自动调查概述

  • 项目

适用于：

平台

  • Windows

是否想要了解其工作原理？ 观看以下视频：

自动调查中的技术使用各种检查算法，并以安全分析师使用的流程为基础。 AIR 功能旨在检查警报并立即采取措施来解决违规问题。 AIR 功能将极大地减少警报量，使安全操作能够专注于更复杂的威胁和其他高价值计划。 所有修正操作（无论是挂起还是已完成）都在 操作中心 中进行跟踪。 在操作中心，挂起的操作会获得批准（或拒绝），如果需要，可以撤消已完成的操作。

本文概述了 AIR，并提供了指向后续步骤和其他资源的链接。

提示

希望体验 Microsoft Defender for Endpoint？ 注册免费试用版。

自动调查的启动方式

在触发警报或安全操作员启动调查时，可以启动自动调查。

情况 发生的情况
触发警报 通常，自动调查在触发 警报 并创建 事件 时启动。 例如，假设恶意文件驻留在设备上。 检测到该文件时，将触发警报并创建事件。 自动调查过程在设备上开始。 由于其他设备上的同一文件而生成其他警报，它们将添加到关联的事件和自动调查中。
手动启动调查 安全运营团队可以手动启动自动调查。 例如，假设安全操作员正在查看设备列表，并注意到设备具有高风险级别。 安全操作员可以在列表中选择设备以打开其浮出控件，然后选择“ 启动自动调查”。

自动调查如何扩大其范围

调查正在运行时，从设备生成的任何其他警报都会添加到正在进行的自动调查中，直到该调查完成。 此外，如果在其他设备上看到相同的威胁，则会将这些设备添加到调查中。

如果在另一台设备中看到有罪的实体，则自动调查过程会扩展其范围以包括该设备，并且常规安全 playbook 会在该设备上启动。 如果在此扩展过程中从同一实体找到 10 个或更多设备，则该扩展操作需要批准，并且显示在“ 挂起的操作 ”选项卡上。

如何修正威胁

触发警报并运行自动调查时，将针对所调查的每个证据生成判决。 裁定结果分为：

  • 恶意;
  • 可疑;或
  • 未发现威胁。

在做出判决后，自动调查可能会导致一个或多个修正操作。 修正操作的示例包括将文件发送到隔离区、停止服务、删除计划任务等。 若要了解详细信息，请参阅 修正操作。

根据为组织设置 的自动化级别 以及其他安全设置，修正操作可以自动执行，或者只有在安全运营团队批准后才能执行。 可能影响自动修正的其他安全设置包括 防止可能不需要的应用程序 (PUA) 。

所有修正操作（无论是挂起还是已完成）都在 操作中心 中进行跟踪。 如有必要，安全运营团队可以撤消修正操作。 若要了解详细信息，请参阅 在自动调查后查看和批准修正操作。

提示

在Microsoft Defender门户中查看新的统一调查页。 若要了解详细信息，请参阅 统一调查页。

AIR 的要求

订阅必须包含 Defender for Endpoint 或 Defender for Business。

注意

自动调查和响应需要Microsoft Defender防病毒，以便在被动模式或主动模式下运行。 如果禁用或卸载Microsoft Defender防病毒，则自动调查和响应将无法正常工作。

目前，AIR 仅支持以下操作系统版本：

  • Windows Server 2012 R2 (预览版)
  • Windows Server 2016 (预览版)
  • Windows Server 2019
  • Windows Server 2022
  • Windows 10版本 1709 (OS 内部版本 16299.1085，KB4493441) 或更高版本
  • Windows 10版本 1803 (操作系统内部版本 17134.704，KB4493464) 或更高版本
  • Windows 10版本 1803 或更高版本
  • Windows 11

注意

Windows Server 2012 R2 和Windows Server 2016的自动调查和响应需要安装统一代理。

后续步骤

另请参阅

提示

想要了解更多信息？ Engage技术社区中的 Microsoft 安全社区：Microsoft Defender for Endpoint技术社区。