在 適用於 Office 365 的 Microsoft Defender 中自動調查和回應 AIR) (
提示
您知道您可以免費試用 適用於 Office 365 的 Microsoft Defender 方案 2 中的功能嗎？ 在 Microsoft Defender 入口網站試用中樞使用 90 天 適用於 Office 365 的 Defender 試用版。 瞭解誰可以在 Try 適用於 Office 365 的 Microsoft Defender 上註冊和試用條款。
適用於 Office 365 的 Microsoft Defender 包含強大的自動化調查和回應 (AIR) 功能，可節省安全性作業小組的時間和精力。 觸發警示時，由您的安全性作業小組來檢閱、排定優先順序及回應這些警示。 跟上傳入警示的數量可能會非常龐大。 將其中一些工作自動化會有所説明。
AIR 可讓您的安全性作業小組更有效率且更有效率地運作。 AIR 功能包括自動化調查程式，以回應現今存在的已知威脅。 適當的補救動作會等待核准，讓您的安全性作業小組能夠有效地回應偵測到的威脅。 透過 AIR，您的安全性作業小組可以專注於較高優先順序的工作，而不會看到觸發的重要警示。
本文說明：
本文也包含 後續步驟，以及要深入瞭解的資源。
AIR 的整體流程
系統會觸發警示，而安全性劇本會啟動自動化調查，以產生結果和建議的動作。 以下是 AIR 的整體流程，逐步說明：
自動化調查會以下列其中一種方式起始：
當自動化調查執行時，它會收集問題中電子郵件的相關數據，以及與該電子郵件 (相關的 實體 ，例如檔案、URL 和收件者) 。 隨著新警示和相關警示的觸發，調查的範圍可能會增加。
在自動化調查期間和之後，可以檢視 詳細數據和結果 。 結果可能包括 可採取的建議動作 ，以回應和補救找到的任何現有威脅。
由於擱置的補救動作已核准 (或拒絕) ，自動化調查會完成。
注意事項
如果調查未導致建議的動作，則自動化調查將會關閉，且在自動調查過程中檢閱的詳細數據仍可在調查頁面上取得。
在 適用於 Office 365 的 Microsoft Defender 中，不會自動採取任何補救動作。 在組織的安全性小組核准後才能採取補救動作。 AIR 功能可藉由識別補救動作並提供做出明智決策所需的詳細數據，來節省安全性作業小組的時間。
在每個自動化調查期間和之後，您的安全性作業小組可以：
提示
如需更詳細的概觀，請 參閱 AIR 的運作方式。
如何取得 AIR
只要稽核記錄在默認開啟 (開啟，適用於 Office 365 的 Microsoft Defender 方案 2 中就會包含 AIR 功能) 。
此外，請務必檢閱組織的 警示原則，特別是 威脅管理類別中的默認原則。
哪些警示原則會觸發自動化調查？
Microsoft 365 提供許多內建警示原則，可協助識別 Exchange 系統管理員許可權濫用、惡意代碼活動、潛在的外部和內部威脅，以及資訊控管風險。 數個 預設警示原則 可以觸發自動化調查。 如果這些警示已停用或由自定義警示取代，則不會觸發 AIR。
下表描述觸發自動化調查的警示、Microsoft Defender 入口網站中的嚴重性，以及其產生方式：
| 提醒 | 嚴重性 | 警示的產生方式 |
|---|---|---|
| 偵測到潛在的惡意 URL 點擊 | High | 發生下列任何一項時，就會產生此警示：
如需觸發此警示之事件的詳細資訊，請 參閱設定安全鏈接原則。 |
| 使用者將電子郵件訊息回報為惡意代碼或網路釣魚 | 低 | 當組織中的使用者使用 [Microsoft報表訊息] 或 [報告網络釣魚] 載入巨集將郵件回報為網络釣魚電子郵件時，就會產生此警示。 |
| 傳遞後移除包含惡意檔案的電子郵件訊息 | 參考 | 當包含惡意檔案的任何訊息傳遞至組織中的信箱時，就會產生此警示。 如果發生此事件，Microsoft使用零時差自動清除，從 Exchange Online 信箱中移除受感染的郵件 (ZAP) 。 |
| Email 包含惡意代碼的訊息會在傳遞後移除 | 參考 | 當包含惡意代碼的任何電子郵件訊息傳遞至組織中的信箱時，就會產生此警示。 如果發生此事件，Microsoft使用零時差自動清除，從 Exchange Online 信箱中移除受感染的郵件 (ZAP) 。 |
| 傳遞後移除包含惡意 URL 的電子郵件訊息 | 參考 | 當包含惡意 URL 的任何訊息傳遞至組織中的信箱時，就會產生此警示。 如果發生此事件，Microsoft使用零時差自動清除，從 Exchange Online 信箱中移除受感染的郵件 (ZAP) 。 |
| Email 包含網路釣魚 URL 的訊息會在傳遞後移除 | 參考 | 當任何包含網路釣魚的郵件傳遞至組織中的信箱時，就會產生此警示。 如果發生此事件，Microsoft會使用 ZAP 從 Exchange Online 信箱中移除受感染的郵件。 |
| 偵測到可疑的電子郵件傳送模式 | Medium | 當貴組織中的某人已傳送可疑的電子郵件，而且有被限制無法傳送電子郵件的風險時，就會產生此警示。 警示是行為的早期警告，可能表示帳戶遭到入侵，但不夠嚴重，無法限制使用者。 雖然很少見，但此原則所產生的警示可能是異常。 不過，最好 檢查用戶帳戶是否遭到入侵。 |
| 用戶無法傳送電子郵件 | High | 當貴組織中的某人無法傳送輸出郵件時，就會產生此警示。 此警示通常會在 電子郵件帳戶遭入侵時產生。 如需受限制使用者的詳細資訊，請參閱 從 [受限制的實體] 頁面移除封鎖的使用者。 |
| 管理員 觸發電子郵件的手動調查 | 參考 | 當系統管理員從威脅總管觸發電子郵件的手動調查時，就會產生此警示。 此警示會通知您的組織調查已啟動。 |
| 管理員 觸發的使用者入侵調查 | Medium | 當系統管理員觸發來自威脅總管的電子郵件發件者或收件者的手動使用者入侵調查時，就會產生此警示。 此警示會通知您的組織使用者入侵調查已啟動。 |
提示
若要深入瞭解警示原則或編輯預設設定，請參閱 Microsoft Defender 入口網站中的警示原則。
使用 AIR 功能的必要許可權
您必須獲指派許可權才能使用 AIR。 您有下列選項：
Microsoft Defender 全面偵測回應 整合角色型訪問控制 (RBAC) ( 如果 Email & 共同作業>適用於 Office 365 的 Defender 許可權為
作用中。只會影響 Defender 入口網站，而不會影響 PowerShell) ：- 啟動自動化調查或核准或拒絕建議的動作：安全性操作員/Email 進階補救動作 (管理) 。
Email Microsoft Defender 入口網站中 & 共同作業許可權：
- 設定 AIR 功能： 組織管理 或 安全性系統管理員 角色群組中的成員資格。
-
開始自動化調查 或 核准或拒絕建議的動作：
- 組織管理、安全性系統管理員、安全性操作員、安全性讀取者或全域讀取者角色群組的成員資格。 及
- 指派 搜尋和清除 角色的角色群組中的成員資格。 根據預設，此角色會指派給 數據 處理者和 組織管理 角色群組。 或者，您可以 建立自定義角色群組 來指派 搜尋和清除 角色。
-
- 設定 AIR 功能全域管理員或安全性系統管理員角色的成員資格。
-
開始自動化調查 或 核准或拒絕建議的動作：
- 全域管理員、安全性系統管理員、安全性操作員、安全性讀取者或全域讀取者角色的成員資格。 及
- Email & 共同作業角色群組中已指派搜尋和清除角色的成員資格。 根據預設，此角色會指派給 數據 處理者和 組織管理 角色群組。 或者，您可以建立自定義 Email & 共同作業角色群組來指派搜尋和清除角色。
Microsoft Entra 許可權會為使用者提供Microsoft 365 中其他功能的必要許可權和許可權。
需要的授權
適用於 Office 365 的 Microsoft Defender 應將方案 2 授權指派給：
- 安全性系統管理員 (包括全域管理員)
- 貴組織的安全性作業小組 (包括安全性讀取者，以及具有 搜尋和清除 角色)
- 使用者