Vidta svarsåtgärder på en enhet

Gäller för:

• Microsoft Defender för Endpoint abonnemang 1 och 2
• Microsoft Defender för företag

Svara snabbt på identifierade attacker genom att isolera enheter eller samla in ett undersökningspaket. När du har vidta åtgärder på enheter kan du kontrollera aktivitetsinformationen i Åtgärdscenter.

Svarsåtgärder körs överst på en specifik enhetssida och omfattar:

• Hantera taggar
• Starta automatiserad undersökning
• Initiera livesvarssession
• Samla in undersökningspaket
• Kör antivirusgenomsökning
• Begränsa körning av program
• Isolera enhet
• Innehålla enhet
• Konsultera en hotexpert
• Åtgärdscenter

Du hittar enhetssidor från någon av följande vyer:

• Aviseringskö – Välj enhetsnamnet bredvid enhetsikonen i aviseringskön.
• Enhetslista – Välj rubriken för enhetsnamnet i enhetslistan.
• Sökrutan – Välj enhet i den nedrullningsbara menyn och ange enhetsnamnet.

Hantera taggar

Lägg till eller hantera taggar för att skapa en logisk grupptillhörighet. Enhetstaggar stöder korrekt mappning av nätverket, så att du kan bifoga olika taggar för att fånga kontext och aktivera dynamiskt listskapande som en del av en incident.

Mer information om enhetstaggning finns i Skapa och hantera enhetstaggar.

Starta automatiserad undersökning

Du kan starta en ny automatiserad undersökning för generell användning på enheten om det behövs. Medan en undersökning körs läggs alla andra aviseringar som genereras från enheten till i en pågående automatiserad undersökning tills undersökningen har slutförts. Om samma hot visas på andra enheter läggs dessutom dessa enheter till i undersökningen.

Mer information om automatiserade undersökningar finns i Översikt över automatiserade undersökningar.

Starta en live-svarssession

Live-svar är en funktion som ger dig omedelbar åtkomst till en enhet med hjälp av en fjärrgränssnittsanslutning. Detta ger dig befogenhet att utföra djupgående utredningsarbete och vidta omedelbara åtgärder för att snabbt begränsa identifierade hot i realtid.

Livesvar är utformat för att förbättra undersökningar genom att göra det möjligt för dig att samla in kriminaltekniska data, köra skript, skicka misstänkta entiteter för analys, åtgärda hot och proaktivt jaga nya hot.

Mer information om livesvar finns i Undersöka entiteter på enheter med livesvar.

Samla in undersökningspaket från enheter

Som en del av undersöknings- eller svarsprocessen kan du samla in ett undersökningspaket från en enhet. Genom att samla in undersökningspaketet kan du identifiera enhetens aktuella tillstånd och ytterligare förstå de verktyg och tekniker som används av angriparen.

Så här laddar du ned paketet (Zip-filen) och undersöker händelserna som inträffade på en enhet:

1. Välj Samla in undersökningspaket från raden med svarsåtgärder överst på enhetssidan.

2. Ange i textrutan varför du vill utföra den här åtgärden. Välj Bekräfta.

3. Zip-filen laddas ned.

Alternativa steg:

1. Välj Samla in undersökningspaket i avsnittet svarsåtgärder på enhetssidan.

   

2. Lägg till kommentarer och välj Bekräfta.

   

3. Välj Åtgärdscenter i avsnittet svarsåtgärder på enhetssidan.

   

4. Klicka på paketsamlingspaketet som är tillgängligt för att ladda ned samlingspaketet.

   

   För Windows-enheter innehåller paketet följande mappar:

   Mapp	Beskrivning
   Autoruns	Innehåller en uppsättning filer som var och en representerar innehållet i registret för en känd automatisk startpunkt (ASEP) för att identifiera angriparens persistens på enheten. NOT: Om registernyckeln inte hittas innehåller filen följande meddelande: "FEL: Systemet kunde inte hitta den angivna registernyckeln eller värdet."
   Installerade program	Den här .CSV filen innehåller listan över installerade program som kan hjälpa dig att identifiera vad som för närvarande är installerat på enheten. Mer information finns i Win32_Product-klass.
   Nätverksanslutningar	Den här mappen innehåller en uppsättning datapunkter relaterade till anslutningsinformationen som kan hjälpa dig att identifiera anslutningar till misstänkta URL:er, angriparens kommando- och kontrollinfrastruktur (C&C), eventuell lateral förflyttning eller fjärranslutningar. ActiveNetConnections.txt: Visar protokollstatistik och aktuella TCP/IP-nätverksanslutningar. Ger möjlighet att söka efter misstänkta anslutningar som görs av en process. Arp.txt: Visar de aktuella ARP-cachetabellerna (Address Resolution Protocol) för alla gränssnitt. ARP-cachen kan avslöja andra värdar i ett nätverk som har komprometterats eller misstänkta system i nätverket som kan ha använts för att köra en intern attack. DnsCache.txt: Visar innehållet i DNS-klientmatcharcachen, som innehåller båda posterna som har förinstallerats från den lokala hosts-filen och eventuella nyligen hämtade resursposter för namnfrågor som har lösts av datorn. Detta kan hjälpa dig att identifiera misstänkta anslutningar. IpConfig.txt: Visar den fullständiga TCP/IP-konfigurationen för alla kort. Kort kan representera fysiska gränssnitt, till exempel installerade nätverkskort eller logiska gränssnitt, till exempel uppringningsanslutningar. FirewallExecutionLog.txt och pfirewall.log NOT: Den pfirewall.log filen måste finnas i %windir%\system32\logfiles\firewall\pfirewall.log, så den tas med i undersökningspaketet. Mer information om hur du skapar brandväggsloggfilen finns i Konfigurera Windows Defender-brandväggen med avancerad säkerhetslogg
   Prefetch-filer	Windows Prefetch-filer är utformade för att påskynda programmets startprocess. Den kan användas för att spåra alla filer som nyligen använts i systemet och hitta spårningar för program som kan ha tagits bort, men som fortfarande finns i prefetch-fillistan. Prefetch-mapp: Innehåller en kopia av prefetch-filerna från %SystemRoot%\Prefetch. Obs! Det rekommenderas att du laddar ned ett visningsprogram för prefetch-filer för att visa prefetch-filerna. PrefetchFilesList.txt: Innehåller en lista över alla kopierade filer som kan användas för att spåra om det finns några kopieringsfel i prefetch-mappen.
   Processer	Innehåller en .CSV fil som visar de processer som körs och ger möjlighet att identifiera aktuella processer som körs på enheten. Detta kan vara användbart när du identifierar en misstänkt process och dess tillstånd.
   Schemalagda aktiviteter	Innehåller en .CSV fil med en lista över schemalagda aktiviteter, som kan användas för att identifiera rutiner som utförs automatiskt på en vald enhet för att leta efter misstänkt kod som har angetts att köras automatiskt.
   Händelselogg för säkerhet	Innehåller säkerhetshändelseloggen, som innehåller poster för inloggnings- eller utloggningsaktivitet eller andra säkerhetsrelaterade händelser som anges av systemets granskningsprincip. NOT: Öppna händelseloggfilen med loggboken.
   Tjänster	Innehåller en .CSV fil som visar tjänster och deras tillstånd.
   SMB-sessioner (Windows Server Message Block)	Listor delad åtkomst till filer, skrivare och serieportar och diverse kommunikation mellan noder i ett nätverk. Detta kan hjälpa dig att identifiera dataexfiltrering eller lateral förflyttning. Innehåller filer för SMBInboundSessions och SMBOutboundSession. NOT: Om det inte finns några sessioner (inkommande eller utgående) får du en textfil som anger att det inte finns några SMB-sessioner.
   Systeminformation	Innehåller en SystemInformation.txt fil som visar systeminformation som operativsystemversion och nätverkskort.
   Temporära kataloger	Innehåller en uppsättning textfiler som visar de filer som finns i %Temp% för varje användare i systemet. Detta kan hjälpa dig att spåra misstänkta filer som en angripare kan ha släppt i systemet. NOT: Om filen innehåller följande meddelande: "Systemet kan inte hitta den angivna sökvägen" innebär det att det inte finns någon temp-katalog för den här användaren och kan bero på att användaren inte loggade in i systemet.
   Användare och Grupper	Innehåller en lista över filer som var och en representerar en grupp och dess medlemmar.
   WdSupportLogs	Tillhandahåller MpCmdRunLog.txt och MPSupportFiles.cab NOT: Den här mappen skapas endast den Windows 10 version 1709 eller senare med samlad uppdatering i februari 2020 eller senare installerad: Win10 1709 (RS3) Build 16299.1717: KB4537816 Win10 1803 (RS4) Build 17134.1345: KB4537795 Win10 1809 (RS5) Build 17763.1075: KB4537818 Win10 1903/1909 (19h1/19h2) Builds 18362.693 och 18363.693: KB4535996
   CollectionSummaryReport.xls	Den här filen är en sammanfattning av undersökningspaketsamlingen, den innehåller listan över datapunkter, kommandot som används för att extrahera data, körningsstatus och felkoden om det uppstår fel. Du kan använda den här rapporten för att spåra om paketet innehåller alla förväntade data och identifiera om det finns några fel.

   Samlingspaketen för macOS- och Linux-enheter innehåller följande:

   Objekt	macOS	Linux
   Program	En lista över alla installerade program	Ej tillämpligt
   Diskvolym	Mängden ledigt utrymme Lista över alla monterade diskvolymer Lista över alla partitioner	Mängden ledigt utrymme Lista över alla monterade diskvolymer Lista över alla partitioner
   Fil	En lista över alla öppna filer med motsvarande processer med hjälp av dessa filer	En lista över alla öppna filer med motsvarande processer med hjälp av dessa filer
   Historik	Gränssnittshistorik	Ej tillämpligt
   Kernel-moduler	Alla inlästa moduler	Ej tillämpligt
   Nätverksanslutningar	Aktiva anslutningar Aktiva lyssningsanslutningar ARP-tabell Brandväggsregler Gränssnittskonfiguration Proxyinställningar VPN-inställningar	Aktiva anslutningar Aktiva lyssningsanslutningar ARP-tabell Brandväggsregler IP-lista Proxyinställningar
   Processer	En lista över alla processer som körs	En lista över alla processer som körs
   Tjänster och schemalagda aktiviteter	Certifikat Konfigurationsprofiler Maskinvaruinformation	CPU-information Maskinvaruinformation Information om operativsystemet
   Systemsäkerhetsinformation	Integritetsinformation för EFI (Extensible Firmware Interface) Brandväggsstatus Information om verktyget för borttagning av skadlig kod (MRT) Status för systemintegritetsskydd (SIP)	Ej tillämpligt
   Användare och grupper	Inloggningshistorik Sudoers	Inloggningshistorik Sudoers

Kör Microsoft Defender Antivirus-genomsökning på enheter

Som en del av undersöknings- eller svarsprocessen kan du fjärrensa en antivirusgenomsökning för att identifiera och åtgärda skadlig kod som kan finnas på en komprometterad enhet.

En som du har valt Kör antivirusgenomsökning väljer du den skanningstyp som du vill köra (snabb eller fullständig) och lägger till en kommentar innan du bekräftar genomsökningen.

Åtgärdscentret visar genomsökningsinformationen och enhetens tidslinje innehåller en ny händelse, vilket återspeglar att en genomsökningsåtgärd har skickats på enheten. Microsoft Defender Antivirus-aviseringar återspeglar alla identifieringar som visas under genomsökningen.

Begränsa körning av program

Förutom att innehålla en attack genom att stoppa skadliga processer kan du också låsa en enhet och förhindra att efterföljande försök av potentiellt skadliga program körs.

Om du vill hindra ett program från att köras tillämpas en kodintegritetsprincip som endast tillåter att filer körs om de signeras av ett Microsoft-utfärdat certifikat. Den här begränsningsmetoden kan hjälpa till att förhindra att en angripare kontrollerar komprometterade enheter och utför ytterligare skadliga aktiviteter.

När du har valt Begränsa appkörning på enhetssidan skriver du en kommentar och väljer Bekräfta. Åtgärdscentret visar genomsökningsinformationen och enhetens tidslinje innehåller en ny händelse.

Meddelande om enhetsanvändare

När en app är begränsad visas följande meddelande för att informera användaren om att en app begränsas från att köras:

Isolera enheter från nätverket

Beroende på attackens allvarlighetsgrad och enhetens känslighet kanske du vill isolera enheten från nätverket. Den här åtgärden kan hjälpa till att förhindra att angriparen kontrollerar den komprometterade enheten och utför ytterligare aktiviteter, till exempel dataexfiltrering och lateral förflyttning.

Den här funktionen för enhetsisolering kopplar från den komprometterade enheten från nätverket och behåller anslutningen till Defender för Endpoint-tjänsten, som fortsätter att övervaka enheten.

På Windows 10 version 1709 eller senare har du mer kontroll över nätverksisoleringsnivån. Du kan också välja att aktivera Outlook, Microsoft Teams och Skype för företag anslutning (t.ex. selektiv isolering).

När du har valt Isolera enhet på enhetssidan skriver du en kommentar och väljer Bekräfta. Åtgärdscentret visar genomsökningsinformationen och enhetens tidslinje innehåller en ny händelse.

Med två skäl frisläpp enheten från isolering

Funktionen för enhetsisolering är ett ovärderligt verktyg för att skydda enheter mot externa hot. Det finns dock instanser när isolerade enheter slutar svara.

Det finns ett nedladdningsbart skript för dessa instanser som du kan köra för att tvångsutsläppa enheter från isolering. Skriptet är tillgängligt via en länk i användargränssnittet.

Så här frigör du enheten från isolering med tvåtvingar:

1. På enhetssidan väljer du Ladda ned skript för att framtvinga en enhet från isolering från åtgärdsmenyn.
2. Välj Ladda ned skript i guiden till höger.

Minimikrav

Minimikraven för funktionen "tvångsfrisläpp enhet från isolering" är:

• Endast Windows. Följande versioner stöds:
  • Windows 10 21H2 och 22H2 med KB KB5023773.
  • Windows 11 version 21H2, alla utgåvor med KB5023774.
  • Windows 11 version 22H2, alla utgåvor med KB5023778.

Meddelande om enhetsanvändare

När en enhet isoleras visas följande meddelande för att informera användaren om att enheten isoleras från nätverket:

Innehålla enheter från nätverket

När du har identifierat en ohanterad enhet som är komprometterad eller potentiellt komprometterad kanske du vill innehålla enheten från nätverket för att förhindra att den potentiella attacken rör sig i ett senare skede i nätverket. När du innehåller en enhet blockerar alla Microsoft Defender för Endpoint registrerade enheten inkommande och utgående kommunikation med enheten. Den här åtgärden kan förhindra att närliggande enheter komprometteras medan säkerhetsanalytikern hittar, identifierar och åtgärdar hotet på den komprometterade enheten.

När enheterna är inneslutna rekommenderar vi att du undersöker och åtgärdar hotet på de inneslutna enheterna så snart som möjligt. Efter reparationen bör du ta bort enheterna från inneslutningen.

Så här innehåller du en enhet

1. Gå till sidan Enhetsinventering och välj den enhet som ska innehållas.

2. Välj Innehåller enhet på åtgärdsmenyn i den utfällbara menyn för enheten.

   

3. Skriv en kommentar i popup-fönstret contain device och välj Bekräfta.

Innehåller en enhet från enhetssidan

En enhet kan också finnas på enhetssidan genom att välja Innehåller enhet i åtgärdsfältet:

Om beteendet inte är som förväntat när du har innehållit en enhet kontrollerar du att BFE-tjänsten (Base Filtering Engine) är aktiverad på de registrerade enheterna i Defender för Endpoint.

Sluta innehålla en enhet

Du kan när som helst sluta innehålla en enhet.

1. Välj enheten från enhetsinventeringen eller öppna enhetssidan.

2. Välj Släpp från inneslutning på åtgärdsmenyn. Den här åtgärden återställer enhetens anslutning till nätverket.

Innehåller användare från nätverket

När en identitet i nätverket kan ha komprometterats måste du förhindra att den identiteten kommer åt nätverket och olika slutpunkter. Defender för Endpoint kan "innehålla" en identitet, blockera den från åtkomst och förhindra attacker, särskilt utpressningstrojaner. När en identitet Microsoft Defender för Endpoint finns blockeras inkommande trafik i specifika protokoll relaterade till attacker (nätverksinloggningar, RPC, SMB, RDP), pågående fjärrsessioner och utloggning av befintliga RDP-anslutningar (avslutning av själva sessionen inklusive alla relaterade processer) och aktivering av legitim trafik. Den här åtgärden kan avsevärt bidra till att minska effekten av en attack. När en identitet finns har säkerhetsanalytiker extra tid att hitta, identifiera och åtgärda hotet mot den komprometterade identiteten.

Så här innehåller du en användare

För närvarande är innehållande användare endast tillgängligt automatiskt med hjälp av automatiska angreppsstörningar. När Microsoft identifierar en användare som komprometterad anges automatiskt en "Contain User"-princip.

Visa användaråtgärderna som innehåller

När en användare är innesluten kan du visa åtgärden i den här historikvyn i Åtgärdscenter. Här kan du se när åtgärden inträffade och vilka användare i din organisation som fanns:

När en identitet anses vara "innesluten" blockeras användaren dessutom av Defender för Endpoint och kan inte utföra någon skadlig lateral förflyttning eller fjärrkryptering på eller till en defender för Endpoint-registrerad enhet som stöds. De här blocken visas som aviseringar som hjälper dig att snabbt se de enheter som den komprometterade användaren försökte komma åt och potentiella attacktekniker:

Ångra innehåller användaråtgärder

Du kan när som helst släppa blocken och inneslutningen för en användare:

1. Välj åtgärden Contain User (Innehåller användare ) i Åtgärdscenter. I sidofönstret väljer du Ångra
2. Välj användaren från antingen användarinventeringen, sidofönstret för incidentsidan eller aviseringssidan och välj Ångra

Den här åtgärden återställer användarens anslutning till nätverket.

Undersökningsfunktioner med Contain User

När en användare är innesluten kan du undersöka det potentiella hotet genom att visa de blockerade åtgärderna av den komprometterade användaren. I vyn Enhetens tidslinje kan du se information om specifika händelser, inklusive protokoll- och gränssnittskornighet och relevant MITRE-teknik som är associerad med den.

Dessutom kan du expandera undersökningen med hjälp av Avancerad jakt. Leta efter en åtgärdstyp som börjar med "Contain" i tabellen "DeviceEvents". Sedan kan du visa alla olika singularblockeringshändelser i förhållande till Contain User i din klientorganisation, fördjupa dig i kontexten för varje block och extrahera de olika entiteter och tekniker som är associerade med dessa händelser.

Konsultera en hotexpert

Du kan kontakta en Microsoft-hotexpert för att få mer information om en potentiellt komprometterad enhet eller redan komprometterade enheter. Microsoft Hotexperter kan användas direkt inifrån Microsoft Defender XDR för att få ett snabbt och korrekt svar. Experter ger insikter inte bara om en potentiellt komprometterad enhet, utan även för att bättre förstå komplexa hot, riktade attackmeddelanden som du får eller om du behöver mer information om aviseringarna eller en kontext för hotinformation som du ser på instrumentpanelen i portalen.

Mer information finns i Konfigurera och hantera aviseringar om slutpunktsattacker .

Kontrollera aktivitetsinformation i Åtgärdscenter

Åtgärdscentret innehåller information om åtgärder som har vidtagits på en enhet eller fil. Du kommer att kunna visa följande information:

• Insamling av undersökningspaket
• Antivirusgenomsökning
• Appbegränsning
• Enhetsisolering

All annan relaterad information visas också, till exempel sändningsdatum/tid, skickande användare och om åtgärden lyckades eller misslyckades.

Se även

• Vidta svarsåtgärder för en fil
• Manuella svarsåtgärder i Microsoft Defender för Endpoint plan 1
• Rapportaccuracy