Hantera enhetens omfång och relevans med taggar och undantag

Alla enheter som identifieras i nätverket kräver inte samma säkerhetsnivå. Vissa enheter visas kort i nätverket (gäster, testenheter), medan andra är permanent utanför omfånget för sårbarhetshantering (isolerade labb, inaktiverade system). Genom att hantera enhetsomfång med tillfällig enhetstaggning och enhetsundantagningar fokuserar säkerhetsteamet på relevanta enheter, säkerställer korrekt exponering och säkra poäng och skapar renare rapporter som återspeglar din verkliga produktionsmiljö.

Använda taggar eller undantag

Defender för Endpoint tillhandahåller två kompletterande mekanismer för att hantera enhetens relevans. Använd följande tabell för att avgöra vilken metod som passar din situation.

Situationen	Strategi	Så här fungerar det	Påverkan
Enheter visas och försvinner ofta (gäster, virtuella testdatorer, kortvariga containrar)	Tillfälliga enhetstaggning (automatisk)	En intern algoritm identifierar tillfälliga nätverksmönster och taggar som matchar enheter. Servrar, nätverksenheter, skrivare, industriella och smarta enheter märks aldrig som tillfälliga.	Tillfälliga enheter filtreras bort från standardinventeringsvyn men förblir synliga om du ändrar filtret. Exponeringspoäng, säkerhetspoäng, sårbarhetsrapporter och avancerad jakt omfattar fortfarande dessa enheter.
Permanent labb- eller sandbox-miljö	Enhetsundantag (manuell)	Du exkluderar enheter individuellt eller i grupp med en dokumenterad motivering.	Exkluderade enheter visas inte på sidor eller rapporter för sårbarhetshantering och bidrar inte till exponering eller säkra poäng. De finns kvar i enhetsinventeringen men markeras som undantagna.
Enheter som har schemalagts för inaktivering	Enhetsundantag (manuell)	Exkludera med en motivering och anteckna det planerade datumet för indragning.	Samma som ovan. Historiska poster finns kvar i inventeringen.
Duplicerade poster efter återimering	Enhetsundantag (manuell)	Exkludera föråldrade poster med motiveringen "Duplicera enhet". hålla den aktiva enheten i omfånget.	Rensar inventeringen och säkerställer korrekta enhetsantal.
Enheter offline under längre perioder	Kontrollera om den redan är övergående taggad. om inte, överväg exkludering	Tillfälliga taggar kanske redan hanterar detta. Undanta endast manuellt om enheten inte kommer tillbaka.	Beror på vald metod.
Aktiva enheter som du vill ignorera tillfälligt	Enhetsfilter eller anpassade taggar	Använd inventeringsfilter eller enhetstaggar för att skapa riktade vyer.	Fullständig synlighet upprätthålls. Uteslut aldrig aktiva enheter – det skapar blinda fläckar.
Enheter som hanteras av ett annat team	Enhetsfilter eller anpassade taggar	Använd enhetstaggar och filter för att omfångsvyer per team.	Fullständig synlighet upprätthålls i hela organisationen.

Viktigt

Granska tillfälliga och exkluderade enheter regelbundet. Lägg alltid till meningsfulla anteckningar när du exkluderade enheter. Uteslut aldrig aktiva, nätverksanslutna enheter – exkludering påverkar bara synligheten för sårbarhetshantering, inte den faktiska risken.

Visa och hantera tillfälliga enheter

Tillfällig enhetstaggning är automatisk och kan inte inaktiveras. Du styr synligheten genom filter.

Visa tillfälliga enheter i inventeringen

1. I Microsoft Defender-portalen går du till Tillgångar>enheter.
2. Välj filterikonen .
3. I filtret Övergående enhet väljer du Ja för att endast visa tillfälliga enheter eller väljer Nej för att undanta dem från listan.

Du kan också lägga till kolumnen Övergående enhet i inventeringsvyn för att se den tillfälliga statusen tillsammans med annan enhetsinformation.

Så här fungerar tillfällig taggning

• Automatisk identifiering: En intern algoritm identifierar tillfälliga enheter baserat på nätverksutseendemönster.
• Undantagna enhetstyper: Servrar, nätverksenheter, skrivare, industriella enheter, övervakningsutrustning, smarta enheter och smarta apparater märks aldrig som tillfälliga.
• Standardfiltrering: Tillfälliga enheter filtreras bort från enhetsinventeringen som standard.
• Ingen manuell åsidosättning: Du kan inte tagga eller ta bort en enhet manuellt som tillfällig. Justera filterinställningarna för att styra synligheten.

Exkludera enheter

Med enhetsundantag kan du manuellt ta bort specifika enheter från synligheten för sårbarhetshantering. Exkluderade enheter finns kvar i enhetsinventeringen (markerade som undantagna) men visas inte på sidor eller rapporter för sårbarhetshantering och bidrar inte till exponering eller säkra poäng.

Varning

Exkluderade enheter förblir anslutna till nätverket och kan fortfarande utgöra säkerhetsrisker. Enhetsundantag påverkar endast synligheten för sårbarhetshantering – det förhindrar inte attacker eller minskar den faktiska risken. Om du försöker exkludera en aktiv enhet visar Defender för Endpoint en varning och ber om bekräftelse.

Exkludera en enskild enhet

1. I Microsoft Defender-portalen går du till Tillgångar>enheter.
2. Välj den enhet som du vill exkludera.
3. I den utfällbara enheten eller på enhetssidan väljer du Exkludera.
4. Välj en motivering:
   • Inaktiv enhet
   • Duplicera enhet
   • Enheten finns inte
   • Utanför omfånget
   • Övrigt
5. Skriv en anteckning som förklarar orsaken till exkluderingen.
6. Välj Exkludera enhet.

Exkludera flera enheter

1. I Enhetsinventering väljer du flera enheter med hjälp av kryssrutorna.
2. I åtgärdsfältet väljer du Exkludera.
3. Välj en motivering och lägg till en anteckning.
4. Välj Exkludera enheter.

Om du väljer enheter med blandade undantagsstatusar visar dialogrutan hur många som redan är exkluderade. Du kan undanta enheter igen, men den nya motiveringen åsidosätter tidigare värden.

Obs!

Det kan ta upp till 10 timmar innan enheter helt undantas från vyer och data för sårbarhetshantering.

Visa och hantera exkluderade enheter

1. I Enhetsinventering väljer du filterikonen .
2. Använd filtret Exkluderingstillstånd för att visa:
   • Inte exkluderad: Normala enheter
   • Undantagna: Enheter som tagits bort från sårbarhetshantering

Du kan också lägga till kolumnen Exkluderingstillstånd i inventeringsvyn.

Stoppa exkluderande av en enhet

Så här återställer du en enhet till aktiv sårbarhetshantering:

1. I Enhetsinventeringen väljer du den exkluderade enheten.
2. I den utfällbara enheten väljer du Undantagsinformation.
3. Välj Stoppa undantag.

När du stoppar exkludering visas sårbarhetsdata igen på sidor, rapporter och avancerad jakt för sårbarhetshantering. Det kan ta upp till 8 timmar innan ändringarna börjar gälla.

Nästa steg

• Skapa och hantera enhetstaggar för att organisera enheter i meningsfulla grupper
• Visa din enhetsinventering med lämpliga filter tillämpade
• Målenheter för säkerhetsåtgärder med hjälp av taggar och enhetsgrupper