Microsoft 365 Defender 门户指南：栏目与每周检查

简短回答： Microsoft Defender 门户（security.microsoft.com）是 Microsoft 365 安全告警、事件、邮件防护、设备防护、报告和策略的统一入口，前身叫 Microsoft 365 Defender。你只会看到授权包含的栏目。每周做 5 项固定检查：事件与告警、隔离区与提交、操作中心、邮件安全报告、Secure Score。

本文写给刚被告知"去看一下 Defender 门户"的 IT 管理员，说明该点哪里、哪些最重要。读完你会知道每个菜单栏目的用途、需要什么角色，以及一套可重复的每周检查流程。菜单名称已于 2026 年 10 月 28 日对照 Microsoft Learn 核对。微软会经常更新门户，你屏幕上的菜单位置可能略有不同。

门户是什么，叫什么

Microsoft Defender 门户把整个组织的防护、检测、调查和响应集中在一处。Microsoft Defender XDR 是背后的服务，负责关联 Defender for Endpoint、Defender for Office 365、Defender for Identity、Defender for Cloud Apps 等微软安全产品的信号。旧文章和不少管理员仍说"Microsoft 365 Defender"，Microsoft Learn 现在称为"Microsoft Defender portal"。

两点要记住：

门户只显示订阅包含的功能。有 Defender for Office 365 而没有 Defender for Endpoint，你会看到邮件功能，看不到设备防护。
Defender 关联的是你已授权并已开通的微软安全产品的信号。没有授权的产品不会提供数据。

想知道自己有哪些授权，请看 Microsoft 365 E3、E5 与 EMS 安全功能对比。

谁可以登录

用具备合适角色的工作账号打开 security.microsoft.com。下面多数页面适用的角色包括：只读用 Security Reader 和 Global Reader，要修改用 Security Administrator。请优先使用权限最小的角色。邮件策略页面也接受 Organization Management 角色组，Defender 门户在 Permissions 下还有自己的统一基于角色的访问控制（Unified RBAC）。

门户各栏目

Home

显示安全状态摘要卡片，用 Add cards 选择想看的内容，还有引导式导览。

Investigation & response

Incidents & alerts：告警是单个检测结果；事件把相关告警合并成一个跨邮件、设备和身份的攻击故事。这是每天的工作队列。
Hunting：用 Kusto 查询语言（KQL）做高级搜寻，并可由查询建立自定义检测规则。
Actions & submissions：Action center（操作中心）显示自动调查与响应产生的调查和操作。Submissions（提交）用来把邮件、附件和 URL 发给微软分析，也可查看用户报告为垃圾邮件或钓鱼的邮件。

Threat intelligence

Threat analytics：微软研究人员对活跃威胁者、新手法、漏洞和恶意软件的报告，并关联到相关事件。

Email & collaboration

有 Defender for Office 365 或内置邮件防护时通常会出现，具体看你的授权。

Investigations 和 Explorer：仅 Plan 2。Plan 1 用 Real-time detections 代替 Explorer。
Review：Quarantine（管理员查看被扣留的邮件和文件）、Restricted entities（受限用户或连接器）、Malware trends，以及 Plan 2 的 Action center。
Campaigns 和 Threat trackers：仅 Plan 2。
Exchange message trace：查邮件的去向。
Attack simulation training：仅 Plan 2。
Policies & rules > Threat policies：Preset Security Policies 和 Configuration analyzer（Templated policies）；反钓鱼、反垃圾邮件、反恶意软件、Safe Attachments、Safe Links（Policies）；Tenant Allow/Block List、Email authentication settings（DKIM 和 ARC）、Advanced delivery、Enhanced filtering、Quarantine policies（Rules）。告警策略也在这里。

推荐值见 Exchange Online Protection 设置，哪些功能只有 Plan 2 才有，见 Defender for Office 365 Plan 1 与 Plan 2 对比。

你可能看到的其他栏目

视授权而定，还会出现更多栏目。Microsoft Learn 中 Defender for Endpoint 在 Defender 门户的页面介绍了这些：

Assets > Devices：设备清单。
Endpoints > Vulnerability management 和 Configuration management：软件漏洞、建议和设备配置发现（Defender for Endpoint Plan 2 含漏洞管理的核心功能）。
身份和云应用相关栏目取决于 Defender for Identity 与 Defender for Cloud Apps 的授权，没有对应授权就看不到。

菜单名称可能因授权和门户版本略有不同，请以你屏幕上的为准。

Reports 和 System

Reports > Email & collaboration > Email & collaboration reports：邮件安全报告和 Defender for Office 365 报告。
System > Audit：审核日志搜索和审核日志保留策略。
System > Permissions：Defender 统一 RBAC、Microsoft Entra 角色（此处仅可查看）、Email & collaboration 角色。
System > Health：Service health 和 Message center。
System > Settings > Microsoft Defender XDR：Defender XDR 的事件邮件通知、告警调整、Streaming API；在 Email & collaboration 下有用户报告设置、用户标记，Plan 2 还有优先账号保护和 Teams 保护。

每周要做的 5 项检查

Incidents & alerts。 进入 Investigation & response > Incidents & alerts > Incidents。按严重度排序，重点看高严重度的、有多个告警来源且仍为活动状态的、以及没有负责人的事件。新事件默认没有负责人。打开 Manage incident，在 Assign to 指定负责人（只能一个用户或一个组），把 Status 从 Active 改为 In progress，处理完选 Resolved 并写下解决说明。Classification 选 True positive、Informational, expected activity 或 False positive。微软说明，事件案例（incident cases）目前是预览版，也是推荐的新体验；上面描述的是传统队列，选项名称相近。每周结束时，目标是没有无人负责的高严重度事件。
隔离区与提交。 在 Email & collaboration > Review > Quarantine 查找被误扣的正常邮件，安全的就释放。在 Actions & submissions > Submissions 查看用户报告的邮件，把判断有误的重新提交给微软。如果同一个发件人或域名总被扣留，说明该检查策略了。
Action center。 进入 Actions & submissions > Action center，查看自动调查与响应产生的调查和操作，还没处理的要及时过一遍。在 Defender for Office 365 中，Action center 是 Plan 2 功能，所以 Plan 1 用户这一项对邮件不适用。
邮件安全报告。 打开 Reports > Email & collaboration > Email & collaboration reports。把本周的恶意软件、钓鱼和垃圾邮件数量与上周比，留意突然的变化。
Secure Score 与配置漂移。 在 security.microsoft.com/securescore 打开 Microsoft Secure Score，看新增的建议操作。再打开 Configuration analyzer 的 Configuration drift analysis and history 选项卡，看谁改了威胁策略、改动是否降低了防护。漂移分析需要已开启统一审核。见如何提高 Microsoft Secure Score。

每月再加看一次 Threat intelligence > Threat analytics，问问列出的威胁是否与你有关。

常见错误

只看告警。 告警是碎片，请从把它们合并起来的事件入手。
关闭事件时不做分类。 微软说明，对事件做分类有助于 Defender 随时间改进检测。
没人负责门户。 指定一位负责人和一位代理，并把每周检查排进日历。
在 Plan 1 上期待 Plan 2 的页面。 Explorer、Campaigns、Threat trackers、Attack simulation training 和 Investigations 仅限 Plan 2。看不到某个菜单，通常是因为没有对应授权。
为了查看就给所有人 Global Administrator。 只读工作用 Security Reader 或 Global Reader。
忽视配置漂移。 善意的改动悄悄削弱了某条策略，是不会触发告警的。

怎么确认做到位了

指定的负责人能登录 security.microsoft.com，并打开每周 5 个页面。
事件队列里没有超过一周仍无人负责的高严重度事件。
你能在 Quarantine 页面说明最近 3 封被释放的邮件为什么释放。
漂移选项卡能显示最近每次策略变更是谁改的。
每周检查有记录，哪怕只是一行"本周无需处理"。

FAQ

有 Microsoft Defender 门户吗？

有。地址是 security.microsoft.com，前称 Microsoft 365 Defender。它把 Defender XDR 和其他微软安全服务集中到一处。

Microsoft 365 Defender 门户的网址是什么？

security.microsoft.com。Configuration analyzer 直达 security.microsoft.com/configurationAnalyzer，Secure Score 直达 security.microsoft.com/securescore。

怎么判断来自 Microsoft 安全团队的邮件是不是真的？

这是通用建议，不是微软功能：不要从意外邮件里的链接登录。自己输入 security.microsoft.com，或进入 Microsoft 365 管理中心，在那里核对同样的消息或告警。

Defender for Endpoint Plan 1 和 Plan 2 有什么区别？

Plan 1 提供核心终端防护，例如新一代反恶意软件、攻击面减少规则、设备控制、防火墙和网络保护。Plan 2 增加终端检测与响应、自动调查与修复、漏洞管理、威胁分析和沙盒。

门户里 Defender for Office 365 的 Plan 1 和 Plan 2 有什么区别？

Plan 1 有 Safe Attachments、Safe Links 和 Real-time detections。Plan 2 增加 Threat Explorer、Campaigns、Threat trackers、自动调查与响应，以及 Attack simulation training。

相关阅读：Microsoft 365 安全检查清单。

想让团队每天替你盯着这些页面，可以了解我们的安全运营中心（SOC）服务。

如果想在动手前先了解完整审计的价格，Microsoft 365 安全审计要花多少钱一文列出了按人数分档的固定价格。