將適用於雲端的 Microsoft Defender 中的補救回應自動化

所有安全性程式皆包含事件回應的多個工作流程。這些程序可能包括通知相關利害關係人、啟動變更管理程序，以及套用特定的補救步驟。

安全專家建議您盡可能自動化許多安全程序步驟。自動化可減少開銷。它還可以確保流程步驟快速、一致地完成並根據您的預定義要求來提高您的安全性。

本文說明適用於雲端的 Microsoft Defender 的工作流程自動化功能。工作流程自動化功能可在安全性警示、建議和法規合規性變更時觸發取用邏輯應用程式。例如，警示發生時，您可能會希望適用於雲端的 Defender 寄送電子郵件給特定使用者。你也會透過使用 Azure Logic Apps 學習如何建立邏輯應用程式。

Prerequisites

您必須在資源群組上具有 安全性系統管理員角色 或 擁有者 。
您必須具有目標資源的寫入許可。
若要使用 Azure Logic Apps 工作流程，您必須具有下列 Logic Apps 角色或許可權：
- 需要 Logic App Operator 權限，或 Logic App 讀取或觸發存取權。具有此角色的使用者無法建立或編輯邏輯應用程式。它們只能執行現有流程。
- 邏輯應用程式建立和修改需要邏輯應用程式參與者權限。
如果你想使用 Logic Apps 連接器，可能需要其他憑證登入它們各自的服務，例如 Outlook、Teams 或 Slack 實例。

建立邏輯應用程式並定義應自動執行的時間

請遵循下列步驟：

在適用於雲端的 Defender 側邊欄上，選取 [工作流程自動化]。

在此頁面上，您可以建立新的自動化規則，或啟用、停用或刪除現有的自動化規則。範圍指的是部署工作流程自動化的訂閱。
若要定義新的工作流程，請選取 [新增工作流程自動化]。新自動化的選項窗格隨即開啟。
輸入下列內容：
- 自動化的名稱和描述。
- 啟動此自動工作流程的觸發器。例如，您可能想要在產生包含片語 SQL 的安全性警示時執行邏輯應用程式。
指定在觸發條件達成時會執行的消費邏輯應用程式。
在 [動作] 區段上，選取 造訪邏輯應用程式頁面，以開始建立邏輯應用程式。

選擇「造訪 Logic Apps 頁面」會開啟 Azure Logic Apps。
選取 （+） [新增]。
填寫所有必填欄位，然後選取檢閱 + 建立。

隨即顯示部署 進行中 訊息。等候 [部署完成 ] 通知出現，然後選取 [ 移至資源]。
檢閱您輸入的資訊，然後選取 [建立]。

在新的邏輯應用程式中，您可以從安全性類別的內建預先定義範本中進行選擇。或者，您可以定義工作流程自動化執行時發生的自訂事件流程。

Tip

有時候，參數會包含在連接器中的邏輯應用程式中，做為字串的一部分，而不是包含在自己的欄位中。如需如何擷取參數的範例，請參閱在建置適用於雲端的 Microsoft Defender 工作流程自動化時使用邏輯應用程式參數的步驟 14。

支援的觸發器

邏輯應用程式設計工具支援下列適用於雲端的 Defender 的觸發程式：

當建立或觸發適用於雲端的 Microsoft Defender 的建議時：如果您的邏輯應用程式依賴已被廢止或取代的建議，您的自動化流程將會停止運作，而您需要更新觸發條件。要追蹤推薦的變更，請參閱發布說明。
當建立或觸發適用於雲端的 Defender 警示時：您可以自訂觸發條件，使其僅與您感興趣的嚴重性等級的警示相關。
當建立或觸發適用於雲端的 Defender 法規遵循評估時：您想要根據法規遵循評估的更新來觸發自動化。

備註

如果你使用舊有觸發器，當對適用於雲端的 Microsoft Defender 警示的回應被觸發時，工作流程自動化功能不會開啟你的邏輯應用程式。改為使用 當適用於雲端的 Microsoft Defender 建議建立或觸發時 觸發程序，或 當適用於雲端的 Defender 警示建立或觸發時 觸發程序。

定義邏輯應用程式之後，請返回 [ 新增工作流程自動化 ] 窗格。
選取 [重新整理] 以確保您的新邏輯應用程式可供選取。
選擇您的邏輯應用程式，然後儲存自動化設定。下拉式功能表只會顯示具有支援 Microsoft 適用於雲端的 Defender 連接器的邏輯應用程式。

手動觸發邏輯應用程式

您也可以在檢視任何安全性警示或建議時手動執行邏輯應用程式。

若要手動執行邏輯應用程式，請開啟警示或建議，然後選取 [觸發邏輯應用程式]。

大規模設定工作流程自動化

當您自動化組織的監控和事件回應程序時，調查和緩解安全事件所需的時間可以大幅縮短。

要在您的組織中部署自動化設定，請使用下表中所提供的 Azure 原則 DeployIfNotExist 政策。 DeployIfNotExist政策效果會自動部署尚未存在的必要資源，讓你能大規模建立並配置工作流程自動化程序。

開始使用工作流程自動化範本。

若要實作這些原則：

在下表中，選取您要套用的原則：

目標	原則	策略識別碼
安全性警示的工作流程自動化	部署適用於雲端的 Microsoft Defender 警示的工作流程自動化	f1525828-9a90-4fcf-be48-268cdd02361e
安全性建議工作流程自動化	為適用於雲端的 Microsoft Defender 建議部署工作流程自動化	73d6ab6c-2475-4850-afd6-43795f3492ef
法規合規性變更的工作流程自動化	為適用於雲端的 Microsoft Defender 法規遵循部署工作流程自動化	509122b9-ddd9-47ba-a5f1-d0dac20be63c

您也可以使用 Azure 原則搜尋並尋找原則。在 Azure 原則中，選擇定義，然後依名稱搜尋政策。

在相關的 Azure 原則頁面上，選取 [指派]。
在基本標籤上，設定原則的範圍。若要使用集中式管理，請將原則指派給包含使用工作流程自動化設定之訂用帳戶的 管理群組 。
在 [參數] 索引標籤上，輸入必要的資訊。
（選用）將此指派套用至 [ 補救] 索引標籤上的現有訂用帳戶，然後選取建立補救工作的選項。
檢閱摘要頁面，然後選取 [ 建立]。

用於工作流程自動化的資料型別架構

若要檢視傳遞至邏輯應用程式之安全性警示或建議事件的原始事件結構描述，請移至工作流程自動化的資料類型結構描述。當你沒有使用內建的適用於雲端的 Defender Logic Apps 連接器，而是使用通用的 HTTP 連接器時，查看原始事件結構會很有用。您可以使用事件 JSON 結構描述，按需手動解析它。

上次更新時間： 2026-09-16

將 適用於雲端的 Microsoft Defender 中的補救回應自動化