Latest / M365.FM – Podcast su Microsoft 365, Copilot e IA in italiano / Microsoft Defender for Identity spiegato: rilevare gli attacchi all’identità contro Active Directory (Doppiaggio IA)

Transcript

Microsoft Defender for Identity spiegato: rilevare gli attacchi all’identità contro Active Directory (Doppiaggio IA) · M365.FM – Podcast su Microsoft 365, Copilot e IA in italiano

• 0:00
  Pronti per dieci giorni di Microsoft R65 Copilot IA,
• 0:04
  azzurra le persone che plasmano il futuro del lavoro e le nè.
• 0:07
  Questo gennaio, M305 contorna e puntiamo ancora più, in alto.
• 0:12
  Unitevi a noi per sessioni live, demo reali e conoscenze pratiche da MVP
• 0:16
  ed esperti del settore da tutto il mondo.
• 0:18
  Niente slide generiche, niente gergo infinito.
• 0:22
  Affrontiamo le sfide reali.
• 0:23
  Copilot Studio, agenti IA, Fabric, Sicurezza, Governance e Automazione.
• 0:28
  Che siate professionisti IT, sviluppatori o leader aziendali, ci sono sessioni pensate per voi.
• 0:35
  Con dieci giorni interi potrete esplorare molteplici tecnologie e connettervi con una community globale.
• 0:40
  Seguite in diretta e portate approfondimenti pratici nella vostra organizzazione.
• 0:45
  Gennaio 2027, dieci giorni, un'unica community Microsoft.
• 0:49
  Le iscrizioni sono aperte.
• 0:51
  Prenotate il vostro post oggi.
• 0:52
  Iscrivetevi ora su m365.net.
• 1:02
  Vi aspettiamo.
• 1:03
  In diretta gennaio.
• 1:05
  Cosa succede quando un attaccante ruba una password legittima invece di forzare un firewall?
• 1:10
  Sono il vostro host, Mirko Peters, e oggi parliamo di Microsoft Defender for Identity.
• 1:13
  La maggior parte degli strumenti di sicurezza si concentra sui perimi.
• 1:16
  Monitorano malware, file sospetti, traffico di rete insolito.
• 1:20
  Ma gli attacchi e l'identità bypassano tutto questo completamente.
• 1:22
  Un attaccante con una password rubata non ha bisogno di rompere.
• 1:25
  Effettua semplicemente il login ed all'esterno tutto sembra normale.
• 1:28
  Alla fine di questo episodio capirete cos'è davvero Microsoft Defender for Identity,
• 1:32
  perché esiste e come monitora.
• 1:34
  Le minacce che i sistemi tradizionali ignorano.
• 1:37
  Cominciamo col dire perché la sicurezza dell'identità è diventata il nuovo campo di battaglia.
• 1:40
  Il problema della sicurezza dell'identità
• 1:42
  Proteggere una rete significava chiudere l'edificio.
• 1:46
  Si configurava un firewall, si eseguiva l'antivirus ogni macchina
• 1:48
  e si consigliava a tutti di usare password forti.
• 1:51
  Funzionava piuttosto bene allora, perché gli attaccanti dovevano superare le vostre difese per entrare.
• 1:55
  Dovevano trovare una vulnerabilità, sfruttarla e poi muoversi all'interno della rete.
• 1:59
  Il perimetro era il muro e il muro era solido, ma il punto è che quell'approccio non funziona più.
• 2:03
  Gli attaccanti non ne rompono e effettuano semplicemente l'accesso.
• 2:06
  Recuperano una password legittima tramite phishing, una violazione dei dati, un semplice tentativo
• 2:09
  e poi entrano dalla porta principale.
• 2:11
  Le credenziali compromesse sono ora dietro il 79% degli attacchi ransom.
• 2:15
  Non è un problema di nicchie.
• 2:16
  È il modo principale in cui gli attaccanti entrano e i numeri sono seri.
• 2:19
  Il 70% delle organizzazioni ha subito almeno una violazione di sicurezza legata all'identità nel 2025.
• 2:24
  Costo medio di recupero, 1,64 milioni.
• 2:26
  Non è solo il riscatto, il tempo di inattività, l'indagine forense, le spese legali,
• 2:29
  le multe normative e il danno reputazionale.
• 2:32
  Per le aziende di medie dimensioni il costo medio è ancora di 750 mila dollari.
• 2:36
  Quindi non si tratta di un rischio teorico, sta accadendo ovunque.
• 2:38
  Ecco il problema principale.
• 2:40
  I tradizionali strumenti di sicurezza controllano malware, file sospetti e connessioni di rete insolite,
• 2:45
  ma non comprendono il comportamento degli utenti, non sanno distinguere se un accesso sia normale o sospetto.
• 2:49
  Un attaccante con una password rubata sembra esattamente un utente legittimo.
• 2:52
  Lo stesso nome utente, la stessa password, lo stesso processo di autenticazione.
• 2:55
  L'unica differenza è l'interno.
• 2:57
  E se non si monitorano i comportamenti anomali, non ci si accorge del problema finché non è troppo tardi.
• 3:01
  È questa la lacuna che Defender for Identity si è soccorato per colmato.
• 3:04
  Controlla chi dovrebbe controllare.
• 3:05
  Monitora l'infrastruttura d'identità, impara cosa sia normale per ogni utente dispositivo
• 3:09
  e segnala tutto ciò che non rientra nella norma.
• 3:11
  Non cerca malware, cerca comportamenti che non hanno senso.
• 3:15
  Quindi cos'è esattamente Defender for Identity e come funziona?
• 3:18
  Cos'è Defender for Identity?
• 3:20
  Ecco la definizione più semplice.
• 3:21
  Microsoft Defender for Identity è uno strumento di sicurezza basato su cloud
• 3:25
  che monitora l'active directory locale per rilevare attacchi basati sull'identità.
• 3:28
  Nota che non detto entra i B, è un comune motivo di confusione.
• 3:31
  Defender for Identity si concentra sulla tua infrastruttura d'identità locale,
• 3:35
  inclusi domain controller, active directory e server ADFS.
• 3:38
  Si tratta di elementi che risiedono nel tuo data center o sui tuoi server.
• 3:41
  Non è una soluzione esclusivamente cloud.
• 3:43
  Ora come funziona?
• 3:44
  Utilizza l'analisi comportamentale.
• 3:46
  Impara cosa sia normale per ogni utente e dispositivo segnalando poi tutto ciò che è insolito.
• 3:50
  Immaginalo come una guardia di sicurezza che conosce la routine di ogni penne.
• 3:52
  Sa chi arriva alle 8, chi lavora fino a tardi e chi accede alla sala server.
• 3:57
  Se qualcuno si presenta alle 3 del mattino cercando di aprire la porta della sala server,
• 4:00
  la guardia se ne accorge immediatamente.
• 4:02
  È esattamente ciò che fa Defender for Identity, ma per il tuo ambiente digitale?
• 4:05
  Chiariamo cosa non è questo strumento.
• 4:07
  Non è un antivirus, non è un firewall, non è una soluzione di patch management.
• 4:11
  È il rilevamento delle minacce all'identità, una categoria completamente diversa.
• 4:14
  Non cerca file dannosi, cerca comportamenti dannosi.
• 4:16
  E questa distinzione è importante, perché gli attacchi più pericolosi oggi non usano affatto malware,
• 4:21
  ma credenziali legittime.
• 4:23
  Defender for Identity si trova all'interno di Microsoft Defender XDR,
• 4:26
  la piattaforma di rilevamento e risposta estesa di Microsoft.
• 4:29
  In pratica ciò significa che condividi i segnali con
• 4:30
  Defender for Endpoint, Defender for Office 365 e Microsoft Sentinel.
• 4:35
  Quindi quando Defender for Identity rileva un accesso sospetto su un controller di dominio,
• 4:39
  può incrociarlo con un'email di phishing rilevata da Defender for Office 365
• 4:42
  o con un processo sospetto sul portatile di un utente rilevato da Defender for Endpoint.
• 4:48
  Il vero valore non risiede in un singolo avviso,
• 4:49
  ma nel modo in cui questi strumenti lavorano insieme per raccontare l'intera storia di un attacco.
• 4:53
  Un singolo avviso potrebbe sembrare un falso positivo,
• 4:55
  ma quando vedi il quadro completo,
• 4:57
  inclusa l'email di phishing, le credenziali compromesse e il movimento laterale,
• 5:00
  sai esattamente cosa è successo.
• 5:02
  Apriamo il cofano e vediamo come rileva effettivamente le minacce.
• 5:05
  Come funziona sensori analisi comportamentale?
• 5:08
  Defender for Identity utilizza sensori leggeri installati sui tuoi controller di dominio.
• 5:11
  Questo è il pezzo fondamentale del puzzle.
• 5:13
  Senza il sensore non succede nulla.
• 5:15
  Il sensore cattura i dati ed è progettato per essere il meno invasivo possibile,
• 5:18
  eseguito silenziosamente in background,
• 5:20
  leggendo il traffico di rete e gli eventi di Windows senza rallentare il tuo controller di dominio.
• 5:25
  Pensa a questi sensori come agli occhi e alle orecchie del sistema.
• 5:28
  Catturano tre tipi principali di informazioni,
• 5:30
  il traffico di rete per vedere le richieste di autenticazione tra le macchine,
• 5:33
  gli eventi di Windows per vedere cosa accade a livello di sistema operativo
• 5:35
  e l'attività di autenticazione per vedere chi accede da dove e quando.
• 5:38
  Tutti questi dati vengono inviati al servizio cloud Defender for Identity per l'analisi.
• 5:43
  Il sensore non esegue il lavoro pesante e si limita a raccogliere inoltrare.
• 5:46
  Una volta che i dati raggiungono il cloud, inizia il vero lavoro.
• 5:49
  Il servizio cloud crea un profilo di base per ogni singolo utente nel tuo ambiente.
• 5:54
  Impara i loro orari di accesso tipici,
• 5:56
  quali workstation usano di solito e a quelle risorse accedono normalmente.
• 5:59
  Questa è la parte comportamentale?
• 6:01
  Il sistema non viene fornito con regole preconfigurate su cosa sia normale.
• 6:04
  Impara dal tuo ambiente reale e questo è importante perché la normalità appare diversa per ogni organizzazione.
• 6:09
  Quando qualcosa devia da quella base viene generato un avviso.
• 6:12
  Ad esempio, un utente che accede sempre dalle 9 alle 17
• 6:14
  si autentica improvvisamente alle 3 del mattino da una workstation mai usata prima.
• 6:19
  Questa è una deviazione, il sistema assegnato.
• 6:20
  Non assume subito che sia dannoso, ma solleva l'avviso affinché il tuo team di sicurezza possa indagare.
• 6:24
  Quali tipi di attacchi rileva effettivamente?
• 6:27
  L'elenco è lungo, ma ecco quelli principali.
• 6:28
  Attacchi pass the hash, in cui un attaccante ruba un hash della password e lo usa per autenticarsi.
• 6:32
  Kerber Hosting, in cui un attaccante richiede ticket di servizio per account privilegiati e di crack offline.
• 6:38
  Uso di Golden Ticket, in cui un attaccante contraffa un ticket Kerberos per ottenere l'accesso all'intero domino.
• 6:43
  Attacchi DC Sync, in cui un attaccante finge di essere un controller di dominio e richiede gli hash delle password.
• 6:48
  E il movimento laterale, in cui un utente malintenzionato usa un account compromesso per saltare da una macchina all'altra.
• 6:53
  Ogni rilevamento è mappato sul framework Mitre at the AnchCup, lo standard del settore per descrivere le tecniche di attacco.
• 6:58
  Quindi quando Defender for Identity segnala qualcosa, non dice solo attività sospetta.
• 7:03
  Dice, questo è un attacco pass da hash mappato alla tecnica.
• 7:08
  Ciò fornisce al tuo team di sicurezza un contesto immediato su cosa stanno affrontando e come rispondono.
• 7:12
  Ecco la vera differenza.
• 7:14
  Non ti dice solo che è successo qualcosa, ti mostra la cronologia dell'attacco.
• 7:17
  Traccia come l'aggressore si è spostato dal punto A a punto B.
• 7:19
  Quindi, invece di un singolo avviso che dice accesso sospetto, ottieni l'intera storia.
• 7:24
  La compromissione iniziale, il movimento laterale, l'escalation dei privilegi e il domino del dominio, tutti collegati in un'unica sequenza temporale.
• 7:31
  Questa è la differenza tra uno strumento che ti avvisa e uno che ti aiuta a capire.
• 7:35
  Analizziamo le fasi di un attacco e vediamo dove Defender for Identity intercetta ciascuna di esse.
• 7:39
  Ciclo di vita dell'attacco che rileva.
• 7:41
  Gli aggressori seguono un modello prevedibile.
• 7:43
  Non è affatto casuale.
• 7:44
  Attraversano delle fasi e ogni fase ha un obiettivo specifico.
• 7:48
  Le fasi sono ricognizione, credenziali compromesse, movimento laterale e dominio del dominio.
• 7:52
  Una volta comprese queste fasi, vedrai esattamente dove si inserisce Defender for Identity.
• 7:56
  Ma che aspetta tutto ciò in pratica?
• 7:58
  Iniziamo con la ricognizione.
• 7:59
  L'aggressore non ha ancora alcun accesso.
• 8:01
  Si sta solo guardando intorno, scansionando la tua rete, cercando account, gruppi e relazioni di trust.
• 8:06
  Cerca di capire chi sono gli amministratori, quali account hanno privilegi elevati e come è strutturato il dominio.
• 8:11
  Spesso usano strumenti come Bloodhound per mappare l'ambiente.
• 8:14
  Defender for Identity lo individua monitorando query held up, sospetto, tentativi di enumerazione.
• 8:19
  Viene attivato un avviso quando qualcuno inizia a interrogare tutti gli account di amministrazione del dominio
• 8:23
  da una workstation che non ha mai fatto prima.
• 8:25
  L'aggressore non ha ancora fatto nulla di dannoso, ma sai che sta esplorando.
• 8:27
  La fase successiva è quella delle credenziali compromessi.
• 8:29
  L'aggressore ha trovato un modo per ottenere una password tramite phishing, una violazione dei dati o acquistandola sul dark web.
• 8:34
  Ora dispone di un nuovo utente e una password legittime.
• 8:37
  In questa fase Defender for Identity segnala accessi insoliti.
• 8:40
  Gli accessi insoliti includono un utente che si connette dalla nuova posizione alle 3 del mattino
• 8:44
  o che accede improvvisamente a centinaia di file invece dei soliti 5.
• 8:48
  Queste sono deviazioni comportamentali che non richiedono il rilevamento di malware.
• 8:52
  Richiedono solo di capire cosa sia considerato nulla.
• 8:54
  Poi arriva il movimento laterale.
• 8:56
  L'aggressore ha un punto d'appoggio, ma probabilmente non si tratta ancora di un account privilegiare.
• 8:59
  Devono spostarsi attraverso la rete per raggiungere obiettivi di alto valore.
• 9:02
  Usano tecniche come pass the hash, pass the ticket e overpass the hash per saltare da una macchina all'altra.
• 9:07
  Ogni salto è sempre un'autenticazione legittima, ma il modello è sospetto.
• 9:10
  Defender for Identity lo rileva monitorando le anomalie di autenticazione.
• 9:14
  Se un account utente si autentica da 3 postazioni diverse in 5 minuti, non è un comportamento umano normale.
• 9:19
  È un attaccante che si muove lateralmente.
• 9:21
  Infine, il dominio del dominio.
• 9:22
  Cosa vedi?
• 9:23
  Avvisi, incidenti e come intervenire.
• 9:25
  Apri il portale Microsoft Defender su security.microsoft.com e vai su Identità.
• 9:29
  Quello è il tuo centro di comando.
• 9:30
  La prima cosa che vedrai è la dashboard che ti offre una rapida panoramica di tutto ciò che accade nel tuo ambiente di identità.
• 9:37
  Utenti monitorati.
• 9:38
  Quanti avvisi attivi sono aperti allo stato di salute dei tuoi sensori.
• 9:42
  È progettato per darti un'istantanea in pochi secondi, non minuti.
• 9:45
  C'è anche un punteggio su quella dashboard chiamato punteggio di sicurezza dell'identità.
• 9:49
  È un numero da 0 a 100 che mostra quanto stai proteggendo bene la tua infrastruttura identità.
• 9:53
  Non è una metrica teorica, si basa su configurazioni e consigli reali.
• 9:57
  Se hai controller di dominio senza sensori, il tuo punteggio scende.
• 9:59
  Se hai utenti senza autenticazione a più fattori, il tuo punteggio scende.
• 10:03
  Risalvi questi problemi, il tuo punteggio salirà.
• 10:05
  È un modo concreto per monitorare il tuo stato di sicurezza nel tempo.
• 10:08
  Ora parliamo di avvisi.
• 10:10
  Gli avvisi sono generati da regole di rilevamento, condizioni preconfigurate che definiscono come appare un comportamento sospetto.
• 10:15
  Basandosi su anni di ricerca sulle minacce, Microsoft ha creato centinaia di queste regole.
• 10:19
  Quando un utente accede ad una posizione insolita, quella è una regola di rilevamento.
• 10:22
  Quando qualcuno tenta un attacco di C-Sync, quella è una regola di rilevamento.
• 10:25
  Quando un attaccante usa un golden ticket, quella è una regola di rilevamento.
• 10:27
  Il sistema confronta costantemente ciò che accade nel tuo ambiente con queste regole.
• 10:32
  Ma il punto è che più avvisi possono combinarsi in un unico incidente.
• 10:36
  È importante perché gli attaccanti non fanno una sola cosa sospetta.
• 10:39
  Fanno molte cose in sequenza.
• 10:40
  Un singolo avviso potrebbe sembrare un falso positivo, ma quando vedi l'intero incidente,
• 10:44
  la ricognizione, la compromissione delle credenziali, il movimento laterale, il dominio del dominio,
• 10:48
  sai esattamente cosa è successo.
• 10:49
  L'incidente è la storia.
• 10:51
  Gli avvisi sono solo singole frasi.
• 10:52
  Ogni incidente include un grafico di attacco.
• 10:54
  Questa è una mappa visiva di come l'attaccante si è mosso nel tuo ambiente.
• 10:57
  Ti mostra il punto di partenza.
• 10:59
  Ogni salto lungo il percorso della destinazione finale.
• 11:01
  Puoi vedere quali account sono stati compromessi, quelle macchine sono state accessibili,
• 11:04
  quelle tecniche sono state usate.
• 11:06
  È come guardare il filmato di una telecamera di sicurezza dell'intero attacco, ma sotto
• 11:09
  forma di diagramma.
• 11:10
  E puoi intervenire direttamente dal portale.
• 11:12
  Se identifichi un account utente compromesso, non devi accedere al tuo controller di dominio
• 11:16
  per disabilitarlo.
• 11:17
  Puoi farlo direttamente dal portale Defender.
• 11:19
  Disabilita l'account, forza la rimpostazione della password, richiede un tentativo di accesso.
• 11:23
  Il sensore comunica con il tuo Active Directory locale e apporta la modifica istantaneamente.
• 11:28
  Questo è il potere di avere il sensore sul controllo di dominio.
• 11:30
  Non si limita ad ascoltare, può agire.
• 11:32
  Puoi anche configurare le notifiche via mail.
• 11:34
  Quando scatta un avviso critico, il tuo team di sicurezza riceve un'email istantaneamente.
• 11:38
  Non devono monitorare il dashboard 24 ore su 24 giorni su set.
• 11:40
  È il sistema ad avvisarli.
• 11:41
  E poiché gli avvisi sono mappati sul framework Mi3AT, TNCK,
• 11:44
  sanno esattamente che tipo di attacco stanno affrontando prima ancora di aprire il portale.
• 11:48
  Oltre alle basi ci sono alcune funzionalità avanzate che vale la pena conoscere.
• 11:52
  Honeypot, tagging ed esclusioni.
• 11:54
  Parliamo degli account Honeypot.
• 11:56
  Sono anche chiamati HoneyToken e sono esattamente ciò che suggerisce il nome.
• 11:59
  Account utente falsi, creati appositamente per attirare gli aggressori.
• 12:03
  Dai loro nomi elettanti come Exchange Admin o Domain Backup Service
• 12:06
  assemirò un'appartenenza a un gruppo che sembra avere privilegi di vare.
• 12:09
  Ecco il punto.
• 12:10
  Questi account non hanno alcun utilizzo reale.
• 12:12
  Nessuno dovrebbe mai accedervi.
• 12:13
  Non sono usati per alcuno scopo legittimo.
• 12:15
  Se ne stanno semplicemente le aspettate.
• 12:16
  Se qualcuno accede a un account Honeypot lo sai immediatamente.
• 12:20
  Non perché hai impostato un monitoraggio personalizzato,
• 12:22
  non perché hai scritto una regola di rilevamento complessa,
• 12:24
  ma perché Defender for Identity sa che quell'account non dovrebbe mai essere usato.
• 12:27
  Nel momento in cui qualcuno si autentica con esso scatta un avviso
• 12:29
  e sai esattamente cosa è successo.
• 12:31
  Un aggressore ha trovato il tuo account esco e ha provato a usarlo.
• 12:34
  Questo non è un falso positivo, è un tentativo di intrusione confermato.
• 12:37
  Puoi configurarli nel portale Defender in impostazioni, identità e token.
• 12:41
  Ci vogliono circa 30 secondi.
• 12:43
  Tagging dell'entità è un'altra funzione.
• 12:44
  Puoi contrassegnare utenti, dispositivi o gruppi specifici come sensibili per un monitoraggio extra.
• 12:49
  Pensa cosa significa.
• 12:50
  Se contrassegni un account di amministratori dominio come sensibile,
• 12:53
  Defender for Identity osserva più attentamente ogni singola azione compiuta da quell'account.
• 12:56
  Qualsiasi deviazione dal comportamento normale viene segnalata con priorità più alti.
• 13:00
  Qualsiasi movimento laterale che coinvolga quell'account viene segnalato con urgenza.
• 13:03
  È come mettere un localizzatore GPS sulle tue risorse più prezzate.
• 13:06
  E poi ci sono le regole di esclusione.
• 13:07
  A volte strumenti di sicurezza o processi di amministrazione legittimi attivano false allarmi.
• 13:11
  Il tuo scanner di vulnerabilità potrebbe autenticarsi contro ogni macchina nella rete.
• 13:15
  Questo appare sospetto.
• 13:16
  Il tuo software di backup potrebbe accedere ai controller di dominio o a rari insoliti.
• 13:19
  Anche questo sembra sospetto.
• 13:20
  Puoi escludere indirizzi IP, dispositivi o utenti specifici da determinate regole di rilevamento,
• 13:25
  così questi falsi positivi non intasano la coda degli avvisi.
• 13:27
  Le esclusioni globali si applicano a tutte le regole di rilevamento.
• 13:31
  Le esclusioni per singola regola sono più mirate.
• 13:33
  L'obiettivo è lo stesso.
• 13:34
  Ridurre il rumore affinché il team di sicurezza si concentri sulle minacce reali.
• 13:37
  Defender for Identity non lavora da solo.
• 13:39
  Vediamo come si inserisce nel quadro generale.
• 13:41
  Come si inserisce nell'ecosistema di sicurezza Microsoft.
• 13:44
  Quindi, come si inserisce Defender for Identity nel quadro generale della sicurezza Microsoft?
• 13:48
  Pensalo con un tassello del puzzle Defender XDR.
• 13:51
  Preso singolarmente, ogni strumento è utile, ma la vera potenza emerge quando lavorano insieme.
• 13:55
  Defender for Endpoint protegge i tuoi dispositivi.
• 13:58
  Controlla ogni laptop e server alla ricerca di malware e attività di rete sospetta.
• 14:01
  Defender for Office 365 protegge la tua email e gli strumenti di collaborazione,
• 14:05
  bloccando tentativi di phishing allegati da nosi.
• 14:07
  Defender for Identity monitora il tuo account utente cercando credenziali, rubate,
• 14:11
  movimenti laterali e dominio del controller.
• 14:13
  Presi singolarmente, ogni strumento è utile,
• 14:15
  ma il punto è che insieme condividono segnali e uniscono i puntini.
• 14:19
  Immagina un accesso sospetto su un controller di dominio.
• 14:22
  Quello stesso accesso potrebbe essere collegato a un'email di phishing
• 14:24
  che Defender for Office 365 è già intercettato.
• 14:26
  L'attaccante ha compromesso la casella di poste e ora sta tentando un movimento laterale.
• 14:30
  Defender for Identity vede l'accesso,
• 14:32
  Defender for Office 365 vede l'email
• 14:34
  e la piattaforma Microsoft Defender XDR crea un unico incidente.
• 14:38
  Questa è la differenza tra visi isolati e una storia d'attacco completa.
• 14:41
  Si integra anche con Microsoft Sentinel che è il CM Cloud Native di Microsoft.
• 14:45
  È lì che vai per l'advanced hunting e rilevamenti personalizzati.
• 14:48
  Puoi scrivere quei ricusto che effettuano ricerche su tutti i dati Defender,
• 14:51
  Identità, Endpoint, E-mail, App Cloud,
• 14:53
  per trovare pattern che le regole automatizzate non sempre colgono.
• 14:57
  E funziona insieme a Microsoft EntraID Protection.
• 14:59
  Ecco la distinzione.
• 15:01
  EntraID Protection gestisce i rischi di accesso basati sul cloud come i rischi di...
• 15:04
  Grazie.
• 15:06
  Grazie.
• 15:07
  Grazie mille.