ترحيل استعلامات التتبع المتقدمة من Microsoft Defender لنقطة النهاية

ينطبق على:

• Microsoft Defender XDR

انقل مهام سير عمل التتبع المتقدمة من Microsoft Defender لنقطة النهاية للبحث بشكل استباقي عن التهديدات باستخدام مجموعة أوسع من البيانات. في Microsoft Defender XDR، يمكنك الوصول إلى البيانات من حلول أمان Microsoft 365 الأخرى، بما في ذلك:

• Microsoft Defender for Endpoint
• Microsoft Defender لـ Office 365
• Microsoft Defender for Cloud Apps
• Microsoft Defender للهوية

يمكنك الانتقال دون التأثير على مهام سير عمل Defender لنقطة النهاية الحالية. تظل الاستعلامات المحفوظة سليمة، وتستمر قواعد الكشف المخصصة في تشغيل التنبيهات وإنشاءها. ومع ذلك، ستكون مرئية في Microsoft Defender XDR.

جداول المخطط في Microsoft Defender XDR فقط

يوفر مخطط التتبع المتقدم Microsoft Defender XDR جداول إضافية تحتوي على بيانات من حلول أمان Microsoft 365 المختلفة. تتوفر الجداول التالية فقط في Microsoft Defender XDR:

تعيين جدول DeviceAlertEvents

يحل الجدولان AlertInfo و AlertEvidence محل DeviceAlertEvents الجدول في مخطط Microsoft Defender لنقطة النهاية. بالإضافة إلى بيانات حول تنبيهات الجهاز، يتضمن هذان الجدولان بيانات حول التنبيهات للهويات والتطبيقات ورسائل البريد الإلكتروني.

استخدم الجدول التالي للتحقق من كيفية DeviceAlertEvents تعيين الأعمدة إلى أعمدة في الجدولين AlertInfo و AlertEvidence .

ضبط استعلامات Microsoft Defender لنقطة النهاية الموجودة

ستعمل الاستعلامات Microsoft Defender لنقطة النهاية كما هي ما لم تشير إلى DeviceAlertEvents الجدول. لاستخدام هذه الاستعلامات في Microsoft Defender XDR، قم بتطبيق هذه التغييرات:

• استبدل DeviceAlertEvents ب AlertInfo.
• انضم إلى AlertInfo الجدولين AlertEvidence و للحصول على AlertId بيانات مكافئة.

الاستعلام الأصلي

يستخدم DeviceAlertEvents الاستعلام التالي في Microsoft Defender لنقطة النهاية للحصول على التنبيهات التي تتضمن powershell.exe:

DeviceAlertEvents
| where Timestamp > ago(7d)
| where AttackTechniques has "PowerShell (T1086)" and FileName == "powershell.exe"

استعلام معدل

تم تعديل الاستعلام التالي لاستخدامه في Microsoft Defender XDR. بدلا من التحقق من اسم الملف مباشرة من DeviceAlertEvents، فإنه ينضم AlertEvidence ويتحقق من اسم الملف في هذا الجدول.

AlertInfo
| where Timestamp > ago(7d)
| where AttackTechniques has "PowerShell (T1086)"
| join AlertEvidence on AlertId
| where FileName == "powershell.exe"

ترحيل قواعد الكشف المخصصة

عند تحرير قواعد Microsoft Defender لنقطة النهاية على Microsoft Defender XDR، فإنها تستمر في العمل كما كان من قبل إذا نظر الاستعلام الناتج إلى جداول الجهاز فقط.

على سبيل المثال، ستستمر التنبيهات التي تم إنشاؤها بواسطة قواعد الكشف المخصصة التي تستعلم عن جداول الأجهزة فقط في تسليمها إلى SIEM وإنشاء إعلامات بالبريد الإلكتروني، اعتمادا على كيفية تكوينها في Microsoft Defender لنقطة النهاية. ستستمر أيضا أي قواعد منع موجودة في Defender لنقطة النهاية في التطبيق.

بمجرد تحرير قاعدة Defender لنقطة النهاية بحيث تستعلم عن جداول الهوية والبريد الإلكتروني، والتي تتوفر فقط في Microsoft Defender XDR، يتم نقل القاعدة تلقائيا إلى Microsoft Defender XDR.

التنبيهات التي تم إنشاؤها بواسطة القاعدة التي تم ترحيلها:

• لم تعد مرئية في مدخل Defender لنقطة النهاية (مركز حماية Microsoft Defender)
• توقف عن التسليم إلى SIEM أو أنشئ إعلامات بالبريد الإلكتروني. للتغلب على هذا التغيير، قم بتكوين الإعلامات من خلال Microsoft Defender XDR للحصول على التنبيهات. يمكنك استخدام واجهة برمجة تطبيقات Microsoft Defender XDR لتلقي إعلامات لتنبيهات الكشف عن العملاء أو الحوادث ذات الصلة.
• لن يتم منعها بواسطة قواعد منع Microsoft Defender لنقطة النهاية. لمنع إنشاء التنبيهات لبعض المستخدمين أو الأجهزة أو علب البريد، قم بتعديل الاستعلامات المقابلة لاستبعاد هذه الكيانات بشكل صريح.

إذا قمت بتحرير قاعدة بهذه الطريقة، فستتم مطالبتك بالتأكيد قبل تطبيق هذه التغييرات.

يتم عرض التنبيهات الجديدة التي تم إنشاؤها بواسطة قواعد الكشف المخصصة في Microsoft Defender XDR في صفحة تنبيه توفر المعلومات التالية:

• عنوان التنبيه ووصفه
• الأصول المتأثرة
• الإجراءات المتخذة استجابة للتنبيه
• نتائج الاستعلام التي أدت إلى تشغيل التنبيه
• معلومات حول قاعدة الكشف المخصصة

كتابة الاستعلامات بدون DeviceAlertEvents

في مخطط Microsoft Defender XDR، AlertInfo يتم توفير الجدولين و AlertEvidence لاستيعاب مجموعة متنوعة من المعلومات التي تصاحب التنبيهات من مصادر مختلفة.

للحصول على نفس معلومات التنبيه التي استخدمتها للحصول على من DeviceAlertEvents الجدول في مخطط Microsoft Defender لنقطة النهاية، قم بتصفية AlertInfo الجدول حسب ServiceSource ثم ضم كل معرف فريد بالجدولAlertEvidence، والذي يوفر معلومات مفصلة عن الحدث والكيان.

راجع نموذج الاستعلام أدناه:

AlertInfo
| where Timestamp > ago(7d)
| where ServiceSource == "Microsoft Defender for Endpoint"
| join AlertEvidence on AlertId

ينتج عن هذا الاستعلام العديد من الأعمدة أكثر مما DeviceAlertEvents هو عليه في مخطط Microsoft Defender لنقطة النهاية. للحفاظ على النتائج قابلة للإدارة، استخدم project للحصول على الأعمدة التي تهتم بها فقط. المثال أدناه أعمدة المشاريع التي قد تكون مهتمة بها عندما كشف التحقيق عن نشاط PowerShell:

AlertInfo
| where Timestamp > ago(7d)
| where ServiceSource == "Microsoft Defender for Endpoint"
    and AttackTechniques has "powershell"
| join AlertEvidence on AlertId
| project Timestamp, Title, AlertId, DeviceName, FileName, ProcessCommandLine

إذا كنت ترغب في التصفية لكيانات معينة تشارك في التنبيهات، يمكنك القيام بذلك عن طريق تحديد نوع الكيان والقيمة التي ترغب في EntityType التصفية لها. يبحث المثال التالي عن عنوان IP محدد:

AlertInfo
| where Title == "Insert_your_alert_title"
| join AlertEvidence on AlertId
| where EntityType == "Ip" and RemoteIP == "192.88.99.01"

راجع أيضًا

• تشغيل Microsoft Defender XDR
• نظرة عامة متقدمة حول الصيد
• فهم المخطط
• التتبع المتقدم في Microsoft Defender لنقطة النهاية