Tarkista korjaustoimet automatisoidun tutkimuksen jälkeen
Koskee seuraavia:
Korjaustoimet
Kun automatisoitu tutkimus suoritetaan, tuomio annetaan jokaiselle tutkitulle todisteelle. Tuomiot voivat olla haitallisia, epäilyttäviä tai uhkia ei löytynyt.
Riippuen
- uhan tyyppi,
- tulokseksi saatavasta tuomiosta ja
- miten organisaatiosi laiteryhmät on määritetty,
korjaustoimintoja voi suorittaa automaattisesti tai vain organisaatiosi suojaustoimintatiimin hyväksynnän jälkeen.
Huomautus
Laiteryhmän luontia tuetaan Defender for Endpoint -palvelupaketti 1:ssä ja palvelupakettissa 2.
Seuraavassa on muutamia esimerkkejä:
Esimerkki 1: Fabrikamin laiteryhmäksi on määritetty Täysi – korjaa uhat automaattisesti (suositeltu asetus). Tässä tapauksessa korjaustoimet suoritetaan automaattisesti artefakteille, joita pidetään haitallisina automaattisen tutkimuksen jälkeen (katso Valmiiden toimintojen tarkistaminen).
Esimerkki 2: Contoson laitteet sisältyvät laiteryhmään, joka on määritetty puolittain – edellytä hyväksyntää korjaukselle. Tässä tapauksessa Contoson suojaustoimintatiimin on tarkistettava ja hyväksyttävä kaikki korjaustoiminnot automatisoidun tutkimuksen jälkeen (katso Odottavien toimintojen tarkasteleminen).
Esimerkki 3: Tailspin Toysin laiteryhmäksi on määritetty Ei automaattista vastausta (ei suositella). Tässä tapauksessa automatisoituja tutkimuksia ei tehdä. Korjaustoimintoja ei toteuteta tai ne odottavat, eikä toimintoja kirjata toimintokeskukseen niiden laitteille (katso Laiteryhmien hallinta).
Automaattisesti tai hyväksynnän jälkeen suoritettu automaattinen tutkimus ja korjaus voivat johtaa yhteen tai useampaan korjaustoimintoon:
- Aseta tiedosto karanteeniin
- Rekisteriavaimen poistaminen
- Prosessin tappaminen
- Pysäytä palvelu
- Ohjaimen poistaminen käytöstä
- Poista ajoitettu tehtävä
Tarkastele odottavia toimintoja
Siirry Microsoft Defender portaaliin ja kirjaudu sisään.
Valitse siirtymisruudussa Toimintokeskus.
Tarkista Odottavat-välilehden kohteet.
Valitse toiminto avataksesi sen pikaikkunaruudun.
Tarkista tiedot pikaikkunaruudussa ja suorita sitten jokin seuraavista toimista:
- Valitse Avaa tutkinta -sivu , jos haluat tarkastella lisätietoja tutkinnasta.
- Aloita odottava toiminto valitsemalla Hyväksy .
- Valitse Hylkää , jos haluat estää odottavan toiminnon suorittamisen.
- Valitse Mene metsästämään siirtyäksesi kehittyneeseen metsästykseen.
Hyväksy tai hylkää korjaustoimintoja
Jos tapahtuman korjaustila on Odottaa hyväksyntää, voit myös hyväksyä tai hylätä korjaustoiminnon tapahtuman sisältä.
- Siirry siirtymisruudussa kohtaan Tapaukset & hälytykset>Tapaukset.
- Suodata Odottava-toiminto automaattisen tutkinnan tilaa varten (valinnainen).
- Avaa tapauksen yhteenvetosivu valitsemalla tapahtuman nimi.
- Valitse Todisteet ja vastaus -välilehti.
- Valitse kohde luettelosta avataksesi sen pikaikkunaruudun.
- Tarkista tiedot ja suorita sitten jokin seuraavista vaiheista:
- Valitse Hyväksy odottava toiminto -vaihtoehto odottavan toiminnon aloittamiseksi.
- Valitse Hylkää odottava toiminto -vaihtoehto, jos haluat estää odottavan toiminnon suorittamisen.
Valmiiden toimintojen tarkistaminen
Siirry Microsoft Defender portaaliin ja kirjaudu sisään.
Valitse siirtymisruudussa Toimintokeskus.
Tarkista Historia-välilehden kohteet.
Valitse kohde, jos haluat tarkastella lisätietoja korjaustoiminnosta.
Kumoa valmiit toiminnot
Jos olet todennut, että laite tai tiedosto ei ole uhka, voit kumota toteutetut korjaustoiminnot riippumatta siitä, onko nämä toimet suoritettu automaattisesti vai manuaalisesti. Toimintokeskuksen Historia-välilehdessä voit kumota minkä tahansa seuraavista toiminnoista:
| Toiminnon lähde | Tuetut toiminnot |
|---|---|
|
|
Huomautus
Defender for Endpoint Plan 1 ja Microsoft Defender for Business sisältävät vain seuraavat manuaaliset vastaustoiminnot:
- Suorita virustarkistus
- Eristä laite
- Pysäytä ja aseta tiedosto karanteeniin
- Lisää ilmaisin tiedoston estämiseksi tai sallimiseksi
Useiden toimintojen kumoaminen kerrallaan
Siirry toimintokeskukseen (https://security.microsoft.com/action-center) ja kirjaudu sisään.
Valitse Historia-välilehdestä toiminnot, jotka haluat kumota. Varmista, että valitset kohteet, joilla on sama toimintotyyppi. Näyttöön avautuu pikaikkunaruutu.
Valitse pikaikkunaruudussa Kumoa.
Tiedoston poistaminen karanteenista useiden laitteiden välillä
Siirry toimintokeskukseen (https://security.microsoft.com/action-center) ja kirjaudu sisään.
Valitse Historia-välilehdessä kohde, jonka toimintotyyppi on Karanteenitiedosto.
Valitse pikaikkunaruudussa Käytä X:ään lisää tämän tiedoston esiintymiä ja valitse sitten Kumoa.
Automaatiotasot, automatisoidut tutkimustulokset ja niistä johtuvat toiminnot
Automaatiotasot vaikuttavat siihen, suoritetaanko tietyt korjaustoiminnot automaattisesti vai vain hyväksynnän yhteydessä. Joskus tietoturvatiimilläsi on automaattisten tutkimusten tuloksista riippuen enemmän toimia. Seuraavassa taulukossa on yhteenveto automaatiotasoista, automatisoitujen tutkimusten tuloksista ja siitä, mitä kussakin tapauksessa tehdään.
| Laiteryhmän asetus | Automatisoidut tutkimustulokset | Mitä tehdä? |
|---|---|---|
|
Täysi - korjaa uhat automaattisesti (suositus) |
Malicious-tuomio on annettu todisteen saamiseksi. Asianmukaiset korjaustoiminnot suoritetaan automaattisesti. |
Valmiiden toimintojen tarkistaminen |
| Semi – edellytä hyväksyntää korjaukselle | Joko Malicious - tai Suspicious-tuomio on annettu todisteen saamiseksi. Korjaustoiminnot odottavat hyväksyntää jatkamiseksi. |
Hyväksy (tai hylkää) odottavia toimintoja |
| Semi – edellytä ydinkansioiden korjauksen hyväksyntää |
Malicious-tuomio on annettu todisteen saamiseksi. Jos artefakti on tiedosto tai suoritettava tiedosto ja se sijaitsee käyttöjärjestelmähakemistossa, kuten Windows-kansiossa tai Program-tiedostot-kansiossa, korjaustoiminnot odottavat hyväksyntää. Jos artefakti ei ole käyttöjärjestelmähakemistossa, korjaustoimet suoritetaan automaattisesti. |
|
| Semi – edellytä ydinkansioiden korjauksen hyväksyntää |
Epäilyttävästä on annettu tuomio todisteesta. Korjaustoiminnot odottavat hyväksyntää. |
Hyväksy (tai hylkää) odottavia toimintoja. |
| Semi – edellyttää hyväksyntää muille kuin väliaikaisille kansioiden korjauksille |
Malicious-tuomio on annettu todisteen saamiseksi. Jos artefakti on tiedosto tai suoritettava tiedosto, joka ei ole väliaikaisessa kansiossa, kuten käyttäjän Lataukset-kansiossa tai tilapäiskansiossa, korjaustoiminnot odottavat hyväksyntää. Jos artefakti on tilapäiskansiossa oleva tiedosto tai suoritettava tiedosto, korjaustoiminnot suoritetaan automaattisesti. |
|
| Semi – edellyttää hyväksyntää muille kuin väliaikaisille kansioiden korjauksille |
Epäilyttävästä on annettu tuomio todisteesta. Korjaustoiminnot odottavat hyväksyntää. |
Hyväksy (tai hylkää) odottavia toimintoja |
| Mikä tahansa täysi tai puoliautomaatiotaso | Todisteista ei löydy uhkauksia -tuomio on annettu. Korjaustoimintoja ei toteuteta, eikä mikään toiminto ole odottamassa hyväksyntää. |
Näytä automatisoitujen tutkimusten tiedot ja tulokset |
| Ei automaattista vastausta (ei suositella) | Automaattisia tutkimuksia ei suorita, joten tuomioita ei saada eikä korjaustoimia toteuteta tai ne odottavat hyväksyntää. | Harkitse laiteryhmien määrittämistä tai muuttamista täydet tai puolittaiset automaatiot käyttöön |
Kaikkia tuomioita seurataan toimintokeskuksessa.
Huomautus
Defender for Businessissa automaattiset tutkimus- ja korjaustoiminnot on määritetty valmiiksi käyttämään täysin korjaavia uhkia automaattisesti. Nämä ominaisuudet otetaan oletusarvoisesti käyttöön kaikissa laitteissa.
Seuraavat vaiheet
- Lue lisätietoja reaaliaikaisen vastauksen ominaisuuksista
- Uhkien ennakoiva metsästys kehittyneellä metsästyksellä
- Virheellisten positiivisten ja negatiivisten esiintymien korjaaminen Microsoft Defender for Endpointissa
Tutustu myös seuraaviin ohjeartikkeleihin:
Vihje
Haluatko tietää lisää? Engage Microsoft security -yhteisön kanssa teknologiayhteisössämme: Microsoft Defender for Endpoint Tech Community.