Notatka
Dostęp do tej strony wymaga autoryzacji. Może spróbować zalogować się lub zmienić katalogi.
Dostęp do tej strony wymaga autoryzacji. Możesz spróbować zmienić katalogi.
Co to są Microsoft Defender for Identity alerty zabezpieczeń?
Microsoft Defender for Identity alerty zabezpieczeń zawierają informacje o podejrzanych działaniach wykrytych przez usługę Defender for Identity oraz o aktorach i komputerach biorących udział w każdym zagrożeniu. Listy dowodów alertów zawierają bezpośrednie linki do zaangażowanych użytkowników i komputerów, aby ułatwić i kierować badania.
Uwaga
Usługa Defender for Identity nie służy jako rozwiązanie do inspekcji lub rejestrowania, które przechwytuje każdą operację lub działanie na serwerach, na których jest zainstalowany czujnik. Przechwytuje tylko dane wymagane do ich mechanizmów wykrywania i rekomendacji.
Strona Alerty dotyczące tożsamości zapewnia możliwości wzbogacania sygnałów między domenami i automatycznego reagowania na tożsamości. Zaletą badania alertów przy użyciu Microsoft Defender jest to, że alerty Microsoft Defender for Identity są skorelowane z informacjami uzyskanymi z każdego z innych produktów w pakiecie. Te rozszerzone alerty są zgodne z innymi formatami alertów Microsoft Defender pochodzącymi z Ochrona usługi Office 365 w usłudze Microsoft Defender i Ochrona punktu końcowego w usłudze Microsoft Defender.
Alerty pochodzące z Defender wyzwalacza tożsamości Microsoft Defender możliwości zautomatyzowanego badania i reagowania (AIR), w tym automatyczne korygowanie alertów oraz ograniczanie ryzyka narzędzi i procesów, które mogą przyczynić się do podejrzanych działań.
Microsoft Defender for Identity alerty są obecnie wyświetlane w dwóch różnych układach w portalu Microsoft Defender. Chociaż widoki alertów mogą zawierać różne informacje, wszystkie alerty są oparte na wykrywaniu z czujników usługi Defender for Identity. Wyświetlane różnice w układzie i informacjach są częścią trwającego przejścia do ujednoliconego środowiska alertów w Microsoft Defender produktach.
Uwaga
Powiadomienia w formacie Classic i Defender nie są powiązane z wersją sensora. Czujnik v2.x lub v3.x może dostarczać dane do alertów w obu formatach, w zależności od źródła detekcji wyświetlanego w alertie.
Podczas przejścia na doświadczenie alertów w formacie Defender, niektóre wykrycia mogą pojawiać się zarówno na klasycznej liście alertów, jak i na liście alertów w formacie Defender, pod różnymi nazwami. Użyj źródła wykrywania , aby potwierdzić, w jakim formacie wygenerował alert.
Strojenie zależy od formatu. Wykluczenia skonfigurowane w ustawieniach>Tożsamości>Wyłączone podmioty dotyczą wykluczeń Defender for Identity detection exclusions. Alerty w formacie Defender powinny być dostrojone według zasad strojenia alertów Microsoft Defender.
Aby dowiedzieć się więcej o tym, jak zrozumieć strukturę i typowe składniki wszystkich alertów zabezpieczeń usługi Defender for Identity, zobacz Wyświetlanie alertów i zarządzanie nimi.
Aby uzyskać informacje na temat wartości prawdziwie dodatnich (TP),niegroźnych prawdziwie dodatnich (B-TP) i fałszywie dodatnich (FP), zobacz klasyfikacje alertów zabezpieczeń.
Kategorie alertów
Alerty są podzielone na kategorie na podstawie faz obserwowanych w typowym łańcuchu ataków cybernetycznych. Kategorie różnią się nieznacznie w zależności od tego, czy alert pochodzi z używania alertów klasycznych Microsoft Defender for Identity, czy Microsoft Defender. Różnice są częścią trwającego przejścia do ujednoliconego środowiska alertów w Microsoft Defender produktach.
Na przykład istnieją kategorie dla:
- Alerty rekonesansu i odnajdywania
- Alerty eskalacji trwałości i uprawnień
- Alerty dostępu poświadczeń
- Alerty dotyczące przenoszenia bocznego
Aby uzyskać szczegółowe informacje na temat każdego alertu, zobacz: