Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Selecteer in het navigatiedeelvenster Instellingen>Eindpuntindicatoren>(onderRegels).
Selecteer het tabblad voor het indicatortype dat u wilt beheren, zoals bestands-hashes, IP-adressen, URL's/domeinen of certificaten.
Werk de details van de indicator bij en selecteer Opslaan. Als u de indicator uit de lijst wilt verwijderen, selecteert u Verwijderen.
Een lijst met IOC's importeren
U kunt indicatoren uploaden vanuit een CSV-bestand dat indicatorkenmerken, acties en andere details definieert.
Download het voorbeeld-CSV-bestand voor indicatoren van de importpagina Indicatoren (onder Instellingen>Eindpunten>Indicatoren) om de ondersteunde kolomattributen te bekijken.
Selecteer in het navigatiedeelvenster Instellingen>Eindpuntindicatoren>(onderRegels).
Selecteer het tabblad van het entiteitstype waarvoor u indicatoren wilt importeren.
Selecteer Importeren>Bestand kiezen.
Selecteer Importeren. Herhaal dit voor alle bestanden die u wilt importeren.
Selecteer Gereed.
Opmerking
Voor elke batch kunnen slechts 500 indicatoren worden geüpload. Als u indicatoren probeert te importeren met specifieke categorieën, moet de tekenreeks worden geschreven in pascal-caseconventie en wordt alleen de categorielijst geaccepteerd die beschikbaar is in de Microsoft Defender-portal.
In de volgende tabel ziet u de ondersteunde parameters.
| Parameter | Type | Beschrijving |
|---|---|---|
| indicatorType | Enum | Type van de indicator. Mogelijke waarden zijn: FileSha1, FileSha256IpAddress, DomainName, en Url. Vereist |
| indicatorValue | Tekenreeks | Identiteit van de indicator-API-resourceentiteit . Vereist |
| actie | Enum | De actie die wordt uitgevoerd als de indicator wordt gedetecteerd in de organisatie. Mogelijke waarden zijn: Allowed, AuditBlockAndRemediate, Warn, en Block. Vereist |
| Titel | Tekenreeks | Titel van indicatorwaarschuwing. Vereist |
| beschrijving | Tekenreeks | Beschrijving van de indicator. Vereist |
| verlooptijd | DateTimeOffset | De verlooptijd van de indicator in de volgende indeling YYYY-MM-DDTHH:MM:SS.0Z. De indicator wordt verwijderd zodra de vervaltijd is verstreken, en alles wat op het vervaltijdstip gebeurt, gebeurt bij de secondenwaarde (SS). Optionele |
| ernstigheid | Enum | De ernst van de indicator. Mogelijke waarden zijn: Informational, Low, Mediumen High. Optionele |
| Aanbevolen acties | Tekenreeks | Aanbevolen acties voor TI-indicatorwaarschuwing. Optionele |
| rbacGroups | Tekenreeks | Door komma's gescheiden lijst met RBAC-groepen waarop de indicator zou worden toegepast. Optionele |
| Categorie | Tekenreeks | Categorie van de waarschuwing. Voorbeelden zijn: Uitvoering en toegang tot inloggegevens. Optionele |
| mitretechniques | Tekenreeks | MITRE-technieken code/id (door komma's gescheiden). Zie Enterprise-tactieken voor meer informatie. Optionele Het is raadzaam om een waarde in het categorieveld op te geven wanneer u een MITRE-techniek opgeeft in het veld mitretechniques. |
| Waarschuwing genereren | Tekenreeks | Of de waarschuwing moet worden gegenereerd. Mogelijke waarden zijn: True of False. Optionele |
Opmerking
De CIDR-notatie (Classless Inter-Domain Routing) voor IP-adressen wordt niet ondersteund. Zie De waarschuwingscategorieën van Microsoft Defender voor Eindpunt zijn nu afgestemd op MITRE ATT&CK! voor meer informatie.
Netwerkindicatoren bieden geen ondersteuning voor het actietype, BlockAndRemediate. Als een netwerkindicator is ingesteld op BlockAndRemediate, wordt deze niet geïmporteerd.
Bekijk deze video om te leren hoe Microsoft Defender voor Eindpunt meerdere manieren biedt om Indicatoren van inbreuk (IOC's) toe te voegen en te beheren.