Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
In de wachtrij Waarschuwingen ziet u een lijst met waarschuwingen die afkomstig zijn van apparaten in uw netwerk. Standaard toont de wachtrij waarschuwingen die in de afgelopen zeven dagen zijn gezien, in gegroepeerde weergave. De meest recente meldingen staan bovenaan de lijst.
Opmerking
De waarschuwingen worden aanzienlijk verminderd door geautomatiseerd onderzoek en herstel. Deze praktijk stelt beveiligingsoperatie-experts in staat zich te richten op meer geavanceerde dreigingen en andere hoogwaarde-initiatieven.
Wanneer een waarschuwing een ondersteunde entiteit voor geautomatiseerd onderzoek bevat, zoals een bestand, in een apparaat dat een ondersteund besturingssysteem heeft, kunnen geautomatiseerd onderzoek en herstel starten. Zie Overzicht van geautomatiseerde onderzoeken voor meer informatie.
Er zijn verschillende opties waaruit u kunt kiezen om de weergave voor waarschuwingen aan te passen.
In de bovenste navigatie kunt u het volgende doen:
- Kolommen aanpassen om kolommen toe te voegen of te verwijderen
- Filters toepassen
- De waarschuwingen weergeven voor een bepaalde duur, zoals 1 dag, 3 dagen, 1 week, 30 dagen en 6 maanden
- De lijst met waarschuwingen exporteren naar Excel
- Waarschuwingen beheren
Waarschuwingen sorteren en filteren
U kunt de volgende filters toepassen om de lijst met waarschuwingen te beperken en een meer gerichte weergave van de waarschuwingen te krijgen.
Ernstniveau
| Waarschuwingsniveau | Beschrijving |
|---|---|
| Hoog (Rood) |
Waarschuwingen die vaak worden weergegeven in verband met geavanceerde persistente bedreigingen (APT). Deze waarschuwingen wijzen op een hoog risico vanwege de ernst van de schade die ze aan apparaten kunnen toebrengen. Enkele voorbeelden zijn: activiteiten met hulpprogramma's voor het stelen van inloggegevens, ransomware-activiteiten die niet zijn gekoppeld aan een groep, manipulatie met beveiligingssensoren of kwaadwillende activiteiten die duiden op een menselijke aanvaller. |
| Middel (Oranje) |
Waarschuwingen over gedrag na een inbreuk dat door endpoint detection and response wordt gedetecteerd en dat deel kan uitmaken van een advanced persistent threat (APT). Deze gedragingen omvatten waargenomen gedrag typisch voor aanvalsfasen, afwijkende registerwijzigingen en uitvoering van verdachte bestanden. Hoewel sommige deel kunnen uitmaken van interne beveiligingstests, vereist dit ernstniveau onderzoek omdat het ook deel kan uitmaken van een geavanceerde aanval. |
| Laag (Geel) |
Waarschuwingen over bedreigingen die verband houden met gangbare malware. Bijvoorbeeld, hack-tools, niet-malware hacktools, zoals het uitvoeren van verkenningscommando's en het wissen van logs, die vaak geen geavanceerde dreiging aangeven die de organisatie als doelwit heeft. Dit niveau kan ook voortkomen uit het testen van een geïsoleerde beveiligingstool door een gebruiker binnen jouw organisatie. |
| Informatief (Grijs) |
Waarschuwingen die mogelijk niet als schadelijk voor het netwerk worden beschouwd, maar die de organisatie bewust kunnen maken van mogelijke beveiligingsproblemen. |
De ernst van waarschuwingen begrijpen
De waarschuwingsernstniveaus van Microsoft Defender Antivirus en Defender for Endpoint verschillen, omdat ze verschillende toepassingsgebieden vertegenwoordigen.
- De ernst van de dreiging van Microsoft Defender Antivirus vertegenwoordigt de absolute ernst van de gedetecteerde dreiging (malware). Het wordt toegewezen op basis van het potentiële risico voor het betreffende apparaat, als het geïnfecteerd is.
- De ernst van de Defender for Endpoint-alert vertegenwoordigt de ernst van het gedetecteerde gedrag, wat het daadwerkelijke risico voor het apparaat is, maar belangrijker nog, het potentiële risico voor de organisatie.
Voorbeeld:
- De ernst van een Defender for Endpoint-waarschuwing over een door Microsoft Defender Antivirus gedetecteerde dreiging die werd voorkomen en het apparaat niet infecteerde, wordt als informatief geclassificeerd omdat er geen daadwerkelijke schade was.
- Commerciële malware die wordt gedetecteerd tijdens het draaien maar wordt geblokkeerd en gecorrigeerd door Microsoft Defender Antivirus, genereert een Laag waarschuwing omdat het mogelijk schade aan het individuele apparaat heeft veroorzaakt, maar geen organisatorische bedreiging vormt.
- Malware die tijdens het draaien wordt gedetecteerd en een bedreiging kan vormen voor zowel het individuele apparaat als de organisatie, kan als Medium of Hoog worden beoordeeld, ongeacht of deze uiteindelijk wordt geblokkeerd.
- Verdachte gedragswaarschuwingen, die niet zijn geblokkeerd of verholpen, worden beoordeeld als Laag, Medium of Hoog op basis van dezelfde organisatorische dreigingsoverwegingen.
Status
Je kunt ervoor kiezen de lijst met meldingen te filteren op basis van hun status.
Opmerking
Als je een waarschuwingsstatus van het type niet-ondersteund waarschuwingstype ziet, betekent dat dat geautomatiseerde onderzoeksmogelijkheden die waarschuwing niet kunnen oppikken om een geautomatiseerd onderzoek uit te voeren. Je kunt deze meldingen handmatig onderzoeken.
Categorieën
Microsoft herdefinieerde de waarschuwingscategorieën om aan te sluiten bij de
Servicebronnen
U kunt de waarschuwingen filteren op basis van de volgende servicebronnen:
- Microsoft Defender for Identity
- Microsoft Defender voor Cloud-apps
- Microsoft Defender voor Eindpunt
- Microsoft Defender XDR
- Microsoft Defender voor Office 365
- App-beheer
- Microsoft Entra Id-beveiliging (Bescherming van ID's binnen Microsoft Entra)
Klanten van Microsoft Endpoint Notification kunnen nu detecties van de service filteren en zien door te filteren op Microsoft Defender Experts, genest onder de Microsoft Defender voor Eindpunt-servicebron.
Opmerking
Het antivirusfilter verschijnt alleen als apparaten Microsoft Defender Antivirus gebruiken als standaard realtime beveiligingsantimalwareproduct.
Tags
U kunt de waarschuwingen filteren op basis van tags die zijn toegewezen aan waarschuwingen.
Beleid
U kunt de waarschuwingen filteren op basis van de volgende beleidsregels:
| Detectiebron | API-waarde |
|---|---|
| Sensoren van derden | ThirdPartySensors |
| Antivirus | WindowsDefenderAv |
| Geautomatiseerd onderzoek | AutomatedInvestigation |
| Aangepaste detectie | CustomDetection |
| Aangepast TI | CustomerTI |
| EDR | WindowsDefenderAtp |
| Microsoft Defender XDR | MTP |
| Microsoft Defender voor Office 365 | OfficeATP |
| Microsoft Defender Experts | ThreatExperts |
| SmartScreen | WindowsDefenderSmartScreen |
Entiteiten
U kunt de waarschuwingen filteren op basis van de naam of id van de entiteit.
Status van het geautomatiseerde onderzoek
U kunt ervoor kiezen om de waarschuwingen te filteren op basis van hun status van geautomatiseerd onderzoek.
Verwante onderwerpen
- Microsoft Defender voor Eindpunt-waarschuwingen beheren
- Microsoft Defender voor Eindpunt-waarschuwingen onderzoeken
- Een bestand onderzoeken dat is gekoppeld aan een Microsoft Defender voor Eindpunt-waarschuwing
- Apparaten onderzoeken in de lijst met apparaten van Microsoft Defender voor Eindpunt
- Een IP-adres onderzoeken dat is gekoppeld aan een Microsoft Defender voor Eindpunt-waarschuwing
- Een domein onderzoeken dat is gekoppeld aan een Microsoft Defender voor Eindpunt-waarschuwing
- Een gebruikersaccount onderzoeken in Microsoft Defender voor Eindpunt