Visa och organisera kön för Microsoft Defender för Endpoint-larm

Kön Aviseringar visar en lista över aviseringar som har flaggats från enheter i nätverket. Som standard visar kön aviseringar som setts under de senaste sju dagarna i en grupperad vy. De senaste aviseringarna visas högst upp på listan.

Obs

Aviseringarna minskas avsevärt genom automatiserad utredning och korrigering. Denna praxis gör det möjligt för säkerhetsexperter att fokusera på mer sofistikerade hot och andra högvärdiga initiativ.

När en varning innehåller en stödd entitet för automatiserad undersökning, såsom en fil, i en enhet som har ett operativsystem som stöds för sig, kan automatiserad utredning och åtgärd påbörjas. Mer information finns i Översikt över automatiserade undersökningar.

Det finns flera alternativ som du kan välja mellan för att anpassa aviseringsvyn.

I den övre navigeringen kan du:

• Anpassa kolumner för att lägga till eller ta bort kolumner
• Använd filter
• Visa aviseringar för en viss varaktighet, till exempel 1 dag, 3 dagar, 1 vecka, 30 dagar och 6 månader
• Exportera aviseringslistan till Excel
• Hantera aviseringar

Sortera och filtrera aviseringar

Du kan använda följande filter för att begränsa listan över aviseringar och få en mer fokuserad vy över aviseringarna.

Allvarlighetsgrad

Aviseringens allvarlighetsgrad	Beskrivning
Hög (Röd)	Aviseringar som vanligtvis är associerade med avancerade ihållande hot (APT). Dessa aviseringar indikerar en hög risk på grund av hur allvarlig skada de kan orsaka på enheter. Några exempel är: verktyg för stöld av autentiseringsuppgifter och sådana aktiviteter, utpressningstrojanaktiviteter som inte är associerade med någon grupp, manipulering av säkerhetssensorer eller skadliga aktiviteter som tyder på en mänsklig angripare.
Medel (Orange)	Aviseringar från beteenden efter intrång inom identifiering och åtgärd på slutpunkter som kan vara en del av ett avancerat beständigt hot (APT). Dessa beteenden inkluderar observerade beteenden typiska för attackfaser, avvikande registerändringar och exekvering av misstänkta filer. Även om vissa kan vara en del av intern säkerhetstestning kräver denna allvarlighetsgrad en undersökning eftersom det också kan vara en del av en avancerad attack.
Låg (Gul)	Varningar om hot som är relaterade till vanlig skadlig kod. Till exempel hackverktyg, icke-skadliga hackverktyg, såsom att köra utforskningskommandon och rensa loggar, som ofta inte indikerar ett avancerat hot riktat mot organisationen. Denna nivå kan också komma från testning av ett isolerat säkerhetsverktyg av en användare i din organisation.
Informativ (Grå)	Aviseringar som kanske inte anses vara skadliga för nätverket, men som kan bidra till att öka organisationens säkerhetsmedvetenhet kring potentiella säkerhetsproblem.

Förstå varningars allvarlighetsgrad

Allvarlighetsgraderna för aviseringar i Microsoft Defender Antivirus och Defender för Endpoint skiljer sig åt eftersom de representerar olika omfång.

• Allvarlighetsgraden på hot i Microsoft Defender Antivirus representerar den absoluta allvarlighetsgraden för det upptäckta hotet (skadlig programvara). Den tilldelas baserat på den potentiella risken för den enskilda enheten, om den är infekterad.
• Defender for Endpoint-larmens allvarlighetsgrad representerar allvaret i det upptäckta beteendet, vilket är den faktiska risken för enheten men viktigare den potentiella risken för organisationen.

Ett exempel:

• Allvarligheten i en Defender for Endpoint-varning om att ett Microsoft Defender Antivirus upptäckte ett hot som förhindrades och inte infekterade enheten kategoriseras som Information eftersom det inte fanns någon faktisk skada.
• Kommersiell skadlig kod som upptäcks medan den körs men blockeras och åtgärdas av Microsoft Defender Antivirus genererar en låg varning eftersom den kan ha orsakat viss skada på den enskilda enheten men utgör inget organisatoriskt hot.
• Skadlig kod som upptäcks medan den körs och kan utgöra ett hot både mot den enskilda enheten och organisationen kan rankas som Medel eller Hög, oavsett om den slutligen blockeras.
• Misstänkta beteendevarningar, som inte blockerades eller åtgärdades, klassificeras som låg, medel eller hög enligt samma organisatoriska hotöverväganden.

Status

Du kan välja att filtrera listan över varningar baserat på deras status.

Obs

Om du ser en varningsstatus för Alerttyp som inte stöds, betyder det att automatiserade utredningsfunktioner inte kan upptäcka den varningen för att köra en automatiserad utredning. Du kan undersöka dessa varningar manuellt.

Kategorier

Microsoft omdefinierade varningskategorierna för att anpassa dem till företagsattacktaktikerna i MITRE ATT&CK-matrisen. Nya kategorinamn gäller för alla nya aviseringar. Befintliga varningar behåller de tidigare kategorinamnen.

Tjänstekällor

Du kan filtrera aviseringarna baserat på följande tjänstkällor:

• Microsoft Defender for Identity
• Microsoft Defender för molnapplikationer
• Microsoft Defender för Endpoint
• Microsoft Defender XDR
• Microsoft Defender för Office 365
• Appstyrning
• Microsoft Entra ID Protection

Microsoft Endpoint Notification-kunder kan nu filtrera och se identifieringar av hot från tjänsten genom att filtrera efter Microsoft Defender Experts som är kapslad under tjänstkällan Microsoft Defender för Endpoint.

Obs

Antivirusfiltret visas endast om enheter använder Microsoft Defender Antivirus som standardprodukt för realtidsskydd mot skadlig kod.

Taggar

Du kan filtrera aviseringarna baserat på taggar som tilldelats till aviseringar.

Policy

Du kan filtrera aviseringarna baserat på följande policyer:

Detektionskälla	API-värde
Sensorer från tredje part	ThirdPartySensors
Antivirus	WindowsDefenderAv
Automatiserad utredning	AutomatedInvestigation
Anpassad detektering	CustomDetection
Anpassat TI	CustomerTI
EDR	WindowsDefenderAtp
Microsoft Defender XDR	MTP
Microsoft Defender för Office 365	OfficeATP
Microsoft Defender Experts	ThreatExperts
SmartScreen	WindowsDefenderSmartScreen

Entiteter

Du kan filtrera aviseringarna baserat på entitetsnamn eller ID.

Status för automatisk utredning

Du kan välja att filtrera aviseringarna baserat på deras status för automatiserad undersökning.

Relaterat innehåll

• Hantera Microsoft Defender för Endpoint aviseringar
• Undersök Microsoft Defender för Endpoint-aviseringar
• Undersök en fil som är associerad med en Microsoft Defender för Endpoint-avisering
• Undersök enheter i enhetslistan i Microsoft Defender för Endpoint
• Undersök en IP-adress som är associerad med en Microsoft Defender för Endpoint avisering
• Undersök en domän som är associerad med en Microsoft Defender för Endpoint avisering
• Undersök ett användarkonto i Microsoft Defender för Endpoint