威胁调查和响应

项目
06/25/2024
适用于:

✅ Microsoft Defender for Office 365 Plan 2

提示

你知道可以免费试用 Microsoft Defender XDR for Office 365 计划 2 中的功能吗？ 在 Microsoft Defender 门户试用中心使用为期 90 天的 Defender for Office 365 试用版。在此处了解谁可以注册和试用条款。

Microsoft Defender for Office 365 中的威胁调查和响应功能通过以下方式帮助安全分析师和管理员保护组织的 Microsoft 365 商业用户：

轻松识别、监视和了解网络攻击。
帮助快速解决 Exchange Online、SharePoint Online、OneDrive for Business 和 Microsoft Teams 中的威胁。
提供见解和知识，帮助安全运营防止针对其组织的网络攻击。
在 Office 365 中对基于电子邮件的关键威胁采用自动调查和响应。

威胁调查和响应功能提供对 Microsoft Defender 门户中提供的威胁和相关响应操作的见解。这些见解可帮助组织的安全团队保护用户免受基于电子邮件或文件的攻击。这些功能有助于监视信号并收集来自多个源的数据，例如用户活动、身份验证、电子邮件、被入侵的电脑和安全事件。业务决策者和安全运营团队可以使用此信息来了解和响应针对组织的威胁，并保护你的知识产权。

熟悉威胁调查和响应工具

Microsoft Defender 门户中 https://security.microsoft.com 的威胁调查和响应功能是一组工具和响应工作流，其中包括：

资源管理器

使用资源管理器 (和实时检测) 来分析威胁、查看一段时间内的攻击量，以及按威胁系列、攻击者基础结构等分析数据。资源管理器 (也称为威胁资源管理器) 是任何安全分析师调查工作流的起点。

若要在 Microsoft Defender 门户中 https://security.microsoft.com查看和使用此报表，请转到 电子邮件 & 协作>资源管理器。或者，若要直接转到 “资源管理器” 页，请使用 https://security.microsoft.com/threatexplorer。

Office 365 威胁情报连接

仅当你拥有有效的 Office 365 E5 或 G5 或 Microsoft 365 E5 或 G5 订阅或威胁情报加载项时，此功能才可用。有关详细信息，请参阅 Office 365 企业版 E5 产品页。

来自 Microsoft Defender for Office 365 的数据合并到 Microsoft Defender XDR 中，以便对 Office 365 邮箱和 Windows 设备进行全面的安全调查。

事件

使用事件列表 (这也称为“调查) ”查看飞行中安全事件的列表。事件用于跟踪威胁（如可疑电子邮件），并进一步进行调查和修正。

若要在 Microsoft Defender 门户中 https://security.microsoft.com查看组织的当前事件列表，请转到 事件 & 警报>事件。或者，若要直接转到 “事件 ”页，请使用 https://security.microsoft.com/incidents。

攻击模拟培训

使用攻击模拟培训在组织中设置和运行真实的网络攻击，并在真正的网络攻击影响你的业务之前识别易受攻击的人员。若要了解详细信息，请参阅模拟钓鱼攻击。

若要在 Microsoft Defender 门户中 https://security.microsoft.com查看和使用此功能，请转到 电子邮件 & 协作>攻击模拟训练。或者，若要直接转到 攻击模拟训练 页，请使用 https://security.microsoft.com/attacksimulator?viewid=overview。

自动调查和响应

使用自动调查和响应 (AIR) 功能，以节省时间和精力，使内容、设备和组织中面临威胁的人员相关联。每当触发某些警报或安全运营团队启动时，AIR 进程都可以开始。若要了解详细信息，请参阅 Office 365 中的自动调查和响应。

威胁情报小组件

作为 Microsoft Defender for Office 365 计划 2 产品/服务的一部分，安全分析师可以查看有关已知威胁的详细信息。这对于确定是否可以采取其他预防措施/步骤来保证用户的安全非常有用。

如何获取这些功能？

Microsoft 365 威胁调查和响应功能包含在 Microsoft Defender for Office 365 计划 2 中，后者包含在企业 E5 中或作为某些订阅的附加内容。若要了解详细信息，请参阅 Defender for Office 365 计划 1 与计划 2 备忘单。

所需角色和权限

Microsoft Defender for Office 365 使用基于角色的访问控制。权限是通过 Microsoft Entra ID、Microsoft 365 管理中心或 Microsoft Defender 门户中的某些角色分配的。

提示

尽管某些角色（如安全管理员）可以在 Microsoft Defender 门户中分配，但请考虑改用 Microsoft 365 管理中心或Microsoft Entra ID。有关角色、角色组和权限的信息，请参阅以下资源：

活动	角色和权限
使用 Microsoft Defender 漏洞管理仪表板查看有关最近或当前威胁的信息	以下各项之一：全局管理员^* 安全管理员安全信息读取者可以在 entra ID Microsoft () https://portal.azure.com 或 Microsoft 365 管理中心 (https://admin.microsoft.com) 中分配这些角色。
使用资源管理器 (和实时检测) 来分析威胁	以下各项之一：全局管理员^* 安全管理员安全信息读取者可以在 entra ID Microsoft () https://portal.azure.com 或 Microsoft 365 管理中心 (https://admin.microsoft.com) 中分配这些角色。
查看事件 (也称为调查) 向事件添加电子邮件	以下各项之一：全局管理员^* 安全管理员安全信息读取者可以在 entra ID Microsoft () https://portal.azure.com 或 Microsoft 365 管理中心 (https://admin.microsoft.com) 中分配这些角色。
在事件中触发电子邮件操作查找和删除可疑电子邮件	以下各项之一：全局管理员^* 安全管理员以及搜索和清除角色可以在 Microsoft Entra ID () https://portal.azure.com 或 Microsoft 365 管理中心 (https://admin.microsoft.com) 中分配全局管理员^*和安全管理员角色。必须在 Microsoft 36 Defender 门户 () 的电子邮件 & https://security.microsoft.com 协作角色中分配搜索和清除角色。
将 Microsoft Defender for Office 365 计划 2 与 Microsoft Defender for Endpoint 集成将 Microsoft Defender for Office 365 计划 2 与 SIEM 服务器集成	Microsoft Entra ID (https://portal.azure.com) 或 Microsoft 365 管理中心分配的全局管理员^或安全管理员*角色 (https://admin.microsoft.com) 。 --- 加 --- 其他应用程序中分配的相应角色 (，例如 Microsoft Defender 安全中心或 SIEM 服务器) 。

重要

^* Microsoft建议使用权限最少的角色。使用权限较低的帐户有助于提高组织的安全性。全局管理员是一种高特权角色，在无法使用现有角色时，应仅限于紧急情况。

通过