Настройка исключений в Defender для обнаружения удостоверений в Microsoft Defender XDR

В этой статье объясняется, как настроить исключения для обнаружения в Microsoft Defender для удостоверений в Microsoft Defender XDR.

Microsoft Defender для удостоверений позволяет исключать определенные IP-адреса, компьютеры, домены или учетные записи пользователей из ряда правил обнаружения.

Например, оповещение о разведке DNS может быть вызвано сканером безопасности, который использует DNS как механизм сканирования. Добавление исключения позволяет Microsoft Defender для удостоверений игнорировать такие сканеры и сократить число ложных срабатываний.

Примечание.

  • Рекомендуется настроить оповещение в Microsoft Defender XDR вместо использования исключений. Правила настройки оповещений обеспечивают более детализированные условия, чем исключения, и позволяют просматривать настроенные оповещения.

  • Среди наиболее распространенных доменов с подозрительным обменом данными через оповещения DNS мы наблюдали домены, которые чаще всего были исключены из оповещения. Эти домены добавляются в список исключений по умолчанию, но их можно удалить.

Как добавить исключения для обнаружения

Чтобы добавить исключения обнаружения, выполните следующие действия.

Примечание.

При замене существующего исключения правилом настройки оповещений определите обнаружение, связанное с исключенной сущностью, и сопоставьте его с соответствующим детектором при настройке оповещений. После создания правила настройки убедитесь, что средство обнаружения отображается в разделе «Настройка оповещений» на портале Microsoft Defender, чтобы убедиться, что сохраняется требуемая область действия оповещений.

  1. Войдите на портал Microsoft Defender

  2. Перейдите в Система>Настройки, а затем в Учетные записи.

    Снимок экрана, показывающий страницу параметров удостоверений на портале Microsoft Defender.

  3. Выберите Исключенные сущности. Исключения можно задать с помощью двух методов: исключения по правилу обнаружения и глобальные исключенные сущности.

    Снимок экрана: список исключенных сущностей.

Исключения по правилу обнаружения

Чтобы настроить исключения для определенного правила обнаружения, выполните следующие действия.

  1. Выберите Исключения по правилу обнаружения.

    Снимок экрана параметра исключений по правилу обнаружения.

  2. Для каждого обнаружения, которое требуется настроить, выполните следующие действия.

    1. Выберите правило обнаружения в списке.

    2. Просмотрите сведения о правиле обнаружения.

      Снимок экрана со сведениями о правиле обнаружения.

    3. Чтобы добавить исключение, нажмите кнопку Исключенные сущности .

    4. Выберите тип исключения. Для каждого правила доступны разные исключенные сущности. К ним относятся пользователи, устройства, домены и IP-адреса. В этом примере выбраны варианты Исключить устройства и Исключить IP-адреса.

      Снимок экрана: параметры исключения устройств или IP-адресов.

    5. Выбрав тип исключения, нажмите кнопку + , чтобы добавить исключение.

      Снимок экрана: кнопка добавления исключения.

    6. Выберите + Добавить , чтобы добавить исключенную сущность в список.

      Снимок экрана, показывающий, как добавить сущность, которую нужно исключить.

    7. Выберите Исключить IP-адреса (в этом примере), чтобы завершить исключение.

      Снимок экрана: исключение IP-адресов.

    8. После добавления исключений можно экспортировать список или удалить исключения, вернувшись к кнопке Исключенные сущности . В этом примере мы вернулись к Исключить устройства. Чтобы экспортировать список, нажмите кнопку со стрелкой вниз.

      Снимок экрана, показывающий, как вернуться к исключению устройств.

    9. Чтобы удалить исключение, выберите исключение и щелкните значок корзины.

      Снимок экрана, показывающий, как удалить исключение.

Глобально исключённые объекты

Теперь можно также настроить исключения для глобальных исключенных сущностей. Глобальные исключения позволяют задать определённые объекты (IP-адреса, подсети, устройства или домены), которые будут исключены из всех правил обнаружения в Microsoft Defender для удостоверений. Например, если вы исключите устройство, исключение будет применяться только к таким обнаружениям, которые имеют идентификацию устройства в рамках обнаружения.

  1. Выберите Глобальные исключенные сущности , чтобы просмотреть категории сущностей, которые можно исключить.

    Снимок экрана: глобальные исключенные сущности.

  2. Выберите тип исключения. В этом примере мы выбрали исключить домены.

    Снимок экрана: параметр исключения доменов.

  3. Откроется панель, в которой можно добавить домен для исключения. Добавьте домен, который нужно исключить.

    Снимок экрана: добавление домена для исключения.

  4. Домен добавляется в список. Выберите Исключить домены , чтобы завершить исключение.

    Снимок экрана: исключение доменов.

  5. Затем вы увидите домен в списке сущностей, которые будут исключены из всех правил обнаружения. Вы можете экспортировать список или удалить сущности, выбрав их и нажав кнопку Удалить .

    Снимок экрана: список глобальных исключенных записей.

Дальнейшие действия

  • Last updated on