mcpField
D
defender-tvm

defender-tvm

github.com/vinayaklatthe安全17845 次安装19 周前更新
代码仓库

关于 defender-tvm

面向使用 Microsoft Defender Vulnerability Management 和 Defender TI 的安全团队，提供端点风险管理与威胁情报工作指导，涵盖修复优先级、情报关联分析和运维注意事项。

主要功能

  1. 01结合暴露度与威胁情境排列漏洞优先级
  2. 02评估安全基线与端点清单
  3. 03从指标关联到相关基础设施
  4. 04丰富威胁狩猎和 SIEM 调查
  5. 05规划修复与情报工作流

适用场景

  1. 01按活跃威胁排列端点修补任务
  2. 02检查 CIS 或 STIG 基线偏差
  3. 03调查与可疑指标相关的基础设施
  4. 04使用威胁情报丰富 Sentinel 告警

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/vinayaklatthe/microsoft-security-skills --skill defender-tvm

安装后在 Claude Code 中输入/defender-tvm确认已加载。

详细介绍

Microsoft Defender TI 与漏洞管理

此技能涵盖两项互补功能：

  • Microsoft Defender Vulnerability Management (MDVM) — 面向终结点（Windows、macOS、Linux、移动设备）、固件、浏览器扩展、证书和安全基线的基于风险的漏洞管理。
  • Microsoft Defender Threat Intelligence (Defender TI / MDTI) — Microsoft 的成品情报和原始 IOC 产品，用于对手跟踪、基础设施关联分析和威胁搜寻情报增强。

两者都会向 Defender XDR 和 Sentinel 提供数据。

适用场景

  • 在大型终结点环境中确定修补和修复工作的优先级。
  • 衡量暴露评分和安全基线偏移。
  • 利用对手情报和基础设施数据搜寻并响应威胁。
  • 使用情报配置文件和指标上下文增强 SIEM 警报。

以下场景不适用此技能：终结点策略/加入管理（defender-for-endpoint）、SIEM 检测规则（sentinel-detection-engineering）或外部攻击面管理（defender-easm）。

MDVM — 核心 MDE Plan 2 与附加组件包含的功能

功能MDE Plan 2MDVM 附加组件
基于 CVE 的漏洞清单✅✅
暴露评分、建议✅✅
威胁感知型优先级排序✅✅
安全基线评估（CIS、STIG）—✅
浏览器扩展清单—✅
数字证书清单—✅
网络共享配置评估—✅
硬件和固件清单—✅
阻止存在漏洞的应用程序—✅
对非托管 Windows 设备进行经过身份验证的扫描—✅

经验法则： 如果你已使用 MDE P2，且审计团队要求提供符合 CIS 的证据，就需要 MDVM 附加组件。

使用方法

MDVM 工作流

  1. 按暴露评分而非 CVE 数量进行分流。 暴露评分会综合漏洞可利用性、资产关键性和活跃威胁活动进行加权。按暴露评分对 5,000 个 CVE 的待办项排序后，可转化为 50 项行动清单。

  2. 使用威胁洞察筛选条件。 Microsoft 会为 CVE 添加以下标记：公开利用、经 Microsoft 验证、活跃威胁活动、利用程序已包含在工具包中。无论 CVSS 评分如何，都应优先修补涉及活跃威胁活动的漏洞。

  3. 将修复流程接入 Intune。 “创建修复请求”会将任务推送到 Intune 管理员队列，并附上受影响的设备列表 — 修补生命周期可集中管理。

  4. 安全基线（Plan 2 附加组件）。选择 CIS 或 STIG，将范围限定到设备组，查看各项设置的合规性，并优先处理影响安全性的设置。

  5. 阻止存在漏洞的应用程序（附加组件）。谨慎使用：可在整个环境中阻止 Adobe Reader 21.x、Chrome <120 等应用程序。先在小范围设备组中试点；部分用户可能因合理原因固定使用特定版本。

  6. 执行频率。 每周审查最能降低暴露风险的前 10 项行动；每月汇报高管层暴露评分趋势；每季度生成基线偏移报告。

Defender TI 工作流

  1. 情报配置文件 — 跟踪具名对手（例如 Storm-####）、威胁工具、CVE 和活动。订阅相关项目；更新会显示在 Defender XDR 中。

  2. 基础设施关联分析。 输入某个指标（IP、域名、哈希），Defender TI 会显示被动 DNS、WHOIS 历史记录、证书关联和相关基础设施 — 通过关联分析，发现 SIEM 尚未观测到的对手基础设施。

  3. 将情报用于搜寻。

    • Defender XDR 高级搜寻：指标是可直接联接的一级实体。
    • Sentinel：通过 Threat Intelligence Premium 数据连接器连接 MDTI；ThreatIntelligenceIndicator 和文章会随之填充。

  4. 使用 MDTI API 实现自动化。 将文章/指标导入 SOAR playbook，以自动增强事件信息。

  5. 免费版与 Premium 版。 Defender TI 门户提供免费层级（文章数量和每日关联分析次数有限）；Premium 可解锁无限次关联分析、完整的情报配置文件目录和更高的 API 吞吐量。大多数企业 SOC 的需求都需要 Premium。

注意事项

  • 不要沉迷于 CVE 数量。 暴露分数 + 威胁洞察才是可采取行动的视角。 统计 CVE 数量只是虚荣指标。
  • MDVM 修复需要负责人。 如果在仪表板中展示 200 条建议，却没有 Intune 集成／补丁负责人，就不会有补丁部署。
  • block-vulnerable-apps 具有侵入性。 先试点，再沟通。有些应用因业务原因必须固定版本。
  • 安全基线是一个过程。 CIS 合规率达到 100% 很少可行，也未必可取；应选择对安全有影响的部分。
  • 没有上下文的情报只是噪声。 不要把每个 MDTI 指标都导入 Sentinel 监视列表，做“匹配并告警”——匹配率 × 低保真度 = 告警疲劳。
  • 确认许可。 MDTI Premium 和 MDVM 加载项需要单独许可；客户常以为它们包含在 M365 E5 中，事实并非如此。
  • 扫描结果会延迟数小时；不要期待漏洞状态每分钟更新。

常见反模式

  • “修补了 1,000 个中危 CVE，却让一个已遭利用的严重 CVE 暴露了 60 天”——按威胁活动排序，而不是按 CVSS 等级排序。
  • “为我们在 MDE P2 中已有的暴露分数购买 MDVM 加载项”——存在功能重叠。购买前先梳理功能。
  • “所有 MDTI 指标都在防火墙上自动阻止”——可能造成误报冲击。先调查并验证。
  • “把安全基线‘合规’分数当作安全分数”——两者并不相同；许多基线设置属于运维加固，其中一些并非关键安全设置。
  • “订阅情报档案 = 无需分流”——文章需要分析师分流，才能转化为检测／阻止措施。
  • “未确定范围，就对每台未托管的 Windows 主机进行经过身份验证的扫描”——会大规模产生服务帐户身份验证事件；请与身份团队协调。

示例提示词

  • Top 10 actions to reduce our exposure score by 20% this quarter.
  • Patch prioritization runbook: how to use threat insights to triage 8,000 open CVEs.
  • Roll out CIS Windows baseline assessment across 30,000 endpoints.
  • Wire MDVM remediation requests to Intune and an ITSM ticket queue.
  • Pivot from a suspicious domain to related adversary infrastructure using MDTI.
  • Connect MDTI Premium to Sentinel and build a hunting workbook.
  • Pilot block-vulnerable-apps for outdated Java runtimes on dev machines.
  • Build a quarterly executive exposure-score and intel-profile briefing.

Microsoft Learn

评论

支持 Markdown