使用正確的設定擴充進階搜捕涵蓋範圍

  • 發行項

適用於：

  • Microsoft Defender XDR

進階搜捕依賴來自各種來源的數據，包括您的裝置、Office 365 工作區、Microsoft Entra ID 和 適用於身分識別的 Microsoft Defender。 若要盡可能取得最完整的數據，請確定您在相對應的數據源中有正確的設定。

Windows 裝置上的進階安全性稽核

開啟這些進階稽核設定，以確保您取得裝置上活動的相關數據，包括本機帳戶管理、本機安全組管理和服務建立。

資料 描述 架構數據表 如何設定
Account management 擷取為各種 ActionType 值的事件，指出本機帳戶建立、刪除和其他帳戶相關活動 DeviceEvents - 部署進階安全性審核策略： 稽核用戶帳戶管理
- 了解進階安全性稽核原則
安全組管理 擷取為各種 ActionType 值的事件，指出本機安全組建立和其他本機群組管理活動 DeviceEvents - 部署進階安全性審核策略： 稽核安全組管理
- 了解進階安全性稽核原則
服務安裝 以值ServiceInstalled擷ActionType取的事件，表示已建立服務 DeviceEvents - 部署進階安全性審核策略： 稽核安全性系統延伸模組
- 了解進階安全性稽核原則

在域控制器上 適用於身分識別的 Microsoft Defender 感測器

如果您在內部部署執行 Active Directory，則必須在域控制器上安裝 適用於身分識別的 Microsoft Defender 感測器，以取得 適用於身分識別的 Microsoft Defender 的數據。 安裝並正確設定時，此資料也會透過 適用於身分識別的 Microsoft Defender 提供進階搜捕，並提供您網路中身分識別資訊和事件的更全面性資訊。 此數據也會增強 適用於身分識別的 Microsoft Defender 產生進階搜捕也涵蓋的相關警示的能力。

資料 描述 架構數據表 如何設定
網域控制站 從 內部部署的 Active Directory 傳送至 適用於身分識別的 Microsoft Defender 的數據，擴充身分識別相關信息，例如帳戶詳細數據、登入活動和 Active Directory 查詢 多個數據表，包括 IdentityInfo、 IdentityLogonEvents 和 IdentityQueryEvents - 安裝 適用於身分識別的 Microsoft Defender 感測器
- 開啟相關的 Windows 事件

注意事項

本文中的某些數據表可能無法在 適用於端點的 Microsoft Defender 中使用。 開啟 Microsoft Defender 全面偵測回應，以使用更多數據源來搜捕威脅。 您可以遵循從 適用於端點的 Microsoft Defender 移轉進階搜捕查詢中的步驟，將進階搜捕工作流程從 適用於端點的 Microsoft Defender 移至 Microsoft Defender 全面偵測回應。

提示

想要深入了解? Engage 技術社群中的 Microsoft 安全性社群：Microsoft Defender 全面偵測回應 技術社群。