查看 適用於端點的 Microsoft Defender 中的裝置控制事件與資訊

進階搜捕

當裝置控制政策被觸發時，事件會以進階搜尋方式顯示，無論事件是由系統發起還是登入使用者發起。 本節包含一些你可以在進階狩獵中使用的範例查詢。

範例 1：由磁碟與檔案系統層級強制觸發的可移除儲存政策

當動作 RemovableStoragePolicyTriggered 發生時，會提供關於磁碟及檔案系統層級強制執行的事件資訊。

//RemovableStoragePolicyTriggered: event triggered by Disk and file system level enforcement for both Printer and Removable storage based on your policy
DeviceEvents
| where ActionType == "RemovableStoragePolicyTriggered"
| extend parsed=parse_json(AdditionalFields)
| extend RemovableStorageAccess = tostring(parsed.RemovableStorageAccess)
| extend RemovableStoragePolicyVerdict = tostring(parsed.RemovableStoragePolicyVerdict)
| extend MediaBusType = tostring(parsed.BusType)
| extend MediaClassGuid = tostring(parsed.ClassGuid)
| extend MediaClassName = tostring(parsed.ClassName)
| extend MediaDeviceId = tostring(parsed.DeviceId)
| extend MediaInstanceId = tostring(parsed.DeviceInstanceId)
| extend MediaName = tostring(parsed.MediaName)
| extend RemovableStoragePolicy = tostring(parsed.RemovableStoragePolicy)
| extend MediaProductId = tostring(parsed.ProductId)
| extend MediaVendorId = tostring(parsed.VendorId)
| extend MediaSerialNumber = tostring(parsed.SerialNumber)
|project Timestamp, DeviceId, DeviceName, InitiatingProcessAccountName, ActionType, RemovableStorageAccess, RemovableStoragePolicyVerdict, MediaBusType, MediaClassGuid, MediaClassName, MediaDeviceId, MediaInstanceId, MediaName, RemovableStoragePolicy, MediaProductId, MediaVendorId, MediaSerialNumber, FolderPath, FileSize
| order by Timestamp desc

裝置控制報告

適用於：

• 適用於端點的 Microsoft Defender 方案 1
• 適用於端點的 Microsoft Defender 方案 2
• 適用於企業的 Microsoft Defender

透過裝置控制報告，您可以查看與媒體使用相關的事件。 此類活動包括：

• 審計事件： 顯示連接外部媒體時所發生的稽核事件數量。
• 政策活動： 顯示當裝置控制政策被觸發時所發生的政策事件數量。

了解審計事件

審計活動包括：

• USB 隨身碟安裝與卸載： 當 USB 隨身碟掛載或卸載時產生的稽核事件。
• PnP：當連接可移動儲存裝置、印表機或藍牙媒體時，隨插即用稽核事件會產生。
• 可移除儲存存取控制： 當觸發可移除儲存存取控制政策時，會產生事件。 它可以是審計、封鎖或允許。

監控裝置控制安全

Defender for Endpoint 中的裝置控制功能賦予資安管理員工具，讓他們能透過報告追蹤組織的裝置控制安全狀況。 你可以在Microsoft Defender入口網站找到裝置控制報告 (https://security.microsoft.com) 。 前往 報告>端點。 找到 裝置控制 卡，並選擇連結以開啟報告。

在 報告 儀表板中， 裝置保護 卡顯示過去 180 天內依媒體類型產生的稽核事件數量。 在 查看詳情中，列出過去30天的原始事件。

檢視細節按鈕會顯示更多媒體使用資料，顯示裝置控制報告頁面。

該頁面提供一個儀表板，列出每種類型的事件總數及事件清單，並顯示每頁 500 個事件，但如果你是管理員 (，例如安全管理員) ，可以往下滑查看更多事件，並可依時間範圍、媒體類別名稱及裝置 ID 篩選。

當您選擇活動時，會跳出活動 資訊 說明視窗，顯示更多資訊：

• 一般細節： 日期、行動模式、政策及本次活動的存取權限。
• 媒體資訊： 媒體資訊包括媒體名稱、類別名稱、類別 GUID、裝置 ID、供應商 ID、序號及匯流排類型。
• 地點詳情： 裝置名稱、使用者及 MDATP 裝置 ID。

若要查看該媒體在組織內的即時活動，請在飛出圖頂端選擇 「開放進階狩獵 」。 這包括一個嵌入式、預先定義的查詢。

要查看裝置的安全性，請在跳出視窗底部選擇 「開啟裝置頁面 」按鈕。 這個按鈕會開啟裝置實體頁面。

報導延遲

從媒體連線發生到事件反映在卡片或網域清單中，可能會有長達六小時的延遲。