Microsoft 365 / Indagare sugli avvisi di sicurezza e rispondere agli incidenti

Quando ricevi un avviso di sicurezza di Microsoft 365, non chiuderlo immediatamente solo guardando la gravità. Dovresti controllare il momento dell'occorrenza, la fonte di rilevamento, gli utenti/dispositivi/email interessati e gli avvisi correlati. Più avvisi dello stesso incidente possono essere raggruppati in un unico incidente, quindi rivedi sia gli avvisi individuali sia l'intero incidente insieme.

Differenza tra avvisi e incidenti

Un avviso registra un’attività sospetta rilevata. Un incidente riunisce avvisi e prove correlati per comprendere lo sviluppo dell’attacco. La guida di Microsoft all’analisi degli incidenti di Defender spiega come esaminare insieme avvisi, attività, risorse e prove. Le schermate e le funzioni di indagine automatizzata disponibili dipendono dai prodotti e dalle licenze dell’organizzazione.

Prepara l'accesso e scegli la schermata di indagine

Apri Incidenti e avvisi → Avvisi nel portale di Microsoft Defender. Anche se puoi visualizzarli con i permessi di lettore di sicurezza, ciò non significa che tu possa eseguire azioni di risposta come il blocco dell'account o l'isolamento del dispositivo. Per prima cosa, controlla il modello di autorizzazioni di Defender della tua organizzazione, l'ambito delle responsabilità e le licenze dei prodotti, e nomina il personale per le indagini e le risposte.

La nuova visualizzazione dei casi di incidente è in anteprima; la visualizzazione precedente degli incidenti resta disponibile. Nell’interfaccia in inglese, apri Cases → Incident, seleziona il caso ed esamina avvisi, risorse, prove e attività. Una navigazione diversa non indica da sola che manchino i log. Confronta la schermata e le autorizzazioni disponibili con la guida di Microsoft all’analisi dei casi di incidente. Nel modello unificato di controllo degli accessi in base al ruolo (RBAC), Security Data Read consente la lettura e l’indagine; Security Data Manage consente anche la gestione dei casi. Le autorizzazioni per le azioni di risposta dipendono dall’azione e dal servizio interessato.

Checklist di risposta iniziale

1. Apri l'elenco degli incidenti o degli avvisi nel portale di Microsoft Defender. Assegna il personale responsabile all'interno del team e registra il numero dell'incidente per evitare la gestione duplicata dello stesso caso.
2. Controlla la gravità, l'orario di rilevamento e gli account, le email e i dispositivi interessati. Non confermare una violazione effettiva basandoti solo sul titolo dell'avviso.

3. Nei dettagli dell’incidente, esamina gli avvisi correlati, la cronologia delle attività, le prove e i risultati delle azioni automatizzate. La guida di Microsoft all’analisi degli avvisi spiega il significato degli stati e delle classificazioni.
4. Se c'è un'alta probabilità di una minaccia reale e il danno è in corso, notificare immediatamente il personale responsabile secondo le procedure di risposta agli incidenti dell'organizzazione e determinare l'ambito dell'impatto e le misure approvate di isolamento/blocco. Conservare le prove necessarie per l'indagine mentre si contiene la minaccia; non ritardare inutilmente il contenimento urgente.
5. Registrare la causa e le azioni intraprese, e verificare se la stessa attività esiste per altri utenti o dispositivi. Monitorare per assicurarsi che gli avvisi non si ripetano dopo che le misure sono state adottate.

Registrare le prove e costruire una cronologia dell'indagine

Registra non solo il nome dell'allerta ma anche l'ID dell'allerta/incidente, il prodotto di rilevamento, i tempi di attività iniziali e più recenti e i fusi orari, e le informazioni identificative dell'utente target, del dispositivo o dell'email. Controlla le entità effettive per evitare di confondere file con lo stesso nome o account simili. Non aprire URL o allegati dannosi direttamente sui normali PC di lavoro.

Collega cronologicamente gli eventi confermati come 'email ricevuta → allerta relativa al link → accesso → accesso ai dati'. Non presumere che tutti gli eventi siano accaduti; distingui tra prove esistenti e fatti sconosciuti. Ad esempio, anche se un utente nega di aver cliccato, i log pertinenti devono essere controllati e una fuga di password non dovrebbe essere confermata solo in base ai record di clic.

Indagare se ci sono avvisi che interessano altri utenti relativi allo stesso mittente, file o URL. Questo perché anche se un avviso che riguarda un account viene chiuso, la stessa attività potrebbe continuare su un altro account. Conservare i materiali in una posizione approvata per la gestione degli incidenti e non pubblicare l'email originale, le informazioni sull'utente o i log di accesso su canali pubblici.

Come valutare un avviso di phishing

Potrebbero essere necessarie azioni su più servizi. Per la consegna delle email, controlla tracciamento dei messaggi, e per accesso e autenticazione, procedi a registri di accesso Microsoft Entra. Modificare solo la password dell'utente non è sufficiente; il personale competente deve definire l'ambito dell'indagine per garantire che metodi di autenticazione sospetti, regole di inoltro e autorizzazioni delle app non rimangano intatti.

Anche quando compaiono azioni automatiche, distingui tra stati richiesti, in sospeso, falliti e completati. A seconda del prodotto, le funzionalità di indagine o risposta automatica potrebbero non essere disponibili, e vedere solo un pulsante di risposta sul portale non significa che il compito sia stato eseguito. Conserva le prove ed esegui il blocco urgente contemporaneamente, senza ritardare inutilmente la prevenzione di danni in corso.

Possiamo ignorarlo immediatamente se sembra un falso positivo?

No. Confronta le prove con la spiegazione della persona responsabile per stabilire se un cambiamento di politica o un compito operativo normale abbia causato l'allerta. Se classifici un'allerta come falso positivo, registra le prove a supporto e l'ambito. Non disattivare regole di allerta ampie rischiando di perdere attacchi reali. Quando lo stesso falso positivo si ripresenta, considera un adeguamento di ambito limitato supportata dall'indagine.

Distingui un avviso che ha rilevato e bloccato correttamente una minaccia reale da un avviso che ha identificato erroneamente come dannosa un'attività normale. L'assenza di danni non rende di per sé un avviso un falso positivo. Per un test approvato o un'attività operativa, confronta la richiesta di lavoro, il tempo di esecuzione, l'obiettivo e le prove, quindi registra la classificazione e la determinazione appropriate. Nella visualizzazione degli avvisi, Vero positivo, Attività informativa prevista e Falso positivo rappresentano conclusioni diverse. Se la regolazione o la soppressione è giustificata, limita gli obiettivi interessati e imposta una data di scadenza o di revisione.

Verifica il recupero prima di chiudere l'incidente

• Stato attuale degli account/dispositivi interessati e presenza di ulteriori avvisi
• Azioni automatiche/manuali intraprese e eventuali azioni che devono essere annullate
• Completamento delle notifiche agli utenti e dei registri interni degli incidenti
• Persone responsabili delle attività di prevenzione della ricorrenza come politiche, formazione e metodi di autenticazione

Il registro di chiusura dell'incidente dovrebbe includere i sintomi iniziali, l'ambito dell'impatto, le prove di supporto, i risultati effettivi delle azioni automatizzate e manuali e il lavoro di follow-up restante. Cambiare un avviso in Risolto non rimuove di per sé una minaccia. Chiudere l'incidente dopo aver verificato che gli account e i dispositivi interessati siano protetti e che le operazioni aziendali siano state ripristinate. Esaminare separatamente eventuali blocchi temporanei o modifiche alle politiche; la persona responsabile deve annullare una misura solo quando l’annullamento è giustificato dalle prove e rientra nell’ambito approvato.