Otomatik Soruşturma ve Yanıt (AIR) ile Hızlı Müdahale

AIR Nedir ve Neden Önemlidir?

AIR, Microsoft'un güvenlik analistlerinin soruşturma süreçlerini inceleyerek geliştirdiği bir otomasyon motorudur. Bir analistin manuel olarak yapacağı her adımı — varlık toplama, tehdit analizi, karar verme, düzeltme — otomatik olarak gerçekleştirir.

AIR Soruşturma Süreci: Adım Adım

Bir uyarı tetiklendiğinden düzeltme eylemine kadar geçen süreçte AIR altı temel adımı otomatik olarak yürütür.

Otomasyon Seviyeleri: Hangisini Seçmeli?

MDE, 1'den 5'e kadar beş farklı otomasyon seviyesi sunar. Seviye ne kadar yüksekse, o kadar az insan müdahalesi gerekir. Doğru seviyeyi seçmek, organizasyonunuzun olgunluk düzeyine ve risk toleransına bağlıdır.

AIR Düzeltme Eylemleri

AIR, tehdidin türüne ve kapsamına göre farklı kategorilerde düzeltme eylemleri uygulayabilir. Her eylem, geri alınabilirlik prensibiyle tasarlanmıştır.

Action Center: Tüm Eylemlerin Merkezi

Action Center, AIR tarafından gerçekleştirilen veya onay bekleyen tüm eylemlerin görüntülendiği ve yönetildiği merkezi paneldir. security.microsoft.com > Action Center yolundan erişilir.

AIR Yapılandırması: Adım Adım

AIR'ı etkinleştirmek ve otomasyon seviyesini yapılandırmak için Microsoft Defender portalını kullanın.

# MDE Advanced Features durumunu kontrol et
# Not: Bu ayarlar portal üzerinden yapılır, PowerShell sadece doğrulama için kullanılır

# Defender servis durumunu kontrol et
Get-Service -Name "Sense" | Select-Object Name, Status, StartType

# MDE yapılandırma bilgilerini görüntüle
Get-MpComputerStatus | Select-Object \` 
    AMServiceEnabled, \` 
    AntispywareEnabled, \` 
    BehaviorMonitorEnabled, \` 
    IoavProtectionEnabled, \` 
    RealTimeProtectionEnabled

# AIR soruşturma geçmişini Event Log'dan çek
Get-WinEvent -LogName "Microsoft-Windows-Windows Defender/Operational" |
    Where-Object { $_.Id -in @(1001, 1002, 1003) } |
    Select-Object TimeCreated, Id, Message |
    Sort-Object TimeCreated -Descending |
    Select-Object -First 20

Advanced Hunting ile AIR Analizi

AIR soruşturmalarını Advanced Hunting üzerinden KQL sorguları ile analiz edebilirsiniz. Bu, hangi tehditlerin ne sıklıkla tetiklendiğini ve AIR'ın etkinliğini ölçmenizi sağlar.

// Son 30 günde AIR tarafından başlatılan soruşturmalar
DeviceEvents
| where Timestamp > ago(30d)
| where ActionType == "AntivirusDetection" or ActionType startswith "Air"
| summarize
    ToplamOlay = count(),
    EtkilenenCihaz = dcount(DeviceName)
    by ActionType
| sort by ToplamOlay desc

// AIR tarafından gerçekleştirilen düzeltme eylemlerini listele
DeviceEvents
| where Timestamp > ago(7d)
| where ActionType in (
    "AntivirusQuarantineFile",
    "AntivirusDeleteFile",
    "IsolateDevice",
    "KillProcess"
)
| project
    Timestamp,
    DeviceName,
    ActionType,
    FileName,
    FolderPath,
    InitiatingProcessFileName
| sort by Timestamp desc

// Karantinaya alınan ve sonradan geri yüklenen dosyalar (potansiyel false positive)
DeviceEvents
| where Timestamp > ago(30d)
| where ActionType == "AntivirusQuarantineFile"
| join kind=leftouter (
    DeviceEvents
    | where ActionType == "AntivirusQuarantineFileRestored"
    | project DeviceName, RestoredFile = FileName, RestoredTime = Timestamp
) on DeviceName
| where isnotempty(RestoredFile)
| project
    QuarantineTime = Timestamp,
    DeviceName,
    FileName,
    RestoredTime
| sort by QuarantineTime desc

Sık Sorulan Sorular