Konfigurieren der automatischen Angriffsunterbrechung in Microsoft Defender XDR

Microsoft Defender XDR umfasst leistungsstarke automatisierte Angriffsunterbrechungsfunktionen, die Ihre Umgebung vor komplexen, schwerwiegenden Angriffen schützen können.

Konfigurieren Sie die Funktionen für automatische Angriffsunterbrechungen in Microsoft Defender XDR. Bevor Sie beginnen, überprüfen Sie die Voraussetzungen für Lizenzen, Berechtigungen und produktspezifische Setup-Anforderungen. Nachdem Sie alles eingerichtet haben, können Sie Einschlussaktionen in Incidents und im Info-Center anzeigen und verwalten. Und bei Bedarf können Sie Änderungen an den Einstellungen für automatische Angriffsunterbrechungen vornehmen.

Wenn Microsoft Defender for Endpoint eingesetzt wird, kann automatische Angriffsstörung unverwaltete Geräte und Benutzer enthalten oder eine kompromittierte Arbeitsstation automatisch vom Netzwerk isolieren. Die automatische Geräteisolation befindet sich derzeit in der Vorschau. Details zu jeder Reaktionsaktion finden Sie unter Automatisierte Reaktionsaktionen.

Voraussetzungen

Im Folgenden finden Sie voraussetzungen für die Konfiguration automatischer Angriffsunterbrechungen in Microsoft Defender:

Anforderung Details
Abonnementanforderungen Eines dieser Abonnements:
  • Microsoft 365 E5 oder A5
  • Microsoft 365 E3 mit dem Microsoft Defender Suite-Add-On
  • Microsoft 365 E3 mit dem Enterprise Mobility + Security E5-Add-On
  • Microsoft 365 A3 mit dem Microsoft 365 A5 Security-Add-On
  • Windows 10 Enterprise E5 oder A5
  • Windows 11 Enterprise E5 oder A5
  • Enterprise Mobility + Security (EMS) E5 oder A5
  • Office 365 E5 oder A5
  • Microsoft Defender for Endpoint (Plan 2)
  • Microsoft Defender for Identity
  • Microsoft Defender für Cloud-Apps
  • Microsoft Defender für Office 365 (Plan 2)
  • Microsoft Defender für Unternehmen

Weitere Informationen finden Sie unter Microsoft Defender XDR Lizenzanforderungen.
Bereitstellungsanforderungen
  • Bereitstellung von Defender Produkten (z. B. Defender für Endpunkt, Defender for Office 365, Defender for Identity und Defender for Cloud Apps)
    • Je breiter die Bereitstellung, desto größer ist die Schutzabdeckung. Wenn beispielsweise ein Microsoft Defender for Cloud Apps-Signal bei einer bestimmten Erkennung verwendet wird, ist dieses Produkt erforderlich, um das relevante spezifische Angriffsszenario zu erkennen.
    • Ebenso muss jedes Defender-Produkt bereitgestellt werden, um seine automatisierten Reaktionsmaßnahmen auszuführen. Zum Beispiel muss Microsoft Defender for Endpoint ein nicht verwaltetes Gerät enthalten oder eine integrierte Arbeitsstation isolieren.
  • Microsoft Defender for Endpoint Device Discovery ist für die automatische Containe-Geräte-Aktion auf Standard-Erkennung gesetzt.
  • Für Aktionen zur Angriffsunterbrechung auf externen Plattformen wie Okta oder AWS (Vorschau): ein Microsoft Sentinel-Analysenarbeitsbereich, der mit dem einheitlichen Sicherheitsoperationsportal verbunden ist und für den der entsprechende Anbieterkonnektor bereitgestellt wurde.
Berechtigungen Zum Konfigurieren automatischer Angriffsunterbrechungsfunktionen muss Ihnen eine der folgenden Rollen entweder in Microsoft Entra ID (https://portal.azure.com) oder im Microsoft 365 Admin Center (https://admin.microsoft.com) zugewiesen sein:
  • Globaler Administrator
  • Sicherheitsadministrator
  • Benutzeradministrator
  • Authentifizierungsadministrator
  • Privilegierter Authentifizierungsadministrator
  • Verzeichnisautoren
  • Helpdesk-Administrator
  • Sicherheitsoperator
Informationen zum Arbeiten mit automatisierten Untersuchungs- und Antwortfunktionen, z. B. durch Überprüfen, Genehmigen oder Ablehnen ausstehender Aktionen, finden Sie unter Erforderliche Berechtigungen für Aufgaben im Info-Center.

Voraussetzungen für Microsoft Defender for Endpoint

Um automatische Angriffsunterbrechungen zu unterstützen, erfordert Microsoft Defender for Endpoint mindestens eine Sense-Clientversion und die richtigen Automatisierungseinstellungen für Ihre Gerätegruppen.

Automatische Geräteisolationsvoraussetzungen und Schutzmaßnahmen (Vorschau)

Die automatische Geräteisolation funktioniert nur auf Endbenutzerarbeitsstationen, die von Microsoft Defender for Endpoint integriert und verwaltet werden. Isolation blockiert den Großteil des Netzwerkverkehrs, während die Verbindung zu den erforderlichen Defender für Endpunkt-Sicherheitsdienste aufrechterhalten bleibt. Die Aktion ist auf die am Vorfall beteiligten Geräte abgegrenzt und wird nach einem definierten Zeitfenster automatisch rückgängig gemacht. Sicherheitskräfte können das Gerät früher freigeben.

Wenn isolierte Geräte Zugriff auf bestimmte Prozesse oder Ziele benötigen, konfigurieren Sie selektive Isolationsausschlüsse. Um zu verhindern, dass automatische Angriffsstörungen ausgewählte Geräte isolieren, konfigurieren Sie automatische Ausschlüsse für Angriffsstörungen.

Mindestversion des Sense-Clients (MDE Client)

Der Sense Agent ist die Sensorkomponente des Microsoft Defender for Endpoint, die auf jedem Gerät ausgeführt wird. Die Mindestversion des Sense Agent, die für die Funktion "Benutzer enthalten " erforderlich ist, ist v10.8470. Sie können die Sense Agent-Version auf einem Gerät identifizieren, indem Sie die folgenden PowerShell-Befehle ausführen.

Um zu überprüfen, ob Microsoft Defender for Endpoint installiert ist und den Installationspfad zu bestimmen, fragen Sie die Registry ab:

Get-ItemProperty -Path 'Registry::HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Advanced Threat Protection\' -Name "InstallLocation"

Alternativ, um die installierte Sensorversion durch das Lesen der MsSense-DLL-Version aus der Registry zu bestätigen, führen Sie folgenden Befehl aus:

Get-ItemProperty -Path 'Registry::HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Advanced Threat Protection\Status' -Name "MsSenseDllVersion"

Automatisierungseinstellung für die Geräte Ihrer Organisation

Überprüfen Sie die Automatisierungseinstellungen für Ihre Gerätegruppenrichtlinien, um festzustellen, ob automatisierte Untersuchungen ausgeführt werden und ob Wartungsaktionen automatisch oder nur nach der Genehmigung ausgeführt werden. Sie müssen ein globaler Administrator oder Sicherheitsadministrator sein, um das folgende Verfahren ausführen zu können:

  1. Wechseln Sie zum Microsoft Defender-Portal, und melden Sie sich an.

  2. WechselnSie zu Systemeinstellungen>>Endpunkte>Gerätegruppen unter Berechtigungen.

  3. Überprüfen Sie ihre Gerätegruppenrichtlinien, und sehen Sie sich die Spalte Wartungsebene an . Vollständig – Bedrohungen automatisch beheben ist die empfohlene Einstellung.

Sie können auch Ihre Gerätegruppen erstellen oder bearbeiten, um die entsprechende Korrekturstufe für jede Gruppe festzulegen. Die Auswahl der Halbautomatisierungsstufe ermöglicht das Auslösen einer automatischen Angriffsunterbrechung, ohne dass eine manuelle Genehmigung erforderlich ist. Um eine Gerätegruppe vom automatisierten Einschluss auszuschließen, können Sie deren Automatisierungsebene auf keine automatisierte Antwort festlegen. Diese Einstellung wird nicht dringend empfohlen und sollte nur für eine begrenzte Anzahl von Geräten ausgeführt werden.

Hinweis

Angriffsunterbrechungen können auf Geräten unabhängig vom Microsoft Defender Antivirus-Betriebszustand eines Geräts auftreten. Der Microsoft Defender Antivirus-Betriebszustand kann aktiv, passiv oder EDR-Blockmodus sein.

Voraussetzungen für Microsoft Defender for Identity

Um automatische Angriffsunterbrechungen zu unterstützen, erfordert Microsoft Defender for Identity die Domänencontrollerüberwachung und ordnungsgemäß konfigurierte Aktionskonten.

Einrichten der Überwachung auf Domänencontrollern

Informationen zum Einrichten der Überwachung auf Domänencontrollern finden Sie unter Konfigurieren von Überwachungsrichtlinien für Windows Ereignisprotokolle. Stellen Sie sicher, dass erforderliche Überwachungsereignisse auf Domänencontrollern konfiguriert sind, auf denen der Defender für den Identitätssensor bereitgestellt wird.

Aktionskonten überprüfen

mit Defender for Identity können Sie Abhilfemaßnahmen für lokales Active Directory Konten ergreifen, wenn eine Identität kompromittiert wird. Um diese Aktionen ausführen zu können, muss Defender for Identity über die erforderlichen Berechtigungen verfügen. Standardmäßig nimmt der Defender for Identity-Sensor die Identität des LocalSystem-Kontos des Domänencontrollers an und führt die Aktionen aus. Da diese standardmäßige Identitätswechselfunktion des LocalSystem-Kontos geändert werden kann, überprüfen Sie, ob Defender for Identity entweder über die erforderlichen Berechtigungen verfügt oder das standardmäßige LocalSystem-Konto verwendet.

Weitere Informationen zu den Aktionskonten finden Sie unter "Konfigurieren Microsoft Defender for Identity Aktionskonten".

Der Defender for Identity-Sensor muss auf dem Domänencontroller bereitgestellt werden, auf dem das Active Directory-Konto deaktiviert werden soll.

Hinweis

Wenn Sie über eine Automatisierung zum Aktivieren oder Blockieren eines Benutzers verfügen, überprüfen Sie, ob die Automatisierung die Unterbrechung beeinträchtigen kann. Wenn beispielsweise eine Automatisierung vorhanden ist, um regelmäßig zu überprüfen und zu erzwingen, dass alle aktiven Mitarbeiter Konten aktiviert haben, könnte dies unbeabsichtigt Konten aktivieren, die durch Angriffsunterbrechungen deaktiviert wurden, während ein Angriff erkannt wird.

Microsoft Defender for Cloud Apps Voraussetzungen

Um automatische Angriffsunterbrechungen zu unterstützen, erfordert Microsoft Defender for Cloud Apps eine ordnungsgemäß konfigurierte Microsoft Office 365-Connector.

Microsoft Office 365-Konnektor

Microsoft Defender for Cloud Apps muss über den Connector mit Microsoft Office 365 verbunden sein. Informationen zum Verbinden von Defender for Cloud Apps finden Sie unter Microsoft 365 mit Microsoft Defender for Cloud Apps verbinden.

Von Bedeutung

Um die vollständige Funktionalität der Funktion sicherzustellen, muss der Microsoft 365 Connector ordnungsgemäß konfiguriert werden. Bei der Konfiguration des Microsoft 365-Connectors in Defender for Cloud Apps müssen alle Kontrollkästchen aktiviert werden, einschließlich der Option, Microsoft Entra ID-Apps zu aktivieren. Wenn Sie nicht alle erforderlichen Optionen auswählen, kann dies zu folgendem Ergebnis führen:

  • Teilweise oder beeinträchtigte Funktionalität
  • Unmöglichkeit, kritische Aktionen auszuführen (z. B. App-Governance oder Unterbrechungsabläufe)
  • Erhöhte Wahrscheinlichkeit von Vorgangsfehlern

Microsoft Defender für Office 365 Voraussetzungen

Um automatische Angriffsunterbrechungen zu unterstützen, erfordert Microsoft Defender for Office 365 Postfächer, die in Exchange Online und bestimmten Postfachüberwachungsprotokollierungsereignissen gehostet werden.

Speicherort der Postfächer

Postfächer müssen in Exchange Online gehostet werden.

Postfachüberwachungsprotokollierung

Überwachen Sie mindestens diese Postfachereignisse: MailItemsAccessed, UpdateInboxRules, MoveToDeletedItems, SoftDelete und HardDelete.

Informationen zur Postfachüberwachung finden Sie unter Verwalten der Postfachüberwachung.

Microsoft Sentinel Voraussetzungen für externe Plattformen (Vorschau)

Ihr Microsoft Sentinel Analysearbeitsbereich muss mit dem einheitlichen Sicherheitsbetriebsportal verbunden sein, um Angriffsunterbrechungsaktionen für Okta und AWS zu ermöglichen.

Nächste Schritte

  • Last updated on