Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
В области навигации выберите Параметры>Конечные точки>Индикаторы (в разделе Правила).
Выберите вкладку для типа индикатора, который вы хотите управлять, например хэши файлов, IP-адреса, URL-адреса или домены или сертификаты.
Обновите сведения о индикаторе и нажмите кнопку "Сохранить". Чтобы удалить индикатор из списка, нажмите кнопку "Удалить".
Импорт списка операций ввода-вывода
Индикаторы можно передать из CSV-файла, который определяет атрибуты индикатора, действия и другие сведения.
Скачайте пример CSV-файла индикаторов из страницы импорта, чтобы просмотреть поддерживаемые атрибуты столбца.
В области навигации выберите Параметры>Конечные точки>Индикаторы (в разделе Правила).
Выберите вкладку типа сущности, для которую вы хотите импортировать индикаторы.
Выберите Импорт>Выберите файл.
Нажмите Импорт. Повторите для всех файлов, которые вы хотите импортировать.
Нажмите кнопку Готово.
Примечание.
Для каждого пакета можно отправить только 500 индикаторов. При попытке импортировать индикаторы с определёнными категориями строка должна быть записана в нотации PascalCase, при этом допускаются только категории из списка, доступного на портале.
В следующей таблице показаны поддерживаемые параметры.
| Параметр | Тип | Описание |
|---|---|---|
| indicatorType | Перечисление | Тип индикатора. Возможные значения: FileSha1, FileSha256, IpAddress, DomainNameи Url. Обязательно |
| indicatorValue | String | Идентификатор сущности ресурса API Indicator. Обязательно |
| действие | Перечисление | Действие, выполняемое при обнаружении индикатора в организации. Возможные значения: Allowed, Audit, BlockAndRemediate, Warnи Block. Обязательно |
| Заголовок | String | Заголовок оповещения индикатора. Обязательно |
| описание | String | Описание индикатора. Обязательно |
| время истечения срока | DateTimeOffset | Время окончания срока действия индикатора в следующем формате YYYY-MM-DDTHH:MM:SS.0Z. Индикатор удаляется, если истекает срок действия, а все, что происходит во время истечения срока действия, происходит в секундах (SS). Необязательное |
| серьезность | Перечисление | Степень серьезности индикатора. Возможные значения: Informational, Low, Medium и High. Необязательное |
| Рекомендуемые действия | String | Рекомендуемые действия при оповещении индикатора TI. Необязательное |
| rbacGroups | String | Разделенный запятыми список групп RBAC, к которые будет применяться индикатор. Необязательное |
| категория | String | Категория оповещения. Примеры включают: выполнение и доступ к учетным данным. Необязательное |
| mitretechniques | String | Методы MITRE: код или идентификатор (разделенные запятыми). Дополнительные сведения см. в разделе Тактика предприятия. Необязательное При использовании метода MITRE рекомендуется добавить значение в категорию. |
| Создать оповещение | String | Должно ли быть создано оповещение. Возможные значения: True или False. Необязательное |
Примечание.
Нотация Classless Inter-Domain Routing (CIDR) для IP-адресов не поддерживается. Дополнительные сведения см. в статье Категории оповещений в Microsoft Defender для конечной точки теперь согласованы с системой MITRE ATT&CK!.
Сетевые индикаторы не поддерживают тип действия . BlockAndRemediate Если для сетевого индикатора задано значение BlockAndRemediate, он не будет импортироваться.
Просмотрите это видео, чтобы узнать, как Microsoft Defender для конечной точки предоставляет несколько способов добавления индикаторов компрометации (IoCs) и управления ими.