Guida all'implementazione del portale Microsoft Defender per i provider di servizi microsoft

Il portale Microsoft Defender è una piattaforma unificata per le operazioni di sicurezza che riunisce la gestione degli eventi imprevisti, la ricerca delle minacce e la gestione del carico di lavoro tra più tenant dei clienti. Per una panoramica completa di queste funzionalità e dei relativi vantaggi, vedere Microsoft Defender gestione multi-tenant.

Questa guida è incentrata sull'implementazione della gestione dei tenant per i provider di servizi di sicurezza gestiti (MSSP). Copre l'intero processo dalla configurazione iniziale e dall'onboarding dei clienti ai flussi di lavoro operativi avanzati per i provider di servizi microsoft.

Funzionalità chiave & differenziatori

Le funzionalità principali del portale di Microsoft Defender per provider di servizi microsoft includono:

• Gestione unificata degli eventi imprevisti: una singola coda di eventi imprevisti unificata include dati provenienti da Microsoft Sentinel, Microsoft Defender e origini di terze parti. Per altre informazioni, vedere Gestire le operazioni di sicurezza tra tenant

• Ricerca delle minacce multipiattaforma: Funzionalità di ricerca unificata tra i dati di sicurezza, elimina la necessità di passare da un portale all'altro e consente agli analisti di individuare facilmente i dati necessari nell'intera base di clienti. Per altre informazioni, vedere Ricerca avanzata.

• Interruzione proattiva degli attacchi: l'interruzione degli attacchi offre una protezione proattiva arrestando gli attacchi in corso. Funziona su tecnologie di Microsoft Defender native e in ambienti di terze parti, ad esempio SAP, AWS, Proofpoint e Okta. Microsoft Defender riduce il tempo di attesa e impedisce lo spostamento laterale revocando automaticamente le credenziali compromesse, isolando sessioni dannose e neutralizzando gli appigli degli utenti malintenzionati.

• Analisi dei percorsi di attacco e visualizzazione dell'esposizione: analizzare i percorsi di attacco e ridurre l'esposizione visualizzando come gli utenti malintenzionati informatici potrebbero sfruttare le vulnerabilità per spostarsi lateralmente tra gli asset esposti negli ambienti dei clienti. Ottenere raccomandazioni guidate sulla riduzione dell'esposizione e assegnare priorità alle azioni in base al potenziale impatto di ogni esposizione. Per altre informazioni, vedere Gestione dell'esposizione in Microsoft Security.

• Accuratezza del rilevamento migliorata: rilevare e analizzare in modo rapido e accurato combinando la profondità dei segnali Microsoft Defender con la flessibilità delle origini di log da Microsoft Sentinel. Ciò comporta un miglioramento del rapporto segnale-rumore e una correlazione degli avvisi migliorata.

• Operazioni di sicurezza basate sull'intelligenza artificiale: sfruttare i Microsoft Security Copilot per riepiloghi e report sugli eventi imprevisti, indagini guidate, messaggi di Microsoft Teams generati automaticamente, analisi del codice e altro ancora. Per altre informazioni, vedere Introduzione all'intelligenza artificiale agentic.

• Gestione multi-tenant scalabile: ottenere visualizzazioni aggregate di avvisi, eventi imprevisti e asset dei tenant, cercare tutti i dati dei tenant e mantenere una baseline di sicurezza coerente tra i tenant usando funzionalità di gestione e distribuzione del contenuto per regole di rilevamento personalizzate, criteri di sicurezza degli endpoint, regole di analisi, regole di automazione e altro ancora.

• Informazioni dettagliate sul miglioramento continuo: ricevere raccomandazioni personalizzate post-evento imprevisto sulla prevenzione di attacchi informatici simili o ripetuti, che si collegano direttamente alle iniziative di Gestione dell'esposizione in Microsoft Security per migliorare automaticamente i punteggi di preparazione man mano che le azioni vengono completate.

Per compilare operazioni di sicurezza nel portale di Microsoft Defender, leggere i prerequisiti e quindi seguire questa procedura:

1. Passaggio 1 : Preparare l'ambiente: preparare l'ambiente MSSP ed eseguire l'onboarding dei clienti in una configurazione multi-tenant

2. Passaggio 2 : Gestione del contenuto: creare il contenuto di sicurezza una sola volta e distribuirlo in modo efficiente tra tutti i tenant dei clienti.

3. Passaggio 3 : Operazioni di sicurezza multi-tenant: eseguire la risposta agli eventi imprevisti giornalieri, la ricerca delle minacce e le indagini tra i tenant dei clienti.

Prerequisiti

La transizione dei clienti al portale di Microsoft Defender comporta la migrazione delle aree di lavoro Microsoft Sentinel e la continuità delle operazioni di sicurezza.

• Per il processo di migrazione tecnica, vedere Connettere Microsoft Sentinel a Microsoft Defender XDR.
• Stabilire tempistiche chiare e aspettative con i clienti prima di iniziare la transizione
• Esaminare i requisiti di accesso multi-tenant e verificare che la delega appropriata sia configurata per ogni tenant del cliente
• Determinare la configurazione ottimale dell'area di lavoro (primaria e secondaria) in base all'ambiente e ai requisiti di conformità di ogni cliente

Passaggio 1: Preparare l'ambiente

Configurare l'accesso a più tenant di clienti

Gli MSSP possono delegare l'accesso ai tenant dei clienti tramite diversi metodi. Altre informazioni sulle opzioni di accesso delegato consentono di scegliere l'approccio più adatto alle esigenze e alle esigenze dei clienti dell'organizzazione.

Scenario di regole/playbook di automazione avanzata

Alcuni scenari avanzati che usano regole di automazione e playbook potrebbero comunque richiedere l'uso di Azure Lighthouse. Ad esempio, per proteggere la proprietà intellettuale di un playbook ospitato nel tenant del partner quando il playbook deve eseguire azioni nel tenant del cliente. Un altro esempio è descritto in Automatizzare la risposta alle minacce in Microsoft Sentinel con regole di automazione

RBAC unificato

Per usare il RBAC unificato per gestire i clienti di Microsoft Defender per Office 365, è necessario disporre di una licenza Microsoft Defender per Office 365 Piano 2. Per altre informazioni, vedere:

• Mappatura delle autorizzazioni per e-mail e collaborazione
• Mappatura delle autorizzazioni di Exchange Online

Azure B2B

Gli utenti guest B2B invitati di Azure non sono supportati nelle esperienze che in precedenza rientravano nel controllo degli accessi in base al ruolo di Microsoft Exchange Online. Poiché il RBAC unificato di Defender per Office 365 si basa sulle API di amministrazione di Exchange Online, le azioni eseguite in Defender per Office 365 presentano delle limitazioni. Gli amministratori guest B2B potrebbero ricevere errori durante il tentativo di eseguire determinate azioni, ad esempio:

• Rilascio dei messaggi email dalla quarantena.

Gestire i diritti

La gestione dei diritti è una funzionalità di governance delle identità che consente alle organizzazioni di gestire il ciclo di vita delle identità e degli accessi su larga scala, automatizzando i flussi di lavoro per le richieste di accesso, le assegnazioni di accesso, le revisioni e la scadenza degli accessi.

Alcune configurazioni tipiche della gestione dei diritti sono:

• Collaborazione B2B

  • Invita utenti esterni come ospiti nel tuo tenant
  • Supporta l'accesso condizionale, l'autenticazione a più fattori e la gestione del ciclo di vita
  • Ideale per partner, fornitori e appaltatori che necessitano di un accesso app/risorse che possa essere regolato

• Impostazioni di accesso tra tenant

  • Controllo granulare della collaborazione in ingresso/in uscita
  • Considerare attendibili le attestazioni MFA e di conformità del dispositivo tra i tenant
  • Configurare criteri predefiniti o specifici dell'organizzazione

• B2B Direct Connect

  • Abilita l'attendibilità reciproca tra due tenant Microsoft Entra
  • Collaborazione senza problemi tramite canali condivisi di Teams senza aggiungere guest
  • Perfetto per le partnership in corso in cui gli utenti mantengono le credenziali di casa

Spesso, una combinazione della collaborazione B2B e delle impostazioni di accesso tra tenant rappresenta la scelta più rilevante per un MSSP.

Questa immagine mostra la rappresentazione dell'utente guest della collaborazione B2B nel tenant del cliente.

Per esempi di assegnazioni di ruolo per diversi ruoli SOC, vedere Mapping di esempio delle autorizzazioni dei ruoli predefiniti di Microsoft Sentinel ai ruoli RBAC unificati di Microsoft Defender.

Passaggio 2 - Gestire il contenuto

Gestire e distribuire il contenuto

In Microsoft Sentinel, il contenuto fa riferimento ai blocchi predefiniti che abilitano le operazioni di sicurezza. Include regole di analisi, connettori dati, query di ricerca, parser, playbook, watchlist e cartelle di lavoro. Microsoft Sentinel fornisce contenuto predefinito che è possibile usare così come è o personalizzarlo. È anche possibile creare e distribuire contenuto personalizzato per soddisfare requisiti specifici. La gestione e la distribuzione dei contenuti efficaci garantiscono linee di base di sicurezza coerenti, risposta rapida alle minacce e operazioni scalabili tra i tenant dei clienti.

I provider di servizi di sicurezza che lavorano nel portale di Microsoft Defender dispongono di diversi strumenti per la gestione e la distribuzione di contenuti di sicurezza su larga scala:

Modelli comuni di architettura del repository per gli MSSP

Una considerazione chiave per le pipeline CI/CD multi-cliente è la scelta della struttura migliore per soddisfare le esigenze di tutti i clienti. Anche se non esiste un approccio universale, di seguito sono riportati tre modelli che è consigliabile considerare:

Modello 1: un repository centrale per contenuti generici, repository specifici per il cliente per contenuti personalizzati

• Un repository centrale per il contenuto comune distribuito a tutti i clienti

• Singoli repository per personalizzazioni specifiche del cliente

• Ogni area di lavoro dei clienti si connette a entrambi i repository

• Ideale per gli MSSP con esigenze bilanciate tra contenuti comuni e personalizzati

  

Modello 2: repository singolo con cartelle personalizzate

• Tutto il contenuto in un unico repository

• Struttura di cartelle basata su origini dati condivise, ad esempio Entra ID Analytics, o nomi di clienti

• Pipeline di distribuzione personalizzate per ogni connessione del cliente

• Richiede una configurazione più iniziale, ma semplifica la gestione del repository

  

Modello 3: un repository per cliente

• Completare la separazione dei contenuti tra i clienti

• Flessibilità di personalizzazione completa per ogni cliente

• Ideale per i clienti con requisiti di contenuto univoci

• Sovraccarico di gestione più elevato ma isolamento massimo

  

Per personalizzare le pipeline CI/CD, usare i file di configurazione in ogni ramo del repository per assegnare priorità alla distribuzione di contenuto con priorità elevata, escludere il contenuto che non si vuole distribuire e eseguire il mapping dei file dei parametri ai file di contenuto corrispondenti. Per altre informazioni, vedere Personalizzare la configurazione della connessione.

Per altre informazioni su come usare Azure DevOps in scenari multi-tenant, vedere Usare Azure DevOps per gestire Microsoft Sentinel per mssp e ambienti multi-tenant.

Considerazioni sulla gestione del contenuto condiviso

Quando sia gli MSSP sia i clienti gestiscono i contenuti, possono verificarsi conflitti, soprattutto se si utilizzano sia i contenuti come codice sia il portale per la gestione dei contenuti. Gli aggiornamenti nei repository content-as-code sovrascrivono qualsiasi modifica apportata a quel contenuto tramite il portale.

Per evitare tali conflitti, è consigliabile:

• Solo gestione centralizzata: limita le autorizzazioni in modo che solo gli utenti MSSP possano creare e aggiornare il contenuto.
• Gestione condivisa con marcatori non crittografati: anteporre agli elementi gestiti da MSSP una convenzione di denominazione. Ciò consente gli aggiornamenti locali, ma riduce gli errori.

Passaggio 3 - Operazioni di sicurezza multi-tenant

Gestire le operazioni di sicurezza in tutti i tenant

Il portale di Microsoft Defender fornisce tutte le informazioni rilevanti in modo da non dover passare a un altro portale o pagina. La coda unificata degli eventi imprevisti e la possibilità di correlare eventi e avvisi possono rivelare un attacco più grande e potenzialmente più completo, fornendo una storia di attacco completa. Consente anche di visualizzare l'origine di rilevamento e i nomi dei prodotti e di applicare e condividere filtri per questi, rendendo più efficiente la valutazione degli eventi imprevisti e degli avvisi.

Gestione incidenti e avvisi

• Valutazione degli eventi imprevisti: La valutazione degli eventi imprevisti è un'attività di base in un SOC, a partire dalla sezione Indagine e risposta nel portale di Defender. La Microsoft Sentinel l'integrazione di eventi imprevisti e avvisi con Defender consolida tutte le informazioni rilevanti in un'unica posizione, eliminando la necessità di passare da un portale all'altro. Questo flusso di lavoro semplificato potrebbe richiedere la ripetizione del training degli analisti e gli aggiornamenti ai processi SOC esistenti.

  Per altre informazioni, vedere Aggiornare i processi di valutazione degli eventi imprevisti per il portale di Defender.

• Correlazione degli avvisi e unione di eventi imprevisti: Il motore di correlazione di Defender unisce gli eventi imprevisti quando riconosce gli elementi comuni tra gli avvisi in eventi imprevisti separati. Quando un nuovo avviso soddisfa i criteri di correlazione , Defender lo aggrega e lo correla con altri avvisi correlati da tutte le origini di rilevamento in un nuovo evento imprevisto. La coda unificata degli eventi imprevisti rivela un attacco più completo, rendendo gli analisti più efficienti e fornendo una storia di attacco completa.

  Negli scenari con più aree di lavoro, solo gli avvisi di un'area di lavoro primaria sono correlati ai dati Microsoft Defender. Esistono anche scenari in cui gli eventi imprevisti non possono essere uniti.

  Per altre informazioni, vedi Comprendere come gli avvisi vengono correlati e gli incidenti vengono uniti nel portale Defender.

• Organizzazione multi-tenant: è possibile visualizzare e gestire eventi imprevisti, avvisi e casi tra i tenant dei clienti in una coda unificata. Ogni analista può configurare la propria visualizzazione multi-tenant con i tenant che gestisce. Per ulteriori informazioni, vedi gestione multitenant di Microsoft Defender.

• Integrazione con sistemi di ticketing esterni: Se un sistema di ticketing esterno recupera e si sincronizza con gli avvisi e gli eventi imprevisti gestiti, è consigliabile usare l'API REST di Microsoft Graph v1.0 per garantire un'integrazione trasparente e una gestione efficiente di eventi imprevisti e avvisi in sistemi diversi.

  Se usi l'API SecurityInsights di Microsoft Sentinel per interagire con gli incidenti di Microsoft Sentinel, potrebbe essere necessario aggiornare le condizioni di automazione e i criteri di attivazione a causa di modifiche nel corpo della risposta.

  Per altre informazioni, vedere Configurare le API.

Rilevazione avanzata

La ricerca avanzata consente di cercare in modo proattivo i tentativi di intrusione e l'attività di violazione in posta elettronica, dati, dispositivi e account in più tenant e aree di lavoro contemporaneamente, in un'unica posizione. Se si hanno più tenant con aree di lavoro di Microsoft Sentinel integrate nel portale Microsoft Defender (MTO), è possibile eseguire query in Microsoft Sentinel usando i dati di tutte le aree di lavoro, eseguendo query tra più aree di lavoro e tenant utilizzando l'operatore dell'area di lavoro nella query.

Per ulteriori informazioni, vedi Ricerca avanzata nella gestione multitenant di Microsoft Defender.

Gestire i carichi di lavoro tra tenant

Questa sezione illustra le varie azioni che è possibile eseguire e i metodi che è possibile usare per gestire carichi di lavoro specifici, tramite MTO o altri mezzi disponibili.

Endpoint

La visualizzazione multi-tenant nel portale di Defender offre agli amministratori della sicurezza una visualizzazione consolidata di tutti i criteri di sicurezza nell'intera organizzazione, inclusi i criteri di tutti i tenant, senza dover cambiare portale. Per accedere a questa pagina, vai a Endpoints>Gestione della configurazione>Criteri di sicurezza degli endpoint.

Dopo aver abilitato i tenant alla gestione multitenant in Defender (MTO), gli endpoint di tutti i tenant abilitati possono essere gestiti tramite la pagina Dispositivi. Per altre informazioni, vedere Dispositivi nella gestione multi-tenant.

strumenti di collaborazione e Email

Quando gestisci carichi di lavoro email e di collaborazione nei tenant clienti, le capacità disponibili dipendono dal fatto che tu utilizzi Microsoft Entra B2B o privilegi amministrativi delegati granulari (GDAP).

Identità

La visualizzazione multi-tenant nel portale di Defender offre alle organizzazioni complesse i mezzi per separare aree e business unit in singoli tenant, senza perdere l'accesso ai dati del tenant.

Dopo l'onboarding dei tenant nella gestione multi-tenant in Defender (MTO), le identità di tutti i tenant di cui è stato eseguito l'onboarding possono essere gestite tramite la pagina Identità. Per altre informazioni, vedere Identità multi-tenant.

Applicazioni cloud

Microsoft Defender for Cloud Apps è una soluzione di sicurezza SaaS (Software-as-a-Service) che include licenze pertinenti e un limite di conformità del tenant in cui viene effettuato il provisioning della licenza. A causa di questa architettura, solo i connettori di Microsoft 365 e Azure acquisiscono le attività e attivano avvisi per gli utenti all'interno di tali tenant. Tuttavia, è comunque possibile connettere più connettori di terze parti.

Defender for Cloud Apps è integrato in modo nativo con Microsoft Defender e segue le stesse funzionalità di multi-tenancy. Anche se i connettori sono limitati a un tenant specifico, i dati inseriti da ogni tenant nella CloudAppEvents tabella e gli eventi imprevisti o gli avvisi sono disponibili tramite MTO. È possibile cercare eventi tra i tenant ed eseguire il triage degli incidenti che hanno origine dai segnali di Defender for Cloud Apps.

Per altre informazioni, vedere panoramica Microsoft Defender for Cloud Apps.

Cloud

Microsoft Defender per il cloud è integrato con Microsoft Defender. Questa integrazione consente di accedere agli avvisi e agli eventi imprevisti di Defender per il cloud all'interno del portale di Defender e offre un contesto più completo per le indagini che si estendono su risorse cloud, dispositivi e identità. Consente ai team di sicurezza di ottenere l'immagine completa di un attacco, inclusi gli eventi sospetti e dannosi che si verificano nell'ambiente cloud.

Per altre informazioni, vedere What is Microsoft Defender per il cloud?.

Gestione dell'esposizione

Gestione dell'esposizione in Microsoft Security è una soluzione di sicurezza che offre una visualizzazione unificata del comportamento di sicurezza tra asset e carichi di lavoro aziendali. Arricchisce le informazioni sugli asset con il contesto di sicurezza che consente di gestire in modo proattivo le superfici di attacco, proteggere gli asset critici ed esplorare e attenuare i rischi di esposizione.

Per altre informazioni, vedere Che cos'è Gestione dell'esposizione in Microsoft Security?.

Dati

Le soluzioni di sicurezza dei dati di Microsoft Purview offrono l'individuazione, la classificazione e la protezione dei dati unificati tra cloud, SaaS e archivi dati locali. Integrano Defender e Microsoft Sentinel trasformando il rischio dei dati in segnali di sicurezza interattivi, consentendo di comprendere quali dati sensibili esistono, dove si trovano e come vengono accessibili o condivisi. Per altre informazioni, vedere Soluzioni di sicurezza dei dati di Microsoft Purview.

Le integrazioni principali includono:

• Avvisi e eventi imprevisti (Defender e Sentinel): Prevenzione della perdita dei dati Microsoft Purview, Gestione dei rischi Insider e rilevamenti basati su etichette di riservatezza generano avvisi che passano nella coda unificata degli eventi imprevisti. Ciò consente la correlazione con dispositivi, identità, applicazioni cloud e segnali di rete, evidenziando storie di attacco tra domini e riducendo il cambio di contesto per gli analisti. Quando gli avvisi di Microsoft Purview fanno parte di un evento imprevisto, il portale unificato visualizza i metadati e può essere usato nelle regole di automazione e nei playbook tramite le API di sicurezza di Microsoft Graph, proprio come gli altri avvisi di Defender e Sentinel.

• Caccia e indagini (ricerca avanzata): Gli eventi di Microsoft Purview, ad esempio i riscontri di prevenzione della perdita dei dati (DLP), le anomalie di accesso ai file e le modifiche alle etichette sono disponibili nello schema di ricerca avanzata di Defender. È possibile eseguire query multi-tenant nel portale MTO per individuare schemi che interessano dati, identità e segnali degli endpoint. Ad esempio, un aumento dei download di file ad alta sensibilità da un singolo utente, seguito da un comportamento di accesso anomalo.

• Arricchimento del contesto: L'inventario e la classificazione dei dati di Purview arricchiscono la soluzione Security Exposure Management consentendo di mappare le risorse dati critiche agli approfondimenti sull'esposizione e ai percorsi di attacco. Ciò consente di assegnare priorità alle mitigazioni in base all'impatto aziendale dei dati esposti.

Gestisci casi

Il portale delle operazioni di sicurezza unificato offre la gestione nativa dei casi per eliminare la dipendenza dai sistemi di ticketing esterni e mantenere il contesto di sicurezza all'interno del portale di Defender. Per una guida completa sulle funzionalità dei casi, i flussi di lavoro, il collegamento di incidenti e IoC, i requisiti RBAC e le opzioni di personalizzazione, vedere Panoramica dei casi. Per la gestione dei casi multi-tenant, vedere Gestire i casi in MTO.

Nota: La gestione dei casi supporta flussi di lavoro personalizzati, assegnazioni di attività, collaborazione avanzata e collegamento di evidenze.

Introduzione a Microsoft Sentinel data lake

Microsoft Sentinel include un data lake unificato e di sicurezza, progettato per ottimizzare i costi, semplificare la gestione dei dati e accelerare l'adozione dell'IA nelle operazioni di sicurezza. Questo data lake funge da base per la piattaforma Microsoft Sentinel. Ha un'architettura nativa del cloud e riunisce tutti i dati di sicurezza per una maggiore visibilità, un'analisi più approfondita della sicurezza e una consapevolezza contestuale. Offre una conservazione conveniente e a lungo termine che consente alle organizzazioni di mantenere una sicurezza affidabile senza compromettere i costi.

La piattaforma Microsoft Sentinel consente di espandere le offerte MSSP tramite servizi professionali, servizi gestiti e soluzioni agentic:

• Offrire consulenza, consulenza e indicazioni strategiche sulle architetture lake, con opportunità di alto valore per la distribuzione, la configurazione e l'ottimizzazione dei costi.

• Offrire una gestione continuativa delle piattaforme Microsoft Sentinel data lake e delle operazioni SOC, consentendo ai clienti di ridurre i costi di inserimento e conservazione dei dati, espandendo i flussi di ricavi ricorrenti attraverso opportunità di protezione della sicurezza avanzate.

• Sviluppare soluzioni di IA agentica per l'arricchimento e la risposta automatizzati alle minacce, lo sviluppo di analisi e l'evoluzione del SOAR verso flussi di lavoro basati su agenti.

Introduzione all'IA agentica

Si hanno più opportunità di interagire con i clienti e di diversificare le offerte MSSP quando si tratta di scenari di intelligenza artificiale agentic all'interno del portale di Microsoft Defender. Suddividiamo questi vantaggi nelle categorie Vendita, Sviluppo e Utilizzo.

Vendere

È possibile interagire con i clienti per vendere servizi di consulenza che educano, abilitano, configurano e implementano soluzioni agenti, ad esempio:

• Servizi di consulenza sviluppati dai partner : servizi di consulenza tradizionali disponibili tramite Microsoft Marketplace. Fornire workshop di formazione, interazioni di implementazione e valutazioni, concetti di prova o consegne di prova del valore. Questi servizi sono ottime opportunità per migliorare la maturità della sicurezza dell'ambiente del cliente, aumentare le competenze e la preparazione del personale e presentare il ritorno sugli investimenti del prodotto con scenari di casi d'uso reali.

• Servizi di sicurezza sviluppati dai partner : le offerte di servizi di sicurezza tradizionali come i servizi di sicurezza gestiti dai partner, le soluzioni XDR gestite dai partner e altri servizi di sicurezza sviluppati dai partner sono disponibili in Microsoft Security Store.

• Agenti Security Copilot sviluppati da Microsoft - Agenti Security Copilot sviluppati da Microsoft che si estendono tra Microsoft Defender, Microsoft Sentinel e altre soluzioni di sicurezza disponibili nel portale Defender.

• Agenti Security Copilot sviluppati dai partner: questi agenti sono disponibili per l'acquisto e la distribuzione tramite Microsoft Security Store. È possibile integrare i propri agenti Security Copilot pubblicati o altri agenti partner nell'ambiente Microsoft Defender dei clienti. Per altre informazioni, vedere Agenti partner.

Costruire

Sviluppare Security Copilot agenti che possono essere monetizzati tramite Microsoft Security Store. Gli agenti possono essere acquistati una tantum, tramite un modello in abbonamento per gli aggiornamenti periodici degli agenti oppure essere forniti gratuitamente. I tipi di agente sviluppati dal partner includono:

• Agenti basati su ruoli/persone : progettati con competenze per eseguire un tipo specifico di persona o ruolo, ad esempio un analista SOC L1
• Agenti basati su scenari : progettati con competenze per un tipo specifico di scenario, ad esempio phishing, minaccia Insider o minacce persistenti avanzate
• Agenti basati sul prodotto : progettati con competenze per l'integrazione con un prodotto o una soluzione specifica, ad esempio Microsoft Defender o fornitori di sicurezza di terze parti

Per altre informazioni, vedere Panoramica dello sviluppo di agenti Microsoft Security Copilot.

Uso

Gli agenti sono stati sviluppati dal partner all'interno dell'ambiente Microsoft Defender del cliente come parte della sua offerta SOC gestita. Ciò include l'azione per conto del cliente all'interno del tenant come aumento del team interno o l'esecuzione di attività SOC dal tenant e l'applicazione di funzionalità multi-tenancy di Microsoft Defender tramite l'accesso delegato.

Formazione e risorse della community

• Guida alla transizione: Eseguire la transizione dell'ambiente Microsoft Sentinel al portale di Defender

• Procedura: Connettere Microsoft Sentinel al Microsoft Defender

• Documentazione: Documentazione della piattaforma per le operazioni di sicurezza unificata di Microsoft

• Blog: FAQ | FAQ 2

• Differenze di funzionalità: Microsoft Sentinel nel portale di Microsoft Defender

• Correlazione degli avvisi e unione di eventi imprevisti: correlazione degli avvisi e unione di eventi imprevisti nel portale di Microsoft Defender

• Novità: Novità della piattaforma SecOps unificata di Microsoft

• Passaggio da Microsoft Sentinel a Microsoft Defender– serie di 10 video:

• Webinar registrati:

  • Transizione alla piattaforma SOC unificata: Deep Dive e Interactive Q&A per i professionisti SOC

  • Esperienza secOps unificata con le funzionalità più recenti di Microsoft Sentinel

  • Novità in Microsoft Sentinel e nella piattaforma unificata per le operazioni di sicurezza

  • Sblocco della potenza dei secOps unificati: masterizzazione di più aree di lavoro e tenant

  • Gestione dei casi: esplorare le nuove funzionalità di gestione dei casi ed esplorare la gestione dei casi nella piattaforma SecOps unificata

• Entra a far parte della community della sicurezza: https://aka.ms/SecurityCommunity