Lernprogramm: Konfigurieren von Richtlinien für die Bedrohungserkennung

Microsoft definiert Bedrohungen mit hohem Schweregrad als Domänen oder URLs, die mit Bedrohungen wie der aktiven Schadsoftwareverteilung, Phishingkampagnen und der C2-Infrastruktur (Command-and-Control) verbunden sind. Microsoft- und nicht Microsoft-Feeds für Bedrohungserkennung identifizieren diese Bedrohungen mit hoher Vertrauenswürdigkeit. Durch die Konfiguration der Bedrohungserkennung können Sie diese bekannten schädlichen Webziele automatisch blockieren.

In diesem Tutorial erfahren Sie, wie:

Wichtige Konzepte

Was ist Bedrohungserkennung?

Bedrohungsinformationen sind zusammengestellte Daten zu bekannten bösartigen Domänen, URLs und IP-Adressen. Diese Liste wird kontinuierlich aktualisiert, da Microsoft Intelligenz aus mehreren Quellen aggregiert, z. B. die Beispiele in der folgenden Tabelle.

Hier sind einige Beispiele für Bedrohungen, die blockiert werden. Die vollständige Liste finden Sie unter "Bedrohungserkennungstypen für globalen Sicheren Zugriff".

• MaliciousUrl: URLs, die Schadsoftware dienen.
• Phishing: Indikatoren, die sich auf eine Phishingkampagne beziehen.
• C2: Befehls- und Steuerungsknoten eines Botnets.
• Schadsoftware: Indikatoren, die eine schädliche Datei oder Dateien beschreiben.
• CryptoMining: Datenverkehr, der Krypto-Mining oder Ressourcenmissbrauch beinhaltet.

Unterschiede zwischen Bedrohungserkennung und Webinhaltsfilterung

• Webinhaltsfilterungsblöcke nach Kategorie (z. B. Glücksspiele oder erwachsene Inhalte).
• Bedrohungserkennung blockiert bekannte schlechte Akteure unabhängig von der Kategorie.
• Eine legitim aussehende Nachrichtenwebsite, die kompromittiert wurde, wird durch Bedrohungserkennung blockiert, nicht durch die Webinhaltsfilterung.
• Wenn die Tls-Überprüfung (Transport Layer Security) nicht aktiviert ist, kann die Bedrohungserkennung nicht vor bösartigen URLs schützen. Die verbleibenden Erkennungstypen werden weiterhin erkannt und blockiert.

Objective

In diesem Lernprogramm erstellen Sie eine Richtlinie zur Bedrohungserkennung, um bekannte schädliche Websites zu blockieren. Konfigurieren Sie optional eine Zulassungsliste für falsch positive Ergebnisse oder unternehmenskritische Websites. Anschließend verknüpfen Sie die Richtlinie mit einem Sicherheitsprofil und überprüfen die Erzwingung von Benutzerrichtlinien.

Beispiel-Anleitungsvideos

Das folgende Video zeigt, wie Sie eine Bedrohungserkennungsrichtlinie konfigurieren.

Das folgende Video zeigt, wie Sie eine Bedrohungserkennungsrichtlinie testen.

Schritt 1: Erstellen einer Bedrohungserkennungsrichtlinie

1. Navigieren Sie im Microsoft Entra Admin Center zu Global Secure Access>Secure>Richtlinien für Bedrohungsinformationen.

2. Wählen Sie Create policy (Richtlinie erstellen) aus.

3. Geben Sie einen Namen und eine Beschreibung für die Richtlinie ein, und wählen Sie dann "Weiter" aus.

4. Standardaktion auf Zulassen beibehalten.

   Hinweis

   Die Standardaktion für die Bedrohungserkennung ist "Zulassen". Wenn datenverkehr nicht mit einer Regel in der Bedrohungserkennungsrichtlinie übereinstimmt (d. h. keine Bedrohung erkannt wird), lässt das Richtlinienmodul den Datenverkehr zu. Ein anderer Richtlinientyp kann den Datenverkehr möglicherweise weiterhin auswerten und blockieren, z. B. webinhaltsfilterung.

5. Wählen Sie "Weiter" aus, und überprüfen Sie Ihre neue Bedrohungserkennungsrichtlinie.

6. Wählen Sie "Erstellen" aus.

Schritt 2: Konfigurieren der Erlaubenliste (Optional)

Wenn Sie Websites kennen, die möglicherweise geschäftskritisch sind oder als falsch-positive gekennzeichnet sind, können Sie Regeln konfigurieren, die diese Websites zulassen.

1. Wählen Sie unter Global Secure Access>Bedrohungsinformationsrichtlinien>, Ihre gewählte Bedrohungsinformationsrichtlinie aus.

2. Wählen Sie "Regeln" aus.

3. Wählen Sie "Regel hinzufügen" aus.

4. Geben Sie einen Namen, eine Beschreibung, eine Priorität und einen Status für die Regel ein.

5. Bearbeiten Sie Ziel-FQDNs, und wählen Sie die Liste der Domänen für Ihre Freigabeliste aus.

   Sie können diese vollqualifizierten Domänennamen (FQDNs) als durch Trennzeichen getrennte Domänen eingeben.

6. Klicken Sie auf Hinzufügen.

Schritt 3: Verknüpfen der Bedrohungserkennungsrichtlinie mit dem Sicherheitsprofil

1. Navigieren Sie zum globalen sicheren Zugriff>Sicher>Sicherheitsprofile.
2. Wählen Sie das Sicherheitsprofil aus, das Sie im LERNPROGRAMM zur TLS-Inspektion erstellt haben.
3. Wechseln Sie zum Bereich "Verknüpfungsrichtlinien ".
4. Wählen Sie "Richtlinie verknüpfen" und dann "Vorhandene Bedrohungserkennungsrichtlinie" aus.
5. Wählen Sie die von Ihnen erstellte Bedrohungserkennungsrichtlinie und dann "Hinzufügen" aus.

Stellen Sie sicher, dass das Sicherheitsprofil einer Microsoft Entra Conditional Access-Richtlinie zugewiesen ist.

Schritt 4: Überprüfung der Durchsetzung von Richtlinien

1. Zum Testen wechseln Sie zu einer der folgenden Websites:

   • entratestthreat.com
   • smartscreentestratings2.net

   Die vorherigen Beispiele sind Testwebsites, um zu überprüfen, ob Sicherheitsrichtlinien funktionieren. Sie sind ungefährlich und sicher zu verwenden.

2. Überprüfen Sie, ob der Zugriff auf die Website blockiert ist. Erweitern Sie weitere Informationen , und überprüfen Sie, ob der Bedrohungstyp "MaliciousUrl" ist.

   

3. Sie können auch die Datenverkehrsprotokolle anzeigen und das Feld "Bedrohungstyp " überprüfen.

Wenn Windows Defender oder SmartScreen Sie blockieren, umgehen Sie die Sperre und greifen Sie auf die Website zu, um die Global Secure Access-Sperrmeldung zu testen. Um diesen Schritt auszuführen, wählen Sie unter "Weitere Informationen" die Option "Weiter zur unsicheren Website" aus (nicht empfohlen). Führen Sie diesen Schritt nur in einer Labor- oder Machbarkeitsumgebung aus, nicht in der Produktion.

Was Sie gelernt haben

In diesem Lernprogramm haben Sie die folgenden Aufgaben ausgeführt:

• Aktivierter automatisierter Bedrohungsschutz: Sie haben gelernt, dass Ihre Organisation jetzt vor Tausenden bekannter bösartiger Websites geschützt ist, ohne die Sperrlisten manuell zu verwalten. Microsoft aktualisiert diese Bedrohungsliste kontinuierlich basierend auf ihren Intelligenzsignalen.
• Das Modell „Standardmäßiges Zulassen“: Sie haben gelernt, dass Threat Intelligence-Richtlinien nur den Datenverkehr blockieren, der zu einer bekannten Bedrohung passt. Andere Richtlinien bewerten den restlichen Datenverkehr, der durch das Netzwerk fließt.
• Konfigurierte Ausnahmeregeln: Sie haben gelernt, wie Sie bestimmte Domänen umgehen, wenn sie aus geschäftlichen Gründen erforderlich sind, obwohl Sie diesen Schritt sparsam ausführen sollten.
• Klassifizierung des beobachteten Bedrohungstyps: Sie haben gelernt, dass auf der Blockseite der spezifische Bedrohungstyp angezeigt wird, wie z. B. Phishing und C2. Diese Informationen helfen Ihnen zu verstehen, warum Datenverkehr blockiert wurde.

Tiefgreifende Verteidigungsstrategie

┌─────────────────────────────────────────────────────────┐
│                 Security layers                         │
├─────────────────────────────────────────────────────────┤
│ Layer 1: Web content filtering                          │
│   • Blocks unwanted categories like gambling or adult.  │
├─────────────────────────────────────────────────────────┤
│ Layer 2: Threat intelligence                            │
│   • Blocks known malicious destinations.                │
├─────────────────────────────────────────────────────────┤
│ Layer 3: Content policies                               │
│   • Prevents data exfiltration via file uploads.        │
├─────────────────────────────────────────────────────────┤
│ Layer 4: Microsoft Defender for Endpoint                │
│   • Is the last line of defense on the endpoint.        │
└─────────────────────────────────────────────────────────┘

Warum mehrere Ebenen?

• Bedrohungserkennung ist reaktiv. Es weiß nur über Bedrohungen, die entdeckt wurden.
• Neue Schadsoftware- und Phishing-Websites werden ständig erstellt.
• Jede Ebene fängt Bedrohungen auf, die die anderen möglicherweise verpassen.

Nächster Schritt