Bedrohungsinformations-Agent

Berichte zur Bedrohungserkennung werden ständig veröffentlicht, aber das Übersetzen generischer TI-Inhalte in umsetzbare, organisationsspezifische Anleitungen erfordert erhebliche Analystenanstrengungen. Teams kämpfen darum, mit dem Umfang der Intelligenz schritt zu halten und ihre Relevanz für ihre spezifische Umgebung zu verstehen. Das Extrahieren von Indikatoren, das Zuordnen dieser Indikatoren zu MITRE ATT&CK und das manuelle Generieren von Suchabfragen ist zeitaufwändig, wodurch die Abwehrmaßnahmen verzögert werden.

Dieser Agent analysiert Artikel zur Bedrohungserkennung und konvertiert sie in strukturierte Intelligenz, die Sicherheitsteams und andere Agents nutzen können. Anstatt einen Artikel zusammenzufassen, analysiert der Agent Threat-Intelligence-Daten und den Kontext Ihrer Umgebung, um handlungsrelevante Informationen zu extrahieren, die Ergebnisse mit kundenspezifischem Kontext anzureichern und Erkenntnisse darüber zu liefern, wie sich eine bestimmte Bedrohung auf Ihre Organisation auswirkt.

Der Threat Intelligence-Agent dient als Einstiegspunkt für das Multi-Agent-Playbook Schutz vor einer Bedrohung, wobei dessen Ausgabe direkt an den Aufklärungs-Agent, Sicherheitsstatus-Priorisierungs-Agent, Agent zur Erstellung von Erkennungsregeln weitergeleitet wird.

In diesem Artikel erhalten Sie einen Überblick über Funktionen, Voraussetzungen und Ausführungsschritte.

Wichtige Funktionen

Der Threat Intelligence-Agent führt eine mehrstufige, KI-orchestrierte Analyse von Inhalten der Bedrohungserkennung aus.

• Extrahiert strukturierte Intelligence-Objekte: Identifiziert IOCs, TTPs, Schadsoftwarefamilien, CVEs und Bedrohungsakteurinformationen aus unstrukturierten Berichten zur Bedrohungserkennung.
• Ordnet Techniken MITRE ATT&CK zu: Identifiziert Angriffstechniken und ordnet sie dem MITRE-ATT&CK-Framework anhand von Belegen aus den zugrunde liegenden Intelligence-Daten zu.
• Bewertet die Relevanz Ihrer spezifischen Umgebung: Analysiert, wie die Bedrohung der Branche, dem Technologiestapel und der Umgebung Ihrer Organisation zugeordnet ist.
• Generiert Suchabfragen, die auf Ihre Telemetrie zugeschnitten sind: Erstellt KQL-Suchabfragen, die auf Ihre Defender XDR Datenquellen zugeschnitten sind, um nach Indikatoren der Bedrohung zu suchen.
• Produziert priorisierte Defensive-Empfehlungen: Bietet umsetzbare Verteidigungsschritte, die nach Auswirkungen und Machbarkeit für Ihre Umgebung bewertet werden.
• Integriert sich in Microsoft Defender Threat Intelligence: Reichert extrahierte IOCs mit zusätzlichem Kontext aus Microsoft Defender Threat Intelligence (MDTI) an, sofern verfügbar.
• Versorgt nachgelagerte Agents: Stellt strukturierte Intelligenz bereit, die der Agent zur Erstellung von Erkennungsregeln, der Aufklärungs-Agent und der Sicherheitsstatus-Priorisierungs-Agent in Multi-Agent-Playbooks nutzen.

Bevor Sie anfangen

Voraussetzungen

Die folgenden Produkte sind für den Threat Intelligence-Agent erforderlich:

• Microsoft Defender XDR
• Microsoft Defender Threat Intelligence (MDTI) für den vollständigen Zugriff auf TI-Daten und die Anreicherung

Berechtigungen, die dem Agent gewährt werden

Während der Agentkonfiguration gewähren Sie dem Agent die folgenden Berechtigungen:

• Microsoft Defender XDR API-Berechtigungen:
  • ThreatIntelligence.Read.All
  • ThreatHunting.Read.All
  • AdvancedHunting.Read.All
• Microsoft Defender Threat Intelligence API-Berechtigungen:
  • ThreatIntelligence.Read.All
• Microsoft Graph-API Berechtigungen:
  • SecurityEvents.Read.All

Einrichten des Threat Intelligence-Agents

Führen Sie zum Einrichten dieses Agents die Schritte unter Einrichten eines Agents aus.

Threat-Intelligence-Agent-Sitzung starten

Informationen zum Starten einer Sitzung finden Sie unter "Starten einer neuen Sitzung".

Dieser Agent durchläuft die folgenden Ablaufpläne:

Genehmigen des Aufgabenplans

Nach dem Generieren des anfänglichen Aufgabenplans hält der Agent an und zeigt eine Meldung an, die angibt, dass Ihre Eingabe erforderlich ist. Der Sitzungsstatus ändert sich in "Warten auf Eingabe".

Sie haben drei Möglichkeiten:

Überwachen des Sitzungsfortschritts

Während die Sitzung läuft, zeigt der Sitzungsdetailbereich Folgendes an:

• Zusammenfassung: Aktueller Sitzungsstatus und eine Zusammenfassung der abgeschlossenen Arbeit.
• Fortschritt: Verfolgt abgeschlossene Schritte in der Analyse der Bedrohungserkennung nach.
• Agents: Der dieser Sitzung zugewiesene Threat-Intelligence-Agent.
• Eingaben: Die von Ihnen bereitgestellte Bedrohungserkennungsquelle.
• Artefakte: Ausgabedateien, die bisher generiert wurden und im Verlauf der Sitzung aktualisiert werden.

Statuswerte der Sitzung

Überprüfen Sie die Ausgabe

Der Threat Intelligence-Agent erstellt einen umfassenden Bericht zur Analyse der Bedrohungserkennung, der die folgenden Abschnitte enthält:

• Zusammenfassung der Geschäftsleitung: Eine kurze Übersicht über die Bedrohung, deren Zielmuster und wichtige Risiken für Ihre Organisation.
• Profil des Bedrohungsakteur: Zusammenfassung der TTPs des Bedrohungsakteur, bekannter Zielmuster und historischer Aktivitäten, wenn ein Bericht mit Akteurfokus analysiert wird.
• Extrahierte IOCs: Eine strukturierte Liste der Kompromittierungsindikatoren, darunter:
  • IP-Adressen
  • Domänennamen
  • Dateihashes (MD5, SHA-1, SHA-256)
  • URLs
  • E-Mail-Adressen
  • Jedes IOC enthält Anreicherungsdaten aus Microsoft Defender Threat Intelligence, sofern verfügbar.
• MITRE ATT&CK-Zuordnung: Beobachtete Bedrohungstechniken, die dem MITRE ATT&CK-Framework mit Nachweisen aus der Quellintelligenz zugeordnet sind.
• Bewertung der Umweltrelevanz: Analyse, wie die Bedrohung der Branche, dem Technologiestapel und der Umgebung Ihrer Organisation zugeordnet wird. Dieser Abschnitt beantwortet: "Sollten wir uns gedanken über diese Bedrohung machen?"
• KQL-Suchabfragen: Einsatzbereite KQL-Abfragen, die auf Ihre Microsoft Defender XDR Telemetrie ausgerichtet sind, um nach Indikatoren der Bedrohung in Ihrer Umgebung zu suchen.
• Defensive Empfehlungen: Priorisierte Maßnahmen für Erkennung, Prävention und Risikominderung, die nach Auswirkungen und Machbarkeit bewertet werden. Empfehlungen können Folgendes umfassen:
  • Aktualisierungen von Erkennungsregelen
  • Härtung der Konfiguration
  • IOC-Blockierung
  • Anleitungen zur Benutzersensibilisierung
  • Jagdaktivitäten

Die Berichtsausgabe wird als Markdowndatei im Abschnitt " Artefakte" der Detailansicht der Sitzung angezeigt. Die KQL-Suchabfragen werden auch als separate Textdateien zur einfachen Ausführung im Microsoft Defender-Portal bereitgestellt.

Hunting-Abfragen ausführen

Nachdem Sie das Ergebnis überprüft haben, können Sie die Hunting-Abfragen ausführen:

1. Kopieren Sie die KQL-Abfrage aus den Ausgabeartefakten.
2. Wechseln Sie im Microsoft Defender-Portal zu Hunting>Erweiterte Suche.
3. Fügen Sie die KQL-Abfrage in den Abfrage-Editor ein.
4. Überprüfen Sie die Abfragelogik, und passen Sie die Zeitbereiche oder Filter nach Bedarf an.
5. Wählen Sie "Abfrage ausführen" aus, um nach Indikatoren in Ihrer Umgebung zu suchen.
6. Überprüfen Sie die Ergebnisse und leiten Sie alle bestätigten Treffer an Ihren Incident-Response-Prozess weiter.

Verwandte Inhalte

• Was ist Project Perception?
• Wichtige Konzepte in Project Perception verstehen
• Arbeiten mit Agents
• Agent-Sitzungen überwachen und verwalten
• Erkennungserstellungs-Agent
• Angriffsuntersuchungs-Agent
• Triage Agent