調查檔案

適用於：

• 適用於端點的 Microsoft Defender 方案 1
• 適用於端點的 Microsoft Defender 方案 2
• Microsoft Defender XDR

想要體驗適用於端點的 Microsoft Defender 嗎? 注册免費試用版。

調查與特定警示、行為或事件相關聯的檔案詳細數據，以協助判斷檔案是否呈現惡意活動、識別攻擊動機，以及瞭解缺口的潛在範圍。

有許多方式可以存取特定檔案的詳細配置檔頁面。 例如，您可以使用搜尋功能，按兩下 [ 警示處理程式] 樹狀結構、 事件圖表、 成品時程表中的連結，或選取 [ 裝置時間軸] 中列出的事件。

在詳細的配置檔頁面上，您可以切換 新的 [檔案] 頁面，在新的和舊版面配置之間切換。 本文的其餘部分將說明較新的版面配置。

您可以從檔案檢視中的下列區段取得資訊：

• 檔案詳細數據和PE元數據 (是否存在)
• 事件和警示
• 在組織中觀察到
• 檔案名稱
• 如果 Microsoft) 已分析檔案，則檔案內容和功能 (

您也可以從此頁面對檔案採取動作。

檔案動作

檔案動作位於配置檔頁面頂端的檔案資訊卡片上方。 您可以在這裡執行的動作包括：

• 停止並隔離
• 管理指標
• 下載檔
• 詢問 Defender 專家
• 手動動作
• 開始搜補
• 深入分析

如需這些動作的詳細資訊，請參閱對 檔案採取響應 動作。

檔案頁面概觀

檔案頁面提供檔案詳細數據和屬性的概觀、看到檔案的事件和警示、使用的檔名、過去 30 天內看到檔案的裝置數目，包括檔案在組織中第一次和最後一次看到的日期、病毒總偵測比率、 Microsoft Defender 防病毒軟體偵測、連線到檔案的雲端應用程式數目，以及該檔案在組織外部裝置中的普遍性。

注意事項

不同的使用者可能會在檔案普遍性卡片的 [組織] 區段的裝置中 看到不同的值。 這是因為卡片會根據用戶擁有的 RBAC) 範圍 (角色型訪問控制來顯示資訊。 這表示如果使用者已獲授與特定裝置集的可見度，他們只會看到這些裝置上的檔案組織普遍性。

事件和警示

[ 事件和警示] 索引標籤 會提供與檔案相關聯的事件清單，以及檔案所連結的警示。 這份清單涵蓋與事件佇列相同的許多資訊。 您可以選擇您可以選擇到 您可以顯示何種資訊。 您也可以選取 [篩選] 來 篩選清單。

在組織中觀察到

[ 在組織中觀察到] 索引卷標會顯示使用 檔案觀察到的裝置和雲端應用程式。 與裝置相關的檔案歷程記錄最多可顯示在過去六個月，而雲端應用程式相關歷程記錄最多為過去 30 天

裝置

本節顯示偵測到檔案的所有裝置。 區段包含趨勢報告，可識別過去 30 天內觀察到檔案的裝置數目。 在趨勢線下方，您可以在每個裝置上找到檔案的詳細資訊，包括檔案執行狀態、每個裝置上第一個和最後一個看見的事件、起始進程和時間，以及與裝置相關聯的檔名。

您可以按兩下清單上的裝置，探索每個裝置上完整的六個月檔案歷程記錄，並樞紐至裝置時間軸中第一個看見的事件。

雲端應用程式

注意事項

必須啟用適用於雲端應用程式的Defender工作負載，才能查看與雲端應用程式相關的檔案資訊。

本節顯示觀察到檔案的所有雲端應用程式。 它也包含檔案名稱、與應用程式相關聯的使用者、特定雲端應用程式原則的相符項目數目、相關聯的應用程式名稱、上次修改檔案的時間，以及檔案的路徑等資訊。

檔案名稱

[ 檔案名] 索引標籤會列出已觀察到檔案在組織內使用的所有名稱。

檔案內容和功能

注意事項

檔案內容和功能檢視取決於 Microsoft 是否已分析檔案。

[檔案內容] 索引標籤會列出可攜式可執行檔 (PE) 檔案的相關信息，包括進程寫入、程式建立、網路活動、檔案寫入、檔案刪除、登錄讀取、登錄寫入、字元串、匯入和匯出。 此索引標籤也會列出檔案的所有功能。

檔案功能檢視會列出對應至 MITRE ATT&CK™ 技術的檔案活動。

相關主題

• 檢視和組織 適用於端點的 Microsoft Defender 佇列
• 管理 適用於端點的 Microsoft Defender 警示
• 調查 適用於端點的 Microsoft Defender 警示
• 調查 [適用於端點的 Microsoft Defender 裝置] 清單中的裝置
• 調查與 適用於端點的 Microsoft Defender警示相關聯的IP位址
• 調查與 適用於端點的 Microsoft Defender 警示相關聯的網域
• 調查 適用於端點的 Microsoft Defender中的用戶帳戶
• 對檔案採取回應動作

提示

想要深入了解? Engage 技術社群中的 Microsoft 安全性社群：適用於端點的 Microsoft Defender 技術社群。