適用於 Office 365 的 Microsoft Defender 安全作業指南

本文概述了在您的組織中成功操作 適用於 Office 365 的 Microsoft Defender 的需求與任務。 這些任務有助於確保您的安全作業中心 (SOC) 提供高品質且可靠的方法，以保護、偵測及回應電子郵件及協作相關的安全威脅。

本指南其餘部分描述了安全作戰人員所需的活動。 這些活動歸類為每日、每週、每月及臨時性的規定性任務。

本指南的配套文章提供管理 適用於 Office 365 的 Defender 事件與警示的概述。

Microsoft Defender 全面偵測回應安全作業指南包含可用於規劃與開發的額外資訊。

關於 適用於 Office 365 的 Defender SecOps 需求與任務的影片，請參見 https://youtu.be/eQanpq9N1Ps。

日常活動

監控 Microsoft Defender 全面偵測回應 事件佇列

位於 的 Microsoft Defender 入口網站中的 https://security.microsoft.com/incidents 頁面 (也稱為 事件佇列) 可讓您在 適用於 Office 365 的 Defender 中管理及監視來自下列來源的事件：

• 警示政策。
• 自動化調查與回應 (AIR)。

如需深入了解事件佇列，請參閱 在 Microsoft Defender 全面偵測回應 中針對事件排定優先順序。

您監控事件隊列的分流計畫應依事件優先順序如下：

1. 偵測到一個潛在的惡意網址點擊。
2. 使用者被限制發送電子郵件。
3. 偵測到可疑的電子郵件發送模式。
4. 使用者回報電子郵件為惡意信件或網路釣魚，以及多位使用者回報電子郵件為惡意信件或網路釣魚
5. 包含惡意檔案的 Email 訊息在交付後被移除，包含惡意網址的 Email 訊息在交付後被移除，以及來自活動的 Email 訊息在交付後被移除。
6. 因 ETR 覆寫而送達的網路釣魚郵件、因使用者的垃圾郵件資料夾已停用而送達的網路釣魚郵件，以及因 IP 允許原則而送達的網路釣魚郵件
7. 惡意軟體沒被清除是因為 ZAP 被停用，Phish 也沒被清除是因為 ZAP 被關閉。

事件佇列管理與負責角色如下表所示：

管理假陽性與假陰性檢測

在適用於 Office 365 的 Defender 中，您可以在下列位置管理誤判為真 (誤判為不良郵件的正常郵件) 和誤判為偽 (允許不良郵件)：

• 提交頁面 (管理員提交) 。
• 租戶許可/封鎖名單
• 威脅總管

假陽性與假陰性管理及負責人格描述如下表：

檢視導致郵件成功送達的網路釣魚與惡意軟體攻擊活動

檢視導致郵件送達的釣魚攻擊與惡意軟體攻擊活動，並採取行動將惡意郵件從使用者信箱中移除。

每週活動

檢視 適用於 Office 365 的 Defender 報告中的電子郵件偵測趨勢

在 適用於 Office 365 的 Defender 中，您可以使用以下報告來檢視組織內的電子郵件偵測趨勢：

• Mailflow 狀態報告
• 威脅防護狀態報告

利用威脅分析追蹤並回應新興威脅

利用 威脅分析 來檢視活躍且熱門的威脅。

檢視最常成為惡意軟體與網路釣魚攻擊目標的使用者

在威脅檔案總覽中，使用「 主要目標使用者 」標籤 (查看「 所有電子郵件、 惡意軟體與 釣魚 」檢視區的) ，以發現或確認哪些用戶是惡意軟體與釣魚郵件的首要目標。

檢閱鎖定貴組織的主要惡意軟體與網路釣魚攻擊活動

Campaign Views 揭露針對你組織的惡意軟體與釣魚攻擊。 如需詳細資訊，請參閱 適用於 Office 365 的 Microsoft Defender 中的活動檢視。

臨時活動

手動調查與電子郵件移除

請使用以下活動手動調查並在需要時移除惡意電子郵件。

主動搜尋威脅

請使用以下活動，主動搜尋 適用於 Office 365 的 Defender 工具中的威脅。

檢視 適用於 Office 365 的 Defender 政策設定

檢視以下政策配置活動，以協助維持組織的安全態勢。

檢閱詐騙與冒充偵測結果

請使用以下活動檢視偽造與冒充偵測，並視需要調整過濾。

檢視優先帳戶會員資格

定期檢視優先帳戶會員資格，以確保保護措施與組織變動保持一致。

附錄：適用於 Office 365 的 Defender 工具、權限與 SIEM/SOAR 整合

了解 適用於 Office 365 的 Microsoft Defender 的工具與流程

資安營運與應變團隊成員需要將 適用於 Office 365 的 Defender 的工具與功能整合進現有的調查與回應流程中。 學習新工具和新功能可能需要時間，但這是入職過程中至關重要的一環。 利用 https://aka.ms/mdoninja Ninja 訓練內容中提供的訓練內容，是 SecOps 與電子郵件安全性團隊學習適用於 Office 365 的 Defender 最簡單的方式。

忍者訓練內容依不同知識層級（基礎、中級與進階）設計，每個等級包含多個模組。

針對特定任務的短影片也可在 適用於 Office 365 的 Microsoft Defender YouTube 頻道觀看。

適用於 Office 365 的 Defender 活動與任務的權限

在 Microsoft Defender 入口網站與 PowerShell 中管理 適用於 Office 365 的 Defender 的權限，是以角色型存取控制 (RBAC) 權限模型為基礎。 RBAC 是大多數 Microsoft 365 服務使用的權限模式。 欲了解更多資訊，請參閱 Microsoft Defender 入口網站的權限。

適用於 Office 365 的 Defender 中可用以下權限 (角色及角色群組) ，並可用於授權安全團隊成員存取權限：

• Microsoft Defender RBAC) (統一角色基礎存取控制：單一權限管理體驗，為管理員提供一個集中位置，以控制不同安全解決方案間的使用者權限。 如需深入了解，請參閱 Microsoft Defender unified RBAC。 關於 適用於 Office 365 的 Defender 專屬權限，請參見 適用於 Office 365 的 Defender 的統一 RBAC 權限。 關於逐步設定，請參閱「如何配置 Unified RBAC for 適用於 Office 365 的 Defender」。

  • 電子郵件與 Teams 訊息標頭的讀取權限：安全性作業/原始資料 (電子郵件&共同作業)/電子郵件&共同作業中繼資料 (讀取)。
  • 預覽與下載電子郵件訊息：安全作業/原始資料 (電子郵件 & 協作) /Email &協作內容， (閱讀) 。
  • 修復惡意電子郵件：安全作業/安全資料/Email &協作，進階行動 (管理) 。

• Microsoft Entra ID：集中式角色，負責分配所有 Microsoft 365 服務的權限，包括 適用於 Office 365 的 Defender。 你可以在 Microsoft Defender 入口網站查看 Microsoft Entra 的角色和指派使用者，但無法直接在那裡管理。 反之，您會在 https://aad.portal.azure.com/#view/Microsoft_AAD_IAM/RolesManagementMenuBlade/~/AllRoles/adminUnitObjectId//resourceScope/%2F 管理 Microsoft Entra 角色和成員。 資安團隊最常使用的角色包括：

  • 安全性系統管理員
  • 安全性讀取器

• Exchange Online 與電子郵件與共同作業：授與適用於 Office 365 的 Microsoft Defender 特定權限的角色和角色群組。 以下職務在 Microsoft Entra ID 中沒有，但對資安團隊來說可能很重要：

  • 預覽 角色（電子郵件與協作）：將此角色指派給需要預覽或下載電子郵件的團隊成員，作為調查活動的一部分。 允許用戶使用 Threat Explorer (Explorer) 或即時偵測及Email實體頁面，預覽並下載雲端信箱中的電子郵件。

    預設情況下， 預覽 角色僅指派給以下角色群組：

    • 資料調查人員
    • eDiscovery 管理員

    你可以將使用者加入這些角色群組，或建立一個新 角色群組 ，並指派 Preview 角色，並將使用者加入自訂角色群組。

  • 搜尋與清除 角色（電子郵件與協作）：依照 AIR 建議刪除惡意訊息，或在像 Threat Explorer 這類狩獵體驗中手動處理訊息。

    預設情況下， 搜尋與清除 角色僅指派給以下角色群組：

    • 資料調查人員
    • 組織管理

    你可以將使用者加入這些角色群組，或建立一個新的 角色群組 ，並指定搜尋 與清除 角色，並將使用者加入自訂角色群組。

  • 租戶允許封鎖清單管理器（Exchange Online）：管理租戶允許/封鎖清單中的允許與封鎖項目。 在調查已送達的惡意郵件時，封鎖 URL、檔案（使用檔案雜湊值）或寄件者，是一項實用的回應措施。

    預設情況下，此角色僅指派給 Exchange Online 中的安全操作員角色群組，而非 Microsoft Entra ID。 Microsoft Entra ID 中的安全性操作人員角色成員資格，不允許您管理租用戶允許/封鎖清單中的項目。

    Microsoft Entra ID 中安全管理員或組織管理角色的成員，或 Exchange Online 中相應的角色群組成員，能夠管理租戶允許/封鎖清單中的項目。

SIEM/SOAR 整合

適用於 Office 365 的 Defender 透過一組程式化 API 公開大部分資料。 這些 API 幫助您自動化工作流程，並充分利用 適用於 Office 365 的 Defender 的功能。 資料可透過 Microsoft Defender API 取得，並可用於將 適用於 Office 365 的 Defender 整合進現有的 SIEM/SOAR 解決方案中。

• 事件 API：適用於 Office 365 的 Defender 的警示與自動化調查是 Microsoft Defender 事件的活躍部分。 資安團隊可藉由將完整的攻擊範圍及所有受影響的資產歸整在一起，專注於真正關鍵的事項。

• 事件串流 API：允許即時將事件與警示匯入單一資料流。 適用於 Office 365 的 Defender 支援的事件類型包括：

  • EmailAttachmentInfo
  • EmailEvents
  • EmailPostDeliveryEvents
  • EmailUrlInfo

  這些事件包含過去30天內處理所有電子郵件 (，包括組織內部訊息) 資料。

• Advance Hunting API：允許跨產品威脅狩獵。

• 威脅評估 API：可用於直接向 Microsoft 回報垃圾郵件、釣魚網址或惡意軟體附件。

若要將 適用於 Office 365 的 Defender 事件和原始資料連線至 Microsoft Sentinel，您可以使用 Microsoft Defender 全面偵測回應 (M365D) 連接器

您可以使用下列「Hello World」範例來測試對 Microsoft Defender API 的存取：Microsoft Defender 全面偵測回應 REST API 的 Hello World。

如需 SIEM 工具整合的詳細資訊，請參閱 將您的 SIEM 工具與 Microsoft Defender 全面偵測回應 整合。

在適用於 Office 365 的 Defender 中處理誤判為真與誤判為偽的情況

用戶回報的訊息與管理員提交的電子郵件，是我們機器學習偵測系統的關鍵正向強化訊號。 投稿幫助我們審查、分流、快速學習並減輕攻擊。 積極回報誤判和漏判是一項重要工作，可在偵測發生錯誤時為 適用於 Office 365 的 Defender 提供回饋。

組織有多種選項來設定使用者舉報訊息。 視設定而定，當使用者向 Microsoft 提交偽陽性或偽陰性時，資安團隊可能會有更積極的參與：

• 當 使用者通報設定 被設定為以下任一時，會送達 Microsoft 進行分析：

  • 將被舉報的訊息寄給： 僅限 Microsoft。
  • 將通報的訊息寄到： Microsoft 和我的通報信箱。

  當營運團隊發現使用者漏報誤判為真或誤判為偽時，資安團隊成員應進行臨時的管理員提交。

• 當使用者回報的郵件已設定為僅傳送到組織信箱時，資安團隊應主動透過系統管理員提交功能，將使用者回報的誤判為真郵件和誤判為偽郵件提交給 Microsoft。

當使用者回報郵件為網路釣魚時，適用於 Office 365 的 Defender 會產生警示，而警示會觸發 AIR 劇本。 事件邏輯會盡可能將這些資訊與其他警報和事件做關聯。 這種資訊整合有助於資安團隊進行分流、調查並回應使用者回報的訊息。

服務中的提交流程遵循緊密整合的流程，當使用者回報訊息與管理員提交訊息時。 此程序包括：

• 降噪。
• 自動分流。
• 由安全分析師評分，並以人機協作的機器學習解決方案為基礎。

欲了解更多資訊，請參閱 適用於 Office 365 的 Microsoft Defender 部落格 - 在 適用於 Office 365 的 Defender 中舉報電子郵件。

安全團隊成員可在 Microsoft Defender 入口網站https://security.microsoft.com的多個地點提交資料：

• 系統管理員提交：使用提交內容頁面，向 Microsoft 提交疑似垃圾郵件、網路釣魚、URL 和檔案。

• 直接從 Threat Explorer 使用下列其中一個訊息動作：

  • 回報為非垃圾郵件
  • 回報為網路釣魚
  • 舉報惡意軟體
  • 檢舉垃圾郵件

  你可以選擇最多 10 則訊息來進行一次批量提交。 使用這些方法建立的管理員提交文件會在提交頁面的相關分頁中顯示。

為了短期減少誤判，資安團隊可直接管理 租戶允許/封鎖清單中檔案、網址、網域或電子郵件地址的封鎖條目。

為了短期減少誤報，安全團隊無法直接管理租戶允許/封鎖清單中網域和電子郵件的允許條目。 相反地，他們需要使用管理員提交，回報該電子郵件訊息為誤判為真。 有關說明，請參見 「向 Microsoft 報告良好電子郵件」。

適用於 Office 365 的 Defender 的隔離系統會儲存可能危險或不受歡迎的訊息與檔案。 資安團隊可以查看、發布並刪除所有使用者的隔離訊息。 這項功能讓資安團隊能夠在被誤判的訊息或檔案遭到隔離時有效因應。

將非 Microsoft 的回報工具整合到 適用於 Office 365 的 Defender 用戶回報訊息

如果您的組織使用非 Microsoft 的舉報工具，允許使用者內部舉報可疑郵件，您可以將該工具與 適用於 Office 365 的 Defender 的用戶通報訊息功能整合。 將非 Microsoft 的回報工具與 適用於 Office 365 的 Defender 用戶通報訊息功能整合，為資安團隊帶來以下好處：

• 與 適用於 Office 365 的 Defender 的 AIR 功能整合。
• 簡化的分流。
• 減少調查與回應時間。

請在 Microsoft Defender 入口網站的https://security.microsoft.com/securitysettings/userSubmission頁面指定用戶舉報郵件的寄送信箱。 更多資訊請參閱 用戶回報設定。

當使用者回報的郵件送達回報信箱時，適用於 Office 365 的 Defender 會自動產生名為 使用者回報電子郵件為惡意程式或網路釣魚 的警示。 使用者回報為惡意程式碼或網路釣魚的電子郵件警示會啟動 AIR 劇本。 該操作手冊執行一系列自動化調查步驟：

• 收集指定電子郵件的資料。
• 收集與該電子郵件相關的威脅和 實體 資料，例如檔案、URL 及收件者。
• 根據調查結果，為安全行動團隊提出建議行動。

使用者回報為惡意郵件或網路釣魚的電子郵件警示、自動化調查及其建議動作，會自動與 Microsoft Defender 中的事件建立關聯。 將警示、自動化調查與建議行動與事件關聯，進一步簡化安全團隊的分流與應變流程。 若多位使用者回報相同或相似的訊息，所有使用者與訊息都會被關聯到同一事件。

適用於 Office 365 的 Defender 中的警示與調查資料會自動與其他 Microsoft Defender 產品中的警示與調查進行比較：

• Microsoft Defender 端點防護
• Microsoft Defender 雲端應用程式適用版
• 適用於身分識別的 Microsoft Defender

若發現關聯，系統會產生事件，讓整個攻擊過程都能看到。

相關內容

• 適用於 Office 365 的 Microsoft Defender 概述
• 開始使用適用於 Office 365 的 Microsoft Defender