Microsoft Defender voor Eindpunt-waarschuwingen beheren

Van toepassing op:

Wilt u Defender voor Eindpunt ervaren? Meld u aan voor een gratis proefversie.

Defender voor Eindpunt waarschuwt u over mogelijke schadelijke gebeurtenissen, kenmerken en contextuele informatie via waarschuwingen. Er wordt een overzicht van nieuwe waarschuwingen weergegeven en u hebt toegang tot alle waarschuwingen in de wachtrij Waarschuwingen.

U kunt waarschuwingen beheren door een waarschuwing te selecteren in de wachtrij Waarschuwingen of het tabblad Waarschuwingen van de pagina Apparaat voor een afzonderlijk apparaat.

Als u op een van deze plaatsen een waarschuwing selecteert, wordt het deelvenster Waarschuwingsbeheer weergegeven.

Het deelvenster Waarschuwingsbeheer en de wachtrij Waarschuwingen

Bekijk deze video voor meer informatie over het gebruik van de nieuwe Microsoft Defender voor Eindpunt waarschuwingspagina.

U kunt een nieuw incident maken vanuit de waarschuwing of een koppeling naar een bestaand incident.

Waarschuwingen toewijzen

Als er nog geen waarschuwing is toegewezen, kunt u Toewijzen aan mij selecteren om de waarschuwing aan uzelf toe te wijzen.

Waarschuwingen onderdrukken

Er kunnen scenario's zijn waarin u moet voorkomen dat waarschuwingen worden weergegeven in Microsoft 365 Defender. Met Defender voor Eindpunt kunt u onderdrukkingsregels maken voor specifieke waarschuwingen die onschadelijk zijn, zoals bekende hulpprogramma's of processen in uw organisatie.

Onderdrukkingsregels kunnen worden gemaakt op basis van een bestaande waarschuwing. Ze kunnen indien nodig worden uitgeschakeld en opnieuw worden ingeschakeld.

Wanneer een onderdrukkingsregel wordt gemaakt, wordt deze van kracht vanaf het moment dat de regel wordt gemaakt. De regel heeft geen invloed op bestaande waarschuwingen die al in de wachtrij staan, voordat de regel wordt gemaakt. De regel wordt alleen toegepast op waarschuwingen die voldoen aan de voorwaarden die zijn ingesteld nadat de regel is gemaakt.

Er zijn twee contexten voor een onderdrukkingsregel waaruit u kunt kiezen:

  • Waarschuwing onderdrukken op dit apparaat
  • Waarschuwing onderdrukken in mijn organisatie

Met de context van de regel kunt u aanpassen wat in de portal wordt weergegeven en ervoor zorgen dat alleen echte beveiligingswaarschuwingen in de portal worden weergegeven.

U kunt de voorbeelden in de volgende tabel gebruiken om de context voor een onderdrukkingsregel te kiezen:

Context Definitie Voorbeeldscenario's
Waarschuwing onderdrukken op dit apparaat Waarschuwingen met dezelfde waarschuwingstitel en alleen op dat specifieke apparaat worden onderdrukt.

Alle andere waarschuwingen op dat apparaat worden niet onderdrukt.

  • Een beveiligingsonderzoeker onderzoekt een schadelijk script dat is gebruikt om andere apparaten in uw organisatie aan te vallen.
  • Ontwikkelaars maken regelmatig PowerShell-scripts voor hun team.
Waarschuwing onderdrukken in mijn organisatie Waarschuwingen met dezelfde waarschuwingstitel op elk apparaat worden onderdrukt.
  • Een goedaardig beheerprogramma wordt gebruikt door iedereen in uw organisatie.

Een waarschuwing onderdrukken en een nieuwe onderdrukkingsregel maken

Aangepaste regels maken om te bepalen wanneer waarschuwingen worden onderdrukt of opgelost. U kunt de context bepalen wanneer een waarschuwing wordt onderdrukt door de titel van de waarschuwing, indicator van inbreuk en de voorwaarden op te geven. Nadat u de context hebt opgegeven, kunt u de actie en het bereik van de waarschuwing configureren.

  1. Selecteer de waarschuwing die u wilt onderdrukken. Hiermee wordt het deelvenster Waarschuwingsbeheer weergegeven.

  2. Selecteer Een onderdrukkingsregel maken.

    U kunt een onderdrukkingsvoorwaarde maken met behulp van deze kenmerken. Er wordt een AND-operator toegepast tussen elke voorwaarde, zodat onderdrukking alleen plaatsvindt als aan alle voorwaarden wordt voldaan.

    • Bestand SHA1
    • Bestandsnaam - jokerteken ondersteund
    • Mappad - jokerteken ondersteund
    • IP-adres
    • URL - jokerteken ondersteund
    • Opdrachtregel - jokerteken ondersteund
  3. Selecteer de IOC activeren.

  4. Geef de actie en het bereik van de waarschuwing op.

    U kunt een waarschuwing automatisch oplossen of verbergen in de portal. Waarschuwingen die automatisch worden opgelost, worden weergegeven in de sectie Opgelost van de waarschuwingswachtrij, waarschuwingspagina en apparaattijdlijn en worden weergegeven als opgelost in Defender voor Eindpunt-API's.

    Waarschuwingen die als verborgen zijn gemarkeerd, worden onderdrukt vanuit het hele systeem, zowel op de gekoppelde waarschuwingen van het apparaat als vanuit het dashboard en worden niet gestreamd tussen Defender voor Eindpunt-API's.

  5. Voer een regelnaam en een opmerking in.

  6. Klik op Opslaan.

De lijst met onderdrukkingsregels weergeven

  1. Selecteer in het navigatiedeelvenster Instellingen>Eindpunten>Regels>Waarschuwingsonderdrukking.

  2. De lijst met onderdrukkingsregels bevat alle regels die gebruikers in uw organisatie hebben gemaakt.

Zie Onderdrukkingsregels beheren voor meer informatie over het beheren van onderdrukkingsregels.

De status van een waarschuwing wijzigen

U kunt waarschuwingen categoriseren (als Nieuw, Wordt uitgevoerd of Opgelost) door hun status te wijzigen naarmate uw onderzoek vordert. Hiermee kunt u organiseren en beheren hoe uw team kan reageren op waarschuwingen.

Een teamleider kan bijvoorbeeld alle nieuwe waarschuwingen bekijken en besluiten deze toe te wijzen aan de wachtrij In uitvoering voor verdere analyse.

De teamleider kan de waarschuwing ook toewijzen aan de wachtrij Opgelost als deze weet dat de waarschuwing goedaardig is, afkomstig is van een apparaat dat niet relevant is (zoals een apparaat van een beveiligingsbeheerder) of dat via een eerdere waarschuwing wordt afgehandeld.

Waarschuwingsclassificatie

U kunt ervoor kiezen om geen classificatie in te stellen of op te geven of een waarschuwing een echte of een valse waarschuwing is. Het is belangrijk om de classificatie waar-positief/fout-positief op te geven. Deze classificatie wordt gebruikt om de kwaliteit van waarschuwingen te bewaken en waarschuwingen nauwkeuriger te maken. Het veld 'bepaling' definieert aanvullende betrouwbaarheid voor een 'true positive' classificatie.

Opmerkingen toevoegen en de geschiedenis van een waarschuwing weergeven

U kunt opmerkingen toevoegen en historische gebeurtenissen over een waarschuwing bekijken om eerdere wijzigingen in de waarschuwing te bekijken.

Wanneer een wijziging of opmerking wordt aangebracht in een waarschuwing, wordt deze vastgelegd in de sectie Opmerkingen en geschiedenis .

Toegevoegde opmerkingen worden direct weergegeven in het deelvenster.