在 Microsoft Defender XDR 中调查事件

适用于：

Microsoft Defender XDR将来自设备、用户和邮箱的所有相关警报、资产、调查和证据聚合到事件中，以便全面了解攻击的整个范围。

在事件中，可以分析影响网络的警报，了解其含义，并整理证据，以便制定有效的修正计划。

初始调查

在深入了解详细信息之前，请查看事件的属性和整个攻击故事。

首先，可以从“检查标记”列中选择事件。下面是一个示例。

执行此操作时，会打开一个摘要窗格，其中包含有关事件的关键信息，例如，事件分配到的严重性，以及事件的 MITRE ATT&CK™ 类别。下面是一个示例。

在此处，可以选择“ 打开事件”页。这会打开事件的main页面，你可以在其中找到完整的攻击事件信息和警报、设备、用户、调查和证据选项卡。

还可以通过从事件队列中选择事件名称来打开事件的“main”页。

攻击事件可帮助你快速查看、调查和修正攻击，同时在同一选项卡上查看攻击的完整故事。它还允许查看实体详细信息并采取修正操作，例如删除文件或隔离设备，而不会丢失上下文。

以下视频简要描述了攻击故事。

在攻击事件中，可以找到警报页和事件图。

事件警报页包含以下部分：

请注意，并非每个警报都将包含 警报情景 部分中列出的所有子部分。

该图显示攻击的全部范围、攻击如何随时间推移在网络中传播、攻击的开始位置以及攻击者走得有多远。它将属于攻击的不同可疑实体与其相关资产（例如用户、设备和邮箱）连接起来。

从图形中，可以：

go 搜寻选项利用高级搜寻功能来查找有关实体的相关信息。 go 搜寻查询会检查相关架构表是否存在涉及你正在调查的特定实体的任何事件或警报。可以选择任何选项来查找有关实体的相关信息：

通过选择结果，然后选择“链接到事件”，可以将生成的日志或警报 链接到事件。

如果事件或相关警报是已设置的分析规则的结果，则还可以选择“ 运行查询 ”以查看其他相关结果。

使用 “摘要 ”页评估事件的相对重要性，并快速访问关联的警报和受影响的实体。 “摘要”页提供快照一目了然地了解有关事件的首要事项。

信息按这些部分进行组织。

节	说明
警报和类别	针对杀伤链的攻击进度的视觉和数字视图。与其他Microsoft安全产品一样，Microsoft Defender XDR与 MITRE ATT&CK™ 框架保持一致。警报时间线显示警报发生的时间顺序，以及每个警报的状态和名称。
范围	显示受影响的设备、用户和邮箱的数量，并按风险级别和调查优先级顺序列出实体。
证据	显示受事件影响的实体数。
事件信息	显示事件的属性，例如标记、状态和严重性。

在“ 警报 ”选项卡上，可以查看与事件相关的警报的警报队列以及有关事件的其他信息，例如：

严重性。
警报中涉及的实体。
警报源 (Microsoft Defender for Identity、Microsoft Defender for Endpoint、Microsoft Defender for Office 365、Defender for Cloud Apps和应用治理加载项) 。
他们联系在一起的原因。

下面是一个示例。