Hantera och åtgärda säkerhetsaviseringar

Microsoft Defender för molnet samlar in, analyserar och integrerar loggdata från dina Azure-, hybrid- och multicloud-resurser, nätverket och anslutna partnerlösningar, såsom brandväggar och endpoint-agenter. Defender för molnet använder loggdata för att identifiera verkliga hot och minska falska positiva identifieringar. Defender för molnet visar en lista över prioriterade säkerhetsvarningar tillsammans med den information du behöver för att snabbt undersöka problemet och vilka steg som ska vidtas för att åtgärda en attack.

Titta, undersök och svara på säkerhetsvarningar i Defender för molnet

Den här artikeln visar hur du visar och bearbetar Defender för molnet-aviseringar och skyddar dina resurser.

När du triagerar säkerhetslarm, prioritera dem baserat på deras allvar. Ta upp varningar med högre allvarlighetsgrad först. För att lära dig mer, se hur varningar klassificeras.

Tip

Du kan ansluta Microsoft Defender för molnet till SIEM-lösningar, inklusive Microsoft Sentinel, och använda aviseringarna från valfritt verktyg. Läs mer om hur du strömmar aviseringar till en SIEM-, SOAR- eller IT-tjänsthanteringslösning.

Förutsättningar

För förutsättningar och krav, se Supportmatriser för Defender för molnet.

Hantera dina säkerhetsaviseringar

Följ de här stegen:

Logga in på Azure-portalen.
Gå till Microsoft Defender för molnet>Säkerhetsaviseringar.
(Valfritt) Filtrera aviseringslistan med något av de relevanta filtren. Lägg till extra filter genom att välja Lägg till filter.

Aviseringslistan uppdateras enligt de filter du väljer. Till exempel kan du vilja åtgärda säkerhetslarm som inträffat under de senaste 24 timmarna för att undersöka ett potentiellt intrång i systemet.

Undersöka en säkerhetsavisering

Varje varning innehåller information som hjälper dig att undersöka varningen.

Så här undersöker du en säkerhetsavisering:

Välj en avisering. En panel öppnas och visar en beskrivning av varningen och alla berörda resurser.
Granska den övergripande informationen om säkerhetsaviseringen.
- Allvarlighetsgrad, status och aktivitetstid för aviseringar
- Beskrivning som förklarar den exakta aktivitet som identifierades
- Berörda resurser
- Dödskedjeavsikt för aktiviteten på MITRE ATT&CK-matrisen, om tillämpligt
Välj Visa fullständig information.

Den högra panelen innehåller fliken Varningsdetaljer som innehåller fler detaljer för att hjälpa dig undersöka varningen, såsom IP-adresser, filer och processer.

Den högra panelen innehåller också fliken Vidta åtgärder . Använd denna flik för att vidta ytterligare åtgärder angående säkerhetsvarningen, såsom:
- Inspektera resurskontext: Tar dig till resursens aktivitetsloggar som stöder säkerhetsvarningen.
- Minska hotet: Tillhandahåller manuella åtgärder för denna säkerhetsvarning.
- Förhindra framtida attacker: Ger säkerhetsrekommendationer för att minska attackytan, öka säkerhetsnivån och därmed förhindra framtida attacker.
- Utlösa automatiserat svar: Ger möjlighet att trigga en logikapp som svar på denna säkerhetsvarning.
- Undertrycka liknande varningar: Ger möjlighet att undertrycka framtida varningar med liknande egenskaper om varningen inte är relevant för din organisation.
Kontakta resursägaren för att få mer information om varningen och kontrollera om den upptäckta aktiviteten är falskt positiv. Du kan också undersöka de råloggar som genererats av den attackerade resursen.

Ändra status för flera säkerhetsaviseringar samtidigt

Listan med aviseringar innehåller kryssrutor så att du kan hantera flera aviseringar samtidigt. Du kan till exempel välja att stänga alla informationsaviseringar för en viss resurs för prioriteringsändamål.

Filtrera efter de aviseringar som du vill hantera i grupp.

I det här exemplet väljs aviseringarna med allvarlighetsgraden Informational för resursen ASC-AKS-CLOUD-TALK .
Använd kryssrutorna för att välja vilka varningar som ska hanteras.

I detta exempel väljer du alla aviseringar. Knappen Ändra status är nu tillgänglig.
Använd alternativen Ändra status för att ange önskad status.

Ändra statusen för de varningar som visas på sidan Säkerhetsvarningar till det valda värdet.

Svara på en säkerhetsavisering

När du har undersökt en säkerhetsavisering kan du svara på aviseringen från Microsoft Defender för molnet.

För att svara på en säkerhetsvarning:

Öppna fliken Vidta åtgärd för att se de rekommenderade svaren.
I avsnittet Åtgärda hot finns de manuella undersökningssteg som krävs för att åtgärda problemet.
Om du vill förstärka dina resurser och förhindra framtida attacker av det här slaget kan du åtgärda säkerhetsrekommendationerna i avsnittet Förhindra framtida attacker .
Om du vill utlösa en logikapp med automatiserade svarssteg använder du avsnittet Utlösa automatiserat svar och väljer Utlösa logikapp.
Om den upptäckta aktiviteten inte är illvillig kan du undertrycka framtida varningar av detta slag genom att använda avsnittet Undertrycka liknande varningar och välja Skapa undertryckningsregel.
Välj Konfigurera inställningar för e-postnotiser för att se vem som tar emot e-post angående säkerhetsvarningar på denna prenumeration. Kontakta abonnentägaren för att konfigurera e-postinställningarna.
När du slutför utredningen av varningen och svarar på rätt sätt, ändra statusen till Avvisad.

Aviseringen tas bort från huvudaviseringslistan. Du kan använda filtret från sidan med aviseringslistan för att visa alla aviseringar med statusen Avvisad .
Vi rekommenderar att du ger feedback om aviseringen till Microsoft:
1. För Var detta användbart?, välj Ja eller Nej.
2. Välj en orsak och lägg till en kommentar.