檢視和管理 OT 感應器上的警示

適用於 IoT 的 Microsoft Defender 警示會藉助您網路中所記錄事件的即時詳細資料，來增強您的網路安全性和作業。 當 OT 網路感應器在需要注意的網路流量中偵測到變更或可疑活動時，就會觸發 OT 警示。

本文說明如何在 OT 網路感應器上直接檢視適用於 IoT 的 Defender 警示。 您也可以在 Azure 入口網站或內部部署管理主控台上檢視 OT 警示。

如需詳細資訊，請參閱適用於 IoT 的 Microsoft Defender 警示。

必要條件

• 若要在 OT 感應器上顯示警示，則必須為感應器設定 SPAN 連接埠，並安裝適用於 IoT 的 Defender 監視軟體。 如需詳細資訊，請參閱安裝 OT 代理程式監視軟體。

• 若要檢視 OT 感測器上的警示，請以系統管理員、安全性分析師或檢視人員使用者身分登入您的感應器。

• 若要管理 OT 感測器上的警示，請以系統管理員或安全性分析師使用者身分登入您的感應器。 警示管理活動包括修改其狀態或嚴重性，學習警示、將其靜音、存取 PCAP 資料，或將預先定義的註解新增至警示。

如需詳細資訊，請參閱使用適用於 IoT 的 Defender 進行 OT 監視的內部部署使用者和角色 (部分機器翻譯)。

檢視 OT 感應器上的警示

1. 登入您的 OT 感應器主控台，然後選取左側的 [警示] 頁面。

   根據預設，方格中會顯示下列詳細資料：

   名稱	描述
   嚴重性	感應器指派的預先定義警示嚴重性，您可以視需要修改，包括：危急、重大、次要、警告。
   名稱	警示標題
   引擎	適用於 IoT 的 Defender 偵測引擎，可偵測活動並觸發警示。
   上次偵測	上次偵測到警示的時間。 - 若警示狀態為 [新增]，且再次顯示相同的流量，則會針對相同的警示更新上次偵測時間。 - 若警示狀態為 [已關閉]，且再次顯示流量，則「不會」更新上次偵測時間，並會觸發新的警示。 附註：雖然感應器主控台即時顯示警示的 [上次偵測] 欄位，但 Azure 入口網站中適用於 IoT 的 Defender 最多可能需要一小時才能顯示更新的時間。 這說明感應器主控台中上次偵測時間與 Azure 入口網站中上次偵測時間不同的情況。
   狀態	警示狀態：[新增]、[作用中]、[已關閉] 如需詳細資訊，請參閱警示狀態和分級選項。
   來源裝置	來源裝置 IP 位址、MAC 或裝置名稱。
   Id	唯一警示識別碼，與 Azure 入口網站上的識別碼相符。 注意：如果警示與偵測到相同警示感應器的其他警示合併，則 Azure 入口網站會顯示第一個產生警示感應器的警示識別碼。

   1. 若要檢視詳細資料，請選取 [編輯資料行] 按鈕。

      在右側的 [編輯資料行] 窗格中，選取 [新增資料行] 和下列任何一個額外資料行：

      名稱	描述
      目的地裝置	目的地裝置 IP 位址。
      第一次偵測	第一次偵測到警示活動。
      識別碼	警示識別碼。
      上次活動	上次變更警示的時間，包括手動更新嚴重性或狀態，或是自動變更裝置更新或刪除重複的裝置/警示

篩選顯示的警示

使用 [搜尋] 方塊、[時間範圍] 和 [新增篩選] 選項，篩選特定參數所顯示的警示，或協助找出特定警示。

例如：

依 [群組] 篩選警示，會使用您在 [裝置詳細目錄] 或 [裝置對應] 頁面中建立的任何自訂群組。

顯示的群組警示

使用右上方的 [分組依據] 功能表，根據 [嚴重性]、[名稱]、[引擎] 或 [狀態]，將方格摺疊為子區段。

例如，當格線上方顯示警示總數時，您可能會想要更具體的警示計數明細資訊，例如具有特定嚴重性或狀態的警示數目。

檢視詳細資料並補救特定警示

1. 登入 OT 感應器主控台，然後選取左側功能表上的 [警示]。

2. 選取方格中的警示，以在右側窗格中顯示更多詳細資料。 [警示詳細資料] 窗格包含警示描述、流量來源和目的地等等。 選取 [檢視完整詳細資料] 以進一步深入鑽研。 例如：

   

3. [警示詳細資料] 頁面提供更多關於警示的詳細資料，而 [採取動作] 索引標籤上提供一組補救步驟。

   使用下列索引標籤來取得與內容更為相關的深入解析：

   • 對應檢視。 在地圖檢視中檢視來源和目的地裝置，以及與感應器連線的其他裝置。 例如：

     

   • 事件時間軸。 檢視事件與其他相關裝置上的其他最近活動。 篩選選項以自訂顯示的資料。 例如：

     

管理警示狀態和分級警示

請務必在採取補救步驟後更新您的警示狀態，以便記錄進度。 您可以更新單一警示或選取大量警示的狀態。

學習警示，以對適用於 IoT 的 Defender 指出偵測到的網路流量已獲授權。 下次在您的網路上偵測到相同的流量時，就不會再次觸發已學習過的警示。 當學習無法使用，而且您想要忽略網路上的特定案例時，請將警示靜音。

如需詳細資訊，請參閱警示狀態和分級選項。

• 若要管理警示狀態：

  1. 登入您的 OT 感應器主控台，然後選取左側的 [警示] 頁面。

  2. 在要更新其狀態的方格中選取一或多個警示。

  3. 使用工具列 [變更狀態] 按鈕或右側詳細資料窗格中的 [狀態] 選項來更新警示狀態。

     警示詳細資料頁面上也提供 [狀態] 選項。

• 若要了解一或多個警示：

  登入您的 OT 感應器主控台，然後選取左側的 [警示] 頁面，接著執行下列其中一項動作：

  • 在方格中選取一或多個可學習的警示，然後在工具列中選取 [學習]。
  • 在警示詳細資料頁面上的 [採取動作] 索引標籤中，選取 [學習]。

• 若要將警示靜音：

  1. 登入您的 OT 感應器主控台，然後選取左側的 [警示] 頁面。
  2. 找出您想要靜音的警示，並開啟其警示詳細資料頁面。
  3. 在 [採取動作] 索引標籤上，開啟 [警示靜音] 選項。

• 若要解除警示或將其設為靜音：

  1. 登入您的 OT 感應器主控台，然後選取左側的 [警示] 頁面。
  2. 找出您已學習或靜音的警示，並開啟其警示詳細資料頁面。
  3. 在 [採取動作] 索引標籤上，關閉 [警示學習] 或 [警示靜音] 選項。

  解除警示或將其設為靜音之後，每當感應器察覺到選取的流量組合時，就會重新觸發警示。

存取警示 PCAP 資料

您在調查中可能需要存取原始流量檔案，也稱為封包擷取檔案，或 PCAP 檔案。

若要存取警示的原始流量檔案 ，請從警示詳細資料頁面左上角選取 [下載 PCAP]：

例如：

PCAP 檔案已下載，並且您的瀏覽器會提示您將其開啟或儲存於本機。

將警示以 CSV 或 PDF 匯出

您可能需要將警示選取範圍匯出成 CSV 或 PDF 檔案，以供離線共用和報告。

• 從主要 [警示] 頁面將警示匯出為 CSV 檔案。 一次或大量匯出警示。
• 從主要 [警示] 頁面或警示詳細資料頁面，將警示逐一匯出為 PDF 檔案。

若要將警示以 CSV 檔案匯出：

1. 登入您的 OT 感應器主控台，然後選取左側的 [警示] 頁面。

2. 使用搜尋方塊和篩選選項，以僅顯示您要匯出的警示。

3. 在方格上方的工具列中，選取 [匯出為 CSV]。

系統會產生檔案，並提示您將其開啟或儲存在本機。

若要將警示匯出為 PDF 檔案：

登入您的 OT 感應器主控台，然後選取左側的 [警示] 頁面，接著執行下列其中一項動作：

• 在 [警示] 頁面上，選取警示，然後從方格上方的工具列選取 [匯出為 PDF]。
• 在警示詳細資料頁面上，選取 [匯出為 PDF]。

系統會產生檔案，並提示您將其儲存在本機。

新增警示註解

警示註解可提高小組成員之間的溝通和記錄資料的效率，從而協助您加快調查和補救流程。

如果管理員已建立自訂註解供小組新增至警示中，則可從警示詳細資料頁面的 [註解] 區段中加以新增。

1. 登入您的 OT 感應器主控台，然後選取左側的 [警示] 頁面。

2. 找出您要新增註解的警示，然後開啟警示詳細資料頁面。

3. 從 [選擇註解 ] 清單中，選取您要新增的註解，然後選取 [新增]。 例如：

   

如需詳細資訊，請參閱加速 OT 警示工作流程。

下一步

適用於 IoT 的 Microsoft Defender 中的資料保留