Erfassen von Microsoft Defender for Cloud-Warnungen mit Microsoft Sentinel

Die integrierten Schutzfunktionen für Cloudworkloads von Microsoft Defender for Cloud ermöglichen es Ihnen, Bedrohungen in Hybrid- und Multicloudumgebungen zu erkennen und schnell darauf zu reagieren. Mit dem Microsoft Defender für Cloud-Connector können Sie Sicherheitswarnungen aus Defender für Cloud in Microsoft Sentinel erfassen, damit Sie Defender-Warnungen und die von ihnen generierten Vorfälle in einem breiteren Bedrohungskontext der Organisation anzeigen, analysieren und darauf reagieren können.

Microsoft Defender für Cloud Defender-Pläne sind pro Abonnement aktiviert. Während der Legacy-Connector von Microsoft Sentinel für Defender for Cloud Apps ebenfalls pro Abonnement konfiguriert wird, können Sie mit dem mandantenbasierten Microsoft Defender for Cloud-Connector, der sich in der Vorschau befindet, Defender for Cloud-Warnungen aus Ihrem gesamten Mandanten erfassen, ohne ihn für jedes Abonnement separat aktivieren zu müssen. Der mandantenbasierte Konnektor arbeitet auch mit der Integration von Defender für Cloud in Microsoft Defender XDR, um sicherzustellen, dass alle Ihre Defender für Cloud-Warnungen vollständig in alle Vorfälle einbezogen werden, die Sie über die Vorfall-Integration in Microsoft Defender XDR erhalten.

• Warnungssynchronisierung:

  • Wenn Sie Microsoft Defender for Cloud mit Microsoft Sentinel verbinden, wird die status von Sicherheitswarnungen, die in Microsoft Sentinel erfasst werden, zwischen den beiden Diensten synchronisiert. Wenn also beispielsweise eine Warnung in Defender für Cloud geschlossen wird, wird diese Warnung auch in Microsoft Sentinel als geschlossen angezeigt.

  • Das Ändern des Status einer Warnung in Defender for Cloud hat keine Auswirkungen auf den Status von Microsoft Sentinel-Vorfällen, die die Microsoft Sentinel-Warnung enthalten, sondern nur auf den Status der Warnung selbst.

• Bidirektionale Warnungssynchronisierung: Durch aktivieren der bidirektionalen Synchronisierung werden die status der ursprünglichen Sicherheitswarnungen automatisch mit der Microsoft Sentinel Incidents synchronisiert, die diese Warnungen enthalten. Wenn also beispielsweise ein Microsoft Sentinel Incident mit sicherheitsrelevanten Warnungen geschlossen wird, wird die entsprechende ursprüngliche Warnung automatisch in Microsoft Defender für Cloud geschlossen.

Voraussetzungen

• Sie müssen Microsoft Sentinel im Azure-Portal verwenden. Wenn Sie Microsoft Sentinel in das Defender-Portal integrieren, sind Defender for Cloud-Warnungen bereits in Microsoft Defender XDR aufgenommen, und der mandantenbasierten Microsoft Defender for Cloud (Vorschau)-Datenkonnektor wird nicht auf der Seite Datenkonnektors im Defender-Portal aufgeführt. Weitere Informationen finden Sie unter Microsoft Sentinel im Microsoft Defender-Portal.

  Wenn Sie Microsoft Sentinel in das Defender-Portal integriert haben, sollten Sie trotzdem die Microsoft Defender für Cloud-Lösung installieren, um integrierte Sicherheitsinhalte mit Microsoft Sentinel zu verwenden.

  Wenn Sie Microsoft Sentinel im Defender-Portal ohne Microsoft Defender XDR verwenden, ist dieses Verfahren für Sie weiterhin relevant.

• Sie müssen über die folgenden Rollen und Berechtigungen verfügen:

  • Sie müssen über Lese- und Schreibberechtigungen für Ihren Microsoft Sentinel Arbeitsbereich verfügen.

  • Sie müssen über die Rolle Mitwirkender oder Besitzer für das Abonnement verfügen, mit dem Sie eine Verbindung mit Microsoft Sentinel herstellen möchten.

  • Um die bidirektionale Synchronisierung zu aktivieren, müssen Sie über die Rolle "Mitwirkender" oder "Security Admin" für das entsprechende Abonnement verfügen.

• Sie müssen mindestens einen Plan innerhalb von Microsoft Defender für Cloud für jedes Abonnement aktivieren, in dem Sie den Connector aktivieren möchten. Um Microsoft Defender Pläne für ein Abonnement zu aktivieren, müssen Sie über die Rolle "Security Admin" für dieses Abonnement verfügen.

• Sie müssen den SecurityInsights Ressourcenanbieter für jedes Abonnement registrieren, in dem Sie den Connector aktivieren möchten. Überprüfen Sie die Richtlinien zum Registrierungsstatus des Ressourcenanbieters und zu den Möglichkeiten, den SecurityInsights Anbieter zu registrieren.

Herstellen einer Verbindung mit Microsoft Defender for Cloud

Führen Sie die folgenden Schritte aus, um eine Verbindung mit Microsoft Defender for Cloud mit Microsoft Sentinel herzustellen und mit dem Aufnehmen von Sicherheitswarnungen zu beginnen:

1. Installieren Sie in Microsoft Sentinel die Lösung für Microsoft Defender for Cloud aus dem Content Hub. Weitere Informationen finden Sie unter Entdecken und Verwalten sofort einsatzbereiter Inhalte in Microsoft Sentinel.

2. Wählen Sie Konfiguration > Datenkonnektoren aus.

3. Wählen Sie auf der Seite Datenkonnektoren entweder den abonnementbasierten Microsoft Defender für Cloud-Connector (Legacy) oder den mandantenbasierten Microsoft Defender für Cloud-Connector (Vorschau) aus, und wählen Sie dann Connectorseite öffnen aus.

4. Unter Konfiguration sehen Sie eine Liste der Abonnements in Ihrem Mandanten und die status ihrer Verbindung mit Microsoft Defender für Cloud. Wählen Sie die Umschaltfläche Status neben jedem Abonnement aus, dessen Warnungen Sie in Microsoft Sentinel streamen möchten. Wenn Sie mehrere Abonnements gleichzeitig verbinden möchten, markieren Sie die Kontrollkästchen neben den relevanten Abonnements, und wählen Sie dann auf der Leiste oberhalb der Liste die Schaltfläche " Verbinden " aus.

   • Die Kontrollkästchen und die Umschaltflächen Verbinden sind nur für die Abonnements aktiv, für die Sie über die erforderlichen Berechtigungen verfügen.
   • Die Schaltfläche Verbinden ist nur aktiv, wenn mindestens das Kontrollkästchen eines Abonnements aktiviert wurde.

5. Um die bidirektionale Synchronisierung für ein Abonnement zu aktivieren, suchen Sie das Abonnement in der Liste, und wählen Sie in der Dropdownliste in der Spalte Bidirektionale Synchronisierung die Option Aktiviert aus. Um die bidirektionale Synchronisierung für mehrere Abonnements gleichzeitig zu aktivieren, aktivieren Sie deren Kontrollkästchen, und aktivieren Sie die Schaltfläche Bidirektionale Synchronisierung aktivieren auf der Leiste über der Liste.

   • Die Kontrollkästchen und Dropdownlisten sind nur für die Abonnements aktiv, für die Sie über die erforderlichen Berechtigungen verfügen.
   • Die Schaltfläche Bidirektionale Synchronisierung aktivieren ist nur aktiv, wenn mindestens das Kontrollkästchen eines Abonnements aktiviert wurde.

6. In der Spalte "Microsoft Defender Pläne" der Liste können Sie sehen, ob Microsoft Defender Pläne in Ihrem Abonnement aktiviert sind. Dies ist eine Connector-Voraussetzung.

   Der Wert für jedes Abonnement in dieser Spalte ist entweder leer, was bedeutet, dass keine Defender-Pläne aktiviert, Alle aktiviert oder Einige aktiviert sind. Abonnements, deren Wert 'Einige aktiviert' ist, haben außerdem einen Link 'Alle aktivieren', der Sie zu Ihrem Microsoft Defender for Cloud-Konfigurationsdashboard für dieses Abonnement führt, wo Sie Defender-Pläne aktivieren können.

   Über die Linkschaltfläche Microsoft Defender für alle Abonnements aktivieren in der Leiste über der Liste gelangen Sie zur Seite „Erste Schritte“ von Microsoft Defender für Cloud, auf der Sie auswählen können, für welche Abonnements Microsoft Defender für Cloud aktiviert werden soll. Zum Beispiel:

   

7. Sie können auswählen, ob die Warnungen von Microsoft Defender for Cloud automatisch Incidents in Microsoft Sentinel generieren sollen. Wählen Sie unter Incidents erstellen die Option Aktiviert aus, um die Standardanalyseregel zu aktivieren, die automatisch Incidents aus Warnungen erstellt. Sie können diese Regel dann unter Analytics auf der Registerkarte Aktive Regeln bearbeiten.

   Tipp

   Berücksichtigen Sie beim Konfigurieren von benutzerdefinierten Analyseregeln für Warnungen von Microsoft Defender für Cloud den Warnungsschweregrad, um das Öffnen von Vorfällen für Informationswarnungen zu vermeiden.

   Informationswarnungen in Microsoft Defender für Cloud stellen kein sicherheitsrelevantes Risiko dar und sind nur im Kontext eines vorhandenen, offenen Incidents relevant. Weitere Informationen finden Sie unter Sicherheitswarnungen und Incidents in Microsoft Defender für Cloud.

Suchen und Analysieren Ihrer Daten

Sicherheitswarnungen werden in der Tabelle SecurityAlert in Ihrem Log Analytics-Arbeitsbereich gespeichert. Um Defender for Cloud-Sicherheitswarnungen in Log Analytics abzufragen, verwenden Sie die folgende Kusto-Abfrage, um Warnungen abzurufen, bei denen der Produktname Azure Security Center lautet:

SecurityAlert 
| where ProductName == "Azure Security Center"

Die Warnungssynchronisierung in beide Richtungen kann einige Minuten dauern. Änderungen am status von Warnungen werden möglicherweise nicht sofort angezeigt.

Wählen Sie auf der Seite Microsoft Defender for Cloud Connector in Microsoft Sentinel die Registerkarte "Nächste Schritte" für Beispielabfragen, Analyseregelvorlagen und empfohlene Arbeitsmappen aus.

Verwandte Inhalte

Weitere Informationen zur Überwachung und Erkennung von Bedrohungen mit Microsoft Sentinel finden Sie in den folgenden Artikeln:

• Erhalten Sie Einblick in Ihre Daten und potenzielle Bedrohungen.
• Erste Schritte beim Erkennen von Bedrohungen mit Microsoft Sentinel.
• Schreiben Sie Ihre eigenen Regeln, um Bedrohungen zu erkennen.