Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Important
Einige Informationen in diesem Artikel beziehen sich auf ein vorab veröffentlichtes Produkt, das vor der kommerziellen Veröffentlichung möglicherweise erheblich geändert wird. Microsoft übernimmt keine Gewährleistungen, ausgedrückt oder impliziert, in Bezug auf die hier bereitgestellten Informationen. Project Perception befindet sich derzeit in der eingeschränkten öffentlichen Vorschau. „Limited Public Preview Program“ bedeutet, dass Perception vor der breiteren öffentlichen Verfügbarkeit während eines festgelegten Vorschauzeitraums nur einem kleinen, ausschließlich auf Einladung zugänglichen Kundenkreis zur Verfügung steht.
Erkennungslücken stellen eine dauerhafte Herausforderung für Sicherheitsbetriebsteams. Das Erstellen effektiver benutzerdefinierter Erkennungen erfordert Analysten, die Verhaltensweisen von Angreifern, verfügbare Datenschemas und Abfragelogik zu verstehen, bevor sie Regeln erstellen können, die in ihrer Umgebung nützlich sind.
Der Erkennungserstellungs-Agent hilft Analysten dabei, benutzerdefinierte Erkennungsempfehlungen aus der Bedrohungserkennung zu generieren und die Erstellung benutzerdefinierter Erkennungsregeln zu beschleunigen. Der Detection Authoring Agent ist Teil des Workflows für proaktiven Schutz. Der proaktive Schutz-Workflow ist der End-to-End-Prozess, der mit einem Threat-Intelligence-Artikel (TI) beginnt und mehrere Agenten nutzt, um Bedrohungsinformationen in umsetzbare Erkennungen umzuwandeln. Der Threat Intelligence-Agent analysiert den TI-Artikel und extrahiert Informationen zu Angreiferverhalten und -techniken. Der Erkennungserstellungs-Agent verwendet diese Analyse, um benutzerdefinierte Erkennungsempfehlungen zu generieren, die Sicherheitsteams helfen, ähnliche Aktivitäten in ihrer Umgebung zu identifizieren.
Der Agent stellt einen Erkennungsbericht bereit, der Folgendes umfasst:
- Vorgeschlagene Erkennungen mit KQL-Abfragelogik und Erklärungen des Abfrageansatzes, ausgewählter Tabellen und Schemas sowie Häufigkeits- und Lookbackkonfigurationen sowie vollständige Erkennungs- und Warnungserweiterung, einschließlich Titel, Beschreibung, Schweregrad, MITRE-Taktiken und -Techniken, Entitätszuordnungskonfiguration und empfohlene Aktionen, um Analysten bei der Reaktion auf die Warnung zu helfen, wenn sie ausgelöst wird.
- Zusätzliche Informationen zu jeder vorgeschlagenen Erkennung, einschließlich der Strategie, die zu ihrer Generierung verwendet wurde, der Schätzung des Warnungsvolumens, bekannter harmloser Quellen, Empfehlungen zur Parameteroptimierung sowie potenzieller Einschränkungen, die vor der Bereitstellung der Erkennung berücksichtigt werden sollten.
- Vorhandene benutzerdefinierte Erkennungs- und Analyseregeln , die bereits ähnliche Verhaltensweisen abdecken, sodass Erkennungstechniker sie überprüfen und das Erstellen von Duplikaten vermeiden können.
Analysten können die Empfehlungen überprüfen, Nachverfolgungsfragen zum Bericht stellen und eine vorgeschlagene Erkennung im benutzerdefinierten Erkennungs-Assistenten öffnen, um sie zu überprüfen, anzupassen und zu speichern. Das Speichern der Erkennung aktiviert diese im Mandanten.
Important
Der Detection Authoring Agent ist als Vorschauversion verfügbar. Features und Verhalten können sich vor der allgemeinen Verfügbarkeit ändern.
Warum den Detection Authoring Agent verwenden?
Die Erstellung hochpräziser Erkennungen erfordert, dass Erkennungsingenieure die Vorgehensweisen von Angreifern verstehen, Verhaltensweisen der Erkennungslogik zuordnen und Regeln anhand realer Daten validieren, ohne dabei übermäßiges Rauschen zu erzeugen. Der Detection Authoring Agent fungiert in Microsoft Defender als autonomer Erkennungsingenieur und unterstützt Erkennungsingenieure dabei, die Abdeckung von Bedrohungen schneller zu erweitern, indem er auf der Grundlage von Bedrohungsaufklärung und beobachteten Angriffsmustern Empfehlungen für Erkennungen generiert.
Im Proaktiven Schutzworkflow beginnt der Erkennungstechniker mit einem Artikel zur Bedrohungserkennung. Der Threat Intelligence Agent analysiert den Artikel und erstellt Taktiken, Techniken und Verfahren (TTPs), und der Detection Authoring Agent nutzt diese TTPs, um Erkennungsempfehlungen auszusprechen. Erkennungstechniker können die Erkennungsregeln weiter verfeinern, Schwellenwerte anpassen und Abdeckungslücken über eine interaktive Chaterfahrung untersuchen.
Anwendungsfälle
| Anwendungsfall | Erkennungserstellungs-Agent |
|---|---|
| Generieren von Erkennungsempfehlungen aus der Bedrohungserkennung | Erstellt vorgeschlagene KQL-basierte Erkennungen, mit denen Angreiferverhalten abgedeckt werden können, die in einem Artikel zur Bedrohungserkennung identifiziert wurden. |
| Zuordnung der Erkennungsabdeckung zu MITRE ATT&CK | Ermitteln Sie, welche Techniken durch vorhandene Regeln abgedeckt werden, und stellen Sie Lücken in der Erkennungsabdeckung dar. |
| Überprüfen von Empfehlungen zur Erkennungsoptimierung | Enthält Empfehlungen, mit denen Erkennungstechniker vorgeschlagene Erkennungen für ihre Umgebung optimieren können. |
| Erklären der Erkennungs rationale | Stellen Sie klar, was jede Regel erkennt und warum die Logik auf diese Weise strukturiert ist. |
| Erstellen einer benutzerdefinierten Erkennung anhand einer Empfehlung | Öffnet die vorgeschlagene Erkennung im benutzerdefinierten Erkennungs-Assistenten mit Feldern wie Häufigkeit, Schweregrad, MITRE-Techniken, Warnungsdetails und vorgefüllter Entitätszuordnung. |
| Stellen Von Nachverfolgungsfragen zum Bericht | Ermöglicht es Erkennungsingenieuren, über den Agent-Chat Fragen zum Erkennungsbericht und dessen Ausgabe zu stellen. |
Bevor Sie anfangen
Bestätigen Sie die erforderliche Produktverfügbarkeit, Lizenzierung, Berechtigungen und Konfiguration, bevor Sie den Erkennungserstellungs-Agent verwenden.
Voraussetzungen
Um den Detection Authoring Agent in Ihrer Umgebung auszuführen, ist Folgendes erforderlich:
- Plug-Ins: Der Erkennungsautoren-Agent aktiviert automatisch diese Security Copilot Plugins: Microsoft Defender XDR, Microsoft Threat Intelligence und Microsoft Sentinel (falls zutreffend).
- Unified RBAC: Aktivieren Sie die einheitliche rollenbasierte Zugriffssteuerung, und aktivieren Sie die relevanten Workloads für die Datenquellen, die Sie abfragen möchten. Weitere Informationen finden Sie unter Workloadspezifische Voraussetzungen.
Zusätzliche Berechtigungen erforderlich
Um den Erkennungserstellungs-Agent zu verwenden, benötigen Sie auch die folgenden Berechtigungen in Microsoft Defender XDR:
- Grundlagen der Sicherheitsdaten für alle Workloads: Lesen
- Benutzerdefinierte Erkennungsregeln: Lesen und Schreiben
- Erweiterte Suche: Lesen
Weitere Informationen zur einheitlichen rollenbasierten Zugriffssteuerung (RBAC) im Defender-Portal finden Sie unter Microsoft Defender XDR Einheitliche rollenbasierte Zugriffssteuerung (RBAC).
Einrichten des Detection Authoring Agent
Führen Sie zum Einrichten dieses Agents die Schritte unter Einrichten eines Agents aus.
Starten einer neuen Sitzung des Detection Authoring Agent
Informationen zum Starten einer Sitzung finden Sie unter "Starten einer neuen Sitzung".
Dieser Agent führt das folgende Playbook aus:
| Leitfaden | Erforderliche Eingabe |
|---|---|
| Schutz vor einer Bedrohung | Ein Artikel zur Bedrohungserkennung. |
Wählen Sie das Auslassungszeichen (...) in der rechten oberen Ecke der Seite aus, um den Agenten zu verwalten. Wählen Sie Pause, um den Agenten vorübergehend anzuhalten, oder Ausführen, um die Agentenaktivität fortzusetzen.
Nach dem Starten der Sitzung analysiert der proaktive Schutzworkflow den ausgewählten Artikel zur Bedrohungserkennung und generiert einen Erkennungsbericht. Der Bericht enthält empfohlene Erkennungen, Erkennungslogik und unterstützende Informationen, die Analysten helfen, zu verstehen, wie sich die Empfehlungen auf im Artikel identifizierte Bedrohungen beziehen.
Überprüfen Sie den Bericht zur Erkennungsabdeckung
Wenn eine Sitzung abgeschlossen ist, generiert der Agent die Ausgabe, die in der Zusammenfassungsansicht angezeigt wird.
Sie können Nachverfolgungsfragen zum Bericht in der Chatoberfläche stellen.
Der Agent bietet im Wesentlichen einen Vorschlag für Erkennungen, die die im TI-Artikel aufgeführten Bedrohungen abdecken. Mehrere Erkennungen werden in der Regel pro TI-Artikel vorgeschlagen. Jede Erkennung verfügt über eine Bedrohungszusammenfassung, die Methodik und Strategie.
Wählen Sie im Bericht im Abschnitt "Erkennungen" die Option "Im Assistenten öffnen" aus, um die vorgeschlagene Erkennung im Assistenten Microsoft Defender benutzerdefinierte Erkennung zu öffnen. Überprüfen und ändern Sie die Erkennungseinstellungen nach Bedarf, und speichern Sie dann die Erkennungsregel.
Mandantenbezogene Erkennungsanalyse und -optimierung
Im Gegensatz zu generischen Erkennungsempfehlungen passt der Agent jeden Vorschlag auf Ihre spezifische Umgebung an. Dies erfolgt über drei Kernfunktionen:
Mandantenbezogene Erstellung von Erkennungsregeln: Der Agent ermittelt, welche Tabellen und Datenquellen im Mandanten verfügbar sind, und stützt seine Empfehlungen auf diese Daten. Das bedeutet, dass jede vorgeschlagene Erkennung auf den Daten basiert, die Ihre Umgebung tatsächlich erfasst, anstatt von einer Datenverfügbarkeit auszugehen, die unter Umständen gar nicht gegeben ist.
Erkennungssimulation und Schätzung des Hintergrundrauschens: Für jede vorgeschlagene Erkennung führt der Agent eine Simulation mit historischen Mandantendaten durch und gibt das prognostizierte Warnungsvolumen aus. Dadurch erhalten Sie einen frühen Hinweis auf die erwartete Abdeckung, den potenziellen Rauschpegel und die allgemeine Qualität der Erkennung, bevor Sie sie bereitstellen.
Automatisierte mandantenspezifische Optimierung: Basierend auf Simulationsergebnissen identifiziert der Agent Erkennungen, die wahrscheinlich laut sind, und schlägt automatisch Optimierungen vor. Durch die Analyse der generierten Warnungen kann sie wiederkehrende gutartige Muster erkennen und die Regel entsprechend verfeinern. Wenn beispielsweise ein bestimmter Benutzer, ein bestimmtes Gerät oder eine bestimmte Anwendung häufig in simulierten Warnungen angezeigt wird und als gutartig bewertet wird, empfiehlt der Agent möglicherweise, ihn aus der Erkennungslogik auszuschließen.
Erkennungskategorien
Basierend auf den Ergebnissen und mandantenspezifischen Basiswerten werden vorgeschlagene Erkennungen automatisch in zwei Gruppen kategorisiert:
- Bereit zur Bereitstellung: Erkennungen, die im Vergleich zu anderen benutzerdefinierten Erkennungen in der Umgebung voraussichtlich qualitativ hochwertige und relativ niedrige Geräusche aufweisen. Diese können in der Regel mit minimaler zusätzlicher Überprüfung aktiviert werden.
- Erfordert Feinabstimmung: Erkennungen, bei denen aufgrund von Simulationsergebnissen und mandantenspezifischen Merkmalen ein relativ hohes Maß an Fehlalarmen zu generieren ist. Der Agent bietet konkrete Empfehlungen zur Verbesserung ihrer Qualität vor der Bereitstellung.
Erkennungsanbieter
Die vom Agents vorgeschlagenen Erkennungen sind mit dem Provider-Wert Copilot gekennzeichnet. Sie können diese Eigenschaft verwenden, um agentgenerierte Erkennungen in Ihrer benutzerdefinierten Erkennungsliste zu filtern und zu identifizieren.