Untersuchen Sie Apps, die von Microsoft Defender for Endpoint entdeckt wurden

Die Microsoft Defender for Cloud Apps Integration mit Microsoft Defender for Endpoint bietet eine nahtlose Lösung für Schatten-IT-Sichtbarkeit und -Steuerung. Unsere Integration ermöglicht es Defender for Cloud Apps Administratoren, ermittelte Geräte, Netzwerkereignisse und die App-Nutzung zu untersuchen. Bevor Sie beginnen, stellen Sie sicher, dass Sie die Voraussetzungen erfüllen, einschließlich der Konfiguration der Defender für die Endpunktintegration.

Voraussetzungen

Bevor Sie die Verfahren in diesem Artikel ausführen, stellen Sie sicher, dass Sie die Integration von Defender for Endpoint und Defender for Cloud Apps abgeschlossen haben.

Erkannte Geräte in Defender for Cloud Apps untersuchen

Nachdem Sie Defender für Endpunkt in Defender for Cloud Apps integriert haben, untersuchen Sie ermittelte Gerätedaten im Cloud Discovery-Dashboard.

1. Wählen Sie im Microsoft Defender-Portal unter Cloud-AppsCloud Discovery>Dashboard aus.

2. Oben auf der Cloud Discovery Dashboard-Seite wählen Sie die von Defender verwalteten Endpunkte aus. Der Defender verwaltete Endpunktdatenstrom enthält Daten aus allen Betriebssystemen, die in Defender for Cloud Apps Integrationsvoraussetzungen erwähnt werden.

Oben im Cloud Discovery-Dashboard sehen Sie die Anzahl der entdeckten Geräte, die nach der Konfiguration der Integration von Defender for Endpoint und Defender for Cloud Apps hinzugefügt wurden.

1. Wählen Sie die Registerkarte Geräte aus.

2. Sie können einen Drilldown in jedes aufgeführte Gerät durchführen und die Untersuchungsdaten über die Registerkarten anzeigen. Finden Sie Korrelationen zwischen den Geräten, den Benutzern, IP-Adressen und Apps, die an Incidents beteiligt waren:

   • Übersicht:

     • Geräterisikostufe: Zeigt, wie riskant das Profil des Geräts im Verhältnis zu anderen Geräten in Ihrem organization ist, wie durch den Schweregrad (hoch, mittel, niedrig, informativ) angegeben wird. Defender for Cloud Apps verwendet für jedes Gerät auf erweiterten Analysen basierende Geräteprofile von Microsoft Defender für Endpunkt. Aktivität, die von der Baseline eines Geräts abweicht, wird bewertet und zur Bestimmung der Risikostufe des Geräts herangezogen. Verwenden Sie die Geräterisikostufe, um zu bestimmen, welche Geräte zuerst untersucht werden sollen.
     • Transaktionen: Informationen zur Anzahl der Transaktionen, die im ausgewählten Zeitraum auf dem Gerät stattgefunden haben.
     • Gesamtdatenverkehr: Informationen zur Gesamtmenge des Datenverkehrs (in MB) im ausgewählten Zeitraum.
     • Uploads: Informationen zur Gesamtmenge des Datenverkehrs (in MB), der vom Gerät während des ausgewählten Zeitraums hochgeladen wurde.
     • Downloads: Informationen zur Gesamtmenge des vom Gerät heruntergeladenen Datenverkehrs (in MB) im ausgewählten Zeitraum.

   • Ermittelte Apps: Listen alle ermittelten Apps, auf die vom Gerät zugegriffen wurde.

   • Benutzerverlauf: Listen alle Benutzer, die sich beim Gerät angemeldet haben.

   • IP-Adressverlauf: Listen alle IP-Adressen, die dem Gerät zugewiesen wurden.

Wie bei jeder anderen Cloud Discovery-Quelle können Sie die Daten zur weiteren Untersuchung aus dem Bericht über von Defender verwaltete Endpunkte exportieren.

Apps über Defender for Endpoint erkennen, wenn der Endpunkt sich hinter einem Netzwerkproxy befindet

Defender for Cloud Apps können Schatten-IT-Netzwerkereignisse ermitteln, die von Defender für Endpunkt-Geräten erkannt werden, die in derselben Umgebung wie ein Netzwerkproxy arbeiten. Wenn sich Ihr Windows 10-Endpunktgerät beispielsweise in derselben Umgebung wie ZScalar befindet, können Defender for Cloud Apps Schatten-IT-Anwendungen über den Win10-Endpunktbenutzerstream ermitteln.

Untersuchen Sie Gerätenetzwerkereignisse in Microsoft Defender

Netzwerkereignisse sind Zeitleistenaufzeichnungen von Geräteverbindungen, die von Defender for Endpoint erfasst werden und Ihnen helfen, app-bezogene Aktivitäten auf bestimmten Geräten zu untersuchen.

Führen Sie die folgenden Schritte aus, um eine präzisere Sichtbarkeit der Netzwerkaktivität des Geräts in Microsoft Defender for Endpoint zu erhalten:

1. Wählen Sie im Microsoft Defender-Portal unter Cloud-Appsdie Option Cloud Discovery aus. Wählen Sie dann die Registerkarte Geräte aus.
2. Wählen Sie den Computer aus, den Sie untersuchen möchten, und wählen Sie dann oben links Ansicht in Microsoft Defender for Endpoint aus.
3. Im Defender-Portal wählen Sie unter Assets ->Geräte> {ausgewähltes Gerät} Zeitleiste aus.
4. Wählen Sie unter Filterdie Option Netzwerkereignisse aus.
5. Untersuchen Sie die Netzwerkereignisse des Geräts nach Bedarf.

Untersuchen der App-Nutzung in Microsoft Defender XDR mit erweiterter Suche

Die erweiterte Suche ist ein abfragebasiertes Tool zur Bedrohungssuche in Microsoft Defender XDR, mit dem Sie unformatierte Telemetriedaten untersuchen können. Führen Sie die folgenden Schritte aus, um eine präzisere Sichtbarkeit von App-bezogenen Netzwerkereignissen in Defender für Endpunkt zu erhalten:

1. Wählen Sie im Microsoft Defender-Portal unter Cloud-Appsdie Option Cloud Discovery aus. Wählen Sie dann die Registerkarte Ermittelte Apps aus.

2. Wählen Sie die App aus, die Sie untersuchen möchten, um den Drawer zu öffnen.

3. Wählen Sie die Domänenliste der App aus, und kopieren Sie dann die Liste der Domänen.

4. Wählen Sie in Microsoft Defender XDR unter Hunting die Option Erweiterte Suche aus.

5. Fügen Sie die folgende Abfrage ein, und ersetzen Sie durch <DOMAIN_LIST> die Liste der Domänen, die Sie zuvor kopiert haben.

   DeviceNetworkEvents
   | where RemoteUrl has_any ("<DOMAIN_LIST>")
   | order by Timestamp desc
   

6. Führen Sie die Abfrage aus, und untersuchen Sie Netzwerkereignisse für diese App.

   

Untersuchen Sie nicht genehmigte Apps in Microsoft Defender

Jeder Versuch, auf eine nicht genehmigte App zuzugreifen, löst im Defender-Portal eine Warnung mit detaillierten Details zur gesamten Sitzung aus. Mit den Warnungsdetails können Sie eingehendere Untersuchungen zu Versuchen durchführen, auf nicht genehmigte Apps zuzugreifen, sowie zusätzliche relevante Informationen für die Verwendung in der Untersuchung von Endpunktgeräten bereitzustellen.

Manchmal wird der Zugriff auf eine nicht sanktionierte App nicht blockiert, entweder weil das Endpunktgerät nicht ordnungsgemäß konfiguriert ist oder wenn die Erzwingungsrichtlinie noch nicht an den Endpunkt weitergegeben wurde. Wenn der Zugriff auf eine nicht genehmigte App aufgrund von Fehlkonfigurationen oder Verzögerungen bei der Richtlinienverbreitung nicht blockiert wird, erhalten Defender for Endpoint-Administratoren im Defender-Portal eine Warnung, dass die nicht genehmigte App nicht blockiert wurde.

Nächste Schritte

Verwandte Videos

Die folgenden Videos bieten zusätzlichen Hintergrund sowie Schritt-für-Schritt-Anleitungen zur Erkennung und Untersuchung von Schatten-IT.

• Hunting mit Microsoft Cloud App Security-Daten

• Ermitteln und Blockieren der Schatten-IT mithilfe von Defender für Endpunkt

• Schatten-IT-Ermittlung über das Unternehmensnetzwerk hinaus

Wenn Probleme auftreten, helfen wir Ihnen gerne weiter. Um Unterstützung oder Support für Ihr Produktproblem zu erhalten, öffnen Sie ein Supportticket.