Incidenty a výstrahy na portálu Microsoft Defender

  • Platí pro: Microsoft Defender XDR, Microsoft Sentinel in the Microsoft Defender portal

Portál Microsoft Defender spojuje jednotnou sadu bezpečnostních služeb, které snižují riziko ohrožení zabezpečení, zlepšují stav zabezpečení vaší organizace, detekují bezpečnostní hrozby a prošetřují porušení zabezpečení a reagují na ně. Tyto služby shromažďují a vytvářejí signály, které se zobrazují na portálu. Dva hlavní druhy signálů jsou:

Výstrahy: Signály, které jsou výsledkem různých aktivit detekce hrozeb. Tyto signály označují výskyt škodlivých nebo podezřelých událostí ve vašem prostředí.

Incidenty: Kontejnery, které obsahují kolekce souvisejících výstrah a vyprávějí celý příběh útoku. Výstrahy v jednom incidentu můžou pocházet ze všech řešení microsoftu pro zabezpečení a dodržování předpisů a také z obrovského počtu externích řešení shromážděných prostřednictvím Microsoft Sentinel a Microsoft Defender for Cloud.

Note

Případy incidentů jsou v náhledu a jsou doporučenou zkušeností pro řízení incidentů. Zážitek z dědictví incidentu zůstává během této ukázky k dispozici. Pro doporučený zážitek viz Správa incidentních případů v portálu Microsoft Defender.

Incidenty pro korelaci a šetření

I když můžete prošetřit a zmírnit hrozby, na které vás jednotlivé výstrahy upozorňují, samy o sobě jsou tyto hrozby izolovanými výskyty, které vám nic neřeknou o širším a komplexním scénáři útoku. Můžete vyhledávat, zkoumat, zkoumat a korelovat skupiny výstrah, které patří do jednoho příběhu útoku, ale to vás bude stát spoustu času, úsilí a energie.

Místo toho moduly korelace a algoritmy na portálu Microsoft Defender automaticky agregují a korelují související výstrahy, aby vytvořily incidenty, které představují tyto rozsáhlejší scénáře útoku. Defender identifikuje několik signálů, které patří do stejného scénáře útoku, a používá AI k průběžnému monitorování zdrojů telemetrie a přidávání dalších důkazů k již otevřeným incidentům. Incidenty obsahují všechna upozornění považovaná za vzájemně související a s celkovým příběhem útoku a prezentují příběh v různých podobách:

  • Časové osy upozornění a nezpracovaných událostí, na kterých jsou založeny
  • Seznam použitých taktik
  • Seznamy všech zapojených a ovlivněných uživatelů, zařízení a dalších prostředků
  • Vizuální znázornění interakce všech hráčů v příběhu
  • Protokoly procesů automatického šetření a reakce, které Defender inicioval a dokončil
  • Sbírky důkazů podporujících příběh útoku: uživatelské účty a informace o zařízení a adresy špatných účastníků, škodlivé soubory a procesy, relevantní analýza hrozeb atd.
  • Textový souhrn příběhu útoku

Incidenty také poskytují architekturu pro správu a dokumentaci vyšetřování a reakce na hrozby. Pro doporučený zážitek viz Správa incidentních případů v portálu Microsoft Defender. Původní prostředí pro incidenty najdete v článku Správa incidentů v Microsoft Defenderu.

Zdroje výstrah a detekce hrozeb

Výstrahy na portálu Microsoft Defender pocházejí z mnoha zdrojů. Mezi tyto zdroje patří mnoho služeb, které jsou součástí Microsoft Defender, a také další služby s různou mírou integrace s portálem Microsoft Defender.

Když se například Microsoft Sentinel připojí na portál Microsoft Defender, modul korelace na portálu Defenderu má přístup ke všem nezpracovaným datům přijatým Microsoft Sentinel, která najdete v tabulkách rozšířeného proaktivního vyhledávání Defenderu.

  • Microsoft Sentinel zákazníci používající portál Defender nebo uživatelé, kteří používají Azure Portal s datovým konektorem Microsoft Sentinel Defender XDR, také využívají upozornění Microsoft Threat Intelligence, která upozorňují na aktivitu od národních státních činitelů, jako jsou ransomwarové kampaně a podvodné operace. Pro zákazníky bez licencí E5 nebo Microsoft Sentinel jsou tato upozornění dostupná pouze v centru pro správu Microsoft 365 (MAC).

  • Microsoft Defender XDR sám také vytváří výstrahy. jedinečné možnosti korelace Defender XDR poskytují další vrstvu analýzy dat a detekce hrozeb pro všechna řešení od jiných společností než Microsoft ve vašich digitálních aktivech. Tyto detekce generují výstrahy v Defenderu XDR kromě výstrah, které již poskytují analytická pravidla Microsoft Sentinelu.

V každém z těchto zdrojů existuje jeden nebo více mechanismů detekce hrozeb, které vytvářejí výstrahy na základě pravidel definovaných v jednotlivých mechanismech. Například Microsoft Sentinel má aspoň čtyři různé moduly, které vytvářejí různé typy upozornění, z nichž každý má vlastní pravidla.

Nástroje a metody pro šetření a reakci

Portál Microsoft Defender obsahuje nástroje a metody pro automatizaci nebo jinou pomoc při třídění, vyšetřování a řešení incidentů. Tyto nástroje jsou uvedeny v následující tabulce:

Nástroj/metoda Popis
Řízení a vyšetřování případů incidentů Upřednostněte případy incidentů podle závažnosti a poté je vyšetřte, abyste pochopili a reagovali na příslušné hrozby. Informace o starším prostředí pro incidenty najdete v tématech Řízení incidentů a Vyšetřování incidentů.
Řídit úkoly v případech incidentů Používejte úkoly v portálu Microsoft Defender k společnému vyšetřování a řešení případů incidentů napříč vašimi provozními týmy. Řízení případů incidentů s úkoly pomáhá zvýšit efektivitu reakce na incidenty a zajistit odpovědnost za výsledky vyšetřování. Pro zkušenost s legacy incidenty viz Použít úlohy ke zpracování pracovního toku incidentů.
Automatické prověřování a řešení výstrah Pokud je to povolené, Microsoft Defender může automaticky zkoumat a řešit výstrahy z Microsoft 365 a Entra ID zdrojů prostřednictvím automatizace a umělé inteligence.
Konfigurace akcí automatického přerušení útoku Používejte vysoce spolehlivé signály shromážděné z Microsoft Defender XDR a Microsoft Sentinel k automatickému narušování aktivních útoků strojovou rychlostí, čímž se hrozba zadrží a omezí její dopad.
Konfigurace pravidel automatizace Microsoft Sentinel Pomocí pravidel automatizace můžete automatizovat třídění, přiřazování a správu incidentů bez ohledu na jejich zdroj. Pomozte svému týmu ještě více zvýšit efektivitu tím, že nakonfigurujete pravidla tak, aby na incidenty aplikovala tagy na základě jejich obsahu, potlačovala rušivé (falešně pozitivní) incidenty a uzavírala vyřešené incidenty, které splňují příslušná kritéria, a to zadáním důvodu a přidáním komentářů.
Proaktivní lov s pokročilým vyhledáváním Pomocí dotazovací jazyk Kusto (KQL) můžete proaktivně kontrolovat události ve vaší síti dotazováním protokolů shromážděných na portálu Defender. Rozšířené vyhledávání podporuje režim průvodce pro uživatele, kteří hledají pohodlí nástroje pro vytváření dotazů.
Využití umělé inteligence s Microsoft Security Copilot Přidejte AI pro podporu analytiků se složitými a časově náročnými denními pracovními postupy. například Microsoft Security Copilot může pomoct s komplexním vyšetřováním incidentů a reakcí tím, že poskytuje jasně popsané scénáře útoku, podrobné pokyny k nápravě a souhrnné sestavy aktivit incidentů, proaktivní vyhledávání KQL v přirozeném jazyce a analýzu expertního kódu – optimalizace efektivity SOC napříč daty ze všech zdrojů.

Tato funkce doplňuje další funkce založené na umělé inteligenci, které Microsoft Sentinel přináší do sjednocené platformy, a to v oblastech analýzy chování uživatelů a entit, detekce anomálií, detekce vícefázových hrozeb a dalších.

Tip

Defender Boxed, série karet ukazující úspěchy, vylepšení a reakce vaší organizace za posledních šest měsíců/rok, se v lednu a červenci každého roku zobrazuje po omezenou dobu. Zjistěte, jak můžete sdílet nejzajímavější momenty z Defender Boxed.

  • Poslední aktualizace v