Geräteermittlung in Microsoft Defender for Endpoint konfigurieren

Sie können die Geräteerkennung so konfigurieren, dass nicht verwaltete Geräte in den Netzwerken Ihrer Organisation identifiziert werden, deren Sicherheitslage bewertet und feststellen, welche Geräte Schutz benötigen. Wähle einfache oder Standard-Erkennung, wähle die an Bord gefassten Geräte aus, die aktive Scans durchführen, schließen sensible Ziele aus und verwalten überwachte Netzwerke.

Bevor Sie beginnen, überprüfen Sie die unterstützten Betriebssysteme und erforderlichen Berechtigungen in den Voraussetzungen.

Voraussetzungen

Stellen Sie sicher, dass Ihre Umgebung die folgenden Anforderungen erfüllt:

• Ein Microsoft Defender for Endpoint Plan 2-Abonnement.
• Integrierte Scangeräte, die ein unterstütztes Betriebssystem ausführen.
• Ein Konto mit der Berechtigung, die Sicherheitseinstellungen von Defender for Endpoint zu verwalten. Weitere Informationen finden Sie unter Berechtigungsoptionen.
• Gerätetags werden den Scannergeräten zugewiesen, wenn Sie vorhaben, die Standarderkennung auf getaggte Geräte zu beschränken.

Geräteerkennung einrichten

Auf der Seite zur Geräteerkennung im Microsoft Defender-Portal unter https://security.microsoft.com/settings/device-discovery, konfigurieren Sie den Discovery-Modus:

1. Im Discovery-Modus wählen Sie eine der folgenden Optionen:

   • Standard-Discovery (empfohlen): Verwendet passive Beobachtung, gemeinsame Discovery-Protokolle, Multicast-Abfragen und aktives Scannen, um ein vollständigeres Geräteinventar bereitzustellen.
   • Basic: Beobachtet den Netzwerkverkehr passiv, ohne Geräte aktiv zu testen. Nutzen Sie diesen Modus für sensible oder Altnetzwerke, bei denen aktives Scannen nicht geeignet ist.

2. Wenn Sie Standard-Discovery wählen, wählen Sie, welche an Bord installierten Geräte aktive Scans durchführen:

   • Alle Geräte (empfohlen): Verwenden Sie alle integrierten Geräte, die die Geräteerkennung unterstützen.
   • Tags auswählen: Verwenden Sie nur Geräte mit den ausgewählten Gerätetags. Diese Option ist nützlich, wenn Sie Scannergeräte in bestimmten Netzwerksegmenten verwenden möchten.

3. Klicken Sie auf Speichern.

Legen Sie fest, welche Geräte die Standarderkennung durchführen

Die in der Einrichtung der Gerätefindung ausgewählten Geräte fungieren als Scanner für die Standarderkennung:

• Wählen Sie Alle Geräte (empfohlen), um jedes Onboard-Gerät zu verwenden, das die Geräteerkennung unterstützt.
• Wählen Sie Tags aus , um nur Onboard-Geräte mit den angegebenen Tags zu verwenden. Eingebundene Geräte, die nicht mit den ausgewählten Tags versehen sind, führen weiterhin eine grundlegende Erkennung durch.

Geräte von der Standarderkennung ausschließen

Schließen Sie IP-Adressen oder Subnetze aus, wenn aktives Scannen empfindliche Geräte, Netzwerklockmittel oder andere Sicherheitsinstrumente beeinträchtigen könnte. Ausschlüsse stoppen aktive Scans, verhindern jedoch keine passive oder Multicast-Erkennung.

So schließen Sie ein Gerät aus:

1. Auf der Seite zur Geräteerkennung im Microsoft Defender-Portal unter https://security.microsoft.com/settings/device-discovery, wählen Sie Ausschlüsse aus.
2. Wählen Sie "Ausschluss hinzufügen" aus.
3. Auf der Seite " Ausschluss hinzufügen " geben Sie die IP-Adresse oder das Subnetz ein, um sie von Standardscans auszuschließen.
4. Geben Sie eine Beschreibung für den Ausschluss ein.
5. Klicken Sie auf Speichern.

Der Ausschluss erscheint in der Liste der Ausschlüsse . Wählen Sie einen Ausschluss aus, um ihn anzusehen, zu bearbeiten oder zu löschen.

Anzeigen und Verwalten überwachter Netzwerke

Der Reiter Überwachte Netzwerke listet Netzwerke auf, die von integrierten Geräten erkannt wurden, und zeigt, ob die Geräteerkennung jedes Netzwerk überwacht oder ignoriert.

Standardmäßig überwacht Defender for Endpoint automatisch Netzwerke, die als Unternehmen identifiziert werden, und ignoriert nicht-korporative Netzwerke. Die Seite zeigt bis zu 50 Netzwerke an, sortiert nach der Anzahl der in den vorangegangenen sieben Tagen auf jedem Netzwerk gesehenen Geräte.

Informationen darüber, wie Defender for Endpoint Unternehmensnetzwerke identifiziert, finden Sie unter Überwachte Netzwerke.

Verwalten überwachter Netzwerke

Du kannst den automatisch zugewiesenen Überwachungszustand für ein Netzwerk überschreiben. Bevor Sie ein als nicht korporativ identifiziertes Netzwerk überwachen, überprüfen Sie, dass Ihre Organisation die Erlaubnis hat, Geräte in diesem Netzwerk zu entdecken.

Auf der Seite zur Geräteerkennung im Microsoft Defender-Portal wählen https://security.microsoft.com/settings/device-discoverySie unter Überwachte Netzwerke, wählen Sie das Dreipunktmenü neben dem Netzwerk und wählen Sie eine der folgenden Optionen:

Netzwerkliste filtern

Im Reiter Überwachte Netzwerke wählen Sie Filter, wählen Sie Netzwerküberwachungsstatus, wählen Sie einen der folgenden Zustände und wählen Sie dann Anwenden:

• Überwacht: Netzwerke, in denen die Geräteermittlung aktiv ist.
• Ignoriert: Netzwerke, in denen die Geräteermittlung nicht aktiv ist.
• Alle: Überwachte und ignorierte Netzwerke.

Überprüfen und Bewerten von Geräten

Informationen zum Überprüfen und Bewerten nicht integrierter Geräte und weitere Gerätedetails finden Sie unter Überprüfen und Bewerten von Geräten.

Geräteerkennung deaktivieren

Auf der Seite "Andere Optionen" im Microsoft Defender-Portal unter https://security.microsoft.com/securitysettings/endpoints/integration, setze Geräteerkennung auf Aus und wähle dann die Einstellungen speichern aus. Für weitere Informationen zum Setting siehe Erweiterte Funktionen.

Das Deaktivieren der Geräteerkennung verhindert, dass Defender for Endpoint Geräte in Ihren Netzwerken entdeckt. Der Sensorprozess für Netzwerkerkennung und -reaktion, SenseNDR.exe, wird weiterhin auf eingebundenen Geräten ausgeführt.

Probleme bei der Geräteerkennung beheben

Wenn Probleme bei der Geräteermittlung oder authentifizierten Netzwerküberprüfungen auftreten, finden Sie weitere Informationen unter Problembehandlung bei der Geräteermittlung und authentifizierten Netzwerkscans.

Durchsuchen von Geräten im Netzwerk

Verwenden Sie die Tabelle DeviceNetworkInfo , um Onboard-Geräte zu identifizieren, die sich in den letzten sieben Tagen mit einem Netzwerk verbunden haben, das in der Liste der überwachten Netzwerke angezeigt wird. Für Tabellen- und Spaltendetails siehe die Tabellenreferenz DeviceNetworkInfo.

DeviceNetworkInfo
| where Timestamp > ago(7d)
| where ConnectedNetworks  != ""
| extend ConnectedNetworksExp = parse_json(ConnectedNetworks)
| mv-expand bagexpansion = array ConnectedNetworks=ConnectedNetworksExp
| extend NetworkName = tostring(ConnectedNetworks ["Name"]), Description = tostring(ConnectedNetworks ["Description"]), NetworkCategory = tostring(ConnectedNetworks ["Category"])
| where NetworkName == "<your network name here>"
| summarize arg_max(Timestamp, *) by DeviceId

Abrufen von Informationen zu einem Gerät

Verwenden Sie die Tabelle DeviceInfo , um für jede Geräte-ID, die mit einem bestimmten Gerätenamen verknüpft ist, den zuletzt verfügbaren Datensatz zurückzugeben. Sie können die zurückgegebenen Geräte-IDs und Plattformdetails in nachfolgenden Suchanfragen verwenden. Für Tabellen- und Spaltendetails siehe die DeviceInfo-Tabellenreferenz.

DeviceInfo
| where DeviceName == "<device name here>" and isnotempty(OSPlatform)
| summarize arg_max(Timestamp, *) by DeviceId

Verwandte Inhalte

• Übersicht über die Geräteerkennung
• Beheben von Problemen bei der Geräteerkennung und bei authentifizierten Netzwerkscans
• Überprüfen und Bewerten von Geräten