Microsoft 365 Defender 門戶指南：項目與每週檢查

簡短回答： Microsoft Defender 門戶（security.microsoft.com）是 Microsoft 365 保安警示、事件、電郵防護、設備防護、報告和策略的統一入口，前身叫 Microsoft 365 Defender。你只會見到授權包含的項目。每星期做 5 項固定檢查：事件與警示、隔離區與提交、動作中心、電郵安全報告、Secure Score。

本文寫給剛被告知「去看一下 Defender 門戶」的 IT 管理員，說明該按哪裡、哪些最重要。讀完你會知道每個選單項目的用途、需要甚麼角色，以及一套可重複的每星期檢查流程。選單名稱已於 2026 年 10 月 28 日對照 Microsoft Learn 核對。微軟會經常更新門戶，你螢幕上的選單位置可能略有不同。

門戶是甚麼，叫甚麼

Microsoft Defender 門戶把整個機構的防護、偵測、調查和回應集中在一處。Microsoft Defender XDR 是背後的服務，負責關聯 Defender for Endpoint、Defender for Office 365、Defender for Identity、Defender for Cloud Apps 等微軟保安產品的訊號。舊文章和不少管理員仍說「Microsoft 365 Defender」，Microsoft Learn 現在稱為「Microsoft Defender portal」。

兩點要記住：

門戶只顯示訂閱包含的功能。有 Defender for Office 365 而沒有 Defender for Endpoint，你會見到電郵功能，見不到設備防護。
Defender 關聯的是你已授權並已啟用的微軟保安產品的訊號。沒有授權的產品不會提供數據。

想知道自己有哪些授權，請看 Microsoft 365 E3、E5 與 EMS 保安功能比較。

誰可以登入

用具備合適角色的工作帳戶打開 security.microsoft.com。下面多數頁面適用的角色包括：唯讀用 Security Reader 和 Global Reader，要修改用 Security Administrator。請優先使用權限最少的角色。電郵策略頁面也接受 Organization Management 角色群組，Defender 門戶在 Permissions 下還有自己的統一角色型存取控制（Unified RBAC）。

門戶各項目

Home

顯示保安狀態摘要卡片，用 Add cards 選擇想看的內容，另有引導式導覽。

Investigation & response

Incidents & alerts：警示是單一偵測結果；事件把相關警示合併成一個跨電郵、設備和身份的攻擊故事。這是每日的工作佇列。
Hunting：用 Kusto 查詢語言（KQL）做進階搜尋，並可由查詢建立自訂偵測規則。
Actions & submissions：Action center（動作中心）顯示自動調查與回應產生的調查和動作。Submissions（提交）用來把郵件、附件和 URL 送交微軟分析，也可查看用戶回報為垃圾郵件或釣魚的郵件。

Threat intelligence

Threat analytics：微軟研究人員對活躍威脅者、新手法、漏洞和惡意軟件的報告，並關聯到相關事件。

Email & collaboration

有 Defender for Office 365 或內建電郵防護時通常會出現，具體視乎你的授權。

Investigations 和 Explorer：僅 Plan 2。Plan 1 用 Real-time detections 代替 Explorer。
Review：Quarantine（管理員查看被扣留的郵件和文件）、Restricted entities（受限制的用戶或連接器）、Malware trends，以及 Plan 2 的 Action center。
Campaigns 和 Threat trackers：僅 Plan 2。
Exchange message trace：查郵件的去向。
Attack simulation training：僅 Plan 2。
Policies & rules > Threat policies：Preset Security Policies 和 Configuration analyzer（Templated policies）；反釣魚、反垃圾郵件、反惡意軟件、Safe Attachments、Safe Links（Policies）；Tenant Allow/Block List、Email authentication settings（DKIM 和 ARC）、Advanced delivery、Enhanced filtering、Quarantine policies（Rules）。警示策略也在這裡。

建議值見 Exchange Online Protection 設定，哪些功能只有 Plan 2 才有，見 Defender for Office 365 Plan 1 與 Plan 2 比較。

你可能見到的其他項目

視授權而定，還會出現更多項目。Microsoft Learn 中 Defender for Endpoint 在 Defender 門戶的頁面介紹了這些：

Assets > Devices：裝置清單。
Endpoints > Vulnerability management 和 Configuration management：軟件漏洞、建議和裝置組態發現（Defender for Endpoint Plan 2 包含漏洞管理的核心功能）。
身份和雲端應用程式相關項目取決於 Defender for Identity 與 Defender for Cloud Apps 的授權，沒有對應授權就見不到。

選單名稱可能因授權和門戶版本略有不同，請以你屏幕上的為準。

Reports 和 System

Reports > Email & collaboration > Email & collaboration reports：電郵安全報告和 Defender for Office 365 報告。
System > Audit：審核記錄搜尋和審核記錄保留策略。
System > Permissions：Defender 統一 RBAC、Microsoft Entra 角色（此處只可查看）、Email & collaboration 角色。
System > Health：Service health 和 Message center。
System > Settings > Microsoft Defender XDR：Defender XDR 的事件電郵通知、警示調整、Streaming API；在 Email & collaboration 下有用戶回報設定、用戶標籤，Plan 2 另有優先帳戶保護和 Teams 保護。

每星期要做的 5 項檢查

Incidents & alerts。 進入 Investigation & response > Incidents & alerts > Incidents。按嚴重程度排序，重點看高嚴重程度的、有多個警示來源且仍為使用中的、以及沒有負責人的事件。新事件預設沒有負責人。打開 Manage incident，在 Assign to 指派負責人（只能一個用戶或一個群組），把 Status 由 Active 改為 In progress，處理完選 Resolved 並寫下解決說明。Classification 選 True positive、Informational, expected activity 或 False positive。微軟說明，事件案例（incident cases）目前是預覽版，也是建議的新體驗；上面描述的是傳統佇列，選項名稱相近。每星期完結時，目標是沒有無人負責的高嚴重程度事件。
隔離區與提交。 在 Email & collaboration > Review > Quarantine 查找被誤扣的正常郵件，安全的就釋放。在 Actions & submissions > Submissions 查看用戶回報的郵件，把判斷有誤的重新提交給微軟。如果同一個寄件人或域名經常被扣留，就該檢查策略了。
Action center。 進入 Actions & submissions > Action center，查看自動調查與回應產生的調查和動作，仍未處理的要及時過一遍。在 Defender for Office 365 內，Action center 是 Plan 2 功能，所以 Plan 1 用戶這一項對電郵並不適用。
電郵安全報告。 打開 Reports > Email & collaboration > Email & collaboration reports。把本星期的惡意軟件、釣魚和垃圾郵件數量與上星期比較，留意突然的變化。
Secure Score 與組態偏移。 在 security.microsoft.com/securescore 打開 Microsoft Secure Score，看新增的建議動作。再打開 Configuration analyzer 的 Configuration drift analysis and history 分頁，看誰改了威脅策略、改動有否降低防護。偏移分析需要已啟用統一審核。見如何提升 Microsoft Secure Score。

每月再加看一次 Threat intelligence > Threat analytics，問問列出的威脅是否與你有關。

常見錯誤

只看警示。 警示是碎片，請從把它們合併起來的事件入手。
關閉事件時不做分類。 微軟說明，替事件分類有助 Defender 隨時間改善偵測。
沒人負責門戶。 指定一位負責人和一位代理，並把每星期檢查排進日曆。
在 Plan 1 上期望有 Plan 2 的頁面。 Explorer、Campaigns、Threat trackers、Attack simulation training 和 Investigations 只限 Plan 2。見不到某個選單，通常是因為沒有對應授權。
為了查看而給所有人 Global Administrator。 唯讀工作用 Security Reader 或 Global Reader。
忽略組態偏移。 出於好意的改動悄悄削弱了某條策略，是不會觸發警示的。

如何確認做到位

指定的負責人能登入 security.microsoft.com，並打開每星期 5 個頁面。
事件佇列內沒有超過一星期仍無人負責的高嚴重程度事件。
你能在 Quarantine 頁面說明最近 3 封被釋放的郵件為何釋放。
偏移分頁能顯示最近每次策略變更是誰改的。
每星期檢查有記錄，哪怕只是一行「本星期無需處理」。

FAQ

有 Microsoft Defender 門戶嗎？

有。網址是 security.microsoft.com，前稱 Microsoft 365 Defender。它把 Defender XDR 和其他微軟保安服務集中到一處。

Microsoft 365 Defender 門戶的網址是甚麼？

security.microsoft.com。Configuration analyzer 直達 security.microsoft.com/configurationAnalyzer，Secure Score 直達 security.microsoft.com/securescore。

怎樣判斷來自 Microsoft 保安團隊的電郵是否真確？

這是一般建議，並非微軟功能：不要從意外電郵內的連結登入。自己輸入 security.microsoft.com，或進入 Microsoft 365 管理中心，在那裡核對同一則訊息或警示。

Defender for Endpoint Plan 1 與 Plan 2 有甚麼分別？

Plan 1 提供核心端點防護，例如新一代反惡意軟件、攻擊面縮減規則、裝置控制、防火牆和網絡保護。Plan 2 增加端點偵測與回應、自動調查與補救、漏洞管理、威脅分析和沙箱。

門戶內 Defender for Office 365 的 Plan 1 與 Plan 2 有甚麼分別？

Plan 1 有 Safe Attachments、Safe Links 和 Real-time detections。Plan 2 增加 Threat Explorer、Campaigns、Threat trackers、自動調查與回應，以及 Attack simulation training。

相關閱讀：Microsoft 365 安全檢查清單。

想讓團隊每日替你留意這些頁面，可以了解我們的保安運作中心（SOC）服務。

如果想在動手前先了解完整審計的收費，Microsoft 365 安全審計要多少錢一文列出了按人數分檔的固定收費。