通过

Microsoft Defender XDR中的修正操作

  • 项目

适用于：

  • Microsoft Defender XDR

在Microsoft Defender XDR自动调查期间和之后，将识别恶意或可疑项目的修正操作。 对设备（也称为终结点）执行某些类型的修正操作。 对标识、帐户和电子邮件内容执行其他修正操作。 自动调查在采取、批准或拒绝修正操作后完成。

重要

修正操作是自动执行还是仅在批准后执行取决于某些设置，例如自动化级别。 若要了解详细信息，请参阅以下文章：

下表汇总了Microsoft Defender XDR中当前支持的修正操作。

设备 (终结点) 修正操作 电子邮件修正操作 用户 (帐户)
- 收集调查包
- 隔离设备 (此操作可以撤消)
- 机外计算机
- 发布代码执行
- 从隔离区中释放
- 请求示例
- 限制代码执行 (可以撤消此操作)
- 运行防病毒扫描
- 停止和隔离
- 包含来自网络的设备		 - 阻止 URL (单击时间)
- 软删除电子邮件或群集
- 隔离电子邮件
- 隔离电子邮件附件
- 关闭外部邮件转发		 - 禁用用户
- 重置用户密码
- 确认用户已泄露

可以在 操作中心查看修正操作，无论是待审批还是已完成。

自动调查之后的修正操作

自动调查完成后，将就涉及的每一条证据作出判决。 再根据裁定结果确定修正操作。 在某些情况下，会自动执行修正操作;在其他情况下，修正操作等待审批。 这一切都取决于 如何配置自动调查和响应。

下表列出了可能的判决和结果：

Verdict 受影响的实体 结果
恶意 设备 (终结点) (假设组织的 设备组 设置为 “完全 - 自动修正威胁)
妥协 用户 自动执行修正操作
恶意 Email内容 (URL 或附件) 建议的修正操作正在等待审批
可疑 设备或电子邮件内容 建议的修正操作正在等待审批
未发现威胁 设备或电子邮件内容 无需修正操作

手动执行的修正操作

除了自动调查后的修正操作外，安全运营团队还可以手动执行某些修正操作。 其中包括以下项：

  • 手动设备操作，例如设备隔离或文件隔离
  • 手动电子邮件操作，例如软删除电子邮件
  • 手动用户操作，例如禁用用户或重置用户密码
  • 对设备、用户或电子邮件执行高级搜寻操作
  • 对电子邮件内容执行资源管理器操作，例如将电子邮件移动到垃圾邮件、软删除电子邮件或硬删除电子邮件
  • 手动 实时响应 操作，例如删除文件、停止进程和删除计划任务
  • 具有Microsoft Defender for Endpoint API 的实时响应操作，例如隔离设备、运行防病毒扫描以及获取有关文件的信息

后续步骤

提示

想要了解更多信息？ Engage技术社区中的 Microsoft 安全社区：Microsoft Defender XDR技术社区。