Ospitare la creazione di report dei firewall in Microsoft Defender per endpoint

Si applica a:

• Microsoft Defender per endpoint Piano 1
• Microsoft Defender per endpoint Piano 2
• Microsoft Defender XDR

Gli amministratori globali o di sicurezza possono ora ospitare i report del firewall nel portale di Microsoft Defender. Questa funzionalità consente di visualizzare i report di Windows Firewall da una posizione centralizzata.

Che cosa è necessario sapere prima di iniziare?

• I dispositivi devono essere in esecuzione Windows 10 o versioni successive oppure Windows Server 2012 R2 o versioni successive. Per visualizzare Windows Server 2012 R2 e Windows Server 2016 nei report del firewall, è necessario eseguire l'onboarding di questi dispositivi usando il pacchetto di soluzione unificata moderno. Per altre informazioni, vedere Nuove funzionalità nella soluzione unificata moderna per Windows Server 2012 R2 e 2016.

• Per eseguire l'onboarding dei dispositivi nel servizio Microsoft Defender per endpoint, vedere le linee guida per l'onboarding.

• Affinché il portale di Microsoft Defender inizi a ricevere dati, è necessario abilitare Eventi di controllo per Windows Defender Firewall con sicurezza avanzata. Fare inoltre riferimento ai seguenti articoli:

  • Audit Filtering Platform Packet Drop
  • Controllare la connessione alla piattaforma di filtro

• Abilitare questi eventi usando Criteri di gruppo object Editor, i criteri di sicurezza locali o i comandi auditpol.exe. Per altre informazioni, vedere la documentazione sul controllo e la registrazione. I due comandi di PowerShell sono i seguenti:

  • auditpol /set /subcategory:"Filtering Platform Packet Drop" /failure:enable
  • auditpol /set /subcategory:"Filtering Platform Connection" /failure:enable

  Ecco una query di esempio:

  param (
       [switch]$remediate
  )
  try {
  
       $categories = "Filtering Platform Packet Drop,Filtering Platform Connection"
       $current = auditpol /get /subcategory:"$($categories)" /r | ConvertFrom-Csv    
       if ($current."Inclusion Setting" -ne "failure") {
           if ($remediate.IsPresent) {
               Write-Host "Remediating. No Auditing Enabled. $($current | ForEach-Object {$_.Subcategory + ":" + $_.'Inclusion Setting' + ";"})"
               $output = auditpol /set /subcategory:"$($categories)" /failure:enable
               if($output -eq "The command was successfully executed.") {
                   Write-Host "$($output)"
                   exit 0
               }
               else {
                   Write-Host "$($output)"
                   exit 1
               }
           }
           else {
               Write-Host "Remediation Needed. $($current | ForEach-Object {$_.Subcategory + ":" + $_.'Inclusion Setting' + ";"})."
               exit 1
           }
       }
  
  }
  catch {
       throw $_
  } 
  

Il processo

• Dopo aver abilitato gli eventi, Microsoft Defender per endpoint inizia a monitorare i dati, tra cui:

  • IP remoto
  • Porta remota
  • Porta locale
  • IP locale
  • Computer Name
  • Elaborazione tra connessioni in ingresso e in uscita

• Gli amministratori possono ora visualizzare l'attività del firewall host Windows qui. È possibile facilitare la creazione di report aggiuntivi scaricando lo script di creazione di report personalizzati per monitorare le attività del firewall di Windows Defender tramite Power BI.

  • Possono essere necessari fino a 12 ore prima che i dati vengano riflessi.

Scenari supportati

• Creazione di report del firewall
• Da "Computer con una connessione bloccata" al dispositivo (richiede Defender per Endpoint Piano 2)
• Eseguire il drill-in della ricerca avanzata (aggiornamento dell'anteprima) (richiede Defender per endpoint Piano 2)

Creazione di report del firewall

Di seguito sono riportati alcuni esempi delle pagine del report del firewall. Qui è disponibile un riepilogo dell'attività in ingresso, in uscita e dell'applicazione. È possibile accedere direttamente a questa pagina passando a https://security.microsoft.com/firewall.

È anche possibile accedere a questi report passando aDispositivireport> di sicurezza report> di sicurezza (sezione) nella parte inferiore della scheda Firewall bloccato in ingresso Connections.

Da "Computer con una connessione bloccata" al dispositivo

Le schede supportano oggetti interattivi. È possibile analizzare l'attività di un dispositivo facendo clic sul nome del dispositivo, che avvierà il portale di Microsoft Defender in una nuova scheda e passando direttamente alla scheda Sequenza temporale dispositivo.

È ora possibile selezionare la scheda Sequenza temporale , che fornirà un elenco di eventi associati a tale dispositivo.

Dopo aver fatto clic sul pulsante Filtri nell'angolo in alto a destra del riquadro di visualizzazione, selezionare il tipo di evento desiderato. In questo caso, selezionare Eventi del firewall e il riquadro verrà filtrato in Eventi firewall.

Eseguire il drill-in della ricerca avanzata (aggiornamento dell'anteprima)

I report del firewall supportano il drill-from the card direttamente in Ricerca avanzata facendo clic sul pulsante Apri ricerca avanzata . La query è prepopolata.

È ora possibile eseguire la query e esplorare tutti gli eventi firewall correlati degli ultimi 30 giorni.

Per altri report o modifiche personalizzate, la query può essere esportata in Power BI per un'ulteriore analisi. È possibile facilitare la creazione di report personalizzati scaricando lo script di creazione di report personalizzati per monitorare le attività del firewall di Windows Defender tramite Power BI.