Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
Страница оповещений в Microsoft Defender для конечной точки предоставляет полный контекст оповещения, объединяя сигналы атаки и оповещения, связанные с выбранным оповещением, для создания подробной истории оповещений.
Быстро сортируйте, анализируйте и предпринимайте эффективные меры в отношении оповещений, влияющих на вашу организацию. Узнайте, почему были вызваны оповещения и какое влияние они оказывают, в одном месте. Дополнительные сведения о оповещениях см. в разделе "Исследование оповещений" в Microsoft Defender для конечной точки.
Начало работы с оповещением
При выборе названия оповещения в Defender для конечных точек вы перейдёте на страницу этого оповещения. На странице оповещения вся информация будет отображаться в контексте выбранного оповещения. Каждая страница оповещения состоит из 4 разделов:
- В заголовке оповещения отображается имя оповещения, чтобы напомнить, какое оповещение начало текущее исследование, независимо от того, что вы выбрали на странице.
- Затронутые ресурсы содержат карточки устройств и пользователей, затронутых этим оповещением, которые можно щелкнуть для получения дополнительных сведений и действий.
- В истории оповещений отображаются все сущности, связанные с оповещением, связанные между собой представлением дерева. Оповещение, указанное в названии, будет в фокусе, когда вы впервые перейдёте на страницу выбранного оповещения. Сущности в истории оповещений можно развертывать и щелкать, чтобы предоставить дополнительные сведения и ускорить реагирование, позволяя выполнять действия прямо в контексте страницы оповещения. Используйте историю оповещений, чтобы начать исследование. Узнайте, как это сделать в материале "Расследование оповещений в Microsoft Defender для конечной точки".
- В области сведений сначала будут отображаться сведения о выбранном оповещении с подробными сведениями и действиями, связанными с этим оповещением. Если выбрать какие-либо затронутые ресурсы или сущности в истории оповещений, область сведений изменится, чтобы предоставить контекстные сведения и действия для выбранного объекта.
Обратите внимание на статус обнаружения вашего оповещения.
Предотвращено: попытка выполнить подозрительное действие была предотвращена. Например, файл не был записан на диск или не был выполнен.
Заблокировано: Обнаружено подозрительное поведение, которое затем было заблокировано. Например, процесс был выполнен, но из-за того, что он впоследствии проявлял подозрительное поведение, процесс был завершен.
Обнаружено: атака была обнаружена и, возможно, по-прежнему активна.
Затем вы также можете просмотреть сведения об автоматическом исследовании в области сведений об оповещении, чтобы узнать, какие действия уже были выполнены, а также прочитать описание рекомендуемых действий в оповещении.
Другие сведения, доступные на панели сведений при открытии оповещения, включают методы MITRE, источник и дополнительные сведения о контексте.
Примечание.
Если отображается статус оповещения Неподдерживаемый тип оповещения, это означает, что средства автоматического исследования не могут обработать это оповещение для запуска автоматического исследования. Однако эти оповещения можно исследовать вручную.
Проверка затронутых ресурсов
При выборе устройства или карточки пользователя в разделе "Затронутые ресурсы" в области сведений откроются сведения об этом устройстве или пользователе.
Для устройств в области сведений будут отображаться сведения о самом устройстве, такие как домен, операционная система и IP-адрес. Также доступны активные оповещения и пользователи, выполнившие вход на этом устройстве. Вы можете выполнить немедленные действия, изолировав устройство, ограничив выполнение приложений или выполнив антивирусную проверку. Кроме того, можно собрать пакет исследования, инициировать автоматическое исследование или перейти на страницу устройства, чтобы изучить с точки зрения устройства.
Для пользователей в области сведений будут отображаться подробные сведения о пользователе, такие как имя SAM пользователя и идентификатор безопасности, а также типы входа, выполняемые этим пользователем, и любые оповещения и инциденты, связанные с этим пользователем. Вы можете выбрать Открыть страницу пользователя , чтобы продолжить исследование с точки зрения этого пользователя.
