Обслуживание пакетов аналитики угроз на сетевых датчиках OT

Группы безопасности Майкрософт постоянно выполняют собственную аналитику угроз ICS и исследования уязвимостей. Исследование безопасности обеспечивает обнаружение безопасности, аналитику и реагирование на облачную инфраструктуру и службы Майкрософт, традиционные продукты и устройства, а также внутренние корпоративные ресурсы.

Microsoft Defender для Интернета вещей регулярно поставляет обновления пакетов аналитики угроз для сетевых датчиков OT, обеспечивая повышенную защиту от известных и релевантных угроз и аналитических сведений, которые могут помочь вашим командам рассматривать и определять приоритеты оповещений.

Пакеты аналитики угроз содержат подписи, такие как сигнатуры вредоносных программ, CVEs и другое содержимое системы безопасности.

Отображаемые оценки CVE соответствуют национальной базе данных уязвимостей (NVD), а оценки CVSS версии 3 отображаются, если они актуальны. Если оценка CVSS версии 3 отсутствует, отображается оценка CVSS версии 2.

Разрешения

Для выполнения процедур, описанных в этой статье, убедитесь, что у вас есть:

• Один или несколько датчиков OT, подключенных к Azure.

• Соответствующие разрешения для портал Azure и любых сетевых датчиков OT, которые вы хотите обновить.

  • Чтобы скачать пакеты аналитики угроз из портал Azure, вам потребуется доступ к портал Azure в качестве роли читателя безопасности, Администратор безопасности, участника или владельца.

  • Чтобы отправлять обновления аналитики угроз на подключенные к облаку датчики OT из портал Azure, вам нужен доступ к портал Azure в качестве роли Администратор безопасности, участника или владельца.

  • Чтобы вручную отправлять пакеты аналитики угроз на датчики OT, вам потребуется доступ к датчику OT в качестве пользователя Администратор.

Дополнительные сведения см. в разделе Azure ролей пользователей и разрешений для пользователей Defender для Интернета вещей и локальных пользователей и ролей для мониторинга OT с помощью Defender для Интернета вещей.

Просмотр последнего пакета аналитики угроз

Чтобы просмотреть последний пакет, доступный в Defender для Интернета вещей, выполните следующие действия:

В портал Azure выберите Сайты и датчики Обновление аналитики>угроз (предварительная версия)>Локальное обновление. Сведения о последнем доступном пакете отображаются в области обновления датчика TI . Например, вы можете:

Обновление пакетов аналитики угроз

Обновите пакеты аналитики угроз на датчиках OT с помощью любого из следующих методов:

• Автоматически отправлять обновления на подключенные к облаку датчики OT по мере их выпуска.
• Вручную отправлять обновления на подключенные к облаку датчики OT.
• Скачайте пакет обновления и вручную отправьте его на датчик OT.

Автоматическая отправка обновлений на подключенные к облаку датчики

Пакеты аналитики угроз можно автоматически обновить на подключенные к облаку датчики по мере их выпуска в Defender для Интернета вещей.

Обеспечьте автоматическое обновление пакета, подключив подключенный к облаку датчик с включенным параметром Automatic Threat Intelligence Обновления. Дополнительные сведения см. в разделе Подключение датчиков OT к Defender для Интернета вещей.

Чтобы изменить режим обновления после подключения датчика OT, выполните следующие действия:

1. В Defender для Интернета вещей на портал Azure выберите Сайты и датчики, а затем найдите датчик, который нужно изменить.
2. Выберите меню параметров (...) для выбранного датчика > OT Изменить.
3. При необходимости включите или отключите параметр Автоматическая аналитика угроз Обновления.

Отправка обновлений в датчики, подключенные к облаку, вручную

Ваши датчики, подключенные к облаку, можно автоматически обновить с помощью пакетов аналитики угроз. Тем не менее, если вы хотите использовать более консервативный подход, вы можете отправлять пакеты из Defender для Интернета вещей на датчики только тогда, когда считаете, что это необходимо. Отправка обновлений вручную позволяет управлять установкой пакета без необходимости скачивать и затем передавать его на датчики.

Чтобы вручную отправить обновления на один датчик OT, выполните следующие действия:

1. В Defender для Интернета вещей на портал Azure выберите Сайты и датчики и найдите датчик OT, который требуется обновить.
2. Выберите меню параметров (...) для выбранного датчика, а затем выберите Отправить обновление аналитики угроз.

В поле Состояние обновления аналитики угроз отображается ход обновления.

Чтобы вручную отправить обновления на несколько датчиков OT, выполните следующие действия:

1. В Defender для Интернета вещей на портал Azure выберите Сайты и датчики. Найдите и выберите датчики OT, которые требуется обновить.
2. Выберите Обновления аналитики угроз (предварительная версия)>Удаленное обновление.

В поле Состояние обновления аналитики угроз отображается ход обновления для каждого выбранного датчика.

Обновление локально управляемых датчиков вручную

Если вы работаете с локально управляемыми датчиками OT, необходимо скачать обновленные пакеты аналитики угроз и отправить их вручную на датчики.

Чтобы скачать пакеты аналитики угроз, выполните приведенные далее действия.

1. В Defender для Интернета вещей на портал Azure выберите Сайты и датчики Обновление аналитики>угроз (предварительная версия)>Локальное обновление.

2. В области Обновление датчика TI выберите Скачать , чтобы скачать последний файл аналитики угроз.

Все файлы, скачанные из портал Azure, подписываются корневым каталогом доверия, чтобы компьютеры использовали только подписанные ресурсы.

Чтобы обновить один датчик, выполните следующие действия:

1. Войдите в датчик OT и выберите Параметры системы Аналитика>угроз.

2. В области Аналитика угроз выберите Отправить файл. Например, вы можете:

   

3. Перейдите к и выберите пакет, скачанный с портал Azure, и отправьте его на датчик.

Просмотр состояний обновлений аналитики угроз

На каждом датчике OT состояние обновления аналитики угроз и сведения о версии отображаются в параметрах системы аналитики > угроз датчика.

Для подключенных к облаку датчиков OT данные аналитики угроз также отображаются на странице Сайты и датчики . Чтобы просмотреть статуи аналитики угроз из портал Azure:

1. В Defender для Интернета вещей на портал Azure выберите Сайт и датчики.

2. Найдите датчики OT, где вы хотите проверка статуи аналитики угроз.

3. Обратите внимание на значения следующих столбцов для датчиков OT:

   Столбец	Описание
   Версия аналитики угроз	Именование версий основано на дне сборки пакета Defender для Интернета вещей.
   Режим аналитики угроз	Автоматический указывает, что новые доступные пакеты будут автоматически установлены на датчики по мере их выпуска Defender для Интернета вещей. Вручную указывает, что при необходимости можно отправлять новые доступные пакеты непосредственно к датчикам.
   Состояние обновления аналитики угроз	Отображает одно из следующих состояний: - Сбой при - Выполняется - Доступно обновление - Хорошо

Дальнейшие действия

Дополнительные сведения см. в указанных ниже статьях.

• Подключение датчиков OT к Defender для Интернета вещей