Investigar incidentes no Microsoft Defender para Endpoint

Artigo
04/26/2024

Aplica-se a:

Investigue incidentes que afetam a sua rede, compreenda o que significam e agrupar provas para os resolver.

Quando investigar um incidente, verá:

Detalhes do incidente
Comentários e ações de incidentes
Separadores (alertas, dispositivos, investigações, provas, gráfico)

Analisar detalhes do incidente

Sugestão

Durante um período de tempo limitado durante janeiro de 2024, quando visita a página Incidentes , é apresentado o Defender Boxed. O Defender Boxed destaca os êxitos de segurança, melhorias e ações de resposta da sua organização durante 2023. Para reabrir o Defender Boxed, no portal Microsoft Defender, aceda a Incidentes e, em seguida, selecione O Seu Defender Em Caixa.

Clique num incidente para ver o painel Incidente. Selecione Abrir página de incidente para ver os detalhes do incidente e as informações relacionadas (alertas, dispositivos, investigações, provas, gráfico).

Alertas

Pode investigar os alertas e ver como foram ligados num incidente. Os alertas são agrupados em incidentes com base nos seguintes motivos:

Investigação automatizada – a investigação automatizada acionou o alerta ligado enquanto investigava o alerta original
Características do ficheiro – os ficheiros associados ao alerta têm características semelhantes
Associação manual – um utilizador ligou manualmente os alertas
Tempo de proximate – os alertas foram acionados no mesmo dispositivo dentro de um determinado período de tempo
Mesmo ficheiro – os ficheiros associados ao alerta são exatamente os mesmos
Mesmo URL – o URL que acionou o alerta é exatamente o mesmo

Também pode gerir um alerta e ver metadados de alerta, juntamente com outras informações. Para obter mais informações, veja Investigar alertas.

Dispositivos

Também pode investigar os dispositivos que fazem parte ou estão relacionados com um determinado incidente. Para obter mais informações, veja Investigar dispositivos.

Investigações

Selecione Investigações para ver todas as investigações automáticas iniciadas pelo sistema em resposta aos alertas de incidentes.

Passar pelas provas

Microsoft Defender para Endpoint investiga automaticamente todos os eventos suportados pelos incidentes e entidades suspeitas nos alertas, fornecendo-lhe autoresponse e informações sobre os ficheiros, processos, serviços e muito mais importantes.

Cada uma das entidades analisadas será marcada como infetada, remediada ou suspeita.

Visualizar ameaças de cibersegurança associadas

Microsoft Defender para Endpoint agrega as informações de ameaça num incidente para que possa ver os padrões e correlações provenientes de vários pontos de dados. Pode ver essa correlação através do gráfico de incidentes.

Gráfico de incidentes

O Graph conta a história do ataque de cibersegurança. Por exemplo, mostra-lhe qual era o ponto de entrada, que indicador de comprometimento ou atividade foi observado em que dispositivo. etc.

Pode clicar nos círculos no gráfico de incidentes para ver os detalhes dos ficheiros maliciosos, as deteções de ficheiros associadas, quantas instâncias ocorreram em todo o mundo, se foram observadas na sua organização, em caso afirmativo, quantas instâncias.

Sugestão

Quer saber mais? Engage com a comunidade de Segurança da Microsoft na nossa Comunidade Tecnológica: Microsoft Defender para Endpoint Tech Community.

Partilhar via

Investigar incidentes no Microsoft Defender para Endpoint