Untersuchung von Vorfällen in Microsoft Sentinel im Azure-Portal

Microsoft Sentinel bietet Ihnen eine umfassende Plattform für die Fallverwaltung mit vollem Funktionsumfang zum Untersuchen und Verwalten von Sicherheitsvorfällen. Incidents sind Microsoft Sentinel Namen für Dateien, die eine vollständige und ständig aktualisierte Chronologie einer Sicherheitsbedrohung enthalten, unabhängig davon, ob es sich um einzelne Beweisstücke (Warnungen), Verdächtige und beteiligte Parteien (Entitäten), von Sicherheitsexperten gesammelte und kuratierte Erkenntnisse und KI/Machine Learning-Modelle oder Kommentare und Protokolle aller im Verlauf der Untersuchung durchgeführten Aktionen handelt.

Die Untersuchung von Vorfällen in Microsoft Sentinel beginnt mit der Seite Incidents – einer Erfahrung, die Sie für Ihre Untersuchung an einem Ort benötigen. Das Hauptziel dieser Erfahrung besteht darin, die Effizienz und Effektivität Ihres SOC zu erhöhen und die mittlere Auflösungszeit (Mean Time to Resolve, MTTR) zu reduzieren.

In diesem Artikel werden die Funktionen und Features von Microsoft Sentinel zur Vorfalluntersuchung und Fallverwaltung im Azure-Portal beschrieben. Er führt Sie durch die Phasen einer typischen Vorfalluntersuchung und stellt Ihnen dabei alle verfügbaren Ansichten und Tools vor, die Ihnen dabei helfen.

Voraussetzungen

• Die Rollenzuweisung Microsoft Sentinel Responder ist zur Untersuchung von Vorfällen erforderlich.

  Erfahren Sie mehr über Rollen in Microsoft Sentinel.

• Wenn Sie über einen Gastbenutzer verfügen, der Incidents zuweisen muss, muss dem Benutzer die Rolle Verzeichnisleser in Ihrem Microsoft Entra Mandanten zugewiesen werden. Normalen Benutzern (keine Gastbenutzer) ist diese Rolle standardmäßig zugewiesen.

Erhöhen Sie den Reifegrad Ihres SOC

Microsoft Sentinel Incidents bieten Ihnen Tools, mit denen Sie Ihren Reifegrad für Security Operations (SecOps) unterstützen, indem Sie Ihre Prozesse standardisieren und Ihr Incidentmanagement überwachen.

Standardisieren Ihrer Prozesse

Vorfallaufgaben sind Workflow-Listen mit Aufgaben, die Analysten befolgen, um einen einheitlichen Bearbeitungsstandard sicherzustellen und damit keine entscheidenden Schritte übersehen werden:

• SOC-Manager und -Techniker können diese Aufgabenlisten entwickeln und sie automatisch auf verschiedene Gruppen von Vorfällen anwenden lassen, je nach Bedarf oder übergreifend.

• SOC-Analysten können dann auf die zugewiesenen Aufgaben innerhalb jedes Incidents zugreifen und sie nach Abschluss markieren.

  Analysten können auch manuell Aufgaben zu ihren offenen Vorfällen hinzufügen, entweder als Selbsterinnerung oder zum Nutzen anderer Analysten, die an dem Vorfall zusammenarbeiten können (z. B. aufgrund einer Schichtänderung oder Eskalation).

Weitere Informationen finden Sie unter Verwenden von Aufgaben zum Verwalten von Vorfällen in Microsoft Sentinel im Azure-Portal.

Überprüfen Sie Ihr Incident-Management

Das Incidentaktivitätsprotokoll verfolgt Aktionen nach, die für einen Incident ausgeführt wurden, unabhängig davon, ob sie von Menschen oder automatisierten Prozessen initiiert wurden, und zeigt sie zusammen mit allen Kommentaren zum Incident an.

Sie können hier auch Ihre eigenen Kommentare hinzufügen. Weitere Informationen finden Sie unter Microsoft Sentinel-Vorfälle im Azure-Portal eingehend untersuchen.

Effektive und effiziente Untersuchung

Das Wichtigste zuerst: Als Analyst ist die grundlegendste Frage, die Sie beantworten möchten, warum wird mir dieser Vorfall zur Kenntnis gebracht? Wenn Sie die Detailseite eines Vorfalls öffnen, finden Sie die Antwort auf diese Frage: Direkt in der Mitte des Bildschirms sehen Sie das Widget „Vorfallszeitachse“.

Verwenden Sie Microsoft Sentinel Incidents, um Sicherheitsvorfälle effektiv und effizient mithilfe der incident-Zeitleiste zu untersuchen, aus ähnlichen Vorfällen zu lernen, die wichtigsten Erkenntnisse zu untersuchen, Entitäten anzuzeigen und Protokolle zu untersuchen.

Incident-Zeitleisten

Der Vorfall Zeitleiste ist das Tagebuch aller Warnungen, die alle protokollierten Ereignisse darstellen, die für die Untersuchung relevant sind, in der Reihenfolge, in der sie aufgetreten sind. Die Zeitachse zeigt auch Lesezeichen, Momentaufnahmen von Beweisen, die während der Suche gesammelt und dem Vorfall hinzugefügt wurden.

Durchsuchen Sie die Liste der Warnungen und Lesezeichen, oder filtern Sie die Liste nach Schweregrad, Taktik oder Inhaltstyp (Warnung oder Lesezeichen), um das gewünschte Element zu finden. Die erste Ansicht der Zeitleiste verrät Ihnen sofort mehrere wichtige Dinge über jedes darin enthaltene Element, ob Warnung oder Lesezeichen:

• Das Datum und die Uhrzeit der Erstellung der Warnung oder des Lesezeichens.
• Der Typ des Elements, also Warnung oder Lesezeichen, der beim Zeigen mit dem Mauszeiger auf das Symbol durch ein Symbol und eine QuickInfo angegeben wird.
• Der Name der Warnung oder des Lesezeichens, fett formatiert in der ersten Zeile des Elements.
• Der Schweregrad der Warnung, angegeben durch ein Farbband am linken Rand und in Wortform am Anfang des dreiteiligen "Untertitels" der Warnung.
• Der Warnungsanbieter im zweiten Teil des Untertitels. Bei Lesezeichen der Ersteller des Lesezeichens.
• Die der Warnung zugeordneten MITRE ATT&CK-Taktiken, die durch Symbole und QuickInfos im dritten Teil des Untertitels angegeben werden.

Weitere Informationen finden Sie unter Rekonstruieren der Zeitleiste der Angriffsgeschichte.

Listen ähnlicher Vorfälle

Wenn Etwas, das Sie bisher in Ihrem Incident gesehen haben, bekannt ist, kann es gute Gründe geben. Microsoft Sentinel bleibt Ihnen einen Schritt voraus, indem sie Ihnen die Vorfälle zeigt, die dem offenen am ähnlichsten sind.

Das Widget Ähnliche Vorfälle zeigt Ihnen die relevantesten Informationen zu Als ähnlich eingestuften Vorfällen an, einschließlich datum und Uhrzeit der letzten Aktualisierung, letzter Besitzer, letzter status (einschließlich, wenn sie geschlossen wurden, den Grund für die Schließung) und den Grund für die Ähnlichkeit.

Dies kann Ihrer Untersuchung auf verschiedene Arten zugute kommen:

• Erkennen sie gleichzeitige Vorfälle, die Teil einer größeren Angriffsstrategie sein können.
• Verwenden Sie ähnliche Vorfälle als Referenzpunkte für Ihre aktuelle Untersuchung – sehen Sie sich an, wie sie behandelt wurden.
• Identifizieren Sie die Verantwortlichen früherer ähnlicher Vorfälle, um von deren Wissen zu profitieren.

Sie möchten z. B. sehen, ob andere Vorfälle wie diese bereits aufgetreten sind oder jetzt auftreten.

• Möglicherweise möchten Sie gleichzeitige Vorfälle identifizieren, die Teil derselben größeren Angriffsstrategie sein könnten.
• Möglicherweise möchten Sie ähnliche Vorfälle in der Vergangenheit identifizieren, um sie als Referenzpunkte für Ihre aktuelle Untersuchung zu verwenden.
• Möglicherweise möchten Sie die Besitzer von früheren ähnlichen Vorfällen identifizieren, um die Personen in Ihrem SOC zu finden, die mehr Kontext bereitstellen können, oder an die Sie die Untersuchung eskalieren können.

Das Widget zeigt die 20 ähnlichsten Vorfälle an. Microsoft Sentinel entscheidet basierend auf allgemeinen Elementen wie Entitäten, der Quellanalyseregel und Warnungsdetails, welche Incidents ähnlich sind. Von diesem Widget aus können Sie direkt zu den vollständigen Detailseiten dieser Vorfälle springen, während die Verbindung zum aktuellen Incident intakt bleibt.

Die Ähnlichkeit wird anhand der folgenden Kriterien bestimmt:

Die Incidentähnlichkeit wird basierend auf Daten aus den 14 Tagen vor der letzten Aktivität im Incident berechnet, d. h. der Endzeit der letzten Warnung im Incident. Die Incidentähnlichkeit wird auch jedes Mal neu berechnet, wenn Sie die Seite mit den Incidentdetails aufrufen, sodass die Ergebnisse von Sitzung zu Sitzung zu Sitzung variieren können, wenn neue Incidents erstellt oder aktualisiert wurden.

Weitere Informationen finden Sie unter Überprüfen auf ähnliche Vorfälle in Ihrer Umgebung.

Wichtigste Incident-Erkenntnisse

Als Nächstes werden Sie, nachdem Sie einen groben Überblick darüber haben, was passiert ist (oder noch andauert), und den Kontext besser verstehen, wissen wollen, welche interessanten Informationen Microsoft Sentinel bereits für Sie ermittelt hat.

Microsoft Sentinel stellt automatisch die großen Fragen zu den Entitäten in Ihrem Incident und zeigt die wichtigsten Antworten im Widget Top Insights an, das auf der rechten Seite der Incidentdetails angezeigt wird. Dieses Widget zeigt eine Sammlung von Erkenntnissen, die sowohl auf der Analyse des maschinellen Lernens als auch auf der Zusammenstellung der wichtigsten Teams von Sicherheitsexperten basieren.

Dies ist eine speziell ausgewählte Teilmenge der Erkenntnisse, die auf Entitätsseiten angezeigt werden, aber in diesem Kontext werden Erkenntnisse für alle Entitäten im Incident zusammen dargestellt, sodass Sie ein vollständigeres Bild davon erhalten, was passiert. Der vollständige Satz von Erkenntnissen wird auf der Registerkarte Entitäten für jede Entität separat angezeigt (siehe unten).

Das Widget „Top insights“ beantwortet Fragen zur Entität in Bezug auf ihr Verhalten im Vergleich zu ihren Peers und ihrer eigenen bisherigen Entwicklung, ihr Auftauchen auf Beobachtungslisten oder in Threat-Intelligence-Daten sowie sonstige ungewöhnliche Vorkommnisse im Zusammenhang mit ihr.

Die meisten dieser Erkenntnisse enthalten Links zu weiteren Informationen. Diese Links öffnen den Protokollbereich im jeweiligen Kontext. Dort werden die Quellabfrage für diese Erkenntnis sowie ihre Ergebnisse angezeigt.

Liste verwandter Entitäten

Nachdem Sie nun einen Kontext und einige grundlegende Fragen beantwortet haben, sollten Sie mehr Über die wichtigsten Akteure in dieser Geschichte erfahren.

Benutzernamen, Hostnamen, IP-Adressen, Dateinamen und andere Arten von Entitäten können alle "Personen von Interesse" in Ihrer Untersuchung sein. Microsoft Sentinel findet sie alle für Sie und zeigt sie prominent im Widget Entitäten neben der Zeitleiste an.

Wählen Sie in diesem Widget eine Entität aus, um auf derselben Vorfallsseite zum Eintrag dieser Entität in der Registerkarte Entitäten zu wechseln, die eine Liste aller Entitäten im Vorfall enthält.

Wählen Sie eine Entität in der Liste aus, um einen Seitenbereich mit Informationen zu öffnen, die auf der Entitätsseite basieren, einschließlich der folgenden Details:

• Info enthält grundlegende Informationen zur Entität. Bei einer Benutzerkontoentität kann dies beispielsweise der Benutzername, domänenname, Sicherheits-ID (SID), Organisationsinformationen, Sicherheitsinformationen usw. sein.

• Zeitachse enthält eine Liste der Warnmeldungen, in denen diese Entität vorkommt, sowie der Aktivitäten, die die Entität ausgeführt hat, und die aus Protokollen erfasst wurden, in denen die Entität vorkommt.

• Insights enthält Antworten auf Fragen zu der Entität, die sich auf ihr Verhalten im Vergleich zu ihren Peers und ihrer eigenen Geschichte, ihrer Anwesenheit auf Watchlists oder in Threat Intelligence oder zu anderen ungewöhnlichen Ereignissen in Bezug auf sie beziehen.

  Diese Antworten sind die Ergebnisse von Abfragen, die von Microsoft-Sicherheitsexperten definiert wurden und wertvolle und kontextbezogene Sicherheitsinformationen zu Entitäten bereitstellen, die auf Daten aus einer Sammlung von Quellen basieren.

Abhängig vom Entitätstyp können Sie in diesem Seitenbereich eine Reihe weiterer Aktionen ausführen, einschließlich:

• Wechseln Sie zur vollständigen Entitätsseite der Entität, um noch mehr Details über einen längeren Zeitraum abzurufen, oder starten Sie das grafische Untersuchungstool, das auf dieser Entität zentriert ist.

• Führen Sie ein Playbook aus, um bestimmte Reaktions- oder Korrekturaktionen für die Entität auszuführen (in der Vorschau).

• Klassifizieren Sie die Entität als Kompromittierungsindikator (IOC) und fügen Sie sie Ihrer Bedrohungsinformationsliste hinzu.

Jede dieser Aktionen wird derzeit für bestimmte Entitätstypen und nicht für andere Unterstützt. Die folgende Tabelle zeigt, welche Aktionen für jeden Entitätstyp unterstützt werden:

* Für Entitäten, für die die Aktionen Zu TI hinzufügen oder Playbook ausführen verfügbar sind, können Sie diese Aktionen direkt über das Entitätswidget auf der Registerkarte Übersicht ausführen, ohne die Incidentseite zu verlassen.

Incidentprotokolle

Untersuchen Sie Incidentprotokolle, um in die Details zu gelangen, um zu wissen , was genau passiert ist?

Aus fast jedem Bereich des Incidents können Sie einen Drilldown zu den einzelnen Warnungen, Entitäten, Erkenntnissen und anderen Elementen des Incidents durchführen und die ursprüngliche Abfrage und ihre Ergebnisse anzeigen.

Diese Ergebnisse werden auf dem Bildschirm „Protokolle“ (Protokollanalyse) angezeigt, der hier als Bereichserweiterung der Seite „Incidentdetails“ angezeigt wird, sodass Sie den Kontext der Untersuchung nicht verlassen.

Organisierte Datensätze mit Vorfällen

Im Interesse von Transparenz, Rechenschaftspflicht und Kontinuität möchten Sie alle Aktionen aufzeichnen, die für den Vorfall ergriffen wurden – sei es durch automatisierte Prozesse oder durch Personen. Das Vorfall-Aktivitätsprotokoll zeigt Ihnen alle diese Aktivitäten an. Sie können auch alle Kommentare sehen, die gemacht wurden, und Eigene hinzufügen.

Das Aktivitätsprotokoll wird ständig automatisch aktualisiert, auch wenn es geöffnet ist, sodass Sie Änderungen daran in Echtzeit sehen können.

Verwandte Inhalte

In diesem Dokument haben Sie erfahren, wie die Microsoft Sentinel Untersuchung von Vorfällen im Azure-Portal Ihnen hilft, eine Untersuchung in einem einzigen Kontext durchzuführen. Weitere Informationen zum Verwalten und Untersuchen von Incidents finden Sie in den folgenden Artikeln:

• Untersuchen Sie Entitäten mit Entitätsseiten in Microsoft Sentinel
• Verwenden von Aufgaben zum Verwalten von Vorfällen in Microsoft Sentinel
• Automatisierung der Vorfallbehandlung in Microsoft Sentinel mit Automatisierungsregeln
• Identifizieren erweiterter Bedrohungen mit User and Entity Behavior Analytics (UEBA) in Microsoft Sentinel
• Suche nach Sicherheitsbedrohungen

Nächster Schritt

Navigieren, Selektieren und Verwalten von Microsoft Sentinel Incidents im Azure-Portal