Microsoft Defender 入口網站中的警示政策

你可以使用警示政策和 Microsoft Defender 入口網站的警示儀表板來建立警示政策，然後查看使用者執行符合警示政策條件的活動時產生的警示。 有幾項預設警示政策幫助你監控活動，例如在 Exchange Online 中分配管理員權限、惡意軟體攻擊、網路釣魚攻擊，以及異常程度的檔案刪除或外部分享。

警示原則可讓您分類原則所觸發的警示、將原則套用至組織中所有的使用者、設定觸發警示時的臨界值等級，以及決定是否要在觸發警示時收到電子郵件通知。 此外，還有一個 警示 頁面，您可以查看並篩選警示，設定警示狀態以協助管理警示，並在處理或解決底層事件後關閉警示。

警示原則的運作方式

以下是警示政策的快速說明，以及當使用者或管理員的活動符合警示政策條件時會觸發的警示。

1. 您組織中的管理員可透過合規入口網站或 Microsoft Defender 入口網站的警示政策頁面，建立、設定並啟用警示政策。 你也可以在 Security & Compliance PowerShell 中使用 New-ProtectionAlert 指令檔來建立警報政策。

   要建立警示政策，您必須在合規入口網站或 Defender 入口網站中被指派管理警示角色或組織設定角色。

   注意事項

   在建立或更新警示政策後，最多需要 24 小時才能由該政策觸發警示。 這是因為政策必須與警示偵測引擎同步。

2. 使用者執行符合警示政策條件的活動。 在惡意軟體攻擊的情況下，寄給組織用戶的感染電子郵件會觸發警示。

3. Microsoft 365 會產生一個警示，並顯示在 Microsoft Defender 入口網站的警示頁面。 此外，若警示政策啟用電子郵件通知，Microsoft 會向收件人列表發送通知。 管理員或其他使用者能在警示頁面看到的警示，取決於該使用者被指派的角色。 欲了解更多資訊，請參閱 查看警報所需的 RBAC 權限。

4. 管理員負責管理 Microsoft Defender 入口網站中的警示。 管理警示是指派一個警示狀態以協助追蹤和管理任何調查。

警示原則設定

警示原則包含一組規則和條件，可定義產生警示的使用者或系統管理員活動，以及在執行活動時觸發警示的使用者清單，以及定義觸發警示之前必須進行的活動次數的臨界值。 您也對原則進行分類，並指派嚴重性等級。 這兩個設定幫助你管理警示政策 (以及當政策條件匹配時觸發的警示) 因為你可以在管理政策並在Microsoft Defender入口網站查看警示時，依這些設定進行篩選。 例如，您可以查看與同一類別條件相符的警示，或查看具有相同嚴重程度等級的警示。

要查看並建立警報政策，請在Microsoft Defender入口網站Email &協作中選擇「政策」&「規則>」「警報政策」。 或者，您可以直接前往 https://security.microsoft.com/alertpolicies。

警示政策包含以下設定與條件。

• 警報正在追蹤的活動。 你可以建立一個政策來追蹤一項活動，或在某些情況下追蹤幾個相關活動，例如透過分享檔案與外部使用者分享檔案、分配存取權限，或建立匿名連結。 當使用者執行原則所定義的活動時，系統會根據警示臨界值設定觸發警示。

  注意事項

  您可以追蹤的活動取決於您組織的 Office 365 企業版或 Office 365 美國政府方案。 一般而言，與惡意軟體活動及網路釣魚攻擊相關的活動需要 E5/G5 訂閱，或 E1/F1/G1 或 E3/F3/G3 訂閱，並搭配 Defender for Office 365 Plan 2 附加訂閱。

• 活動狀況。 對於大多數活動，你可以定義必須達成的額外條件才能觸發警報。 常見條件包括 IP 位址 (，當使用者在特定 IP 位址的電腦上執行活動) 時會觸發警示，或在特定使用者執行該活動時是否會觸發警示，以及該活動是否在特定檔案名稱或網址上執行。 你也可以設定一個條件，當組織中任何使用者執行該活動時，會觸發警報。 可用的條件取決於所選活動。

你也可以將使用者標籤定義為警示政策的條件。 此定義使政策觸發的警示包含受影響使用者的上下文。 你可以使用系統使用者標籤或自訂使用者標籤。 如需詳細資訊，請參閱適用於 Office 365 的 Microsoft Defender 中的使用者標籤。

• 警報被觸發時， 你可以設定一個設定，定義某項活動在警報觸發前的頻率。 這讓你能設定政策，每當活動符合政策條件、超過某個門檻，或警報追蹤的活動發生變得異常時，都會產生警報。

  

  如果你是根據異常活動選擇設定，Microsoft 會建立一個基準值，定義該活動的正常頻率。 建立這個基準線需要長達七天，在此期間不會產生警報。 基線建立後，當警報政策追蹤的活動頻率遠超過基線值時，會觸發警報。 對於稽核相關活動 (如檔案與資料夾活動) ，您可以根據單一使用者或組織內所有使用者建立基準;針對惡意軟體相關活動，您可以根據單一惡意軟體家族、單一收件人，或組織內所有訊息建立基準。

  注意事項

  根據閾值或異常活動設定警報政策的能力，需要 E5/G5 訂閱，或是 E1/F1/G1 或 E3/F3/G3 訂閱，並搭配 Microsoft Defender for Office 365 P2、Microsoft 365 E5 合規性或 Microsoft 365 eDiscovery and Audit 附加元件。 擁有 E1/F1/G1 及 E3/F3/G3 訂閱的組織，只能建立每次活動發生時觸發警報的警示政策。

• 警報類別。 為了協助追蹤和管理政策產生的警示，你可以將以下其中一個類別指派到政策上。

  • 資料外洩防護
  • 資訊控管
  • 郵件流程
  • 權限
  • 威脅管理
  • 其他人

  當發生符合警報政策條件的活動時，產生的警報會被標記為此設定中定義的類別。 這讓你能追蹤和管理在 Microsoft Defender 入口網站的警報頁面中具有相同類別設定的警報，因為你可以依類別排序和篩選警報。

• 警報嚴重度。 與警示類別類似，你可以為警示政策指派低、中、高或資訊性) 嚴重性屬性 (。 就像警示類別，當發生符合警示原則條件的活動時，所產生的警示會以針對警示原則所設定的嚴重性等級進行標記。 同樣地，這讓你能追蹤和管理在 警報 頁面上具有相同嚴重度設定的警報。 例如，你可以篩選警報清單，只顯示 嚴重度較高 的警報。

  提示

  在設定警示政策時，考慮對可能導致嚴重負面影響的行為設定較高嚴重程度，例如惡意軟體傳送後偵測到、查看敏感或機密資料、與外部使用者分享資料，或其他可能導致資料遺失或安全威脅的行為。 這有助於你優先處理警示，並採取哪些行動調查和解決根本原因。

• 自動化調查。 部分警報會觸發自動調查，以識別需要修復或緩解的潛在威脅與風險。 大多數情況下，這些警示是由偵測惡意電子郵件或活動觸發，但在某些情況下，警示是由管理員在安全入口網站的操作觸發。 欲了解更多自動化調查資訊，請參閱Microsoft Defender年 (AIR) 的自動化調查與回應Office 365。

• Email通知。 你可以設定政策，讓郵件通知在觸發警報時 (或未發送給用戶名單) 。 您也可以設定每日通知上限，當通知數量達到最大時，當天不會再發送通知。 除了電子郵件通知外，您或其他管理員還可以在 警示 頁面查看由政策觸發的警示。 考慮啟用特定類別警示政策或嚴重度較高的電子郵件通知。

預設警報政策

Microsoft 提供內建警示政策，協助識別 Exchange 管理員權限濫用、惡意軟體活動、潛在的外部與內部威脅，以及資訊治理風險。 在 警示政策 頁面，這些內建政策名稱以粗體標示，政策類型定義為 系統。 這些政策預設會被開啟。 你可以) (或重新關閉這些政策，設定收件人清單發送電子郵件通知，並設定每日通知上限。 這些政策的其他設定無法被編輯。

以下表格列出並描述可用的預設警示政策及每個政策所分配的類別。 此分類用來決定使用者可以在警示頁面上查看哪些警示。 欲了解更多資訊，請參閱 查看警報所需的 RBAC 權限。

表格同時標示了每台所需的 Office 365 企業版與 Office 365 美國政府方案。 若貴組織除了E1/F1/G1或E3/F3/G3訂閱外，還擁有適當的附加訂閱，部分預設警示政策可用。

資訊治理警示政策

郵件流警示政策

權限警示政策

威脅管理警示政策

¹ 此警示政策是因 租戶或使用者覆寫而交付的釣魚 資訊的替代功能之一，以及因使用者反饋而移除的 收件匣/資料夾 警示政策所產生的使用者冒充釣魚。 欲了解更多關於 Office 365 反釣魚的資訊，請參閱反釣魚政策。

檢視警示

當組織內使用者執行的活動與警報政策設定相符時，警報會產生並在 Microsoft Defender 入口網站的警報頁面顯示。 根據警報政策的設定，當警報觸發時，也會向指定使用者名單發送電子郵件通知。 對於每個警示，警 示 頁面的儀表板會顯示對應警示政策名稱、警示政策) 中定義的 (警示嚴重程度與類別，以及導致該警示產生的活動次數。 此值基於警示政策的閾值設定。 儀表板也會顯示每個警示的狀態。 欲了解更多使用狀態屬性管理警示的資訊，請參閱 「管理警示」。

要查看警示，請在Microsoft Defender入口網站中選擇事件 & 警示>警示。 或者，您可以直接前往 https://security.microsoft.com/alerts。

您可以使用以下篩選條件查看 警報頁面上 部分所有警報：

• 嚴重度：顯示被指定為特定嚴重性的警報。
• 狀態：顯示被賦予特定狀態的警示。 預設狀態為新。 你或其他管理員可以更改狀態值。
• 分類：顯示一個或多個警報類別的警報。
• 服務/偵測來源：使用此篩選器顯示特定服務或偵測來源中由警報政策觸發的警報。 例如，您可以在 Microsoft Defender for Office 365 或 適用於身分識別的 Microsoft Defender 中顯示由警報政策觸發的警報。
• 標籤：顯示來自一個或多個使用者標籤的警示。
• 政策/政策規則：顯示與一個或多個警報政策設定相符的警示。 或者你可以顯示所有警報政策的警報。
• 警示類型：顯示根據特定警示類型產生的警示。
• 產品名稱：顯示特定 Microsoft 安全產品的警示。
• 警報訂閱 ID：顯示由特定警報訂閱 ID 產生的警報。
• 實體：顯示與特定實體相關的警示。
• 自動調查狀態：顯示處於特定自動調查狀態的警示。
• 工作區：顯示與特定工作區相關的警示。 這只適用於你組織內有一個或多個工作空間時。
• 資料串流：顯示與特定資料串流相關的警報。 例如，你可以顯示與 Microsoft OneDrive 和 Microsoft Exchange 資料串流相關的警示。

警報聚合

當多個符合警示政策條件的事件在短時間內發生時，這些事件會透過稱為 警示聚合的流程加入現有警示。 當事件觸發警報時，警報會被產生並顯示在 警報 頁面，並發送通知。 若相同事件發生於聚合期間內，Microsoft 365 會將新事件細節加入現有警報，而非觸發新警報。 警示彙整的目標是幫助減少警示「疲勞」，讓你能專注於同一事件中較少的警示並採取行動。

聚合時間的長度取決於你的 Office 365 或 Microsoft 365 訂閱。

當在聚合期間內發生與相同警示政策相符的事件時，後續事件的細節會被加入原始警示中。 對於所有事件，聚合事件的資訊會顯示在詳細資料欄位，事件發生次數與聚合間隔則顯示在活動/點擊數欄位。 您可以透過查看活動清單查看所有聚合事件實例的更多資訊。

以下截圖顯示一個包含四個事件的警示。 活動清單包含與警示相關的四封電子郵件資訊。

關於警報聚合，請留意以下幾點：

• 由偵測到潛在惡意網址點擊的預設警報政策所觸發的警報不會被彙整。 此行為是因為該政策觸發的警示對每位使用者和電子郵件都是獨一無二的。

• 目前， Hit count alert 屬性並未顯示所有警報政策的總事件數量。 對於這些警報政策觸發的警報，您可以點擊「 查看訊息清單 」或「 檢視活動」 來查看彙整的事件。 我們正努力讓所有警報政策都能使用「 點擊次數 」警報屬性中列出的聚合事件數量。

查看警報需要 RBAC 權限

基於角色存取控制 (RBAC) 分配給組織內使用者的權限決定使用者可以在警示頁面看到哪些警示。 這是怎麼做到的？ 分配給使用者的管理角色 (根據他們在Microsoft Defender入口網站中的角色群組成員身份，) 決定使用者可以在警報頁面上看到哪些警報類別。 範例如下：

• 記錄管理角色群組的成員只能檢視已指派 [資訊控管] 類別之警示原則所產生的警示。
• 合規性系統管理員角色群組的成員無法檢視已指派 [威脅管理] 類別之警示原則所產生的警示。
• 「電子文件探索管理員」角色群組的成員無法檢視任何警示，因為所有指派的角色都不會提供任何警示類別的檢視警示的權限。

此設計 (基於 RBAC 權限) 讓您決定哪些警示可由組織中特定職務的使用者 (查看並) 管理。

下表列出六種不同警示類別中需要的角色來查看警示。 勾選標記表示被指派該角色的使用者可以查看標題列中對應警報類別的警報。

欲了解預設警示政策被分配到哪個類別，請參閱 「預設警示政策」中的表格。

$RoleGroups = Get-RoleGroup

$RoleGroups | foreach {Write-Output -InputObject `r`n,$_.Name,("-"*25); Get-RoleGroup $_.Identity | Select-Object -ExpandProperty Roles}

管理警示

警報產生並顯示於 Microsoft Defender 入口網站的警報頁面後，您可以進行分流、調查並解決。 同時， RBAC 權限 也賦予使用者管理警報的能力。

以下是你可以執行的一些任務來管理警報。

• 為警示指派狀態：你可以為警示指定以下狀態之一： 新 ( 預設值) 、 進行中或 已解決。 接著，你可以在這個設定中篩選出同樣狀態設定的警示。 此狀態設定有助於追蹤警報管理的過程。

• 指派警示給使用者：你可以將警示指派給組織內的使用者。 此舉有助於確保警示被適當人員審查並解決。

• 分類警示：你可以為警示指派分類。 分類用來根據觸發警報的活動類型來分類警示。 例如，你可以將警報分類為 真陽性 或 資訊性警報。

• 查看警報細節：您可以選擇一個警報，顯示一個包含警報詳情的飛出頁面。 詳細資訊依應的警示政策而定，但通常包含以下資訊：

  • 觸發警報的實際操作名稱，例如指令長（cmdlet）或審計日誌操作。
  • 描述觸發警報的活動。
  • 使用者 (或) 觸發警報的使用者名單。 此功能僅包含在設定為追蹤單一使用者或單一活動的警示政策中。
  • 警報追蹤的活動執行次數。 這個數字可能與警報頁面上實際列出的相關警報數量不符，因為可能有更多警報被觸發。
  • 一個活動清單連結，包含每個觸發警報活動的項目。 此清單中的每個項目都標示該活動發生的時間、實際操作名稱 (如「FileDeleted」) 、執行該活動的使用者、物件 (如檔案、電子發現案件或執行活動的信箱) ，以及使用者電腦的 IP 位址。 針對惡意軟體相關的警示，請連結至訊息清單。
  • 名稱 (對應警示政策的連結) 。
  • 警報被彙整的事件。

• 調整警報：你可以設定屬性、條件和動作來隱藏或解決警報。

• 更改警示政策的嚴重程度等級

  1. 使用您 Microsoft 365 組織中管理員帳號的憑證登入 Microsoft Defender 入口網站。
  2. 前往Email &協作>政策 & 規則頁面，然後選擇警示政策。
  3. 從清單中選擇你想更新的政策。 在 「動作 」欄位，選擇三個點，然後選擇 編輯。
  4. 在 編輯政策 選單中，選擇下拉選單調整 嚴重程度 。 如果適用，你也可以修改政策的 觸發設定 。
  5. 選擇 「下一步 」以繼續執行其他步驟。
  6. 選擇 提交 以套用新變更，然後選擇 完成 以完成編輯。