Alerty i zdarzenia usługi Microsoft Defender dla Chmury w usłudze Microsoft Defender XDR

Dotyczy:

Usługa Microsoft Defender dla Chmury jest zintegrowana z rozszerzoną funkcją wykrywania i reagowania w usłudze Microsoft Defender (XDR). Ta integracja umożliwia zespołom ds. zabezpieczeń dostęp do alertów i zdarzeń usługi Defender dla Chmury w portalu usługi Microsoft Defender. Ta integracja zapewnia bogatszy kontekst do badań obejmujących zasoby, urządzenia i tożsamości w chmurze.

Współpraca z usługą Microsoft Defender XDR umożliwia zespołom ds. zabezpieczeń uzyskanie pełnego obrazu ataku, w tym podejrzanych i złośliwych zdarzeń występujących w środowisku chmury. Zespoły ds. zabezpieczeń mogą osiągnąć ten cel poprzez natychmiastowe korelacje alertów i zdarzeń.

Usługa Microsoft Defender XDR oferuje kompleksowe rozwiązanie, które łączy funkcje ochrony, wykrywania, badania i reagowania. Rozwiązanie chroni przed atakami na urządzenia, pocztę e-mail, współpracę, tożsamość i aplikacje w chmurze. Nasze możliwości wykrywania i badania są teraz rozszerzane na jednostki w chmurze, oferując zespołom ds. operacji zabezpieczeń pojedyncze okienko szkła w celu znacznego zwiększenia wydajności operacyjnej.

Zdarzenia i alerty są teraz częścią publicznego interfejsu API usługi Microsoft Defender XDR. Ta integracja umożliwia eksportowanie danych alertów zabezpieczeń do dowolnego systemu przy użyciu jednego interfejsu API. W Microsoft Defender dla Chmury dokładamy wszelkich starań, aby zapewnić naszym użytkownikom najlepsze możliwe rozwiązania zabezpieczeń, a integracja ta stanowi znaczący krok w kierunku osiągnięcia tego celu.

Wymagania wstępne

Włącz usługę Defender dla Chmury w ramach subskrypcji platformy Azure.
Dostęp do alertów usługi Defender dla Chmury w portalu usługi Microsoft Defender zależy od tego, które plany usługi Defender dla Chmury są włączone. Dowiedz się więcej o różnych zabezpieczeniach planu usługi Defender dla Chmury.

Note

Uprawnienia do wyświetlania alertów i korelacji usługi Defender dla Chmury są przyznawane automatycznie dla całej dzierżawy. Wyświetlanie określonych subskrypcji nie jest obsługiwane. Użyj filtru identyfikatora subskrypcji alertów , aby wyświetlić alerty usługi Defender dla Chmury skojarzone z określoną subskrypcją usługi Defender dla Chmury w kolejkach alertów i zdarzeń. Dowiedz się więcej o filtrach.

Integracja jest dostępna tylko przez zastosowanie odpowiedniej roli Microsoft Defender XDR ujednoliconej kontroli dostępu opartej na rolach (RBAC) dla usługi Defender dla Chmury. Aby wyświetlić alerty i korelacje usługi Defender dla Chmury bez ujednoliconej kontroli dostępu opartej na rolach (RBAC) Defender XDR, musisz być administratorem globalnym lub administratorem zabezpieczeń w usłudze Microsoft Entra ID.

Środowisko badania w usłudze Microsoft Defender XDR

W poniższej tabeli opisano doświadczenie w zakresie wykrywania i badania w usłudze Microsoft Defender XDR z alertami Defender dla Chmury.

Area	Description
Incidents	Wszystkie zdarzenia usługi Defender dla Chmury są zintegrowane z Microsoft Defender XDR. — Wyszukiwanie zasobów w chmurze w kolejce zdarzeń jest obsługiwane. — Wykres scenariusza ataku przedstawia zasób w chmurze. — karta Zasoby na stronie zdarzenia wyświetla zasób w chmurze. — Każda maszyna wirtualna ma własną stronę jednostki zawierającą wszystkie powiązane alerty i działania. Nie ma duplikacji zdarzeń z innych obciążeń usługi Defender.
Alerts	Wszystkie alerty usługi Defender dla Chmury, w tym alerty wielochmurowych, wewnętrznych i zewnętrznych dostawców, są zintegrowane z usługą Microsoft Defender XDR. Alerty Defender dla Chmury są wyświetlane w kolejce alertów Microsoft Defender XDR alert queue. Microsoft Defender XDR Zasób `cloud resource` pojawia się w zakładce "Zasób" powiadomienia. Zasoby są wyraźnie identyfikowane jako zasoby platformy Azure, Amazon lub Usługi Google Cloud. Powiadomienia w Defender dla Chmury są automatycznie skojarzone z dzierżawcą. Brak duplikacji alertów z innych obciążeń usługi Defender.
Korelacja alertów i zdarzeń	Alerty i zdarzenia są automatycznie skorelowane, zapewniając niezawodny kontekst zespołom ds. operacji zabezpieczeń, aby zrozumieć pełną historię ataków w środowisku chmury.
Wykrywanie zagrożeń	Dokładne dopasowywanie jednostek wirtualnych do jednostek urządzeń w celu zapewnienia precyzji i efektywnego wykrywania zagrożeń.
ujednolicony interfejs API	Alerty i zdarzenia usługi Defender dla Chmury są teraz uwzględniane w publicznym interfejsie API Microsoft Defender XDR, co umożliwia klientom eksportowanie danych alertów zabezpieczeń do innych systemów przy użyciu jednego interfejsu API.

Note

Alerty informacyjne z usługi Defender dla Chmury nie są zintegrowane z portalem usługi Microsoft Defender, aby umożliwić skoncentrowanie się na odpowiednich alertach o wysokiej ważności. Ta strategia usprawnia zarządzanie zdarzeniami i zmniejsza zmęczenie alertami.

Synchronizacja stanu alertów

Po włączeniu integracji między usługą Defender dla Chmury i usługą Microsoft Defender XDR zmiany stanu alertu są synchronizowane między dwiema usługami z następującymi zachowaniami:

Scenario	Synchronizacja stanu
Stan alertu usługi Defender dla Chmury został zmieniony w usłudze Defender dla Chmury	Stan odzwierciedlony w usłudze Microsoft Defender XDR: Tak
Stan alertu usługi Defender dla Chmury został zmieniony w usłudze Microsoft Defender XDR	Stan odzwierciedlony w Defender dla Chmury: Tak
Alert usługi Ochrona punktu końcowego w usłudze Microsoft Defender dotyczący zasobu w chmurze — zmieniono stan w usłudze Microsoft Defender dla Chmury	Stan odzwierciedlony w Defender dla Chmury: Tak Stan odzwierciedlony w usłudze Microsoft Defender XDR: Nie
Alert usługi Ochrona punktu końcowego w usłudze Microsoft Defender dotyczący zasobu chmurowego — zmieniono stan w Microsoft Defender XDR	Stan odzwierciedlony w usłudze Microsoft Defender XDR: Tak Stan odzwierciedlony w Defender dla Chmury: Nie

Ważna

W usłudze Defender dla Chmury tylko alerty usługi Defender dla Chmury są prawidłowymi jednostkami. Odniesienia do alertów XDR usługi Microsoft Defender w usłudze Defender dla Chmury dotyczą wyłącznie alertów usługi Ochrona punktu końcowego w usłudze Microsoft Defender związanych z zasobami w chmurze.
Alerty usługi Microsoft Defender dla punktów końcowych dotyczące zasobów w chmurze są wyświetlane zarówno w usłudze Defender dla Chmury, jak i w usłudze Microsoft Defender XDR, ale ich stany nie są synchronizowane między dwiema usługami.

Zaawansowane polowanie na zagrożenia w ramach usługi XDR

Zaawansowane możliwości wyszukiwania Microsoft Defender XDR zostały rozszerzone, aby uwzględniać alerty i zdarzenia Defender dla Chmury. Ta integracja umożliwia zespołom ds. zabezpieczeń wyszukiwanie wszystkich zasobów, urządzeń i tożsamości w chmurze w jednym zapytaniu.

Zaawansowane środowisko wyszukiwania zagrożeń w usłudze Microsoft Defender XDR zaprojektowano tak, aby zapewnić zespołom ds. zabezpieczeń elastyczność tworzenia niestandardowych zapytań w celu wyszukiwania zagrożeń w całym środowisku. Integracja z alertami i zdarzeniami Defender dla Chmury umożliwia zespołom ds. zabezpieczeń wyszukiwanie zagrożeń w zasobach, urządzeniach i tożsamościach w chmurze.

Tabela CloudAuditEvents w zaawansowanym wyszukiwaniu umożliwia badanie i wyszukiwanie zdarzeń płaszczyzny sterowania oraz tworzenie niestandardowych wykryć w celu uwidocznienia podejrzanych działań płaszczyzny sterowania usług Azure Resource Manager i Kubernetes (KubeAudit).

Tabela CloudProcessEvents w zaawansowanym wyszukiwaniu umożliwia klasyfikację, badanie i tworzenie niestandardowych wykryć podejrzanych działań wywoływanych w infrastrukturze chmury z informacjami zawierającymi szczegółowe informacje na temat szczegółów procesu.

Tabela CloudStorageAggregatedEventsw zaawansowanym wyszukiwaniu umożliwia badanie i wyszukiwanie działań związanych z magazynem w chmurze oraz tworzenie niestandardowych wykryć, które ułatwiają wyświetlanie podejrzanych operacji na plikach, wzorców dostępu i interakcji danych występujących w zasobach magazynu w chmurze.

Klienci usługi Microsoft Sentinel

Klienci usługi Microsoft Sentinel, którzy integrują zdarzenia XDR usługi Microsoft Defenderi korzystają z alertów usługi Defender dla Chmury, muszą wykonać następujące kroki, aby zapobiec zduplikowaniu alertów i zdarzeń.

W usłudze Microsoft Sentinel skonfiguruj łącznik danych usługi Microsoft Defender dla Chmury oparty na dzierżawie (wersja zapoznawcza). Ten łącznik danych jest zawarty w rozwiązaniu Microsoft Defender dla Chmury dostępnym w centrum zawartości usługi Microsoft Sentinel.

Łącznik danych Microsoft Defender dla Chmury (wersja zapoznawcza) działający na poziomie dzierżawy synchronizuje zbieranie alertów ze wszystkich subskrypcji z incydentami Defender dla Chmury działającymi na poziomie dzierżawy, które są przekazywane przez łącznik incydentów Microsoft Defender XDR. Zdarzenia usługi Defender dla Chmury są skorelowane we wszystkich subskrypcjach dzierżawy.

Jeśli pracujesz z wieloma obszarami roboczymi usługi Microsoft Sentinel w portalu usługi Defender, skorelowane zdarzenia usługi Defender dla Chmury są przesyłane strumieniowo do podstawowego obszaru roboczego. Aby uzyskać więcej informacji, zobacz Wiele obszarów roboczych Microsoft Sentinel w portalu usługi Defender.
Odłącz cyfrowy łącznik danych oparty na subskrypcji Microsoft Defender dla Chmury (starsza wersja), aby zapobiec zduplikowaniu alertów.
Wyłącz wszelkie reguły analityczne używane do tworzenia incydentów z alertów Defender dla Chmury, zarówno Scheduled (zwykłe zapytanie), jak i Microsoft Security (tworzenie incydentów).

W razie potrzeby użyj reguł automatyzacji , aby zamknąć hałaśliwe zdarzenia, lub użyj wbudowanych możliwości dostrajania w portalu usługi Defender , aby pominąć niektóre alerty.

Aby uzyskać więcej informacji, zobacz:

Alerty zabezpieczeń — przewodnik informacyjny

Ostatnia aktualizacja o 2026-07-15