Criteri avviso in Microsoft 365

È possibile usare i criteri di avviso e il dashboard degli avvisi nel Portale di conformità di Microsoft Purview o nel portale di Microsoft Defender per creare criteri di avviso e quindi visualizzare gli avvisi generati quando gli utenti eseguono attività che corrispondono alle condizioni di un criterio di avviso. Esistono diversi criteri di avviso predefiniti che consentono di monitorare attività come l'assegnazione di privilegi di amministratore in Exchange Online, attacchi malware, campagne di phishing e livelli insoliti di eliminazioni di file e condivisione esterna.

I criteri di avviso consentono di categorizzare gli avvisi attivati da un criterio, applicare il criterio a tutti gli utenti dell'organizzazione, impostare un livello di soglia per l'attivazione di un avviso e decidere se ricevere notifiche tramite posta elettronica quando vengono attivati gli avvisi. È anche disponibile una pagina Avvisi in cui è possibile visualizzare e filtrare gli avvisi, impostare uno stato di avviso per gestire gli avvisi e quindi ignorare gli avvisi dopo aver risolto o risolto l'evento imprevisto sottostante.

Come funzionano i criteri di avviso

Ecco una rapida panoramica del funzionamento dei criteri di avviso e degli avvisi attivati quando l'attività dell'utente o dell'amministratore corrisponde alle condizioni di un criterio di avviso.

1. Un amministratore dell'organizzazione crea, configura e attiva un criterio di avviso usando la pagina Criteri di avviso nel portale di conformità o nel portale di Microsoft Defender. È anche possibile creare criteri di avviso usando il cmdlet New-ProtectionAlert in PowerShell sicurezza & conformità.

   Per creare criteri di avviso, è necessario assegnare il ruolo Gestisci avvisi o il ruolo Configurazione organizzazione nel portale di conformità o nel portale di Defender.

   Nota

   La creazione o l'aggiornamento di un criterio di avviso richiede fino a 24 ore prima che gli avvisi possano essere attivati dai criteri. Il motivo è che i criteri devono essere sincronizzati con il motore di rilevamento degli avvisi.

2. Un utente esegue un'attività che corrisponde alle condizioni di un criterio di avviso. Nel caso di attacchi malware, i messaggi di posta elettronica infetti inviati agli utenti dell'organizzazione attivano un avviso.

3. Microsoft 365 genera un avviso visualizzato nella pagina Avvisi nel portale di conformità o nel portale di Defender. Inoltre, se le notifiche tramite posta elettronica sono abilitate per i criteri di avviso, Microsoft invia una notifica a un elenco di destinatari. Gli avvisi che un amministratore o altri utenti possono visualizzare nella pagina Avvisi sono determinati dai ruoli assegnati all'utente. Per altre informazioni, vedere Autorizzazioni per il controllo degli accessi in base al ruolo necessarie per visualizzare gli avvisi.

4. Un amministratore gestisce gli avvisi nel Portale di conformità di Microsoft Purview. La gestione degli avvisi consiste nell'assegnare uno stato di avviso per tenere traccia e gestire eventuali indagini.

Impostazioni dei criteri di avviso

Un criterio di avviso è costituito da un set di regole e condizioni che definiscono l'attività di un utente o amministratore che genererà un avviso, un elenco di utenti che genereranno l'avviso se eseguono l'attività e la soglia che definisce quante volte deve essere eseguita l'attività prima che venga generato un avviso. Ai livelli si può anche assegnare una categoria e un livello di gravità. Queste due impostazioni consentono di gestire i criteri di avviso (e gli avvisi attivati quando vengono soddisfatte le condizioni dei criteri) perché è possibile filtrare in base a queste impostazioni durante la gestione dei criteri e la visualizzazione degli avvisi nel Portale di conformità di Microsoft Purview. Ad esempio, è possibile visualizzare gli avvisi che corrispondono alle condizioni della stessa categoria o visualizzare gli avvisi con lo stesso livello di gravità.

Per visualizzare e creare criteri di avviso:

• Portale di conformità di Microsoft Purview:

  Passare al portale di conformità e quindi selezionare Criteri avviso>criteri diavviso>.

  

• portale Microsoft Defender:

  Passare al portale di Microsoft Defender e in Collaborazione Email & selezionare Criteri & regole>Criteri di avviso. In alternativa, puoi passare direttamente a https://security.microsoft.com/alertpolicies.

  

Un criterio di avviso è costituito dalle impostazioni e dalle condizioni seguenti.

• Attività di rilevamento dell'avviso. È possibile creare un criterio per tenere traccia di un'attività o in alcuni casi alcune attività correlate, ad esempio la condivisione di un file con un utente esterno tramite la condivisione, l'assegnazione delle autorizzazioni di accesso o la creazione di un collegamento anonimo. Quando un utente esegue l'attività definita dal criterio, viene generato un avviso in base alle impostazioni della soglia di avviso.

  Nota

  Le attività che è possibile tenere traccia dipendono dal piano Office 365 Enterprise o Office 365 governo degli Stati Uniti dell'organizzazione. In generale, le attività correlate alle campagne malware e agli attacchi di phishing richiedono una sottoscrizione E5/G5 o una sottoscrizione E1/F1/G1 o E3/F3/G3 con una sottoscrizione del componente aggiuntivo piano 2 Defender per Office 365.

• Condizioni di attività. Per la maggior parte delle attività, è possibile definire condizioni aggiuntive che devono essere soddisfatte per attivare un avviso. Le condizioni comuni includono gli indirizzi IP (in modo che venga attivato un avviso quando l'utente esegue l'attività in un computer con un indirizzo IP specifico o all'interno di un intervallo di indirizzi IP), se viene attivato un avviso se un utente o un utente specifico esegue tale attività e se l'attività viene eseguita su un nome file o un URL specifico. È anche possibile configurare una condizione che attiva un avviso quando l'attività viene eseguita da qualsiasi utente dell'organizzazione. Le condizioni disponibili dipendono dall'attività selezionata.

È anche possibile definire i tag utente come condizione di un criterio di avviso. Questa definizione comporta che gli avvisi attivati dai criteri includano il contesto dell'utente interessato. È possibile usare tag utente di sistema o tag utente personalizzati. Per altre informazioni, vedere Tag utente in Microsoft Defender per Office 365.

• Quando viene attivato l'avviso. È possibile configurare un'impostazione che definisce la frequenza con cui un'attività può verificarsi prima dell'attivazione di un avviso. In questo modo è possibile configurare un criterio per generare un avviso ogni volta che un'attività corrisponde alle condizioni dei criteri, quando viene superata una determinata soglia o quando l'occorrenza dell'attività di rilevamento dell'avviso diventa insolita per l'organizzazione.

  

  Se si seleziona l'impostazione in base a un'attività insolita, Microsoft stabilisce un valore di base che definisce la frequenza normale per l'attività selezionata. La definizione di questa baseline richiede fino a sette giorni, durante i quali non vengono generati avvisi. Dopo aver stabilito la baseline, viene attivato un avviso quando la frequenza dell'attività rilevata dai criteri di avviso supera notevolmente il valore previsto. Per le attività correlate al controllo,ad esempio le attività di file e cartelle, è possibile stabilire una baseline basata su un singolo utente o su tutti gli utenti dell'organizzazione. per le attività correlate al malware, è possibile stabilire una baseline basata su una singola famiglia di malware, un singolo destinatario o tutti i messaggi nell'organizzazione.

  Nota

  La possibilità di configurare criteri di avviso in base a una soglia o a un'attività insolita richiede una sottoscrizione E5/G5 o una sottoscrizione E1/F1/G1 o E3/F3/G3 con una sottoscrizione del componente aggiuntivo Microsoft Defender per Office 365 P2, Microsoft 365 E5 Compliance o Microsoft 365 eDiscovery e Audit. Le organizzazioni con una sottoscrizione E1/F1/G1 e E3/F3/G3 possono creare solo criteri di avviso in cui viene attivato un avviso ogni volta che si verifica un'attività.

• Categoria di avvisi. Per facilitare il rilevamento e la gestione degli avvisi generati da un criterio, è possibile assegnare una delle categorie seguenti a un criterio.

  • Prevenzione della perdita dei dati
  • Governance delle informazioni
  • Flusso di posta
  • Autorizzazioni
  • Gestione dei rischi
  • Altri

  Quando si verifica un'attività che corrisponde alle condizioni dei criteri di avviso, l'avviso generato viene contrassegnato con la categoria definita in questa impostazione. In questo modo è possibile tenere traccia e gestire gli avvisi con la stessa impostazione di categoria nella pagina Avvisi del portale di Microsoft Purview perché è possibile ordinare e filtrare gli avvisi in base alla categoria.

• Gravità dell'avviso. Analogamente alla categoria di avviso, si assegna un attributo di gravità (basso, medio, alto o informativo) ai criteri di avviso. Alo stesso modo della categoria di avviso, quando viene eseguita un'attività che corrisponde alle condizioni del criterio di avviso, l'avviso generato viene contrassegnato con lo stesso livello di gravità impostato per il criterio di avviso. Anche in questo caso, questo consente di tenere traccia e gestire gli avvisi con la stessa impostazione di gravità nella pagina Avvisi . Ad esempio, è possibile filtrare l'elenco degli avvisi in modo che vengano visualizzati solo gli avvisi con gravità elevata .

  Consiglio

  Quando si configurano criteri di avviso, valutare la possibilità di assegnare una gravità più elevata alle attività che possono comportare conseguenze gravemente negative, ad esempio il rilevamento di malware dopo il recapito agli utenti, la visualizzazione di dati sensibili o classificati, la condivisione di dati con utenti esterni o altre attività che possono comportare la perdita di dati o minacce alla sicurezza. Ciò consente di assegnare priorità agli avvisi e alle azioni eseguite per analizzare e risolvere le cause sottostanti.

• Indagini automatizzate. Alcuni avvisi attivano indagini automatizzate per identificare potenziali minacce e rischi che necessitano di correzione o mitigazione. Nella maggior parte dei casi questi avvisi vengono attivati dal rilevamento di messaggi di posta elettronica o attività dannose, ma in alcuni casi vengono attivati da azioni di amministratore nel portale di sicurezza. Per altre informazioni sulle indagini automatizzate, vedere Analisi automatizzata e risposta (AIR) in Microsoft Defender per Office 365.

• Email notifiche. È possibile configurare i criteri in modo che le notifiche tramite posta elettronica vengano inviate (o non inviate) a un elenco di utenti quando viene attivato un avviso. È anche possibile impostare un limite di notifica giornaliero in modo che, una volta raggiunto il numero massimo di notifiche, non vengano più inviate notifiche per l'avviso durante quel giorno. Oltre alle notifiche tramite posta elettronica, l'utente o altri amministratori possono visualizzare gli avvisi attivati da un criterio nella pagina Avvisi . Valutare la possibilità di abilitare le notifiche tramite posta elettronica per i criteri di avviso di una categoria specifica o con un'impostazione di gravità più elevata.

Criteri di avviso predefiniti

Microsoft fornisce criteri di avviso predefiniti che consentono di identificare gli abusi delle autorizzazioni di amministratore di Exchange, le attività di malware, le potenziali minacce esterne e interne e i rischi di governance delle informazioni. Nella pagina Criteri di avviso i nomi di questi criteri predefiniti sono in grassetto e il tipo di criterio è definito come Sistema. Questi criteri sono attivati per impostazione predefinita. È possibile disattivare questi criteri (o riattivarli di nuovo), configurare un elenco di destinatari a cui inviare notifiche tramite posta elettronica e impostare un limite di notifica giornaliero. Le altre impostazioni per questi criteri non possono essere modificate.

Le tabelle seguenti elencano e descrivono i criteri di avviso predefiniti disponibili e la categoria a cui sono assegnati i criteri. La categoria viene usata per determinare gli avvisi che un utente può visualizzare nella pagina Avvisi. Per altre informazioni, vedere Autorizzazioni per il controllo degli accessi in base al ruolo necessarie per visualizzare gli avvisi.

Le tabelle indicano anche le Office 365 Enterprise e Office 365 piano del governo degli Stati Uniti necessario per ognuna di esse. Alcuni criteri di avviso predefiniti sono disponibili se l'organizzazione ha la sottoscrizione del componente aggiuntivo appropriata oltre a una sottoscrizione E1/F1/G1 o E3/F3/G3.

Criteri di avviso per la governance delle informazioni

Criteri di avviso del flusso di posta

Criteri di avviso per le autorizzazioni

Criteri di avviso per la gestione delle minacce

¹ Questo criterio di avviso fa parte della funzionalità di sostituzione per il phish recapitato a causa dell'override del tenant o dell'utente e del phish di rappresentazione utente recapitato ai criteri di avviso della cartella/posta in arrivo che sono stati rimossi in base al feedback degli utenti. Per altre informazioni sull'anti-phishing in Office 365, vedere Criteri anti-phishing.

Visualizzare gli avvisi

Quando un'attività eseguita dagli utenti dell'organizzazione corrisponde alle impostazioni di un criterio di avviso, viene generato e visualizzato un avviso nella pagina Avvisi nel portale di Microsoft Purview o nel portale di Defender. A seconda delle impostazioni di un criterio di avviso, viene inviata anche una notifica tramite posta elettronica a un elenco di utenti specificati quando viene attivato un avviso. Per ogni avviso, il dashboard nella pagina Avvisi visualizza il nome dei criteri di avviso corrispondenti, la gravità e la categoria dell'avviso (definiti nei criteri di avviso) e il numero di volte in cui si è verificata un'attività che ha generato l'avviso. Questo valore si basa sull'impostazione di soglia dei criteri di avviso. Il dashboard mostra anche lo stato di ogni avviso. Per altre informazioni sull'uso della proprietà status per gestire gli avvisi, vedere Gestione degli avvisi.

Per visualizzare gli avvisi:

Portale di conformità di Microsoft Purview

Passare a https://compliance.microsoft.com e quindi selezionare Avvisi. In alternativa, puoi passare direttamente a https://compliance.microsoft.com/compliancealerts.

Portale di Microsoft Defender

Passare a https://security.microsoft.com e quindi selezionare Eventi imprevisti & avvisi>avvisi. In alternativa, puoi passare direttamente a https://security.microsoft.com/alerts.

È possibile usare i filtri seguenti per visualizzare un subset di tutti gli avvisi nella pagina Avvisi :

• Stato: mostra gli avvisi a cui viene assegnato uno stato specifico. Lo stato predefinito è Attivo. L'utente o altri amministratori possono modificare il valore di stato.
• Criterio: mostra gli avvisi che corrispondono all'impostazione di uno o più criteri di avviso. In alternativa, è possibile visualizzare tutti gli avvisi per tutti i criteri di avviso.
• Intervallo di tempo: mostra gli avvisi generati all'interno di un intervallo di data e ora specifico.
• Gravità: mostra gli avvisi a cui è assegnata una gravità specifica.
• Categoria: mostra avvisi da una o più categorie di avvisi.
• Tag:Mostra avvisi da uno o più tag utente. I tag vengono riflessi in base alle cassette postali con tag o agli utenti visualizzati negli avvisi. Per altre informazioni, vedere Tag utente in Defender per Office 365.
• Origine: usare questo filtro per visualizzare gli avvisi attivati dai criteri di avviso nel portale di Microsoft Purview o gli avvisi attivati dai criteri di Microsoft Defender for Cloud Apps o da entrambi. Per altre informazioni sugli avvisi Defender for Cloud Apps, vedere la sezione Visualizza avvisi Defender for Cloud Apps in questo articolo.

Aggregazione degli avvisi

Quando si verificano più eventi che corrispondono alle condizioni di un criterio di avviso con un breve periodo di tempo, vengono aggiunti a un avviso esistente da un processo denominato aggregazione degli avvisi. Quando un evento attiva un avviso, l'avviso viene generato e visualizzato nella pagina Avvisi e viene inviata una notifica. Se lo stesso evento si verifica entro l'intervallo di aggregazione, Microsoft 365 aggiunge i dettagli sul nuovo evento all'avviso esistente anziché attivare un nuovo avviso. L'obiettivo dell'aggregazione degli avvisi è ridurre la fatica degli avvisi e consentire di concentrarsi e intervenire su un minor numero di avvisi per lo stesso evento.

La lunghezza dell'intervallo di aggregazione dipende dalla sottoscrizione Office 365 o Microsoft 365.

Quando si verificano eventi che corrispondono agli stessi criteri di avviso nell'intervallo di aggregazione, i dettagli sull'evento successivo vengono aggiunti all'avviso originale. Per tutti gli eventi, le informazioni sugli eventi aggregati vengono visualizzate nel campo dei dettagli e il numero di volte in cui un evento si è verificato con l'intervallo di aggregazione viene visualizzato nel campo numero di attività/riscontri. È possibile visualizzare altre informazioni su tutte le istanze di eventi aggregati visualizzando l'elenco attività.

Lo screenshot seguente mostra un avviso con quattro eventi aggregati. L'elenco di attività contiene informazioni sui quattro messaggi di posta elettronica pertinenti all'avviso.

Tenere presente quanto segue sull'aggregazione degli avvisi:

• Gli avvisi attivati dal clic url potenzialmente dannoso rilevato criteri di avviso predefiniti non sono aggregati. Questo comportamento si verifica perché gli avvisi attivati da questo criterio sono univoci per ogni utente e messaggio di posta elettronica.

• In questo momento, la proprietà avviso Numero di riscontri non indica il numero di eventi aggregati per tutti i criteri di avviso. Per gli avvisi attivati da questi criteri di avviso, è possibile visualizzare gli eventi aggregati facendo clic su Visualizza elenco messaggi o Visualizza attività nell'avviso. Si sta lavorando per rendere disponibile il numero di eventi aggregati elencati nella proprietà avviso Numero di riscontri per tutti i criteri di avviso.

Autorizzazioni per il controllo degli accessi in base al ruolo necessarie per visualizzare gli avvisi

Le autorizzazioni RBAC (Role Based Controllo di accesso) assegnate agli utenti dell'organizzazione determinano gli avvisi che un utente può visualizzare nella pagina Avvisi. Come si ottiene questo risultato? I ruoli di gestione assegnati agli utenti (in base all'appartenenza ai gruppi di ruoli nel portale di conformità o nel portale di Microsoft Defender) determinano le categorie di avviso che un utente può visualizzare nella pagina Avvisi. Ecco alcuni esempi:

• I membri del gruppo di ruoli Gestione record possono visualizzare solo gli avvisi generati dai criteri di avviso assegnati alla categoria Governance delle informazioni.
• I membri del gruppo di ruoli Amministratore conformità non possono visualizzare gli avvisi generati dai criteri di avviso assegnati alla categoria di gestione delle minacce.
• I membri del gruppo di ruoli Manager eDiscovery non possono visualizzare alcun avviso perché nessuno dei ruoli assegnati fornisce l'autorizzazione per visualizzare gli avvisi da qualsiasi categoria di avviso.

Questa progettazione (basata sulle autorizzazioni per il controllo degli accessi in base al ruolo) consente di determinare quali avvisi possono essere visualizzati (e gestiti) dagli utenti in ruoli di processo specifici nell'organizzazione.

Nella tabella seguente sono elencati i ruoli necessari per visualizzare gli avvisi dalle sei diverse categorie di avvisi. Un segno di spunta indica che un utente a cui è assegnato tale ruolo può visualizzare gli avvisi dalla categoria di avviso corrispondente elencata nella riga del titolo.

Per vedere a quale categoria è assegnato un criterio di avviso predefinito, vedere le tabelle in Criteri di avviso predefiniti.

$RoleGroups = Get-RoleGroup

$RoleGroups | foreach {Write-Output -InputObject `r`n,$_.Name,("-"*25); Get-RoleGroup $_.Identity | Select-Object -ExpandProperty Roles}

Gestire gli avvisi

Dopo che gli avvisi sono stati generati e visualizzati nella pagina Avvisi nel portale di Microsoft Purview, è possibile valutare, analizzare e risolverli. Le stesse autorizzazioni per il controllo degli accessi in base al ruolo che consentono agli utenti di accedere agli avvisi offrono anche la possibilità di gestire gli avvisi.

Ecco alcune attività che è possibile eseguire per gestire gli avvisi.

• Assegnare uno stato agli avvisi: è possibile assegnare uno degli stati seguenti agli avvisi: Attivo (valore predefinito), Analisi, Risolto o Ignorato. È quindi possibile filtrare in base a questa impostazione per visualizzare gli avvisi con la stessa impostazione di stato. Questa impostazione di stato consente di tenere traccia del processo di gestione degli avvisi.

• Visualizzare i dettagli dell'avviso: è possibile selezionare un avviso per visualizzare una pagina a comparsa con i dettagli sull'avviso. Le informazioni dettagliate dipendono dai criteri di avviso corrispondenti, ma in genere includono le informazioni seguenti:

  • Nome dell'operazione effettiva che ha attivato l'avviso, ad esempio un cmdlet o un'operazione del log di controllo.
  • Descrizione dell'attività che ha attivato l'avviso.
  • L'utente (o l'elenco di utenti) che ha attivato l'avviso. Questa opzione è inclusa solo per i criteri di avviso configurati per tenere traccia di un singolo utente o di una singola attività.
  • Numero di volte in cui è stata eseguita l'attività rilevata dall'avviso. Questo numero potrebbe non corrispondere al numero effettivo di avvisi correlati elencati nella pagina Avvisi perché potrebbero essere stati attivati altri avvisi.
  • Collegamento a un elenco di attività che include un elemento per ogni attività eseguita che ha attivato l'avviso. Ogni voce in questo elenco identifica quando si è verificata l'attività, il nome dell'operazione effettiva (ad esempio "FileDeleted"), l'utente che ha eseguito l'attività, l'oggetto (ad esempio un file, un caso di eDiscovery o una cassetta postale) su cui è stata eseguita l'attività e l'indirizzo IP del computer dell'utente. Per gli avvisi correlati al malware, questo collegamento è collegato a un elenco di messaggi.
  • Nome (e collegamento) dei criteri di avviso corrispondenti.

• Elimina le notifiche tramite posta elettronica: è possibile disattivare (o eliminare) le notifiche tramite posta elettronica dalla pagina a comparsa per un avviso. Quando si eliminano le notifiche tramite posta elettronica, Microsoft non invia notifiche quando si verificano attività o eventi che corrispondono alle condizioni dei criteri di avviso. Tuttavia, gli avvisi verranno attivati quando le attività eseguite dagli utenti corrispondono alle condizioni dei criteri di avviso. È anche possibile disattivare le notifiche tramite posta elettronica modificando i criteri di avviso.

• Risolvere gli avvisi: è possibile contrassegnare un avviso come risolto nella pagina a comparsa per un avviso ,che imposta lo stato dell'avviso su Risolto. A meno che non si modifi chi il filtro, gli avvisi risolti non vengono visualizzati nella pagina Avvisi .

Visualizzare gli avvisi Defender for Cloud Apps

Gli avvisi attivati dai criteri di Defender for Cloud Apps vengono ora visualizzati nella pagina Avvisi del portale di Microsoft Purview. Sono inclusi gli avvisi attivati da criteri attività e avvisi attivati da criteri di rilevamento anomalie in Defender for Cloud Apps. Ciò significa che è possibile visualizzare tutti gli avvisi nel portale di Microsoft Purview. Defender for Cloud Apps è disponibile solo per le organizzazioni con un abbonamento Office 365 Enterprise E5 o Office 365 US Government G5. Per altre informazioni, vedere Panoramica di Defender for Cloud Apps.

Le organizzazioni che hanno Microsoft Defender for Cloud Apps come parte di una sottoscrizione Enterprise Mobility + Security E5 o come servizio autonomo possono anche visualizzare Defender for Cloud Apps avvisi correlati alle app e ai servizi di Microsoft 365 nel conformità o il portale di Microsoft Defender.

Per visualizzare solo Defender for Cloud Apps avvisi nel portale di Microsoft Purview o nel portale di Defender, usare il filtro Origine e selezionare Defender for Cloud Apps.

Analogamente a un avviso attivato da un criterio di avviso nel portale di Microsoft Purview, è possibile selezionare un avviso Defender for Cloud Apps per visualizzare una pagina a comparsa con i dettagli sull'avviso. L'avviso include un collegamento per visualizzare i dettagli e gestire l'avviso nel portale di Defender for Cloud Apps e un collegamento ai criteri di Defender for Cloud Apps corrispondenti che hanno attivato l'avviso. Vedere Monitorare gli avvisi in Defender for Cloud Apps.