“警报”队列显示从网络中设备标记的警报列表。 默认情况下，队列在分组视图中显示过去七天内看到的警报。 最近的警报显示在列表顶部。
注意
通过自动化调查和修复，警报数量大幅减少。 这种做法使安全运营专家能够专注于更复杂的威胁和其他高价值项目。
当警报包含用于自动调查的受支持实体（例如文件），且该实体所在的设备运行支持该实体的操作系统时，即可启动自动调查和修复。 有关详细信息，请参阅 自动调查概述。
可以选择多个选项来自定义警报视图。
在顶部导航上，可以：
- 自定义列以添加或删除列
- 应用筛选器
- 显示特定持续时间的警报，例如 1 天、3 天、1 周、30 天和 6 个月
- 将警报列表导出到 Excel
- 管理警报
对警报进行排序和筛选
可以应用以下筛选器来限制警报列表，并获取更集中的警报视图。
严重性
| 警报严重性 | 说明 |
|---|---|
| 高 (红色) |
通常看到的警报与高级持续性威胁（APT）相关联。 这些警报表明存在高风险，因为它们可能会对设备造成严重损害。 一些示例包括：凭据盗窃工具活动、与任何组无关的勒索软件活动、篡改安全传感器或任何指示人类攻击者的恶意活动。 |
| 中等 (橙色) |
来自终结点检测和违反后响应行为的警报，这些行为可能是高级持久威胁 (APT) 的一部分。 这些行为包括典型的攻击阶段行为、异常注册表变更以及可疑文件的执行。 虽然有些可能是内部安全测试的一部分，但这种严重程度需要调查，因为它也可能是高级攻击的一部分。 |
| 低 (黄色) |
有关与流行恶意软件关联的威胁的警报。 例如，攻击工具、非恶意软件攻击工具（如运行浏览命令和清除日志），通常不表示针对组织的高级威胁。 此级别还可能来自组织中的用户进行的独立安全工具测试。 |
| 信息性 （灰色） |
可能不会被视为对网络有害的警报，但可以提高组织对潜在安全问题的安全意识的警报。 |
了解警报严重性
Microsoft Defender防病毒和 Defender for Endpoint 警报严重性不同，因为它们表示不同的范围。
- Microsoft Defender 杀毒软件的威胁严重度表示检测到的威胁（恶意软件）的绝对严重程度。 它是根据单个设备可能面临的风险（如果感染的话）分配的。
- Defender for Endpoint 警报严重度代表检测到行为的严重程度，这不仅是对设备实际的风险，更重要的是对组织的潜在风险。
例如：
- 当 Microsoft Defender 防病毒检测到某项威胁并成功阻止其感染设备时，Defender for Endpoint 发出的警报严重程度被归类为信息性，因为并没有造成实际损坏。
- 在运行时检测到但被 Microsoft Defender 杀毒软件阻挡和修复的商业恶意软件，会因可能对单个设备造成一定损害但不构成组织威胁而产生低警报。
- 在运行过程中被检测到并可能对单个设备和组织构成威胁的恶意软件，无论最终是否被屏蔽，都可能被评为 中 等或 高。
- 未被阻止或修复的可疑行为警报，根据相同的组织威胁考虑，被分为 低、 中或 高 。
状态
你可以根据警报状态筛选列表。
注意
如果警报状态显示为不受支持的警报类型，则说明自动调查功能无法识别该警报来执行自动调查。 你可以 手动调查这些警报。
类别
Microsoft 重新定义了警报类别，以与 MITRE ATT&CK 矩阵中的企业攻击策略保持一致。 新类别名称适用于所有新警报。 现有的警报会保留之前的类别名称。
服务来源
可以根据以下服务源筛选警报：
- Microsoft Defender for Identity
- 微软云应用防护 (Microsoft Defender for Cloud Apps)
- Microsoft Defender for Endpoint (微软终端防护)
- Microsoft Defender XDR
- Microsoft Defender for Office 365
- 应用治理
- Microsoft Entra ID 保护
Microsoft Endpoint Notification 客户现在可以通过按嵌套在Microsoft Defender for Endpoint服务源下的Microsoft Defender Experts进行筛选，来筛选和查看服务中的检测。
注意
防病毒筛选器仅在设备使用 Microsoft Defender 杀毒软件作为默认实时保护反恶意软件产品时出现。
标签
可以根据分配给警报的标记筛选警报。
Policy
可以根据以下策略筛选警报：
| 检测源 | API 值 |
|---|---|
| 第三方传感器 | ThirdPartySensors |
| 杀毒 | WindowsDefenderAv |
| 自动调查 | AutomatedInvestigation |
| 自定义检测 | CustomDetection |
| 自定义 TI | CustomerTI |
| EDR | WindowsDefenderAtp |
| Microsoft Defender XDR | MTP |
| Microsoft Defender for Office 365 | OfficeATP |
| Microsoft Defender专家 | ThreatExperts |
| SmartScreen | WindowsDefenderSmartScreen |
实体
可以根据实体名称或 ID 筛选警报。
自动调查状态
可以选择根据警报的自动调查状态筛选警报。