Microsoft Defender XDR Integration mit Microsoft Sentinel

In diesem Artikel wird beschrieben, wie Microsoft Defender XDR Dienste in Microsoft Sentinel integriert werden, unabhängig davon, ob im Microsoft Defender-Portal oder im Azure-Portal.

• Wenn Sie nach dem 1. Juli 2025 mit Berechtigungen eines Abonnementbesitzers oder eines Benutzerzugriffsadministrators das Onboarding in Microsoft Sentinel durchgeführt haben, wird Ihr Arbeitsbereich automatisch in das Defender-Portal integriert. In solchen Fällen verwenden Sie Microsoft Sentinel nur im Defender-Portal, wo Ihre Daten für einheitliche Sicherheitsvorgänge direkt in Defender XDR Dienstdaten integriert werden können.

• Wenn Sie das Azure-Portal neben oder anstelle des Defender-Portals verwenden, integrieren Sie Microsoft Defender XDR in Microsoft Sentinel. Durch die Integration der Dienste werden alle Defender XDR Incidents und erweiterten Huntingereignisse in Microsoft Sentinel gestreamt und die Vorfälle und Ereignisse zwischen den Azure- und Microsoft Defender-Portalen synchronisiert.

Vorfälle aus Defender XDR enthalten alle zugehörigen Warnungen, Entitäten und relevanten Informationen, sodass Ihnen genügend Kontext zur Verfügung steht, um in Microsoft Sentinel eine Triage und erste Untersuchung durchzuführen. In Microsoft Sentinel werden Vorfälle bidirektional mit Defender XDR synchronisiert, sodass Sie bei der Untersuchung von Vorfällen von den Vorteilen beider Portale profitieren können.

Microsoft Sentinel und Defender XDR

Verwenden Sie eine der folgenden Methoden, um Microsoft Sentinel in Microsoft Defender XDR-Dienste zu integrieren:

• Erfassen sie Microsoft Defender XDR Dienstdaten in Microsoft Sentinel, und zeigen Sie Microsoft Sentinel Daten im Azure-Portal an. Aktivieren Sie den Defender XDR-Connector in Microsoft Sentinel.

• Integrieren Sie Microsoft Sentinel und Defender XDR direkt in das Microsoft Defender-Portal. Zeigen Sie in diesem Fall Microsoft Sentinel-Daten direkt zusammen mit Ihren übrigen Defender-Vorfällen, Warnungen, Sicherheitsrisiken und anderen Sicherheitsdaten an. Dazu müssen Sie Microsoft Sentinel in das Defender-Portal integrieren.

Wählen Sie die entsprechende Registerkarte aus, um zu sehen, wie die Microsoft Sentinel Integration in Defender XDR aussieht, je nachdem, welche Integrationsmethode Sie verwenden.

Incidentkorrelation und Warnungen

Durch die Integration von Defender XDR in Microsoft Sentinel sind Defender XDR Incidents innerhalb von Microsoft Sentinel sichtbar und verwaltbar. Dadurch erhalten Sie eine primäre Warteschlange für Incidents in der gesamten Organisation. Sehen und korrelieren Sie Defender XDR Incidents zusammen mit Incidents aus all Ihren anderen Cloud- und lokalen Systemen. Gleichzeitig können Sie mit dieser Integration die einzigartigen Stärken und Funktionen von Defender XDR für eingehende Untersuchungen und eine Defender-spezifische Erfahrung im gesamten Microsoft 365-Ökosystem nutzen.

Defender XDR reichert Warnmeldungen aus mehreren Microsoft-Defender-Produkten an und gruppiert sie. Dadurch wird sowohl die Warteschlange für Incidents im SOC verkleinert als auch die Zeit bis zur Behebung verkürzt. Warnungen aus den folgenden Microsoft Defender Produkten und Diensten sind auch in der Integration von Defender XDR in Microsoft Sentinel enthalten:

• Microsoft Defender for Endpoint
• Microsoft Defender for Identity
• Microsoft Defender für Office 365
• Microsoft Defender für Cloud-Apps

Andere Dienste, deren Warnungen von Defender XDR gesammelt werden, umfassen:

• Verhinderung von Datenverlust in Microsoft Purview
• Microsoft Entra ID-Schutz
• Microsoft Purview Insider-Risikomanagement

Einschränkungen bei der Datenaufnahme

Während die meisten Defender XDR-Daten an Microsoft Sentinel gestreamt werden, werden einige Advanced Hunting-Tabellen nicht erfasst. Insbesondere erscheinen Defender Vulnerability Management (TVM)-Tabellen wie DeviceTvmSoftwareInventory und DeviceTvmSoftwareVulnerabilities im Microsoft Sentinel-Schema, TVM-Daten werden jedoch nicht in Microsoft Sentinel-Arbeitsbereiche importiert. Dies bedeutet, dass Abfragen, die diese Tabellen verwenden, Ergebnisse in Defender XDR Erweiterte Suche zurückgeben, aber keine Ergebnisse in Microsoft Sentinel zurückgeben.

Eine vollständige Liste der nicht unterstützten Tabellen und Anleitungen zu benutzerdefinierten Aufnahmelösungen finden Sie unter Welche Defender XDR Tabellen in Microsoft Sentinel nicht unterstützt werden.

Der Defender XDR-Connector überträgt auch Vorfälle aus Microsoft Defender for Cloud. Um auch Warnungen und Entitäten aus diesen Vorfällen zu synchronisieren, müssen Sie den Defender für Cloud-Connector in Microsoft Sentinel aktivieren. Andernfalls werden Ihre Defender for Cloud-Incidents als leer angezeigt. Weitere Informationen finden Sie unter Erfassen von Microsoft Defender for Cloud-Incidents mit der Microsoft Defender XDR-Integration.

Zusätzlich zum Sammeln von Warnungen von diesen Komponenten und anderen Diensten generiert Defender XDR eigene Warnungen. Die Anwendung erstellt Incidents aus allen diesen Warnungen und sendet sie an Microsoft Sentinel.

Häufige Anwendungsfälle und Szenarien

Erwägen Sie die Integration von Defender XDR in Microsoft Sentinel für die folgenden Anwendungsfälle und Szenarien:

• Integrieren sie Microsoft Sentinel in das Microsoft Defender-Portal.

• Aktivieren Sie die Ein-Klick-Verbindung von Defender XDR-Incidents, einschließlich aller Warnungen und Entitäten von Defender XDR-Komponenten, in Microsoft Sentinel.

• Ermöglicht die bidirektionale Synchronisierung von Vorfällen zwischen Microsoft Sentinel und Defender XDR hinsichtlich Status, Besitzer und Schließungsgrund.

• Wenden Sie Defender XDR Funktionen zur Gruppierung und Anreicherung von Warnungen in Microsoft Sentinel an, um die Zeit bis zur Behebung zu verkürzen.

• Erleichtern Sie Untersuchungen in beiden Portalen mit kontextbezogenen Deep Links zwischen einem Microsoft Sentinel-Incident und dem parallelen Defender XDR-Incident.

Weitere Informationen finden Sie unter Microsoft Sentinel im Microsoft Defender-Portal.

Herstellen einer Verbindung mit Microsoft Defender XDR

Wie Sie Defender XDR integrieren, hängt davon ab, ob Sie Microsoft Sentinel in das Defender-Portal integrieren oder weiterhin im Azure-Portal arbeiten möchten.

Integration im Defender-Portal

Wenn Sie Microsoft Sentinel in das Defender-Portal integrieren und für Defender XDR lizenziert sind, wird Microsoft Sentinel automatisch mit Defender XDR verbunden. Der Datenconnector für Defender XDR wird automatisch für Sie eingerichtet. Alle Datenconnectors für die im Defender XDR-Connector enthaltenen Warnungsanbieter werden getrennt. Dies umfasst die folgenden Datenkonnektoren:

• Microsoft Defender for Cloud Apps (Warnungen)
• Microsoft Defender für Endpunkt
• Microsoft Defender for Identity
• Microsoft Defender für Office 365
• Microsoft Entra ID-Schutz

Azure-Portal-Integration

Wenn Sie Defender XDR Daten mit Microsoft Sentinel im Azure-Portal synchronisieren möchten, müssen Sie den Microsoft Defender XDR-Connector in Microsoft Sentinel aktivieren. Wenn Sie den Connector aktivieren, sendet er alle Defender XDR Incidents und Warnungsinformationen an Microsoft Sentinel und hält die Incidents synchronisiert.

• Installieren Sie zunächst die Microsoft Defender XDR-Lösung für Microsoft Sentinel über den Inhaltshub. Aktivieren Sie dann den Microsoft Defender XDR-Datenconnector, um Vorfälle und Warnungen zu erfassen. Weitere Informationen finden Sie unter Verbinden von Daten von Microsoft Defender XDR mit Microsoft Sentinel.

• Nachdem Sie die Erfassung von Warnungen und Incidents im Defender XDR Data Connector aktiviert haben, erscheinen Defender XDR Incidents in der Microsoft Sentinel Incident-Warteschlange, kurz nachdem sie in Defender XDR erzeugt wurden. Unter normalen Betriebsbedingungen werden in Defender XDR generierte Incidents in der Regel innerhalb von fünf Minuten auf der Microsoft Sentinel-Benutzeroberfläche und der API angezeigt. Die Aufnahme in die securityIncident-Tabelle kann noch einige Minuten dauern. In diesen Vorfällen enthält das Feld Produktname der WarnungMicrosoft Defender XDR oder einen der Namen der Defender-Komponentendienste.

Kosten für die Aufnahme

Warnungen und Vorfälle von Defender XDR, einschließlich Elementen, die die Tabellen SecurityAlert und SecurityIncident auffüllen, werden kostenlos in Microsoft Sentinel erfasst und mit diesen synchronisiert. Für alle anderen Datentypen aus einzelnen Defender-Komponenten wie den Erweiterten Hunting-TabellenDeviceInfo, DeviceFileEvents, EmailEvents usw. wird die Erfassung in Rechnung gestellt.

Weitere Informationen finden Sie unter Kosten planen und die Preise und Abrechnung für Microsoft Sentinel verstehen.

Datenerfassungsverhalten

Warnungen, die von Defender XDR integrierten Produkten erstellt werden, werden an Defender XDR gesendet und in Incidents gruppiert. Sowohl die Warnungen als auch die Vorfälle werden über den Defender XDR-Konnektor an Microsoft Sentinel übermittelt.

Die Ausnahme bei diesem Prozess ist Defender für Cloud. Sie haben die Möglichkeit, mandantenbasierte Defender für Cloud-Warnungen zu aktivieren, um alle Warnungen und Vorfälle über Defender XDR zu empfangen, oder abonnementbasierte Warnungen beizubehalten und zu Vorfällen innerhalb von Microsoft Sentinel im Azure-Portal hochzustufen.

Die verfügbaren Optionen und weitere Informationen finden Sie unter:

• Microsoft Defender für Cloud im Microsoft Defender-Portal
• Einlesen von Vorfällen aus Microsoft Defender for Cloud mit Microsoft Defender XDR-Integration

Regeln für die Erstellung von Microsoft-Incidents

Um das Erstellen doppelter Vorfälle für dieselben Warnungen zu vermeiden, ist die Einstellung Regeln zur Erstellung von Microsoft-Vorfällen für in Defender XDR integrierte Produkte beim Verbinden von Defender XDR deaktiviert. Defender XDR integrierte Produkte umfassen Microsoft Defender for Identity, Microsoft Defender für Office 365 und vieles mehr. Außerdem werden Microsoft-Vorfallerstellungsregeln im Defender-Portal nicht unterstützt, da das Defender-Portal über ein eigenes Vorfallerstellungsmodul verfügt. Diese Änderung hat die folgenden potenziellen Auswirkungen:

• Warnungsfilterung. Mit den Regeln zur Erstellung von Vorfällen in Microsoft Sentinel konnten Sie die Warnungen filtern, die zur Erstellung von Vorfällen verwendet würden. Wenn diese Regeln deaktiviert sind, können Sie die Funktion zum Filtern von Warnungen beibehalten, indem Sie die Warnungsoptimierung im Microsoft Defender-Portal konfigurieren oder Automatisierungsregeln verwenden, um nicht gewünschte Vorfälle zu unterdrücken oder zu schließen.

• Incidenttitel. Wenn der Defender XDR Connector aktiviert ist, können Sie die Titel von Incidents nicht mehr vorab festlegen. Die Defender-XDR-Korrelations-Engine ist für die Erstellung von Vorfällen zuständig und benennt die von ihr erstellten Vorfälle automatisch. Diese Änderung wirkt sich möglicherweise auf alle von Ihnen erstellten Automatisierungsregeln aus, die den Incidentnamen als Bedingung verwenden. Um dieses Problem zu vermeiden, verwenden Sie andere Kriterien als den Incidentnamen als Bedingungen für das Auslösen von Automatisierungsregeln. Es wird empfohlen, Tags zu verwenden.

• Geplante Analyseregeln. Wenn Sie die Regeln für die Erstellung von Vorfällen von Microsoft Sentinel für andere Microsoft-Sicherheitslösungen oder -Produkte verwenden, die nicht in Defender XDR integriert sind, z. B. Microsoft Purview Insider Risk Management, und Sie planen, das Onboarding in das Defender-Portal durchzuführen, ersetzen Sie Ihre Regeln zur Erstellung von Vorfällen durch Geplante Analyseregeln.

Wenn Sie das Verhalten bei der Incidenterstellung im Sentinel-Stil für XDR-Warnungen beibehalten möchten, während Sie das Defender-Portal verwenden, können Sie Microsoft Sentinel-Regeln zur Incidenterstellung zur Warnungsgruppierung in Microsoft Defender migrieren.

Arbeit mit Microsoft Defender XDR-Incidents in Microsoft Sentinel und der bidirektionalen Synchronisierung

Defender XDR Incidents werden in der Microsoft Sentinel-Incidents-Warteschlange mit dem Produktnamen Microsoft Defender XDR und mit ähnlichen Details und Funktionen wie alle anderen Microsoft Sentinel Incidents angezeigt. Jeder Incident enthält einen Link zurück zum parallelen Incident im Microsoft Defender-Portal.

Wenn sich der Incident in Defender XDR weiterentwickelt und weitere Warnungen oder Entitäten hinzugefügt werden, wird der Microsoft Sentinel Incident entsprechend aktualisiert.

Änderungen an bestimmten Feldern oder Attributen eines Defender XDR-Incidents, entweder in Defender XDR oder in Microsoft Sentinel, werden in der Incidentwarteschlange des jeweils anderen Portals entsprechend aktualisiert. Die Synchronisierung erfolgt in beiden Portalen ohne Verzögerung sofort nach der Änderung des Incidents. Möglicherweise ist eine Aktualisierung erforderlich, um die neuesten Änderungen anzuzeigen.

Die folgenden Felder werden zwischen Incidents im Defender-Portal und in Microsoft Sentinel im Azure-Portal "unverändert" synchronisiert:

• Titel
• Beschreibung
• Produktname
• Schweregrad
• Benutzerdefinierte Tags
• AdditionalData
• Kommentare (nur neu)
• Zuletzt geändert von

Die folgenden Felder werden während der Synchronisierung transformiert, sodass ihre Werte dem Schema der einzelnen Plattformen entsprechen:

In Defender XDR können alle Warnungen von einem Incident auf einen anderen übertragen werden, was dazu führt, dass die Incidents zusammengeführt werden. Wenn diese Zusammenführung erfolgt, spiegeln die Microsoft Sentinel Incidents die Änderungen wider. Ein Incident enthält alle Warnungen der beiden ursprünglichen Incidents, und der andere Incident wird automatisch geschlossen und mit dem Tag „umgeleitet“ versehen.

Erfassung erweiterter Huntingereignisse

Mit dem Defender XDR-Connector können Sie auch erweiterte Huntingereignisse – eine Art von Rohdaten – von Defender XDR und den zugehörigen Komponentendiensten in Microsoft Sentinel streamen. Sammeln Sie erweiterte Huntingereignisse von allen Defender XDR-Komponenten, und streamen Sie sie direkt in speziell erstellte Tabellen in Ihrem Microsoft Sentinel Arbeitsbereich. Diese Tabellen basieren auf demselben Schema, das im Defender-Portal verwendet wird, sodass Sie vollständigen Zugriff auf den vollständigen Satz erweiterter Huntingereignisse haben und die folgenden Aufgaben ermöglichen:

• Kopieren Sie Ihre vorhandenen Microsoft Defender for Endpoint/Office 365/Identity/Cloud Apps Advanced Hunting-Abfragen ganz einfach in Microsoft Sentinel.

• Verwenden Sie die unformatierten Ereignisprotokolle, um weitere Erkenntnisse für Ihre Warnungen, Die Suche und Untersuchung bereitzustellen und diese Ereignisse mit Ereignissen aus anderen Datenquellen in Microsoft Sentinel zu korrelieren.

• Speichern Sie die Protokolle mit einer erhöhten Aufbewahrungsdauer, die über die Defender XDR Standardaufbewahrung von 30 Tagen hinausgeht. Hierzu können Sie die Aufbewahrungsdauer Ihres Arbeitsbereichs oder die Aufbewahrungsdauer pro Tabelle in Log Analytics konfigurieren.

Erstellen benutzerdefinierter Erkennungsregeln

Benutzerdefinierte Erkennungen in Microsoft Defender sind jetzt die beste Möglichkeit, neue Regeln für Microsoft Sentinel SIEM (Security Information and Event Management) und Microsoft Defender XDR zu erstellen. Es ermöglicht eine einheitliche Security Operations Center (SOC)-Umgebung im Defender-Portal und bietet mehr Spielraum für Erweiterungen.

Mit benutzerdefinierten Erkennungen können Sie Erfassungskosten reduzieren, unbegrenzte Echtzeiterkennungen erhalten und von der nahtlosen Integration in Defender XDR Daten, Funktionen und Wartungsaktionen mit automatischer Entitätszuordnung profitieren. Microsoft-Sentinel-Benutzer können weiterhin Analyseregeln verwenden, wir empfehlen ihnen jedoch, benutzerdefinierte Erkennungen zu verwenden, um von den neuesten Innovationen zu profitieren.

Verwandte Inhalte

In diesem Dokument haben Sie die Vorteile der Aktivierung des Defender XDR-Connectors in Microsoft Sentinel kennengelernt.

• Verbinden von Daten von Microsoft Defender XDR mit Microsoft Sentinel
• Informationen zur Verwendung von Microsoft Sentinel im Defender-Portal finden Sie unter Verbinden von Microsoft Sentinel mit dem Microsoft Defender-Portal.
• Überprüfen Sie die Verfügbarkeit verschiedener Microsoft Defender XDR Datentypen in den verschiedenen Microsoft 365- und Azure-Clouds.