مراجعة إجراءات المعالجة بعد إجراء تحقيق تلقائي

ينطبق على:

• Defender for Endpoint الخطة 2
• Microsoft Defender for Business

إجراءات المعالجة

عند تشغيل تحقيق تلقائي ، يتم إصدار حكم لكل جزء من الأدلة التي يتم التحقيق فيها. يمكن أن تكون الأحكام ضارة أو مريبة أو لا توجد تهديدات.

حسب

• نوع التهديد،
• الحكم الناتج، و
• كيفية تكوين مجموعات الأجهزة الخاصة بمؤسستك،

يمكن أن تحدث إجراءات المعالجة تلقائيا أو فقط بناء على موافقة فريق عمليات الأمان في مؤسستك.

فيما يلي بعض الأمثلة:

• مثال 1: يتم تعيين مجموعات أجهزة Fabrikam إلى كامل - معالجة التهديدات تلقائيا (الإعداد الموصى به). في هذه الحالة، يتم اتخاذ إجراءات المعالجة تلقائيا للبيانات الاصطناعية التي تعتبر ضارة بعد تحقيق تلقائي (راجع مراجعة الإجراءات المكتملة).

• مثال 2: يتم تضمين أجهزة Contoso في مجموعة أجهزة تم تعيينها ل Semi - تتطلب الموافقة على أي معالجة. في هذه الحالة، يجب على فريق عمليات الأمان في Contoso مراجعة جميع إجراءات المعالجة والموافقة عليها بعد إجراء تحقيق تلقائي (راجع مراجعة الإجراءات المعلقة).

• مثال 3: تم تعيين مجموعات الأجهزة الخاصة ب Tailspin Toys إلى No automated response (غير مستحسن). في هذه الحالة، لا تحدث التحقيقات التلقائية. لا يتم اتخاذ أي إجراءات معالجة أو تعليقها، ولا يتم تسجيل أي إجراءات في مركز الصيانة لأجهزتهم (راجع إدارة مجموعات الأجهزة).

سواء تم اتخاذه تلقائيا أو عند الموافقة، يمكن أن يؤدي التحقيق والمعالجة التلقائية إلى إجراء واحد أو أكثر من إجراءات المعالجة:

• عزل ملف
• إزالة مفتاح التسجيل
• إنهاء عملية
• إيقاف خدمة
• تعطيل برنامج تشغيل
• إزالة مهمة مجدولة

مراجعة الإجراءات المعلقة

1. انتقل إلى مدخل Microsoft Defender وسجل الدخول.

2. في جزء التنقل، اختر مركز الصيانة.

3. راجع العناصر الموجودة في علامة التبويب Pending .

4. حدد إجراء لفتح جزء القائمة المنبثقة الخاص به.

5. في جزء القائمة المنبثقة، راجع المعلومات، ثم اتبع إحدى الخطوات التالية:

   • حدد فتح صفحة التحقيق لعرض مزيد من التفاصيل حول التحقيق.
   • حدد Approve لبدء إجراء معلق.
   • حدد رفض لمنع اتخاذ إجراء معلق.
   • حدد Go hunt للانتقال إلى التتبع المتقدم.

الموافقة على إجراءات المعالجة أو رفضها

بالنسبة للحوادث ذات حالة المعالجة للموافقة المعلقة، يمكنك أيضا الموافقة على إجراء معالجة أو رفضه من داخل الحدث.

1. في جزء التنقل، انتقل إلى الحوادث & التنبيهات>الحوادث.
2. قم بالتصفية على الإجراء المعلق لحالة التحقيق التلقائي (اختياري).
3. حدد اسم حدث لفتح صفحة الملخص الخاصة به.
4. حدد علامة التبويب الأدلة والاستجابة .
5. حدد عنصرا في القائمة لفتح جزء القائمة المنبثقة الخاص به.
6. راجع المعلومات، ثم اتبع إحدى الخطوات التالية:
   • حدد خيار الموافقة على الإجراء المعلق لبدء إجراء معلق.
   • حدد الخيار رفض الإجراء المعلق لمنع اتخاذ إجراء معلق.

مراجعة الإجراءات المكتملة

1. انتقل إلى مدخل Microsoft Defender وسجل الدخول.

2. في جزء التنقل، اختر مركز الصيانة.

3. راجع العناصر الموجودة في علامة التبويب محفوظات .

4. حدد عنصرا لعرض مزيد من التفاصيل حول إجراء المعالجة هذا.

التراجع عن الإجراءات المكتملة

إذا حددت أن جهازا أو ملفا ليس تهديدا، يمكنك التراجع عن إجراءات المعالجة التي تم اتخاذها، سواء تم اتخاذ هذه الإجراءات تلقائيا أو يدويا. في مركز الصيانة، في علامة التبويب محفوظات ، يمكنك التراجع عن أي من الإجراءات التالية:

للتراجع عن إجراءات متعددة في وقت واحد

1. انتقل إلى مركز الصيانة (https://security.microsoft.com/action-center) وسجل الدخول.

2. في علامة التبويب محفوظات ، حدد الإجراءات التي تريد التراجع عنها. تأكد من تحديد العناصر التي لها نفس نوع الإجراء. يتم فتح جزء منبثقة.

3. في جزء القائمة المنبثقة، حدد تراجع.

لإزالة ملف من العزل عبر أجهزة متعددة

1. انتقل إلى مركز الصيانة (https://security.microsoft.com/action-center) وسجل الدخول.

2. في علامة التبويب محفوظات ، حدد عنصرا يحتوي على ملف العزل من نوع الإجراء.

3. في جزء القائمة المنبثقة، حدد Apply to X more instances of this file، ثم حدد تراجع.

مستويات الأتمتة ونتائج التحقيق التلقائي والإجراءات الناتجة

تؤثر مستويات التنفيذ التلقائي على ما إذا كانت بعض إجراءات المعالجة يتم اتخاذها تلقائيا أو فقط عند الموافقة. في بعض الأحيان، يكون لدى فريق عمليات الأمان المزيد من الخطوات التي يجب اتخاذها، اعتمادا على نتائج التحقيق التلقائي. يلخص الجدول التالي مستويات الأتمتة ونتائج التحقيقات التلقائية وما يجب القيام به في كل حالة.

يتم تعقب جميع الأحكام في مركز الصيانة.

الخطوات التالية

• تعرف على قدرات الاستجابة المباشرة
• البحث بشكل استباقي عن التهديدات باستخدام التتبع المتقدم
• معالجة الإيجابيات/السلبيات الخاطئة في Microsoft Defender لنقطة النهاية

راجع أيضًا

• نظرة عامة على التحقيقات التلقائية