Microsoft Defender 全面偵測回應 中的補救動作

  • 發行項

注意事項

想要體驗 Microsoft Defender 全面偵測回應 嗎？ 深入瞭解如何評估和試驗 Microsoft Defender 全面偵測回應。

適用於：

  • Microsoft Defender XDR

在 Microsoft Defender 全面偵測回應 的自動化調查期間和之後，會識別惡意或可疑專案的補救動作。 裝置上會採取一些補救動作，也稱為端點。 系統會對身分識別、帳戶和電子郵件內容採取其他補救動作。 採取補救動作、核准或拒絕之後，自動調查就會完成。

重要事項

是否自動採取補救動作，或只在核准時採取補救動作，取決於某些設定，例如自動化層級。 若要深入了解，請參閱下列文章：

下表摘要說明 Microsoft Defender 全面偵測回應 中目前支援的補救動作。

裝置 (端點) 補救動作 電子郵件補救動作 使用者 (帳戶)
- 收集調查套件
- 隔離裝置 (此動作可以復原)
- 下架計算機
- 發行程式代碼執行
- 從隔離釋放
- 要求範例
- 限制程式代碼執行 (可以復原此動作)
- 執行防毒軟體掃描
- 停止並隔離
- 包含來自網路的裝置		 - 封鎖 URL (點選)
- 虛刪除電子郵件訊息或叢集
- 隔離電子郵件
- 隔離電子郵件附件
- 關閉外部郵件轉寄		 - 停用使用者
- 重設用戶密碼
- 確認使用者遭到入侵

無論擱置核准或已完成補救動作，都可以在 控制中心中檢視。

遵循自動化調查的補救動作

當自動化調查完成時，會針對涉及的每個辨識項達成決策。 根據決策，確定補救動作。 在某些情況下，系統會自動進行修正動作；在其他情況下，修正動作需要核准。 這完全取決於 自動化調查和響應的設定方式。

下表列出可能的裁決和結果：

裁決 受影響的實體 結果
惡意 裝置 (端點) 假設貴組織的 裝置群組 設定為 [ 完整- 補救威脅 ] 時，會自動採取補救動作 ()
妥協 使用者 自動採取修正動作
惡意 電子郵件內容 (URL 或附件) 建議的修正動作待核准
可疑 裝置或電子郵件內容 建議的修正動作待核准
找不到威脅 裝置或電子郵件內容 不需要修正動作

手動採取的補救動作

除了遵循自動化調查的補救動作之外，您的安全性作業小組還可以手動採取某些補救動作。 包括下列各項：

  • 手動裝置動作，例如裝置隔離或檔案隔離
  • 手動電子郵件動作，例如虛刪除電子郵件訊息
  • 手動用戶動作，例如停用使用者或重設用戶密碼
  • 裝置、用戶或電子郵件上的進階搜捕動作
  • 瀏覽器 對電子郵件內容的動作，例如將電子郵件移至垃圾郵件、虛刪除電子郵件或硬式刪除電子郵件
  • 手動 即時回應 動作，例如刪除檔案、停止進程，以及移除排程的工作
  • 使用 適用於端點的 Microsoft Defender API 的即時回應動作，例如隔離裝置、執行防病毒軟體掃描，以及取得檔案的相關信息

後續步驟

提示

想要深入了解? Engage 技術社群中的 Microsoft 安全性社群：Microsoft Defender 全面偵測回應 技術社群。