Sicherheitswarnungen in Microsoft Defender for Identity

Was sind Microsoft Defender for Identity Sicherheitswarnungen?

Microsoft Defender for Identity Sicherheitswarnungen bieten Informationen zu den verdächtigen Aktivitäten, die von Defender for Identity erkannt wurden, sowie zu den Akteuren und Computern, die an den einzelnen Bedrohungen beteiligt sind. Beweislisten für Warnungen enthalten direkte Links zu den beteiligten Benutzern und Computern, um Ihre Untersuchungen einfacher und direkter zu gestalten.

Hinweis

Defender for Identity ist nicht als Überwachungs- oder Protokollierungslösung konzipiert, die jeden einzelnen Vorgang oder jede Aktivität auf den Servern erfasst, auf denen der Sensor installiert ist. Es erfasst nur die Daten, die für die Erkennungs- und Empfehlungsmechanismen erforderlich sind.

Die Seite Identitätswarnungen bietet Ihnen domänenübergreifende Signalanreicherung und automatisierte Identitätsantwortfunktionen. Der Vorteil der Untersuchung von Warnungen mit Microsoft Defender besteht darin, dass Microsoft Defender for Identity Warnungen mit Informationen korreliert werden, die von jedem der anderen Produkte in der Suite abgerufen werden. Diese erweiterten Warnungen entsprechen den anderen Microsoft Defender Warnungsformaten, die von Microsoft Defender for Office 365 und Microsoft Defender for Endpoint stammen.

Warnungen, die von Defender for Identity-Trigger Microsoft Defender automatisierte Untersuchungs- und Reaktionsfunktionen (AIR) stammen, einschließlich der automatischen Behebung von Warnungen und der Entschärfung von Tools und Prozessen, die zur verdächtigen Aktivität beitragen können.

Microsoft Defender for Identity Warnungen werden derzeit in zwei verschiedenen Layouts im Microsoft Defender-Portal angezeigt. Während die Warnungsansichten möglicherweise unterschiedliche Informationen anzeigen, basieren alle Warnungen auf Erkennungen von Defender for Identity-Sensoren. Die unterschiede zwischen Layout und Informationen sind Teil eines kontinuierlichen Übergangs zu einer einheitlichen Warnungserfahrung für Microsoft Defender Produkte.

Hinweis

Klassische und Defender-Format-Warnungen sind nicht an die Sensorversion gebunden. Ein v2.x- oder v3.x-Sensor kann in beiden Formaten Daten zu Warnungen beitragen, abhängig von der auf der Warnung angezeigten Erkennungsquelle .

Während des Übergangs zum Defender-Format-Alert-Erlebnis können einige Erkennungen sowohl in der klassischen Alarmliste als auch in der Defender-Format-Alarmliste mit unterschiedlichen Namen erscheinen. Verwenden Sie die Erkennungsquelle, um zu bestätigen, welches Format die Warnung erzeugt hat.

Das Tuning ist formatspezifisch. Ausschlüsse, die unter Einstellungen>Identitätenkonfiguriert sind: >Ausgeschlossene Entitäten gelten für Defender für Identitätserkennungsausschlüsse. Defender-Format-Warnungen sollten mit den Tuning-Regeln von Microsoft Defender abgestimmt werden.

Weitere Informationen zum Verständnis der Struktur und der allgemeinen Komponenten aller Defender for Identity-Sicherheitswarnungen finden Sie unter Anzeigen und Verwalten von Warnungen.

Informationen zu True Positive (TP),Benign true positive (B-TP) und False positive (FP) finden Sie unter Klassifizierungen von Sicherheitswarnungen.

Warnungskategorien

Die Warnungen werden basierend auf den Phasen einer typischen Kill Chain für Cyberangriffe in Kategorien unterteilt. Die Kategorien unterscheiden sich geringfügig, je nachdem, ob die Warnung aus dem klassischen Microsoft Defender for Identity Warnung oder Microsoft Defender stammt. Die Unterschiede sind Teil eines kontinuierlichen Übergangs zu einer einheitlichen Warnungserfahrung für Microsoft Defender Produkte.

Beispielsweise gibt es Kategorien für:

  • Reconnaissance- und Ermittlungswarnungen
  • Persistenz- und Berechtigungsausweitungswarnungen
  • Zugriffswarnungen für Anmeldeinformationen
  • Lateral Movement-Warnungen

Ausführliche Informationen zu den einzelnen Warnungen finden Sie unter:

Siehe auch

  • Last updated on