Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Suggerimento
Sapevi che puoi provare gratuitamente le funzionalità di Microsoft Defender per Office 365 Plan 2? Usa la versione di valutazione Defender per Office 365 di 90 giorni nell'hub delle versioni di valutazione del portale di Microsoft Defender. Informazioni su chi può iscriversi e sulle condizioni di valutazione in Prova Microsoft Defender per Office 365.
Nel training di simulazione degli attacchi in Microsoft Defender per Office 365 piano 2 o Microsoft 365 E5, Microsoft fornisce report dai risultati delle simulazioni e dai training corrispondenti. Queste informazioni consentono di essere informati sul progresso nella preparazione degli utenti alle minacce e i passaggi successivi consigliati per preparare meglio gli utenti agli attacchi futuri.
I report sono disponibili nelle posizioni seguenti nella pagina Attack simulation training nel portale di Microsoft Defender:
- Riepiloghi del report:
- La scheda Panoramica in https://security.microsoft.com/attacksimulator?viewid=overview.
- La scheda Report in https://security.microsoft.com/attacksimulator?viewid=reports.
- Report completi:
- Pagina del report di simulazione degli attacchi all'indirizzo https://security.microsoft.com/attacksimulationreport:
- Report per simulazioni e campagne di training in corso e completate: per altre informazioni, vedere Report sulla simulazione degli attacchi.
Il resto di questo articolo descrive i report disponibili per il training della simulazione degli attacchi.
Per informazioni introduttive sulla Formazione con simulazione degli attacchi, vedi Introduzione all'uso della Formazione con simulazione degli attacchi.
Riepiloghi dei report nelle schede Panoramica e Report di Attack simulation training
Per passare alla scheda Panoramica, aprire il portale di Microsoft Defender all'indirizzo https://security.microsoft.com, passare a Email & collaborazione>Formazione con simulazione degli attacchi:
- Scheda Panoramica : verificare che la scheda Panoramica sia selezionata (è l'impostazione predefinita). In alternativa, per passare direttamente alla scheda Panoramica , usare https://security.microsoft.com/attacksimulator?viewid=overview.
- Scheda Report : selezionare la scheda Report . In alternativa, per passare direttamente alla scheda Report , usare https://security.microsoft.com/attacksimulationreport.
La distribuzione dei riepiloghi dei report nelle schede è descritta nella tabella seguente:
| Report | Scheda Panoramica | Scheda Report |
|---|---|---|
| Scheda Simulazioni recenti | ✔ | |
| Scheda delle raccomandazioni | ✔ | |
| Scheda di copertura della simulazione | ✔ | ✔ |
| Scheda di completamento della formazione | ✔ | ✔ |
| Scheda dei trasgressori recidivi | ✔ | ✔ |
| Scheda Impatto del comportamento sul tasso di compromissione | ✔ | ✔ |
Il resto di questa sezione descrive le informazioni disponibili nelle schede Panoramica e Report di Formazione con simulazione degli attacchi.
Scheda Simulazioni recenti
La scheda Simulazioni recenti nella scheda Panoramica mostra le ultime tre simulazioni create o eseguite nell'organizzazione.
È possibile selezionare una simulazione per visualizzare i dettagli.
Selezionando Visualizza tutte le simulazioni si passa alla scheda Simulazioni .
Selezionando Avvia una simulazione viene avviata la nuova procedura guidata di simulazione. Per altre informazioni, vedi Simula un attacco di phishing in Defender per Office 365.
Scheda Raccomandazioni
La scheda Raccomandazioni nella scheda Panoramica suggerisce diversi tipi di simulazioni da eseguire.
Selezionando Avvia ora, viene avviata la nuova procedura guidata di simulazione con il tipo di simulazione specificato selezionato automaticamente nella pagina Seleziona tecnica. Per altre informazioni, vedi Simula un attacco di phishing in Defender per Office 365.
Scheda di copertura della simulazione
La scheda Copertura di simulazione nelle schede Panoramica e Report mostra la percentuale di utenti dell'organizzazione che hanno ricevuto una simulazione (utenti simulati) rispetto agli utenti che non hanno ricevuto una simulazione (utenti non simulati). È possibile passare il puntatore del mouse su una sezione del grafico per visualizzare il numero effettivo di utenti in ogni categoria.
Selezionando Visualizza report di copertura della simulazione si passa alla scheda Copertura utente per il report di simulazione degli attacchi.
Selezionando Avvia simulazione per utenti non simulati viene avviata la nuova procedura guidata di simulazione in cui gli utenti che non hanno ricevuto la simulazione vengono selezionati automaticamente nella pagina Utente di destinazione . Per altre informazioni, vedi Simulare un attacco di phishing in Defender per Office 365.
Scheda di completamento della formazione
La scheda Completamento training nelle schede Panoramica e Report organizza le percentuali di utenti che hanno ricevuto training in base ai risultati delle simulazioni nelle categorie seguenti:
- Completato
- In corso
- Incompleto
È possibile passare il puntatore del mouse su una sezione del grafico per visualizzare il numero effettivo di utenti in ogni categoria.
Se si seleziona Visualizza il report di completamento del training , si passa alla scheda Training completion (Completamento training) per il report di simulazione degli attacchi.
Scheda Trasgressori recidivi
La scheda Trasgressori recidivi nelle schede Panoramica e Report mostra le informazioni sui recidivi. Un trasgressore recidivo è un utente che è stato compromesso da simulazioni consecutive. Il numero predefinito di simulazioni consecutive è due, ma è possibile modificare il valore nella scheda Impostazioni della Formazione con simulazione degli attacchi in https://security.microsoft.com/attacksimulator?viewid=setting. Per altre informazioni, vedere Configurare la soglia per i trasgressori recidivi.
Il grafico organizza i dati dei recidivi in base al tipo di simulazione:
- Tutto
- Allegato malware
- Collegamento a malware
- Raccolta di credenziali
- Collegamento in allegati
- Drive-by URL
Se si seleziona Visualizza report dei trasgressori recidivi, si passa alla scheda Trasgressori recidivi per il report della simulazione degli attacchi.
Scheda Impatto del comportamento sul tasso di compromissione
La scheda Impatto del comportamento sulla frequenza di compromissione nelle schede Panoramica e Report mostra come gli utenti hanno risposto alle simulazioni rispetto ai dati cronologici di Microsoft 365. È possibile usare queste informazioni per tenere traccia del livello di preparazione degli utenti alle minacce eseguendo più simulazioni sugli stessi gruppi di utenti.
I dati del grafico mostrano le informazioni seguenti:
- Tasso di compromissione effettivo: percentuale effettiva di persone compromesse dalla simulazione (utenti effettivi compromessi/numero totale di utenti dell'organizzazione che hanno ricevuto la simulazione).
- Tasso di compromissione previsto: dati cronologici in Microsoft 365 che stimano la percentuale di persone che verranno compromesse da questa simulazione. Per altre informazioni sul tasso di compromissione previsto (PCR), vedere Tasso di compromissione previsto (PCR).
Se si passa il puntatore del mouse su un punto dati nel grafico, vengono visualizzati i valori percentuali effettivi.
Per visualizzare un report dettagliato, selezionare Visualizza simulazioni e report sull'efficacia del training. Questo report è illustrato più avanti in questo articolo.
Rapporto di simulazione degli attacchi
È possibile aprire il report della simulazione degli attacchi dalla scheda Panoramica selezionando Visualizza ... report, disponibile in alcune delle schede nelle schede Panoramica e Report descritte in questo articolo. Per passare direttamente alla pagina del report di simulazione degli attacchi , usare https://security.microsoft.com/attacksimulationreport
Scheda dell'efficacia del training per il report di simulazione degli attacchi
La scheda Efficacia del training è selezionata per impostazione predefinita nella pagina del report di simulazione degli attacchi . Questa scheda fornisce le stesse informazioni disponibili nella scheda Impatto del comportamento sulla frequenza di compromissione , con più contesto dalla simulazione stessa.
Il grafico mostra il tasso effettivo di compromissione e il tasso di compromissione previsto. Se si passa il puntatore su una sezione del grafico, vengono visualizzati i valori percentuali effettivi.
La tabella dei dettagli sotto il grafico mostra le informazioni seguenti. È possibile ordinare le simulazioni facendo clic su un'intestazione di colonna disponibile. Selezionare 
Personalizza colonne per modificare le colonne visualizzate. Per impostazione predefinita, vengono selezionate tutte le colonne disponibili.
- Nome della simulazione
- Tecnica di simulazione
- Tattiche di simulazione
- Tasso di compromissione previsto
- Tasso effettivo di compromissione
- Totale utenti di destinazione
- Numero di utenti su cui è stato fatto clic
Utilizzare la 
casella Di ricerca per filtrare i risultati in base al nome della simulazione o alla tecnica di simulazione. I caratteri jolly non sono supportati.
Usare il 
pulsante Esporta report per salvare le informazioni in un file CSV. Il nome file predefinito è Report di simulazione attacchi - Microsoft Defender.csv e il percorso predefinito è la cartella Download locale. Se in tale percorso esiste già un report esportato, il nome del file viene incrementato, ad esempio report di simulazione degli attacchi Microsoft Defender (1).csv.
Scheda Copertura utente per il report di simulazione degli attacchi
Nella scheda Copertura utente il grafico mostra gli utenti simulati e gli utenti non simulati. Se si passa il puntatore del mouse su un punto dati nel grafico, vengono visualizzati i valori effettivi.
La tabella dei dettagli sotto il grafico mostra le informazioni seguenti. È possibile ordinare le informazioni facendo clic su un'intestazione di colonna disponibile. Selezionare Personalizza colonne per modificare le colonne visualizzate. Per impostazione predefinita, vengono selezionate tutte le colonne disponibili.
- Username
- Indirizzo di posta elettronica
- Incluso nella simulazione
- Data dell'ultima simulazione
- Ultimo risultato della simulazione
- Numero di elementi cliccati
- Numero di elementi compromessi
Utilizzare la casella di ricerca per filtrare i risultati in base a nome utente o indirizzo Email. I caratteri jolly non sono supportati.
Usare il pulsante Esporta report per salvare le informazioni in un file CSV. Il nome file predefinito è Report di simulazione attacchi - Microsoft Defender.csv e il percorso predefinito è la cartella Download locale. Se in tale percorso esiste già un report esportato, al nome del file viene aggiunto un numero progressivo, ad esempio report di simulazione degli attacchi Microsoft Defender (1).csv.
Scheda di completamento del training per il report di simulazione degli attacchi
Nella scheda Completamento training il grafico mostra il numero di simulazioni completate, in corso e incomplete . Se si passa il puntatore su una sezione del grafico, vengono visualizzati i valori effettivi.
La tabella dei dettagli sotto il grafico mostra le informazioni seguenti. È possibile ordinare le informazioni facendo clic su un'intestazione di colonna disponibile. Selezionare Personalizza colonne per modificare le colonne visualizzate. Per impostazione predefinita, vengono selezionate tutte le colonne disponibili.
- Username
- Indirizzo di posta elettronica
- Incluso nella simulazione
- Data dell'ultima simulazione
- Ultimo risultato della simulazione
- Nome dell’ultimo corso completato
- Data di completamento
- Tutti i corsi
Selezionare 
Filtro per filtrare il grafico e la tabella dei dettagli in base ai valori di Stato del training: Completato, In corso o Tutti.
Al termine della configurazione dei filtri, seleziona Applica, Annulla o 
Cancella filtri.
Utilizzare la casella di ricerca per filtrare i risultati in base a nome utente o indirizzo Email. I caratteri jolly non sono supportati.
Se selezioni il pulsanteEsporta report, lo stato di avanzamento della generazione del report viene visualizzato come percentuale di completamento. Nella finestra di dialogo visualizzata è possibile scegliere di aprire il file .csv, salvare il file .csv e ricordare la selezione.
Scheda dei recidivi per il report di simulazione degli attacchi
Un trasgressore recidivo è un utente che è stato compromesso da simulazioni consecutive. Il numero predefinito di simulazioni consecutive è due, ma è possibile modificare il valore nella scheda Impostazioni della Formazione con simulazione degli attacchi in https://security.microsoft.com/attacksimulator?viewid=setting. Per altre informazioni, vedi Configura la soglia per i recidivi.
Nella scheda Recidivi il grafico mostra il numero di utenti recidivi e utenti simulati.
Se si passa il puntatore del mouse su un punto dati nel grafico, vengono visualizzati i valori effettivi.
La tabella dei dettagli sotto il grafico mostra le informazioni seguenti. È possibile ordinare le informazioni facendo clic su un'intestazione di colonna disponibile. Selezionare Personalizza colonne per modificare le colonne visualizzate. Per impostazione predefinita, vengono selezionate tutte le colonne disponibili.
Utente: nome dell'utente.
Tipi di simulazione: tipo di simulazioni in cui l'utente è stato coinvolto.
Simulazioni: nome delle simulazioni in cui l'utente è stato coinvolto.
Indirizzo email: Indirizzo email dell'utente.
Conteggio dei recidivi più recenti: conteggio delle compromissioni più recenti per gli utenti classificati come trasgressori recidivi. Ad esempio, se la soglia dei recidivi è impostata su 3 e un utente è stato compromesso in tre simulazioni consecutive, il conteggio recidivo attuale è 3. Se l'utente fu compromesso in quattro simulazioni consecutive, il numero di ripetizioni più recente è 4. Se l'utente è stato compromesso in due simulazioni consecutive, il valore è N/D. Il numero di recidivi più recente viene impostato su 0 (N/D), ogni volta che viene reimpostato un flag trasgressore recidivo (ovvero l'utente supera una simulazione).
Recidive: include il numero di volte in cui un utente è stato classificato come recidivo. Ad esempio:
- L'utente è stato classificato come trasgressore recidivo nelle prime simulazioni (è stato compromesso per tre volte consecutive, dove la soglia del trasgressore recidivo è 2).
- L'utente è stato classificato come "pulito" dopo aver superato una simulazione.
- L'utente è stato classificato come trasgressore recidivo nelle successive simulazioni (è stato compromesso per quattro volte consecutive, dove la soglia del trasgressore recidivo è 2).
In questi casi, il numero di violazioni ripetute è impostato su 2. Il conteggio viene aggiornato ogni volta che un utente viene considerato un recidivo.
Nome dell’ultima simulazione
Ultimo risultato della simulazione
Ultima formazione assegnata
Stato dell'ultima formazione
Selezionare Filter per filtrare il grafico e la tabella dei dettagli in base a uno o più valori del tipo di simulazione:
- Raccolta di credenziali
- Allegato malevolo
- Collegamento nell'allegato
- Collegamento a malware
Al termine della configurazione dei filtri, seleziona Applica, Annulla o Cancella filtri.
Utilizzare la casella Di ricerca per filtrare i risultati in base a uno qualsiasi dei valori di colonna. I caratteri jolly non sono supportati.
Usare il pulsante Esporta report per salvare le informazioni in un file CSV. Il nome file predefinito è Report di simulazione attacchi - Microsoft Defender.csv e il percorso predefinito è la cartella Download locale. Se in tale percorso esiste già un report esportato, viene aggiunto un numero al nome del file, ad esempio report della simulazione degli attacchi Microsoft Defender (1).csv.
Suggerimento
Se la proprietà Department in Microsoft Entra ID è popolata per gli utenti, è possibile esportare le informazioni da questo report per identificare i reparti più vulnerabili alle simulazioni di phishing completate.
Rapporto di simulazione nella formazione sulla simulazione degli attacchi
Il report di simulazione mostra i dettagli delle simulazioni in corso o completate (il valore Stato è In corso o Completato). Per visualizzare il report di simulazione, usare uno dei metodi seguenti:
Nella scheda Panoramica della pagina Formazione con simulazione degli attacchi in https://security.microsoft.com/attacksimulator?viewid=overviewselezionare una simulazione dalla scheda Simulazioni recenti.
Nella scheda Simulazioni della pagina Formazione con simulazione degli attacchi in https://security.microsoft.com/attacksimulator?viewid=simulationsselezionare una simulazione facendo clic in un punto qualsiasi della riga diversa dalla casella di controllo accanto al nome. Per altre informazioni, vedi Visualizza i report di simulazione.
- Nella scheda Training della pagina Formazione con simulazione degli attacchi in https://security.microsoft.com/attacksimulator?viewid=trainingcampaignselezionare la campagna di training usando uno dei metodi seguenti:
- Fare clic in un punto qualsiasi della riga tranne la casella di controllo accanto al nome.
- Selezionare la casella di controllo accanto al nome e quindi selezionare
Visualizza report.
Per altre informazioni, vedere Visualizzare i report delle campagne di training.
La pagina del report visualizzata contiene le schede Report, Utenti e Dettagli che contengono informazioni sulla simulazione. Il resto di questa sezione descrive le informazioni disponibili nella scheda Report .
Le sezioni della scheda Report per una simulazione sono descritte nelle sottosezioni seguenti.
Per altre informazioni sulle schede Utenti e Dettagli , vedere i collegamenti seguenti.
- Simulazioni:
-
Consiglio
Se la proprietà Department in Microsoft Entra ID viene popolata per gli utenti, è possibile esportare le informazioni dalla scheda Utenti per identificare i reparti più vulnerabili a una simulazione di phishing completata.
-
- Campagne di formazione:
Report per simulazioni di codice QR
È possibile selezionare payload di codice QR da usare nelle simulazioni. Il codice QR sostituisce l'URL di phishing come payload usato nel messaggio di posta elettronica di simulazione. Per altre informazioni, vedere Payload del codice QR.
Poiché i codici QR sono un tipo diverso di URL di phishing, gli eventi utente relativi agli eventi di lettura, eliminazione, compromissione e clic rimangono invariati. Ad esempio, la scansione del codice QR apre l'URL di phishing, in modo che l'evento venga registrato come evento click. I meccanismi esistenti per tenere traccia degli eventi di compromissione, eliminazione e report rimangono invariati.
Se si esporta un report di simulazione in un file CSV, la colonna EmailLinkClicked_ClickSource è disponibile con i valori seguenti:
-
PhishingURL: l'utente ha fatto clic sul collegamento di phishing nel messaggio di posta elettronica di simulazione. -
QRCode: l'utente ha scansionato il codice QR nel messaggio di posta elettronica di simulazione.
Altre metriche come letture, compromessi, eliminazioni e messaggi segnalati continuano a essere rilevate senza altri aggiornamenti. Per ulteriori informazioni, vedere la sezione Appendice più avanti in questo articolo.
Report di simulazione per le simulazioni
Questa sezione descrive le informazioni nel report di simulazione per simulazioni regolari (non campagne di training).
Sezione Impatto della simulazione nel report per le simulazioni
La sezione Impatto della simulazione nella scheda Report ** per una simulazione mostra il numero e la percentuale di utenti compromessi e utenti che hanno segnalato il messaggio.
Consiglio
I messaggi di simulazione segnalati da strumenti non Microsoft non vengono acquisiti nei report di simulazione degli attacchi.
Se si passa il puntatore su una sezione del grafico, vengono visualizzati i numeri effettivi per ogni categoria.
Selezionare Visualizza utenti compromessi per passare alla scheda Utenti del report in cui i risultati vengono filtrati in base a Compromessi: Sì.
Selezionare Visualizza gli utenti che hanno segnalato per andare alla scheda Utenti del report, in cui i risultati sono filtrati in base a Messaggio segnalato: Sì.
Sezione di tutte le attività utente nel report per le simulazioni
La sezione Tutte le attività utente nella scheda Report ** per una simulazione mostra i numeri per i possibili risultati della simulazione. Le informazioni variano in base al tipo di simulazione. Ad esempio:
- Collegamento al messaggio selezionato o Collegamento all'allegato selezionato o Allegato aperto
- Credenziali fornite
- Leggi il messaggio
- Messaggio eliminato
- Ha risposto al messaggio
- Messaggio inoltrato
- Fuori sede
Selezionare Visualizza tutti gli utenti per passare alla scheda Utenti del report in cui i risultati non sono filtrati.
Sezione Stato recapito nel report per le simulazioni
La sezione Stato recapito nella scheda Report ** per una simulazione mostra i numeri per i possibili stati di recapito per il messaggio di simulazione. Ad esempio:
- Messaggio ricevuto correttamente
- Messaggio di rinforzo positivo recapitato
- Messaggio di simulazione recapitato
Selezionare Visualizza gli utenti a cui il recapito dei messaggi non è riuscito per passare alla scheda Utenti del report in cui i risultati vengono filtrati in base a Recapito del messaggio di simulazione: Non è stato possibile recapitare.
Selezionare Visualizza utenti o gruppi esclusi per aprire un riquadro a comparsa Utenti o gruppi esclusi che mostra gli utenti o i gruppi esclusi dalla simulazione.
Sezione completamento training nel report per le simulazioni
La sezione Completamento del training nella pagina dei dettagli della simulazione mostra i training necessari per la simulazione e il numero di utenti che hanno completato i training.
Se non sono stati inclusi training nella simulazione, l'unico valore in questa sezione è I training non facevano parte di questa simulazione.
Sezione della prima e media istanza nel report delle simulazioni
La sezione Prima e media istanza nella scheda Report ** per una simulazione mostra informazioni sul tempo impiegato per eseguire azioni specifiche nella simulazione. Ad esempio:
- Primo collegamento selezionato
- Media dei collegamenti selezionati
- Prima credenziale immessa
- Media delle credenziali immesse
Sezione delle raccomandazioni del report per le simulazioni
La sezione Raccomandazioni nella scheda Report** per una simulazione mostra le raccomandazioni per l'uso di Training della simulazione degli attacchi per proteggere l'organizzazione.
Report di simulazione per le campagne di formazione
Questa sezione descrive le informazioni nel report sulle campagne di training (non le simulazioni).
Sezione relativa alla classificazione del completamento del training nel report per le campagne di formazione
La sezione Classificazione del completamento del training nella scheda Report ** per una campagna di formazione mostra informazioni sui moduli di training completati nella campagna Di formazione.
Sezione di riepilogo del completamento della formazione nel report per le campagne di formazione
La sezione Riepilogo completamento training nella scheda Report per una campagna di formazione usa grafici a barre che mostrano la progressione degli utenti assegnati attraverso tutti i moduli di training nella campagna (numero di utenti/numero totale di utenti):
- Completato
- In corso
- Non avviato
- Non completato
- Assegnato in precedenza
È possibile passare il puntatore del mouse su una sezione del grafico per visualizzare la percentuale effettiva in ogni categoria.
Sezione di tutte le attività utente nel report per le campagne di formazione
La sezione Tutte le attività utente nella scheda Report ** per una campagna di formazione usa un grafico a barre per illustrare come gli utenti principali hanno ricevuto correttamente la notifica di training (numero di utenti/numero totale di utenti).
È possibile passare il puntatore del mouse su una sezione del grafico per visualizzare i numeri effettivi in ogni categoria.
Appendice
Quando si esportano informazioni dai report, il file CSV contiene più informazioni di quelle visualizzate nel report, anche se sono visualizzate tutte le colonne. I campi sono descritti nella tabella seguente.
Consiglio
Per ottenere il massimo delle informazioni, verificare che tutte le colonne disponibili nel report siano visibili prima dell'esportazione.
I messaggi di simulazione segnalati da strumenti non Microsoft non vengono acquisiti nei report di simulazione degli attacchi.
| Nome del campo | Descrizione |
|---|---|
| UserName | Nome utente dell'utente che ha eseguito l'attività. |
| UserMail | Indirizzo email dell'utente che ha eseguito l'attività. |
| Compromesso | Indica se l'utente è stato compromesso. I valori sono Sì o No. |
| AttachmentOpened_TimeStamp | Quando il payload dell'allegato è stato aperto nelle simulazioni di allegati malware. |
| AttachmentOpened_Browser | Quando il payload dell'allegato è stato aperto in un Web browser nelle simulazioni degli allegati malware . Queste informazioni provengono da UserAgent. |
| AttachmentOpened_IP | Indirizzo IP in cui è stato aperto il payload dell'allegato nelle simulazioni degli allegati malware . Queste informazioni provengono da UserAgent. |
| AttachmentOpened_Device | Dispositivo in cui è stato aperto il payload dell'allegato nelle simulazioni degli allegati malware . Queste informazioni provengono da UserAgent. |
| AttachmentLinkClicked_TimeStamp | Quando è stato fatto clic sul payload del collegamento dell'allegato in Collegamento in allegato. |
| AttachmentLinkClicked_Browser | Web browser usato per fare clic sul payload del collegamento nell'allegato in simulazioni di Collegamento in allegato. Queste informazioni provengono da UserAgent. |
| AttachmentLinkClicked_IP | L'indirizzo IP da cui è stato fatto clic sul payload del collegamento nell'allegato nelle simulazioni di Collegamento in allegato. Queste informazioni provengono da UserAgent. |
| AttachmentLinkClicked_Device | Il dispositivo da cui è stato fatto clic sul payload del collegamento nell'allegato nelle simulazioni di Collegamento in allegato. Queste informazioni provengono da UserAgent. |
| EmailLinkClicked_TimeStamp | Quando si è fatto clic sul payload del collegamento nelle simulazioni Raccolta di credenziali, Collegamento a malware, Drive-by-url e Concessione del consenso OAuth. |
| EmailLinkClicked_Browser | Web browser usato per fare clic sul payload del collegamento nelle simulazioni Credential Harvest, Link to Malware, Drive-by-URL e OAuth Consent Grant. Queste informazioni provengono da UserAgent. |
| EmailLinkClicked_IP | L'indirizzo IP in cui si è fatto clic sul payload del collegamento nelle simulazioni Raccolta di credenziali, Collegamento a malware, Drive-by-url e Concessione del consenso OAuth. Queste informazioni provengono da UserAgent. |
| EmailLinkClicked_Device | Il dispositivo in cui si è fatto clic sul payload del collegamento nelle simulazioni Raccolta di credenziali, Collegamento a malware, Drive-by-url e Concessione del consenso OAuth. Queste informazioni provengono da UserAgent. |
| EmailLinkClicked_ClickSource | Se il collegamento al payload è stato selezionato facendo clic su un URL o analizzando un codice QR nelle simulazioni Raccolta credenziali, Collegamento a Malware, Drive-by-URL e Concessione del consenso OAuth. I valori sono PhishingURL o QRCode. |
| CredSupplied_TimeStamp(Compromised) | Quando l'utente ha immesso le credenziali. |
| CredSupplied_Browser | Web browser usato quando l'utente ha immesso le credenziali. Queste informazioni provengono da UserAgent. |
| CredSupplied_IP | Indirizzo IP in cui l'utente ha immesso le credenziali. Queste informazioni provengono da UserAgent. |
| CredSupplied_Device | Il dispositivo su cui l'utente ha immesso le proprie credenziali. Queste informazioni provengono da UserAgent. |
| SuccessfullyDeliveredEmail_TimeStamp | Quando il messaggio di posta elettronica di simulazione è stato recapitato all'utente. |
| MessageRead_TimeStamp | Quando il messaggio di simulazione è stato letto. |
| MessageDeleted_TimeStamp | Quando il messaggio di simulazione è stato eliminato. |
| MessageReplied_TimeStamp | Quando l'utente ha risposto al messaggio di simulazione. |
| MessageForwarded_TimeStamp | Quando l'utente ha inoltrato il messaggio di simulazione. |
| OutOfOfficeDays | Determina se l'utente è fuori ufficio. Queste informazioni provengono dall'impostazione Risposte automatiche in Outlook. |
| PositiveReinforcementMessageDelivered_TimeStamp | Quando il messaggio di rinforzo positivo è stato recapitato all'utente. |
| PositiveReinforcementMessageFailed_TimeStamp | Quando il messaggio di rinforzo positivo non è stato recapitato all'utente. |
| JustSimulationMessageDelivered_TimeStamp | Quando il messaggio di simulazione è stato recapitato all'utente come parte di una simulazione senza training assegnati (nessun training è stato selezionato nella pagina Assegna training della nuova procedura guidata di simulazione). |
| JustSimulationMessageFailed_TimeStamp | Quando il messaggio di posta elettronica di simulazione non è stato recapitato all'utente e alla simulazione non sono stati assegnati training. |
| TrainingAssignmentMessageDelivered_TimeStamp | Quando il messaggio di assegnazione del training è stato recapitato all'utente. Questo valore è vuoto se non sono stati assegnati training nella simulazione. |
| TrainingAssignmentMessageFailed_TimeStamp | Quando il messaggio di assegnazione del training non è stato recapitato all'utente. Questo valore è vuoto se non sono stati assegnati training nella simulazione. |
| FailedToDeliverEmail_TimeStamp | Quando il messaggio di posta elettronica di simulazione non è stato recapitato all'utente. |
| Ultima attività di simulazione | L'ultima attività di simulazione dell'utente (se l'utente ha superato la simulazione o è stato compromesso). |
| Corsi assegnati | Elenco di training assegnati all'utente come parte della simulazione. |
| Corsi completati | Elenco di training completati dall'utente come parte della simulazione. |
| Stato della formazione | Stato corrente dei training per l'utente nell'ambito della simulazione. |
| Phishing segnalato su | Quando l'utente ha segnalato il messaggio di simulazione come phishing. |
| Dipartimento | Il valore della proprietà Department dell'utente in Microsoft Entra ID al momento della simulazione. |
| Company | Il valore della proprietà Company dell'utente in Microsoft Entra ID al momento della simulazione. |
| Titolo | Il valore della proprietà Title dell'utente in Microsoft Entra ID al momento della simulazione. |
| Office | Il valore della proprietà Office dell'utente in Microsoft Entra ID al momento della simulazione. |
| Città | Il valore della proprietà City dell'utente in Microsoft Entra ID al momento della simulazione. |
| Paese | Il valore della proprietà Country dell'utente in Microsoft Entra ID al momento della simulazione. |
| Manager | Il valore della proprietà Manager dell'utente in Microsoft Entra ID al momento della simulazione. |
Segnali di attività utente
La modalità di acquisizione dei segnali dell'attività utente è descritta nella tabella seguente.
| Campo | Descrizione | Logica di calcolo |
|---|---|---|
| DownloadAttachment | Un utente ha scaricato l'allegato. | Il segnale proviene dal client (ad esempio, Outlook o Word). |
| Allegato aperto | Un utente ha aperto l'allegato. | Il segnale proviene dal client (ad esempio, Outlook o Word). |
| Leggi il messaggio | L'utente ha letto il messaggio di simulazione. | I segnali di lettura del messaggio potrebbero riscontrare problemi negli scenari seguenti:
|
| Fuori ufficio | Determina se l'utente è fuori sede. | Attualmente calcolato dall'impostazione Risposte automatiche di Outlook. |
| Utente compromesso | L'utente è stato violato. Il segnale di compromissione varia in base alla tecnica di ingegneria sociale. |
|
| Link del messaggio cliccato | L'utente ha fatto clic sul collegamento payload nel messaggio di simulazione. Per la tecnica dell'URL drive-by, un evento click porta anch'esso a una compromissione. | L'URL nella simulazione è univoco per ogni utente, che consente il rilevamento delle attività dei singoli utenti. L'ispezione automatica dell'URL del payload da parte dei servizi di sicurezza, dei servizi di filtro non Microsoft o l'inoltro delle e-mail può portare a falsi positivi. Usa EmailLinkClicked_IP, EmailLinkClicked_Browser, EmailLinkClicked_Device, e il timestamp dell'evento per aiutare a distinguere l'attività probabile dell'utente dall'ispezione automatica. Per altre informazioni, vedere Vedo clic o eventi di compromissione da parte di utenti che sostengono di non aver fatto clic sul collegamento nel messaggio di simulazione OPPURE vedo clic entro pochi secondi dalla consegna per molti utenti (falsi positivi). Cosa sta succedendo? |
| Messaggio inoltrato | L'utente ha inoltrato il messaggio. | |
| Ha risposto al messaggio | L'utente ha risposto al messaggio. | |
| Messaggio eliminato | L'utente ha eliminato il messaggio. | Il segnale proviene dall'attività di Outlook dell'utente. Se l'utente segnala il messaggio come phishing, il messaggio potrebbe essere spostato nella cartella Posta eliminata, il che viene identificato come eliminazione. |
| Autorizzazioni concesse | Autorizzazioni condivise dall'utente in una simulazione Concessione del consenso OAuth. Questa azione è anche considerata un evento di compromissione. |
¹ Il collegamento su cui si è fatto clic può essere un URL selezionato o un codice QR scansionato.
Comportamento dell’attivazione dell’assegnazione del training per tecnica
Quando si sceglie Seleziona personalmente corsi di training e moduli per le assegnazioni di training in simulazioni e automazioni di simulazione, è possibile usare i trigger seguenti per assegnare il training:
- Tutti gli utenti
- Payload selezionato
- Compromesso
Ma non tutti i trigger di assegnazione della formazione si applicano a ogni tecnica di ingegneria sociale. La tabella seguente riepiloga i trigger di assegnazione di training disponibili e consigliati per tecnica:
| Tecnica | Assegnazione del training: Tutti gli utenti |
Assegnazione del training: Payload selezionato |
Assegnazione del training: Compromesso |
Raccomandazione |
|---|---|---|---|---|
| Raccolta di credenziali | Supportato | Supportato | Supportato | Usare qualsiasi trigger di assegnazione di training in base alla strategia di training. |
| Allegato malware | Supportato | Non applicabile (nessun evento di clic) | Supportato | Assegnare il training per Tutti gli utenti o Compromesso. Non assegnare il training per il payload selezionato. |
| Collegamento nell'allegato | Supportato | Supportato | Supportato | Usare qualsiasi trigger di assegnazione di training in base alla strategia di training. |
| Collegamento a malware | Supportato | Supportato | Supportato | Usare qualsiasi assegnazione di training attivata da trigger in base alla strategia di training. |
| Drive-by URL | Supportato | Non consigliato (fare clic = compromesso) | Supportato | Assegnare il training per Tutti gli utenti o Compromesso. |
| Concessione del consenso OAuth | Supportato | Supportato | Supportato | Usa qualsiasi trigger per l'assegnazione della formazione in base alla tua strategia di formazione. |
Collegamenti correlati
Iniziare a usare Training della simulazione degli attacchi