Перемещение оповещений из одного инцидента в другой на портале Microsoft Defender

  • Применяется к: Microsoft Defender XDR, Microsoft Sentinel in the Microsoft Defender portal

Хотя Microsoft Defender уже использует расширенные механизмы корреляции, может потребоваться решить, относится ли данное оповещение к конкретному инциденту или нет. В этом случае можно отсоединить оповещение от одного инцидента и присоединить его к другому. Каждое оповещение должно относиться к инциденту, поэтому оповещение необходимо прикрепить к другому существующему инциденту или к новому инциденту, создаваемому на месте.

В этой статье объясняется, как перемещать оповещения из одного инцидента в другой.

Предварительные условия

Перед тем как перемещать оповещения между инцидентами, убедитесь, что у вас есть следующие права:

  • Пользователи должны иметь разрешения на просмотр очереди инцидентов.
  • Пользователи должны иметь разрешения на чтение и запись для всех оповещений, которые они хотят перемещать между инцидентами.

Доступ к панели для перемещения оповещений

Существует множество способов открыть оповещения о переезде на другой панели инцидентов . Вы можете получить к нему доступ везде, где можно выбирать оповещения или выполнять с ними действия. Например, вы можете:

В любом из указанных ниже мест выберите одно или несколько оповещений, установив флажки в начале соответствующих строк. Если отмечено одно или несколько оповещений, на панели инструментов появляется кнопка Переместить оповещения в другой инцидент .

  • Очередь инцидентов. Разверните заданный инцидент, чтобы отобразить содержащиеся в нем оповещения.
  • Вкладка Оповещения на странице сведений об инциденте.
  • Очередь оповещений .

Кроме того, на панели сведений на странице сведений об оповещении всегда отображается кнопка Переместить оповещение в другой инцидент .

Выберите одно или несколько оповещений, которые нужно переместить

Чтобы выбрать оповещения, которые вы хотите переместить, и открыть панель перемещений, следуйте следующим шагам:

  1. Откройте очередь инцидентов , вкладку "Оповещения" на странице сведений об инциденте, очередь оповещений или страницу сведений об оповещении.

  2. Выберите оповещение или оповещения, которые нужно переместить, установив флажки в начале строк очереди. Если отмечено одно или несколько оповещений, на панели инструментов появляется кнопка Переместить оповещения в другой инцидент .

    Снимок экрана: выбор оповещений из очереди для перехода к другому инциденту.

  3. Выберите Переместить оповещения в другой инцидент на панели инструментов. Открывается всплывающая панель. Если выбрано только одно оповещение, панель будет помечена как Переместить оповещение в другой инцидент. Если вы выбрали два или более оповещений, они помечены как Перемещение нескольких оповещений в другой инцидент. Во всех остальных аспектах панель flyout осталась той же.

  4. Если оповещение или оповещения относятся к другому существующему инциденту, выберите Ссылку на существующий инцидент. В противном случае выберите Создать новый инцидент. Оповещения должны относиться к инциденту.

Переместить одно или несколько оповещений в существующий инцидент

Чтобы переместить выбранные оповещения в существующий инцидент, выполните следующие действия.

  1. Если вы выбрали Ссылку на существующий инцидент, сразу после выбора появится новое текстовое поле Имя или идентификатор инцидента. Начните вводить имя или идентификатор инцидента, к которому вы хотите присоединить оповещение или оповещения. По мере ввода текста список доступных инцидентов динамически отображается и фильтруется в соответствии с введённым текстом. Когда вы увидите нужный в списке, выберите его.

    Снимок экрана с выбором существующего инцидента, в который перемещается оповещение.

  2. В поле Комментарий введите комментарий, объясняющий, почему вы хотите переместить оповещения.

    Снимок экрана: добавление комментария с объяснением причины перемещения оповещения.

  3. Укажите причину перемещения одного или нескольких оповещений, выбрав один из предустановленных вариантов. Предоставление обратной связи помогает Microsoft улучшить корреляцию оповещений в будущем.

  4. Нажмите кнопку Сохранить в нижней части панели, чтобы выполнить перемещение.

Перемещение оповещения или оповещений в новый инцидент

Чтобы создать новый инцидент для выбранных оповещений, выполните следующие действия.

  1. Если вы выбрали Создать новый инцидент, введите комментарий, объясняющий, почему вы хотите переместить оповещения.

  2. Укажите причину перемещения одного или нескольких оповещений, выбрав один из предустановленных вариантов. Предоставление обратной связи помогает Microsoft улучшить корреляцию оповещений в будущем.

  3. Нажмите кнопку Сохранить в нижней части панели, чтобы выполнить перемещение.

    Снимок экрана с выбором нового инцидента, в который перемещается оповещение.

    После сохранения перемещения создаётся новый инцидент с оповещением или оповещениями, которые вы переместили на него. Инциденту присваивается имя автоматически на основе имени оповещения или оповещений.

Просмотр записей журнала действий для перемещенных оповещений

Когда оповещение сопоставляется с инцидентом, в журнал действий инцидента записывается сообщение, удостоверяющее, что оповещение было связано с ним. Это сообщение записывается в любом из следующих случаев:

  • Оповещение создается и автоматически сопоставляется с новым или существующим инцидентом.
  • Оповещение перемещается из одного инцидента в другой. Сообщение появится в журнале инцидента назначения.

Связанные материалы

  • Last updated on