Sdílet prostřednictvím


Zobrazení událostí a informací o řízení zařízení v Microsoft Defenderu for Endpoint

Řízení zařízení v programu Microsoft Defender for Endpoint pomáhá chránit vaši organizaci před potenciální ztrátou dat, malwarem nebo jinými kybernetickými hrozbami tím, že umožňuje nebo brání připojení určitých zařízení k počítačům uživatelů. Váš bezpečnostní tým může zobrazit informace o událostech řízení zařízení pomocí rozšířeného proaktivního vyhledávání nebo pomocí sestavy řízení zařízení.

Důležité

Microsoft doporučuje používat role s co nejmenším počtem oprávnění. To pomáhá zlepšit zabezpečení vaší organizace. Globální správce je vysoce privilegovaná role, která by měla být omezená na nouzové scénáře, když nemůžete použít existující roli.

Pokud chcete získat přístup k portálu Microsoft Defender, vaše předplatné musí obsahovat microsoft 365 pro vytváření sestav E5.

Výběrem jednotlivých karet získáte další informace o rozšířeném proaktivním vyhledávání a sestavě ovládacích prvků zařízení.

Pokročilé rozšířené proaktivní vyhledávání

Platí pro:

Když se aktivuje zásada řízení zařízení, je událost viditelná s pokročilým proaktivním vyhledáváním bez ohledu na to, jestli byla inicializována systémem nebo uživatelem, který se přihlásil. Tato část obsahuje některé ukázkové dotazy, které můžete použít při rozšířeném proaktivního vyhledávání.

Příklad 1: Zásady vyměnitelného úložiště aktivované vynucením na úrovni disku a systému souborů

RemovableStoragePolicyTriggered Když dojde k akci, jsou k dispozici informace o události týkající se vynucování na úrovni disku a systému souborů.

Tip

V současné době při rozšířeném proaktivním vyhledávání existuje limit 300 událostí na zařízení za den RemovableStoragePolicyTriggered . K zobrazení dalších dat použijte sestavu ovládacího prvku zařízení.


//RemovableStoragePolicyTriggered: event triggered by Disk and file system level enforcement for both Printer and Removable storage based on your policy
DeviceEvents
| where ActionType == "RemovableStoragePolicyTriggered"
| extend parsed=parse_json(AdditionalFields)
| extend RemovableStorageAccess = tostring(parsed.RemovableStorageAccess)
| extend RemovableStoragePolicyVerdict = tostring(parsed.RemovableStoragePolicyVerdict)
| extend MediaBusType = tostring(parsed.BusType)
| extend MediaClassGuid = tostring(parsed.ClassGuid)
| extend MediaClassName = tostring(parsed.ClassName)
| extend MediaDeviceId = tostring(parsed.DeviceId)
| extend MediaInstanceId = tostring(parsed.DeviceInstanceId)
| extend MediaName = tostring(parsed.MediaName)
| extend RemovableStoragePolicy = tostring(parsed.RemovableStoragePolicy)
| extend MediaProductId = tostring(parsed.ProductId)
| extend MediaVendorId = tostring(parsed.VendorId)
| extend MediaSerialNumber = tostring(parsed.SerialNumber)
|project Timestamp, DeviceId, DeviceName, InitiatingProcessAccountName, ActionType, RemovableStorageAccess, RemovableStoragePolicyVerdict, MediaBusType, MediaClassGuid, MediaClassName, MediaDeviceId, MediaInstanceId, MediaName, RemovableStoragePolicy, MediaProductId, MediaVendorId, MediaSerialNumber, FolderPath, FileSize
| order by Timestamp desc

Tip

Chcete se dozvědět více? Spojte se s komunitou zabezpečení Microsoftu v naší technické komunitě: Technická komunita Microsoft Defenderu for Endpoint.

Viz také