Сведения об автоматическом исследовании и его результаты

При использовании Microsoft Defender XDR, когда выполняется автоматическое исследование, сведения об этом исследовании становятся доступными как во время, так и после процесса автоматического исследования. Если у вас есть необходимые разрешения, вы можете просмотреть эти сведения в представлении сведений о расследовании, которое предоставляет вам актуальное состояние и возможность утверждать любые ожидающие действия.

Страница унифицированного исследования

Страница исследования содержит сведения об устройствах, сообщениях электронной почты и содержимом для совместной работы. Единая страница расследований задает общий язык и обеспечивает единый интерфейс для автоматических расследований в Microsoft Defender для конечной точки и Microsoft Defender для Office 365. Чтобы перейти на страницу унифицированного расследования, нажмите ссылку на жёлтом баннере, который появится на:

• Любая страница исследования на портале Microsoft Purview
• Любая страница исследования на портале Microsoft Defender (https://security.microsoft.com)
• Любой инцидент или компонент «Центр уведомлений» в портале Microsoft Defender

Откройте представление сведений о расследовании

Чтобы открыть представление со сведениями об исследовании, можно использовать один из указанных ниже способов.

• Выберите элемент в центре уведомлений
• Выберите расследование на странице сведений об инциденте

Выберите элемент в центре уведомлений

Центр действий (https://security.microsoft.com/action-center) объединяет меры по устранению для ваших устройств, электронной почты и материалов для совместной работы, а также учетных записей. Перечисленные действия включают действия по исправлению, выполненные автоматически или вручную. В центре уведомлений можно просмотреть действия, ожидающие утверждения, и действия, которые уже утверждены или выполнены. Вы также можете перейти к дополнительным сведениям, например, к странице исследования.

1. Перейдите на портал Microsoft Defender и выполните вход.

2. В панели навигации щелкните Центр уведомлений.

3. На вкладке Ожидающие или История выберите элемент. Откроется всплывающее окно.

4. Просмотрите сведения во всплывающей области и выполните одно из следующих действий:

   • Выберите Открыть страницу исследования, чтобы просмотреть дополнительные сведения об исследовании.
   • Выберите Утвердить чтобы инициировать ожидающие действия.
   • Выберите Отклонить, чтобы предотвратить выполнение ожидающего действия.
   • Выберите Перейти к охоте , чтобы перейти к разделу Расширенная охота.

Откройте расследование на странице инцидента

Используйте страницу инцидента, чтобы просматривать подробные сведения об инциденте, включая созданные оповещения, а также сведения о затронутых устройствах, учетных записях пользователей или почтовых ящиках.

1. Перейдите на портал Microsoft Defender и выполните вход.

2. В области навигации выберите Инциденты и оповещения>Инциденты.

3. Выберите элемент в списке, а затем выберите Открыть страницу инцидента.

4. Выберите вкладку Исследования, а затем выберите исследование в списке. Откроется всплывающее окно.

5. Выберите Открыть страницу исследования.

Сведения об исследовании

Используйте представление сведений о расследовании, чтобы просматривать прошлую, текущую и запланированную активность в рамках расследования. Ниже приведен пример.

В представлении «Сведения о расследовании» можно просмотреть информацию на вкладках «Граф расследования», «Оповещения», «Почтовые ящики», «Устройства», «Пользователи», «Доказательства», «Сущности», «Журнал» и «Ожидающие действия», описанных в следующей таблице.

Состояния расследования

В следующей таблице перечислены состояния исследования и то, что они указывают.

Чтобы дать более полное представление о том, как отображаются состояния расследования, в следующей таблице перечислены оповещения и их соответствующие состояния автоматизированного расследования. Эта таблица включена в качестве примера того, что команда по операциям безопасности может увидеть на портале Microsoft Defender.

Дальнейшие действия

• Просмотр действий по исправлению и управление ими
• Дополнительные сведения о действиях по исправлению