integrazione Microsoft Defender XDR con Microsoft Sentinel

Questo articolo descrive come Microsoft Defender XDR servizi si integrano con Microsoft Sentinel, sia nel portale di Microsoft Defender che nel portale di Azure.

• Se hai eseguito l'onboarding per la prima volta in Microsoft Sentinel dopo il 1° luglio 2025 con le autorizzazioni di Proprietario di una sottoscrizione o di Amministratore accesso utenti, la tua area di lavoro viene registrata automaticamente nel portale Defender. In questi casi, si usa Microsoft Sentinel solo nel portale di Defender, in cui i dati possono essere integrati direttamente con i dati del servizio Defender XDR per le operazioni di sicurezza unificata.

• Se invece usi il portale di Azure oltre al portale Defender o al posto del portale Defender, integra Microsoft Defender XDR con Microsoft Sentinel. L'integrazione dei servizi invia tutti gli incidenti di Defender XDR e gli eventi di ricerca avanzata a Microsoft Sentinel e mantiene sincronizzati incidenti ed eventi tra i portali di Azure e di Microsoft Defender.

Gli incidenti di Defender XDR includono tutti gli avvisi, le entità e le informazioni pertinenti associati, fornendoti un contesto sufficiente per effettuare il triage e l'indagine preliminare in Microsoft Sentinel. Una volta in Microsoft Sentinel, gli eventi imprevisti rimangono sincronizzati in modo bidirezionale con Defender XDR, consentendo di sfruttare i vantaggi di entrambi i portali nell'indagine sugli eventi imprevisti.

Microsoft Sentinel e Defender XDR

Usare uno dei metodi seguenti per integrare Microsoft Sentinel con i servizi Microsoft Defender XDR:

• Acquisire i dati del servizio Microsoft Defender XDR in Microsoft Sentinel e visualizzare i dati di Microsoft Sentinel nel portale Azure. Abilitare il connettore Defender XDR in Microsoft Sentinel.

• Integrare Microsoft Sentinel e Defender XDR direttamente nel portale di Microsoft Defender. In questo caso, visualizzare i dati Microsoft Sentinel direttamente con il resto degli eventi imprevisti, degli avvisi, delle vulnerabilità e di altri dati di sicurezza di Defender. A tale scopo, è necessario eseguire l'onboarding di Microsoft Sentinel nel portale di Defender.

Selezionare la scheda appropriata per visualizzare l'aspetto dell'integrazione Microsoft Sentinel con Defender XDR a seconda del metodo di integrazione usato.

Correlazione e avvisi degli eventi imprevisti

Con l'integrazione di Defender XDR con Microsoft Sentinel, gli incidenti di Defender XDR sono visibili e gestibili direttamente da Microsoft Sentinel. Questo consente di avere una coda principale degli incidenti per l'intera organizzazione. Visualizza e correla gli incidenti di Defender XDR insieme agli incidenti di tutti gli altri sistemi cloud e locali. Allo stesso tempo, questa integrazione consente di sfruttare i punti di forza e le funzionalità uniche di Defender XDR per indagini approfondite e un'esperienza specifica di Defender nell'ecosistema Microsoft 365.

Defender XDR arricchisce e raggruppa gli avvisi da più prodotti Microsoft Defender, riducendo le dimensioni della coda degli eventi imprevisti del SOC e riducendo i tempi di risoluzione. Anche gli avvisi dei seguenti Microsoft Defender prodotti e servizi sono inclusi nell'integrazione di Defender XDR a Microsoft Sentinel:

• Microsoft Defender per endpoint
• Microsoft Defender per identità
• Microsoft Defender per Office 365
• Microsoft Defender for Cloud Apps

Altri servizi i cui avvisi vengono raccolti da Defender XDR includono:

• Prevenzione della perdita dei dati di Microsoft Purview
• Microsoft Entra ID Protection
• Gestione dei rischi insider di Microsoft Purview

Limitazioni per l'inserimento dati

Sebbene la maggior parte dei flussi di dati di Defender XDR venga inviata a Microsoft Sentinel, alcune tabelle di ricerca avanzata non vengono acquisite. In particolare, le tabelle Gestione delle vulnerabilità di Defender (TVM) come DeviceTvmSoftwareInventory e DeviceTvmSoftwareVulnerabilities vengono visualizzate nello schema Microsoft Sentinel, ma i dati TVM non vengono inseriti in aree di lavoro Microsoft Sentinel. Ciò significa che le query che usano queste tabelle restituiscono risultati in Defender XDR Ricerca avanzata, ma non restituiscono risultati in Microsoft Sentinel.

Per un elenco completo di tabelle non supportate e indicazioni sulle soluzioni di inserimento personalizzate, vedere Quali tabelle Defender XDR non sono supportate in Microsoft Sentinel.

Il connettore di Defender XDR include anche gli incidenti di Microsoft Defender per il cloud. Per sincronizzare anche avvisi ed entità da questi eventi imprevisti, è necessario abilitare il connettore Defender per cloud in Microsoft Sentinel. In caso contrario, gli incidenti di Defender per il cloud risultano vuoti. Per altre informazioni, vedere Inserimento di Microsoft Defender per eventi imprevisti cloud con integrazione Microsoft Defender XDR.

Oltre a raccogliere avvisi da questi componenti e altri servizi, Defender XDR genera avvisi propri. Crea eventi imprevisti da tutti questi avvisi e li invia a Microsoft Sentinel.

Casi d'uso e scenari comuni

Prendere in considerazione l'integrazione di Defender XDR con Microsoft Sentinel per i casi d'uso e gli scenari seguenti:

• Eseguire l'onboarding di Microsoft Sentinel nel portale di Microsoft Defender.

• Abilitare la connessione con un solo clic degli incidenti di Defender XDR, inclusi tutti gli avvisi e le entità dei componenti di Defender XDR, in Microsoft Sentinel.

• Consente la sincronizzazione bidirezionale tra gli incidenti di Microsoft Sentinel e Defender XDR relativamente a stato, proprietario e motivo di chiusura.

• Applicare Defender XDR funzionalità di raggruppamento e arricchimento degli avvisi in Microsoft Sentinel, riducendo così i tempi di risoluzione.

• Semplifica le indagini in entrambi i portali con collegamenti diretti contestuali tra un incidente di Microsoft Sentinel e il corrispondente incidente di Defender XDR.

Per altre informazioni, vedere Microsoft Sentinel nel portale di Microsoft Defender.

Connessione a Microsoft Defender XDR

La modalità di integrazione Defender XDR dipende dall'intenzione di eseguire l'onboarding di Microsoft Sentinel nel portale di Defender o di continuare a lavorare nel portale di Azure.

Integrazione del portale di Defender

Se si esegue l'onboarding di Microsoft Sentinel nel portale di Defender e si ha una licenza per Defender XDR, Microsoft Sentinel viene connesso automaticamente a Defender XDR. Il connettore dati per Defender XDR viene configurato automaticamente. Tutti i connettori dati per i provider di avvisi inclusi nel connettore Defender XDR vengono disconnessi. Sono inclusi i connettori dati seguenti:

• Microsoft Defender for Cloud Apps (avvisi)
• Microsoft Defender per i punti finali
• Microsoft Defender per identità
• Microsoft Defender per Office 365
• Microsoft Entra ID Protection (Protezione ID di Microsoft Entra)

integrazione portale di Azure

Se si vuole sincronizzare Defender XDR dati da Microsoft Sentinel nel portale di Azure, è necessario abilitare il connettore Microsoft Defender XDR in Microsoft Sentinel. Quando si abilita il connettore, vengono inviate a Microsoft Sentinel tutte le informazioni su incidenti e avvisi di Defender XDR e gli incidenti vengono mantenuti sincronizzati.

• Per prima cosa, installa la soluzione Microsoft Defender XDR per Microsoft Sentinel dall'Hub contenuti. Abilitare quindi il connettore dati Microsoft Defender XDR per raccogliere eventi imprevisti e avvisi. Per altre informazioni, vedere Connettere dati da Microsoft Defender XDR a Microsoft Sentinel.

• Dopo aver abilitato la raccolta di avvisi e incidenti nel connettore dati Defender XDR, gli incidenti di Defender XDR vengono visualizzati nella coda degli incidenti di Microsoft Sentinel poco dopo essere stati generati in Defender XDR. In condizioni operative normali, gli eventi imprevisti generati in Defender XDR vengono in genere visualizzati nell'interfaccia utente e nell'API Microsoft Sentinel entro cinque minuti. L'inserimento nella securityIncident tabella potrebbe richiedere altri minuti. In questi incidenti, il campo Nome prodotto dell'avviso contiene Microsoft Defender XDR o uno dei nomi dei servizi Defender componenti.

Costi di inserimento

Gli avvisi e gli eventi imprevisti di Defender XDR, inclusi gli elementi che popolano le tabelle SecurityAlert e SecurityIncident, vengono inseriti e sincronizzati con Microsoft Sentinel senza alcun costo. Per tutti gli altri tipi di dati dei singoli componenti di Defender, ad esempio le tabelle di ricerca avanzateDeviceInfo, DeviceFileEvents, EmailEvents e così via, viene addebitato l'inserimento.

Per altre informazioni, vedere Pianificare i costi e comprendere Microsoft Sentinel prezzi e fatturazione.

Comportamento di inserimento dati

Gli avvisi creati da prodotti integrati Defender XDR vengono inviati a Defender XDR e raggruppati in eventi imprevisti. Sia gli avvisi che gli eventi imprevisti passano a Microsoft Sentinel tramite il connettore Defender XDR.

L'eccezione a questo processo è Defender per il cloud. È possibile abilitare gli avvisi di Defender per il cloud basati su tenant per ricevere tutti gli avvisi e gli eventi imprevisti tramite Defender XDR oppure mantenere gli avvisi basati su sottoscrizione e promuoverli a eventi imprevisti all'interno di Microsoft Sentinel nel portale di Azure.

Per le opzioni disponibili e altre informazioni, vedere:

• Microsoft Defender per il cloud nel portale di Microsoft Defender
• Inserire incidenti di Microsoft Defender per il cloud con l'integrazione di Microsoft Defender XDR

Regole di creazione di eventi imprevisti Microsoft

Per evitare la creazione di eventi imprevisti duplicati per gli stessi avvisi, l'impostazione delle regole di creazione degli eventi imprevisti Microsoft è disattivata per i prodotti integrati Defender XDR durante la connessione Defender XDR. I prodotti integrati con Defender XDR includono Microsoft Defender per identità, Microsoft Defender per Office 365 e altro ancora. Inoltre, le regole di creazione degli incidenti di Microsoft non sono supportate nel portale Defender perché il portale Defender dispone di un proprio motore di creazione degli incidenti. Questa modifica ha i seguenti potenziali effetti:

• Filtro degli avvisi. le regole di creazione degli eventi imprevisti di Microsoft Sentinel consentono di filtrare gli avvisi che verranno usati per creare eventi imprevisti. Con queste regole disabilitate, mantenere la funzionalità di filtro degli avvisi configurando l'ottimizzazione degli avvisi nel portale di Microsoft Defender o usando le regole di automazione per eliminare o chiudere gli eventi imprevisti non desiderati.

• Titoli degli eventi imprevisti. Con il connettore Defender XDR abilitato, non è più possibile predeterminare i titoli degli eventi imprevisti. Il motore di correlazione Defender XDR presiede alla creazione di eventi imprevisti e assegna automaticamente un nome agli eventi imprevisti creati. Questa modifica può influire sulle regole di automazione create che usano il nome dell'evento imprevisto come condizione. Per evitare questo problema, usare criteri diversi dal nome dell'evento imprevisto come condizioni per attivare le regole di automazione. È consigliabile usare i tag.

• Regole di analisi pianificate. Se si usano le regole di creazione degli eventi imprevisti di Microsoft Sentinel per altre soluzioni o prodotti di sicurezza Microsoft non integrati in Defender XDR, ad esempio Gestione dei rischi Insider Microsoft Purview, e si prevede di eseguire l'onboarding nel portale di Defender, sostituire le regole di creazione degli eventi imprevisti con regole di analisi pianificate.

Se si vuole mantenere il comportamento di creazione degli incidenti in stile Sentinel per gli avvisi XDR quando si usa il portale di Defender, è possibile migrare le regole di creazione degli incidenti di Microsoft Sentinel nel raggruppamento degli avvisi in Microsoft Defender.

Lavorare con gli incidenti di Microsoft Defender XDR in Microsoft Sentinel e la sincronizzazione bidirezionale

Gli incidenti di Defender XDR vengono visualizzati nella coda degli incidenti di Microsoft Sentinel con il nome del prodotto Microsoft Defender XDR e con dettagli e funzionalità analoghi a quelli di qualsiasi altro incidente di Microsoft Sentinel. Ogni evento imprevisto contiene un collegamento all'evento imprevisto parallelo nel portale di Microsoft Defender.

Man mano che l'evento imprevisto si evolve in Defender XDR e vengono aggiunti più avvisi o entità, l'evento imprevisto Microsoft Sentinel viene aggiornato di conseguenza.

Le modifiche apportate a determinati campi o attributi di un incidente di Defender XDR, in Defender XDR o in Microsoft Sentinel, si aggiornano di conseguenza anche nella coda degli incidenti dell’altra piattaforma. La sincronizzazione avviene in entrambi i portali immediatamente dopo che la modifica all'incidente è stata applicata, senza alcun ritardo. Potrebbe essere necessario un aggiornamento per visualizzare le modifiche più recenti.

I campi seguenti vengono sincronizzati "così come sono" tra gli incidenti nel portale di Defender e in Microsoft Sentinel nel portale di Azure:

• Titolo
• Descrizione
• Productname
• Gravità
• Tag personalizzati
• AdditionalData
• Commenti (solo nuovi)
• Ultima modifica effettuata da

I campi seguenti vengono trasformati durante la sincronizzazione in modo che i relativi valori siano conformi allo schema di ogni piattaforma:

In Defender XDR, tutti gli avvisi di un evento imprevisto possono essere trasferiti a un altro, con conseguente unione degli eventi imprevisti. Quando avviene questa fusione, gli incidenti di Microsoft Sentinel riflettono le modifiche. Un incidente contiene tutti gli avvisi di entrambi gli incidenti originali e l'altro incidente viene chiuso automaticamente, con l'aggiunta del tag "redirected".

Raccolta di eventi di ricerca avanzata

Il connettore Defender XDR consente inoltre di trasmettere in Microsoft Sentinel gli eventi di ricerca avanzati, un tipo di dati di eventi non elaborati, da Defender XDR e dai relativi servizi componenti. Raccogliere eventi di ricerca avanzati da tutti i componenti Defender XDR e trasmetterli direttamente in tabelle appositamente create nell'area di lavoro Microsoft Sentinel. Queste tabelle si basano sullo stesso schema usato nel portale di Defender che consente di accedere completamente al set completo di eventi di ricerca avanzati e di consentire le attività seguenti:

• Copia facilmente in Microsoft Sentinel le query di ricerca avanzata esistenti di Microsoft Defender per endpoint/Office 365/Identity/Cloud Apps.

• Usa i log degli eventi non elaborati per ottenere ulteriori approfondimenti per gli avvisi, la ricerca proattiva e l'indagine, e correla questi eventi con quelli provenienti da altre fonti di dati in Microsoft Sentinel.

• Archiviare i log con una conservazione maggiore, oltre al Defender XDR conservazione predefinita di 30 giorni. Puoi farlo configurando la conservazione dell'area di lavoro o configurando la conservazione per tabella in Log Analytics.

Creazione di regole di rilevamento personalizzate

I rilevamenti personalizzati in Microsoft Defender sono ora il modo migliore per creare nuove regole tra Microsoft Sentinel Security Information and Event Management (SIEM) e Microsoft Defender XDR. Supporta un'esperienza unificata del centro operativo per la sicurezza (SOC) nel portale Defender e offre maggiori possibilità di miglioramento.

Con i rilevamenti personalizzati, è possibile ridurre i costi di inserimento, ottenere rilevamenti in tempo reale illimitati e trarre vantaggio dall'integrazione senza problemi con dati, funzioni e azioni di correzione Defender XDR con il mapping automatico delle entità. Microsoft Sentinel gli utenti possono comunque usare le regole di analisi, ma è consigliabile usare rilevamenti personalizzati per sfruttare le innovazioni più recenti.

Contenuto correlato

In questo documento sono stati illustrati i vantaggi dell'abilitazione del connettore Defender XDR in Microsoft Sentinel.

• Connettere dati da Microsoft Defender XDR a Microsoft Sentinel
• Per usare Microsoft Sentinel nel portale di Defender, vedere Connettere Microsoft Sentinel al portale di Microsoft Defender.
• Controllare la disponibilità di diversi tipi di dati Microsoft Defender XDR nei diversi cloud di Microsoft 365 e Azure.