在 Microsoft Defender 全面偵測回應 中設定適用於身分識別的Defender偵測排除專案

本文說明如何在 Microsoft Defender 全面偵測回應 中設定 適用於身分識別的 Microsoft Defender 偵測排除專案。

適用於身分識別的 Microsoft Defender 可排除特定IP位址、計算機、網域或使用者的多個偵測。

例如，使用 DNS 做為掃描機制的安全性掃描器可能會觸發 DNS 偵察 警示。 建立排除可協助適用於身分識別的Defender忽略這類掃描器，並減少誤判。

如何新增偵測排除專案

1. 在 Microsoft Defender 全面偵測回應 中，移至 [設定]，然後移至 [身分識別]。

   

2. 接著，您會在左側功能表中看到 [ 排除的實體 ]。

   

   接著，您可以使用兩種方法來設定排除專案：依 偵測規則排除 和 全域排除實體。

依偵測規則排除

1. 在左側功能表中，選取 [依 偵測規則排除]。 您會看到偵測規則清單。

   

2. 針對您想要設定的每個偵測，請執行下列步驟：

   1. 選取規則。 您可以使用搜尋列來搜尋偵測。 選取之後，會開啟含有偵測規則詳細數據的窗格。

      

   2. 若要新增排除專案，請選取 [ 排除的實體] 按鈕，然後選擇排除類型。 每個規則都提供不同的排除實體。 其中包括使用者、裝置、網域和IP位址。 在此範例中，選項為 [排除裝置 ] 和 [ 排除IP位址]。

      

   3. 選擇排除類型之後，您可以新增排除範圍。 在開啟的窗格中，選取 + 按鈕以新增排除範圍。

      

   4. 然後新增要排除的實體。 選 取 [+ 新增 ] 將實體新增至清單。

      

   5. 然後選取此範例中 (的 [排除IP位址) 以完成排除。

      

   6. 新增排除項目之後，您可以回到 [排除的實體] 按鈕，以匯出清單或移除排除 專案 。 在此範例中，我們已返回 [排除裝置]。 若要匯出清單，請選取向下箭號按鈕。

      

   7. 若要刪除排除專案，請選取排除專案，然後選取垃圾桶圖示。

      

全域排除的實體

您現在也可以設定全域 排除實體的排除專案。 全域排除專案可讓您定義特定實體 (IP 位址、子網、裝置或網域) 在適用於身分識別的 Defender 擁有的所有偵測中排除。 例如，如果您排除裝置，它只會套用至在偵測過程中具有裝置識別的偵測。

1. 在左側功能表中，選取 [ 全域排除的實體]。 您會看到可排除的實體類別。

   

2. 選擇排除類型。 在此範例中，我們選取了 [排除網域]。

   

3. 窗格隨即開啟，您可以在其中新增要排除的網域。 新增您想要排除的網域。

   

4. 網域將會新增至清單。 選 取 [排除網域 ] 以完成排除。

   

5. 接著，您會在實體清單中看到要從所有偵測規則中排除的網域。 您可以匯出清單，或選擇實體並選取 [ 移除 ] 按鈕來移除實體。

   

後續步驟

• 設定事件集合
• 請參閱適用於身分識別的Defender論壇！