Microsoft Defender for Office 365 中新的警报策略

项目
08/12/2023

Microsoft Defender for Office 365 引入了与传递检测相关的新增和改进的警报策略。这包括与它们关联的自动调查与响应（AIR）电子书的增强功能。此外，我们正在修改六个默认警报策略的严重性分类，以更好地将这些策略生成的警报与它们对于组织的影响对齐。

提示

如果你不是 E5 客户，请使用为期 90 天的 Microsoft Purview 解决方案试用版来探索其他 Purview 功能如何帮助组织管理数据安全性和合规性需求。立即从Microsoft Purview 合规门户试用中心开始。了解有关注册和试用条款的详细信息。

传递后检测

在Microsoft Defender for Office 365零小时自动清除（ZAP）从收件箱中删除邮件之后，我们将引入四个与传递后检测有关的新的默认警报策略。这四种新的警报策略将替换涵盖 ZAP 方案的现有默认警报策略，并为组织提供有关基础检测和相关指标的增强详细信息。这些警报（以及将在这些警报中触发的 AIR 播放手册）将准确捕获电子邮件和实体的威胁，包括 URL 是否指向恶意文件或文件是否包含恶意 URL。

下表列出了将删除的新警报策略和现有警报策略。有关推出，请参阅对组织的影响"部分。

新的或现有的警报策略	警报策略名称	警报策略 ID
新增	送达后删除的包含恶意 URL 的电子邮件	8e6ba277-ef39-404e-aaf1-294f6d9a2b88
新增	送达后，删除包含恶意文件的电子邮件	4b1820ec-39dc-45f3-abf6-5ee80df51fd2
新增	来自活动的电子邮件已送达，随后删除	c8522cbb-9368-4e25-4ee9-08d8d899dfab
新增	电子邮件在送达后删除	b8f6b088-5487-4c70-037c-08d8d71a43fe
现有（将删除）	送达后删除的包含钓鱼 URL 的电子邮件	EA8169FA-0678-4751-8854-AEBEA7ADECEB
现有（将删除）	送达后删除了包含恶意软件的电子邮件	0179B3F7-3FDA-40C3-8F24-278563978DBB

警报严重性增强

下表标识了正在修改其严重性分类的默认警报策略。我们正在更改这些警报策略严重性分类，以更好地适应你组织的潜在风险和影响，并帮助安全团队确定通过这些策略生成的警报的优先顺序。

通知	警报策略 ID	旧严重性	新的严重性
可疑电子邮件转发活动	BFD48F06-0865-41A6-85FF-BF746423EBF	中	高
用户报告为恶意软件或网络钓鱼的电子邮件	B26A5770-0C38-434A-9380-3A3C2C27BBB3	信息	低
报告为钓鱼的电子邮件异常增加	A00D8C62-9320-4EEA-A7E5-966B9AC09558	High	Medium
管理员提交结果已完成	AE9B83DD-6039-4EA9-B675-6B0AC3BF4A41	低	信息
创建转发/重定向规则	D59A8FD4-1272-41EE-9408-86F7BCF72479	低	信息
电子数据展示搜索已启动或已导出	6FDC5710-3998-47F0-AFBB-57CEFD7378A	中	信息

这些更改将在何时进行

下表确定新的警报策略何时开始触发送达后警报。下表还确定了删除两个现有警报策略时间。

警报策略	日期
送达邮件后，删除包含恶意 URL 的电子邮件（新）	警报将在 2021 年 4 月 11 日触发
送达邮件后，删除包含恶意文件的电子邮件（新）	警报将在 2021 年 4 月 11 日触发
来自市场活动的电子邮件已发送，随后删除（新）	警报将在 2021 年 5 月 28 日开始触发
恶意电子邮件已送达，稍后删除（新增）	警报将在 2021 年 5 月 28 日开始触发
包含网络钓鱼 URL 的电子邮件在送达后删除（现有，将删除）	警报策略已于 2021 年 6 月删除。请参阅为这些更改做好准备，请执行哪些部分。
送达邮件后，删除包含恶意软件的电子邮件（现有，将删除）	警报策略已于 2021 年 6 月删除。请参阅需要为这些更改做哪些准备部分。

警报严重性更改将于 2021 年 5 月 14 日之前推广到所有组织。

这将如何影响你的组织

新的警报将开始触发，并触发组织中以上所列日期的 AIR 调查。为了减少对已操作化两个要删除的警报的安全组织的影响，你将看到现有警报策略触发的警报 ，以及 2021 年 4 月 5 日至 2021 年 5 月 28 日之间新警报策略触发的警报。这是为安全团队提供处理所需更改的时间。为了帮助安全团队在此期间提高警报量，现有警报和新警报将关联到相同的 AIR 调查，并关联到同一事件。更具体地说，这包括以下针对警报、AIR 调查和事件的行为：

警报：根据设计，你将在现有警报和新警报中看到以下警报对：
- 送达后删除的包含钓鱼 URL 的电子邮件 AND 删除包含恶意 URL 的电子邮件
- 送达后，删除含恶意软件的电子邮件 AND 删除包含恶意文件的电子邮件
有关管理这些警报对详细信息，请参阅更改准备操作"部分操作。
AIR Investigations：警报将关联到单个 AIR Investigation 中，其中一个警报按"触发"分类，另一个警报归类为"重复"。
事件：两种警报将关联到同一事件

为这些更改做好准备

你的组织如何利用这些警报将确定需要执行哪些操作进行准备。如果已操作警报，并且正在通过 API、警报电子邮件通知、Microsoft Purview 合规门户或Microsoft Defender门户使用或使用这些警报，则需要修改工作流。

如果尚未操作这些警报，可以执行下列操作之一：

禁用以下警报策略（正在删除）以减少组织的警报量：
- 送达后删除的包含钓鱼 URL 的电子邮件
- 送达后删除了包含恶意软件的电子邮件
不执行任何操作。我们将在 2021 年 5 月 28 日禁用现有警报策略。

如果已操作这些警报：

自 2021 年 5 月 28 日起，在删除现有警报策略后，开始使用新的警报作为工作流的一部分。如果票证系统中具有自定义逻辑、接收警报电子邮件通知的安全邮箱，或者依赖于警报名称或警报策略 ID (CorrelationId) 的 SIEM 解决方案，则需要修改逻辑以适应更改。

注意

警报、调查和事件的信息尚未更改。实际上，此信息经过增强，包含与其关联的威胁的其他详细信息。
完成修改后，可禁用现有警报策略，减少组织的警报量：
- 送达后删除的包含钓鱼 URL 的电子邮件
- 送达后删除了包含恶意软件的电子邮件
或者，你可以将这些警报策略保留为启用状态，直到我们在 2021 年 5 月 28 日将它们删除。