Verwende den Intel-Explorer in Microsoft Defender

Der Intel Explorer bietet eine zentrale Erfahrung zur Suche und Untersuchung von Bedrohungsinformationen im Microsoft Defender-Portal. Sie können auch den Intel Explorer verwenden, um Microsoft Sentinel Bedrohungsinformationen zu erstellen und zu verwalten.

Verwenden Sie den Intel Explorer, um:

• Bedrohungsinformationen suchen und filtern.
• Erstellen Sie STIX-Bedrohungsintelligenzobjekte.
• Verwalten Sie Bedrohungsinformationen mit Ingestionsregeln.
• Verwalten Sie Beziehungen zwischen Bedrohungsintelligenzobjekten.
• Tags hinzufügen und Bedrohungsintelligenzobjekte bearbeiten.
• Untersuchen Sie Indikatoren und die zugehörige Infrastruktur.
• Abfrage von Bedrohungsinformationen mit Advanced Hunting.
• Bedrohungsinformationen an unterstützte TAXII-Ziele exportieren.

Voraussetzungen

Bevor Sie beginnen:

• Öffentlich verfügbare Microsoft Threat Intelligence-Daten stehen Microsoft Defender XDR-Kunden ohne zusätzliche Kosten zur Verfügung.
• Um Microsoft Sentinel Threat Intelligence zu erstellen und zu verwalten, benötigen Sie die Berechtigungen eines Microsoft Sentinel Contributor oder einer höheren Rolle.
• Um Bedrohungsinformationen zu importieren oder zu exportieren, installieren Sie die Threat Intelligence-Lösung in Microsoft Sentinel und aktivieren Sie die entsprechenden Connectors. Weitere Informationen finden Sie unter Verwenden von STIX/TAXII zum Importieren und Exportieren von Bedrohungsinformationen in Microsoft Sentinel.

Bedrohungsinformationen suchen und filtern

Verwenden Sie den Intel Explorer, um Bedrohungsinformationen zu suchen und zu filtern, ohne eine Abfrage zu schreiben.

1. Melden Sie sich beim Microsoft Defender-Portal an.

2. Wählen Sie Threat intelligence>Intel explorer.

3. Geben Sie ein Schlüsselwort oder einen Wert in das Suchfeld ein.

4. Wählen Sie einen Bedrohungsintelligenztyp.

   Um die Ergebnisse einzugrenzen, verwenden Sie einen oder mehrere der verfügbaren Filter:

   • Zielgerichtete Branchen, gezielte Geografie oder Quelle: Filtere Ergebnisse nach häufigen Bedrohungsintelligenzmerkmalen.

   • Filter hinzufügen: Filtern Sie nach zusätzlichen verfügbaren Attributen für den ausgewählten Bedrohungsintelligenztyp.

5. Wählen Sie ein Bedrohungsintelligenzobjekt aus, um dessen Daten zu öffnen.

Die verfügbaren Informationen hängen von der Art des Objekts ab, das du auswählst. Zum Beispiel kann eine IP-Adresse Folgendes umfassen:

• Zuverlässigkeit
• Verwandte Artikel zur Bedrohungsintelligenz
• Dienste
• Resolutionen
• Zertifikate

Bedrohungsinformationen erstellen

Verwenden Sie den Intel Explorer, um STIX-Bedrohungsintelligenzobjekte zu erstellen und Beziehungen zwischen ihnen zu definieren.

Erstellen Sie ein STIX-Objekt

1. Melden Sie sich beim Microsoft Defender-Portal an.

2. Wählen Sie Threat intelligence>Intel explorer.

3. Wählen Sie den Reiter Indikatoren .

4. Wählen Sie "Neu" aus.

5. Wählen Sie einen Objekttyp aus.

6. Geben Sie die Objektdetails ein.

   

7. Geben Sie bei Bedarf einen Empfindlichkeitswert oder eine Ampel-Protokollbewertung (TLP) an.

8. Wähle Hinzufügen , um das Objekt zu erstellen.

Um ein weiteres Objekt mit denselben gemeinsamen Metadaten zu erstellen, wählen Sie Hinzufügen und Duplizieren statt Hinzufügen.

Weitere Informationen zu unterstützten STIX-Objekten finden Sie unter Threat Intelligence in Microsoft Sentinel.

Threat-Intelligence-Daten mit Erfassungsregeln verwalten

Verwenden Sie Erfassungsregeln, um eingehende Bedrohungsinformationen auf Grundlage definierter Bedingungen zu ändern. Zum Beispiel kann man Rauschen reduzieren, die Gültigkeit hochwertiger Indikatoren verlängern oder Tags zu eingehenden Objekten hinzufügen.

Um eine Erfassungsregel zu erstellen:

1. Melden Sie sich beim Microsoft Defender-Portal an.

2. Wählen Sie Threat Intelligence>Intel-Explorer aus.

3. Wähle Erfassungsregeln.

4. Geben Sie einen Namen für die Regel ein.

5. Wählen Sie einen Objekttyp aus.

6. Wählen Sie Bedingung hinzufügen aus.

7. Konfigurieren Sie den Zustand.

8. Aktion auswählen.

9. Wählen Sie eine Aktion aus.

10. Wählen Sie die Aktion hinzufügen , wenn zusätzliche Konfiguration erforderlich ist.

11. Konfigurieren Sie die Aktion.

12. Fügen Sie bei Bedarf ein Schlagwort hinzu.

13. Wählen Sie die Regel : Reihenfolge.

14. Aktiviere den Status, wenn du die Regel aktivieren möchtest.

15. Klicken Sie auf Hinzufügen.

Die Regeln reichen von der niedrigsten bis zur höchsten Ordnungszahl. Jede Regel bewertet jedes aufgenommene Objekt.

Weitere Informationen finden Sie unter Regeln zur Erfassung von Bedrohungserkennungen.

Verwalten Sie Beziehungen zwischen Bedrohungsintelligenzobjekten

Nutzen Sie Beziehungen, um Bedrohungsintelligenzobjekte zu verknüpfen und Kontext darüber zu liefern, wie die Objekte assoziiert sind.

Um eine Beziehung hinzuzufügen oder zu bearbeiten:

1. Melden Sie sich beim Microsoft Defender-Portal an.

2. Wählen Sie Threat Intelligence>Intel Explorer aus.

3. Suchen Sie nach und wählen Sie ein Bedrohungsintelligenzobjekt aus.

4. Im Seitenpanel der Entität findest du den Abschnitt Beziehungen.

5. Füge eine neue Beziehung hinzu oder bearbeite eine bestehende Beziehung.

6. Wählen Sie den Beziehungstyp und das zugehörige Bedrohungsintelligenzobjekt aus.

7. Speichere deine Änderungen.

Häufige STIX-Beziehungen sind:

Weitere Informationen finden Sie in der Beziehungsspezifikation STIX 2.1.

Bedrohungsinformationen kennzeichnen

Verwenden Sie Tags, um Bedrohungsintelligenzobjekte zu gruppieren und sie leichter auffindbar zu machen.

Wenn ein Objekt eine Verbindung zu einem anderen Bedrohungsintelligenzobjekt darstellt, wie einem Bedrohungsakteur oder einer Kampagne, sollten Sie eine Beziehung anstelle eines Tags erstellen.

1. Melden Sie sich beim Microsoft Defender-Portal an.

2. Wählen Sie Threat intelligence>Intel explorer aus.

3. Suchen Sie nach den Bedrohungsintelligenzobjekten, die Sie aktualisieren möchten.

4. Wählen Sie ein oder mehrere Objekte desselben Typs aus.

5. Wähle Tags hinzufügen.

6. Geben Sie einen oder mehrere Tags ein.

7. Speichern Sie die Änderungen.

Da Tags frei formbar sind, verwenden Sie konsistente Namenskonventionen in Ihrer gesamten Organisation.

Bedrohungsintelligenz bearbeiten

Du kannst Bedrohungsintelligenzobjekte einzeln bearbeiten.

Für Objekte, die direkt in Microsoft Sentinel erstellt wurden, sind alle unterstützten Felder bearbeitbar. Für Bedrohungsinformationen, die von Partnerquellen wie Bedrohungsinformationen (TIPs) und TAXII-Servern empfangen werden, sind nur spezifische Felder bearbeitbar, darunter:

• Tags
• Ablaufdatum
• Zuverlässigkeit
• Widerrufen

Nur die neueste Version eines Bedrohungsintelligenzobjekts erscheint im Intel Explorer.

Um ein Objekt zu bearbeiten:

1. Melden Sie sich beim Microsoft Defender-Portal an.

2. Wählen Sie Threat intelligence>Intel explorer.

3. Suchen Sie nach dem Bedrohungsintelligenzobjekt.

4. Wählen Sie das Objekt aus.

5. Wählen Sie "Bearbeiten" aus.

6. Aktualisieren Sie die unterstützten Felder.

7. Speichern Sie die Änderungen.

Weitere Informationen darüber, wie Bedrohungsintelligenzobjekte aktualisiert werden, finden Sie unter Bedrohungsintelligenz-Lebenszyklus.

Überprüfen Sie angereicherte Indikatorinformationen

IP-Adressen und Domänenindikatoren können GeoLocation und WhoIs-Daten enthalten, um während einer Untersuchung zusätzlichen Kontext bereitzustellen.

1. Melden Sie sich beim Microsoft Defender-Portal an.

2. Wählen Sie Threat intelligence>Intel explorer.

3. Suchen Sie nach einer IP-Adresse oder einer Domänenanzeige.

4. Wählen Sie den Indikator aus.

5. Überprüfen Sie die verfügbaren GeoLocation- und WhoIs-Informationen.

Untersuchen Sie verwandte Bedrohungsinformationen

Nutzen Sie verwandte Bedrohungsintelligenz, um von einem Artefakt oder Indikator zu zugehörigen Microsoft-Bedrohungsforschungen und anderen Bedrohungsinformationen zu gelangen.

1. Melden Sie sich beim Microsoft Defender-Portal an.

2. Wählen Sie Threat intelligence>Intel explorer.

3. Suche nach einem Artefakt oder Indikator.

4. Wählen Sie das Suchergebnis aus.

5. Überprüfen Sie zugehörige Bedrohungsinformationen.

6. Wählen Sie ein verwandtes Bedrohungsintelligenzobjekt aus.

7. Überprüfen Sie die Objektdetails.

8. Wählen Sie einen verwandten Indikator aus, um die Untersuchung fortzusetzen.

Zum Beispiel können Sie mit einer Schwachstelle beginnen, zugehörige Microsoft-Bedrohungsinformationen prüfen und dann Indikatoren untersuchen, die mit gemeldeten Ausnutzungsaktivitäten zusammenhängen.

Untersuchen Sie die zugehörige Infrastruktur

Nutzen Sie Infrastrukturbeziehungen, um Verbindungen zwischen Artefakten zu identifizieren und eine Untersuchung von einem Anfangsindikator aus zu erweitern.

Infrastruktur-Chaining nutzt Beziehungen zwischen verbundenen Daten, um zusätzliche Infrastruktur zu identifizieren, die mit einem Gegner oder einer Kampagne verbunden ist.

1. Melden Sie sich beim Microsoft Defender-Portal an.

2. Wählen Sie Threat intelligence>Intel explorer aus.

3. Suche nach einer IP-Adresse oder Domain.

4. Wählen Sie das Suchergebnis aus.

5. Überprüfen Sie die verfügbaren Infrastrukturinformationen.

6. Wählen Sie ein verwandtes Artefakt aus.

7. Überprüfen Sie die Erkenntnisse für das ausgewählte Artefakt.

8. Wählen Sie ein weiteres verwandtes Artefakt, um die Untersuchung fortzusetzen.

Je nach Artefakt können Infrastrukturinformationen Folgendes umfassen:

• DNS- und umgekehrte DNS-Daten
• Resolutionen
• WHOIS-Informationen
• Unterdomänen
• Zertifikate
• Dienste
• Spürhunde
• Components
• Cookies

Für einen Rundgang siehe Bedrohungsinformationen sammeln und Infrastruktur-Chaining durchführen.

Export von Bedrohungsinformationen

Sie können Microsoft Sentinel-Bedrohungsinformationen aus dem Intel Explorer auf unterstützte externe Ziele exportieren.

Wenn Sie beispielsweise Bedrohungsinformationen über den Threat Intelligence - TAXII Data Connector einnehmen, können Sie Bedrohungsinformationen zurück auf einen TAXII-Server exportieren, um bidirektionale Informationen zu teilen.

Microsoft Sentinel unterstützt den Export von Bedrohungsinformationen auf TAXII 2.1-basierte Plattformen.

So exportieren Sie die Bedrohungserkennung:

1. Melden Sie sich beim Microsoft Defender-Portal an.

2. Wählen Sie Threat intelligence>Intel explorer.

3. Wählen Sie ein oder mehrere STIX-Objekte aus.

4. Klicken Sie auf Exportieren.

5. Wählen Sie einen Server aus dem Export TI-Dropdown-Menü .

6. Klicken Sie auf Exportieren.

Wenn kein Server verfügbar ist, konfigurieren Sie einen TAXII 2.1-Server für den Export. Weitere Informationen finden Sie unter Aktivieren von Threat Intelligence - TAXII Export-Datenconnector.

Exporthistorie anzeigen

1. Melden Sie sich beim Microsoft Defender-Portal an.

2. Wählen Sie Threat intelligence>Intel explorer.

3. Finden Sie das exportierte Bedrohungsintelligenzobjekt.

4. Wählen Sie in der Spalte Exportedie Exporthistorie anzeigen.

Verwandte Inhalte

• Bedrohungsintelligenz in Microsoft Defender
• Anzeigen der Bedrohungserkennung auf Entitätsseiten
• Bedrohungsinformationen abfragen
• Sammeln Sie Informationen über Schwachstellen
• Sammeln Sie Bedrohungsinformationen und führen Sie Infrastruktur-Chaining durch
• Bedrohungsanalyseberichte in Microsoft Defender
• Nutzen Sie Microsoft Security Copilot für Bedrohungsinformationen
• Übergang zur neuen Bedrohungsintelligenzerfahrung
• Bedrohungsinformationen in Microsoft Sentinel
• Verwenden Sie STIX/TAXII zum Importieren und Exportieren von Bedrohungsinformationen in Microsoft Sentinel