Verwalten von Geräteumfang und -relevanz mit Tags und Ausschlüssen

  • Gilt für:: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Nicht alle in Ihrem Netzwerk ermittelten Geräte erfordern die gleiche Sicherheitsüberwachung. Einige Geräte werden kurz im Netzwerk angezeigt (Gäste, Testgeräte), während andere dauerhaft außerhalb des Bereichs für das Sicherheitsrisikomanagement (isolierte Labs, außer Betrieb gesetzte Systeme) liegen. In diesem Artikel wird erläutert, wie Sie vorübergehende Gerätetaggings und Geräteausschlüsse verwenden, um zu verwalten, welche Geräte im Bereich der Sicherheitsrisikoverwaltung enthalten sind. Das Verwalten des Gerätebereichs mit diesen Werkzeugen sorgt dafür, dass sich Ihr Sicherheitsteam auf relevante Geräte konzentriert, genaue Expositions- und Sicherheitsbewertungen gewährleistet sind und übersichtlichere Berichte erstellt werden, die Ihre tatsächliche Produktionsumgebung widerspiegeln.

Verwenden Sie Tags oder Ausschlüsse

Defender for Endpoint bietet zwei ergänzende Mechanismen zur Verwaltung der Geräterelevanz. Verwenden Sie die folgende Tabelle, um zu bestimmen, welcher Ansatz zu Ihrer Situation passt.

Situation Ansatz So funktioniert es Auswirkung
Geräte werden häufig angezeigt und verschwinden (Gäste, Test-VMs, kurzlebige Container) Temporäre Gerätekennzeichnung (automatisch) Ein interner Algorithmus erkennt zeitweilige Netzwerkmuster und Tags, die mit Geräten übereinstimmen. Server, Netzwerkgeräte, Drucker, Industrie- und Smart-Facility-Geräte werden nie als vorübergehend gekennzeichnet. Vorübergehende Geräte werden aus der Standardbestandsansicht herausgefiltert, bleiben aber sichtbar, wenn Sie den Filter ändern. Gefährdungsscore, Sicherheitsbewertung, Sicherheitsrisikoberichte und erweiterte Bedrohungssuche schließen diese Geräte weiterhin ein.
Permanente Lab- oder Sandboxumgebung Geräteausschluss (manuell) Sie schließen Geräte einzeln oder massenweise mit einer dokumentierten Begründung aus. Ausgeschlossene Geräte werden nicht auf Seiten oder Berichten zur Verwaltung von Sicherheitsrisiken angezeigt und tragen nicht zur Offenlegung oder zu Sicherheitsbewertungen bei. Sie verbleiben im Gerätebestand, sind aber als ausgeschlossen gekennzeichnet.
Geräte, die für die Außerbetriebnahme geplant sind Geräteausschluss (manuell) Schließen Sie sie mit einer Begründung und einem Hinweis auf das geplante Ausmusterungsdatum aus. Ausgeschlossene Geräte werden nicht auf Seiten oder Berichten zur Verwaltung von Sicherheitsrisiken angezeigt und tragen nicht zur Offenlegung oder zu Sicherheitsbewertungen bei. Historische Datensätze verbleiben im Bestand.
Doppelte Einträge nach dem Reimaging Geräteausschluss (manuell) Schließen Sie die veralteten Einträge mit der Begründung "Doppeltes Gerät" aus. Halten Sie das aktive Gerät im Gültigkeitsbereich. Bereinigt den Bestand und stellt eine genaue Geräteanzahl sicher.
Geräte, die über längere Zeit offline sind Prüfen Sie, ob es bereits mit dem Tag „transient“ versehen ist; andernfalls einen Ausschluss erwägen. Vorübergehendes Tagging kann dieses Szenario bereits behandeln. Nur manuell ausschließen, wenn das Gerät nicht zurückkehrt. Hängt vom gewählten Ansatz ab.
Aktive Geräte, die Vorübergehend ignoriert werden sollen Gerätefilter oder benutzerdefinierte Tags Verwenden Sie Bestandsfilter, oder erstellen und verwalten Sie Gerätetags , um gezielte Ansichten zu erstellen. Die vollständige Sichtbarkeit wird beibehalten. Schließen Sie niemals aktive Geräte aus– dies führt zu blinden Flecken.
Geräte, die von einem anderen Team verwaltet werden Gerätefilter oder benutzerdefinierte Tags Verwenden Sie Gerätetags und Filter, um Ansichten pro Team einzugrenzen. Die vollständige Transparenz bleibt in der gesamten Organisation erhalten.

Wichtig

Überprüfen Sie regelmäßig vorübergehend markierte und ausgeschlossene Geräte. Fügen Sie beim Ausschließen von Geräten immer aussagekräftige Notizen hinzu. Schließen Sie niemals aktive, mit dem Netzwerk verbundene Geräte aus – der Ausschluss wirkt sich nur auf die Sichtbarkeit der Sicherheitsrisikomanagement aus, nicht auf das tatsächliche Risiko.

Anzeigen und Verwalten vorübergehender Geräte

Vorübergehende Gerätemarkierung erfolgt automatisch und kann nicht deaktiviert werden. Sie steuern die Sichtbarkeit über Filter.

Anzeigen vorübergehender Geräte im Bestand

Führen Sie die folgenden Schritte aus, um vorübergehende Geräte im Gerätebestand anzuzeigen:

  1. Wechseln Sie im Microsoft Defender-Portal zu Assets>Geräte.
  2. Wählen Sie das Filter-Symbol aus.
  3. Wählen Sie im Filter Vorübergehende Gerätedie Option Ja aus, um nur vorübergehende Geräte anzuzeigen, oder wählen Sie Nein aus, um sie aus der Liste auszuschließen.

Sie können Ihrer Bestandsansicht auch die Spalte Transientes Gerät hinzufügen, um den Transient-Status neben anderen Gerätedetails anzuzeigen.

Funktionsweise temporärer Markierungen

In den folgenden Punkten wird erläutert, wie sich vorübergehendes Tagging in Defender für Endpunkt verhält:

  • Automatische Erkennung: Ein interner Algorithmus identifiziert vorübergehende Geräte anhand von Netzwerkdarstellungsmustern.
  • Ausgeschlossene Gerätetypen: Server, Netzwerkgeräte, Drucker, Industriegeräte, Überwachungsgeräte, Geräte für intelligente Einrichtungen und intelligente Geräte werden nie als vorübergehend gekennzeichnet.
  • Standardfilterung: Vorübergehende Geräte werden standardmäßig aus dem Gerätebestand herausgefiltert.
  • Keine manuelle Übersteuerung: Sie können ein Gerät nicht manuell als transient markieren oder die Markierung „transient“ entfernen. Passen Sie die Filtereinstellungen an, um die Sichtbarkeit zu steuern.

Geräte ausschließen

Mit dem Geräteausschluss können Sie bestimmte Geräte manuell aus der Sichtbarkeit der Sicherheitsrisikoverwaltung entfernen. Ausgeschlossene Geräte verbleiben im Gerätebestand (als ausgeschlossen markiert), werden aber nicht auf Seiten oder Berichten zur Verwaltung von Sicherheitsrisiken angezeigt und tragen nicht zu Gefährdungs- oder Sicherheitsbewertungen bei.

Warnung

Ausgeschlossene Geräte bleiben mit dem Netzwerk verbunden und können weiterhin Sicherheitsrisiken darstellen. Der Geräteausschluss wirkt sich nur auf die Sichtbarkeit der Sicherheitsrisikenverwaltung aus– er verhindert keine Angriffe oder verringert das tatsächliche Risiko. Wenn Sie versuchen, ein aktives Gerät auszuschließen, zeigt Defender für Endpunkt eine Warnung an und fordert sie zur Bestätigung auf.

Ausschließen eines einzelnen Geräts

Führen Sie die folgenden Schritte aus, um ein einzelnes Gerät aus der Sichtbarkeit der Sicherheitsrisikoverwaltung auszuschließen:

  1. Wechseln Sie im Microsoft Defender-Portal zu Assets>Geräte.
  2. Wählen Sie das Gerät aus, das Sie ausschließen möchten.
  3. Wählen Sie im Geräte-Flyout oder auf der Geräteseite die Option Ausschließen aus.
  4. Wählen Sie eine Begründung aus:
    • Inaktives Gerät
    • Doppeltes Gerät
    • Gerät ist nicht vorhanden
    • Nicht betreffende Organisationen
    • Andere
  5. Geben Sie einen Hinweis ein, der den Grund für den Ausschluss erläutert.
  6. Wählen Sie Gerät ausschließen aus.

Screenshot des Dialogfelds

Ausschließen mehrerer Geräte

Hinweis

Es kann bis zu 10 Stunden dauern, bis Geräte vollständig von Ansichten und Daten zur Verwaltung von Sicherheitsrisiken ausgeschlossen sind.

Führen Sie die folgenden Schritte aus, um mehrere Geräte gleichzeitig auszuschließen:

  1. Wählen Sie im Gerätebestand mithilfe der Kontrollkästchen mehrere Geräte aus.
  2. Wählen Sie auf der Aktionsleiste ausschließen aus.
  3. Wählen Sie eine Begründung aus, und fügen Sie eine Notiz hinzu.
  4. Wählen Sie Geräte ausschließen aus.

Wenn Sie Geräte mit gemischten Ausschlussstatus auswählen, zeigt das Dialogfeld an, wie viele bereits ausgeschlossen sind. Sie können Geräte erneut ausschließen, aber die neue Begründung setzt vorherige Werte außer Kraft.

Screenshot des Massengeräteausschlusses mit mehreren ausgewählten Geräten.

Anzeigen und Verwalten ausgeschlossener Geräte

Führen Sie die folgenden Schritte aus, um ausgeschlossene Geräte im Bestand anzuzeigen:

  1. Wählen Sie im Gerätebestand das Filtersymbol aus.
  2. Verwenden Sie den Ausschlusszustandsfilter , um Folgendes anzuzeigen:
    • Nicht ausgeschlossen: Normale Geräte
    • Ausgeschlossen: Geräte, die aus der Verwaltung von Sicherheitsrisiken entfernt wurden

Sie können ihrer Bestandsansicht auch die Spalte Ausschlussstatus hinzufügen.

Beenden des Ausschließens eines Geräts

Hinweis

Nachdem Sie den Ausschluss eines Geräts beendet haben, werden Daten zu Sicherheitsrisiken wieder auf den Seiten zur Verwaltung von Sicherheitsrisiken, in Berichten und in Advanced Hunting angezeigt. Es kann bis zu 8 Stunden dauern, bis Änderungen wirksam werden.

So stellen Sie die aktive Verwaltung von Sicherheitsrisiken für ein Gerät wieder her:

  1. Wählen Sie im Gerätebestand das ausgeschlossene Gerät aus.
  2. Wählen Sie im Geräte-Flyout Ausschlussdetails aus.
  3. Wählen Sie Ausschluss beenden aus.

Screenshot: Ausschlussdetails mit Option zum Beenden des Ausschlusses

Nächste Schritte

  • Last updated on