Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
Эта статья является одной из серий статей, описывающих путь развертывания для мониторинга OT с Microsoft Defender для Интернета вещей, и описывает, как создать базовый уровень изученного трафика на датчике OT.
Обзор многоэтапного процесса мониторинга
Сетевой датчик OT автоматически начинает мониторинг сети после подключения к сети и входа. Сетевые устройства начинают отображаться в списке устройств, и оповещения активируются для любых инцидентов безопасности или эксплуатации, возникающих в сети.
Defender для Интернета вещей использует трехэтапный процесс мониторинга, который изучает нормальное поведение трафика в сети. Эти три этапа обеспечивают точное обнаружение и сокращают количество ненужных оповещений:
Сводка этапов мониторинга
| Режим | Назначение | Активация оповещений | Необходимые действия пользователя |
|---|---|---|---|
| Обучения | Создает базовый план обычного сетевого трафика. | Оповещения о вредоносных программах, оповещения об аномалиях, рабочие оповещения, оповещения о нарушении протокола | Отключение вручную через 2–6 недель или если базовый план отражает точную сетевую активность |
| Динамический | Уточнение базовых показателей при постепенном внедрении оповещений о нарушениях политики для обеспечения точности и снижения шума оповещений | Вводятся оповещения о нарушении политики | Необязательно: настройте параметры для определённых сценариев (например, во время POC) |
| Операционные | Отслеживает весь сетевой трафик со стабильной базовой базой, активируя все оповещения для отражения отклонений или подозрительных действий | Все типы оповещений | Нет. Автоматически переходит при стабилизации базовых показателей |
Режим обучения
Изначально датчик работает в режиме обучения , чтобы отслеживать весь сетевой трафик и создавать базовые показатели всех обычных шаблонов трафика. Этот базовый план включает все устройства и протоколы в сети, а также обычную передачу файлов между устройствами. Этот процесс обычно занимает от 2 до 6 недель в зависимости от размера и сложности сети. Кроме того, все обнаруженные позже устройства переходят в режим обучения в течение 7 дней, чтобы установить базовый сетевой трафик.
В режиме обучения датчик отслеживает и защищает среду, активируя соответствующие оповещения системы безопасности, такие как вредоносные программы, аномалии и операционные оповещения. Однако оповещения о нарушении политики, указывающие на отклонения от базового плана, не активируются, когда система находится в режиме обучения.
Динамический режим
После того как процесс обнаружения и сетевой трафик будут стабильными, необходимо вручную отключить режим обучения. На этом этапе датчик переходит в динамический режим. В динамическом режиме датчик продолжает отслеживать сеть, проверяя и уточняя базовые показатели. Датчик оценивает каждую категорию оповещений и сценарий по отдельности, динамически изменяя их в рабочий режим, когда их базовые показатели подтверждены как точные. Кроме того, если датчик обнаруживает значительные изменения в трафике, он может автоматически расширить режим обучения для конкретных оповещений или сценариев.
В динамическом режиме оповещения о нарушении политики постепенно появляются в списке оповещений.
Рабочий режим
После того как датчик определяет, что базовый профиль стабилен и полностью сформирован, он автоматически переходит в рабочий режим, отслеживая весь сетевой трафик и активируя все типы оповещений.
Действие Learn становится актуальным после отключения режима обучения, когда сценарий переходит в рабочий режим и вы хотите пометить определенные операции как разрешенные или ожидаемые действия. После обучения подобные действия не будут создавать новые оповещения в будущем.
Отключите режим обучения вручную, если уровень оповещений точно отражает вашу сетевую активность.
Дополнительные сведения см. в статье Оповещения Microsoft Defender для Интернета вещей.
Предварительные условия
Процедуры, описанные в этой статье, можно выполнить с помощью портал Azure или датчика OT.
Перед началом работы убедитесь, что у вас есть:
Установленный ,настроенный и активированный датчик OT с оповещениями, активируемыми обнаруженным трафиком.
Доступ к вашему OT-датчику для пользователя с ролью аналитика безопасности или администратора. Дополнительные сведения см. в статье Пользователи и роли локальной среды для мониторинга OT с помощью Defender for IoT.
Сортировка оповещений
Проверяйте оповещения в конце этапа развертывания, чтобы сформировать исходное представление о сетевой активности.
Войдите в датчик OT и выберите страницу Оповещения .
Используйте параметры сортировки и группировки, чтобы сначала просмотреть наиболее важные оповещения. Просмотрите каждое оповещение, чтобы обновить состояния и узнать оповещения об авторизованном трафике OT.
Дополнительные сведения см. в разделе Просмотр оповещений и управление ими на датчике OT.
Дальнейшие действия
После выключения режима обучения и перехода из режима обучения в режим работы продолжайте выполнять любое из следующих действий:
- Визуализируйте данные Microsoft Defender для IoT с помощью книг в Azure Monitor
- Просмотр оповещений из портал Azure и управление ими
- Управление инвентаризацией устройств из портал Azure
Интегрируйте данные Defender для Интернета вещей с Microsoft Sentinel, чтобы унифицировать мониторинг безопасности вашей команды SOC. Дополнительные сведения см. в разделе: