Defender for Identity-Entitätstags in Microsoft Defender

Dieser Artikel beschreibt, wie Entitätstags in Microsoft Defender for Identity angewendet werden. Du kannst Konten als sensibel, als Exchange-Server oder als Honeytokens markieren.

• Markiere sensible Konten, damit die Erkennung korrekt funktioniert. Einige Erkennungen, wie Veränderungen in sensiblen Gruppen, basieren auf diesem Tag.

  Defender for Identity kennzeichnet Exchange-Server standardmäßig als sensibel. Du kannst Geräte auch manuell als Exchange-Server markieren.

• Markieren Sie Honeytoken-Konten, um Fallen für böswillige Akteure festzulegen. Diese Konten sind in der Regel inaktiv. Jede Anmeldung von einem Honeytoken-Konto löst eine Warnung aus.

Voraussetzungen

Um Defender for Identity-Entitätstags in Microsoft Defender festzulegen, muss Defender for Identity in Ihrer Umgebung bereitgestellt sein, und Sie benötigen Administrator- oder Benutzerzugriff auf Microsoft Defender.

Weitere Informationen finden Sie unter Microsoft Defender for Identity Rollengruppen.

Manuelles Markieren von Entitäten

Wenn Sie eine Entität in Microsoft Defender XDR manuell markieren möchten, z. B. ein Honigtokenkonto oder eine Entität, die nicht automatisch als vertraulich gekennzeichnet ist, führen Sie die folgenden Schritte aus:

1. Melden Sie sich bei Microsoft Defender XDR an, und wählen Sie Einstellungen>Identitäten aus.

2. Wählen Sie den Typ des Tags aus, den Sie anwenden möchten: Vertraulich, Honeytoken oder Exchange-Server.

   Die Seite listet die Entitäten auf, die bereits in Ihrem System gekennzeichnet sind und auf separaten Registerkarten für jeden Entitätstyp aufgeführt sind:

   • Das Tag „Vertraulich“ unterstützt Benutzer, Geräte und Gruppen.
   • Das Honeytoken-Tag unterstützt Benutzer und Geräte.
   • Das Exchange-Servertag unterstützt nur Geräte.

3. Um zusätzliche Entitäten zu markieren, wählen Sie die Schaltfläche Tag ... aus, z. B . Benutzer markieren. Auf der rechten Seite wird ein Bereich geöffnet, in dem die verfügbaren Entitäten aufgeführt sind, die Sie markieren können.

4. Verwenden Sie bei Bedarf das Suchfeld, um Ihre Entität zu finden. Wählen Sie die Entitäten aus, die Sie markieren möchten, und wählen Sie dann Auswahl hinzufügen aus.

   Zum Beispiel:

   

Sensible Standardentitäten

Die Gruppen in der folgenden Liste werden von Defender for Identity als vertraulich eingestuft. Jede Entität, die Mitglied einer dieser Active Directory-Gruppen ist, einschließlich geschachtelter Gruppen und deren Mitglieder, wird automatisch als vertraulich betrachtet:

• Administratoren

• Hauptbenutzer

• Kontooperatoren

• Serveroperatoren

• Druckoperatoren

• Sicherungs-Operatoren

• Replikatoren

• Netzwerkkonfigurationsoperatoren

• Eingehende Gesamtstruktur-Vertrauensstellung

• Domänen-Admins

• Domänencontroller

• Gruppenrichtlinienersteller-Besitzer

• Schreibgeschützte Domänencontroller

• Schreibgeschützte Enterprise-Domänencontroller

• Schema-Administratoren

• Unternehmensadministratoren

• Microsoft Exchange-Server

  Hinweis

  Bis September 2018 wurden Remotedesktopbenutzer auch automatisch von Defender for Identity als vertraulich eingestuft. Remotedesktop-Entitäten oder -Gruppen, die nach diesem Datum hinzugefügt wurden, werden nicht mehr automatisch als sensibel gekennzeichnet, während Remotedesktop-Entitäten oder -Gruppen, die vor diesem Datum hinzugefügt wurden, möglicherweise weiterhin als sensibel gekennzeichnet bleiben. Diese Einstellung „Vertraulich“ kann jetzt manuell geändert werden.

Zusätzlich zu diesen Gruppen identifiziert Defender for Identity die folgenden hochwertigen Ressourcenserver und kennzeichnet sie automatisch als Vertraulich:

• Server der Zertifizierungsstelle
• DHCP-Server
• DNS-Server
• Microsoft Exchange Server
• Berechtigungen zum Replizieren von Verzeichnisänderungen

Unterstützte Integrationen für Entitätstags

Die folgenden Rollen werden von Microsoft Defender for Identity als vertraulich festgelegt. Jede Entität, der eine Mitgliedschaft in diesen Rollen zugewiesen wurde, wird automatisch als sensibel eingestuft.

Sicherheitskritische Rollen in Okta

Die folgenden Okta-Rollen werden von Defender for Identity als sensibel eingestuft:

• Superadministrator
• Anwendungsadministrator
• Gruppenadministrator
• API-Access-Management-Administrator
• Gruppenmitgliedschaftsadministrator
• Helpdesk-Administrator
• Mobiler Administrator
• Organisationsadministrator
• Administrator mit Leseberechtigung
• Berichtsadministrator

Vertrauliche Rollen von CyberArk Identity

Die folgenden CyberArk Identity-Rollen werden durch Defender for Identity als vertraulich gekennzeichnet:

• Verwaltungsrolle
• Cloud-Onboarding-Administrator
• Connectorverwaltungsadministrator
• Flows-Administrator
• Berechtigungen für Cloudadministratoren
• Berechtigungen für Cloudadministratoren –Basic
• Berechtigungen für Cloudadministratoren Lite
• Privilege Cloud Safe Manager
• Privilege Cloud Safe Managers Basic
• Privilege Cloud Safe Managers Lite
• Privilege Cloud Sitzungsadministrator
• Privilege Cloud Sitzungsrisikomanager
• Systemadministrator

Sensible Rollen von SailPoint Identity Security Cloud

Die folgenden Entra ID- und SailPoint Identity Security Cloud-Rollen werden für das Tagging sensibler Entitäten in Defender for Identity verwendet.

Entra ID-Rollen, die zum Markieren verwendet werden

Die folgenden Entra ID Rollen werden durch Defender for Identity als vertraulich festgelegt:

• Globaler Administrator
• Benutzeradministrator
• Authentifizierungsadministrator
• Privilegierter Authentifizierungsadministrator
• Helpdesk-Administrator
• Administrator für Agent-ID
• Anwendungsadministrator
• Verzeichnisautoren
• Domänennamenadministrator
• Kennwortadministrator
• Administrator für privilegierte Rollen
• Hybrididentitätsadministrator
• Cloudanwendungsadministrator

SailPoint Identity Security Cloud-Rollen, die zur Kennzeichnung verwendet werden

Die folgende SailPoint Identity Security Cloud-Rolle wird von Defender for Identity als sensibel eingestuft:

• IdentityNow-Administrator

Verwandte Inhalte

Weitere Informationen finden Sie unter Untersuchen von Sicherheitswarnungen von Defender for Identity in Microsoft Defender.