Wykluczanie zasobów z automatycznych odpowiedzi w automatycznym zakłóceniu ataku

Ten artykuł zawiera informacje na temat wykluczania zasobów z automatycznego dołączania przez automatyczne zakłócenia ataków w Microsoft Defender XDR.

Automatyczne zakłócenie ataku umożliwia wykluczenie określonych kont użytkowników, urządzeń i adresów IP z automatycznych akcji powstrzymywania. Po wykluczeniu na te zasoby nie będą miały wpływu zautomatyzowane akcje wyzwalane przez zakłócenia ataku.

Wymagania wstępne

Aby wykluczyć zasoby z automatycznych odpowiedzi w przypadku automatycznego zakłócenia ataku, musisz mieć jedną z następujących ról przypisanych do Tożsamość Microsoft Entra (https://portal.azure.com) lub w Centrum administracyjne platformy Microsoft 365 (https://admin.microsoft.com):

• Administrator globalny
• Administrator zabezpieczeń

Przeglądanie lub zmienianie automatycznych wykluczeń odpowiedzi dla zasobów

Aby wykluczyć zasoby z automatycznych odpowiedzi w przypadku automatycznego zakłócenia ataku, wykonaj następujące kroki:

1. Przejdź do portalu usługi Microsoft Defender (https://security.microsoft.com) i zaloguj się.

2. Przejdź do pozycji Ustawienia>Microsoft Defender XDR.

Wykluczanie kont użytkowników

1. W obszarze Automatyczna odpowiedź wybierz pozycję Tożsamości.

2. Aby wykluczyć konto użytkownika, wybierz pozycję Dodaj wykluczenie użytkownika. Zostanie wyświetlone okienko wysuwane.

   

3. W okienku wysuwanym wprowadź nazwy kont użytkowników w polu Wybierz użytkowników i wybierz konta użytkowników, które chcesz wykluczyć.

   

4. Wybierz pozycję Wyklucz użytkowników , aby zapisać wykluczenie.

Wykluczanie grup urządzeń

1. W obszarze Odpowiedzi automatyczne wybierz pozycję Urządzenia.

2. Na karcie Grupy urządzeń wybierz grupę urządzeń, zaznaczając pole wyboru obok nazwy grupy z listy, aby skonfigurować ustawienia automatyzacji zakłóceń ataku.

   

3. W okienku wysuwanym wybierz odpowiedni poziom automatyzacji dla grupy urządzeń. Możesz wybrać jeden z następujących poziomów automatyzacji odpowiednich dla grupy urządzeń:

   • Pełne — automatyczne korygowanie zagrożeń: automatycznie zawiera urządzenia po wykryciu zagrożenia.
   • Semi — wymaga zatwierdzenia dla folderów podstawowych: automatycznie badaj urządzenia po odebraniu alertu i stosuj akcje korygowania z wyjątkiem elementów w podstawowych folderach systemowych. Akcje korygowania dla folderów podstawowych wymagają zatwierdzenia.
   • Semi — wymaga zatwierdzenia dla folderów innych niż tymczasowe: automatycznie zbadaj i zastosuj korygowanie do akcji w folderach tymczasowych i pobierania po otrzymaniu alertu. Wszystkie inne akcje korygowania wymagają zatwierdzenia.
   • Semi — wymaga zatwierdzenia dla wszystkich folderów: automatycznie badaj urządzenia po otrzymaniu alertu. Wszystkie akcje korygowania wymagają zatwierdzenia.
   • Brak automatycznej odpowiedzi: nie jest wykonywane zautomatyzowane badanie ani reagowanie na urządzenia w tej grupie.

   

4. Wybierz pozycję Zapisz , aby zapisać poziom automatyzacji dla grupy urządzeń.

Wykluczanie adresów IP

1. W obszarze Odpowiedzi automatyczne wybierz pozycję Urządzenia.

2. Na karcie Adresy IP wybierz pozycję Wyklucz adres IP , aby wykluczyć adres IP.

   

3. W okienku wysuwanego wprowadź podsieć adres IP/zakres IP/adres IP, którą chcesz wykluczyć. Możesz dodać wiele adresów IP i podsieci IP, oddzielając je przecinkami.

   

4. Dodaj nazwę i notatkę dla wykluczenia. Wybierz pozycję Utwórz , aby zapisać wykluczenie.

Usuwanie wykluczeń

Aby usunąć wykluczenie:

• Przejdź do strony Tożsamości . Wybierz konto użytkownika, które chcesz usunąć z listy, a następnie wybierz pozycję Usuń.

• Przejdź do strony Urządzenia i przejdź do karty Adresy IP . Wybierz adres IP, który chcesz usunąć z listy, a następnie wybierz pozycję Usuń wykluczenie.

• Wykluczenia grup urządzeń można skonfigurować na karcie Grupy urządzeń . Wybierz grupę urządzeń, którą chcesz skonfigurować z listy i wybierz odpowiednie wykluczenie z okienka wysuwanego. Wybierz pozycję Zapisz , aby zapisać wykluczenie.

Rezygnacja z automatycznego zakłócania ataków

Rezygnacja z zakłóceń ataku może znacznie zwiększyć ryzyko bezpieczeństwa. Zamiast tego rozważ wykluczenie określonych jednostek .

Jeśli musisz zrezygnować z zakłóceń ataku, możesz to zrobić, otwierając zgłoszenie pomocy technicznej w portalu Microsoft Defender z zastrzeżeniem rezygnacji z zakłóceń ataku. W żądaniu określ, że chcesz zrezygnować z zakłóceń ataku i podać krótkie wyjaśnienie swojej decyzji. Ta opinia pomaga nam ulepszyć funkcję i lepiej zrozumieć potrzeby klientów. Dzięki rezygnacji nadal będziesz otrzymywać alerty związane z zakłóceniami ataku, ale nie są podejmowane żadne zautomatyzowane działania.

Zobacz też

• Wyświetlanie szczegółów i wyników zautomatyzowanych akcji zakłóceń ataku