Office 365 Plan 2 için Microsoft Defender otomatik araştırma ve yanıt (AIR)

İpucu

Office 365 Plan 2 için Microsoft Defender'deki özellikleri ücretsiz olarak deneyebileceğinizi biliyor muydunuz? Microsoft Defender portalı deneme hub'ında Office 365 deneme sürümü için 90 günlük Defender'ı kullanın. Office 365 için deneme Microsoft Defender'nda kaydolabilecek kişiler ve deneme koşulları hakkında bilgi edinin.

Bir Microsoft 365 kuruluşunda https://security.microsoft.com/alerts ortaya çıktığında, bu uyarıları gözden geçirmek, önceliklendirmek ve yanıtlamak güvenlik operasyonları (SecOps) ekibinin sorumluluğundadır. Gelen uyarıların hacmine ayak uydurmak zor olabilir. Bu görevlerden bazılarını otomatikleştirmek yardımcı olabilir.

Office 365 Plan 2 için Microsoft Defender (E5 gibi Microsoft 365 lisanslarına veya tek başına abonelik olarak dahildir), SecOps ekipleri için zaman ve çaba tasarrufu sağlayan otomatik araştırma ve yanıt (AIR) özelliklerini içerir.

AIR, kuruluş düzeyindeki araştırmaları tamamlayarak yüksek etkili, yüksek hacimli uyarıları önceliklendirir. AIR araştırmaları algılamaları genişletir veya kuruluşun tehdit durumunu belirlemek için ek analiz sağlar. AIR tehditleri belirlediğinde, SecOps personelinin onaylaması için tehdit düzeltme eylemlerini kuyruğa alır. AIR aşağıdaki avantajları sağlar:

  • İyi bilinen tehditlerin el ile müdahale edilmeden otomatik olarak incelenmesi.
  • Onay bekleyen uygun düzeltme eylemleri, SecOps ekibinizin algılanan tehditlere etkili bir şekilde yanıt vermesini sağlar.
  • SecOps ekipleri, önemli uyarıları görmeden daha yüksek öncelikli görevlere odaklanabilir.

Office 365 Plan 2 için Defender'da AIR, denetim günlüğünün açık olmasını gerektirir (varsayılan olarak açıktır).

AIR'in genel akışı

Bir uyarı tetikler ve güvenlik playbook'u otomatik bir araştırma başlatır ve bu da bulgular ve önerilen eylemlerle sonuçlanır. Air'in genel akışı aşağıdadır, adım adım:

  1. Otomatik araştırma aşağıdaki yollardan biriyle başlatılır:

    • AIR'yi başlatmak için tasarlanmış belirli uyarılar. Bu uyarılar şunlardır:

      • Şüpheli bir şey e-postada tanımlanır (örneğin, iletinin kendisi, ek, URL veya güvenliği aşılmış bir kullanıcı hesabı).

      • Sıfır saatlik otomatik temizleme (ZAP).

      • Kullanıcı gönderimleri.

      • Kullanıcı tıklama uyarıları.

      • Şüpheli posta kutusu davranışı.

        İpucu

        Kuruluşunuzdaki uyarıları düzenli olarak gözden geçirmeyi unutmayın. Otomatik araştırma tetikleyen uyarı ilkeleri hakkında daha fazla bilgi için Tehdit yönetimi kategorisindeki varsayılan uyarı ilkelerine bakın. Otomatik araştırma için Evet değerini içeren girişler otomatik araştırma tetikleyebilir. AIR şu durumlarda tetiklenmiyor:

        • Bu uyarılar devre dışı bırakılır.
        • Bu uyarılar özel uyarılarla değiştirildi.

    • Güvenlik analisti Tehdit Gezgini,Gelişmiş tehdit avcılığı, özel algılama, Email varlık sayfası veya Email özet panelinde eylem gerçekleştir'i seçerek araştırmayı el ile tetikler. Daha fazla bilgi için bkz. Tehdit avcılığı: E-posta düzeltimi. Örnekler için bkz. Office 365 Plan 2 için Microsoft Defender'de otomatik araştırma ve yanıt (AIR) örnekleri.

  2. Otomatik araştırma uyarının niteliğini, ilgili iletiyi ve iletiyi çevreleyen ek kanıtları değerlendirir ve analiz eder. Araştırmanın kapsamı, araştırma sırasında ortaya çıkarılan ve toplanan kanıtlara bağlı olarak artabilir.

  3. Otomatik araştırma sırasında ve sonrasında ayrıntılar ve sonuçlar sağlanır. Sonuçlar SecOps personelinin bulunan tehditleri düzeltmesi için önerilen eylemleri içerebilir.

  4. SecOps ekibi araştırmanın kendisinde, olayda veya İşlem merkezinde araştırma sonuçlarını ve önerileriniinceler ve düzeltme eylemlerini onaylar veya reddeder.

    İpucu

    AIR'deki otomatik düzeltme özellikleri, kötü amaçlı URL ve dosya kümeleri de dahil olmak üzere kötü amaçlı benzerlik kümelerinin düzeltilme işlemini tamamen otomatikleştirir. Air, bu küme türleri için oluşturduğu bekleyen düzeltme eylemlerini otomatik olarak onaylar ve bu da el ile müdahale gereksinimini ortadan kaldırır ve SOC ekipleri için yanıt sürecini kolaylaştırır.

    AIR ayrıca tehdit bulunmayan uyarıları ve olayları değerlendirerek ve otomatik olarak çözümleyerek zaman kazandırır. Bu sonuç, kullanıcı gönderme senaryolarında yaygındır. AIR, tehdit bulunamazsa veya tehditler zaten düzeltilmiş iletilerdeyse araştırmayı kapatır.

  5. Bekleyen düzeltme eylemleri onaylandıktan veya reddedildikten sonra otomatik araştırma tamamlanmıştır.

    Önerilen hiçbir eylem tanımlanmamışsa otomatik araştırma otomatik olarak kapatılır. İncelemenin ayrıntıları hâlâ adresindeki https://security.microsoft.com/airinvestigation sayfasında bulunabilir.

Her otomatik araştırma sırasında ve sonrasında SecOps ekibi aşağıdaki görevleri gerçekleştirebilir:

Yerleşik uyarı ayarlama kuralları

Microsoft Defender, yaygın zararsız aktivitelerden kaynaklanan raporlama gürültüsünü azaltmaya yardımcı olan yerleşik uyarı ayar kuralları içerir. Bu yerleşik kurallar, AIR araştırmaları ve e-posta bildirimleri gibi diğer özellikleri etkilemeden uyarıları gizler. AIR araştırması kötü amaçlı veya şüpheli etkinlik algılarsa yeni uyarı yeniden etkinleştirilir.

Microsoft Defender portalında yerleşik uyarı ayarlama kurallarını görmek için Sistem>Ayarlar>Microsoft Defender XDR>Kurallar bölümündeki >Uyarı ayarlama bölümüne veya doğrudan Uyarı ayarlama sayfasına gidin https://security.microsoft.com/securitysettings/defender/alert_suppression.

Microsoft Defender portalında hangi uyarıların görüneceğini nasıl etkileyebileceklerini anlamak için bu kuralları gözden geçirmeyi unutmayın.

Important

Yerleşik uyarı ayar kuralları, özel algılama kuralları ve Custom TI'den gelen uyarılar için geçerli değildir.

Not

Microsoft Security Copilot kimlik avı önceliklendirme aracısı, uyarı ince ayarı tarafından baskılanan uyarıları sınıflandırmaz. Otomatik Çözümleme - Kullanıcı tarafından kötü amaçlı yazılım veya kimlik avı olarak bildirilen e-posta yerleşik uyarı ayarlama kuralını ve bu uyarıyı gizleyen tüm özel ayarlama kurallarını devre dışı bıraktığınızdan emin olun.

AIR için gerekli izinler ve lisanslama

AIR kullanmak için size izinler atanmalıdır. Seçenekleriniz şunlardır:

  • Microsoft Defender XDR Birleşik rol tabanlı erişim denetimi (RBAC) (E-posta ve iş birliği>Office 365 için Defender izinleri Etkin durumdaysa. Yalnızca Defender portalını etkiler, PowerShell'i etkilemez):
    • Otomatik bir araştırma başlatın veya Önerilen eylemleri onaylayın veya reddedin: Güvenlik işlemleri/Güvenlik verileri/Email & işbirliği gelişmiş eylemleri (yönet).
  • Microsoft Defender portalında e-posta ve işbirliği izinleri:
    • AIR özelliklerini ayarlama: Kuruluş Yönetimi veya Güvenlik Yöneticisi rol gruplarında üyelik.
    • Otomatik bir araştırma başlatın veya Önerilen eylemleri onaylayın veya reddedin:
      • Kuruluş Yönetimi, Güvenlik Yöneticisi, Güvenlik operatörü, Güvenlik Okuyucusu veya Genel Okuyucu rol gruplarında üyelik.
      • Varsayılan olarak yalnızca Veri Araştırmacısı veya Kuruluş Yönetimi rol gruplarına atanan Arama ve Temizleme rolü. Alternatif olarak, Arama ve Temizleme rolü atanmış yeni bir rol grubu oluşturabilir ve kullanıcıları özel rol grubuna ekleyebilirsiniz.
  • Microsoft Entra izinleri: Kullanıcılara Microsoft 365'teki diğer özellikler için gerekli izinleri ve izinleri verin:
    • AIR özelliklerini ayarlama: Genel Yönetici veya Güvenlik Yöneticisi rollerindeki üyelik.
    • Otomatik bir araştırma başlatın veya Önerilen eylemleri onaylayın veya reddedin:
      • Genel Yönetici, Güvenlik Yöneticisi, Güvenlik operatörü, Güvenlik Okuyucusu veya Genel Okuyucu rollerine üyelik. ve
      • Daha önce açıklandığı gibi, atanmış Arama ve Temizleme rolüne sahip bir E-posta ve işbirliği rol grubunda üyelik.

Otomatik Araştırma ve Yanıt (AIR) kullanmak için Office 365 Plan 2 lisansları için Microsoft Defender sahip olmanız gerekir (uygun aboneliklere dahil veya eklenti olarak kullanılabilir).

İlgili içerik

  • Son güncelleştirme: