Svara på Microsoft Defender för DNS-aviseringar

Viktigt!

• Från och med den 1 augusti 2023 kan kunder med en befintlig prenumeration på Defender för DNS fortsätta att använda tjänsten som en fristående plan.
• För nya prenumerationer ingår aviseringar om misstänkt DNS-aktivitet som en del av Defender for Servers Plan 2 (P2).
• Skyddsomfånget ändras inte: Defender för DNS fortsätter att skydda alla Azure-resurser som är anslutna till Azures standard-DNS-matchare. Ändringen påverkar hur DNS-skydd faktureras och paketeras, inte vilka resurser som omfattas.

När du får en säkerhetsvarning om misstänkta och avvikande aktiviteter som identifieras i DNS-transaktioner rekommenderar vi att du undersöker och svarar på aviseringen enligt beskrivningen nedan. Även om du är bekant med programmet eller användaren som utlöste aviseringen är det viktigt att verifiera situationen kring varje avisering.

Kontakta resursägaren

Beroende på aviseringen kan resursägaren vara den användare, det program eller den tjänst som utlöste aviseringen. Resursägaren är vanligtvis den person eller det team som ansvarar för resursen som genererade aviseringen.

1. Kontakta resursägaren för att avgöra om beteendet var förväntat eller avsiktligt.
2. Stäng aviseringen om aktiviteten förväntas.
3. Om aktiviteten är oväntad behandlar du resursen som potentiellt komprometterad och minimerar enligt beskrivningen i nästa steg.

Mildra aviseringen

Om resursägaren bekräftar att aktiviteten är oväntad bör aviseringen minimeras så snart som möjligt för att förhindra ytterligare skador.

1. Isolera resursen från nätverket för att förhindra lateral förflyttning.
2. Kör en fullständig genomsökning av program mot skadlig kod på resursen efter eventuella resulterande reparationsråd.
3. Granska installerad och kör programvara på resursen och ta bort alla okända eller oönskade paket.
4. Återställ datorn till ett känt bra tillstånd, installera om operativsystemet om det behövs och återställ programvara från en verifierad källa utan skadlig kod.
5. Lös eventuella Microsoft Defender for Cloud-rekommendationer för datorn och åtgärda markerade säkerhetsproblem för att förhindra framtida överträdelser.

Relaterat innehåll

• Lär dig hur du exporterar Defender for Cloud-aviseringar till ditt siem-system (centraliserad säkerhetsinformation och händelsehantering), till exempel Microsoft Sentinel, siem från tredje part eller något annat externt verktyg.

• Lär dig hur du skickar aviseringar i realtid till Log Analytics eller Event Hubs för att skapa automatiserade processer för att analysera och svara på säkerhetsaviseringar.

Nästa steg

Hantera säkerhetsaviseringar