Попробуйте Microsoft Defender для Office 365

Как существующий клиент Microsoft 365, страницы пробных версий и оценки на портале https://security.microsoft.com Microsoft Defender позволяют вам попробовать функции Microsoft Defender для Office 365 план 2 перед покупкой.

Прежде чем использовать Defender для Office 365 плана 2, необходимо задать себе несколько ключевых вопросов:

Хочу ли я пассивно наблюдать за тем, что может сделать Defender для Office 365 план 2 (аудит)?
Хочу ли я, чтобы Defender для Office 365 плана 2 принял непосредственное решение обнаруженных проблем (блок)?
В любом случае, как я могу сказать, что Defender для Office 365 план 2 делает для меня?
Сколько времени у меня есть, прежде чем мне нужно принять решение о сохранении Defender для Office 365 план 2?

Эта статья поможет вам ответить на эти вопросы, чтобы вы могли попробовать Defender для Office 365 план 2 в соответствии с потребностями вашей организации.

Дополнительные инструкции по использованию пробной версии см. в статье Руководство пользователя пробной версии: Microsoft Defender для Office 365.

Примечание.

Пробные версии и оценки Defender для Office 365 недоступны в государственных организациях США (Microsoft 365 GCC, GCC High и DoD) или Microsoft 365 для образования организациях.

Обзор Defender для Office 365

Defender для Office 365 помогает организациям защитить свое предприятие, предлагая полный список возможностей. Дополнительные сведения см. в разделе Microsoft Defender для Office 365.

Дополнительные сведения о Defender для Office 365 также см. в этом интерактивном руководстве.

Просмотрите это короткое видео, чтобы узнать больше о том, как можно сделать больше за меньшее время с помощью Microsoft Defender для Office 365.

Сведения о ценах см. в разделе Microsoft Defender для Office 365.

Как работают пробные версии и оценки для Defender для Office 365

Политики

Defender для Office 365 включает защиту электронной почты по умолчанию для облачных почтовых ящиков и функции, эксклюзивные для Defender для Office 365.

Функции защиты электронной почты и совместной работы в Microsoft 365 реализуются с помощью политик. Политики, исключительно для Defender для Office 365, создаются по мере необходимости:

Защита от олицетворения в политиках защиты от фишинга
Безопасные вложения для сообщений электронной почты
Безопасные ссылки для сообщений электронной почты и Microsoft Teams
- Безопасные ссылки детонирует URL-адреса во время потока обработки почты. Чтобы предотвратить детонирование определенных URL-адресов, отправьте URL-адреса в корпорацию Майкрософт как хорошие URL-адреса. Инструкции см. в статье Отчет о хороших URL-адресах в Майкрософт.
- Безопасные ссылки не обтекают URL-адреса в телах сообщений электронной почты.

Ваше право на оценку или пробную версию означает, что у вас уже есть облачные почтовые ящики в Microsoft 365, поэтому существующие политики угроз по-прежнему могут действовать с сообщениями (например, отправлять сообщения в папку "Нежелательная Email" или в карантин).

Политики угроз по умолчанию для этих функций всегда включены, применяются ко всем получателям и всегда применяются после всех пользовательских политик угроз.

Режим аудита и режим блокировки для Defender для Office 365

Вы хотите, чтобы ваш интерфейс Defender для Office 365 был активным или пассивным? Доступны перечисленные ниже режимы.

Режим аудита. Специальные политики оценки создаются для защиты от фишинга (включая защиту от олицетворения), безопасных вложений и безопасных ссылок. Эти политики оценки настроены только для обнаружения угроз. Defender для Office 365 обнаруживает вредоносные сообщения для отчетов, но сообщения не обрабатываются (например, обнаруженные сообщения не помещаются в карантин). Параметры этих политик оценки описаны в разделе Политики в режиме аудита далее в этой статье.
Примечание.

Следующие функции защиты включены по умолчанию и могут выполнять действия с элементами даже в режиме аудита:
- Время защиты от щелчков в рабочих нагрузках, отличных от электронной почты (например, Microsoft Teams, SharePoint и OneDrive).
- Автоматическая очистка без часа (ZAP) в Microsoft Teams.
Вы также можете выборочно включать или отключать защиту от фишинга (спуфингом и олицетворением), защиту безопасных ссылок и защиту от вложений. Инструкции см. в разделе Управление параметрами оценки.

Режим аудита предоставляет специализированные отчеты об угрозах, обнаруженных политиками оценки на странице оценки Microsoft Defender для Office 365 по адресу https://security.microsoft.com/atpEvaluation. Эти отчеты описаны в разделе Отчеты для режима аудита далее в этой статье.
Режим блокировки. Шаблон Standard для предустановленных политик безопасности включается и используется для пробной версии, а пользователи, которые вы указали для включения в пробную версию, добавляются в предустановленную политику безопасности Standard. Defender для Office 365 обнаруживает и принимает меры для вредоносных сообщений (например, обнаруженные сообщения помещаются в карантин).

По умолчанию и рекомендуется область политики Defender для Office 365 всем пользователям в организации. Но во время или после настройки пробной версии вы можете изменить назначение политики для определенных пользователей, групп или доменов электронной почты на портале Microsoft Defender или в Exchange Online PowerShell.

Регулярные отчеты и функции исследования Defender для Office 365 плана 2 содержат сведения об угрозах, обнаруженных Defender для Office 365. Эти функции описаны в разделе Отчеты для режима блокировки далее в этой статье.

Основные факторы, определяющие доступные режимы:

Независимо от того, есть ли у вас Defender для Office 365 (план 1 или план 2), как описано в следующем разделе.
Способ доставки электронной почты в организацию Microsoft 365, как описано в следующих сценариях:
- Почта из Интернета поступает непосредственно в Microsoft 365, но ваша текущая подписка имеет только защиту электронной почты по умолчанию для облачных почтовых ящиков или Defender для Office 365 плана 1.
  
  В этих средах доступен режим аудита или режим блокировки в зависимости от лицензирования, как описано в следующем разделе.
- В настоящее время вы используете службу или устройство сторонних разработчиков для защиты электронной почты облачных почтовых ящиков. Почта из Интернета проходит через службу защиты перед доставкой в организацию Microsoft 365. Защита Microsoft 365 максимально низка (она никогда не выключается полностью; например, защита от вредоносных программ всегда применяется).
  
  В этих средах доступен только режим аудита . Вам не нужно изменять поток обработки почты (записи MX), чтобы оценить Defender для Office 365 плана 2.

Оценка и пробная версия для Defender для Office 365

В чем разница между оценкой и пробной версией Defender для Office 365 плана 2? Разве это не одно и то же? Ну, да и нет. Лицензирование в организации Microsoft 365 влияет на все:

Нет Defender для Office 365 плана 2. Вы можете запустить интерфейс Defender для Office 365 плана 2 из следующих расположений на портале Microsoft Defender:
- Страница пробных версий Microsoft 365 по адресу https://security.microsoft.com/trialHorizontalHub.
- Страница оценки Microsoft Defender для Office 365 по адресу https://security.microsoft.com/atpEvaluation.
Во время настройки оценки или пробной версии можно выбрать режим аудита (политики оценки) или режим блокировки (Standard предустановленной политики безопасности).

Независимо от того, какое расположение вы используете, мы автоматически подготавливаем все необходимые лицензии Defender для Office 365 плана 2 при регистрации. Получение и назначение лицензий плана 2 вручную в Центр администрирования Microsoft 365 не требуется.

Автоматически подготовленные лицензии доступны в течение 90 дней. Что означает этот 90-дневный период, зависит от существующего лицензирования в вашей организации:
- Нет Defender для Office 365 план 1. Все функции Defender для Office 365 плана 2 (в частности, политики угроз) доступны только в течение 90 дней.
- Defender для Office 365 план 1. У вас уже есть те же политики угроз, которые доступны в Defender для Office 365 план 2: защита от фишинга в политиках защиты от фишинга, политиках безопасных вложений и политиках безопасных ссылок.
  
  Срок действия политик угроз из режима аудита (политики оценки) или режима блокировки (Standard предустановленной политики безопасности) не истекает или перестает работать через 90 дней. Через 90 дней заканчивается автоматизация, исследование, исправление и образовательные возможности Defender для Office 365 плана 2, которые недоступны в плане 1.
Если вы настроили оценку или пробную версию в режиме аудита (политики оценки), вы можете позже перейти в режим блокировки (Standard предустановленной политики безопасности). Инструкции см. в разделе Преобразование в защиту Standard далее в этой статье.
Defender для Office 365 плана 2. Если у вас уже есть Defender для Office 365 плана 2 (например, в рамках подписки на Microsoft 365 E5), defender для Office 365 недоступен для выбора на странице пробных версий Microsoft 365 по адресу https://security.microsoft.com/trialHorizontalHub.

Единственный вариант — настроить оценку Defender для Office 365 на странице оценки Microsoft Defender для Office 365 по адресу https://security.microsoft.com/atpEvaluation. Кроме того, оценка автоматически настраивается в режиме аудита (политики оценки).

Позже вы можете перейти в режим блокировки (Standard предустановленной политики безопасности) с помощью действия Преобразовать в стандартное действие на странице Microsoft Defender для оценки Office 365 или выключив оценку на Microsoft Defender для Office 365 страницу оценки, а затем настройте предустановленную политику безопасности Standard.

По определению организации с Defender для Office 365 плана 2 не требуют дополнительных лицензий для оценки Defender для Office 365 плана 2, поэтому оценки в этих организациях являются неограниченными по длительности.

Сведения из предыдущего списка приведены в следующей таблице:

Организация	Регистрация из страница пробных версий?	Регистрация из страница оценки?	Доступные режимы	Evaluation period
Microsoft 365 E3	Да	Да	Режим аудита Режим блокировки¹	90 дней
Defender для Office 365 (план 1) Microsoft 365 бизнес премиум	Да	Да	Режим аудита Режим блокировки¹	90 дней 2
Microsoft 365 E5	Нет	Да	Режим аудита Режим блокировки¹ ³	Без ограничений

¹ Как описано ранее, режим блокировки (Standard предустановленной политики безопасности) недоступен, если почта Через Интернет проходит через службу защиты сторонних разработчиков или устройство перед доставкой в Microsoft 365.

2 Политики угроз из режима аудита (политики оценки) или режима блокировки (Standard предустановленной политики безопасности) не истечет или перестают работать через 90 дней. Возможности автоматизации, исследования, исправления и обучения, которые являются эксклюзивными для Defender для Office 365 плана 2, перестают работать через 90 дней.

³ Оценка настраивается в режиме аудита (политики оценки). В любой момент после завершения настройки можно перейти в режим блокировки (Standard предустановленной политики безопасности), как описано в разделе Преобразование в защиту Standard.

Теперь, когда вы понимаете различия между оценками, пробами, режимом аудита и режимом блокировки, вы можете настроить оценку или пробную версию, как описано в следующих разделах.

Настройка оценки или пробной версии в режиме аудита

Помните, что при оценке или пробе Defender для Office 365 в режиме аудита создаются специальные политики оценки для Defender для Office 365 для обнаружения угроз. Параметры этих политик оценки описаны в разделе Политики в режиме аудита далее в этой статье.

Запустите оценку в любом из доступных расположений на портале Microsoft Defender по адресу https://security.microsoft.com. Например:
- На баннере в верхней части любой страницы функций Defender для Office 365 выберите Начать бесплатную пробную версию.
- На странице пробных версий Microsoft 365 найдите https://security.microsoft.com/trialHorizontalHubи выберите Defender для Office 365.
- На странице Microsoft Defender для оценки Office 365 по адресу https://security.microsoft.com/atpEvaluationвыберите Начать оценку.
Диалоговое окно Включение защиты недоступно в организациях с Defender для Office 365 плана 1 или плана 2.

В диалоговом окне Включение защиты выберите Нет, мне нужны только отчеты, а затем нажмите кнопку Продолжить.
В диалоговом окне Выбор пользователей, которых вы хотите включить , настройте следующие параметры:
- Все пользователи: по умолчанию и рекомендуемый параметр.
- Конкретные пользователи. Если выбран этот параметр, необходимо выбрать внутренних получателей, к которым применяется оценка:
  - Пользователи. Указывает один или несколько почтовых ящиков, пользователей почты или почтовых контактов.
  - Группы.
    - Члены указанных групп рассылки или групп безопасности с поддержкой почты (динамические группы рассылки не поддерживаются).
    - Указанный Группы Microsoft 365 (группы динамического членства в Microsoft Entra ID не поддерживаются).
  - Домены: все получатели в организации с основной адрес электронной почты в указанном принятом домене.
  Совет
  
  Поддомены включаются автоматически, если вы специально не исключили их. Например, политика, включающая contoso.com также включает marketing.contoso.com, если вы не исключили marketing.contoso.com.
  
  Щелкните поле, начните вводить значение и выберите значение из результатов под полем. Повторите эти действия необходимое количество раз. Чтобы удалить существующее значение, щелкните рядом со значением в поле .
  
  Для пользователей и групп можно использовать большинство идентификаторов (имя, отображаемое имя, псевдоним, адрес электронной почты, имя учетной записи и т. д.), но в результатах будет выведено отображаемое имя. Если вы являетесь пользователем, введите звездочку (*) без добавлений, чтобы увидеть все доступные значения.
  
  Условие получателя можно использовать только один раз, но условие может содержать несколько значений:
  - Несколько значений одного условия используют логику OR (например, <recipient1> или <recipient2>). Если получатель соответствует любому из указанных значений, к нему применяется политика.
  - Различные типы условий используют логику AND. Получатель должен соответствовать всем указанным условиям для применения политики к нему. Например, вы настраиваете условие со следующими значениями:
    - Пользователей: romain@contoso.com
    - Группы: руководители
    Политика применяется только в romain@contoso.com том случае, если он также является членом группы руководителей. В противном случае политика к нему не применяется.
Завершив работу в диалоговом окне Выберите пользователей, которых вы хотите включить , нажмите кнопку Продолжить.
В диалоговом окне Помогите нам разобраться в потоке обработки почты настройте следующие параметры:
- Один из следующих параметров автоматически выбирается в зависимости от обнаружения записи MX для вашего домена:
  - Я использую стороннее или локальное поставщик услуг: запись MX для точек домена, отличных от Microsoft 365. Проверьте или настройте следующие параметры:
    - Сторонняя служба, используемая вашей организацией: проверьте или выберите одно из следующих значений:
      - Другое. Для этого значения также требуются сведения в разделе Если сообщения электронной почты проходят через несколько шлюзов, выведите список IP-адресов каждого шлюза, который доступен только для значения Other. Используйте это значение, если используется локальный поставщик услуг.
        
        Введите разделенный запятыми список IP-адресов, которые используются службой защиты сторонних разработчиков или устройством для отправки почты в Microsoft 365.
      - Барракуда
      - IronPort
      - Mimecast
      - Proofpoint
      - Софос
      - Symantec
      - Trend Micro
    - Соединитель для применения этой оценки: выберите соединитель, используемый для потока почты в Microsoft 365.
      
      Расширенная фильтрация для соединителей (также известная как пропустить список) автоматически настраивается для указанного соединителя.
      
      Если служба или устройство сторонних разработчиков находятся перед Microsoft 365, расширенная фильтрация для соединителей:
      - Правильно определяет источник интернет-сообщений.
      - Значительно повышает точность функций Microsoft 365:
        
        Подделательная аналитика
        
        Возможности после нарушения безопасности в Обозреватель угроз и Автоматизированное исследование & реагирования (AIR).
  - Я использую только Microsoft Exchange Online: записи MX для вашего домена указывают на Microsoft 365. Ничего не нужно настраивать, поэтому нажмите кнопку Готово.
- Общий доступ к данным с корпорацией Майкрософт. Этот параметр не выбран по умолчанию, но при желании можно выбрать поле проверка.
Завершив работу в диалоговом окне Помочь нам понять ваш поток обработки почты , нажмите кнопку Готово.
Когда настройка будет завершена, появится диалоговое окно "Показать вокруг ". Выберите Начать тур или Закрыть.

Настройка оценки или пробной версии в режиме блокировки

Помните, что при использовании Defender для Office 365 в режиме блокировки включается предустановленная безопасность Standard и указанные пользователи (некоторые или все) включаются в предустановленную политику безопасности Standard. Дополнительные сведения о предустановленной политике безопасности Standard см. в разделе Предустановленные политики безопасности.

Запустите пробную версию в любом из доступных расположений на портале Microsoft Defender по адресу https://security.microsoft.com. Например:
- На баннере в верхней части любой страницы функций Defender для Office 365 выберите Начать бесплатную пробную версию.
- На странице пробных версий Microsoft 365 найдите https://security.microsoft.com/trialHorizontalHubи выберите Defender для Office 365.
- На странице Microsoft Defender для оценки Office 365 по адресу https://security.microsoft.com/atpEvaluationвыберите Начать оценку.
Диалоговое окно Включение защиты недоступно в организациях с Defender для Office 365 плана 1 или плана 2.

В диалоговом окне Включение защиты выберите Да, защитите организацию, блокируя угрозы, а затем нажмите кнопку Продолжить.
В диалоговом окне Выбор пользователей, которых вы хотите включить , настройте следующие параметры:
- Все пользователи: по умолчанию и рекомендуемый параметр.
- Выбор пользователей. Если выбран этот параметр, необходимо выбрать внутренних получателей, к которым применяется пробная версия:
  - Пользователи. Указывает один или несколько почтовых ящиков, пользователей почты или почтовых контактов.
  - Группы.
    - Члены указанных групп рассылки или групп безопасности с поддержкой почты (динамические группы рассылки не поддерживаются).
    - Указанный Группы Microsoft 365 (группы динамического членства в Microsoft Entra ID не поддерживаются).
  - Домены: все получатели в организации с основной адрес электронной почты в указанном принятом домене.
  Совет
  
  Поддомены включаются автоматически, если вы специально не исключили их. Например, политика, включающая contoso.com также включает marketing.contoso.com, если вы не исключили marketing.contoso.com.
  
  Щелкните поле, начните вводить значение и выберите значение из результатов под полем. Повторите эти действия необходимое количество раз. Чтобы удалить существующее значение, щелкните рядом со значением в поле .
  
  Для пользователей и групп можно использовать большинство идентификаторов (имя, отображаемое имя, псевдоним, адрес электронной почты, имя учетной записи и т. д.), но в результатах будет выведено отображаемое имя. Если вы являетесь пользователем, введите звездочку (*) без добавлений, чтобы увидеть все доступные значения.
  
  Условие получателя можно использовать только один раз, но условие может содержать несколько значений:
  - Несколько значений одного условия используют логику OR (например, <recipient1> или <recipient2>). Если получатель соответствует любому из указанных значений, к нему применяется политика.
  - Различные типы условий используют логику AND. Получатель должен соответствовать всем указанным условиям для применения политики к нему. Например, вы настраиваете условие со следующими значениями:
    - Пользователей: romain@contoso.com
    - Группы: руководители
    Политика применяется только в romain@contoso.com том случае, если он также является членом группы руководителей. В противном случае политика к нему не применяется.
Завершив работу в диалоговом окне Выберите пользователей, которых вы хотите включить , нажмите кнопку Продолжить.
По мере настройки оценки появится диалоговое окно хода выполнения. После завершения настройки нажмите кнопку Готово.

Управление оценкой или пробной версией Defender для Office 365

После настройки оценки или пробной версии в режиме аудитаMicrosoft Defender для Office 365 страницы оценки в https://security.microsoft.com/atpEvaluation вашем центральном расположении для результатов пробного использования Defender для Office 365 план 2.

На портале Microsoft Defender по адресу https://security.microsoft.comвыберите Email & политики совместной работы>& правила>Политики> угроз выберите Режим оценки в разделе Другие. Или, чтобы перейти непосредственно на страницу оценки Microsoft Defender для Office 365, используйте https://security.microsoft.com/atpEvaluation.

Действия, доступные на странице оценки Microsoft Defender для Office 365, описаны в следующих подразделах.

Управление параметрами оценки

На странице оценки Microsoft Defender для Office 365 выберите https://security.microsoft.com/atpEvaluationУправление параметрами оценки.

Во всплывающем окне Управление параметрами оценки MDO доступны следующие сведения и параметры:

Указывает, включена ли оценка, отображается в верхней части всплывающего окна (оценка включена или выкл. оценка). Эти сведения также доступны на странице оценки Microsoft Defender для Office 365.

Действие Отключить или Включить позволяет отключить или включить политики оценки.
Сколько дней осталось в оценке, отображается в верхней части всплывающего окна (осталось nn дней).
Раздел Возможностей обнаружения. Используйте переключатели, чтобы включить или отключить следующий Защитник для защиты Office 365:
- Безопасные ссылки
- Безопасные вложения
- Защита от фишинга
Раздел Пользователи, группы и домены . Выберите Изменить пользователей, групп и доменов, чтобы изменить, к кому применяется оценка или пробная версия, как описано выше в разделе Настройка оценки или пробной версии в режиме аудита.
Раздел параметров олицетворения:
- Если защита олицетворения не настроена в политике оценки защиты от фишинга, выберите Применить защиту олицетворения , чтобы настроить защиту олицетворения:
  - Внутренние и внешние отправители, которые получают защиту олицетворения пользователя.
  - Личные домены, которые получают защиту олицетворения домена.
  - Доверенные отправители и домены, которые следует исключить из защиты олицетворения.
  Шаги по сути те же, что описаны в разделе олицетворение на шаге 5 статьи Использование портала Microsoft Defender для создания политик защиты от фишинга.
- Если защита олицетворения настроена в политике оценки защиты от фишинга, в этом разделе показаны параметры защиты олицетворения для:
  - Защита олицетворения пользователя
  - Защита олицетворения домена
  - Надежные олицетворенные отправители и домены
  Чтобы изменить параметры, выберите Изменить параметры олицетворения.

Завершив работу во всплывающем окне Управление параметрами оценки MDO , выберите Закрыть.

Преобразование в защиту Standard

Для оценки или пробной версии можно переключиться из режима аудита (политики оценки) в режим блокировки (Standard предустановленной политики безопасности) с помощью любого из следующих методов:

На странице оценки Microsoft Defender для Office 365 выберите Преобразовать в стандартную защиту.
Во всплывающем окне Управление параметрами оценки MDO: на странице Microsoft Defender для оценки Office 365 выберите Управление параметрами оценки. Во всплывающем окне сведений выберите Преобразовать в стандартную защиту.

После выбора параметра Преобразовать в стандартную защиту прочитайте сведения в открывшемся диалоговом окне и нажмите кнопку Продолжить.

Вы перейдете к мастеру применения стандартной защиты на странице Предустановленные политики безопасности . Список получателей, включенных и исключенных из оценки или пробной версии, копируется в предустановленную политику безопасности Standard. Дополнительные сведения см. в статье Назначение пользователям Standard и строгих предустановленных политик безопасности с помощью портала Microsoft Defender.

Политики угроз в предустановленной политике безопасности Standard имеют более высокий приоритет, чем политики оценки. Политики угроз в Standard предустановленной безопасности всегда применяются перед политиками оценки, даже если они присутствуют и включены.
Нет автоматического способа перехода из режима блокировки в режим аудита. Ниже приведены действия, выполняемые вручную.
1. Отключите предустановленную политику безопасности Standard на странице Предустановленные политики безопасности по адресу https://security.microsoft.com/presetSecurityPolicies.
2. На странице оценки Microsoft Defender для Office 365 по адресу https://security.microsoft.com/atpEvaluationубедитесь, что отображается значение Оценка в.
  
  Если отображается значение Выкл. оценка , выберите Управление параметрами оценки. Во всплывающем окне Управление параметрами оценки MDO выберите Включить.
3. Выберите Управление параметрами оценки , чтобы проверить пользователей, к которым применяется оценка, в разделе Пользователи, группы и домены во всплывающем окне Управление параметрами оценки MDO , которое откроется.

Отчеты об оценке или пробной версии Defender для Office 365

В этом разделе описываются отчеты, доступные в режиме аудита и в режиме блокировки.

Отчеты о режиме блокировки

Специальные отчеты не создаются для режима блокировки, поэтому используйте стандартные отчеты в Defender для Office 365. Используйте существующие отчеты, которые применяются только к функциям Defender для Office 365 или содержат фильтры Defender для Office 365:

Представление "Поток почты" для отчета о состоянии потока почты:
- Сообщения, обнаруженные как олицетворение пользователя или олицетворение домена политиками защиты от фишинга, отображаются в блоке олицетворения.
- Сообщения, обнаруженные во время детонации файла или URL-адреса политиками безопасных вложений или политиками безопасных ссылок, отображаются в блоке детонации.
Отчет о состоянии защиты от угроз:

Многие представления в отчете о состоянии защиты от угроз можно отфильтровать по значению MDOProtected, чтобы увидеть эффекты Defender для Office 365.
- Просмотр данных по обзору
- Просмотр данных по Email > фишинга и разбивка диаграмм по технологии обнаружения
  - Сообщения, обнаруженные кампаниями, отображаются в разделе Кампания.
  - Сообщения, обнаруженные безопасными вложениями, отображаются в разделе Детонация файла и репутация детонации файла.
  - Сообщения, обнаруженные защитой олицетворения пользователя в политиках защиты от фишинга, отображаются в домене олицетворения, пользователем олицетворения и олицетворением аналитики почтовых ящиков.
  - Сообщения, обнаруженные безопасными ссылками, отображаются в поле Детонация URL-адреса и репутация детонации URL-адреса.
- Просмотр данных по Email > вредоносных программ и разбивка диаграмм по технологии обнаружения
  - Сообщения, обнаруженные кампаниями, отображаются в разделе Кампания.
  - Сообщения, обнаруженные безопасными вложениями, отображаются в разделе Детонация файла и репутация детонации файла.
  - Сообщения, обнаруженные безопасными ссылками, отображаются в поле Детонация URL-адреса и репутация детонации URL-адреса.
- Просмотр данных по Email > спаму и разбивке диаграмм по технологии обнаружения
  
  Сообщения, обнаруженные безопасными ссылками, отображаются в URL-адресе вредоносной репутации.
- Разбивка диаграммы по типу политики
  
  Сообщения, обнаруженные безопасными вложениями, отображаются в разделе Безопасные вложения
- Просмотр данных по содержимому > вредоносных программ
  
  Вредоносные файлы , обнаруженные безопасными вложениями для SharePoint, OneDrive и Microsoft Teams, отображаются в детонации MDO.
Отчет "Основные отправители и получатели"

Отображение данных для основных получателей вредоносных программ (MDO) и показать данные для основных получателей фишинга (MDO).
Отчет о защите URL-адресов

Отчеты для режима аудита

В режиме аудита вы ищете отчеты, в которых отображаются обнаружения политиками оценки, как описано в следующем списке:

На странице сущности Email отображается следующий баннер в сведениях об обнаружении сообщений на вкладке Анализ для неправильного вложения, URL-адреса нежелательной почты и вредоносных программ, URL-адреса фишинга и сообщений олицетворения, обнаруженных при оценке Defender для Office 365:
Страница оценки Microsoft Defender для Office 365 на странице https://security.microsoft.com/atpEvaluation объединяет обнаружения из стандартных отчетов, доступных в Defender для Office 365. Отчеты на этой странице в основном фильтруются по оценке: да , чтобы отображать обнаружения только политиками оценки, но в большинстве отчетов также используются другие уточняющие фильтры.

По умолчанию в отчете на странице отображаются данные за последние 30 дней, но вы можете отфильтровать диапазон дат, выбрав 30 дней и выбрав следующие значения, которые меньше 30 дней:
- 24 часа
- 7 дней
- 14 дней
- Пользовательский диапазон дат
Фильтр диапазона дат влияет на данные, отображаемые в сводке отчета на странице и в основном отчете при выборе пункта Просмотреть сведения в карта.

Нажмите кнопку Скачать , чтобы скачать данные диаграммы в файл .csv.
- Следующие отчеты на странице оценки Microsoft Defender для Office 365 содержат отфильтрованные сведения из определенных представлений в отчете о состоянии защиты от угроз:
  - Email ссылки:
    - Представление отчета: просмотр данных по Email > фишинга и разбивка диаграмм по технологии обнаружения
    - Фильтры обнаружения : репутация детонации URL-адреса и детонация URL-адреса.
  - Вложения в сообщении электронной почты:
    - Представление отчета: просмотр данных по Email > фишинга и разбивка диаграмм по технологии обнаружения
    - Фильтры обнаружения : детонация файла и репутация детонации файла.
  - Олицетворение
    - Представление отчета: просмотр данных по Email > фишинга и разбивка диаграмм по технологии обнаружения
    - Фильтры обнаружения : пользователь олицетворения, домен олицетворения и олицетворение аналитики почтовых ящиков.
  - Ссылки на вложения
    - Представление отчета: просмотр данных по Email > вредоносных программ и разбивка диаграмм по технологии обнаружения
    - Фильтры обнаружения : детонация URL-адреса и репутация детонации URL-адреса.
  - Внедренные вредоносные программы
    - Представление отчета: просмотр данных по Email > вредоносных программ и разбивка диаграмм по технологии обнаружения
    - Фильтры обнаружения : детонация файла и репутация детонации файла.
  - Подделанные отправители:
    - Представление отчета: просмотр данных по Email > фишинга и разбивка диаграмм по технологии обнаружения
    - Фильтры обнаружения : подделка внутри организации, внешний домен Spoof и Spoof DMARC.
- Защита от щелчков URL-адресов в режиме реального времени использует действие Просмотр данных по URL-адресу в отчете о защите URL-адресов , отфильтрованном по оценке: Да.
  
  Хотя элемент Просмотр данных по URL-адресу в отчете о защите URL-адресов не отображается на странице оценки Microsoft Defender для Office 365, его также можно фильтровать по оценке: Да.

Необходимые разрешения

Для настройки оценки или пробной версии Defender для Microsoft 365 в Microsoft Entra ID требуются следующие разрешения:

Создание, изменение или удаление оценки или пробной версии. Членство в ролях администратора безопасности или глобального администратора^* .
Просмотр политик и отчетов оценки в режиме аудита: членство в ролях администратора безопасности или читателя безопасности .

Дополнительные сведения о разрешениях Microsoft Entra на портале Microsoft Defender см. в разделе роли Microsoft Entra на портале Microsoft Defender.

Важно!

^* Корпорация Майкрософт решительно выступает за принцип наименьших привилегий. Назначение учетным записям только минимальных разрешений, необходимых для выполнения их задач, помогает снизить риски безопасности и повысить общую защиту вашей организации. Глобальный администратор — это очень привилегированная роль, которую следует ограничить сценариями чрезвычайных ситуаций или в случаях, когда вы не можете использовать другую роль.

Вопросы и ответы

Вопрос. Нужно ли вручную получать или активировать пробные лицензии?

О: Нет. Пробная версия автоматически подготавливает лицензии Defender для Office 365 плана 2, если они вам нужны, как описано ранее.

Вопрос: Разделы справки продлить пробную версию?

О. См. статью Продление пробной версии.

Вопрос. Что происходит с моими данными после истечения срока действия пробной версии?

О. По истечении срока действия пробной версии вы получите доступ к пробным данным (данным из функций в Defender для Office 365, которых у вас не было ранее) в течение 30 дней. По истечении этого 30-дневного периода все политики и данные, связанные с пробной версией Defender для Office 365, удаляются.

Вопрос. Сколько раз можно использовать пробную версию Defender для Office 365 в организации?

О. Не более двух раз. Если срок действия первой пробной версии истек, необходимо подождать по крайней мере 30 дней после истечения срока действия, прежде чем снова зарегистрироваться в пробной версии Defender для Office 365. После второй пробной версии вы не сможете зарегистрироваться в другой пробной версии.

Вопрос. В режиме аудита существуют ли сценарии, в которых Defender для Office 365 работает с сообщениями?

Ответ: Да. Для защиты службы никто в какой-либо программе или подписке не может отключить или обойти действия Microsoft 365 для сообщений, классифицированных как вредоносные программы или фишинг с высокой степенью достоверности.

Вопрос. В каком порядке оцениваются политики?

О. Сведения о предустановленных политиках безопасности и других политиках см. в разделе Порядок приоритета.

Параметры политики, связанные с оценками и пробными версиями Defender для Office 365

Политики в режиме аудита

Предупреждение

Не пытайтесь создать, изменить или удалить отдельные политики угроз, связанные с оценкой Defender для Office 365. Единственным поддерживаемым способом создания отдельных политик угроз для оценки является первый запуск оценки или пробной версии в режиме аудита на портале Microsoft Defender.

Как описано ранее, при выборе режима аудита для оценки или пробной версии автоматически создаются политики оценки с необходимыми параметрами для наблюдения за сообщениями, но не для выполнения действий.

Чтобы просмотреть эти политики и их параметры, выполните следующую команду в Exchange Online PowerShell:

Write-Output -InputObject ("`r`n"*3),"Evaluation anti-phishing policy",("-"*79); Get-AntiPhishPolicy | Where-Object -Property RecommendedPolicyType -eq -Value "Evaluation"; Write-Output -InputObject ("`r`n"*3),"Evaluation Safe Attachments policy",("-"*79); Get-SafeAttachmentPolicy | Where-Object -Property RecommendedPolicyType -eq -Value "Evaluation"; Write-Output -InputObject ("`r`n"*3),"Evaluation Safe Links policy",("-"*79);Get-SafeLinksPolicy | Where-Object -Property RecommendedPolicyType -eq -Value "Evaluation"

Параметры также описаны в следующих таблицах.

Параметры политики оценки защиты от фишинга

Параметр	Значение
Name	Политика оценки
AdminDisplayName	Политика оценки
AuthenticationFailAction	MoveToJmf
DmarcQuarantineAction	Карантин
DmarcRejectAction	Отклонение
Включено	Верно
EnableFirstContactSafetyTips	Неверно
EnableMailboxIntelligence	Верно
EnableMailboxIntelligenceProtection	Верно
EnableOrganizationDomainsProtection	Неверно
EnableSimilarDomainsSafetyTips	Неверно
EnableSimilarUsersSafetyTips	Неверно
EnableSpoofIntelligence	Верно
EnableSuspiciousSafetyTip	Неверно
EnableTargetedDomainsProtection	Неверно
EnableTargetedUserProtection	Неверно
EnableUnauthenticatedSender	Верно
EnableUnusualCharactersSafetyTips	Неверно
EnableViaTag	Верно
Исключенные домены	{}
ИсключенныеSenders	{}
ExcludedSubDomains	{}
HonorDmarcPolicy	Верно
ImpersonationProtectionState	Вручную
IsDefault	Неверно
MailboxIntelligenceProtectionAction	NoAction
MailboxIntelligenceProtectionActionRecipients	{}
MailboxIntelligenceQuarantineTag	DefaultFullAccessPolicy
PhishThresholdLevel	3
PolicyTag
RecommendedPolicyType	Evaluation
SpoofQuarantineTag	DefaultFullAccessPolicy
TargetedDomainActionRecipients	{}
TargetedDomainProtectionAction	NoAction
TargetedDomainQuarantineTag	DefaultFullAccessPolicy
TargetedDomainsToProtect	{}
TargetedUserActionRecipients	{}
TargetedUserProtectionAction	NoAction
TargetedUserQuarantineTag	DefaultFullAccessPolicy
TargetedUsersToProtect	{}

Параметры политики оценки безопасных вложений

Параметр	Значение
Name	Политика оценки
Действие	Разрешить
AdminDisplayName	Политика оценки
Включение	Верно
EnableOrganizationBranding	Неверно
IsBuiltInProtection	Неверно
IsDefault	Неверно
QuarantineTag	AdminOnlyAccessPolicy
RecommendedPolicyType	Evaluation
Перенаправление	Неверно
RedirectAddress

Параметры политики оценки безопасных связей

Параметр	Значение
Name	Политика оценки
AdminDisplayName	Политика оценки
AllowClickThrough	Верно
CustomNotificationText
DeliverMessageAfterScan	Верно
DisableUrlRewrite	Верно
DoNotRewriteUrls	{}
EnableForInternalSenders	Неверно
EnableOrganizationBranding	Неверно
EnableSafeLinksForEmail	Верно
EnableSafeLinksForOffice	Неверно
EnableSafeLinksForTeams	Неверно
IsBuiltInProtection	Неверно
LocalizedNotificationTextList	{}
RecommendedPolicyType	Evaluation
ScanUrls	Верно
TrackClicks	Верно

Использование PowerShell для настройки условий и исключений получателей для оценки или пробной версии в режиме аудита

Правило, связанное с политиками оценки Defender для Office 365, управляет условиями и исключениями получателей в оценке.

Чтобы просмотреть правило, связанное с оценкой, выполните следующую команду в Exchange Online PowerShell:

Get-ATPEvaluationRule

Чтобы использовать Exchange Online PowerShell для изменения того, к кому относится оценка, используйте следующий синтаксис:

Set-ATPEvaluationRule -Identity "Evaluation Rule" -SentTo <"user1","user2",... | $null> -ExceptIfSentTo <"user1","user2",... | $null> -SentToMemberOf <"group1","group2",... | $null> -ExceptIfSentToMemberOf <"group1","group2",... | $null> -RecipientDomainIs <"domain1","domain2",... | $null> -ExceptIfRecipientDomainIs <"domain1","domain2",... | $null>

В этом примере настраиваются исключения из оценки для указанных почтовых ящиков операций безопасности (SecOps).

Set-ATPEvaluationRule -Identity "Evaluation Rule" -ExceptIfSentTo "SecOps1","SecOps2"

Включение или отключение оценки или пробной версии в режиме аудита с помощью PowerShell

Чтобы включить или отключить оценку в режиме аудита, необходимо включить или отключить правило, связанное с оценкой. Значение свойства State правила оценки показывает, включено ли правило или отключено.

Выполните следующую команду, чтобы определить, включена или отключена оценка:

Get-ATPEvaluationRule -Identity "Evaluation Rule" | Format-Table Name,State

Чтобы отключить оценку, выполните следующую команду:

Disable-ATPEvaluationRule -Identity "Evaluation Rule"

Чтобы включить оценку, выполните следующую команду:

Enable-ATPEvaluationRule -Identity "Evaluation Rule"

Политики в режиме блокировки

Как описано ранее, политики режима блокировки создаются с помощью шаблона Standard для предустановленных политик безопасности.

Сведения об использовании Exchange Online PowerShell для просмотра отдельных политик угроз, связанных с предустановленной политикой безопасности Standard, а также для просмотра и настройки условий и исключений получателей для предустановленной политики безопасности см. в статье Предустановленные политики безопасности в Exchange Online PowerShell.

Обратная связь

Были ли сведения на этой странице полезными?

Last updated on 2025-04-18