Prošetřit výstrahy v Microsoft Defender XDR

  • Platí pro: Microsoft Defender XDR, Microsoft Sentinel in the Microsoft Defender portal

Poznámka

Tento článek popisuje výstrahy zabezpečení v Microsoft Defender XDR. Zásady upozornění ale můžete použít k odesílání e-mailových oznámení sobě nebo jiným správcům, když uživatelé provádějí určité aktivity v Microsoftu 365. Další informace najdete v tématu Zásady upozornění na portálu Microsoft Defender.

Poznámka

Tento článek je specifický pro Defender XDR, ale pro přístup k těmto upozorněním nutně nepotřebujete licenci XDR. Pokud máte například Microsoft Defender pro Office 365, zobrazí se upozornění v umístěních uvedených v tomto článku. V závislosti na úrovni licence máte přístup k některým Defender XDR nastavením v katalogu nastavení Defender. Další informace o Defender pro verzi 365 najdete v Microsoft Defender pro Office 365 dokumentaci.

Výstrahy jsou signály, které jsou výsledkem různých aktivit detekce hrozeb. Tyto signály jsou vytvářeny mnoha službami zabezpečení, které se nacházejí na portálu Microsoft Defender, a indikují výskyt škodlivých nebo podezřelých událostí ve vašem prostředí.

Tyto podezřelé události jsou obvykle součástí širšího scénáře útoku. Na portálu Microsoft Defender představují výstrahy samostatné důkazy, které Defender XDR koreluje, aby z nich vytvořil incidenty (viz Přehled incidentů). Incidenty vyprávějí celý příběh útoku; Analýza výstrah však může být cenná, pokud je vyžadována hlubší analýza.

Fronta upozornění zobrazuje aktuální sadu výstrah. Můžete zobrazit celou frontu výstrah v části Incidenty & výstrahy > Výstrahy v nabídce Rychlé spuštění na portálu Microsoft Defender. Výstrahy pro každý incident můžete také zobrazit ve frontě Incidenty a na stránce jednotlivých incidentů na kartě Výstrahy .

Oddíl Upozornění na portálu Microsoft Defender

Upozornění od různých bezpečnostních řešení Microsoft, jako jsou Microsoft Defender for Endpoint, Defender pro Office 365, Microsoft Sentinel, Defender for Cloud, Defender for Identity, Defender for Cloud Apps, Defender XDR, App Governance, Microsoft Entra ID Protection a Microsoft Data Loss Prevention se objevují ve frontě Alerts.

Ve výchozím nastavení se ve frontě upozornění na portálu Microsoft Defender zobrazují nová a probíhající upozornění z posledních sedmi dnů. Nejnovější výstraha je v horní části seznamu, abyste ho viděli jako první. Celkový počet upozornění najdete také ve frontě uvedené vedle panelu hledání. Celkový počet upozornění se liší podle filtrů použitých ve frontě.

Ve výchozí frontě upozornění můžete výběrem možnosti Filtr zobrazit všechny dostupné filtry, ze kterých můžete zadat podmnožinu výstrah. Tady je příklad.

Všechny filtry dostupné ve frontě upozornění na portálu Microsoft Defender

Výstrahy můžete filtrovat podle těchto kritérií:

  • Závažnosti
  • Stav
  • Kategorie
  • Služba / zdroje detekce
  • Značky
  • Zásada/Pravidlo zásady
  • Typ výstrahy
  • Název produktu
  • ID odběru upozornění
  • Entity (ovlivněná aktiva)
  • Stav automatizovaného šetření
  • Pracovní prostor
  • Datový tok (úloha nebo umístění)
  • Popisek citlivosti

Poznámka

Microsoft Defender XDR zákazníci teď můžou filtrovat incidenty s výstrahami, kdy ohrožené zařízení komunikovalo se zařízeními OT připojenými k podnikové síti prostřednictvím integrace zjišťování zařízení Microsoft Defender pro IoT a Microsoft Defender for Endpoint. Pokud chcete tyto incidenty filtrovat, vyberte v části Služba/zdroje detekce možnost Libovolná a pak v názvu produktu vyberte Microsoft Defender pro IoT nebo se podívejte na téma Zkoumání incidentů a upozornění v Microsoft Defender pro IoT na portálu Defender. Skupiny zařízení můžete také použít k filtrování výstrah specifických pro web. Další informace o požadavcích na Defender for IoT najdete v tématu Začínáme s podnikovým monitorováním IoT v Microsoft Defender XDR.

Upozornění může mít systémové tagy a/nebo vlastní tagy s bílým, červeným nebo černým pozadím. Vlastní značky používají bílé pozadí, zatímco systémové značky obvykle používají červené nebo černé barvy pozadí. Systémové značky identifikují v incidentu následující:

  • Typ útoku, jako je ransomware nebo phishing s přihlašovacími údaji
  • Automatické akce, jako je automatické vyšetřování a reakce a automatické přerušení útoku
  • Experti defenderu zpracovávající incident
  • Kritické prostředky zapojené do incidentu

Tip

Správa míry rizika zabezpečení Microsoftu na základě předdefinovaných klasifikací automaticky označí zařízení, identity a cloudové prostředky jako kritický prostředek. Tato funkce dostupná ihned po nasazení zajišťuje ochranu nejcennějších a nejdůležitějších aktiv organizace. Pomáhá také týmům pro operace zabezpečení určit prioritu vyšetřování a nápravy. Přečtěte si další informace o správě důležitých prostředků.

Důležité

Některé informace v tomto článku se týkají předem vydaného produktu, který může být před komerčním vydáním podstatně změněn. Společnost Microsoft neposkytuje žádné záruky vyjádřené ani předpokládané s ohledem na zde uvedené informace.

Výstrahy můžete vyhledat pomocí vlastního rozsahu data a času nebo pomocí panelu hledání a vyhledat konkrétní výstrahy. Pokud chcete vyhledat výstrahy v určitém časovém nebo datovém rozsahu, vyberte ve výběru data možnost Vlastní rozsah a pak zadejte počáteční a koncové datum a časy.

Zvýraznění možnosti vlastního rozsahu v nástroji pro výběr data a času ve frontě upozornění

Pokud chcete vyhledat konkrétní výstrahy, zadejte hledaný termín do vyhledávacího panelu. Výstrahy můžete vyhledávat na základě názvu nebo ID výstrahy.

Zvýraznění panelu hledání ve frontě upozornění

Potřebná oprávnění k vyšetřování upozornění

Přístup k výstrahám na portálu Microsoft Defender je řízen oprávněními Microsoft Defender a přiřazeními rolí.

Požadovaná přiřazení rolí

Oprávnění požadovaná k zobrazení výstrah můžete získat prostřednictvím těchto přiřazení rolí:

  • Role Microsoft Entra, například Security Reader, Security Operator nebo Security Administrator.
  • Vlastní role Microsoft Defenderu, které zahrnují oprávnění k přístupu k bezpečnostním datům, například Základní bezpečnostní data (čtení).

Další informace najdete v tématu Oprávnění v Microsoft Defender sjednocené řízení přístupu na základě role (RBAC).

Poznámka

Microsoft Sentinel data nadále používají oprávnění k pracovnímu prostoru Microsoft Sentinel. Pokud chcete zobrazit výstrahy, které obsahují Microsoft Sentinel data, potřebujete příslušná oprávnění Azure RBAC v odpovídajícím pracovním prostoru služby Sentinel. Další informace najdete v tématu Připojení Služby Microsoft Sentinel k portálu Microsoft Defender.

Analýza upozornění

Pokud chcete zobrazit hlavní stránku upozornění, vyberte název výstrahy. Tady je příklad.

Snímek obrazovky s podrobnostmi o upozornění na portálu Microsoft Defender

Můžete také vybrat akci Otevřít hlavní výstrahu v podokně Spravovat upozornění .

Stránka upozornění se skládá z těchto částí:

  • Scénář upozornění, což je řetězec událostí a výstrah souvisejících s touto výstrahou v chronologickém pořadí.
  • Souhrnné podrobnosti

Na stránce upozornění můžete vybrat tři tečky (...) vedle libovolné entity a zobrazit tak dostupné akce, například propojení výstrahy s jiným incidentem. Seznam dostupných akcí závisí na typu vybraného upozornění.

Zdroje upozornění

Microsoft Defender XDR upozornění pocházejí z řešení, jako jsou Microsoft Defender for Endpoint, Defender pro Office 365, Defender for Identity Defender for Cloud Apps, doplněk zásad správného řízení aplikací pro Microsoft Defender for Cloud Apps, Microsoft Entra ID Protection a Microsoft Data Loss Prevention. Můžete si všimnout předem přidaných znaků v ID upozornění. Následující tabulka obsahuje doprovodné materiály, které vám pomůžou pochopit mapování zdrojů upozornění na základě předem zadaného znaku výstrahy.

Poznámka

  • Předem připravené identifikátory GUID jsou specifické pouze pro sjednocená prostředí, jako jsou sjednocená fronta upozornění, stránka sjednocených upozornění, sjednocené šetření a sjednocený incident.
  • Předpřipoucený znak nezmění identifikátor GUID výstrahy. Jedinou změnou identifikátoru GUID je předem připravená komponenta.
Zdroj upozornění ID upozornění s předpřihlednými znaky
Microsoft Defender XDR ra{GUID}
ta{GUID} pro výstrahy z ThreatExperts
ea{GUID} pro výstrahy z vlastních detekcí
Microsoft Defender pro Office 365 fa{GUID}
Například: fa123a456b-c789-1d2e-12f1g33h445h6i
Microsoft Defender for Endpoint (ochrana koncových bodů) da{GUID}
ed{GUID} pro výstrahy z vlastních detekcí
Microsoft Defender for Identity aa{GUID}
ri{GUID} pro výstrahy z modulu pro detekci XDR
Příklad: aa123a456b-c789-1d2e-12f1g33h445h6i, ri001122334455667788_-0123456789
Microsoft Defender pro cloudové aplikace ca{GUID}
ma{GUID} pro výstrahy z detekcí a zásad App Governance
rm{GUID} pro výstrahy z modulu pro detekci XDR
Například: ca123a456b-c789-1d2e-12f1g33h445h6i
Ochrana identifikace Microsoft Entra ad{GUID}
Zásady správného řízení aplikací ma{GUID}
ochrana před únikem informací Microsoft dl{GUID}
Microsoft Defender for Cloud dc{GUID}
Microsoft Sentinel sn{GUID}
Správa insiderských rizik Microsoft Purview ir{GUID}
Microsoft Security Copilot sc{GUID}

Poznámka

Pokud vám byl zřízen přístup ke službě Správa insiderských rizik Microsoft Purview, můžete na portálu Microsoft Defender zobrazovat a spravovat výstrahy služby Insider Risk Management a vyhledávat události služby Insider Risk Management. Další informace najdete v tématu Zkoumání hrozeb insiderských rizik na portálu Microsoft Defender.

Upozornění na propagaci (náhled)

Propagace upozornění automaticky vytváří upozornění Microsoft Defender XDR z upozornění přijatých z podporovaných bezpečnostních produktů třetích stran. Propagace vyžaduje pracovní prostor Microsoft Sentinel integrovaný do portálu Microsoft Defender.

Podporované zdroje jsou uvedeny v následující tabulce. Vstup dat přes konektor uvedený pro každý zdroj.

Source Propagovaná upozornění Connector
CrowdStrike Upozornění s vysokou, kritickou a CrowdStrike OverWatch závažností. Datový konektor CrowdStrike API (prostřednictvím frameworku pro konektory bez psaní kódu)

Propagovaná upozornění zahrnují extrahované entity a obohacení a mohou být korelována s incidenty s jinými upozorněními. Chcete-li najít propagovaná upozornění a jejich incidenty, filtrujte stránky Upozornění a Incidenty podle zdrojového produktu, například CrowdStrike.

Pokud už používáte analytická pravidla k vytváření upozornění ze stejných dat, můžete vidět duplicitní upozornění. Před jejich změnou si projděte překrývající se pravidla. Pro zvládání nežádoucích propagovaných upozornění použijte ladění upozornění.

Konfigurace nastavení služby upozornění

Konfigurace nastavení služby upozornění v Microsoft Defender XDR:

  1. Přejděte na portál Microsoft Defender (security.microsoft.com), vyberte Nastavení>Microsoft Defender XDR.

  2. V seznamu vyberte Nastavení služby upozornění a pak nakonfigurujte nastavení upozornění pro službu.

    Důležité

    Od 11. prosince 2025 Microsoft Defender XDR zavádí rozšířené možnosti konfigurace pro výstrahy ochrany Entra ID ve verzi Public Preview. Tyto aktualizace poskytují podrobnější kontrolu nad upozorňováním na základě rizik. Nové výchozí nastavení je pouze detekce vysokého rizika. Změňte výchozí nastavení na Vysoká + Střední nebo Všechny detekce podle potřeb vaší organizace.

    Snímek obrazovky s nastavením upozornění Microsoft Entra ID Protection na portálu Microsoft Defender

Nastavení služby Upozornění můžete získat ze stránky Incidenty v portálu Microsoft Defender.

Důležité

Některé informace se týkají předprodeje produktu, který může být před komerčním vydáním podstatně změněn. Společnost Microsoft neposkytuje v souvislosti se zde uvedenými informacemi žádné výslovné ani předpokládané záruky.

Analyzovat ovlivněná aktiva

Na stránce s podrobnostmi výstrahy oddíl Provedené akce uvádí zasažené prostředky, například poštovní schránky, zařízení a uživatele, kterých se výstraha týká.

Můžete také vybrat Zobrazit v centru akcí a zobrazit kartu Historiev Centru akcí na portálu Microsoft Defender.

Sledujte roli upozornění v souvislostech upozornění

Text upozornění zobrazuje všechny prostředky nebo entity související s upozorněním v zobrazení stromu procesu. Na stránce s podrobnostmi výstrahy je výstraha uvedená v názvu stránky zpočátku vybraná. Prvky v panelu upozornění lze rozbalit a lze na ně kliknout. Poskytují další informace a urychlí vaši odpověď tím, že vám umožní provést akci přímo v kontextu stránky upozornění.

Poznámka

Sekce historie upozornění může obsahovat více než jedno upozornění, přičemž další upozornění související se stejným stromem spuštění se může zobrazit před nebo za vybraným upozorněním.

Zobrazení dalších informací o upozorněních na stránce s podrobnostmi

Na stránce podrobností se zobrazí podrobnosti vybrané výstrahy s podrobnostmi a souvisejícími akcemi. Pokud v textu upozornění vyberete některý z ovlivněných prostředků nebo entit, stránka podrobností se změní a poskytne kontextové informace a akce pro vybraný objekt.

Jakmile vyberete entitu, která vás zajímá, stránka podrobností se změní a zobrazí informace o vybraném typu entity, historické informace, pokud je k dispozici, a možnosti provedení akce s touto entitou přímo ze stránky upozornění.

Správa stavu a klasifikace upozornění

Pokud chcete výstrahu spravovat, vyberte Spravovat výstrahu v části souhrnných podrobností na stránce upozornění. Pro jednu výstrahu zde uvádíme příklad podokna Spravovat výstrahu.

Snímek obrazovky s částí Spravovat upozornění na portálu Microsoft Defender

Podokno Spravovat výstrahy umožňuje zobrazit nebo zadat:

  • Stav upozornění (Nové, Vyřešeno, Probíhá).
  • Uživatelský účet, kterému byla výstraha přiřazena.
  • Klasifikace výstrahy:
    • Nenastaví se (výchozí).
    • Skutečný pozitivní nález s uvedením typu hrozby. Tuto klasifikaci použijte pro výstrahy, které přesně označují skutečnou hrozbu. Zadání tohoto typu hrozby upozorní váš bezpečnostní tým na vzory hrozeb a zasadí se o ochranu vaší organizace před nimi.
    • Informativní, očekávaná aktivita s typem činnosti. Tuto možnost použijte pro výstrahy, které jsou technicky přesné, ale představují normální chování nebo simulovanou aktivitu hrozeb. Obecně chcete tyto výstrahy ignorovat, ale očekávat je u podobných aktivit v budoucnu, kdy tyto aktivity aktivují skuteční útočníci nebo malware. Pomocí možností v této kategorii můžete klasifikovat výstrahy pro testy zabezpečení, aktivitu červeného týmu a očekávané neobvyklé chování důvěryhodných aplikací a uživatelů.
    • Falešně pozitivní výsledek u typů výstrah, které byly generovány, i když nedocházelo k žádné škodlivé aktivitě, tedy při falešném poplachu. Pomocí možností v této kategorii klasifikujte výstrahy, které jsou omylem identifikovány jako normální události nebo aktivity, jako škodlivé nebo podezřelé. Na rozdíl od upozornění na informační očekávanou aktivitu, která může být užitečná i při zachytávání reálných hrozeb, obvykle nechcete, aby se tato upozornění znovu zobrazovala. Klasifikace výstrah jako falešně pozitivních pomáhá Microsoft Defender XDR zlepšit kvalitu jejich detekce.
  • Komentář k upozornění

Poznámka

  • V srpnu 2022 byly dříve podporované hodnoty určení výstrah (Apt a SecurityPersonnel) zastaralé a už nejsou dostupné prostřednictvím rozhraní API.

  • Jedním ze způsobů správy upozornění je použití štítků. Funkce označování pro Microsoft Defender pro Office 365 je aktuálně ve verzi Preview, která se zavádí postupně.

V současné době se upravené názvy značek použijí jenom u upozornění vytvořených po aktualizaci. Výstrahy, které byly generovány před úpravou, nebudou odrážet aktualizovaný název značky.

Pokud chcete spravovat sadu upozornění podobnou konkrétní výstraze, vyberte Zobrazit podobné výstrahy v poli PŘEHLED v části souhrnu podrobností na stránce upozornění.

Snímek obrazovky s výběrem upozornění na portálu Microsoft Defender

V podokně Spravovat výstrahy pak můžete klasifikovat všechny související výstrahy najednou. Tady je příklad.

Snímek obrazovky se správou souvisejících upozornění na portálu Microsoft Defender

Pokud byla podobná upozornění již dříve klasifikována, můžete ušetřit čas použitím doporučení Microsoft Defender XDR a zjistit, jak byla dříve utajovaná podobná upozornění vyřešena. V části souhrnu podrobností vyberte Doporučení.

Snímek obrazovky s příkladem výběru doporučení pro upozornění

Karta Doporučení poskytuje akce a rady pro další kroky pro šetření, nápravu a prevenci. Tady je příklad.

Snímek obrazovky s příkladem doporučení pro upozornění

Integrovaná pravidla ladění výstrah

Microsoft Defender obsahuje vestavěná pravidla ladění upozornění, která pomáhají snižovat šum hlášení způsobený běžnou neškodnou činností. Tato předdefinovaná pravidla potlačují výstrahy, aniž by to ovlivnilo další funkce, jako jsou šetření AIR a e-mailová oznámení. Pokud šetření AIR zjistí škodlivou nebo podezřelou aktivitu, nové upozornění se znovu aktivuje.

Pokud chcete zobrazit integrovaná pravidla ladění upozornění na portálu Microsoft Defender, přejděte dočásti Nastavení>systému>Microsoft Defender XDR>Odladění>pravidel nebo přímo na stránce ladění upozornění na adrese https://security.microsoft.com/securitysettings/defender/alert_suppression.

Nezapomeňte si projít tato pravidla, abyste pochopili, jak můžou ovlivnit upozornění, která se zobrazují na portálu Microsoft Defender.

Důležité

Vestavěná pravidla ladění upozornění se nevztahují na upozornění z vlastních detekčních pravidel a Custom TI.

Poznámka

Agent Microsoft Security Copilot pro třídění phishingu neklasifikuje upozornění potlačená pomocí ladění upozornění. Nezapomeňte zakázat předdefinované pravidlo ladění výstrah Automatické řešení – E-mail nahlášený uživatelem jako malware nebo phishing a všechna vlastní pravidla ladění, která tuto výstrahu potlačují.

Vypněte vestavěné pravidlo vyladění výstrah

Chcete-li zakázat vestavěné pravidlo ladění upozornění, postupujte podle těchto kroků:

  1. Na stránce Ladění upozornění vyberte vestavěné pravidlo.

  2. V panelu podrobností pravidel vyberte Zakázat.

    Snímek obrazovky podokna s podrobnostmi o vestavěném pravidlu ladění upozornění s akcí Disable (Vypnout).

Ladění upozornění

Jako analytik centra bezpečnostních operací (SOC) řešíte jako jeden z hlavních problémů třídění obrovského množství upozornění, která se každý den generují. I když se analytici chtějí zaměřit pouze na výstrahy s vysokou závažností a vysokou prioritou, musí také analyzovat a řešit výstrahy s nižší prioritou, což bývá ruční proces. Ladění výstrah (dříve potlačení upozornění) umožňuje automaticky skrýt nebo vyřešit výstrahy, když dojde k očekávanému chování organizace a jsou splněny podmínky pravidla. Tím se zjednoduší fronta upozornění a ušetří se čas třídění.

Pravidla ladění výstrah podporují podmínky založené na typech důkazů , jako jsou soubory, procesy, naplánované úlohy a další typy důkazů, které aktivují výstrahy. Ke každému pravidlu ladění upozornění můžete přidat až 200 podmínek. Po vytvoření pravidla ladění upozornění ho použijte na vybranou výstrahu nebo na jakýkoli typ výstrahy, který splňuje definované podmínky, a vylaďte ho.

Microsoft Defender XDR obsahuje integrovaná pravidla ladění upozornění, která pomáhají snižovat šum při hlášení při běžných neškodných aktivitách. Tato předdefinovaná pravidla potlačují výstrahy, aniž by to ovlivnilo další funkce, jako jsou šetření AIR a e-mailová oznámení. Pokud vyšetřování AIR detekuje škodlivou nebo podezřelou aktivitu, Defender XDR znovu aktivuje potlačenou výstrahu.

Můžete také vytvořit vlastní pravidla ladění upozornění, která při splnění konkrétních podmínek provede jednu z následujících akcí:

  • Skrýt výstrahu: Potlačí výstrahu a zabrání vytvoření incidentu. Skryté výstrahy zůstávají v tabulkách AlertInfo a AlertEvidence . Akce Skrýt upozornění platí pouze pro upozornění Defender for Endpoint.
  • Řešení upozornění: Automaticky vyřeší výstrahu a související incidenty. Odpovídající výstrahy a jejich přidružené incidenty jsou spuštěny ve stavu Vyřešeno.
  • Nastavit jako chování: Převede odpovídající signály na chování. Nezobrazí se ve frontě upozornění ani nespustí incidenty. Data zůstávají v tabulkách BehaviorInfo a BehaviorEntities pro proaktivní vyhledávání. Tato akce není podporována u výstrah služby Defender for Cloud ani Microsoft Defender pro Office 365.

Upozornění

Ladění výstrah používejte s opatrností ve scénářích, kde známé interní obchodní aplikace nebo testy zabezpečení aktivují očekávanou aktivitu.

Vytvořte podmínky pravidla pro vyladění upozornění

Pravidla ladění upozornění můžete vytvářet v oblasti nastavení Microsoft Defender XDR nebo na stránce s podrobnostmi upozornění. Pokračujte výběrem jedné z následujících karet.

Poznámka

Výběr zdroje detekce, dostupný ve verzi Preview, vám umožní vybrat konkrétní zdroje detekce v rámci každého zdroje služby pro přesnější ladění upozornění. Během aktuálního přípravného období můžete upravit svá stávající pravidla tak, aby zahrnula nebo vyloučila zdroje detekce. Vaše volby nabývají účinnosti 8. listopadu 2026. Pravidla, která neaktualizujete, platí i nadále pro všechny zdroje detekce v rámci vybraných zdrojů služeb, včetně vlastních detekcí.

Pokud chcete vytvořit pravidlo ladění upozornění na stránce Nastavení, postupujte takto:

  1. Na portálu Microsoft Defender vyberte Nastavení > Microsoft Defender XDR > Ladění upozornění.

    Snímek obrazovky s možností ladění upozornění na stránce Nastavení Microsoft Defender XDR

  2. Vyberte Přidat nové pravidlo a vylaďte nové upozornění nebo vyberte existující řádek pravidla a proveďte změny. Výběrem názvu pravidla se otevře stránka s podrobnostmi pravidla, kde můžete zobrazit seznam přidružených upozornění, upravit podmínky nebo pravidlo zapnout a vypnout.

  3. V panelu Tune alert, v sekci Vybrat zdroje služeb, vyberte zdroje služeb a zdroje detekce, kde chcete, aby se pravidlo uplatnilo. V seznamu se zobrazí jenom služby, u kterých máte oprávnění. Příklady:

    Snímek obrazovky oblasti Zdroje/Detekce s rozšířenými detekčními zdroji v panelu upozornění Tune.

  4. V oblasti Podmínky přidejte podmínku pro triggery výstrahy. Pokud například chcete zabránit aktivaci upozornění při vytvoření konkrétního souboru, definujte podmínku triggeru Soubor:Vlastní a definujte podrobnosti o souboru:

    Snímek obrazovky s nabídkou IOC na stránce Ladění upozornění

    • Uvedené triggery se liší v závislosti na vybraných zdrojích služeb. Triggery jsou všechny indikátory ohrožení zabezpečení (IOC), jako jsou soubory, procesy, naplánované úlohy a další typy důkazů, které můžou aktivovat výstrahu, včetně skriptů rozhraní AMSI (AntiMalware Scan Interface), událostí rozhraní WMI (Windows Management Instrumentation) nebo plánovaných úloh.

    • Pokud chcete nastavit více podmínek pravidla, vyberte Přidat filtr a použijte možnosti AND, OR a seskupování, abyste definovali vztahy mezi několika typy důkazů, které aktivují výstrahu. Další vlastnosti důkazů se automaticky vyplní jako nová podskupina, ve které můžete definovat hodnoty podmínek. U hodnot podmínek se nerozlišují malá a velká písmena a některé vlastnosti podporují zástupné znaky.

  5. V oblasti Akce podokna Ladit upozornění vyberte příslušnou akci, kterou má pravidlo provést. Zvolte Skrýt upozornění, Vyřešit upozornění nebo Nastavit jako chování.

  6. Zadejte výstižný název upozornění a komentář, který výstrahu popisuje, a pak vyberte Uložit.

Poznámka

Název upozornění (Název) je založený na typu upozornění (IoaDefinitionId), který o názvu výstrahy rozhoduje. Dvě výstrahy, které mají stejný typ upozornění, se můžou změnit na jiný název výstrahy. Funkce Skrýt upozornění je dostupná jenom v upozorněních Defenderu for Endpoint.

Po vytvoření pravidla ladění upozornění na stránce s podrobnostmi upozornění přidejte na zobrazené stránce Úspěšné vytvoření pravidla libovolné IOC související s upozorněním jako indikátory do seznamu povolených, aby v budoucnu nebyly blokovány. IOC nakonfigurované jako součást pravidla ladění výstrahy jsou ve výchozím nastavení vybrány. Příklady:

  1. Přidejte soubor do seznamu Pro výběr důkazů (IOC) k povolení . Ve výchozím nastavení je už vybraný soubor, který výstrahu aktivoval.
  2. Definujte rozsah pro hodnotu Vyberte rozsah, na který se má použít. Ve výchozím nastavení je vybraný obor, který se vztahuje na vaše upozornění.
  3. Vyberte Uložit , abyste soubor přidali do seznamu povolených a zabránili jeho blokování.

Řešení upozornění

Jakmile dokončíte analýzu výstrahy a dá se vyřešit, přejděte do podokna Spravovat upozornění pro výstrahu nebo podobné výstrahy, označte stav jako Vyřešeno a pak ho klasifikujte jako pravdivě pozitivní s typem hrozby, informační, očekávanou aktivitu typu aktivity nebo falešně pozitivní.

Klasifikace výstrah pomáhá Microsoft Defender XDR zlepšit kvalitu jejich detekce.

Určení priorit výstrah pomocí Power Automate

Moderní týmy pro operace zabezpečení (SecOps) potřebují automatizaci, aby fungovaly efektivně. Aby se týmy SecOps zaměřily na proaktivní vyhledávání a prošetřování skutečných hrozeb, používají Power Automate k třídění ze seznamu výstrah a eliminují ty, které nejsou hrozbami.

Kritéria pro řešení výstrah

V tomto příkladu v Power Automate tok zkontroluje následující kritéria, aby rozhodl, zda se má upozornění vyřešit automaticky:

  • Uživatel má zapnutou funkci Zpráva mimo kancelář
  • Uživatel není označený jako vysoce rizikový

Pokud má uživatel zapnutou zprávu mimo kancelář a není označená jako vysoká rizika, Označí SecOps upozornění jako legitimní cestování a vyřeší ho. Po vyřešení upozornění se v Microsoft Teams publikuje oznámení.

Připojení Power Automate k Microsoft Defender for Cloud Apps

Abyste mohli vytvořit automatizaci, budete před připojením Power Automate k Microsoft Defender for Cloud Apps potřebovat token rozhraní API.

  1. Otevřete portál Microsoft Defender a vyberte Nastavení>Cloud Apps>token rozhraní API a potom na kartě Tokeny rozhraní API vyberte Přidat token.

  2. Zadejte název tokenu a pak vyberte Generovat. Uložte token, protože ho budete potřebovat později.

Vytvoření automatizovaného toku

V následujícím videu se dozvíte, jak připojit Power Automate k Defender for Cloud Apps a vytvořit automatizovaný pracovní postup třídění výstrah.

Použití agenta dynamické detekce hrozeb k určení priorit výstrah

Microsoft Security Copilot v Microsoft Defender zahrnuje agenta dynamické detekce hrozeb, což je vždy zapnutá adaptivní back-endová služba, která odkrývá skryté hrozby v prostředích Defenderu a Microsoft Sentinel. Používá umělou inteligenci k identifikaci mezer a odhalování falešně negativních výsledků korelací výstrah, událostí, anomálií a analýzy hrozeb. Když agent identifikuje nedostatek, vygeneruje dynamické upozornění s úplným kontextem v podrobnostech upozornění, včetně vysvětlení v přirozeném jazyce, namapovaných MITRE ATT&CK technik a přizpůsobených kroků k nápravě.

Další informace najdete v tématu Agent Microsoft Security Copilot pro dynamické zjišťování hrozeb.

Další kroky

U incidentů, které jsou stále aktivní, pokračujte ve vyšetřování podle pokynů v části Vyšetřování incidentů.

Související obsah

Tip

Chcete se dozvědět více? Spojte se s komunitou zabezpečení společnosti Microsoft v naší technické komunitě: Technická komunita Microsoft Defender XDR.

  • Poslední aktualizace v