Wykonaj akcje odpowiedzi na urządzeniu

Ważna

Niektóre informacje zawarte w tym artykule odnoszą się do wersji wstępnej produktu, który może zostać znacznie zmodyfikowany do czasu wydania wersji komercyjnej. Firma Microsoft nie udziela żadnych gwarancji, wyrażonych ani dorozumianych, w odniesieniu do informacji podanych tutaj.

Szybko reaguj na wykryte ataki, izolując urządzenia lub zbierając pakiet dochodzeniowy. Po wykonaniu akcji na urządzeniach możesz sprawdzić szczegóły działania w Centrum akcji.

Akcje odpowiedzi są uruchamiane w górnej części określonej strony urządzenia i obejmują:

• Zarządzaj tagami
• Inicjowanie zautomatyzowanego badania
• Inicjowanie sesji odpowiedzi na żywo
• Zbieraj pakiet badań
• Uruchomiono skanowanie antywirusowe
• Ogranicz wykonanie aplikacji
• Izolowanie urządzenia
• Zawiera urządzenie
• Konsultuj się z ekspertem ds. zagrożeń
• Centrum akcji

Uwaga

Usługa Defender for Endpoint Plan 1 obejmuje tylko następujące ręczne akcje reagowania:

• Uruchomiono skanowanie antywirusowe
• Izolowanie urządzenia
• Zatrzymaj plik i poddaj go kwarantannie
• Dodawanie wskaźnika w celu zablokowania lub zezwolenia na plik

Microsoft Defender dla Firm obecnie nie zawiera akcji "Zatrzymaj i poddaj kwarantannie plik".

Twoja subskrypcja musi zawierać usługę Defender for Endpoint Plan 2, aby wszystkie akcje odpowiedzi zostały opisane w tym artykule.

Strony urządzeń można znaleźć w dowolnym z następujących widoków:

• Kolejka alertów: wybierz nazwę urządzenia obok ikony urządzenia z kolejki alertów.
• Lista urządzeń: wybierz nagłówek nazwy urządzenia z listy urządzeń.
• Pole wyszukiwania: wybierz pozycję Urządzenie z menu rozwijanego i wprowadź nazwę urządzenia.

Ważna

Aby uzyskać informacje na temat dostępności i obsługi każdej akcji odpowiedzi, zobacz obsługiwane minimalne wymagania dotyczące systemu operacyjnego wymienione w temacie Minimalne wymagania dotyczące Ochrona punktu końcowego w usłudze Microsoft Defender.

Niektóre akcje reagowania o dużym wpływie mogą być ograniczone do zasobów o wysokiej wartości, aby zapobiec potencjalnym zakłóceniom biznesowym. Aby uzyskać więcej informacji, zobacz temat Ograniczanie akcji reagowania dla zasobów o wysokiej wartości.

Zarządzaj tagami

Dodaj tagi lub zarządzaj nimi, aby utworzyć przynależność do grupy logicznej. Tagi urządzeń obsługują prawidłowe mapowanie sieci, pozwalając na dołączanie różnych tagów w celu przechwycenia kontekstu i umożliwienia dynamicznego tworzenia listy w ramach zdarzenia.

Aby uzyskać więcej informacji na temat tagowania urządzeń, zobacz Tworzenie tagów urządzeń i zarządzanie nimi.

Inicjowanie zautomatyzowanego badania

W razie potrzeby możesz rozpocząć nowe automatyczne badanie na urządzeniu. Podczas wykonywania badania każdy inny alert z urządzenia jest dodawany do tego badania do momentu jego ukończenia. Jeśli to samo zagrożenie pojawi się na innych urządzeniach, te urządzenia również zostaną dodane.

Aby uzyskać więcej informacji na temat zautomatyzowanych badań, zobacz Omówienie zautomatyzowanych dochodzeń.

Inicjowanie sesji odpowiedzi na żywo

Reakcja na żywo zapewnia natychmiastowy dostęp do urządzenia za pośrednictwem połączenia ze zdalną powłoką. Odpowiedź na żywo umożliwia wykonywanie głębokiej pracy śledczej i szybkie podejmowanie działań w celu powstrzymania zagrożeń w czasie rzeczywistym.

Odpowiedź na żywo pomaga zbierać dane śledcze, uruchamiać skrypty, wysyłać podejrzane jednostki do analizy, naprawiać zagrożenia i polować na pojawiające się zagrożenia.

Aby uzyskać więcej informacji na temat reakcji na żywo, zobacz Badanie obiektów na urządzeniach za pomocą reakcji na żywo.

Uwaga

Reakcja na żywo może być ograniczona na urządzeniach wdrożonych jako zasoby o wysokiej wartości, na podstawie akcji selektywnej reakcji zdefiniowanych podczas wdrażania urządzenia. Jeśli odpowiedź na żywo nie jest dostępna dla urządzenia, zapoznaj się z konfiguracją selektywnych akcji odpowiedzi urządzenia.

Zbierz pakiet dochodzeniowy z urządzeń

W ramach procesu dochodzenia lub reagowania można pobrać z urządzenia pakiet dochodzeniowy. Zbierając pakiet badania, możesz zidentyfikować bieżący stan urządzenia i dokładniej zrozumieć narzędzia i techniki używane przez osobę atakującą.

Aby pobrać pakiet (folder spakowany) i zbadać zdarzenia, które wystąpiły na urządzeniu, wykonaj następujące kroki:

1. Wybierz pozycję Zbierz pakiet dochodzeniowy z wiersza akcji odpowiedzi u góry strony urządzenia.

2. W polu tekstowym określ, dlaczego chcesz wykonać tę akcję. Wybierz pozycję Potwierdź.

3. Plik zip jest pobierany.

Możesz też użyć tej alternatywnej procedury:

1. Wybierz pozycję Zbierz pakiet dochodzeniowy w sekcji akcji odpowiedzi na stronie urządzenia.

   

2. Dodaj komentarze, a następnie wybierz pozycję Potwierdź.

   

3. Wybierz pozycję Centrum akcji w sekcji Akcje odpowiedzi na stronie urządzenia.

   

4. Wybierz opcję Dostępny pakiet kolekcji pakietów, aby pobrać pakiet kolekcji.

   

   Uwaga

   Pobieranie pakietu dochodzeniowego może zakończyć się niepowodzeniem, jeśli urządzenie docelowe ma niski poziom naładowania baterii lub korzysta z połączenia taryfowego.

Badanie zawartości pakietu dla urządzeń z systemem Windows

W przypadku urządzeń z systemem Windows pakiet zawiera foldery opisane w poniższej tabeli:

Folder	Opis
Autoruns	Zawiera zestaw plików, z których każdy reprezentuje zawartość rejestru znanego punktu wejścia automatycznego (ASEP), aby ułatwić identyfikację trwałości osoby atakującej na urządzeniu. Jeśli klucz rejestru nie zostanie znaleziony, plik zawiera następujący komunikat: "BŁĄD: System nie może odnaleźć określonego klucza lub wartości rejestru".
Zainstalowane programy	Ten plik .CSV zawiera listę zainstalowanych programów, które mogą pomóc w określeniu, co jest obecnie zainstalowane na urządzeniu. Aby uzyskać więcej informacji, zobacz klasa Win32_Product.
Połączenia sieciowe	Ten folder zawiera zestaw punktów danych związanych z informacjami o łączności, które mogą pomóc w identyfikowaniu łączności z podejrzanymi adresami URL, infrastruktury poleceń i kontroli osoby atakującej (C&C), wszelkich ruchów bocznych lub połączeń zdalnych. - ActiveNetConnections.txt: wyświetla statystyki protokołu i bieżące połączenia sieciowe TCP/IP. Umożliwia wyszukiwanie podejrzanych połączeń wykonanych przez proces. - Arp.txt: wyświetla bieżące tabele pamięci podręcznej protokołu rozpoznawania adresów (ARP) dla wszystkich interfejsów. Pamięć podręczna ARP może ujawnić inne hosty w sieci, które zostały naruszone lub podejrzane systemy w sieci, które mogą być używane do przeprowadzania ataku wewnętrznego. - DnsCache.txt: wyświetla zawartość pamięci podręcznej programu rozpoznawania nazw klienta DNS, która zawiera zarówno wpisy wstępnie załadowane z lokalnego pliku hostów, jak i wszelkie ostatnio uzyskane rekordy zasobów dla zapytań nazw rozpoznawanych przez komputer. Przeglądanie pamięci podręcznej DNS może pomóc zidentyfikować podejrzane połączenia. - IpConfig.txt: wyświetla pełną konfigurację protokołu TCP/IP dla wszystkich adapterów. Adaptery mogą reprezentować interfejsy fizyczne, takie jak zainstalowane karty sieciowe, lub interfejsy logiczne, na przykład połączenia modemowe. - FirewallExecutionLog.txt i pfirewall.log Plik pfirewall.log musi istnieć w pliku %windir%\system32\logfiles\firewall\pfirewall.log. Jest on uwzględniony w pakiecie badania. Aby uzyskać więcej informacji na temat tworzenia pliku dziennika zapory, zobacz Konfigurowanie zapory systemu Windows za pomocą zaawansowanego dziennika zabezpieczeń.
Pliki pobierane z wyprzedzeniem	Pliki prefetch systemu Windows zostały zaprojektowane w celu przyspieszenia procesu uruchamiania aplikacji. Może służyć do śledzenia wszystkich plików ostatnio używanych w systemie i znajdowania śladów dla aplikacji, które mogą zostać usunięte, ale nadal można je znaleźć na wstępnej liście plików. - Prefetch folder: zawiera kopię plików prefetch z %SystemRoot%\Prefetch. Zalecamy pobranie przeglądarki plików Prefetch do przeglądania plików Prefetch. - PrefetchFilesList.txt: zawiera listę wszystkich skopiowanych plików, której można użyć do śledzenia, czy wystąpiły jakiekolwiek błędy kopiowania do folderu prefetch.
Procesy	Zawiera plik .CSV zawierający listę procesów aktualnie uruchomionych na urządzeniu. Ta lista procesów może być przydatna podczas identyfikowania podejrzanego procesu i jego stanu.
Zaplanowane zadania	Zawiera plik .CSV zawierający listę zaplanowanych zadań, które mogą służyć do identyfikowania procedur wykonywanych automatycznie na wybranym urządzeniu w celu wyszukiwania podejrzanego kodu, który został skonfigurowany do automatycznego uruchamiania.
Dziennik zdarzeń zabezpieczeń	Zawiera dziennik zdarzeń zabezpieczeń, który zawiera rekordy aktywności logowania lub wylogowywania lub inne zdarzenia związane z zabezpieczeniami określone przez zasady inspekcji systemu. Otwórz plik dziennika zdarzeń przy użyciu przeglądarki zdarzeń.
Usługi	Zawiera plik .CSV, który zawiera listę usług i ich stanów.
sesje SMB systemu Windows Server	Wyświetla udostępniony dostęp do plików, drukarek i portów szeregowych oraz różne komunikacje między węzłami w sieci. Analiza danych z sesji SMB może pomóc w wykryciu eksfiltracji danych lub ruchu bocznego. Zawiera pliki dla SMBInboundSessions i SMBOutboundSession. Jeśli nie ma żadnych sesji (przychodzących lub wychodzących), otrzymasz plik tekstowy informujący o tym, że nie znaleziono żadnych sesji SMB.
Informacje o systemie	SystemInformation.txt Zawiera plik zawierający informacje systemowe, takie jak wersja systemu operacyjnego i karty sieciowe.
Katalogi tymczasowe	Zawiera zestaw plików tekstowych, który dla każdego użytkownika w systemie zawiera listę plików znajdujących się w %Temp%. Może to pomóc w śledzeniu podejrzanych plików, które osoba atakująca mogła porzucić w systemie. Jeśli plik zawiera następujący komunikat: "System nie może odnaleźć określonej ścieżki", oznacza to, że nie ma katalogu tymczasowego dla tego użytkownika i może to być spowodowane tym, że użytkownik nie zalogował się do systemu.
Użytkownicy i grupy	Zawiera listę plików, z których każdy reprezentuje grupę i jej członków.
WdSupportLogs	Zawiera elementy MpCmdRunLog.txt i MPSupportFiles.cab. Ten folder jest tworzony tylko w Windows 10 w wersji 1709 lub nowszej z zainstalowanym pakietem zbiorczym aktualizacji z lutego 2020 r. lub nowszymi wersjami: - Win10 1709 (RS3) Kompilacja 16299.1717: KB4537816 - Win10 1803 (RS4) Kompilacja 17134.1345: KB4537795 - Win10 1809 (RS5) Kompilacja 17763.1075: KB4537818 - Win10 1903/1909 (19h1/19h2) Kompilacje 18362.693 i 18363.693: KB4535996
CollectionSummaryReport.xls	Plik CollectionSummaryReport.xls jest podsumowaniem kolekcji pakietów badania. Zawiera listę punktów danych, polecenie używane do wyodrębniania danych, stanu wykonywania i kodu błędu, jeśli wystąpi błąd. Ten raport służy do śledzenia, czy pakiet zawiera wszystkie oczekiwane dane i określenia, czy wystąpiły błędy.

Badanie zawartości pakietu dla komputerów Mac i urządzeń Linux

W poniższej tabeli wymieniono zawartość pakietów kolekcji dla komputerów Mac i urządzeń Linux:

Obiektu	macOS	Linux
Aplikacje	Lista wszystkich zainstalowanych aplikacji	Nie dotyczy
Wolumin dysku	- Ilość wolnego miejsca — Lista wszystkich zainstalowanych woluminów dysków — Lista wszystkich partycji	- Ilość wolnego miejsca — Lista wszystkich zainstalowanych woluminów dysków — Lista wszystkich partycji
Plik	Lista wszystkich otwartych plików z odpowiednimi procesami korzystającymi z tych plików	Lista wszystkich otwartych plików z odpowiednimi procesami korzystającymi z tych plików
Historia	Historia powłoki	Nie dotyczy
Moduły jądra	Wszystkie załadowane moduły	Nie dotyczy
Połączenia sieciowe	— Aktywne połączenia — Aktywne połączenia nasłuchiwania — Tabela ARP — Reguły zapory - Konfiguracja interfejsu - Ustawienia serwera proxy - Ustawienia sieci VPN	— Aktywne połączenia — Aktywne połączenia nasłuchiwania — Tabela ARP — Reguły zapory - Lista adresów IP - Ustawienia serwera proxy
Procesy	Lista wszystkich uruchomionych procesów	Lista wszystkich uruchomionych procesów
Usługi i zaplanowane zadania	-Certyfikaty - Profile konfiguracji — Informacje o sprzęcie	- Szczegóły CPU — Informacje o sprzęcie - Informacje o systemie operacyjnym
Informacje o zabezpieczeniach systemu	- Informacje o integralności rozszerzonego interfejsu oprogramowania układowego (EFI) - Stan zapory - Informacje o narzędziu do usuwania złośliwego oprogramowania (MRT) - Stan ochrony integralności systemu (SIP)	Nie dotyczy
Użytkownicy i grupy	— Historia logowania - Sudoers	— Historia logowania - sudoers

Uruchamianie skanowania programu antywirusowego Microsoft Defender na urządzeniach

W ramach procesu badania lub reagowania można zdalnie zainicjować skanowanie antywirusowe, aby ułatwić identyfikowanie i korygowanie złośliwego oprogramowania, które może znajdować się na urządzeniu, których zabezpieczenia zostały naruszone.

Ważna

• Akcja skanowania zdalnego programu antywirusowego jest obsługiwana w systemach macOS i Linux dla klienta w wersji 101.98.84 lub nowszej. Możesz również użyć funkcji Live Response, aby wykonać działanie. Aby uzyskać więcej informacji na temat reakcji na żywo, zobacz Badanie elementów na urządzeniach za pomocą reakcji na żywo
• Skanowanie programu antywirusowego Microsoft Defender może być uruchamiane wraz z innymi rozwiązaniami antywirusowymi, niezależnie od tego, czy program antywirusowy Microsoft Defender jest aktywnym rozwiązaniem antywirusowym. Antywirus Microsoft Defender może działać w trybie pasywnym. Więcej informacji można znaleźć w artykule zgodność programu antywirusowego Microsoft Defender.

Po wybraniu opcji Uruchom skanowanie antywirusowe wybierz typ skanowania, który chcesz uruchomić (szybki lub pełny) i dodaj komentarz przed potwierdzeniem skanowania.

Centrum akcji zawiera szczegóły skanowania antywirusowego. Oś czasu urządzenia zawiera nowe zdarzenie, które pokazuje akcję skanowania przesłaną na urządzeniu. Microsoft Defender Alerty antywirusowe pokazują wszelkie zagrożenia znalezione podczas skanowania.

Uwaga

Podczas uruchamiania skanowania za pomocą akcji odpowiedzi w usłudze Defender for Endpoint ma zastosowanie wartość ScanAvgCPULoadFactor programu Microsoft Defender Antivirus, która ogranicza wpływ skanowania na użycie procesora CPU. Jeśli ScanAvgCPULoadFactor nie skonfigurowano, wartość domyślna to limit maksymalnego obciążenia procesora CPU na poziomie 50% podczas skanowania. Aby uzyskać więcej informacji, zobacz Konfigurowanie zaawansowanych typów skanowania dla programu antywirusowego Microsoft Defender.

Ogranicz wykonanie aplikacji

Oprócz powstrzymania ataku przez zatrzymanie złośliwych procesów można również zablokować urządzenie i zapobiec kolejnym próbom uruchomienia potencjalnie złośliwych programów.

Ważna

• Ograniczanie wykonywania aplikacji jest dostępne dla urządzeń w Windows 10, w wersji 1709 lub nowszej, Windows 11 i Windows Server 2019 lub nowszej.
• Ograniczanie wykonywania aplikacji jest dostępne, jeśli organizacja korzysta z programu antywirusowego Microsoft Defender.
• Ograniczenie wykonywania aplikacji wymaga spełnienia wymagań dotyczących zasad integralności kodu kontroli aplikacji Windows Defender i wymagań dotyczących podpisywania. Aby uzyskać więcej informacji, zobacz Formaty zasad integralności kodu i podpisywanie.

Aby ograniczyć uruchamianie aplikacji, stosowane są zasady integralności kodu. Te zasady umożliwiają uruchamianie plików tylko wtedy, gdy są podpisane przez certyfikat wystawiony przez Microsoft. Zezwalanie wyłącznie na pliki podpisane przez firmę Microsoft pomaga powstrzymać atakujących przed przejęciem kontroli nad przejętymi urządzeniami.

Uwaga

Możesz w dowolnym momencie cofnąć ograniczenie uruchamiania aplikacji. Przycisk na stronie urządzenia zmieni się na wartość Usuń ograniczenia aplikacji, a następnie wybierz pozycję Usuń ograniczenia aplikacji, wpisz komentarz i wybierz pozycję Potwierdź.

Po wybraniu pozycji Ogranicz wykonywanie aplikacji na stronie urządzenia wpisz komentarz i wybierz pozycję Potwierdź. Centrum akcji zawiera szczegóły ograniczeń aplikacji, a oś czasu urządzenia zawiera nowe zdarzenie.

Powiadomienie użytkownika urządzenia dotyczące ograniczeń aplikacji

Gdy aplikacja jest ograniczona, zostanie wyświetlone następujące powiadomienie informujące użytkownika, że aplikacja jest ograniczona do uruchamiania:

Uwaga

Powiadomienie nie jest dostępne w Windows Server 2016 i Windows Server 2012 R2.

Izoluj urządzenia z sieci

W zależności od ważności ataku i poufności urządzenia możesz chcieć odizolować urządzenie od sieci. Izolacja urządzenia może pomóc uniemożliwić atakującemu kontrolowanie naruszonego urządzenia i wykonywanie dalszych działań, takich jak eksfiltracja danych i przenoszenie boczne.

Ważne kwestie, o które należy pamiętać:

• W środowiskach korzystających z internetowych serwerów proxy (w tym z automatycznej konfiguracji serwera proxy (PAC), WPAD lub statycznej/bezpośredniej konfiguracji serwera proxy) urządzenia mogą nie być w stanie odzyskać łączności po odizolowaniu od sieci. W takich przypadkach należy używać selektywnej izolacji. W przypadku korzystania z izolacji selektywnej ustawienia wykluczeń nie są wymagane, aby uniknąć tego scenariusza.

• Izolowanie urządzeń z sieci jest obsługiwane w systemie macOS dla klienta w wersji 101.98.84 lub nowszej. Możesz również użyć funkcji Live Response, aby wykonać działanie. Aby uzyskać więcej informacji na temat reakcji na żywo, zobacz Badanie elementów na urządzeniach za pomocą reakcji na żywo

• Pełna izolacja jest dostępna dla urządzeń z systemem Windows 11, Windows 10 w wersji 1703 lub nowszej, Windows Server 2012 R2 i nowszych oraz Azure Stack HCI OS w wersji 23H2 lub nowszej.

• Izolowanie urządzeń w sieci jest obsługiwane, gdy Defender działa w trybie pasywnym we wszystkich obsługiwanych systemach operacyjnych Windows oraz w obsługiwanych wersjach macOS i Linuksa.

• Z funkcji izolacji urządzenia można korzystać we wszystkich obsługiwanych wersjach Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux wymienionych w sekcji Wymagania systemowe. Upewnij się, że są włączone następujące wymagania wstępne:

  • iptables
  • ip6tables
  • Jądro Linux z CONFIG_NETFILTER, CONFIG_IP_NF_IPTABLES i CONFIG_IP_NF_MATCH_OWNER dla wersji jądra niższych niż 5.x oraz CONFIG_NETFILTER_XT_MATCH_OWNER od jądra 5.x.

• Selektywna izolacja jest dostępna dla urządzeń z systemem Windows 11, Windows 10 wersji 1703 lub nowszej, Windows Server 2012 R2 i nowszych, Azure Stack HCI OS, wersja 23H2 i nowsze oraz macOS. Aby uzyskać więcej informacji na temat izolacji selektywnej, zobacz Wykluczenia izolacji.

• Podczas izolowania urządzenia dozwolone są tylko niektóre procesy i miejsca docelowe. W związku z tym urządzenia znajdujące się za pełnym tunelem VPN nie będą mogły połączyć się z usługą chmurową Ochrona punktu końcowego w usłudze Microsoft Defender po odizolowaniu urządzenia. Zalecamy używanie sieci VPN z dzielonym tunelowaniem dla ruchu związanego z ochroną opartą na chmurze w usługach Ochrona punktu końcowego w usłudze Microsoft Defender i Microsoft Defender Antivirus.

• Funkcja obsługuje połączenie sieci VPN.

• Musisz mieć przypisaną co najmniej rolę Active remediation actions. Aby uzyskać więcej informacji, zobacz Tworzenie ról i zarządzanie nimi.

• Musisz mieć dostęp do urządzenia na podstawie ustawień grupy urządzeń. Aby uzyskać więcej informacji, zobacz Tworzenie grup urządzeń i zarządzanie nimi.

• Wykluczenia, takie jak poczta e-mail, aplikacje do obsługi wiadomości i inne aplikacje, nie są obsługiwane w izolacji w systemach macOS i Linux.

• Izolowane urządzenie jest usuwane z izolacji, gdy administrator modyfikuje lub dodaje nową iptable regułę do izolowanego urządzenia.

• Izolowanie serwera działającego na Microsoft Hyper-V blokuje ruch sieciowy do wszystkich podrzędnych maszyn wirtualnych serwera.

• Izolacja urządzenia zostanie automatycznie zniesiona po siedmiu dniach.

Funkcja izolacji urządzenia odłącza urządzenie, którego zabezpieczenia zostały naruszone, od sieci przy zachowaniu łączności z usługą Defender for Endpoint, która nadal monitoruje urządzenie. W Windows 10 w wersji 1709 lub nowszej można użyć izolacji selektywnej, aby uzyskać większą kontrolę nad poziomem izolacji sieci. Możesz również włączyć łączność z programami Outlook i Microsoft Teams.

Uwaga

Urządzenie można ponownie połączyć z siecią w dowolnym momencie. Przycisk na stronie urządzenia zmieni się na Release from isolation (Zwolnij z izolacji). Na tym etapie można wykonać te same kroki, co izolowanie urządzenia.

Jeśli urządzenie jest nieaktywne lub offline, gdy zostanie przesłana akcja izolacji, Ochrona punktu końcowego w usłudze Microsoft Defender ponawia próby wymuszenia izolacji przez okres do trzech dni. Jeśli urządzenie nie połączy się ponownie w tym czasie, izolacja nie zostanie ponowiona, a administratorzy powinni ponownie przeprowadzić akcję izolacji po uaktywnieniu urządzenia.

Po wybraniu pozycji Wyizoluj urządzenie na stronie urządzenia wpisz komentarz i wybierz pozycję Potwierdź. Centrum akcji zawiera informacje o skanowaniu, a oś czasu urządzenia zawiera nowe zdarzenie.

Uwaga

Powiadomienie nie jest dostępne na platformach innych niż Windows.

Izolowanie urządzenia — automatyczne zakłócenie ataku (wersja zapoznawcza)

Gdy urządzenie w organizacji może zostać naruszone, Ochrona punktu końcowego w usłudze Microsoft Defender może automatycznie go odizolować w ramach automatycznych zakłóceń w ataku. Automatyczna izolacja pomaga zmniejszyć dalszy wpływ na organizację i ograniczyć ruch poprzeczny osoby atakującej. Pomaga również zapobiegać eksfiltracji danych i rozprzestrzenianiu oprogramowania wymuszającego okup. Gdy urządzenie jest automatycznie izolowane:

• Naruszone urządzenie jest odłączone od sieci, co zmniejsza ryzyko dalszego wpływu na organizację.
• Urządzenie zachowuje łączność z usługą Ochrona punktu końcowego w usłudze Microsoft Defender, która nadal monitoruje urządzenie.

Uwaga

Automatyczna izolacja urządzenia działa tylko na stacjach roboczych użytkownika końcowego, które zostały wdrożone i są zarządzane przez Ochrona punktu końcowego w usłudze Microsoft Defender.

Aby ręcznie wyizolować urządzenie, zobacz Izolowanie urządzeń od sieci.

Wyświetlanie automatycznych akcji izolacji urządzeń

Po zastosowaniu automatycznej izolacji możesz przejrzeć akcję i jej stan w portalu usługi Defender:

• Otwórz odpowiednie zdarzenie i przejrzyj kartę Działania .

  

• Otwórz stronę urządzenia, którego dotyczy problem, i potwierdź stan izolacji urządzenia.

• Otwórz centrum akcji , aby przejrzeć historię akcji i bieżący stan.

  

Zabezpieczenia i wpływ na działalność biznesową

Przed wdrożeniem automatycznej izolacji urządzeń lub reagowaniem na nią należy wziąć pod uwagę następujące kwestie:

• Działanie o ograniczonym zakresie: Izolacja dotyczy konkretnych urządzeń zaangażowanych w incydent, zamiast obejmować całe środowisko.
• Izolacja ograniczona czasowo: izolacja jest automatycznie cofana po zdefiniowanym okresie. Izolację można również zakończyć wcześniej po ukończeniu dochodzenia i działań naprawczych.
• Kontrola klienta: Operatorzy zabezpieczeń mogą przeglądać kontekst zdarzenia i podejmować kolejne działania, w tym zwalniać izolację, gdy jest to bezpieczne.

Wykluczenia izolacji i wykluczenia automatycznego przerywania ataków

Istnieją dwa typy wykluczeń związanych z automatyczną izolacją urządzeń:

• Selektywne wykluczenia izolacji: zdefiniuj, które procesy i miejsca docelowe sieci pozostają dostępne na izolowanym urządzeniu. Umożliwiają one zachowanie komunikacji krytycznej (na przykład narzędzi do zarządzania lub aplikacji biznesowych), gdy urządzenie jest izolowane. Wykluczenia izolacji selektywnej są dostępne dla urządzeń działających w Windows 11, Windows 10 w wersji 1703 lub nowszej, Windows Server 2012 R2 i nowszych, Azure Stack HCI OS, w wersji 23H2 lub nowszej oraz macOS.
• Automatyczne wykluczenia zakłóceń ataku: zdefiniuj, które urządzenia lub jednostki są całkowicie wykluczone z automatycznych akcji zakłóceń. Użyj ich, aby w ogóle zapobiec izolowaniu urządzeń o krytycznym znaczeniu dla działalności firmy.

Uwaga

Po zdefiniowaniu reguły wykluczenia z izolacji automatyczne przerywanie ataków domyślnie stosuje selektywną izolację i izoluje urządzenie zgodnie ze skonfigurowanymi regułami wykluczenia z izolacji.

Jeśli automatycznie izolowane urządzenie ma krytyczne znaczenie dla działania firmy, należy nadać priorytet szybkiej weryfikacji i koordynacji interesariuszy. Znieś izolację dopiero po potwierdzeniu, że wdrożono odpowiednie działania ograniczające skutki i naprawcze. Rozważ użycie automatycznych wykluczeń zakłóceń ataku , aby zmniejszyć prawdopodobieństwo izolowania urządzeń, które nie tolerują przerw.

Potwierdzanie automatycznej izolacji urządzeń

Aby potwierdzić, że zastosowano automatyczną izolację urządzenia, wykonaj następujące kroki:

1. Otwórz odpowiedni incydent wygenerowany przez automatyczne zakłócanie ataków w portalu Microsoft Defender.
2. Przejrzyj kartę Działanie lub Centrum akcji , aby zobaczyć, które zautomatyzowane akcje odpowiedzi zostały zastosowane.
3. Otwórz stronę urządzenia, którego dotyczy problem, i upewnij się, że stan urządzenia pokazuje, że jest izolowane.
   • Jeśli akcja izolacji jest wyświetlana jako nieudana lub oczekująca, upewnij się, że urządzenie jest w trybie online i może zgłosić się do usługi Defender for Endpoint. Jeśli jest dostępna, możesz ponowić próbę z panelu akcji urządzenia.
   • Jeśli urządzenie wydaje się izolowane, ale nie można zebrać danych badania, sprawdź, czy metoda badania (na przykład odpowiedź na żywo) jest obsługiwana dla tego urządzenia i scenariusza. Upewnij się również, że wymagane punkty końcowe usługi są osiągalne w konfiguracji sieci. Aby uzyskać więcej informacji, zobacz Badanie encji na urządzeniach przy użyciu funkcji Live Response i Konfigurowanie łączności urządzeń i ustawień serwera proxy w Ochrona punktu końcowego w usłudze Microsoft Defender.

Zwalnianie urządzenia z automatycznej izolacji

Urządzenie można zwolnić z hermetyzowania w dowolnym momencie po zminimalizowaniu ryzyka i zakończeniu badania:

1. Wybierz urządzenie ze spisu urządzeń lub otwórz stronę urządzenia.
2. Wybierz pozycję Zwolnij z izolacji z menu akcji.

Aby uzyskać więcej informacji na temat wydawania urządzeń, zobacz Izolowanie urządzeń od sieci.

Uwaga

Jeśli izolacja zostanie nieoczekiwanie wyłączona, sprawdź, czy w Twoim środowisku obowiązuje ograniczone czasowo okno cofnięcia, i przejrzyj historię działań dla zdarzenia wyłączenia izolacji.

Wyklucz urządzenia z automatycznej izolacji

Możesz wykluczyć konkretne urządzenia z automatycznej izolacji urządzeń, korzystając z aplikacji politycznych i wykluczeń. Stwórz nowy tag urządzenia lub użyj istniejącego, przypisz go do urządzeń, które chcesz wykluczyć, i skonfiguruj aplikację polityki, aby wykluczyła akcję Izoluj urządzenie dla tego tagu.

Szczegółowe instrukcje można znaleźć w sekcji Zastosowania Polityki i wyłączenia (Podgląd).

Gdy automatyczne zakłócenie ataku identyfikuje wyłączone urządzenie jako zagrożone, akcja Izoluj urządzenia nie jest wykonywana. Akcja pojawia się ze statusem Pominiętego w centrum Akcji, a urządzenie działa normalnie.

Ważna

Jeśli prowadzisz symulację naruszenia i ataku (BAS) lub inne ćwiczenie walidacji bezpieczeństwa, możesz chcieć tymczasowo wyłączyć akcję Izoluj urządzenie . To wykluczenie pozwala na przeprowadzenie symulowanego ataku bez automatycznego izolowania dotkniętych urządzeń.

Wymuszone zwolnienie urządzenia z izolacji

Funkcja izolacji urządzeń jest nieocenionym narzędziem do ochrony urządzeń przed zagrożeniami zewnętrznymi. Istnieją jednak wystąpienia, gdy izolowane urządzenia przestają odpowiadać.

Dostępny jest skrypt do pobrania na wypadek, gdy izolowane urządzenia przestają odpowiadać, który można uruchomić, aby wymusić zwolnienie ich z izolacji. Skrypt jest dostępny za pośrednictwem linku na stronie urządzenia w portalu Microsoft Defender.

Uwaga

• Administratorzy oraz użytkownicy z uprawnieniem do zarządzania ustawieniami zabezpieczeń w Security Center mogą wymusić zwolnienie urządzeń z izolacji.
• Skrypt jest prawidłowy tylko dla określonego urządzenia.
• Skrypt wygasa w ciągu trzech dni.

Aby wymusić zwolnienie urządzenia z izolacji:

1. Na stronie urządzenia wybierz pozycję Pobierz skrypt, aby wymusić zwolnienie urządzenia z izolacji z menu akcji.

2. W okienku po prawej stronie wybierz pozycję Pobierz skrypt.

Minimalne wymagania dotyczące wymuszania wydania urządzenia

Aby wymusić zwolnienie urządzenia z izolacji, na urządzeniu musi działać system Windows. Obsługiwane są następujące wersje:

• Windows 10 21H2 i 22H2 z KB5023773.
• Windows 11 w wersji 21H2, wszystkie edycje z KB5023774.
• Windows 11 w wersji 22H2, wszystkie edycje z KB5023778.

Powiadomienie użytkownika urządzenia o izolacji

Gdy urządzenie jest izolowane, zostanie wyświetlone następujące powiadomienie informujące użytkownika, że urządzenie jest odizolowane od sieci:

Uwaga

Powiadomienie nie jest dostępne na platformach innych niż Windows.

Zawiera krytyczne zasoby

Gdy krytyczny zasób zostanie naruszony i użyty do rozprzestrzeniania się zagrożeń, zatrzymanie rozprzestrzeniania się może być trudne. Te zasoby muszą działać, aby uniknąć utraty produktywności. Microsoft Defender dla punktów końcowych obejmuje zasób krytyczny na szczegółowym poziomie. Uniemożliwia rozprzestrzenianie się ataku przy zachowaniu działania zasobu.

Dzięki automatycznemu przerywaniu ataków usługa Defender for Endpoint oznacza złośliwe urządzenie i identyfikuje jego rolę. Następnie stosuje politykę dopasowania w celu odizolowania krytycznego zasobu. To ograniczenie blokuje tylko określone porty i kierunki komunikacji.

Zasoby krytyczne można zidentyfikować za pomocą tagu zasobu krytycznego na stronie urządzenia lub adresu IP. Izolowanie urządzeń obejmuje krytyczne typy zasobów, takie jak kontrolery domeny, serwery DNS i serwery DHCP.

Odizoluj urządzenia od sieci

Gdy znajdziesz niezarządzane urządzenie, które zostało przejęte lub mogło zostać przejęte, możesz odizolować je od sieci. Uniemożliwia to atakowi ruch boczny. Gdy izolujesz urządzenie, wszystkie urządzenia dołączone do usługi Microsoft Defender for Endpoint blokują komunikację przychodzącą i wychodzącą z tym urządzeniem. Zawieranie pomaga chronić pobliskie urządzenia, gdy analityk zabezpieczeń znajdzie i rozwiąże zagrożenie.

Uwaga

Blokowanie komunikacji przychodzącej i wychodzącej izolowanego urządzenia jest obsługiwane na urządzeniach z wdrożonym Ochrona punktu końcowego w usłudze Microsoft Defender z systemem Windows 10 i Windows Server 2019 lub nowszym.

Gdy urządzenia zostaną zawarte, zalecamy jak najszybsze zbadanie i skorygowanie zagrożenia na zawartych urządzeniach. Po przeprowadzeniu działań naprawczych należy usunąć urządzenia z izolacji.

Jak odizolować urządzenie

Aby zawierać urządzenie ze strony Spis urządzeń, wykonaj następujące kroki:

1. Przejdź do strony Spis urządzeń i wybierz urządzenie, które ma zostać zawarte.

2. Wybierz pozycję Izoluj urządzenie z menu akcji w panelu wysuwanym urządzenia.

   

3. W wyskakującym okienku zawierającym urządzenie wpisz komentarz i wybierz pozycję Potwierdź.

   

Ważna

Obejmowanie dużej liczby urządzeń może powodować problemy z wydajnością na urządzeniach wdrożonych do usługi Microsoft Defender for Endpoint. Aby uniknąć problemów, Microsoft zaleca izolowanie jednocześnie maksymalnie 100 urządzeń.

Dołącz urządzenie ze strony urządzenia

Urządzenie można również odizolować z poziomu strony urządzenia, wybierając na pasku akcji pozycję Izoluj urządzenie:

Uwaga

Dotarcie szczegółowych informacji o nowo odizolowanym urządzeniu do urządzeń dołączonych do usługi Microsoft Defender dla punktów końcowych może potrwać do 5 minut.

Ważna

• Jeśli izolowane urządzenie zmieni swój adres IP, wszystkie urządzenia wdrożone do usługi Ochrona punktu końcowego w usłudze Microsoft Defender wykryją to i zaczną blokować komunikację z nowym adresem IP. Oryginalny adres IP nie jest już zablokowany (może upłynąć do 5 minut, aby zobaczyć te zmiany).
• W przypadkach, gdy adres IP izolowanego urządzenia jest używany przez inne urządzenie w sieci, podczas izolowania urządzenia jest wyświetlane ostrzeżenie z linkiem do zaawansowanego wyszukiwania zagrożeń (ze wstępnie wypełnionym zapytaniem). Zapewnia to wgląd w inne urządzenia korzystające z tego samego adresu IP, aby pomóc Ci podjąć świadomą decyzję, czy chcesz nadal izolować to urządzenie.
• W przypadkach, gdy izolowane urządzenie jest urządzeniem sieciowym, zostanie wyświetlone ostrzeżenie z informacją, że izolacja może powodować problemy z łącznością sieciową (na przykład w przypadku objęcia izolacją routera działającego jako brama domyślna). Na tym etapie możesz wybrać, czy odizolować urządzenie, czy nie.

Jeśli po odizolowaniu urządzenia jego działanie nie jest zgodne z oczekiwaniami, sprawdź, czy usługa aparatu filtrowania podstawowego (BFE) jest włączona na urządzeniach wdrożonych w usłudze Defender for Endpoint.

Przestań izolować urządzenie

W dowolnym momencie możesz przestać izolować urządzenie.

1. Wybierz urządzenie ze spisu urządzeń lub otwórz stronę urządzenia.

2. Z menu akcji wybierz pozycję Usuń z izolacji. Zwolnienie z izolacji przywraca urządzeniu połączenie z siecią.

Zawiera adresy IP nieodkrytych urządzeń

Ważna

Niektóre informacje w tym artykule odnoszą się do wstępnie wydanego produktu, który może zostać znacząco zmodyfikowany przed jego komercyjną premierą. Firma Microsoft nie udziela żadnych gwarancji, wyraźnych ani dorozumianych, w odniesieniu do podanych tutaj informacji.

Defender for Endpoint może również zawierać adresy IP powiązane z urządzeniami, które są niewykryte lub nie zostały wdrożone. Zawieranie adresu IP uniemożliwia atakującym rozprzestrzenianie ataków na inne urządzenia. Gdy jest zawarty adres IP, wszystkie dołączone urządzenia blokują ruch przychodzący i wychodzący z urządzeniami używającymi tego adresu IP.

Uwaga

Blokowanie komunikacji przychodzącej i wychodzącej dla „izolowanego” urządzenia jest obsługiwane na urządzeniach z systemami Windows 10, Windows 11, Windows Server 2012 R2 i Windows Server 2016 wdrożonych do usługi Microsoft Defender for Endpoint.

Izolowanie adresu IP skojarzonego z niewykrytymi urządzeniami lub urządzeniami niezarejestrowanymi w usłudze Defender for Endpoint odbywa się automatycznie za pomocą funkcji automatycznego zakłócania ataków. Zasada Contain IP automatycznie blokuje złośliwy adres IP, gdy Microsoft Defender for Endpoint wykryje, że adres IP jest powiązany z niewykrytym urządzeniem lub urządzeniem, które nie zostało dołączone do usługi.

Komunikat wskazujący, że akcja jest stosowana, pojawia się na odpowiedniej stronie zdarzenia, urządzenia lub adresu IP. Oto przykład.

Po poddaniu adresu IP izolacji możesz wyświetlić tę akcję w widoku Historia w Centrum akcji. Możesz zobaczyć, kiedy wystąpiła akcja, i zidentyfikować adresy IP, które zostały zawarte.

Jeśli zawarty adres IP jest częścią zdarzenia, wskaźnik jest obecny na wykresie zdarzenia oraz na karcie dowodów i odpowiedzi zdarzenia . Oto przykład.

W dowolnym momencie można zatrzymać hermetyzację adresu IP. Aby zatrzymać izolację, wybierz akcję Izoluj adres IP w Centrum akcji. W menu wysuwanym wybierz pozycję Cofnij. Ta akcja przywraca połączenie adresu IP z siecią.

Odizoluj użytkownika od sieci

Jeśli tożsamość w sieci może zostać naruszona, należy uniemożliwić dostęp tej tożsamości do sieci i różnych punktów końcowych. Usługa Defender for Endpoint może odizolować tożsamość, blokując jej dostęp do zasobów i pomagając zapobiegać atakom, w szczególności atakom typu ransomware. Gdy tożsamość zostanie objęta działaniami ograniczającymi, wszystkie obsługiwane urządzenia dołączone do usługi Defender for Endpoint blokują ruch przychodzący w ramach protokołów związanych z atakiem (logowania sieciowe, RPC, SMB, RDP). Urządzenia również kończą trwające sesje zdalne i wylogowują istniejące sesje RDP wraz ze wszystkimi powiązanymi procesami. Legalny ruch nadal przepływa normalnie. Zawieranie tożsamości może znacząco pomóc w zmniejszeniu wpływu ataku. Gdy tożsamość jest zawarta, analitycy operacji zabezpieczeń mają dodatkowy czas na lokalizowanie, identyfikowanie i korygowanie zagrożenia dla zagrożonej tożsamości. Gdy użytkownik zostanie objęty izolacją przez funkcję automatycznego zakłócania ataków, zostanie automatycznie usunięty z izolacji w ciągu kolejnych pięciu dni.

Zawiera ważne notatki użytkownika

• Usługa Defender for Endpoint wymusza hermetyzację użytkownika w warstwie punktu końcowego i nie wyłącza konta u dostawcy tożsamości. Usługa Defender for Endpoint blokuje używanie tożsamości naruszonej przez osobę atakującą na chronionych urządzeniach i ogranicza dostęp oparty na uwierzytelnianiu, dostęp do systemu plików i ścieżki komunikacji sieciowej. Ta akcja stosuje mechanizmy kontroli na poziomie szczegółowym, dzięki czemu firma Microsoft może kierować działania związane z atakami i zachowywać normalną komunikację biznesową tam, gdzie to możliwe.
• Gdy akcja izolowania użytkownika jest wyzwalana przez predykcyjną ochronę (wersja zapoznawcza), stosuje ona ograniczenia bardziej selektywnie, koncentrując się na użytkownikach zidentyfikowanych na podstawie logiki predykcyjnej jako użytkownicy wysokiego ryzyka. Akcja izolowania użytkownika w ramach ochrony predykcyjnej uniemożliwia tworzenie nowych sesji, zamiast kończyć już istniejące.
• Chociaż funkcja ochrony predykcyjnej jako całość pozostaje w wersji zapoznawczej, ta akcja jest ogólnie dostępna zarówno wtedy, gdy jest wywoływana przez mechanizm zakłócania ataków, jak i przez ochronę predykcyjną.
• Blokowanie komunikacji przychodzącej z użytkownikiem objętym izolacją jest obsługiwane na wdrożonych urządzeniach z systemem Windows 10 i 11 z usługą Microsoft Defender dla punktu końcowego (wersja Sense 8740 lub nowsza), urządzeniach z systemem Windows Server 2019 lub nowszym oraz systemach Windows Server 2012 R2 i 2016 z nowoczesnym agentem.
• Ważne: Po wymuszeniu akcji Ogranicz użytkownika na kontrolerze domeny zostanie uruchomiona aktualizacja zasad grupy dla zasad Default Domain Controllers Policy. Zmiana obiektu zasad grupy uruchamia synchronizację na wszystkich kontrolerach domeny w danym środowisku. Jest to oczekiwane zachowanie, a jeśli monitorujesz środowisko pod kątem zmian zasad grupy w usłudze Active Directory, możesz otrzymywać powiadomienia o takich zmianach. Cofnięcie akcji Contain user przywraca zmiany GPO do poprzedniego stanu, co spowoduje rozpoczęcie kolejnej synchronizacji zasad grupy AD w środowisku. Dowiedz się więcej o scalaniu zasad zabezpieczeń na kontrolerach domeny.

Jak ograniczyć użytkownika

Obecnie izolowanie użytkowników jest dostępne tylko automatycznie przy użyciu funkcji automatycznego przerywania ataków. Gdy Microsoft wykryje, że użytkownik został przejęty, automatycznie ustawiana jest zasada „Izoluj użytkownika”.

Wyświetl akcje użytkownika

Po odizolowaniu użytkownika możesz wyświetlić to działanie w widoku Historii w Centrum akcji. W widoku historii Centrum akcji możesz zobaczyć, kiedy akcja miała miejsce i którzy użytkownicy w Twojej organizacji zostali objęci tym działaniem:

Ponadto po uznaniu tożsamości za „izolowaną” użytkownik zostanie zablokowany przez usługę Defender for Endpoint i nie będzie mógł wykonywać żadnego złośliwego przemieszczania się w sieci ani zdalnego szyfrowania wobec żadnego obsługiwanego urządzenia wdrożonego do usługi Defender for Endpoint. Te bloki są wyświetlane jako alerty ułatwiające szybkie zobaczenie urządzeń, do których użytkownik próbował uzyskać dostęp, i potencjalne techniki ataku:

Aby wyświetlić aktualny stan akcji „Contain user” i innych akcji, zobacz Śledzenie stanu akcji na karcie Działania (wersja zapoznawcza).

Cofnij działania użytkownika

Wskazówka

Cofanie działań użytkownika związanych z funkcją contain wymaga członkostwa w roli Administrator globalny^* w usłudze Microsoft Entra permissions.

^* Firma Microsoft zdecydowanie opowiada się za zasadą najniższych uprawnień. Przypisanie kont tylko minimalnych uprawnień niezbędnych do wykonywania ich zadań pomaga zmniejszyć zagrożenia bezpieczeństwa i wzmocnić ogólną ochronę organizacji. Administrator globalny to rola o wysokim poziomie uprawnień, którą należy ograniczyć do scenariuszy awaryjnych lub gdy nie możesz użyć innej roli.

Możesz w dowolnym momencie zdjąć z użytkownika blokady i izolację:

1. Wybierz akcję Izoluj użytkownika w centrum akcji. W okienku bocznym wybierz pozycję Cofnij.

2. Wybierz użytkownika ze spisu użytkowników, okienka po stronie zdarzenia lub okienka po stronie alertu, a następnie wybierz pozycję Cofnij.

Ta akcja przywraca połączenie użytkownika z siecią.

Możliwości badania za pomocą funkcji Contain User

Po odizolowaniu użytkownika możesz zbadać potencjalne zagrożenie, przeglądając działania zablokowane dla użytkownika, którego konto zostało przejęte. W widoku osi czasu urządzenia można zobaczyć informacje o określonych zdarzeniach, w tym o stopniach szczegółowości protokołu i interfejsu oraz skojarzonej z nim odpowiedniej technice MITRE.

Ponadto możesz rozszerzyć dochodzenie za pomocą zaawansowanego wyszukiwania zagrożeń. Poszukaj dowolnego typu akcji zaczynającego się od contain w tabeli DeviceEvents. Następnie możesz wyświetlić wszystkie poszczególne zdarzenia blokowania związane z funkcją Contain User w organizacji, głębiej przeanalizować kontekst każdego zdarzenia oraz wyodrębnić różne encje i techniki powiązane z tymi zdarzeniami.

Utwardzanie GPO — ochrona predykcyjna (wersja zapoznawcza)

Funkcja ochrony predykcyjnej (wersja zapoznawcza) umożliwia usłudze Microsoft Defender dla punktów końcowych zastosowanie działania wzmacniającego zabezpieczenia GPO. Utwardzanie GPO tymczasowo blokuje nowe zasady GPO na urządzeniach o wysokim poziomie ryzyka. Pomaga to zapobiec naruszeniu, ograniczając zmiany ustawień klucza.

Aby uzyskać lepsze wyniki z osłony predykcyjnej, użyj czujnika Microsoft Defender for Identity. Aby uzyskać więcej informacji, zobacz Wzbogacanie ochrony predykcyjnej za pomocą Microsoft Defender for Identity.

Po zastosowaniu akcji można wyświetlić jej wpływ na grafie incydentu, śledzić ją w Centrum akcji i prowadzić dochodzenie za pomocą zaawansowanego wyszukiwania zagrożeń. Aby uzyskać więcej informacji, zobacz Zarządzanie akcjami ochrony predykcyjnej.

Safeboot — wzmocnienie: ochrona predykcyjna (wersja zapoznawcza)

W ramach funkcji ochrony predykcyjnej (wersja zapoznawcza ) usługa Defender for Endpoint automatycznie stosuje akcję wzmacniania zabezpieczeń safeboot. Wzmacnianie funkcji Safe Boot pomaga chronić urządzenia przed przejęciem przez wymuszanie bardziej rygorystycznych ustawień uruchamiania na urządzeniach, które według przewidywań są obarczone wysokim ryzykiem przejęcia.

Aby wzbogacić akcje ochrony predykcyjnej, zalecamy użycie czujnika Microsoft Defender for Identity w danym środowisku. Aby uzyskać więcej informacji, zobacz Wzbogacanie ochrony predykcyjnej za pomocą Microsoft Defender for Identity.

Po zastosowaniu akcji możesz wyświetlić wpływ akcji na wykresie incydentu, śledzić akcje w Centrum akcji i prowadzić dalsze badanie za pomocą zaawansowanego wyszukiwania zagrożeń. Aby uzyskać więcej informacji, zobacz Zarządzanie akcjami ochrony predykcyjnej.

Aby wyświetlić bieżący stan akcji wzmacniania zabezpieczeń SafeBoot i innych akcji, zobacz Śledzenie stanu akcji na karcie Działania (wersja zapoznawcza).

Konsultuj się z ekspertem ds. zagrożeń

Aby uzyskać więcej informacji na temat naruszonych lub potencjalnie zagrożonych urządzeń, możesz zapoznać się z ekspertem ds. zagrożeń Microsoft. Eksperci Microsoft Threat Experts współpracują bezpośrednio z Tobą za pośrednictwem portalu Defender, aby zapewnić terminową i trafną reakcję. Eksperci pomagają zrozumieć złożone zagrożenia, ukierunkowane alerty ataku i analizę zagrożeń wyświetlaną na pulpicie nawigacyjnym portalu.

Aby uzyskać szczegółowe informacje, zobacz Konfigurowanie powiadomień o atakach punktów końcowych i zarządzanie nimi .

Sprawdzanie szczegółów działania i stanu

Centrum akcji (https://security.microsoft.com/action-center) zawiera informacje o akcjach, które zostały wykonane na urządzeniu lub pliku. Możesz wyświetlić następujące szczegóły:

• Zbiór pakietów dochodzeniowych
• Skanowanie antywirusowe
• Ograniczenie aplikacji
• Izolacja urządzenia

Wyświetlane są również wszystkie inne powiązane szczegóły, na przykład data/godzina przesłania, przesyłanie użytkownika oraz czy akcja zakończyła się pomyślnie lub nie powiodła się.

Na karcie Działania na stronie Incydent są wyświetlane szczegóły i stan akcji, które zostały podjęte w ramach reagowania na zdarzenia. Aby uzyskać więcej informacji, zobacz Śledzenie stanu akcji na karcie Działania (wersja zapoznawcza).

Treści powiązane

• Wykonaj akcje reagowania dla pliku
• Ręczne akcje reagowania w planie 1 usługi Ochrona punktu końcowego w usłudze Microsoft Defender
• Niedokładność raportu