Verwalten von und Reagieren auf Sicherheitswarnungen

Microsoft Defender for Cloud sammelt, analysiert und integriert Logdaten von Ihren Azure-, Hybrid- und Multicloud-Ressourcen, dem Netzwerk und verbundenen Partnerlösungen wie Firewalls und Endpunktagenten. Defender für Cloud verwendet die Protokolldaten, um echte Bedrohungen zu erkennen und falsch positive Ergebnisse zu reduzieren. Defender for Cloud zeigt eine Liste priorisierter Sicherheitswarnungen an, zusammen mit den Informationen, die Sie benötigen, um das Problem schnell zu untersuchen, und den Schritten zur Behebung eines Angriffs.

Sehen Sie Sicherheitswarnungen in Defender for Cloud an, untersuchen Sie sie und reagieren Sie darauf.

In diesem Artikel erfahren Sie, wie Sie die Warnmeldungen von Defender for Cloud anzeigen und verarbeiten und Ihre Ressourcen schützen können.

Wenn Sie Sicherheitswarnungen sichten, priorisieren Sie diese anhand ihres Schweregrads. Bearbeiten Sie Warnungen mit höherem Schweregrad zuerst. Um mehr zu erfahren, sehen Sie, wie Warnungen klassifiziert sind.

Voraussetzungen

Voraussetzungen und Anforderungen finden Sie unter Supportmatrizen für Defender für Cloud.

Verwalten Ihrer Sicherheitswarnungen

führen Sie die folgenden Schritte aus:

1. Melden Sie sich im Azure-Portal an.

2. Wechseln Sie zu Microsoft Defender for Cloud>Security alerts.

   

3. (Optional) Filtern Sie die Warnungsliste mit einem der relevanten Filter. Füge zusätzliche Filter hinzu, indem du Filter hinzufügen wählst.

   

   Die Liste der Benachrichtigungen wird je nach ausgewählten Filtern aktualisiert. Zum Beispiel möchten Sie Sicherheitswarnungen in den letzten 24 Stunden adressieren, um eine mögliche Systempanne zu untersuchen.

Untersuchen einer Sicherheitswarnung

Jede Benachrichtigung enthält Informationen, die Ihnen helfen, die Warnung zu untersuchen.

So untersuchen Sie eine Sicherheitswarnung:

1. Wählen Sie eine Warnung aus. Ein Fenster öffnet sich und zeigt eine Beschreibung des Alarms und aller betroffenen Ressourcen.

   

2. Überprüfen Sie die allgemeinen Informationen zur Sicherheitswarnung.

   • Warnungsschweregrad, Status und Aktivitätszeit
   • Beschreibung, in der die genaue Aktivität erläutert wird, die erkannt wurde
   • Betroffene Ressourcen
   • Kill Chain-Absicht der Aktivität auf der MITRE ATT & CK-Matrix (falls zutreffend)

3. Wählen Sie Alle Informationen anzeigen aus.

   Der rechte Bereich umfasst die Registerkarte Warnungsdetails mit weiteren Details, die Sie bei der Untersuchung der Warnung unterstützen, z. B. IP-Adressen, Dateien und Prozesse.

   

   Der rechte Fensterbereich enthält außerdem den Reiter "Maßnahmen ergreifen ". Nutzen Sie diesen Tab, um weitere Aktionen bezüglich der Sicherheitswarnung zu ergreifen, wie zum Beispiel:

   • Ressourcenkontext inspizieren: Führt Sie zu den Aktivitätsprotokollen der Ressource, die die Sicherheitswarnung unterstützen.
   • Bedrohung eindämmen: Bietet manuelle Schritte zur Behebung dieser Sicherheitswarnung.
   • Zukünftige Angriffe verhindern: Gibt Sicherheitsempfehlungen, um die Angriffsfläche zu verringern, die Sicherheitslage zu erhöhen und somit zukünftige Angriffe zu verhindern.
   • Automatische Antwort auslösen: Bietet die Möglichkeit, eine Logik-App als Reaktion auf diese Sicherheitswarnung auszulösen.
   • Ähnliche Warnungen unterdrücken: Bietet die Möglichkeit, zukünftige Warnungen mit ähnlichen Eigenschaften zu unterdrücken, falls die Warnung für Ihre Organisation nicht relevant ist.

   

   Um mehr über die Warnung zu erfahren, wenden Sie sich an den Besitzer der Ressource, um zu klären, ob es sich bei der erkannten Aktivität um einen Fehlalarm handelt. Du kannst auch die von der angegriffenen Ressource generierten Rohprotokolle untersuchen.

Ändern des Status mehrerer Sicherheitswarnungen gleichzeitig

Die Warnungsliste enthält Kontrollkästchen, sodass Sie mehrere Warnungen gleichzeitig behandeln können. Beispielsweise können Sie zu Selektierungszwecken entscheiden, alle Informationswarnungen für eine bestimmte Ressource zu schließen.

1. Filtern Sie nach den Warnungen, die Sie per Massenvorgang verarbeiten möchten.

   In diesem Beispiel werden die Warnungen mit Schweregrad Informational für die Ressource ASC-AKS-CLOUD-TALK ausgewählt.

   

2. Verwenden Sie die Kontrollkästchen, um die Benachrichtigungen auszuwählen, die verarbeitet werden sollen.

   In diesem Beispiel wählst du alle Benachrichtigungen aus. Die Schaltfläche " Status ändern " ist jetzt verfügbar.

   

3. Verwenden Sie die Optionen zum Ändern des Status , um den gewünschten Status festzulegen.

   

   Ändern Sie den Status der auf der Seite Sicherheitswarnungen angezeigten Warnungen auf den ausgewählten Wert.

Reagieren auf eine Sicherheitswarnung

Nachdem Sie eine Sicherheitswarnung untersucht haben, können Sie auf die Warnung innerhalb von Microsoft Defender für Cloud reagieren.

Um auf eine Sicherheitswarnung zu reagieren:

1. Öffnen Sie die Registerkarte " Aktion ausführen ", um die empfohlenen Antworten anzuzeigen.

   

2. Überprüfen Sie den Abschnitt " Bedrohung minimieren " für die manuellen Untersuchungsschritte, die erforderlich sind, um das Problem zu beheben.

3. Um Ihre Ressourcen zu härten und zukünftige Angriffe dieser Art zu verhindern, beheben Sie die Sicherheitsempfehlungen im Abschnitt " Zukünftige Angriffe verhindern" .

4. Um eine Logik-App mit automatisierten Antwortschritten auszulösen, verwenden Sie den Abschnitt " Automatische Antwort auslösen " und wählen Sie die Triggerlogik-App aus.

5. Wenn die erkannte Aktivität nicht böswillig ist, können Sie zukünftige Warnungen dieser Art unterdrücken, indem Sie den Abschnitt Ähnliche Warnungen unterdrücken und die Unterdrückungsregel erstellen auswählen.

6. Wählen Sie Einstellungen für E-Mail-Benachrichtigungen konfigurieren , um zu sehen, wer E-Mails bezüglich Sicherheitswarnungen auf diesem Abonnement erhält. Kontaktieren Sie den Inhaber des Abonnements, um die E-Mail-Einstellungen zu konfigurieren.

7. Wenn du die Untersuchung der Warnung abgeschlossen und angemessen darauf reagiert hast, ändere den Status in Verworfen.

   

   Die Warnung wird aus der Hauptwarnungsliste entfernt. Sie können den Filter auf der Seite "Warnungsliste" verwenden, um alle Warnungen mit dem Status "Geschlossen " anzuzeigen.

8. Wir empfehlen Ihnen, Feedback zu der Benachrichtigung an Microsoft zu geben:

   1. Für War das nützlich?, wähle Ja oder Nein.
   2. Wählen Sie einen Grund aus, und fügen Sie einen Kommentar hinzu.

   

Um mehr über Alarmtypen zu erfahren, siehe Security alerts – ein Referenzleitfaden.

Informationen darüber, wie Defender for Cloud Bedrohungen erkennt und darauf reagiert, finden Sie unter "Wie Microsoft Defender for Cloud Bedrohungen erkennt und darauf reagiert.

Prüfen der Ergebnisse des agentlosen Scans.

Die Ergebnisse für sowohl agentenbasierte als auch agentenlose Scanner finden Sie auf der Seite Sicherheitswarnungen .

Verwandte Inhalte

• Konfigurieren von Regeln zur Unterdrückung von Warnungen
• Sicherheitswarnungen (Referenzhandbuch)

Nächster Schritt