Microsoft Defender för Endpoint säkerhetsåtgärdsguide

  • Gäller för: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Den här artikeln ger en översikt över kraven och uppgifterna för att framgångsrikt använda Microsoft Defender för Endpoint i din organisation. Dessa uppgifter hjälper ditt säkerhetscenter (SOC) att effektivt identifiera och svara på Microsoft Defender för Endpoint identifierade säkerhetshot.

Den här artikeln beskriver även dagliga, veckovisa, månatliga och ad hoc-uppgifter som ditt säkerhetsteam kan utföra för din organisation.

Obs!

Dessa är rekommenderade steg. kontrollera dem mot dina egna principer och din miljö för att se till att de är ändamålsenliga.

Förhandskrav

Microsoft Defender for Endpoint bör konfigureras så att den stöder er ordinarie säkerhetsprocess. Även om det inte beskrivs i det här dokumentet innehåller följande artiklar konfigurations- och konfigurationsinformation:

Dagliga aktiviteter

Allmänt

  • Granska åtgärder

    I åtgärdscentret granskar du de åtgärder som har vidtagits i din miljö, både automatiserade och manuella. Den här informationen hjälper dig att verifiera att automatiserad undersökning och svar (AIR) fungerar som förväntat och identifierar eventuella manuella åtgärder som behöver granskas. Mer information finns i Gå till åtgärdscentret för att se reparationsåtgärder.

Säkerhetsåtgärdsteam

  • Övervaka incidentkön i Microsoft Defender XDR

    När Microsoft Defender för Endpoint identifierar indikatorer för kompromettering (IOCs) eller indikatorer för angrepp (IOA) och genererar en avisering, inkluderas aviseringen i en incident och visas i kön Incidenter i Microsoft Defender-portalen (https://security.microsoft.com).

    Granska dessa incidenter för att svara på eventuella Microsoft Defender för Endpoint aviseringar och åtgärda när incidenten har åtgärdats. Mer information finns i Incidentaviseringar via e-post och Visa och organisera incidentkön i Microsoft Defender för Endpoint.

  • Hantera falskt positiva och falskt negativa identifieringar

    Granska incidentkön, identifiera falskt positiva och falskt negativa upptäckter och skicka dem för granskning. På så sätt kan du effektivt hantera aviseringar i din miljö och göra aviseringarna mer effektiva. Mer information finns i Hantera falska positiva/negativa resultat i Microsoft Defender för Endpoint.

  • Granska hotanalyser med hög påverkan

    Granska hotanalys för att identifiera eventuella kampanjer som påverkar din miljö. I tabellen "Hot med hög påverkan" visas de hot som har haft störst inverkan på organisationen. Det här avsnittet rangordnar hot efter antalet enheter som har aktiva aviseringar. Mer information finns i Spåra och svara på nya hot via hotanalys.

Säkerhetsadministrationsteamet

  • Granska hälsorapporter

    Granska hälsorapporter för att identifiera eventuella trender för enhetens hälsotillstånd som behöver åtgärdas. Rapporterna om enhetens hälsotillstånd omfattar Microsoft Defender för Endpoint AV-signatur, plattformshälsa och EDR-hälsa. Mer information finns i Hälsorapporter för enheter i Microsoft Defender för Endpoint.

  • Kontrollera sensorhälsa för slutpunktsidentifiering och svar (EDR)

    EDR-statusen bibehåller anslutningen till EDR-tjänsten för att säkerställa att Defender for Endpoint tar emot de signaler som krävs för att generera aviseringar och identifiera sårbarheter.

    Granska enheter med problem. Mer information finns i Enhetshälsa, Sensorhälsa & OS-rapport.

  • Kontrollera Microsoft Defender antivirushälsa

    Att visa status för Microsoft Defender Antivirus-uppdateringar är viktigt för bästa prestanda för Defender för Endpoint i din miljö och uppdaterade identifieringar. Sidan enhetshälsa visar aktuell status för plattform, intelligens och motorversion. Mer information finns i Enhetshälsa, hälsorapport för Microsoft Defender Antivirus.

Veckoaktiviteter

Allmänt

  • Meddelandecentral

    Microsoft Defender använder Microsoft 365 Meddelandecenter för att meddela dig om kommande ändringar, till exempel nya och ändrade funktioner, planerat underhåll eller andra viktiga meddelanden.

    Granska meddelandecentrets meddelanden för att förstå eventuella kommande ändringar som påverkar din miljö.

    Du kan komma åt detta i Administrationscenter för Microsoft 365 under fliken Hälsa. Mer information finns i Så här kontrollerar du tjänstens hälsotillstånd för Microsoft 365.

Säkerhetsåtgärdsteam

  • Granska hotrapport

    Granska hälsorapporter för att identifiera eventuella trender för enhetshot som behöver åtgärdas. Mer information finns i Hotskyddsrapport.

  • Granska hotanalys

    Granska hotanalys för att identifiera eventuella kampanjer som påverkar din miljö. Mer information finns i Spåra och svara på nya hot via hotanalys.

Säkerhetsadministrationsteamet

  • Granska status för hot och sårbarhet (TVM)

    Granska TVM för att identifiera eventuella nya säkerhetsrisker och rekommendationer som kräver åtgärder. Mer information finns på instrumentpanelen för sårbarhetshantering.

  • Granska rapportering för minskning av attackytan

    Granska ASR-rapporter för att identifiera filer som påverkar din miljö. Mer information finns i rapporten om regler för minskning av attackytan (ASR).

  • Granska webbskyddshändelser

    Granska webbskyddsrapporten för att identifiera eventuella IP-adresser eller URL:er som blockeras. Mer information finns i Webbskydd.

Månatliga aktiviteter

Allmänt

Läs följande artiklar för att förstå nyligen utgivna uppdateringar:

Säkerhetsadministrationsteamet

Regelbundet

Dessa uppgifter ses som underhåll för din säkerhetsstatus och är viktiga för ditt pågående skydd. Men eftersom det kan ta tid och ansträngning rekommenderar vi att du anger ett standardschema som du kan underhålla för att utföra dessa uppgifter.

  • Granska undantag

    Granska undantag som har angetts i din miljö för att bekräfta att du inte har skapat ett skyddsgap genom att exkludera saker som inte längre behöver undantas.

  • Granska Defender-principkonfigurationer

    Granska dina Defender-konfigurationsinställningar regelbundet för att bekräfta att de har angetts efter behov.

  • Granska automatiseringsnivåer

    Granska automatiseringsnivåer i automatiserade undersöknings- och reparationsfunktioner. Mer information finns i Automatiseringsnivåer i automatiserad undersökning och reparation.

  • Granska anpassade upptäckter

    Granska regelbundet om de anpassade identifieringarna som har skapats fortfarande är giltiga och effektiva. Mer information finns i Granska anpassad identifiering.

  • Granska undertryckning av aviseringar

    Granska regelbundet eventuella regler för undertryckning av aviseringar som har skapats för att bekräfta att de fortfarande är obligatoriska och giltiga. Mer information finns i Granska undertryckning av aviseringar.

Felsökning

Följande artiklar innehåller vägledning för att felsöka och åtgärda fel som kan uppstå när du konfigurerar din Microsoft Defender för Endpoint-tjänst.

  • Uppdaterades senast