Microsoft chiude il portale legacy di Threat Intelligence: cosa cambia e cosa verificare prima del 1 agosto
Microsoft sta per disattivare il portale legacy di Threat Intelligence il 1 agosto, costringendo le squadre di sicurezza a verificare i propri flussi di lavoro investigativi prima della scadenza. I clienti esistenti di Defender Threat Intelligence possono continuare a utilizzare l'esperienza attuale del prodotto fino alla data di cutoff.
Microsoft sta migrando tutte le funzionalità di Threat Intelligence nel portale Defender. Le squadre di sicurezza devono verificare licenze, permessi, progetti investigativi e integrazioni automatizzate prima del 1 agosto per evitare interruzioni durante un incidente. Le quattro verifiche essenziali includono: test di licenze e permessi, prove di investigazioni e progetti, audit di API e integrazioni, e aggiornamento di runbook e formazione.
Il portale legacy e l'esperienza Intel Explorer verranno disattivati, ma alcune funzionalità rimarranno disponibili. Gli utenti possono ancora accedere ai profili Intel, all'Intel Explorer e ai progetti Intel all'interno del portale integrato. Tuttavia, l'accesso varia in base alla licenza e alle funzionalità specifiche.
Accesso e licenze: cosa cambia
Microsoft richiede una licenza Premium per l'accesso completo alle funzionalità di Defender Threat Intelligence. Gli utenti senza licenza Premium possono comunque utilizzare un'offerta gratuita, ma gli amministratori devono identificare quali analisti necessitano di intelligence premium, informazioni specifiche del tenant o altre capacità concesse in licenza.
La transizione fa parte di una serie di scadenze di supporto Microsoft che le squadre IT dovranno affrontare nel 2026. Un login di successo al portale non garantisce che ogni analista, progetto o flusso di lavoro automatizzato sia pronto per l'uso.
Quattro verifiche essenziali prima del 1 agosto
Per garantire una transizione senza intoppi, le squadre di sicurezza devono completare quattro verifiche fondamentali prima della chiusura del portale legacy.
1. Conferma licenze e permessi
Testare gli account utilizzati dagli analisti e dai cacciatori di minacce invece di fare affidamento su un login amministrativo. Confermare che ogni account possa accedere ai profili Intel, all'Intel Explorer, ai progetti Intel e alle funzionalità di arricchimento entità e aprire i progetti assegnati.
Rivedere le politiche di Accesso Condizionato e autenticazione per gli account interessati. Una recente campagna che ha sfruttato una lacuna di autenticazione dell'Azure CLI ha dimostrato come i percorsi di accesso individuali possano cadere al di fuori di controlli configurati in modo ristretto.
Documentare le licenze e i ruoli di cui ogni flusso di lavoro ha bisogno in modo che i team di supporto possano distinguere i problemi di entitlement dai permessi errati.
2. Test di investigazioni e progetti
Eseguire investigazioni comuni nel portale Defender, incluse ricerche di indirizzi IP, domini, URL e file. Confermare che gli analisti possano accedere ai profili di minaccia, ai dati di arricchimento e ai progetti attivi.
La documentazione di Microsoft su Intel projects afferma che la pagina dei progetti visualizza i progetti di proprietà dell'utente o quelli condivisi da altri utenti nel tenant. I proprietari dei progetti dovrebbero verificare l'accesso dei collaboratori e esportare indicatori o note critici quando la politica organizzativa richiede una copia separata.
3. Audit di API e integrazioni
Inventariare ogni script, connettore, lavoro di arricchimento e playbook SOAR che consuma dati Defender TI. Includere anche gli strumenti connessi all'IA nella revisione; Microsoft ha separatamente avvertito che le descrizioni degli strumenti MCP possono reindirizzare gli agenti in azioni non intenzionali.
Registrare il punto finale, il metodo di autenticazione, i permessi Microsoft Graph, i requisiti di licenza e il proprietario di ogni integrazione. Quindi testare una richiesta rappresentativa.
Microsoft continua a pubblicare la documentazione dell'API di Defender Threat Intelligence, ma la pagina elenca ancora una licenza attiva del portale Defender Threat Intelligence e un add-on API come prerequisiti. I proprietari delle API dovrebbero confermare il post-licenza di ritiro con Microsoft invece di assumere che l'accesso attuale continuerà inalterato.
4. Aggiornamento di runbook e formazione
Aggiornare runbook, guide di onboarding, segnalibri e screenshot che indirizzano gli analisti al portale standalone. Sostituire le istruzioni obsolete con la posizione corrispondente nel portale Defender.
I record di integrazione dovrebbero identificare il punto finale, i permessi, la licenza e il proprietario di ogni flusso di lavoro automatizzato. Le squadre che non hanno completato la migrazione dovrebbero testare l'accesso e le integrazioni prima del 1 agosto, quando una dipendenza non verificata potrebbe diventare un ritardo nella risposta agli incidenti.
Per ulteriori approfondimenti, è possibile esaminare come BitLocker, passkeys e Microsoft Defender lavorano insieme e dove le protezioni aziendali richiedono licenze separate.
Impatto sulla sicurezza e considerazioni operative
La migrazione delle funzionalità di Threat Intelligence nel portale Defender rappresenta un cambiamento significativo per le squadre di sicurezza, con implicazioni che vanno oltre la semplice transizione tecnologica. L'integrazione con Defender XDR e Microsoft Sentinel richiede una pianificazione attenta per garantire che le capacità investigative non siano compromesse durante il passaggio.
Un aspetto critico è la necessità di verificare l'accesso a dati specifici del tenant, che potrebbero essere essenziali per investigazioni su minacce avanzate. Gli analisti dovrebbero essere addestrati a identificare rapidamente le informazioni disponibili nel nuovo portale e a comprendere eventuali limitazioni delle licenze gratuite rispetto a quelle Premium.
Prepararsi per scenari di emergenza
Le squadre di sicurezza dovrebbero sviluppare piani di emergenza per scenari in cui l'accesso al portale Defender venga compromesso. Questo include la creazione di backup manuali di progetti Intel critici e la documentazione di procedure alternative per l'accesso alle informazioni di intelligence.
La recente campagna che ha sfruttato una lacuna di autenticazione dell'Azure CLI sottolinea l'importanza di una revisione completa delle politiche di accesso condizionato. Gli amministratori dovrebbero considerare l'implementazione di controlli aggiuntivi per gli account con privilegi elevati, come l'uso di app di autenticazione a più fattori specifiche per l'accesso al portale Defender.
Integrazioni con altre soluzioni di sicurezza
La migrazione offre l'opportunità di rivedere l'integrazione tra Defender Threat Intelligence e altre soluzioni di sicurezza utilizzate nell'organizzazione. Ad esempio, le informazioni di intelligence potrebbero essere utilizzate per arricchire i dati di sicurezza raccolti da sistemi SIEM o per migliorare le capacità di rilevamento delle minacce di endpoint protection.
Formazione e cambiamento organizzativo
La transizione richiede non solo aggiornamenti tecnici, ma anche un cambiamento organizzativo. Gli analisti devono essere formati sulle nuove funzionalità del portale Defender e sulle differenze rispetto all'esperienza Intel Explorer. Questo include la comprensione di come accedere ai profili di minaccia, utilizzare l'Intel Explorer e gestire i progetti Intel nel nuovo ambiente.
Le squadre di supporto IT dovrebbero essere preparate a gestire eventuali problemi di entitlement o permessi che potrebbero sorgere durante la transizione. La documentazione dettagliata delle licenze e dei ruoli richiesti per ogni flusso di lavoro è essenziale per risolvere rapidamente questi problemi.
Considerazioni per il futuro
La chiusura del portale legacy è solo una delle diverse scadenze di supporto che le squadre IT dovranno affrontare nel 2026. Le organizzazioni dovrebbero iniziare a pianificare per queste scadenze, identificando le dipendenze critiche e sviluppando piani di migrazione proattiva.
In particolare, le squadre di sicurezza dovrebbero monitorare gli aggiornamenti di Microsoft riguardanti l'API di Defender Threat Intelligence. La documentazione attuale indica che una licenza attiva del portale Defender Threat Intelligence e un add-on API sono prerequisiti, ma queste condizioni potrebbero cambiare dopo la migrazione. I proprietari delle API dovrebbero mantenere un dialogo aperto con Microsoft per garantire una transizione fluida.
La migrazione al portale Defender rappresenta un'opportunità per rafforzare le capacità di intelligence di sicurezza dell'organizzazione. Tuttavia, richiede una pianificazione attenta e una preparazione approfondita per garantire che le squadre di sicurezza possano continuare a operare senza interruzioni. Con le giuste misure in atto, le organizzazioni possono navigare con successo questa transizione e migliorare la loro postura di sicurezza complessiva.
Nota Editoriale e Disclaimer
Le guide e i contenuti pubblicati su GoYou sono frutto di attività di ricerca e analisi indipendente, a scopo informativo, educativo e di approfondimento.
GoYou non costituisce una testata giornalistica né un prodotto editoriale ai sensi della Legge n. 62/2001 e non svolge attività di informazione in tempo reale.
Il progetto GoYou non fornisce consulenza professionale, tecnica, legale o finanziaria e declina ogni responsabilità per l’uso improprio delle informazioni pubblicate.
Nel settore Crypto, ogni investimento comporta rischi: si invita il lettore a informarsi sempre in modo autonomo prima di assumere qualsiasi decisione.