Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Während sich einige Anomalieerkennungen hauptsächlich auf die Erkennung problematischer Sicherheitsszenarien konzentrieren, können andere dazu beitragen, anormales Benutzerverhalten zu identifizieren und zu untersuchen, das nicht unbedingt auf eine Gefährdung hinweist. In solchen Fällen verwenden Microsoft Defender for Cloud Apps und Microsoft Defender für Cloud einen separaten Datentyp, der als Verhalten bezeichnet wird.
In diesem Artikel wird beschrieben, wie Sie das Verhalten von Defender for Cloud Apps und Defender for Cloud mit dem erweiterten Hunting in Microsoft Defender untersuchen.
Möchten Sie Feedback teilen? Füllen Sie unser Feedbackformular für Defender for Cloud Apps Verhalten aus!
Was ist ein Verhalten?
Verhaltensweisen sind MITRE ATT&CK-Kategorien und -Techniken zugeordnet, ein Framework, das gegnerische Taktiken und Methoden klassifiziert und ein tieferes Verständnis über ein Ereignis bietet, als von den Rohereignisdaten bereitgestellt wird. Verhaltensdaten liegen zwischen unformatierten Ereignisdaten und den von einem Ereignis generierten Warnungen.
Obwohl Verhaltensweisen mit Sicherheitsszenarien zusammenhängen, sind sie nicht notwendigerweise ein Zeichen für schädliche Aktivitäten oder einen Sicherheitsvorfall. Jedes Verhalten basiert auf einem oder mehreren Rohereignissen und bietet kontextbezogene Einblicke in die Vorgänge zu einem bestimmten Zeitpunkt, unter Verwendung von Informationen, die Defender for Cloud Apps erlernt oder identifiziert hat.
Wichtig
Ab März 2025 können Kunden von Defender for Cloud Apps den Geltungsbereich der rollenbasierten Zugriffssteuerung (RBAC) für „Verhaltensweisen“ konfigurieren. Mit dieser neuen Funktion können Administratoren Zugriffsberechtigungen präziser definieren und verwalten. Administratoren können sicherstellen, dass Benutzer basierend auf ihren Rollen und Zuständigkeiten über die entsprechende Ebene des Zugriffs auf bestimmte Anwendungsdaten verfügen. Weitere Informationen finden Sie unter Verwalten des Administratorzugriffs in Microsoft Defender for Cloud Apps.
Unterstützte Erkennungen
Verhaltensweisen unterstützen derzeit Erkennungen mit geringer Genauigkeit, Defender for Cloud Apps und Defender for Cloud, die möglicherweise nicht dem Standard für Warnungen entsprechen, aber dennoch nützlich sind, um Kontext während einer Untersuchung bereitzustellen. Zu den derzeit unterstützten Erkennungen gehören:
| Warnungsname | Richtlinienname | ActionType (Jagd) |
|---|---|---|
| Aktivität aus seltenen Ländern | Aktivität aus seltenen Ländern/Regionen | Aktivität aus einem seltenen Land |
| Unmögliche Reiseaktivität | Unmögliche Reise | ImpossibleTravelActivity |
| Massenlöschen | Ungewöhnliche Dateilöschaktivität (nach Benutzer) | MassDelete |
| Massendownload | Ungewöhnlicher Dateidownload (nach Benutzer) | MassDownload |
| Massenanteil | Ungewöhnliche Dateifreigabeaktivität (nach Benutzer) | MassShare |
| Mehrere VM-Löschaktivitäten | Mehrere VM-Löschaktivitäten | Mehrere VM-Löschaktivitäten |
| Mehrere fehlgeschlagene Anmeldeversuche | Mehrere fehlgeschlagene Anmeldeversuche | Mehrere fehlgeschlagene Anmeldeversuche |
| Aktivitäten zum Teilen mehrerer Power BI-Berichte | Aktivitäten zur Freigabe mehrerer Power BI-Berichte | Mehrere Aktivitäten zum Teilen von Power BI-Berichten |
| Mehrere VM-Erstellungsaktivitäten | Mehrere VM-Erstellungsaktivitäten | Aktivitäten zur Erstellung mehrerer VMs |
| Verdächtige administrative Aktivität | Ungewöhnliche administrative Aktivität (nach Benutzer) | Verdächtige Administratoraktivität |
| Verdächtige Aktivität durch Identitätsanmaßung | Ungewöhnliche Aktivität mit Identitätsdiebstahl (durch Benutzer) | SuspiciousImpersonatedActivity |
| Verdächtige Herunterladenaktivitäten von OAuth-App-Dateien | Verdächtige Herunterladenaktivitäten von OAuth-App-Dateien | Verdächtige Dateidownloadaktivitäten von OAuth-Apps |
| Freigabe verdächtiger Power BI-Berichte | Freigabe verdächtiger Power BI-Berichte | SuspiciousPowerBiReportSharing |
| Ungewöhnliches Hinzufügen von Anmeldeinformationen zu einer OAuth-App | Ungewöhnliches Hinzufügen von Anmeldeinformationen zu einer OAuth-App | UngewöhnlichesHinzufügenVonAnmeldeinformationenZuEinerOAuth-App |
Hinweis
"Mehrere VM-Erstellungsaktivitäten" und "Mehrere VM-Löschaktivitäten" werden im Mai 2026 eingestellt. Nach ablauf der Deaktivierung werden diese Verhaltensweisen nicht mehr generiert und stehen nicht für die Suche, benutzerdefinierte Erkennungen oder Korrelation in Microsoft Defender zur Verfügung. Datensätze, die vor dem Ablaufdatum generiert wurden, werden gemäß der Standardrichtlinie für die Datenaufbewahrung aufbewahrt.
Der Übergang von Defender for Cloud Apps von Warnungen zu Verhaltensweisen
Um die Qualität der von Defender for Cloud Apps generierten Warnungen zu verbessern und die Anzahl falsch positiver Ergebnisse zu verringern, wandelt Defender for Cloud Apps derzeit Sicherheitsinhalte von Warnungen in Verhaltensweisen um.
Dieser Übergang von Warnmeldungen zu Verhaltensmustern zielt darauf ab, Richtlinien von Warnmeldungen zu entkoppeln, die minderwertige Erkennungen liefern, und zugleich Sicherheitsszenarien zu erstellen, die sich auf standardmäßig verfügbare Erkennungen konzentrieren. Parallel sendet Defender for Cloud Apps Verhaltensweisen, die Sie bei Ihren Untersuchungen unterstützen.
Der Übergangsprozess von Warnungen zu Verhalten umfasst die folgenden Phasen:
(Vollständig) Defender for Cloud Apps sendet Verhaltensweisen parallel zu Warnungen.
(Vollständig) Richtlinien, die Verhaltensweisen generieren, sind jetzt standardmäßig deaktiviert und senden keine Warnungen.
Wechseln Sie zu einem in der Cloud verwalteten Erkennungsmodell, und entfernen Sie kundenorientierte Richtlinien vollständig. Diese Phase soll sowohl benutzerdefinierte Erkennungen als auch ausgewählte Warnungen bereitstellen, die von internen Richtlinien für szenarien mit hoher Genauigkeit und Sicherheit generiert werden.
Der Übergang zu Verhaltensweisen umfasst auch Verbesserungen für unterstützte Verhaltenstypen und Anpassungen für richtliniengenerierte Warnungen, um eine optimale Genauigkeit zu erzielen.
Hinweis
Die Planung der cloudverwalteten Erkennungsmodellphase ist unbestimmt. Kunden werden über alle Änderungen über Benachrichtigungen im Nachrichtencenter benachrichtigt.
Weitere Informationen finden Sie unter Transformieren der Art der Untersuchung mithilfe von Verhalten und neuen Erkennungen.
Verwenden von Verhaltensweisen in der erweiterten Suche von Microsoft Defender XDR
Greifen Sie auf der Seite Advanced hunting im Defender-Portal auf Verhaltensweisen zu, und verwenden Sie Verhaltensweisen, indem Sie Verhaltenstabellen abfragen und benutzerdefinierte Erkennungsregeln erstellen, die Verhaltensdaten enthalten.
Das Verhaltensschema auf der Seite " Erweiterte Suche " ähnelt dem Schema der AlertInfo-Tabelle und enthält die folgenden Tabellen:
| Tabellenname | Beschreibung |
|---|---|
| BehaviorInfo | Erfassen Sie für jedes Verhalten die zugehörigen Metadaten, einschließlich Verhaltenstitel, MITRE-ATT&CK-Kategorien und Techniken. |
| BehaviorEntities | Informationen zu den Entitäten, die Teil des Verhaltens waren. Dies kann mehrere Datensätze pro Verhalten sein. |
Um vollständige Informationen zu einem Verhalten und seinen Entitäten zu erhalten, verwenden Sie BehaviorId als Primärschlüssel für den Join. Zum Beispiel:
BehaviorInfo
| where BehaviorId == "INSERT VALUE"
| join BehaviorEntities on BehaviorId
Beispielszenarien
Dieser Abschnitt enthält Beispielszenarien für die Verwendung von Verhaltensdaten auf der Seite Defender Portal "Erweiterte Bedrohungssuche" und relevante Codebeispiele.
Tipp
Erstellen Sie Microsoft Defender XDR benutzerdefinierte Erkennungsregeln für alle Erkennungen, die weiterhin als Warnung angezeigt werden sollen, wenn eine Warnung nicht mehr standardmäßig generiert wird.
Benachrichtigungen für Massen-Downloads erhalten
Szenario: Sie möchten benachrichtigt werden, wenn ein Massendownload von einem bestimmten Benutzer oder einer Liste von Benutzern durchgeführt wird, die anfällig für Kompromittierung oder für interne Risiken sind.
Erstellen Sie dazu eine benutzerdefinierte Erkennungsregel basierend auf der folgenden Abfrage:
BehaviorEntities
| where ActionType == "MassDownload"
| where EntityType == “User” and AccountName in (“username1”, “username2”… )
Weitere Informationen finden Sie unter Erstellen und Verwalten von benutzerdefinierten Erkennungsregeln in Microsoft Defender.
100 letzte Verhaltensweisen abfragen
Szenario: Sie möchten 100 aktuelle Verhaltensweisen im Zusammenhang mit der MITRE-Angriffstechnik Gültige Konten (T1078) abfragen.
Die folgende Abfrage gibt die 100 neuesten Verhaltensmuster zurück, die der Technik „Gültige Konten“ (T1078) zugeordnet sind, und hilft Ihnen dabei, potenzielle anmeldeinformationsbasierte Bedrohungen zu identifizieren:
BehaviorInfo
| where AttackTechniques has "Valid Accounts (T1078)"
| order by Timestamp desc
| take 100
Untersuchen von Verhaltensweisen für einen bestimmten Benutzer
Szenario: Wenn Sie vermuten, dass ein Benutzer möglicherweise kompromittiert wurde, untersuchen Sie alle zugehörigen Verhaltensweisen für diesen Benutzer.
Die folgende Abfrage filtert Defender for Cloud Apps Verhalten nach Dienstquelle und Konto-UPN, um alle Verhaltensdatensätze und zugehörigen Entitäten für einen bestimmten Benutzer abzurufen. Ersetzen Sie den Benutzernamen durch den Namen des Benutzers, den Sie untersuchen möchten:
BehaviorInfo
| where ServiceSource == "Microsoft Cloud App Security"
| where AccountUpn == "*username*"
| join BehaviorEntities on BehaviorId
| project Timestamp, BehaviorId, ActionType, Description, Categories, AttackTechniques, ServiceSource, AccountUpn, AccountObjectId, EntityType, EntityRole, RemoteIP, AccountName, AccountDomain, Application
Untersuchen von Verhaltensweisen für eine bestimmte IP-Adresse
Szenario: Untersuchen Sie alle Verhaltensweisen, bei denen eine der Entitäten eine verdächtige IP-Adresse ist.
Die folgende Abfrage findet alle Verhaltensweisen, die einer angegebenen IP-Adresse zugeordnet sind, sodass Sie verwandte Benutzeraktionen und Entitäten nachverfolgen können, die mit dieser IP verknüpft sind. Ersetzen Sie verdächtige IP durch die IP-Adresse, die Sie untersuchen möchten.
BehaviorEntities
| where EntityType == "Ip"
| where RemoteIP == "*suspicious IP*"
| where ServiceSource == "Microsoft Cloud App Security"
| project Timestamp, BehaviorId, ActionType, Categories, ServiceSource, AccountUpn, AccountObjectId, EntityType, EntityRole, RemoteIP, AccountName, AccountDomain
Nächste Schritte
Weitere Informationen zu Verhalten und verwandten Untersuchungen finden Sie in den folgenden Ressourcen:
- Transformieren Sie die Art der Untersuchung mithilfe von Verhaltensweisen und neuen Erkennungen
- Tutorial: Erkennen verdächtiger Benutzeraktivitäten mit Verhaltensanalysen
Wenn Probleme auftreten, helfen wir Ihnen gerne weiter. Um Unterstützung oder Support für Ihr Produktproblem zu erhalten, öffnen Sie ein Supportticket.