Przenoszenie środowiska Microsoft Sentinel do portalu usługi Defender

Microsoft Sentinel jest dostępna w portalu Microsoft Defender z Microsoft Defender XDR lub samodzielnie. Zapewnia spójne środowisko pracy w systemach SIEM i XDR, umożliwiając szybsze i dokładniejsze wykrywanie zagrożeń oraz reagowanie na nie, upraszczając przepływy pracy i zwiększając efektywność operacyjną.

W tym artykule wyjaśniono, jak przenieść środowisko Microsoft Sentinel z Azure Portal do portalu usługi Defender. Jeśli używasz Microsoft Sentinel w Azure Portal, przejdź do Microsoft Defender dla ujednoliconych operacji zabezpieczeń i najnowszych funkcji. Zanim zaczniesz, zapoznaj się z wymaganiami wstępnymi do sekcji portalu Defender, aby uzyskać wymagany dostęp i kroki przygotowawcze. Aby uzyskać więcej informacji, zobacz Microsoft Sentinel w portalu Microsoft Defender lub obejrzyj naszą playlistę wideo Microsoft Sentinel w portalu Defender.

Wymagania wstępne

Przed rozpoczęciem należy pamiętać, że:

• Ten artykuł jest przeznaczony dla klientów z istniejącym obszarem roboczym włączonym dla Microsoft Sentinel, którzy chcą przenieść swoje środowisko Microsoft Sentinel do portalu usługi Defender. Jeśli jesteś nowym klientem, który wdrożył uprawnienia właściciela subskrypcji (wbudowana rola Azure) lub administratora dostępu użytkownika (wbudowana rola Azure), Twoje przestrzenie robocze są automatycznie onboardowane do portalu Defender. Więcej informacji znajdziesz w Szybki start: Dołączanie do portalu Defender.

• Niektóre funkcje Microsoft Sentinel mają nowe lokalizacje w portalu usługi Defender. Aby uzyskać więcej informacji, zobacz Quick reference for Microsoft Sentinel feature locations in the Defender portal (Szybkie informacje dotyczące lokalizacji funkcji Microsoft Sentinel w portalu Defender).

• W stosownych przypadkach szczegółowe wymagania wstępne znajdują się w połączonych artykułach dla każdego kroku.

Planowanie i konfigurowanie środowiska przejściowego

Odbiorcy: Architekci zabezpieczeń

Filmy:

• Dołączanie obszaru roboczego Microsoft Sentinel w Microsoft Defender
• Zarządzanie ujednoliconym modelem RBAC w Microsoft Defender

Zapoznaj się ze wskazówkami dotyczącymi planowania, spełnij wymagania wstępne i przejdź proces wdrożenia

Przejrzyj wszystkie wskazówki dotyczące planowania i zakończ wszystkie wymagania wstępne przed dołączeniem obszaru roboczego do portalu usługi Defender. Aby uzyskać więcej informacji, zapoznaj się z następującymi artykułami:

• Planowanie ujednoliconych operacji zabezpieczeń w portalu usługi Defender. Po dołączeniu do portalu usługi Defender rola współautora Microsoft Sentinel jest przypisywana do aplikacji Microsoft Threat Protection i WindowsDefenderATP w subskrypcji.

• Zarządzaj uprawnieniami Microsoft Sentinel i Defender XDR w portalu usługi Defender. Wpis w blogu "Zarządzanie uprawnieniami Microsoft Sentinel i Defender XDR w portalu Defender" zawiera opis sposobu działania uprawnień Microsoft Sentinel i Defender XDR w ujednoliconym Defender portal, czego można oczekiwać podczas przejścia, a także wprowadzenie do nowej ujednoliconej kontroli dostępu opartej na rolach (URBAC). Aby dowiedzieć się więcej o usłudze URBAC, zapoznaj się z artykułem Mapowanie ujednoliconych uprawnień RBAC w usłudze Microsoft Defender XDR na istniejące uprawnienia RBAC.

• Wdróż ujednolicone operacje zabezpieczeń w portalu Defender. Chociaż ten artykuł jest przeznaczony dla nowych klientów, którzy nie mają jeszcze obszaru roboczego Microsoft Sentinel ani innych usług wdrożonych w portalu Defender, możesz skorzystać z niego jako z materiału referencyjnego, jeśli przechodzisz do portalu Defender.

• Połącz Microsoft Sentinel z portalem usługi Defender. Artykuł "Łączenie Microsoft Sentinel z portalem Defender" zawiera listę wymagań wstępnych dotyczących dołączania obszaru roboczego do portalu Defender. Jeśli planujesz używać Microsoft Sentinel bez Defender XDR, musisz wykonać dodatkowy krok, aby wyzwolić połączenie między Microsoft Sentinel a portalem usługi Defender.

Przejrzyj różnice w zakresie przechowywania danych i prywatności

W przypadku korzystania z Azure Portal mają zastosowanie zasady Microsoft Sentinel dotyczące przechowywania, przetwarzania, przechowywania i udostępniania danych. W przypadku korzystania z portalu usługi Defender zasady Microsoft Defender XDR są stosowane nawet w przypadku pracy z danymi Microsoft Sentinel.

Poniższa tabela zawiera dodatkowe informacje i linki, dzięki którym można porównać możliwości dostępne w portalach Azure i Defender.

Aby uzyskać więcej informacji na temat przechowywania i zasad ochrony prywatności danych, zobacz Dostępność geograficzna i miejsce przechowywania danych w Microsoft Sentinel oraz Zabezpieczenia i przechowywanie danych w Microsoft Defender XDR.

Dołączanie do portalu usługi Defender przy użyciu kluczy zarządzanych przez klienta (CMK)

Jeśli przed dołączeniem włączono szyfrowanie CMK, po dołączeniu do portalu Defender obszaru roboczego z włączoną usługą Microsoft Sentinel wszystkie dane dzienników w obszarze roboczym nadal są szyfrowane przy użyciu klucza CMK — w tym zarówno dane pozyskane wcześniej, jak i nowo pozyskiwane.

Reguły analityczne i inna zawartość usługi Sentinel, taka jak reguły automatyzacji, również pozostają szyfrowane przy użyciu klucza CMK. Jednak alerty i incydenty nie będą już szyfrowane kluczem CMK po wdrożeniu.

Aby uzyskać więcej informacji na temat klucza cmk, zobacz Konfigurowanie Microsoft Sentinel klucza zarządzanego przez klienta.

Konfigurowanie zarządzania wieloma obszarami roboczymi i wielodzierżawnością

Defender obsługuje co najmniej jeden obszar roboczy w wielu dzierżawach za pośrednictwem portalu Microsoft Defender dla wielu dzierżaw, który służy jako centralne miejsce do zarządzania incydentami i alertami, wyszukiwania zagrożeń w wielu dzierżawach oraz umożliwia partnerom świadczącym usługi zarządzanego bezpieczeństwa (MSSP) uzyskiwanie wglądu w środowiska klientów.

W scenariuszach obejmujących wiele obszarów roboczych portal wielodzierżawny umożliwia połączenie jednego podstawowego obszaru roboczego i wielu dodatkowych obszarów roboczych dla każdej dzierżawy. Dołącz każdy obszar roboczy do portalu Microsoft Defender oddzielnie dla każdej dzierżawy, tak samo jak w przypadku dołączania dla pojedynczej dzierżawy.

Aby uzyskać więcej informacji na temat konfiguracji wielodostępnej i konfiguracji wielu obszarów roboczych, zobacz:

• Skonfiguruj zarządzanie wielodostępne w Microsoft Defender

• Dokumentacja usługi Azure Lighthouse. Usługa Azure Lighthouse umożliwia korzystanie z danych Microsoft Sentinel z innych dzierżaw we wdrożonych obszarach roboczych. Na przykład możesz uruchamiać zapytania między obszarami roboczymi z operatorem workspace() w obszarze Zaawansowane reguły wyszukiwania zagrożeń i analizy.

• Microsoft Entra B2B. Microsoft Entra B2B umożliwia dostęp do danych między dzierżawami. Szczegółowe uprawnienia administratora delegowanego (GDAP) dla Microsoft Sentinel są dostępne w wersji zapoznawczej.

Konfigurowanie i przeglądanie ustawień i zawartości

Odbiorcy: Inżynierowie ds. zabezpieczeń

Wideo: Zarządzanie łącznikami w Microsoft Defender

Potwierdzanie i konfigurowanie zbierania danych

Po zintegrowaniu Microsoft Sentinel z Microsoft Defender podstawowa architektura zbierania danych i przepływu telemetrii pozostaje nienaruszona. Istniejące łączniki danych nie Microsoft nadal działają bez przerw. Jednak pozyskiwanie alertów dla produktów zabezpieczeń Microsoft ulega zmianie po dołączeniu do portalu Defender przy użyciu Microsoft Defender XDR. Alerty z produktów zabezpieczeń firmy Microsoft są kierowane za pośrednictwem łącznika Microsoft Defender XDR zamiast przez samodzielne łączniki alertów produktów zabezpieczeń firmy Microsoft.

W środowiskach z wieloma obszarami roboczymi łącznik Microsoft Defender XDR jest połączony tylko z podstawowym obszarem roboczym. Aby zapobiec duplikowaniu alertów na poziomie dzierżawy między obszarami roboczymi, autonomiczne łączniki danych dla usług Ochrona usługi Office 365 w usłudze Microsoft Defender, Ochrona Microsoft Entra ID, Microsoft Defender for Cloud Apps, Ochrona punktu końcowego w usłudze Microsoft Defender i Microsoft Defender for Identity są automatycznie odłączane w dodatkowych obszarach roboczych podczas procesu wdrażania. W związku z tym alerty na poziomie dzierżawy z tych produktów zabezpieczeń firmy Microsoft są dostępne tylko w głównym obszarze roboczym.

Z perspektywy Log Analytics integracja Microsoft Sentinel z Microsoft Defender nie zmienia sposobu, w jaki Microsoft Sentinel przechowuje dane dziennika w Log Analytics. Pomimo ujednolicenia frontonu zaplecze Microsoft Sentinel pozostaje w pełni zintegrowane z usługą Log Analytics na potrzeby przechowywania, wyszukiwania i korelacji danych.

Alerty związane z produktami Defender są przesyłane strumieniowo bezpośrednio z łącznika Microsoft Defender w celu zapewnienia spójności. Upewnij się, że w obszarze roboczym masz włączone incydenty i alerty z tego łącznika. Po skonfigurowaniu tego łącznika danych w obszarze roboczym wycofanie obszaru roboczego z usługi Microsoft Defender powoduje również odłączenie łącznika Microsoft Defender.

Aby przeprowadzić migrację ustawień tworzenia zdarzeń przez reguły analityczne i grupowania alertów, zobacz Migrowanie reguł tworzenia zdarzeń Microsoft Sentinel i ustawień grupowania alertów do Defender XDR.

Aby uzyskać więcej informacji, zobacz Łączenie danych z Microsoft Defender z Microsoft Sentinel.

Integracja z usługą Microsoft Defender dla Chmury

Przejrzyj następujące akcje specyficzne dla łącznika, aby uniknąć zduplikowanych zdarzeń podczas integrowania Microsoft Defender dla Chmury z portalem Defender:

• Jeśli używasz łącznika danych opartego na dzierżawie dla usługi Defender dla Chmury, pamiętaj, aby podjąć działania, aby zapobiec zduplikowanym zdarzeniom i alertom.
• Jeśli zamiast tego korzystasz ze starszego złącza opartego na subskrypcji, alerty MDC mogą być nadal przekazywane do Twojego głównego obszaru roboczego usługi Sentinel za pomocą łącznika danych dla usługi Microsoft Defender XDR.

Aby uzyskać więcej informacji, zobacz Alerty i zdarzenia w Microsoft Defender.

Widoczność łącznika danych w portalu usługi Defender

Po dołączeniu obszaru roboczego do usługi Defender następujące łączniki danych są używane do ujednoliconych operacji zabezpieczeń i nie są wyświetlane na stronie Łączniki danych w portalu usługi Defender:

• Microsoft Defender for Cloud Apps - ochrona aplikacji w chmurze.
• Microsoft Defender dla punktów końcowych
• Microsoft Defender for Identity
• Microsoft Defender dla Office 365 (wersja zapoznawcza)
• Microsoft Defender XDR
• Microsoft Defender dla Chmury oparty na subskrypcji (starsza wersja)
• Oparty na dzierżawcy Microsoft Defender dla Chmury (wersja zapoznawcza)

Te łączniki danych są nadal wyświetlane w usłudze Microsoft Sentinel w portalu Azure.

Konfigurowanie ekosystemu

Chociaż menedżer obszaru roboczego Microsoft Sentinel nie jest dostępny w portalu usługi Defender, użyj jednej z następujących alternatywnych możliwości dystrybucji zawartości jako kodu w obszarach roboczych:

• Wdróż zawartość jako kod z repozytorium (publiczna wersja zapoznawcza). Użyj plików YAML lub JSON w GitHubie lub Azure DevOps, aby zarządzać konfiguracjami i wdrażać je w Microsoft Sentinel i Defender przy użyciu ujednoliconych przepływów pracy CI/CD.

• Portal wielodostępny. Portal Microsoft Defender dla wielu dzierżaw umożliwia zarządzanie treściami i ich dystrybucję między wieloma dzierżawami.

W przeciwnym razie kontynuuj wdrażanie pakietów rozwiązań, które zawierają różne typy zawartości zabezpieczeń z centrum zawartości w portalu usługi Defender. Aby uzyskać więcej informacji, zobacz Odnajdywanie zawartości Microsoft Sentinel out-of-the-box i zarządzanie nią.

Konfigurowanie reguł analizy

Reguły analityczne Microsoft Sentinel są dostępne w portalu Defender do wykrywania, konfiguracji i zarządzania. Więcej informacji można znaleźć w konfiguracji Microsoft Sentinel w portalu Defender. Funkcjonalność reguł analitycznych pozostaje bez zmian, w tym tworzenie, aktualizacja i zarządzanie za pomocą kreatora, repozytoriów oraz API Microsoft Sentinel. Korelacja incydentów i wykrywanie ataków wieloetapowych nadal działają w portalu Defender. Funkcja korelacji alertów zarządzana przez regułę analizy Fusion w portalu Azure jest obsługiwana przez aparat Defender XDR w portalu Defender, który konsoliduje wszystkie sygnały w jednym miejscu.

Podczas przechodzenia do portalu usługi Defender należy pamiętać o następujących zmianach:

Konfigurowanie reguł automatyzacji i podręczników

W Microsoft Sentinel podręczniki są oparte na przepływach pracy opartych na Azure Logic Apps, usłudze w chmurze, która ułatwia planowanie, automatyzowanie i organizowanie zadań i przepływów pracy w różnych systemach w całym przedsiębiorstwie.

Poniższe ograniczenia dotyczą reguł automatyzacji Microsoft Sentinel i plików playbook podczas pracy w portalu Defender. Podczas dokonywania przejścia może być konieczne wprowadzenie pewnych zmian w środowisku.

Konfigurowanie interfejsów API

Ujednolicona obsługa w portalu Defender wprowadza istotne zmiany dotyczące incydentów i alertów z interfejsów API. Obsługuje ona wywołania interfejsu API oparte na interfejsie API REST programu Microsoft Graph w wersji 1.0, który może służyć do automatyzacji związanej z alertami, zdarzeniami, zaawansowanym wyszukiwaniem zagrożeń i nie tylko.

Interfejs API Microsoft Sentinel nadal obsługuje akcje dotyczące zasobów Microsoft Sentinel, takich jak reguły analizy, reguły automatyzacji i inne. W przypadku interakcji z ujednoliconymi zdarzeniami i alertami zalecamy użycie interfejsu API REST programu Microsoft Graph. Jeśli używasz interfejsu API Microsoft Sentinel do interakcji z zdarzeniami Microsoft SentinelSecurityInsights, może być konieczne zaktualizowanie warunków automatyzacji i kryteriów wyzwalania ze względu na zmiany w treści odpowiedzi.

Poniższa tabela zawiera listę pól, które są ważne w fragmentach kodu odpowiedzi, i porównuje je w portalach Azure i Defender:

Uruchamianie operacji w portalu Defender

Odbiorcy: Analitycy zabezpieczeń

Filmy:

• Odnajdywanie zawartości Microsoft Sentinel i analizy zagrożeń oraz zarządzanie nią w Microsoft Defender
• Tworzenie automatyzacji i skoroszytów w Microsoft Defender
• Korelacja alertów w Microsoft Defender
• Badanie incydentów w Microsoft Defender
• Zarządzanie sprawami w Microsoft Defender
• Zaawansowane wyszukiwanie zagrożeń w Microsoft Defender
• Optymalizacje SOC w Microsoft Defender

Aktualizowanie procesów klasyfikacji zdarzeń dla portalu usługi Defender

Jeśli używasz Microsoft Sentinel w Azure Portal, zauważysz znaczące ulepszenia środowiska użytkownika w portalu usługi Defender. Chociaż może być konieczne zaktualizowanie procesów SOC i ponowne trenowanie analityków, projekt konsoliduje wszystkie istotne informacje w jednym miejscu, aby zapewnić bardziej usprawnione i wydajne przepływy pracy.

Ujednolicona kolejka incydentów w portalu Defender konsoliduje wszystkie incydenty z różnych produktów w jednym widoku, co wpływa na sposób, w jaki analitycy priorytetyzują incydenty, które teraz zawierają wiele alertów z różnych domen zabezpieczeń. Przykład:

• Tradycyjnie analitycy nadają priorytet incydentom na podstawie określonych obszarów bezpieczeństwa lub swojej specjalizacji, często obsługując zgłoszenia według encji, takiej jak użytkownik lub host. Takie podejście może tworzyć ślepe punkty, którym ma zaradzić ujednolicona platforma.
• Gdy atakujący przemieszcza się lateralnie, powiązane alerty mogą trafiać do oddzielnych incydentów ze względu na różne domeny bezpieczeństwa. Ujednolicone środowisko eliminuje ten problem, zapewniając kompleksowy widok, zapewniając, że wszystkie powiązane alerty są skorelowane i zarządzane spójnie.

Analitycy mogą również wyświetlać źródła wykrywania i nazwy produktów w portalu usługi Defender oraz stosować i udostępniać filtry w celu zwiększenia wydajności klasyfikacji zdarzeń i alertów.

Ujednolicony proces klasyfikacji może pomóc zmniejszyć obciążenia analityków, a nawet potencjalnie połączyć role analityków warstwy 1 i 2. Jednak ujednolicony proces klasyfikacji może również wymagać szerszej i głębszej wiedzy analityków. Zalecamy trenowanie nowego interfejsu portalu, aby zapewnić płynne przejście.

Portal Defender udostępnia również funkcje badania, które nie są dostępne w portalu Azure, w tym historię ataku i graf incydentu do wizualizacji pełnej skali ataku oraz analizę zasięgu rozprzestrzeniania, aby pomóc analitykom wizualizować możliwe ścieżki propagacji, oceniać wpływ na działalność firmy i nadawać priorytet działaniom ograniczającym.

Aby uzyskać więcej informacji, zobacz Incydenty i alerty w portalu Microsoft Defender.

Opis sposobu korelowania alertów i scalania zdarzeń w portalu usługi Defender

Aparat korelacji usługi Defender scala zdarzenia, gdy rozpoznaje typowe elementy między alertami w oddzielnych zdarzeniach. Gdy nowy alert spełnia kryteria korelacji, Microsoft Defender agreguje i koreluje go z innymi powiązanymi alertami ze wszystkich źródeł wykrywania w nowym zdarzeniu. Po dołączeniu Microsoft Sentinel do portalu usługi Defender ujednolicona kolejka zdarzeń ujawnia bardziej kompleksowy atak, dzięki czemu analitycy są bardziej wydajni i zapewniają pełną historię ataku.

W scenariuszach obejmujących wiele obszarów roboczych tylko alerty z podstawowego obszaru roboczego są skorelowane z danymi Microsoft Defender XDR. Istnieją również konkretne scenariusze, w których zdarzenia nie są scalane.

Po dołączeniu Microsoft Sentinel do portalu usługi Defender następujące zmiany dotyczą zdarzeń i alertów:

Aby uzyskać więcej informacji, zobacz Zdarzenia i alerty w portalu Microsoft Defender oraz Scalanie korelacji alertów i zdarzeń w portalu Microsoft Defender.

Zanotuj zmiany w dochodzeniach z użyciem zaawansowanego wyszukiwania zagrożeń

Po wdrożeniu usługi Microsoft Sentinel w portalu Defender możesz uzyskiwać dostęp do wszystkich istniejących tabel dzienników, zapytań w języku Kusto Query Language (KQL) i funkcji oraz korzystać z nich na stronie Zaawansowane wyszukiwanie zagrożeń. Wszystkie alerty usługi Microsoft Sentinel powiązane z incydentami są pozyskiwane do tabeli AlertInfo, do której można uzyskać dostęp na stronie Zaawansowane wyszukiwanie.

Zakładki nie są dostępne w funkcji Zaawansowane wyszukiwanie zagrożeń, która zapewnia ujednolicone środowisko wykonywania zapytań w danych z usług Microsoft Defender i Microsoft Sentinel. Jednak zakładki są nadal dostępne w Microsoft Sentinel>Zarządzanie zagrożeniami>Hunting, które zapewnia środowisko wyszukiwania zagrożeń specyficzne dla usługi Microsoft Sentinel. Możesz również użyć alternatyw, takich jak tagi zdarzeń, zapisane zapytania lub niestandardowe tabele wyszukiwania, aby zachować i śledzić kontekst badania.

Aby uzyskać więcej informacji, zobacz Advanced hunting with Microsoft Sentinel data in Microsoft Defender (Zaawansowane wyszukiwanie zagrożeń za pomocą danych Microsoft Sentinel w Microsoft Defender), szczególnie listę znanych problemów dotyczących zaawansowanego wyszukiwania zagrożeń przy użyciu danych Microsoft Sentinel oraz Śledzenie danych podczas wyszukiwania za pomocą Microsoft Sentinel.

Analizowanie przy użyciu encji w portalu Defender

W portalu Microsoft Defender jednostki są zazwyczaj zasobami, takimi jak konta, hosty, skrzynki pocztowe lub dowody, takie jak adresy IP, pliki lub adresy URL.

Po dołączeniu Microsoft Sentinel do portalu Defender strony jednostek użytkowników, jednostek urządzeń i adresów IP są konsolidowane w jednym widoku z kompleksowym widokiem działania i kontekstu jednostki oraz danych zarówno z Microsoft Sentinel, jak i Microsoft Defender XDR.

Portal Defender udostępnia również globalny pasek wyszukiwania, który centralizuje wyniki ze wszystkich encji, umożliwiając przeszukiwanie rozwiązań SIEM i XDR.

Aby uzyskać więcej informacji, zobacz Strony jednostki w Microsoft Sentinel.

Analizowanie przy użyciu UEBA w portalu Defender

Większość funkcji analizy zachowań użytkowników i jednostek (UEBA) pozostaje taka sama w portalu Defender, jak w portalu Azure, z wyjątkami dotyczącymi dodawania jednostek do analizy zagrożeń i IdentityInfo różnic schematu tabeli:

• Dodawanie jednostek do analizy zagrożeń z incydentów jest obsługiwane tylko w Azure Portal. Aby uzyskać więcej informacji, zobacz Dodawanie jednostki do wskaźników zagrożeń.

• Po wdrożeniu usługi Microsoft Sentinel w portalu Microsoft Defender tabela IdentityInfo jest dostępna zarówno w funkcji Zaawansowane wyszukiwanie zagrożeń w Microsoft Defender, jak i w obszarze roboczym usługi Log Analytics w Microsoft Sentinel. Wersja funkcji Advanced hunting zawiera ujednolicone pola z usługi Defender XDR i platformy Microsoft Sentinel. Niektóre pola dostępne w wersji Microsoft Sentinel Log Analytics zostały przemianowane lub nie są obsługiwane w trybie Advanced hunting.

  Koniecznie przejrzyj i zaktualizuj wszystkie zapytania uruchamiane w Microsoft Defender, takie jak zaawansowane zapytania poszukiwania czy niestandardowe wykrywania. Reguły analityczne Microsoft Sentinel, skoroszyty i inne zapytania Sentinel nadal używają tabeli IdentityInfo w obszarze roboczym Log Analytics i pozostają bez zmian.

  Więcej informacji oraz porównanie schematów tabel w Advanced hunting experience i Log Analytics można znaleźć w tabeli IdentityInfo.

Aktualizowanie procesów badania w celu używania analizy zagrożeń Microsoft Defender

W przypadku klientów usługi Microsoft Sentinel przechodzących z portalu Azure do portalu Defender znane funkcje analizy zagrożeń są nadal dostępne w portalu Defender w obszarze Zarządzanie analizą zagrożeń i uzupełnione o inne funkcje analizy zagrożeń dostępne w portalu Defender. Obsługiwane funkcje zależą od posiadanych licencji, takich jak:

W portalu Defender użyj elementów ThreatIntelObjects i ThreatIntelIndicators razem ze wskaźnikami kompromisu do wyszukiwania zagrożeń, reagowania na incydenty, korzystania z rozwiązania Copilot, raportowania oraz tworzenia wykresów relacyjnych przedstawiających połączenia między wskaźnikami a encjami.

W przypadku klientów korzystających z kanału informacyjnego Microsoft Defender Threat Intelligence (MDTI) bezpłatna wersja jest dostępna za pośrednictwem łącznika danych Microsoft Sentinel dla rozwiązania MDTI. Użytkownicy z licencjami MDTI mogą również pozyskiwać dane MDTI i używać Security Copilot do analizy zagrożeń, aktywnego przeglądu zagrożeń i badań aktorów zagrożeń.

Aby uzyskać więcej informacji na temat zarządzania zagrożeniami, analizy zagrożeń, projektów analizy zagrożeń i analizy zagrożeń w Microsoft Sentinel, zobacz:

• Zarządzanie zagrożeniami
• Analiza zagrożeń w Microsoft Defender XDR
• Wskaźniki powiązania ze sprawą
• Analiza zagrożeń w Microsoft Sentinel

Wizualizowanie i raportowanie danych Microsoft Defender przy użyciu skoroszytów

Skoroszyty Azure nadal pozostają podstawowym narzędziem do wizualizacji danych i interakcji w portalu Defender, działając tak samo jak w portalu Azure.

Aby używać skoroszytów z danymi z zaawansowanego wyszukiwania zagrożeń, upewnij się, że dzienniki są importowane do Microsoft Sentinel.

Aby uzyskać więcej informacji, zobacz Wizualizowanie i monitorowanie danych przy użyciu skoroszytów w Microsoft Sentinel.

Podobne incydenty (wersja zapoznawcza) nie są obsługiwane w portalu Defender

Funkcja Microsoft Sentinel podobne incydenty w dochodzeniach dotyczących spraw jest w wersji zapoznawczej i nie jest obsługiwana w portalu Defender. Ponieważ ta funkcja nie jest wspierana w portalu Defender, zakładka Podobne incydenty nie jest dostępna na stronie szczegółów incydentów.

Zawartość pokrewna

Skorzystaj z następujących zasobów, aby dowiedzieć się więcej na temat przejścia Microsoft Sentinel do portalu Defender:

• Najlepsze z Microsoft Sentinel — teraz w Microsoft Defender (blog)
• Obejrzyj webinarium: Przejście na ujednoliconą platformę SOC: dogłębna analiza i interaktywna sesja pytań i odpowiedzi dla specjalistów SOC.
• Zobacz często zadawane pytania w blogu TechCommunity lub Microsoft Community Hub.
• Przejrzyj różnice schematu alertów między łącznikami autonomicznymi i Microsoft Defender XDR