Wyświetlanie zdarzeń i informacji dotyczących sterowania urządzeniami w Ochrona punktu końcowego w usłudze Microsoft Defender

  • Artykuł

Ochrona punktu końcowego w usłudze Microsoft Defender kontrola urządzeń pomaga chronić organizację przed potencjalną utratą danych, złośliwym oprogramowaniem lub innymi zagrożeniami cybernetycznymi, zezwalając na połączenie niektórych urządzeń z komputerami użytkowników lub uniemożliwiając ich łączenie. Informacje o zdarzeniach sterowania urządzeniami można wyświetlić przy użyciu zaawansowanego wyszukiwania zagrożeń lub za pomocą raportu kontroli urządzenia.

Aby uzyskać dostęp do portalu Microsoft Defender, twoja subskrypcja musi obejmować usługę Microsoft 365 na potrzeby raportowania E5.

Wybierz każdą kartę, aby dowiedzieć się więcej na temat zaawansowanego wyszukiwania zagrożeń i raportu kontroli urządzenia.

Zaawansowane wyszukiwanie zagrożeń

Dotyczy:

Po wyzwoleniu zasad kontroli urządzenia zdarzenie jest widoczne z zaawansowanym wyszukiwaniem zagrożeń, niezależnie od tego, czy zostało zainicjowane przez system, czy przez użytkownika, który się zalogował. Ta sekcja zawiera kilka przykładowych zapytań, których można użyć w zaawansowanym wyszukiwaniu zagrożeń.

Przykład 1: Zasady magazynu wymiennego wyzwalane przez wymuszanie na poziomie dysku i systemu plików

W przypadku wykonania RemovableStoragePolicyTriggered akcji są dostępne informacje o zdarzeniu dotyczące wymuszania na poziomie dysku i systemu plików.

Porada

Obecnie w przypadku zaawansowanego wyszukiwania zagrożeń istnieje limit 300 zdarzeń na urządzenie dziennie dla RemovableStoragePolicyTriggered zdarzeń. Użyj raportu kontroli urządzenia, aby wyświetlić dodatkowe dane.


//RemovableStoragePolicyTriggered: event triggered by Disk and file system level enforcement for both Printer and Removable storage based on your policy
DeviceEvents
| where ActionType == "RemovableStoragePolicyTriggered"
| extend parsed=parse_json(AdditionalFields)
| extend RemovableStorageAccess = tostring(parsed.RemovableStorageAccess)
| extend RemovableStoragePolicyVerdict = tostring(parsed.RemovableStoragePolicyVerdict)
| extend MediaBusType = tostring(parsed.BusType)
| extend MediaClassGuid = tostring(parsed.ClassGuid)
| extend MediaClassName = tostring(parsed.ClassName)
| extend MediaDeviceId = tostring(parsed.DeviceId)
| extend MediaInstanceId = tostring(parsed.DeviceInstanceId)
| extend MediaName = tostring(parsed.MediaName)
| extend RemovableStoragePolicy = tostring(parsed.RemovableStoragePolicy)
| extend MediaProductId = tostring(parsed.ProductId)
| extend MediaVendorId = tostring(parsed.VendorId)
| extend MediaSerialNumber = tostring(parsed.SerialNumber)
|project Timestamp, DeviceId, DeviceName, InitiatingProcessAccountName, ActionType, RemovableStorageAccess, RemovableStoragePolicyVerdict, MediaBusType, MediaClassGuid, MediaClassName, MediaDeviceId, MediaInstanceId, MediaName, RemovableStoragePolicy, MediaProductId, MediaVendorId, MediaSerialNumber, FolderPath, FileSize
| order by Timestamp desc

Przykład 2: Zdarzenie pliku magazynu wymiennego

W przypadku wystąpienia akcji RemovableStorageFileEvent informacje o pliku dowodowym są dostępne zarówno dla ochrony drukarki, jak i magazynu wymiennego. Oto przykładowe zapytanie, którego można użyć z zaawansowanym wyszukiwaniem zagrożeń:


//information of the evidence file
DeviceEvents
| where ActionType contains "RemovableStorageFileEvent"
| extend parsed=parse_json(AdditionalFields)
| extend Policy = tostring(parsed.Policy)
| extend PolicyRuleId = tostring(parsed.PolicyRuleId)
| extend MediaClassName = tostring(parsed.ClassName)
| extend MediaInstanceId = tostring(parsed.InstanceId)
| extend MediaName = tostring(parsed.MediaName)
| extend MediaProductId = tostring(parsed.ProductId)
| extend MediaVendorId = tostring(parsed.VendorId)
| extend MediaSerialNumber = tostring(parsed.SerialNumber)
| extend FileInformationOperation = tostring(parsed.DuplicatedOperation)
| extend FileEvidenceLocation = tostring(parsed.TargetFileLocation)
| project Timestamp, DeviceId, DeviceName, InitiatingProcessAccountName, ActionType, Policy, PolicyRuleId, FileInformationOperation, MediaClassName, MediaInstanceId, MediaName, MediaProductId, MediaVendorId, MediaSerialNumber, FileName, FolderPath, FileSize, FileEvidenceLocation, AdditionalFields
| order by Timestamp desc

Porada

Chcesz dowiedzieć się więcej? Engage ze społecznością microsoft security w naszej społeczności technicznej: Ochrona punktu końcowego w usłudze Microsoft Defender Tech Community.

Zobacz też