Microsoft Defender'da olayları yönetme

Makale
04/26/2024

Şunlar için geçerlidir:

Microsoft Defender XDR
Microsoft Defender birleşik güvenlik operasyonları merkezi (SOC) platformu

Olay yönetimi, olay iş akışınızda zamanı iyileştirmek ve tehditleri daha hızlı bir şekilde içerip ele almak için olayların adlandırıldığından, atandığından ve etiketlendiğinden emin olmak için kritik öneme sahiptir.

İpucu

Ocak 2024'te, Olaylar sayfasını ziyaret ettiğinizde Defender Boxed görüntülenir. Defender Boxed, kuruluşunuzun 2023 süresince imza attığı güvenlik başarılarını, iyileştirmeleri ve yanıt eylemlerini öne çıkarır. Defender Boxed'ı yeniden açmak için Microsoft Defender portalında Olaylar'a gidin ve Defender Boxed'ınızı seçin.

Microsoft Defender portalının (security.microsoft.com) hızlı başlatılmasıyla olaylar & uyarılar > Olaylarından olayları yönetebilirsiniz. İşte bir örnek.

Olaylarınızı yönetmek için kullanabileceğiniz yöntemler şunlardır:

Olay adını düzenleme
Önem derecesini atama veya değiştirme
Olay etiketleri ekleme
Olayı bir kullanıcı hesabına atama
Bunları çözme
Sınıflandırmasını belirtin
Açıklama ekleme
Etkinlik denetimini değerlendirme ve Etkinlik günlüğüne açıklama ekleme
Olay verilerini PDF'ye aktarma

Olayları bir olayın Olay yönetme bölmesinden yönetebilirsiniz. İşte bir örnek.

Bu bölmeyi aşağıdaki olay yönet bağlantısından görüntüleyebilirsiniz:

Uyarı hikayesi sayfası.
Olay kuyruğundaki bir olayın Özellikler bölmesi.
Bir olayın özet sayfası.
Olay sayfasının sağ üst tarafında bulunan olay yönetme seçeneği.

Uyarıları bir olaydan diğerine taşımak istediğiniz durumlarda, uyarılar sekmesinden de bunu yapabilirsiniz, böylece tüm ilgili uyarıları içeren daha büyük veya daha küçük bir olay oluşturabilirsiniz.

Olay adını düzenleme

Microsoft Defender, etkilenen uç nokta sayısı, etkilenen kullanıcılar, algılama kaynakları veya kategoriler gibi uyarı özniteliklerine göre otomatik olarak bir ad atar. Olay adı, olayın kapsamını hızlı bir şekilde anlamanıza olanak tanır. Örneğin: Birden çok kaynak tarafından bildirilen birden çok uç noktada çok aşamalı olay.

Olay adını, Olayı yönet bölmesindeki Olay adı alanından düzenleyebilirsiniz.

Not

Otomatik olay adlandırma özelliği piyasaya sürülmeden önce var olan olaylar adlarını korur.

Olay önem derecesini atama veya değiştirme

Olayı yönet bölmesindeki Önem Derecesi alanından bir olayın önem derecesini atayabilir veya değiştirebilirsiniz. Bir olayın önem derecesi, kendisiyle ilişkilendirilmiş uyarıların en yüksek önem derecesine göre belirlenir. Bir olayın önem derecesi yüksek, orta, düşük veya bilgilendirici olarak ayarlanabilir.

Olay etiketleri ekleme

Bir olaya, örneğin ortak bir özelliğe sahip bir olay grubuna bayrak eklemek için özel etiketler ekleyebilirsiniz. Daha sonra belirli bir etiket içeren tüm olaylar için olay kuyruğuna filtreleyebilirsiniz.

Daha önce kullanılan ve seçili etiketler listesinden seçim seçeneği yazmaya başladıktan sonra görünür.

Olay atama

Ata kutusunu seçebilir ve bir olay atamak için kullanıcı hesabını belirtebilirsiniz. Bir olayı yeniden atamak için hesap adının yanındaki "x" işaretini seçip Atanan kutusunu seçerek geçerli atama hesabını kaldırın. Bir olayın sahipliğini atamak, kendisiyle ilişkilendirilmiş tüm uyarılara aynı sahipliği atar.

Olay kuyruğuna filtre uygulama yoluyla size atanan olayların listesini alabilirsiniz.

Olay kuyruğundan Filtreler'i seçin.
Olay ataması bölümünde Tümünü seç'i temizleyin. Bana atandı, Başka bir kullanıcıya atandı veya Bir kullanıcı grubuna atandı'yı seçin.
Uygula'yı seçin ve filtreler bölmesini kapatın.

Ardından, size atanan olayların listesini hızla görmek için elde edilen URL'yi tarayıcınıza yer işareti olarak kaydedebilirsiniz.

Bir olayı çözme

Olay düzeltildiğinde iki durumlu düğmeyi sağa taşımak için Olayı çöz'e tıklayın. Bir olayı çözümlemek, olayla ilgili tüm bağlantılı ve etkin uyarıları da çözer.

Çözümlenmemiş bir olay Etkin olarak görüntülenir.

Sınıflandırmayı belirtme

Sınıflandırma alanında, olayın aşağıdakilerden biri olup olmadığını belirtirsiniz:

Ayarlanmadı (varsayılan).
Bir tehdit türüyle gerçek pozitif. Gerçek bir tehdidi doğru şekilde gösteren olaylar için bu sınıflandırmayı kullanın. Tehdit türünü belirtmek, güvenlik ekibinizin tehdit desenlerini görmesine ve kuruluşunuzu onlardan korumak için harekete geçilmesine yardımcı olur.
Bir etkinlik türüyle bilgilendirici, beklenen etkinlik. Güvenlik testlerine, kırmızı ekip etkinliğine ve güvenilen uygulamalardan ve kullanıcılardan beklenen olağan dışı davranışlara yönelik olayları sınıflandırmak için bu kategorideki seçenekleri kullanın.
Teknik olarak yanlış veya yanıltıcı olduğundan, tespit ettiğiniz olay türleri için hatalı pozitif değerler yoksayılabilir.

Olayları sınıflandırmak, durumlarını ve türlerini belirtmek, zaman içinde daha iyi algılama belirlemesi sağlamak için Microsoft Defender XDR ayarlanmasına yardımcı olur.

Açıklama ekleme

Açıklama alanıyla bir olaya birden çok açıklama ekleyebilirsiniz. Açıklama alanı metin ve biçimlendirmeyi, bağlantıları ve görüntüleri destekler. Her açıklama 30.000 karakterle sınırlıdır.

Tüm açıklamalar olayın geçmiş olaylarına eklenir. Özet sayfasındaki Açıklamalar ve geçmiş bağlantısından bir olayın açıklamalarını ve geçmişini görebilirsiniz.

Etkinlik günlüğü

Etkinlik günlüğü, olay üzerinde gerçekleştirilen ve Denetimler ve açıklamalar olarak bilinen tüm açıklamaların ve eylemlerin listesini görüntüler. Bir kullanıcı veya sistem tarafından olayda yapılan tüm değişiklikler etkinlik günlüğüne kaydedilir. Etkinlik günlüğü, olay sayfasındaki Etkinlik günlüğü seçeneğinden veya olay yan bölmesinden kullanılabilir.

Günlük içindeki etkinlikleri açıklamalara ve eylemlere göre filtreleyebilirsiniz. İçerik: Denetimler, Açıklamalar'a tıklayın ve ardından etkinlikleri filtrelemek için içerik türünü seçin. İşte bir örnek.

Etkinlik günlüğünde bulunan açıklama kutusunu kullanarak kendi açıklamalarınızı da ekleyebilirsiniz. Açıklama kutusu metin ve biçimlendirmeyi, bağlantıları ve resimleri kabul eder.

Olay verilerini PDF'ye aktarma

Önemli

Bu makaledeki bazı bilgiler önceden yayımlanmış ürünle ilgilidir ve ticari olarak piyasaya sürülmeden önce önemli ölçüde değiştirilmiş olabilir. Microsoft, burada sağlanan bilgilerle ilgili olarak açık veya zımni hiçbir garanti vermez.

Olay verilerini dışarı aktarma özelliği şu anda güvenlik lisansı için Microsoft Copilot ile birleşik güvenlik operasyonları merkezi (SOC) platformu müşterilerinin Microsoft Defender XDR ve Microsoft Defender için kullanılabilir.

Olayı PDF olarak dışarı aktar işlevi aracılığıyla bir olayın verilerini PDF'ye aktarabilir ve PDF biçiminde kaydedebilirsiniz. Bu işlev, güvenlik ekiplerinin herhangi bir zamanda bir olayın ayrıntılarını çevrimdışı olarak gözden geçirmesine olanak tanır.

Dışarı aktarılan olay verileri aşağıdaki bilgileri içerir:

Olay ayrıntılarını içeren bir genel bakış
Saldırı hikayesi grafiği ve tehdit kategorileri
Etkilenen varlıklar, her varlık türü için en fazla 10 varlığı kapsar
En fazla 100 öğeyi kapsayan kanıt listesi
Etkinlik günlüğüne kaydedilen tüm ilgili uyarılar ve etkinlikler dahil olmak üzere destekleyici veriler

Dışarı aktarılan PDF örneğini aşağıda bulabilirsiniz:

Güvenlik için Copilot lisansınız varsa, dışarı aktarılan PDF aşağıdaki ek olay verilerini içerir:

PDF'ye dışarı aktarma işlevi, oluşturulan olay raporunun Copilot yan panelinde de kullanılabilir.

Olay raporu sonuç kartındaki ek eylemlerin ekran görüntüsü.

PDF oluşturmak için aşağıdaki adımları uygulayın:

Bir olay sayfası açın. Sağ üst köşedeki Diğer eylemler üç noktasını (...) seçin ve Olayı PDF olarak dışarı aktar'ı seçin. PDF oluşturulurken işlev gri görünür.
PDF'nin oluşturulduğunu belirten bir iletişim kutusu görüntülenir. İletişim kutusunu kapatmak için Aldım'ı seçin. Ayrıca, olay başlığının altında indirmenin geçerli durumunu belirten bir durum iletisi görüntülenir. Dışarı aktarma işlemi, olayın karmaşıklığı ve dışarı aktarılacak veri miktarına bağlı olarak birkaç dakika sürebilir.
PDF hazır olduğunda, durum iletisi PDF'nin hazır olduğunu gösterir ve başka bir iletişim kutusu görüntülenir. PDF'yi cihazınıza kaydetmek için iletişim kutusundan İndir'i seçin.

Rapor birkaç dakika boyunca önbelleğe alınır. Aynı olayı kısa bir süre içinde yeniden dışarı aktarmayı denerseniz sistem daha önce oluşturulan PDF'yi sağlar. PDF'nin daha yeni bir sürümünü oluşturmak için önbelleğin süresinin dolması için birkaç dakika bekleyin.

Sonraki adımlar

Yeni olaylar için araştırmanıza başlayın.

Devam eden olaylar için araştırmanıza devam edin.

Çözülen olaylar için olay sonrası gözden geçirme gerçekleştirin.

Ayrıca bkz.