Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Je nach Microsoft Sicherheitsprodukten in Ihrer Umgebung können Sie die folgenden Defender für erweiterte Endpunktfunktionen konfigurieren.
Aktivieren erweiterter Features
So aktivieren oder deaktivieren Sie ein erweitertes Feature im Microsoft Defender Portal:
Wechseln Sie zum Microsoft Defender-Portal, und melden Sie sich an.
Wählen Sie im Navigationsbereich Einstellungen>Endpunkte>Erweiterte Features aus.
Wählen Sie das erweiterte Feature aus, das Sie konfigurieren möchten, und schalten Sie die Einstellung zwischen Ein und Aus um.
Wählen Sie Voreinstellungen speichern aus.
Verwenden Sie die folgenden erweiterten Features, um besser vor potenziell schädlichen Dateien zu schützen und bei Sicherheitsuntersuchungen bessere Einblicke zu erhalten.
Einschränken der Korrelation auf bereichsbezogene Gerätegruppen
Die Bereichsgruppenkorrelationseinstellung kann für Szenarien verwendet werden, in denen lokale SOC-Vorgänge Warnungskorrelationen nur auf Gerätegruppen beschränken möchten, auf die sie zugreifen können. Wenn die Einstellung für die Korrelation auf Gerätegruppenebene aktiviert ist, wird ein Vorfall, der aus Warnungen für mehrere Gerätegruppen besteht, nicht länger als ein einzelner Vorfall betrachtet. Der lokale SOC kann dann Maßnahmen für den Vorfall ergreifen, da er Zugriff auf eine der beteiligten Gerätegruppen hat. Das globale SOC sieht jedoch mehrere verschiedene Sicherheitsvorfälle pro Gerätegruppe statt eines einzelnen Vorfalls. Es wird nicht empfohlen, diese Einstellung zu aktivieren, es sei denn, dies überwiegt die Vorteile der Incidentkorrelation in der gesamten organization.
Hinweis
Das Ändern dieser Einstellung wirkt sich nur auf zukünftige Warnungskorrelationen aus.
Die Erstellung von Gerätegruppen wird in Defender für Endpunkt Plan 1 und Plan 2 unterstützt.
Aktivieren von EDR im Blockmodus
Endpoint Detection and Response (EDR) im Blockmodus bietet Schutz vor schädlichen Artefakten, auch wenn Microsoft Defender Antivirus im passiven Modus ausgeführt wird. Wenn EDR im Blockmodus aktiviert ist, werden schädliche Artefakte oder Verhaltensweisen blockiert, die auf einem Gerät erkannt werden. EDR im Blockmodus arbeitet im Hintergrund, um schädliche Artefakte zu entfernen, die nach der Sicherheitsverletzung erkannt werden.
Warnungen automatisch auflösen
Aktivieren Sie die Einstellung "Warnungen automatisch auflösen", um Warnungen automatisch aufzulösen, bei denen keine Bedrohungen gefunden wurden oder bei denen erkannte Bedrohungen behoben wurden. Wenn Warnungen nicht automatisch aufgelöst werden sollen, müssen Sie das Feature manuell deaktivieren.
Hinweis
- Das Ergebnis der Aktion zum automatischen Auflösen kann die Berechnung der Geräterisikostufe beeinflussen, die auf den aktiven Warnungen basiert, die auf einem Gerät gefunden werden.
- Wenn ein Security Operations Analyst den status einer Warnung manuell auf "In Bearbeitung" oder "Gelöst" festlegt, überschreibt die Funktion für die automatische Auflösung diese nicht.
Konfigurieren von Zulassungs- oder Blockierungsdateieinstellungen
Um dieses Feature verwenden zu können, muss Ihre Organisation diese Anforderungen erfüllen:
- Microsoft Defender Antivirus ist die aktive Antischadsoftwarelösung.
- Cloudbasierter Schutz ist aktiviert.
Mit diesem Feature können Sie schädliche Dateien in Ihrem Netzwerk blockieren. Wenn Sie eine Datei blockieren, können Geräte in Ihrer Organisation sie nicht lesen, schreiben oder ausführen.
So aktivieren Sie Zulassen oder blockieren für Dateien:
Wählen Sie im Microsoft Defender-Portal Einstellungen>Endpunkte>Allgemein>Erweiterte Features>Datei zulassen oder blockieren aus.
Schalten Sie die Einstellung zwischen Ein und Aus um.
a.
Wählen Sie unten auf der Seite Einstellungen speichern aus.
Nachdem Sie dieses Feature aktiviert haben, können Sie Dateien auf der Profilseite einer Datei auf der Registerkarte " Indikator hinzufügen " blockieren.
Ausblenden potenzieller doppelter Gerätedatensätze
Aktivieren Sie dieses Feature, um doppelte Gerätedatensätze auszublenden, sodass nur die genauesten Daten für jedes Gerät angezeigt werden. Duplikate können aus vielen Gründen auftreten. Zum Beispiel kann die Geräteerkennung Ihr Netzwerk scannen und ein Gerät finden, das bereits eingebunden ist oder kürzlich ausgebunden wurde.
Diese Funktion gleicht Duplikate anhand des Hostnamens und des Zeitpunkts der letzten Sichtung ab. Sie blendet sie vor dem Geräteinventar, den Seiten von Microsoft Defender Vulnerability Management und den öffentlichen APIs für Gerätedaten aus. Der genaueste Datensatz bleibt sichtbar. Duplikate werden weiterhin auf den Seiten "Globale Suche", "Erweiterte Suche", "Warnungen" und "Vorfälle" angezeigt.
Diese Einstellung ist standardmäßig aktiviert und wird mandantenweit angewendet. Um doppelte Datensätze anzuzeigen, deaktivieren Sie das Feature manuell.
Konfigurieren von benutzerdefinierten Netzwerkindikatoren
Wenn Sie benutzerdefinierte Netzwerkindikatoren aktivieren, können Sie Indikatoren für IP-Adressen, Domänen oder URLs erstellen, die bestimmen, ob sie basierend auf Ihrer benutzerdefinierten Indikatorliste zulässig oder blockiert werden.
Um dieses Feature verwenden zu können, muss auf den Geräten Windows 10 Version 1709 oder höher bzw. Windows 11 ausgeführt werden.
Weitere Informationen finden Sie unter Übersicht über Indikatoren.
Hinweis
Der Netzwerkschutz nutzt Reputationsdienste, die Anfragen an Standorten verarbeiten, die sich möglicherweise außerhalb des Standorts befinden, den Sie für Ihre Defender for Endpoint-Daten ausgewählt haben.
Manipulationsschutz aktivieren
Während Cyberangriffen versuchen Angreifer möglicherweise, Sicherheitsfeatures wie Virenschutz auf Ihren Geräten zu deaktivieren. Sie tun dies, um auf Ihre Daten zuzugreifen, Schadsoftware zu installieren oder Ihre Identität und Geräte auszunutzen. Manipulationsschutz sperrt Microsoft Defender Antivirus und verhindert, dass Ihre Sicherheitseinstellungen von Apps oder anderen Methoden geändert werden.
Weitere Informationen, auch zum Konfigurieren des Manipulationsschutzes, finden Sie unter Schützen von Sicherheitseinstellungen durch Manipulationsschutz.
Aktivieren der Anzeige von Benutzerdetails
Aktivieren Sie das Feature "Benutzerdetails anzeigen", damit Sie in Microsoft Entra ID gespeicherte Benutzerdetails anzeigen können. Details umfassen das Bild, den Namen, den Titel und die Abteilungsinformationen eines Benutzers bei der Untersuchung von Benutzerkontoentitäten. Informationen zu Benutzerkonten finden Sie in den folgenden Ansichten:
- Alarmwarteschlange
- Seite "Gerätedetails"
Weitere Informationen finden Sie unter Untersuchen eines Benutzerkontos.
Konfigurieren Sie die Skype for Business-Integration
Wenn Sie die Skype for Business-Integration aktivieren, haben Sie die Möglichkeit, mit Benutzern über Skype for Business, E-Mail oder Telefon zu kommunizieren. Die Skype for Business Integration kann praktisch sein, wenn Sie mit dem Benutzer kommunizieren und Risiken mindern müssen.
Hinweis
Wenn ein Gerät vom Netzwerk isoliert wird, gibt es ein Popupfenster, in dem Sie die Outlook- und Skype-Kommunikation aktivieren können, die die Kommunikation mit dem Benutzer ermöglicht, während er vom Netzwerk getrennt ist. Die Outlook- und Skype-Kommunikationsoption gilt nur, wenn Sich Geräte im Isolationsmodus befinden.
Konfigurieren der Integration von Microsoft Defender for Cloud Apps
Durch Aktivieren der Integration von Microsoft Defender for Cloud Apps werden Signale von Defender for Endpoint an Microsoft Defender for Cloud Apps weitergeleitet, um tiefere Einblicke in die Nutzung von Cloudanwendungen zu ermöglichen. Weitergeleitete Daten werden am selben Speicherort wie Ihre Defender for Cloud Apps Daten gespeichert und verarbeitet.
Weitere Informationen finden Sie unter Microsoft Defender for Cloud Apps Übersicht.
Konfigurieren der Webinhaltsfilterung
Blockieren Sie den Zugriff auf Websites, die unerwünschte Inhalte enthalten, und verfolgen Sie Webaktivitäten domänenübergreifend nach. Bevor Sie die Microsoft Defender for Endpoint Sicherheitsgrundlinie bereitstellen, stellen Sie sicher, dass der Netzwerkschutz im Blockmodus ausgeführt wird. Um die Webinhaltskategorien anzugeben, die Sie blockieren möchten, erstellen Sie eine Richtlinie zum Filtern von Webinhalten.
Aktivieren des einheitlichen Überwachungsprotokolls
Mit der Suche in Microsoft Purview kann Ihr Sicherheits- und Complianceteam wichtige Überwachungsprotokollereignisdaten anzeigen, um Einblicke zu erhalten und Benutzeraktivitäten zu untersuchen. Wenn eine überwachte Aktivität von einem Benutzer oder Administrator ausgeführt wird, wird ein Überwachungsdatensatz generiert und im Microsoft 365-Überwachungsprotokoll für Ihre organization gespeichert. Weitere Informationen finden Sie unter Durchsuchen des Überwachungsprotokolls.
Geräteermittlung aktivieren
Hilft Ihnen, nicht verwaltete Geräte zu finden, die mit Ihrem Unternehmensnetzwerk verbunden sind, ohne dass zusätzliche Appliances oder umständliche Prozessänderungen erforderlich sind. Mithilfe von integrierten Geräten können Sie nicht verwaltete Geräte in Ihrem Netzwerk finden und Sicherheitsrisiken und Risiken bewerten. Weitere Informationen finden Sie unter Geräteermittlung.
Hinweis
Sie können immer Filter anwenden, um nicht verwaltete Geräte aus der Geräteübersichtsliste auszuschließen. Sie können auch die Spalte "Onboardingstatus" für API-Abfragen verwenden, um nicht verwaltete Geräte herauszufiltern.
In Quarantäne befindliche Dateien herunterladen
Sichern Sie unter Quarantäne gestellte Dateien an einem sicheren und konformen Speicherort, damit sie direkt aus der Quarantäne heruntergeladen werden können. Die Schaltfläche " Datei herunterladen " ist immer auf der Dateiseite verfügbar. Die Einstellung "In Quarantäne befindliche Dateien herunterladen" ist standardmäßig aktiviert. Anforderungen für das Herunterladen von in Quarantäne befindlichen Dateien
Vereinfachte Konnektivität beim Onboarding von Geräten im Defender-Portal standardmäßig festlegen.
Diese Einstellung macht eine optimierte Konnektivität zum Standardmäßigen Onboarding-Paket für unterstützte Betriebssysteme. Sie können das Standardpaket weiterhin verwenden, aber Sie müssen es in der Dropdownliste auf der Onboarding-Seite auswählen.
Liveantwort aktivieren
Aktivieren Sie dieses Feature, damit Benutzer mit den entsprechenden Berechtigungen eine Liveantwortsitzung auf Geräten starten können.
Informationen zum Zuweisen von Rollen für die Liveantwort finden Sie unter Erstellen und Verwalten von Rollen.
Liveantwort für Server aktivieren
Aktivieren Sie dieses Feature, damit Benutzer mit den entsprechenden Berechtigungen eine Liveantwortsitzung auf Servern starten können.
Weitere Informationen zu Rollenzuweisungen finden Sie unter Erstellen und Verwalten von Rollen.
Ausführung nicht signierter Skripts in Liveantwort zulassen
Wenn Sie dieses Feature aktivieren, können Sie nicht signierte Skripts in einer Liveantwortsitzung ausführen.
Konfigurieren automatischer Angriffsunterbrechungen
Die automatische Angriffsunterbrechung stoppt Angriffe, indem sie vom Angreifer kontrollierte kompromittierte Ressourcen isoliert. Sie begrenzt die laterale Bewegung frühzeitig, wodurch die Kosten- und Produktivitätsverluste durch einen Angriff reduziert werden. Sicherheitsteams behalten die volle Kontrolle, um Probleme zu untersuchen, zu beheben und Ressourcen wieder online zu bringen. Weitere Informationen finden Sie unter "Automatische Angriffsunterbrechungen" in Microsoft Defender.
Freigeben von Endpunktwarnungen für das Microsoft Compliance Center
Die Einstellung zur Freigabe von Endpunktwarnungen sendet Sicherheitswarnungen für Endpunkte und deren Selektierungsstatus an das Microsoft Purview-Portal. Sie können diese Warnungen verwenden, um Insider-Risikomanagementrichtlinien zu verbessern und interne Risiken zu beheben, bevor sie Schaden verursachen. Weitergeleitete Daten werden an demselben Speicherort wie Ihre Office 365 Daten gespeichert.
Nachdem Sie die Indikatoren für Verstöße gegen Sicherheitsrichtlinien in den Einstellungen für das Insider-Risikomanagement eingerichtet haben, übermittelt Defender for Endpoint Warnungen für entsprechende Benutzer an das Insider-Risikomanagement.
Konfigurieren der Microsoft Intune Verbindung
Sie können Defender für Endpunkt in Microsoft Intune integrieren, um den risikobasierten bedingten Zugriff auf Geräte zu ermöglichen. Wenn Sie bedingten Zugriff konfigurieren, gibt Defender für Endpunkt Gerätedaten mit Intune frei, um Richtlinien zu erzwingen.
Wichtig
Sie müssen diese Integration sowohl in Intune als auch in Defender für Endpunkt aktivieren. Ausführliche Schritte finden Sie unter Konfigurieren des bedingten Zugriffs in Defender für Endpunkt.
Für dieses Feature ist Folgendes erforderlich:
- Ein lizenzierter Mandant für Enterprise Mobility + Security E3 und Windows E5 (oder Microsoft 365 Enterprise E5)
- Eine aktive Microsoft-Intune-Umgebung mit von Intune verwalteten Windows-Geräten, die mit Microsoft Entra verbunden sind.
Authentifizierte Telemetrie aktivieren
Sie können Authentifizierte Telemetrie aktivieren, um zu verhindern, dass gefälschte Telemetriedaten an Ihr Dashboard gesendet werden.
Aktivieren von Previewfunktionen
Erfahren Sie mehr über neue Features in der Vorschauversion von Defender für Endpunkt.
Testen Sie bevorstehende Features, indem Sie die Vorschau aktivieren. Sie haben Zugriff auf bevorstehende Features, zu denen Sie Feedback geben können, um die Gesamterfahrung zu verbessern, bevor Features allgemein verfügbar sind.
Wenn Sie bereits Vorschaufeatures aktiviert haben, können Sie Ihre Einstellungen über die Haupteinstellungen Defender XDR verwalten.
Weitere Informationen finden Sie unter Microsoft Defender XDR Vorschaufeatures.
Konfigurieren von Endpunktangriffsbenachrichtigungen
Mithilfe von Endpunktangriffsbenachrichtigungen können Microsoft nach kritischen Bedrohungen in Ihren Endpunktdaten suchen. Bedrohungen werden nach Dringlichkeit und Auswirkungen bewertet.
Für eine proaktive Suche über Microsoft Defender XDR hinweg, einschließlich Bedrohungen, die E-Mails, Zusammenarbeit, Identität, Cloud-Apps und Endpunkte umfassen, beginnen Sie mit Microsoft Defender Experten.