Hantera och svara på säkerhetsaviseringar

Krav och krav finns i Supportmatriser för Defender för molnet.

Följ de här stegen:

1. Logga in på Azure-portalen.

2. Gå till Microsoft Defender för Cloud>Security-aviseringar.

   

3. (Valfritt) Filtrera aviseringslistan med något av de relevanta filtren. Du kan lägga till extra filter med alternativet Lägg till filter .

   

   Listan uppdateras enligt de filter som valts. Du kanske till exempel vill hantera säkerhetsaviseringar som har inträffat under de senaste 24 timmarna eftersom du undersöker ett potentiellt intrång i systemet.

Varje avisering innehåller information om aviseringen som hjälper dig i din undersökning.

Så här undersöker du en säkerhetsavisering:

1. Välj en avisering. En sidoruta öppnas och visar en beskrivning av aviseringen och alla berörda resurser.

   

2. Granska den övergripande informationen om säkerhetsaviseringen.

   • Allvarlighetsgrad, status och aktivitetstid för aviseringar
   • Beskrivning som förklarar den exakta aktivitet som identifierades
   • Berörda resurser
   • Avsikten att avsluta kedjan för aktiviteten i MITRE ATT&CK-matrisen (om tillämpligt)

3. Välj Visa fullständig information.

   Det högra fönstret innehåller fliken Aviseringsinformation som innehåller ytterligare information om aviseringen som hjälper dig att undersöka problemet: IP-adresser, filer, processer med mera.

   

   I den högra rutan finns även fliken Vidta åtgärd . Använd den här fliken om du vill vidta ytterligare åtgärder när det gäller säkerhetsaviseringen. Åtgärder som:

   • Granska resurskontext – skickar dig till resursens aktivitetsloggar som stöder säkerhetsaviseringen
   • Åtgärda hotet – tillhandahåller manuella reparationssteg för den här säkerhetsaviseringen
   • Förhindra framtida attacker – ger säkerhetsrekommendationer för att minska attackytan, öka säkerhetsstatusen och därmed förhindra framtida attacker
   • Utlösa automatiserat svar – ger möjlighet att utlösa en logikapp som ett svar på den här säkerhetsaviseringen
   • Ignorera liknande aviseringar – ger möjlighet att förhindra framtida aviseringar med liknande egenskaper om aviseringen inte är relevant för din organisation

   

   Om du vill ha mer information kontaktar du resursägaren för att kontrollera om den identifierade aktiviteten är en falsk positiv identifiering. Du kan också undersöka de rådataloggar som genereras av den angripna resursen.

Listan med aviseringar innehåller kryssrutor så att du kan hantera flera aviseringar samtidigt. Du kan till exempel välja att stänga alla informationsaviseringar för en viss resurs i trevande syften.

1. Filtrera efter de aviseringar som du vill hantera i grupp.

   I det här exemplet väljs aviseringarna med allvarlighetsgraden Informational för resursen ASC-AKS-CLOUD-TALK .

   

2. Använd kryssrutorna för att välja de aviseringar som ska bearbetas.

   I det här exemplet är alla aviseringar markerade. Knappen Ändra status är nu tillgänglig.

   

3. Använd alternativen Ändra status för att ange önskad status.

   

   Aviseringarna som visas på den aktuella sidan har statusen ändrad till det valda värdet.

När du har undersökt en säkerhetsavisering kan du svara på aviseringen från Microsoft Defender för molnet.

Så här svarar du på en säkerhetsavisering:

1. Öppna fliken Vidta åtgärd för att se de rekommenderade svaren.

   

2. I avsnittet Åtgärda hot finns de manuella undersökningssteg som krävs för att åtgärda problemet.

3. Om du vill förstärka dina resurser och förhindra framtida attacker av det här slaget kan du åtgärda säkerhetsrekommendationerna i avsnittet Förhindra framtida attacker .

4. Om du vill utlösa en logikapp med automatiserade svarssteg använder du avsnittet Utlösa automatiserat svar och väljer Utlösa logikapp.

5. Om den identifierade aktiviteten inte är skadlig kan du förhindra framtida aviseringar av den här typen med hjälp av avsnittet Ignorera liknande aviseringar och välja Skapa undertryckningsregel.

6. Välj Konfigurera e-postaviseringsinställningar för att visa vem som tar emot e-postmeddelanden om säkerhetsaviseringar för den här prenumerationen. Kontakta prenumerationsägaren för att konfigurera e-postinställningarna.

7. När du har slutfört undersökningen av aviseringen och svarat på lämpligt sätt ändrar du statusen till Avvisad.

   

   Aviseringen tas bort från huvudaviseringslistan. Du kan använda filtret från sidan med aviseringslistan för att visa alla aviseringar med statusen Avvisad .

8. Vi rekommenderar att du ger feedback om aviseringen till Microsoft:

   1. Markera aviseringen som Användbar eller Inte användbar.
   2. Välj en orsak och lägg till en kommentar.

   

   Dricks

   Vi granskar din feedback för att förbättra våra algoritmer och ge bättre säkerhetsaviseringar.

   Mer information om de olika typerna av aviseringar finns i Säkerhetsaviseringar – en referensguide.

   En översikt över hur Defender för molnet genererar aviseringar finns i Hur Microsoft Defender för molnet identifierar och svarar på hot.

   Granska resultatet av den agentlösa genomsökningen

   Resultat för både den agentbaserade och agentlösa skannern visas på sidan Säkerhetsaviseringar.

   

   Kommentar

   Om du åtgärdar en av dessa aviseringar åtgärdas inte den andra aviseringen förrän nästa genomsökning har slutförts.