Политики оповещений на портале Microsoft Defender

Вы можете использовать политики оповещений и панель мониторинга оповещений на портале Microsoft Defender для создания политик оповещений, а затем просмотра оповещений, создаваемых при выполнении пользователями действий, соответствующих условиям политики оповещений. Существует несколько политик оповещений по умолчанию, которые помогают отслеживать действия, например назначение прав администратора в Exchange Online, вредоносные атаки, фишинговые кампании и необычные уровни удаления файлов или внешнего общего доступа.

Политики оповещений позволяют классифицировать соответствующие оповещения, применять политику ко всем пользователям в организации, устанавливать пороговый уровень для активации оповещения и определять, нужно ли отправлять уведомления по электронной почте. Существует также страница "Оповещения ", где можно просматривать и фильтровать оповещения, задавать состояние оповещения, чтобы помочь вам управлять оповещениями, а затем закрывать оповещения после устранения или устранения базового инцидента.

Как работают политики оповещений?

Ниже приведен краткий обзор работы политик оповещений и оповещений, которые активируются, когда действия пользователя или администратора соответствуют условиям политики генерации оповещений.

1. Администратор в организации создает, настраивает и включает политику оповещений с помощью страницы Политики оповещений на портале соответствия требованиям или на портале Microsoft Defender. Вы также можете создавать политики оповещений с помощью командлета New-ProtectionAlert в Security & Compliance PowerShell.

   Для создания политик генерации оповещений необходимо назначить роль "Управление оповещениями" или "Конфигурация организации" на портале соответствия требованиям или на портале Defender.

   Примечание.

   После создания или обновления политики оповещений требуется до 24 часов, прежде чем оповещения могут быть активированы политикой. Это связано с тем, что политика должна быть синхронизирована с подсистемой обнаружения оповещений.

2. Пользователь выполняет действие, соответствующее условиям политики оповещений. В случае атак вредоносных программ зараженные сообщения электронной почты, отправляемые пользователям в вашей организации, активируют оповещение.

3. Microsoft 365 создает оповещение, которое отображается на странице Оповещения на портале Microsoft Defender. Кроме того, если для политики оповещений включены Уведомления по электронной почте, корпорация Майкрософт отправляет уведомление списку получателей. Оповещения, которые могут видеть администратор или другие пользователи на странице Оповещения, определяются ролями, назначенными пользователю. Дополнительные сведения см. в разделе Разрешения RBAC, необходимые для просмотра оповещений.

4. Администратор управляет оповещениями на портале Microsoft Defender. Управление оповещениями состоит в назначении состояния оповещения для отслеживания любого расследования и управления ими.

Параметры политики оповещений

Политика оповещений содержит такие компоненты: набор правил и условий, определяющих действия пользователя или администратора, для которых будет создаваться оповещение; список пользователей, о чьих действиях будут создаваться оповещения; пороговое значение, определяющее, сколько раз должно выполняться действие, прежде чем для него будет создано оповещение. Вы также классифицируете политику и назначаете ей уровень важности. Эти два параметра помогают управлять политиками генерации оповещений (и оповещениями, которые активируются при совпадении условий политики), так как эти параметры можно фильтровать при управлении политиками и просмотре оповещений на портале Microsoft Defender. Например, можно просмотреть оповещения, соответствующие условиям из одной категории, или оповещения с одинаковым уровнем серьезности.

Чтобы просмотреть и создать политики оповещений, на портале Microsoft Defender в разделе Email & совместной работы выберите Политики & правила>Политика оповещений. Кроме того, можно перейти непосредственно по адресу https://security.microsoft.com/alertpolicies.

Политика оповещений состоит из следующих параметров и условий.

• Действие, отслеживаемое оповещением. Вы создаете политику для отслеживания действий или в некоторых случаях нескольких связанных действий, таких как общий доступ к файлу с внешним пользователем путем предоставления общего доступа, назначения разрешений доступа или создания анонимной ссылки. Если пользователь выполняет такое действие, при достижении порогового значения создается оповещение.

  Примечание.

  Какие действия можно отслеживать, зависит от плана Office 365 корпоративный или Office 365 US Government, используемого в вашей организации. Как правило, для операций, связанных с кампаниями вредоносного ПО и фишинговыми атаками, требуется подписка E5/G5 либо подписка E1/F1/G1 или E3/F3/G3 с дополнением Defender для Office 365 Plan 2.

• Условия действия. Для большинства действий можно определить дополнительные условия, которые должны быть выполнены, чтобы активировать оповещение. К распространенным условиям относятся IP-адреса (чтобы оповещение срабатывалось, когда пользователь выполняет действие на компьютере с определенным IP-адресом или в диапазоне IP-адресов), активируется ли оповещение, если это действие выполняется определенным пользователем или пользователями, а также выполняется ли действие с определенным именем файла или URL-адресом. Можно также настроить условие, которое активирует оповещение при выполнении действия любым пользователем в вашей организации. Доступные условия зависят от выбранного действия.

Вы также можете определить теги пользователей как условие политики генерации оповещений. Это определение приводит к тому, что оповещения, активированные политикой, включают контекст затронутого пользователя. Вы можете использовать системные или настраиваемые теги пользователей. Дополнительные сведения см. в статье Теги пользователей в Microsoft Defender для Office 365.

• При активации оповещения. Можно настроить параметр, определяющий частоту выполнения действия перед активацией оповещения. Это позволяет настроить политику для создания оповещений каждый раз, когда действие соответствует условиям политики, при превышении определенного порогового значения или при возникновении действия, отслеживаемого оповещением, становится необычным для вашей организации.

  

  При выборе параметра на основе необычных действий корпорация Майкрософт устанавливает базовое значение, определяющее обычную частоту для выбранного действия. Установка этой базовой базы занимает до семи дней, в течение которых оповещения не создаются. После установки базового плана оповещение активируется, когда частота действия, отслеживаемого политикой оповещений, значительно превышает базовое значение. Для действий, связанных с аудитом (таких как действия с файлами и папками), можно установить базовый план на основе одного пользователя или на основе всех пользователей в вашей организации; для действий, связанных с вредоносными программами, можно установить базовые показатели на основе одного семейства вредоносных программ, одного получателя или всех сообщений в организации.

  Примечание.

  Для настройки политик оповещений на основе порогового значения или необычной активности требуется подписка E5/G5 либо подписка E1/F1/G1 или E3/F3/G3 с дополнительной подпиской Microsoft Defender для Office 365 P2, Соответствие требованиям Microsoft 365 E5 или Microsoft 365 eDiscovery and Audit. Организации с подпиской E1/F1/G1 и E3/F3/G3 могут создавать политики оповещений только в том случае, если оповещение активируется при каждом выполнении действия.

• Категория оповещений. Чтобы упростить отслеживание оповещений, созданных политикой, и управление ими, можно назначить политике одну из следующих категорий.

  • Защита от потери данных
  • Управление информацией
  • Поток обработки почты
  • Разрешения
  • Управление угрозами
  • Другие

  При возникновении действия, соответствующего условиям политики генерации оповещений, созданное оповещение помечается категорией, определенной в этом параметре. Это позволяет отслеживать оповещения с одинаковым параметром категории и управлять ими на странице Оповещения на портале Microsoft Defender, так как вы можете сортировать и фильтровать оповещения по категории.

• Уровень серьезности оповещений. Как и в категории оповещений, политикам оповещений назначается атрибут серьезности (низкий, средний, высокий или информационный). Как и в случае с категорией оповещения, когда происходит действие, соответствующее условиям политики оповещений, созданному оповещению присваивается тот же уровень важности, который задан для этой политики. Опять же, это позволяет отслеживать оповещения с одинаковыми параметрами серьезности и управлять ими на странице Оповещения . Например, можно отфильтровать список оповещений, чтобы отображались только оповещения с высоким уровнем серьезности.

  Совет

  При настройке политики генерации оповещений рекомендуется назначить более высокий уровень серьезности действиям, которые могут привести к серьезным негативным последствиям, таким как обнаружение вредоносных программ после доставки пользователям, просмотр конфиденциальных или секретных данных, совместное использование данных с внешними пользователями или другие действия, которые могут привести к потере данных или угрозам безопасности. Это поможет определить приоритеты оповещений и действий, выполняемых для изучения и устранения основных причин.

• Автоматизированные исследования. Некоторые оповещения запускают автоматизированные исследования для выявления потенциальных угроз и рисков, требующих исправления или устранения. В большинстве случаев эти оповещения активируются при обнаружении вредоносных сообщений электронной почты или действий, но в некоторых случаях оповещения активируются действиями администратора на портале безопасности. Дополнительные сведения об автоматизированных исследованиях см. в статье Автоматизированное исследование и реагирование (AIR) в Microsoft Defender для Office 365.

• уведомления Email. Политику можно настроить так, чтобы Уведомления по электронной почте отправлялись (или не отправлялись) в список пользователей при активации оповещения. Вы также можете задать ежедневный лимит уведомлений, чтобы после достижения максимального количества уведомлений по этому оповещению в течение этого дня больше не отправлялись уведомления. Помимо Уведомления по электронной почте, вы или другие администраторы можете просматривать оповещения, активированные политикой, на странице Оповещения. Рассмотрите возможность включения Уведомления по электронной почте для политик оповещений определенной категории или с более высоким уровнем серьезности.

  Примечание.

  Некоторые политики оповещений создают агрегированные оповещения. В таких случаях активность нескольких пользователей или сущностей может быть объединена в одном оповещении, когда события происходят в пределах окна агрегирования политики. Поведение агрегирования зависит от типа оповещений и рабочей нагрузки и может быть не настроено для некоторых системных оповещений. Лицензирование влияет на доступные политики оповещений и параметры конфигурации, но не обязательно изменяет агрегатное поведение.

Политики оповещений по умолчанию

Корпорация Майкрософт предоставляет встроенные политики оповещений, которые помогают выявлять злоупотребление разрешениями администратора Exchange, активность вредоносных программ, потенциальные внешние и внутренние угрозы, а также риски управления информацией. На странице Политики оповещений имена этих встроенных политик выделены полужирным шрифтом, а тип политики определен как System. Эти политики включены по умолчанию. Вы можете отключить эти политики (или снова включить), настроить список получателей для отправки Уведомления по электронной почте и установить ежедневное ограничение на уведомления. Другие параметры для этих политик не могут быть изменены.

В следующих таблицах перечислены доступные политики оповещений по умолчанию и категории, которым назначена каждая политика. Категория используется для определения оповещений, которые пользователь может просматривать на странице Оповещения. Дополнительные сведения см. в разделе Разрешения RBAC, необходимые для просмотра оповещений.

В таблицах также указаны планы Office 365 корпоративный и Office 365 для государственных организаций США, необходимые для каждого из них. Некоторые политики оповещений по умолчанию доступны, если у вашей организации есть соответствующая дополнительная подписка помимо подписки E1/F1/G1 или E3/F3/G3.

Get-ProtectionAlert -Identity "<PolicyName>" | Format-List

Политики оповещений системы управления информацией

Политики оповещений почтового потока

Политики оповещений о разрешениях

Политики оповещений управления угрозами

¹ Эта политика оповещений является частью функции замены для фишинга, доставленного из-за переопределения клиента или пользователя, и фишинга олицетворения пользователя, доставленного в папки "Входящие", которые были удалены на основе отзывов пользователей. Дополнительные сведения о защите от фишинга в Office 365 см. в разделе Политики защиты от фишинга.

Просмотр оповещений

Если действие, выполняемое пользователями в организации, соответствует параметрам политики генерации оповещений, на странице Оповещения на портале Microsoft Defender создается оповещение. В зависимости от параметров политики оповещений при активации оповещения в список указанных пользователей также отправляется уведомление по электронной почте. Для каждого оповещения на панели мониторинга на странице Оповещения отображается имя соответствующей политики оповещений, серьезность и категория оповещения (определенные в политике оповещений), а также количество случаев, когда произошло действие, в результате которого было создано оповещение. Это значение основано на пороговом значении политики генерации оповещений. На панели мониторинга также отображается состояние каждого оповещения. Дополнительные сведения об использовании свойства status для управления оповещениями см. в разделе Управление оповещениями.

Чтобы просмотреть оповещения, на портале Microsoft Defender выберите Инциденты & оповещения>Оповещения. Кроме того, можно перейти непосредственно по адресу https://security.microsoft.com/alerts.

Для просмотра подмножества всех оповещений на странице Оповещения можно использовать следующие фильтры:

• Серьезность: отображение оповещений, которым назначена определенная степень серьезности.
• Состояние: отображение оповещений, которым назначено определенное состояние. Состояние по умолчанию — Создать. Вы или другие администраторы можете изменить значение состояния.
• Категории: отображение оповещений из одной или нескольких категорий оповещений.
• Источники служб/обнаружения: используйте этот фильтр, чтобы отображать оповещения, вызванные политиками оповещений в конкретной службе или источнике обнаружения. Например, можно отображать оповещения, активированные политиками оповещений, в Microsoft Defender для Office 365 или Microsoft Defender для удостоверений.
• Теги: отображение оповещений из одного или нескольких тегов пользователей.
• Политика или правило политики: отображение оповещений, соответствующих параметру одной или нескольких политик оповещений. Кроме того, можно отобразить все оповещения для всех политик оповещений.
• Тип оповещения: отображение оповещений, созданных на основе определенного типа оповещений.
• Название продукта: отображение оповещений из определенного продукта майкрософт для обеспечения безопасности.
• Идентификатор подписки на оповещения: отображение оповещений, созданных с помощью определенного идентификатора подписки на оповещения.
• Сущности: отображение оповещений, связанных с определенной сущностью.
• Состояние автоматизированного исследования. Отображение оповещений, которые находятся в определенном состоянии автоматического исследования.
• Рабочая область: отображение оповещений, связанных с определенной рабочей областью. Это применимо, только если у вас есть одна или несколько рабочих областей в вашей организации.
• Поток данных: отображение оповещений, связанных с определенным потоком данных. Например, можно отобразить оповещения, связанные с потоками данных Microsoft OneDrive и Microsoft Exchange.

Агрегирование оповещений

Если за короткий период времени происходит несколько событий, соответствующих условиям политики оповещений, они добавляются в существующее оповещение с помощью процесса, называемого агрегированием оповещений. Когда событие активирует оповещение, это оповещение создается и отображается на странице Оповещения и отправляется уведомление. Если то же событие происходит в пределах интервала агрегирования, Microsoft 365 добавляет сведения о новом событии в существующее оповещение, а не активирует новое оповещение. Целью агрегирования оповещений является снижение "усталости" оповещений и возможность сосредоточиться и принять меры на меньшее количество оповещений для того же события.

Длина интервала агрегирования зависит от Office 365 или подписки Microsoft 365.

Если события, соответствующие той же политике оповещений, происходят в пределах интервала агрегирования, сведения о последующем событии добавляются в исходное оповещение. Для всех событий сведения о агрегированных событиях отображаются в поле сведений, а количество случаев, когда событие произошло с интервалом агрегирования, отображается в поле количество действий и попаданий. Дополнительные сведения обо всех агрегированных экземплярах событий можно просмотреть, просмотрев список действий.

На следующем снимку экрана показано оповещение с четырьмя агрегированными событиями. Список действий содержит сведения о четырех сообщениях электронной почты, относящихся к оповещению.

Помните о агрегации оповещений:

• Оповещения, срабатывающие по политике оповещений по умолчанию «Обнаружен щелчок по потенциально вредоносному URL-адресу», не объединяются. Это происходит из-за того, что оповещения, активированные этой политикой, являются уникальными для каждого пользователя и сообщения электронной почты.

• В настоящее время свойство оповещения Количество срабатываний не показывает число агрегированных событий для всех правил оповещений. Для оповещений, активируемых этими политиками генерации оповещений, можно просмотреть агрегированные события, щелкнув Просмотреть список сообщений или Просмотр действий в оповещении. Мы работаем над тем, чтобы количество агрегированных событий, указанных в свойстве оповещения Hit count, было доступно для всех политик оповещений.

Разрешения RBAC, необходимые для просмотра оповещений

Разрешения управления доступом на основе ролей (RBAC), назначенные пользователям в вашей организации, определяют, какие оповещения пользователь может видеть на странице Оповещения. Как это делается? Роли управления, назначенные пользователям (на основе их членства в группах ролей на портале Microsoft Defender), определяют, какие категории оповещений пользователь может видеть на странице Оповещения. Ниже приводятся примеры:

• Люди с ролями из группы "Управление записями" могут просматривать только оповещения, созданные политиками из категории Управление информацией.
• Люди с ролями из группы "Администратор соответствия требованиям" не могут просматривать оповещения, созданные политиками из категории Управление угрозами.
• Участники группы ролей "eDiscovery Manager" не могут просматривать какие-либо оповещения, поскольку ни одна из назначенных ролей не предоставляет разрешения на просмотр оповещений ни из одной категории оповещений.

Эта структура (на основе разрешений RBAC) позволяет определить, какие оповещения могут просматривать (и управлять ими) пользователи с определенными ролями задания в вашей организации.

В следующей таблице перечислены роли, необходимые для просмотра оповещений из шести различных категорий оповещений. Флажок указывает, что пользователь, которому назначена эта роль, может просматривать оповещения соответствующей категории, перечисленной в строке заголовка.

Чтобы узнать, к какой категории назначена политика оповещений по умолчанию, см. таблицы в разделе Политики оповещений по умолчанию.

$RoleGroups = Get-RoleGroup

$RoleGroups | foreach {Write-Output -InputObject `r`n,$_.Name,("-"*25); Get-RoleGroup $_.Identity | Select-Object -ExpandProperty Roles}

Управление оповещениями

После создания оповещений и их отображения на странице Оповещения на портале Microsoft Defender вы можете анализировать, исследовать и устранять их. Те же разрешения RBAC , которые предоставляют пользователям доступ к оповещениям, также предоставляют им возможность управлять оповещениями.

Ниже приведены некоторые задачи, которые можно выполнить для управления оповещениями.

• Назначение состояния оповещениям. Оповещениям можно назначить одно из следующих состояний: New (значение по умолчанию), Выполняется или Устранено. Затем вы можете отфильтровать этот параметр, чтобы отобразить оповещения с тем же параметром состояния. Этот параметр состояния помогает отслеживать процесс управления оповещениями.

• Назначение оповещения пользователю. Вы можете назначить оповещение пользователю в вашей организации. Это действие поможет убедиться, что соответствующее лицо проверяет и разрешает оповещение.

• Классификация оповещений. Вы можете назначить классификацию оповещению. Классификации используются для классификации оповещений в зависимости от типа действий, которые активировали оповещение. Например, можно классифицировать оповещение как положительное или информационное.

• Просмотр сведений об оповещении. Вы можете выбрать оповещение, чтобы отобразить всплывающий элемент с подробными сведениями об оповещении. Подробные сведения зависят от соответствующей политики генерации оповещений, но обычно включают в себя следующие сведения:

  • Имя фактической операции, вызвавшей оповещение, например это может быть командлет или операция в журнале аудита.
  • Описание действия, которое активировало оповещение.
  • Пользователь (или список пользователей), активировавший оповещение. Это включается только для политик оповещений, настроенных для отслеживания одного пользователя или одного действия.
  • Количество выполнения действий, отслеживаемых оповещением. Это число может не совпадать с фактическим числом связанных оповещений, перечисленных на странице Оповещения, так как могло быть активировано больше оповещений.
  • Ссылка на список действий, содержащий запись о каждом выполненном действии, которое привело к срабатыванию оповещения. Каждая запись в этом списке определяет, когда произошло действие, имя фактической операции (например, FileDeleted), пользователя, выполнившего действие, объект (например, файл, дело обнаружения электронных данных или почтовый ящик), с которым было выполнено действие, и IP-адрес компьютера пользователя. Для предупреждений о вредоносном ПО эта ссылка ведет к списку сообщений.
  • Имя (и ссылка) соответствующей политики оповещений.
  • Инцидент, в котором выполняется агрегированное оповещение.

• Настройка оповещения. Вы можете задать свойства, условия и действия, чтобы скрыть или разрешить оповещение.

• Изменение уровня серьезности для политики оповещений

  1. Войдите на портал Microsoft Defender, используя учетные данные учетной записи администратора в организации Microsoft 365.
  2. Перейдите на страницу Email & Политики совместной работы > & правила, а затем выберите Политика оповещений.
  3. Выберите политику, которую вы хотите обновить, в списке. В столбце Действия выберите три точки и нажмите кнопку Изменить.
  4. В области Изменение политики выберите раскрывающееся меню, чтобы настроить уровень серьезности . Если применимо, можно также изменить параметры триггера для политики.
  5. Нажмите кнопку Далее , чтобы перейти к остальным шагам.
  6. Нажмите кнопку Отправить , чтобы применить новые изменения к политике, а затем нажмите кнопку Готово , чтобы завершить редактирование.