Политики оповещений на портале Microsoft Defender

Вы можете использовать политики оповещений и панель мониторинга оповещений на портале Microsoft Defender для создания политик оповещений, а затем просмотра оповещений, создаваемых при выполнении пользователями действий, соответствующих условиям политики оповещений. Существует несколько политик оповещений по умолчанию, которые помогают отслеживать действия, например назначение прав администратора в Exchange Online, вредоносные атаки, фишинговые кампании и необычные уровни удаления файлов или внешнего общего доступа.

Политики оповещений позволяют классифицировать соответствующие оповещения, применять политику ко всем пользователям в организации, устанавливать пороговый уровень для активации оповещения и определять, нужно ли отправлять уведомления по электронной почте. Существует также страница "Оповещения ", где можно просматривать и фильтровать оповещения, задавать состояние оповещения, чтобы помочь вам управлять оповещениями, а затем закрывать оповещения после устранения или устранения базового инцидента.

Как работают политики оповещений?

Ниже приведен краткий обзор работы политик оповещений и оповещений, которые активируются, когда действия пользователя или администратора соответствуют условиям политики оповещений.

1. Администратор в организации создает, настраивает и включает политику оповещений с помощью страницы Политики оповещений на портале соответствия требованиям или на портале Microsoft Defender. Вы также можете создать политики оповещений с помощью командлета New-ProtectionAlert в PowerShell по соответствию безопасности &.

   Для создания политик генерации оповещений необходимо назначить роль "Управление оповещениями" или "Конфигурация организации" на портале соответствия требованиям или на портале Defender.

   Примечание.

   После создания или обновления политики оповещений требуется до 24 часов, прежде чем оповещения могут быть активированы политикой. Это связано с тем, что политика должна быть синхронизирована с подсистемой обнаружения оповещений.

2. Пользователь выполняет действие, соответствующее условиям политики оповещений. В случае атак вредоносных программ зараженные сообщения электронной почты, отправляемые пользователям в вашей организации, активируют оповещение.

3. Microsoft 365 создает оповещение, которое отображается на странице Оповещения на портале Microsoft Defender. Кроме того, если для политики оповещений включены Уведомления по электронной почте, корпорация Майкрософт отправляет уведомление списку получателей. Оповещения, которые могут видеть администратор или другие пользователи на странице Оповещения, определяются ролями, назначенными пользователю. Дополнительные сведения см. в разделе Разрешения RBAC, необходимые для просмотра оповещений.

4. Администратор управляет оповещениями на портале Microsoft Defender. Управление оповещениями состоит в назначении состояния оповещения для отслеживания любого расследования и управления ими.

Параметры политики оповещений

Политика оповещений содержит такие компоненты: набор правил и условий, определяющих действия пользователя или администратора, для которых будет создаваться оповещение; список пользователей, о чьих действиях будут создаваться оповещения; пороговое значение, определяющее, сколько раз должно выполняться действие, прежде чем для него будет создано оповещение. Вы также классифицируете политику и назначаете ей уровень важности. Эти два параметра помогают управлять политиками генерации оповещений (и оповещениями, которые активируются при совпадении условий политики), так как эти параметры можно фильтровать при управлении политиками и просмотре оповещений на портале Microsoft Defender. Например, можно просмотреть оповещения, соответствующие условиям из одной категории, или оповещения с одинаковым уровнем серьезности.

Чтобы просмотреть и создать политики оповещений, на портале Microsoft Defender в разделе Email & совместной работы выберите Политики & правила>Политика оповещений. Кроме того, можно перейти непосредственно по адресу https://security.microsoft.com/alertpolicies.

Политика оповещений состоит из следующих параметров и условий.

• Действие, которое отслеживает оповещение. Вы создаете политику для отслеживания действий или в некоторых случаях нескольких связанных действий, таких как общий доступ к файлу с внешним пользователем путем предоставления общего доступа, назначения разрешений доступа или создания анонимной ссылки. Если пользователь выполняет такое действие, при достижении порогового значения создается оповещение.

  Примечание.

  Действия, которые можно отслеживать, зависят от Office 365 корпоративный вашей организации или плана Office 365 правительства США. Как правило, действия, связанные с вредоносными кампаниями и фишинговыми атаками, требуют подписки E5/G5 или E1/F1/G1 или E3/F3/G3 с подпиской на надстройку Defender для Office 365 плана 2.

• Условия действия. Для большинства действий можно определить дополнительные условия, которые должны быть выполнены, чтобы активировать оповещение. К распространенным условиям относятся IP-адреса (чтобы оповещение срабатывалось, когда пользователь выполняет действие на компьютере с определенным IP-адресом или в диапазоне IP-адресов), активируется ли оповещение, если это действие выполняется определенным пользователем или пользователями, а также выполняется ли действие с определенным именем файла или URL-адресом. Можно также настроить условие, которое активирует оповещение при выполнении действия любым пользователем в вашей организации. Доступные условия зависят от выбранного действия.

Вы также можете определить теги пользователей как условие политики генерации оповещений. Это определение приводит к тому, что оповещения, активированные политикой, включают контекст затронутого пользователя. Вы можете использовать системные теги пользователей или пользовательские теги пользователей. Дополнительные сведения см. в разделе Теги пользователей в Microsoft Defender для Office 365.

• При активации оповещения. Можно настроить параметр, определяющий частоту выполнения действия перед активацией оповещения. Это позволяет настроить политику для создания оповещений каждый раз, когда действие соответствует условиям политики, при превышении определенного порогового значения или при возникновении действия, отслеживаемого оповещением, становится необычным для вашей организации.

  

  При выборе параметра на основе необычных действий корпорация Майкрософт устанавливает базовое значение, определяющее обычную частоту для выбранного действия. Установка этой базовой базы занимает до семи дней, в течение которых оповещения не создаются. После установки базового плана оповещение активируется, когда частота действия, отслеживаемого политикой оповещений, значительно превышает базовое значение. Для действий, связанных с аудитом (таких как действия с файлами и папками), можно установить базовый план на основе одного пользователя или на основе всех пользователей в вашей организации; для действий, связанных с вредоносными программами, можно установить базовые показатели на основе одного семейства вредоносных программ, одного получателя или всех сообщений в организации.

  Примечание.

  Для настройки политик оповещений на основе порогового значения или необычных действий требуется подписка E5/G5 или E1/F1/G1 или E3/F3/G3 с подпиской на Microsoft Defender для Office 365 P2, Соответствие требованиям Microsoft 365 E5 или Надстройка microsoft 365 eDiscovery and Audit. Организации с подпиской E1/F1/G1 и E3/F3/G3 могут создавать политики оповещений только в том случае, если оповещение активируется при каждом выполнении действия.

• Категория оповещений. Чтобы упростить отслеживание оповещений, созданных политикой, и управление ими, можно назначить политике одну из следующих категорий.

  • Защита от потери данных
  • Управление информацией
  • Поток обработки почты
  • Permissions
  • Управление угрозами
  • Другие

  При возникновении действия, соответствующего условиям политики генерации оповещений, созданное оповещение помечается категорией, определенной в этом параметре. Это позволяет отслеживать оповещения с одинаковым параметром категории и управлять ими на странице Оповещения на портале Microsoft Defender, так как вы можете сортировать и фильтровать оповещения по категории.

• Уровень серьезности оповещений. Как и в категории оповещений, политикам оповещений назначается атрибут серьезности (низкий, средний, высокий или информационный). Когда выполняется действие, соответствующее условиям политики, новому оповещению присваивается заданная категория и уровень важности. Опять же, это позволяет отслеживать оповещения с одинаковыми параметрами серьезности и управлять ими на странице Оповещения . Например, можно отфильтровать список оповещений, чтобы отображались только оповещения с высоким уровнем серьезности.

  Совет

  При настройке политики генерации оповещений рекомендуется назначить более высокий уровень серьезности действиям, которые могут привести к серьезным негативным последствиям, таким как обнаружение вредоносных программ после доставки пользователям, просмотр конфиденциальных или секретных данных, совместное использование данных с внешними пользователями или другие действия, которые могут привести к потере данных или угрозам безопасности. Это поможет определить приоритеты оповещений и действий, выполняемых для изучения и устранения основных причин.

• Автоматизированные исследования. Некоторые оповещения запускают автоматизированные исследования для выявления потенциальных угроз и рисков, требующих исправления или устранения. В большинстве случаев эти оповещения активируются при обнаружении вредоносных сообщений электронной почты или действий, но в некоторых случаях оповещения активируются действиями администратора на портале безопасности. Дополнительные сведения об автоматизированных исследованиях см. в статье Автоматическое исследование и реагирование (AIR) в Microsoft Defender для Office 365.

• уведомления Email. Политику можно настроить так, чтобы Уведомления по электронной почте отправлялись (или не отправлялись) в список пользователей при активации оповещения. Вы также можете задать ограничение на ежедневное уведомление, чтобы после достижения максимального количества уведомлений больше не отправлялось для оповещения в течение этого дня. Помимо Уведомления по электронной почте, вы или другие администраторы можете просматривать оповещения, активированные политикой, на странице Оповещения. Рассмотрите возможность включения Уведомления по электронной почте для политик оповещений определенной категории или с более высоким уровнем серьезности.

Политики оповещений по умолчанию

Корпорация Майкрософт предоставляет встроенные политики оповещений, которые помогают выявлять злоупотребление разрешениями администратора Exchange, активность вредоносных программ, потенциальные внешние и внутренние угрозы, а также риски управления информацией. На странице Политики оповещений имена этих встроенных политик выделены полужирным шрифтом, а тип политики определен как System. Эти политики включены по умолчанию. Вы можете отключить эти политики (или снова включить), настроить список получателей для отправки Уведомления по электронной почте и установить ежедневное ограничение на уведомления. Другие параметры для этих политик не могут быть изменены.

В следующих таблицах перечислены доступные политики оповещений по умолчанию и категории, которым назначена каждая политика. Категория используется для определения оповещений, которые пользователь может просматривать на странице Оповещения. Дополнительные сведения см. в разделе Разрешения RBAC, необходимые для просмотра оповещений.

В таблицах также указаны Office 365 корпоративный и Office 365 плана правительства США, необходимые для каждого из них. Некоторые политики оповещений по умолчанию доступны, если в вашей организации есть соответствующая подписка на надстройку в дополнение к подписке E1/F1/G1 или E3/F3/G3.

Политики оповещений системы управления информацией

Политики оповещений потока обработки почты

Политики оповещений о разрешениях

Политики оповещений управления угрозами

¹ Эта политика оповещений является частью функции замены для фишинга, доставленного из-за переопределения клиента или пользователя, и фишинга олицетворения пользователя, доставленного в папки "Входящие", которые были удалены на основе отзывов пользователей. Дополнительные сведения о защите от фишинга в Office 365 см. в разделе Политики защиты от фишинга.

Просмотр оповещений

Если действие, выполняемое пользователями в организации, соответствует параметрам политики генерации оповещений, на странице Оповещения на портале Microsoft Defender создается оповещение. В зависимости от параметров политики оповещений при активации оповещения в список указанных пользователей также отправляется уведомление по электронной почте. Для каждого оповещения на панели мониторинга на странице Оповещения отображается имя соответствующей политики оповещений, серьезность и категория оповещения (определенные в политике оповещений), а также количество случаев, когда произошло действие, в результате которого было создано оповещение. Это значение основано на пороговом значении политики генерации оповещений. На панели мониторинга также отображается состояние каждого оповещения. Дополнительные сведения об использовании свойства status для управления оповещениями см. в разделе Управление оповещениями.

Чтобы просмотреть оповещения, на портале Microsoft Defender выберите Инциденты & оповещения>Оповещения. Кроме того, можно перейти непосредственно по адресу https://security.microsoft.com/alerts.

Для просмотра подмножества всех оповещений на странице Оповещения можно использовать следующие фильтры:

• Серьезность: отображение оповещений, которым назначена определенная степень серьезности.
• Состояние: отображение оповещений, которым назначено определенное состояние. Состояние по умолчанию — Создать. Вы или другие администраторы можете изменить значение состояния.
• Категории: отображение оповещений из одной или нескольких категорий оповещений.
• Источники службы и обнаружения. Используйте этот фильтр для отображения оповещений, активированных политиками оповещений в определенной службе или источнике обнаружения. Например, можно отображать оповещения, активированные политиками оповещений, в Microsoft Defender для Office 365 или Microsoft Defender для удостоверений.
• Теги: отображение оповещений из одного или нескольких тегов пользователей.
• Политика или правило политики: отображение оповещений, соответствующих параметру одной или нескольких политик оповещений. Кроме того, можно отобразить все оповещения для всех политик оповещений.
• Тип оповещения: отображение оповещений, созданных на основе определенного типа оповещений.
• Название продукта: отображение оповещений из определенного продукта майкрософт для обеспечения безопасности.
• Идентификатор подписки на оповещения: отображение оповещений, созданных с помощью определенного идентификатора подписки на оповещения.
• Сущности: отображение оповещений, связанных с определенной сущностью.
• Состояние автоматизированного исследования. Отображение оповещений, которые находятся в определенном состоянии автоматического исследования.
• Рабочая область: отображение оповещений, связанных с определенной рабочей областью. Это применимо, только если у вас есть одна или несколько рабочих областей в вашей организации.
• Поток данных: отображение оповещений, связанных с определенным потоком данных. Например, можно отобразить оповещения, связанные с потоками данных Microsoft OneDrive и Microsoft Exchange.

Агрегирование оповещений

Если за короткий период времени происходит несколько событий, соответствующих условиям политики оповещений, они добавляются в существующее оповещение с помощью процесса, называемого агрегированием оповещений. Когда событие активирует оповещение, это оповещение создается и отображается на странице Оповещения и отправляется уведомление. Если то же событие происходит в пределах интервала агрегирования, Microsoft 365 добавляет сведения о новом событии в существующее оповещение, а не активирует новое оповещение. Целью агрегирования оповещений является снижение "усталости" оповещений и возможность сосредоточиться и принять меры на меньшее количество оповещений для того же события.

Длина интервала агрегирования зависит от Office 365 или подписки Microsoft 365.

Если события, соответствующие той же политике оповещений, происходят в пределах интервала агрегирования, сведения о последующем событии добавляются в исходное оповещение. Для всех событий сведения о агрегированных событиях отображаются в поле сведений, а количество случаев, когда событие произошло с интервалом агрегирования, отображается в поле количество действий и попаданий. Дополнительные сведения обо всех агрегированных экземплярах событий можно просмотреть, просмотрев список действий.

На следующем снимку экрана показано оповещение с четырьмя агрегированными событиями. Список действий содержит сведения о четырех сообщениях электронной почты, относящихся к оповещению.

Помните о агрегации оповещений:

• Оповещения, активируемые при обнаружении политики оповещений по умолчанию потенциально вредоносным URL-адресом, не агрегируются. Это происходит из-за того, что оповещения, активированные этой политикой, являются уникальными для каждого пользователя и сообщения электронной почты.

• В настоящее время свойство предупреждения счетчика попаданий не указывает количество агрегированных событий для всех политик оповещений. Для оповещений, активируемых этими политиками генерации оповещений, можно просмотреть агрегированные события, щелкнув Просмотреть список сообщений или Просмотр действий в оповещении. Мы работаем над тем, чтобы сделать количество агрегированных событий, перечисленных в свойстве оповещения счетчика попаданий , доступным для всех политик оповещений.

Разрешения RBAC, необходимые для просмотра оповещений

Разрешения на основе ролей контроль доступа (RBAC), назначенные пользователям в вашей организации, определяют, какие оповещения пользователь может видеть на странице Оповещения. Как это делается? Роли управления, назначенные пользователям (на основе их членства в группах ролей на портале Microsoft Defender), определяют, какие категории оповещений пользователь может видеть на странице Оповещения. Ниже приводятся примеры:

• Люди с ролями из группы "Управление записями" могут просматривать только оповещения, созданные политиками из категории Управление информацией.
• Люди с ролями из группы "Администратор соответствия требованиям" не могут просматривать оповещения, созданные политиками из категории Управление угрозами.
• Люди с ролями из группы "Менеджер по обнаружению электронных данных" вообще не могут просматривать оповещения.

Эта структура (на основе разрешений RBAC) позволяет определить, какие оповещения могут просматривать (и управлять ими) пользователи с определенными ролями задания в вашей организации.

В следующей таблице перечислены роли, необходимые для просмотра оповещений из шести различных категорий оповещений. Метка проверка указывает, что пользователь, которому назначена эта роль, может просматривать оповещения из соответствующей категории оповещений, указанной в строке заголовка.

Чтобы узнать, к какой категории назначена политика оповещений по умолчанию, см. таблицы в разделе Политики оповещений по умолчанию.

$RoleGroups = Get-RoleGroup

$RoleGroups | foreach {Write-Output -InputObject `r`n,$_.Name,("-"*25); Get-RoleGroup $_.Identity | Select-Object -ExpandProperty Roles}

Управление оповещениями

После создания оповещений и их отображения на странице Оповещения на портале Microsoft Defender вы можете анализировать, исследовать и устранять их. Те же разрешения RBAC , которые предоставляют пользователям доступ к оповещениям, также предоставляют им возможность управлять оповещениями.

Ниже приведены некоторые задачи, которые можно выполнить для управления оповещениями.

• Назначение состояния оповещениям. Оповещениям можно назначить одно из следующих состояний: New (значение по умолчанию), Выполняется или Устранено. Затем вы можете отфильтровать этот параметр, чтобы отобразить оповещения с тем же параметром состояния. Этот параметр состояния помогает отслеживать процесс управления оповещениями.

• Назначение оповещения пользователю. Вы можете назначить оповещение пользователю в вашей организации. Это действие поможет убедиться, что соответствующее лицо проверяет и разрешает оповещение.

• Классификация оповещений. Вы можете назначить классификацию оповещению. Классификации используются для классификации оповещений в зависимости от типа действий, которые активировали оповещение. Например, можно классифицировать оповещение как положительное или информационное.

• Просмотр сведений об оповещении. Вы можете выбрать оповещение, чтобы отобразить всплывающий элемент с подробными сведениями об оповещении. Подробные сведения зависят от соответствующей политики генерации оповещений, но обычно включают в себя следующие сведения:

  • Имя фактической операции, которая вызвала оповещение, например командлет или операция журнала аудита.
  • Описание действия, которое активировало оповещение.
  • Пользователь (или список пользователей), активировавший оповещение. Это включается только для политик оповещений, настроенных для отслеживания одного пользователя или одного действия.
  • Количество выполнения действий, отслеживаемых оповещением. Это число может не совпадать с фактическим числом связанных оповещений, перечисленных на странице Оповещения, так как могло быть активировано больше оповещений.
  • Ссылка на список действий, содержащий элемент для каждого выполненного действия, активировав оповещение. Каждая запись в этом списке определяет, когда произошло действие, имя фактической операции (например, FileDeleted), пользователя, выполнившего действие, объект (например, файл, дело обнаружения электронных данных или почтовый ящик), с которым было выполнено действие, и IP-адрес компьютера пользователя. Для оповещений, связанных с вредоносными программами, эта ссылка на список сообщений.
  • Имя (и ссылка) соответствующей политики оповещений.
  • Инцидент, в котором выполняется агрегированное оповещение.

• Настройка оповещения. Вы можете задать свойства, условия и действия, чтобы скрыть или разрешить оповещение.