在自動化調查之後檢閱補救動作

適用於：

• 適用於端點的 Microsoft Defender 方案 2
• 適用於企業的 Microsoft Defender

補救動作

當 自動化調查 執行時，會針對每一項調查證據產生決策。 決策可以是 惡意、 可疑或 找不到任何威脅。

根據

• 威脅的類型，
• 產生的決策，以及
• 如何設定貴組織的裝置群組

補救動作可以自動發生，或只有在貴組織的安全性作業小組核准時才會發生。

注意事項

適用於端點的Defender方案1和方案2支援裝置群組建立。

以下提供幾個範例：

• 範例 1：Fabrikam 的裝置群組設定為 [完整 - 補救威脅 ] 會自動 (建議的設定) 。 在此情況下，系統會針對在自動化調查之後被視為惡意的成品自動採取補救動作 (請參閱檢 閱已完成的動作) 。

• 範例 2：Contoso 的裝置包含在設定為 Semi 的裝置群組中 - 需要核准才能進行任何補救。 在此情況下，Contoso 的安全性作業小組必須檢閱並核准自動化調查之後的所有補救動作 (請參閱檢 閱暫止的動作) 。

• 範例 3：Tailspin Toys 將其裝置群組設定為 [沒有自動回應 (不建議) 。 在此情況下，不會進行自動化調查。 不會採取任何補救動作或擱置，且不會在其裝置的 控制中心 內記錄任何動作 (請參閱 管理裝置群組) 。

無論是自動採取或核准，自動化調查和補救可能會導致一或多個補救動作：

• 隔離檔案
• 拿掉登錄機碼
• 終止進程
• 停止服務
• 停用驅動程式
• 拿掉排程的工作

檢閱擱置中的動作

1. 移至 Microsoft Defender 入口網站並登入。

2. 在功能窗格中，選擇 [控制中心]。

3. 檢閱 [ 擱置 ] 索引卷標上的專案。

4. 選取動作以開啟其飛出視窗窗格。

5. 在飛出視窗窗格中檢閱資訊，然後採取下列其中一個步驟：

   • 選取 [開啟調查頁面] 檢視有關調查的更多資訊。
   • 選取 [核准] 以起始待完成動作。
   • 選取 [拒絕] 以防止採取待完成動作。
   • 選 取 [進行搜捕 ] 以進入 進階搜捕。

核准或拒絕補救動作

對於補救狀態為 [擱置核准] 的事件，您也可以核准或拒絕事件內的補救動作。

1. 在瀏覽窗格中，移至 [ 事件 & 警示>事件]。
2. 篩選 [自動調查狀態] (選擇性) 的 [ 擱置] 動作 。
3. 選取事件名稱以開啟其摘要頁面。
4. 選取 [ 辨識項和回應] 索引標籤 。
5. 選取清單中的項目以開啟其飛出視窗窗格。
6. 檢閱信息，然後採取下列其中一個步驟：
   • 選取 [核准暫止動作] 選項以起始擱置中的動作。
   • 選取 [拒絕暫止動作] 選項，以防止採取擱置中的動作。

檢閱已完成的動作

1. 移至 Microsoft Defender 入口網站並登入。

2. 在功能窗格中，選擇 [控制中心]。

3. 檢閱 [ 歷程記錄 ] 索引標籤上的專案。

4. 選取專案以檢視有關該補救動作的更多詳細數據。

復原已完成的動作

如果您判斷裝置或檔案不是威脅，您可以復原所採取的補救動作，不論是自動或手動採取這些動作。 在 [控制中心] 的 [ 歷程記錄] 索引標籤上，您可以復原下列任何動作：

動作來源	支援的動作
自動化調查 手動回應動作 (請參閱下列附注) Microsoft Defender 防毒軟體	停用驅動程式 隔離裝置 隔離檔案 拿掉登錄機碼 拿掉排程的工作 限制程式碼執行 停止服務

注意事項

適用於端點的 Defender 方案 1 和 適用於企業的 Microsoft Defender 只包含下列手動回應動作：

• 執行防毒掃描
• 隔離裝置
• 停止和隔離檔案
• 新增指示器以封鎖或允許檔案

一次復原多個動作

1. 移至控制中心 (https://security.microsoft.com/action-center) 並登入。

2. 在 [ 歷程記錄] 索引 標籤上，選取您想要復原的動作。 請務必選取具有相同動作類型的專案。 飛出視窗窗格隨即開啟。

3. 在飛出視窗窗格中，選取 [ 復原]。

跨多個裝置從隔離區移除檔案

1. 移至控制中心 (https://security.microsoft.com/action-center) 並登入。

2. 在 [ 歷程記錄] 索引 標籤上，選取動作類型為 [隔離檔案] 的專案。

3. 在飛出視窗窗格中，選取 [ 套用至此檔案的 X 個更多實例]，然後選取 [ 復原]。

自動化層級、自動化調查結果和產生的動作

自動化層級會影響特定補救動作是自動採取還是只在核准時採取。 有時候，您的安全性作業小組會根據自動化調查的結果，採取更多步驟。 下表摘要說明自動化層級、自動化調查的結果，以及在每個案例中該怎麼做。

裝置群組設定	自動化調查結果	處理方式
完整 - 自動補救威脅 建議 ()	已針對一項辨識項達到 惡意 的判斷。 系統會自動採取適當的補救動作。	檢閱已完成的動作
半 - 需要核准才能進行任何補救	系統會針對辨識項達到 惡意 或 可疑 的決策。 補救動作暫止核准以繼續進行。	核准 (或拒絕) 暫止動作
半 - 需要核准才能補救核心資料夾	已針對一項辨識項達到 惡意 的判斷。 如果成品是檔案或可執行檔，且位於操作系統目錄中，例如 Windows 資料夾或 Program files 資料夾，則補救動作會擱置核准。 如果成品 不 在操作系統目錄中，則會自動採取補救動作。	核准 (或拒絕) 暫止動作 檢閱已完成的動作
半 - 需要核准才能補救核心資料夾	已針對辨識項達到 可疑 的決策。 補救動作暫止核准。	核准 (或拒絕) 暫止動作。
半 - 需要核准非暫存資料夾補救	已針對一項辨識項達到 惡意 的判斷。 如果成品是不在暫存資料夾中的檔案或可執行檔，例如使用者的下載資料夾或暫存資料夾，補救動作會暫止核准。 如果成品是暫存檔 夾中的檔案 或可執行檔，則會自動採取補救動作。	核准 (或拒絕) 暫止動作 檢閱已完成的動作
半 - 需要核准非暫存資料夾補救	已針對辨識項達到 可疑 的決策。 補救動作暫止核准。	核准 (或拒絕) 暫止動作
任何 完整 或 半 自動化層級	無法找到任何 威脅 的判斷，以取得辨識項。 不會採取任何補救動作，而且沒有擱置核准的動作。	檢視自動調查的詳細資料和結果
不建議 (自動回應)	不會執行任何自動化調查，因此不會達成任何決策，而且不會採取任何補救動作或等待核准。	請考慮設定或變更您的裝置群組，以使用 完整 或 半 自動化

所有決策都會在 控制中心追蹤。

注意事項

在 商務用Defender中，自動化調查和補救功能預設會 自動使用完整 - 補救威脅。 這些功能預設會套用至所有裝置。

後續步驟

• 了解即時回應功能
• 使用進階搜捕主動搜捕威脅
• 解決適用於端點的 Microsoft Defender 中的誤判/漏報

另請參閱

• 自動調查概觀

提示

想要深入了解? Engage 技術社群中的 Microsoft 安全性社群：適用於端點的 Microsoft Defender 技術社群。