Guido Imperatore

Microsoft Defender for Endpoint: System Tags con Microsoft Intune

Visualizzazioni: 923

Microsoft Defender for Endpoint è una piattaforma di sicurezza volta a proteggere i dispositivi aziendali progettata per aiutare le aziende a prevenire, rilevare, analizzare e rispondere alle minacce avanzate nei propri Endpoint.

Questa soluzione di casa Redmond protegge la totalità degli Asset aziendali in quanto è multipiattaforma, che comprende:

  • Laptop
  • Smartphone
  • Computer Fissi
  • Tablet
  • Server

Microsoft Defender for Endpoint permette quindi di avere una copertura totale degli asset aziendali, proprio in ottica Zero Trust.

Cosa è quindi l’approccio Zero Trust?

Zero Trust è un “modello” in Sicurezza informatica, che di fatto può essere riassunto in un’unica frase “non fidarsi mai, verificare sempre”.

Questo modello si basa su un’architettura che non considera attendibile nessun utente o dispositivo per impostazione predefinita, richiedendo invece autenticazione continua e rigorosi controlli di accesso, basati su identità, stato del dispositivo e altri fattori di rischio.

La casa di Redmond applica questo approccio con tecnologie come Microsoft Entra e Microsoft Defender, focalizzandosi su identità avanzate, verifica dei dispositivi, integrità delle app e accesso con privilegi minimi.

Perché utilizzare i System Tags in Microsoft Defender for Endpoint?

Ora che avete un’overview completa di come Microsoft vada incontro alla sicurezza delle organizzazioni, vorrei parlavi di una funzionalità che può essere veramente utile per le organizzazioni che decidono di intraprendere l’adozione di Microsoft Defender for Endpoint per la componente di Endpoint Protection, ovvero i Tag di Sistema per identificare in modo rapido i device all’interno del portale di Microsoft Defender XDR.

Vorrei darvi evidenza di come poter recuperare il “Company Name” dell’utente loggato in quell’Endpoint ed in automatico venga assegnato il tag con il nome della company, tutto questo in modo automatizzato attraverso script custom e Microsoft Intune.

Quali licenze sono necessarie?

Per poter sfruttare appieno le funzionalità che vengono descritte all’interno di questo articolo dovrete essere in possesso di Microsoft Defender in uno dei seguenti piani o suite che lo contengano:

  • Microsoft Defender for Endpoint P1
  • Microsoft Defender for Business
  • Microsoft Defender for Endpoint P2

Vi riporto come sempre il sito di Aaron Dinnage, che svolge un lavoro eccezionale per le licenze Microsoft 365 Home | M365 Maps

Inoltre, una licenza per l’uso di Microsoft Intune per eseguire gli script.

Quali prerequisiti devo rispettare?

Per sfruttare le funzionalità presenti all’interno di questo articolo, dovrete rispettare alcuni prerequisiti, che per comodità vi riporto qui:

  • Device gestito in Microsoft Defender for Endpoint
  • Device Entra Join o Hybrid Entra Join
  • Device gestito da Microsoft Intune
  • Utente in Microsoft Entra

Questo perché il tag viene applicato agli endpoint all’interno del portale di Microsoft Defender XDR e lo script viene eseguito attraverso Microsoft Intune.

Figura 1: Licenze utilizzate per la demo, Microsoft 365 E5 che contengono l’uso di Microsoft Defender for Endpoint P2 e Microsoft Intune

Figura 2: Device che utilizzerò per darvi evidenza di questa funzionalità e che risulta essere onbordato in Microsoft Intune

Vi riporto gli step che faremo per creare lo script che legga la company name dell’utente che è loggato sull’Endpoint e poi configuri la chiave di registro in modo automatico:

  • Creazione App Microsoft Entra per leggere il parametro “Company Name” dell’utente
  • Creazione Script Powershell
  • Caricamento Powershell in Microsoft Intune

Come prima attività rechiamoci in Microsoft Entra Admin Center

Figura 3: Creazione nuova APP per leggere la company dell’utente

Figura 4: Assegniamo un nome alla app, che sia parlante, e poi click su Register

Figura 5: Copiatevi ClientID, TenantID serviranno per lo script nelle fasi successive

Figura 6: Configuriamo un nome per il secret e impostiamo una scadenza dello stesso

Figura 7: Salviamo la value del secret, sarà visualizzabile una sola volta quindi prendetene nota

Figura 8: Aggiungiamo le permission per Microsoft Graph

Figura 9: Configuriamo “Application Permission”

Figura 10: Impostiamo il permesso “User.Read.All”

Figura 11: Concediamo i diritti al permesso appena configurato

Figura 12: Permessi configurati correttamente

Ora vi fornisco anche evidenza della company name di due utenti, con cui eseguirò la login sull’Endpoint in questione, in modo tale da far cambiare il tag assegnato al rispettivo Endpoint

Figura 13: Company Name dell’utente principale con cui stò utilizzando il dispositivo

Figura 14: Secondo utente, questa volta con nome di fantasia, che eseguirà la login sull’Endpoint

Ora possiamo predisporre lo script PowerShell, vi spiegherò ogni singola componente dello stesso in modo approfondito.

La prima parte dello script Powershell è la configurazione di TenantID, ApplicationID e Secret creati in precedenza:

Specifico che lo script è strutturato in parti o meglio funzioni che hanno un compito ben preciso.

Ora vi mostrerò una funziona utile ad ottenere un access token per il collegamento via Client_Credentials, necessario per il collegamento tramite Microsoft Graph, questa funzione richiama i parametri configurati all’interno dello step precedente

Ora si renderà necessario recuperare il SAMName tramite explorer.exe

Ora cerca nella chiave di registro IdentityStore\Cache il SAMName passato dalla precedente funzione

Ora è presente la parte dello script che richiama le funzioni per recuperare l’utente

Ora otteniamo l’access Token e cerchiamo tramite Graph la companyName dell’utente loggato sul dispositivo

Ora con tutti i parametri recuperati viene creata la chiave di registro per la System Tag

Vi fornisco anche lo script definitivo:

Prima di una qualsiasi esecuzione vi fornisco anche evidenza che all’interno dell’Endpoint non è presente nessuna chiave di registro configurata

Figura 15: Chiave di registro per SystemTags non presente all’interno dell’Endpoint

Ora possiamo procedere a caricare lo script all’interno del portale di Microsoft Intune

Figura 16: Portale di Microsoft Intune sezione device

Figura 17: Sezione “Platform Scripts” di Microsoft Intune

Figura 18: Selezionate Windows 10 and Later in quanto il dispositivo e di quella versione di sistema operativo

Figura 19: Configuriamo un nome ed una descrizione parlante per il nostro script

Figura 20: Configuriamo in questo modo i parametri per lo script e selezioniamo lo script che abbiamo creato in precedenza

Figura 21: Una volta selezionato lo script, proseguiamo con la configurazione

Figura 22: Ora selezionato il gruppo di device a cui volete applicare lo script, nel mio caso “Intune_Internal_Cloud_Device”

Figura 23: Proseguiamo con la configurazione

Figura 24: Review e salvataggio definitivo della policy

Figura 25: Script salvato correttamente

Ora dovrete attendere che lo script “giri” all’interno del dispositivo, nel mio caso ci è voluta circa una mezz’ora, potete vedere la corretta esecuzione dello script

Figura 26: Click sul nome del Platform Scripts

Figura 27: Al momento lo script non è stato ancora eseguito

Dopo circa mezz’ora sull’Endpoint è comparsa la chiave di registro nel modo corretto

Figura 28: System Tag Presente all’interno dell’Endpoint dopo che lo script ha correttamente eseguito il lavoro

Figura 29: Script Eseguito correttamente sugli Endpoint

Figura 30: Device con il tag inserito dallo script correttamente presente all’interno del portale Microsoft Defender XDR

Ora vediamo se si logga sullo stesso Endpoint un altro utente cosa succede, lo script cambierà il tag, ho voluto così simulare il cambio di azienda del personale interno all’organizzazione

Figura 31: Con altro utente lo script sovrascrive il tag recuperando la Company dell’utente loggato in quel momento

Figura 32: Dopo la Sync il dispositivo compare con il nuovo tag

Conclusioni

In conclusione, questa funzionalità evidenzia come l’ecosistema sinergico di Microsoft sia in grado di integrare in modo efficace diversi workload ,in questo caso Microsoft Intune e Microsoft Defender, per raggiungere obiettivi concreti e di valore. La possibilità di creare gruppi dinamici direttamente da Microsoft Defender XDR e suddividere i device per azienda rappresenta un vantaggio significativo per tutte quelle organizzazioni che, all’interno di un unico tenant, gestiscono dispositivi appartenenti a differenti business unit.

Grazie a questa segmentazione avanzata, diventa inoltre possibile assegnare una visibilità mirata dei device ai referenti delle singole BU, migliorando la governance, la sicurezza e la gestione operativa dell’intero ambiente.