Выполнить действия реагирования на устройстве

Быстро реагируйте на обнаруженные атаки, изолируя устройства или собирая пакет исследования. После выполнения действий на устройствах можно проверить сведения о действиях в Центре уведомлений.

Действия ответа выполняются в верхней части страницы определенного устройства и включают в себя:

• Управление тегами
• Запуск автоматического исследования
• Запуск сеанса динамического ответа
• Собрать пакет данных расследования
• Запуск проверки на вирусы
• Ограничить выполнение приложения
• Изоляция устройства
• Содержащее устройство
• Обратитесь к эксперту по угрозам
• Центр действий

Страницы устройств можно найти в любом из следующих представлений:

• Очередь оповещений. Выберите имя устройства рядом со значком устройства в очереди оповещений.
• Список устройств. Выберите заголовок имени устройства в списке устройств.
• Поле поиска. Выберите Устройство в раскрывающемся меню и введите имя устройства.

Некоторые меры реагирования с существенным воздействием могут быть ограничены для критически важных активов, чтобы предотвратить возможные сбои в работе компании. Дополнительные сведения см. в разделе Ограничение действий реагирования на ценные ресурсы.

Управление тегами

Добавление тегов или управление ими для создания логической принадлежности к группе. Теги устройств обеспечивают корректное сопоставление объектов сети, позволяя назначать различные теги для фиксации контекста и создания динамических списков в рамках инцидента.

Дополнительные сведения о тегах устройств см. в статье Создание тегов устройств и управление ими.

Запуск автоматического исследования

При необходимости можно запустить новое автоматическое исследование на устройстве. Пока выполняется расследование, любое другое оповещение от этого устройства добавляется в это расследование до его завершения. Если эта же угроза отображается на других устройствах, эти устройства также добавляются.

Дополнительные сведения об автоматизированных исследованиях см. в статье Обзор автоматизированных расследований.

Запуск сеанса динамического ответа

Интерактивный отклик предоставляет вам мгновенный доступ к устройству через удалённое подключение к командной оболочке. Динамическая реакция позволяет выполнять глубокие расследования и принимать быстрые меры для сдерживания угроз в режиме реального времени.

Динамический ответ помогает собирать криминалистические данные, запускать скрипты, отправлять подозрительные сущности для анализа, устранять угрозы и охотиться на возникающие угрозы.

Дополнительные сведения о динамическом ответе см. в разделе Исследование сущностей на устройствах с помощью динамического ответа.

Соберите пакет данных для расследования с устройств

В рамках процесса расследования или реагирования можно собрать с устройства пакет данных для расследования. Собрав пакет исследования, вы можете определить текущее состояние устройства и узнать о средствах и методах, используемых злоумышленником.

Чтобы скачать пакет (zip-папку) и изучить события, произошедшие на устройстве, выполните следующие действия.

1. Выберите Собрать пакет данных для расследования в строке действий реагирования в верхней части страницы устройства.

2. Укажите в текстовом поле причину выполнения этого действия. Выберите Подтвердить.

3. Zip-файл скачивается.

Или используйте эту альтернативную процедуру:

1. Выберите Собрать пакет данных для расследования в разделе действий реагирования на странице устройства.

   

2. Добавьте примечания и нажмите кнопку Подтвердить.

   

3. Выберите Центр уведомлений в разделе действий ответа на странице устройства.

   

4. Выберите Пакет коллекции доступен, чтобы загрузить пакет коллекции.

   

   Примечание.

   Сбор пакета данных для расследования может завершиться ошибкой, если целевое устройство имеет низкий уровень заряда или использует тарифицируемое подключение.

Содержимое пакета расследования для устройств Windows

Для устройств Windows пакет содержит папки, описанные в следующей таблице:

Исследование содержимого пакета для устройств Mac и Linux

В следующей таблице приведено содержимое пакетов коллекции для Устройств Mac и Linux:

Запустить антивирусную проверку Microsoft Defender Antivirus на устройствах

В рамках исследования или реагирования можно удаленно инициировать антивирусную проверку, чтобы выявить и исправить вредоносные программы, которые могут присутствовать на скомпрометированном устройстве.

Выбрав "Запустить антивирусную проверку", выберите тип сканирования, который вы хотите запустить (быстро или полностью) и добавьте комментарий перед подтверждением сканирования.

В центре уведомлений отображаются сведения о антивирусной проверке. На временной шкале устройства появилось новое событие, которое показывает, что на устройстве было отправлено действие сканирования. Оповещения антивируса Microsoft Defender отображают все угрозы, обнаруженные в ходе сканирования.

Ограничить выполнение приложения

В дополнение к сдерживанию атаки путем остановки вредоносных процессов можно также заблокировать устройство и предотвратить последующие попытки запуска потенциально вредоносных программ.

Чтобы ограничить запуск приложения, применяется политика целостности кода. Эта политика позволяет запускать файлы только в том случае, если они подписаны сертификатом, выданным Microsoft. Разрешение запускать только файлы, подписанные Microsoft, помогает предотвратить получение злоумышленниками контроля над скомпрометированными устройствами.

Выбрав Ограничить выполнение приложения на странице устройства, введите комментарий и нажмите кнопку Подтвердить. В центре уведомлений отображаются сведения об ограничении приложения, а временная шкала устройства включает новое событие.

Уведомление пользователя устройства об ограничении приложения

Если приложение ограничено, отображается следующее уведомление, информирующее пользователя о том, что приложение запрещено запускать:

Изолировать устройства от сети

В зависимости от серьезности атаки и конфиденциальности устройства может потребоваться изолировать устройство от сети. Изоляция устройства может помочь предотвратить контроль злоумышленника над скомпрометированным устройством и совершение им дальнейших действий, таких как вывод данных и латеральное перемещение.

Важные моменты, которые следует учитывать:

• В средах, использующих веб-прокси (включая автоматическую конфигурацию прокси-сервера (PAC), WPAD или статические или прямые прокси-серверы), устройства могут не восстановиться после сетевой изоляции. В таких случаях используйте выборочную изоляцию. При использовании выборочной изоляции параметры исключения не требуются, чтобы избежать этого сценария.

• Изоляция устройств от сети поддерживается в macOS для клиента версии 101.98.84 и более поздних версий. Вы также можете использовать динамический ответ для выполнения действия. Дополнительные сведения о динамическом отклике см. в статье Исследование сущностей на устройствах с помощью динамического ответа.

• Полная изоляция доступна для устройств под управлением Windows 11, Windows 10 версии 1703 или более поздней, Windows Server 2012 R2 и более поздних версий, а также Azure ОС Stack HCI версии 23H2 и более поздних версий.

• Изоляция устройств от сети поддерживается, если Defender работает в пассивном режиме во всех поддерживаемых операционных системах Windows, macOS и Linux поддерживаемых версиях.

• Возможность изоляции устройств можно использовать во всех поддерживаемых Microsoft Defender для конечной точки на Linux, перечисленных в разделе Требования к системе. Убедитесь, что включены следующие предварительные требования:

  • iptables
  • ip6tables
  • Ядро Linux с CONFIG_NETFILTER, CONFIG_IP_NF_IPTABLES и CONFIG_IP_NF_MATCH_OWNER для версий ядра ниже 5.x и CONFIG_NETFILTER_XT_MATCH_OWNER начиная с ядра 5.x.

• Выборочная изоляция доступна для устройств под управлением Windows 11, Windows 10 версии 1703 и более поздних версий, Windows Server 2012 R2 и более поздних версий, Azure Stack HCI OS версии 23H2 и более поздних версий, а также macOS. Дополнительные сведения о выборочной изоляции см. в разделе Исключения изоляции.

• При изоляции устройства допускаются только определенные процессы и назначения. Поэтому устройства, работающие через полный VPN-туннель, не смогут получить доступ к облачной службе Microsoft Defender для конечной точки после изоляции устройства. Мы рекомендуем использовать VPN с раздельным туннелированием для трафика Microsoft Defender для конечных точек и Microsoft Defender Antivirus, связанного с облачной защитой.

• Эта функция поддерживает VPN-подключение.

• У вас должна быть назначена как минимум роль Active remediation actions. Дополнительные сведения см. в разделе Создание ролей и управление ими.

• У вас должен быть доступ к устройству в соответствии с настройками группы устройств. Дополнительные сведения см. в статье Создание групп устройств и управление ими.

• Исключения, такие как электронная почта, приложение для обмена сообщениями и другие приложения, не поддерживаются в изоляции macOS и Linux.

• Изолированное устройство выводится из изоляции, когда администратор изменяет или добавляет новое правило iptable для изолированного устройства.

• Изоляция сервера, работающего на Microsoft Hyper-V блокирует сетевой трафик ко всем дочерним виртуальным машинам сервера.

• Изоляция устройств автоматически поднимается через семь дней.

Функция изоляции устройства отключает скомпрометированное устройство от сети, сохраняя подключение к службе Defender для конечной точки, которая продолжает отслеживать устройство. В Windows 10 версии 1709 или более поздней можно использовать выборочную изоляцию для более высокого уровня сетевой изоляции. Вы также можете включить подключение Outlook и Microsoft Teams.

Выбрав изоляцию устройства на странице устройства, введите комментарий и нажмите кнопку Подтвердить. В центре уведомлений отображаются сведения о сканировании, а временная шкала устройства включает новое событие.

Изоляция устройства — автоматическое прерывание атаки (предварительная версия)

Если есть подозрение, что устройство в вашей организации скомпрометировано, Microsoft Defender для конечной точки может автоматически изолировать его в рамках автоматического прерывания атаки. Автоматическая изоляция помогает снизить дальнейшее влияние на организацию и ограничить боковое перемещение злоумышленников. Это также помогает предотвратить распространение кражи данных и программ-шантажистов. При автоматической изоляции устройства:

• Скомпрометированное устройство отключается от сети, что снижает риск дальнейшего влияния на организацию.
• Устройство сохраняет подключение к службе Microsoft Defender для конечной точки, которая продолжает отслеживать устройство.

Просмотр действий по автоматической изоляции устройств

После применения автоматической изоляции можно просмотреть действие и его состояние на портале Defender:

• Откройте соответствующий инцидент и просмотрите вкладку Действия .

  

• Откройте страницу затронутого устройства и подтвердите состояние изоляции устройства.

• Откройте Центр уведомлений для просмотра журнала действий и текущего состояния.

  

Меры безопасности и влияние на бизнес

Перед развертыванием или реагированием на автоматическую изоляцию устройств следует учитывать следующее:

• Ограниченное действие: изоляция нацелена на конкретные устройства, участвующие в инциденте, а не применяется ко всей среде в целом.
• Изоляция с ограничением по времени. Изоляция автоматически удаляется после определенного периода времени. Вы также можете снять изоляцию раньше после завершения расследования и устранения проблемы.
• Управление клиентами. Операторы безопасности могут просматривать контекст инцидента и предпринимать дальнейшие действия, включая освобождение изоляции, когда это безопасно.

Исключения изоляции и исключения автоматического нарушения атак

Существует два типа исключений, относящихся к автоматической изоляции устройств:

• Исключения выборочной изоляции. Определите, какие процессы и сетевые назначения остаются доступными на изолированном устройстве. Используйте их для сохранения критически важных коммуникаций (например, средств управления или бизнес-приложений) во время изоляции устройства. Исключения выборочной изоляции доступны для устройств, работающих на Windows 11, Windows 10 версии 1703 или более поздней версии, Windows Server 2012 R2 и более поздних версий, Azure Stack ОС HCI версии 23H2 и более поздних версий и macOS.
• Исключения автоматического прерывания атак. Определите, какие устройства или сущности полностью исключены из действий автоматического прерывания. Используйте их, чтобы предотвратить изоляцию критически важных для бизнеса устройств.

Если автоматически изолированное устройство является критически важным для бизнеса, следует уделить приоритетное внимание быстрой проверке и координации заинтересованных лиц. Снимайте изоляцию только после того, как убедитесь, что приняты надлежащие меры по сдерживанию и устранению последствий. Рассмотрите возможность использования исключений автоматического прерывания атаки , чтобы снизить вероятность изоляции устройств, которые не могут терпеть прерывания.

Подтверждение автоматической изоляции устройств

Чтобы убедиться, что была применена автоматическая изоляция устройств, выполните следующие действия.

1. Откройте на портале Microsoft Defender соответствующий инцидент, созданный в результате автоматического прерывания атаки.
2. Просмотрите вкладку Действие или Центр уведомлений , чтобы узнать, какие действия автоматического ответа были применены.
3. Откройте страницу затронутого устройства и убедитесь, что состояние устройства показывает, что оно изолировано.
   • Если действие изоляции отображается со статусом «Сбой» или «Ожидание», убедитесь, что устройство в сети и может отправлять отчеты в Microsoft Defender для конечной точки. Вы можете повторить попытку на панели действий устройства, если она доступна.
   • Если устройство выглядит изолированным, но вы не можете собрать данные исследования, убедитесь, что метод исследования (например, динамический ответ) поддерживается для этого устройства и сценария. Также убедитесь, что необходимые конечные точки службы доступны в конфигурации сети. Дополнительные сведения см. в разделах Исследование сущностей на устройствах с помощью динамического ответа и Настройка параметров подключения устройства и прокси-сервера в Microsoft Defender для конечной точки.

Освобождение устройства от автоматической изоляции

Вы можете освободить устройство от сдерживания в любое время после снижения риска и завершения исследования:

1. Выберите устройство из списка Инвентаризация устройств или откройте страницу устройства.
2. Выберите Освободить из изоляции в меню действий.

Дополнительные сведения об освобождении устройств см. в разделе Изоляция устройств из сети.

Исключить устройства из автоматической изоляции

Вы можете исключить определённые устройства из автоматической изоляции устройств с помощью применения политик и исключений. Создайте новый тег устройства или используйте существующий, назначьте его устройствам, которые хотите исключить, и настройте приложение политики так, чтобы исключать действие Isolate device для этого тега.

Подробные инструкции смотрите в разделе Применения политики и исключения (Предварительный просмотр).

Когда автоматическое прерывание атаки определяет исключённое устройство как скомпрометированное, действие Изолировать устройство не выполняется. Действие появляется со статусом «Пропущено » в центре действий, и устройство продолжает работать нормально.

Принудительное освобождение устройства от изоляции

Функция изоляции устройств — это бесценный инструмент для защиты устройств от внешних угроз. Однако бывают случаи, когда изолированные устройства перестают отвечать на запросы.

Есть скрипт, доступный для скачивания, для случаев, когда изолированные устройства перестают отвечать; его можно запустить, чтобы принудительно вывести их из изоляции. Скрипт доступен по ссылке на странице устройства на портале Microsoft Defender.

Принудительное освобождение устройства от изоляции:

1. На странице устройства выберите Скачать скрипт, чтобы принудительно освободить устройство от изоляции в меню действий.

2. В области справа выберите Скачать скрипт.

Минимальные требования для принудительного выпуска устройства

Чтобы принудительно освободить устройство от изоляции, устройство должно работать под управлением Windows. Поддерживаются следующие версии:

• Windows 10 21H2 и 22H2 с KB5023773.
• Windows 11 версии 21H2, все выпуски с KB5023774.
• Windows 11 версии 22H2, все редакции с KB5023778.

Уведомление пользователя устройства об изоляции

При изоляции устройства отображается следующее уведомление, информирующее пользователя о том, что устройство изолировано от сети:

Содержит критически важные ресурсы

Если критически важный ресурс скомпрометирован и используется для распространения угроз, остановка распространения может быть трудной. Эти ресурсы должны продолжать работать, чтобы избежать потери производительности. Defender for Endpoint включает критически важный ресурс с высокой степенью детализации. Предотвращает распространение атаки, сохраняя работоспособность ресурса.

Благодаря автоматическому прерыванию атаки Defender for Endpoint помечает вредоносное устройство и определяет его роль. Затем она применяет политику соответствия, чтобы локализовать критически важный актив. Эта мера сдерживания ограничивает только определенные порты и направления обмена данными.

Критически важные ресурсы можно определить по тегу критических ресурсов на устройстве или на странице IP-адреса. Изоляция устройств поддерживает такие критически важные типы ресурсов, как контроллеры домена, DNS-серверы и DHCP-серверы.

Изолировать устройства от сети

Если вы обнаружите неуправляемое устройство, которое скомпрометировано или может быть скомпрометировано, вы можете изолировать его от сети. Это предотвращает боковое перемещение атаки. Если изолировать устройство, все устройства, подключенные к Defender for Endpoint, будут блокировать входящий и исходящий обмен данными с этим устройством. Сдерживание помогает защитить близлежащие устройства, пока аналитик безопасности находит и исправляет угрозу.

После того как устройства будут отключены, мы рекомендуем как можно скорее исследовать и устранять угрозу на автономных устройствах. После устранения проблемы следует вывести устройства из изоляции.

Как изолировать устройство

Чтобы изолировать устройство на странице инвентаризации устройств, выполните следующие действия.

1. Перейдите на страницу Инвентаризация устройств и выберите устройство для хранения.

2. Выберите Изолировать устройство в меню действий на всплывающей панели устройства.

   

3. Во всплывающем окне содержать устройство введите комментарий и нажмите кнопку Подтвердить.

   

Поместить устройство со страницы устройства

Устройство также можно изолировать со страницы устройства, выбрав Изолировать устройство на панели действий:

После изоляции устройства, если его работа не соответствует ожидаемой, убедитесь, что на устройствах, подключённых к Defender for Endpoint, включена служба базового фильтра (BFE).

Прекратить размещение устройства

Вы можете прекратить изоляцию устройства в любое время.

1. Выберите устройство из списка Инвентаризация устройств или откройте страницу устройства.

2. В меню действий выберите Освободить из сдерживания . Освобождение от хранения восстанавливает подключение устройства к сети.

Содержать IP-адреса неоткрытых устройств

Defender для конечной точки также может содержать IP-адреса, связанные с устройствами, которые не обнаружены или не подключены. Содержащий IP-адрес запрещает злоумышленникам распространять атаки на другие устройства. Если IP-адрес заблокирован, все подключенные устройства блокируют входящий и исходящий трафик, связанный с устройствами, использующими этот IP-адрес.

Сдерживание IP-адреса, связанного с необнаруженными устройствами или устройствами, не подключенными к Defender for Endpoint, выполняется автоматически с помощью автоматического предотвращения атак. Политика изоляции IP-адресов автоматически блокирует вредоносный IP-адрес, когда Defender for Endpoint обнаруживает, что этот IP-адрес связан с необнаруженным устройством или устройством, не подключенным к Defender for Endpoint.

На соответствующей странице инцидента, устройства или IP-адреса отображается сообщение о том, что действие применено. Приведем пример.

После изоляции IP-адреса вы можете просмотреть это действие в разделе «Журнал» Центра операций. Вы можете увидеть, когда произошло действие, и определить содержащиеся IP-адреса.

Если автономный IP-адрес является частью инцидента, индикатор отображается на графе инцидентов и на вкладке подтверждения и ответа инцидента. Вот пример.

Вы можете в любое время остановить сдерживание IP-адреса. Чтобы отменить изоляцию, выберите действие Изолировать IP-адрес в Центре операций. Во всплывающем окне выберите Отменить. Это действие восстанавливает подключение IP-адреса к сети.

Изолировать пользователя в сети

Если учётная запись в вашей сети могла быть скомпрометирована, необходимо запретить этой учётной записи доступ к сети и различным конечным точкам. Microsoft Defender for Endpoint может изолировать скомпрометированную учетную запись, блокируя ей доступ и помогая предотвращать атаки, в частности атаки с использованием программ-вымогателей. Когда учетная запись изолирована, все поддерживаемые устройства, подключенные к Defender for Endpoint, блокируют входящий трафик по протоколам, связанным с атакой (сетевые входы в систему, RPC, SMB, RDP). Устройства также заканчивают текущие удаленные сеансы и удаляют существующие подключения RDP, включая все связанные процессы. Легитимный трафик продолжает проходить в обычном режиме. Локализация скомпрометированной учётной записи может значительно снизить последствия атаки. Когда скомпрометированная учетная запись локализована, аналитики по безопасности получают дополнительное время для обнаружения, идентификации и устранения угрозы, связанной с этой учетной записью. После прерывания автоматической атаки пользователь автоматически удаляется из сдерживания в течение следующих пяти дней.

Содержать важные заметки пользователей

• Defender for Endpoint применяет изоляцию пользователя на уровне конечного устройства и не отключает учётную запись у поставщика удостоверений. Defender for Endpoint блокирует использование злоумышленниками скомпрометированных учетных данных на защищенных устройствах и ограничивает доступ на основе аутентификации, доступ к файловой системе и каналы сетевого взаимодействия. Это действие применяет элементы управления на детальном уровне, чтобы корпорация Майкрософт могла ориентироваться на действия, связанные с атаками, и сохранять нормальное деловое взаимодействие, где это возможно.
• Когда действие изоляции пользователя активируется функцией предиктивной защиты (предварительная версия), оно применяет ограничения более избирательно, в первую очередь в отношении пользователей, которые по результатам логики прогнозирования были отнесены к категории высокого риска. Действие по изоляции пользователя в режиме прогнозной защиты предотвращает создание новых сеансов, а не завершает существующие.
• Хотя функция предиктивной защиты в целом доступна в рамках предварительной версии, это действие является общедоступным как при срабатывании функции прерывания атаки, так и при срабатывании предиктивной защиты.
• Блокировка входящих подключений для "изолированного" пользователя поддерживается на устройствах Windows 10 и 11, подключенных к Microsoft Defender для конечной точки (версии Sense 8740 и выше), на устройствах с Windows Server 2019 и более поздних версий, а также на Windows Server 2012 R2 и 2016 с современным агентом.
• Важно! После принудительного применения действия пользователя Contain на контроллере домена запускается обновление объекта групповой политики контроллера домена по умолчанию. Изменение объекта групповой политики запускает синхронизацию между контроллерами домена в вашей среде. Это ожидаемое поведение, и если вы отслеживаете изменения объектов групповой политики Active Directory в своей среде, вы можете получать уведомления о таких изменениях. Отмена действия "Содержать пользователя" возвращает изменения объекта групповой политики в предыдущее состояние, что затем запускает другую синхронизацию объектов групповой политики AD в вашей среде. Дополнительные сведения о слиянии политик безопасности на контроллерах домена.

Как изолировать пользователя

В настоящее время изоляция пользователей доступна только в автоматическом режиме с помощью функции автоматического прерывания атаки. Когда корпорация Майкрософт обнаруживает, что пользователь скомпрометирован, автоматически устанавливается политика "Contain User".

Просмотр действий пользователя в Contain

После изоляции пользователя можно просмотреть это действие в представлении "Журнал" Центра действий. В представлении журнала Центра действий можно увидеть, когда произошло действие и к каким пользователям в вашей организации были применены меры сдерживания:

Кроме того, после того как учетная запись будет считаться "изолированной", этот пользователь будет заблокирован средствами Defender for Endpoint и не сможет выполнять вредоносное боковое перемещение или удаленное шифрование на любом поддерживаемом устройстве, подключенном к Defender for Endpoint, или в отношении него. Эти блоки отображаются в виде оповещений, которые помогают быстро увидеть устройства, на которые скомпрометированный пользователь попытался получить доступ, и методы потенциальной атаки:

Чтобы просмотреть текущее состояние действия "Изолировать пользователя" и других действий, см. Отслеживание состояния действия на вкладке "Действия" (предварительная версия).

Отмена содержит действия пользователя

Вы можете снять блокировку и ограничение с пользователя в любое время:

1. Выберите действие "Содержать пользователя" в центре уведомлений. В боковой области выберите Отменить.

2. Выберите пользователя в списке пользователей, на боковой панели страницы инцидента или на боковой панели оповещения и нажмите Отменить.

Это действие восстанавливает подключение пользователя к сети.

Возможности расследования с функцией "Изолировать пользователя"

После того как пользователь будет остановлен, вы можете исследовать потенциальную угрозу, просмотрев заблокированные действия скомпрометированного пользователя. В представлении временной шкалы устройства можно увидеть сведения о конкретных событиях, включая сведения на уровне протокола и интерфейса, а также соответствующую технику MITRE, связанную с ними.

Кроме того, вы можете расширить исследование с помощью расширенной охоты. Найдите любой тип действия, начинающийся с contain в DeviceEvents таблице. Затем вы сможете просмотреть все отдельные события блокировки, связанные с действием Contain User в вашей организации, подробнее изучить контекст каждого случая блокировки и извлечь различные сущности и методы, связанные с этими событиями.

Усиление безопасности GPO — прогнозирующая защита (предварительная версия)

Функция предиктивной защиты (предварительная версия) позволяет Defender для конечных точек применять действие по усилению защиты GPO. Усиление защиты GPO временно блокирует новые политики GPO на устройствах с высоким риском. Это помогает предотвратить компрометацию путем ограничения изменений параметров ключей.

Чтобы получить лучшие результаты от прогнозного экранирования, используйте датчик Microsoft Defender для удостоверений. Дополнительные сведения см. в статье Расширение прогнозируемой защиты с помощью Microsoft Defender для удостоверений личности.

После применения действия вы можете увидеть его влияние на графике инцидента, отслеживать его в Центре действий и проводить расследование с помощью расширенного поиска. Дополнительные сведения см. в разделе Управление действиями прогнозного экранирования.

Усиление защиты Safeboot — прогнозная защита (предварительная версия)

В рамках функции прогнозируемой защиты (предварительная версия) Microsoft Defender для конечной точки автоматически применяет действие усиления защиты Safeboot. Усиление защиты SafeBoot помогает защитить устройства от компрометации за счет применения более строгих параметров загрузки для устройств, которые, как ожидается, подвержены высокому риску компрометации.

Чтобы повысить эффективность упреждающих защитных действий, мы рекомендуем использовать в вашей среде сенсор Microsoft Defender для удостоверений. Дополнительные сведения см. в статье Расширение прогнозируемой защиты с помощью Microsoft Defender для удостоверений личности.

После применения действия вы можете просмотреть его влияние на графике инцидента, отслеживать действия в Центре действий и продолжить расследование с помощью расширенного поиска. Дополнительные сведения см. в разделе Управление действиями прогнозного экранирования.

Сведения о текущем состоянии действия защиты Safeboot и других действий см. в разделе Отслеживание состояния действия на вкладке Действия (предварительная версия).

Обратитесь к эксперту по угрозам

Вы можете обратиться к эксперту по Microsoft угроз для получения дополнительных сведений о скомпрометированном или потенциально скомпрометированном устройстве. эксперты Майкрософт по угрозам работают с вами напрямую через портал Defender, чтобы обеспечить своевременное и точное реагирование. Эксперты помогают понять сложные угрозы, оповещения о целевых атаках и аналитику угроз, отображаемые на панели мониторинга портала.

Дополнительные сведения см. в статье Настройка и управление уведомлениями об атаках конечных точек .

Проверьте подробности и статус операции

Центр уведомлений (https://security.microsoft.com/action-center) предоставляет сведения о действиях, выполненных с устройством или файлом. Вы можете просмотреть следующие сведения:

• Сбор пакетов для расследования
• Антивирусная проверка
• Ограничение приложения
• Изоляция устройства

Также отображаются все другие связанные сведения, например дата и время отправки, отправляющий пользователь, а также сведения о том, было ли действие успешным или неудачным.

На вкладке Действия на странице Инцидент отображаются сведения и состояние действий, выполненных в ходе реагирования на инцидент. Дополнительные сведения см. в разделе Отслеживание состояния действия на вкладке Действия (предварительная версия).

Связанные материалы

• Выполнить действия реагирования для файла
• Действия реагирования вручную в Microsoft Defender для конечной точки, план 1
• Сообщить об неточности