Microsoft Defender e Intune

Identità applicativa

Da Integrazioni → Aggiungi integrazione scegli Microsoft Defender for Endpoint. Nel wizard questo provider espone la capacità inventory. Il tenant Microsoft identifica la directory Entra: non è il tenant ShadowThreat.

Campo	Cosa inserire
Integration name	Nome descrittivo obbligatorio, massimo 120 caratteri nella UI.
Microsoft tenant ID	Directory (tenant) ID di Entra; il backend richiede un UUID.
Application ID	Application (client) ID della registrazione applicativa; UUID.
Client secret	Value della credenziale, non Secret ID. Obbligatorio alla creazione, massimo 4096 caratteri nel validatore del wizard.

In modifica lascia Client secret vuoto per mantenere il valore esistente. Il segreto non viene restituito come valore leggibile e non è conservato nelle bozze del browser. Inserire un nuovo valore sostituisce la credenziale: poi verificare la sincronizzazione.

Permessi richiesti dal connettore

Il pannello di configurazione del portale richiede permessi Application WindowsDefenderATP Machine.ReadWrite.All, Software.Read.All, Vulnerability.Read.All con consenso amministratore. AdvancedQuery.Read.All serve ai pivot sugli eventi; Microsoft Graph DeviceManagementManagedDevices.Read.All serve quando si abilita l'arricchimento Intune.

Questa lista descrive il connettore della versione documentata. Il client ID corretto e un segreto valido non sostituiscono il consenso sui permessi dell'applicazione.

Dati da raccogliere

Interruttore	Default UI e adapter	Effetto
Defender devices	Attivo	Acquisisce dispositivi Defender for Endpoint.
Intune managed devices	Attivo	Arricchisce con dispositivi gestiti Intune; richiede il permesso Graph.
Installed software	Attivo	Acquisisce riepiloghi software dei dispositivi Defender.
Vulnerabilities	Attivo	Acquisisce riepiloghi delle vulnerabilità dei dispositivi Defender.

Advanced Defender settings

I default seguenti sono verificati nello schema dell'adapter e si applicano quando l'opzione manca. I campi avanzati vuoti nel modulo vengono omessi; un connettore esistente carica la configurazione salvata.

Campo	Default	Validazione e significato
Defender API URL	https://api.security.microsoft.com	URL valido; override per la destinazione regionale pertinente.
Defender OAuth scope	https://api.securitycenter.microsoft.com/.default	Scope del token Defender.
Microsoft Graph API URL	https://graph.microsoft.com/v1.0	URL base Graph.
Microsoft Graph OAuth scope	https://graph.microsoft.com/.default	Scope del token Graph.
Defender device filter	Nessuno	Filtro OData applicato alla raccolta dispositivi Defender.
Intune device filter	Nessuno	Filtro OData della raccolta managed devices.
Defender page size	10000	Intero 1–10000; dimensione della pagina di raccolta, non tetto totale degli asset.
Microsoft Graph page size	100	Intero 1–999.
Software summary limit	25	Intero 1–100; limite del riepilogo software.
Vulnerability summary limit	25	Intero 1–100; limite del riepilogo vulnerabilità.

I filtri restringono ciò che il connettore raccoglie: un asset assente può dipendere dal filtro, dai permessi o dalla sincronizzazione. Non modificare uno scope OAuth come se fosse un filtro di inventario.

Salvataggio e verifica

Completa i controlli preliminari e l'attivazione del wizard. Verifica prima la configurazione applicata, poi last sync e i dati inventariati. La modifica di un connettore esistente usa la revisione letta: se nel frattempo cambia la configurazione, ricaricare prima di riprovare.

Per gli alert Defender e la relativa pianificazione consulta Asset e Detection. L'attivazione dell'inventario nel wizard non dimostra, da sola, l'acquisizione degli alert.

Problema	Controlli
Errore di autenticazione	Directory, Application ID, valore e scadenza del segreto.
Autenticazione riuscita, dati negati	Permessi Application e consenso amministratore per la risorsa interrogata.
Solo dati Intune mancanti	Interruttore, permesso Graph, filtro Intune e ultima sincronizzazione.
Dati parziali	Esito della sincronizzazione, filtri e limiti dei riepiloghi prima di confrontare il numero degli elementi.
Aggiornamento non confermato	Riapri l'operazione e verifica readback/revisione; non creare un duplicato.