Beveiligingswaarschuwingen beheren en erop reageren

Microsoft Defender voor Cloud verzamelt, analyseert en integreert loggegevens van je Azure-, hybride- en multicloudbronnen, het netwerk en verbonden partneroplossingen, zoals firewalls en endpointagents. Defender voor Cloud gebruikt de logboekgegevens om echte bedreigingen te detecteren en fout-positieven te verminderen. Defender voor Cloud toont een lijst met geprioriteerde beveiligingswaarschuwingen, samen met de informatie die je nodig hebt om het probleem snel te onderzoeken en de stappen die genomen moeten worden om een aanval te herstellen.

Bekijk beveiligingswaarschuwingen in Defender voor Cloud, onderzoek en reageer erop

In dit artikel leest u hoe u de waarschuwingen van Defender voor Cloud kunt bekijken en verwerken en uw resources kunt beveiligen.

Wanneer je beveiligingswaarschuwingen triageert, prioriteer ze dan op basis van de ernst van de waarschuwingen. Behandel eerst meldingen met hogere ernst. Voor meer informatie, zie hoe waarschuwingen worden geclassificeerd.

Prerequisites

Zie de ondersteuningsmatrices voor Defender voor Cloud voor voorwaarden en vereisten.

Uw beveiligingswaarschuwingen beheren

Volg deze stappen:

1. Meld u aan bij het Azure-portaal.

2. Ga naar Microsoft Defender voor Cloud>Beveiligingswaarschuwingen.

   

3. (Optioneel) Filter de lijst met waarschuwingen met een van de relevante filters. Voeg extra filters toe door ' Voeg filter toevoegen' te selecteren.

   

   De lijst met waarschuwingen wordt bijgewerkt volgens de filters die je kiest. Je kunt bijvoorbeeld beveiligingswaarschuwingen die in de afgelopen 24 uur zijn opgetreden aanpakken om een mogelijke inbreuk in het systeem te onderzoeken.

Een beveiligingswaarschuwing onderzoeken

Elke melding bevat informatie die je helpt de melding te onderzoeken.

Een beveiligingswaarschuwing onderzoeken:

1. Selecteer een waarschuwing. Een paneel opent en toont een beschrijving van de melding en alle getroffen bronnen.

   

2. Bekijk de algemene informatie over de beveiligingswaarschuwing.

   • Ernst, status en activiteitstijd van waarschuwingen
   • Beschrijving met uitleg over de exacte activiteit die is gedetecteerd
   • Getroffen middelen
   • Doel van de activiteit binnen de kill chain op de MITRE ATT&CK-matrix, indien van toepassing

3. Selecteer Volledige details weergeven.

   Het rechterpaneel bevat het tabblad Waarschuwingsdetails , dat meer details bevat om je te helpen de melding te onderzoeken, zoals IP-adressen, bestanden en processen.

   

   Het rechterpaneel bevat ook het tabblad Actie ondernemen . Gebruik dit tabblad om verdere acties te ondernemen met betrekking tot de beveiligingswaarschuwing, zoals:

   • Inspecteer de context van de bron: Brengt je naar de activiteitslogs van de bron die de beveiligingswaarschuwing ondersteunen.
   • Miflüge de dreiging: Biedt handmatige herstelmaatregelen voor deze beveiligingswaarschuwing.
   • Voorkom toekomstige aanvallen: Geeft beveiligingsaanbevelingen om het aanvalsoppervlak te verkleinen, de beveiligingspositie te vergroten en zo toekomstige aanvallen te voorkomen.
   • Automatische reactie activeren: Biedt de optie om een logische app te activeren als reactie op deze beveiligingswaarschuwing.
   • Onderdruk vergelijkbare waarschuwingen: Biedt de optie om toekomstige waarschuwingen met vergelijkbare kenmerken te onderdrukken als de melding niet relevant is voor uw organisatie.

   

   Neem voor meer informatie over de waarschuwing contact op met de eigenaar van de resource om te controleren of de gedetecteerde activiteit een fout-positief is. Je kunt ook de ruwe logs onderzoeken die door de aangevallen bron zijn gegenereerd.

De status van meerdere beveiligingswaarschuwingen tegelijk wijzigen

De lijst met waarschuwingen bevat selectievakjes, zodat u meerdere waarschuwingen tegelijk kunt verwerken. U kunt bijvoorbeeld besluiten om voor triagedoeleinden alle informatieve waarschuwingen voor een specifieke bron te negeren.

1. Filter op basis van de waarschuwingen die u bulksgewijs wilt verwerken.

   In dit voorbeeld worden de waarschuwingen met ernst Informational voor de resource ASC-AKS-CLOUD-TALK geselecteerd.

   

2. Gebruik de selectievakjes om de meldingen te selecteren die verwerkt moeten worden.

   In dit voorbeeld selecteer je alle meldingen. De knop Status wijzigen is nu beschikbaar.

   

3. Gebruik de opties Status wijzigen om de gewenste status in te stellen.

   

   Verander de status van de meldingen die op de pagina Beveiligingswaarschuwingen worden weergegeven naar de geselecteerde waarde.

Reageren op een beveiligingswaarschuwing

Nadat u een beveiligingswaarschuwing hebt onderzocht, kunt u reageren op de waarschuwing vanuit Microsoft Defender voor Cloud.

Om te reageren op een beveiligingswaarschuwing:

1. Open het tabblad Actie ondernemen om de aanbevolen antwoorden te bekijken.

   

2. Raadpleeg de sectie Bedreiging beperken voor de handmatige onderzoeksstappen die nodig zijn om het probleem te verhelpen.

3. Als u uw resources wilt beveiligen en toekomstige aanvallen van dit type wilt voorkomen, herstelt u de beveiligingsaanvelingen in de sectie Toekomstige aanvallen voorkomen.

4. Als u een logische app wilt activeren met geautomatiseerde antwoordstappen, gebruikt u de sectie Geautomatiseerde reactie activeren en selecteert u Logische trigger-app.

5. Als de gedetecteerde activiteit niet kwaadaardig is , kun je toekomstige waarschuwingen van dit type onderdrukken door de sectie 'Onderdrukken soortgelijke waarschuwingen' te gebruiken en de regel 'Maak onderdrukking' te selecteren.

6. Selecteer Instellingen voor e-mailmeldingen instellen om te zien wie e-mails ontvangt over beveiligingswaarschuwingen op dit abonnement. Neem contact op met de eigenaar van het abonnement om de e-mailinstellingen te configureren.

7. Wanneer je het onderzoek naar de melding hebt afgerond en op de juiste manier reageert, verander dan de status naar Afgewezen.

   

   De waarschuwing wordt verwijderd uit de lijst met hoofdwaarschuwingen. U kunt het filter op de pagina met de lijst met waarschuwingen gebruiken om alle waarschuwingen weer te geven met de status Gesloten .

8. We raden u aan feedback te geven over de waarschuwing aan Microsoft:

   1. Voor Was dit nuttig?, kies Ja of Nee.
   2. Selecteer een reden en voeg een opmerking toe.

   

Om meer te leren over waarschuwingstypen, zie Security alerts - een referentiegids.

Voor informatie over hoe Defender voor Cloud dreigingen detecteert en erop reageert, zie Hoe Microsoft Defender voor Cloud dreigingen detecteert en erop reageert.

Bekijk de resultaten van de scan zonder agent

Je kunt de resultaten voor zowel de agent-gebaseerde als agentloze scanners zien op de pagina met beveiligingswaarschuwingen .

Verwante onderwerpen

• Regels voor waarschuwingsonderdrukking configureren
• Referentiegids met beveiligingswaarschuwingen

Volgende stap