Просмотр и упорядочивание очереди оповещений Microsoft Defender для конечной точки

  • Применяется к: Microsoft Defender for Endpoint Plan 2

В очереди оповещений отображается список оповещений, отмеченных устройствами в вашей сети. По умолчанию в очереди отображаются оповещения за последние семь дней в группированном виде. Самые свежие оповещения отображаются в верхней части списка.

Примечание

Число оповещений значительно уменьшается благодаря автоматизированному расследованию и устранению. Эта практика позволяет экспертам по операциям безопасности сосредоточиться на более сложных угрозах и других ценных инициативах.

Когда оповещение содержит поддерживаемую сущность для автоматического расследования, например файл, на устройстве с поддерживаемой для неё операционной системой, начинается автоматизированное расследование и устранение. Дополнительные сведения см. в статье Обзор автоматизированных расследований.

Существует несколько вариантов настройки представления оповещений.

В верхней области навигации можно:

  • Настройте столбцы, чтобы добавить или удалить столбцы
  • Применить фильтры
  • Отображать оповещения в течение определенного периода, например 1 день, 3 дня, 1 неделю, 30 дней и 6 месяцев
  • Экспортировать список оповещений в Excel
  • Управление оповещениями

Скриншот показывает страницу очереди предупреждений.

Сортировка и фильтрация оповещений

Вы можете применить следующие фильтры, чтобы ограничить список оповещений и получить более сфокусированное представление об оповещениях.

Серьезность

Уровень серьезности предупреждения Описание
Высокий
(красный)		 Обычно встречаются оповещения, связанные со сложными устойчивыми угрозами (APT). Эти оповещения указывают на высокий риск из-за серьезности ущерба, который они могут нанести устройствам. Некоторые примеры: активность, связанная с инструментами кражи учетных данных, действия программ-вымогателей, не связанные с какой-либо группой, вмешательство в работу датчиков безопасности или любые вредоносные действия, указывающие на действия человека-злоумышленника.
Средний
(оранжевый)		 Оповещения об обнаружении и реагировании на конечных точках (EDR) о действиях после компрометации, которые могут быть частью продвинутой постоянной угрозы (APT). К таким поведениям относятся наблюдаемые поведения, типичные для стадий атаки, аномальные изменения реестра и выполнение подозрительных файлов. Хотя некоторые из них могут быть частью внутреннего тестирования безопасности, этот уровень серьезности требует расследования, поскольку также может быть частью продвинутой атаки.
Низкий
(желтый)		 Оповещения об угрозах, связанных с распространенными вредоносными программами. Например, хакерские инструменты, не связанные с вредоносным ПО, такие как выполнение команд разведки и очистка журналов, которые часто не указывают на продвинутую угрозу, направленную на организацию. Этот уровень также может быть вызван тестированием пользователем вашей организации изолированного инструмента безопасности.
Справочная информация
(Серый)		 Оповещения, которые не считаются угрозой для сети, но могут повысить осведомленность организации о потенциальных проблемах безопасности.

Понимание уровня серьезности оповещений

Уровни серьезности оповещений Антивирусной программы Microsoft Defender и Defender для конечной точки различаются, так как они представляют разный охват.

  • Степень угрозы Microsoft Defender Antivirus отражает абсолютную серьёзность обнаруженной угрозы (вредоносного ПО). Он назначается в зависимости от потенциального риска для отдельного устройства в случае заражения.
  • Серьёзность оповещения Defender for Endpoint отражает тяжесть обнаруженного поведения, то есть фактический риск для устройства, но, что важнее, потенциальный риск для организации.

Рассмотрим пример.

  • Уровень серьезности оповещения Defender for Endpoint об угрозе, обнаруженной Microsoft Defender Antivirus, которая была предотвращена и не заразила устройство, классифицируется как информационная, поскольку фактического повреждения не было.
  • Коммерческое вредоносное ПО, обнаруженное во время работы, но заблокированное и устраненное антивирусом Microsoft Defender, вызывает сигнал Low alert, поскольку могло нанести ущерб отдельному устройству, но не представляет угрозы для организации.
  • Вредоносное ПО, обнаруженное во время работы и представляющее угрозу как для конкретного устройства, так и для организации, может быть отнесено к среднему или высокому уровню, независимо от того, будет ли оно в итоге заблокировано.
  • Подозрительные поведенческие оповещения, которые не были заблокированы и не устранены, оцениваются как Низкий, Средний или Высокий согласно тем же критериям организационных угроз.

Состояние

Вы можете выбрать фильтрацию списка оповещений по их статусу.

Примечание

Если вы видите статус оповещения Неподдерживаемый тип оповещения, это означает, что автоматизированные возможности расследования не могут обнаружить это оповещение для запуска автоматического расследования. Вы можете проверить эти оповещения вручную.

Категории

Microsoft переопределила категории оповещений, чтобы привести их в соответствие с тактиками атак на предприятия в матрице MITRE ATT&CK. Новые имена категорий применяются ко всем новым оповещениям. Существующие оповещения сохраняют предыдущие названия категорий.

Источники службы

Оповещения можно фильтровать по следующим источникам служб:

  • Microsoft Defender для удостоверений
  • Microsoft Defender для облачных приложений
  • Microsoft Defender для конечной точки
  • Microsoft Defender XDR
  • Microsoft Defender для Office 365
  • Управление политиками приложений
  • Защита Microsoft Entra ID

Клиенты Microsoft Endpoint Notification теперь могут фильтровать и просматривать обнаружения из службы, применяя фильтр Microsoft Defender Experts, вложенный в источник службы Microsoft Defender для конечной точки.

Примечание

Фильтр антивирусов появляется только если устройства используют Microsoft Defender Antivirus в качестве используемого по умолчанию антивирусного решения для защиты в реальном времени.

Теги

Оповещения можно фильтровать по тегам, назначенным оповещениям.

Политика

Оповещения можно фильтровать на основе следующих политик:

Источник детектирования Значение API
Сторонние датчики ThirdPartySensors
Антивирус WindowsDefenderAv
Автоматическое расследование AutomatedInvestigation
Настраиваемое распознавание CustomDetection
Пользовательский TI CustomerTI
EDR WindowsDefenderAtp
Microsoft Defender XDR MTP
Microsoft Defender для Office 365 OfficeATP
Microsoft Defender Experts ThreatExperts
SmartScreen WindowsDefenderSmartScreen

Сущности

Оповещения можно фильтровать по имени или идентификатору сущности.

Состояние автоматического расследования

Вы можете отфильтровать оповещения по состоянию автоматического расследования.

Связанные материалы

  • Последнее обновление: