Создание пользовательских правил сбора данных и управление ими в Microsoft Defender для конечной точки

  • Применяется к: Microsoft Defender for Endpoint

Важно!

Некоторые сведения относятся к предварительно выпущенному продукту, который может быть существенно изменен перед выпуском. Корпорация Майкрософт не дает явных или подразумеваемых гарантий относительно предоставленных здесь сведений.

В этой статье показано, как создавать настраиваемые правила сбора данных и управлять ими на портале Microsoft Defender.

Совет

Прежде чем создавать настраиваемые правила сбора, ознакомьтесь с разделом Сбор пользовательских данных , чтобы понять, когда и почему следует использовать эту функцию.

Предварительные условия

Убедитесь, что у вас есть:

Требование Сведения
License Microsoft Defender для конечной точки (план 2)
Рабочая область Microsoft Sentinel Подключенная рабочая область Microsoft Sentinel (требуется для пользовательского хранилища данных и запросов); в настоящее время ограничено одной рабочей областью Sentinel на клиент для настраиваемого сбора данных.
Динамические теги Настраивается в Управлении правилами активов и запускается как минимум один раз; теги, созданные вручную (статические), не поддерживаются
Поддерживаемые операционные системы • Windows 10 и 11 (минимальная версия клиента 10.8805; Windows 10 требуется регистрация ESU)
• Windows Server 2019 г. и более поздних версий
Факторы затрат Настраиваемый сбор данных входит в Defender for Endpoint Plan 2; за прием данных в Microsoft Sentinel взимается плата в соответствии с тарификацией Sentinel

Важно!

Даже если у вас есть подключенная рабочая область Microsoft Sentinel, ее необходимо выбрать при создании пользовательских правил сбора данных.

Производительность и ограничения

Следующие ограничения и операционные характеристики применяются к пользовательским правилам сбора данных:

  • Каждое правило может регистрировать до 75 000 событий для каждого устройства в течение любого 24-часового скользящего окна.
  • Когда устройство достигает порогового значения, телеметрия для этого правила останавливается до тех пор, пока окно не будет сброшено
  • Развертывание правила обычно занимает от 20 минут до 1 часа
  • Настраиваемая коллекция работает вместе с конфигурацией по умолчанию без помех

Рекомендации по безопасности

Прежде чем создавать правила, рассмотрите следующие последствия для безопасности:

Соображение Сведения Рекомендация
Влияние области действия правила Слишком широкие правила создают большие объемы данных, увеличивают затраты и затрудняют анализ Балансировка специфичности с охватом путем итерации и уточнения правил на основе первоначальных результатов
Слишком узкие правила Может пропустить важные события безопасности Тестирование с помощью пилотных групп и мониторинг пробелов в охвате
Рекомендации по производительности Каждое устройство имеет ограничение в 75 000 событий на правило в день Используйте несколько правил, а не одно слишком широкое правило; тщательно нацеливать правила на устройства, где мониторинг имеет важное значение
Стратегия тестирования Развертывание правил без тестирования может привести к непредвиденным затратам или пропущенным событиям 1. Начните с небольшой пилотной группы (5–10 устройств)
2. Мониторинг объема данных и качества событий в течение 24–48 часов
3. Уточнение условий на основе результатов
4. Постепенное расширение до больших групп устройств
5. Регулярно проверяйте метрики затрат и производительности

Создание правил

  1. На портале Microsoft Defender перейдите в Параметры>Конечные точки>Правила>Настраиваемый сбор данных.

  2. Чтобы подключить рабочую область Microsoft Sentinel, в правом верхнем углу выберите имя рабочей области Microsoft Sentinel.

    Снимок экрана: выбор рабочей области Microsoft Sentinel.

  3. На странице Область рабочей области выберите свою рабочую область.

    Снимок экрана с выбором области рабочей области Microsoft Sentinel.

    Примечание.

    На этом этапе необходимо выбрать рабочую область, даже если у вас уже есть подключенная рабочая область Microsoft Sentinel.

  4. Выберите Создать правило. В разделе Общие сведения введите имя и описание правила, а затем нажмите кнопку Далее.

    Снимок экрана создания правила: страница «Общие сведения».

  5. В разделе Создание правила выполните следующие действия.

    1. Выберите таблицу, из которой требуется собрать данные. Дополнительные сведения см. в разделе Поддерживаемые таблицы событий.
    2. Выберите действие, для которого требуется собрать данные.
    3. Добавьте условия правила, чтобы еще больше отфильтровать данные. Для уточнения сбора данных можно добавить несколько условий. Условия правила основаны на выбранной таблице. Дополнительные сведения см. по соответствующей ссылке на таблицу в разделе Поддерживаемые таблицы событий.

    Снимок экрана: страница создания правила.

  6. Нажмите кнопку Далее.

  7. В разделе Определение области действия правила выберите, нужно ли собирать данные со всех применимых клиентских устройств или с определенных устройств с динамическими тегами. Дополнительные сведения см. в разделе Создание динамических правил для устройств в управлении правилами ресурсов.

    Снимок экрана создания правила: страница «Определение области применения».

    Примечание.

    Пользовательский сбор данных поддерживает только динамические теги.

  8. В разделе Проверка и завершение проверьте параметры правил и нажмите кнопку Отправить.

    Снимок экрана: создание правила: страница проверки и завершения.

Развертывание правила на целевых устройствах может занять до часа.

Мониторинг и устранение неполадок

После развертывания пользовательских правил сбора данных отслеживайте их производительность и устраняйте неполадки.

Проверьте развертывание правил

Чтобы проверить, собирает ли правило данные с определенного устройства, выполните запрос к пользовательским таблицам событий в расширенном поиске:

search in (DeviceCustomFileEvents, DeviceCustomScriptEvents, DeviceCustomNetworkEvents, DeviceCustomProcessEvents, DeviceCustomImageLoadEvents) "your_device_id"
| where DeviceId == "your_device_id"
| summarize EventCount = count() by RuleName, RuleLastModificationTime, $table
| order by RuleLastModificationTime desc

Распространенные проблемы и решения

В следующей таблице перечислены распространенные проблемы с пользовательскими правилами сбора данных и способы их устранения.

Проблема Возможная причина Решение
События не собраны Правило еще не развернуто Подождите до 1 часа для завершения развертывания; проверьте состояние правила на портале
События не собраны Устройство выбрано неверно Проверьте, что динамический тег применён к устройству и что правило тега было выполнено в разделе «Управление правилами активов»
Сбор данных о событиях остановлен Достигнуто ограничение в 75 000 событий Просмотрите условия правила, чтобы сделать их более конкретными; дождитесь 24-часового окна для сброса
Непредвиденные устройства, собирающие данные Динамический тег применяется широко Проверка правил тегов в управлении правилами активов; уточнение критериев таргетинга
Правило не отображается на устройстве Устройство не соответствует требованиям к ОС Проверьте соответствие версии клиента и версии ОС минимальным требованиям (Windows 10/11 версии 10.8805+, Windows Server 2019+)
Пользовательская коллекция не инициализируется Исключения EDR могут препятствовать сбору данных Проверьте наличие исключений EDR в целевых путях или процессах; Если пользовательская коллекция не инициализируется, может потребоваться перезагрузка устройства
Теги не обновляются Динамические теги не запускались в последнее время Динамические теги обновляются примерно каждый час — проверьте Время последнего запуска в разделе управления правилами активов

Отслеживайте производительность правил

  • Проверьте объём событий: выполните запрос к пользовательским таблицам событий, чтобы узнать, сколько событий собирает каждое правило
  • Просмотр состояния сбора: отслеживание приближения устройств к ограничению в 75 000 событий на правило в день
  • Проверьте таргетинг: Убедитесь, что правила применяются к нужным устройствам на основе ваших динамических тегов.

Сбор всех событий для тестирования

Чтобы собрать все события из определенной таблицы (для тестирования или комплексного мониторинга):

  1. Создание правила с нужной таблицей
  2. Выбор всех доступных действий
  3. Добавьте условие, которое всегда является истинным, например:
    • Для сетевых событий: RemotePort not equals 0
    • Для событий файлов: FileName not equals ""
    • Для событий процесса: ProcessCommandLine not equals ""
  4. Сначала нацеливайся на небольшую пилотную группу из-за большого объема данных

Предупреждение

Сбор всех событий создает очень большие объемы данных и может быстро достичь ограничения в 75 000 событий на устройство. Используйте комплексную коллекцию только для тестирования или для конкретных целей расследования на небольшом количестве устройств.

Управление правилами

Изменение правила

  1. Перейдите в Настройки>Конечные точки>Правила>Пользовательский сбор данных
  2. Выберите правило, которое нужно изменить.
  3. Выберите Изменить.
  4. При необходимости измените параметры правил (имя, описание, таблица, действия, условия или назначение устройства)
  5. Выберите Отправить.

Изменения вступают в силу на целевых устройствах в течение 20 минут до 1 часа.

Включение или отключение правила

  1. В пользовательском сборе данных выберите правило.
  2. Установите или снимите флажок Включить под описанием правила.

Когда вы отключаете правило, сбор данных прекращается на всех целевых устройствах при следующем сеансе связи агента (обычно от нескольких минут до 1 часа).

Удаление правила

Важно!

Удаление правила является постоянным и не может быть отменено. Исторические данные в Microsoft Sentinel остаются доступными, но сбор новых данных немедленно прекращается.

Чтобы окончательно удалить пользовательское правило сбора данных, выполните следующие действия.

  1. В пользовательском сборе данных выберите правило.
  2. Выберите Удалить.
  3. Подтверждение удаления

Дальнейшие действия

  • Last updated on