Agent für Angriffsuntersuchungen

Gilt für:: Project Perception

Important

Einige Informationen in diesem Artikel beziehen sich auf ein vorab veröffentlichtes Produkt, das vor der kommerziellen Veröffentlichung möglicherweise erheblich geändert wird. Microsoft übernimmt keine Gewährleistungen, ausgedrückt oder impliziert, in Bezug auf die hier bereitgestellten Informationen. Project Perception befindet sich derzeit in der eingeschränkten öffentlichen Vorschau. „Limited Public Preview Program“ bedeutet, dass Perception vor der breiteren öffentlichen Verfügbarkeit während eines festgelegten Vorschauzeitraums nur einem kleinen, ausschließlich auf Einladung zugänglichen Kundenkreis zur Verfügung steht.

Der Angriffsuntersuchungs-Agent ist ein autonomer Prüfer der Ebene 2 für Sicherheitsteams. Ab einer einzelnen Warnung oder einem einzelnen Vorfall korreliert der Agent Signale in Microsoft Defender, um die Angriffsgeschichte, den Umfang und die Auswirkungen zu rekonstruieren.

Sie können eine Untersuchung mit oder ohne vorherige Triage von einem Analysten oder dem Triage Agent beginnen. In diesem Artikel werden die Funktionen und Voraussetzungen des Agents beschrieben. Außerdem wird erläutert, wie der Agent eingerichtet, eine Sitzung ausgeführt und überwacht und die Ergebnisse überprüft werden.

Wichtige Funktionen

Der Angriffsuntersuchungs-Agent führt eine mehrstufige, KI-koordinierte Untersuchung aus, die:

Rekonstruiert die vollständige Angriffsgeschichte: Erläutert, wer angegriffen hat, wie sie Zugriff erhalten, welche Ressourcen sie betroffen haben, sowie den Umfang und die Auswirkungen des Angriffs. Der Agent geht über einzelne Warnungen hinaus.
Bietet klare, umsetzbare Antworten: Erläutert den Angriffsbereich, den anfänglichen Zugriff, die Entwicklung, die technische Auswirkung, den Untersuchungsstatus und die Klassifizierung.
Untersucht eine breite Palette von Angriffen: Untersucht Angriffe mit Benutzern, Geräten, Cloud-Apps, Containern und anderen Entitäten, ohne auf ein vordefiniertes Szenario zu vertrauen.
Unterstützt interaktive Untersuchung: Ermöglicht Analysten, während der gesamten Untersuchung mit dem Agent zu chatten, um Fragen zu stellen oder eine tiefere Analyse anzufordern.
Passt sich an Ihre Umgebung an: Verwendet mehrere Datenquellen und folgt den Richtlinien und Praktiken Ihrer Organisation.

Voraussetzungen

Erforderliche Lizenzen:

Um den Angriffsuntersuchungs-Agent zu verwenden, benötigt Ihre Organisation Folgendes:

Microsoft 365 E5
Microsoft Defender XDR

Ihre Organisation muss außerdem für den Microsoft Defender-Data Lake und die einheitliche Sicherheitsoberfläche aufgenommen worden sein.

Für eine umfassendere Untersuchungsabdeckung hängen die empfohlenen Produkte vom Angriffstyp ab:

Cloud- und Containerangriffe:
- Microsoft Defender for Cloud
- Microsoft Defender für Container
Identitätsangriffe:
- Microsoft Entra ID P2
- Microsoft Defender for Identity
- Microsoft Defender für Cloud-Apps

Empfohlene rollenbasierte Zugriffssteuerung

Verwenden Sie Microsoft Defender einheitliche rollenbasierte Zugriffssteuerung (RBAC). Diese Konfiguration wird für die Untersuchungsqualität und -abdeckung empfohlen.

Zugriff auf Ressourcen mit begrenztem Geltungsbereich

Wenn Ihre Organisation Defender für Endpunktgerätegruppen verwendet, fügen Sie die Agentidentität allen Gerätegruppen hinzu, die sie benötigen, bevor Sie eine Sitzung ausführen. Das Agent-Setup übernimmt dies nicht für Sie, und Vorfälle mit Geräten in einer nicht zugewiesenen Gruppe schlagen fehl oder liefern unvollständige Erkenntnisse.

Weitere Bereichsdefinitionen finden Sie unter Einrichten eines Agent.

Empfohlene Konfiguration für Phishinguntersuchungen

Konfigurieren Sie die folgenden Einstellungen, um die beste Abdeckung und Untersuchungsqualität bei von Benutzern gemeldeten Phishing-Untersuchungen zu gewährleisten:

Microsoft Defender for Office 365: Konfigurieren Sie die folgenden vom Benutzer gemeldeten Einstellungen:
- Wählen Sie Gemeldete Nachrichten in Outlook überwachen aus.
- Konfigurieren Sie vom Benutzer gemeldete Nachrichten so, dass sie an das Berichterstellungspostfach, an Microsoft oder beides gesendet werden. Wenn Sie ein Nicht-Microsoft Berichterstellungstool verwenden, konfigurieren Sie das Tool so, dass gemeldete Nachrichten zu Microsoft und zum Berichterstellungspostfach oder nur zum Berichterstellungspostfach wechseln.
Microsoft Defender:
- Aktivieren Sie die Warnrichtlinie für vom Benutzer als Schadsoftware oder Phishing gemeldete E-Mails. Weitere Informationen finden Sie unter Warnungsrichtlinien in Microsoft Defender.
- Deaktivieren Sie die integrierte Warnungsoptimierungsregel Automatisches Auflösen – Vom Benutzer als Schadsoftware oder Phishing gemeldete E-Mail sowie alle benutzerdefinierten Optimierungsregeln, die diese Warnung auflösen. Weitere Informationen finden Sie unter Optimieren einer Warnung.

Einrichten des Agents

Führen Sie zum Einrichten dieses Agents die Schritte unter Einrichten eines Agents aus.

Starten einer Sitzung

Informationen zum Starten einer Sitzung finden Sie unter "Starten einer neuen Sitzung".

Der Angriffsuntersuchungs-Agent verwendet das folgende Playbook:

Leitfaden	Erforderliche Eingabe
Untersuchen von Angriffen	Die ID einer einzelnen Warnung oder eines Vorfalls aus dem Microsoft Defender-Portal.

Anmerkung

Sie können diesen Agent auch direkt über eine Benachrichtigungs- oder Vorfalldetailseite im Defender-Portal starten. Weitere Informationen finden Sie unter Ausführen von Playbooks aus Vorfällen und Bedrohungserkennungen.

Überwachen des Sitzungsfortschritts

Während die Sitzung läuft, zeigt der Detailbereich der Sitzung Folgendes an:

Zusammenfassung: Aktueller Sitzungsstatus und abgeschlossene Arbeit.
Fortschritt: Abgeschlossene Untersuchungsschritte.
Agents: Der Agent, der der Sitzung zugewiesen ist.
Eingaben: Die von Ihnen bereitgestellte Warnungs- oder Vorfall-ID.
Artefakte: Ausgabedateien, die während der Untersuchung generiert wurden.

Statuswerte der Sitzung

Status	Description
Wird ausgeführt	Der Agent arbeitet aktiv.
Completed	Die Sitzung wurde erfolgreich beendet, und alle Ausgaben sind verfügbar.
Abgeschlossen mit Fehlern	Die Sitzung wurde mit einem oder mehreren Problemen beendet. Weitere Informationen erhalten Sie in den Sitzungsdetails.

Überprüfen Sie die Ausgabe

Der Angriffsuntersuchungs-Agent erstellt einen Untersuchungsbericht mit den folgenden Abschnitten:

Kurzfassung: Eine Übersicht über den Angriff für Stakeholder und Eskalationszwecke.
Einstufung des Vorfalls: Klassifizierung als True Positive, False Positive oder unbedenklich mit transparenter Begründung.
Angriffszeitachse: Eine chronologische Abfolge von wichtigen Ereignissen, die den Fortschritt des Angriffs vom anfänglichen Zugriff über die Aktivität nach der Kompromittierung zeigen.
Betroffene Entitäten: Identifizierte Benutzer, Geräte und Anwendungen, die von dem Angriff betroffen sind.
MITRE ATT&CK-Techniken beobachtet: Zuordnung des beobachteten Angreiferverhaltens zu MITRE ATT&CK-Techniken mit Nachweisen für jede Technik.
Kompromittierungsindikatoren: Extrahierte und angereicherte Indikatoren für Kompromittierung (IOCs), einschließlich IP-Adressen, Domänen, Dateihashes, URLs und E-Mail-Adressen mit Bedrohungserkennungskontext.
Empfohlene nächste Schritte: Priorisierte Aktionen für Eindämmung, Wartung und Prävention.

Der Bericht wird als Markdown-Datei im Abschnitt "Artefakte" der Sitzungsdetails angezeigt. Sie können den Bericht herunterladen, um sie zu Vorfalldokumentationen oder Compliance-Datensätzen hinzuzufügen.