البحث بشكل استباقي عن التهديدات من خلال التتبع المتقدم في Microsoft Defender XDR

  • مقالة

ينطبق على:

  • Microsoft Defender XDR

التتبع المتقدم هو أداة تتبع التهديدات المستندة إلى الاستعلام التي تتيح لك استكشاف ما يصل إلى 30 يوما من البيانات الأولية. يمكنك فحص الأحداث بشكل استباقي في شبكتك لتحديد موقع مؤشرات التهديد والكيانات. يتيح الوصول المرن إلى البيانات التتبع غير المقيد لكل من التهديدات المعروفة والمحتملة.

يدعم التتبع المتقدم وضعين، موجه ومتقدم. استخدم الوضع الإرشادي إذا لم تكن على دراية بلغة Kusto Query Language (KQL) أو تفضل راحة منشئ الاستعلام. استخدم الوضع المتقدم إذا كنت مرتاحا لاستخدام KQL لإنشاء استعلامات من البداية.

لبدء التتبع، اقرأ الاختيار بين الأوضاع الإرشادية والمتقدمة للتتبع في Microsoft Defender XDR.

يمكنك استخدام نفس استعلامات تتبع التهديدات لإنشاء قواعد اكتشاف مخصصة. يتم تشغيل هذه القواعد تلقائيا للتحقق من نشاط الخرق المشتبه فيه والأجهزة التي تم تكوينها بشكل خاطئ ونتائج أخرى ثم الاستجابة لها.

يدعم التتبع المتقدم الاستعلامات التي تتحقق من مجموعة بيانات أوسع قادمة من:

  • Microsoft Defender for Endpoint
  • Microsoft Defender لـ Office 365
  • Microsoft Defender for Cloud Apps
  • Microsoft Defender للهوية

لاستخدام التتبع المتقدم، قم بتشغيل Microsoft Defender XDR.

لمزيد من المعلومات حول التتبع المتقدم في بيانات Microsoft Defender for Cloud Apps، راجع الفيديو.

الحصول على حق الوصول

لاستخدام التتبع المتقدم أو قدرات Microsoft Defender XDR الأخرى، تحتاج إلى دور مناسب في Microsoft Entra ID. اقرأ عن الأدوار والأذونات المطلوبة للتتبع المتقدم.

أيضا، يتم تحديد وصولك إلى بيانات نقطة النهاية من خلال إعدادات التحكم في الوصول استنادا إلى الدور (RBAC) في Microsoft Defender لنقطة النهاية. اقرأ حول إدارة الوصول إلى Microsoft Defender XDR.

حداثة البيانات وتكرار التحديث

يمكن تصنيف بيانات التتبع المتقدمة إلى نوعين متميزين، يتم دمج كل منهما بشكل مختلف.

  • بيانات الحدث أو النشاط - تملأ الجداول حول التنبيهات وأحداث الأمان وأحداث النظام والتقييمات الروتينية. يتلقى التتبع المتقدم هذه البيانات مباشرة تقريبا بعد أن تقوم أجهزة الاستشعار التي تجمعها بنقلها بنجاح إلى الخدمات السحابية المقابلة. على سبيل المثال، يمكنك الاستعلام عن بيانات الحدث من أجهزة استشعار صحية على محطات العمل أو وحدات التحكم بالمجال مباشرة تقريبا بعد توفرها على Microsoft Defender لنقطة النهاية Microsoft Defender for Identity.
  • بيانات الكيان - تملأ الجداول بمعلومات حول المستخدمين والأجهزة. تأتي هذه البيانات من مصادر بيانات ثابتة نسبيا ومصادر ديناميكية، مثل إدخالات Active Directory وسجلات الأحداث. لتوفير بيانات جديدة، يتم تحديث الجداول بأي معلومات جديدة كل 15 دقيقة، مع إضافة صفوف قد لا يتم ملؤها بالكامل. كل 24 ساعة، يتم دمج البيانات لإدراج سجل يحتوي على أحدث مجموعة بيانات أكثر شمولا حول كل كيان.

المنطقة الزمنية

الاستعلامات

تستخدم بيانات التتبع المتقدمة المنطقة الزمنية UTC (Universal Time Coordinated). لقطة شاشة للنطاق الزمني المخصص.

يجب إنشاء الاستعلامات بالتوقيت العالمي المتفق عليه.

نتائج

يتم تحويل نتائج التتبع المتقدمة إلى المنطقة الزمنية التي تم تعيينها في Microsoft Defender XDR.

تلميح

هل تريد معرفة المزيد؟ تفاعل مع مجتمع أمان Microsoft في مجتمعنا التقني: Microsoft Defender XDR Tech Community.