Avvisi di sicurezza in Microsoft Defender per identità

Che cosa sono gli avvisi di sicurezza Microsoft Defender per identità?

Microsoft Defender per identità avvisi di sicurezza forniscono informazioni sulle attività sospette rilevate dai sensori defender per identità nella rete e sugli attori e sui computer coinvolti in ogni minaccia. Gli elenchi di prove di avviso contengono collegamenti diretti agli utenti e ai computer coinvolti, per rendere le indagini facili e dirette.

La pagina Avvisi di identità offre funzionalità di arricchimento del segnale tra domini e di risposta automatizzata all'identità. Il vantaggio dell'analisi degli avvisi con Microsoft Defender XDR è che gli avvisi Microsoft Defender per identità sono correlati alle informazioni ottenute da ognuno degli altri prodotti della suite. Questi avvisi avanzati sono coerenti con gli altri formati di avviso Microsoft Defender XDR provenienti da Microsoft Defender per Office 365 e Microsoft Defender per endpoint.

Gli avvisi provenienti dal trigger di Defender per identità Microsoft Defender XDR funzionalità di analisi e risposta automatizzate (AIR), tra cui la correzione automatica degli avvisi e la mitigazione di strumenti e processi che possono contribuire all'attività sospetta.

Microsoft Defender per identità avvisi vengono attualmente visualizzati in due layout diversi nel portale di Microsoft Defender XDR. Anche se le visualizzazioni degli avvisi possono mostrare informazioni diverse, tutti gli avvisi si basano sui rilevamenti dei sensori di Defender per identità. Le differenze nel layout e nelle informazioni visualizzate fanno parte di una transizione in corso a un'esperienza di avviso unificata tra i prodotti Microsoft Defender.

Per altre informazioni, vedere Visualizzare e gestire gli avvisi di sicurezza.

Categorie di avvisi

Gli avvisi di sicurezza di Defender per identità sono suddivisi nelle categorie o nelle fasi seguenti, come le fasi viste in una tipica kill chain di attacchi informatici. Altre informazioni su ogni fase, sugli avvisi progettati per rilevare ogni attacco e su come usare gli avvisi per proteggere la rete usando i collegamenti seguenti:

1. Avvisi di ricognizione e individuazione
2. Avvisi di persistenza e escalation dei privilegi
3. Avvisi di accesso alle credenziali
4. Avvisi di spostamento laterale
5. Altri avvisi

Eseguire il mapping degli avvisi di sicurezza a un ID esterno univoco e a mitre ATT&tattiche di matrice CK

La tabella seguente elenca il mapping tra i nomi degli avvisi, gli ID esterni univoci corrispondenti, la gravità e la tattiche mitre ATT&matrice™ CK. Se usato con script o automazione, Microsoft consiglia l'uso di ID esterni degli avvisi al posto dei nomi degli avvisi, in quanto solo gli ID esterni degli avvisi di sicurezza sono permanenti e non sono soggetti a modifiche.

Vedere anche

• Visualizzare e gestire gli avvisi di sicurezza
• Analizzare gli avvisi di sicurezza
• Consultare il forum di Defender per identità.