Поделиться через

Руководство по операциям с безопасностью Microsoft Defender для конечной точки

  • Статья

Область применения:

В этой статье приводятся общие сведения о требованиях и задачах для успешной работы Microsoft Defender для конечной точки в организации. Эти задачи помогают центру управления безопасностью (SOC) эффективно обнаруживать угрозы безопасности и реагировать на них Microsoft Defender для конечной точки обнаруженных угроз безопасности.

В этой статье также описаны ежедневные, еженедельные, ежемесячные и нерегламентированные задачи, которые группа безопасности может выполнять для вашей организации.

Примечание.

Это рекомендуемые действия. проверка их в соответствии с вашими собственными политиками и средой, чтобы убедиться, что они подходят для целей.

Предварительные требования:

Конечная точка Microsoft Defender должна быть настроена для поддержки обычных операций безопасности. Хотя в этом документе не рассматривается, в следующих статьях содержатся сведения о конфигурации и настройке.

Ежедневные мероприятия

Общие указания

  • Проверка действий

    В центре уведомлений просмотрите действия, выполненные в вашей среде как автоматически, так и вручную. Эти сведения помогают проверить, что автоматическое исследование и реагирование (AIR) выполняется должным образом, и определить все действия, которые необходимо проверить вручную. Сведения о действиях по исправлению см. в разделе Просмотр центра уведомлений.

Группа по операциям с безопасностью

Группа администрирования безопасности

  • Просмотр отчетов о работоспособности

    Просмотрите отчеты о работоспособности, чтобы определить все тенденции работоспособности устройств, которые необходимо устранить. Отчеты о работоспособности устройств охватывают Microsoft Defender для конечной точки сигнатуры av, работоспособности платформы и работоспособности EDR. См. статью Отчеты о работоспособности устройств в Microsoft Defender для конечной точки.

  • Проверка работоспособности датчика обнаружения и реагирования конечной точки (EDR)

    Работоспособности EDR поддерживает подключение к службе EDR, чтобы убедиться, что Defender для конечной точки получает необходимые сигналы для оповещения и выявления уязвимостей.

    Проверьте неработоспособные устройства. См. сведения о работоспособности устройства, работоспособности датчиков & отчете ОС.

  • Проверка работоспособности антивирусной программы Microsoft Defender

    Просмотр состояния обновлений Microsoft Defender антивирусной программы имеет решающее значение для обеспечения максимальной производительности Defender для конечной точки в вашей среде и актуальных обнаружений. На странице работоспособности устройства отображается текущее состояние платформы, аналитики и версии обработчика. См. отчет о работоспособности устройств Microsoft Defender антивирусной программы.

Еженедельные мероприятия

Общие указания

  • Центр сообщений

    Microsoft Defender XDR использует Центр сообщений Microsoft 365 для уведомления о предстоящих изменениях, таких как новые и измененные функции, плановое обслуживание или другие важные объявления.

    Просмотрите сообщения Центра сообщений, чтобы понять, какие предстоящие изменения повлияют на вашу среду.

    Доступ к этому можно получить в Центр администрирования Microsoft 365 на вкладке Работоспособности. См. статью Как проверка работоспособности служб Microsoft 365.

Группа по операциям с безопасностью

Группа администрирования безопасности

Ежемесячные действия

Общие указания

Ознакомьтесь со следующими статьями, чтобы узнать о недавно выпущенных обновлениях:

Группа администрирования безопасности

Периодически

Эти задачи рассматриваются как обслуживание вашей системы безопасности и имеют решающее значение для текущей защиты. Но поскольку они могут потребовать времени и усилий, рекомендуется установить стандартное расписание, которое можно поддерживать для выполнения этих задач.

  • Проверка исключений

    Просмотрите исключения, заданные в вашей среде, чтобы убедиться, что вы не создали пробел в защите, исключив элементы, которые больше не требуются для исключения.

  • Просмотр конфигураций политик Defender

    Периодически проверяйте параметры конфигурации Defender, чтобы убедиться, что они заданы по мере необходимости.

  • Просмотр уровней автоматизации

    Просмотрите уровни автоматизации в возможностях автоматического исследования и исправления. См . статью Уровни автоматизации в автоматизированном исследовании и исправлении.

  • Просмотр пользовательских обнаружений

    Периодически проверяйте, являются ли созданные пользовательские обнаружения допустимыми и эффективными. См . раздел Проверка пользовательского обнаружения.

  • Проверка подавления оповещений

    Периодически проверяйте все созданные правила подавления оповещений, чтобы убедиться, что они по-прежнему необходимы и действительны. См . раздел Проверка подавления оповещений.

Устранение неполадок

В следующих статьях содержатся рекомендации по устранению и устранению ошибок, которые могут возникнуть при настройке службы Microsoft Defender для конечной точки.

Совет

Хотите узнать больше? Engage с сообществом Microsoft Security в нашем техническом сообществе: Microsoft Defender для конечной точки Техническое сообщество.