Configureer Defender voor identiteitsdetectie-uitsluitingen in Microsoft Defender

Dit artikel legt uit hoe je Microsoft Defender for Identity-detectie-uitsluitingen configureert in Microsoft Defender.

Microsoft Defender for Identity maakt het mogelijk specifieke IP-adressen, computers, domeinen of gebruikers uit te sluiten van een aantal detecties.

Een DNS Reconnaissance-waarschuwing kan bijvoorbeeld worden geactiveerd door een beveiligingsscanner die GEBRUIKMAAKT van DNS als een scanmechanisme. Door een uitsluiting te maken, kan Microsoft Defender for Identity dergelijke scanners negeren en valse positieven verminderen.

Opmerking

  • U wordt aangeraden een waarschuwing in Microsoft Defender XDR af te stemmen in plaats van uitsluitingen te gebruiken. Regels voor het afstemmen van waarschuwingen staan gedetailleerdere voorwaarden toe dan uitsluitingen en stellen u in staat om de waarschuwingen te bekijken die zijn afgestemd.

  • Onder de meest voorkomende domeinen met verdachte communicatie via DNS-waarschuwingen hebben we de domeinen waargenomen die het vaakst werden uitgesloten van de waarschuwing. Deze domeinen worden standaard toegevoegd aan de lijst met uitsluitingen, maar u kunt ze verwijderen.

Belangrijk

Naarmate Defender for Identity-detecties overstappen naar de Microsoft Defender XDR-detectiemotor, worden bestaande detectie-uitsluitingen niet automatisch overgenomen. Na een detectiebeweging stoppen eerder geconfigureerde uitsluitingen met gelden, en kunnen waarschuwingen die eerder onderdrukt waren opnieuw verschijnen. Om je afstemming te behouden, maak je gelijkwaardige afstemming opnieuw door alert-afstemmingsregels te gebruiken in het Microsoft Defender-portaal.

Detectieuitsluitingen toevoegen

Voer de volgende stappen uit om detectieuitsluitingen toe te voegen.

Opmerking

Wanneer je een uitsluiting vervangt door een waarschuwingsafstemmingsregel, zoek dan de detectie voor de uitgesloten entiteit. Koppel het vervolgens aan de matchingdetector in alert tuning. Controleer nadat je de regel hebt gemaakt of de detector onder Alert tuning verschijnt in het Microsoft Defender-portaal. Dit bevestigt dat de alertscope correct is.

  1. Aanmelden bij de Microsoft Defender-portal

  2. Ga naar Systeeminstellingen> en vervolgens Identiteiten.

    Schermopname van de pagina met identiteitsinstellingen in de Microsoft Defender portal.

  3. Selecteer Uitgesloten entiteiten. U kunt uitsluitingen instellen met behulp van twee methoden: Uitsluitingen op detectieregel en Globale uitgesloten entiteiten.

    Schermopname van de lijst met uitgesloten entiteiten.

Uitsluitingen per detectieregel

Voer de volgende stappen uit om uitsluitingen voor een specifieke detectieregel te configureren:

  1. Selecteer Uitsluitingen op basis van detectieregel.

    Schermopname van de optie uitsluitingen door detectieregel.

  2. Voer de volgende stappen uit voor elke detectie die u wilt configureren:

    1. Selecteer een detectieregel in de lijst.

    2. Bekijk de details van de detectieregel.

      Schermopname van de details van de detectieregel.

    3. Als u een uitsluiting wilt toevoegen, selecteert u de knop Uitgesloten entiteiten .

    4. Kies het type uitsluiting, zoals gebruikers, apparaten, domeinen of IP-adressen. Elke regel ondersteunt verschillende entiteitstypen. In dit voorbeeld zijn de opties Apparaten uitsluiten en IP-adressen uitsluiten.

      Schermopname van de opties voor het uitsluiten van apparaten of IP-adressen.

    5. Nadat u het uitsluitingstype hebt gekozen, selecteert u de + knop om de uitsluiting toe te voegen.

      Schermopname van de knop Uitsluiting toevoegen.

    6. Selecteer + Toevoegen om de uitgesloten entiteit toe te voegen aan de lijst.

      Schermopname van het toevoegen van een entiteit die moet worden uitgesloten.

    7. Selecteer IP-adressen uitsluiten (in dit voorbeeld) om de uitsluiting te voltooien.

      Schermopname van de uitsluiting van IP-adressen.

    8. Nadat je uitsluitingen hebt toegevoegd, kun je ze exporteren of verwijderen. Keer terug naar de knop Uitgesloten entiteiten . Selecteer in dit voorbeeld Apparaten uitsluiten. Als u de lijst wilt exporteren, selecteert u de pijl-omlaagknop.

      Schermopname die laat zien hoe u terugkeert om apparaten uit te sluiten.

    9. Als u een uitsluiting wilt verwijderen, selecteert u de uitsluiting en selecteert u het prullenbakpictogram. Het verwijderen van een uitsluiting verwijdert deze onmiddellijk en kan ervoor zorgen dat gerelateerde meldingen worden hervat.

      Schermopname van het verwijderen van een uitsluiting.

Globale uitgesloten entiteiten

Je kunt ook uitsluitingen configureren door gebruik te maken van Globale uitgesloten entiteiten. Globale uitsluitingen stellen je in staat bepaalde entiteiten (IP-adressen, subnetten, apparaten of domeinen) uit te sluiten van alle Defender voor identiteitsdetectie. Als je bijvoorbeeld een apparaat uitsluit, geldt de uitsluiting alleen voor detecties die gebruikmaken van apparaatidentificatie.

  1. Selecteer Globale uitgesloten entiteiten om de categorieën entiteiten weer te geven die u kunt uitsluiten.

    Schermopname van de globale uitgesloten entiteiten.

  2. Kies een uitsluitingstype. In dit voorbeeld hebben we domeinen uitsluiten geselecteerd.

    Schermopname van de optie om domeinen uit te sluiten.

  3. Er wordt een deelvenster geopend waarin u een domein kunt toevoegen dat moet worden uitgesloten. Voeg het domein toe dat u wilt uitsluiten.

    Schermopname van het toevoegen van een domein dat moet worden uitgesloten.

  4. Het domein wordt toegevoegd aan de lijst. Selecteer Domeinen uitsluiten om de uitsluiting te voltooien.

    Schermopname van het uitsluiten van domeinen.

  5. Vervolgens ziet u het domein in de lijst met entiteiten die moeten worden uitgesloten van alle detectieregels. U kunt de lijst exporteren of de entiteiten verwijderen door ze te kiezen en de knop Verwijderen te selecteren.

    Schermopname van de lijst met algemene uitgesloten vermeldingen.

Volgende stappen

  • Last updated on