Anomaliedetectiebeleid voor Defender for Cloud Apps maken

Microsoft Defender for Cloud Apps anomaliedetectiebeleid bieden ingebouwde gebruikers- en entiteits-gedragsanalyse (UEBA) en machine learning (ML). Deze beleidsregels helpen u om geavanceerde dreigingsdetectie direct in uw cloudomgeving uit te voeren. Omdat de afwijkingsdetectiebeleid standaard is ingeschakeld, beginnen ze meteen met het detecteren en verzamelen van resultaten, waarbij gedragsanomalieën worden gericht op je gebruikers, machines en apparaten. De beleidsregels maken ook meer data beschikbaar van de detectie-engine van Defender for Cloud Apps, zodat je onderzoeken kunt versnellen en lopende dreigingen kunt indammen.

Het anomaliedetectiebeleid wordt automatisch ingeschakeld, maar Defender for Cloud Apps heeft een eerste leerperiode van zeven dagen waarin niet alle anomaliedetectiewaarschuwingen worden weergegeven. Daarna, wanneer gegevens worden verzameld van je geconfigureerde API-connectoren, wordt elke sessie vergeleken met activiteit die de afgelopen maand is gedetecteerd, inclusief wanneer gebruikers actief waren, IP-adressen, apparaten en de risicoscores van deze activiteiten. Data van API-connectors kan enkele uren nodig hebben om beschikbaar te komen.

Deze detecties maken deel uit van de heuristische anomaliedetectie-engine die je omgeving profileert en waarschuwingen activeert op basis van een basislijn die is geleerd uit de activiteiten van je organisatie. De detecties maken ook gebruik van machine learning-algoritmen die gebruikers en hun aanmeldpatronen profileren om vals-positieven te verminderen.

Afwijkingen worden gedetecteerd door gebruikersactiviteit te scannen. Het risico wordt geëvalueerd door te kijken naar meer dan 30 verschillende risico-indicatoren, gegroepeerd in risicofactoren, als volgt:

• Riskant IP-adres
• Aanmeldingsfouten
• Beheer activiteit
• Inactieve accounts
• Locatie
• Onmogelijk reizen
• Apparaat- en gebruikersagent
• Activiteitsfrequentie

Op basis van de beleidsresultaten worden beveiligingswaarschuwingen geactiveerd. Defender for Cloud Apps kijkt naar elke gebruikerssessie in uw cloud en waarschuwt u wanneer er iets gebeurt dat verschilt van de basislijn van uw organisatie of van de normale activiteit van de gebruiker.

Anomaliedetectiebeleid

Je kunt de afwijkingsdetectiebeleid zien in het Microsoft Defender-portaal door naar Cloud Apps>Policies>Policy Management te gaan. Kies vervolgens Anomaliedetectiebeleid voor het beleidstype.

De volgende beleidsregels voor anomaliedetectie zijn beschikbaar:

Onmogelijk reizen

Deze detectie identificeert twee gebruikersactiviteiten (in één of meerdere sessies) die afkomstig zijn van geografisch afgelegen locaties binnen een periode die korter is dan de tijd die de gebruiker nodig had om van de eerste locatie naar de tweede te reizen, wat aangeeft dat een andere gebruiker dezelfde referenties gebruikt. Deze detectie maakt gebruik van een machine learning-algoritme dat duidelijke fout-positieven negeert die bijdragen aan de onmogelijke reisvoorwaarde, zoals VPN's en locaties die regelmatig worden gebruikt door andere gebruikers in de organisatie. De detectie heeft een initiële leerperiode van zeven dagen waarin het activiteitspatroon van een nieuwe gebruiker wordt geleerd. De detectie van onmogelijke reizen identificeert ongebruikelijke en onmogelijke gebruikersactiviteit tussen twee locaties. De activiteit moet ongebruikelijk genoeg zijn om te worden beschouwd als een indicator van compromissen en een waarschuwing waard. Om dit te laten werken, omvat de detectielogica verschillende niveaus van onderdrukking om scenario's aan te pakken die valse positieven kunnen veroorzaken, zoals VPN-activiteiten of activiteiten van cloudproviders die geen fysieke locatie aangeven. Met de gevoeligheidsschuifregelaar kunt u het algoritme beïnvloeden en definiëren hoe strikt de detectielogica is. Hoe hoger het gevoeligheidsniveau, hoe minder activiteiten worden onderdrukt als onderdeel van de detectielogica. Op deze manier kunt u de detectie aanpassen aan uw dekkingsbehoeften en uw SNR-doelen.

Activiteit uit niet-frequent land/regio

Deze detectie bekijkt eerdere activiteitlocaties om nieuwe en niet-frequente locaties vast te stellen. De anomaliedetectie-engine slaat informatie op over eerdere locaties die door de gebruiker zijn gebruikt. Er wordt een waarschuwing geactiveerd wanneer een activiteit plaatsvindt vanaf een locatie die niet onlangs of nooit door de gebruiker is bezocht. Om foutpositieve waarschuwingen te verminderen, onderdrukt de detectiefunctie verbindingen die overeenkomen met voorkeuren die gebruikelijk zijn voor de gebruiker.

Malwaredetectie

Deze detectie identificeert schadelijke bestanden in uw cloudopslag, ongeacht of deze afkomstig zijn van uw Microsoft-apps of apps van derden. Microsoft Defender for Cloud Apps gebruikt de bedreigingsinformatie van Microsoft om te herkennen of bepaalde bestanden die voldoen aan risico-heuristieken, zoals bestandstype en niveau van delen, zijn gekoppeld aan bekende malware-aanvallen en mogelijk schadelijk zijn. Dit ingebouwde beleid is standaard uitgeschakeld. Nadat schadelijke bestanden zijn gedetecteerd, ziet u een lijst met geïnfecteerde bestanden. Selecteer de naam van het malwarebestand in de bestandslade om een malwarerapport te openen met informatie over het type malware waarmee het bestand is geïnfecteerd.

Gebruik deze detectie om uploads en downloads van bestanden in realtime te beheren met sessiebeleid.

Bestandssandboxing

Door bestandssandboxing mogelijk te maken, worden bestanden die potentieel risicovol zijn volgens hun metadata en propriëtaire heuristieken ook gescand in een veilige sandbox-omgeving. De sandbox-scan kan bestanden detecteren die niet zijn gedetecteerd op basis van dreigingsinformatiebronnen.

Defender for Cloud Apps ondersteunt file sandboxing malwaredetectie voor de volgende apps:

• Box
• Dropbox
• Google Workspace

Activiteit van anonieme IP-adressen

Deze detectie identificeert dat gebruikers actief waren vanaf een IP-adres dat is geïdentificeerd als een anoniem proxy-IP-adres. Deze proxy's worden gebruikt door personen die het IP-adres van hun apparaat willen verbergen en kunnen worden gebruikt voor kwaadwillende bedoelingen. Deze detectie maakt gebruik van een machine learning-algoritme dat 'fout-positieven' vermindert, zoals verkeerd gelabelde IP-adressen die veel worden gebruikt door gebruikers in de organisatie.

Ransomware-activiteit

Defender for Cloud Apps heeft zijn mogelijkheden voor ransomwaredetectie uitgebreid met anomaliedetectie om een meer uitgebreide dekking tegen geavanceerde ransomware-aanvallen te garanderen. Met behulp van onze expertise op het gebied van beveiligingsonderzoek om gedragspatronen te identificeren die ransomware-activiteit weerspiegelen, zorgt Defender for Cloud Apps voor holistische en robuuste bescherming. Een hoog aantal bestandsuploads of verwijderingsactiviteiten kan bijvoorbeeld een nadelig encryptieproces betekenen. Deze gegevens worden verzameld in logs die van verbonden API's worden ontvangen en vervolgens gecombineerd met aangeleerde gedragspatronen en dreigingsintelligentie, zoals bekende ransomware-extensies. Zie Uw organisatie beschermen tegen ransomware voor meer informatie over hoe Defender for Cloud Apps ransomware detecteert.

Activiteit uitgevoerd door beëindigde gebruiker

Deze detectie stelt je in staat te identificeren wanneer een ontslagen medewerker doorgaat met acties op je SaaS-apps. Omdat uit gegevens blijkt dat het grootste risico op bedreigingen van binnenuit afkomstig is van werknemers die op slechte voorwaarden zijn vertrokken, is het belangrijk om de activiteiten op accounts van beëindigde werknemers in de gaten te houden. Soms, wanneer werknemers een bedrijf verlaten, worden hun accounts uitgeschakeld van bedrijfsapps, maar in veel gevallen behouden ze nog steeds toegang tot bepaalde bedrijfsbronnen. Dit is nog belangrijker bij het overwegen van bevoegde accounts, omdat de potentiële schade die een voormalige beheerder kan aanbrengen, inherent groter is. Deze detectie maakt gebruik van de mogelijkheid van de Defender for Cloud Apps om gebruikersgedrag in alle apps te monitoren, waardoor de reguliere activiteit van de gebruiker, het feit dat het account is verwijderd en de daadwerkelijke activiteit op andere apps kan worden geïdentificeerd. Een werknemer van wie bijvoorbeeld het Microsoft Entra-account is verwijderd, maar nog steeds toegang heeft tot de aws-infrastructuur van het bedrijf, kan grootschalige schade veroorzaken.

Met de detectie wordt gezocht naar gebruikers van wie de accounts zijn verwijderd in Microsoft Entra ID, maar nog steeds activiteiten uitvoeren op andere platforms, zoals AWS of Salesforce. Dit is met name relevant voor gebruikers die een ander account (niet hun primaire account voor eenmalige aanmelding) gebruiken om resources te beheren, omdat deze accounts vaak niet worden verwijderd wanneer een gebruiker het bedrijf verlaat.

Activiteit van verdachte IP-adressen

De detectie van activiteit door verdachte IP-adressen identificeert dat gebruikers actief waren vanaf een IP-adres dat door Microsoft Threat Intelligence als risicovol werd aangemerkt. Deze IP-adressen zijn betrokken bij schadelijke activiteiten, zoals het uitvoeren van wachtwoordspray, Botnet C&C, en kunnen duiden op een gehackt account. De detectie maakt gebruik van een machine-learningalgoritme dat "false positives" vermindert, zoals verkeerd getagde IP-adressen die veel worden gebruikt door gebruikers binnen de organisatie.

Verdacht doorsturen van e-mail

De detectie van verdachte doorsturing van inbox zoekt naar regels voor verdachte e-maildoorzend, bijvoorbeeld als een gebruiker een inboxregel heeft gemaakt die een kopie van alle e-mails naar een extern adres doorstuurt.

Verdachte regels voor postvakmanipulatie

De detectie van de regels voor het manipuleren van verdachte inbox profileert je omgeving en activeert waarschuwingen wanneer verdachte regels die berichten of mappen verwijderen of verplaatsen op de inbox van een gebruiker worden ingesteld. Dit kan erop wijzen dat het account van de gebruiker is gecompromitteerd, dat berichten opzettelijk worden verborgen en dat het postvak wordt gebruikt om spam of malware in uw organisatie te distribueren.

Verdachte e-mailverwijderingsactiviteit (preview)

Het beleid voor verdachte e-mailverwijderingsactiviteiten profileert je omgeving en activeert waarschuwingen wanneer een gebruiker verdachte e-mailverwijderingsactiviteiten uitvoert in één sessie. Een melding van dit beleid kan erop wijzen dat de mailboxen van een gebruiker zijn gecompromitteerd door potentiële aanvalsvectoren zoals command-and-control-communicatie (C&C/C2) via e-mail.

Verdachte activiteiten voor het downloaden van OAuth-app-bestanden

Scant de OAuth-apps die zijn verbonden met uw omgeving en activeert een waarschuwing wanneer een app meerdere bestanden downloadt van Microsoft SharePoint of Microsoft OneDrive op een manier die ongebruikelijk is voor de gebruiker. Dit ongebruikelijke downloadgedrag kan erop wijzen dat het gebruikersaccount is gecompromitteerd.

Ongebruikelijke internetprovider voor een OAuth-app

Het beleid voor een ongebruikelijke ISP voor een OAuth-app profileert je omgeving en activeert waarschuwingen wanneer een OAuth-app verbinding maakt met je cloudapplicaties van een ongebruikelijke ISP. Een waarschuwing van dit beleid kan erop wijzen dat een aanvaller heeft geprobeerd een legitieme, gecompromitteerde app te gebruiken om kwaadaardige activiteiten op uw cloudapplicaties uit te voeren.

Ongebruikelijke activiteiten (per gebruiker)

Met deze detecties worden gebruikers geïdentificeerd die het volgende uitvoeren:

• Ongebruikelijke activiteiten voor het downloaden van meerdere bestanden
• Ongebruikelijke activiteiten voor bestandsshares
• Ongebruikelijke activiteiten voor het verwijderen van bestanden
• Ongebruikelijke geïmiteerde activiteiten
• Ongebruikelijke beheeractiviteiten
• Ongebruikelijke activiteiten voor het delen van Power BI-rapporten (preview)
• Ongebruikelijke activiteiten voor het maken van meerdere VM's (preview)
• Ongebruikelijke verwijderingsactiviteiten van meerdere opslagaccounts (preview)
• Ongebruikelijke regio voor cloudresources (preview)

Deze beleidsregels zoeken naar activiteiten binnen één sessie ten opzichte van de geleerde basislijn, wat kan wijzen op een poging tot inbreuk. Deze detecties gebruiken een machine learning-algoritme dat de aanmeldpatronen van gebruikers profileert en valse positieven vermindert. De detecties maken deel uit van de heuristische anomaliedetectie-engine die je omgeving profileert en waarschuwingen activeert op basis van een basislijn die je hebt geleerd uit de activiteiten van je organisatie.

Meerdere mislukte aanmeldingspogingen

Deze detectie identificeert gebruikers die meerdere inlogpogingen in één sessie hebben mislukt ten opzichte van de geleerde basislijn, wat kan wijzen op een poging tot inbreuk.

Meerdere VM-activiteiten verwijderen

Dit beleid profileert uw omgeving en activeert waarschuwingen wanneer gebruikers meerdere VM's in één sessie verwijderen, ten opzichte van de basislijn in uw organisatie. Dit kan duiden op een poging tot inbreuk.

Geautomatiseerd beheer inschakelen

Je kunt automatische fixes instellen voor meldingen van anomaliedetectiebeleid.

1. Selecteer op de pagina Beleidsregels de naam van het detectiebeleid.
2. In het venster 'Edit anomaly detection'-beleid , onder Governance-acties, kies je de acties die je wilt voor elke verbonden app of voor alle apps.
3. Selecteer Bijwerken.

Beleid voor anomaliedetectie afstemmen

Je kunt de detectiemotor afstellen om meldingen te onderdrukken of te tonen op basis van je behoeften.

In het Impossible travel-beleid kun je de gevoeligheidsschuif instellen om het niveau van afwijkend gedrag te bepalen dat nodig is voordat een waarschuwing wordt geactiveerd. Bijvoorbeeld, een lage of middelhoge instelling onderdrukt Onmogelijke reiswaarschuwingen van de gebruikelijke locaties, terwijl een hoge instelling dergelijke waarschuwingen oproept. U kunt kiezen uit de volgende gevoeligheidsniveaus:

• Laag: onderdrukkingen op systeem-, tenant- en gebruikersniveau
• Gemiddeld: Systeem- en gebruikersonderdrukkingen
• Hoog: uitsluitend systeemonderdrukkingen

Waarbij:

Beleid voor anomaliedetectie voor toepassingsgebied

Elk beleid voor anomaliedetectie kan onafhankelijk worden afgebakend, zodat het alleen geldt voor de gebruikers en groepen die u in het beleid wilt opnemen of uitsluiten. Je kunt bijvoorbeeld de activiteit van onregelmatige land/regio-detectie zo instellen dat een specifieke gebruiker die vaak reist wordt genegeerd.

Ga als volgende te werk om het bereik van een anomaliedetectiebeleid te bepalen:

1. Ga in de Microsoft Defender-portal naarBeleidsbeheer>>. Kies vervolgens Anomaliedetectiebeleid voor het beleidstype.

2. Selecteer het beleid dat u wilt bereiken.

3. Wijzig onder Bereik de vervolgkeuzelijst van de standaardinstelling Alle gebruikers en groepen in Specifieke gebruikers en groepen.

4. Selecteer Opnemen om de gebruikers en groepen te specificeren waarop dit beleid van toepassing is. Elke gebruiker of groep die hier niet is geselecteerd, wordt niet beschouwd als een bedreiging en genereert geen waarschuwing.

5. Selecteer Uitsluiten om gebruikers aan te geven waarop dit beleid niet van toepassing is. Elke gebruiker die hier is geselecteerd, wordt niet beschouwd als een bedreiging en genereert geen waarschuwing, zelfs niet als ze lid zijn van groepen die zijn geselecteerd onder Opnemen.

   

Waarschuwingen voor anomaliedetectie sorteren

U kunt de verschillende waarschuwingen die worden geactiveerd door het nieuwe anomaliedetectiebeleid snel sorteren en bepalen welke waarschuwingen het eerst moeten worden afgehandeld. Om waarschuwingen effectief te prioriteren, heb je de context van elke melding nodig, zodat je het grotere plaatje kunt zien en kunt begrijpen of er daadwerkelijk iets kwaadaardigs gebeurt.

1. In het activiteitenlogboek kunt u een activiteit openen om de activiteitslade weer te geven. Selecteer Gebruiker om het tabblad Gebruikersinzichten weer te geven. Dit tabblad bevat informatie zoals het aantal waarschuwingen, activiteiten en waar ze verbinding mee hebben gemaakt. Dit is belangrijk bij een onderzoek.

   

2. Voor met malware geïnfecteerde bestanden kun je na het detecteren van bestanden een lijst van geïnfecteerde bestanden zien. Selecteer de naam van het malwarebestand in de bestandlade om een rapport te openen met informatie over het type malware.

Volgende stappen

Als u problemen ondervindt, zijn wij er om u te helpen. Als u hulp of ondersteuning wilt krijgen voor uw productprobleem, opent u een ondersteuningsticket