Beheben von Problemen mit dem Microsoft Defender XDR-Dienst

Probleme können auftreten, wenn Sie den Microsoft Defender XDR-Dienst verwenden. In den folgenden Abschnitten finden Sie Lösungen und Problemumgehungen. Bevor Sie beginnen, überprüfen Sie, ob Ihr Umfeld die Voraussetzungen erfüllt. Wenn Sie auf ein Problem stoßen, das hier nicht behoben wird, wenden Sie sich an den Microsoft-Support.

Microsoft Defender Inhalt wird nicht angezeigt

Wenn im Navigationsbereich Ihres Portals keine Funktionen wie Incidents, Aktionscenter oder Hunting angezeigt werden, überprüfen Sie, ob Ihr Mandant über die entsprechenden Lizenzen verfügt.

Weitere Informationen finden Sie unter Microsoft Defender XDR-Voraussetzungen.

Microsoft Defender for Identity-Warnmeldungen werden in den Microsoft Defender Incidents nicht angezeigt

Wenn Sie Microsoft Defender for Identity bereitgestellt haben, dessen Warnungen jedoch nicht in Microsoft Defender-Incidents angezeigt werden, überprüfen Sie, ob die Integration zwischen Defender for Cloud Apps und Defender for Identity aktiviert ist.

Weitere Informationen finden Sie unter Microsoft Defender for Identity Integration.

Meine legitime Datei/URL wird als böswillig erkannt

Ein falsch positives Ergebnis ist eine Datei oder URL, die als bösartig erkannt wird, aber keine Bedrohung darstellt. Sie können Indikatoren erstellen und Ausschlüsse definieren, um die Blockierung zu aufheben und bestimmte Dateien/URLs zuzulassen. Siehe Umgang mit falsch positiven/negativen Ergebnissen in Defender for Endpoint.

Meine ServiceNow Tickets sind im Microsoft Defender-Portal nicht mehr verfügbar

Der ServiceNow-Connector befindet sich nicht mehr im Microsoft Defender-Portal. Um Microsoft Defender XDR mit ServiceNow zu verbinden, verwenden Sie stattdessen das Microsoft Graph-Sicherheits-API. Ausführliche Informationen finden Sie unter Sicherheitslösungsintegrationen mithilfe des Microsoft Graph-Sicherheits-API.

Der ServiceNow-Connector wurde im Portal als Vorschau angeboten. Damit können Sie ServiceNow-Vorfälle aus Microsoft Defender XDR Vorfällen erstellen.

Ich kann keine Dateien übermitteln

In einigen Fällen kann ein Administratorblock zu Übermittlungsproblemen führen, wenn Sie versuchen, eine potenziell infizierte Datei zur Analyse an die Microsoft Security Intelligence-Website zu übermitteln. Der folgende Prozess zeigt, wie Sie dieses Problem beheben.

Ihre Einstellungen überprüfen

Öffnen Sie Ihre Benutzereinwilligungseinstellungen für die Azure Enterprise-Anwendung. Überprüfen Sie unter "Zustimmung" und "Berechtigungen>", welche Option unter "Benutzergenehmigung für Anwendungen" ausgewählt ist.

• Wenn Benutzerzustimmung nicht zulassen ausgewählt ist, muss ein Microsoft Entra-Administrator für den Kundenmandanten die Zustimmung im Namen der Organisation erteilen. Abhängig von der Konfiguration mit Microsoft Entra ID können Benutzer eine Anforderung möglicherweise direkt über dasselbe Dialogfeld senden. Wenn es keine Möglichkeit gibt, um die Zustimmung des Administrators zu bitten, müssen Nutzer beantragen, dass diese Berechtigungen ihrem Microsoft Entra-Administrator hinzugefügt werden. Weitere Informationen finden Sie unter Implementiere erforderliche Berechtigungen für Unternehmensanwendungen.

• Wenn Die Zustimmung des Benutzers für Apps von verifizierten Herausgebern für ausgewählte Berechtigungen zulassen oder Microsoft Ihre Zustimmungseinstellungen verwalten lassen ausgewählt ist, überprüfen Sie, ob die Windows Defender Security Intelligence Enterprise-Anwendung für die Anmeldung aktiviert ist. Diese Einstellung befindet sich auf der Seite " App-Eigenschaften" und nicht unter den Einstellungen für die Zustimmung des Benutzers.

  • Um zu überprüfen: Wechseln Sie im Azure-Portal zu Microsoft Entra ID>Manage>Enterprise-Anwendungen>alle Anwendungen, suchen und öffnen Sie Windows Defender Security Intelligence. Öffnen Sie unter Verwalten die Eigenschaften. Vergewissern Sie sich, dass für Benutzer die Anmeldung aktiviert ist? auf "Ja" festgelegt ist. Wenn sie auf "Nein" festgelegt ist, fordern Sie an, dass ein Microsoft Entra Administrator sie aktiviert hat.

Implementieren der erforderlichen Unternehmensanwendungsberechtigungen

Für diesen Prozess wird im Mandanten ein Anwendungsadministrator oder eine höhere Rolle benötigt.

1. Melden Sie sich im Azure-Portal an.

2. Wechseln Sie zu Microsoft Entra ID>Manage>Enterprise-Anwendungen>Alle Anwendungen.

3. Suchen und wählen Sie Windows Defender Security Intelligence aus.

4. Wechseln Sie im Navigationsmenü zu ">".

5. Wählen Sie "Administratorzustimmung für <Ihre Organisation> erteilen" aus, und bestätigen Sie sie. Wenn Sie dazu in der Lage sind, überprüfen Sie die api-Berechtigungen, die für diese Anwendung erforderlich sind, wie in der folgenden Abbildung gezeigt. Erteilen Sie die Zustimmung für den Mandanten.

   

6. Wenn der Administrator beim Versuch, manuell Einwilligung zu erteilen, einen Fehler erhält, versuchen Sie, entweder die Berechtigungen der Unternehmensanwendung per Benutzeranforderung zu genehmigen oder die Zustimmung des Administrators zu erteilen, indem Sie die Anwendung als Administrator authentifizieren, als mögliche Workarounds.

Option 1: Genehmigen von Unternehmensanwendungsberechtigungen per Benutzeranforderung

Microsoft Entra-Administratoren müssen Benutzern erlauben, die Administratorzustimmung für Apps anzufordern.

1. Melden Sie sich im Azure-Portal an.

2. Wechseln Sie zu Microsoft Entra ID>Unternehmensanwendungen>Sicherheit>Zustimmung und Berechtigungen>Administratorzustimmungseinstellungen.

3. Überprüfen Sie unter Administratorzustimmungsanforderungen, ob Benutzer die Administratorzustimmung für Apps anfordern können, denen sie nicht zustimmen können , auf "Ja" festgelegt ist.

Wenn Sie zu Unternehmensanwendungen>Benutzereinstellungen umgeleitet werden und eine Meldung sehen, dass die Einstellungen verschoben wurden, öffnen Sie Einwilligungen und Berechtigungen und wählen Sie dann Administratorzustimmungseinstellungen aus.

Weitere Informationen finden Sie unter Konfigurieren des Workflows für die Administratoreinwilligung.

Nachdem diese Einstellung überprüft wurde, können Benutzer die Anmeldung des Unternehmenskunden bei Microsoft Security Intelligence durchlaufen und eine Anforderung zur Administratoreinwilligung einschließlich Begründung übermitteln.

Administratoren können die Anwendungsberechtigungen Azure Anforderungen zur Administratoreinwilligung überprüfen und genehmigen.

Nach der Einwilligung können alle Benutzer im Mandanten die Anwendung verwenden.

Option 2: Administratorzustimmung erteilen, indem Sie sich als Administrator für die Anwendung authentifizieren

Dieser Prozess erfordert, dass ein globaler Administrator den Anmeldeflow für Unternehmenskunden bei Microsoft Security Intelligence durchläuft.

Anschließend überprüfen Administratoren die Berechtigungen und stellen sicher, dass sie Zustimmung im Namen Ihrer Organisation und dann Akzeptieren auswählen.

Alle Benutzer im Mandanten können diese Anwendung jetzt verwenden.

Option 3: App-Berechtigungen löschen und wieder hinzufügen

Wenn weder Option 1: Genehmigungen für Unternehmensanwendungen per Benutzeranforderung genehmigen , noch Option 2: Admin-Zustimmung erteilen durch Authentifizierung der Anwendung als Administrator das Problem löst, versuchen Sie die folgenden Schritte (als Admin):

1. Entfernen Sie vorherige Konfigurationen für die Anwendung. Gehe zur Seite Unternehmensanwendungen im Azure-Portal.

2. Suchen und wählen Sie Windows Defender Security Intelligence aus.

3. Wechseln Sie im Navigationsmenü zu "Eigenschaften>.

4. Wählen Sie "Löschen" aus.

   

5. Erfassung TenantID von der Seite Microsoft Entra ID Properties.

6. Ersetzen Sie {tenant-id} durch den spezifischen Mandanten, der dieser Anwendung in der nachstehenden URL die Zustimmung erteilen muss. Kopieren Sie die folgende URL in den Browser: https://login.microsoftonline.com/{tenant-id}/v2.0/adminconsent?client_id=f0cf43e5-8a9b-451c-b2d5-7285c785684d&state=12345&redirect_uri=https%3a%2f%2fwww.microsoft.com%2fwdsi%2ffilesubmission&scope=openid+profile+email+offline_access

   Die URL enthält bereits die erforderlichen client_id, state, redirect_uri, und scope Parameter.

   

7. Überprüfen Sie die für die Anwendung erforderlichen Berechtigungen, und wählen Sie dann Akzeptieren aus.

8. Vergewissern Sie sich, dass die Berechtigungen im Azure-Portal angewendet werden.

   

9. Melden Sie sich bei Microsoft Security Intelligence als Unternehmensbenutzer mit einem Nicht-Administratorkonto an, um zu überprüfen, ob Sie Zugriff haben.

Wenn die Warnung nach der Ausführung dieser Schritte zur Problembehandlung nicht behoben wird, wenden Sie sich an den Microsoft-Support.