Просмотр оповещений на датчике OT и управление ими
Оповещения Microsoft Defender для Интернета вещей повышают безопасность сети и операции с подробными сведениями о событиях, зарегистрированных в сети в режиме реального времени. Оповещения OT активируются, когда сетевые датчики OT обнаруживают изменения или подозрительные действия в сетевом трафике, который требует вашего внимания.
В этой статье описывается, как просматривать оповещения Defender для Интернета вещей непосредственно на сетевом датчике OT. Вы также можете просматривать оповещения OT на портал Azure или локальном консоль управления.
Дополнительные сведения см. в оповещениях Microsoft Defender для Интернета вещей.
Необходимые компоненты
Чтобы получать оповещения на датчике OT, необходимо установить порт SPAN для датчика и программного обеспечения мониторинга Defender для Интернета вещей. Дополнительные сведения см. в разделе "Установка программного обеспечения мониторинга без агента OT".
Чтобы просмотреть оповещения на датчике OT, войдите в датчик от имени администратора, аналитика безопасности или пользователя средства просмотра .
Чтобы управлять оповещениями на датчике OT, войдите в датчик в качестве пользователя администратора или аналитика безопасности. Действия по управлению оповещениями включают изменение их состояния или серьезности, обучение или отключение оповещения, доступ к данным PCAP или добавление предварительно определенных комментариев в оповещение.
Дополнительные сведения см. в разделе локальных пользователей и ролей для мониторинга OT с помощью Defender для Интернета вещей.
Просмотр оповещений на датчике OT
Войдите в консоль датчика OT и выберите страницу "Оповещения" слева.
По умолчанию в сетке отображаются следующие сведения:
Имя Описание Уровень серьезности Предопределенный уровень серьезности оповещений, назначенный датчиком, который можно изменить по мере необходимости, включая критическое, основное, дополнительное, предупреждение. Имя Заголовок оповещения Двигатель Модуль обнаружения Defender для Интернета вещей, который обнаружил действие и активировал оповещение. Последнее обнаружение Время последнего обнаружения оповещения.
— Если для оповещения указано состояние Новое и снова отображается тот же трафик, то время в столбце Последнее обнаружение обновляется для того же оповещения.
— Если для оповещения указано состояние Закрыто и трафик снова отображается, то время в столбце Последнее обнаружение не обновляется и активируется новое оповещение.
Примечание. В то время как консоль датчика отображает поле последнего обнаружения оповещения в режиме реального времени, Defender для Интернета вещей в портал Azure может занять до одного часа, чтобы отобразить обновленное время. Это объясняет сценарий, в котором время последнего обнаружения в консоли датчика не совпадает с временем последнего обнаружения в портал Azure.Состояние Состояние оповещения: Новое, Активно, Закрыто
Дополнительные сведения см. в разделе "Состояния оповещений" и параметров сортировки.Исходное устройство Ip-адрес исходного устройства, MAC или имя устройства. Id Уникальный идентификатор оповещения, выровненный с идентификатором портал Azure.
Примечание. Если оповещение было объединено с другими оповещениями от датчиков, которые обнаружили то же оповещение, портал Azure отображает идентификатор оповещения первого датчика, создающего оповещения.Чтобы просмотреть дополнительные сведения, нажмите кнопку
"Изменить столбцы".В области "Изменить столбцы" справа выберите "Добавить столбец" и любой из следующих дополнительных столбцов:
Имя Описание Конечное устройство IP-адрес конечного устройства. Первое обнаружение При первом обнаружении действия оповещения. ИД Идентификатор оповещения. Последнее действие Последний раз, когда оповещение было изменено, включая обновления вручную для серьезности или состояния, или автоматические изменения для обновлений устройств или оповещений об отмене дублирования
Отображение оповещений фильтра
Используйте поле Поиск, а также Диапазон времени и Добавление фильтра для фильтрации оповещений, отображаемых по определенным параметрам или поиска определенного оповещения.
Например:
Фильтрация оповещений по группам использует любые настраиваемые группы, которые могут быть созданы на страницах инвентаризации устройств или карты устройств.
Отображение оповещений группы
Используйте группу по меню в правом верхнем углу, чтобы свернуть сетку в подразделы на основе серьезности, имени, ядра или состояния.
Например, в то время как общее количество оповещений отображается над сеткой, может потребоваться более конкретная информация о разбивке количества оповещений, например количество оповещений с определенной серьезностью или состоянием.
Просмотр сведений и исправление определенного оповещения
Войдите в датчик OT и выберите оповещения в меню слева.
Выберите оповещение в сетке, чтобы отобразить дополнительные сведения в области справа. Область сведений об оповещении включает описание оповещения, источник трафика и назначение и многое другое. Выберите "Просмотреть полные сведения" , чтобы продолжить детализацию. Например:
На странице сведений об оповещении содержатся дополнительные сведения об оповещении и набор действий по исправлению на вкладке "Действие ".
Используйте следующие вкладки, чтобы получить более контекстную информацию:
Представление карты. Просмотрите исходные и конечные устройства в представлении карты с другими устройствами, подключенными к датчику.
Временная шкала событий. Просмотрите событие вместе с другими недавними действиями на связанных устройствах. Параметры фильтра для настройки отображаемых данных. Например:
Управление состоянием оповещений и оповещений
Обязательно обновите состояние оповещения после выполнения действий по исправлению, чтобы запись хода выполнения была записана. Состояние можно обновить для одного оповещения или для массового выбора оповещений.
Ознакомьтесь с оповещением, указывающим Defender для Интернета вещей, что обнаруженный сетевой трафик авторизован. Полученные оповещения не будут активированы снова при следующем обнаружении того же трафика в сети. Отключить оповещение, если обучение недоступно, и вы хотите игнорировать определенный сценарий в сети.
Дополнительные сведения см. в разделе "Состояния оповещений" и параметров сортировки.
Чтобы управлять состоянием оповещения, выполните следующие действия.
Войдите в консоль датчика OT и выберите страницу "Оповещения" слева.
Выберите одно или несколько оповещений в сетке, состояние которого требуется обновить.
Нажмите кнопку "Изменить состояние" панели инструментов
или параметр "Состояние" в области сведений справа, чтобы обновить состояние оповещения.Параметр
"Состояние " также доступен на странице сведений о оповещении.
Чтобы узнать одно или несколько оповещений:
Войдите в консоль датчика OT и выберите страницу "Оповещения " слева, а затем выполните одно из следующих действий:
- Выберите одно или несколько обучаемых оповещений в сетке, а затем выберите "
Learn " на панели инструментов. - На странице сведений об оповещении на вкладке Принять меры выберите Learn.
- Выберите одно или несколько обучаемых оповещений в сетке, а затем выберите "
Чтобы отключить информирование об оповещении, сделайте следующие.
- Войдите в консоль датчика OT и выберите страницу "Оповещения" слева.
- Найдите оповещение, которое нужно отключить и открыть страницу сведений о оповещении.
- На вкладке "Действие", переключите переключатель в параметре "Отключить оповещение".
Чтобы отменить или отменить оповещение, выполните приведенные действия.
- Войдите в консоль датчика OT и выберите страницу "Оповещения" слева.
- Найдите оповещение, которое вы узнали или отключили, и откройте страницу сведений об оповещении.
- На вкладке "Действие", переключите параметр "Оповещение" или "Отключить оповещение".
После отмены или отмены оповещения оповещения активируются повторно, когда датчик чувствует выбранное сочетание трафика.
Доступ к данным PCAP оповещений
Вы можете получить доступ к необработанным файлам трафика, также называемым файлами записи пакетов или PCAP-файлами в рамках исследования.
Чтобы получить доступ к необработанным файлам трафика для оповещения, выберите "Скачать PCAP " в левом верхнем углу страницы сведений о оповещении:
Например:
PCAP-файл скачан, и браузер предложит вам открыть или сохранить его локально.
Экспорт оповещений в CSV или PDF
Вы можете экспортировать выбор оповещений в CSV-файл или PDF-файл для автономного общего доступа и отчетов.
- Экспорт оповещений в CSV-файл с главной страницы оповещений . Экспорт оповещений по одному или в массовом режиме.
- Экспорт оповещений в PDF-файл один раз только на главной странице оповещений или на странице сведений об оповещении .
Экспорт оповещений в CSV-файл:
Войдите в консоль датчика OT и выберите страницу "Оповещения" слева.
Используйте поле поиска и параметры фильтра для отображения только оповещений, которые требуется экспортировать.
На панели инструментов над сеткой выберите "Экспорт в CSV".
Файл создается, и вам будет предложено открыть или сохранить его локально.
Экспорт оповещения в PDF-файл:
Войдите в консоль датчика OT и выберите страницу "Оповещения " слева, а затем выполните одно из следующих действий:
- На странице "Оповещения" выберите оповещение и выберите "Экспорт в PDF" на панели инструментов над сеткой.
- На странице сведений о оповещениях выберите "Экспорт в PDF".
Файл создается, и вам будет предложено сохранить его локально.
Добавление комментариев оповещений
Примечания оповещений помогают ускорить процесс исследования и исправления, делая взаимодействие между участниками команды и записью данных более эффективным.
Если администратор создал пользовательские комментарии для вашей команды для добавления оповещений, добавьте их из раздела "Комментарии " на странице сведений об оповещении.
Войдите в консоль датчика OT и выберите страницу "Оповещения" слева.
Найдите оповещение, в котором нужно добавить комментарий и откройте страницу сведений об оповещении.
В списке "Выбор комментариев " выберите комментарий, который вы хотите добавить, и нажмите кнопку "Добавить". Например:
Дополнительные сведения см. в разделе "Ускорение рабочих процессов оповещений OT".