Microsoft Defender 中的裝置實體頁面

Microsoft Defender 入口網站中的裝置實體頁面可協助您調查裝置實體。 該頁面包含關於特定裝置實體的所有重要資訊。 若警報或事件顯示裝置行為可疑或可能遭入侵，請調查該裝置細節，找出可能與警報或事件相關的其他行為或事件，並發現潛在的外洩範圍。 你也可以使用裝置實體頁面執行一些常見的安全任務，以及一些回應動作來減輕或修復安全威脅。

裝置實體可在以下區域找到：

• 裝置清單，在資產下
• 警示佇列
• 任何個別警報或事件
• 任何一個使用者實體頁面
• 任何單一檔案的詳細資料檢視
• 任一 IP 位址或網域的詳細資料檢視
• 活動記錄
• 進階搜捕查詢
• 行動中心

你可以在入口網站看到裝置時選擇它們，打開該裝置的實體頁面，裡面會顯示更多關於該裝置的詳細資訊。 例如，您可以在 Microsoft Defender 入口網站的調查&回應>事件&警示>事件>事件>資產>裝置中，查看事件警示所列裝置的詳細資料。

裝置實體頁面以分頁格式呈現資訊。 本文說明每個分頁中可取得的資訊類型，以及你可以在特定裝置上採取的行動。

以下分頁顯示在裝置實體頁面上：

• 概觀
• 事件和警示
• Timeline
• 組態管理
• 安全建議
• 清單
• 發現的漏洞
• 缺少的 KB
• 安全性基準
• 安全政策
• 哨兵事件

實體頁面標頭

實體頁面的最上方包含以下詳細資訊：

• 實體名稱
• 風險嚴重度、 關鍵性與 裝置價值 指標
• 這些標籤 可依據裝置進行分類。 可由 Defender for Endpoint、Defender for Identity 或使用者自行新增。 來自 適用於身分識別的 Microsoft Defender 的標籤無法編輯。
• 回應行動 也在此處。 請繼續閱讀以下相關資訊。

概覽 標籤

預設分頁是 「概覽」。 它快速介紹了關於該裝置最重要的安全事實。 總覽標籤包含裝置細節側邊欄及儀表板，內含一些顯示高層資訊的卡片。

裝置細節

側邊欄會列出裝置的全名和曝光等級。 它也以小小的子節形式提供一些重要的基本資訊，這些小節可以展開或摺疊，例如：

儀表板

概覽標籤的主要部分展示了幾張儀表板類型的顯示卡：

• 過去六個月內該裝置的活躍警報與風險等級，依嚴重程度分類
• 裝置的安全評估 與暴露程度
• 過去 30 天內登入該裝置的使用者
• 裝置健康狀態及最新掃描的其他資訊。

事件與警示 標籤

事件與警示索引標籤包含事件清單，這些事件含有從多個 Microsoft Defender 偵測來源（包括在已上線情況下的 Microsoft Sentinel）在裝置上引發的警示。 此清單為事件 隊列的過濾版本，顯示事件或警示的簡短描述、其嚴重性 (高、中、低、資訊) 、隊列狀態 (新、進行中、已解決) 、分類 (未設定、誤警示、真警示) 、調查狀態、類別及負責處理者。 以及最後觀察到的活動。

你可以自訂每個項目顯示的欄位。 你也可以依照嚴重度、狀態或顯示器中的任何其他欄位來篩選警報。

受影響實體欄位指的是事件或警示中提及的所有裝置與使用者實體。

選取事件或警示時，會出現飛出視窗。 從此面板您可以管理事件或警報，並查看更多細節，如事件/警報號碼及相關裝置。 可同時選擇多個警報。

若要查看事件或警示的完整頁面瀏覽，請選擇其標題。

時間軸 標籤

時間軸標籤顯示裝置上觀察到的所有事件的時間順序。 這能幫助你將事件、檔案和 IP 位址與裝置相關聯。

清單上顯示的欄位選擇都可以自訂。 預設欄位列出事件時間、活躍使用者、動作類型、相關實體 (程序、檔案、IP 位址) 及事件相關資訊。

你可以透過在頁面頂端的整體時間軸圖表上滑動該時期的邊界來控制事件顯示的時間範圍。 你也可以從列表頂端的下拉選單中選擇一個時間段， (預設是30天) 。 為了進一步控制你的視圖，你可以依事件群組篩選或自訂欄位。

你可以將最多七天的事件匯出成 CSV 檔案供下載。

透過選取個別事件，並在隨即顯示的飛出式面板中檢視其詳細資料，即可深入了解事件內容。 詳見下方 活動詳情 。

統一時間軸 (預覽)

截至 2025 年 1 月，如果您已將 Microsoft Sentinel 上線至 Defender 入口網站，顯示於 Sentinel 事件 分頁上 Sentinel 時間軸中的裝置活動，也會顯示在此處主要的 時間軸 分頁上，以便在單一內容脈絡中，與其他 Microsoft Defender 服務所記錄的事件一併檢視。 這個統一的時間軸透過提供統一的裝置活動視圖，簡化調查流程，免除切換畫面的需求，並促進更快的決策。

你可以選擇不在主時間軸中顯示 Microsoft Sentinel 的事件，而是繼續像以前一樣查看，只在 Sentinel 事件標籤中查看。要做到這點，請選擇時間軸設定，並將 Stream 事件從 Microsoft Sentinel 查詢開關切換切換到關閉。 選擇 「套用 」來儲存設定。

欲了解更多活動事件資訊，請參閱 Microsoft Sentinel 中的實體頁面。

事件詳細資料

選擇一個活動以查看該活動的相關細節。 飛出窗格會顯示，以呈現有關該事件的更多資訊。 顯示的資訊類型取決於事件類型。 當適用且資料可用時，你可能會看到一張圖表，顯示相關實體及其關係，例如一串檔案或程序。 你也可能看到MITRE ATT&CK戰術與技術在該活動中應用的摘要說明。

若要進一步檢視活動及相關事件，您可以選擇「尋找相關事件」，快速執行進階狩獵查詢。 查詢會回傳所選事件及同一端點同時發生的其他事件清單。

組態管理 標籤

安全性原則

安全政策標籤頁顯示裝置上套用的端點安全政策。 您會看到包含原則、類型、狀態和上次簽到時間的清單。 選擇政策名稱會帶你進入政策詳情頁面，可以看到政策設定狀態、已套用的裝置以及已分配的群組。

有效設定

「有效設定」標籤提供每個安全設定的實際值，並標示配置該設定的來源。 它列出設定名稱、政策類型、有效值、每個有效值的來源，以及最後一次報告時間。

設定來源可以包括像是 適用於端點的 Microsoft Defender、群組原則、Intune 或預設設定等工具。 它們也可以是特定的登錄路徑，例如 MDM 或群組原則蜂巢。 若來源是登錄檔位置，「配置來源」欄位顯示 為未知 ，並附有登錄檔路徑。

選擇一個設定來開啟側邊面板，裡面有更多細節。 你會看到目前的數值、未生效的其他設定嘗試，以及像 ASR 規則或防毒排除這類複雜設定，還會看到所有配置規則、其來源及排除項目的細分。

安全建議 標籤

安全建議標籤列出你可以採取的措施來保護裝置。 選擇此清單中的項目會開啟一個跳出視窗，您可以獲得如何應用該建議的指示。

與前述分頁相同，顯示欄位的選擇可自訂。

預設視圖包含欄位，詳細說明已解決的安全弱點、相關威脅、受威脅影響的相關元件或軟體等。 項目可依推薦狀態進行篩選。

了解更多 關於安全建議的資訊。

庫存 標籤

此分頁顯示四類元件的清單：軟體、易受攻擊元件、瀏覽器擴充功能與憑證。

軟體清查

這張卡片列出了裝置上安裝的軟體。

預設檢視顯示軟體廠商、安裝版本號、已知軟體弱點數量、威脅洞察、產品程式碼及標籤。 顯示項目數量及顯示欄位皆可自訂。

從此列表中選取項目會開啟一個飛出視窗，包含所選軟體的更多細節，以及該軟體最後被找到的時間點路徑與時間戳。

此清單可依產品代碼、弱點及威脅存在程度進行篩選。

易受攻擊的組件

此卡片列出含有漏洞的軟體元件。

預設檢視和篩選選項和軟體一樣。

選取某個項目，以在快顯視窗中顯示更多資訊。

瀏覽器擴充功能

這張卡片顯示裝置上安裝的瀏覽器擴充功能。 預設顯示的欄位包括擴充功能名稱、安裝所在的瀏覽器、版本、權限風險（根據該擴充功能所要求的裝置或網站存取類型而定），以及狀態。 也可以選擇顯示供應商。

選取某個項目，以在快顯視窗中顯示更多資訊。

憑證

這張卡片顯示裝置上所有安裝的憑證。

預設顯示的欄位包括憑證名稱、發行日期、到期日、金鑰大小、發行者、簽章演算法、金鑰使用次數及實例數量。

清單可依狀態、是否自簽、金鑰大小、簽章雜湊值及金鑰使用方式進行篩選。

選取憑證，以在快顯視窗中顯示更多資訊。

發現漏洞 標籤

此標籤列出可能影響裝置的常見漏洞與漏洞 (CVE) 。

預設檢視列出 CVE 的嚴重程度、CVSS) (的共通漏洞分數、與 CVE 相關的軟體、CVE 發布時間、首次偵測及最後更新的時間，以及與 CVE 相關的威脅。

與前述分頁相同，顯示欄位的選擇可自訂。 該清單可依嚴重程度、威脅狀態、裝置暴露及標籤進行篩選。

從此列表中選擇項目會開啟一個描述 CVE 的跳出視窗。

缺少的 KB 索引標籤

缺少的 KB 分頁會列出裝置上任何尚未套用的 Microsoft 更新。 這裡所說的「KB」是指知識庫文章，其中說明了這些更新；例如 KB4551762。

預設檢視會列出包含更新、作業系統版本、KB ID 編號、受影響產品、處理的 CVE 及標籤的公告。

可自訂顯示欄位的選擇。

選擇項目會跳出一個跳出視窗，連結到更新內容。

Sentinel 事件標籤

如果您的組織已將 Microsoft Sentinel 導入 Defender 入口網站，這個額外分頁位於裝置實體頁面。 此分頁會從 Microsoft Sentinel 匯入主機實體頁面，並顯示以下區塊：

Sentinel 時間軸

此時間軸顯示與裝置實體相關的四種訊息類型，該實體在 Microsoft Sentinel 中稱為主機實體，可在該裝置的 Microsoft Sentinel 實體頁面找到。 這四種訊息類型分別是：

• 由 Microsoft Sentinel 分析規則根據 Azure 服務和非 Microsoft 資料來源建立的 警示。

  這些警報也會顯示在主事件與警報標籤中，因此可與其他 Microsoft Defender 服務產生的警報一同在單一情境中瀏覽。

• 搜捕書籤，來自其他參照此裝置實體的 Microsoft Sentinel 調查。

• 異常現象，也就是 Microsoft Sentinel 異常規則偵測到的異常行為。

• 裝置活動是從 Azure 服務及非 Microsoft 資料來源收集的。 活動是由 Microsoft 安全研究團隊開發的查詢所蒐集之值得注意事件的彙總。 你也可以 加入自訂活動。

  截至2025年1月：

  • 裝置活動包括根據業界領先網路裝置記錄所收集的資料，判定來自特定裝置的已捨棄、已封鎖或已拒絕網路流量。 這些日誌為資安團隊提供關鍵資訊，協助他們快速識別並處理潛在威脅。

  • 裝置活動現在會與其他 Defender 入口網站來源的裝置事件一同顯示在 統一的裝置時間軸 中。 欲了解更多資訊，請參閱 統一時間軸 (預覽) 。

Insights

實體洞察是由 Microsoft 資安研究人員定義的查詢，幫助你更有效率且有效地調查。 這些洞察會自動提出關於你裝置實體的重大問題，提供有價值的安全資訊，以表格資料和圖表的形式呈現。 這些洞見包括登入、群組新增、程序執行、異常事件等資料，並包含先進的機器學習演算法以偵測異常行為。

以下是部分見解：

• 在主機上擷取的螢幕截圖。
• 偵測到未被 Microsoft 簽署的程序。
• Windows 程序執行資訊。
• Windows 登入活動。
• 帳號操作。
• 主機上的事件日誌已清除。
• 新增群組
• 枚舉主機上的主機、使用者和群組。
• Microsoft Defender 應用程式控制。
• 透過熵計算來處理稀有性。
• 資訊安全事件數量異常偏高。
• 監看清單深入解析（預覽）
• Windows Defender 防毒軟體事件。

這些見解基於以下資料來源：

• Syslog（Linux）
• 安全事件（Windows）
• 審計日誌 (Microsoft Entra ID)
• SigninLogs （Microsoft Entra ID）
• 辦公室活動 (Office 365)
• 行為分析 (Microsoft Sentinel UEBA)
• 心跳 (Azure 監視器代理程式)
• CommonSecurityLog （Microsoft Sentinel）

如果你想進一步探討本面板中的任何見解，請點選與見解相關的連結。 連結會帶你到 進階狩獵 頁面，顯示洞察背後的查詢及其原始結果。 你可以修改查詢或深入結果，以擴展你的調查範圍，或只是滿足你的好奇心。

回應行動

回應行動提供分析、調查及防禦威脅的捷徑。

• 註冊於 適用於端點的 Microsoft Defender 的裝置，根據裝置的作業系統和版本號，可能會顯示不同的回應動作數量。

回應動作會沿著特定裝置頁面的頂端執行，包括：

相關主題

• Microsoft Defender 概述
• 開啟 Microsoft Defender 全面偵測回應
• Microsoft Defender 中的使用者實體頁面
• Microsoft Defender 中的 IP 位址實體頁面
• Microsoft Defender 全面偵測回應 與 Microsoft Sentinel 的整合
• 將 Microsoft Sentinel 連接到 Microsoft Defender 全面偵測回應