Threat protection, threat intelligence e Microsoft Defender XDR
Un attacco moderno raramente resta dentro un solo servizio: comincia con un’email, prosegue su un portatile, passa per un’identità e finisce nei file di un’app cloud. Ogni servizio vede il proprio pezzo, e nessuno da solo vede la storia intera. Questa unità risponde a tre domande: chi si accorge di un attacco, che cosa mette insieme i segnali sparsi e dove li si guarda.
Threat protection e threat intelligence non sono la stessa cosa
Per threat protection si intende l’insieme dei servizi che prevengono, rilevano, indagano e rispondono alle minacce. In Microsoft 365 questi servizi hanno nomi propri e ambiti propri: Microsoft Defender for Office 365 per email e strumenti di collaborazione, Microsoft Defender for Endpoint per gli endpoint, Microsoft Defender for Identity che usa i segnali dell’Active Directory on-premises, Microsoft Entra ID Protection per il rischio sulle identità cloud, Microsoft Defender for Cloud Apps per le app SaaS, Microsoft Defender Vulnerability Management per vulnerabilità e configurazioni errate degli asset. Ognuno rileva ciò che è nel proprio dominio: attribuire a uno la capacità di un altro è l’errore più frequente.
La threat intelligence è un’altra cosa: non rileva, spiega. È la conoscenza su chi attacca, con quali strumenti, con quali tecniche e con quali indicatori. Microsoft Threat Intelligence è integrata nel Microsoft Defender portal in due esperienze: l’arricchimento delle pagine entità, dove IP addresses, domains, URLs e files mostrano una scheda Threat Intelligence Insights, e l’Intelligence explorer, che dal menu Threat intelligence dà accesso a Intel profiles (contenuti curati su threat actor, strumenti e vulnerabilità) e a Intel explorer per cercare artefatti e indicatori di compromissione.
Accanto c’è Threat analytics, la soluzione di threat intelligence dentro il prodotto, scritta dai ricercatori di sicurezza Microsoft. Ogni report ha sezioni fisse — Overview, Analyst report, Related incidents, Impacted assets, Endpoints exposure, Recommended actions — e la lista si filtra per threat tag: Ransomware, Phishing, Activity group, Vulnerability. Il punto che l’esame ama: Threat analytics non dice soltanto che una campagna esiste, dice se quella campagna è attiva nel tuo ambiente e quanto sei esposto.
Defender XDR: dagli alerts agli incidents
Microsoft Defender XDR non è un ulteriore prodotto accanto agli altri: è il livello che li coordina, prima e dopo la violazione, su endpoint, identità, email e applicazioni. Il suo lavoro si capisce da due parole. Gli alerts sono i segnali prodotti dalle attività di rilevamento e indicano che è avvenuto qualcosa di malevolo o sospetto. Gli incidents sono, testualmente, “Containers that include collections of related alerts and tell the full story of an attack”.
La correlazione funziona così: quando arriva un alert, se è abbastanza unico rispetto a tutte le fonti entro un certo intervallo di tempo Defender crea un nuovo incident; se è abbastanza legato ad altri alert, anche di fonti diverse, lo aggiunge a un incident esistente. La logica è proprietaria e interna, e assegna anche il nome all’incident. Più tardi due incident possono essere uniti se condividono entità (utenti, dispositivi, mailbox), artefatti (file, processi, mittenti), finestre temporali o sequenze di eventi che indicano un attacco multi-fase. Dentro un incident trovi la timeline degli alert e degli eventi grezzi, le tattiche usate, gli asset coinvolti, le prove raccolte e un riassunto testuale della storia dell’attacco.
Dalla stessa correlazione nasce l’automatic attack disruption, che partendo da segnali ad alta confidenza di più workload applica azioni di contenimento. L’esempio della documentazione è chiaro: un file malevolo rilevato su un endpoint da Defender for Endpoint fa sì che Defender for Office 365 lo cerchi e lo rimuova dai messaggi di posta. Attenzione a un limite spesso ignorato: Defender correla i segnali dei prodotti di sicurezza Microsoft per cui hai licenza e accesso, non di tutti.
Per la caccia proattiva c’è l’advanced hunting: uno strumento a query su un massimo di 30 giorni di dati grezzi di Defender XDR, con modalità guided per chi non conosce Kusto Query Language (KQL) e modalità advanced per chi scrive query da zero. Le tabelle coprono Defender for Endpoint, Defender for Office 365, Defender for Cloud Apps, Defender for Identity e Microsoft Sentinel, e la stessa query può diventare una custom detection rule che gira automaticamente.
Distrattori tipici e il legame con Copilot
L’esame sfrutta i nomi vicini, quindi conviene tenerli separati. Defender XDR è il portale unificato e il livello di correlazione; Defender for Cloud Apps è la soluzione per le app SaaS (scoperta dello Shadow IT, SaaS Security Posture Management, app governance sulle app OAuth) e non va confusa né con Defender XDR né con Microsoft Defender for Cloud, che riguarda i carichi cloud. Le protezioni del dispositivo stanno in Defender for Endpoint, non “in Defender XDR”. Poi ci sono i piani: Defender for Office 365 esiste in Plan 1 e Plan 2, e il Plan 2 aggiunge fra l’altro Attack simulation training, Threat Explorer e l’Automated Investigation and Response (AIR); Defender for Endpoint ha Plan 1 e Plan 2 (oltre a Microsoft Defender for Business), e la licenza Plan 1 di Defender for Endpoint non dà accesso a Threat analytics. Ultima trappola: la checklist di Recommended actions in un report mostra solo le raccomandazioni tracciate in Microsoft Secure Score, che vive nel Defender portal, non in Compliance Manager, che sta in Microsoft Purview e misura la conformità normativa.
Il collegamento con Copilot è diretto. Microsoft 365 Copilot non apre una corsia privilegiata: rispetta i controlli di sicurezza e di protezione dei dati già in vigore e accede soltanto ai dati che l’utente è autorizzato a vedere. Ciò che Defender blocca, mette in quarantena o rimuove prima, quindi, resta fuori anche dal materiale su cui Copilot lavora. Sul fronte posture, il Microsoft Security Dashboard for AI aggrega i segnali di Microsoft Defender, Microsoft Entra e Microsoft Purview in una vista unica del rischio legato all’AI. Per AB-900 basta ricordare la direzione: il rilevamento delle minacce sta in Defender, la classificazione e le policy sui dati stanno in Purview, e Copilot eredita entrambe senza sostituirle.