4.1發現攻擊
伺服器上出現可疑行為時發出警示，並標示嚴重程度。警示會說明「發生了什麼事、為什麼可疑」。
2先搞懂一件事：E5／A5 保護不到伺服器
很多單位買了 Microsoft 365 E5 或 A5，以為所有設備都受到保護。其實不是。
E5／A5 裡的 Defender for Endpoint 是使用者授權：授權跟著人走，保護這個人使用的電腦。伺服器沒有「使用者」，所以不在範圍內。
E5／A5 像是發給每位員工的個人保全證。機房裡的伺服器是貴重設備，要另外簽一份機房保全合約，員工的保全證不能拿去保護機房。
官方說法：Defender for Endpoint Plan 1 和 Plan 2 不包含伺服器授權；伺服器需要另一種授權，例如 Defender for Servers Plan 1 或 Plan 2。
3它跟防毒軟體有什麼不同？
傳統防毒的做法是「比對」：手上有一份已知病毒的名單，檔案長得像名單上的東西就擋下來。
問題是，現在的攻擊者常常不用病毒。他們用伺服器上本來就有的工具（例如 PowerShell）做壞事，每一個動作單獨看都像管理員在正常工作，防毒軟體找不到可以比對的東西。
EDR（端點偵測與回應）的做法是「觀察」：記錄伺服器上發生的行為，把前後動作串起來看。一個動作不可疑，但五個動作連在一起，就看得出是攻擊。
防毒軟體像門口的警衛，對照通緝名單放行。EDR 像大樓裡的監視系統加上值班人員，有人拿著合法門禁卡進來，卻在半夜逐間試開辦公室的門，它會注意到。
4它實際上能幫你做什麼？
4.2看清楚來龍去脈
把相關的警示合併成一個「事件」，用時間軸呈現：攻擊從哪一台進來、執行了什麼、又連到哪些機器。
4.3立刻處理
不必跑到機房，就能從入口網站遠端隔離主機、終止可疑程序、收集調查用的資料。隔離後的伺服器仍可與 Defender 連線，方便繼續調查。
4.4電腦和伺服器一起看
如果單位已經有 E5／A5，教職員或員工電腦的警示和伺服器的警示會出現在同一個入口網站。攻擊從某人的電腦跳到伺服器時，可以在同一個事件裡看到完整路徑。
4.5知道哪裡有洞
列出每台伺服器安裝的軟體與已知弱點，告訴你哪些該優先修補。
基本 EDR 內含的能力
| 能力 | 說明 |
|---|
5三個名字，怎麼分？
伺服器版 Defender 有三個名字很像的產品。重點只有一個：它們的 EDR 核心是同一套，差別在怎麼買、怎麼計費，以及有沒有進階功能。
同一家保全公司的三種合約。第一種是跟經銷商簽的年約，價格固定。第二種是計時制，用多少付多少。第三種是計時制的進階版，多了巡檢與稽核服務。站崗的保全人員是同一批人。
補充：另有「Defender for Business servers」，僅供中小企業方案使用，不適用大型企業與學校。
6固定授權還是用量計費？
| 比較項目 | 固定授權（Defender for Endpoint for Servers） | 用量計費（Defender for Servers） |
|---|
適合固定授權的情況
- 沒有 Azure 訂閱。
- 採購要走年度預算，一次核銷。
- 伺服器數量穩定。
適合用量計費的情況
- 已經有 Azure 訂閱。
- 伺服器數量常常變動。
- 想先小規模試用，再慢慢擴大。
- 未來可能用到 Plan 2 的進階功能。
提醒：兩種不要重複買。如果已經買了固定授權，又在 Azure 啟用 Defender for Servers，需要向 Azure 提出支援申請才能扣抵，而且不會追溯。
價格請洽經銷商。
7進階功能值得買嗎？
基本 EDR 是「有人闖入時發現並處理」。進階功能是「事先把門窗檢查好」，以及「留下稽核需要的紀錄」。
進階功能有哪些
| 功能 | 好處 | 方案 | 地端伺服器是否可用 |
|---|
伺服器在自己機房（例如 VMware）的人要注意
Plan 2 有一部分功能是為雲端虛擬機器設計的，放在自己機房的伺服器用不到。對地端伺服器來說，真正用得上的是三項：
- 進階弱點管理：除了列出弱點，還能檢查安全性設定是否符合基準、憑證是否快到期。
- 檔案完整性監控：重要的系統檔或登錄檔被修改時發出警示，稽核常會要求。
- 更新與設定評估：集中檢視哪些伺服器缺修補、哪些設定不符合基準。
第 2、3 項要先在伺服器上安裝 Azure Arc 代理程式。Azure Arc 的基本納管功能本身免費。
進階弱點管理的好處
- 先知道哪裡會被打：依弱點的嚴重度和實際被利用的情況排出優先順序，人力有限時先修最危險的。
- 應付稽核：可以產出弱點與修補狀況的報表。
- 減少攻擊擴散：攻擊者在內部移動時，多半利用沒修補的弱點或不當的設定。
8伺服器在自己的機房，怎麼接上去？
不需要把伺服器搬上雲端。在自己機房的 Windows Server 和 Linux 伺服器，有兩條路可以接上 Defender。
- 路徑 A：直接納管。在伺服器上安裝或啟用 Defender 感測器即可。Windows Server 2019 以後的版本已經內建感測器，只需要啟用；2016 與 2012 R2 要另外安裝。
- 路徑 B：透過 Azure Arc。先在伺服器安裝 Azure Arc 代理程式，伺服器就會像雲端資源一樣出現在 Azure 裡，之後再啟用 Defender for Servers。步驟多一個，但 Plan 2 的完整功能需要它。
只買固定授權，也可以先裝 Azure Arc。Arc 本身免費，與你買哪種授權無關。但固定授權的 EDR 是靠感測器直接納管（路徑 A），Arc 不會因此多出 Defender 功能；檔案完整性監控等 Plan 2 功能仍須在 Azure 啟用 Defender for Servers Plan 2。先裝 Arc 的好處，是日後升級時不必重新納管。
兩條路都需要伺服器能對外連線到 Microsoft 的服務。
9該怎麼選？
建議防護選購指標
- 盤點：伺服器有幾台、Windows 和 Linux 各幾台、哪幾台最重要（例如網域控制站、核心業務系統、對外網站）。
- 決定計費方式：固定授權，或 Azure 用量計費。
- 全部伺服器先上基本 EDR。
- 少數關鍵主機再評估進階功能。
- 先試用：挑 3 到 5 台測試伺服器驗證，再分批擴大。
想為 Plan 2 留彈性？可以先在地端伺服器安裝 Azure Arc（基本納管免費），EDR 用固定授權（Defender for Endpoint for Servers）。日後關鍵主機需要檔案完整性監控或更新與設定評估時，再於 Azure 啟用 Plan 2，不必重新納管。但 Plan 2 是另一筆依用量計費的費用，且與固定授權重複時需向 Azure 申請扣抵（不追溯），升級前請先向經銷商確認細節。
10常見問題
11名詞小辭典
正文中第一次出現的名詞，滑鼠移上去（或用鍵盤聚焦）就會顯示說明。