Identität untersuchen

In Microsoft Defender stellt eine Identität eine Person oder Entität in Ihrem organization dar. Benutzer verfügen häufig über mehrere Anbieterkonten, z. B. lokales Active Directory, Microsoft Entra ID, SaaS-Anwendungen und andere IDPs. Defender korreliert diese Konten zu einer einzelnen Identität.

Jede Identität hat ein primäres Konto. Wenn einer Identität mehrere Konten zugeordnet sind, legt Microsoft Defender ein Konto als primäres Konto fest und verwendet es für Profildetails auf Identitätsebene.

Auf der Seite Identität werden Identitätsdetails, beobachtete Aktivitäten, Warnungen und Offenlegungen über verknüpfte Konten hinweg konsolidiert, sodass Sicherheitsteams risiken schnell bewerten, mögliche Gefährdungen ermitteln, den Zugriff der Identität in der gesamten Umgebung verstehen und mit Abhilfemaßnahmen darauf reagieren können. Sie können die Seite Identität öffnen, indem Sie eine Identität aus mehreren Bereichen im Microsoft Defender-Portal auswählen, einschließlich:

• Identitäteninventar
• Benachrichtigungswarteschlange
• Einzelne Warnungsseiten
• Vorfälle oder Geräte
• Ergebnisse der erweiterten Suche
• Aktivitätsprotokoll
• Info-Center

Die Seite „Identität“ ist in einen oberen Bereich und eine Reihe von Registerkarten unterteilt. Der obere Abschnitt zeigt den Identitätskontext an, z. B. die Organisationsinformationen und Tags, und enthält das Menü Aktionen . Verwenden Sie die Registerkarten, um Zusammenfassungsdetails, zugehörige Warnungen und detailliertere Untersuchungsansichten zu überprüfen.

• Organisationsinformationen: Position, Abteilung der Identität und mehr.
• Kontotags: Active Directory-Tags, die der Identität zugeordnet sind

Identitätsaktionen

Verwenden Sie auf der Seite "Übersicht " das Menü "Aktionen ", um Korrekturaktionen für die Identität auszulösen. Aktionen gelten für die Konten, die der Identität zugeordnet sind, und hängen davon ab, welche Connectors aktiviert sind, die lokales Active Directory, Microsoft Entra ID- und Zugriffsverwaltungssysteme (IAM) und SaaS-Apps umfassen. Verfügbare Aktionen können das Deaktivieren oder Aktivieren von Konten, das Widerrufen von Sitzungen, das Erzwingen einer Kennwortänderung und das Markieren des Benutzers als kompromittiert umfassen. Sie können auch die Einstellungen des Kontos anzeigen.

Die vollständige Liste der Wartungsaktionen und der Identitätsanbieter und verbundenen Apps, die sie unterstützen, finden Sie unter "Wartungsaktionen" in Microsoft Defender for Identity.

Registerkarte „Übersicht“

Die Registerkarte Übersicht bietet eine allgemeine Momentaufnahme, die Analysten dabei hilft, Risiken schnell zu bewerten und zu entscheiden, ob eine eingehendere Untersuchung erforderlich ist.

Die Registerkarte "Übersicht" enthält Abschnitte für:

• Entitätsdetails
• Vorfälle und Warnungen
• Zugeordnete interaktive Anmeldegeräte

Entitätsdetails

Im Bereich Entitätsdetails werden wichtige Identitätsinformationen und Untersuchungssignale zusammengefasst, einschließlich:

• Microsoft Entra ID-Attribute und Kontaktinformationen
• Schutz und Benutzer-Bedrohungsanzeigen
• Zeitstempel für das erste und letzte Auftreten
• Anzahl der Geräte, bei der sich die Identität angemeldet hat
• Verknüpfte Benutzerkonten, Geräte und Gruppenmitgliedschaften
• Verwandte Warnungen und Vorfälle, gruppiert nach Schweregrad

Je nach aktivierten Diensten und Features werden weitere Details angezeigt. Zum Beispiel:

• Umgebungen mit Microsoft Defender for Identity können Folgendes sehen:
  • Flags zur Active Directory-Kontosteuerung, z. B. Kennwort läuft niemals ab oder Kontosperrstatus
  • Ein Organigramm, das die Position einer Identität in der Berichtshierarchie zeigt.
• (Vorschau) Umgebungen mit Microsoft Purview Insider Risk Management können den Insider-Risikoschweregrad eines Benutzers sehen und Einblicke in die verdächtigen Aktivitäten eines Benutzers auf der Benutzerseite gewinnen. Wählen Sie den Insider-Risikoschweregrad aus, um die Risikoerkenntnisse über den Benutzer anzuzeigen.
• (Vorschau) Umgebungen mit Microsoft Sentinel User and Entity Behavior Analytics (UEBA) können Folgendes sehen:
  • Die drei häufigsten UEBA-Anomalien des Benutzers der letzten 30 Tage.
  • Links zum Starten vorgefertigter erweiterter Hunting-Abfragen und zum Anzeigen aller anomalen Verhaltensweisen im Zusammenhang mit dem Benutzer auf der Registerkarte „Microsoft Sentinel-Ereignisse“.

Registerkarte „Vorfälle und Warnungen“

Die Registerkarte Vorfälle und Warnungen listet alle Warnungen und Vorfälle auf, die im Zusammenhang mit der Identität innerhalb des unterstützten Aufbewahrungszeitraums stehen. Eine detaillierte Beschreibung des jeweiligen Eintrags finden Sie auf der Seite „Vorfälle“ oder auf der Seite „Warnungen“.

In der Registerkarte „Organisation“ angezeigt

Die Registerkarte In der Organisation beobachtet zeigt, wo und wie die Identität in der gesamten Umgebung auftritt, und hilft Analysten dabei, den Auswirkungsbereich und potenzielle laterale Bewegungen zu verstehen.

Diese Registerkarte kann Folgendes enthalten:

Primäre Konten

Jede Identität kann mehrere verwandte Konten von verschiedenen Identitätsanbietern enthalten. Microsoft Defender identifiziert ein Konto als primäres Konto und verwendet die Profilwerte dieses Kontos für Felder auf Identitätsebene, z. B. Anzeigename und Position.

Microsoft Defender verwendet interne Korrelationslogik, um das primäre Konto zu bestimmen.

In der Kontentabelle wird das Hauptkonto durch das Hauptkonto-Symbol neben dem Anzeigenamen des Kontos identifiziert.

Registerkarte "Risikobewertung"

Auf der Registerkarte Risikobewertung wird die Risikostufe der Identität zusammengefasst, indem die Warnungsaktivität mit Identitätsattributen wie Rollenzuweisungen und Vertraulichkeitsklassifizierung kombiniert wird. Verwenden Sie diese Registerkarte, um die Risikobewertung einer Identität zu verstehen, mitwirkende Faktoren zu identifizieren und die Untersuchung zu priorisieren.

Die Aktion Sichere bestätigen beinhaltet nun das Reset-Risiko sowohl für den Identitätsrisiko-Score als auch für das Microsoft Entra-Risikoniveau. Weitere Informationen finden Sie unter Wartungsaktionen in Microsoft Defender for Identity.

Registerkarte „Zeitskala“

Der Timeline-Tab bietet eine chronologische, identitätszentrierte Ansicht der Aktivitäten und Warnungen, die mit der Identität in Ihrer Umgebung korrelieren: lokales Active Directory, Microsoft Entra ID, IAM und andere Identitätsanbieter, SaaS-Anwendungen, Cloud und Endpunkte. Es aggregiert Daten aus integrierten Microsoft Sicherheitsprodukten wie Microsoft Defender for Identity, Microsoft Defender for Endpoint, Microsoft Defender for Cloud Apps und Microsoft Sentinel.

Die Zeitleiste vereint Anmeldungen, Audit-Ereignisse, Risikosignale, angewandte Kontrollen und Conditional Access-Bewertungen zusammen mit allen Workload-Aktivitäten, sodass Sie Aktivitätssequenzen rekonstruieren und Ereignisse während einer Untersuchung korrelieren können. Da die Aktivität auf Identitätsebene korreliert ist, umfasst die Zeitleiste Ereignisse, bei denen die Identität der Akteur oder das Ziel ist. Sie umfasst jedes mit der Identität verknüpfte Konten, einschließlich manueller und richtlinienbasierter (benutzerdefinierter) korrelierter Konten. Doppelte Ereignisse werden entfernt, sodass dieselbe Aktivität nicht zweimal angezeigt wird; zum Beispiel bevorzugt die Zeitleiste, wenn eine Anmeldung sowohl im Entra ID als auch in den Cloud-App-Daten erscheint, die Timeline die Entra ID-Quelle.

Typen von Aktivitäten, die im Zeitleiste angezeigt werden

Die folgenden Datentypen sind im Zeitleiste verfügbar:

• Die betroffenen Benachrichtigungen eines Nutzers
• Active Directory- und Microsoft Entra ID-Aktivitäten, einschließlich Microsoft Entra-Anmeldungen und Microsoft Graph-Aktivitäts- (Audit-)Ereignissen
• Microsoft Entra ID-Risikosignale und Bewertungsergebnisse des Conditional Access, die in der Reihe dargestellt werden
• Cloud-Apps-Ereignisse
• Geräteanmeldeereignisse
• Änderungen an Verzeichnisdiensten
• Aktivitäten, die mit benutzerdefinierten (manuell oder richtlinienbasierten) korrelierten Konten verbunden sind

Tabellen, die in die Zeitleiste aggregiert wurden

Die Zeitlinie basiert auf mehreren fortgeschrittenen Jagdtabellen und normalisiert sie zu einem einzigen Schema. Die folgenden Tabellen werden verwendet, um die Identitätszeitleiste zu erstellen:

• AlertInfo
• IdentityLogonEvents
• IdentityQueryEvents
• IdentityDirectoryEvents
• CloudAppEvents
• DeviceLogonEvents
• EntraIdSignInEvents
• GraphApiAuditEvents

Zeitlinienschema

Die Zeitleiste normalisiert Ereignisse aus den verschiedenen Quelltabellen zu einem einheitlichen Schema. Einige Spalten werden standardmäßig angezeigt; andere können aus Spalten "Anpassen" hinzugefügt werden. Die folgenden Spalten sind verfügbar:

Ereignis-Details-Fenster

Wählen Sie ein Ereignis in der Zeitleiste aus, um einen Seitenbereich mit den Ereignisdetails zu öffnen. Das Fenster ordnet die Informationen in Tabs. Für Microsoft Entra ID-Anmeldeereignisse enthält der Bereich einen Reiter Conditional Access, der die während der Anmeldung bewerteten Conditional Access-Richtlinien anzeigt, einschließlich des Namens jeder Richtlinie, der Gewährungskontrollen und des Ergebnisses (zum Beispiel Erfolg, Nicht angewandt oder Block). Die Überprüfung dieser Bewertungsergebnisse hilft Analysten zu verstehen, welche Kontrollen während einer Untersuchung angewendet wurden.

Registerkarte "Sicherheitsempfehlungen"

Auf der Registerkarte Sicherheitsempfehlungen werden identitätsbezogene Statusbewertungen angezeigt, die durch Identity Security Posture Management (ISPM) identifiziert wurden. Diese Empfehlungen heben Fehlkonfigurationen oder riskante Einstellungen in den Konten der Identität hervor. Wenn Sie eine Empfehlung auswählen, werden die Details in Microsoft-Sicherheitsbewertung für Anleitungen zur Behebung geöffnet.

Registerkarte "Angriffspfade"

Die Registerkarte Angriffspfade visualisiert potenzielle Pfade für laterale Bewegungen, an denen die Identität beteiligt ist oder die zu ihr führen. Diese Erkenntnisse helfen Sicherheitsteams dabei, ausnutzbare Beziehungen zu verstehen und die identitätsbasierte Angriffsfläche zu reduzieren.

Registerkarte "Richtlinien"

Auf der Registerkarte Richtlinien werden identitätsbezogene Sicherheitsrichtlinien angezeigt, die basierend auf ihren Attributen, Rollen und beobachteten Aktivitäten für die Identität relevant sind.

Diese Ansicht bietet einen Untersuchungskontext, indem sie zeigt, welche Richtlinien für die Identität gelten und wie sie den Zugriff oder die Risikobewertung beeinflussen. Richtlinien werden an anderer Stelle verwaltet. Auf dieser Registerkarte können Analysten die Richtlinienerzwingung mit Anmeldungen, Warnungen und Untersuchungsergebnissen korrelieren.

Registerkarte "Identity Explorer" (Vorschau)

Auf der Registerkarte Identität Explorer wird das Hunting-Diagramm verwendet, um Identitätsangriffspfade und Expositionsszenarien als interaktive Diagramme zu visualisieren. Das Diagramm ist vorab mit der aktuellen Identität versehen, sodass Sie sofort sehen können, wie sich die Identität auf andere Entitäten in Ihrer Umgebung bezieht.

Verwenden Sie den Identity Explorer, um Pfade für laterale Bewegungen, Pfade zur Rechteausweitung und Risiken beim Zugriff auf Anmeldeinformationen im Zusammenhang mit der Identität zu ermitteln.

Suchen mit vordefinierten Szenarien

Wählen Sie Mit vordefinierten Szenarien suchen aus, um identitätsorientierte Abfragen auszuführen. Jedes Szenario ist einer oder mehreren MITRE ATT&CK-Techniken zugeordnet und konzentriert sich auf eine bestimmte Art von Identitätsrisiko.

In der folgenden Tabelle werden die vordefinierten Identitätsszenarien beschrieben, die in Identity Explorer verfügbar sind.

Weitere Informationen zum Hunting graph und seinen Features finden Sie unter Suchen nach Bedrohungen mithilfe des Huntinggraphen.

Registerkarte „Microsoft Sentinel-Ereignisse“

Wenn Microsoft Sentinel mit dem Defender-Portal verbunden ist, wird auf dieser Registerkarte eine Microsoft Sentinel Zeitleiste für die Identität angezeigt. Die Zeitleiste enthält Warnungen, die der Identität zugeordnet sind, einschließlich Warnungen, die auch auf der Registerkarte Vorfälle und Warnungen angezeigt werden, und Warnungen, die von Microsoft Sentinel erstellt wurden. Es zeigt auch mit Lesezeichen versehene Hunts, die auf die Identität verweisen, Aktivitätsereignisse aus externen Datenquellen und ungewöhnliche Verhaltensweisen, die durch Microsoft Sentinel-Anomalie-Regeln identifiziert wurden.

Einblicke

Im Abschnitt Insights werden Entitätserkenntnisse angezeigt, bei denen es sich um Untersuchungsabfragen handelt, die von Microsoft-Sicherheitsexperten definiert wurden, um Analysten dabei zu helfen, Identitäten effizienter zu untersuchen. Diese Erkenntnisse heben automatisch wichtige Sicherheitssignale wie Anmeldeaktivitäten, Gruppenänderungen und anomales Verhalten hervor und präsentieren Ergebnisse als Tabellen und Diagramme. Erkenntnisse basieren auf Microsoft Sentinel und den damit verbundenen Datenquellen, einschließlich Microsoft Entra ID Protokollen und Microsoft Sentinel UEBA, sofern aktiviert.

Arten von Erkenntnissen

Im Folgenden sind einige der gezeigten Erkenntnisse aufgeführt:

• Benutzerpeers basierend auf der Mitgliedschaft in Sicherheitsgruppen
• Aktionen nach Konto
• Aktionen für das Konto
• Vom Benutzer gelöschte Ereignisprotokolle
• Gruppenhinzufügungen
• Anomal hohe Anzahl von Office-Vorgängen
• Ressourcenzugriff
• Ungewöhnlich hohe Anzahl der Azure-Anmeldeergebnisse
• UEBA-Erkenntnisse
• Benutzerzugriffsberechtigungen für Azure Abonnements
• Bedrohungsindikatoren im Zusammenhang mit dem Benutzer
• Watchlist-Erkenntnisse (Vorschau)
• Windows-Anmeldeaktivität

Datenquellen für Erkenntnisse

Erkenntnisse basieren auf den folgenden Datenquellen:

• Syslog (Linux)
• Sicherheitsereignis (Windows)
• AuditLogs (Microsoft Entra ID)
• SigninLogs (Microsoft Entra ID)
• OfficeActivity (Office 365)
• BehaviorAnalytics (Microsoft Sentinel UEBA)
• Heartbeat (Azure Monitor-Agent)
• CommonSecurityLog (Microsoft Sentinel)

Erkenntnisse in Advanced Hunting gewinnen

Um weitere Erkenntnisse zu untersuchen, wählen Sie den Link aus, der die Erkenntnis begleitet. Der Link öffnet die Seite Erweiterte Suche mit der Abfrage, die der Erkenntnis zugrunde liegt, und deren Rohergebnisse. Sie können die Abfrage ändern oder einen Drilldown in die Ergebnisse ausführen, um Ihre Untersuchung zu erweitern.

Nächste Schritte

• Untersuchen von Vorfällen in Microsoft Defender
• Untersuchen von Warnungen in Microsoft Defender