Управление индикаторами в Microsoft Defender для конечной точки

  1. В области навигации выберите Параметры>Конечные точки>Индикаторы (в разделе Правила).

  2. Выберите вкладку для типа индикатора, который вы хотите управлять, например хэши файлов, IP-адреса, URL-адреса или домены или сертификаты.

  3. Обновите сведения о индикаторе и нажмите кнопку "Сохранить". Чтобы удалить индикатор из списка, нажмите кнопку "Удалить".

Импорт списка операций ввода-вывода

Индикаторы можно передать из CSV-файла, который определяет атрибуты индикатора, действия и другие сведения.

Скачайте пример CSV-файла индикаторов из страницы импорта, чтобы просмотреть поддерживаемые атрибуты столбца.

  1. В области навигации выберите Параметры>Конечные точки>Индикаторы (в разделе Правила).

  2. Выберите вкладку типа сущности, для которую вы хотите импортировать индикаторы.

  3. Выберите Импорт>Выберите файл.

  4. Нажмите Импорт. Повторите для всех файлов, которые вы хотите импортировать.

  5. Нажмите кнопку Готово.

Примечание.

Для каждого пакета можно отправить только 500 индикаторов. При попытке импортировать индикаторы с определёнными категориями строка должна быть записана в нотации PascalCase, при этом допускаются только категории из списка, доступного на портале.

В следующей таблице показаны поддерживаемые параметры.

Параметр Тип Описание
indicatorType Перечисление Тип индикатора. Возможные значения: FileSha1, FileSha256, IpAddress, DomainNameи Url.
Обязательно
indicatorValue String Идентификатор сущности ресурса API Indicator.
Обязательно
действие Перечисление Действие, выполняемое при обнаружении индикатора в организации. Возможные значения: Allowed, Audit, BlockAndRemediate, Warnи Block.
Обязательно
Заголовок String Заголовок оповещения индикатора.
Обязательно
описание String Описание индикатора.
Обязательно
время истечения срока DateTimeOffset Время окончания срока действия индикатора в следующем формате YYYY-MM-DDTHH:MM:SS.0Z. Индикатор удаляется, если истекает срок действия, а все, что происходит во время истечения срока действия, происходит в секундах (SS).
Необязательное
серьезность Перечисление Степень серьезности индикатора. Возможные значения: Informational, Low, Medium и High.
Необязательное
Рекомендуемые действия String Рекомендуемые действия при оповещении индикатора TI.
Необязательное
rbacGroups String Разделенный запятыми список групп RBAC, к которые будет применяться индикатор.
Необязательное
категория String Категория оповещения. Примеры включают: выполнение и доступ к учетным данным.
Необязательное
mitretechniques String Методы MITRE: код или идентификатор (разделенные запятыми). Дополнительные сведения см. в разделе Тактика предприятия.
Необязательное
При использовании метода MITRE рекомендуется добавить значение в категорию.
Создать оповещение String Должно ли быть создано оповещение. Возможные значения: True или False.
Необязательное

Примечание.

Нотация Classless Inter-Domain Routing (CIDR) для IP-адресов не поддерживается. Дополнительные сведения см. в статье Категории оповещений в Microsoft Defender для конечной точки теперь согласованы с системой MITRE ATT&CK!.

Сетевые индикаторы не поддерживают тип действия . BlockAndRemediate Если для сетевого индикатора задано значение BlockAndRemediate, он не будет импортироваться.

Просмотрите это видео, чтобы узнать, как Microsoft Defender для конечной точки предоставляет несколько способов добавления индикаторов компрометации (IoCs) и управления ими.

См. также