Microsoft 365 / 调查安全警报并执行初步响应

收到 Microsoft 365 安全警报时，不能仅查看严重性就直接关闭，应查看发生时间、检测来源、受影响用户·设备·邮件、相关警报。由于同一事件的多个警报可能会被归类为一个事件，请同时检查各单独警报及整个事件。

警报与事件的区别

警报是对特定可疑活动的检测记录。事件是将相关警报和证据汇总，以帮助理解攻击流程的单位。Microsoft 的Defender 事件调查指南说明了需同时检查警报、活动、资产、证据。可用的界面和自动调查功能取决于组织的产品及许可。

准备调查界面与权限

在 Microsoft Defender 门户中打开 事件和警报 → 警报 。即使可以以安全读取者（Security Reader）等身份进行查看，也不意味着可以执行帐户阻止、设备隔离等响应操作。请先确认组织的 Defender 权限模型、负责范围和产品许可，并确定调查负责人和操作负责人。

2026 年 10 月的 Microsoft 文档中，同时提供了新的 事件案例（预览） 和现有调查界面的介绍。使用新界面的组织可以在 案例 → 事件 中打开案例，并查看相关警报、资产、证据、活动。菜单不同并不表示没有日志。请在 事件案例调查文档 中对照当前使用的界面和权限。

首次响应时确认的顺序

1. 打开 Microsoft Defender 门户中的事件或警报列表。团队中确定负责人，并记录事件编号以避免重复处理同一事件。
2. 确认严重程度和检测时间，以及受影响的帐户、邮件、设备。不要仅凭警报标题确定实际入侵。

3. 在事件详情中，请查看相关警报、按时间顺序的活动记录、证据和自动行动结果。检查警报调查文档中的状态和分类含义。
4. 如果威胁很可能真实且损害仍在进行，应立即根据组织的事件响应程序通知相关人员，确定影响范围，并确定批准的隔离和阻断措施。首先保留跟踪所需的证据。
5. 记录原因和行为，并检查其他用户或设备是否发生相同活动。监控警报是否在行动后反复出现。

记录与调查理由

它不仅记录警报名称，还包括警报/事件ID、检测产品、首次和最近活动的时间及时区，以及目标用户、设备或电子邮件的身份信息。比较实际对象以避免同名或相似帐户文件之间的混淆。不要直接在普通工作电脑上打开文件以检查是否有恶意URL或附件。

按时间顺序确认链接确认事件，例如“邮件接收→链接警报→登录→数据访问”。将已确认的证据与尚未知的事实分开记录，不要假定上述环节都已发生。例如，即使用户否认点击，你也应查看相关日志，不应仅凭点击历史确认密码泄露。

还会调查是否有与相同发件人、文件、URL相关的其他用户警报。因为即使关闭了一个帐户的警报，其他帐户可能仍继续相同活动。资料应保存在经过批准的事件管理位置，不要在公开渠道张贴邮件原文、用户信息或访问记录。

收到钓鱼警报时的判断示例

可能需要对多个服务采取措施。邮件投递通过消息跟踪，登录和认证通过Entra登录日志进行后续确认。相关负责人应界定调查范围，不能仅修改用户密码，还应确保不留下可疑的认证方法、转发规则或应用权限。

即使显示为自动措施，也要区分请求中、等待、失败和完成。根据产品不同，可能不提供自动调查或响应功能，仅在门户显示响应按钮并不代表工作已执行。应同时进行证据保存和紧急阻断，不要不必要地推迟阻止进行中损害。

如果看起来是误报，可以直接忽略吗？

不可以。需要对照证据和负责人说明，判断警报是否因策略变更或正常运维操作产生。如果归类为误报，应保留判断依据和范围，并适当调整警报规则范围，以免错过真实攻击。只有当同样的误报重复发生时，才考虑调整较小范围。

区分已阻止的实际威胁警报和误报的正常操作警报。不因为没有造成损害就认为都是误报。如果是已批准的测试或操作工作，应在操作请求、执行时间、目标和证据一致后，将依据记录在当前界面的分类和决定项中。如需例外或抑制，请设定狭窄的对象及到期/审查日期。

最终确认

• 受影响帐户/设备的当前状态及是否有额外警报
• 已执行的自动/手动操作及是否有需要回退的操作
• 用户通知及内部安全事件记录的完成情况
• 防止再发生工作（策略、培训、认证方法等）的负责人

事件结束记录应记载首次症状、影响范围、判断依据、自动/手动操作的实际结果及剩余后续工作。仅将警报状态改为“已解决”并不意味着威胁已被移除。应在确认帐户/设备保护已恢复、业务已正常化后结束，临时解除阻止或更改策略需由负责人在审核依据后在批准范围内撤销。