Microsoft Defender for Cloud Apps 與 適用於端點的 Microsoft Defender 的整合可提供無縫的 Shadow IT 可見度與控制解決方案。 我們的整合可讓 Defender for Cloud Apps 系統管理員調查已探索到的裝置、網路事件和應用程式使用情況。 在開始之前，請確保你符合先決條件，包括設定與 Defender for Endpoint 的整合。
必要條件
在執行本文說明的程序前，請確保你已完成 Defender for Endpoint 與 Defender for Cloud Apps 的整合。
在適用於雲端應用程式的 Defender 中調查探索到的裝置
將適用於端點的 Defender 與適用於雲端應用程式的 Defender 整合後，即可在雲端探索儀表板中調查探索到的裝置資料。
在 Microsoft Defender 入口網站的 [雲端應用程式] 底下，選取 [Cloud Discovery>儀錶板]。
在 Cloud Discovery Dashboard 頁面頂端，選擇 Defender 管理端點。 Defender 管理端點串流包含 Defender for Cloud Apps 整合前置條件中提及的任何作業系統資料。
在 Cloud Discovery 儀表板的頂端，你會看到在設定 Defender for Endpoint 與 Defender for Cloud Apps 整合後新增的發現裝置數量。
選取 [裝置] 索引標籤。
向下切入列出的每個裝置，然後使用索引標籤來檢視調查資料。 尋找事件中涉及的裝置、使用者、IP 位址和應用程式之間的相互關聯：
概述：
- 裝置風險等級：顯示該裝置的設定檔相較於組織中其他裝置的風險高低，並以嚴重性（高、中、低、資訊性）表示。 Defender for Cloud Apps 會根據進階分析，為每部裝置使用來自 Defender for Endpoint 的裝置設定檔。 對裝置基準來說為異常的活動會經過評估，並判斷裝置的風險層級。 使用裝置風險層級來判斷要先調查哪些裝置。
- 交易：有關所選時間段內裝置上發生的交易數量的資訊。
- 總流量：所選期間內總流量的相關資訊（以 MB 為單位）。
- 上傳：有關裝置在所選時間段內上傳的流量總量（以 MB 為單位 () ）的資訊。
- 下載：有關裝置在所選時間範圍內下載的總流量資訊（以 MB 為單位）。
探索到的應用程式：清單裝置存取的所有探索到的應用程式。
使用者歷程記錄：清單登入裝置的所有使用者。
IP 位址歷程記錄：清單指派給裝置的所有 IP 位址。
如同任何其他雲端探索來源，您可以從 Defender 受控端點 報表匯出資料，以進行進一步調查。
注意事項
- Defender for Endpoint 會以約 4 MB 的區塊（約 4000 筆端點交易記錄）將資料轉送至 Defender for Cloud Apps
- 如果在 1 小時內未達到 4 MB 限制，適用於端點的 Defender 會報告過去一小時內執行的所有交易。
當端點位於網路 Proxy 伺服器後方時，透過 Defender for Endpoint 探索應用程式
Defender for Cloud Apps 可以發現由 Defender for Endpoint 裝置偵測到的影子 IT 網路事件，而這些裝置與網路 Proxy 在相同的環境中運作。 例如，如果您的Windows 10端點裝置與 ZScalar 位於相同的環境中，Defender for Cloud Apps可以透過 Win10 端點使用者串流探索影子 IT 應用程式。
調查 Microsoft Defender 中的裝置網路事件
網路事件是 Defender for Endpoint 擷取的裝置連線時間軸紀錄，幫助你調查特定裝置上的應用程式相關活動。
注意事項
網路事件應該用來調查探索到的應用程式，而不是用來偵錯遺失的資料。
使用下列步驟，在 適用於端點的 Microsoft Defender 中更細微地掌握裝置的網路活動：
- 在 Microsoft Defender 入口網站的 [雲端應用程式] 底下，選取 [Cloud Discovery]。 然後選取 [裝置] 索引標籤。
- 選取您要調查的電腦，然後在左上角選取 在 適用於端點的 Microsoft Defender 中檢視。
- 在 Defender 入口網站中，於 資產 ->裝置> {所選裝置} 底下，選取 時間軸。
- 在 篩選器下，選取 網路事件。
- 視需要調查裝置的網路事件。
使用進階搜捕調查 Microsoft Defender 全面偵測回應 中的應用程式使用情況
進階狩獵是 Microsoft Defender 全面偵測回應 中基於查詢的威脅狩獵工具，讓你能探索原始遙測資料。 使用下列步驟來取得適用於端點的 Defender 中應用程式相關網路事件的更細微可見度：
在 Microsoft Defender 入口網站的 [雲端應用程式] 底下，選取 [Cloud Discovery]。 然後選取 [探索到的應用程式] 索引標籤。
選取要調查的應用程式，以開啟其詳細資料窗格。
選取應用程式的 網域 清單，然後複製網域清單。
在 Microsoft Defender 全面偵測回應 的 搜捕 下，選取 進階搜尋。
貼上下列查詢，並將
<DOMAIN_LIST>取代為您先前複製的網域清單。DeviceNetworkEvents | where RemoteUrl has_any ("<DOMAIN_LIST>") | order by Timestamp desc執行查詢並調查此應用程式的網路事件。
調查 Microsoft Defender 中未經授權的應用程式
每次嘗試存取未經授權的應用程式，Defender 入口網站都會觸發警示，詳細說明整個會話內容。 警示細節讓您能對存取未經授權應用程式的嘗試進行更深入的調查，並提供更多相關資訊以供終端裝置調查使用。
有時候，不會封鎖對未核准應用程式的存取，因為端點裝置未正確設定，或強制執行原則尚未傳播至端點。 當因端點設定錯誤或原則傳播延遲，導致未獲認可的應用程式未遭封鎖時，Defender for Endpoint 系統管理員會在 Defender 入口網站中收到警示，指出該未獲認可的應用程式未遭封鎖。
注意事項
- 將應用程式標記為未 核准 後，最多需要兩個小時才能讓應用程式網域傳播至端點裝置。
- 根據預設，在 Defender for Cloud Apps 中標示為 [未核准] 的應用程式和網域將會針對組織中的所有端點裝置遭到封鎖。
- 目前，未經批准的應用程式不支援完整網址。 因此，當您將已設定完整 URL 的應用程式取消核准時，這些應用程式不會同步到 Microsoft Defender for Endpoint，也不會被封鎖。 例如，
google.com/drive不支援，而drive.google.com支援。 - 瀏覽器內通知可能因不同瀏覽器而異。
後續步驟
相關影片
以下影片提供更多背景說明與導覽，協助影子資訊科技的發現與調查。
如果您遇到任何問題，我們隨時為您提供協助。 若要就您的產品問題取得協助或支援，請提交支援單。