Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Questo articolo illustra come configurare le esclusioni di rilevamento Microsoft Defender per identità in Microsoft Defender XDR.
Microsoft Defender per identità consente l'esclusione di indirizzi IP, computer, domini o utenti specifici da diversi rilevamenti.
Ad esempio, un avviso di ricognizione DNS potrebbe essere attivato da uno scanner di sicurezza che usa DNS come meccanismo di analisi. La creazione di un'esclusione consente Microsoft Defender per identità ignorare tali scanner e ridurre i falsi positivi.
Nota
È consigliabile ottimizzare un avviso anziché usare esclusioni. Le regole di ottimizzazione degli avvisi consentono condizioni più granulari rispetto alle esclusioni e consentono di esaminare gli avvisi, ottimizzati.
Tra i domini più comuni con comunicazioni sospette tramite avvisi DNS , sono stati osservati i domini esclusi più di frequente dall'avviso. Questi domini vengono aggiunti all'elenco delle esclusioni per impostazione predefinita, ma è possibile rimuoverli.
Come aggiungere esclusioni di rilevamento
Nota
Quando si sostituisce un'esclusione esistente con una regola di ottimizzazione degli avvisi, identificare il rilevamento associato all'entità esclusa e eseguirne il mapping al rilevatore corrispondente nell'ottimizzazione degli avvisi. Dopo aver creato la regola di ottimizzazione, verificare che il rilevatore venga visualizzato in Ottimizzazione avvisi nel portale di Microsoft Defender per assicurarsi che l'ambito di avviso previsto venga mantenuto.
Accedere al portale di Microsoft Defender
Passare aImpostazionidi sistema> e quindi Identità.
Selezionare Entità escluse. È possibile impostare esclusioni usando due metodi: esclusioni per regola di rilevamento ed entità escluse globali.
Esclusioni per regola di rilevamento
Selezionare Esclusioni in base alla regola di rilevamento.
Per ogni rilevamento che si vuole configurare, seguire questa procedura:
Selezionare una regola di rilevamento dall'elenco.
Visualizzare i dettagli della regola di rilevamento.
Per aggiungere un'esclusione, selezionare il pulsante Entità escluse .
Scegliere il tipo di esclusione. Per ogni regola sono disponibili entità escluse diverse. Includono utenti, dispositivi, domini e indirizzi IP. In questo esempio le scelte sono Escludi dispositivi ed Escludi indirizzi IP.
Dopo aver scelto il tipo di esclusione, selezionare il + pulsante per aggiungere l'esclusione.
Selezionare + Aggiungi per aggiungere l'entità esclusa all'elenco.
Selezionare Escludi indirizzi IP (in questo esempio) per completare l'esclusione.
Dopo aver aggiunto le esclusioni, è possibile esportare l'elenco o rimuovere le esclusioni tornando al pulsante Entità escluse . In questo esempio è stato restituito l'opzione Escludi dispositivi. Per esportare l'elenco, selezionare il pulsante freccia giù.
Per eliminare un'esclusione, selezionare l'esclusione e selezionare l'icona del cestino.
Entità escluse globali
È ora anche possibile configurare le esclusioni dalle entità escluse globali. Le esclusioni globali consentono di definire determinate entità (indirizzi IP, subnet, dispositivi o domini) da escludere in tutti i rilevamenti Microsoft Defender per identità. Ad esempio, se si esclude un dispositivo, questo si applicherà solo ai rilevamenti con identificazione del dispositivo come parte del rilevamento.
Selezionare Entità escluse globali per visualizzare le categorie di entità che è possibile escludere.
Scegliere un tipo di esclusione. In questo esempio è stato selezionato Escludi domini.
Viene aperto un riquadro in cui è possibile aggiungere un dominio da escludere. Aggiungere il dominio da escludere.
Il dominio viene aggiunto all'elenco. Selezionare Escludi domini per completare l'esclusione.
Il dominio verrà quindi visualizzato nell'elenco delle entità da escludere da tutte le regole di rilevamento. È possibile esportare l'elenco o rimuovere le entità scegliendole e selezionando il pulsante Rimuovi .
