Navigieren, Selektieren und Verwalten von Microsoft Sentinel Incidents im Azure-Portal

In diesem Artikel wird beschrieben, wie Sie im Azure-Portal navigieren und grundlegende Selektierungen für Ihre Vorfälle ausführen. Sie erfahren, wie Sie nach Vorfällen suchen und filtern, Besitz zuweisen, Status und Schweregrad aktualisieren und aufgelöste Vorfälle schließen.

Voraussetzungen

Bevor Sie Vorfälle untersuchen, stellen Sie sicher, dass Sie die folgenden Rollen und Berechtigungen haben.

• Die Rollenzuweisung Microsoft Sentinel Responder ist zur Untersuchung von Vorfällen erforderlich.

  Erfahren Sie mehr über Rollen in Microsoft Sentinel.

• Wenn Sie über einen Gastbenutzer verfügen, der Incidents zuweisen muss, muss dem Benutzer die Rolle Verzeichnisleser in Ihrem Microsoft Entra Mandanten zugewiesen werden. Normalen Benutzern (keine Gastbenutzer) ist diese Rolle standardmäßig zugewiesen.

Navigieren und Selektieren von Vorfällen

Verwenden Sie die folgenden Schritte, um Vorfälle in Microsoft Sentinel zu navigieren und zu sortieren.

1. Wählen Sie im Microsoft Sentinel Navigationsmenü unter Bedrohungsmanagementdie Option Incidents aus.

   Auf der Seite Incidents finden Sie grundlegende Informationen zu allen Offenen Vorfällen. Zum Beispiel:

   

   • Oben auf dem Bildschirm befindet sich eine Symbolleiste mit Aktionen, die Sie außerhalb eines bestimmten Incidents ausführen können – entweder im gesamten Raster oder bei mehreren ausgewählten Vorfällen. Außerdem gibt es die Anzahl offener Vorfälle, sowohl neuer als auch aktiver, sowie die Anzahl offener Vorfälle nach Schweregrad.

   • Im zentralen Bereich verfügen Sie über ein Incidentraster, bei dem es sich um eine Liste von Vorfällen handelt, die durch die Filtersteuerelemente am Anfang der Liste gefiltert werden, und eine Suchleiste zum Suchen nach bestimmten Vorfällen.

   • Auf der Seite haben Sie einen Detailbereich, in dem wichtige Informationen zu dem Vorfall angezeigt werden, die in der zentralen Liste hervorgehoben sind, sowie Schaltflächen zum Ausführen bestimmter spezifischer Aktionen in Bezug auf diesen Vorfall.

2. Ihr Sicherheitsteam verfügt möglicherweise über Automatisierungsregeln , um eine grundlegende Selektierung für neue Vorfälle durchzuführen und sie dem richtigen Personal zuzuweisen.

   Filtern Sie in diesem Fall die Incidentliste nach Besitzer , um die Liste auf die Incidents zu beschränken, die Ihnen oder Ihrem Team zugewiesen sind. Die vom Besitzer gefilterten Vorfälle stellen Ihre persönliche Arbeitsauslastung dar.

   Wenn Automatisierungsregeln keine Vorfälle zuweisen, können Sie die grundlegende Triage selbst durchführen. Filtern Sie zunächst die Liste der Vorfälle nach verfügbaren Filterkriterien, ob status, Schweregrad oder Produktname. Weitere Informationen finden Sie unter Nach Vorfällen suchen.

3. Selektieren Sie einen bestimmten Incident, und ergreifen Sie sofort erste Maßnahmen, direkt im Detailbereich auf der Seite Incidents , ohne die vollständige Detailseite des Incidents eingeben zu müssen. Zum Beispiel:

   • Untersuchen Sie Microsoft Defender XDR-Vorfälle in Microsoft Defender XDR: Folgen Sie dem Link Untersuchen in Microsoft Defender XDR, um zum entsprechenden parallelen Vorfall im Defender-Portal zu wechseln. Alle Änderungen, die Sie an dem Incident in Microsoft Defender XDR vornehmen, werden mit demselben Incident in Microsoft Sentinel synchronisiert.

   • Öffnen Sie die Liste der zugewiesenen Aufgaben: Incidents, denen Aufgaben zugewiesen sind, zeigen die Anzahl abgeschlossener und gesamter Aufgaben sowie einen Link Vollständige Details anzeigen an. Folgen Sie dem Link, um die Seite Vorfallaufgaben zu öffnen und die Liste der Aufgaben für diesen Vorfall anzuzeigen.

   • Weisen Sie einem Benutzer oder einer Gruppe den Besitz des Incidents zu, indem Sie in der Dropdownliste Besitzer auswählen.

     

     Kürzlich ausgewählte Benutzer und Gruppen werden oben in der abgebildeten Dropdownliste angezeigt.

   • Aktualisieren Sie die status des Incidents (z. B. von Neu in Aktiv oder Geschlossen), indem Sie in der Dropdownliste Status auswählen. Beim Schließen eines Incidents müssen Sie einen Grund angeben. Weitere Informationen finden Sie unter Schließen eines Incidents.

   • Ändern Sie den Schweregrad des Incidents , indem Sie in der Dropdownliste Schweregrad auswählen.

   • Fügen Sie Tags hinzu, um Ihre Incidents zu kategorisieren. Möglicherweise müssen Sie im Detailbereich nach unten scrollen, um zu sehen, wo Tags hinzugefügt werden sollen.

   • Fügen Sie Kommentare hinzu, um Ihre Aktionen, Ideen, Fragen und vieles mehr zu protokollieren. Möglicherweise müssen Sie nach unten im Detailbereich scrollen, um zu sehen, wo Sie Kommentare hinzufügen können.

4. Wenn die Informationen im Detailbereich ausreichen, um weitere Korrektur- oder Entschärfungsaktionen aufzufordern, wählen Sie unten die Schaltfläche Aktionen aus, um eine der folgenden Aktionen auszuführen:

   Aktion	Beschreibung
   Untersuchen	Verwenden Sie das grafische Untersuchungstool , um Beziehungen zwischen Warnungen, Entitäten und Aktivitäten sowohl innerhalb dieses Incidents als auch zwischen anderen Vorfällen zu ermitteln.
   Playbook ausführen	Führen Sie ein Playbook für diesen Vorfall aus, um bestimmte Anreicherungs-, Zusammenarbeits- oder Reaktionsaktionen durchzuführen, die Ihre SOC-Techniker möglicherweise zur Verfügung gestellt haben.
   Erstellen einer Automatisierungsregel	Erstellen Sie eine Automatisierungsregel , die in Zukunft nur bei Incidents wie diesem ausgeführt wird (generiert von derselben Analyseregel), um Ihre zukünftige Workload zu reduzieren oder eine vorübergehende Änderung der Anforderungen (z. B. für einen Penetrationstest) zu berücksichtigen.
   Team erstellen (Vorschau)	Erstellen Sie ein Team in Microsoft Teams, um abteilungsübergreifend mit anderen Personen oder Teams bei der Behandlung des Incidents zusammenzuarbeiten.

   Zum Beispiel:

   

5. Wenn weitere Informationen zu dem Vorfall erforderlich sind, wählen Sie im Detailbereich Vollständige Details anzeigen aus, um die Details des Vorfalls vollständig anzuzeigen, einschließlich der Warnungen und Entitäten im Vorfall, einer Liste ähnlicher Vorfälle und ausgewählter wichtiger Erkenntnisse.

Suchen nach Vorfällen

Um einen bestimmten Vorfall schnell zu finden, geben Sie eine Suchzeichenfolge in das Suchfeld oberhalb des Vorfallrasters ein und drücken Sie Eingabetaste, um die Liste der angezeigten Vorfälle entsprechend zu aktualisieren. Wenn Ihr Incident nicht in den Ergebnissen enthalten ist, können Sie Ihre Suche mithilfe der erweiterten Suchoptionen einschränken.

Um die Suchparameter zu ändern, wählen Sie die Schaltfläche Suchen und dann die Parameter aus, in denen Sie die Suche ausführen möchten.

Zum Beispiel:

Standardmäßig werden Incidentsuchen nur für die Werte Incident-ID, Titel, Tags, Besitzer und Produktname ausgeführt. Scrollen Sie im Suchbereich in der Liste nach unten, um einen oder mehrere andere zu durchsuchende Parameter auszuwählen, und wählen Sie Anwenden aus, um die Suchparameter zu aktualisieren. Wählen Sie Auf Standard festlegen aus, um die ausgewählten Parameter auf die Standardoption zurückzusetzen.

Die Verwendung erweiterter Suchoptionen ändert das Suchverhalten wie folgt:

Schließen eines Incidents

Nachdem Sie einen bestimmten Vorfall behoben haben (z. B. wenn Ihre Untersuchung zu Seinem Abschluss kommt), legen Sie die status des Vorfalls auf Geschlossen fest. In diesem Fall werden Sie aufgefordert, den Vorfall zu klassifizieren, indem Sie den Grund angeben, warum Sie ihn schließen. Die Auswahl einer Klassifizierung ist obligatorisch.

Wählen Sie Klassifizierung auswählen aus, und wählen Sie dann eine der folgenden Optionen aus der Dropdown-Liste aus:

• Wahr positiv – verdächtige Aktivität
• Gutartig positiv – verdächtig, aber erwartet
• Falsch positiv – falsche Warnungslogik
• Falsch positiv – inkorrekte Daten
• Unbestimmt

Weitere Informationen zu falsch positiven Ergebnissen und gutartigen positiven Ergebnissen finden Sie unter Behandeln falsch positiver Ergebnisse in Microsoft Sentinel.

Nachdem Sie die entsprechende Klassifizierung ausgewählt haben, fügen Sie beschreibenden Text im Feld "Kommentar" hinzu. Ein beschreibender Kommentar ist nützlich, wenn Sie später auf den Vorfall zurückgreifen müssen. Wenn Sie fertig sind, wählen Sie Anwenden aus. Der Vorfall wird geschlossen.

Nächster Schritt

Weitere Informationen finden Sie unter Microsoft Sentinel-Incidents im Azure-Portal eingehend untersuchen