檢閱並評估 適用於端點的 Microsoft Defender 中的裝置

  • 適用於: Microsoft Defender for Endpoint Plan 2

裝置發現 讓您能提升對未受管理裝置的可視性，評估其安全狀況，並採取適當措施來保護它們。

本文說明如何在 適用於端點的 Microsoft Defender 中，檢閱及評估由裝置探索功能探索到的裝置。 你也會學習如何取得未加入 適用於端點的 Microsoft Defender 裝置的資料，以及如何查詢已發現的裝置資料。

必要條件

在您檢視並評估已發現的裝置之前，請確保以下要求已達成：

  • 您的組織擁有 適用於端點的 Microsoft Defender Plan 2 授權。
  • 你至少有一台裝置已接入 Defender for Endpoint。 內建裝置作為網路感測器與資料來源，用以偵測非內建裝置。
  • 你擁有適當的權限，可以存取 Microsoft Defender 入口網站，查看裝置清單並執行進階搜尋查詢。

支援的作業系統

裝置發現支援以下作業系統：

  • Windows 10 和更新版本
  • Windows Server 2019 及更新版本。

監視裝置清查中尚未上線的裝置

你可以在裝置清單中檢視已探索到但尚未在 Defender for Endpoint 上線的裝置。

注意事項

若符合下列任一條件，未完成上線的裝置會在 Defender 入口網站中保留超過 180 天：

  • 該裝置被同一網路上的一個接載端點發現
  • 該裝置被 OT 感測器偵測到

若要評估這些裝置，請前往裝置清單，並使用 上線狀態 篩選條件，且其值為下列其中之一：

值 描述
已完成導入 該端點已接入 Defender for Endpoint。
可以上線 Defender for Endpoint 會偵測到網路中的裝置並支援其作業系統，但該裝置尚未被正式接入。

注意事項：
- 我們強烈建議你將這類裝置納入系統。
- 裝置清查中 [可以上線] 下所列的裝置數目、[上線至適用於端點的 Microsoft Defender] 安全性建議，以及 [要上線的裝置] 儀表板小工具之間可能會有差異。 安全建議和儀表板小工具是針對網路中穩定的裝置，排除臨時裝置、訪客裝置及其他裝置。 其理念是針對持續性裝置提出建議，這些裝置同時影響組織整體安全分數。
不支援 Defender for Endpoint 會偵測到該端點，但不支援該裝置。
資訊不足 系統無法確定裝置的支援性。 在網路中的更多裝置上啟用標準探索，以豐富所探索到的屬性。

將非受控裝置上線

你可以 手動接入未受管理的裝置。 網路中未受管理的端點會帶來漏洞與風險。 讓他們開始使用這項服務，可以提高對他們的安全可視性。

在已發現的裝置上使用進階搜捕

您可以使用進階搜捕查詢來查看已探索到的裝置。 在 DeviceInfo 表格中查詢發現裝置的詳細資訊，或在 DeviceNetworkInfo 表格中查詢這些裝置的網路相關資訊。

提示

您還可以在 API 査詢上使用上線狀態欄位來篩選出非受控裝置。

探索網路中的裝置

請使用以下進階搜尋查詢，找出連接特定網路的接入裝置。 查詢會從裝置發現設定中的網路清單中，根據網路名稱篩選，取得過去七天內已連接網路資料的裝置。

DeviceNetworkInfo
| where Timestamp > ago(7d)
| where ConnectedNetworks  != ""
| extend ConnectedNetworksExp = parse_json(ConnectedNetworks)
| mv-expand bagexpansion = array ConnectedNetworks=ConnectedNetworksExp
| extend NetworkName = tostring(ConnectedNetworks ["Name"]), Description = tostring(ConnectedNetworks ["Description"]), NetworkCategory = tostring(ConnectedNetworks ["Category"])
| where NetworkName == "<your network name here>"
| summarize arg_max(Timestamp, *) by DeviceId

取得裝置資訊

您可以使用以下進階搜尋查詢，取得特定裝置的最新完整資訊。

DeviceInfo
| where DeviceName == "<device name here>" and isnotempty(OSPlatform)
| summarize arg_max(Timestamp, *) by DeviceId

查詢已發現裝置的詳細資料

以下查詢會擷取每個已探索到但尚未納管之裝置的最新已知記錄，並排除已無效化或已合併的項目。 用它來識別未受管理的裝置，並檢視其最新詳細資料：

DeviceInfo
| summarize arg_max(Timestamp, *) by DeviceId  // Get latest known good per device Id
| where isempty(MergedToDeviceId) // Remove invalidated/merged devices
| where OnboardingStatus != "Onboarded"

透過在進階搜尋查詢中啟用 SeenBy 功能，你可以詳細了解發現的裝置是由哪個內建裝置被看到的。 這些資訊有助於確定每個發現裝置的網路位置，進而協助辨識該裝置在網路中的存在。

以下查詢會取得每個非上線裝置的最新紀錄，排除合併的條目，並呼叫 SeenBy 函式以顯示是哪個上線裝置發現了它：

DeviceInfo
| where OnboardingStatus != "Onboarded"
| summarize arg_max(Timestamp, *) by DeviceId 
| where isempty(MergedToDeviceId) 
| limit 100
| invoke SeenBy()
| project DeviceId, DeviceName, DeviceType, SeenBy

更多資訊請參閱 SeenBy () 功能。

裝置發現利用 Defender for Endpoint 上線裝置作為網路資料來源，將活動歸因於未上線的裝置。 Defender for Endpoint 內建裝置上的網路感測器會識別兩種新的連線類型：

  • ConnectionAttempt - 嘗試建立 TCP 連線 (syn)
  • ConnectionAcknowledged - TCP 連線已被接受的確認訊息（SYN/ACK）

這些連線類型意味著，當未接入的裝置嘗試與已接入的 Defender for Endpoint 裝置通訊時，嘗試會產生 DeviceNetworkEvent，而未接入的裝置活動可在已接入裝置時間軸及 Advanced hunting DeviceNetworkEvents 表格中查看。

以下查詢會回傳最近10次連線嘗試及已確認連線，讓您能確認哪些非接入裝置正在與已接入端點通訊：

DeviceNetworkEvents
| where ActionType == "ConnectionAcknowledged" or ActionType == "ConnectionAttempt"
| take 10

評估發現裝置的漏洞

Microsoft Defender 弱點管理 會偵測你裝置上的風險。 它也會檢查網路中未受管理的裝置。

要檢視漏洞，請前往 Defender 入口網站的暴露管理>建議。

例如，搜尋 SSH 以尋找非管理與受管理裝置上的 SSH 漏洞。

欲了解更多，請參閱 Microsoft Defender 弱點管理。

  • 上次更新時間：