Ad esempio, è possibile interrogare i dati relativi agli eventi dai sensori funzionanti correttamente su workstation o controller di dominio quasi immediatamente dopo che diventano disponibili in Microsoft Defender per endpoint e Microsoft Defender per identità.

Per raccogliere ancora più proprietà dell'evento, è possibile attivare la creazione di report aggregati.

Dati dell'entità

I dati delle entità popolano le tabelle con informazioni su utenti e dispositivi. I dati delle entità provengono da origini relativamente statiche, ad esempio voci di Active Directory e origini dinamiche come i log eventi. Per fornire dati aggiornati, le tabelle vengono aggiornate ogni ora con un record che contiene il set di dati più recente e completo su ogni entità, inclusi lo stato di integrità e i tag.

Quote e parametri di utilizzo

Per mantenere il servizio efficiente e reattivo, la ricerca avanzata imposta varie quote e parametri di utilizzo (noti anche come "limiti del servizio"). Queste quote e parametri si applicano separatamente alle query eseguite manualmente e alle query eseguite usando regole di rilevamento personalizzate. Tieni presente questi limiti se esegui regolarmente più query. Applicare le procedure consigliate per l'ottimizzazione per ridurre al minimo le interruzioni.

La tabella seguente descrive le quote e i parametri di utilizzo disponibili.

Nel portale unificato di Microsoft Defender, è possibile eseguire query nelle tabelle di Microsoft Sentinel effettuando l'onboarding di un'area di lavoro. Si applicano quindi anche i limiti degli spazi di lavoro di Log Analytics e la retention configurata per livelli di analytics. I dati memorizzati esclusivamente nel data lake Microsoft Sentinel non sono disponibili nella caccia avanzata. Usa l'esplorazione dei data lake per interrogare quei dati.

Per la ricerca avanzata nelle organizzazioni multitenant, vedi Quote per la ricerca avanzata nella gestione multitenant.

Fuso orario

Interrogazioni

La caccia avanzata utilizza UTC (Tempo Universale Coordinato) per tutti i dati.

Scrivi query UTC.

Risultati

Microsoft Defender converte i risultati della ricerca avanzata nel fuso orario impostato.

Estendi la conservazione dei dati

Per mantenere le tabelle di caccia supportate per Defender XDR per più di 30 giorni, imbarco uno spazio di lavoro Microsoft Sentinel e configura la ritenzione delle tabelle a livello di analisi. Per altre informazioni, vedere Configurare le impostazioni della tabella in Microsoft Sentinel.

Puoi anche trasmettere i dati di Defender XDR a servizi esterni per una conservazione più lunga. Per ulteriori informazioni consulta:

• API di streaming Microsoft Defender
• Microsoft Defender per endpoint API di streaming dei dati non elaborati

Contenuto correlato

• Scegliere tra modalità di ricerca guidata e avanzata
• Creare query di ricerca usando la modalità guidata
• Capire il linguaggio delle query
• Comprendere lo schema
• API di sicurezza di Microsoft Graph
• Panoramica dei rilevamenti personalizzati