Проверка действий по исправлению и управление ими в системе автоматического расследования и реагирования (AIR) в Microsoft Defender для Office 365, план 2

Совет

Знаете ли вы, что можете бесплатно опробовать возможности Microsoft Defender для Office 365 Plan 2? Используйте 90-дневную пробную версию Defender для Office 365 в центре пробных версий портала Microsoft Defender. Узнайте о том, кто может зарегистрироваться и использовать условия пробной версии на Microsoft Defender для Office 365.

В организациях Microsoft 365, использующих Microsoft Defender для Office 365 (план 2) (входит в состав лицензий Microsoft 365, таких как E5, или доступен как отдельная подписка), автоматизированное расследование и реагирование (AIR) часто приводит к появлению ожидающих действий по исправлению. Например, вы можете:

  • Мягкое удаление сообщений электронной почты или кластеров.
  • Отключение переадресации внешней почты.

Эти действия по исправлению не выполняются автоматически. Действия по исправлению должны быть утверждены членом команды по операциям безопасности (SecOps). В оставшейся части этой статьи объясняется, как утвердить или отклонить ожидающие действия по исправлению.

Совет

Мы рекомендуем как можно скорее проверить и утвердить или отклонить ожидающие действия по исправлению, чтобы автоматизированные исследования завершили своевременно.

Система проверяет наличие повторяющихся или перекрывающихся исследований, когда одни и те же кластеры были утверждены несколько раз. Если тот же кластер исследования уже был утвержден в течение предыдущего часа, новые повторяющиеся исправления больше не обрабатываются. Это поведение дедупликации не удаляет повторяющиеся исследования или доказательства расследования, это просто дедупликирует утвержденные действия для повышения скорости обработки исправлений. Для дублирующихся утвержденных расследований кластеров сведения о действии не отображаются во всплывающей панели на вкладке Журнал на странице Центр операций в портале Microsoft Defender по адресу https://security.microsoft.com/action-center/history.

Что нужно знать перед началом работы

Утвердите или отклоните ожидающие действия на странице "Расследования" в Defender для Office 365

Дополнительные сведения о странице Инциденты в Microsoft Defender для Office 365 см. в статье Сведения и результаты автоматизированного исследования и реагирования (AIR) в Microsoft Defender для Office 365, план 2.

  1. На портале Microsoft Defender по адресу https://security.microsoft.com перейдите на страницу Расследования в Defender для Office 365: Электронная почта и совместная работа>Расследования. Или, чтобы перейти непосредственно на страницу Исследования в Defender для Office 365, используйте https://security.microsoft.com/airinvestigation.
  2. На странице Исследования в Defender для Office 365 найдите и элемент в списке, где значение Состояние — Ожидание утверждения. Используйте Фильтр, чтобы отфильтровать результаты по значению СостояниеОжидает действия.
  3. На странице Исследования выберите элемент Ожидающее действие, щелкнув Открыть в новом окне в столбце ID (не устанавливайте флажок).
  4. На открывающейся странице сведений о расследовании выберите вкладку Ожидающие действия, а затем выберите запись из списка, щелкнув в любом месте строки, кроме поля проверка рядом с первым столбцом.
  5. В открывающемся всплывающем окне сведений просмотрите сведения и выберите одно из следующих действий в верхней части всплывающего окна:
    • Утвердить: инициирует ожидающее действие.
    • Отклонить: запретить выполнение ожидающего действия.

Одобрить или отклонить ожидающие действия на странице «Инциденты» в Defender XDR

Дополнительные сведения о странице Инциденты в Defender XDR см. в разделе Исследование инцидентов в Microsoft Defender XDR.

  1. На портале Microsoft Defender по адресу https://security.microsoft.com, перейдите на страницу Инциденты в Defender XDR: Инциденты и оповещения>Инциденты. Или, чтобы перейти непосредственно на страницу Инциденты в Defender XDR, используйте https://security.microsoft.com/incidents.

  2. На странице Исследования в Defender XDR найдите и элемент в списке, где значение Состояние — Ожидание утверждения. Чтобы отфильтровать результаты, выполните следующие действия.

    1. Очистите все существующие нежелательные фильтры на странице Инциденты , нажав кнопку Очистить.
    2. Выберите Добавить фильтр.
    3. В открывшемся диалоговом окне Добавление фильтра выберите Состояние автоматического исследования, а затем нажмите кнопку Добавить.
    4. Выберите фильтр Состояние автоматического исследования: Любой на странице Инциденты .
    5. В открывающемся раскрывающемся списке выберите Ожидающее действие, а затем нажмите кнопку Применить.

    Совет

    Фильтрация по состоянию автоматизированного расследования: Ожидает действия может показывать родительские инциденты со значением Ожидает утверждения для состояния расследования. Если фильтрация показывает родительские инциденты со значением Ожидает утверждения для состояния расследования, выберите родительский инцидент Ожидает утверждения.

  3. На странице Инциденты выберите инцидент Ожидает утверждения, щелкнув значение Название инцидента (не устанавливайте флажок).

  4. На открывающейся странице сведений об инциденте выберите вкладку Доказательства и ответ и найдите записи со значением Состояние исправленияв ожидании утверждения. Например, вы можете:

    • Щелкните заголовок столбца Состояние исправления и выберите Сортировка по возрастанию.
    • Выберите Фильтр>Ожидает утверждения в разделе Состояние исправления>Применить.

  5. На вкладке Доказательства и реагирование выберите запись Ожидает утверждения, щелкнув в любом месте строки, кроме флажка рядом с первым столбцом.

  6. В открывающемся всплывающем окне сведений просмотрите сведения и выберите одно из следующих действий в верхней части всплывающего окна:

    • Утвердить: инициирует ожидающее действие.
    • Отклонить: запретить выполнение ожидающего действия.

Утвердите или отклоните ожидающие действия из единого центра действий

Дополнительные сведения о едином центре уведомлений в Defender XDR см. в разделе Центр уведомлений.

  1. На портале Microsoft Defender по адресу https://security.microsoft.com перейдите на вкладку Ожидающие на странице Центр действий: Действия и отправки>Центр действий>Ожидающие. Или, чтобы перейти непосредственно на вкладку Ожидающие на странице Центр действий, используйте https://security.microsoft.com/action-center/pending.
  2. На вкладке Ожидающие на странице Центр действий выберите запись из списка, щелкнув по значению Идентификатор расследования (не устанавливайте флажок).
  3. На открывающейся странице сведений о расследовании выберите вкладку Ожидающие действия, а затем выберите запись из списка, щелкнув в любом месте строки, кроме поля проверка рядом с первым столбцом.
  4. В открывающемся всплывающем окне сведений просмотрите сведения и выберите одно из следующих действий в верхней части всплывающего окна:
    • Утвердить: инициирует ожидающее действие.
    • Отклонить: запретить выполнение ожидающего действия.

Изменение или отмена действий по исправлению

Инструкции см. в разделе Отмена действий по исправлению.

Связанные материалы

  • Last updated on