Uç Nokta için Microsoft Defender’da güvenlik duvarı raporlama oturumu düzenleyin

  • Şunlara uygulanır: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Microsoft Defender portalındaki güvenlik duvarı raporlaması, Windows güvenlik duvarı raporlamasını merkezi bir konumdan görüntülemenizi sağlar.

Başlamadan önce bilmeniz gerekenler

  • Microsoft Defender portalını adresinde https://security.microsoft.comaçarsınız. Doğrudan Güvenlik Duvarı sayfasına gitmek için kullanınhttps://security.microsoft.com/firewall.

  • Bu makaledeki adımları gerçekleştirmeden önce size izinler atanmalıdır. Microsoft Entra ID Genel Yönetici veya Güvenlik Yöneticisi* rollerinin üyesi olmanız gerekir.

    Önemli

    * Microsoft, en az ayrıcalık ilkesini kesinlikle savunur. Hesapların yalnızca görevlerini gerçekleştirmek için gereken minimum izinleri ataması, güvenlik risklerini azaltmaya yardımcı olur ve kuruluşunuzun genel korumasını güçlendirir. Genel Yönetici, acil durum senaryolarıyla veya farklı bir rol kullanamıyorsanız sınırlamanız gereken yüksek ayrıcalıklı bir roldür.

  • Cihazlarınız Windows 10 veya üzeri ya da R2 veya sonraki Windows Server 2012 çalıştırıyor olmalıdır. Windows Server 2012 R2 ve Windows Server 2016 güvenlik duvarı raporlarında görünmesi için bu cihazların modern birleşik çözüm paketi kullanılarak eklenmesi gerekir. Daha fazla bilgi için bkz. Windows Server 2012 R2 ve 2016 için modern birleşik çözümde yeni işlevler.

  • Cihazları Uç Nokta için Microsoft Defender hizmetine eklemek için bkz. ekleme kılavuzu.

  • Microsoft Defender portalının veri almaya başlaması için Gelişmiş Güvenlik özellikli Windows Defender Güvenlik Duvarı için Denetim Olayları'nı etkinleştirmeniz gerekir. Aşağıdaki makalelere bakın:

  • grup ilkesi Nesne Düzenleyicisi, Yerel Güvenlik İlkesi veya auditpol.exe komutlarını kullanarak bu olayları etkinleştirin. Daha fazla bilgi için denetim ve günlüğe kaydetme ile ilgili belgelere bakın. İki PowerShell komutu aşağıdaki gibidir:

    • auditpol /set /subcategory:"Filtering Platform Packet Drop" /failure:enable
    • auditpol /set /subcategory:"Filtering Platform Connection" /failure:enable

    Aşağıda örnek bir sorgu verilmişti:

    param (
    [switch]$remediate
)
try {

    $categories = "Filtering Platform Packet Drop,Filtering Platform Connection"
    $current = auditpol /get /subcategory:"$($categories)" /r | ConvertFrom-Csv    
    if ($current."Inclusion Setting" -ne "failure") {
        if ($remediate.IsPresent) {
            Write-Host "Remediating. No Auditing Enabled. $($current | ForEach-Object {$_.Subcategory + ":" + $_.'Inclusion Setting' + ";"})"
            $output = auditpol /set /subcategory:"$($categories)" /failure:enable
            if($output -eq "The command was successfully executed.") {
                Write-Host "$($output)"
                exit 0
            }
            else {
                Write-Host "$($output)"
                exit 1
            }
        }
        else {
            Write-Host "Remediation Needed. $($current | ForEach-Object {$_.Subcategory + ":" + $_.'Inclusion Setting' + ";"})."
            exit 1
        }
    }

}
catch {
    throw $_
}

İşlem

Not

Önceki bölümde yer alan yönergeleri izlediğinizden ve cihazlarınızı önizleme programına katılacak şekilde düzgün yapılandırdığından emin olun.

  • Olaylar etkinleştirildikten sonra Uç Nokta için Microsoft Defender şunları içeren verileri izlemeye başlar:

    • Uzak IP
    • Uzak Bağlantı Noktası
    • Yerel Bağlantı Noktası
    • Yerel IP
    • Bilgisayar Adı
    • Gelen ve giden bağlantılar arasında işlem gerçekleştirme

  • Yöneticiler artık windows ana bilgisayar güvenlik duvarı etkinliğini burada görebilir. Power BI kullanarak Windows Defender Güvenlik Duvarı etkinliklerini izlemek için Özel Raporlama betiğini indirerek ek raporlama kolaylaştırılabilir.

    Verilerin yansıtılabilmesi 12 saat kadar sürebilir.

Desteklenen senaryolar

Güvenlik duvarı raporlama

Microsoft Defender portalındaki güvenlik duvarı rapor sayfalarının bazı örnekleri aşağıda verilmiştir. Güvenlik Duvarı sayfası Gelen, Giden ve Uygulama sekmelerini içerir. Bu sayfaya Raporlar>Uç Noktaları bölümünden >Güvenlik Duvarı'na veya doğrudan adresinden https://security.microsoft.com/firewallerişebilirsiniz.

Konak güvenlik duvarı raporlama sayfası

"Bağlantısı engellenen bilgisayarlar"dan cihaza

Not

Bu özellik, Uç Nokta Planı 2 için Defender gerektirir.

Kartlar etkileşimli nesneleri destekler. Yeni bir sekmede Microsoft Defender portalını başlatacak ve sizi doğrudan Cihaz Zaman Çizelgesi sekmesine götürecek cihaz adına tıklayarak bir cihazın etkinliğinde detaya gidebilirsiniz.

Bağlantısı engellenen bilgisayarlar sayfası

Artık Zaman Çizelgesi sekmesini seçebilirsiniz. Bu sekme, size bu cihazla ilişkili olayların listesini verir.

Görüntüleme bölmesinin sağ üst köşesindeki Filtreler düğmesine tıkladıktan sonra istediğiniz olay türünü seçin. Bu durumda Güvenlik duvarı olayları'nı seçtiğinizde bölme Güvenlik duvarı olayları olarak filtrelenir.

Filtreler düğmesi

Gelişmiş avcılık (önizleme yenilemesi) detayına gitme

Not

Bu özellik, Uç Nokta Planı 2 için Defender gerektirir.

Güvenlik duvarı raporları, Gelişmiş Avcılığı Aç düğmesine tıklayarak doğrudan karttan Gelişmiş Avcılık'a detaya gitme desteği verir. Sorgu önceden doldurulur.

Gelişmiş avcılığı aç düğmesi

Sorgu artık yürütülebilir ve son 30 güne ait tüm ilgili Güvenlik Duvarı olayları incelenebilir.

Daha fazla raporlama veya özel değişiklik için sorgu, daha fazla analiz için Power BI'a aktarılabilir. Özel raporlama, Power BI kullanarak Windows Defender Güvenlik Duvarı etkinliklerini izlemek için Özel Raporlama betiğini indirerek kolaylaştırılabilir.

  • Last updated on