Przewodnik po operacjach zabezpieczeń w usłudze Microsoft Defender dla punktu końcowego

  • Dotyczy: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Ten artykuł zawiera omówienie wymagań i zadań związanych ze skutecznym korzystaniem z usługi Ochrona punktu końcowego w usłudze Microsoft Defender w Twojej organizacji. Te zadania pomagają centrum operacji zabezpieczeń (SOC) skutecznie wykrywać zagrożenia bezpieczeństwa wykryte przez Ochrona punktu końcowego w usłudze Microsoft Defender i reagować na nie.

W tym artykule opisano również codzienne, cotygodniowe, miesięczne i ad hoc zadania, które zespół ds. zabezpieczeń może wykonywać dla Twojej organizacji.

Uwaga

Są to zalecane kroki; sprawdź je w stosunku do własnych zasad i środowiska, aby upewnić się, że są one odpowiednie do celu.

Wymagania wstępne

Punkt końcowy Microsoft Defender należy skonfigurować w celu obsługi regularnego procesu operacji zabezpieczeń. Chociaż ten dokument nie obejmuje tych zagadnień, poniższe artykuły zawierają informacje dotyczące konfiguracji i instalacji:

Codzienne działania

Ogólne

  • Przejrzyj akcje

    W centrum akcji przejrzyj działania, które zostały podjęte w Twoim środowisku, zarówno te zautomatyzowane, jak i ręczne. Te informacje ułatwiają sprawdzenie, czy zautomatyzowane badanie i reagowanie (AIR) działa zgodnie z oczekiwaniami, i identyfikowanie wszelkich ręcznych akcji, które należy przejrzeć. Aby uzyskać więcej informacji, zobacz Odwiedź centrum akcji, aby zobaczyć akcje korygowania.

Zespół ds. operacji zabezpieczeń

Zespół ds. administracji zabezpieczeń

  • Przeglądanie raportów dotyczących kondycji

    Przejrzyj raporty o kondycji, aby zidentyfikować wszelkie trendy dotyczące kondycji urządzeń, które należy rozwiązać. Raporty dotyczące stanu urządzenia obejmują sygnatury programu antywirusowego w usłudze Microsoft Defender dla punktów końcowych, stan platformy i stan EDR. Aby uzyskać więcej informacji, zobacz Raporty kondycji urządzeń w Microsoft Defender dla punktu końcowego.

  • Sprawdzanie kondycji czujnika wykrywania i reagowania na punkty końcowe (EDR)

    Stan EDR utrzymuje połączenie z usługą EDR, aby zapewnić, że Defender for Endpoint otrzymuje wymagane sygnały potrzebne do generowania alertów i identyfikowania luk w zabezpieczeniach.

    Przejrzyj urządzenia w złej kondycji. Aby uzyskać więcej informacji, zobacz Kondycja urządzenia, Kondycja czujnika & raport systemu operacyjnego.

  • Sprawdzanie kondycji programu antywirusowego Microsoft Defender

    Wyświetlanie stanu aktualizacji programu antywirusowego Microsoft Defender ma kluczowe znaczenie dla najlepszej wydajności usługi Defender for Endpoint w środowisku i aktualnych wykryć. Strona stanu urządzenia pokazuje bieżący stan platformy, inteligencji i wersji silnika. Aby uzyskać więcej informacji, zobacz Stan urządzenia, raport o stanie programu antywirusowego Microsoft Defender.

Cotygodniowe zajęcia

Ogólne

  • Centrum wiadomości

    Microsoft Defender używa centrum wiadomości Microsoft 365, aby powiadomić o nadchodzących zmianach, takich jak nowe i zmienione funkcje, planowana konserwacja lub inne ważne ogłoszenia.

    Przejrzyj komunikaty w Centrum wiadomości, aby dowiedzieć się o wszelkich nadchodzących zmianach mających wpływ na Twoje środowisko.

    Dostęp do tej funkcji można uzyskać w Centrum administracyjne platformy Microsoft 365 na karcie Kondycja. Aby uzyskać więcej informacji, zobacz Jak sprawdzić kondycję usługi Microsoft 365.

Zespół ds. operacji zabezpieczeń

Zespół ds. administracji zabezpieczeń

  • Przejrzyj stan zagrożenia i luki w zabezpieczeniach (TVM)

    Przejrzyj usługę TVM, aby zidentyfikować wszelkie nowe luki w zabezpieczeniach i zalecenia, które wymagają działania. Aby uzyskać więcej informacji, zobacz Pulpit nawigacyjny zarządzania lukami w zabezpieczeniach.

  • Przeglądanie raportowania redukcji obszaru ataków

    Przejrzyj raporty usługi ASR, aby zidentyfikować wszystkie pliki wpływające na środowisko. Aby uzyskać więcej informacji, zobacz Raport reguł zmniejszania obszaru ataków (ASR).

  • Przegląd zdarzeń ochrony internetowej

    Przejrzyj raport dotyczący ochrony sieci Web, aby zidentyfikować wszystkie zablokowane adresy IP lub adresy URL. Aby uzyskać więcej informacji, zobacz Ochrona w Internecie.

Działania miesięczne

Ogólne

Zapoznaj się z następującymi artykułami, aby zrozumieć ostatnio wydane aktualizacje:

Zespół ds. administracji zabezpieczeń

Okresowo

Te zadania są postrzegane jako konserwacja stanu zabezpieczeń i mają kluczowe znaczenie dla bieżącej ochrony. Ale ponieważ mogą one wymagać czasu i wysiłku, zaleca się ustawienie standardowego harmonogramu, który można zachować w celu wykonywania tych zadań.

  • Przejrzyj wykluczenia

    Przejrzyj wykluczenia ustawione w środowisku, aby potwierdzić, że nie utworzono luki w ochronie, wykluczając elementy, które nie muszą być już wykluczone.

  • Przeglądanie konfiguracji zasad usługi Defender

    Okresowo przeglądaj ustawienia konfiguracji usługi Defender, aby potwierdzić, że zostały ustawione zgodnie z wymaganiami.

  • Przeglądanie poziomów automatyzacji

    Przejrzyj poziomy automatyzacji w zakresie możliwości zautomatyzowanego badania i korygowania. Aby uzyskać więcej informacji, zobacz Poziomy automatyzacji w zautomatyzowanym badaniu i korygowaniu.

  • Przejrzyj wykrycia niestandardowe

    Okresowo sprawdzaj, czy utworzone wykrywania niestandardowe są nadal prawidłowe i skuteczne. Aby uzyskać więcej informacji, zobacz Przegląd wykrywania niestandardowego.

  • Przejrzyj wyciszone alerty

    Okresowo przeglądaj wszelkie reguły pomijania alertów, które zostały utworzone, aby potwierdzić, że są one nadal wymagane i prawidłowe. Aby uzyskać więcej informacji, zobacz Przeglądanie tłumienia alertów.

Rozwiązywanie problemów

Poniższe artykuły zawierają wskazówki dotyczące diagnozowania i usuwania błędów, które mogą wystąpić podczas konfigurowania usługi Ochrona punktu końcowego w usłudze Microsoft Defender.

  • Ostatnia aktualizacja o