自動攻擊中斷動作的詳細數據和結果
適用於:
- Microsoft Defender XDR
當 Microsoft Defender XDR 中觸發自動攻擊中斷時,在程式進行期間和之後,會提供風險的詳細數據,以及遭入侵資產的內含項目狀態。 您可以在事件頁面上檢視詳細數據,其中提供攻擊的完整詳細數據,以及相關聯資產的最新狀態。
Microsoft事件檢視中內建 Defender XDR 自動攻擊中斷。 檢閱事件圖表以取得整個攻擊案例,並評估攻擊中斷的影響和狀態。
以下是其外觀的一些範例:
- 中斷的事件包括「攻擊中斷」標記,以及 (識別的特定威脅類型,也就是勒索軟體) 。 如果您訂閱事件電子郵件通知,這些標記也會出現在電子郵件中。
- 事件標題下方醒目提示的通知,指出事件已中斷。
- 已暫停的使用者和自主裝置隨即出現,並顯示指出其狀態的標籤。
若要從內含專案釋放使用者帳戶或裝置,請按兩下包含的資產,然後按兩下裝置的 內含項目發行 ,或 啟用使用者 帳戶的使用者。
控制中心 (https://security.microsoft.com/action-center) 將裝置、電子郵件 & 共同作業內容和身分識別之間的 補救 和回應動作結合在一起。 列出的動作包括自動或手動採取的補救動作。 您可以在控制中心檢視自動攻擊中斷動作。
您可以從動作詳細數據窗格釋放包含的資產,例如,啟用封鎖的用戶帳戶,或從內含專案釋放裝置。 您可以在降低風險並完成事件調查之後釋放包含的資產。 如需控制中心的詳細資訊,請參閱 控制中心。
提示
想要深入了解? 在我們的技術社群中與Microsoft安全性社群互動:Microsoft Defender XDR 技術社群。
您可以在 進階搜捕 中使用特定查詢來追蹤包含的裝置或使用者,以及停用使用者帳戶動作。
在進階搜捕的 DeviceEvents 數據表 中,會找到由攻擊中斷所觸發的動作。 使用下列查詢來搜捕這些特定的包含動作:
- 裝置包含動作:
DeviceEvents
| where ActionType contains "ContainedDevice"
- 使用者包含動作:
DeviceEvents
| where ActionType contains "ContainedUser"
攻擊中斷會使用適用於身分識別Microsoft Defender 的補救動作功能來停用帳戶。 適用於身分識別的 Defender 預設會針對所有補救動作使用域控制器的 LocalSystem 帳戶。
下列查詢會尋找域控制器停用用戶帳戶的事件。 此查詢也會透過手動觸發 Microsoft Defender XDR 中的停用帳戶,傳回自動攻擊中斷所停用的用戶帳戶:
let AllDomainControllers =
DeviceNetworkEvents
| where TimeGenerated > ago(7d)
| where LocalPort == 88
| where LocalIPType == "FourToSixMapping"
| extend DCDevicename = tostring(split(DeviceName,".")[0])
| distinct DCDevicename;
IdentityDirectoryEvents
| where TimeGenerated > ago(90d)
| where ActionType == "Account disabled"
| where Application == "Active Directory"
| extend ACTOR_DEVICE = tolower(tostring(AdditionalFields.["ACTOR.DEVICE"]))
| where isnotempty( ACTOR_DEVICE)
| where ACTOR_DEVICE in (AllDomainControllers)
| project TimeGenerated, TargetAccountUpn, ACTOR_DEVICE
上述查詢是從 適用於身分識別的 Microsoft Defender - 攻擊中斷查詢調整而來。