How to Manage Alerts and Incidents Effectively in Microsoft 365 Defender: A Comprehensive Guide

Pregunta

Está usando el portal de Microsoft 365 Defender para realizar una investigación de un incidente de varias etapas relacionado con un documento malicioso sospechoso.

Después de revisar todos los detalles, ha determinado que la alerta vinculada a este documento potencialmente malicioso también está relacionada con otro incidente en su entorno.

Sin embargo, la alerta no figura actualmente como parte de ese segundo incidente.

Su investigación sobre la alerta está en curso, al igual que su investigación sobre los dos incidentes relacionados.

Debe categorizar adecuadamente la alerta y asegurarse de que esté asociada con el segundo incidente.

¿Qué dos acciones debe realizar en el panel Administrar alerta para cumplir con esta parte de la investigación? Cada respuesta correcta presenta una parte de la solución.

Escoge las Respuestas correctas.

Respuestas

Respuesta Correcta

Respuestas correctas: A & mi

La acción correcta para clasificar la alerta sería establecer el estado en En curso.

Si bien la alerta puede parecer legítima ya que está vinculada a otro incidente, hasta que se llegue a una determinación final, debe establecer el estado en Progreso para asegurarse de que los demás sepan que se está trabajando en ello.

Una vez que se llega a una determinación, puede cambiarla a Resuelta y seleccionar la clasificación apropiada (Alerta verdadera o Alerta falsa)

La acción correcta para correlacionar la alerta con el otro incidente sería seleccionar la opción Vincular alerta a otro incidente.

Si bien lo ideal sería que la alerta se incluyera automáticamente en ambos incidentes, no siempre es así.

Si observa una alerta que no está vinculada a un incidente con el que está claramente relacionado, el uso de la opción Vincular alerta a otro incidente garantiza que estén vinculados.

No debe establecer la clasificación en Alerta verdadera.

Si bien se puede señalar que parece que este archivo malicioso involucrado en múltiples incidentes es probable que sea una alerta verdadera, aún no puede tomar esa determinación.

Tampoco es momento de catalogarlo como una falsa alerta.