活動篩選與查詢

發行項
01/23/2024

本文提供適用於雲端的 Defender Apps 活動篩選和查詢的描述和指示。

活動篩選

以下是可套用的活動篩選清單。大部分篩選都支援多個值，以及 NOT ，為您提供強大的原則建立工具。

活動識別碼 - 依據識別碼，僅搜尋特定活動。當您將適用於雲端的 Microsoft Defender Apps 連線到 SIEM（使用 SIEM 代理程式），而且您想要進一步調查適用於雲端的 Defender Apps 入口網站內的警示時，此篩選非常有用。
活動物件 – 搜尋活動已完成的對象物件。此篩選適用於檔案、資料夾、使用者或應用程式物件。
- 活動物件識別碼 - 物件 (檔案、資料夾、使用者或應用程式識別碼) 的識別碼。
- 專案 - 可讓您依任何活動物件的名稱或標識子搜尋（例如，使用者名稱、檔案、參數、網站）。針對 [活動物件專案] 篩選，您可以選取是否要篩選包含、等於或以特定項目開頭的專案。
動作類型 - 搜尋應用程式中執行的更特定動作。
活動類型 - 搜尋應用程式活動。

注意

只有在該應用程式有活動時，才會將應用程式新增至篩選。
系統管理活動 – 僅搜尋管理活動。

注意

適用於雲端的 Defender 應用程式無法將 Google Cloud Platform （GCP）系統管理活動標示為系統管理活動。
警示識別碼 - 依警示識別碼搜尋。
應用程式 – 只搜尋特定應用程式內的活動。
套用的動作 - 依套用的治理動作搜尋：封鎖、旁路 Proxy、解密、加密、加密失敗、無動作。
日期 – 活動發生的日期。篩選支援日期前/後與日期範圍。
裝置標籤 - 依 Intune 相容、 已加入 Microsoft Entra 混合式或 有效的用戶端憑證進行搜尋。
裝置類型 - 僅搜尋使用特定裝置類型所完成的活動。例如，搜尋來自行動裝置、電腦或平板電腦的所有活動。
檔案和資料夾 - 搜尋執行活動所在的文件和資料夾。
- 檔案識別碼 - 可讓您依執行活動所在的檔案識別碼來搜尋。
- 名稱 - 依檔案或資料夾名稱篩選。您可以選取名稱是否 [結尾為]、[等於] 或 [開頭為] 您的搜尋值。
- 特定檔案或資料夾 - 您可以包含或排除特定檔案或資料夾。選取檔案或資料夾時，您可以依 應用程式、 擁有者或部分檔名來篩選清單。
IP 位址 - 執行活動來源的原始 IP 位址、類別或標記。
- 未經處理的 IP 位址 - 可讓您搜尋在未經處理的 IP 位址上或由其執行的活動。未經處理的 IP 位址可等於、不等於、開頭為或開頭不為特定順序。
- IP 類別 - 活動執行所在的 IP 位址類別，例如，來自系統管理 IP 位址範圍的所有活動。類別必須設定為包含相關的IP位址。某些IP預設可能會分類。例如，Microsoft 威脅情報來源會考慮的IP位址會分類為具風險。若要了解如何設定 IP 類別，請參閱依據需求來組織資料。
- IP 標記 - 執行活動的來源 IP 位址標記；例如，來自匿名 Proxy IP 位址的所有活動。適用於雲端的 Defender Apps 會建立一組無法設定的內建IP標籤。此外，您可以設定IP標籤。如需設定 IP 標籤的詳細資訊，請參閱根據您的需求組織數據。內建IP標籤包含下列專案：
  - Microsoft 應用程式 (其中的 14 個)
  - 匿名 Proxy
  - 殭屍網路 (您會看到活動由殭屍網路所執行，並附有連結供您深入了解特定殭屍網路)
  - Darknet 掃描 IP
  - 惡意程式碼 C&C 伺服器
  - Remote Connectivity Analyzer
  - 衛星提供者
  - 智慧型 Proxy 和存取 Proxy (故意省略)
  - Tor 結束節點
  - Zscaler
模擬活動 – 僅搜尋以其他使用者名稱所執行的活動。
執行個體 - 活動已執行或未執行的所在應用程式執行個體。
位置 – 活動執行所在的國家/地區。
比對原則 – 搜尋符合入口網站中設定之特定原則的活動。
已註冊的 ISP – 執行活動的來源 ISP。
來源 - 依據偵測到其中有活動的來源進行搜尋。來源可以是下列任一項：
- 應用程式連線程式 - 直接從應用程式的 API 連接器取得的記錄。
- 應用程式連線程式分析 - 根據 API 連接器掃描的資訊，適用於雲端的 Defender Apps 擴充。
使用者 - 執行活動的使用者，可使用網域、群組、名稱或組織進行篩選。若要篩選沒有特定用戶的活動，您可以使用「未設定」運算符。
- 使用者網域 - 搜尋特定使用者網域。
- 使用者組織 – 執行活動之使用者所屬的組織單位，例如 EMEA_marketing 使用者所執行的所有活動。這隻適用於使用組織單位的已連線 Google 工作區實例。
- 使用者群組 – 您可以從連線的應用程式匯入的特定使用者群組，例如 Microsoft 365 系統管理員。
- 使用者名稱 - 搜尋特定的使用者名稱。若要查看特定使用者群組中的使用者清單，請在 活動選單中選取使用者群組的名稱。按兩下會帶您前往 [帳戶] 頁面，其中會列出群組中的所有使用者。您可以從該處向下鑽研群組中特定使用者的帳戶詳細資料。
- [使用者群組] 和 [使用者名稱篩選] 可以使用 [身分篩選] 和選取使用者的角色進一步篩選，這可以是下列任一項：
  - 僅限活動物件 - 表示選取的用戶或使用者群組未執行有問題的活動;它們是活動的物件。
  - 僅活動執行者 - 這表示使用者或使用者群組執行了活動。
  - 任何角色 - 表示使用者或使用者群組參與活動，可以是執行活動的人員或活動物件。
使用者代理程式 – 執行活動的來源使用者代理程式。
使用者代理程式標籤 – 內建的使用者代理程式標籤，例如來自過時作業系統或過時瀏覽器的所有活動。