Prädiktive Schutzfunktion in Microsoft Defender (Vorschau)

Predictive Shielding (Vorschau) ist eine proaktive Verteidigungsstrategie, die entwickelt wurde, um Bedrohungen im Rahmen eines laufenden Angriffs zu antizipieren und zu mindern. Prädiktive Abschirmung erweitert den autonomen Schutz-Stack von Microsoft Defender und verbessert die Funktionen zur automatischen Unterbrechung von Angriffen durch proaktive Maßnahmen.

Dieser Artikel bietet einen Überblick über die prädiktive Abschirmung, damit Sie ihre Möglichkeiten verstehen und erfahren, wie sie Ihre Sicherheitslage verbessert.

Erfahren Sie, wie predictive shielding funktioniert oder wie Sie predictive shielding in Microsoft Defender verwalten.

Warum prädiktives Abschirmen wichtig ist

Bei einem typischen Angriff reagieren Verteidiger, nachdem schädliche Aktivitäten erkannt wurden – aber Angreifer bewegen sich schnell. Wenn ein kompromittiertes Gerät identifiziert wird, ist möglicherweise bereits eine laterale Bewegung oder Datenexfiltration im Gange. Predictive Shielding verschiebt das Gleichgewicht, indem es während eines Angriffs wirkt, bevor der Angreifer sein nächstes Ziel erreicht.

Wenn predictive shielding relevant wird:

• In Ihrer Umgebung wird ein aktiver Angriff erkannt (z. B. ein kompromittiertes Gerät oder Anmeldeinformationen).
• Defender identifiziert andere Ressourcen, die wahrscheinlich Ziele sind, basierend auf Offenlegungsdaten, Angreiferverhaltensmustern und Organisationstopologie.
• Anstatt darauf zu warten, dass der Angreifer diese Ressourcen erreicht, wendet predictive shielding proaktiv gezielte Einschränkungen an , z. B. das Enthalten gefährdeter Benutzerkonten, das Härten von GPO-Einstellungen oder das Erzwingen von Safeboot, um den Angriffspfad abzuschneiden.

Dies bedeutet, dass Sicherheitsteams kritische Reaktionszeiten erhalten. Anstatt jede potenziell betroffene Ressource manuell zu isolieren, schränkt Defender die Optionen des Angreifers autonom ein, während Analysten dies untersuchen.

Wie Predictive Shielding auf der automatischen Angriffsunterbrechung aufbaut

Die sich entwickelnde Bedrohungslandschaft führt zu einem Ungleichgewicht: Verteidiger müssen jedes Asset schützen, während Angreifer nur eine Öffnung benötigen. Herkömmliche Schutzmaßnahmen sind reaktiv und reagieren, nachdem schädliche Aktivitäten begonnen haben. Dieser Ansatz hinterlässt Verteidiger, die Angreifer verfolgen, die oft zu schnell oder subtil handeln, um sie in Echtzeit zu erkennen. Während einige Verhaltensweisen von Angreifern direkt blockiert werden müssen, beeinträchtigt statische Verhinderung die Produktivität und erhöht den betrieblichen Mehraufwand.

Um diese Herausforderungen zu bewältigen, verbessert predictive shielding den autonomen Schutzstapel von Defender und erweitert die Angriffsunterbrechung um proaktive Maßnahmen während eines Angriffs, antizipiert Risiken und wendet gezielte Schutzmaßnahmen nur bei Bedarf an.

Dieser proaktive Ansatz reduziert die reaktive Verfolgung, minimiert den Betriebsaufwand, behält die Benutzerfreundlichkeit bei und schützt die Umgebung, bevor Angreifer vorankommen können.

Während Angriffsunterbrechungen kompromittierte Ressourcen identifizieren und enthalten, wird durch predictive shielding ein potenzieller Angriffsverlauf vorhergesehen und anfällige Ressourcen oder Pfade proaktiv eingeschränkt. Während beispielsweise die automatische Angriffsunterbrechung ein kompromittiertes Gerät isoliert, kann predictive shielding den Zugriff auf vertrauliche Daten für gefährdete Geräte proaktiv einschränken.

Da predictive shielding Teil desselben autonomen Schutzstapels ist, gelten die für Angriffsunterbrechungen beschriebenen Vertrauens- und KI-Modellprinzipien auch für predictive Shielding. Weitere Informationen finden Sie unter Wie Defender Vertrauen für automatische Aktionen herstellt und Wie Angriffsunterbrechungen KI verwenden.

Funktionsweise von Predictive Shielding

Predictive Shielding nutzt Predictive Analytics und Echtzeiterkenntnisse, um neu auftretende Risiken dynamisch zu identifizieren und wendet gezielte Schutzmaßnahmen an.

Predictive Shielding integriert Status-, Aktivitäts- und Szenariokontext, um potenzielle Angriffspfade und -ziele zu identifizieren, kritische Ressourcen selektiv zu härten oder Angriffspfade Just-in-Time einzuschränken.

Dieser Ansatz minimiert den betrieblichen Mehraufwand und bietet Sicherheitsteams mehr Zeit, um darauf zu reagieren. Beispielsweise kann predictive shielding den Zugriff auf vertrauliche Daten für Geräte, die als gefährdet eingestuft werden, dynamisch einschränken, wodurch die Notwendigkeit umfassender, umgebungsweiter Einschränkungen reduziert wird.

Predictive Shielding basiert auf zwei Säulen:

• Vorhersage
  • Umfasst die Analyse von Threat Intelligence, dem Verhalten von Angreifern, früheren Vorfällen und der Exposition der Organisation.
  • Defender verwendet diese Vorhersagedaten, um neue Risiken zu identifizieren, den wahrscheinlichen Angriffsverlauf zu verstehen und risiken für nicht gefährdete Ressourcen abzuleiten.
• Die Durchsetzung wendet präventive Schutzkontrollen an, um potenzielle Angriffspfade in Echtzeit zu unterbrechen.

Dieser duale Ansatz stellt sicher, dass der Schutz sowohl präzise als auch rechtzeitig erfolgt.

Vorhersagelogik

Vorhersage ermöglicht Es Organisationen, gefährdete Ressourcen zu identifizieren und maßgeschneiderte Schutzmaßnahmen in Echtzeit anzuwenden. Die Vorhersage konzentriert sich auf neu auftretende Risiken und nicht auf statische Prävention, wodurch betriebliche Reibungsverluste minimiert und sichergestellt wird, dass Sicherheitsmaßnahmen genau bei Bedarf angewendet werden. Wenn beispielsweise ein bestimmtes Angreifertool erkannt wird, kann predictive shielding basierend auf vergangenen Angriffsmustern das nächste wahrscheinliche Ziel ableiten.

Defender verwendet mehrere Erkenntnisebenen, um genaue Vorhersagen zu treffen:

• Threat Intelligence richtet die beobachteten Aktivitäten auf bekannte Angreifertools und -taktiken aus.
• Erkenntnisse aus früheren Vorfällen werden verwendet, um statistische Muster zu erkennen und die wahrscheinlichsten nächsten Schritte zu extrapolieren.
• Gefährdungsdaten der Organisation werden verwendet, um zuzuordnen, wie die Umgebung strukturiert ist – welche Ressourcen und Identitäten verbunden sind, welche Berechtigungen diese Identitäten besitzen, welche Sicherheitsrisiken oder Fehlkonfigurationen vorhanden sind und wie das Risiko auf sie verteilt werden kann.

Zusammen schaffen diese Erkenntnisse ein dynamisches Verständnis der Umgebung und ihrer Risiken.

Graphbasierte Logik

Die graphbasierte Vorhersagelogik überbrückt die Lücke zwischen Systemen vor und nach einer Verletzung und bietet eine einheitliche Ansicht der Aktivitäten von Angreifern in der gesamten Organisationstopologie. Diese einheitliche Ansicht umfasst die Ressourcen, Verbindungen und Sicherheitsrisiken der organization. Graphbasierte Logik kombiniert Liveaktivitätsdaten mit der strukturellen Zuordnung der Umgebung.

Diese Integration ermöglicht Defender die dynamische Anpassung des Schutzes basierend auf den kritischsten Sicherheitsrisiken, wodurch die Priorisierung von Schutzmaßnahmen in Echtzeit ermöglicht und Angreifer gestoppt werden, bevor sie kritische Ressourcen erreichen.

Der Prozess umfasst drei Hauptphasen:

1. Defender überlagert Aktivitäten nach einer Sicherheitsverletzung im Gefährdungsdiagramm der Organisation und erstellt so einen umfassenden Überblick über potenzielle Angriffspfade.
2. Defender identifiziert den Explosionsradius – die zugehörigen Ressourcen, auf die sich die identifizierte Aktivität auswirken kann.
3. Argumentationsmodelle prognostizieren, welche Pfade Angreifer am wahrscheinlichsten einschlagen, und berücksichtigen vergangenes Verhalten, Eigenschaften von Ressourcen und Sicherheitsrisiken in der Umgebung.

Dank dieses dynamischen Verständnisses kann Defender über reaktive Reaktionen hinausgehen und just-in-time-Schutz ermöglichen, der Angreifer stoppt, bevor sie kritische Ressourcen erreichen.

Vorbeugende Abschirmungsaktionen

Predictive Shielding verwendet auf Defender for Endpoint basierende Aktionen. Um diese Aktionen verwenden zu können, benötigen Sie eine Defender for Endpoint-Lizenz. Eine Liste der Aktionen finden Sie unter "Automatisierte Antwortaktionen".

Nächste Schritte

• Verwalten von Vorhersageschutz in Microsoft Defender: Erfahren Sie, wie Sie Vorhersageschutzaktionen verwalten und deren Auswirkungen auf Ihre Umgebung untersuchen.
• Automatische Angriffsunterbrechung in Microsoft Defender: Erfahren Sie, wie die automatische Angriffsunterbrechung funktioniert, um bestätigte schädliche Aktivitäten zu identifizieren und zu neutralisieren.
• Microsoft Defender for Endpoint-Funktionen – Erfahren Sie, wie sich prädiktiver Schutz in den vollständigen Schutz-Stack von Defender for Endpoint einfügt.