Webbeveiliging in Microsoft Defender voor Eindpunt

In dit artikel wordt uitgelegd hoe webbeveiliging in Microsoft Defender voor Eindpunt helpt uw apparaten te beveiligen tegen webbedreigingen en ongewenste inhoud te reguleren. Hierin worden de belangrijkste mogelijkheden behandeld: beveiliging tegen webdreigingen, filteren van webinhoud en aangepaste indicatoren, samen met browserondersteuning, regels voor beleidsprioriteit, probleemoplossing en geavanceerde opsporingsquery's. Deze informatie is bedoeld voor beveiligingsbeheerders en IT-professionals die Defender voor Eindpunt beheren.

Overview

Webbeveiliging in Microsoft Defender voor Eindpunt bestaat uit beveiliging tegen webdreigingen, filteren van webinhoud en aangepaste indicatoren. Met webbeveiliging kunt u uw apparaten beveiligen tegen webbedreigingen en helpt u ongewenste inhoud te reguleren. U vindt webbeveiligingsrapporten in de Microsoft Defender-portal door naar Rapporten > webbeveiliging te gaan.

Webbedreigingsbeveiliging

De kaarten waaruit bescherming tegen webdreigingen bestaat, zijn Detecties van webdreigingen in de loop van de tijd en samenvatting van webdreigingen.

Bescherming tegen webbedreigingen omvat:

• Uitgebreid inzicht in webbedreigingen die van invloed zijn op uw organisatie.
• Mogelijkheden voor het onderzoeken van webgerelateerde bedreigingsactiviteiten via waarschuwingen en uitgebreide profielen van URL's en de apparaten die toegang hebben tot deze URL's.
• Een volledige set beveiligingsfuncties waarmee algemene toegangstrends tot schadelijke en ongewenste websites worden bijgehouden.

In niet-Microsoft Edge-processen bepaalt Netwerkbeveiliging de volledig gekwalificeerde domeinnaam voor elke HTTPS-verbinding door de inhoud te onderzoeken van de TLS-handshake die optreedt na een TCP/IP-handshake. Dit vereist dat de HTTPS-verbinding GEBRUIKMAAKT van TCP/IP (niet UDP/QUIC) en dat het ClientHello-bericht niet wordt versleuteld. Zie QuicAllowed en EncryptedClientHelloEnabled om QUIC en Encrypted Client Hello uit te schakelen in Google Chrome. Voor Mozilla Firefox, zie EncryptedClientHello uitschakelen en network.http.http3.enable.

Er kan maximaal twee uur latentie (meestal minder) zijn tussen het moment dat een indicator wordt toegevoegd en deze wordt afgedwongen op de client. Zie Beveiliging tegen webdreigingen voor meer informatie.

Aangepaste indicatoren

Aangepaste indicatordetecties worden samengevat in webdreigingsrapporten onder Web threat detections in de loop van de tijd en Web threat summary.

Aangepaste indicatoren bieden:

• De mogelijkheid om ip- en URL-gebaseerde indicatoren voor inbreuk te maken om uw organisatie te beschermen tegen bedreigingen.
• De mogelijkheid om het gedrag voor Toestaan, Blokkeren of Waarschuwen op te geven.
• Onderzoeksmogelijkheden voor activiteiten met betrekking tot uw aangepaste IP-/URL-indicatoren en de apparaten die deze URL's benaderen.

Zie Indicatoren maken voor IP's en URL's/domeinen voor meer informatie

Filteren van webinhoud

Filterblokken voor webinhoud worden samengevat onder Webactiviteit per categorie, Samenvatting van het filteren van webinhoud en Samenvatting van webactiviteit.

Filteren van webinhoud biedt:

• De mogelijkheid om te voorkomen dat gebruikers toegang krijgen tot websites in geblokkeerde categorieën, of ze nu on-premises of afwezig zijn.
• Ondersteuning voor het richten van verschillende beleidsregels op verschillende apparaatgroepen die zijn gedefinieerd in de instellingen voor op rollen gebaseerd toegangsbeheer Microsoft Defender voor Eindpunt.

  Opmerking

  Het maken van een apparaatgroep wordt ondersteund in Defender for Endpoint Plan 1 en Plan 2.

• Webrapportage op dezelfde centrale locatie, met inzicht in zowel blokken als webgebruik.

Zie Webinhoud filteren voor meer informatie.

Volgorde van prioriteit

Wanneer meerdere webbeveiligingsbeleidsregels van toepassing kunnen zijn op dezelfde URL of IP-aanvraag, bepaalt de volgorde van prioriteit welk beleid wint. Webbeveiliging bestaat uit de volgende onderdelen, vermeld in volgorde van prioriteit. Elk van deze onderdelen wordt afgedwongen door de SmartScreen-client in Microsoft Edge en door de netwerkbeveiligingsclient in alle andere browsers en processen.

• Aangepaste indicatoren (IP/URL, Microsoft Defender for Cloud Apps beleid)

  • Toestaan
  • Waarschuwen
  • Blokkeren

• Webbedreigingen (malware, phishing)

  • SmartScreen Intel

• Filteren van webinhoud (WCF)

De volgorde van prioriteit beschrijft de volgorde waarin webbeveiligingsonderdelen (aangepaste indicatoren, webbedreigingsbeveiliging en filteren van webinhoud) een URL of IP-adres evalueren. Als u bijvoorbeeld een beleid voor het filteren van webinhoud hebt, kunt u uitsluitingen maken via aangepaste IP-/URL-indicatoren. Aangepaste Indicators of Compromise (IoC's) hebben een hogere prioriteit dan WCF-blokken.

Op dezelfde manier hebben toestaan-signalen bij een conflict tussen indicatoren altijd voorrang op blokkeringen (overschrijvingslogica). Dit betekent dat een indicator voor toestaan voorrang heeft op elke aanwezige indicator voor blokkeren.

De volgende tabel bevat een overzicht van enkele veelvoorkomende configuraties die conflicten zouden veroorzaken binnen de webbeveiligingsstack. Het identificeert ook de resulterende vaststellingen op basis van de volgorde van prioriteit voor webbeveiligingsonderdelen.

Interne IP-adressen worden niet ondersteund door aangepaste indicatoren. Bij een waarschuwingsbeleid wordt de site, als dit door de eindgebruiker wordt omzeild, standaard gedurende 24 uur voor die gebruiker gedeblokkeerd. Dit tijdsbestek kan worden gewijzigd door de Beheer en wordt doorgegeven door de SmartScreen-cloudservice. De mogelijkheid om een waarschuwing te omzeilen kan ook worden uitgeschakeld in Microsoft Edge met behulp van CSP voor web-bedreigingsblokken (malware/phishing). Zie Microsoft Edge SmartScreen-instellingen voor meer informatie.

Browsers beveiligen

In alle scenario's voor webbeveiliging kunnen SmartScreen en Netwerkbeveiliging samen worden gebruikt om beveiliging te garanderen in zowel Microsoft- als niet-Microsoft-browsers en -processen. SmartScreen is rechtstreeks ingebouwd in Microsoft Edge, terwijl Netwerkbeveiliging verkeer bewaakt in niet-Microsoft-browsers en -processen. In het volgende diagram ziet u hoe SmartScreen en Network Protection samenwerken in Microsoft en niet-Microsoft browsers en processen. Dit diagram van de twee clients die samenwerken om meerdere browser-/app-dekkingen te bieden, is nauwkeurig voor alle functies van webbeveiliging (indicatoren, webbedreigingen, inhoudsfiltering).

Endpointblokkeringen oplossen

Antwoorden van de SmartScreen-cloud zijn gestandaardiseerd. Hulpprogramma's zoals Telerik Fiddler kunnen worden gebruikt om de reactie van de cloudservice te onderzoeken, waardoor de oorzaak van de blokkering kan worden bepaald.

Wanneer de SmartScreen-cloudservice reageert met een antwoord op toestaan, blokkeren of waarschuwen, worden een antwoordcategorie en servercontext doorgestuurd naar de client. In Microsoft Edge wordt de antwoordcategorie gebruikt om te bepalen welke blokkeringspagina moet worden weergegeven (kwaadwillend, phishing, organisatiebeleid).

In de volgende tabel ziet u de antwoorden en de bijbehorende gecorreleerde functies.

Geavanceerde opsporing voor webbeveiliging

Met Kusto-query's in Geavanceerd opsporen kunt u blokkeringen door webbeveiliging in uw organisatie voor een periode van maximaal 30 dagen samenvatten. Deze query's gebruiken de antwoordcategorieën uit de tabel Problemen met eindpuntblokken oplossen om onderscheid te maken tussen de verschillende bronnen van blokken en deze op een gebruiksvriendelijke manier samen te vatten. Als u bijvoorbeeld WCF-blokken (Web Content Filtering) wilt zoeken die zijn gedetecteerd door SmartScreen in Microsoft Edge, voert u de volgende query uit. Deze query filtert DeviceEvents op waarschuwingsacties voor SmartScreen-URL's en extraheert sleutelvelden zoals apparaatnaam, tijdstempel, URL en de ervaringscategorie om filterblokken voor webinhoud te identificeren.

DeviceEvents
| where ActionType == "SmartScreenUrlWarning"
| extend ParsedFields=parse_json(AdditionalFields)
| project DeviceName, ActionType, Timestamp, RemoteUrl, InitiatingProcessFileName, Experience=tostring(ParsedFields.Experience)
| where Experience == "CustomPolicy"

Gebruik de volgende query om WCF-blokken te identificeren die worden afgedwongen door Network Protection in niet-Microsoft browsers. In deze query is de ActionType is ExploitGuardNetworkProtectionBlocked en het filterveld ResponseCategory in plaats van Experience.

DeviceEvents
| where ActionType == "ExploitGuardNetworkProtectionBlocked"
| extend ParsedFields=parse_json(AdditionalFields)
| project DeviceName, ActionType, Timestamp, RemoteUrl, InitiatingProcessFileName, ResponseCategory=tostring(ParsedFields.ResponseCategory)
| where ResponseCategory == "CustomPolicy"

Als u blokken wilt weergeven die worden veroorzaakt door andere functies (zoals aangepaste indicatoren), raadpleegt u de tabel ResponseCategory. De tabel ResponseCategory bevat een overzicht van elke functie en de bijbehorende antwoordcategorie. Deze query's kunnen worden gewijzigd om te zoeken naar telemetrie met betrekking tot specifieke machines in uw organisatie. Het ActionType dat in elke query wordt weergegeven, toont alleen de verbindingen die zijn geblokkeerd door een functie voor webbeveiliging en niet al het netwerkverkeer.

Wat gebruikers zien wanneer webbeveiliging inhoud blokkeert

Als een gebruiker een webpagina bezoekt die een risico vormt op malware, phishing of andere webbedreigingen, wordt in Microsoft Edge een blokkeringspagina weergegeven die lijkt op de volgende afbeelding:

Vanaf Microsoft Edge 124 wordt de volgende blokpagina weergegeven voor alle categorieblokken voor het filteren van webinhoud.

In elk geval worden er geen blokkeringspagina's weergegeven in niet-Microsoft-browsers en ziet de gebruiker in plaats daarvan de pagina 'Beveiligde verbinding mislukt' samen met een Pop-upmelding van Windows. Afhankelijk van het beleid dat verantwoordelijk is voor de blokkering, ziet de gebruiker een ander bericht in de toastmelding. Als u bijvoorbeeld webinhoud filtert, wordt het bericht 'Deze inhoud is geblokkeerd' weergegeven.

Rapporteer vals positieven

Als u een vals-positief wilt melden voor websites die door SmartScreen als gevaarlijk zijn aangemerkt, gebruikt u de link die wordt weergegeven op de blokkeringspagina van Microsoft Edge.

Voor het filteren van webinhoud (WCF) kunt u een blok overschrijven met behulp van een indicator Toestaan en eventueel de categorie van een domein betwisten. Ga naar het tabblad Domeinen van de WCF-rapporten. U ziet een beletselteken naast elk van de domeinen. Beweeg de aanwijzer over dit beletselteken en selecteer Geschilcategorie. Er wordt een uitklapmenu geopend. Stel de prioriteit van het incident in en geef enkele andere details op, zoals de voorgestelde categorie. Zie Filteren van webinhoud voor meer informatie over het inschakelen van WCF en het betwisten van categorieën.

Zie Fout-positieven/-negatieven aanpakken in Microsoft Defender voor Eindpunt voor meer informatie over het indienen van fout-positieven/-negatieven.

Verwante artikelen