Reaktionsmaßnahmen für eine Datei ergreifen

Reagieren Sie schnell auf erkannte Angriffe, indem Sie Dateien beenden und in Quarantäne stellen oder eine Datei blockieren. Nachdem Sie Maßnahmen für Dateien ergriffen haben, können Sie die Aktivitätsdetails im Info-Center überprüfen.

Antwortaktionen sind auf der Detailprofilseite einer Datei verfügbar. Sobald Sie sich auf dieser Seite befinden, können Sie zwischen dem neuen und dem alten Seitenlayout wechseln, indem Sie Neue Dateiseite umschalten. In den folgenden Abschnitten wird das neuere Seitenlayout beschrieben.

Antwortaktionen werden am oberen Rand der Dateiseite ausgeführt und umfassen Folgendes:

• Beenden und Datei unter Quarantäne stellen
• Indikator verwalten
• Datei herunterladen
• Datei sammeln
• Defender-Experten fragen
• Manuelle Aktionen
• Geh auf die Jagd
• Tiefe Analyse

Sie können auch Dateien für eine eingehende Analyse übermitteln, um die Datei in einer sicheren Cloud-Sandbox auszuführen. Nach Abschluss der Analyse erhalten Sie einen detaillierten Bericht, der Informationen zum Verhalten der Datei enthält. Sie können Dateien für eine umfassende Analyse übermitteln und frühere Berichte lesen, indem Sie die Aktion Deep analysis (Tiefe Analyse ) auswählen.

Einige Aktionen erfordern bestimmte Berechtigungen. In der folgenden Tabelle wird beschrieben, welche Aktionen bestimmte Berechtigungen für portable ausführbare Dateien (PE) und Nicht-PE-Dateien ausführen können:

Weitere Informationen zu Rollen finden Sie unter Erstellen und Verwalten von Rollen für die rollenbasierte Zugriffssteuerung.

Dateien in Ihrem Netzwerk beenden und unter Quarantäne stellen

Sie können einen Angriff in Ihrer Organisation eindämmen, indem Sie den schädlichen Prozess beenden und die Datei, in der er beobachtet wurde, unter Quarantäne setzen.

Die Aktion Datei beenden und unter Quarantäne stellen umfasst das Beenden ausgeführter Prozesse, das Isolieren der Dateien und das Löschen persistenter Daten wie Registrierungsschlüssel.

Die Aktion "Beenden und Quarantänedatei" wird auf Geräten mit Windows 10, Version 1703 oder höher, und Windows 11 und Windows Server 2012 R2 oder höher wirksam, wobei die Datei in den letzten 30 Tagen beobachtet wurde.

Dateien stoppen und in Quarantäne verschieben

1. Wählen Sie die Datei aus, die Sie beenden und unter Quarantäne stellen möchten. Sie können eine Datei aus einer der folgenden Ansichten auswählen oder das Suchfeld verwenden:

   • Warnungen – wählen Sie die entsprechenden Links in der Beschreibung oder in den Details der Alert-Story-Zeitleiste aus.
   • Suchfeld : Wählen Sie im Dropdownmenü Datei aus, und geben Sie den Dateinamen ein.

   Hinweis

   Diese Aktion ist auf maximal 1.000 Geräte beschränkt. Informationen zum Beenden einer Datei auf einer größeren Anzahl von Geräten finden Sie unter Hinzufügen eines Indikators zum Blockieren oder Zulassen einer Datei.
   Die Aktion „Beenden und isolieren“ hat ein maximales Zeitlimit von 3 Tagen. Wenn das Zielgerät nach dem Initiieren der Aktion länger als dieser Zeitraum offline bleibt, wird die Aktion nicht an dieses Gerät übermittelt.
   Um sicherzustellen, dass die Datei über das Timeout hinaus oder nach Abschluss der Aktion blockiert bleibt, wird empfohlen, einen Indikator zu erstellen, um die Datei explizit zu blockieren.

2. Wählen Sie in der oberen Leiste Datei beenden und isolieren aus.

   

3. Geben Sie einen Grund an, und wählen Sie dann Bestätigen aus.

   

   Im Aktionscenter werden die Informationen zur Übermittlung angezeigt:

   

   • Übermittlungszeit : Zeigt an, wann die Aktion übermittelt wurde.
   • Erfolg : Zeigt die Anzahl der Geräte an, auf denen die Datei beendet und unter Quarantäne gesetzt wurde.
   • Fehler: Zeigt die Anzahl der Geräte an, auf denen die Aktion fehlgeschlagen ist, sowie Details zum Fehler.
   • Ausstehend – Zeigt die Anzahl der Geräte an, auf denen die Datei noch gestoppt und unter Quarantäne gestellt werden muss. Dies kann einige Zeit dauern, wenn das Gerät offline ist oder nicht mit dem Netzwerk verbunden ist.

4. Wählen Sie einen der status Indikatoren aus, um weitere Informationen zur Aktion anzuzeigen. Wählen Sie z. B. Fehlgeschlagen aus, um zu sehen, wo die Aktion fehlgeschlagen ist.

Benachrichtigung über den Gerätebenutzer

Wenn die Datei von einem Gerät entfernt wird, wird die folgende Benachrichtigung angezeigt:

In der Geräte-Zeitleiste wird für jedes Gerät, auf dem eine Datei beendet und unter Quarantäne gesetzt wurde, ein neues Ereignis hinzugefügt.

Eine Warnung wird angezeigt, bevor die Aktion für Dateien implementiert wird, die in einem organization weit verbreitet sind. Diese Warnung hilft, zu überprüfen, ob der Vorgang beabsichtigt ist.

Datei aus der Quarantäne wiederherstellen

Sie können ein Rollback ausführen und eine Datei aus der Quarantäne entfernen, wenn Sie nach einer Untersuchung festgestellt haben, dass sie sauber ist. Führen Sie den folgenden Befehl auf jedem Gerät aus, auf dem die Datei unter Quarantäne gesetzt wurde.

Führen Sie in einer Eingabeaufforderung mit erhöhten Rechten (ein Eingabeaufforderungsfenster, das Sie geöffnet haben, indem Sie Als Administrator ausführen ausgewählt haben) die folgenden Befehle aus:

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -Restore -Name EUS:Win32/CustomEnterpriseBlock -All

Weitere Informationen zu MpCmdRun finden Sie unter Konfigurieren und Verwalten Microsoft Defender Antivirus mit dem MpCmdRun-Befehlszeilentool.

Datei herunterladen oder sammeln

Durch Auswählen von Datei herunterladen in den Antwortaktionen können Sie ein lokales, kennwortgeschütztes .zip-Archiv herunterladen, das Ihre Datei enthält. Es wird ein Flyout angezeigt, in dem Sie einen Grund für das Herunterladen der Datei aufzeichnen und ein Kennwort festlegen können.

Standardmäßig sollten Sie Dateien herunterladen können, die sich in Quarantäne befinden.

Die Schaltfläche Datei herunterladen kann die folgenden Zustände aufweisen:

• Aktiv : Sie können die Datei sammeln.

• Deaktiviert : Wenn die Schaltfläche während eines aktiven Sammlungsversuchs abgeblendet oder deaktiviert ist, verfügen Sie möglicherweise nicht über die entsprechenden RBAC-Berechtigungen zum Sammeln von Dateien. Die folgenden Berechtigungen sind erforderlich:

  • Microsoft Defender einheitliche rollenbasierte Zugriffssteuerung (RBAC):
    • Hinzufügen von Dateisammlungsberechtigungen in Microsoft Defender Unified (RBAC)
  • Microsoft Defender for Endpoint: rollenbasierte Zugriffssteuerung (RBAC):
    • Portable-Executable-Dateien (.exe, .sys, .dll und weitere):
      • Sicherheitsadministrator oder erweiterte Live-Reaktion oder Warnungen
    • Nicht portable ausführbare Datei (.txt, .docx und andere):
      • Sicherheitsadministrator oder erweiterte Liveantwort
      • Mandanten mit aktivierten Berechtigungen für den rollenbasierten Zugriff (Role-Based Access, RBAC)

In Quarantäne befindliche Dateien herunterladen

Files, die von Microsoft Defender Antivirus oder Ihrem Sicherheitsteam unter Quarantäne gesetzt wurden, werden gemäß Ihren Beispielübermittlungskonfigurationen auf konforme Weise gespeichert. Ihr Sicherheitsteam kann die Dateien über die Schaltfläche "Datei herunterladen" direkt von der Detailseite der Datei herunterladen. Das Feature "Datei herunterladen" ist standardmäßig aktiviert.

Der Standort hängt von den geografischen Einstellungen Ihrer organization ab (eu, uk oder US). Eine unter Quarantäne gestellte Datei wird nur einmal pro organization gesammelt. Weitere Informationen zum Datenschutz von Microsoft finden Sie im Service Trust Portal unter https://aka.ms/STP.

Wenn die Einstellung "In Quarantäne befindliche Dateien herunterladen" aktiviert ist, können Sicherheitsteams potenziell schädliche Dateien untersuchen und Vorfälle schnell und mit geringerem Risiko analysieren. Wenn Sie diese Einstellung jedoch deaktivieren müssen, wechseln Sie zu Einstellungen>Endpunkte>Erweiterte Features>In Quarantäne befindliche Dateien herunterladen , um die Einstellung anzupassen. Weitere Informationen finden Sie unter Erweiterte Features.

Sichern von unter Quarantäne stehenden Dateien

Benutzer werden möglicherweise aufgefordert, vor dem Sichern der in Quarantäne befindlichen Datei eine explizite Zustimmung zu erteilen, abhängig von Ihrer Beispielübermittlungskonfiguration.

Das Feature " In Quarantäne befindliche Dateien herunterladen " funktioniert nicht, wenn die Beispielübermittlung deaktiviert ist. Wenn die automatische Beispielübermittlung so festgelegt ist, dass die Berechtigung des Benutzers angefordert wird, werden nur Stichproben gesammelt, deren Übermittlung der Benutzer zustimmt.

Sammeln von Dateien

Wenn eine Datei noch nicht von Microsoft Defender for Endpoint gespeichert wurde, können Sie sie nicht herunterladen. Stattdessen sehen Sie an derselben Stelle die Schaltfläche Datei erfassen.

Die Schaltfläche Datei sammeln kann die folgenden Zustände aufweisen:

• Aktiv : Sie können die Datei sammeln.

• Deaktiviert : Wenn die Schaltfläche während eines aktiven Sammlungsversuchs abgeblendet oder deaktiviert ist, verfügen Sie möglicherweise nicht über die entsprechenden RBAC-Berechtigungen zum Sammeln von Dateien.

  Die folgenden Berechtigungen sind erforderlich:

  Für portable ausführbare Dateien (.exe, .sys, .dll usw.)

  • Sicherheitsadministrator oder erweiterte Live-Reaktion oder Warnungen

  Nicht portable ausführbare Datei (.txt, .docx usw.)

  • Sicherheitsadministrator oder erweiterte Liveantwort

Wenn eine Datei in den letzten 30 Tagen in der Organisation nicht erkannt wurde, ist Datei sammeln deaktiviert.

Hinzufügen eines Indikators zum Blockieren oder Zulassen einer Datei

Verhindern Sie die weitere Verbreitung eines Angriffs in Ihrem organization, indem Sie potenziell schädliche Dateien oder vermutete Schadsoftware verbieten. Wenn Sie eine potenziell schädliche PE-Datei (Portable Executable) kennen, können Sie sie blockieren. Das Blockieren der Datei verhindert, dass sie auf Geräten in Ihrer Organisation gelesen, geschrieben oder ausgeführt wird.

Aktivieren der Blockdateifunktion

Um mit dem Blockieren von Dateien zu beginnen, müssen Sie zuerst das Feature Blockieren oder Zulassen in den Einstellungen aktivieren.

Datei zulassen oder blockieren

Wenn Sie einen Hashindikator für eine Datei hinzufügen, können Sie festlegen, dass eine Warnung ausgelöst und die Datei blockiert wird, wenn ein Gerät in Ihrer Organisation versucht, sie auszuführen.

Dateien, die automatisch durch einen Indikator blockiert werden, werden nicht im Aktionscenter der Datei angezeigt, aber die Warnungen sind weiterhin in der Warnungswarteschlange sichtbar.

Weitere Informationen zum Blockieren und Auslösen von Warnungen für Dateien finden Sie unter Übersicht über Indikatoren .

Um das Blockieren einer Datei zu beenden, entfernen Sie den Indikator. Sie können den Indikator über die Aktion "Indikator bearbeiten " auf der Profilseite der Datei entfernen. Die Aktion "Indikator bearbeiten" ist an derselben Position wie die Aktion "Indikator hinzufügen " sichtbar, bevor Sie den Indikator hinzugefügt haben.

Sie können Indikatoren auch auf der Seite Einstellungen unter Regelindikatoren> bearbeiten. Indikatoren werden auf der Seite "Regelindikatoren>" anhand des Hashs ihrer Datei aufgelistet.

Überprüfen von Aktivitätsdetails im Aktionscenter

Das Info-Center enthält Informationen zu Aktionen, die auf einem Gerät oder einer Datei ausgeführt wurden. Sie können die folgenden Details anzeigen:

• Sammlung von Untersuchungspaketen
• Antivirenüberprüfung
• App-Einschränkung
• Geräteisolation

Alle anderen zugehörigen Details werden ebenfalls angezeigt, z. B. Übermittlungsdatum/-uhrzeit, Benutzer übermitteln und ob die Aktion erfolgreich war oder fehlgeschlagen ist.

Tiefe Analyse

Cybersicherheitsuntersuchungen werden in der Regel durch eine Warnung ausgelöst. Warnungen beziehen sich auf eine oder mehrere beobachtete Dateien, die häufig neu oder unbekannt sind. Wenn Sie eine Datei auswählen, gelangen Sie zur Dateiansicht, in der Sie die Metadaten der Datei sehen können. Um die daten im Zusammenhang mit der Datei anzureichern, können Sie die Datei zur tiefen Analyse übermitteln.

Die Deep-Analyse-Funktion führt eine Datei in einer sicheren, vollständig instrumentierten Cloudumgebung aus. Ausführliche Analyseergebnisse zeigen die Aktivitäten der Datei, das beobachtete Verhalten und die zugehörigen Artefakte, z. B. gelöschte Dateien, Registrierungsänderungen und Kommunikation mit IP-Adressen. Die Tiefenanalyse unterstützt die eingehende Analyse von Portable-Executable-Dateien (PE), einschließlich .exe- und .dll-Dateien.

Die ausführliche Analyse einer Datei dauert mehrere Minuten. Sobald die Dateianalyse abgeschlossen ist, wird die Registerkarte Deep Analysis aktualisiert, um eine Zusammenfassung sowie Datum und Uhrzeit der letzten verfügbaren Ergebnisse anzuzeigen.

Die Zusammenfassung der umfassenden Analyse enthält eine Liste der beobachteten Verhaltensweisen, von denen einige auf schädliche Aktivitäten hinweisen können, und Beobachtbares, einschließlich kontaktierter IP-Adressen und Dateien, die auf dem Datenträger erstellt wurden. Wenn nichts gefunden wurde, werden in den Abschnitten "Behaviors" und "Observables" eine kurze Meldung angezeigt.

Die Ergebnisse einer umfassenden Analyse werden mit Threat Intelligence abgeglichen, und alle Übereinstimmungen generieren entsprechende Warnungen.

Verwenden Sie das Feature zur tiefen Analyse, um die Details einer Datei zu untersuchen, in der Regel während einer Untersuchung einer Warnung oder aus einem anderen Grund, aus dem Sie schädliches Verhalten vermuten. Das Feature "Deep Analysis " steht oben auf der Dateiseite zur Verfügung. Wählen Sie die drei Punkte aus, um auf die Aktion Tiefe Analyse zuzugreifen.

Im folgenden Video erfahren Sie mehr über die umfassende Analyse:

Zur tiefen Analyse übermitteln ist aktiviert, wenn die Datei in der Defender for Endpoint-Backend-Sample-Sammlung verfügbar ist oder wenn sie auf einem Windows 10-Gerät erkannt wurde, das die Übermittlung zur tiefen Analyse unterstützt.

Sie können auch eine Probe über das Microsoft Security Intelligence Einreichungsportal einreichen, falls die Datei auf einem Windows 10-Gerät (oder Windows 11 oder Windows Server 2012 R2+) nicht beobachtet wurde, und warten, bis der Button "Submit for deep analysis" verfügbar wird.

Übermitteln von Dateien zur tiefen Analyse

Führen Sie die folgenden Schritte aus, um eine Datei für eine umfassende Analyse zu übermitteln:

1. Wählen Sie die Datei aus, die Sie zur eingehenden Analyse übermitteln möchten. Sie können eine Datei aus einer der folgenden Ansichten auswählen oder durchsuchen:

   • Warnungen - Wählen Sie die Dateilinks aus der Beschreibung oder den Details in der Zeitleiste der Warnungsstory
   • Geräteliste: Wählen Sie die Dateilinks im Abschnitt Beschreibung oder Details im Abschnitt Gerät in organization aus.
   • Suchfeld : Wählen Sie im Dropdownmenü Datei aus, und geben Sie den Dateinamen ein.

2. Wählen Sie in der Dateiansicht auf der Registerkarte Tiefe Analyse die Option Senden aus.

   

   Hinweis

   Nur PE-Dateien werden unterstützt, einschließlich .exe - und .dll-Dateien . Darüber hinaus werden ausführbare Dateien aus dem Windows-App Store nicht unterstützt.

   Es wird eine Statusanzeige angezeigt, die Informationen zu den verschiedenen Phasen der Analyse bereitstellt. Anschließend können Sie den Bericht anzeigen, wenn die Analyse abgeschlossen ist.

Anzeigen von Berichten zur tiefen Analyse

Zeigen Sie den bereitgestellten Bericht zur tiefen Analyse an, um ausführlichere Einblicke in die von Ihnen übermittelte Datei zu erhalten. Der umfassende Analysebericht ist im Dateiansichtskontext verfügbar.

Sie können den umfassenden Bericht anzeigen, der Details zu den folgenden Abschnitten enthält:

• Verhaltensweisen
• Observables

Die bereitgestellten Details können Ihnen helfen, zu untersuchen, ob Hinweise auf einen potenziellen Angriff vorhanden sind.

1. Wählen Sie die Datei aus, die Sie zur eingehenden Analyse übermittelt haben.

2. Wählen Sie die Registerkarte Tiefe Analyse aus. Wenn vorherige Berichte vorhanden sind, wird die Berichtszusammenfassung auf dieser Registerkarte angezeigt.

   

Problembehandlung bei der umfassenden Analyse

Wenn beim Übermitteln einer Datei ein Problem auftritt, führen Sie die folgenden Schritte zur Problembehandlung aus.

1. Stellen Sie sicher, dass es sich bei der betreffenden Datei um eine PE-Datei handelt. PE-Dateien haben in der Regel .exe - oder .dll-Erweiterungen (ausführbare Programme oder Anwendungen).

2. Stellen Sie sicher, dass der Dienst Zugriff auf die Datei hat, dass sie noch vorhanden ist und nicht beschädigt oder geändert wurde.

3. Warten Sie kurz, und versuchen Sie erneut, die Datei zu übermitteln. Die Warteschlange ist möglicherweise voll, oder es ist ein vorübergehender Verbindungs- oder Kommunikationsfehler aufgetreten.

4. Wenn die Beispielsammlungsrichtlinie nicht konfiguriert ist, besteht das Standardverhalten darin, die Beispielsammlung zuzulassen. Wenn sie konfiguriert ist, überprüfen Sie, ob die Richtlinieneinstellung die Beispielsammlung zulässt, bevor Sie die Datei erneut übermitteln. Wenn die Beispielsammlung konfiguriert ist, überprüfen Sie den folgenden Registrierungswert:

   Path: HKLM\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection
   Name: AllowSampleCollection
   Type: DWORD
   Hexadecimal value :
     Value = 0 - block sample collection
     Value = 1 - allow sample collection
   

5. Ändern Sie die Organisationseinheit über die Gruppenrichtlinie. Weitere Informationen finden Sie unter Konfigurieren mit Gruppenrichtlinie.

6. Wenn das Problem mit diesen Schritten nicht behoben wird, wenden Sie sich an den Support.

Verwandte Inhalte

• Reaktionsmaßnahmen auf einem Gerät ergreifen
• Untersuchen von Dateien
• Manuelle Reaktionsaktionen in Microsoft Defender for Endpoint Plan 1