Automatische onderbreking van aanvallen configureren in Microsoft Defender XDR

Microsoft Defender XDR bevat krachtige mogelijkheden voor het onderbreken van geautomatiseerde aanvallen die uw omgeving kunnen beschermen tegen geavanceerde aanvallen met een hoge impact.

Configureer automatische aanvalsonderbrekingsmogelijkheden in Microsoft Defender XDR. Bekijk voordat je begint de vereisten voor licenties, toestemmingen en productspecifieke setup-vereisten. Nadat u alles hebt ingesteld, kunt u insluitingsacties weergeven en beheren in Incidenten en het Actiecentrum. En, indien nodig, kunt u wijzigingen aanbrengen in de instellingen voor automatische aanvalsonderbreking.

Wanneer Microsoft Defender voor Eindpunt wordt ingezet, kan automatische aanvalsverstoring onbeheerde apparaten en gebruikers bevatten of automatisch een gecompromitteerd werkstation van het netwerk isoleren. Automatische apparaatisolatie is momenteel in preview. Voor details over elke responsactie, zie Geautomatiseerde responsacties.

Vereisten

Hier volgen de vereisten voor het configureren van automatische aanvalsonderbrekingen in Microsoft Defender:

Vereiste Details
Abonnementsvereisten Een van deze abonnementen:
  • Microsoft 365 E5 of A5
  • Microsoft 365 E3 met de Microsoft Defender Suite-invoegtoepassing
  • Microsoft 365 E3 met de Enterprise Mobility + Security E5-invoegtoepassing
  • Microsoft 365 A3 met de Microsoft 365 A5 Security-invoegtoepassing
  • Windows 10 Enterprise E5 of A5
  • Windows 11 Enterprise E5 of A5
  • Enterprise Mobility + Security (EMS) E5 of A5
  • Office 365 E5 of A5
  • Microsoft Defender voor Eindpunt (Abonnement 2)
  • Microsoft Defender for Identity
  • Microsoft Defender voor Cloud-apps
  • Defender voor Office 365 (abonnement 2)
  • Microsoft Defender voor Bedrijven

Zie Microsoft Defender XDR licentievereisten.
Implementatievereisten
  • Implementatie van Defender producten (bijvoorbeeld Defender voor eindpunt, Defender voor Office 365, Defender voor identiteit en Defender for Cloud Apps)
    • Hoe breder de implementatie, hoe groter de beschermingsdekking is. Als bijvoorbeeld een Microsoft Defender for Cloud Apps-signaal wordt gebruikt bij een bepaalde detectie, is dit product vereist om het relevante specifieke aanvalsscenario te detecteren.
    • Op dezelfde manier moet elk Defender product worden geïmplementeerd om de geautomatiseerde antwoordacties uit te voeren. Zo moet Microsoft Defender voor Eindpunt een niet-beheerd apparaat bevatten of een onboarded werkstation isoleren.
  • Microsoft Defender voor Eindpunt device discovery staat ingesteld op Standard discovery voor de automatische Contain device-actie.
  • Voor aanvalsonderbrekingsacties in externe platforms, zoals Okta of AWS (preview): Microsoft Sentinel analytische werkruimte die is verbonden met de geïntegreerde portal voor beveiligingsbewerkingen, waarbij de relevante providerconnector is geïmplementeerd.
Machtigingen Als u mogelijkheden voor automatische aanvalsonderbreking wilt configureren, moet een van de volgende rollen zijn toegewezen in Microsoft Entra ID (https://portal.azure.com) of in de Microsoft 365-beheercentrum (https://admin.microsoft.com):
  • Globale beheerder
  • Beveiligingsbeheerder
  • Gebruikersbeheerder
  • Verificatiebeheerder
  • Beheerder voor bevoorrechte verificatie
  • Schrijvers van adreslijsten
  • Helpdeskbeheerder
  • Beveiligingsoperator
Zie Vereiste machtigingen voor actiecentrumtaken als u wilt werken met geautomatiseerde onderzoeks- en reactiemogelijkheden, zoals het controleren, goedkeuren of weigeren van acties die in behandeling zijn.

vereisten voor Microsoft Defender voor Eindpunt

Om automatische aanvalsonderbreking te ondersteunen, vereist Microsoft Defender voor Eindpunt een minimale Sense-clientversie en de juiste automatiseringsinstellingen voor uw apparaatgroepen.

Automatische apparaatisolatie-vereisten en waarborgen (preview)

Automatische isolatie van apparaten werkt alleen voor werkstations van eindgebruikers die zijn opgenomen en worden beheerd door Microsoft Defender voor Eindpunt. Isolatie blokkeert het meeste netwerkverkeer terwijl de connectiviteit met de benodigde Defender voor Endpoint-beveiligingsdiensten behouden blijft. De actie is beperkt tot apparaten die bij het incident betrokken zijn en wordt automatisch ongedaan gemaakt na een bepaald tijdsvenster. Beveiligingsmedewerkers kunnen het apparaat eerder vrijgeven.

Als geïsoleerde apparaten toegang nodig hebben tot specifieke processen of bestemmingen, configureer dan selectieve isolatie-uitsluitingen. Om automatische aanvalsverstoring te voorkomen die geselecteerde apparaten isoleren, configureer automatische uitsluitingen voor aanvalsverstoring.

Minimale vereiste versie van de Sense-client (MDE-client)

De Sense Agent is het sensorcomponent van de Microsoft Defender voor Eindpunt die op elk apparaat draait. De minimale Sense Agent-versie die nodig is voor de Contain User-actie is v10.8470. Je kunt de Sense Agent-versie op een apparaat identificeren door de volgende PowerShell-commando's uit te voeren.

Om te verifiëren dat Microsoft Defender voor Eindpunt is geïnstalleerd en het installatiepad te bepalen, raadpleeg het register:

Get-ItemProperty -Path 'Registry::HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Advanced Threat Protection\' -Name "InstallLocation"

Alternatief, om de geïnstalleerde sensorversie te bevestigen door de MsSense DLL-versie uit het register te lezen, voer je het volgende commando uit:

Get-ItemProperty -Path 'Registry::HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Advanced Threat Protection\Status' -Name "MsSenseDllVersion"

Automatiseringsinstelling voor de apparaten van uw organisatie

Controleer de automatiseringsinstellingen voor uw apparaatgroepsbeleid om te bepalen of geautomatiseerde onderzoeken worden uitgevoerd en of herstelacties automatisch of alleen na goedkeuring worden uitgevoerd. U moet een globale beheerder of beveiligingsbeheerder zijn om de volgende procedure uit te voeren:

  1. Ga naar de Microsoft Defender-portal en meld u aan.

  2. Ga naar Systeeminstellingen>>Eindpunten>Apparaatgroepen onder Machtigingen.

  3. Controleer uw apparaatgroepsbeleid en bekijk de kolom Herstelniveau . Volledig - bedreigingen automatisch oplossen is de aanbevolen instelling.

U kunt ook uw apparaatgroepen maken of bewerken om het juiste herstelniveau voor elke groep in te stellen. Als u het niveau Semi-automatisering selecteert, kan automatische aanvalsonderbreking worden geactiveerd zonder dat handmatige goedkeuring nodig is. Als u een apparaatgroep wilt uitsluiten van geautomatiseerde insluiting, kunt u het automatiseringsniveau instellen op geen geautomatiseerd antwoord. Deze instelling wordt niet ten zeerste aanbevolen en mag alleen worden uitgevoerd voor een beperkt aantal apparaten.

Opmerking

Aanvalsonderbreking kan optreden op apparaten die onafhankelijk zijn van de Microsoft Defender Antivirus-besturingssysteemstatus van een apparaat. De Microsoft Defender Antivirus-werkingsstatus kan actief, passief of EDR-blokmodus zijn.

vereisten voor Microsoft Defender for Identity

Ter ondersteuning van automatische onderbreking van aanvallen vereist Microsoft Defender for Identity controle van domeincontrollers en correct geconfigureerde actieaccounts.

Auditing configureren op domeincontrollers

Zie Controlebeleid voor Windows-gebeurtenislogboeken configureren om controle op domeincontrollers in te stellen. Zorg ervoor dat de vereiste controlegebeurtenissen zijn geconfigureerd op domeincontrollers waarop de Defender voor identiteitssensor is geïmplementeerd.

Actieaccounts valideren

Defender voor identiteit kunt u herstelacties uitvoeren die gericht zijn op on-premises Active Directory accounts wanneer een identiteit wordt aangetast. Als u deze acties wilt uitvoeren, moet Defender for Identity over de vereiste machtigingen beschikken om dit te doen. Standaard imiteert de Defender for Identity-sensor het LocalSystem-account van de domeincontroller en voert de acties uit. Aangezien de standaardimitatie van het LocalSystem-account kan worden gewijzigd, controleer of Defender for Identity over de vereiste machtigingen beschikt of het standaard-LocalSystem-account gebruikt.

Meer informatie over de actieaccounts vindt u in Microsoft Defender voor Identiteit-actieaccounts configureren.

De Defender for Identity-sensor moet worden geïmplementeerd op de domeincontroller waarop het Active Directory-account moet worden uitgeschakeld.

Opmerking

Als u automatisering hebt ingesteld om een gebruiker te activeren of te blokkeren, controleert u of de automatisering onderbrekingen kan verstoren. Als er bijvoorbeeld een automatisering is om regelmatig te controleren of alle actieve werknemers accounts hebben ingeschakeld, kan dit onbedoeld accounts activeren die zijn gedeactiveerd door een aanvalsonderbreking terwijl er een aanval wordt gedetecteerd.

vereisten voor Microsoft Defender for Cloud Apps

Om automatische aanvalsonderbreking te ondersteunen, vereist Microsoft Defender for Cloud Apps een correct geconfigureerde Microsoft-Office 365-connector.

Microsoft Office 365-connector

Microsoft Defender for Cloud Apps moet via de connector zijn verbonden met Microsoft Office 365. Zie Microsoft 365 verbinden met Microsoft Defender for Cloud Apps om Defender for Cloud Apps te verbinden.

Belangrijk

Om volledige functionaliteit van de mogelijkheid te garanderen, is het verplicht om de Microsoft 365-connector correct te configureren. Bij het configureren van de Microsoft 365-connector in Defender for Cloud Apps moeten alle selectievakjes zijn aangevinkt, inclusief de optie om Microsoft Entra ID-apps in te schakelen. Als u niet alle vereiste opties selecteert, kan dit leiden tot:

  • Gedeeltelijke of verminderde functionaliteit
  • Niet in staat zijn om kritieke acties uit te voeren (zoals appbeheer of verstoringsstromen)
  • Verhoogde kans op bewerkingsfouten

Microsoft Defender voor Office 365 vereisten

Ter ondersteuning van automatische onderbreking van aanvallen vereist Microsoft Defender voor Office 365 postvakken die worden gehost in Exchange Online en specifieke gebeurtenissen voor auditlogboekregistratie van postvakken.

Locatie van postvakken

Postvakken moeten worden gehost in Exchange Online.

Logboekregistratie van postvakcontrole

Controleer minimaal deze postvakgebeurtenissen: MailItemsAccessed, UpdateInboxRules, MoveToDeletedItems, SoftDelete en HardDelete.

Raadpleeg Postvakcontrole beheren voor meer informatie over het beheren van postvakcontrole.

Microsoft Sentinel vereisten voor externe platforms (preview)

Uw Microsoft Sentinel analytische werkruimte moet zijn verbonden met de geïntegreerde portal voor beveiligingsbewerkingen om aanvalsonderbrekingsacties voor Okta en AWS mogelijk te maken.

Volgende stappen

  • Last updated on