XDR Health Check: kiểm tra sức khỏe Microsoft Defender hằng ngày (TWL300 Lab 01, Phần 3/8)

Sau khi đã có môi trường ở Lab 00, công việc đầu tiên mỗi ngày của một SOC analyst không phải là “săn” tấn công, mà là XDR health check: xác nhận mọi thành phần Microsoft Defender đang khỏe, dữ liệu đang chảy về, và không có sự cố dịch vụ nào âm thầm làm mù điểm quan sát. Lab 01 của chuỗi Microsoft Defender XDR (TWL300) đưa bạn đi qua đúng quy trình rà soát đó trong cổng security.microsoft.com.

Vì sao health check là việc đầu ca trực

Một nền tảng XDR chỉ phát hiện được những gì nó “nhìn thấy”. Nếu sensor Endpoint ngừng gửi heartbeat, kết nối Defender for Cloud Apps rớt, hay một sự cố dịch vụ M365 đang diễn ra, các phát hiện sẽ bị thiếu mà không ai báo. Vì vậy health check đầu ca giúp bạn: nắm nhanh tư thế bảo mật (security posture), phát hiện thành phần “degraded”, và bảo đảm data ingestion liên tục — nền tảng cho mọi cuộc điều tra phía sau.

Bước 1 — Rà soát posture qua Exposure Management

Trong khung điều hướng trái, mở Exposure management → Secure score. Đây là nơi đánh giá tập trung mức độ phơi nhiễm, theo dõi tài sản và các “initiative” giảm rủi ro. Hãy đọc Secure Score tổng thể, các phơi nhiễm rủi ro cao, và những nhóm tài sản đang kéo điểm xuống.

Tiếp theo, vào Exposure management → Vulnerability management → Dashboard để xem exposure score gắn với thiết bị, các khuyến nghị bảo mật hàng đầu (bật tường lửa, cập nhật định nghĩa antivirus, khắc phục thiết bị mất liên lạc) và hoạt động khắc phục gần đây.

Cũng tại trang Endpoints, đừng quên bật ba tùy chọn quan trọng cho các bài lab sau: Live Response, Live response for servers và Live response unsigned script execution, rồi Save preferences.

Bước 2 — Incidents, Identities và các nguồn telemetry

Mở Investigation & response → Incidents & alerts → Incidents, đặt bộ lọc thời gian 1 Day và soát các incident/alert. Một môi trường XDR “sạch” có thể chưa có incident nào — điều đó là bình thường. Lần lượt ghé qua các trụ cột telemetry để xác nhận dữ liệu đang đổ về:

• Assets → Devices/Identities/Applications: soi nhanh thiết bị “unhealthy”, danh tính đặc quyền cao và ứng dụng rủi ro mới phát hiện.
• Identities → Dashboard: xem ITDR dashboard và Identity posture (Secure score) cho danh tính.
• Email & collaboration → Explorer: rà các mối đe dọa email gần đây (phishing, malware, URL độc).
• Cloud apps → Cloud discovery: kiểm tra ứng dụng được phát hiện và cảnh báo quản trị.
• Threat intelligence → Intel explorer: lướt các bài intel liên quan đến môi trường của bạn.

Lưu ý Microsoft Sentinel nay xuất hiện ngay trong cổng Defender; bạn có thể xác nhận sức khỏe Sentinel và các Data Connectors tại Microsoft Sentinel → Configuration → Data Connectors.

Bước 3 — Kiểm tra dịch vụ suy giảm và sự cố 24 giờ

Vào Identities → Health issues để xem cảnh báo theo từng thành phần (ví dụ Endpoint sensor, Email protection). Sau đó mở tab mới tới Microsoft 365 Admin Center → Health → Service Health để soát các sự cố/khuyến cáo cấp tenant ảnh hưởng Exchange, SharePoint, Teams hay Entra ID.

Quay lại cổng Defender, ở hàng đợi Incidents hãy dùng Customize columns để hiển thị Severity, Categories, Detection sources, Last update time, Status, Assigned to; rồi sắp xếp theo Last update time giảm dần, sau đó theo Severity để đẩy những vấn đề nghiêm trọng nhất lên đầu.

Bước 4 — Xác minh data ingestion bằng KQL

Cuối cùng, mở Investigation & response → Hunting → Advanced hunting và chạy truy vấn “ingestion pulse” để đếm số sự kiện theo từng nguồn (Endpoint, Email, Identity, CloudApp) trong 24 giờ qua. Mẹo quan trọng: dán toàn bộ truy vấn, nhấn Ctrl+A để bôi đen tất cả rồi mới Run query — nếu không, Advanced Hunting sẽ chỉ chạy một khối và báo lỗi.

Nếu mọi nguồn đều trả về số đếm hợp lý, nghĩa là pipeline dữ liệu của bạn khỏe mạnh. Đây cũng là cơ hội làm quen Advanced Hunting trong Microsoft Defender XDR — công cụ trung tâm cho các bài điều tra ở phần sau.

Bước 5 — Xác nhận mọi thành phần được cấp phép đang hoạt động

Cuối cùng, vào System → Settings và soi nhanh từng khu vực để chắc chắn không có thành phần nào “câm lặng”:

• Identities: kiểm tra sức khỏe sensor — không xuất hiện trạng thái “No sensor data” hay “Not healthy”.
• Endpoints: xác nhận xu hướng onboarding qua Assets → Devices (cột Onboarding Status) và sức khỏe antivirus qua Reports → Device Health → Microsoft Defender Antivirus Health (phiên bản engine/intelligence còn mới).
• Email & collaboration: xác nhận chính sách bảo vệ đã áp dụng tại Policies & rules → Threat policies → Preset security policies và xem các biểu đồ Phish/Malware Efficacy ở Overview.
• Cloud apps: kiểm tra App Connectors và App governance để chắc dữ liệu cloud app đang được thu thập.

Mục tiêu của bước này là phát hiện sớm bất kỳ workload nào mất kết nối — bởi một thành phần “rớt” đồng nghĩa với một vùng mù trong khả năng phát hiện của XDR.

Checklist health check 5 phút

• ✅ Secure Score & exposure score đã xem, không có phơi nhiễm mới nghiêm trọng.
• ✅ Incidents/alerts 24h đã rà, sắp xếp theo severity.
• ✅ Devices/Identities/Apps không có cảnh báo “unhealthy” bất thường.
• ✅ Service health M365 và Identities → Health issues: xanh.
• ✅ KQL ingestion pulse: đủ Endpoint/Email/Identity/CloudApp.
• ✅ Live Response đã bật cho các lab sau.

Kết luận

Một quy trình XDR health check bài bản — posture, incidents, telemetry, service health và xác minh ingestion bằng KQL — chỉ mất khoảng 50 phút nhưng bảo đảm bạn bước vào ngày làm việc với một nền tảng XDR đáng tin cậy. Ở phần tiếp theo, chúng ta sẽ chuyển từ “kiểm tra” sang “cấu hình”, áp dụng các best practice để củng cố môi trường. Theo dõi trọn bộ chuỗi tại Office365Vietnam.info.