調查發生於正向代理伺服器後方的連線事件

  • 適用於: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Defender for Endpoint 支援從網路堆疊的不同層級監視網路連線。 一個較具挑戰性的情況是網路使用前向代理作為網際網路的閘道。

代理伺服器的行為就像是目標端點一樣。 當正向 Proxy 做為目標端點時，簡易的網路連線監視器會稽核與該 Proxy 的連線，雖然正確但調查價值較低。

Defender for Endpoint 支援透過網路保護進行進階的 HTTP 層級監控。 當網路保護開啟時，會出現一種新型事件，揭露真正的目標網域名稱。

使用網路保護來監控前向代理或防火牆後方的連線

由於還有其他源自網路保護的網路事件，因此可以監控位於正向 Proxy 後方的網路連線。 要在裝置時間軸上看到這些網路事件，請開啟網路保護（至少在稽核模式下）。

網路保護可透過以下模式進行控制：

  • 封鎖：使用者或應用程式被封鎖，無法連接危險網域。 你可以在 Defender 入口網站看到這些活動。
  • 審核：使用者或應用程式不會被阻擋連接到危險網域。 不過，你仍然會在 Defender 入口網站看到這種活動。

如果你關閉網路保護，使用者或應用程式就不會被封鎖連接到危險網域。 你不會在 Microsoft Defender 全面偵測回應 中看到任何網路活動。

如果你沒設定，網路封鎖預設是關閉的。

欲了解更多資訊，請參閱 啟用網路保護。

網路保護如何揭露前向代理背後的真實目標

當網路保護開啟時，裝置的時間軸會顯示代理 IP 位址，同時顯示真實目標位址。

裝置時間軸上的網路事件

另有其他網路防護連線事件可用，即使在 Proxy 後方也能顯示真實網域名稱。

活動資訊：

單一網路事件的網址

使用進階搜捕搜捕連線事件

網路防護連線事件也可透過進階搜捕取得。 你可以在 DeviceNetworkEvents 表格的 ConnectionSuccess 動作類型中找到它們。

以下查詢會回傳所有相關的 ConnectionSuccess 事件：

DeviceNetworkEvents
| where ActionType == "ConnectionSuccess"
| take 10

進階狩獵問題

你也可以過濾掉與代理伺服器本身連線相關的事件。

請使用以下查詢來過濾與代理伺服器的連線：

DeviceNetworkEvents
| where ActionType == "ConnectionSuccess" and RemoteIP != "ProxyIP"
| take 10
  • 上次更新時間：