Przeglądanie alertów w usłudze Microsoft Defender dla punktu końcowego

Strona alertu w Ochrona punktu końcowego w usłudze Microsoft Defender zapewnia pełny kontekst alertu, łącząc sygnały ataku i alerty powiązane z wybranym alertem, aby utworzyć szczegółową historię alertu.

Szybkie klasyfikowanie, badanie i podjęcie skutecznych działań w przypadku alertów wpływających na organizację. Dowiedz się, dlaczego uruchomiono alerty i jaki mają wpływ, w jednym miejscu. Dowiedz się więcej o alertach w artykule Badanie alertów w Ochrona punktu końcowego w usłudze Microsoft Defender.

Pierwsze kroki z alertem

Wybranie nazwy alertu w usłudze Microsoft Defender dla punktów końcowych przeniesie Cię na stronę alertu. Na stronie alertu wszystkie informacje będą wyświetlane w kontekście wybranego alertu. Każda strona alertu składa się z 4 sekcji:

1. Tytuł alertu zawiera nazwę alertu i przypomina, który alert rozpoczął bieżące badanie, niezależnie od tego, co zostało wybrane na stronie.
2. Elementy, których dotyczy alert zawiera karty urządzeń i użytkowników objętych tym alertem, które można kliknąć, aby wyświetlić więcej informacji i dostępne akcje.
3. W scenariuszu alertu są wyświetlane wszystkie jednostki związane z alertem połączone przez widok drzewa. Alert wskazany w tytule będzie aktywny, gdy po raz pierwszy wejdziesz na stronę wybranego alertu. Jednostki w scenariuszu alertu można rozszerzać i klikać, aby dostarczyć dodatkowych informacji i przyspieszyć reagowanie, umożliwiając wykonywanie akcji bezpośrednio w kontekście strony alertu. Użyj scenariusza alertu, aby rozpocząć badanie. Dowiedz się, jak to zrobić, w artykule Badanie alertów w usłudze Ochrona punktu końcowego w usłudze Microsoft Defender.
4. W okienku szczegółów najpierw zostaną wyświetlone szczegóły wybranego alertu ze szczegółami i akcjami związanymi z tym alertem. Jeśli wybierzesz dowolne zasoby lub jednostki, których dotyczy problem, w wątku alertu okienko szczegółów zmieni się, aby udostępnić informacje kontekstowe i akcje dla wybranego obiektu.

Zanotuj stan wykrywania alertu.

• Zapobieżono: Próba wykonania podejrzanego działania została udaremniona. Na przykład plik nie został zapisany na dysku ani uruchomiony.

  

• Zablokowano: wykryto podejrzane zachowanie, a następnie je zablokowano. Na przykład proces został wykonany, ale ponieważ później wykazywał podejrzane zachowania, proces został zakończony.

  

• Wykryto: Wykryto atak i prawdopodobnie nadal jest aktywny.

  

Następnie możesz również przejrzeć szczegóły zautomatyzowanego badania w okienku szczegółów alertu, aby zobaczyć, które akcje zostały już wykonane, a także przeczytać opis alertu dla zalecanych akcji.

Inne informacje dostępne w okienku szczegółów po otwarciu alertu obejmują techniki MITRE, źródło i dodatkowe szczegóły kontekstowe.

Przejrzyj zasoby objęte problemem

Wybranie urządzenia lub karty użytkownika w sekcji Zasoby, których dotyczy problem, spowoduje przejście do szczegółów urządzenia lub użytkownika w okienku szczegółów.

• W przypadku urządzeń w okienku szczegółów zostaną wyświetlone informacje o samym urządzeniu, takie jak domena, system operacyjny i adres IP. Dostępne są również aktywne alerty i zalogowani użytkownicy na tym urządzeniu. Możesz podjąć natychmiastowe działania, izolowając urządzenie, ograniczając wykonywanie aplikacji lub uruchamiając skanowanie antywirusowe. Alternatywnie możesz zebrać pakiet badania, zainicjować zautomatyzowane badanie lub przejść do strony urządzenia, aby zbadać go z punktu widzenia urządzenia.

  

• W przypadku użytkowników w okienku szczegółów będą wyświetlane szczegółowe informacje o użytkowniku, takie jak nazwa SAM i identyfikator SID użytkownika, a także typy logowania wykonywane przez tego użytkownika oraz wszelkie alerty i zdarzenia związane z tym użytkownikiem. Możesz wybrać pozycję Otwórz stronę użytkownika , aby kontynuować badanie z punktu widzenia tego użytkownika.

  

Treści powiązane

• Wyświetlaj i organizuj kolejkę incydentów
• Badanie zdarzeń
• Zarządzanie zdarzeniami