在“工作负载保护”仪表板的“高级保护”区域中，选择“文件完整性监视” 。

为每个工作区提供了以下信息：

使用此页可以：

访问和查看每个工作区的状态与设置

升级工作区以使用增强的安全功能。 此图标表示工作区或订阅不受 Microsoft Defender for Servers 保护。 若要使用 FIM 功能，你的订阅必须受该计划保护。 了解如何 启用 Defender for Servers 。

对工作区下的所有计算机启用 FIM，并配置 FIM 选项。 此图标表示未对工作区启用 FIM。 如果未显示启用或升级按钮，并且行尾空间是空白的，则表示已对工作区启用 FIM。

此外，还会列出适用于 Windows 和 Linux 的建议设置。 展开“Windows 文件”、“注册表”和“Linux 文件”查看建议项的完整列表。

清除你不想要通过 FIM 监视的任何推荐实体对应的复选框。

选择“应用文件完整性监视”以启用 FIM。

随时可以更改设置。 详细了解如何 编辑受监视的实体 。

禁用文件完整性监视

FIM 使用 Azure 更改跟踪解决方案来跟踪和识别环境中发生的更改。 禁用 FIM 会从所选工作区中删除“更改跟踪”解决方案。

若要禁用 FIM：

从工作区的“文件完整性监视”仪表板中，选择“禁用”。

选择“删除”。

监视工作区、实体和文件

审核受监视的工作区

“文件完整性监视”仪表板显示已启用 FIM 的工作区。 对工作区启用 FIM 后或者在“文件完整性监视”窗口中选择已启用 FIM 的工作区时，FIM 仪表板将会打开。

工作区的 FIM 仪表板显示以下详细信息：

在工作区的“文件完整性监视”仪表板中，从工具栏选择“设置”。

“工作区配置”打开，并显示可监视的各类元素的选项卡：

从其中一个选项卡选择一个条目，然后在“编辑更改跟踪”窗格中编辑任意可用字段。 选项包括：

放弃或保存更改。

添加要监视的新实体

在工作区的“文件完整性监视”仪表板中，从工具栏选择“设置”。

“工作区配置”随即打开。

在“工作区配置”中：

选择要添加的实体类型的选项卡：Windows 注册表、Windows 文件、Linux 文件、文件内容或 Windows 服务。

选择 添加 。

在此示例中，我们选择了“Linux 文件”。

在“添加用于更改跟踪的 Windows 文件”窗口的“输入路径”文本框中，输入包含要跟踪的文件的文件夹。在下图的示例中，Contoso Web 应用位于 D:\ 驱动器的 ContosWebApp 文件夹结构中。

通过提供设置类的名称、启用递归并使用通配符 (*) 后缀指定顶级文件夹，来创建自定义 Windows 文件条目。

ConfigurationChange
| where TimeGenerated > ago(14d)
| where ConfigChangeType in ('Registry', 'Files')
| summarize count() by Computer, ConfigChangeType
查看注册表更改的详细信息：
从 where 子句中删除 Files。
删除摘要行，并将其替换为 ordering 子句：
ConfigurationChange
| where TimeGenerated > ago(14d)
| where ConfigChangeType in ('Registry')
| order by Computer, RegistryKey
可以将报告导出到 CSV 进行存档以及/或者导出为 Power BI 报告。
在以下文章中详细了解 Defender for Cloud：
设置安全策略 - 了解如何为 Azure 订阅和资源组配置安全策略。
管理安全建议 - 了解建议如何帮助你保护 Azure 资源。
Azure 安全博客 - 获取最新的 Azure 安全新闻和信息。