Configurare le analisi di rete autenticate in Microsoft Defender per endpoint

Overview

Le analisi di rete autenticate offrono un modo senza agente per individuare e valutare i dispositivi dell'infrastruttura di rete, ad esempio commutatori, router, controller WLAN, firewall e gateway VPN. Questo articolo illustra i prerequisiti, l'installazione dello scanner e la registrazione e i passaggi di configurazione necessari per configurare le analisi di rete autenticate e visualizzare i dispositivi individuati nell'inventario dei dispositivi.

Per altre informazioni, vedere Analisi di rete autenticate.

Prerequisiti

Per configurare i processi di analisi, è necessaria l'autorizzazione Gestisci impostazioni di sicurezza in Defender . Per altre informazioni, vedere Creare e gestire ruoli per il controllo degli accessi in base al ruolo.

Dispositivi supportati

Qualsiasi dispositivo di rete che risponde alle query SNMPv2 o SNMPv3 può essere individuato tramite analisi di rete autenticate. È consigliabile configurare tutti i dispositivi di rete per l'analisi, indipendentemente dal fornitore o dal sistema operativo.

Versioni di Windows supportate per lo scanner

Lo scanner è supportato in Windows 10, versione 1903 e Windows Server, versione 1903 e successive. Per altre informazioni, vedere Windows 10, versione 1903 e Windows Server, versione 1903

Selezionare il dispositivo scanner

Per selezionare un dispositivo che esegue le analisi di rete autenticate:

• Scegliere un dispositivo di cui è stato effettuato l'onboarding in Defender per endpoint (client o server) con una connessione di rete alla porta di gestione dei dispositivi di rete che si intende analizzare.

• Consentire il traffico SNMP tra il dispositivo di analisi di Defender for Endpoint e i dispositivi di rete di destinazione (ad esempio, tramite il firewall).

• Decidere quali dispositivi di rete vengono valutati per le vulnerabilità (ad esempio, un commutatore Cisco o un firewall Palo Alto Networks).

• Assicurarsi che SNMP di sola lettura sia abilitato in tutti i dispositivi di rete configurati per consentire al dispositivo di analisi di Defender per endpoint di eseguire query sui dispositivi di rete configurati. SNMP write non è necessario per il corretto funzionamento di questa funzionalità.

• Ottenere gli indirizzi IP dei dispositivi di rete da analizzare (o le subnet in cui vengono distribuiti questi dispositivi).

• Ottenere le credenziali SNMP dei dispositivi di rete, ad esempio Community String, noAuthNoPriv, authNoPriv, authPriv. È necessario specificare le credenziali durante la configurazione di un nuovo processo di analisi.

• Configurazione del client proxy: non è necessaria alcuna configurazione aggiuntiva oltre ai requisiti relativi al proxy del dispositivo di Defender for Endpoint.

• Per consentire l'autenticazione dello scanner e il corretto funzionamento, aggiungere i domini/URL seguenti:

  • *.security.microsoft.com
  • *.mdiot.microsoft.com
  • login.microsoftonline.com
  • *.blob.core.windows.net/networkscannerstable/*

  Nota

  Non tutti gli URL sono specificati nell'elenco documentato di Defender per endpoint della raccolta dati consentita.

Installare lo scanner

Per installare lo scanner nel dispositivo designato:

1. Nel portale di Microsoft Defender selezionare Impostazioni>Individuazione dispositivo>Scansioni autenticate.

2. Scarica lo scanner e installalo nel dispositivo di analisi designato per Defender for Endpoint.

   

Registrare lo scanner

È possibile completare la registrazione nel dispositivo di analisi designato o in qualsiasi altro dispositivo (ad esempio, il dispositivo client personale).

L'account con cui l'utente accede e il dispositivo usato per completare il processo di accesso deve trovarsi nello stesso tenant in cui viene eseguito l'onboarding del dispositivo in Microsoft Defender per endpoint.

Per completare il processo di registrazione dello scanner:

1. Copiare e seguire l'URL visualizzato nella riga di comando e usare il codice di installazione fornito per completare il processo di registrazione. Potrebbe essere necessario modificare le impostazioni del prompt dei comandi per copiare l'URL.

2. Digitare il codice e accedere usando un account Microsoft con l'autorizzazione Gestisci impostazioni di sicurezza in Defender .

Al termine, verrà visualizzato un messaggio che conferma l'accesso.

Configurare una nuova analisi di rete autenticata

Per configurare una nuova analisi di rete autenticata, seguire questa procedura:

1. Nel portale di Microsoft Defender selezionare Impostazioni>Individuazione dispositivo>Scansioni autenticate.

2. Selezionare Aggiungi nuova analisi e scegliere Analisi autenticata dal dispositivo di rete e selezionare Avanti.

   

3. Selezionare se attivare l'analisi.

4. Immettere un nome di scansione.

5. Selezionare il dispositivo di analisi: il dispositivo di onboarding usato per analizzare i dispositivi di rete.

6. Digitare Target (intervallo): gli intervalli di indirizzi IP o i nomi host che si desidera analizzare. È possibile immettere gli indirizzi o importare un file CSV. L'importazione di un file sostituisce tutti gli indirizzi aggiunti manualmente.

7. Selezionare l'intervallo di analisi: per impostazione predefinita, l'analisi viene eseguita ogni quattro ore. È possibile modificare l'intervallo di analisi o eseguirlo una sola volta selezionando Non ripetere.

8. Selezionare il metodo di autenticazione.

   È possibile selezionare Usare Azure KeyVault per fornire le credenziali: se si gestiscono le credenziali in Azure KeyVault, è possibile immettere l'URL di Azure KeyVault e il nome del segreto di Azure KeyVault a cui il dispositivo di scansione può accedere per fornire le credenziali. Il valore del segreto dipende dal metodo di autenticazione selezionato, come illustrato nella tabella seguente:

   Metodo di autenticazione	Valore del segreto di Azure Key Vault
   AuthPriv	Nome utente; AuthPassword; PrivPassword
   AuthNoPriv	Nome utente; AuthPassword
   CommunityString	CommunityString

9. Selezionare Avanti per eseguire o ignorare l'analisi di test.

10. Selezionare Avanti per esaminare le impostazioni e selezionare Invia per creare la nuova analisi autenticata del dispositivo di rete.

Analizzare e aggiungere dispositivi di rete

Durante il processo di installazione, è possibile eseguire un'analisi di test una sola volta per verificare che:

• È presente connettività tra il dispositivo di scansione di Defender for Endpoint e i dispositivi di rete di destinazione configurati.
• Le credenziali SNMP configurate sono corrette.

Ogni dispositivo di analisi può supportare fino a 1.500 indirizzi IP con esito positivo. Ad esempio, se si analizzano 10 subnet diverse in cui solo 100 indirizzi IP restituiscono risultati positivi, è possibile analizzare 1.400 indirizzi IP in più da altre subnet nello stesso dispositivo di analisi.

Se sono presenti più intervalli di indirizzi IP/subnet da analizzare, la visualizzazione dei risultati dell'analisi di test richiede alcuni minuti. È disponibile un'analisi di test per un massimo di 1.024 indirizzi.

Quando vengono visualizzati i risultati dell'analisi di test, è possibile scegliere quali dispositivi includere nell'analisi periodica. Se si ignora la visualizzazione dei risultati dell'analisi, tutti gli indirizzi IP configurati vengono aggiunti all'analisi autenticata del dispositivo di rete (indipendentemente dalla risposta del dispositivo). I risultati dell'analisi possono anche essere esportati.

Visualizzare i dispositivi di rete nell'inventario dei dispositivi

I dispositivi appena individuati vengono visualizzati nell'inventario dei dispositivi, nella nuova scheda Dispositivi di rete. Potrebbero essere necessarie fino a due ore dall'aggiunta di un processo di scansione prima che i dispositivi vengano aggiornati.