Microsoft Defender: regola di riduzione della superficie di attacco per endpoint

By Mirko Peters · 2026-03-06 · Updated 2026-03-24

Rafforza gli endpoint con le regole di riduzione della superficie di attacco. Verifica l'efficacia delle regole ASR con query KQL avanzate per migliorare il rilevamento e ottimizzare le esclusioni.

Automatically translated with AI from the original post. Read the English original

Verificare le regole di riduzione della superficie di attacco è fondamentale per mantenere la postura di sicurezza della tua organizzazione. Puoi semplificare notevolmente questo processo usando KQL avanzato. Questo potente linguaggio di query ti permette di analizzare i dati in modo più efficace, con un risparmio di tempo e una maggiore accuratezza. Con KQL avanzato puoi individuare rapidamente le vulnerabilità e verificare la conformità ai criteri di sicurezza. Questo approccio non solo potenzia le tue capacità di audit, ma ti consente anche di prendere decisioni consapevoli sulla strategia di sicurezza.

Punti chiave

• Comprendi la struttura di base delle query KQL per migliorare le tue competenze di audit.
• Usa tecniche di filtro per concentrarti su regole ASR specifiche e sui dati pertinenti.
• Unisci le tabelle di dati per combinare le informazioni e ottenere una visione completa degli audit ASR.
• Usa funzioni come count() e summarize per analizzare in modo efficace tendenze e schemi.
• Stabilisci una pianificazione regolare degli audit per mantenere la conformità e la postura di sicurezza.
• Documenta accuratamente i risultati per monitorare i progressi e individuare le tendenze nel tempo.
• Migliora continuamente i processi di audit analizzando i risultati e raccogliendo feedback.
• Affronta proattivamente le lacune nei dati per garantire l'affidabilità dei dati di audit.

1. I join tra workspace sono pratici e veloci — KQL avanzato supporta i join tra più workspace, consentendo agli audit ASR di correlare eventi degli endpoint, segnali di minaccia e dati di configurazione senza un pesante lavoro di ETL.
2. Le funzioni approssimate accelerano le query su larga scala — Funzioni come approx_count_distinct e percentile_approx permettono di riepilogare enormi volumi di telemetria ASR con molto meno calcolo e una risposta quasi in tempo reale.
3. Gli operatori per serie temporali rivelano tendenze sottili — Operatori come make-series, series_fir e series_decompose aiutano a individuare la deriva graduale delle regole ASR e le eccezioni ricorrenti ai criteri che i semplici filtri non colgono.
4. L'arricchimento delle entità è integrato — KQL può arricchire al volo i dati di audit ASR con informazioni di threat intelligence, inventario dei dispositivi e attributi delle identità, producendo avvisi contestualizzati senza pipeline di arricchimento separate.
5. Il rendering e la visualizzazione riducono i falsi positivi — Usare direttamente nelle query render timechart, barchart e heatmap aiuta gli auditor a distinguere rapidamente i riscontri ASR anomali che meritano un'indagine dal rumore di fondo.
6. I limiti di query e i controlli dei costi sono precisi — KQL offre controlli a tempo di query (come take, limit e row_count_between) e diagnostica delle query, così gli auditor possono limitare l'uso delle risorse continuando a estrarre informazioni ASR utili.
7. Rilevamento avanzato di pattern con regex e sequence — Combinare regex, mv-expand e l'operatore sequence consente di identificare pattern di attacco complessi e multi-fase nei log ASR che i semplici conteggi di eventi non rileverebbero.

Configurare l'ambiente KQL avanzato

Prerequisiti di KQL

Prima di approfondire KQL avanzato, devi soddisfare alcuni prerequisiti. Innanzitutto, assicurati di avere accesso a Microsoft Defender, perché fornisce i dati necessari per le tue query. Anche la familiarità con i concetti di base della programmazione ti aiuterà a comprendere meglio KQL. Ecco alcuni prerequisiti fondamentali:

• Accesso a Microsoft Defender: questo strumento è essenziale per raccogliere dati di sicurezza.
• Conoscenza di base delle query sui dati: saper leggere e scrivere query semplici renderà più agevole il tuo percorso di apprendimento.
• Familiarità con i concetti di sicurezza: comprendere termini come vulnerabilità e conformità migliorerà la tua capacità di eseguire audit efficaci.

Strumenti per KQL

Per lavorare in modo efficiente con KQL ti servono gli strumenti giusti. Ecco alcuni strumenti consigliati per iniziare:

• Kusto Query Explorer: è uno strumento basato sul web che ti permette di scrivere e testare le query KQL in tempo reale.
• Azure Data Explorer: questa piattaforma offre un ambiente robusto per eseguire query KQL su grandi set di dati.
• Portale di Microsoft Defender: Usa questo portale per accedere ai dati e alle informazioni di sicurezza, che puoi analizzare con KQL.

Configurazione dell'ambiente

Configurare correttamente l'ambiente è fondamentale per ottenere le massime prestazioni di KQL. Segui questi passaggi per impostare l'ambiente in modo efficace:

1. Installa gli strumenti necessari: inizia installando Kusto Query Explorer e assicurati di avere accesso a Microsoft Defender.
2. Configura le origini dati: collega gli strumenti alle origini dati pertinenti. Questa connessione consente di recuperare i dati necessari per le query.
3. Ottimizza le prestazioni delle query: usa la funzione materialize per migliorare la velocità delle query, memorizzando nella cache i risultati intermedi. L'ordine degli operatori all'interno di una query KQL influisce in modo significativo sia sull'output sia sulle prestazioni. Per questo motivo, struttura le query con attenzione per ottenere i risultati migliori.

Seguendo questi passaggi, creerai una base solida per usare KQL avanzato nei tuoi audit ASR. Questa configurazione non solo semplificherà il processo di audit, ma migliorerà anche l'accuratezza dei risultati.

Query KQL per gli audit ASR

Struttura di base di una query

Quando inizi a scrivere query KQL per gli audit ASR, è essenziale comprenderne la struttura di base. Una query KQL è composta in genere da diversi elementi che lavorano insieme per recuperare i dati desiderati. Ecco gli elementi chiave di una query KQL:

• Nome della tabella: specifica l'origine dati da interrogare. Per gli audit ASR, potresti usare tabelle come DeviceEvents o AlertEvidence.
• Operatori: sono comandi che eseguono azioni sui dati. Gli operatori più comuni includono where, project e summarize.
• Filtri: puoi applicare filtri per restringere i risultati. Ad esempio, potresti filtrare per data o per regole ASR specifiche.
• Funzioni: le funzioni consentono di manipolare i dati. Puoi usarle per contare le occorrenze o calcolare medie.

La funzionalità Advanced Hunting di Microsoft Defender per endpoint consente di eseguire un'analisi dettagliata delle regole ASR tramite query KQL personalizzate. Queste query possono fornire informazioni sui rilevamenti delle regole, sui dispositivi interessati e sull'impatto sulle applicazioni.

Componenti di una query KQL

Ecco un semplice esempio di struttura di una query KQL:

DeviceEvents
| where ActionType == "ASRRuleTriggered"
| project DeviceName, Timestamp, ActionType

In questo esempio, interroghi la tabella DeviceEvents, filtri gli eventi il cui tipo di azione è "ASRRuleTriggered" e proietti solo il nome del dispositivo, il timestamp e il tipo di azione.

Funzioni comuni in KQL

KQL include diverse funzioni che potenziano le capacità di query. Ecco alcune funzioni comuni che dovresti conoscere:

• count(): questa funzione conta il numero di record che soddisfano i criteri specificati.
• distinct(): usa questa funzione per restituire i valori univoci di una colonna specificata.
• summarize: questa funzione aggrega i dati in base ai criteri specificati, consentendoti di analizzare le tendenze nel tempo.

Tecniche di query avanzate

Una volta acquisite le basi, puoi esplorare tecniche KQL avanzate per estrarre informazioni più dettagliate dai dati di audit ASR. Queste tecniche possono aiutarti a ottenere una visione più approfondita della tua postura di sicurezza.

Filtrare i dati ASR

Il filtraggio è fondamentale quando vuoi concentrarti su aspetti specifici dei dati ASR. Puoi usare più condizioni nella clausola where per affinare i risultati. Ad esempio:

DeviceEvents
| where ActionType == "ASRRuleTriggered" and Timestamp > ago(30d)
| summarize Count = count() by DeviceName

Questa query filtra le attivazioni delle regole ASR degli ultimi 30 giorni e riepiloga il numero di attivazioni per nome dispositivo.

Unione di tabelle di dati

L'unione di tabelle di dati consente di combinare informazioni provenienti da origini diverse, offrendo una visione più completa dei tuoi audit ASR. Puoi usare l'operatore join per unire le tabelle in base a un campo comune. Ecco un esempio:

DeviceEvents
| join kind=inner (Alerts) on DeviceId
| where ActionType == "ASRRuleTriggered"
| project DeviceName, AlertSeverity, Timestamp

In questa query unisci la tabella DeviceEvents con la tabella Alerts sul campo DeviceId. Questo ti permette di vedere quali avvisi corrispondono alle attivazioni delle regole ASR.

Padroneggiando queste tecniche KQL, di base e avanzate, potrai migliorare in modo sostanziale le tue capacità di audit delle ASR. Sarai in grado di ricavare informazioni significative e di prendere decisioni consapevoli sulle misure di sicurezza della tua organizzazione.

Interpretare i risultati dell'audit ASR

Capire i formati di output

Quando esegui query KQL, il formato dell'output può variare in base ai dati interrogati. Capire questi formati ti aiuta a ricavare dagli audit ASR informazioni utili da mettere in pratica. Ecco alcuni aspetti chiave da considerare:

• Il portale di Microsoft Defender fornisce report dettagliati sulle attività rilevate. Puoi monitorare l'efficacia delle regole di riduzione della superficie di attacco attraverso questi report.
• Gli avvisi vengono generati quando le regole si attivano, offrendoti visibilità immediata sulle potenziali minacce.
• Puoi consultare il Registro eventi di Windows. In particolare, filtra l'ID evento 1121 nel log Microsoft-Windows-Windows Defender/Operational per identificare le applicazioni che sarebbero state bloccate dalle regole ASR.

Analisi dei risultati ASR

Analizzare i risultati dell'audit ASR è fondamentale per misurare l'efficacia delle misure di sicurezza. Ecco come puoi condurre un'analisi approfondita:

1. Usa la modalità di controllo per raccogliere informazioni sui criteri ASR.
2. Visita il portale di Microsoft Defender e vai su "Report".
3. In "Endpoint", seleziona "Regole di riduzione della superficie di attacco".
4. Filtra le regole per visualizzare le metriche, scegliendo "Tutte" per dati completi.
5. Analizza "Rilevamenti sottoposti a audit" per valutare la necessità delle azioni che sarebbero state bloccate.
6. Verifica periodicamente tendenze e configurazioni per assicurarti che i dispositivi siano impostati correttamente.
7. Usa la pagina "Aggiungi esclusioni" per gestire i singoli riscontri delle regole ASR.

Seguendo questi passaggi, puoi analizzare efficacemente i risultati dell'audit e perfezionare le tue strategie di sicurezza.

Individuare le lacune di sicurezza

Individuare le lacune di sicurezza è una parte fondamentale del processo di audit ASR. Puoi usare le informazioni ricavate dalle query KQL per individuare le vulnerabilità della tua postura di sicurezza. Ecco alcune strategie che ti aiuteranno a individuarle:

• Cerca schemi nei dati. Ad esempio, se alcuni dispositivi attivano di frequente le regole ASR, potrebbero richiedere misure di sicurezza aggiuntive.
• Confronta nel tempo i risultati dei tuoi audit ASR. Questo confronto può rivelare se la tua postura di sicurezza sta migliorando o peggiorando.
• Usa query KQL avanzate per approfondire incidenti specifici. Ad esempio, potresti eseguire una query come DeviceEvents | where ActionType startswith 'Asr' per ricavare informazioni utili al perfezionamento dei criteri.

Individuando attivamente le lacune di sicurezza, puoi adottare misure proattive per rafforzare la sicurezza della tua organizzazione e ridurre il rischio di potenziali minacce.

Best practice per gli audit ASR

Pianificazione regolare degli audit

Stabilire una pianificazione regolare degli audit è fondamentale per mantenere l'efficacia delle regole di riduzione della superficie di attacco. Dovresti eseguire gli audit almeno ogni trimestre. Questa frequenza ti permette di restare aggiornato su eventuali cambiamenti nel panorama delle minacce. Ecco alcuni suggerimenti per impostare la pianificazione:

• Fissa date specifiche: scegli giorni precisi di ogni trimestre per eseguire gli audit. Questa coerenza ti aiuta a ricordarti dell'attività e a darle la priorità.
• Coinvolgi il tuo team: fai partecipare il team di sicurezza alla pianificazione. Il loro contributo può aiutare a individuare i momenti migliori per gli audit, in base al carico di lavoro e agli altri impegni.
• Usa promemoria automatici: sfrutta gli strumenti di calendario per impostare promemoria per i prossimi audit. L'automazione riduce il rischio di dimenticare un audit.

Documentare i risultati

Documentare i risultati durante gli audit è essenziale per monitorare i progressi e individuare le tendenze. Dovresti creare un formato strutturato per la documentazione. Valuta di includere i seguenti elementi:

• Data dell'audit: registra la data in cui si è svolto l'audit.
• Riepilogo dei risultati: riassumi i risultati principali, incluse le regole di riduzione della superficie di attacco che sono state attivate.
• Raccomandazioni: formula raccomandazioni concrete basate sui risultati. Questo passaggio garantisce che i problemi individuati vengano affrontati tempestivamente.
• Azioni di follow-up: elenca le eventuali azioni di follow-up richieste e assegna le responsabilità ai membri del team.

Mantenendo una documentazione accurata, crei una risorsa preziosa per i futuri audit. Questa risorsa può aiutarti a confrontare i risultati nel tempo e a perfezionare le tue strategie di sicurezza.

Strategie di miglioramento continuo

Il miglioramento continuo è fondamentale per un audit efficace. Dovresti rivedere regolarmente i tuoi processi di audit e apportare modifiche quando necessario. Ecco alcune strategie per migliorare i tuoi audit ASR:

1. Analizza le tendenze: cerca schemi nei risultati dei tuoi audit. Individuare i problemi ricorrenti ti aiuta a concentrarti sulle aree che richiedono miglioramenti.
2. Raccogli feedback: incoraggia il tuo team a fornire un riscontro sul processo di audit. I loro suggerimenti possono portare a miglioramenti preziosi.
3. Resta aggiornato: tieni d'occhio le ultime novità in materia di sicurezza e pratiche di audit. Partecipa a webinar, leggi articoli e frequenta forum per imparare dagli altri professionisti del settore.
4. Testa nuovi approcci: non esitare a sperimentare nuove tecniche o nuovi strumenti di audit. Testare metodi diversi può far emergere modi più efficienti per svolgere gli audit.

Adottando queste best practice puoi migliorare i tuoi audit ASR e rafforzare la postura di sicurezza complessiva. Audit regolari, documentazione accurata e un impegno costante al miglioramento ti aiuteranno a restare un passo avanti rispetto alle potenziali minacce.

Sfide comuni negli audit con KQL

Risoluzione dei problemi nelle query KQL

Quando lavori con KQL, potresti incontrare problemi che rallentano il tuo lavoro. Risolvere questi problemi nelle query è essenziale per audit efficaci. Ecco alcuni problemi comuni e le relative soluzioni:

• Errori di sintassi: controlla la presenza di refusi o sintassi errata. KQL è sensibile alla formattazione. Assicurati di usare operatori e funzioni corretti.
• Incongruenze nei tipi di dati: assicurati che i tipi di dati nelle query corrispondano a quelli attesi nel database. Ad esempio, confrontare una stringa con un numero genererà errori.
• Problemi di prestazioni: se le query sono lente, valuta di ottimizzarle. Usa la funzione summarize per ridurre la quantità di dati elaborati. Inoltre, filtra i dati il prima possibile nella query.

Suggerimento: testa sempre le query per segmenti più piccoli. Questo approccio ti aiuta a isolare i problemi in modo più efficace.

Gestire le lacune nei dati

Le lacune nei dati possono rappresentare un ostacolo significativo durante gli audit. Dati mancanti o incompleti possono portare a conclusioni inaccurate. Ecco alcune strategie per colmare queste lacune:

1. Verifiche regolari dei dati: pianifica verifiche periodiche delle fonti dati. Assicurati che tutti i flussi di dati rilevanti funzionino correttamente.
2. Uso degli avvisi: configura avvisi per i dati critici. In questo modo puoi reagire rapidamente se un dato diventa non disponibile.
3. Verifica incrociata: confronta i dati dei tuoi audit con altre fonti. Questa pratica ti aiuta a individuare discrepanze e a integrare le informazioni mancanti.

Affrontando in modo proattivo le lacune nei dati, puoi migliorare l'affidabilità dei dati di audit. Questa affidabilità è fondamentale per prendere decisioni di sicurezza consapevoli.

Garantire la conformità ASR

Garantire la conformità alle regole ASR è fondamentale per mantenere la postura di sicurezza della tua organizzazione. Ecco alcuni passaggi che puoi seguire per garantire la conformità:

• Audit regolari: esegui audit frequentemente per verificare che le regole ASR siano applicate correttamente. I controlli periodici ti aiutano a individuare eventuali scostamenti dalla conformità.
• Documentazione: conserva registrazioni dettagliate dei tuoi audit. Documentare i risultati e le azioni intraprese garantisce responsabilità e fornisce un riferimento per i futuri audit.
• Formazione: fornisci al tuo team una formazione sulle regole ASR e sull'uso di KQL. Un team ben informato è più preparato a mantenere la conformità e a rispondere alle minacce alla sicurezza.

Concentrandoti su questi aspetti, puoi rafforzare gli sforzi di conformità e migliorare la strategia di sicurezza complessiva.

In sintesi, usare KQL avanzato per gli audit ASR migliora in modo significativo il processo di audit della sicurezza. Puoi semplificare l'analisi e individuare le vulnerabilità in modo più efficace. Ecco alcuni punti chiave:

Applica queste tecniche per migliorare continuamente i tuoi processi di audit. Resta proattivo nel perfezionare le tue misure di sicurezza. La sicurezza della tua organizzazione dipende da questo! 🔒

Domande frequenti

Che cos'è Advanced KQL?

Advanced KQL (Kusto Query Language) è un potente linguaggio di query usato per analizzare grandi quantità di dati in Microsoft Defender. Ti aiuta a estrarre informazioni dai dati di sicurezza in modo efficiente.

Come inizio a usare KQL?

Inizia accedendo a Microsoft Defender e familiarizzando con Kusto Query Explorer. Esercitati a scrivere query semplici per consolidare la tua comprensione del linguaggio.

Posso automatizzare le query KQL?

Sì, puoi automatizzare le query KQL usando Azure Logic Apps o Power Automate. Questi strumenti ti permettono di pianificare le query e ricevere avvisi in base a condizioni specifiche.

Quali sono gli errori comuni in KQL?

Gli errori comuni includono errori di sintassi, incongruenze nei tipi di dati e problemi di prestazioni. Verifica sempre la struttura della query e assicurati che i tipi di dati corrispondano alle tue aspettative.

Con quale frequenza devo verificare le regole ASR?

Ti consigliamo di eseguire gli audit ASR almeno ogni trimestre. Gli audit regolari ti aiutano a mantenere una visione aggiornata della postura di sicurezza e a garantire la conformità alle regole ASR.

Quali strumenti supportano KQL?

Gli strumenti principali per KQL sono Kusto Query Explorer, Azure Data Explorer e il portale di Microsoft Defender. Forniscono ambienti per scrivere e testare le query.

Come posso migliorare le mie competenze in KQL?

Per migliorare le tue competenze in KQL, esercitati regolarmente, partecipa a sessioni di formazione e prendi parte ai forum online. Il confronto con la community può fornirti spunti e suggerimenti preziosi.

Uso di advanced hunting e defender: advanced KQL per gli audit ASR

Che cos'è "advanced KQL per gli audit ASR" e come si inserisce in advanced hunting?

Advanced KQL per gli audit ASR indica query Kusto Query Language pensate per far emergere informazioni dettagliate sulle regole di Riduzione della superficie di attacco (ASR) e sui relativi eventi di audit. In advanced hunting di Defender e in advanced hunting di Microsoft 365 Defender, queste query aiutano i team di threat hunting e gli operatori di sicurezza a individuare i dispositivi con regole in modalità audit, gli elenchi dei dispositivi interessati, le distribuzioni di criteri tramite Intune e possibili attività dannose segnalate da Microsoft Defender per endpoint.

Come verifico con le query di hunting che le regole ASR siano in modalità audit?

Usa le query di advanced hunting di Defender per recuperare i dati dei report sulle regole e degli eventi di audit che mostrano quali regole sono abilitate e in quale modalità (audit o blocco). Una query KQL tipica che fornisce informazioni dettagliate unisce i report sulle regole ASR con le tabelle dei dispositivi e degli eventi, per confermare le regole in modalità audit, visualizzare gli eventi delle regole negli ultimi 30 giorni e verificare i risultati dell'audit in diversi modi, incluso il confronto incrociato con i criteri di Intune e la telemetria di Microsoft Defender XDR.

Posso creare un rilevamento personalizzato per gli eventi ASR con Microsoft 365 Defender?

Sì, puoi creare regole di rilevamento personalizzate in Microsoft 365 Defender usando query di advanced hunting. Le query KQL che mostrano informazioni dettagliate sui vettori di attacco e sulle attività dei malware ti permettono di implementare un rilevamento personalizzato che genera avvisi per eventi ripetuti delle regole, esclusioni o eventi di audit sospetti che Microsoft consiglia di monitorare. Poi puoi trasformare questi rilevamenti in report sulle regole o in playbook di risposta automatica.

Come segnalo l'attività ASR e genero report sulle regole ASR per la conformità?

Genera il report sulle regole di Riduzione della superficie di attacco e i report sulle regole ASR interrogando le regole di rilevamento e le tabelle di advanced hunting di Defender, ed esportando gli eventi degli ultimi 30 giorni o di intervalli temporali personalizzati. Usa l'API o le funzionalità di reporting integrate in Microsoft 365 per creare dashboard che mostrino le regole abilitate, le regole in modalità audit, il numero di dispositivi interessati e le tendenze utili per ottimizzare le regole ASR e gestirne la distribuzione tramite Intune e sui dispositivi on-premises.

Quali sono i modi più comuni per verificare l'audit e ottimizzare le regole ASR in base ai risultati delle query?

Tra i diversi modi per verificare l'audit ci sono la revisione degli eventi di audit, il confronto delle regole di audit tra i dispositivi, il controllo dei criteri Intune e dello stato di distribuzione, e la ricerca di minacce con query di hunting avanzate, per assicurarsi che la modalità audit non lasci passare comportamenti dannosi. Usa i risultati per decidere se passare ad audit o blocco, aggiungi esclusioni dove necessario e ottimizza le regole ASR modificando le regole di protezione standard o implementando regole di rilevamento aggiuntive.

Come posso cercare minacce con KQL avanzato su Defender XDR e Microsoft Sentinel?

Scrivi query di hunting avanzate che passino da Defender for Endpoint, dai dati di Microsoft Defender XDR e dai log di Microsoft Sentinel. Correla gli eventi di audit ASR con la telemetria degli endpoint, i rilevamenti di malware e gli indicatori di rete per far emergere schemi sospetti. Questo approccio consente il threat hunting e aiuta a stabilire se gli eventi di audit corrispondono a software legittimo, richiedono esclusioni o indicano veri tentativi di attacco che necessitano di una risposta rapida.

Cosa devo includere nelle query per far emergere i dispositivi interessati e i dettagli specifici delle regole?

Includi campi come DeviceId, DeviceName, Timestamp, ActionType, RuleId, RuleName e DetectionSource nel tuo KQL. Unisci i report o gli eventi delle regole ASR con l'inventario dei dispositivi e con le tabelle di registrazione Intune per mostrare gli elenchi dei dispositivi interessati, le regole abilitate per dispositivo e se una regola è in modalità audit o blocco. Un KQL che restituisce informazioni dettagliate facilita la definizione delle priorità di intervento e l'aggiornamento dei report sulle regole.

Con quale frequenza devo eseguire le query di hunting avanzate e quanto indietro nel tempo devo interrogare (ad esempio 30 giorni)?

Esegui le query di hunting in modo continuo o secondo una pianificazione adeguata al tuo modello di minaccia; una base comune è analizzare gli ultimi 30 giorni per individuare tendenze ed eventi ricorrenti. Usa le query pianificate in Microsoft 365 Defender o tramite API per automatizzare il reporting delle regole, e adatta le finestre temporali in base alle esigenze di risposta agli incidenti o quando testi le regole in modalità audit, così da avere telemetria sufficiente prima di passare alla modalità blocco.

Come influiscono le esclusioni e la modalità blocco sugli audit ASR e cosa devono considerare le query?

Esclusioni e modalità blocco cambiano il comportamento di ASR: le esclusioni eliminano gli avvisi per le applicazioni note e legittime, mentre la modalità blocco applica la prevenzione. Le query di hunting devono tenere conto delle esclusioni filtrando o segnalando i processi esclusi e includere campi che indichino l'origine del criterio (Intune, criterio locale). Questo aiuta a interpretare correttamente gli eventi di audit e a evitare che il passaggio da audit a blocco interrompa inaspettatamente applicazioni business-critical.

Dove posso approfondire l'apprendimento di KQL e la creazione di query di hunting avanzate efficaci per ASR?

Inizia con i moduli di Microsoft Learn sull'hunting avanzato di Defender e sull'hunting avanzato di Microsoft 365 Defender, poi esercitati a costruire query KQL che restituiscano informazioni dettagliate usando dataset di esempio ed eventi reali delle regole ASR. Combina le risorse della documentazione di Microsoft Defender for Endpoint, le indicazioni di Microsoft Defender sulla riduzione della superficie di attacco e le query di hunting della community per sviluppare le competenze in threat hunting, reporting delle regole e gestione efficace delle regole ASR.

Cosa devo fare se riscontro lacune nei dati?

Se individui lacune nei dati, esegui controlli regolari sulle fonti dati. Imposta avvisi per i dati critici così da reagire rapidamente quando non sono più disponibili.