Microsoft Defender XDR 专家入门

适用于：

• Microsoft Defender XDR

有关载入说明，请检查此简短视频。

Defender XDR 专家团队准备好加入组织后，你将收到一封欢迎电子邮件，用于继续设置并开始使用。

选择欢迎电子邮件中的链接，直接启动 Microsoft Defender 门户中的 Defender 专家设置设置。 还可以通过转到“设置”“Defender 专家”并选择“入门”>来打开此设置。

向专家授予权限

默认情况下，Defender XDR 专家需要服务提供商访问权限，以便我们的专家能够登录到你的租户，并根据分配的安全角色提供服务。 详细了解跨租户访问

还需要向我们的专家授予以下一项或两项权限：

• 调查事件并指导我的响应 (默认) – 此选项允许我们的专家主动监视和调查事件，并指导你完成任何必要的响应作。 (访问级别：安全读取器)
• 直接响应活动威胁 (建议) – 此选项允许我们的专家在调查时立即包含和修正活动威胁，从而减少威胁的影响，并提高整体响应效率。 (访问级别：安全作员)

若要授予我们的专家权限，请执行以下作：

1. 在同一 Defender 专家设置设置中，在 “权限”下，选择要授予专家的访问级别 () 。

2. 如果要从修正作中 排除组织中的设备和用户组 ，请选择“ 管理排除项”。

3. 选择“ 下一步 ” 以添加联系人或组。

若要在初始设置后编辑或更新权限，请转到 “设置>Defender 专家>权限”。

从修正中排除设备和用户

Defender XDR 专家可让你从专家采取的修正作中排除设备和用户，并获取这些实体的修正指导。 这些排除项基于Microsoft Defender for Endpoint中标识的设备组和Microsoft Entra ID中标识的用户组。

排除设备组：

1. 在同一 Defender 专家设置中，在 “排除项”下，转到“ 设备组 ”选项卡。

2. 选择“ + 添加设备组”，然后搜索并选择要排除的设备组 () 。

   注意

   此页面仅列出现有设备组。 如果要创建新的设备组，首先需要转到 Microsoft Defender 门户中的 Defender for Endpoint 设置。 然后，刷新此页面以搜索并选择新创建的组。 详细了解如何创建设备组

3. 选择 “添加设备组”。

4. 返回“ 设备组 ”选项卡，查看排除的设备组列表。 如果要从排除列表中删除设备组，请选择它，然后选择“ 删除设备组”。

5. 选择“ 下一步 ”以确认排除列表，并继续 添加联系人或组。 否则，选择“ 跳过”，将放弃所有添加的排除项。

排除用户组：

1. 在同一 Defender Experts 设置中，在 “排除项”下，转到“ 用户组 ”选项卡。

2. 选择“ + 添加用户组”，然后搜索并选择要排除的用户组 () 。

   注意

   此页面仅列出现有用户组。 如果要创建新用户组，首先需要以全局管理员身份登录到 Microsoft Entra ID 管理中心。 然后，刷新此页面以搜索并选择新创建的组。 详细了解如何创建用户组

3. 选择 “添加用户组”。

4. 返回“ 用户组 ”选项卡，查看排除的用户组列表。 如果要从排除列表中删除用户组，请选择该用户组，然后选择“ 删除用户组”。

5. 选择“ 下一步 ”以确认排除列表，并继续 添加联系人或组。 否则，选择“ 跳过”，将放弃所有添加的排除项。

若要在初始设置后编辑或更新排除项，请转到“设置Defender 专家>排除项”>，然后转到“设备组”或“用户组”选项卡。

告诉我们要联系谁处理重要事项

Defender XDR 专家可让你确定组织中需要通知的个人或组（如果有关键事件、服务更新、偶尔的查询和其他建议）：

• 事件通知联系人 - 这些联系人是我们可以针对托管响应作或任何需要立即响应的通信通知的人员或团队。 鉴于通信的紧急性质，我们建议这些联系人始终可用。
• 服务评审联系人 - 这些联系人是将参与服务更新的人员或团队，如果服务包含服务交付经理，则为服务简报。

识别后，个人或组将收到一封电子邮件，通知他们作为事件通知或服务评审目的的联系人。

添加通知联系人：

1. 在同一 Defender 专家设置中，在 “联系人”下，在提供的文本字段中搜索并添加 联系人或团队 。

2. 添加 一个电话号码 (可选的) ，Defender 专家可以呼叫需要立即关注的事项。

3. 在“ 联系人” 下拉框下，选择“ 事件通知 ”或“ 服务评审”。

4. 选择“添加”。

5. 选择“ 下一步 ”以确认联系人列表，然后继续 创建 Teams 频道 ，还可以在其中接收事件通知。

若要在初始设置后编辑或更新通知联系人，请转到 “设置>Defender 专家>通知联系人”。

在 Microsoft Teams 中接收托管响应通知和更新

除了电子邮件和 门户内聊天，你还必须选择使用 Microsoft Teams 接收有关托管响应的更新，并实时与我们的专家进行通信。 启用此设置后，将创建一个名为 Defender Experts 团队 的新团队，其中与正在进行的事件相关的托管响应通知将作为新帖子在 托管响应 通道中发送。 详细了解如何使用 Teams 聊天

若要打开 Teams 通知和聊天，请执行以下作：

1. 在同一 Defender 专家设置设置中，在 Teams 下，选中“ 在 Teams 上通信 ”复选框。

2. 选择“ 下一步 ”查看设置。

3. 选择“提交”。 然后，分步指南将完成初始设置。

4. 选择“ 查看就绪情况评估 ”以完成 优化安全态势所需的必要作。

若要在初始设置后打开 Teams 通知和聊天，请转到 “设置>Defender 专家>团队”。

• 可以通过导航到 Defender 专家团队>“”更多选项“ (...) >”管理团队>“”添加成员“，将新成员添加到频道。
• 可以通过导航到 Defender 专家团队>“”更多选项“ (...) >”设置“”编辑>管理团队专用“>来限制可以加入此团队>的人员。

为 Defender 专家服务准备环境

除了载入服务交付外，我们在Microsoft Defender XDR产品套件方面的专业知识使Defender XDR 专家能够让你运行就绪情况评估，并帮助你充分利用Microsoft安全产品。

就绪情况评估基于环境中受保护的设备和标识的数量以及 Defender 专家的策略建议。 若要查看评估，请在Microsoft Defender门户中，转到“设置Defender 专家”>，然后选择“服务状态”。

就绪情况评估包含两个部分：

• 所需作 – 此部分显示需要完成、正在进行或已完成的作或安全设置的数量。 这些作在页面底部的表中列出。

  该列表概述了在启动服务之前需要执行的步骤。 确定“立即完成”状态的作的优先级，以便更快地启动Defender XDR 专家服务。

  注意

  最长可能需要 24 小时才能获取安全设置的最新状态。

• 受保护的资产 – 本部分显示当前受保护的设备和标识数，以及启动Defender XDR 专家服务时仍需要保护的设备和标识数。

  这些数字基于 Defender for Endpoint 和 Defender for Identity 许可证;若要实现这些目标数量的受保护资产， 请将更多设备加入 Defender for Endpoint 或 安装更多 Defender for Identity 传感器。

完成所有必需的任务并满足就绪情况评估中的载入目标后，Defender XDR 专家服务的监视阶段将启动，几天后，我们的专家将开始密切监视你的环境，以识别潜在威胁、风险来源和正常活动。 随着我们更好地了解你的关键资产，我们可以简化服务并微调我们的响应。

一旦我们的专家开始代表你执行全面的响应工作，你将开始收到有关需要修正步骤和针对关键事件的有针对性的建议的事件 的通知 。 还可以与我们的专家或 SDM 就重要查询以及定期的业务和安全状况评审 进行聊天 。 此外，你还可以查看我们代表你调查和解决的事件数量的 实时报告 。

后续步骤

• 托管检测和响应
• 使用Defender XDR 专家报表获取实时可见性
• 与Microsoft Defender XDR 专家服务中的专家沟通

另请参阅

• 有关Defender XDR 专家服务的一般信息
• Microsoft Defender XDR 专家权限的工作原理