Melihat peristiwa dan informasi kontrol perangkat di Microsoft Defender untuk Titik Akhir

Microsoft Defender untuk Titik Akhir kontrol perangkat membantu melindungi organisasi Anda dari potensi kehilangan data, malware, atau ancaman cyber lainnya dengan mengizinkan atau mencegah perangkat tertentu terhubung ke komputer pengguna. Tim keamanan Anda dapat melihat informasi tentang peristiwa kontrol perangkat dengan perburuan tingkat lanjut atau dengan menggunakan laporan kontrol perangkat.

Important

Microsoft menyarankan agar Anda menggunakan peran dengan izin terkecil. Ini membantu meningkatkan keamanan untuk organisasi Anda. Administrator Global adalah peran yang sangat istimewa yang harus dibatasi pada skenario darurat ketika Anda tidak dapat menggunakan peran yang ada.

Untuk mengakses portal Microsoft Defender, langganan Anda harus menyertakan Microsoft 365 untuk pelaporan E5.

Pilih setiap tab untuk mempelajari selengkapnya tentang perburuan tingkat lanjut dan laporan kontrol perangkat.

Perburuan tingkat lanjut

Perburuan tingkat lanjut

Ketika kebijakan kontrol perangkat dipicu, peristiwa terlihat dengan perburuan tingkat lanjut, terlepas dari apakah itu dimulai oleh sistem atau oleh pengguna yang masuk. Bagian ini mencakup beberapa contoh kueri yang dapat Anda gunakan dalam perburuan tingkat lanjut.

Contoh 1: Kebijakan penyimpanan yang dapat dilepas dipicu oleh pemberlakuan tingkat disk dan sistem file

Ketika tindakan RemovableStoragePolicyTriggered terjadi, informasi peristiwa tentang disk dan penegakan tingkat sistem file tersedia.

Tip

Saat ini, dalam perburuan tingkat lanjut, ada batas 300 peristiwa per perangkat per hari untuk RemovableStoragePolicyTriggered peristiwa. Gunakan laporan kontrol perangkat untuk melihat data tambahan.

//RemovableStoragePolicyTriggered: event triggered by Disk and file system level enforcement for both Printer and Removable storage based on your policy
DeviceEvents
| where ActionType == "RemovableStoragePolicyTriggered"
| extend parsed=parse_json(AdditionalFields)
| extend RemovableStorageAccess = tostring(parsed.RemovableStorageAccess)
| extend RemovableStoragePolicyVerdict = tostring(parsed.RemovableStoragePolicyVerdict)
| extend MediaBusType = tostring(parsed.BusType)
| extend MediaClassGuid = tostring(parsed.ClassGuid)
| extend MediaClassName = tostring(parsed.ClassName)
| extend MediaDeviceId = tostring(parsed.DeviceId)
| extend MediaInstanceId = tostring(parsed.DeviceInstanceId)
| extend MediaName = tostring(parsed.MediaName)
| extend RemovableStoragePolicy = tostring(parsed.RemovableStoragePolicy)
| extend MediaProductId = tostring(parsed.ProductId)
| extend MediaVendorId = tostring(parsed.VendorId)
| extend MediaSerialNumber = tostring(parsed.SerialNumber)
|project Timestamp, DeviceId, DeviceName, InitiatingProcessAccountName, ActionType, RemovableStorageAccess, RemovableStoragePolicyVerdict, MediaBusType, MediaClassGuid, MediaClassName, MediaDeviceId, MediaInstanceId, MediaName, RemovableStoragePolicy, MediaProductId, MediaVendorId, MediaSerialNumber, FolderPath, FileSize
| order by Timestamp desc

Laporan kontrol perangkat

Laporan kontrol perangkat

Berlaku untuk:

• Microsoft Defender untuk Titik Akhir Paket 1
• Microsoft Defender untuk Titik Akhir Paket 2
• Microsoft Defender untuk Bisnis

Dengan laporan kontrol perangkat, Anda dapat melihat peristiwa yang terkait dengan penggunaan media. Peristiwa tersebut meliputi:

• Peristiwa audit: Memperlihatkan jumlah peristiwa audit yang terjadi saat media eksternal tersambung.
• Peristiwa kebijakan: Menunjukkan jumlah peristiwa kebijakan yang terjadi saat kebijakan kontrol perangkat dipicu.

Note

Peristiwa audit untuk melacak penggunaan media diaktifkan secara default untuk perangkat yang di-onboarding ke Microsoft Defender untuk Titik Akhir.

Memahami peristiwa audit

Peristiwa audit meliputi:

• Pemasangan dan pelampiran drive USB: Mengaudit peristiwa yang dihasilkan saat drive USB dipasang atau dilepas.
• PnP: Plug and Play peristiwa audit dihasilkan ketika penyimpanan yang dapat dilepas, printer, atau media Bluetooth tersambung.
• Kontrol akses penyimpanan yang dapat dilepas: Peristiwa dihasilkan ketika kebijakan kontrol akses penyimpanan yang dapat dilepas dipicu. Ini dapat berupa Audit, Blokir, atau Izinkan.

Memantau keamanan kontrol perangkat

Kontrol perangkat di Defender untuk Titik Akhir memberdayakan administrator keamanan dengan alat yang memungkinkan mereka melacak keamanan kontrol perangkat organisasi mereka melalui laporan. Anda dapat menemukan laporan kontrol perangkat di portal Microsoft Defender (https://security.microsoft.com). BukaTitik Akhir>. Temukan Kartu kontrol perangkat , dan pilih tautan untuk membuka laporan.

Di dasbor Laporan , kartu Perlindungan perangkat menunjukkan jumlah peristiwa audit yang dihasilkan oleh jenis media, selama 180 hari terakhir. Di bawah Tampilkan detail, peristiwa mentah selama 30 hari terakhir dicantumkan.

Tombol Tampilkan detail memperlihatkan lebih banyak data penggunaan media di halaman Laporan kontrol perangkat .

Halaman ini menyediakan dasbor dengan jumlah peristiwa agregat per jenis dan daftar peristiwa dan memperlihatkan 500 peristiwa per halaman, tetapi jika Anda adalah administrator (seperti Administrator Keamanan), Anda dapat menggulir ke bawah untuk melihat lebih banyak peristiwa dan dapat memfilter rentang waktu, nama kelas media, dan ID perangkat.

Saat Anda memilih peristiwa, flyout Detail informasi acara terbuka untuk menampilkan informasi selengkapnya:

• Detail umum: Tanggal, Mode tindakan, kebijakan, dan Akses kejadian ini.
• Informasi media: Informasi media mencakup Nama media, Nama kelas, GUID Kelas, ID Perangkat, ID Vendor, Nomor seri, dan jenis Bus.
• Detail lokasi: Nama perangkat, Pengguna, dan ID perangkat MDATP.

Untuk melihat aktivitas real time untuk media ini di seluruh organisasi, pilih Buka Perburuan tingkat lanjut di bagian atas flyout. Ini termasuk kueri yang disematkan dan telah ditentukan sebelumnya.

Untuk melihat keamanan perangkat, pilih tombol Buka halaman perangkat di bagian bawah flyout. Tombol ini membuka halaman entitas perangkat.

Melaporkan penundaan

Mungkin ada penundaan hingga enam jam sejak koneksi media terjadi hingga waktu peristiwa tercermin dalam kartu atau dalam daftar domain.

Note

Saat Anda mengekspor data, seperti daftar peristiwa, dari laporan kontrol perangkat hingga Excel, hingga 500 peristiwa diekspor. Namun, jika organisasi Anda menggunakan Microsoft Sentinel, Anda dapat mengintegrasikan Defender untuk Titik Akhir dengan Sentinel sehingga semua insiden dan pemberitahuan dialirkan. Untuk informasi selengkapnya, lihat Menyambungkan data dari Microsoft Defender ke Microsoft Sentinel.

Baca juga

• Kontrol perangkat di Microsoft Defender untuk Titik Akhir
• Kontrol Perangkat untuk macOS