Создание групп устройств и управление ими в Microsoft Defender для конечной точки

Overview

Примечание.

Создание группы устройств поддерживается в Defender для конечной точки плана 1 и плана 2.

В корпоративном сценарии группам по обеспечению безопасности обычно назначается набор устройств. Эти устройства группируются по набору атрибутов, таких как домены, имена компьютеров или назначенные теги.

В Microsoft Defender для конечной точки можно создавать группы устройств и использовать их для:

• Ограничение доступа к связанным оповещениям и данным определенным группам пользователей Microsoft Entra, которым назначены роли RBAC
• Настройка различных параметров автоматического исправления для разных наборов устройств
• Назначение определенных уровней исправления для применения во время автоматизированных исследований
• В ходе исследования отфильтруйте список Устройства по определенным группам устройств с помощью фильтра групп .

Группы устройств можно создавать в контексте доступа на основе ролей (RBAC), чтобы контролировать, кто может выполнять определенные действия или просматривать сведения, назначив группы устройств группе пользователей. Дополнительные сведения см. в разделе Управление доступом на портале с помощью управления доступом на основе ролей.

Совет

Чтобы подробнее ознакомиться с применением RBAC, прочитайте статью: Ваш SOC работает на пределе из-за RBAC?

В процессе создания группы устройств вы:

• Задайте уровень автоматического исправления для этой группы. Дополнительные сведения об уровнях исправления см. в статье Использование автоматизированного исследования для исследования и устранения угроз.
• Укажите соответствующее правило, определяющее, какие устройства принадлежат группе устройств на основе имени устройства, домена, тегов и платформы ОС. Если устройство также сопоставляется с другими группами, оно добавляется только в группу устройств с самым высоким рейтингом.
• Выберите группу пользователей Microsoft Entra, которая должна иметь доступ к группе устройств.
• Ранжировать группу устройств относительно других групп после ее создания.

Примечание.

Группа устройств доступна всем пользователям, если ей не назначены группы Microsoft Entra.

Создание группы устройств

Примечание.

Группы устройств в Defender для бизнеса управляются по-разному. Дополнительные сведения см. в разделе Группы устройств в Microsoft Defender для бизнеса.

Примечание.

Вы можете создать до 2000 групп устройств для каждого клиента.

Important

Прежде чем начать, убедитесь, что группы пользователей Microsoft Entra, которые вы хотите назначить, уже настроены с назначенными ролями RBAC.

1. На портале Microsoft Defender по адресу https://security.microsoft.comперейдите в раздел Параметры>Конечные точки>Разрешения, >Группы устройств. Или, чтобы перейти непосредственно на вкладку группы устройств, используйте https://security.microsoft.com/securitysettings/endpoints/machine_groups.

2. На вкладке Группы устройств выберите Добавить группу устройств.

3. Откроется мастер добавления группы устройств . На странице Общие настройте следующие параметры:

   • Имя группы устройств. Введите уникальное описательное имя для группы устройств.
   • Уровень исправления. Выберите одно из следующих значений:
     • Нет автоматического ответа
     • Semi — утверждение требуется для всех папок
     • Semi — требуется утверждение для не временных папок
     • Semi — утверждение требуется для системных папок
     • Полное исправление
   • Описание: введите необязательное описание.

   Нажмите Далее.

4. На странице Устройства настройте соответствующее правило, которое определяет, какие устройства относятся к группе. Вы можете определить условия на основе имени устройства, домена, тегов и платформы ОС. Устройства, соответствующие всем указанным условиям, добавляются в группу. Сведения о том, как работают соответствующие правила и автоматизированные исследования, см. в статье "Запуск автоматизированного исследования".

   Совет

   Сведения об использовании тегов для группирования устройств см. в статье Создание тегов устройств и управление ими.

   Нажмите кнопку Далее.

5. На странице Предварительный просмотр устройств выберите Показать предварительный просмотр , чтобы отобразить до 10 устройств, соответствующих правилу устройств, настроенном на предыдущей странице. Если вы удовлетворены предварительными версиями устройств, нажмите кнопку "Далее".

6. На странице Доступ пользователей назначьте группы пользователей, которые могут получить доступ к созданной группе устройств.

   Примечание.

   Вы можете предоставить доступ только группам пользователей Microsoft Entra, которым назначены роли RBAC.

   Когда вы будете готовы создать группу устройств, нажмите кнопку Отправить.

Управление группами устройств

Вы можете повысить или понизить ранг группы устройств, чтобы она получила более высокий или более низкий приоритет во время сопоставления. Группа устройств с рангом 1 — это группа с самым высоким рейтингом. Если устройство сопоставляется с несколькими группами, оно добавляется только в группу с самым высоким рейтингом. Вы также можете изменять и удалять группы.

Предупреждение

Удаление группы устройств может повлиять на правила уведомлений по электронной почте. Если группа устройств настроена в соответствии с правилом уведомлений по электронной почте, она будет удалена из этого правила. Если группа устройств является единственной группой, настроенной для уведомления по электронной почте, это правило уведомлений по электронной почте будет удалено вместе с группой устройств.

По умолчанию группы устройств доступны всем пользователям с доступом на портале. Изменить поведение по умолчанию можно, назначив группы пользователей Microsoft Entra группе устройств.

Устройства, которые не соответствуют ни одной группе, добавляются в группу без групп (по умолчанию). Вы не можете изменить ранг этой группы или удалить ее. Однако вы можете изменить уровень устранения проблемы для этой группы и определить группы пользователей Microsoft Entra, которые могут получать к ней доступ.

Примечание.

Применение изменений в конфигурации группы устройств может занять до нескольких минут. В некоторых средах изменения могут занять несколько часов для полного распространения. Например, новые группы устройств могут не отображаться в качестве параметров фильтра в разделе Ресурсы>Устройства в течение нескольких часов после создания.

Добавление определений групп устройств

Определение группы устройств может содержать несколько значений для каждого условия. Для определения одной группы устройств можно задать несколько тегов, имен устройств и доменов.

1. Создайте новую группу устройств, а затем выберите вкладку Устройства .
2. Добавьте первое значение для одного из условий.
3. Выберите + , чтобы добавить дополнительные строки того же типа свойства.

Совет

Используйте оператор OR между строками одного типа условия, что позволяет использовать несколько значений для каждого свойства. Для каждого типа свойства можно добавить до 10 строк (значений) — тега, имени устройства, домена.

Дополнительные сведения об определениях групп устройств см. в разделе "Группы устройств" — Безопасность Microsoft 365.

Связанные материалы

• Управление доступом на портале с помощью управления доступом на основе ролей
• Создание тегов устройств и управление ими
• Получение списка групп устройств клиента с помощью API Graph