Просмотрите меры по устранению после автоматизированного расследования

В этой статье объясняется, как проверить, утвердить или отклонить действия по исправлению, которые приводятся в результате автоматизированных расследований в Microsoft Defender для конечной точки. В зависимости от параметров автоматизации организации некоторые действия по исправлению выполняются автоматически, а другие требуют утверждения.

Действия по исправлению

При выполнении автоматического расследования для каждого исследуемого доказательства выдается вердикт. Приговоры могут быть вредоносными, подозрительными или Не найдены угрозы.

Независимо от того, выполняются ли действия по исправлению автоматически или требуются утверждения командой по операциям безопасности вашей организации, зависит от типа угрозы, результирующего вердикта и настройки групп устройств вашей организации.

Вот несколько примеров:

• Пример 1. Группы устройств Fabrikam имеют значение Полный — устраняйте угрозы автоматически (рекомендуемый параметр). С помощью этого параметра действия по исправлению выполняются автоматически для артефактов, которые считаются вредоносными после автоматического исследования (см. статью "Проверка завершенных действий").

• Пример 2. Устройства Contoso включены в группу устройств, для которых задано значение Semi. Для любого исправления требуется утверждение. При этом параметре команда Contoso по операциям безопасности должна проверять и утверждать все действия по устранению последствий после автоматического расследования (см. раздел Проверка ожидающих действий).

• Пример 3. Для tailspin Toys для групп устройств задано значение Нет автоматического ответа (не рекомендуется). С помощью этого параметра автоматизированные исследования не происходят. Не выполняются и не ожидают выполнения никакие действия по исправлению, и в Центре действий не регистрируются никакие действия для этих устройств (см. Управление группами устройств).

Независимо от того, выполняются ли они автоматически или после утверждения, автоматизированные расследование и устранение могут привести к выполнению одного или нескольких действий по устранению:

• Поместить файл в карантин
• Удалите раздел реестра
• Завершение процесса
• Остановить службу
• Отключение драйвера
• Удаление запланированной задачи

Проверка ожидающих действий

Чтобы просмотреть ожидающие выполнения действия по исправлению в Центре действий, выполните следующие действия:

1. Перейдите на портал Microsoft Defender и выполните вход.

2. В панели навигации щелкните Центр уведомлений.

3. Просмотрите элементы на вкладке Ожидание .

4. Выберите действие, чтобы открыть его выдвижную панель.

5. На всплывающей панели просмотрите сведения, а затем выполните одно из следующих действий:

   • Выберите Открыть страницу исследования, чтобы просмотреть дополнительные сведения об исследовании.
   • Выберите Утвердить чтобы инициировать ожидающие действия.
   • Выберите Отклонить, чтобы предотвратить выполнение ожидающего действия.
   • Выберите Перейти к охоте , чтобы перейти к разделу Расширенная охота.

Утверждение или отклонение действий по исправлению

Для инцидентов со статусом исправления Ожидает утверждения вы также можете утвердить или отклонить действие по исправлению непосредственно в инциденте.

1. В области навигации перейдите в Инциденты и оповещения>Инциденты.
2. Фильтрация по ожидаемому действию для состояния автоматического расследования (необязательно).
3. Выберите имя инцидента, чтобы открыть страницу его сводки.
4. Перейдите на вкладку Доказательства и Ответ .
5. Выберите элемент в списке, чтобы открыть его всплывающее меню.
6. Просмотрите сведения и выполните одно из следующих действий.
   • Выберите параметр Утвердить ожидающее действие, чтобы инициировать ожидающее действие.
   • Выберите параметр Отклонить ожидающее действие, чтобы предотвратить принятие ожидающего действия.

Проверка завершенных действий

Чтобы просмотреть завершенные действия по исправлению, выполните следующие действия.

1. Перейдите на портал Microsoft Defender и выполните вход.

2. В панели навигации щелкните Центр уведомлений.

3. Просмотрите элементы на вкладке История.

4. Выберите элемент, чтобы просмотреть дополнительные сведения об этом действии по исправлению.

Отмена завершенных действий

Если вы определили, что устройство или файл не является угрозой, вы можете отменить выполненные действия по исправлению, независимо от того, были ли эти действия выполнены автоматически или вручную. В центре уведомлений на вкладке Журнал можно отменить любое из следующих действий:

Отмена нескольких действий одновременно

Выполните следующие действия, чтобы отменить несколько действий по исправлению одновременно:

1. Перейдите в центр уведомлений и войдите в систему.

2. На вкладке История выберите действия, которые вы хотите отменить. Обязательно выберите элементы с одинаковым типом действия. Открывается выдвижная панель.

3. Во всплывающей области выберите Отменить.

Удаление файла из карантина на нескольких устройствах

Выполните следующие действия, чтобы удалить файл в карантине с нескольких устройств одновременно:

1. Перейдите в центр уведомлений и войдите в систему.

2. На вкладке Журнал выберите элемент с типом действия Поместить файл в карантин.

3. Во всплывающей области выберите Применить к X дополнительным экземплярам этого файла, а затем выберите Отменить.

Уровни автоматизации, результаты автоматизированного исследования и результирующие действия

Уровни автоматизации определяют, выполняются ли действия по исправлению автоматически или требуются утверждения. Возможно, вашей группе по операциям безопасности потребуется выполнить дополнительные шаги на основе результатов исследования. В следующей таблице перечислены все уровни автоматизации, результаты и действия.

Все вердикты отслеживаются в Центре уведомлений и действий.

Дальнейшие действия

• Сведения о возможностях динамического реагирования
• Заблаговременно выявляйте угрозы с помощью расширенного поиска угроз
• Устранение ложноположительных и ложноотрицательных срабатываний в Microsoft Defender для конечной точки

См. также

• Обзор автоматического исследования