Podejmij akcje reagowania wobec pliku

Szybko reaguj na wykryte ataki, zatrzymując i poddając pliki kwarantannie lub blokując plik. Po wykonaniu akcji na plikach możesz sprawdzić szczegóły działania w Centrum akcji.

Działania związane z reakcją są dostępne na stronie szczegółów profilu pliku. Na tej stronie możesz przełączać się między nowym i starym układem strony, przełączając opcję nowa strona pliku. W poniższych sekcjach opisano nowszy układ strony.

Akcje odpowiedzi są uruchamiane w górnej części strony pliku i obejmują:

• Zatrzymaj plik i poddaj go kwarantannie
• Wskaźnik zarządzania
• Pobieranie pliku
• Zbierz plik
• Zapytaj ekspertów usługi Defender
• Akcje ręczne
• Polowanie
• Głęboka analiza

Możesz również przesłać pliki do głębokiej analizy, aby uruchomić plik w bezpiecznej piaskownicy w chmurze. Po zakończeniu analizy otrzymasz szczegółowy raport zawierający informacje o zachowaniu pliku. Możesz przesyłać pliki do głębokiej analizy i odczytywać wcześniejsze raporty, wybierając akcję Analiza szczegółowa .

Niektóre akcje wymagają pewnych uprawnień. W poniższej tabeli opisano akcję, jaką niektóre uprawnienia mogą wykonać w przypadku przenośnych plików wykonywalnych (PE) i innych niż PE:

Aby uzyskać więcej informacji na temat ról, zobacz Tworzenie ról i zarządzanie nimi na potrzeby kontroli dostępu opartej na rolach.

Zatrzymaj i poddaj kwarantannie pliki w sieci

Możesz ograniczyć atak w swojej organizacji, zatrzymując złośliwy proces i poddając kwarantannie plik, w którym go zaobserwowano.

Akcja Zatrzymaj i poddaj kwarantannie plik obejmuje zatrzymywanie uruchomionych procesów, poddawanie plików kwarantannie oraz usuwanie trwałych danych, takich jak klucze rejestru.

Akcja Zatrzymaj i poddaj plik kwarantannie ma zastosowanie do urządzeń z systemem Windows 10 w wersji 1703 lub nowszej, Windows 11 oraz Windows Server 2012 R2 lub nowszym, na których plik został zaobserwowany w ciągu ostatnich 30 dni.

Zatrzymywanie i kwarantanna plików

1. Wybierz plik, który chcesz zatrzymać i poddać kwarantannie. Możesz wybrać plik z dowolnego z następujących widoków lub użyć pola Wyszukiwania:

   • Alerty - wybierz odpowiednie linki z sekcji Opis lub Szczegóły na osi czasu historii alertu
   • Pole wyszukiwania — wybierz pozycję Plik z menu rozwijanego i wprowadź nazwę pliku

   Uwaga

   Akcja pliku zatrzymania i kwarantanny jest ograniczona do maksymalnie 1000 urządzeń. Aby zatrzymać plik na większej liczbie urządzeń, zobacz Dodawanie wskaźnika w celu zablokowania lub zezwolenia na plik.
   Akcja „Zatrzymaj i poddaj kwarantannie” ma maksymalny limit czasu wynoszący 3 dni. Jeśli urządzenie docelowe pozostaje w trybie offline dłużej niż ten okres po zainicjowaniu akcji, akcja nie zostanie dostarczona do tego urządzenia.
   Aby upewnić się, że plik pozostaje zablokowany po przekroczeniu limitu czasu lub po zakończeniu akcji, zaleca się utworzenie wskaźnika jawnego zablokowania pliku.

2. Przejdź do górnego paska i wybierz pozycję Zatrzymaj i poddaj plik kwarantannie.

   

3. Określ przyczynę, a następnie wybierz pozycję Potwierdź.

   

   Centrum akcji pokazuje informacje o zgłoszeniu:

   

   • Czas przesyłania — pokazuje, kiedy akcja została przesłana.
   • Powodzenie — pokazuje liczbę urządzeń, na których plik został zatrzymany i poddany kwarantannie.
   • Niepowodzenie — pokazuje liczbę urządzeń, na których akcja nie powiodła się, oraz szczegóły dotyczące awarii.
   • Oczekujące — pokazuje liczbę urządzeń, z których plik nie został jeszcze zatrzymany i poddany kwarantannie. Może to zająć trochę czasu w przypadku, gdy urządzenie jest w trybie offline lub nie jest połączone z siecią.

4. Wybierz dowolny ze wskaźników stanu, aby wyświetlić więcej informacji o akcji. Na przykład wybierz opcję Niepowodzenie, aby sprawdzić, gdzie akcja zakończyła się niepowodzeniem.

Powiadomienie użytkownika urządzenia

Po usunięciu pliku z urządzenia zostanie wyświetlone następujące powiadomienie:

Na osi czasu urządzenia jest dodawane nowe zdarzenie dla każdego urządzenia, na którym plik został zatrzymany i poddany kwarantannie.

Ostrzeżenie jest wyświetlane przed zaimplementowaniem akcji dla plików powszechnie używanych w całej organizacji. To ostrzeżenie pomaga potwierdzić, że operacja jest zamierzona.

Przywróć plik z kwarantanny

Możesz wycofać i usunąć plik z kwarantanny, jeśli ustalono, że jest on czysty po badaniu. Uruchom następujące polecenie na każdym urządzeniu, na którym plik został poddany kwarantannie.

W wierszu polecenia z podwyższonym poziomem uprawnień (okno wiersza polecenia otwarte przez wybranie pozycji Uruchom jako administrator) uruchom następujące polecenia:

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -Restore -Name EUS:Win32/CustomEnterpriseBlock -All

Aby uzyskać więcej informacji na temat narzędzia MpCmdRun, zobacz Konfigurowanie programu antywirusowego Microsoft Defender i zarządzanie nimi za pomocą narzędzia wiersza polecenia MpCmdRun.

Pobierz lub zbierz plik

Wybranie pozycji Pobierz plik z akcji odpowiedzi umożliwia pobranie lokalnego archiwum .zip chronionego hasłem zawierającego plik. Zostanie wyświetlone okno wysuwane, w którym można zarejestrować przyczynę pobrania pliku i ustawić hasło.

Domyślnie powinno być możliwe pobieranie plików znajdujących się w kwarantannie.

Przycisk Pobierz plik może mieć następujące stany:

• Aktywne — możesz zebrać plik.

• Nieaktywne — jeśli przycisk jest wyszarzony lub nieaktywny podczas aktywnej próby zbierania plików, możesz nie mieć odpowiednich uprawnień RBAC umożliwiających zbieranie plików. Wymagane są następujące uprawnienia:

  • Microsoft Defender Ujednolicona kontrola dostępu oparta na rolach (RBAC):
    • Dodawanie uprawnienia do zbierania plików w usłudze Microsoft Defender Unified (RBAC)
  • Kontrola dostępu oparta na rolach (RBAC) w usłudze Microsoft Defender dla punktów końcowych:
    • Przenośne pliki wykonywalne (.exe, .sys, .dll i inne):
      • Administrator zabezpieczeń lub zaawansowana reakcja na żywo lub alerty
    • Plik wykonywalny inny niż przenośny (.txt, .docx i inne):
      • Administrator zabezpieczeń lub zaawansowana odpowiedź na żywo
      • Dzierżawcy z włączonym mechanizmem kontroli dostępu opartej na rolach (RBAC)

Pobieranie plików poddanych kwarantannie

Pliki, które zostały poddane kwarantannie przez program Microsoft Defender Antivirus lub zespół ds. zabezpieczeń, są zapisywane w sposób zgodny z ustawieniami przesyłania próbek. Twój zespół ds. zabezpieczeń może pobrać pliki bezpośrednio ze strony szczegółów pliku za pośrednictwem przycisku "Pobierz plik". Funkcja Pobierz plik jest domyślnie włączona.

Lokalizacja zależy od ustawień geograficznych organizacji (UE, Wielka Brytania lub USA). Plik poddany kwarantannie jest zbierany tylko raz dla organizacji. Dowiedz się więcej o ochronie danych firmy Microsoft w portalu zaufania usługi pod adresem https://aka.ms/STP.

Włączenie ustawienia Pobierz pliki poddane kwarantannie może pomóc zespołom ds. zabezpieczeń badać potencjalnie złe pliki i badać zdarzenia szybko i w mniej ryzykowny sposób. Jeśli jednak chcesz wyłączyć to ustawienie, przejdź do pozycji Ustawienia>Punkty końcowe>Funkcje> zaawansowanePobierz pliki poddane kwarantannie, aby dostosować ustawienie. Aby uzyskać więcej informacji, zobacz Funkcje zaawansowane.

Tworzenie kopii zapasowych plików poddanych kwarantannie

Użytkownicy mogą zostać poproszeni o wyrażenie jawnej zgody przed utworzeniem kopii zapasowej pliku poddanego kwarantannie, w zależności od konfiguracji przykładowego przesyłania.

Funkcja Pobierz pliki poddane kwarantannie nie działa, jeśli przesyłanie próbek jest wyłączone. Jeśli automatyczne przesyłanie przykładów jest ustawione na żądanie uprawnień od użytkownika, zbierane są tylko przykłady, które użytkownik zgadza się wysłać.

Zbieranie plików

Jeśli plik nie jest jeszcze zapisany w usłudze Ochrona punktu końcowego w usłudze Microsoft Defender, nie można go pobrać. Zamiast tego w tej samej lokalizacji zostanie wyświetlony przycisk Zbierz plik .

Przycisk Zbierz plik może mieć następujące stany:

• Aktywne — możesz zebrać plik.

• Nieaktywne — jeśli przycisk jest wyszarzony lub nieaktywny podczas aktywnej próby zbierania plików, możesz nie mieć odpowiednich uprawnień RBAC umożliwiających zbieranie plików.

  Wymagane są następujące uprawnienia:

  W przypadku przenośnego pliku wykonywalnego (.exe, .sys, .dll i innych)

  • Administrator zabezpieczeń lub zaawansowana reakcja na żywo lub alerty

  Plik wykonywalny inny niż przenośny (.txt, .docx i inne)

  • Administrator zabezpieczeń lub zaawansowana odpowiedź na żywo

Jeśli plik nie był widoczny w organizacji w ciągu ostatnich 30 dni, plik Collect jest wyłączony.

Dodawanie wskaźnika w celu zablokowania lub zezwolenia na plik

Zapobiegaj dalszej propagacji ataku w organizacji, zakazując potencjalnie złośliwych plików lub podejrzewanego złośliwego oprogramowania. Jeśli znasz potencjalnie złośliwy przenośny plik wykonywalny (PE), możesz go zablokować. Blokowanie pliku uniemożliwia jego odczyt, zapis lub wykonywanie na urządzeniach w organizacji.

Włączanie funkcji pliku blokowego

Aby rozpocząć blokowanie plików, należy najpierw włączyć funkcję Blokuj lub zezwalaj w ustawieniach.

Zezwalaj lub blokuj plik

Po dodaniu skrótu wskaźnika dla pliku możesz zgłosić alert i zablokować plik za każdym razem, gdy urządzenie w organizacji podejmie próbę jego uruchomienia.

Pliki automatycznie zablokowane na podstawie wskaźnika nie są wyświetlane w Centrum akcji pliku, ale alerty nadal są widoczne w kolejce alertów.

Aby uzyskać więcej informacji na temat blokowania i zgłaszania alertów dotyczących plików, zobacz Omówienie wskaźników .

Aby zatrzymać blokowanie pliku, usuń wskaźnik. Wskaźnik można usunąć za pomocą akcji Edytuj wskaźnik na stronie profilu pliku. Akcja Edytuj wskaźnik jest widoczna w tej samej pozycji co akcja Dodaj wskaźnik przed dodaniem wskaźnika.

Wskaźniki można również edytować na stronie Ustawienia w obszarze Wskaźniki reguł>. Wskaźniki są wyświetlane na stronie Reguły>Wskaźniki według hasza pliku.

Sprawdź szczegóły aktywności w Centrum akcji

Centrum akcji zawiera informacje o akcjach wykonywanych na urządzeniu lub pliku. Możesz wyświetlić następujące szczegóły:

• Zbieranie pakietu diagnostycznego
• Skanowanie antywirusowe
• Ograniczenie aplikacji
• Izolacja urządzenia

Wyświetlane są również wszystkie inne powiązane szczegóły, takie jak data/godzina przesłania, przesyłanie użytkownika oraz czy akcja zakończyła się pomyślnie lub nie powiodła się.

Głęboka analiza

Badania zabezpieczeń cybernetycznych są zwykle wyzwalane przez alert. Alerty są powiązane z co najmniej jednym zaobserwowanym plikiem, które często są nowe lub nieznane. Wybranie pliku spowoduje przejście do widoku pliku, w którym można wyświetlić metadane pliku. Aby wzbogacić dane związane z plikiem, możesz przesłać plik do głębokiej analizy.

Funkcja analizy głębokiej wykonuje plik w bezpiecznym, w pełni instrumentowanym środowisku chmury. Wyniki szczegółowej analizy pokazują działania pliku, obserwowane zachowania i skojarzone artefakty, takie jak porzucone pliki, modyfikacje rejestru i komunikacja z adresami IP. Analiza szczegółowa obsługuje szeroką analizę przenośnych plików wykonywalnych (PE), w tym plików .exe i .dll ).

Szczegółowa analiza pliku trwa kilka minut. Po zakończeniu analizy plików karta Analiza szczegółowa zostanie zaktualizowana w celu wyświetlenia podsumowania oraz daty i godziny najnowszych dostępnych wyników.

Podsumowanie analizy głębokiej zawiera listę obserwowanych zachowań, z których niektóre mogą wskazywać na złośliwe działanie i obserwowane działania, w tym kontaktowane adresy IP i pliki utworzone na dysku. Jeśli nic nie zostało znalezione, w sekcjach Zachowania i Obserwowane są wyświetlane krótkie komunikaty.

Wyniki głębokiej analizy są dopasowywane do analizy zagrożeń, a wszystkie dopasowania generują odpowiednie alerty.

Użyj funkcji analizy głębokiej, aby zbadać szczegóły dowolnego pliku, zwykle podczas badania alertu lub z innego powodu, w którym podejrzewasz złośliwe zachowanie. Funkcja Analizy głębokiej jest dostępna w górnej części strony pliku. Wybierz trzy kropki, aby uzyskać dostęp do akcji Analiza szczegółowa .

Dowiedz się więcej o głębokiej analizie w poniższym filmie wideo:

Funkcja Prześlij do analizy głębokiej jest włączona, gdy plik jest dostępny w przykładowej kolekcji zaplecza usługi Defender for Endpoint lub jeśli zaobserwowano go na urządzeniu Windows 10, które obsługuje przesyłanie do głębokiej analizy.

Możesz także przesłać próbkę przez portal rozwiązania zabezpieczające firmy Microsoft Intelligence, jeśli plik nie został zaobserwowany na urządzeniu z Windows 10 (lub Windows 11 lub Windows Server 2012 R2+), i poczekać na dostępność przycisku "Wyślij do głębokiej analizy".

Przesyłanie plików do głębokiej analizy

Aby przesłać plik do szczegółowej analizy, wykonaj następujące kroki:

1. Wybierz plik, który chcesz przesłać do głębokiej analizy. Możesz wybrać lub wyszukać plik z dowolnego z następujących widoków:

   • Alerty — wybierz linki do plików z sekcji Opis lub Szczegóły na osi czasu historii alertu
   • Lista urządzeń — wybierz linki do plików w sekcji Opis lub Szczegóływ sekcji Urządzenie w organizacji
   • Pole wyszukiwania — wybierz pozycję Plik z menu rozwijanego i wprowadź nazwę pliku

2. Na karcie Analiza szczegółowa widoku pliku wybierz pozycję Prześlij.

   

   Uwaga

   Obsługiwane są tylko pliki PE, w tym pliki .exe i .dll. Ponadto pliki wykonywalne aplikacja dla systemu Windows Store nie są obsługiwane.

   Zostanie wyświetlony pasek postępu, który zawiera informacje o różnych etapach analizy. Następnie możesz wyświetlić raport po zakończeniu analizy.

Wyświetlanie raportów analizy głębokiej

Wyświetl udostępniony raport analizy szczegółowej, aby wyświetlić bardziej szczegółowe szczegółowe informacje na temat przesłanego pliku. Raport analizy głębokiej jest dostępny w kontekście widoku pliku.

Możesz wyświetlić kompleksowy raport zawierający szczegółowe informacje na temat następujących sekcji:

• Zachowania
• Obserwowane elementy

Podane szczegóły mogą pomóc w zbadaniu, czy istnieją oznaki potencjalnego ataku.

1. Wybierz przesłany plik do głębokiej analizy.

2. Wybierz kartę Analiza szczegółowa . Jeśli istnieją jakieś poprzednie raporty, podsumowanie raportu zostanie wyświetlone na tej karcie.

   

Rozwiązywanie problemów z funkcją głębokiej analizy

Jeśli podczas próby przesłania pliku wystąpi problem, spróbuj wykonać każdy z poniższych kroków rozwiązywania problemów.

1. Upewnij się, że dany plik jest plikiem PE. Pliki PE zwykle mają rozszerzenie .exe lub .dll (programy wykonywalne lub aplikacje).

2. Upewnij się, że usługa ma dostęp do pliku, że nadal istnieje i nie została uszkodzona ani zmodyfikowana.

3. Poczekaj chwilę i spróbuj ponownie przesłać plik. Kolejka może być pełna lub wystąpił tymczasowy błąd połączenia lub komunikacji.

4. Jeśli zasady pobierania próbek nie są skonfigurowane, domyślnie zezwala się na pobieranie próbek. Jeśli jest skonfigurowany, sprawdź, czy ustawienie zasad zezwala na zbieranie przykładów przed ponownym przesłaniem pliku. Po skonfigurowaniu przykładowej kolekcji sprawdź następującą wartość rejestru:

   Path: HKLM\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection
   Name: AllowSampleCollection
   Type: DWORD
   Hexadecimal value :
     Value = 0 - block sample collection
     Value = 1 - allow sample collection
   

5. Zmień jednostkę organizacyjną za pomocą Zasad grupy. Aby uzyskać więcej informacji, zobacz Konfigurowanie przy użyciu zasad grupy.

6. Jeśli te kroki nie rozwiążą problemu, skontaktuj się z pomocą techniczną.

Treści powiązane

• Wykonaj akcje odpowiedzi na urządzeniu
• Analizuj pliki
• Ręczne akcje odpowiedzi w Ochrona punktu końcowego w usłudze Microsoft Defender Plan 1