Vorfälle mit Microsoft Sentinel (legacy) untersuchen

Dieser Artikel unterstützt Sie bei der Verwendung der Legacyvorfalluntersuchung von Microsoft Sentinel. Wenn Sie die neuere Version der Benutzeroberfläche verwenden, finden Sie unter In Vorfällen in Microsoft Sentinel navigieren und diese untersuchen Anweisungen für diese Benutzeroberfläche.

Nachdem Sie Ihre Datenquellen mit Microsoft Sentinel verbunden haben, möchten Sie benachrichtigt werden, wenn etwas Verdächtiges passiert. Um diese Benachrichtigungen zu erhalten, ermöglicht Microsoft Sentinel Ihnen, fortschrittliche Analyseregeln zu erstellen, die Vorfälle generieren, die Sie zuweisen und untersuchen können.

Ein Incident kann mehrere Warnungen enthalten. Es handelt sich um eine Aggregation aller relevanten Beweise für eine bestimmte Untersuchung. Ein Incident wird basierend auf Analyseregeln erstellt, die Sie auf der Seite Analyse erstellt haben. Die eigenschaften im Zusammenhang mit den Warnungen, z. B. schweregrad und status, werden auf der Incidentebene festgelegt. Nachdem Sie Microsoft Sentinel wissen lassen, nach welchen Arten von Bedrohungen Sie suchen und wie sie gefunden werden können, können Sie erkannte Bedrohungen überwachen, indem Sie Vorfälle untersuchen.

Voraussetzungen

Bevor Sie Vorfälle untersuchen oder zuweisen, stellen Sie sicher, dass die folgenden Voraussetzungen erfüllt sind:

• Sie können den Incident nur untersuchen, wenn Sie beim Einrichten Ihrer Analyseregel die Entitätszuordnungsfelder verwendet haben. Das Untersuchungsdiagramm erfordert, dass Ihr ursprünglicher Incident Entitäten enthält.

• Wenn Sie über einen Gastbenutzer verfügen, der Incidents zuweisen muss, muss dem Benutzer die Rolle Verzeichnisleser in Ihrem Microsoft Entra Mandanten zugewiesen werden. Normalen Benutzern (keine Gastbenutzer) ist diese Rolle standardmäßig zugewiesen.

So untersuchen Sie Vorfälle

Führen Sie die folgenden Schritte aus, um Vorfälle zu überprüfen und zu untersuchen:

1. Wählen Sie Incidents aus. Auf der Seite Incidents erfahren Sie, wie viele Vorfälle Sie haben und ob sie neu, aktiv oder geschlossen sind. Für jeden Vorfall können Sie den Zeitpunkt und die status des Vorfalls sehen. Sehen Sie sich den Schweregrad an, um zu entscheiden, welche Vorfälle zuerst behandelt werden sollen.

   

2. Sie können die Incidents nach Bedarf filtern, z. B. nach status oder Schweregrad. Weitere Informationen finden Sie unter Nach Vorfällen suchen.

3. Wählen Sie einen bestimmten Vorfall aus, um eine Untersuchung zu starten. Rechts sehen Sie detaillierte Informationen zum Vorfall, darunter seine Schwere der Zusammenfassung, die Anzahl der beteiligten Entitäten, die ursprünglichen Ereignisse, die diesen Vorfall ausgelöst haben, die eindeutige ID des Vorfalls sowie alle zugeordneten MITRE ATT&CK-Taktiken oder -Techniken.

4. Wenn Sie weitere Details zu den Warnungen und Entitäten im Incident anzeigen möchten, wählen Sie Vollständige Details anzeigen auf der Incidentseite aus, und überprüfen Sie die relevanten Registerkarten, auf denen die Incidentinformationen zusammengefasst sind.

   

   • Wenn Sie die neue Benutzeroberfläche derzeit verwenden, deaktivieren Sie sie oben rechts auf der Seite mit den Incidentdetails, um stattdessen die Legacyumgebung zu verwenden.

   • Überprüfen Sie die Zeitachse der Warnungen und Lesezeichen im Vorfall auf der Registerkarte Zeitachse. Dies hilft Ihnen, die Zeitachse der Angreiferaktivitäten zu rekonstruieren.

   • Auf der Registerkarte Ähnliche Vorfälle (Vorschau) wird eine Sammlung von bis zu 20 anderen Vorfällen angezeigt, die dem aktuellen Incident am ehesten ähneln. Das Anzeigen ähnlicher Vorfälle ermöglicht es Ihnen, den Vorfall in einem größeren Zusammenhang zu verstehen und Ihre Untersuchung gezielt zu steuern. Weitere Informationen finden Sie unter "Ähnliche Vorfälle" (Vorschau).

   • Überprüfen Sie auf der Registerkarte Warnungen die warnungen, die in diesem Incident enthalten sind. Sie sehen alle relevanten Informationen zu den Warnungen – die Analyseregeln, die sie erstellt haben, die Anzahl der pro Warnung zurückgegebenen Ergebnisse und die Möglichkeit, Playbooks für die Warnungen auszuführen. Wählen Sie die Anzahl der Ereignisse aus, um einen weiteren Drilldown in den Incident auszuführen. Dadurch wird die Abfrage geöffnet, die die Ergebnisse und die Ereignisse generiert hat, die die Warnung in Log Analytics ausgelöst haben.

   • Auf der Registerkarte Lesezeichen werden alle Lesezeichen angezeigt, die Sie oder andere Ermittler mit diesem Vorfall verknüpft haben. Weitere Informationen finden Sie unter Lesezeichen in Microsoft Sentinel.

   • Im Tab Entitäten können Sie alle Entitäten sehen, die Sie im Rahmen der Definition der Alarmregeln auf Entitäten zugeordnet haben. Dies sind die Objekte, die im Vorfall eine Rolle spielten, unabhängig davon, ob sie Benutzer, Geräte, Adressen, Dateien oder andere unterstützte Entitätstypen sind.

   • Schließlich können Sie auf der Registerkarte Kommentare Ihre Kommentare zur Untersuchung hinzufügen und alle Kommentare anzeigen, die von anderen Analysten und Ermittlern abgegeben wurden. Weitere Informationen finden Sie unter "Kommentar zu Vorfällen".

5. Wenn Sie einen Vorfall aktiv untersuchen, sollten Sie den Status des Vorfalls auf Aktiv setzen, bis Sie ihn schließen.

6. Incidents können einem bestimmten Benutzer oder einer Gruppe zugewiesen werden. Für jeden Incident können Sie einen Besitzer zuweisen, indem Sie das Feld Besitzer festlegen. Alle Vorfälle sind zu Beginn nicht zugewiesen. Sie können auch Kommentare hinzufügen, damit andere Analysten verstehen können, was Sie untersucht haben und welche Bedenken Sie im Hinblick auf den Vorfall haben.

   

   Kürzlich ausgewählte Benutzer und Gruppen werden oben in der abgebildeten Dropdownliste angezeigt.

7. Wählen Sie Untersuchen aus, um die Untersuchungsübersicht anzuzeigen.

Verwenden Sie die Untersuchungsgrafik, um tiefer in die Details einzutauchen.

Das Untersuchungsdiagramm ermöglicht es Analysten, für jede Untersuchung die richtigen Fragen zu stellen. Das Untersuchungsdiagramm hilft Ihnen, den Umfang einer potenziellen Sicherheitsgefährdung zu verstehen und die Grundursache zu identifizieren, indem relevante Daten mit jeder beteiligten Entität korreliert werden. Sie können tiefer gehen und jede im Diagramm dargestellte Entität untersuchen, indem Sie sie auswählen und zwischen verschiedenen Erweiterungsoptionen wählen.

Das Untersuchungsdiagramm bietet Folgendes:

• Visueller Kontext aus Rohdaten: Der visuelle Livegraph zeigt Entitätsbeziehungen an, die automatisch aus den Rohdaten extrahiert werden. Auf diese Weise können Sie Verbindungen über verschiedene Datenquellen hinweg problemlos anzeigen.

• Ermittlung des vollständigen Untersuchungsbereichs: Erweitern Sie Ihren Untersuchungsbereich mithilfe integrierter Untersuchungsabfragen, um den gesamten Umfang einer Sicherheitsverletzung anzuzeigen.

• Integrierte Untersuchungsschritte: Verwenden Sie vordefinierte Untersuchungsoptionen, um sicherzustellen, dass Sie angesichts einer Bedrohung die richtigen Fragen stellen.

So verwenden Sie das Untersuchungsdiagramm:

1. Wählen Sie einen Incident und dann Untersuchen aus. Dadurch gelangen Sie zum Untersuchungsdiagramm. Das Diagramm bietet eine illustrative Zuordnung der Entitäten, die direkt mit der Warnung verbunden sind, und jeder Ressource, die weiter verbunden ist.

   

   Wichtig

   • Sie können den Incident nur untersuchen, wenn Sie beim Einrichten Ihrer Analyseregel die Entitätszuordnungsfelder verwendet haben. Das Untersuchungsdiagramm erfordert, dass Ihr ursprünglicher Incident Entitäten enthält.

   • Microsoft Sentinel unterstützt derzeit die Untersuchung von Vorfällen, die bis zu 30 Tage alt sind.

2. Wählen Sie eine Entität aus, um den Bereich Entitäten zu öffnen, damit Sie Informationen zu dieser Entität überprüfen können.

   

3. Erweitern Sie Ihre Untersuchung, indem Sie auf jede Entität zeigen, um eine Liste mit Fragen anzuzeigen, die von unseren Sicherheitsexperten und Analysten pro Entitätstyp entworfen wurde, um Ihre Untersuchung zu vertiefen. Wir nennen diese Optionen Explorationsabfragen.

   

   Beispielsweise können Sie verwandte Warnungen anfordern. Wenn Sie eine Explorationsabfrage auswählen, werden die resultierenden Entitäten wieder zum Graphen hinzugefügt. In diesem Beispiel wurden durch Auswählen von Zugehörige Warnungen die folgenden Warnungen im Diagramm angezeigt:

   

   Im Diagramm werden verwandte Warnungen durch gepunktete Linien mit der Entität verbunden.

4. Für jede Untersuchungsabfrage können Sie die Option zum Öffnen der unformatierten Ereignisergebnisse und der in Log Analytics verwendeten Abfrage auswählen, indem Sie Ereignisse> auswählen.

5. Um den Vorfall zu verstehen, bietet ihnen das Diagramm eine parallele Zeitleiste.

   

6. Bewegen Sie den Mauszeiger über die Zeitleiste, um zu sehen, welche Elemente im Diagramm zu welchem Zeitpunkt auftreten.

   

Konzentrieren Sie sich auf Ihre Untersuchung

Erfahren Sie, wie Sie den Untersuchungsbereich erweitern oder einschränken können, indem Sie Entweder Warnungen zu Ihren Vorfällen hinzufügen oder Warnungen aus Incidents entfernen.

Ähnliche Vorfälle (Vorschau)

Als Sicherheitsanalyst möchten Sie bei der Untersuchung eines Incidents auf den größeren Kontext achten. Beispielsweise möchten Sie sehen, ob andere Vorfälle wie diese bereits aufgetreten sind oder jetzt auftreten.

• Möglicherweise möchten Sie gleichzeitige Vorfälle identifizieren, die Teil derselben größeren Angriffsstrategie sein könnten.

• Möglicherweise möchten Sie ähnliche Vorfälle in der Vergangenheit identifizieren, um sie als Referenzpunkte für Ihre aktuelle Untersuchung zu verwenden.

• Möglicherweise möchten Sie die Besitzer von früheren ähnlichen Vorfällen identifizieren, um die Personen in Ihrem SOC zu finden, die mehr Kontext bereitstellen können, oder an die Sie die Untersuchung eskalieren können.

Auf der Registerkarte ähnliche Vorfälle auf der Seite mit den Incidentdetails, die sich jetzt in der Vorschau befindet, werden bis zu 20 weitere Incidents angezeigt, die dem aktuellen am ähnlichsten sind. Die Ähnlichkeit wird von internen Microsoft Sentinel Algorithmen berechnet, und die Vorfälle werden sortiert und in absteigender Reihenfolge der Ähnlichkeit angezeigt.

Wie Ähnlichkeit berechnet wird

Es gibt drei Kriterien, anhand derer ähnlichkeit bestimmt wird:

• Ähnliche Entitäten: Ein Vorfall gilt als ähnlich wie ein anderer Vorfall, wenn beide dieselben Einheiten enthalten. Je mehr Entitäten zwei Incidents gemeinsam haben, desto ähnlicher sind sie.

• Ähnliche Regel: Ein Vorfall gilt als ähnlich wie ein anderer Vorfall, wenn beide durch dieselbe Analyseregel erzeugt wurden.

• Ähnliche Warnhinweise: Ein Vorfall gilt als ähnlich wie ein anderer Vorfall, wenn sie denselben Titel, Produktnamen und/oder dieselben benutzerdefinierten Angaben teilen.

Die Gründe, warum ein Incident in der Liste ähnlicher Vorfälle angezeigt wird, werden in der Spalte Ähnlichkeitsgrund angezeigt. Zeigen Sie auf das Infosymbol, um die allgemeinen Elemente (Entitäten, Regelname oder Details) anzuzeigen.

Wie der Ähnlichkeitszeitrahmen funktioniert

Die Ähnlichkeit von Vorfällen wird basierend auf Daten aus den 14 Tagen vor der letzten Aktivität des Vorfalls berechnet, die als Endzeit der letzten Warnung im Vorfall definiert ist.

Die Incidentähnlichkeit wird jedes Mal neu berechnet, wenn Sie die Seite mit den Incidentdetails eingeben, sodass die Ergebnisse von Sitzung zu Sitzung zu Sitzung variieren können, wenn neue Incidents erstellt oder aktualisiert wurden.

Kommentare zu Vorfällen

Als Sicherheitsanalyst sollten Sie bei der Untersuchung eines Incidents die schritte, die Sie unternehmen, gründlich dokumentieren, um eine genaue Berichterstellung an das Management sicherzustellen und eine nahtlose Zusammenarbeit und Zusammenarbeit zwischen Kollegen zu ermöglichen. Microsoft Sentinel bietet Ihnen eine umfangreiche Kommentarumgebung, die Ihnen dabei hilft.

Eine weitere wichtige Sache, die Sie mit Kommentaren tun können, ist die automatische Anreicherung Ihrer Vorfälle. Wenn Sie ein Playbook für einen Incident ausführen, der relevante Informationen aus externen Quellen abruft (z. B. das Überprüfen einer Datei auf Schadsoftware bei VirusTotal), können Sie das Playbook die Antwort der externen Quelle zusammen mit allen anderen Informationen, die Sie definieren, in den Kommentaren des Incidents platzieren lassen.

Kommentare sind einfach zu verwenden. Sie können auf der Seite mit den Incidentdetails über die Registerkarte Kommentare darauf zugreifen.

Häufig gestellte Fragen zu Incidentkommentaren

Diese häufig gestellten Fragen beschreiben wichtige Überlegungen bei der Verwendung von Vorfallkommentaren.

Welche Arten von Eingaben werden unterstützt?

Kommentare unterstützen die folgenden Eingabetypen:

• Text: Kommentare in Microsoft Sentinel unterstützen Texteingaben in Klartext, einfachem HTML und Markdown. Sie können auch kopierten Text, HTML und Markdown in das Kommentarfenster einfügen.

• Bilder: Sie können Links zu Bildern in Kommentaren einfügen und die Bilder werden direkt angezeigt, aber die Bilder müssen bereits an einem öffentlich zugänglichen Ort wie Dropbox, OneDrive, Google Drive und Ähnlichem gehostet werden. Bilder können nicht direkt in Kommentare hochgeladen werden.

Gibt es eine Größenbeschränkung für Kommentare?

Ja. Die folgenden Grenzwerte gelten für Vorfallkommentare:

• Pro Kommentar: Ein einzelner Kommentar kann bis zu 30.000 Zeichen enthalten.

• Pro Vorfall: Ein einzelner Vorfall kann bis zu 100 Kommentare enthalten.

  Hinweis

  Die Größenbeschränkung eines einzelnen Incidentdatensatzes in der Tabelle SecurityIncident in Log Analytics beträgt 64 KB. Wenn die 64-KB-Datensatzgröße überschritten wird, werden Kommentare (beginnend mit dem frühesten) abgekürzt, was die Kommentare beeinflussen kann, die in den erweiterten Vorfallsuchergebnissen erscheinen.

  Die tatsächlichen Incidentdatensätze in der Incidentdatenbank sind nicht betroffen.

Wer kann Kommentare bearbeiten oder löschen?

Die folgenden Berechtigungen gelten für das Bearbeiten und Löschen von Kommentaren:

• Bearbeitung: Nur der Verfasser eines Kommentars hat die Erlaubnis, ihn zu bearbeiten.

• Löschen: Nur Benutzer mit der Rolle Microsoft Sentinel Contributor haben die Berechtigung, Kommentare zu löschen. Auch der Autor des Kommentars muss diese Rolle haben, um ihn löschen zu können.

Schließen eines Incidents

Sobald Sie einen bestimmten Vorfall gelöst haben (zum Beispiel wenn Ihre Untersuchung abgeschlossen ist), sollten Sie den Status des Vorfalls auf Geschlossen setzen. In diesem Fall werden Sie aufgefordert, den Vorfall zu klassifizieren, indem Sie den Grund angeben, warum Sie ihn schließen. Dieser Schritt ist obligatorisch. Wählen Sie Klassifizierung auswählen aus, und wählen Sie dann eine der folgenden Optionen aus der Dropdown-Liste aus:

• Wahres Positiv: verdächtige Aktivitäten
• Gutartig positiv: verdächtig, aber erwartet
• Falsch-Positiv: falsche Alarm-Logik
• Falsch-Positive: falsche Daten
• Unbestimmt

Weitere Informationen zu falsch positiven Ergebnissen und gutartigen positiven Ergebnissen finden Sie unter Behandeln falsch positiver Ergebnisse in Microsoft Sentinel.

Nachdem Sie die entsprechende Klassifizierung ausgewählt haben, fügen Sie im Feld Kommentar beschreibenden Text hinzu. Das Hinzufügen eines beschreibenden Kommentars ist nützlich, wenn Sie auf diesen Vorfall verweisen müssen. Wählen Sie Anwenden , wenn Sie fertig sind, und der Vorfall ist geschlossen.

Suchen nach Vorfällen

Um einen bestimmten Vorfall schnell zu finden, geben Sie eine Suchzeichenfolge in das Suchfeld oberhalb des Vorfallrasters ein und drücken Sie Eingabetaste, um die Liste der angezeigten Vorfälle entsprechend zu aktualisieren. Wenn Ihr Incident nicht in den Ergebnissen enthalten ist, können Sie Ihre Suche mithilfe der erweiterten Suchoptionen einschränken.

Um die Suchparameter zu ändern, wählen Sie die Schaltfläche Suchen und dann die Parameter aus, in denen Sie die Suche ausführen möchten.

Zum Beispiel:

Standardmäßig werden Incidentsuchen nur für die Werte Incident-ID, Titel, Tags, Besitzer und Produktname ausgeführt. Scrollen Sie im Suchbereich in der Liste nach unten, um einen oder mehrere andere zu durchsuchende Parameter auszuwählen, und wählen Sie Anwenden aus, um die Suchparameter zu aktualisieren. Wählen Sie Auf Standard festlegen aus, um die ausgewählten Parameter auf die Standardoption zurückzusetzen.

Die Verwendung erweiterter Suchoptionen ändert das Suchverhalten wie folgt:

Verwandte Inhalte

• Tutorial: Vorfälle mit UEBA-Daten untersuchen
• Automatisierung in Microsoft Sentinel: Sicherheitsorchestrierung, Automatisierung und Reaktion (SOAR)