Notatka
Dostęp do tej strony wymaga autoryzacji. Może spróbować zalogować się lub zmienić katalogi.
Dostęp do tej strony wymaga autoryzacji. Możesz spróbować zmienić katalogi.
Kolejka Alerty zawiera listę alertów, które zostały oznaczone na urządzeniach w sieci. Domyślnie kolejka wyświetla w widoku grupowanym alerty z ostatnich siedmiu dni. Najnowsze alerty są wyświetlane na górze listy.
Notatka
Alerty są znacznie ograniczone dzięki automatycznemu badaniu i korygowaniu. Ta praktyka pozwala ekspertom ds. operacji bezpieczeństwa skupić się na bardziej zaawansowanych zagrożeniach i innych inicjatywach o wysokiej wartości.
Gdy ostrzeżenie zawiera wspieraną encję do automatycznego badania, taką jak plik, na urządzeniu z obsługiwanym systemem operacyjnym, może rozpocząć się automatyczne badanie i korygowanie. Aby uzyskać więcej informacji, zobacz Omówienie zautomatyzowanych dochodzeń.
Istnieje kilka opcji, które można wybrać, aby dostosować widok alertów.
Na górnym pasku nawigacyjnym można:
- Dostosuj kolumny, aby dodawać lub usuwać kolumny
- Zastosuj filtry
- Wyświetl alerty dla określonego czasu trwania, takiego jak 1 dzień, 3 dni, 1 tydzień, 30 dni i 6 miesięcy
- Eksportuj listę alertów do Excel
- Zarządzaj alertami
Sortowanie i filtrowanie alertów
Możesz zastosować następujące filtry, aby ograniczyć listę alertów i uzyskać bardziej skoncentrowany widok alertów.
Poziom ważności
| Poziom ważności alertu | Opis |
|---|---|
| High (Czerwony) |
Alerty często spotykane w związku z zaawansowanymi uporczywymi zagrożeniami (APT). Te alerty wskazują na wysokie ryzyko ze względu na poważność szkód, jakie mogą wyrządzić urządzeniom. Oto kilka przykładów: działania narzędzi do kradzieży poświadczeń, działania oprogramowania ransomware, które nie są skojarzone z żadną grupą, manipulowanie czujnikami zabezpieczeń lub wszelkie złośliwe działania wskazujące na działanie ludzkiego przeciwnika. |
| Średni (Pomarańcz) |
Alerty z EDR dotyczące zachowań po naruszeniu zabezpieczeń, które mogą być częścią zaawansowanego trwałego zagrożenia (APT). Zachowania te obejmują obserwowane zachowania typowe dla etapów ataku, anomalne zmiany rejestru oraz wykonywanie podejrzanych plików. Chociaż niektóre mogą być częścią wewnętrznych testów bezpieczeństwa, ten poziom istotności wymaga zbadania, ponieważ może być również częścią zaawansowanego ataku. |
| Niski (Żółty) |
Alerty dotyczące zagrożeń związanych z powszechnym złośliwym oprogramowaniem. Na przykład narzędzia hakerskie, narzędzia niezwiązane z malware, takie jak uruchamianie poleceń eksploracji i czyszczenie logów, które często nie wskazują na zaawansowane zagrożenie wymierzone w organizację. Ten poziom może również wynikać z testów za pomocą odrębnego narzędzia zabezpieczającego przez użytkownika w Twojej organizacji. |
| Informacyjne (Szary) |
Alerty, które mogą nie być uważane za szkodliwe dla sieci, ale mogą zwiększać świadomość bezpieczeństwa w organizacji w przypadku potencjalnych problemów z zabezpieczeniami. |
Zrozumienie poziomu ważności alertu
Poziomy ważności alertów programu antywirusowego Microsoft Defender i usługi Defender for Endpoint są różne, ponieważ reprezentują różne zakresy.
- Poziom ważności zagrożenia w programie antywirusowym Microsoft Defender oznacza bezwzględny poziom ważności wykrytego zagrożenia (złośliwe oprogramowanie). Jest przypisywany na podstawie potencjalnego ryzyka dla danego urządzenia, jeśli jest zainfekowane.
- Ważność alertu Defender for Endpoint reprezentuje ważność wykrytego zachowania, czyli rzeczywiste ryzyko dla urządzenia, ale co ważniejsze – potencjalne ryzyko dla organizacji.
Na przykład:
- Skala alertu Defender for Endpoint dotyczącego wykrytego zagrożenia Microsoft Defender Antivirus, które zostało powstrzymane i nie zainfekowało urządzenia, jest klasyfikowana jako Informacyjna, ponieważ nie doszło do rzeczywistych uszkodzeń.
- Komercyjne złośliwe oprogramowanie wykryte podczas działania, ale zablokowane i naprawione przez Microsoft Defender Antivirus, generuje alert Niski, ponieważ mogło spowodować pewne uszkodzenia pojedynczego urządzenia, ale nie stanowi zagrożenia dla organizacji.
- Złośliwe oprogramowanie wykryte podczas działania i stanowiące zagrożenie zarówno dla pojedynczego urządzenia, jak i dla organizacji, może być oceniane jako średnie lub wysokie, niezależnie od tego, czy zostanie ostatecznie zablokowane.
- Alerty podejrzanego zachowania, które nie zostały zablokowane ani naprawione, są oceniane jako Niskie, Średnie lub Wysokie, zgodnie z tymi samymi kryteriami oceny zagrożeń w organizacji.
Stan
Możesz filtrować listę alertów na podstawie ich statusu.
Notatka
Jeśli zobaczysz status alertu Nieobsługiwany typ alertu, oznacza to, że funkcje automatycznego badania nie mogą przejąć tego alertu w celu przeprowadzenia automatycznego badania. Możesz sprawdzić te alerty ręcznie.
Kategorie
Microsoft zdefiniował na nowo kategorie alertów, aby były dostosowane do
Źródła usług
Alerty można filtrować na podstawie następujących źródeł usług:
- Microsoft Defender for Identity
- Microsoft Defender for Cloud Apps - ochrona aplikacji w chmurze.
- Ochrona punktu końcowego w usłudze Microsoft Defender
- Microsoft Defender XDR
- Microsoft Defender dla Office 365
- Nadzór nad aplikacjami
- ochrona Microsoft Entra ID
Klienci Microsoft Endpoint Notification mogą teraz filtrować i wyświetlać wykrycia z usługi, filtrując według Microsoft Defender Experts zagnieżdżonych w źródle usługi Ochrona punktu końcowego w usłudze Microsoft Defender.
Notatka
Filtr antywirusowy pojawia się tylko wtedy, gdy urządzenia używają Microsoft Defender Antivirus jako domyślnego produktu ochrony przed malware w czasie rzeczywistym.
Tagi
Alerty można filtrować na podstawie tagów przypisanych do alertów.
Policy
Alerty można filtrować na podstawie następujących zasad:
| Źródło detekcji | Wartość interfejsu API |
|---|---|
| Czujniki innych firm | ThirdPartySensors |
| Antywirus | WindowsDefenderAv |
| Zautomatyzowane dochodzenie | AutomatedInvestigation |
| Niestandardowe wykrywanie | CustomDetection |
| Niestandardowy TI | CustomerTI |
| EDR | WindowsDefenderAtp |
| Microsoft Defender XDR | MTP |
| Microsoft Defender dla Office 365 | OfficeATP |
| Microsoft Defender Experts | ThreatExperts |
| SmartScreen | WindowsDefenderSmartScreen |
Podmioty
Alerty można filtrować na podstawie nazwy encji lub identyfikatora.
Stan automatycznej analizy
Alerty można filtrować na podstawie ich stanu zautomatyzowanego dochodzenia.
Treści powiązane
- Zarządzanie alertami w Microsoft Defender dla punktów końcowych
- Zbadaj alerty Ochrona punktu końcowego w usłudze Microsoft Defender
- Zbadaj plik skojarzony z alertem Ochrona punktu końcowego w usłudze Microsoft Defender
- Zbadaj urządzenia na liście Urządzenia w Ochrona punktu końcowego w usłudze Microsoft Defender
- Zbadaj adres IP skojarzony z alertem usługi Ochrona punktu końcowego w usłudze Microsoft Defender
- Zbadaj domenę skojarzoną z alertem Ochrona punktu końcowego w usłudze Microsoft Defender
- Zbadaj konto użytkownika w Ochrona punktu końcowego w usłudze Microsoft Defender