Microsoft Defender · 托管服务
服务类别: 网络安全让您已付费的 Microsoft Defender 发挥全部价值
Microsoft 365 订阅中包含一系列 Defender 产品，但它们的效果完全取决于配置。我们管理设备、电子邮件和身份账户上的 Defender 策略，在约定时间内处理事件队列，并逐项跟进安全分数建议，直到作出明确决定。
概览
- 服务内容
- 对您 Microsoft 365 租户中的 Microsoft Defender 系列产品进行持续管理
- 适合对象
- 员工约5至200人、使用 Microsoft 365 Business Premium、E3 或 E5，或购买了 Defender 附加组件的机构
- 涵盖产品
- Defender for Business 或 Defender for Endpoint、Defender for Office 365 和 Defender XDR 门户；在已获许可时也包括 Defender for Identity 或 Defender for Cloud Apps
- 核心内容
- 策略配置、在约定时间内审查事件队列、跟踪安全分数、月度报告和变更记录
- 默认不包含
- 微软许可证、非微软安全产品、非工作时间的事件处理，以及使用 Defender for Cloud 的 Azure 工作负载防护
- 计价方式
- 按每用户或每设备每月计费，在租户审查后提出拟定价格，并以书面报价确认
- 如何开始
- 从 Microsoft 365 安全评估开始，或预约咨询以确认您的许可证
Microsoft Defender 管理包括哪些工作
Microsoft Defender 并不是单一产品。根据您的许可证，您的租户可能包括每台Windows设备上的 Defender 防病毒、用于设备防护和终端检测与响应（EDR）的 Defender for Business 或 Defender for Endpoint、用于电子邮件和协作威胁防护的 Defender for Office 365，以及汇总关联上述来源事件的统一 Defender XDR 门户。
每个组件出厂时的默认设置都算合理，但并未针对您量身调整，而且有几项很有价值的功能在有人主动开启之前都是关闭的。Defender 管理就是一项持续性工作：有针对性地配置这些产品，关注事件队列，处理安全分数建议，并记录每项设置为何如此配置。
如果您正在考虑 Defender for Business 是否适合较小的机构，请参阅我们的 Microsoft Defender for Business 页面，那里专门讨论这一产品选择。本服务面向希望将整套 Defender 产品作为一项持续责任来运营的机构。
我们在 Defender 租户中常见的问题
有许可证却从未接入设备
Business Premium 包含 Defender for Business，但设备从未接入，所以门户里只显示寥寥几台机器，甚至一台都没有。
预设策略从未应用
Defender for Office 365 的安全链接、安全附件和防冒充功能都可以使用，却一直停留在最低设置，或者没有分配给任何人。
无人打开的事件队列
事件和自动调查结果在 Defender 门户中不断堆积，却没有人审查或关闭。
安全分数只是个面子数字
各项建议要么被忽略，要么被全盘接受，而没有考虑对员工和业务应用的影响。
我们管理的内容
设备防护策略
防病毒、防篡改、攻击面减少规则、受控文件夹访问和网页防护，通过 Intune 部署并形成文档。
电子邮件与协作防护
标准或严格的预设安全策略、针对关键员工和域名的防冒充反网络钓鱼策略，以及适用于电子邮件、Teams 和 SharePoint 的安全链接和安全附件。
事件队列运营
在约定时间内审查 Defender XDR 事件并进行分类，执行修复措施并填写关闭说明。
自动调查设置
与您共同选定设备和电子邮件修复的自动化级别并加以记录，对待处理的操作予以批准或拒绝。
安全分数与漏洞管理
每月审查各项建议；每一项要么实施，要么排期，要么作为已接受的风险并写明理由。在已获许可的情况下，Defender 漏洞管理数据会用于确定补丁优先级。
隔离区与用户报告
配置隔离策略、管理员释放流程以及面向用户的“报告”按钮，确保可疑邮件能进入审查流程。
Defender 管理的范围
具体组件取决于您的许可证，并会在方案中列明。
通常包含
- 为已获许可的 Defender 终端产品接入设备并管理策略
- Defender for Office 365 策略配置和隔离区管理
- 在约定时间内审查 Defender 门户中的事件和告警
- 每月审查安全分数，并对每项建议作出书面决定
- 每次安全策略修改都留有变更记录
- 关于覆盖情况、事件和未处理建议的月度报告
需另行界定范围或报价
- 购买或升级微软许可证
- 非工作时间或周末的事件处理，除非已写入您的方案
- Microsoft Defender for Cloud 和 Azure 工作负载防护（复杂的Azure环境请参阅 CloudArchitects.expert）
- 部署 Microsoft Sentinel 或开发自定义检测规则
- 管理非微软安全产品
范围内的微软产品
- Microsoft Defender 防病毒
- Microsoft Defender for Business 以及 Defender for Endpoint Plan 1 和 Plan 2
- Microsoft Defender for Office 365 Plan 1 和 Plan 2
- Microsoft Defender XDR 门户、事件和高级搜寻
- 在已获许可时使用 Microsoft Defender for Identity 和 Defender for Cloud Apps
- 用于策略下发和身份信号的 Microsoft Intune 与 Microsoft Entra ID
- Microsoft 安全分数和 Defender 漏洞管理
哪些机构值得考虑
使用 Business Premium 的机构
已经为 Business Premium 付费，希望其中的安全功能真正得到配置和使用的团队。
E3 和 E5 租户
在我们200人服务规模以内、拥有 Defender for Endpoint Plan 2 或 Defender for Office 365 Plan 2 许可证的较大机构。
正在精简工具的团队
考虑用已经购买许可的 Defender 功能来替换第三方防病毒或邮件过滤产品的机构。
您可以期待的成果
- 您已经付费的 Defender 功能得到配置并投入使用
- 在同一个地方审查设备、电子邮件和身份事件
- 安全分数建议都有明确决定，而不是被搁置一旁
- 重叠的安全产品和账单更少
- 租户中每项安全设置都有书面理由
我们如何接手 Defender
许可证与租户审查
我们梳理您拥有哪些 Defender 组件、哪些已启用、设备如何接入，以及告警如何流转。
基线建议
我们为每个组件提出设置建议，并注明哪些可能影响员工或应用程序。
分阶段变更
策略从审核模式分阶段过渡到强制执行，先从试点组开始，并与员工做好沟通。
日常运营节奏
开始在约定时间内审查事件队列，每月对安全分数作出决定，并提交月度报告。
季度审查
我们每季度与您一起重新审视许可证、微软的新功能和尚未解决的风险。
购买方式
持续性服务以书面报价确认。
Microsoft 365 安全评估
固定费用的审查服务，检查您的 Defender、身份和电子邮件配置，并提供按优先级排序的建议。
Defender 管理订阅
在确认许可证和服务范围后，按每用户或每设备每月提供管理服务。
与 Microsoft 365 管理结合
将 Defender 管理与 Microsoft 365 日常管理结合起来，由同一个负责方统管您的租户。
常见问题
哪些 Microsoft 365 订阅包含 Defender？
Windows 自带 Defender 防病毒。Microsoft 365 Business Premium 包含 Defender for Business 和 Defender for Office 365 Plan 1。E5 订阅包含 Defender for Endpoint Plan 2 和 Defender for Office 365 Plan 2。微软会定期调整产品组合，所以我们会对照您当前的许可证进行确认。
Defender 能取代我们的第三方防病毒和邮件过滤产品吗？
在许可证和配置合适的情况下，通常可以。我们会先评估功能差距和迁移工作量，再决定是否建议切换，并规划分阶段过渡。
你们会不间断地监控 Defender 门户吗？
不会。我们在约定时间内审查事件。Defender 的自动防护功能始终在运行，自动调查也能在无需等待我们的情况下修复许多威胁。
更严格的设置会影响员工工作吗？
有些变更（例如攻击面减少规则）可能会拦截合法的宏或工具。我们会先以审核模式运行，与您一起查看结果，之后才强制执行。
查看您的租户中开启了哪些 Defender 功能
Microsoft 365 安全评估会告诉您拥有什么、配置了什么，以及应该优先修复什么。