Escludere gli asset dalle risposte automatizzate in un'interruzione automatica degli attacchi

Questo articolo fornisce informazioni su come escludere gli asset dall'essere contenuti automaticamente dall'interruzione automatica degli attacchi in Microsoft Defender XDR.

L'interruzione automatica degli attacchi consente l'esclusione di account utente, dispositivi e indirizzi IP specifici da azioni di contenimento automatizzate. Una volta esclusi, questi asset non saranno interessati da azioni automatizzate attivate dall'interruzione dell'attacco.

Prerequisiti

Per escludere gli asset dalle risposte automatizzate nell'interruzione automatica degli attacchi, è necessario avere uno dei ruoli seguenti assegnati in Microsoft Entra ID (https://portal.azure.com) o nella interfaccia di amministrazione di Microsoft 365 (https://admin.microsoft.com):

• Amministratore globale
• Amministratore della sicurezza

Esaminare o modificare le esclusioni di risposta automatizzate per gli asset

Per escludere gli asset dalle risposte automatizzate nell'interruzione automatica degli attacchi, seguire questa procedura:

1. Passare al portale di Microsoft Defender (https://security.microsoft.com) e accedere.

2. Passare a Impostazioni>Microsoft Defender XDR.

Escludere gli account utente

1. In Risposta automatica selezionare Identità.

2. Per escludere un account utente, selezionare Aggiungi esclusione utente. Viene visualizzato un riquadro a comparsa.

   

3. Nel riquadro a comparsa immettere i nomi degli account utente nella casella Seleziona utenti e selezionare gli account utente da escludere.

   

4. Selezionare Escludi utenti per salvare l'esclusione.

Escludere i gruppi di dispositivi

1. In Risposte automatizzate selezionare Dispositivi.

2. Nella scheda Gruppi di dispositivi scegliere un gruppo di dispositivi selezionando la casella di controllo accanto al nome del gruppo nell'elenco per configurare le impostazioni di automazione dell'interruzione degli attacchi.

   

3. Nel riquadro a comparsa selezionare il livello di automazione appropriato per il gruppo di dispositivi. È possibile scegliere uno dei livelli di automazione seguenti appropriati per il gruppo di dispositivi:

   • Completa: corregge automaticamente le minacce: contiene automaticamente i dispositivi quando viene rilevata una minaccia.
   • Semi : richiede l'approvazione per le cartelle di base: analizza automaticamente i dispositivi quando viene ricevuto un avviso e applica azioni di correzione ad eccezione degli elementi all'interno delle cartelle di sistema di base. Le azioni di correzione per le cartelle principali richiedono l'approvazione.
   • Semi: richiede l'approvazione per le cartelle non temporanee: analizzare e applicare automaticamente la correzione alle azioni all'interno delle cartelle temp e download quando viene ricevuto un avviso. Tutte le altre azioni correttive richiedono l'approvazione.
   • Semi: richiede l'approvazione per tutte le cartelle: analizzare automaticamente i dispositivi quando viene ricevuto un avviso. Tutte le azioni di correzione richiedono l'approvazione.
   • Nessuna risposta automatizzata: non viene eseguita alcuna indagine o risposta automatizzata per i dispositivi in questo gruppo.

   

4. Selezionare Salva per salvare il livello di automazione per il gruppo di dispositivi.

Escludere indirizzi IP

1. In Risposte automatizzate selezionare Dispositivi.

2. Nella scheda IP selezionare Escludi IP per escludere un indirizzo IP.

   

3. Nel riquadro a comparsa immettere l'indirizzo IP/intervallo IP/subnet IP da escludere. È possibile aggiungere più indirizzi IP e subnet IP separandoli con una virgola.

   

4. Aggiungere un nome e una nota per l'esclusione. Selezionare Crea per salvare l'esclusione.

Rimuovere le esclusioni

Per rimuovere un'esclusione:

• Passare alla pagina Identità . Selezionare l'account utente da rimuovere dall'elenco e quindi selezionare Rimuovi.

• Passare alla pagina Dispositivi e passare alla scheda INDIRIZZI IP . Selezionare l'indirizzo IP da rimuovere dall'elenco e quindi selezionare Rimuovi esclusione.

• Le esclusioni dei gruppi di dispositivi possono essere configurate nella scheda Gruppi di dispositivi . Selezionare il gruppo di dispositivi da configurare dall'elenco e scegliere l'esclusione appropriata dal riquadro a comparsa. Selezionare Salva per salvare l'esclusione.

Rifiuto esplicito dell'interruzione automatica degli attacchi

Rifiutare esplicitamente l'interruzione degli attacchi può aumentare notevolmente il rischio per la sicurezza. È consigliabile escludere invece entità specifiche .

Se è necessario rifiutare esplicitamente l'interruzione dell'attacco, è possibile farlo aprendo un caso di supporto nel portale di Microsoft Defender con l'oggetto Interruzione dell'attacco opt-out. Nella richiesta specificare che si desidera rifiutare esplicitamente l'interruzione dell'attacco e includere una breve spiegazione della decisione. Questo feedback ci aiuta a migliorare la funzionalità e a comprendere meglio le esigenze dei clienti. Rifiutando esplicitamente, si riceveranno comunque avvisi relativi all'interruzione degli attacchi, ma non vengono eseguite azioni automatizzate.

Vedere anche

• Visualizzare i dettagli e i risultati delle azioni automatizzate di interruzione degli attacchi