Administrer enhedens omfang og relevans med mærker og udeladelser

  • Gælder for: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Det er ikke alle enheder, der registreres på netværket, der kræver samme sikkerhedsniveau. Nogle enheder vises kort på netværket (gæster, testenheder), mens andre permanent er uden for området for administration af sårbarheder (isolerede laboratorier, udrangerede systemer). Administration af enhedens omfang med forbigående enhedsmarkering og enhedsudeladelser holder dit sikkerhedsteam fokuseret på relevante enheder, sikrer nøjagtig eksponering og sikre scorer og producerer renere rapporter, der afspejler dit sande produktionsmiljø.

Brug mærker eller udeladelser

Defender for Endpoint indeholder to komplementære mekanismer til administration af enhedens relevans. Brug følgende tabel til at bestemme, hvilken tilgang der passer til din situation.

Situation Tilgang Sådan fungerer det Indvirkning
Enheder vises og forsvinder ofte (gæster, test-VM'er, kortvarige objektbeholdere) Midlertidig enhedsmarkering (automatisk) En intern algoritme registrerer periodiske netværksmønstre og koder matchende enheder. Servere, netværksenheder, printere, industrielle enheder og intelligente faciliteter mærkes aldrig som midlertidige. Midlertidige enheder filtreres væk fra standardlagervisningen, men forbliver synlige, hvis du ændrer filteret. Eksponeringsscore, sikker score, sårbarhedsrapporter og avanceret jagt omfatter stadig disse enheder.
Permanent laboratorie- eller sandkassemiljø Enhedsudeladelse (manuel) Du ekskluderer enheder enkeltvist eller samlet med en dokumenteret begrundelse. Udeladte enheder vises ikke på sider eller rapporter for administration af sårbarheder og bidrager ikke til eksponering eller sikre scorer. De forbliver på enhedens lager, men markeres som udeladt.
Enheder, der er planlagt til nedlukning Enhedsudeladelse (manuel) Udelad med en begrundelse og bemærk om den planlagte tilbagetrækningsdato. Det samme som ovenfor. Historiske poster forbliver på lageret.
Dupliker poster efter genberegning Enhedsudeladelse (manuel) Udelad de forældede poster med begrundelse for "Dupliker enhed". hold den aktive enhed inden for området. Rydder op i lageret og sikrer præcise enhedsoptællinger.
Enheder offline i længere perioder Kontrollér, om det allerede er midlertidigt mærket. Hvis ikke, kan du overveje udelukkelse Midlertidige mærkninger håndterer muligvis allerede dette. Udelad kun manuelt, hvis enheden ikke returnerer. Afhænger af den valgte tilgang.
Aktive enheder, du vil ignorere midlertidigt Enhedsfiltre eller brugerdefinerede mærker Brug lagerfiltre eller enhedskoder til at oprette målrettede visninger. Fuld synlighed bevares. Udeluk aldrig aktive enheder – der opretter blinde vinkler.
Enheder, der administreres af et andet team Enhedsfiltre eller brugerdefinerede mærker Brug enhedskoder og -filtre til områdevisninger pr. team. Fuld synlighed bevares på tværs af organisationen.

Vigtigt!

Gennemse midlertidigt mærkede og udeladte enheder regelmæssigt. Tilføj altid meningsfulde noter, når enheder udelades. Udelad aldrig aktive, netværksforbundne enheder – udeladelse påvirker kun synligheden af administrationen af sårbarheder og ikke den faktiske risiko.

Få vist og administrer midlertidige enheder

Midlertidig enhedsmarkering er automatisk og kan ikke deaktiveres. Du styrer synligheden via filtre.

Få vist midlertidige enheder på lageret

  1. På Microsoft Defender-portalen skal du gå til Aktiver>enheder.
  2. Vælg ikonet Filter .
  3. I filteret Midlertidige enheder skal du vælge Ja for kun at få vist midlertidige enheder eller vælge Nej for at udelade dem fra listen.

Du kan også føje kolonnen Midlertidige enheder til din lagervisning for at få vist den midlertidige status sammen med andre enhedsdetaljer.

Sådan fungerer midlertidig mærkning

  • Automatisk registrering: En intern algoritme identificerer midlertidige enheder baseret på mønstre for netværksudseende.
  • Ekskluderede enhedstyper: Servere, netværksenheder, printere, industrielle enheder, overvågningsudstyr, smart facility-enheder og intelligente apparater mærkes aldrig som midlertidige.
  • Standardfiltrering: Midlertidige enheder filtreres som standard fra enhedens lager.
  • Ingen manuel tilsidesættelse: Du kan ikke manuelt mærke eller ophæve mærkningen af en enhed som midlertidig. Juster filterindstillingerne for at styre synligheden.

Udelad enheder

Med enhedsudeladelse kan du manuelt fjerne bestemte enheder fra synligheden af administration af sårbarheder. Udeladte enheder forbliver i enhedsoversigten (markeret som udeladt), men vises ikke på sider eller rapporter om administration af sårbarheder og bidrager ikke til eksponering eller sikre scorer.

Advarsel

Udeladte enheder forbliver tilsluttet netværket og kan stadig udgøre en sikkerhedsrisiko. Udeladelse af enheder påvirker kun synligheden af administration af sårbarheder – det forhindrer ikke angreb eller reducerer den faktiske risiko. Hvis du forsøger at ekskludere en aktiv enhed, viser Defender for Endpoint en advarsel og beder om bekræftelse.

Udelad en enkelt enhed

  1. På Microsoft Defender-portalen skal du gå til Aktiver>enheder.
  2. Vælg den enhed, du vil udelade.
  3. Vælg Udelad på enhedens pop op-vindue eller på enhedens side.
  4. Vælg en begrundelse:
    • Inaktiv enhed
    • Dupliker enhed
    • Enheden findes ikke
    • Uden for området
    • Andet
  5. Skriv en note, der forklarer årsagen til udelukkelse.
  6. Vælg Udelad enhed.

Skærmbillede af dialogboksen Ekskluder enhed med justeringsindstillinger.

Udelad flere enheder

  1. I enhedsoversigten skal du vælge flere enheder ved hjælp af afkrydsningsfelterne.
  2. Vælg Udelad på handlingslinjen.
  3. Vælg en justering, og tilføj en note.
  4. Vælg Udelad enheder.

Hvis du vælger enheder med blandede udeladelsesstatusser, viser dialogboksen, hvor mange der allerede er udelukket. Du kan udelade enheder igen, men den nye justering tilsidesætter tidligere værdier.

Skærmbillede af masseenhedsudeladelse, der viser flere valgte enheder.

Bemærk!

Det kan tage op til 10 timer, før enheder er helt udelukket fra visninger og data til administration af sårbarheder.

Få vist og administrer udeladte enheder

  1. Vælg filterikonet på enhedslageret.
  2. Brug filteret Udeladelsestilstand til at få vist:
    • Ikke udelukket: Normale enheder
    • Udelukket: Enheder, der er fjernet fra administration af sårbarheder

Du kan også føje kolonnen Udeladelsestilstand til lagervisningen.

Stop med at udelade en enhed

Sådan gendanner du en enhed til aktiv administration af sårbarheder:

  1. Vælg den udeladte enhed i enhedsoversigten.
  2. I enheds-pop op-vinduet skal du vælge Udeladelsesoplysninger.
  3. Vælg Stop udeladelse.

Skærmbillede, der viser oplysninger om udeladelse med mulighed for at stoppe udeladelse.

Når du stopper udelukkelse, vises sårbarhedsdata igen på sider, rapporter og avanceret jagt efter sårbarheder. Det kan tage op til otte timer, før ændringerne træder i kraft.

Næste trin

  • Last updated on