Konfigurowanie zaawansowanych funkcji w usłudze Defender for Endpoint

  • Dotyczy: Microsoft Defender for Endpoint Plan 2

Możesz skonfigurować następujące funkcje zaawansowane usługi Microsoft Defender dla punktów końcowych w zależności od produktów zabezpieczeń firmy Microsoft w Twoim środowisku.

Włączanie zaawansowanych funkcji

Aby włączyć lub wyłączyć funkcję zaawansowaną w portalu Microsoft Defender:

  1. Przejdź do portalu Microsoft Defender i zaloguj się.

  2. W okienku nawigacji wybierz pozycję Ustawienia>Punkty końcowe>Funkcje zaawansowane.

  3. Wybierz zaawansowaną funkcję, którą chcesz skonfigurować i wybierz Włączenie lub Wyłączenie.

  4. Wybierz pozycję Zapisz preferencje.

Skorzystaj z następujących zaawansowanych funkcji, aby lepiej chronić się przed potencjalnie złośliwymi plikami i uzyskać lepszy wgląd podczas badań zabezpieczeń.

Ogranicz korelację do grup urządzeń objętych zakresem

Ustawienia korelacji dla grup urządzeń objętych zakresem można używać w scenariuszach, w których lokalne zespoły SOC chcą ograniczyć korelację alertów wyłącznie do grup urządzeń, do których mają dostęp. Po włączeniu ustawienia korelacji dla grup urządzeń objętych zakresem incydent składający się z alertów obejmujących różne grupy urządzeń nie jest już uznawany za pojedynczy incydent. Lokalny zespół SOC może następnie podjąć działania w związku z incydentem, ponieważ ma dostęp do jednej z grup urządzeń, których dotyczy incydent.

Global SOC widzi kilka różnych incydentów według grup urządzeń, a nie jednego. Nie zalecamy włączania tego ustawienia, chyba że przeważa to nad korzyściami wynikającymi z korelacji zdarzeń w całej organizacji.

Uwaga

  • Zmiana tego ustawienia ma wpływ tylko na przyszłe korelacje alertów.
  • Tworzenie grupy urządzeń jest obsługiwane w usłudze Defender for Endpoint Plan 1 i Plan 2.

Włącz EDR w trybie blokowania

Wykrywanie i reagowanie punktów końcowych (EDR) w trybie bloku zapewnia ochronę przed złośliwymi artefaktami, nawet jeśli program antywirusowy Microsoft Defender działa w trybie pasywnym. Gdy tryb EDR w trybie bloku jest włączony, blokuje złośliwe artefakty lub zachowania wykryte na urządzeniu. EDR w trybie blokowania działa w tle, aby neutralizować złośliwe artefakty wykryte po naruszeniu.

Automatyczne rozwiązywanie alertów

Włącz ustawienie automatycznego rozwiązywania alertów, aby automatycznie rozwiązywać alerty, w których nie znaleziono żadnych zagrożeń lub gdzie wykryte zagrożenia zostały skorygowane. Jeśli nie chcesz, aby alerty były automatycznie rozwiązywane, ręcznie wyłącz tę funkcję.

Uwaga

  • Wynik akcji automatycznego rozwiązywania może mieć wpływ na obliczenie poziomu ryzyka urządzenia, które jest oparte na aktywnych alertach znalezionych na urządzeniu.
  • Jeśli analityk operacji bezpieczeństwa ręcznie ustawi status alertu na "W trakcie" lub " Rozwiązane", funkcja automatycznego rozwiązywania alertów go nie nadpisuje.

Konfigurowanie ustawień zezwalania lub blokowania plików

Aby korzystać z tej funkcji, organizacja musi spełniać następujące wymagania:

  • Microsoft Defender Antivirus to aktywne rozwiązanie chroniące przed złośliwym kodem.
  • Włączono ochronę opartą na chmurze.

Ta funkcja umożliwia blokowanie szkodliwych plików w sieci. W przypadku blokowania pliku urządzenia w organizacji nie mogą go odczytywać, zapisywać ani uruchamiać.

Aby włączyć opcję Zezwalaj lub blokuj pliki:

  1. W portalu Microsoft Defender wybierz pozycję Ustawienia>Punkty końcowe>Ogólne>funkcje> zaawansowaneZezwalaj lub blokuj plik.

  2. Wybierz ustawienie Włączone lub Wyłączone.

    Zrzut ekranu przedstawia ekran „Endpoints”.

  3. Wybierz pozycję Zapisz preferencje.

Po włączeniu tej funkcji możesz zablokować pliki na karcie Dodaj wskaźnik na stronie profilu pliku.

Ukryj potencjalne zduplikowane rekordy urządzeń

Włącz tę funkcję, aby ukryć zduplikowane rekordy urządzeń, aby zobaczyć tylko najbardziej dokładne dane dla każdego urządzenia. Duplikaty mogą wystąpić z wielu powodów. Na przykład wykrywanie urządzeń może przeskanować sieć i wykryć urządzenie, które zostało już wdrożone lub niedawno wycofane.

Ta funkcja dopasowuje duplikaty według nazwy hosta i czasu ostatniego wystąpienia. Ukrywa je w spisie urządzeń, na stronach Zarządzanie lukami w zabezpieczeniach w usłudze Microsoft Defender i w publicznych interfejsach API udostępniających dane urządzeń. Najbardziej dokładny rekord pozostaje widoczny. Duplikaty nadal pojawiają się na stronach wyszukiwania globalnego i zaawansowanego oraz na stronach alertów i incydentów.

To ustawienie jest domyślnie włączone i ma zastosowanie w całej dzierżawie. Aby wyświetlić zduplikowane rekordy, wyłącz funkcję ręcznie.

Konfigurowanie niestandardowych wskaźników sieci

Włączenie niestandardowych wskaźników sieciowych pozwala tworzyć wskaźniki dla adresów IP, domen lub adresów URL, które określają, czy są dozwolone czy blokowane na podstawie Twojej listy wskaźników.

Aby korzystać z tej funkcji, urządzenia muszą być uruchomione Windows 10 wersji 1709 lub nowszej lub Windows 11.

Aby uzyskać więcej informacji, zobacz Omówienie wskaźników.

Uwaga

Ochrona sieci wykorzystuje usługi reputacyjne, które przetwarzają żądania w lokalizacjach, które mogą znajdować się poza lokalizacją wybraną przez Ciebie dla danych usługi Defender for Endpoint.

Włącz ochronę przed manipulacją

Podczas cyberataków osoby atakujące mogą próbować wyłączyć funkcje zabezpieczeń, takie jak ochrona przed oprogramowaniem antywirusowym na urządzeniach. Robią to w celu uzyskania dostępu do danych, zainstalowania złośliwego oprogramowania lub wykorzystania tożsamości i urządzeń. Ochrona przed naruszeniami blokuje program antywirusowy Microsoft Defender i uniemożliwia zmianę ustawień zabezpieczeń przez aplikacje lub inne metody.

Więcej informacji, w tym o tym, jak skonfigurować ochronę przed manipulacją, znajdziesz w artykule Omówienie ochrony przed manipulacją.

Włączanie wyświetlania szczegółów użytkownika

Włącz funkcję pokazywania danych użytkownika, aby móc zobaczyć dane użytkownika zapisane w Microsoft Entra ID podczas badania encji kont użytkowników. Szczegóły obejmują zdjęcie użytkownika, imię, tytuł oraz informacje o dziale. Informacje o koncie użytkownika można znaleźć w następujących widokach:

  • Kolejka alertów
  • Strona szczegółów urządzenia

Aby uzyskać więcej informacji, zobacz Badanie konta użytkownika.

Konfigurowanie integracji Skype dla firm

Włączenie integracji Skype dla firm umożliwia komunikowanie się z użytkownikami przy użyciu Skype dla firm, poczty e-mail lub telefonu. Integracja Skype dla firm może być przydatna, gdy musisz komunikować się z użytkownikiem i ograniczać ryzyko.

Uwaga

Gdy urządzenie jest odizolowane od sieci, istnieje wyskakujące okienko, w którym można włączyć komunikację programu Outlook i Skype, która umożliwia komunikację z użytkownikiem, gdy jest odłączony od sieci. Opcja komunikacji Outlook i Skype ma zastosowanie tylko wtedy, gdy urządzenia są w trybie izolacji.

Konfiguruj integrację usługi Microsoft Defender dla aplikacji w chmurze

Włączenie integracji z Microsoft Defender for Cloud Apps powoduje przekazywanie sygnałów z Microsoft Defender for Endpoint do Microsoft Defender for Cloud Apps, aby zapewnić głębszy wgląd w korzystanie z aplikacji w chmurze. Przekazane dane są przechowywane i przetwarzane w tej samej lokalizacji co dane Defender for Cloud Apps.

Aby uzyskać więcej informacji, zobacz omówienie Microsoft Defender for Cloud Apps.

Konfigurowanie filtrowania zawartości internetowej

Blokuj dostęp do stron internetowych zawierających niechciane treści i śledź aktywność w sieci na wszystkich domenach. Przed wdrożeniem bazowego poziomu zabezpieczeń Ochrona punktu końcowego w usłudze Microsoft Defender upewnij się, że ochrona sieci jest w trybie blokowania. Aby określić kategorie zawartości internetowej, które chcesz zablokować, utwórz zasady filtrowania zawartości internetowej.

Włączanie ujednoliconego dziennika inspekcji

Wyszukiwanie w usłudze Microsoft Purview umożliwia zespołowi ds. zabezpieczeń i zgodności wyświetlanie krytycznych danych zdarzeń dziennika inspekcji w celu uzyskania szczegółowych informacji i zbadania działań użytkowników. Za każdym razem, gdy użytkownik lub administrator wykonuje audytowaną aktywność, rejestr audytu jest generowany i przechowywany w dzienniku audytu Microsoft 365 dla Twojej organizacji. Aby uzyskać więcej informacji, zobacz Przeszukiwanie dziennika inspekcji.

Włączanie odnajdywania urządzeń

Pomaga znaleźć niezarządzane urządzenia podłączone do sieci firmowej bez dodatkowych urządzeń sprzętowych czy uciążliwych zmian procesów. Przy użyciu urządzeń dołączonych można znaleźć niezarządzane urządzenia w sieci i ocenić luki w zabezpieczeniach i zagrożenia. Aby uzyskać więcej informacji, zobacz Odnajdywanie urządzeń.

Uwaga

Zawsze można stosować filtry, aby wykluczyć urządzenia niezarządzane z listy spisu urządzeń. Możesz również użyć kolumny stanu wdrożenia w zapytaniach API, aby odfiltrować urządzenia niezarządzane.

Pobieranie plików poddanych kwarantannie

Zrób kopię zapasową plików z kwarantanny w bezpiecznym i zgodnym miejscu, aby można było je pobrać bezpośrednio z kwarantanny. Przycisk Pobierz plik jest zawsze dostępny na stronie pliku. Ustawienie pobierania plików poddanych kwarantannie jest domyślnie włączone. Więcej informacji można znaleźć w Pobieranie plików poddanych kwarantannie.

Domyślne korzystanie z uproszczonej łączności podczas dołączania urządzeń w portalu Microsoft Defender

To ustawienie ustawia uproszczoną łączność jako domyślny pakiet wdrażania dla obsługiwanych systemów operacyjnych. Nadal możesz korzystać ze standardowego pakietu, ale musisz wybrać go na stronie onboardingu.

Włączanie odpowiedzi na żywo

Włącz tę funkcję, aby użytkownicy z odpowiednimi uprawnieniami mogli rozpocząć sesję odpowiedzi na żywo na urządzeniach.

Aby przypisać role na potrzeby odpowiedzi na żywo, zobacz Tworzenie ról i zarządzanie nimi.

Włączanie odpowiedzi na żywo dla serwerów

Włącz tę funkcję, aby użytkownicy z odpowiednimi uprawnieniami mogli rozpocząć sesję odpowiedzi na żywo na serwerach.

Aby uzyskać więcej informacji na temat przypisań ról, zobacz Tworzenie ról i zarządzanie nimi.

Zezwalaj na wykonywanie niepodpisanego skryptu w odpowiedzi na żywo

Włączenie tej funkcji umożliwia uruchamianie niepodpisanych skryptów w sesji odpowiedzi na żywo.

Skonfiguruj automatyczne zakłócanie ataków

Automatyczne zakłócanie ataków powstrzymuje ataki poprzez izolowanie skompromitowanych zasobów kontrolowanych przez atakującego. Ogranicza ruch lateralny na wczesnym etapie, co zmniejsza koszty i utratę produktywności spowodowane atakiem. Zespoły ds. operacji zabezpieczeń zachowują pełną kontrolę, aby badać, rozwiązywać problemy i przywracać zasoby do trybu online. Aby uzyskać więcej informacji, zobacz Automatyczne zakłócenia ataków w Microsoft Defender.

Udostępnianie alertów urządzeń końcowych w Centrum zgodności Microsoft

Ustawienie udostępniania alertów dotyczących urządzeń końcowych wysyła alerty zabezpieczeń urządzeń końcowych i ich stan triażu do portalu Microsoft Purview. Te alerty umożliwiają ulepszanie zasad zarządzania ryzykiem wewnętrznym i rozwiązywanie problemów z wewnętrznymi zagrożeniami, zanim spowodują szkody. Przekazane dane są przechowywane w tej samej lokalizacji co dane Office 365.

Po skonfigurowaniu wskaźników zasad w ustawieniach zarządzania ryzykiem wewnętrznym usługa Defender for Endpoint przekazuje alerty do funkcji zarządzania ryzykiem wewnętrznym dla odpowiednich użytkowników.

Konfigurowanie połączenia Microsoft Intune

Możesz zintegrować Defender dla punktu końcowego z Microsoft Intune, aby umożliwić dostęp warunkowy oparty na ryzyku urządzenia. Podczas konfigurowania dostępu warunkowego Defender dla punktu końcowego udostępnia dane urządzeń usłudze Intune, aby ułatwić wymuszanie zasad.

Ta integracja wymaga Microsoft Intune. Intune to osobny produkt, który nie jest częścią Ochrona punktu końcowego w usłudze Microsoft Defender. Nie jest ona zawarta we wszystkich subskrypcjach. Potrzebujesz licencji obsługujących Defender for Endpoint, Intune oraz Dostęp warunkowy usługi Microsoft Entra. Więcej informacji znajduje się w licencjonowaniu Microsoft Intune oraz wymaganiach licencyjnych zasad dostępu warunkowego.

Ważna

Należy włączyć tę integrację zarówno w usłudze Intune, jak i w Defender dla punktu końcowego. Aby uzyskać szczegółowe instrukcje, zobacz Konfigurowanie dostępu warunkowego w Defender dla punktu końcowego.

Ta funkcja wymaga następujących elementów:

Włącz uwierzytelnioną telemetrię

Możesz włączyć dane telemetryczne uwierzytelnione, aby zapobiec fałszowaniu danych telemetrycznych na pulpicie nawigacyjnym.

Włączanie funkcji w wersji zapoznawczej

Dowiedz się więcej o nowych funkcjach w wersji zapoznawczej usługi Defender for Endpoint.

Wypróbuj nadchodzące funkcje, włączając środowisko wersji zapoznawczej. Możesz mieć dostęp do nadchodzących funkcji, na temat których możesz przekazywać opinie, aby ulepszyć ogólne wrażenia, zanim funkcje staną się powszechnie dostępne.

Jeśli masz już włączone funkcje w wersji zapoznawczej, zarządzaj ustawieniami z poziomu głównych ustawień Defender XDR.

Aby uzyskać więcej informacji, zobacz Microsoft Defender XDR funkcje w wersji zapoznawczej.

Konfigurowanie powiadomień o ataku punktów końcowych

Powiadomienia o ataku punktów końcowych umożliwiają Microsoft wyszukiwanie krytycznych zagrożeń w danych punktu końcowego. Zagrożenia są klasyfikowane według pilności i wpływu.

Aby proaktywnie wyszukiwać zagrożenia w rozwiązaniu Microsoft Defender XDR, w tym zagrożenia obejmujące pocztę e-mail, współpracę, tożsamość, aplikacje w chmurze i punkty końcowe, zacznij korzystać z usługi Microsoft Defender Experts.

Treści powiązane

  • Ostatnia aktualizacja o