Proaktive Suche nach Bedrohungen mit erweiterter Suche in Microsoft Defender

Advanced Hunting ist ein fragebasiertes Bedrohungsjagd-Werkzeug, mit dem Sie bis zu 30 Tage rohe Defender XDR-Daten erkunden können. Wenn Sie einen Microsoft Sentinel Workspace integrieren, können Sie auch Analytics-Tier-Daten entsprechend der für den Arbeitsbereich konfigurierten Retention abfragen. Sie können Ereignisse in Ihrem Netzwerk proaktiv prüfen, um Bedrohungsindikatoren und -entitäten zu ermitteln. Der flexible Zugriff auf Daten ermöglicht die uneingeschränkte Suche nach bekannten und potenziellen Bedrohungen.

Die erweiterte Suche unterstützt zwei Modi: geführt und erweitert. Verwenden Sie den geführten Modus, wenn Sie noch nicht mit Kusto-Abfragesprache (KQL) vertraut sind oder den Komfort eines Abfrage-Generators bevorzugen. Verwenden Sie den erweiterten Modus , wenn Sie mit KQL vertraut sind, um Abfragen von Grund auf neu zu erstellen.

Informationen zum Starten der Suche finden Sie im Microsoft Defender-Portal unter Auswählen zwischen geführtem und erweitertem Modus für die Suche.

Sie können dieselben Bedrohungssucheabfragen verwenden, um benutzerdefinierte Erkennungsregeln zu erstellen. Diese Regeln werden automatisch ausgeführt, um verdächtige Sicherheitsverletzungen, falsch konfigurierte Computer und andere Ergebnisse zu überprüfen und darauf zu reagieren.

Die erweiterte Suche unterstützt Abfragen, die einen breiteren Datensatz aus folgenden Quellen überprüfen:

• Microsoft Defender für Endpunkt
• Microsoft Defender für Office 365
• Microsoft Defender für Cloud-Apps
• Microsoft Defender for Identity
• Microsoft Sentinel

Um die erweiterte Suche zu verwenden, aktivieren Sie Microsoft Defender XDR. Um die erweiterte Suche mit Microsoft Sentinel zu verwenden, verbinden Sie Microsoft Sentinel mit dem Defender-Portal.

Weitere Informationen zur erweiterten Suche in Microsoft Defender for Cloud Apps Daten finden Sie unter Erweiterte Suche in Defender for Cloud Apps (Video).

Zugriff erhalten

Ihnen müssen Berechtigungen zugewiesen werden, bevor Sie erweiterte Huntingabfragen ausführen können. Sie haben folgende Optionen:

• Microsoft Defender XDR vereinheitlichte rollenbasierte Zugriffssteuerung (Unified Role Based Access Control, URBAC):

  • Zugriff auf erweiterte Suche (Tabellen für E-Mail & Zusammenarbeit): Mitgliedschaft mit der URBAC-Berechtigung Sicherheitsvorgänge>Rohdaten>Metadaten für E-Mail & Zusammenarbeit (Lesen) zugewiesen. Diese Berechtigung bietet Zugriff auf:
    • EmailEvents
    • EmailUrlInfo
    • EmailAttachmentInfo
    • EmailPostDeliveryEvents
    • CampaignInfo
    • FileMaliciousContentInfo
    • MessageEvents
    • MessagePostDeliveryEvents
    • MessageUrlInfo
    • UrlClickEvents
    • Metadaten der E-Mail-Entität
  • Zugriff auf erweiterte Suche (Tabellen für Warnungen & Verhalten): Mitgliedschaft mit der URBAC-Berechtigung Sicherheitsvorgänge>Sicherheitsdaten>Grundlagen der Sicherheitsdaten (Lesen) zugewiesen. Diese Berechtigung gewährt Zugriff auf das Schema „Warnungen & Verhaltensweisen“, aber nicht auf das Schema „E-Mail & Zusammenarbeit“.

• Berechtigungen für E-Mail und Zusammenarbeit im Microsoft Defender-Portal: Die Mitgliedschaft in einer der folgenden Rollengruppen für E-Mail und Zusammenarbeit bietet Zugriff auf E-Mail-Datentabellen in der erweiterten Suche:

  • Sicherheitsadministrator
  • Sicherheitsoperator
  • Sicherheitsleser

• Exchange Online Berechtigungen: Benutzer müssen Mitglieder einer der folgenden Exchange Online Rollengruppen sein, um auf Exchange Online Daten zugreifen zu können, die bei der erweiterten Suche angezeigt werden:

  • Organisationsverwaltung (nur Anzeige)
  • Konfiguration nur anzeigen
  • Sicherheitsleser
  • Globales Lesegerät

• Microsoft Entra-Berechtigungen: Durch die Mitgliedschaft in einer der folgenden Microsoft Entra Rollen wird vollständiger Lesezugriff auf alle erweiterten Huntingdaten gewährt:

  • Globaler Administrator
  • Sicherheitsadministrator
  • Sicherheitsleser
  • Globales Lesegerät

  Ihr Zugriff auf Endpunktdaten wird durch die Einstellungen der rollenbasierten Zugriffssteuerung (Role-Based Access Control, RBAC) in Microsoft Defender for Endpoint bestimmt. Weitere Informationen finden Sie unter Verwalten des Zugriffs auf Microsoft Defender mit globalen Rollen in Microsoft Entra.

Aktualität und Aktualisierungshäufigkeit von Daten

Daten für die erweiterte Suche fallen in zwei verschiedene Typen, für die jeweils ein anderer Konsolidierungsprozess gilt.

Ereignis- oder Aktivitätsdaten

Ereignis- oder Aktivitätsdaten füllen Tabellen zu Warnungen, Sicherheitsereignissen, Systemereignissen und Routinebewertungen auf. Advanced Hunting erhält diese Daten nahezu unmittelbar, nachdem die Sensoren, die sie erfassen, sie erfolgreich an die entsprechenden Cloud-Dienste übertragen haben. Beispielsweise können Sie Ereignisdaten von fehlerfreien Sensoren auf Arbeitsstationen oder Domänencontrollern nahezu sofort abfragen, nachdem sie in Microsoft Defender für Endpunkt und Microsoft Defender for Identity verfügbar sind.

Um noch mehr Ereigniseigenschaften zu erfassen, können Sie die aggregierte Berichterstellung aktivieren.

Entitätsdaten

Entitätsdaten füllen Tabellen mit Informationen zu Benutzern und Geräten auf. Entitätsdaten stammen aus relativ statischen Quellen wie Active Directory-Einträgen und dynamischen Quellen wie Ereignisprotokollen. Um aktuelle Daten bereitzustellen, werden Tabellen stündlich mit einem Datensatz aktualisiert, der den neuesten und umfassendsten Datensatz zu jeder Entität enthält, einschließlich Integritätsstatus und Tags.

Kontingente und Verwendungsparameter

Um den Dienst leistungsfähig und reaktionsfähig zu halten, legt die erweiterte Suche verschiedene Kontingente und Nutzungsparameter (auch als "Dienstgrenzwerte" bezeichnet) fest. Diese Kontingente und Parameter gelten separat für Abfragen, die manuell und mit benutzerdefinierten Erkennungsregeln ausgeführt werden. Beachten Sie diese Grenzwerte, wenn Sie regelmäßig mehrere Abfragen ausführen. Wenden Sie bewährte Methoden für die Optimierung an, um Unterbrechungen zu minimieren.

In der folgenden Tabelle werden die verfügbaren Kontingente und Nutzungsparameter beschrieben.

Im einheitlichen Microsoft Defender-Portal können Sie Abfragen für Microsoft Sentinel-Tabellen ausführen, indem Sie einen Arbeitsbereich integrieren. Log Analytics-Arbeitsbereichsgrenzen und die konfigurierte Analytics-Tier-Retention gelten daher ebenfalls. Daten, die ausschließlich im Microsoft Sentinel Data Lake gespeichert sind, sind im Advanced Hunting nicht verfügbar. Nutze Data Lake Exploration , um diese Daten abzufragen.

Informationen zur erweiterten Suche in mehrinstanzenfähigen Organisationen finden Sie unter Kontingente bei der erweiterten Suche in der mehrinstanzenfähigen Verwaltung.

Zeitzone

Queries

Fortgeschrittene Jagd verwendet UTC (Coordinated Universal Time) für alle Daten.

Schreiben von Abfragen in UTC.

Ergebnisse

Microsoft Defender konvertiert erweiterte Suchergebnisse in die von Ihnen festgelegte Zeitzone.

Verlängerung der Datenspeicherung

Um unterstützte Defender XDR-Jagdtabellen länger als 30 Tage zu erhalten, integrieren Sie einen Microsoft Sentinel-Arbeitsbereich und konfigurieren Sie die Analytics-Tier-Aufbewahrung der Tabellen. Weitere Informationen finden Sie unter Konfigurieren von Tabelleneinstellungen in Microsoft Sentinel.

Du kannst auch Defender XDR-Daten an externe Dienste streamen, um eine längere Speicherzeit zu erhalten. Weitere Informationen findest du unter:

• Microsoft Defender Streaming-API
• Microsoft Defender for Endpoint Rohdatenstreaming-API

Verwandte Inhalte

• Wählen Sie zwischen geführten und erweiterten Hunting-Modi
• Erstellen von Hunting-Abfragen im geführten Modus
• Lernen der Abfragesprache
• Grundlegendes zum Schema
• Microsoft Graph-Sicherheits-API
• Benutzerdefinierte Erkennungen – Übersicht