Gestire i sensori di rete OT dalla console del sensore

Questo articolo descrive le attività aggiuntive di manutenzione del sensore OT che è possibile eseguire all'esterno di un processo di distribuzione più ampio.

I sensori OT possono anche essere gestiti dall'interfaccia della riga di comando del sensore OT, dal portale di Azure e da una console di gestione locale.

Prerequisiti

Prima di eseguire le procedure descritte in questo articolo, assicurarsi di avere a disposizione:

• Un sensore di rete OT installato, configurato e attivato e caricato in Defender per IoT nel portale di Azure.

• Accesso al sensore OT come utente Amministratore. Anche le procedure selezionate e l'accesso all'interfaccia della riga di comando richiedono un utente con privilegi. Per altre informazioni, vedere Utenti e ruoli locali per il monitoraggio OT con Defender per IoT.

• Per scaricare il software per i sensori OT, è necessario accedere al portale di Azure come utente Amministratore della sicurezza, Collaboratoreo Proprietario.

• Un certificato SSL/TLS preparato se è necessario aggiornare il certificato del sensore.

Visualizzare lo stato complessivo del sensore OT

Quando si accede al sensore OT, la prima pagina visualizzata è la pagina Panoramica.

Ad esempio:

La pagina Panoramica mostra i widget seguenti:

Selezionare il collegamento in ogni widget per eseguire il drill-down per altre informazioni nel sensore.

Convalidare lo stato della connettività

Verificare che il sensore OT sia connesso correttamente al portale di Azure direttamente dalla pagina Panoramica del sensore OT.

In caso di problemi di connessione, viene visualizzato un messaggio di disconnessione nell'area Impostazioni generali della pagina Panoramica e viene visualizzato un avviso di errore di connessione del servizio nella parte superiore della pagina nell'area Messaggi di sistema. Ad esempio:

Per altre informazioni sul problema, passare il puntatore del mouse sull'icona delle informazioni. Ad esempio:

Per intervenire, selezionare l'opzione Altre informazioni in Messaggi di sistema. Ad esempio:

Scaricare il software per sensori OT

Potrebbe essere necessario scaricare il software per il sensore OT se si sta installando il software Defender per IoT nelle proprie appliance o aggiornando le versioni software.

In Defender per IoT nel portale di Azure, usare una delle opzioni seguenti:

• Per una nuova installazione, selezionare Guida introduttiva>Sensore. Selezionare una versione nell'area Acquistare un'appliance e installare il software e quindi selezionare Scarica.

• Se si sta aggiornando il sensore OT, usare le opzioni nella paginaSito e sensori, nel menu >Aggiornamento sensori (anteprima).

Tutti i file scaricati dal portale di Azure sono firmati dalla radice di attendibilità in modo che i computer usino solo asset firmati.

Per altre informazioni, vedere Aggiornare il software di monitoraggio OT di Defender per IoT.

Caricare un nuovo file di attivazione

Ogni sensore OT viene caricato come sensore OT connesso al cloud o gestito localmente e attivato usando un file di attivazione univoco. Per i sensori connessi al cloud, il file di attivazione viene usato per garantire la connessione tra il sensore e Azure.

È necessario caricare un nuovo file di attivazione nel sensore se si vogliono cambiare le modalità di gestione dei sensori, ad esempio il passaggio da un sensore gestito in locale a un sensore connesso al cloud o se si esegue l'aggiornamento da una versione software recente. Il caricamento di un nuovo file di attivazione nel sensore include l'eliminazione del sensore dal portale di Azure e l'onboarding.

Per aggiungere un nuovo file di attivazione:

1. Esegui una delle operazioni seguenti:

   • Eseguire l'onboarding del sensore da zero:

     1. In Defender per IoT, nel portale di Azure>Siti e sensori, individuare ed eliminare il sensore OT.

     2. Selezionare Eseguire l'onboarding del sensore> OT per caricare di nuovo il sensore da zero e scaricare il nuovo file di attivazione. Per altre informazioni, vedere Eseguire l'onboarding dei sensori OT.

   • Scaricare il file di attivazione del sensore corrente: nella pagina Siti e sensori, individuare il sensore appena aggiunto. Selezionare i tre puntini (...) nella riga del sensore e selezionare Scarica file di attivazione. Salvare il file in una posizione accessibile al sensore.

   Tutti i file scaricati dal portale di Azure sono firmati dalla radice di attendibilità in modo che i computer usino solo asset firmati.

2. Accedere alla console del sensore Defender per IoT e selezionare Impostazioni di sistema>Gestione sensori>Modalità di sottoscrizione e attivazione.

3. Selezionare Carica e passare al file scaricato dal portale di Azure.

4. Selezionare Attiva per caricare il nuovo file di attivazione.

Risolvere i problemi di caricamento dei file di attivazione

Se non è stato possibile caricare il file di attivazione, verrà visualizzato un messaggio di errore. Potrebbero verificarsi gli eventi seguenti:

• Il sensore non può connettersi a Internet: controllare la configurazione di rete del sensore. Se il sensore deve connettersi tramite un proxy Web per accedere a Internet, verificare che il server proxy sia configurato correttamente nella schermata Configurazione rete sensore. Verificare che gli endpoint necessari siano consentiti nel firewall e/o nel proxy.

  Per i sensori OT versione 22.x, scaricare l'elenco degli endpoint necessari dalla pagina Siti e sensori nel portale di Azure. Selezionare un sensore OT con una versione software supportata o un sito con uno o più sensori supportati. Quindi selezionare Altre azioni>Scarica dettagli endpoint. Per i sensori con versioni precedenti, vedere Accesso del sensore al portale di Azure.

• Il file di attivazione è valido, ma Defender per IoT lo ha rifiutato: se non è possibile risolvere questo problema, è possibile scaricare un'altra attivazione dalla pagina Siti e sensori nel portale di Azure. Se non funziona, contattare il supporto tecnico Microsoft.

Gestire i certificati SSL/TLS

Se si usa un ambiente di produzione, è stato distribuito un certificato SSL/TLS firmato dalla CA come parte della distribuzione del sensore OT. È consigliabile usare certificati autofirmato solo a scopo di test.

Le procedure seguenti descrivono come distribuire certificati SSL/TLS aggiornati, ad esempio se il certificato è scaduto.

Risolvere gli errori di caricamento dei certificati

Non sarà possibile caricare i certificati nei sensori OT o nelle console di gestione locali se i certificati non vengono creati correttamente o non sono validi. Usare la tabella seguente per comprendere come intervenire se il caricamento del certificato non riesce e viene visualizzato un messaggio di errore:

Aggiornare la configurazione di rete del sensore OT

È stata configurata la configurazione della rete del sensore OT durante l'installazione. Potrebbe essere necessario apportare modifiche come parte della manutenzione del sensore OT, ad esempio per modificare i valori di rete o configurare una configurazione proxy.

Per aggiornare la configurazione del sensore OT:

1. Accedere al sensore OT e selezionare Impostazioni di sistema>Base>Impostazioni di rete del sensore.

2. Nel riquadro Impostazioni di rete del sensore, aggiornare i dettagli seguenti per il sensore OT in base alle esigenze:

   • Indirizzo IP. La modifica dell'indirizzo IP potrebbe richiedere agli utenti di accedere nuovamente al sensore OT.
   • Subnet mask
   • Gateway predefinito
   • DNS. Assicurarsi di usare lo stesso nome host configurato nel server DNS dell'organizzazione.
   • Nome host (facoltativo)

3. Attivare o disattivare l'opzione Abilita proxy, se necessario. Se si usa un proxy, immettere i valori seguenti:

   • Host proxy
   • Porta proxy
   • Nome utente proxy (facoltativo)
   • Password proxy (facoltativo)

4. Seleziona Salva per salvare le modifiche.

Disattivare manualmente la modalità di apprendimento

Un sensore di rete OT di Microsoft Defender per IoT avvia automaticamente il monitoraggio della rete non appena è connesso alla rete ed è stato eseguito l'accesso. I dispositivi di rete vengono visualizzati nell'inventario dei dispositivi e vengono attivati avvisi per eventuali eventi imprevisti operativi o di sicurezza che si verificano nella rete.

Inizialmente, questa attività avviene in modalità di apprendimento, che indica al sensore OT di apprendere l'attività abituale della rete, inclusi i dispositivi e i protocolli nella rete, e i normali trasferimenti di file che si verificano tra dispositivi specifici. Qualsiasi attività rilevata regolarmente diventa il traffico di base della rete.

Questa procedura descrive come disattivare manualmente la modalità di apprendimento se si ritiene che gli avvisi correnti riflettano accuratamente l'attività di rete.

Per disattivare la modalità di apprendimento:

1. Accedere al sensore di rete OT e selezionare Impostazioni di sistema > Monitoraggio di rete > Motori di rilevamento e modellazione di rete.

2. Disattivare una o entrambe le opzioni seguenti:

   • Apprendimento. Disattivare questa opzione circa due-sei settimane dopo aver distribuito il sensore, quando si ritiene che i rilevamenti del sensore OT riflettano accuratamente l'attività di rete.

   • Smart IT Learning. Mantenere questa opzione attivata per mantenere basso il numero di avvisi e notifiche non deterministici.

   Il comportamento non deterministico include modifiche che sono il risultato della normale attività IT, ad esempio richieste DNS e HTTP. Se si disattiva l'opzione Smart IT Learning, è possibile attivare molti avvisi di violazione dei criteri falsi positivi.

3. Nel messaggio di conferma selezionare OK e quindi selezionare Chiudi per salvare le modifiche.

Aggiornare le interfacce di monitoraggio di un sensore (configurare ERSPAN)

È possibile modificare le interfacce usate dal sensore per monitorare il traffico. Questi dettagli sono stati originariamente configurati come parte della configurazione iniziale del sensore, ma potrebbe essere necessario modificare le impostazioni come parte della manutenzione del sistema, ad esempio la configurazione del monitoraggio di ERSPAN.

Per altre informazioni, vedere Porte ERSPAN.

Per aggiornare le interfacce di monitoraggio del sensore:

1. Accedere al sensore OT e selezionare Impostazioni di sistema>Base>Connessioni dell'interfaccia.

2. Nella griglia, individuare l'interfaccia da configurare. Effettuare una delle operazioni riportate di seguito.

   • Selezionare l'interruttore Abilita/Disabilita per tutte le interfacce che si vuole monitorare dal sensore. È necessario avere almeno un'interfaccia abilitata per ogni sensore.

     Se non si è certi dell'interfaccia da usare, selezionare il pulsante LED dell'interfaccia fisica lampeggiane per far lampeggiare la porta selezionata nel computer.

     Suggerimento

     È consigliabile ottimizzare le prestazioni nel sensore configurando le impostazioni per monitorare solo le interfacce in uso.

   • Per ogni interfaccia selezionata per il monitoraggio, selezionare il pulsante Impostazioni avanzate per modificare una delle impostazioni seguenti:

     Nome	Descrizione
     Modalità	Selezionare uno degli elementi seguenti: - Traffico SPAN (senza incapsulamento) per usare il mirroring delle porte SPAN predefinito. - ERSPAN se si usa il mirroring ERSPAN. Per altre informazioni, vedere Scegliere un metodo di mirroring del traffico per i sensori OT.
     Descrizione	Immettere una descrizione facoltativa per l'interfaccia. Questa operazione verrà visualizzata più avanti nella pagina Impostazioni di sistema > Configurazioni dell'interfaccia del sensore e queste descrizioni possono essere utili per comprendere lo scopo di ogni interfaccia.
     Negoziazione automatica	Rilevante solo per i computer fisici. Utilizzare questa opzione per determinare quale tipo di metodi di comunicazione vengono utilizzati o se i metodi di comunicazione vengono definiti automaticamente tra i componenti. Importante: è consigliabile modificare questa impostazione solo in base ai consigli del team di rete.

   Ad esempio:

   

3. Seleziona Salva per salvare le modifiche. Il software del sensore viene riavviato per implementare le modifiche.

Sincronizzare i fusi orari in un sensore OT

È possibile configurare il sensore OT con un fuso orario specifico in modo che tutti gli utenti visualizzino gli stessi orari indipendentemente dalla posizione dell'utente.

I fusi orari vengono usati nei widget avvisi, tendenze e statistiche, report di data mining, report di valutazione dei rischi e report sui vettori di attacco.

Per configurare il fuso orario di un sensore OT:

1. Accedere al sensore OT e selezionare Impostazioni di sistema>Base>Ora e area.

2. Nel riquadro Ora e area, immettere i dettagli seguenti:

   • Fuso orario: selezionare il fuso orario da usare

   • Formato data: selezionare il formato di ora e data da usare. I formati supportati includono:

     • dd/MM/yyyy HH:mm:ss
     • MM/dd/yyyy HH:mm:ss
     • yyyy/MM/dd HH:mm:ss

   Il campo Data e ora viene aggiornato automaticamente con l'ora corrente nel formato selezionato.

3. Seleziona Salva per salvare le modifiche.

Configurare le impostazioni del server di posta SMTP

Definire le impostazioni del server di posta SMTP nel sensore OT in modo da configurare il sensore OT per l'invio di dati ad altri server e servizi partner.

È necessario un server di posta SMTP configurato per abilitare gli avvisi di posta elettronica relativi ai sensori disconnessi, il recupero di backup dei sensori non riusciti e gli errori delle porte di monitoraggio SPAN dalla console di gestione locale e per configurare l'inoltro della posta elettronica e configurare le regole di avviso di inoltro.

Prerequisiti:

Assicurarsi di poter raggiungere il server SMTP dalla porta di gestione del sensore.

Per configurare un server SMTP nel sensore OT:

1. Accedere al sensore OT e selezionare Impostazioni di sistema>Integrazioni>Server posta elettronica.

2. Nel riquadro Modifica configurazione del server di posta elettronica visualizzato, definire i valori per il server SMTP come indicato di seguito:

   Parametro	Descrizione
   Indirizzo del server SMTP	Immettere l'indirizzo IP o l'indirizzo di dominio del server SMTP.
   Porta del server SMTP	Valore predefinito=25. Regolare il valore in base alle esigenze.
   Account di posta in uscita	Immettere un indirizzo di posta elettronica da usare come account di posta in uscita dal sensore.
   SSL	Attiva/disattiva per connessioni sicure dal sensore.
   Autenticazione	Attivare e quindi immettere un nome utente e una password per l'account di posta elettronica.
   Utilizzare NTLM	Attiva/disattiva per abilitare NTLM. Questa opzione viene visualizzata solo quando è attivata l'opzione Autenticazione.

3. Al termine, seleziona Salva.

Caricare e riprodurre file PCAP

Quando si risolve il problema del sensore OT, è possibile esaminare i dati registrati da un file PCAP specifico. A tale scopo, è possibile caricare un file PCAP nel sensore OT e riprodurre i dati registrati.

L'opzione Riproduci PCAP è abilitata per impostazione predefinita nelle impostazioni della console del sensore.

La dimensione massima per i file caricati è di 2 GB.

Per visualizzare il lettore PCAP nella console del sensore:

1. Nella console del sensore passare a Impostazioni di sistema > Gestione dei sensori > Configurazioni avanzate.

2. Nel riquadro Configurazioni avanzate, selezionare la categoria Pcaps.

3. Nelle configurazioni visualizzate, modificare enabled=0 in enabled=1 e selezionare Salva.

L'opzione Riproduci PCAP è ora disponibile nelle impostazioni della console del sensore, in: Impostazioni di sistema > Base > Riproduci PCAP.

Per caricare e riprodurre un file PCAP:

1. Nella console del sensore, selezionare Impostazioni di sistema > Base > Riproduci PCAP.

2. Nel riquadro PCAP PLAYER, selezionare Carica e quindi passare a e selezionare il file o più file da caricare.

   

3. Selezionare Riproduci per riprodurre il file PCAP o Riproduci tutto per riprodurre tutti i file PCAP attualmente caricati.

Disattivare motori di analisi specifici

Per impostazione predefinita, ogni sensore di rete OT analizza i dati inseriti usando motori di analisi predefiniti e attiva gli avvisi in base al traffico in tempo reale e prerecordato.

Anche se è consigliabile mantenere attivi tutti i motori di analisi, è consigliabile disattivare specifici motori di analisi sui sensori OT per limitare il tipo di anomalie e rischi monitorati da tale sensore OT.

Per gestire i motori di analisi di un sensore OT:

1. Accedere al sensore OT e selezionare Impostazioni di sistema > Monitoraggio della rete > Personalizzazione > Motori di rilevamento e modellazione di rete.

2. Nel riquadro Motori di rilevamento e modellazione di rete, nell'area Motori, disattivare uno o più dei motori seguenti:

   • Violazione del protocollo
   • Violazione dei criteri
   • Malware
   • Anomalia
   • Canale operativo

   Attivare o disattivare di nuovo il motore per avviare di nuovo il rilevamento delle anomalie e delle attività correlate.

   Per altre informazioni, vedere Motori di analisi di Defender per IoT.

3. Selezionare Chiudi per salvare le modifiche.

Per gestire i motori di analisi da una console di gestione locale:

1. Accedere alla console di gestione locale e selezionare Impostazioni di sistema.

2. Nella sezione Configurazione del motore di sensori, selezionare uno o più sensori OT in cui si desidera applicare le impostazioni e deselezionare una delle opzioni seguenti:

   • Violazione del protocollo
   • Violazione dei criteri
   • Malware
   • Anomalia
   • Canale operativo

3. Selezionare SALVA MODIFICHE per salvare le modifiche.

Cancellare i dati del sensore OT

Se è necessario spostare o cancellare il sensore OT, reimpostarlo per cancellare tutti i dati rilevati o appresi sul sensore OT.

Dopo la cancellazione dei dati in un sensore connesso al cloud:

• L'inventario dei dispositivi nel portale di Azure viene aggiornato in parallelo.
• Alcune azioni sugli avvisi corrispondenti nel portale di Azure non sono più supportate, ad esempio il download di file PCAP o gli avvisi di apprendimento.

Per cancellare dati di sistema:

1. Accedere al sensore OT come utente Amministratore. Per altre informazioni, vedere Utenti locali con privilegi predefiniti.

2. Selezionare Supporto>Cancella dati.

3. Nella finestra di dialogo di conferma selezionare Sì per confermare che si desidera cancellare tutti i dati dal sensore e reimpostarlo. Ad esempio:

   

Viene visualizzato un messaggio di conferma che l'azione ha avuto esito positivo. Tutti i dati appresi, gli elenchi consentiti, i criteri e le impostazioni di configurazione vengono cancellati dal sensore.

Gestire i plug-in dei sensori e monitorare le prestazioni del plug-in

Visualizzare i dati per ogni protocollo monitorato dal sensore usando la pagina Protocolli DPI (Plug-in Horizon) nella console del sensore.

1. Accedere alla console del sensore OT e selezionare Impostazioni di sistema > Monitoraggio della rete >Protocolli DPI (Plug-in Horizon).

2. Esegui una delle operazioni seguenti:

   • Per limitare i protocolli monitorati dal sensore, selezionare l'interruttore Abilita/Disabilita per ogni plug-in in base alle esigenze.

   • Per monitorare le prestazioni del plug-in, visualizzare i dati visualizzati nella pagina Protocolli DPI (Plug-in Horizon) per ogni plug-in. Per individuare un plug-in specifico, usare la casella Cerca per immettere parte o tutto il nome di un plug-in.

I Protocolli DPI (Plug-in Horizon) elencano i dati seguenti per ogni plug-in:

I dati di log sono disponibili per l'esportazione nelle statistiche di dissection e nei log di dissection, nei file di log. Per altre informazioni, vedere Esportare i log di risoluzione dei problemi.

Passaggi successivi

Per altre informazioni, vedi:

• Gestire i sensori dalla console di gestione locale
• Rilevare l'attività dei sensori
• Risolvere i problemi del sensore