了解 Microsoft Defender for Office 365 中的威胁资源管理器和实时检测

提示

你知道可以免费试用Office 365计划 2 Microsoft Defender 中的功能吗？ 在 Microsoft Defender 门户试用中心使用为期 90 天的 Defender 进行Office 365试用。 在试用 Microsoft Defender for Office 365中了解哪些用户可以注册，以及试用条款。

订阅中包含 Microsoft Defender for Office 365 或将其作为加载项购买的 Microsoft 365 组织具有资源管理器（也称为威胁资源管理器）或实时检测功能。 这些功能是功能强大的准实时报告工具，可帮助安全运营 (SecOps) 团队调查和响应威胁。

根据你的订阅，可在 Microsoft Defender 门户的https://security.microsoft.com部分中找到“威胁浏览器”或“实时检测”：

威胁资源管理器包含与实时检测相同的信息和功能，但具有以下附加功能：

  • 更多浏览量。
  • 更多属性筛选选项，包括用于保存查询的选项。
  • 更多操作

有关 Defender for Office 365 计划 1 和计划 2 之间的差异的详细信息，请参阅 Defender for Office 365 计划 1 与计划 2 备忘单。

本文的其余部分介绍了威胁资源管理器和实时检测中可用的视图和功能。

提示

有关使用威胁资源管理器和实时检测的电子邮件方案，请参阅以下文章：

Threat Explorer 和实时检测的权限与许可

若要使用 Explorer 或实时检测功能，你需要被授予相应权限。 可以选择下列选项：

  • Microsoft Defender XDR 统一的基于角色的访问控制 (RBAC)（如果 电子邮件和协作>Defender for Office 365 权限处于启用状态。仅影响 Defender 门户，不影响 PowerShell）：
    • 电子邮件和 Teams 邮件头的读取访问权限：安全操作/原始数据（电子邮件和协作）/电子邮件和协作元数据（读取）。
    • 预览和下载邮件：安全操作/原始数据（邮件和协作）/邮件和协作内容（读取）
    • 修正恶意电子邮件：安全操作/安全数据/Email &协作高级操作 (管理) 。
  • Microsoft Defender 门户中的电子邮件和协作权限：
    • 完全访问权限： 组织管理 或 安全管理员 角色组中的成员身份。 执行所有可用操作需要更多权限：
      • 预览和下载消息：需要 预览 角色，默认情况下，该角色仅分配给 数据调查员 或 电子数据展示管理员 角色组。 或者，可以创建分配有预览角色的新角色组，并将用户添加到自定义角色组。
      • 在邮箱中移动邮件和删除邮件：需要“搜索和清除”角色，默认情况下，该角色仅分配给“数据调查员”或“组织管理”角色组。 或者，您可以创建新的角色组，并为其分配搜索和清除角色，然后将用户添加到该自定义角色组中。
    • 只读访问权限： 安全读取者 角色组中的成员身份。
  • Microsoft Entra 权限：这些角色的成员身份为用户提供了所需的权限以及 Microsoft 365 中其他功能的权限：

    • 完全访问权限：属于全局管理员*或安全管理员角色。 执行所有可用操作需要更多权限：

      • 预览和下载消息：需要 预览 角色，默认情况下，该角色仅分配给 数据调查员 或 电子数据展示管理员 角色组。

    • 在威胁资源管理器中按名称搜索 Exchange 邮件流规则（传输规则）：具有安全管理员或安全读取者角色的成员身份。

    • 只读访问权限： 全局读取者 角色或 安全读取者 角色的成员身份。

      重要

      * Microsoft强烈主张最低特权原则。 仅向帐户分配执行其任务所需的最低权限有助于降低安全风险，并增强组织的整体保护。 全局管理员是一种高特权角色，应限制在紧急情况下或无法使用其他角色时使用。

提示

终端用户垃圾邮件通知和系统生成的消息在威胁资源管理器中不可用。 如果存在要替代的邮件流规则（也称为传输规则），则可使用这些类型的邮件。

管理员预览或下载电子邮件时会生成审核日志条目。 可以按用户搜索管理员审核日志，了解 AdminMailAccess 活动。 有关说明，请参阅审核新搜索。

投递到审核邮箱或审核通讯组的电子邮件在威胁资源管理器中可见。 但审阅者执行的操作（例如，批准或拒绝邮件）以及审阅者向通讯组成员发布的邮件不会记录到日志中，也不会显示在威胁资源管理器中。

若要使用威胁资源管理器或实时检测功能，你需要被分配 Defender for Office 365 许可证（该许可证包含在你的订阅中，或可作为附加许可证提供）。

威胁资源管理器或实时检测包含分配有 Defender for Office 365 许可证的用户的数据。

威胁资源管理器和实时检测的元素

威胁浏览器和实时检测包含以下元素：

  • 视图：页面顶部的选项卡，用于按威胁组织检测。 视图会影响页面上的其余数据和选项。

    下表列出了威胁资源管理器和实时检测中的可用视图：

    查看 威胁
    Explorer    		 实时
    检测    		 说明
    所有电子邮件 ✔ 威胁资源管理器的默认视图。 有关外部用户发送到组织的所有电子邮件的信息 (入站) 、组织中的内部用户发送给外部用户的电子邮件 (出站) ，以及组织内部用户之间发送的电子邮件 (组织内部) 。
    恶意软件 ✔ ✔ 实时检测的默认视图。 有关包含恶意软件的电子邮件的信息。
    网络钓鱼 ✔ ✔ 有关包含钓鱼威胁的电子邮件的信息。
    活动 ✔ 有关被 Defender for Office 365 计划 2 识别为 协同式网络钓鱼或恶意软件攻击活动 一部分的恶意电子邮件的信息。
    内容恶意软件 ✔ ✔ 有关由以下功能处理的文件的信息：
    URL 点击次数 ✔ 有关用户单击电子邮件、Teams 邮件、SharePoint 文件和 OneDrive 文件中的 URL 的信息。

    本文详细介绍了这些视图，包括威胁资源管理器和实时检测之间的差异。

    提示

    实时检测仅显示邮件投递时的恶意电子邮件检测结果。 威胁资源管理器显示电子邮件在投递时的所有检测结果以及投递后的活动。

  • 日期/时间筛选器：默认情况下，视图按昨天和今天进行筛选。 若要更改日期筛选器，请选择日期范围，然后选择最早可追溯到 30 天前的 开始日期 和 结束日期。

    威胁资源管理器中使用的日期筛选器和 Defender 门户中的实时检测的屏幕截图。

  • 属性筛选器 (查询) ：按可用消息、文件或威胁属性筛选视图中的结果。 可用的可筛选属性取决于视图。 某些属性在许多视图中可用，而其他属性仅限于特定视图。

    本文列出了每个视图的可用属性筛选器，包括威胁资源管理器和实时检测之间的差异。

    有关创建属性筛选器的说明，请参阅 威胁资源管理器中的属性筛选器和实时检测

    威胁资源管理器允许保存查询以供以后使用，如 在威胁资源管理器中保存的查询 部分中所述。

  • 图表：每个视图都包含筛选或未筛选数据的视觉对象聚合表示形式。 您可以使用可用的透视以不同方式整理图表。

    通常可以使用 导出图表数据 将筛选或未筛选的图表数据导出到 CSV 文件。

    本文详细介绍了图表和可用透视，包括威胁资源管理器和实时检测之间的差异。

    提示

    若要从页中删除图表 (以最大化) 详细信息区域的大小，请使用以下方法之一：

    • 选择页面顶部的“ 图表视图>列表视图 ”。
    • 选择“在图表和详细信息区域之间显示列表视图”。

  • 详细信息区域：视图的详细信息区域通常显示包含筛选或未筛选数据的表。 可以使用可用视图 (选项卡) 以不同的方式组织详细信息区域中的数据。 例如，视图可能包含图表、地图或其他表。

    如果详细信息区域包含表，通常可以使用“导出”选择性地将最多 200,000 个筛选或未筛选的结果导出到 CSV 文件。

    提示

    在 “导出” 浮出控件中，可以选择部分或全部可用属性进行导出。 所选内容会针对每位用户单独保存。 在关闭 Web 浏览器之前，将保存 Incognito 或 InPrivate 浏览模式下的选项。

威胁资源管理器中主页的屏幕截图，其中显示了 Defender for Office 365 门户中的实时报表数据。

威胁资源管理器中的所有电子邮件视图

威胁资源管理器中的 “所有电子邮件 ”视图显示有关所有入站、出站和组织内部电子邮件的信息。 视图显示恶意和非恶意电子邮件。 例如：

  • 电子邮件被识别为网络钓鱼邮件或包含恶意软件。
  • 电子邮件被识别为垃圾邮件或群发邮件。
  • 电子邮件已识别，未发现威胁。

此视图是威胁资源管理器中的默认值。 若要在 Defender 门户的 资源管理器 页面上打开 所有电子邮件 视图，请访问 https://security.microsoft.com，然后转到 电子邮件和协作>资源管理器>所有电子邮件 选项卡。或者，使用 直接转到 https://security.microsoft.com/threatexplorerv3 页面，然后确认已选中 所有电子邮件 选项卡。

威胁资源管理器中“所有电子邮件”视图的屏幕截图，其中显示了图表、该图表的可用透视选项，以及详细信息表的视图选项。

威胁资源管理器中“所有电子邮件”视图中的可筛选属性

默认情况下，不会对数据应用任何属性筛选器。 本文后面的 威胁资源管理器中的筛选器和实时检测 部分介绍了创建筛选器 (查询) 的步骤。

下表描述了“所有电子邮件”视图的“传递”操作框中可用的可筛选属性：

属性 类型
基本
发件人地址 文本。 用逗号分隔多个值。
收件人 文本。 用逗号分隔多个值。
发件人域 文本。 用逗号分隔多个值。
收件人域名 文本。 用逗号分隔多个值。
主题 文本。 用逗号分隔多个值。
发件人显示名称 文本。 用逗号分隔多个值。
发件人邮箱地址 文本。 用逗号分隔多个值。
发件人邮件域 文本。 用逗号分隔多个值。
返回路径 文本。 用逗号分隔多个值。
返回路径域 文本。 用逗号分隔多个值。
恶意软件系列 文本。 用逗号分隔多个值。
标签 文本。 用逗号分隔多个值。

有关用户标记的详细信息，请参阅 用户标记。
被冒充的域名 文本。 用逗号分隔多个值。
被冒充的用户 文本。 用逗号分隔多个值。
Exchange 传输规则 文本。 用逗号分隔多个值。
数据丢失防护规则 文本。 用逗号分隔多个值。
上下文 选择一个或多个值：
  • 评估
  • 优先帐户保护
连接器 文本（连接器名称）。 用逗号分隔多个值。
投递操作 选择一个或多个值：
  • 已阻止：指已被隔离、投递失败或被丢弃的电子邮件。
  • 已送达：Email传递到用户的收件箱或其他用户可以访问邮件的文件夹。
  • 已传递到垃圾邮件：Email传递到用户可以访问邮件的“垃圾邮件Email”文件夹或“已删除邮件”文件夹。
  • 已替换：被“安全附件”策略中的“动态传递”所替换的邮件附件。
其他操作 选择一个或多个值：
方向性 选择一个或多个值：
  • 入站
  • 组织内部
  • 出站
检测技术 选择一个或多个值：
  • 高级筛选器：基于机器学习的信号。
  • 反恶意软件保护
  • 批量
  • 活动
  • 域信誉
  • 文件引爆分析：安全附件在引爆分析期间检测到恶意附件。
  • 文件引爆信誉：其他 Microsoft 365 组织内曾通过安全附件引爆检测到的文件附件。
  • 文件信誉：该消息包含以前在其他 Microsoft 365 组织中标识为恶意的文件。
  • 指纹匹配：该消息与以前检测到的恶意消息非常相似。
  • 常规筛选器
  • 冒充品牌：发件人冒充知名品牌。
  • 模拟域：模拟你拥有或指定用于在防钓鱼策略中保护的发件人域
  • 冒充用户
  • IP 声誉
  • LLM 内容分析：通过Microsoft专门构建的大型语言模型进行分析，以检测有害电子邮件。
  • 邮件爆炸：一种分布式拒绝服务 (DDoS) 攻击，通常向收件人订阅大量合法的新闻稿和服务。 几分钟内产生的传入电子邮件量会淹没收件人的邮箱和电子邮件安全系统，并充当恶意软件、勒索软件或数据外泄的前兆。
  • 邮箱智能仿冒：反网络钓鱼策略中基于邮箱智能的仿冒检测。
  • 混合分析判定：多个筛选器共同促成了该邮件的判定结果。
  • 欺骗 DMARC：消息 DMARC 身份验证失败。
  • 伪造外部域名：使用组织外部的域名来伪造发件人电子邮件地址。
  • 组织内欺骗：使用贵组织内部域名伪造发件人电子邮件地址。
  • URL 引爆：安全链接在引爆分析过程中检测到邮件内存在恶意 URL。</li
  • URL 引爆信誉：其他 Microsoft 365 组织内曾通过安全链接引爆检测到的 URL。
  • URL 恶意信誉：该邮件包含一个已在其他 Microsoft 365 组织中被标识为恶意的 URL。
威胁分类 选择一个或多个值：
  • 商业智能
  • 联系建立
  • 礼品卡
  • 发票
  • 工资
  • < PII 收集/li>
  • 任务
有关详细信息，请参阅 Office 365 Microsoft Defender 中的威胁分类。
原始交付位置 选择一个或多个值：
  • “已删除邮件”文件夹
  • 下降
  • 失败
  • 收件箱/文件夹
  • 垃圾邮件文件夹
  • 本地部署/外部
  • 隔离
  • Unknown
最新交付位置¹ 与原始交付位置相同的值
网络钓鱼置信度 选择一个或多个值：
  • High
  • Normal
主要替代 选择一个或多个值：
  • 组织策略允许
  • 用户策略允许
  • 被组织策略阻止
  • 被用户策略阻止
  • 无
主要替代来源 消息可以具有替代源中所标识的多个允许或阻止替代。 最终允许或阻止该消息的覆盖项可在 主要覆盖源 中查看。
选择一个或多个值：
  • 第三方筛选器
  • 管理员发起的按时间顺序查看 (ZAP)
  • 反恶意软件策略阻止（按文件类型）
  • 反垃圾邮件策略设置
  • 连接策略
  • Exchange 传输规则
  • 独占模式 (用户替代)
  • 因本地组织跳过筛选
  • 策略中的 IP 区域筛选器
  • 策略中的语言筛选器
  • 网络钓鱼模拟
  • 解除隔离
  • SecOps 邮箱
  • 发件人地址列表 (管理员 替代)
  • 发件人地址列表（用户替代）
  • 发件人域列表 (管理员 重写)
  • 发件人域列表（用户替代）
  • 租户允许/阻止列表文件阻止
  • 租户允许/阻止列表中的发件人电子邮件地址阻止
  • 租户允许/阻止列表欺骗拦截
  • 租户允许/阻止列表中的 URL 阻止
  • 受信任的联系人列表（用户替代）
  • 受信任的域（用户替代）
  • 受信任的收件人（用户替代）
  • 仅限受信任的发件人（用户覆盖）
替代源 与主重写源相同的值
策略类型 选择一个或多个值：
  • 反恶意软件策略
  • 反钓鱼策略
  • Exchange 传输规则 (邮件流规则) 、 托管内容筛选器策略 (反垃圾邮件策略) 、 托管出站垃圾邮件筛选策略 (出站垃圾邮件策略) 、 安全附件策略
  • Unknown
策略操作 选择一个或多个值：
  • 添加 x-header
  • 密件抄送消息
  • 删除邮件
  • 修改主题
  • 移动到垃圾邮件Email文件夹
  • 未执行任何操作
  • 重定向消息
  • 发送到隔离区
威胁类型 选择一个或多个值：
  • 恶意软件
  • 网络钓鱼
  • 垃圾邮件
转发的邮件 选择一个或多个值：
  • True
  • False
分发列表 文本。 用逗号分隔多个值。
Email大小 整数。 用逗号分隔多个值。
高级
互联网邮件 ID 文本。 用逗号分隔多个值。

可在邮件头中的 Message-ID 标头字段中找到。 一个示例值是 <08f1e0f6806a47b4ac103961109ae6ef@server.domain>（注意尖括号）。
网络消息标识 文本。 用逗号分隔多个值。

在邮件头的 X-MS-Exchange-Organization-Network-Message-Id 标头字段中可用的 GUID 值。
发送方 IP² 文本。 用逗号分隔多个值。
附件 SHA256 文本。 用逗号分隔多个值。
集群标识 文本。 用逗号分隔多个值。
警报 ID 文本。 用逗号分隔多个值。
警报策略 ID 文本。 用逗号分隔多个值。
活动 ID 文本。 用逗号分隔多个值。
ZAP URL 信号 文本。 用逗号分隔多个值。
Urls
URL 数量 整数。 用逗号分隔多个值。
URL 域³ 文本。 用逗号分隔多个值。
URL 域名和路径³ 文本。 用逗号分隔多个值。
URL³ 文本。 用逗号分隔多个值。
URL 路径³ 文本。 用逗号分隔多个值。
URL 来源 选择一个或多个值：
  • 附件
  • 云附件
  • Email正文
  • Email标头
  • QR 码
  • 主题
  • Unknown
单击“判决” 选择一个或多个值：
  • 允许：允许用户打开 URL。
  • 已绕过拦截：用户被阻止直接打开该 URL，但他们绕过了拦截并打开了该 URL。
  • 已阻止：阻止用户打开 URL。
  • 错误：向用户显示了错误页面，或者在捕获判定结果时发生了错误。
  • 失败：获取判定结果时发生未知异常。 用户可能已打开 URL。
  • 无：无法获取该 URL 的判定结果。 用户可能已打开 URL。
  • 待裁定：系统向用户显示了引爆待定页。
  • 已绕过待裁定：系统向用户显示了引爆待定页，但它们会替代消息以打开 URL。
URL 威胁 选择一个或多个值：
  • 恶意软件
  • 网络钓鱼
  • 垃圾邮件
文件
附件数量 整数。 用逗号分隔多个值。
附件的文件名 文本。 用逗号分隔多个值。
文件类型 文本。 用逗号分隔多个值。
文件扩展名 文本。 用逗号分隔多个值。
文件大小 整数。 用逗号分隔多个值。
身份验证
SPF 选择一个或多个值：
  • 失败
  • 中性
  • 无
  • 通过
  • 永久性错误
  • 软故障
  • 临时错误
DKIM 选择一个或多个值：
  • 错误
  • 失败
  • 忽略
  • 无
  • 通过
  • Test
  • Timeout
  • Unknown
DMARC 选择一个或多个值：
  • 最佳猜测通过
  • 失败
  • 无
  • 通过
  • 永久性错误
  • 选择器通过
  • 临时错误
  • Unknown
复合 选择一个或多个值：
  • 失败
  • 无
  • 通过
  • 软传递

提示

  • ¹ 最新传递位置 不包括对邮件的最终用户操作。 例如，如果用户删除了邮件或将邮件移动到存档或 PST 文件。

    在某些情况下 ，原始交付位置/最新交付位置和 /或 传递操作 具有值 未知。 例如：

    • 邮件已送达 (“传递”操作为“传递) ”，但“收件箱”规则将邮件移动到“收件箱”或“垃圾邮件 Email”文件夹以外的默认文件夹， (例如“草稿”或“存档”文件夹) 。
    • ZAP 尝试在传递后移动邮件，但未找到邮件 (例如，用户移动或删除了邮件) 。

  • ² 在以下情况下 ，发送方 IP 值有时记录为空或 0.0.0.0：

    • 自动答复。
    • 传递失败的未送达电子邮件。
    • 发件人 IP 地址为 Microsoft 内部地址的电子邮件。 例如，系统生成的通知、警报或从 Microsoft IP 地址传递的转发消息。

    这些方案中的 IP 地址可能在 Exchange 邮件跟踪中可见。

  • 2 默认情况下，除非显式指定了另一个值，否则 URL 搜索将映射到 http。 例如：

    • 在 http://、URL 域和 URL 域和路径中，使用和不使用 前缀进行搜索应显示相同的结果。
    • 在https://中搜索前缀。 如果未指定任何值，则 http:// 假定前缀。
    • / 在 URL 路径的开头和末尾，将忽略 URL 域、 URL 域和路径 字段。
    • / URL 字段末尾的内容将被忽略。

威胁资源管理器内“所有电子邮件”视图中的图表透视表

图表具有默认视图，但可以从 “选择直方图透视” 中选择一个值，以更改已筛选或未筛选图表数据的组织和显示方式。

以下小节介绍了可用的图表透视。

威胁资源管理器内“所有电子邮件”视图中的传递操作图表透视

虽然此数据透视项看起来默认未被选中，但 投递操作 是 所有电子邮件 视图中的默认图表数据透视项。

传递操作透视使用指定日期/时间范围和属性筛选器按对邮件执行的操作来组织图表。

威胁资源管理器内“所有电子邮件”视图中使用“传递操作”透视的图表屏幕截图。

将鼠标悬停在图表中的数据点上会显示每个传递操作的计数。

威胁资源管理器内“所有电子邮件”视图中的发件人域图表透视

发件人域透视使用指定日期/时间范围和属性筛选器按邮件中的域来组织图表。

威胁资源管理器中“所有电子邮件”视图里按发件人域名透视显示的图表屏幕截图。

将鼠标悬停在图表中的数据点上会显示每个发件人域的数量。

威胁资源管理器内“所有电子邮件”视图中的发件人 IP 图表透视

发件人 IP透视使用指定日期/时间范围和属性筛选器按邮件源 IP 地址来组织图表。

威胁资源管理器内“所有电子邮件”视图中使用“发件人 IP”透视的图表屏幕截图。

将鼠标悬停在图表中的数据点上会显示每个发送方 IP 地址的计数。

威胁资源管理器内“所有电子邮件”视图中的检测技术图表透视

检测技术透视使用指定日期/时间范围和属性筛选器按识别邮件的功能来组织图表。

威胁资源管理器内“所有电子邮件”视图中使用“检测技术”透视的图表屏幕截图。

将鼠标悬停在图表中的数据点上会显示每种检测技术的计数。

威胁资源管理器内“所有电子邮件”视图中的威胁分类图表透视

威胁分类透视按分类的威胁组织图表。 有关详细信息，请参阅 Office 365 Microsoft Defender 中的威胁分类。

将鼠标悬停在图表中的数据点上会显示每个分类的计数。

威胁资源管理器内“所有电子邮件”视图中的完整 URL 图表透视

完整 URL 透视使用指定日期/时间范围和属性筛选器按邮件中的完整 URL 来组织图表。

威胁资源管理器内“所有电子邮件”视图中使用“完整 URL”透视的图表的屏幕截图。

将鼠标悬停在图表中的数据点上会显示每个完整 URL 的计数。

威胁资源管理器内“所有电子邮件”视图中的 URL 域图表透视

URL 域透视使用指定日期/时间范围和属性筛选器按邮件内 URL 中的域来组织图表。

威胁资源管理器内“所有电子邮件”视图中使用“URL 域”透视的图表的屏幕截图。

将鼠标悬停在图表中的数据点上会显示每个 URL 域的计数。

威胁资源管理器内“所有电子邮件”视图中的 URL 域和路径图表透视

URL 域和路径透视使用指定日期/时间范围和属性筛选器按邮件内 URL 中的域和路径组织图表。

威胁资源管理器内“所有电子邮件”视图中使用“URL 域和路径”透视的图表的屏幕截图。

将鼠标悬停在图表中的数据点上会显示每个 URL 域和路径的计数。

威胁资源管理器中“所有电子邮件”视图的详细信息区域视图

以下小节介绍了 所有电子邮件 视图的详细信息区域中可用的视图（选项卡）。

威胁资源管理器中“所有电子邮件”视图的详细信息区域电子邮件视图

Email是“所有电子邮件”视图中详细信息区域的默认视图。

Email视图显示详细信息表。 可以通过单击可用的列标题对条目进行排序。 选择“自定义列”以更改显示的列。 默认值标有星号（*）：

  • 日期*
  • 主题*
  • 收件人*
  • 收件人域
  • 标签*
  • 发件人地址*
  • 发件人显示名
  • 发件人域*
  • 发件人 IP
  • 发件人邮件地址
  • 发件人邮件域
  • 其他操作*
  • 传递操作
  • 最新交付位置*
  • 原始交付位置*
  • 系统替代源
  • 系统替代
  • 警报 ID
  • Internet 消息 ID
  • 网络消息 ID
  • 邮件语言
  • Exchange 传输规则
  • Connector
  • Context
  • 数据丢失防护规则
  • 威胁类型*
  • 检测技术
  • 威胁分类
  • 附件数量
  • URL 数量
  • Email大小

提示

若要查看所有列，可能需要执行以下步骤中的一个或多个步骤：

  • 在 Web 浏览器中水平滚动。
  • 缩小相应列的宽度。
  • 从视图中删除列。
  • 在 Web 浏览器中缩小。

自定义列设置会按用户分别保存。 在关闭 Web 浏览器之前，将保存 Incognito 或 InPrivate 浏览模式下的自定义列设置。

通过选择第一列旁边的检查框从列表中选择一个或多个条目时，“执行操作”可用。 有关详细信息，请参阅威胁搜寻：电子邮件修复。

电子邮件视图（选项卡）的屏幕截图，其中详细信息表中已选择一条消息，且“采取操作”处于活动状态。

在条目的“主题”值中，“在新窗口中打开”操作可用。 此操作将在 Email 实体页中打开消息。

单击条目中的 “主题” 或“ 收件人” 值时，将打开详细信息浮出控件。 下列小节中将描述这些浮出控件。

“所有电子邮件”视图内详细信息区域的“电子邮件”视图中的电子邮件详细信息

选择表中某个条目的 “主题” 值时，将打开电子邮件详细信息浮出控件。 此详细信息浮出面板称为“电子邮件摘要面板”，其中包含该邮件的电子邮件实体页上也提供的标准化摘要信息。

有关Email摘要面板中的信息的详细信息，请参阅 Defender 中的Email摘要面板。

在威胁资源管理器和实时检测的“电子邮件摘要”面板顶部，可以执行以下操作：

  • 打开电子邮件实体
  • 查看标头
  • 采取措施：有关信息，请参阅威胁搜寻：电子邮件补救。
  • 更多选项：
    • 电子邮件预览¹ ²
    • 下载邮件¹ ² ³
    • 在资源管理器中查看
    • 执行搜寻⁴

¹ 电子邮件预览和下载电子邮件操作需要在电子邮件和协作权限中具有预览角色。 默认情况下，此角色分配给 数据调查员 和 电子数据展示管理员 角色组。 默认情况下， 组织管理 或 安全管理员 角色组的成员无法执行这些操作。 若要允许这些组的成员执行这些操作，可以使用以下选项：

  • 将用户添加到 数据调查员 或 电子数据展示管理器 角色组。
  • 创建新的角色组，并为其分配 “搜索和清除” 角色，然后将用户添加到该自定义角色组中。

² 可以预览或下载云邮箱和隔离区中提供的电子邮件。 邮件在邮箱中不再可用的示例包括：

  • 邮件在投递前已被丢弃，或投递失败。
  • 邮件已 软删除 (从“已删除邮件”文件夹中删除，这会将邮件移动到“可恢复的项目”\“删除”文件夹) 。
  • ZAP 已将邮件移动到隔离区。

³ 可以使用密码保护下载隔离消息的电子邮件。 还可以 从隔离区下载受密码保护的邮件副本。

⁴ Go 搜寻 仅在威胁资源管理器中可用。 它在实时检测中不可用。

“所有电子邮件”视图内详细信息区域的“电子邮件”视图中的收件人详细信息

通过单击“ 收件人 ”值选择条目时，将打开详细信息浮出控件，其中包含以下信息：

提示

若要在不离开详细信息浮出控件的情况下查看其他收件人的详细信息，请使用浮出控件顶部的“上一项”和“下一项”。

  • 摘要 部分：

  • Email部分：显示发送给收件人的邮件的以下相关信息的表：

    • Date
    • 主题
    • 收件人

    选择“ 查看所有电子邮件 ”，在按收件人筛选的新选项卡中打开“威胁资源管理器”。

  • “最近警报 ”部分：一个表，其中显示了有关最近相关警报的以下相关信息：

    • 严重性
    • 警报策略
    • 类别
    • 活动

    如果最近警报超过三个，请选择“ 查看所有最近的警报 ”，查看所有警报。

    • 最近的活动 部分：显示收件人的 审核日志搜索 的汇总结果：

      • Date
      • IP 地址
      • 活动
      • 项目

      如果收件人具有三个以上的审核日志条目，请选择“ 查看所有最近的活动 ”，查看所有这些条目。

    提示

    安全管理员角色组中拥有电子邮件和协作权限的成员无法展开最近活动部分。 你需要是 Exchange Online 权限 中某个角色组的成员，并且该角色组已分配 审核日志、信息保护分析师 或 信息保护调查员 角色。 默认情况下，这些角色分配给记录管理、合规性管理、信息保护、信息保护分析师、信息保护调查员和组织管理角色组。 可以将安全管理员的成员添加到这些角色组，也可以创建分配有审核日志角色的新角色组。

在“所有电子邮件”视图的详细信息区域中，选择“电子邮件”选项卡中的“收件人”值后显示的收件人详细信息弹出窗口的屏幕截图。

威胁资源管理器内“所有电子邮件”视图的详细信息区域“URL 点击”视图

URL 点击视图显示一个可使用透视进行组织的图表。 图表具有默认视图，但可以从 “选择直方图透视” 中选择一个值，以更改已筛选或未筛选图表数据的组织和显示方式。

以下小节介绍了图表透视。

威胁资源管理器中“所有电子邮件”视图的详细信息区域的屏幕截图，其中已选择“URL 点击”选项卡，并且显示了可用的透视，未选择任何透视。

提示

在威胁资源管理器中，URL 点击视图中的每个透视都有一个查看所有单击操作，此操作用于在新选项卡中打开 URL 点击视图。

威胁资源管理器中“所有电子邮件”视图详细信息区域的“URL 点击”视图的 URL 域透视

尽管此图表透视项似乎未被选中，URL 域仍是 URL 点击 视图中的默认图表透视项。

URL 域透视图显示在指定日期/时间范围和属性筛选器条件下，电子邮件消息中的 URL 所包含的不同域。

威胁资源管理器中“所有电子邮件”视图的详细信息区域屏幕截图，其中选择了“URL 点击”选项卡和 URL 域透视。

将鼠标悬停在图表中的数据点上会显示每个 URL 域的计数。

威胁资源管理器中“所有电子邮件”视图详细信息区域“URL 点击”视图的“点击裁定”透视

点击裁定透视使用指定日期/时间范围和属性筛选器显示电子邮件中点击的 URL 的不同裁定。

威胁资源管理器中“所有电子邮件”视图的详细信息区域的屏幕截图，其中选择了“URL 点击”选项卡和“点击裁定”透视。

将鼠标悬停在图表中的数据点上时，会显示各点击判定结果的数量。

威胁资源管理器中“所有电子邮件”视图详细信息区域的“URL 点击”视图的 URL 透视

URL 透视使用指定日期/时间范围和属性筛选器显示电子邮件中点击的不同 URL。

威胁资源管理器中“所有电子邮件”视图的详细信息区域屏幕截图，其中选择了“URL 点击”选项卡和 URL 透视。

将鼠标悬停在图表中的数据点上会显示每个 URL 的计数。

威胁资源管理器中“所有电子邮件”视图详细信息区域的“URL 点击”视图的 URL 域和路径透视

URL 域和路径透视图显示在指定日期/时间范围内并符合属性筛选条件的电子邮件中被点击的 URL 的不同域和文件路径。

威胁资源管理器中“所有电子邮件”视图的详细信息区域屏幕截图，其中选择了“URL 点击”选项卡和 URL 域和路径透视。

将鼠标悬停在图表中的数据点上会显示每个 URL 域和文件路径的计数。

威胁资源管理器中“所有电子邮件”视图的详细信息区域的热门 URL 视图

热门 URL 视图显示一个详细信息表。 可以通过单击可用的列标题对条目进行排序：

  • URL
  • 消息被阻止
  • 邮件已标记为垃圾邮件
  • 传递的消息
“所有电子邮件”视图的热门 URL 详细信息

通过单击第一列旁边的检查框以外的任何位置选择条目时，将打开详细信息浮出控件，其中包含以下信息：

提示

若要在不离开详细信息浮出控件的情况下查看有关其他 URL 的详细信息，请使用浮出控件顶部的“上一项”和“下一项”。

  • 浮出窗口顶部提供了以下操作：

    • 打开 URL 页

    • 提交以供分析：

      • 报告清理
      • 报告钓鱼
      • 报告恶意软件

    • 管理指示器：

      • 添加指示器
      • 在租户阻止列表中管理

      选择这些选项中的任何一个会转到 Defender 门户中 的“提交” 页。

    • 更多：

      • 在资源管理器中查看
      • 开始查找
  • 原始 URL
  • “检测 ”部分：
    • 威胁情报判定
    • x 活动警报 y 事件：一个水平条形图，显示与此链接相关的 “高”、“ 中”、“ 低”和 “信息” 警报数。
    • 指向在 URL 页面中查看所有事件和警报的链接。
  • 域详细信息部分：
    • 域名和指向查看域名页面的链接。
    • 注册
    • 注册日期
    • 更新日期
    • 到期时间
  • 注册联系人信息 部分：
    • 注册器
    • 国家/地区
    • 通讯地址
    • 电子邮件
    • 电话
    • 详细信息：指向在 Whois 中打开的链接。
  • URL 流行 (最近 30 天) 部分：包含设备数、Email和点击数。 选择每个值以查看完整列表。
  • 设备：显示受影响的设备：

    • 日期（第一个/最后一个）

    • 设备

      如果涉及两个以上的设备，请选择“ 查看所有设备 ”，查看所有设备。

在威胁资源管理器的“所有电子邮件”视图中，选择“热门 URL”选项卡中的某个条目后显示的详细信息浮出窗屏幕截图。

威胁资源管理器中“所有电子邮件”视图的详细信息区域热门点击视图

热门点击视图显示一个详细信息表。 可以通过单击可用的列标题对条目进行排序：

  • URL
  • 阻止
  • 允许
  • 已替代区块
  • 待决判决
  • 已绕过待裁定
  • 无
  • 错误页
  • 失败

提示

已选择所有可用列。 如果选择“自定义列”，则无法取消选择任何列。

若要查看所有列，可能需要执行以下步骤中的一个或多个步骤：

  • 在 Web 浏览器中水平滚动。
  • 缩小相应列的宽度。
  • 在 Web 浏览器中缩小。

通过单击第一列旁边的检查框以外的任何位置选择条目时，将打开详细信息浮出控件。 浮出控件中的信息与 “所有电子邮件”视图的“热门 URL 详细信息”中所述相同。

威胁资源管理器中“所有电子邮件”视图详细信息区域的主要目标用户视图

“最常被攻击的用户”视图以表格形式显示遭受威胁最多的前五名收件人。 该表包含以下信息：

提示

使用 “导出” 可导出最多 3000 个用户的列表以及相应的尝试。

威胁资源管理器中“所有电子邮件”视图的详细信息区域电子邮件来源视图

Email源视图在世界地图上显示消息源。

威胁资源管理器中“所有电子邮件”视图的详细信息区域内“电子邮件来源”视图中的世界地图屏幕截图。

威胁资源管理器中“所有电子邮件”视图的详细信息区域的活动视图

营销活动视图显示一个详细信息表。 可以通过单击可用的列标题对条目进行排序。

表中的信息与 “市场活动”页上的详细信息表中所述相同。

单击行中除“名称”旁边的“检查”框以外的任意位置选择条目时，将打开详细信息浮出控件。 浮出控件中的信息与 市场活动详细信息中所述的信息相同。

威胁资源管理器和实时检测中的恶意软件视图

威胁资源管理器和实时检测中的 “恶意软件 ”视图显示有关发现包含恶意软件的电子邮件的信息。 此视图是实时检测中的默认值。

若要打开 “恶意软件” 视图，请执行以下步骤之一：

Threat Explorer 中“恶意软件”视图的截图，显示了图表、该图表的可用透视选项以及详细信息表视图。

威胁资源管理器和实时检测中恶意软件视图中的可筛选属性

默认情况下，不会对数据应用任何属性筛选器。 本文后面的 威胁资源管理器中的筛选器和实时检测 部分介绍了创建筛选器 (查询) 的步骤。

下表描述了“恶意软件”视图中的“发件人地址”框中可用的可筛选属性：

属性 类型 威胁
Explorer		 实时
检测
基本
发件人地址 文本。 用逗号分隔多个值。 ✔ ✔
收件人 文本。 用逗号分隔多个值。 ✔ ✔
发件人域 文本。 用逗号分隔多个值。 ✔ ✔
收件人域名 文本。 用逗号分隔多个值。 ✔ ✔
主题 文本。 用逗号分隔多个值。 ✔ ✔
发件人显示名称 文本。 用逗号分隔多个值。 ✔ ✔
发件人邮箱地址 文本。 用逗号分隔多个值。 ✔ ✔
发件人邮件域 文本。 用逗号分隔多个值。 ✔ ✔
返回路径 文本。 用逗号分隔多个值。 ✔ ✔
返回路径域 文本。 用逗号分隔多个值。 ✔ ✔
恶意软件系列 文本。 用逗号分隔多个值。 ✔ ✔
标签 文本。 用逗号分隔多个值。

有关用户标记的详细信息，请参阅 用户标记。		 ✔
Exchange 传输规则 文本。 用逗号分隔多个值。 ✔
数据丢失防护规则 文本。 用逗号分隔多个值。 ✔
上下文 选择一个或多个值：
  • 评估
  • 优先帐户保护
 ✔
连接器 文本（连接器名称）。 用逗号分隔多个值。 ✔
投递操作 选择一个或多个值： ✔ ✔
其他操作 选择一个或多个值： ✔ ✔
方向性 选择一个或多个值：
  • 入站
  • 组织内部
  • 出站
 ✔ ✔
检测技术 选择一个或多个值：
  • 高级筛选器：基于机器学习的信号。
  • 反恶意软件保护
  • 批量
  • 活动
  • 域信誉
  • 文件引爆分析：安全附件在引爆分析期间检测到恶意附件。
  • 文件引爆信誉：其他 Microsoft 365 组织内曾通过安全附件引爆检测到的文件附件。
  • 文件信誉：该消息包含以前在其他 Microsoft 365 组织中标识为恶意的文件。
  • 指纹匹配：该消息与以前检测到的恶意消息非常相似。
  • 常规筛选器
  • 冒充品牌：发件人冒充知名品牌。
  • 模拟域：模拟你拥有或指定用于在防钓鱼策略中保护的发件人域
  • 冒充用户
  • IP 声誉
  • LLM 内容分析：通过Microsoft专门构建的大型语言模型进行分析，以检测有害电子邮件。
  • 邮件爆炸：一种分布式拒绝服务 (DDoS) 攻击，通常向收件人订阅大量合法的新闻稿和服务。 几分钟内产生的传入电子邮件量会淹没收件人的邮箱和电子邮件安全系统，并充当恶意软件、勒索软件或数据外泄的前兆。
  • 邮箱智能仿冒：反网络钓鱼策略中基于邮箱智能的仿冒检测。
  • 混合分析判定：多个筛选器共同促成了该邮件的判定结果。
  • 欺骗 DMARC：消息 DMARC 身份验证失败。
  • 伪造外部域名：使用组织外部的域名来伪造发件人电子邮件地址。
  • 组织内欺骗：使用贵组织内部域名伪造发件人电子邮件地址。
  • URL 引爆：安全链接在引爆分析过程中检测到邮件内存在恶意 URL。
  • URL 引爆信誉：其他 Microsoft 365 组织内曾通过安全链接引爆检测到的 URL。
  • URL 恶意信誉：该邮件包含一个已在其他 Microsoft 365 组织中被标识为恶意的 URL。
 ✔ ✔
原始交付位置 选择一个或多个值：
  • “已删除邮件”文件夹
  • 下降
  • 失败
  • 收件箱/文件夹
  • 垃圾邮件文件夹
  • 本地部署/外部
  • 隔离
  • Unknown
 ✔ ✔
最新交付位置 与原始交付位置相同的值 ✔ ✔
主要替代 选择一个或多个值：
  • 组织策略允许
  • 用户策略允许
  • 被组织策略阻止
  • 被用户策略阻止
  • 无
 ✔ ✔
主要替代来源 消息可以具有替代源中所标识的多个允许或阻止替代。 最终允许或阻止该消息的覆盖项可在 主要覆盖源 中查看。
选择一个或多个值：
  • 第三方筛选器
  • 管理员发起的按时间顺序查看 (ZAP)
  • 反恶意软件策略阻止（按文件类型）
  • 反垃圾邮件策略设置
  • 连接策略
  • Exchange 传输规则
  • 独占模式 (用户替代)
  • 因本地组织跳过筛选
  • 策略中的 IP 区域筛选器
  • 策略中的语言筛选器
  • 网络钓鱼模拟
  • 解除隔离
  • SecOps 邮箱
  • 发件人地址列表 (管理员 替代)
  • 发件人地址列表（用户替代）
  • 发件人域列表 (管理员 重写)
  • 发件人域列表（用户替代）
  • 租户允许/阻止列表文件阻止
  • 租户允许/阻止列表中的发件人电子邮件地址阻止
  • 租户允许/阻止列表欺骗拦截
  • 租户允许/阻止列表中的 URL 阻止
  • 受信任的联系人列表（用户替代）
  • 受信任的域（用户替代）
  • 受信任的收件人（用户替代）
  • 仅限受信任的发件人（用户覆盖）
 ✔ ✔
替代源 与主重写源相同的值 ✔ ✔
策略类型 选择一个或多个值：
  • 反恶意软件策略
  • 反钓鱼策略
  • Exchange 传输规则 (邮件流规则) 、 托管内容筛选器策略 (反垃圾邮件策略) 、 托管出站垃圾邮件筛选策略 (出站垃圾邮件策略) 、 安全附件策略
  • Unknown
 ✔ ✔
策略操作 选择一个或多个值：
  • 添加 x-header
  • 密件抄送消息
  • 删除邮件
  • 修改主题
  • 移动到垃圾邮件Email文件夹
  • 未执行任何操作
  • 重定向消息
  • 发送到隔离区
 ✔ ✔
Email大小 整数。 用逗号分隔多个值。 ✔ ✔
高级
互联网邮件 ID 文本。 用逗号分隔多个值。

可在邮件头中的 Message-ID 标头字段中找到。 一个示例值是 <08f1e0f6806a47b4ac103961109ae6ef@server.domain>（注意尖括号）。		 ✔ ✔
网络消息标识 文本。 用逗号分隔多个值。

在邮件头的 X-MS-Exchange-Organization-Network-Message-Id 标头字段中可用的 GUID 值。		 ✔ ✔
发件人 IP 文本。 用逗号分隔多个值。 ✔ ✔
附件 SHA256 文本。 用逗号分隔多个值。 ✔ ✔
集群标识 文本。 用逗号分隔多个值。 ✔ ✔
警报 ID 文本。 用逗号分隔多个值。 ✔ ✔
警报策略 ID 文本。 用逗号分隔多个值。 ✔ ✔
活动 ID 文本。 用逗号分隔多个值。 ✔ ✔
ZAP URL 信号 文本。 用逗号分隔多个值。 ✔ ✔
Urls
URL 数量 整数。 用逗号分隔多个值。 ✔ ✔
URL 域名 文本。 用逗号分隔多个值。 ✔ ✔
URL 域和路径 文本。 用逗号分隔多个值。 ✔ ✔
URL 文本。 用逗号分隔多个值。 ✔ ✔
URL 路径 文本。 用逗号分隔多个值。 ✔ ✔
URL 来源 选择一个或多个值：
  • 附件
  • 云附件
  • Email正文
  • Email标头
  • QR 码
  • 主题
  • Unknown
 ✔ ✔
单击“判决” 选择一个或多个值：
  • 允许
  • 已替代区块
  • 阻止
  • 错误
  • 失败
  • 无
  • 待决判决
  • 已绕过待裁定
 ✔ ✔
URL 威胁 选择一个或多个值：
  • 恶意软件
  • 网络钓鱼
  • 垃圾邮件
 ✔ ✔
文件
附件数量 整数。 用逗号分隔多个值。 ✔ ✔
附件的文件名 文本。 用逗号分隔多个值。 ✔ ✔
文件类型 文本。 用逗号分隔多个值。 ✔ ✔
文件扩展名 文本。 用逗号分隔多个值。 ✔ ✔
文件大小 整数。 用逗号分隔多个值。 ✔ ✔
身份验证
SPF 选择一个或多个值：
  • 失败
  • 中性
  • 无
  • 通过
  • 永久性错误
  • 软故障
  • 临时错误
 ✔ ✔
DKIM 选择一个或多个值：
  • 错误
  • 失败
  • 忽略
  • 无
  • 通过
  • Test
  • Timeout
  • Unknown
 ✔ ✔
DMARC 选择一个或多个值：
  • 最佳猜测通过
  • 失败
  • 无
  • 通过
  • 永久性错误
  • 选择器通过
  • 临时错误
  • Unknown
 ✔ ✔
复合 选择一个或多个值：
  • 失败
  • 无
  • 通过
  • 软传递

威胁资源管理器和实时检测内“恶意软件”视图中的图表透视

图表具有默认视图，但可以从 “选择直方图透视” 中选择一个值，以更改已筛选或未筛选图表数据的组织和显示方式。

下表列出了“威胁资源管理器”和“实时检测”中的“恶意软件”视图里可用的图表透视选项：

透视 威胁
Explorer		 实时
检测
恶意软件系列 ✔
发件人域 ✔
发件人 IP ✔
传递操作 ✔ ✔
威胁分类 ✔ ✔
检测技术 ✔ ✔

以下小节介绍了可用的图表透视。

威胁资源管理器内“恶意软件”视图中的恶意软件系列图表透视

尽管此透视维度看起来并非默认选中，恶意软件系列却是威胁资源管理器中 恶意软件 视图的默认图表透视维度。

恶意软件系列透视使用指定的日期/时间范围和属性筛选器按邮件中检测到的恶意软件系列来组织图表。

威胁资源管理器内“恶意软件”视图中使用“恶意软件系列”透视的图表屏幕截图。

将鼠标悬停在图表中的数据点上会显示每个恶意软件系列的计数。

威胁资源管理器内“恶意软件”视图中的发件人域图表透视

发件人域透视使用指定日期/时间范围和属性筛选器按发现含有恶意软件的邮件的发件人域来组织图表。

Threat Explorer 中按发件人域透视的“恶意软件”视图中的图表截图。

将鼠标悬停在图表中的数据点上会显示每个发件人域的数量。

威胁资源管理器内“恶意软件”视图中的发件人 IP 图表透视

发件人 IP 透视使用指定日期/时间范围和属性筛选器按发现含有恶意软件的邮件的源 IP 地址来组织图表。

威胁资源管理器内“恶意软件”视图中使用“发件人 IP”透视的图表屏幕截图。

将鼠标悬停在图表中的数据点上会显示每个源 IP 地址的计数。

威胁资源管理器和实时检测内“恶意软件”视图中的传送操作图表透视

尽管默认情况下此维度看起来未被选中，但 投递操作 是“实时检测”的 恶意软件 视图中的默认图表维度。

传送操作透视使用指定日期/时间范围和属性筛选器按发现含有恶意软件的邮件的所发生情况来组织图表。

威胁资源管理器内“恶意软件”视图中使用“传递操作”透视的图表屏幕截图。

将鼠标悬停在图表中的数据点上会显示每个传递操作的计数。

威胁资源管理器和实时检测内“恶意软件”视图中的威胁分类图表透视

威胁分类透视按分类的威胁组织图表。 有关详细信息，请参阅 Office 365 Microsoft Defender 中的威胁分类。

将鼠标悬停在图表中的数据点上会显示每个分类的计数。

威胁资源管理器和实时检测内“恶意软件”视图中的检测技术图表透视

检测技术透视使用指定日期/时间范围和属性筛选器按识别邮件中的恶意软件的功能来组织图表。

威胁资源管理器内“恶意软件”视图中使用“检测技术”透视的图表屏幕截图。

将鼠标悬停在图表中的数据点上会显示每种检测技术的计数。

威胁资源管理器和实时检测中“恶意软件”视图详细信息区域的视图

下表列出了 恶意软件 视图详细信息区域中) 的可用视图 (选项卡，并在以下小节中介绍。

查看 威胁
Explorer		 实时
检测
电子邮件 ✔ ✔
热门恶意软件系列 ✔
排名靠前的目标用户 ✔
Email源 ✔
活动 ✔

威胁资源管理器和实时检测中“恶意软件”视图详细信息区域的“电子邮件”视图

Email是威胁资源管理器和实时检测中恶意软件视图的详细信息区域的默认视图。

Email视图显示详细信息表。 可以通过单击可用的列标题对条目进行排序。 选择“自定义列”以更改显示的列。

下表显示了威胁资源管理器和实时检测中可用的列。 默认值标有星号 () * 。

列 威胁
Explorer		 实时
检测
日期* ✔ ✔
主题* ✔ ✔
收件人* ✔ ✔
收件人域 ✔ ✔
标签* ✔
发件人地址* ✔ ✔
发件人显示名 ✔ ✔
发件人域* ✔ ✔
发件人 IP ✔ ✔
发件人邮件地址 ✔ ✔
发件人邮件域 ✔ ✔
其他操作* ✔ ✔
传递操作 ✔ ✔
最新交付位置* ✔ ✔
原始交付位置* ✔ ✔
系统替代源 ✔ ✔
系统替代 ✔ ✔
警报 ID ✔ ✔
Internet 消息 ID ✔ ✔
网络消息 ID ✔ ✔
邮件语言 ✔ ✔
Exchange 传输规则 ✔
Connector ✔
Context ✔ ✔
数据丢失防护规则 ✔ ✔
威胁类型* ✔ ✔
检测技术 ✔ ✔
威胁分类 ✔ ✔
附件数量 ✔ ✔
URL 数量 ✔ ✔
Email大小 ✔ ✔

提示

若要查看所有列，可能需要执行以下步骤中的一个或多个步骤：

  • 在 Web 浏览器中水平滚动。
  • 缩小相应列的宽度。
  • 从视图中删除列。
  • 在 Web 浏览器中缩小。

自定义列设置会按用户分别保存。 在关闭 Web 浏览器之前，将保存 Incognito 或 InPrivate 浏览模式下的自定义列设置。

通过选择第一列旁边的检查框从列表中选择一个或多个条目时，“执行操作”可用。 有关详细信息，请参阅威胁搜寻：电子邮件修复。

电子邮件视图（选项卡）的屏幕截图，其中详细信息表中已选择一条消息，且“采取操作”处于活动状态。

单击条目中的 “主题” 或“ 收件人” 值时，将打开详细信息浮出控件。 下列小节中将描述这些浮出控件。

“恶意软件”视图内详细信息区域的“电子邮件”视图中的电子邮件详细信息

选择表中某个条目的 “主题” 值时，将打开电子邮件详细信息浮出控件。 此详细信息浮出面板称为“电子邮件摘要面板”，其中包含该邮件的电子邮件实体页上也提供的标准化摘要信息。

有关Email摘要面板中的信息的详细信息，请参阅Email摘要面板。

“所有电子邮件”视图内详细信息区域的“电子邮件”视图中的电子邮件详细信息中描述了威胁资源管理器和实时检测的“电子邮件摘要”面板顶部提供的可用操作。

“恶意软件”视图内详细信息区域的“电子邮件”视图中的收件人详细信息

通过单击“ 收件人 ”值选择条目时，将打开详细信息浮出控件。 浮出控件中的信息与“所有电子邮件”视图内详细信息区域的“电子邮件”视图中的收件人详细信息中所述的信息相同。

Threat Explorer 中“恶意软件”视图详细信息区域的热门恶意软件家族视图

详细信息区域的“ 热门恶意软件系列 ”视图将数据组织到排名靠前的恶意软件系列表中。 下表显示了：

  • “热门恶意软件系列 ”列：恶意软件系列名称。

    如果选择恶意软件系列名称，则会打开一个详细信息浮出控件，其中包含以下信息：

    • Email部分：显示包含恶意软件文件的邮件的以下相关信息的表：

      • Date
      • 主题
      • 收件人

      选择“ 查看所有电子邮件 ”，在按恶意软件系列名称筛选的新选项卡中打开“威胁资源管理器”。

    • 技术详细信息 部分

    在 Threat Explorer 的“恶意软件”视图中，从详细信息区域的“热门恶意软件系列”选项卡中选择某个恶意软件系列后显示的详细信息弹出窗口屏幕截图。

  • 尝试次数：如果选择尝试次数，则威胁资源管理器将在按恶意软件系列名称筛选的新选项卡中打开。

威胁资源管理器中“恶意软件”视图详细信息区域的主要目标用户视图

“最常成为攻击目标的用户”视图将数据显示在一个表格中，其中列出被恶意软件作为目标的前五名收件人。 下表显示了：

提示

使用 “导出” 可导出最多 3000 个用户的列表以及相应的尝试。

威胁资源管理器中“恶意软件”视图的详细信息区域的“电子邮件来源”视图

Email源视图在世界地图上显示消息源。

威胁资源管理器中“恶意软件”视图的详细信息区域的“活动”视图

营销活动视图显示一个详细信息表。 可以通过单击可用的列标题对条目进行排序。

详细信息表与 “市场活动”页上的详细信息表相同。

单击行中除“名称”旁边的“检查”框以外的任意位置选择条目时，将打开详细信息浮出控件。 浮出控件中的信息与 市场活动详细信息中所述的信息相同。

威胁资源管理器和实时检测中的“网络钓鱼”视图

威胁资源管理器和实时检测中的 “网络钓鱼 ”视图显示有关标识为钓鱼的电子邮件的信息。

若要打开网络钓鱼视图，请执行以下步骤之一：

威胁资源管理器中“网络钓鱼”视图的屏幕截图，其中显示了图表、图表可用的透视以及详细信息表的视图。

威胁资源管理器和实时检测内“网络钓鱼”视图中的可筛选属性

默认情况下，不会对数据应用任何属性筛选器。 本文后面的 威胁资源管理器中的筛选器和实时检测 部分介绍了创建筛选器 (查询) 的步骤。

下表描述了“恶意软件”视图中的“发件人地址”框中可用的可筛选属性：

属性 类型 威胁
Explorer		 实时
检测
基本
发件人地址 文本。 用逗号分隔多个值。 ✔ ✔
收件人 文本。 用逗号分隔多个值。 ✔ ✔
发件人域 文本。 用逗号分隔多个值。 ✔ ✔
收件人域名 文本。 用逗号分隔多个值。 ✔ ✔
主题 文本。 用逗号分隔多个值。 ✔ ✔
发件人显示名称 文本。 用逗号分隔多个值。 ✔ ✔
发件人邮箱地址 文本。 用逗号分隔多个值。 ✔ ✔
发件人邮件域 文本。 用逗号分隔多个值。 ✔ ✔
返回路径 文本。 用逗号分隔多个值。 ✔ ✔
返回路径域 文本。 用逗号分隔多个值。 ✔ ✔
标签 文本。 用逗号分隔多个值。

有关用户标记的详细信息，请参阅 用户标记。		 ✔
被冒充的域名 文本。 用逗号分隔多个值。 ✔ ✔
被冒充的用户 文本。 用逗号分隔多个值。 ✔ ✔
Exchange 传输规则 文本。 用逗号分隔多个值。 ✔
数据丢失防护规则 文本。 用逗号分隔多个值。 ✔
上下文 选择一个或多个值：
  • 评估
  • 优先帐户保护
 ✔
连接器 文本（连接器名称）。 用逗号分隔多个值。 ✔
投递操作 选择一个或多个值： ✔ ✔
其他操作 选择一个或多个值：
  • 自动修正
  • 动态交付
  • 手动修正
  • 无
  • 解除隔离
  • 重新处理
  • ZAP
 ✔ ✔
方向性 选择一个或多个值：
  • 入站
  • 组织内部
  • 出站
 ✔ ✔
检测技术 选择一个或多个值：
  • 高级筛选器
  • 反恶意软件保护
  • 批量
  • 活动
  • 域信誉
  • 文件引爆
  • 文件引爆信誉
  • 文件信誉
  • 指纹匹配
  • 常规筛选器
  • 模拟品牌
  • 冒充域名
  • 冒充用户
  • IP 声誉
  • LLM 内容分析
  • 邮件爆炸
  • 邮箱智能冒充
  • 混合分析检测
  • 伪造 DMARC
  • 伪造外部域
  • 欺骗内部组织
  • URL 引爆
  • URL 引爆信誉
  • URL 恶意声誉
 ✔ ✔
威胁分类 选择一个或多个值：
  • 商业智能
  • 联系建立
  • 礼品卡
  • 发票
  • 工资
  • < PII 收集/li>
  • 任务
有关详细信息，请参阅 Office 365 Microsoft Defender 中的威胁分类。		 ✔ ✔
原始交付位置 选择一个或多个值：
  • “已删除邮件”文件夹
  • 下降
  • 失败
  • 收件箱/文件夹
  • 垃圾邮件文件夹
  • 本地部署/外部
  • 隔离
  • Unknown
 ✔ ✔
最新交付位置 与原始交付位置相同的值 ✔ ✔
网络钓鱼置信度 选择一个或多个值：
  • High
  • Normal
 ✔
主要替代 选择一个或多个值：
  • 组织策略允许
  • 用户策略允许
  • 被组织策略阻止
  • 被用户策略阻止
  • 无
 ✔ ✔
主要替代来源 消息可以具有替代源中所标识的多个允许或阻止替代。 最终允许或阻止该消息的覆盖项可在 主要覆盖源 中查看。
选择一个或多个值：
  • 第三方筛选器
  • 管理员发起的按时间顺序查看 (ZAP)
  • 反恶意软件策略阻止（按文件类型）
  • 反垃圾邮件策略设置
  • 连接策略
  • Exchange 传输规则
  • 独占模式 (用户替代)
  • 因本地组织跳过筛选
  • 策略中的 IP 区域筛选器
  • 策略中的语言筛选器
  • 网络钓鱼模拟
  • 解除隔离
  • SecOps 邮箱
  • 发件人地址列表 (管理员 替代)
  • 发件人地址列表（用户替代）
  • 发件人域列表 (管理员 重写)
  • 发件人域列表（用户替代）
  • 租户允许/阻止列表文件阻止
  • 租户允许/阻止列表中的发件人电子邮件地址阻止
  • 租户允许/阻止列表欺骗拦截
  • 租户允许/阻止列表中的 URL 阻止
  • 受信任的联系人列表（用户替代）
  • 受信任的域（用户替代）
  • 受信任的收件人（用户替代）
  • 仅限受信任的发件人（用户覆盖）
 ✔ ✔
替代源 与主重写源相同的值 ✔ ✔
策略类型 选择一个或多个值：
  • 反恶意软件策略
  • 反钓鱼策略
  • Exchange 传输规则 (邮件流规则) 、 托管内容筛选器策略 (反垃圾邮件策略) 、 托管出站垃圾邮件筛选策略 (出站垃圾邮件策略) 、 安全附件策略
  • Unknown
 ✔ ✔
策略操作 选择一个或多个值：
  • 添加 x-header
  • 密件抄送消息
  • 删除邮件
  • 修改主题
  • 移动到垃圾邮件Email文件夹
  • 未执行任何操作
  • 重定向消息
  • 发送到隔离区
 ✔ ✔
Email大小 整数。 用逗号分隔多个值。 ✔ ✔
高级
互联网邮件 ID 文本。 用逗号分隔多个值。

可在邮件头中的 Message-ID 标头字段中找到。 一个示例值是 <08f1e0f6806a47b4ac103961109ae6ef@server.domain>（注意尖括号）。		 ✔ ✔
网络消息标识 文本。 用逗号分隔多个值。

在邮件头的 X-MS-Exchange-Organization-Network-Message-Id 标头字段中可用的 GUID 值。		 ✔ ✔
发件人 IP 文本。 用逗号分隔多个值。 ✔ ✔
附件 SHA256 文本。 用逗号分隔多个值。 ✔ ✔
集群标识 文本。 用逗号分隔多个值。 ✔ ✔
警报 ID 文本。 用逗号分隔多个值。 ✔ ✔
警报策略 ID 文本。 用逗号分隔多个值。 ✔ ✔
活动 ID 文本。 用逗号分隔多个值。 ✔ ✔
ZAP URL 信号 文本。 用逗号分隔多个值。 ✔
Urls
URL 数量 整数。 用逗号分隔多个值。 ✔ ✔
URL 域名 文本。 用逗号分隔多个值。 ✔ ✔
URL 域和路径 文本。 用逗号分隔多个值。 ✔
URL 文本。 用逗号分隔多个值。 ✔
URL 路径 文本。 用逗号分隔多个值。 ✔
URL 来源 选择一个或多个值：
  • 附件
  • 云附件
  • Email正文
  • Email标头
  • QR 码
  • 主题
  • Unknown
 ✔ ✔
单击“判决” 选择一个或多个值：
  • 允许
  • 已替代区块
  • 阻止
  • 错误
  • 失败
  • 无
  • 待决判决
  • 已绕过待裁定
 ✔ ✔
URL 威胁 选择一个或多个值：
  • 恶意软件
  • 网络钓鱼
  • 垃圾邮件
 ✔ ✔
文件
附件数量 整数。 用逗号分隔多个值。 ✔ ✔
附件的文件名 文本。 用逗号分隔多个值。 ✔ ✔
文件类型 文本。 用逗号分隔多个值。 ✔ ✔
文件扩展名 文本。 用逗号分隔多个值。 ✔ ✔
文件大小 整数。 用逗号分隔多个值。 ✔ ✔
身份验证
SPF 选择一个或多个值：
  • 失败
  • 中性
  • 无
  • 通过
  • 永久性错误
  • 软故障
  • 临时错误
 ✔ ✔
DKIM 选择一个或多个值：
  • 错误
  • 失败
  • 忽略
  • 无
  • 通过
  • Test
  • Timeout
  • Unknown
 ✔ ✔
DMARC 选择一个或多个值：
  • 最佳猜测通过
  • 失败
  • 无
  • 通过
  • 永久性错误
  • 选择器通过
  • 临时错误
  • Unknown
 ✔ ✔
复合 选择一个或多个值：
  • 失败
  • 无
  • 通过
  • 软传递

威胁资源管理器和实时检测内“网络钓鱼”视图中的图表透视

图表具有默认视图，但可以从 “选择直方图透视” 中选择一个值，以更改已筛选或未筛选图表数据的组织和显示方式。

下表中列出了威胁资源管理器和实时检测内网络钓鱼视图中可用的图表透视选项：

透视 威胁
Explorer		 实时
检测
发件人域 ✔ ✔
发件人 IP ✔
传递操作 ✔ ✔
检测技术 ✔ ✔
威胁分类 ✔ ✔
完整 URL ✔
URL 域 ✔ ✔
URL 域和路径 ✔

以下小节介绍了可用的图表透视。

威胁资源管理器和实时检测内“网络钓鱼”视图中的发件人域图表透视

尽管此透视看起来未默认选中，但在实时检测内的网络钓鱼视图中，默认的图表透视是发件人域。

发件人域透视使用指定日期/时间范围和属性筛选器按邮件中的域来组织图表。

威胁资源管理器内“网络钓鱼”视图中使用“发件人域”透视的图表屏幕截图。

将鼠标悬停在图表中的数据点上会显示每个发件人域的数量。

威胁资源管理器内“网络钓鱼”视图中的发件人 IP 图表透视

发件人 IP透视使用指定日期/时间范围和属性筛选器按邮件源 IP 地址来组织图表。

威胁资源管理器内“网络钓鱼”视图中使用“发件人 IP”透视的图表屏幕截图。

将鼠标悬停在图表中的数据点上会显示每个源 IP 地址的计数。

威胁资源管理器和实时检测内“网络钓鱼”视图中的传送操作图表透视

尽管此透视看起来未默认选中，但在威胁资源管理器内网络钓鱼视图中，默认图表透视是传送操作。

传递操作透视使用指定日期/时间范围和属性筛选器按对邮件执行的操作来组织图表。

威胁资源管理器内“网络钓鱼”视图中使用“传递操作”透视的图表屏幕截图。

将鼠标悬停在图表中的数据点上会显示每个传递操作的计数。

威胁资源管理器和实时检测内“网络钓鱼”视图中的检测技术图表透视

检测技术透视使用指定日期/时间范围和属性筛选器按识别网络钓鱼邮件的功能来组织图表。

威胁资源管理器内“网络钓鱼”视图中使用“检测技术”透视的图表屏幕截图。

将鼠标悬停在图表中的数据点上会显示每种检测技术的计数。

威胁资源管理器和实时检测内“网络钓鱼”视图中的威胁分类图表透视

威胁分类透视按分类的威胁组织图表。 有关详细信息，请参阅 Office 365 Microsoft Defender 中的威胁分类。

将鼠标悬停在图表中的数据点上会显示每个分类的计数。

威胁资源管理器内“网络钓鱼”视图中的完整 URL 图表透视

完整 URL 透视使用指定日期/时间范围和属性筛选器按网络钓鱼邮件中的完整 URL 来组织图表。

威胁资源管理器内“网络钓鱼”视图中使用“完整 URL”透视的图表的屏幕截图。

将鼠标悬停在图表中的数据点上会显示每个完整 URL 的计数。

威胁资源管理器和实时检测内“网络钓鱼”视图中的 URL 域图表透视

URL 域透视使用指定日期/时间范围和属性筛选器按网络钓鱼邮件内 URL 中的域来组织图表。

威胁资源管理器内“网络钓鱼”视图中使用“URL 域”透视的图表的屏幕截图。

将鼠标悬停在图表中的数据点上会显示每个 URL 域的计数。

威胁资源管理器内“网络钓鱼”视图中的 URL 域和路径图表透视

URL 域和路径透视使用指定日期/时间范围和属性筛选器按网络钓鱼邮件内 URL 中的域和路径组织图表。

威胁资源管理器内“网络钓鱼”视图中使用“URL 域和路径”透视的图表的屏幕截图。

将鼠标悬停在图表中的数据点上会显示每个 URL 域和路径的计数。

威胁资源管理器中“网络钓鱼”视图的详细信息区域视图

下表列出了 Phish 视图的详细信息区域中的可用视图（选项卡），并在以下各小节中对其进行了描述。

查看 威胁
Explorer		 实时
检测
电子邮件 ✔ ✔
URL 点击次数 ✔ ✔
热门 URL ✔ ✔
热门点击 ✔ ✔
排名靠前的目标用户 ✔
Email源 ✔
活动 ✔

威胁资源管理器和实时检测中“网络钓鱼”视图详细信息区域的“电子邮件”视图

Email是威胁资源管理器和实时检测中“钓鱼”视图的详细信息区域的默认视图。

Email视图显示详细信息表。 可以通过单击可用的列标题对条目进行排序。 选择“自定义列”以更改显示的列。

下表显示了威胁资源管理器和实时检测中可用的列。 默认值标有星号 () * 。

列 威胁
Explorer		 实时
检测
日期* ✔ ✔
主题* ✔ ✔
收件人* ✔ ✔
收件人域 ✔ ✔
标签* ✔
发件人地址* ✔ ✔
发件人显示名 ✔ ✔
发件人域* ✔ ✔
发件人 IP ✔ ✔
发件人邮件地址 ✔ ✔
发件人邮件域 ✔ ✔
其他操作* ✔ ✔
传递操作 ✔ ✔
最新交付位置* ✔ ✔
原始交付位置* ✔ ✔
系统替代源 ✔ ✔
系统替代 ✔ ✔
警报 ID ✔ ✔
Internet 消息 ID ✔ ✔
网络消息 ID ✔ ✔
邮件语言 ✔ ✔
Exchange 传输规则 ✔
Connector ✔
网络钓鱼置信度 ✔
Context ✔
数据丢失防护规则 ✔
威胁类型* ✔ ✔
检测技术 ✔ ✔
威胁分类 ✔ ✔
附件数量 ✔ ✔
URL 数量 ✔ ✔
Email大小 ✔ ✔

提示

若要查看所有列，可能需要执行以下步骤中的一个或多个步骤：

  • 在 Web 浏览器中水平滚动。
  • 缩小相应列的宽度。
  • 从视图中删除列。
  • 在 Web 浏览器中缩小。

自定义列设置会按用户分别保存。 在关闭 Web 浏览器之前，将保存 Incognito 或 InPrivate 浏览模式下的自定义列设置。

通过选择第一列旁边的检查框从列表中选择一个或多个条目时，“执行操作”可用。 有关详细信息，请参阅威胁搜寻：电子邮件修复。

电子邮件视图（选项卡）的屏幕截图，其中详细信息表中已选择一条消息，且“采取操作”处于活动状态。

单击条目中的 “主题” 或“ 收件人” 值时，将打开详细信息浮出控件。 下列小节中将描述这些浮出控件。

“网络钓鱼”视图内详细信息区域的“电子邮件”视图中的电子邮件详细信息

选择表中某个条目的 “主题” 值时，将打开电子邮件详细信息浮出控件。 此详细信息浮出面板称为“电子邮件摘要面板”，其中包含该邮件的电子邮件实体页上也提供的标准化摘要信息。

有关Email摘要面板中的信息的详细信息，请参阅 Defender for Office 365 功能中的Email摘要面板。

“所有电子邮件”视图内详细信息区域的“电子邮件”视图中的电子邮件详细信息中描述了威胁资源管理器和实时检测的“电子邮件摘要”面板顶部提供的可用操作。

“网络钓鱼”视图内详细信息区域的“电子邮件”视图中的收件人详细信息

通过单击“ 收件人 ”值选择条目时，将打开详细信息浮出控件。 浮出控件中的信息与“所有电子邮件”视图内详细信息区域的“电子邮件”视图中的收件人详细信息中所述的信息相同。

威胁资源管理器和实时检测中“网络钓鱼”视图详细信息区域的“URL 点击”视图

URL 点击视图显示一个可使用透视进行组织的图表。 图表具有默认视图，但可以从 “选择直方图透视” 中选择一个值，以更改已筛选或未筛选图表数据的组织和显示方式。

下表介绍了在“威胁资源管理器”和“实时检测”中的 恶意软件 视图里可用的图表透视选项：

透视 威胁
Explorer		 实时
检测
URL 域 ✔ ✔
单击“判决” ✔ ✔
URL ✔
URL 域和路径 ✔

在威胁资源管理器内的所有电子邮件视图中，也提供了相同的图表透视，并对其进行了说明：

威胁资源管理器中“网络钓鱼”视图的详细信息区域的屏幕截图，其中已选择“URL 点击”选项卡，并且显示了可用的透视，未选择任何透视。

提示

在“威胁资源管理器”中， URL 单击 视图中的每个透视都有一个 “查看所有单击” 操作，用于在新选项卡中打开 “威胁资源管理器”中的“URL 单击”视图 。此操作在实时检测中不可用，因为 URL 单击 视图在实时检测中不可用。

威胁资源管理器和实时检测中“网络钓鱼”视图详细信息区域的“热门 URL”视图

热门 URL 视图显示一个详细信息表。 可以通过单击可用的列标题对条目进行排序：

  • URL
  • 消息被阻止
  • 邮件已标记为垃圾邮件
  • 传递的消息
“网络钓鱼”视图中的热门 URL 详细信息

通过单击第一列旁边的检查框以外的任何位置选择条目时，将打开详细信息浮出控件。 浮出控件中的信息与 “所有电子邮件”视图的“热门 URL 详细信息”中所述相同。

提示

Go 搜寻操作仅在威胁资源管理器中可用。 它在实时检测中不可用。

威胁资源管理器和实时检测中“网络钓鱼”视图详细信息区域的“热门点击”视图

热门点击视图显示一个详细信息表。 可以通过单击可用的列标题对条目进行排序：

  • URL
  • 阻止
  • 允许
  • 已替代区块
  • 待决判决
  • 已绕过待裁定
  • 无
  • 错误页
  • 失败

提示

已选择所有可用列。 如果选择“自定义列”，则无法取消选择任何列。

若要查看所有列，可能需要执行以下步骤中的一个或多个步骤：

  • 在 Web 浏览器中水平滚动。
  • 缩小相应列的宽度。
  • 在 Web 浏览器中缩小。

通过单击第一列旁边的检查框以外的任何位置选择条目时，将打开详细信息浮出控件。 浮出控件中的信息与 “所有电子邮件”视图的“热门 URL 详细信息”中所述相同。

威胁资源管理器中“网络钓鱼”视图详细信息区域的主要目标用户视图

重点目标用户视图以表格形式展示遭受网络钓鱼攻击的前五名收件人。 下表显示了：

提示

使用 “导出” 可导出最多 3000 个用户的列表以及相应的尝试。

威胁资源管理器中“网络钓鱼”视图的详细信息区域的“电子邮件来源”视图

Email源视图在世界地图上显示消息源。

威胁资源管理器中“网络钓鱼”视图的详细信息区域的“活动”视图

营销活动视图显示一个详细信息表。 可以通过单击可用的列标题对条目进行排序。

表中的信息与 “市场活动”页上的详细信息表中所述相同。

单击行中除“名称”旁边的“检查”框以外的任意位置选择条目时，将打开详细信息浮出控件。 浮出控件中的信息与 市场活动详细信息中所述的信息相同。

威胁资源管理器中的活动视图

威胁资源管理器中的 活动 视图显示有关被识别为协调式网络钓鱼和恶意软件攻击的威胁的信息，这些威胁或者特定于你的组织，或者特定于 Microsoft 365 中的其他组织。

若要在 Defender 门户中的 上打开 Explorer 页面中的 https://security.microsoft.com 视图，请转到 电子邮件和协作>Explorer>活动 选项卡。或者，使用 直接转到 https://security.microsoft.com/threatexplorerv3 页面，然后选择 活动 选项卡。

所有可用的信息和操作都与位于 的https://security.microsoft.com/campaignsv3页面上的信息和操作完全相同。 有关详细信息，请参阅Microsoft Defender门户中的“市场活动”页。

威胁资源管理器中“活动”视图的屏幕截图，其中显示了图表、图表可用的透视以及详细信息表的视图。

威胁资源管理器和实时检测中的“内容恶意软件”视图

威胁资源管理器和实时检测中的内容恶意软件视图显示有关处理的文件的信息：

若要打开 “内容恶意软件 ”视图，请执行以下步骤之一：

威胁资源管理器中“内容恶意软件”视图的屏幕截图，其中显示了图表、图表可用的透视以及详细信息表的视图。

威胁资源管理器和实时检测中的“内容恶意软件”视图的可筛选属性

默认情况下，不会对数据应用任何属性筛选器。 本文后面的 威胁资源管理器中的筛选器和实时检测 部分介绍了创建筛选器 (查询) 的步骤。

下表介绍了威胁资源管理器中“内容恶意软件”视图中的“文件名”框中提供的可筛选属性和实时检测：

属性 类型 威胁
Explorer		 实时
检测
文件
文件名 文本。 用逗号分隔多个值。 ✔ ✔
工作负载 选择一个或多个值：
  • OneDrive
  • SharePoint
  • Teams
 ✔ ✔
站点 文本。 用逗号分隔多个值。 ✔ ✔
文件所有者 文本。 用逗号分隔多个值。 ✔ ✔
上次修改者 文本。 用逗号分隔多个值。 ✔ ✔
SHA256 整数。 用逗号分隔多个值。

若要查找文件的 SHA256 哈希值，请在 PowerShell 中运行以下命令： Get-FileHash -Path "<Path>\<Filename>" -Algorithm SHA256。		 ✔ ✔
恶意软件系列 文本。 用逗号分隔多个值。 ✔ ✔
检测技术 选择一个或多个值：
  • 高级筛选器
  • 反恶意软件保护
  • 批量
  • 活动
  • 域信誉
  • 文件引爆
  • 文件引爆信誉
  • 文件信誉
  • 指纹匹配
  • 常规筛选器
  • 模拟品牌
  • 冒充域名
  • 冒充用户
  • IP 声誉
  • LLM 内容分析
  • 邮件爆炸
  • 邮箱智能冒充
  • 混合分析检测
  • 伪造 DMARC
  • 伪造外部域
  • 欺骗内部组织
  • URL 引爆
  • URL 引爆信誉
  • URL 恶意声誉
 ✔ ✔
威胁类型 选择一个或多个值：
  • 阻止
  • 恶意软件
  • 网络钓鱼
  • 垃圾邮件
 ✔ ✔

威胁资源管理器和实时检测内“内容恶意软件”视图中的图表透视

图表具有默认视图，但可以从 “选择直方图透视” 中选择一个值，以更改已筛选或未筛选图表数据的组织和显示方式。

下表中列出了威胁资源管理器和实时检测内内容恶意软件视图中可用的图表透视选项：

透视 威胁
Explorer		 实时
检测
恶意软件系列 ✔ ✔
检测技术 ✔ ✔
Workload ✔ ✔

以下小节介绍了可用的图表透视。

威胁资源管理器和实时检测内“内容恶意软件”视图中的恶意软件系列图表透视

尽管此透视看起来未默认选中，但在威胁资源管理器和实时检测内的内容恶意软件视图中，默认图表透视是恶意软件系列。

恶意软件系列透视使用指定的日期/时间范围和属性筛选器，按 SharePoint、OneDrive 和 Microsoft Teams 内文件中识别的恶意软件来组织图表。

威胁资源管理器内“内容恶意软件”视图中使用“恶意软件系列”透视的图表屏幕截图。

将鼠标悬停在图表中的数据点上会显示每个恶意软件系列的计数。

威胁资源管理器和实时检测内“内容恶意软件”视图中的检测技术图表透视

检测技术透视使用指定日期/时间范围和属性筛选器，按在 SharePoint、OneDrive 和 Microsoft Teams 内中识别文件中的恶意软件的功能来组织图表。

威胁资源管理器内“内容恶意软件”视图中使用“检测技术”透视的图表屏幕截图。

将鼠标悬停在图表中的数据点上会显示每种检测技术的计数。

威胁资源管理器和实时检测内“内容恶意软件”视图中的工作负荷图表透视

工作负载透视图会针对指定的日期/时间范围和属性筛选条件，按检测到恶意软件的位置（SharePoint、OneDrive 或 Microsoft Teams）对图表进行分类。

威胁资源管理器内“恶意软件”视图中使用“工作负荷”透视的图表屏幕截图。

将鼠标悬停在图表中的数据点上会显示每个工作负荷的计数。

威胁资源管理器和实时检测中“内容恶意软件”视图详细信息区域的视图

在“威胁资源管理器”和“实时检测”中，“内容恶意软件”视图的详细信息区域仅包含一个视图， (选项卡) 名为“文档”。 此视图在以下小节中介绍。

威胁资源管理器和实时检测中“内容恶意软件”视图详细信息区域的“文档”视图

文档是内容恶意软件视图中详细信息区域的默认且唯一的视图。

文档视图显示一个详细信息表。 可以通过单击可用的列标题对条目进行排序。 选择“自定义列”以更改显示的列。 默认值标有星号（*）：

  • 日期*
  • 名字*
  • 工作量*
  • 威胁*
  • 检测技术*
  • 上次修改用户*
  • 文件所有者*
  • 大小（字节）*
  • 上次修改时间
  • 站点路径
  • 文件路径
  • 文档 ID
  • SHA256
  • 检测到的日期
  • 恶意软件系列
  • Context

提示

若要查看所有列，可能需要执行以下步骤中的一个或多个步骤：

  • 在 Web 浏览器中水平滚动。
  • 缩小相应列的宽度。
  • 从视图中删除列。
  • 在 Web 浏览器中缩小。

自定义列设置会按用户分别保存。 在关闭 Web 浏览器之前，将保存 Incognito 或 InPrivate 浏览模式下的自定义列设置。

从“ 名称” 列中选择文件名值时，将打开详细信息浮出控件。 浮出窗口包含以下信息：

  • 摘要 部分：

    • Filename
    • 站点路径
    • 文件路径
    • 文档 ID
    • SHA256
    • 上次修改日期
    • 最后修改者
    • 威胁
    • 检测技术

  • 详细信息 部分：

    • 检测到的日期
    • 检测者为
    • 恶意软件名称
    • 最后修改者
    • 文件大小
    • 文件所有者

  • Email列表部分：显示包含恶意软件文件的邮件的以下相关信息的表：

    • Date
    • 主题
    • 收件人

    选择“ 查看所有电子邮件 ”，在按恶意软件系列名称筛选的新选项卡中打开“威胁资源管理器”。

  • 最近的活动：显示收件人的 审核日志搜索 的汇总结果：

    • Date
    • IP 地址
    • 活动
    • 项目

    如果收件人具有三个以上的审核日志条目，请选择“ 查看所有最近的活动 ”，查看所有这些条目。

    提示

    安全管理员角色组中拥有电子邮件和协作权限的成员无法展开最近活动部分。 你需要是 Exchange Online 权限 中某个角色组的成员，并且该角色组已分配 审核日志、信息保护分析师 或 信息保护调查员 角色。 默认情况下，这些角色分配给记录管理、合规性管理、信息保护、信息保护分析师、信息保护调查员和组织管理角色组。 可以将安全管理员的成员添加到这些角色组，也可以创建分配有审核日志角色的新角色组。

威胁资源管理器和实时检测内“内容恶意软件”视图详细信息区域的“文档”视图中的详细信息浮出控件屏幕截图。

威胁资源管理器中的“URL 点击”视图

威胁资源管理器中的 URL 点击 视图显示所有用户在电子邮件、SharePoint 和 OneDrive 中受支持的 Office 文件以及 Microsoft Teams 中对 URL 的点击。

若要在 Defender 门户中的 资源管理器 页上打开 URL 点击 视图，请转到 https://security.microsoft.com 中的 电子邮件和协作>资源管理器>URL 点击 选项卡。或者，使用 直接转到 https://security.microsoft.com/threatexplorerv3 页，然后选择 URL 点击 选项卡。

威胁资源管理器中“URL 点击”视图的屏幕截图，其中显示了图表、图表可用的透视以及详细信息表的视图。

威胁资源管理器中 URL 单击视图中的可筛选属性

默认情况下，不会对数据应用任何属性筛选器。 本文后面的 威胁资源管理器中的筛选器和实时检测 部分介绍了创建筛选器 (查询) 的步骤。

下表描述了威胁资源管理器中 URL 单击视图中的“收件人”框中提供的可筛选属性：

属性 类型
基本
收件人 文本。 用逗号分隔多个值。
标签 文本。 用逗号分隔多个值。

有关用户标记的详细信息，请参阅 用户标记。
网络消息标识 文本。 用逗号分隔多个值。

在邮件头的 X-MS-Exchange-Organization-Network-Message-Id 标头字段中可用的 GUID 值。
URL 文本。 用逗号分隔多个值。
单击操作 选择一个或多个值：
  • 允许
  • 拦截页
  • 阻止页面替代
  • 错误页
  • 失败
  • 无
  • 待引爆页
  • 待定引爆页面替代
威胁类型 选择一个或多个值：
  • 允许
  • 阻止
  • 恶意软件
  • 网络钓鱼
  • 垃圾邮件
检测技术 选择一个或多个值：
  • URL 引爆
  • URL 引爆信誉
  • URL 恶意声誉
点击 ID 文本。 用逗号分隔多个值。
客户端 IP 文本。 用逗号分隔多个值。

威胁资源管理器内“URL 点击”视图中的图表透视

图表具有默认视图，但可以从 “选择直方图透视” 中选择一个值，以更改已筛选或未筛选图表数据的组织和显示方式。

以下小节介绍了可用的图表透视。

威胁资源管理器内“URL 点击”视图中的 URL 域图表透视

尽管此透视看起来未默认选中，但在 URL 点击视图中，默认的图表透视是 URL 域。

URL 域透视使用指定日期/时间范围和属性筛选器，按照用户在电子邮件、Office 文件或 Microsoft Teams 中点击的 URL 中的域来组织图表。

威胁资源管理器内“URL 点击”视图中使用“URL 域”透视的图表的屏幕截图。

将鼠标悬停在图表中的数据点上会显示每个 URL 域的计数。

威胁资源管理器内“URL 点击”视图中的工作负荷图表透视

工作负载透视维度会在指定的日期/时间范围和属性筛选条件下，按被点击 URL 的位置（电子邮件、Office 文件或 Microsoft Teams）对图表进行分类。

威胁资源管理器内“URL 点击”视图中使用“工作负荷”透视的图表屏幕截图。

将鼠标悬停在图表中的数据点上会显示每个工作负荷的计数。

威胁资源管理器内“URL 点击”视图中的检测技术图表透视

检测技术透视使用指定日期/时间范围和属性筛选器按识别电子邮件、Office 文件或 Microsoft Teams 中的 URL 点击的功能来组织图表。

威胁资源管理器内“URL 点击”视图中使用“检测技术”透视的图表屏幕截图。

将鼠标悬停在图表中的数据点上会显示每种检测技术的计数。

威胁资源管理器内“URL 点击”视图中的威胁类型图表透视

威胁类型透视使用指定日期/时间范围和属性筛选器按电子邮件、Office 文件或 Microsoft Teams 中所点击 URL 的结果来组织图表。

威胁资源管理器内“URL 点击”视图中使用“威胁类型”透视的图表屏幕截图。

将鼠标悬停在图表中的数据点上会显示每种威胁类型技术的计数。

威胁资源管理器中“URL 点击”视图的详细信息区域视图

以下小节介绍了 URL 点击 视图的详细信息区域中的可用视图（选项卡）。

威胁资源管理器中“URL 点击”视图的详细信息区域“结果”视图

结果 是 URL 单击 视图中详细信息区域的默认视图。

“ 结果” 视图显示详细信息表。 可以通过单击可用的列标题对条目进行排序。 选择“自定义列”以更改显示的列。 默认情况下，选择所有列：

  • 单击时间
  • 收件人
  • URL 点击操作
  • URL
  • Tags
  • 网络消息 ID
  • 点击 ID
  • 客户端 IP
  • URL 链
  • 威胁类型
  • 检测技术

提示

若要查看所有列，可能需要执行以下步骤中的一个或多个步骤：

  • 在 Web 浏览器中水平滚动。
  • 缩小相应列的宽度。
  • 从视图中删除列。
  • 在 Web 浏览器中缩小。

自定义列设置会按用户分别保存。 在关闭 Web 浏览器之前，将保存 Incognito 或 InPrivate 浏览模式下的自定义列设置。

选择一个或多个条目，方法是选中该行第一列旁边的复选框，然后选择 查看所有电子邮件，在新选项卡中以 所有电子邮件 视图打开威胁资源管理器，并按所选邮件的 网络消息 ID 值进行筛选。

威胁资源管理器中“URL 点击”视图的详细信息区域“热门点击”视图

热门点击视图显示一个详细信息表。 可以通过单击可用的列标题对条目进行排序：

  • URL
  • 阻止
  • 允许
  • 已替代区块
  • 待决判决
  • 已绕过待裁定
  • 无
  • 错误页
  • 失败

提示

已选择所有可用列。 如果选择“自定义列”，则无法取消选择任何列。

若要查看所有列，可能需要执行以下步骤中的一个或多个步骤：

  • 在 Web 浏览器中水平滚动。
  • 缩小相应列的宽度。
  • 在 Web 浏览器中缩小。

通过选择行中第一列旁边的检查框来选择条目，然后选择“查看所有单击”以在 URL 单击视图中的新选项卡中打开“威胁资源管理器”。

通过单击第一列旁边的检查框以外的任何位置选择条目时，将打开详细信息浮出控件。 浮出控件中的信息与 “所有电子邮件”视图的“热门 URL 详细信息”中所述相同。

威胁资源管理器中“URL 点击”视图详细信息区域的主要目标用户视图

“ 排名靠前的目标用户 ”视图将数据整理到单击 URL 的前五位收件人的表中。 下表显示了：

提示

使用 “导出” 可导出最多 3000 个用户的列表以及相应的尝试。

威胁资源管理器和实时检测中的属性筛选器

属性筛选器/查询的基本语法为：

条件 = <筛选器属性><筛选器运算符><一个或多个属性值>

多个条件使用以下语法：

<Condition1><AND |OR><Condition2><AND |OR><Condition3>... <AND |OR><ConditionN>

提示

文本或整数值不支持通配符搜索 (**** 或 ？) 。 Subject 属性使用部分文本匹配，并生成类似于通配符搜索的结果。

在威胁资源管理器和实时检测的所有视图中，创建属性筛选器/查询条件的步骤相同：

  1. 使用本文前面预览视图说明部分中的表标识筛选器属性。

  2. 选择可用的筛选器运算符。 可用的筛选器运算符取决于属性类型，如下表所述：

    过滤运算符 属性类型
    等于任意一个 文本
    整数
    离散值
    等于无 文本
    离散值
    大于 整数
    少于 整数

  3. 输入或选择一个或多个属性值。 对于文本值和整数，可以输入用逗号分隔的多个值。

    属性值中的多个值使用 OR 逻辑运算符。 例如，发件人地址>等于以下任意一个>bob@fabrikam.com,cindy@fabrikam.com表示发件人地址>等于以下任意一个>bob@fabrikam.com 或 cindy@fabrikam.com。

    输入或选择一个或多个属性值后，筛选器创建框下方会显示已完成的筛选条件。

    提示

    对于需要您选择一个或多个可用值的属性，在筛选条件中使用该属性并选择所有值时，其结果与不在筛选条件中使用该属性相同。

  4. 若要添加另一个条件，请重复前面的三个步骤。

    筛选器创建框下面的条件由在创建第二个或后续条件时选择的逻辑运算符分隔。 默认值为 “AND”，但也可以选择“ OR”。

    所有条件之间使用相同的逻辑运算符：它们全部为 AND 或全部 为 OR。 若要更改现有逻辑运算符，请选择逻辑运算符框，然后选择 AND 或 OR。

    若要编辑现有条件，请双击该条件，将所选属性、筛选器运算符和值重新放入相应的框中。

    若要移除现有条件，请在该条件上选择 。

  5. 若要将筛选器应用于图表和详细信息表，请选择“刷新”

    威胁资源管理器或实时检测中示例查询的屏幕截图，其中显示了多个条件。

威胁资源管理器中的已保存查询

提示

保存查询 是 威胁跟踪器的 一部分，在实时检测中不可用。 保存的查询和威胁跟踪器仅在 Defender for Office 365 计划 2 中可用。

保存查询在内容恶意软件视图中不可用。

威胁资源管理器中的大多数视图都允许保存筛选器 (查询) 以供以后使用。 已保存的查询可在 Defender 门户的 Threat tracker 页面上找到，位置为 https://security.microsoft.com/threattrackerv2。 有关威胁跟踪器的详细信息，请参阅 Office 365 计划 2 Microsoft Defender 中的威胁跟踪器。

若要在威胁资源管理器中保存查询，请执行以下步骤：

  1. 按照前面所述创建筛选器/查询后，选择“ 保存查询>”“保存查询”。

  2. 在打开的 “保存查询” 浮出控件中，配置以下选项：

    • 查询名称：输入查询的唯一名称。
    • 选择下列选项之一：
      • 确切日期：在框中选择开始日期和结束日期。 可以选择的最早开始日期是今天之前的 30 天。 可以选择的最新结束日期是今天。
      • 相对日期：在 “运行搜索时显示过去 nn 天”中选择天数。 默认值为 7，但可以选择 1 到 30。
    • 跟踪查询：默认情况下，此选项未选中。 此选项会影响查询是否自动运行：
      • 未选择跟踪查询选项：你可以在威胁资源管理器中手动运行该查询。 查询保存在“威胁跟踪器”页上的“已保存查询”选项卡上，其“跟踪的查询”属性值为“否”。
      • 已选择跟踪查询 ：查询定期在后台运行。 “威胁跟踪器”页上的“已保存查询”选项卡上提供了查询，其中“跟踪的查询”属性值为“是”。 查询的周期性结果显示在“威胁跟踪器”页上的“跟踪查询”选项卡上。

    完成 “保存查询” 浮出控件后，选择“ 保存”，然后在确认对话框中选择“ 确定 ”。

Defender 门户中“威胁资源管理器”中“保存查询”浮出控件的屏幕截图。

在 Defender 门户的“威胁跟踪器”页上的“已保存查询”或“https://security.microsoft.com/threattrackerv2”选项卡上，可以在“操作”列中选择“浏览”以打开并使用威胁资源管理器中的查询。

当你通过在威胁跟踪器页面上选择浏览来打开查询时，现在可以在浏览器页面的保存查询中使用查询另存为和已保存查询设置：

  • 如果选择“ 将查询另存为”，则会打开 “保存查询 ”浮出控件，其中包含以前选择的所有设置。 如果进行更改，请选择“保存”，然后在“成功”对话框中选择“确定”，更新的查询将保存为“威胁跟踪器”页上的新查询， (可能需要选择“刷新”才能) 查看它。

  • 如果选择“ 保存的查询设置”，则会打开 “保存的查询设置 ”浮出控件，你可以在其中更新现有查询的日期和 跟踪查询 设置。

威胁资源管理器中“保存查询”的屏幕截图，其中提供了“将查询另存为”和“已保存查询”设置。

更多信息

  • Last updated on