Connettere le app per ottenere visibilità e controllo con Microsoft Defender for Cloud Apps

I connettori app usano le API dei provider di app per offrire maggiore visibilità e controllo tramite Microsoft Defender for Cloud Apps per le app a cui ci si connette.

Microsoft Defender for Cloud Apps usa le API fornite dal provider di servizi cloud. Tutte le comunicazioni tra Defender for Cloud Apps e le app connesse vengono crittografate tramite HTTPS. Ogni servizio ha i propri framework e limitazioni API, ad esempio la limitazione delle richieste, i limiti api, le finestre dell'API con spostamento dinamico del tempo e altre. Microsoft Defender for Cloud Apps interagisce con questi servizi per ottimizzare l'utilizzo delle API e offrire prestazioni ottimali. Tenendo conto delle diverse limitazioni imposte dai servizi alle API, i motori di Microsoft Defender for Cloud Apps usano la capacità consentita. Alcune operazioni, ad esempio l'analisi di tutti i file nel tenant, richiedono numerose API, quindi vengono distribuite in un periodo più lungo. È prevista l'esecuzione di alcuni criteri per diverse ore o diversi giorni.

Supporto per più istanze

Defender for Cloud Apps supporta più istanze della stessa app connessa. Ad esempio, se si dispone di più istanze di Salesforce (una per le vendite, una per il marketing) è possibile connettersi a Defender for Cloud Apps.If you have more one instance of Salesforce (one for sales, one for marketing) you can connect both to Defender for Cloud Apps. È possibile gestire le diverse istanze dalla stessa console per creare criteri granulari e indagini più approfondite. Questo supporto si applica solo alle app connesse alle API, non alle app individuate nel cloud o alle app connesse tramite proxy.

Come funziona

Defender for Cloud Apps viene distribuito con privilegi di amministratore di sistema per consentire l'accesso completo a tutti gli oggetti nell'ambiente.

Il flusso del connettore app è il seguente:

1. Defender for Cloud Apps analizza e salva le autorizzazioni di autenticazione.
2. Defender for Cloud Apps richiede l'elenco utenti. La prima volta che effettua la richiesta, potrebbe essere necessario del tempo prima che l'analisi venga completata. Al termine dell'analisi dell'utente, Defender for Cloud Apps passa ad attività e file. Non appena viene avviata l'analisi, alcune attività sono disponibili in Defender for Cloud Apps.
3. Al termine della richiesta dell'utente, Defender for Cloud Apps analizza periodicamente utenti, gruppi, attività e file. Tutte le attività sono disponibili dopo la prima analisi completa.

Questa connessione potrebbe richiedere del tempo a seconda delle dimensioni del tenant, del numero di utenti e delle dimensioni e del numero di file da analizzare.

A seconda dell'app a cui ci si connette, la connessione API abilita gli elementi seguenti:

• Informazioni sull'account : visibilità su utenti, account, informazioni sul profilo, stato (sospeso, attivo, disabilitato) gruppi e privilegi.
• Audit trail : visibilità sulle attività degli utenti, sulle attività di amministrazione, sulle attività di accesso.
• Governance dell'account : possibilità di sospendere gli utenti, revocare le password e altro ancora.
• Autorizzazioni per le app : visibilità dei token rilasciati e delle relative autorizzazioni.
• Governance delle autorizzazioni dell'app : possibilità di rimuovere i token.
• Analisi dei dati: analisi dei dati non strutturati tramite due processi, periodicamente (ogni 12 ore) e in analisi in tempo reale (attivata ogni volta che viene rilevata una modifica).
• Governance dei dati : possibilità di mettere in quarantena i file, inclusi i file nel cestino e sovrascrivere i file.

Le tabelle seguenti elencano, per app cloud, quali funzionalità sono supportate con i connettori di app:

Utenti e attività

Visibilità della configurazione dell'utente, della governance delle app e della sicurezza

Protezione delle informazioni

Prerequisiti

• Quando si usa il connettore Microsoft 365, è necessaria una licenza per ogni servizio in cui si vogliono visualizzare le raccomandazioni sulla sicurezza. Ad esempio, per visualizzare le raccomandazioni per Microsoft Forms, è necessaria una licenza che supporti i moduli.

• Per alcune app, potrebbe essere necessario consentire agli indirizzi IP dell'elenco di abilitare Defender for Cloud Apps per raccogliere i log e fornire l'accesso per la console Defender for Cloud Apps. Per altre informazioni, vedere Requisiti di rete.

Abilitare i connettori di app

Per abilitare un connettore app per la prima volta, configurare una connessione API per l'app cloud specifica da connettere. Per istruzioni dettagliate, vedere le singole guide del connettore per ogni app.

1. Accedere al portale di Microsoft Defender.
2. Passare ad App cloud App>connesse.
3. Selezionare Connetti un'app o Aggiungi un nuovo connettore.
4. Scegliere l'app cloud da connettere.
5. Seguire le istruzioni riportate nella guida corrispondente del connettore API specifico dell'app. Queste istruzioni includono le autorizzazioni e i passaggi di autenticazione necessari.

Ogni app cloud ha un proprio processo di abilitazione basato sulle API supportate.

ExpressRoute

Defender for Cloud Apps viene distribuito in Azure e completamente integrato con ExpressRoute. Tutte le interazioni con le app Defender for Cloud Apps e il traffico inviato a Defender for Cloud Apps, incluso il caricamento dei log di individuazione, vengono instradate tramite ExpressRoute per migliorare la latenza, le prestazioni e la sicurezza. Per altre informazioni sul peering Microsoft, vedere Circuiti ExpressRoute e domini di routing.

Disabilitare i connettori di app

Per disabilitare le app connesse:

1. Passare a App connesse.
2. Selezionare Disabilita connettore app.
3. Selezionare Disabilita l'istanza del connettore app per confermare l'azione.

Una volta disabilitata, l'istanza del connettore interrompe l'utilizzo dei dati dal connettore.

Riabilitare i connettori di app

Per riabilitare le app connesse:

1. Passare a App connesse.
2. Selezionare Modifica impostazioni. Questa azione avvia il processo per aggiungere un connettore.
3. Aggiungere il connettore usando i passaggi descritti nella guida del connettore API pertinente. Ad esempio, se si riabilitare GitHub, usare la procedura descritta in Connettere GitHub Enterprise Cloud a Microsoft Defender for Cloud Apps.

Risolvere i problemi relativi alle attività mancanti dopo la connessione di un'app

Se le attività previste non vengono visualizzate dopo la connessione di un'app, usare i controlli seguenti per determinare dove devono essere disponibili i dati e se è necessaria una configurazione aggiuntiva.

1. Verificare che il connettore sia integro

Verificare che il connettore app sia connesso correttamente e che non siano presenti avvisi di configurazione o problemi di autorizzazione.

2. Controllare le aspettative di ritardo di inserimento

Alcuni connettori hanno previsto latenza prima che vengano visualizzate le attività. Verificare se il connettore presenta un ritardo di inserimento documentato prima di considerare l'attività mancante come un problema.

3. Verificare che il connettore supporti l'inserimento di attività

Controllare se il connettore supporta la raccolta di attività nella sezione Utenti e attività.

4. Esaminare le opzioni di attività specifiche del connettore Per i connettori che supportano tipi di attività selezionabili, verificare che le opzioni necessarie siano abilitate. Ad esempio, se si sta analizzando l'attività di accesso, verificare che il connettore sia configurato per raccogliere i dati di accesso pertinenti.

5. Verificare le impostazioni di distribuzione con ambito

Se la distribuzione con ambito è abilitata, verificare che l'account che esegue l'attività sia incluso nelle regole di distribuzione con ambito corrente. Le attività generate da utenti, gruppi o app esclusi non vengono ingerite. Verificare anche se gli identificatori dell'account vengono confrontati correttamente tra le applicazioni connesse, in particolare quando vengono usati formati di identificatori diversi.

6. Convalidare la superficie di registrazione prevista

A seconda del tipo di attività, verificare se l'evento viene visualizzato nell'origine appropriata elencata nella tabella seguente.

7. Applicare filtri prima di concludere che i dati sono mancanti

Usare filtri come:

• Intervallo di tempo
• Utente o amministratore
• Tipo di attività
• App o carico di lavoro

8. Verificare la presenza di limitazioni dell'ambito note

Alcune attività potrebbero non essere completamente rappresentate in ogni superficie di registrazione. Se manca un evento da un'origine, verificare se tale attività è documentata come disponibile in un'altra origine.

Ulteriori indagini

Analizzare ulteriormente quando:

• Il connettore mostra uno stato integro, ma non vengono visualizzati dati previsti in alcuna superficie di registrazione supportata.
• Le opzioni di attività necessarie sono attivate, ma l'evento è ancora assente dopo un periodo di convalida ragionevole.
• Lo stesso tipo di attività non è sempre disponibile in più controlli.

Passaggi successivi