在 Microsoft Defender for Cloud 中管理安全事件

即使是熟练的安全分析师，对安全警报进行分流和调查也可能花费大量时间。 对许多人来说，很难知道从哪里开始。

Defender for Cloud使用分析在不同的安全警报之间连接信息。 通过利用相关安全警报之间的连接，Defender for Cloud 提供了攻击活动及其相关警报的单一视图。 这种视角有助于你理解攻击者的行为和受影响的资源。 更多信息请参见 Defender for Cloud 中的安全警报和管理与响应安全警报。

本文概述了Defender for Cloud中的事件。

什么是安全事件？

在 Defender for Cloud 中，安全事件是将某个资源的所有符合攻击链模式的警报聚合而成的。 事件会显示在安全警报页面。 选择事件以查看相关警报并获取详细信息。 有关战术的详细信息，请参见 MITRE AT&CK战术。

管理安全事件

在 Defender for Cloud 中，请执行以下步骤来查找和管理安全事件：

1. 在 Defender for Cloud 安全警报页面中，使用 添加筛选器，按警报名称进行筛选，并将警报名称设为 在多个资源上检测到安全事件。

   

   现在，此列表已经过筛选，只显示事件。 安全事件的图标与安全警报不同。

   

2. 若要查看事件的详细信息，请从列表中选择一个事件。 屏幕上出现了关于事件的更多细节。

   

3. 若要查看更多详细信息，请选择“查看完整详细信息”。

   

   安全事件页面左侧面板显示有关安全事件的高级信息，包括标题、严重程度、状态、活动时间、描述以及受影响的资源。 在受影响的资源旁边，你可以看到相关的 Azure 标签。 在调查警报时，使用受影响资源旁边显示的 Azure 标签来推断该资源的组织背景。

   右窗格包含“警报”选项卡，其中包含与此事件相关联的安全警报。

   提示

   要了解特定警报的详细信息，请选择该警报。

   

4. 要切换到 “执行操作 ”标签页，请选择该标签页或在右侧面板底部选择 执行操作 按钮。 使用此选项卡执行更多操作，例如：

   • 减轻威胁：为该安全事件提供手动修复步骤。
   • 防止未来攻击：提供安全建议，帮助减少攻击面，增强安全态势，防止未来攻击。
   • 触发自动响应：提供可将逻辑应用作为对此安全事件的响应进行触发的选项。
   • 抑制类似警报：如果警报与您的组织无关，提供抑制具有类似特征的未来警报的选项。

   注意

   安全警报既可以作为事件的一部分出现，也可以作为独立警报出现。

5. 若要修正事件中的威胁，请按照每个警报提供的修正步骤操作。

相关内容

• Defender for Cloud 中的安全警报

后续步骤