Bedrohungsintelligenz in Microsoft Defender abfragen

  • Gilt für:: Microsoft Defender XDR

Verwenden Sie die Tabelle ThreatIntelEntities in der erweiterten Suche, um die integrierten Bedrohungsdaten von Microsoft abzufragen, einschließlich bekannter Indikatoren für eine Kompromittierung (IOCs), Bedrohungsakteuren und bösartiger Infrastruktur. Korrelieren Sie diese Intelligenz mit Aktivitäten in Ihrer Umgebung, um Bedrohungsjagd, individuelle Erkennungen und Reaktionen zu unterstützen.

Bedrohungsinformationen in der fortgeschrittenen Jagd abfragen

Integrierte Bedrohungsinformationen sind in der ThreatIntelEntities Tabelle verfügbar.

  1. Melden Sie sich beim Microsoft Defender-Portal an.

  2. Wählen Sie Fortgeschrittene Jagd.

  3. Wähle Schema.

  4. Erweitern Sie die Gruppe für Bedrohungsaufklärung .

  5. Wählen Sie die Tabelle „ThreatIntelEntities“ aus.

Tabellenspalten der ThreatIntelEntities

Die Tabelle ThreatIntelEntities enthält folgende Spalten:

Column Type Description
TenantId string Die Log Analytics-Arbeitsbereichs-ID.
Id string Ein Wert, der das Indikator-STIX-Objekt eindeutig identifiziert.
SourceSystem string Das Quellsystem, das die Entität erfasst hat.
LastUpdateMethod string Die Komponente, die die Entität zuletzt aktualisiert hat.
AdditionalFields dynamic Typspezifische Felder, die mit der Entität verknüpft sind.
Data dynamic Alle Objekteigenschaften, formatiert gemäß der STIX 2.1-Spezifikation.
IsActive bool Gibt an, ob der Indikator aktiv und für Nachweise gültig ist.
Revoked bool Gibt an, ob die Anzeige widerrufen wurde.
ValidUntil datetime Der Zeitpunkt, zu dem der Indikator für die von ihm repräsentierten Verhaltensweisen nicht mehr gültig ist.
ValidFrom datetime Der Zeitpunkt, ab dem der Indikator für die Verhaltensweisen, die er repräsentiert, als gültig gilt.
Created datetime Das Datum und die Uhrzeit der Erstellung des Indikators.
Modified datetime Das Datum und die Uhrzeit, an denen der Indikator zuletzt geändert wurde.
Tags string Tags, die mit dem Indikator verbunden sind.
Confidence int Das Vertrauen des Ersteller in die Richtigkeit der Daten. Der Wert muss von 0 bis 100 liegen.
Pattern string Das Erkennungsmuster für den Indikator, das als STIX-Muster ausgedrückt werden kann.
ObservableKey string Die gesamte linke Seite eines Gleichheitsvergleichs im Muster.
ObservableValue string Die gesamte rechte Seite eines Gleichheitsvergleichs im Muster.
Type string Der Name der Tabelle.

Erweiterung der Bedrohungsaufklärungsabdeckung

Verwenden Sie Microsoft Sentinel, um externe Bedrohungsinformationen mit Ihren Microsoft Defender-Daten zu integrieren.

Weitere Informationen finden Sie unter Threat Intelligence in Microsoft Sentinel.

  • Zuletzt aktualisiert um