Sicherheitsbetriebshandbuch für Teams-Schutz in Microsoft Defender for Office 365

Nachdem Sie den Microsoft Teams-Schutz in Microsoft Defender für Office 365 konfiguriert haben, müssen Sie Teams-Schutzfunktionen in Ihre Security Operations (SecOps)-Reaktionsprozesse integrieren. Dieser Prozess ist von entscheidender Bedeutung, um einen qualitativ hochwertigen, zuverlässigen Ansatz zum Schutz, Zur Erkennung und Reaktion auf Sicherheitsbedrohungen im Zusammenhang mit der Zusammenarbeit sicherzustellen.

Die Einbindung des SecOps-Teams in die Bereitstellungs-/Pilotphasen stellt sicher, dass Ihr organization bereit ist, mit Bedrohungen umzugehen. Teams-Schutzfunktionen in Defender for Office 365 werden nativ in die vorhandenen Defender for Office 365 und Defender SecOps-Tools und -Arbeitsabläufe integriert.

Ein weiterer wichtiger Schritt besteht darin, sicherzustellen, dass SecOps-Teammitglieder über die entsprechenden Berechtigungen verfügen, um ihre Aufgaben auszuführen.

Integrieren von Benutzern gemeldeter Teams-Elemente in SecOps-Incident response

Wenn Benutzer Teams-Nachrichten oder -Anrufe als böswillig oder nicht böswillig melden, werden die gemeldeten Elemente gemäß den vom Benutzer gemeldeten Einstellungen in Defender für Office 365 an Microsoft und/oder das Berichterstellungspostfach gesendet.

Die folgenden Warnungen werden automatisch generiert und mit Defender Vorfällen für böswillige und nicht böswillige Benutzer gemeldete Elemente in Teams korreliert:

  • Vom Benutzer gemeldete Teams-Nachricht als Sicherheitsrisiko
  • Teams-Nachricht vom Benutzer als kein Sicherheitsrisiko gemeldet
  • Von einem Benutzer als Sicherheitsrisiko gemeldeter Teams-Anruf
  • Teams-Anruf, der vom Benutzer als kein Sicherheitsrisiko gemeldet wird

Tipp

Derzeit lösen diese Warnungen keine automatisierten Untersuchungen und Reaktionen (AIR) aus.

Es wird dringend empfohlen, dass SecOps-Teammitglieder mit der Triage und Untersuchung aus der Defender Vorfallwarteschlange im Microsoft Defender Portal oder SIEM/SOAR-Integration beginnen.

SecOps-Teammitglieder können übermittelte Teams-Nachrichten oder Anrufdetails an den folgenden Stellen im Defender-Portal überprüfen:

  • Die Aktion „Übermittlung anzeigen“ im Defender XDR-Vorfall.
  • Die Registerkarte Vom Benutzer gemeldet auf der Seite Übermittlungen unter https://security.microsoft.com/reportsubmission?viewid=user:
    • Administratoren können von Benutzern gemeldete Teams-Nachrichten über die Registerkarte Vom Benutzer gemeldet zur Analyse an Microsoft übermitteln. Einträge auf der Registerkarte "Teams-Nachrichten " sind das Ergebnis der manuellen Übermittlung einer vom Benutzer gemeldeten Teams-Nachricht an Microsoft (Konvertierung der Benutzerübermittlung in eine Administratorübermittlung).
    • Administratoren können "Markieren" und "Benachrichtigen " für gemeldete Teams-Elemente verwenden, um Antwort-E-Mails an Benutzer zu senden, die sie gemeldet haben.

Mitglieder des SecOps-Teams können auch Blockeinträge in der Mandanten-Zulassungs-/Sperrliste verwenden, um die folgenden Kompromittierungsindikatoren zu blockieren:

SecOps in die Lage versetzen, falsch negative Meldungen in Microsoft Teams proaktiv zu verwalten

Mitglieder des SecOps-Teams können die Bedrohungssuche oder Informationen aus externen Threat Intelligence-Feeds verwenden, um proaktiv auf falsch negative Teams-Nachrichten (zugelassene schädliche Nachrichten) zu reagieren. Sie können die Informationen verwenden, um Bedrohungen proaktiv zu blockieren. Zum Beispiel:

Tipp

Wie bereits beschrieben, können Administratoren Teams-Nachrichten nicht proaktiv zur Analyse an Microsoft übermitteln. Stattdessen übermitteln sie vom Benutzer gemeldete Teams-Nachrichten an Microsoft (konvertieren die Benutzerübermittlung in eine Administratorübermittlung).

Ermöglichen der Verwaltung falsch positiver Ergebnisse in Microsoft Teams durch SecOps

Mitglieder des SecOps-Teams können falsch positive Teams-Nachrichten (blockierte unbedenkliche Nachrichten) auf der Seite Quarantäne in Defender für Office 365 unter https://security.microsoft.com/quarantine selektieren und darauf reagieren. Teams-Nachrichten, die von ZAP (Zero-Hour Auto Protection) erkannt wurden, sind auf der Registerkarte Teams-Nachrichten verfügbar. SecOps-Teammitglieder können maßnahmen für diese Nachrichten ergreifen. Beispiel: Vorschau von Nachrichten, Herunterladen von Nachrichten, Senden von Nachrichten zur Überprüfung an Microsoft und Freigeben der Nachrichten aus der Quarantäne.

Mitglieder des SecOps-Teams können auch Zulassungseinträge in der Mandanten-Zulassungs-/Sperrliste verwenden, um die falsch klassifizierten Indikatoren zuzulassen:

Tipp

Aus der Quarantäne freigegebene Teams-Nachrichten stehen Absendern und Empfängern am ursprünglichen Ort in Teams-Chats und Kanalbeiträgen zur Verfügung.

Aktivieren von SecOps für die Suche nach Bedrohungen und Erkennungen in Microsoft Teams

SecOps-Teammitglieder können proaktiv nach potenziell schädlichen Teams-Nachrichten, URL-Klicks in Teams und als böswillig erkannten Dateien suchen. Sie können diese Informationen verwenden, um potenzielle Bedrohungen zu finden, Muster zu analysieren und benutzerdefinierte Erkennungen in Microsoft Defender zu entwickeln, um Vorfälle automatisch zu generieren.

  • Auf der Seite Explorer (Bedrohungs-Explorer) im Defender-Portal unter https://security.microsoft.com/threatexplorerv3:

    • Registerkarte „Inhaltsschadsoftware“: Diese Registerkarte enthält Dateien, die von Safe Attachments für SharePoint, OneDrive und Microsoft Teams erkannt wurden. Sie können die verfügbaren Filter verwenden, um nach Erkennungsdaten zu suchen.
    • Url-Klickregisterkarte : Diese Registerkarte enthält alle Benutzerklicks auf URLs in E-Mails, in unterstützten Office-Dateien in SharePoint und OneDrive sowie in Microsoft Teams. Sie können die verfügbaren Filter verwenden, um nach Erkennungsdaten zu suchen.

  • Auf der Seite Erweiterte Suche im Defender-Portal unter https://security.microsoft.com/v2/advanced-hunting. Die folgenden Tabellen für die Suche nach Bedrohungen im Zusammenhang mit Teams sind verfügbar:

    • MessageEvents: Enthält Rohdaten zu jeder internen und externen Teams-Nachricht, die eine URL enthielt. Absenderadresse, Senderanzeigename, Absendertyp und mehr sind in dieser Tabelle verfügbar.
    • MessagePostDeliveryEvents: Enthält Rohdaten zu ZAP-Ereignissen in Teams-Nachrichten.
    • MessageUrlInfo: Enthält Rohdaten zu URLs in Teams-Nachrichten.
    • UrlClickEvents: Enthält Rohdaten zu jedem zulässigen oder blockierten URL-Klick durch Benutzer in Teams-Clients.

    SecOps-Teammitglieder können diese Hunting-Tabellen mit anderen Workloadtabellen (z. B. EmailEvents oder Gerätebezogene Tabellen) verknüpfen, um Einblicke in End-to-End-Benutzeraktivitäten zu erhalten.

    Sie können beispielsweise die folgende Abfrage verwenden, um nach zulässigen Klicks auf URLs in Teams-Nachrichten zu suchen, die von ZAP entfernt wurden:

    MessagePostDeliveryEvents
| join MessageUrlInfo on TeamsMessageId
| join UrlClickEvents on Url
| join EmailUrlInfo on Url
| where Workload == "Teams" and ActionType1 == "ClickAllowed"
| project TimeGenerated, TeamsMessageId, ActionType, RecipientDetails, LatestDeliveryLocation, Url, ActionType1

    Communityabfragen in der erweiterten Suche bieten auch Beispiele für Teams-Abfragen.

  • Last updated on