Просмотр инцидентов и оповещений и управление ими в мультитенантном управлении Microsoft Defender

Управление мультиарендаторами в портале Defender объединяет данные нескольких арендаторов и рабочих пространствов Microsoft Sentinel в одном месте. Аналитики центра операций безопасности (SOC) могут использовать его для быстрого обнаружения и реагирования на угрозы в Microsoft Defender XDR и Microsoft Sentinel. Вы можете сортировать инциденты и оповещения, охватывающие данные SIEM и XDR для любого арендатора с Microsoft Sentinel workspace, встроенным на платформу Defender.

В этой статье показано, как просматривать, расследовать и управлять инцидентами и уведомлениями от нескольких арендаторов и рабочих пространств с помощью страниц «Инциденты и оповещения ».

Просмотр и исследование инцидентов

Чтобы просмотреть или исследовать инцидент, выполните приведенные далее действия.

1. Перейдите на страницу "Инциденты" в средстве управления несколькими арендаторами Microsoft Defender. В столбцах Имя клиента и Рабочие области показано, из какого клиента происходит инцидент:

   

2. Выберите инцидент, который вы хотите просмотреть. Откроется всплывающая панель со сведениями об инциденте, где можно:

   • Выберите страницу «Открыть инцидент», чтобы открыть инцидент в новой вкладке для этого арендатора в портале Microsoft Defender.
   • Выберите «Управление инцидентом », чтобы назначить, отметить, классифицировать или изменить статус инцидента.

Дополнительные сведения см. в статье Исследование инцидентов.

Управление несколькими инцидентами

Для управления инцидентами в нескольких арендаторах и рабочих областях:

1. Перейдите на страницу "Инциденты" в средстве управления несколькими арендаторами Microsoft Defender.

2. Выберите инциденты, которыми вы хотите управлять, в списке инцидентов и выберите Управление инцидентами.

   

На панели flyout вы можете назвоять, отмечать, классифицировать или менять статус инцидентов между несколькими арендаторами одновременно.

Дополнительные сведения об инцидентах на портале Microsoft Defender см. в статье Управление инцидентами.

Просмотр и изучение оповещений

Чтобы просмотреть или исследовать оповещение, выполните приведенные далее действия.

1. Перейдите на страницу Оповещения в мультитенантном управлении и выберите оповещение, которое нужно просмотреть. Откроется всплывающий элемент со страницей сведений об оповещении:

   

2. На панели сведений об оповещении можно:

   • Выберите страницу открытых уведомлений, переместите оповещение на другой инцидент или настройте оповещение, чтобы открыть уведомление в новой вкладке для этого арендатора в портале Microsoft Defender.
   • Выберите «Управление оповещением », чтобы назначить, классифицировать или изменить статус оповещения.

Дополнительные сведения см. в статье Исследование оповещений.

Управление несколькими оповещениями

Чтобы управлять оповещениями в нескольких арендаторах и рабочих областях:

1. Перейдите на страницу "Оповещения" в мультитенантном управлении Microsoft Defender.

2. Выберите оповещения, которыми вы хотите управлять, в списке оповещений и выберите Управление оповещениями.

   

Используйте панель «Управление оповещениями », чтобы задать статус, назначить, классифицировать и добавить комментарии сразу к нескольким оповещениям. Вы можете задавать статус, классификацию и комментарии между арендаторами. Однако вы можете назначать оповещения только от одного и того же арендатора.

Дополнительные сведения см. в разделе Управление оповещениями.

Перемещение оповещений

Переместите оповещение в другой инцидент, чтобы лучше упорядочить и сопоставить связанные события безопасности. Например, вы можете обнаружить, что несколько оповещений являются частью одного и того же нарушения безопасности, и хотите включить их все в один и тот же инцидент. Группирование связанных оповещений в один и тот же инцидент гарантирует группирование всех соответствующих сведений, что обеспечивает более эффективное исследование и реагирование.

Перемещение одного или нескольких оповещений:

• На странице Оповещения выберите одно или несколько оповещений, а затем выберите Переместить оповещения.
• На панели сведений об оповещении или на странице сведений об оповещении выберите Переместить оповещение в другой инцидент.

В области Переместить оповещение в другой инцидент укажите, хотите ли вы создать новый инцидент или использовать существующий инцидент. Если вы решили использовать существующий инцидент, найдите инцидент по имени или идентификатору и добавьте причину изменения. Во всех случаях добавьте комментарий с описанием изменения, прежде чем нажать кнопку Сохранить.

Связанные материалы

• Настройка управления несколькими клиентами Microsoft Defender
• Подключение Microsoft Sentinel к Microsoft Defender XDR
• Расширенный поиск угроз в мультитенантном управлении Microsoft Defender
• Несколько рабочих областей Microsoft Sentinel на портале Defender