Details und Ergebnisse einer automatischen Angriffsunterbrechungsaktion

Wenn in Microsoft Defender XDR eine automatische Angriffsunterbrechung ausgelöst wird, können Sie auf der Vorfallseite die Risikodetails und den Eindämmungsstatus kompromittierter Ressourcen einsehen. Die Seite bietet den vollständigen Ablauf des Angriffs und den aktuellen Status der zugehörigen Ressourcen.

Überprüfen Sie das Vorfallsdiagramm

Die automatisierte Angriffsunterbrechung von Microsoft Defender ist in die Vorfallansicht integriert. Überprüfen Sie das Vorfallsdiagramm, um den gesamten Angriffsverlauf nachzuvollziehen und die Auswirkungen und den Status der Angriffsunterbrechung zu bewerten.

Die Seite "Incident" enthält die folgenden Informationen:

• Unterbrochene Vorfälle enthalten ein Tag für Attack Disruption und den identifizierten spezifischen Bedrohungstyp (z. B. Ransomware). Wenn Sie Incident-E-Mail-Benachrichtigungen abonnieren, werden diese Tags auch in den E-Mails angezeigt.
• Eine hervorgehobene Benachrichtigung unter dem Incidenttitel, die angibt, dass der Vorfall unterbrochen wurde.
• Gesperrte Benutzer und isolierte Geräte werden mit einer Kennzeichnung angezeigt, die ihren Status angibt.

Um die Isolation eines Benutzerkontos oder eines Geräts aufzuheben, wählen Sie das isolierte Objekt aus und wählen Sie für ein Gerät Aus Isolation freigeben oder für ein Benutzerkonto Benutzer aktivieren aus.

Überprüfen Sie die Übersichtskarte zur Angriffsunterbrechung

Wenn die automatische Angriffsunterbrechung während eines Vorfalls Maßnahmen ergreift, wird auf der Vorfallseite eine dedizierte Zusammenfassungskarte angezeigt. Die Zusammenfassungskarte bietet Ihnen einen schnellen Überblick über die bei Störungen ergriffenen Maßnahmen. Außerdem werden verlaufsbezogene Daten im Zusammenhang mit einer Unterbrechung im Kontext des Incidents angezeigt, d. h., die Daten werden von der ersten Warnung des Incidents bis zur aktuellen Zeit aggregiert.

So überprüfen Sie die zusammenfassungs-Karte:

1. Wechseln Sie im Microsoft Defender-Portal zu Vorfälle & Warnungen>Incidents.

2. Wählen Sie einen Vorfall mit dem Tag Angriffsunterbrechung aus.

3. Suchen Sie auf der Vorfallseite auf der rechten Seite nach der Zusammenfassungskarte für die Angriffsunterbrechung. Die Karte bietet Folgendes:

   • Eine Zusammenfassung der automatischen Aktionen, die im Rahmen dieses Vorfalls ausgeführt wurden.
   • Aktivitäten anzeigen – Navigiert zur Registerkarte Aktivitäten , auf der Alle automatisierten Aktionen angezeigt werden.
   • Verwandte Ressourcen anzeigen – Listet die Ressourcen (Endpunkte, Konten, Postfächer, Anwendungen) auf, in denen automatisierte Aktionen angewendet wurden.

Verfolgen Sie die Aktionen im Info-Center

Das Aktionscenter (https://security.microsoft.com/action-center) führt Problembehebungs- und Reaktionsmaßnahmen über Ihre Geräte, E-Mail- und Inhalte für die Zusammenarbeit sowie Identitäten hinweg zusammen. Zu den aufgeführten Aktionen gehören Wartungsaktionen, die automatisch oder manuell ausgeführt wurden. Sie können Aktionen zur automatischen Angriffsunterbrechung im Aktionscenter anzeigen.

Sie können die enthaltenen Ressourcen freigeben, z. B. ein gesperrtes Benutzerkonto aktivieren oder ein Gerät aus der Kapselung freigeben, über den Bereich mit den Aktionsdetails. Sie können die enthaltenen Ressourcen freigeben, nachdem Sie das Risiko verringert und die Untersuchung eines Incidents abgeschlossen haben. Weitere Informationen finden Sie unter Info-Center.

Verfolgen Sie den Aktionsstatus auf der Registerkarte „Aktivitäten“ (Vorschau)

Auf der Registerkarte Aktivitäten auf der Seite Incident werden Details zu einem bestimmten Vorfall angezeigt, einschließlich Datum und Uhrzeit des Aktivitätsstarts, auslösender Warnung und mehr.

Die Spalte Richtlinienstatus (Vorschau) in der Aktivitätsliste zeigt eine Statusliste der Aktionen und Richtlinien an, die in Vorfällen ergriffen wurden. Sie können den aktuellen Status aller relevanten Aktionen und Richtlinien in Ihrer Umgebung einsehen. Dieses Feature löst die Herausforderung, laufende und abgelaufene Aktionen zu verfolgen, insbesondere in großen Umgebungen mit vielen Vorfällen.

So zeigen Sie alle automatischen Angriffsunterbrechungen und Vorhersageschutzaktionen an, die als Teil eines Incidents ausgeführt werden:

1. Fügen Sie auf der Registerkarte Aktivitäten des Incidents die folgenden Filter hinzu:

   • Wählen Sie 30 Tage>Benutzerdefinierter Bereich und dann den relevanten Zeitrahmen für die Aktionen aus, die Sie untersuchen möchten.
   • Wählen Sie Durchgeführt von aus und wählen Sie AttackDisruption aus. Dieser Filter umfasst auch Vorhersageschutzaktionen.
   • Wählen Sie Aktivität status und dann Abgeschlossen aus. Dieser Status zeigt Ihnen den aktuellen Richtlinienstatus für abgeschlossene Aktionen an, wobei teilweise abgeschlossene oder laufende Aktionen ausgefiltert werden.
   • Richtlinien-status: Wählen Sie Aktiv, Inaktiv und Keine status aus (alle Optionen außer Nicht zutreffend).

2. Überprüfen Sie die aufgeführten Aktivitäten. In der Spalte Policy status wird die aktuelle status der Richtlinie für jede Aktivität angezeigt. Beispielsweise war ein Benutzer im angegebenen Zeitrahmen enthalten, aber die Richtlinie ist derzeit inaktiv. Dies status bedeutet, dass der Benutzer nicht mehr enthalten ist.

   

Die folgenden Richtlinienstatus sind verfügbar:

• Aktiv: Die Richtlinie ist derzeit aktiv und wird erzwungen.
• Inaktiv: Die Richtlinie wurde zuvor angewendet, ist aber nicht mehr aktiv. Zum Beispiel wurde ein Benutzer isoliert, ist aber jetzt wieder freigegeben.
• Nicht zutreffend: Der Richtlinienstatus ist auf die Aktion nicht anwendbar. Der Richtlinienstatus gilt beispielsweise nicht für eine Aktion zum Aufheben der Eindämmung, da Aktionen zum Aufheben der Eindämmung keine Richtlinien sind, sondern die Umkehrung einer vorherigen Aktion.
• Keine status: Die Status der Richtlinie konnte aus verschiedenen Gründen nicht abgerufen werden. Zum Beispiel ist die Aktion noch im Gange und der endgültige Status steht noch nicht fest.

Diese Ansicht bietet einzigartige Daten über die Aktivität und den Richtlinienstatus im ausgewählten Zeitraum. Diese Daten gehen über Info-Center-Ansichten hinaus, die frühere Aktionen protokollieren, aber nicht die aktuellen status widerspiegeln.

Nachverfolgen der Aktionen in der erweiterten Suche

Verwenden Sie spezifische Abfragen in advanced hunting, um Geräteisolierung, Benutzereindämmung und Aktionen zum Deaktivieren von Benutzerkonten zu verfolgen.

Eindämmungsbezogene Ereignisse in der erweiterten Suche

Die Eindämmung in Microsoft Defender for Endpoint verhindert weitere Aktivitäten von Bedrohungsakteurn, indem die Kommunikation von enthaltenen Entitäten blockiert wird. Bei der erweiterten Suche protokolliert die DeviceEvents-TabelleBlockaktionen, die sich aus der Kapselung ergeben, und nicht die anfängliche Einschlussaktion selbst:

• Vom Gerät abgeleitete Blockaktionen : Diese Ereignisse deuten auf Aktivitäten (z. B. Netzwerkkommunikation) hin, die blockiert wurde, weil das Gerät enthalten war.

  DeviceEvents
  | where ActionType contains "ContainedDevice"
  

• Vom Benutzer abgeleitete Blockaktionen : Diese Ereignisse deuten auf Aktivitäten (z. B. Anmelde- oder Ressourcenzugriffsversuche) hin, die blockiert wurden, weil der Benutzer enthalten war.

  DeviceEvents
  | where ActionType contains "ContainedUser"
  

Suchen nach Aktionen zum Deaktivieren von Benutzerkonten

Die Angriffsunterbrechung nutzt die Funktion für Korrekturmaßnahmen von Microsoft Defender for Identity, um Konten zu deaktivieren. Standardmäßig verwendet Microsoft Defender for Identity das LocalSystem-Konto des Domänencontrollers für alle Wartungsaktionen.

Die folgende Abfrage sucht nach Ereignissen, bei denen ein Domänencontroller Benutzerkonten deaktiviert hat. Diese Abfrage gibt auch Benutzerkonten zurück, die durch die automatische Unterbrechung von Angriffen deaktiviert wurden, indem die Kontodeaktivierung in Microsoft Defender manuell ausgelöst wurde:

let AllDomainControllers =
DeviceNetworkEvents
| where TimeGenerated > ago(7d)
| where LocalPort == 88
| where LocalIPType == "FourToSixMapping"
| extend DCDevicename = tostring(split(DeviceName,".")[0])
| distinct DCDevicename;
IdentityDirectoryEvents
| where TimeGenerated > ago(90d)
| where ActionType == "Account disabled"
| where Application == "Active Directory"
| extend ACTOR_DEVICE = tolower(tostring(AdditionalFields.["ACTOR.DEVICE"]))
| where isnotempty( ACTOR_DEVICE)
| where ACTOR_DEVICE in (AllDomainControllers)
| project TimeGenerated, TargetAccountUpn, ACTOR_DEVICE

Die vorherige Abfrage wurde aus einer Microsoft Defender for Identity - Attack Disruption-Abfrage angepasst.

Fragen Sie die Tabelle DisruptionAndResponseEvents ab

Verwenden Sie die Tabelle DisruptionAndResponseEvents in Erweiterte Suche für einen umfassenderen, organisationsweiten Überblick über alle Aktionen zur Unterbrechung von Angriffen. Diese Tabelle bietet eine einheitliche Ansicht der gleichen automatischen Aktionen, die auf der Registerkarte Aktivitäten angezeigt werden, aber für Ihre gesamte organization anstelle eines einzelnen Incidents.

DisruptionAndResponseEvents
| where Timestamp > ago(30d)
| project Timestamp, ActionType, AttackDisruptionCategory, DeviceName, AccountUpn, RemoteIP
| order by Timestamp desc

Wenn Sie die Abfrage auf einen bestimmten Incident festlegen möchten, fügen Sie einen Filter für die Incident-ID hinzu:

DisruptionAndResponseEvents
| where Timestamp > ago(30d)
| where IncidentId == <incident-id>
| project Timestamp, ActionType, AttackDisruptionCategory, DeviceName, AccountUpn
| order by Timestamp desc

Weitere Informationen zum DisruptionAndResponseEvents-Tabellenschema finden Sie unter DisruptionAndResponseEvents-Tabelle.

Verwandte Inhalte

• Ausschließen von Ressourcen aus automatisierten Antwortaktionen
• Predictive Shielding in Microsoft Defender
• Verwalten von Vorhersageschutz in Microsoft Defender
• DisruptionAndResponseEvents-Tabelle
• Abrufen von E-Mail-Benachrichtigungen für Antwortaktionen