Microsoft Defender 中的 IP 位址實體頁

Microsoft Defender入口網站中的 IP 位址實體頁面能幫助您檢視裝置與外部網際網路協定之間可能的通訊 (IP) 位址。

識別組織內所有與疑似或已知惡意 IP 位址通訊的裝置，例如指揮與控制 (C2) 伺服器，有助於判斷潛在的入侵範圍、相關檔案及受感染裝置。

您可以在 IP 位址實體頁面中找到下列章節的資訊：

• 概觀
• 事件和警示
• 在組織中觀察到
• 威脅情報洞察
• 哨兵事件

概觀

左側窗格的 概覽 頁面提供 IP 細節摘要 (若有的話) 。

左側還有一個面板，顯示從多個日誌來源收集的日誌活動（首次看到時間/上次看到時間、資料來源），以及另一個面板，顯示從 Azure 監視代理程式心跳資料表收集的已記錄主機清單。

概覽頁面主體包含儀表板卡片，顯示事件與警示數量， (依嚴重程度分組) 包含 IP 位址，並附有該 IP 位址在該組織內於指定期間的盛行率圖表。

事件和警示

事件 與警示 頁面會顯示包含 IP 位址作為故事一部分的事件與警示清單。 這些事件和警示來自 Microsoft Defender 的多個偵測來源，包括已導入的 Microsoft Sentinel。 此清單為事件 隊列的過濾版本，顯示事件或警示的簡短描述、其嚴重性 (高、中、低、資訊) 、隊列狀態 (新、進行中、已解決) 、分類 (未設定、誤警示、真警示) 、調查狀態、類別及負責處理者。 以及最後觀察到的活動。

你可以自訂每個項目顯示的欄位。 你也可以依照嚴重度、狀態或顯示器中的任何其他欄位來篩選警報。

受影響資產欄位指的是事件或警示中提及的所有使用者、應用程式及其他實體。

選取事件或警示時，會出現飛出視窗。 從此面板您可以管理事件或警報，並查看更多細節，如事件/警報號碼及相關裝置。 可同時選擇多個警報。

若要查看事件或警示的完整頁面瀏覽，請選擇其標題。

已在組織中觀察到

組織 中觀察 到的部分提供與該 IP 連線的裝置清單，以及每個裝置的最後事件細節 (該清單限制為 100 台裝置) 。

威脅情報洞察

威脅情報洞察（Threat Intelligence Insights）標籤會直接在 IP 位址實體頁面上顯示來自 Microsoft 威脅情報的豐富化資料。 這些擴充資訊提供來自全球觀測的情資，協助你在調查期間評估某個 IP 位址的風險。

如需了解實體擴充資訊的整體概觀，請參閱 在實體頁面中檢視威脅情報。

信譽

聲譽區塊顯示根據 Microsoft 偵測規則與情報對 IP 位址的風險評估。 聲譽分數顯示該 IP 位址是已知惡意、可疑或無害，幫助分析師迅速優先處理調查。

已歸因的威脅報告

當 Microsoft 將 IP 位址與已知的威脅行為者或行動活動連結時，本區塊會顯示相關的威脅分析報告。 這些報告提供了威脅行為者的戰術、技術與程序（TTPs）背景。

基礎設施關係

基礎設施關係區塊提供關於 IP 位址的詳細資料，包括：

哨兵事件

如果您的組織已將 Microsoft Sentinel 上線至 Defender 入口網站，IP 位址實體頁面上會顯示此額外索引標籤。 此分頁會從 Microsoft Sentinel 匯入 IP 實體頁面。

Sentinel 時間軸

此時間軸顯示與 IP 位址實體相關的警示。 這些警報包括事件與警報標籤上的警報，以及由 Microsoft Sentinel 根據第三方非 Microsoft 資料來源產生的警報。

此時間軸也會顯示其他調查中參照此 IP 實體的已加入書籤的搜捕、來自外部資料來源的 IP 活動事件，以及 Microsoft Sentinel 的異常規則所偵測到的異常行為。

Insights

實體洞察是由 Microsoft 資安研究人員定義的查詢，幫助你更有效率且有效地調查。 這些洞察自動提出關於您的智慧財產實體的重大問題，並以表格資料與圖表形式提供寶貴的安全資訊。 這些洞見涵蓋來自各種 IP 威脅情報來源、網路流量檢查等資料，並包含先進的機器學習演算法以偵測異常行為。

以下是部分見解：

• Microsoft Defender 威脅情報 信譽。
• 病毒總 IP 位址。
• 未來 IP 位址已記錄。
• Anomali IP 位址
• 濫用IPDB。
• 異常事件依 IP 位址計算。
• 網路流量檢查。
• 具有 TI 比對的 IP 位址遠端連線。
• IP 位址遠端連線。
• 此 IP 有 TI 比對結果。
• 監看清單深入解析（預覽）

這些見解基於以下資料來源：

• Syslog（Linux）
• 安全事件（Windows）
• 審計日誌 (Microsoft Entra ID)
• SigninLogs （Microsoft Entra ID）
• 辦公室活動 (Office 365)
• 行為分析 (Microsoft Sentinel UEBA)
• 心跳 (Azure 監視器代理程式)
• CommonSecurityLog （Microsoft Sentinel）

如果你想進一步探討本面板中的任何見解，請點選與見解相關的連結。 連結會帶你到 進階狩獵 頁面，顯示洞察背後的查詢及其原始結果。 你可以修改查詢或深入結果，以擴展你的調查範圍，或只是滿足你的好奇心。

回應行動

回應行動提供分析、調查及防禦威脅的捷徑。

回應動作會沿著特定 IP 實體頁面的頂端執行，包括：

相關內容

• Microsoft Defender 概述
• 開啟 Microsoft Defender 全面偵測回應
• Microsoft Defender 中的裝置實體頁面
• Microsoft Defender 中的使用者實體頁面
• Microsoft Defender 全面偵測回應 與 Microsoft Sentinel 的整合
• 將 Microsoft Sentinel 連接到 Microsoft Defender 全面偵測回應