Acties ondernemen op een apparaat

Reageer snel op gedetecteerde aanvallen door apparaten te isoleren of een onderzoekspakket te verzamelen. Nadat u actie hebt ondernomen op apparaten, kunt u de activiteitsgegevens controleren in het Actiecentrum.

Antwoordacties worden boven aan een specifieke apparaatpagina uitgevoerd en omvatten:

• Tags beheren
• Geautomatiseerd onderzoek initiëren
• Live-antwoordsessie starten
• Analysepakket verzamelen
• Antivirusscan uitvoeren
• Het uitvoeren van apps beperken
• Apparaat isoleren
• Apparaat bevatten
• Contact opnemen met een risicodeskundige
• Actiecentrum

U kunt apparaatpagina's vinden in een van de volgende weergaven:

• Waarschuwingswachtrij: selecteer de apparaatnaam naast het apparaatpictogram in de waarschuwingswachtrij.
• Apparatenlijst: selecteer de kop van de apparaatnaam in de lijst met apparaten.
• Zoekvak: selecteer Apparaat in de vervolgkeuzelijst en voer de naam van het apparaat in.

Sommige responsacties met een hoge impact kunnen worden beperkt voor waardevolle activa om mogelijke bedrijfsonderbrekingen te voorkomen. Zie Reactieacties beperken voor assets met een hoge waarde voor meer informatie.

Tags beheren

Tags toevoegen of beheren om een logische groepsrelatie te maken. Apparaattags ondersteunen de juiste toewijzing van het netwerk, zodat u verschillende tags kunt koppelen om context vast te leggen en dynamische lijsten te maken als onderdeel van een incident.

Zie Apparaattags maken en beheren voor meer informatie over apparaattags.

Geautomatiseerd onderzoek initiëren

U kunt indien nodig een nieuw geautomatiseerd onderzoek op het apparaat starten. Terwijl een onderzoek wordt uitgevoerd, wordt elke andere waarschuwing van het apparaat toegevoegd aan dat onderzoek totdat het is voltooid. Als dezelfde bedreiging op andere apparaten wordt weergegeven, worden deze apparaten ook toegevoegd.

Zie Overzicht van geautomatiseerde onderzoeken voor meer informatie over geautomatiseerde onderzoeken.

Live-antwoordsessie starten

Live-respons geeft u direct toegang tot een apparaat via een externe shell-verbinding. Met Live response kunt u diepgaand onderzoek uitvoeren en snel actie ondernemen om bedreigingen in realtime in te dammen.

Live response helpt u bij het verzamelen van forensische gegevens, het uitvoeren van scripts, het verzenden van verdachte entiteiten voor analyse, het oplossen van bedreigingen en het opsporen van opkomende bedreigingen.

Zie Entiteiten op apparaten onderzoeken met behulp van liverespons voor meer informatie over liverespons.

Het onderzoekspakket van apparaten ophalen

Als onderdeel van het onderzoeks- of reactieproces kunt u een onderzoekspakket van een apparaat verzamelen. Door het onderzoekspakket te verzamelen, kunt u de huidige status van het apparaat identificeren en meer inzicht krijgen in de hulpprogramma's en technieken die door de aanvaller worden gebruikt.

Voer de volgende stappen uit om het pakket (gezipte map) te downloaden en de gebeurtenissen op een apparaat te onderzoeken:

1. Selecteer Onderzoekpakket verzamelen in de rij met antwoordacties bovenaan de apparaatpagina.

2. Geef in het tekstvak op waarom u deze actie wilt uitvoeren. Selecteer Bevestigen.

3. Het zip-bestand wordt gedownload.

Of gebruik deze alternatieve procedure:

1. Selecteer Onderzoekpakket verzamelen in de sectie responsacties van de apparaatpagina.

   

2. Voeg opmerkingen toe en selecteer bevestigen.

   

3. Selecteer Actiecentrum in de sectie antwoordacties van de apparaatpagina.

   

4. Selecteer Pakketverzamelingspakket beschikbaar om het verzamelingspakket te downloaden.

   

   Opmerking

   Het verzamelen van het onderzoekspakket kan mislukken als het doelapparaat een laag batterijniveau heeft of zich op een verbinding met datalimiet bevindt.

Inhoud van het onderzoekspakket voor Windows-apparaten

Voor Windows-apparaten bevat het pakket de mappen die in de volgende tabel worden beschreven:

Inhoud van het onderzoekspakket voor Mac- en Linux-apparaten

De volgende tabel bevat de inhoud van de verzamelingspakketten voor Mac- en Linux-apparaten:

Microsoft Defender Antivirus-scan uitvoeren op apparaten

Als onderdeel van het onderzoek- of reactieproces kunt u op afstand een antivirusscan starten om malware te identificeren en te herstellen die mogelijk aanwezig is op een gecompromitteerd apparaat.

Nadat u antivirusscan uitvoeren hebt geselecteerd, selecteert u het scantype dat u wilt uitvoeren (snel of volledig) en voegt u een opmerking toe voordat u de scan bevestigt.

In het Actiecentrum worden de details van de antivirusscan weergegeven. De tijdlijn van het apparaat bevat een nieuwe gebeurtenis waarin wordt aangegeven dat er een scanactie is verzonden op het apparaat. Microsoft Defender Antivirus-waarschuwingen geven eventuele bedreigingen weer die tijdens de scan zijn aangetroffen.

Het uitvoeren van apps beperken

Naast het voorkomen van een aanval door schadelijke processen te stoppen, kunt u ook een apparaat vergrendelen en voorkomen dat volgende pogingen van mogelijk schadelijke programma's worden uitgevoerd.

Om te voorkomen dat een app wordt uitgevoerd, wordt een code-integriteitsbeleid toegepast. Met dit beleid kunnen bestanden alleen worden uitgevoerd als ze zijn ondertekend door een door Microsoft uitgegeven certificaat. Als u alleen Microsoft ondertekende bestanden toestaat, kunnen aanvallers geen gekraakte apparaten beheren.

Nadat u App-uitvoering beperken hebt geselecteerd op de apparaatpagina, typt u een opmerking en selecteert u Bevestigen. In het Actiecentrum worden de details van de app-beperking weergegeven en de tijdlijn van het apparaat bevat een nieuwe gebeurtenis.

Melding van apparaatgebruiker voor app-beperking

Wanneer een app is beperkt, wordt de volgende melding weergegeven om de gebruiker te informeren dat een app niet kan worden uitgevoerd:

Apparaten isoleren van het netwerk

Afhankelijk van de ernst van de aanval en de gevoeligheid van het apparaat, kunt u het apparaat isoleren van het netwerk. Apparaatisolatie kan helpen voorkomen dat de aanvaller het gecompromitteerde apparaat beheert en verdere activiteiten uitvoert, zoals gegevensexfiltratie en laterale verplaatsing.

Belangrijke punten om rekening mee te houden:

• In omgevingen die gebruikmaken van webproxy's (waaronder Proxy Auto Configuration (PAC), WPAD of statische/directe proxyconfiguraties), kunnen apparaten mogelijk niet herstellen van netwerkisolatie. Gebruik selectieve isolatie in dergelijke gevallen. Wanneer u selectieve isolatie gebruikt, zijn uitsluitingsinstellingen niet vereist om dit scenario te voorkomen.

• Het isoleren van apparaten van het netwerk wordt ondersteund voor macOS voor clientversie 101.98.84 en hoger. U kunt ook liverespons gebruiken om de actie uit te voeren. Zie Entiteiten op apparaten onderzoeken met behulp van liverespons voor meer informatie over liverespons

• Volledige isolatie is beschikbaar voor apparaten met Windows 11, Windows 10, versie 1703 of hoger, Windows Server 2012 R2 en hoger en Azure Stack HCI OS, versie 23H2 en hoger.

• Het isoleren van apparaten van het netwerk wordt ondersteund wanneer Defender wordt uitgevoerd in de passieve modus op alle ondersteunde Windows-besturingssystemen, macOS en Linux ondersteunde versies.

• U kunt de mogelijkheid voor apparaatisolatie gebruiken op alle ondersteunde Microsoft Defender voor Eindpunt op Linux vermeld in Systeemvereisten. Zorg ervoor dat de volgende vereisten zijn ingeschakeld:

  • iptables
  • ip6tables
  • Linux kernel met CONFIG_NETFILTER, CONFIG_IP_NF_IPTABLESen CONFIG_IP_NF_MATCH_OWNER voor kernelversie lager dan 5.x en CONFIG_NETFILTER_XT_MATCH_OWNER van 5.x kernel.

• Selectieve isolatie is beschikbaar voor apparaten met Windows 11, Windows 10 versie 1703 of hoger, Windows Server 2012 R2 en hoger, Azure Stack HCI OS, versie 23H2 en hoger en macOS. Zie Uitsluitingen van isolatie voor meer informatie over selectieve isolatie.

• Bij het isoleren van een apparaat zijn alleen bepaalde processen en bestemmingen toegestaan. Daarom kunnen apparaten die zich achter een volledige VPN-tunnel bevinden, de Microsoft Defender voor Eindpunt cloudservice niet bereiken nadat het apparaat is geïsoleerd. U wordt aangeraden een split-tunneling VPN te gebruiken voor Microsoft Defender voor Eindpunt en Microsoft Defender Antivirus-verkeer met betrekking tot beveiliging in de cloud.

• De functie ondersteunt VPN-verbinding.

• Aan u moet ten minste de Active remediation actions rol zijn toegewezen. Zie Rollen maken en beheren voor meer informatie.

• U moet toegang hebben tot het apparaat op basis van de instellingen van de apparaatgroep. Zie Apparaatgroepen maken en beheren voor meer informatie.

• Uitsluitingen, zoals e-mail, berichtentoepassing en andere toepassingen voor zowel macOS- als Linux-isolatie, worden niet ondersteund.

• Een geïsoleerd apparaat wordt uit de isolatie verwijderd wanneer een beheerder een nieuwe iptable regel wijzigt of toevoegt aan het geïsoleerde apparaat.

• Het isoleren van een server die wordt uitgevoerd op Microsoft Hyper-V blokkeert het netwerkverkeer naar alle onderliggende virtuele machines van de server.

• Apparaatisolatie wordt na zeven dagen automatisch opgeheven.

Met de functie apparaatisolatie wordt het gecompromitteerde apparaat losgekoppeld van het netwerk, terwijl de verbinding met de Defender for Endpoint-service behouden blijft, die het apparaat blijft bewaken. Op Windows 10 versie 1709 of hoger kunt u selectieve isolatie gebruiken voor meer controle over het netwerkisolatieniveau. U kunt er ook voor kiezen om outlook- en Microsoft Teams-connectiviteit in te schakelen.

Nadat u Apparaat isoleren hebt geselecteerd op de apparaatpagina, typt u een opmerking en selecteert u Bevestigen. In het Actiecentrum worden de scangegevens weergegeven en de tijdlijn van het apparaat bevat een nieuwe gebeurtenis.

Apparaat isoleren - automatische aanvalsonderbreking (preview)

Wanneer een apparaat in uw organisatie mogelijk wordt aangetast, kan Microsoft Defender voor Eindpunt het automatisch isoleren als onderdeel van automatische aanvalsonderbreking. Automatische isolatie helpt bij het verminderen van verdere impact op de organisatie en het beperken van laterale bewegingen van aanvallers. Het helpt ook bij het voorkomen van gegevensexfiltratie en ransomware-verspreiding. Wanneer een apparaat automatisch wordt geïsoleerd:

• Het gecompromitteerde apparaat wordt losgekoppeld van het netwerk, waardoor het risico op verdere gevolgen voor de organisatie wordt verkleind.
• Het apparaat behoudt de verbinding met de Microsoft Defender voor Eindpunt-service, die het apparaat blijft bewaken.

Automatische apparaatisolatieacties weergeven

Nadat automatische isolatie is toegepast, kunt u de actie en de status ervan bekijken in de Defender-portal:

• Open het relevante incident en bekijk het tabblad Activiteiten .

  

• Open de pagina met betrokken apparaten en bevestig de isolatiestatus van het apparaat.

• Open Actiecentrum om de actiegeschiedenis en huidige status te bekijken.

  

Beveiligingen en bedrijfsimpact

Houd rekening met het volgende voordat u automatische apparaatisolatie implementeert of erop reageert:

• Gerichte actie: Isolatie richt zich op specifieke apparaten die bij het incident betrokken zijn, in plaats van breed binnen de omgeving.
• Isolatie met beperkte tijd: isolatie wordt automatisch ongedaan gemaakt na een gedefinieerd tijdvenster. U kunt isolatie ook eerder vrijgeven na het voltooien van onderzoek en herstel.
• Klantbeheer: beveiligingsoperators kunnen de incidentcontext controleren en vervolgacties uitvoeren, waaronder het vrijgeven van isolatie wanneer dit veilig is.

Uitsluitingen van isolatie en uitsluitingen van automatische aanvalsonderbrekingen

Er zijn twee soorten uitsluitingen die relevant zijn voor automatische apparaatisolatie:

• Uitsluitingen voor selectieve isolatie: definieer welke processen en netwerkbestemmingen toegankelijk blijven op een geïsoleerd apparaat. Gebruik deze om kritieke communicatie (bijvoorbeeld beheerhulpprogramma's of zakelijke toepassingen) te behouden terwijl het apparaat is geïsoleerd. Selectieve isolatieuitsluitingen zijn beschikbaar voor apparaten die worden uitgevoerd op Windows 11, Windows 10 versie 1703 of hoger, Windows Server 2012 R2 en hoger, Azure Stack HCI OS, versie 23H2 en hoger en macOS.
• Uitsluitingen van automatische aanvalsonderbrekingen: definieer welke apparaten of entiteiten volledig worden uitgesloten van automatische onderbrekingsacties. Gebruik deze om te voorkomen dat bedrijfskritieke apparaten in de eerste plaats worden geïsoleerd.

Als een automatisch geïsoleerd apparaat bedrijfskritiek is, geeft u prioriteit aan snelle validatie en coördinatie van belanghebbenden. Hef de isolatie pas op nadat u hebt bevestigd dat de juiste indammings- en herstelmaatregelen zijn getroffen. Overweeg het gebruik van uitsluitingen voor automatische aanvalsonderbreking om de kans te verkleinen dat apparaten worden geïsoleerd die geen onderbreking kunnen tolereren.

Automatische apparaatisolatie bevestigen

Volg deze stappen om te bevestigen dat automatische apparaatisolatie is toegepast:

1. Open het relevante incident dat is gegenereerd door automatische aanvalsonderbreking in de Microsoft Defender-portal.
2. Bekijk het tabblad Activiteit of het Actiecentrum om te zien welke geautomatiseerde reactieacties zijn toegepast.
3. Open de pagina van het betrokken apparaat en controleer of de apparaatstatus aangeeft dat het is geïsoleerd.
   • Als de isolatieactie als mislukt wordt weergegeven of nog in behandeling is, controleer dan of het apparaat online is en kan rapporteren aan Defender for Endpoint. U kunt het opnieuw proberen vanuit het actievenster van het apparaat, indien beschikbaar.
   • Als een apparaat geïsoleerd lijkt, maar u geen onderzoeksgegevens kunt verzamelen, controleert u of uw onderzoeksmethode (bijvoorbeeld live antwoord) wordt ondersteund voor dat apparaat en scenario. Controleer ook of vereiste service-eindpunten bereikbaar zijn in uw netwerkconfiguratie. Zie Entiteiten op apparaten onderzoeken met behulp van liverespons en Apparaatconnectiviteit en proxy-instellingen configureren in Microsoft Defender voor Eindpunt voor meer informatie.

Een apparaat losmaken van automatische isolatie

U kunt het apparaat op elk gewenst moment van insluiting vrijgeven nadat u het risico hebt beperkt en het onderzoek hebt voltooid:

1. Selecteer het apparaat in de apparaatinventaris of open de pagina Apparaat.
2. Selecteer Release from isolation in het actiemenu.

Zie Apparaten isoleren van het netwerk voor meer informatie over het vrijgeven van apparaten.

Sluit apparaten uit van automatische apparaatisolatie

Je kunt specifieke apparaten uitsluiten van automatische apparaatisolatie door gebruik te maken van beleidsapplicaties en uitsluitingen. Maak een nieuwe apparaattag aan of gebruik een bestaande tag, wijs de tag toe aan de apparaten die je wilt uitsluiten, en configureer de beleidsapplicatie om de actie Isoleren apparaat voor die tag uit te sluiten.

Voor gedetailleerde instructies, zie Beleidsapplicaties en uitsluitingen (Voorbeeld).

Wanneer automatische aanvalsverstoring een uitgesloten apparaat als gecompromitteerd identificeert, wordt de actie 'apparaat isoleren ' niet uitgevoerd. De actie verschijnt met een Overgeslagen status in het actiecentrum, en het apparaat blijft normaal functioneren.

Apparaat geforceerd losmaken van isolatie

De functie voor apparaatisolatie is een waardevol hulpprogramma voor het beveiligen van apparaten tegen externe bedreigingen. Er zijn echter gevallen waarin geïsoleerde apparaten niet meer reageren.

Er is een downloadbaar script voor gevallen waarin geïsoleerde apparaten niet meer reageren die u kunt uitvoeren om ze geforceerd vrij te geven van isolatie. Het script is beschikbaar via een koppeling op de apparaatpagina in de Microsoft Defender-portal.

Ga als volgende te werk om het apparaat geforceerd uit isolatie te halen:

1. Selecteer op de pagina van het apparaat in het actiemenu Script downloaden om de isolatie van een apparaat geforceerd op te heffen.

2. Selecteer script downloaden in het deelvenster aan de rechterkant.

Minimale vereisten voor geforceerde vrijgave van apparaten

Als u een apparaat geforceerd uit de isolatie wilt verwijderen, moet op het apparaat Windows worden uitgevoerd. De volgende versies worden ondersteund:

• Windows 10 21H2 en 22H2 met KB5023773.
• Windows 11 versie 21H2, alle edities met KB5023774.
• Windows 11 versie 22H2, alle edities met KB5023778.

Melding aan apparaatgebruiker over isolatie

Wanneer een apparaat wordt geïsoleerd, wordt de volgende melding weergegeven om de gebruiker te informeren dat het apparaat wordt geïsoleerd van het netwerk:

Kritieke middelen bevatten

Wanneer een kritieke asset wordt aangetast en wordt gebruikt om bedreigingen te verspreiden, kan het stoppen van de verspreiding moeilijk zijn. Deze activa moeten actief blijven om productiviteitsverlies te voorkomen. Defender for Endpoint geeft het kritieke onderdeel tot in detail weer. Het voorkomt dat de aanval wordt verspreid terwijl de asset actief blijft.

Door automatische aanvalsonderbreking markeert Defender voor Eindpunt een schadelijk apparaat en identificeert deze rol. Vervolgens past het een overeenkomende beleidsregel toe om het kritieke bedrijfsmiddel te isoleren. Deze insluiting blokkeert alleen specifieke poorten en communicatierichtingen.

U kunt kritieke assets identificeren aan de hand van de kritieke assettag op het apparaat of de IP-pagina. Apparaatinsluiting ondersteunt kritieke assettypen, zoals domeincontrollers, DNS-servers en DHCP-servers.

Apparaten weghouden van het netwerk

Wanneer u een onbeheerd apparaat vindt dat is gecompromitteerd of mogelijk is aangetast, kunt u het vanuit het netwerk bevatten. Hierdoor voorkomt u dat de aanval lateraal wordt verplaatst. Wanneer u een apparaat isoleert, blokkeren alle apparaten die zijn onboarded in Defender for Endpoint de binnenkomende en uitgaande communicatie met dat apparaat. Containment helpt apparaten in de buurt te beveiligen terwijl de beveiligingsanalist de bedreiging vindt en corrigeert.

Zodra apparaten zijn geïsoleerd, raden we aan de dreiging op de geïsoleerde apparaten zo snel mogelijk te onderzoeken en te verhelpen. Na herstel moet u de apparaten uit de insluiting verwijderen.

Een apparaat isoleren

Voer de volgende stappen uit om een apparaat op de pagina Apparaatinventaris te bevatten:

1. Ga naar de pagina Apparaatinventaris en selecteer het apparaat dat u wilt bevatten.

2. Selecteer Apparaat bevatten in het menu Acties in de flyout van het apparaat.

   

3. Typ in het pop-upvenster voor het inperken van het apparaat een commentaar en selecteer Bevestigen.

   

Een apparaat vanaf de apparaatpagina bevatten

Een apparaat kan ook worden opgenomen op de apparaatpagina door Apparaat bevatten te selecteren op de actiebalk:

Nadat u een apparaat hebt geïsoleerd, controleert u, als het gedrag niet is zoals verwacht, of de BFE-service (Base Filtering Engine) is ingeschakeld op apparaten die bij Defender for Endpoint zijn onboarded.

Stoppen met het bevatten van een apparaat

U kunt op elk gewenst moment stoppen met het gebruik van een apparaat.

1. Selecteer het apparaat in de apparaatinventaris of open de pagina Apparaat.

2. Selecteer Release from containment in het actiemenu. Als u vrijkomt van insluiting, wordt de verbinding van het apparaat met het netwerk hersteld.

IP-adressen van niet-gedetecteerde apparaten bevatten

Defender for Endpoint kan ook IP-adressen bevatten die gekoppeld zijn aan apparaten die niet zijn ontdekt of niet zijn toegevoegd. Met een IP-adres kunnen aanvallers geen aanvallen meer verspreiden naar andere apparaten. Wanneer een IP-adres is opgenomen, blokkeren alle onboarded apparaten binnenkomend en uitgaand verkeer met apparaten die dat IP-adres gebruiken.

Het bevatten van een IP-adres dat is gekoppeld aan niet-gedetecteerde apparaten of apparaten die niet zijn toegevoegd aan Defender for Endpoint, wordt automatisch uitgevoerd door automatische aanvalsonderbreking. Het beleid IP-adres isoleren blokkeert automatisch een kwaadaardig IP-adres wanneer Defender for Endpoint detecteert dat het IP-adres is gekoppeld aan een niet-ontdekt apparaat of een apparaat dat niet is opgenomen.

Een bericht dat aangeeft dat de actie wordt toegepast, wordt weergegeven op de betreffende incident-, apparaat- of IP-pagina. Hier ziet u een voorbeeld.

Nadat een IP-adres is opgenomen, kunt u de actie bekijken in de geschiedenisweergave van het actiecentrum. U kunt zien wanneer de actie heeft plaatsgevonden en de IP-adressen identificeren die zijn opgenomen.

Als een ingesloten IP-adres deel uitmaakt van een incident, is er een indicator aanwezig in de incidentgrafiek en op het tabblad Bewijs en antwoord van het incident. Hier volgt een voorbeeld.

U kunt de insluiting van een IP-adres op elk gewenst moment stoppen. Als u de isolatie wilt stoppen, selecteert u de actie IP isoleren in het Actiecentrum. Selecteer ongedaan maken in de flyout. Met deze actie wordt de verbinding van het IP-adres met het netwerk hersteld.

Een gebruiker van het netwerk isoleren

Wanneer een identiteit in uw netwerk mogelijk is aangetast, moet u voorkomen dat die identiteit toegang heeft tot het netwerk en verschillende eindpunten. Defender voor Eindpunt kan een identiteit bevatten, waardoor de toegang wordt geblokkeerd en aanvallen, met name ransomware, worden voorkomen. Wanneer een identiteit is opgenomen, blokkeren alle ondersteunde Defender voor apparaten met onboarding van eindpunt binnenkomend verkeer in aanvalsprotocollen (netwerkaanmeldingen, RPC, SMB, RDP). De apparaten beëindigen ook lopende externe sessies en melden bestaande RDP-verbindingen af, inclusief alle gerelateerde processen. Legitiem verkeer blijft normaal stromen. Het bevatten van een identiteit kan aanzienlijk helpen om de impact van een aanval te verminderen. Wanneer een identiteit is ingedamd, hebben security operations-analisten extra tijd om de bedreiging voor de gecompromitteerde identiteit op te sporen, te identificeren en te verhelpen. Zodra een gebruiker wordt ondergesloten door automatische aanvalsonderbreking, wordt deze in de komende vijf dagen automatisch uit de insluiting verwijderd.

Belangrijke notities van gebruikers bevatten

• Defender voor Eindpunt dwingt gebruikersinsluiting af op de eindpuntlaag en schakelt het account in de id-provider niet uit. Defender voor Eindpunt blokkeert het gebruik van gecompromitteerde identiteiten op beveiligde apparaten en beperkt toegang op basis van verificatie, toegang tot het bestandssysteem en netwerkcommunicatiepaden. Met deze actie worden besturingselementen op gedetailleerd niveau toegepast, zodat Microsoft zich kan richten op aanvalsgerelateerde activiteiten en waar mogelijk normale zakelijke communicatie kan behouden.
• Wanneer de gebruikersactie Insluiten wordt geactiveerd door voorspellende afscherming (Preview), past de gebruikersactie Insluiten beperkingen selectiever toe, waarbij de nadruk ligt op gebruikers die via voorspellingslogica als hoog risico zijn aangemerkt. De insluitingsactie in de predictieve afscherming voorkomt nieuwe sessies in plaats van bestaande sessies te beëindigen.
• Hoewel de functie voor voorspellende afscherming als geheel in preview is, is deze actie algemeen beschikbaar, zowel wanneer deze wordt geactiveerd door aanvalsonderbreking als voorspellende afscherming.
• Het blokkeren van binnenkomende communicatie met een 'ingesloten' gebruiker wordt ondersteund op onboarded Microsoft Defender voor Eindpunt Windows 10 en 11 apparaten (Sense versie 8740 en hoger), Windows Server 2019+-apparaten en Windows Servers 2012R2 en 2016 met de moderne agent.
• Belangrijk: zodra een actie Gebruiker bevatten is afgedwongen op een domeincontroller, wordt er een GPO-update gestart voor het standaardbeleid voor domeincontrollers. Een wijziging van een groepsbeleidsobject start een synchronisatie tussen de domeincontrollers in uw omgeving. Dit is verwacht gedrag en als u uw omgeving bewaakt op wijzigingen in AD-groepsbeleidsobjecten, kunt u mogelijk meldingen over dergelijke wijzigingen ontvangen. Het ongedaan maken van de actie Gebruiker indammen zet de GPO-wijzigingen terug naar hun vorige staat, waarmee vervolgens opnieuw een AD GPO-synchronisatie in uw omgeving wordt gestart. Meer informatie over het samenvoegen van beveiligingsbeleid op domeincontrollers.

Een gebruiker inperken

Momenteel is het isoleren van gebruikers alleen automatisch mogelijk via automatische aanvalsonderbreking. Wanneer Microsoft vaststelt dat een gebruiker is gecompromitteerd, wordt automatisch het beleid 'Contain User' ingesteld.

Gebruikersacties weergeven

Nadat een gebruiker is opgenomen, kunt u de actie bekijken in de weergave Geschiedenis van het Actiecentrum. In de weergave Geschiedenis van het Actiecentrum kunt u zien wanneer de actie heeft plaatsgevonden en welke gebruikers in uw organisatie zijn opgenomen:

Bovendien wordt een gebruiker, nadat een identiteit als 'ingedamd' is beschouwd, door Defender for Endpoint geblokkeerd en kan deze geen kwaadaardige laterale bewegingen of versleuteling op afstand uitvoeren op of naar een ondersteund apparaat dat is onboarded bij Defender for Endpoint. Deze blokken worden weergegeven als waarschuwingen, zodat u snel kunt zien welke apparaten de gecompromitteerde gebruiker heeft geprobeerd te benaderen en welke mogelijke aanvalstechnieken zijn gebruikt:

Zie De actiestatus bijhouden op het tabblad Activiteiten (preview) om de huidige status van de gebruikersactie en andere acties te bekijken.

Undo bevat gebruikersacties

U kunt de blokken en insluiting op elk gewenst moment vrijgeven voor een gebruiker:

1. Selecteer de actie Gebruiker isoleren in het Actiecentrum. Selecteer in het zijvenster Ongedaan maken.

2. Selecteer de gebruiker in de gebruikersinventaris, het zijvenster van de Incident-pagina of het waarschuwingszijvenster en selecteer Ongedaan maken.

Met deze actie wordt de verbinding van de gebruiker met het netwerk hersteld.

Onderzoeksmogelijkheden met Contain User

Nadat een gebruiker is opgenomen, kunt u de potentiële bedreiging onderzoeken door de geblokkeerde acties van de gecompromitteerde gebruiker te bekijken. In de tijdlijnweergave van het apparaat ziet u informatie over specifieke gebeurtenissen, waaronder protocol- en interfacegranulariteit, en de relevante MITRE-techniek die eraan is gekoppeld.

Daarnaast kunt u het onderzoek uitbreiden met behulp van geavanceerde opsporing. Zoek naar een actietype dat begint met bevatten in de DeviceEvents tabel. Vervolgens kunt u alle verschillende blokkerende gebeurtenissen met betrekking tot Contain User in uw organisatie bekijken, dieper ingaan op de context van elk blok en de verschillende entiteiten en technieken extraheren die aan deze gebeurtenissen zijn gekoppeld.

GPO-beveiliging - voorspellende afscherming (preview)

Met de functie voorspellende bescherming (Preview) kan Defender for Endpoint de GPO-hardeningactie toepassen. GPO-beveiliging blokkeert tijdelijk nieuw groepsbeleidsobjectbeleid op apparaten met een hoog risico. Dit helpt inbreuk te voorkomen door wijzigingen in sleutelinstellingen te beperken.

Gebruik de Microsoft Defender for Identity sensor om betere resultaten te krijgen van voorspellende afscherming. Zie Voorspellende afscherming verrijken met Microsoft Defender for Identity voor meer informatie.

Nadat de actie is toegepast, kunt u de impact ervan bekijken in de incidentgrafiek, deze bijhouden in het Actiecentrum en onderzoeken met geavanceerde opsporing. Zie Voorspellende afschermingsacties beheren voor meer informatie.

Safeboot-versteviging - voorspellende bescherming (Preview)

Als onderdeel van de functie predictieve bescherming (Preview) past Defender for Endpoint automatisch de hardingsactie Safeboot toe. Safeboot-beveiliging helpt apparaten te beschermen tegen inbreuk door strengere opstartinstellingen af te dwingen op apparaten waarvan wordt voorspeld dat ze een hoog risico lopen op inbreuk.

Om voorspellende afschermingsacties te verrijken, raden we u aan de Microsoft Defender for Identity sensor in uw omgeving te gebruiken. Zie Voorspellende afscherming verrijken met Microsoft Defender for Identity voor meer informatie.

Nadat de actie is toegepast, kunt u de impact van de actie bekijken in de incidentgrafiek, de acties bijhouden in het actiecentrum en verder onderzoeken met behulp van geavanceerde opsporing. Zie Voorspellende afschermingsacties beheren voor meer informatie.

Raadpleeg De actiestatus bijhouden op het tabblad Activiteiten (Preview) om de huidige status van de hardeningsactie van Safeboot en andere acties te bekijken.

Contact opnemen met een risicodeskundige

U kunt een Microsoft bedreigingsexpert raadplegen voor meer inzicht in een gecompromitteerd of mogelijk gecompromitteerd apparaat. Microsoft Threat Experts werken rechtstreeks met u samen vanuit het Defender-portal voor een tijdige en accurate reactie. Experts helpen u complexe bedreigingen, gerichte aanvalswaarschuwingen en bedreigingsinformatie te begrijpen die wordt weergegeven op uw portaldashboard.

Zie Eindpuntaanvalmeldingen configureren en beheren voor meer informatie.

Activiteitsdetails en -status controleren

Het actiecentrum (https://security.microsoft.com/action-center) bevat informatie over acties die zijn uitgevoerd op een apparaat of bestand. U kunt de volgende details bekijken:

• Verzameling van onderzoekspakketten
• Virusscan
• Beperking van apps
• Apparaatisolatie

Alle andere gerelateerde details worden ook weergegeven, bijvoorbeeld datum/tijd van inzending, verzendende gebruiker en of de actie is geslaagd of mislukt.

Op het tabblad Activiteiten op de pagina Incident ziet u de details en status van acties die zijn uitgevoerd als onderdeel van de reactie op het incident. Zie De actiestatus bijhouden op het tabblad Activiteiten (preview) voor meer informatie.

Verwante onderwerpen

• Responsacties uitvoeren op een bestand
• Handmatige antwoordacties in Microsoft Defender voor Eindpunt Plan 1
• Onnauwkeurigheid rapporteren