Bereitstellung von Microsoft-Sicherheitsdiensten für einheitliche Sicherheitsoperationen

Das Microsoft Defender-Portal vereint Microsoft Defender XDR, Microsoft Sentinel und weitere Dienste für einheitliche Sicherheitsoperationen. Nutzen Sie die Defender-Portaldienste, um einen vollständigen Überblick über Ihre Sicherheitslage zu erhalten. Sie können Bedrohungen in Ihrer Organisation erkennen, untersuchen und darauf reagieren.

Microsoft Security Exposure Management und Microsoft Threat Intelligence sind in jeder Umgebung verfügbar, die die Voraussetzungen erfüllt, für Benutzer, die mit den erforderlichen Berechtigungen konfiguriert sind.

Voraussetzungen

• Bevor Sie Microsoft Defender-Dienste für einheitliche Sicherheitsoperationen bereitstellen, stellen Sie sicher, dass Sie einen Plan haben. Ihr Plan sollte ein Arbeitsbereichsdesign und ein Verständnis der Kosten und Abrechnung von Microsoft Sentinel enthalten.

  Weitere Informationen finden Sie unter Planungsleitfaden für einheitliche Sicherheitsvorgänge im Microsoft Defender-Portal.

Bereitstellen von Microsoft Defender XDR Diensten

Microsoft Defender XDR vereint die Incident Response, indem es Schlüsselfunktionen über Dienste hinweg integriert. Zu diesen Diensten gehören Microsoft Defender for Endpoint, Defender for Office 365, Defender for Cloud Apps und Defender for Identity. Microsoft Defender XDR fügt leistungsstarke Funktionen hinzu, auf die Sie im Microsoft Defender-Portal zugreifen können.

1. Microsoft Defender XDR wird automatisch aktiviert, wenn berechtigte Kunden mit den erforderlichen Berechtigungen Microsoft Defender Portal besuchen. Weitere Informationen finden Sie unter Aktivieren von Microsoft Defender XDR.

2. Fahren Sie fort, indem Sie Microsoft Defender XDR Dienste bereitstellen. Es wird empfohlen, die folgende Reihenfolge zu verwenden:

   1. Stellen Sie Microsoft Defender for Identity bereit.

   2. Stellen Sie Microsoft Defender für Office 365 bereit.

   3. Stellen Sie Microsoft Defender for Endpoint bereit. Fügen Sie Microsoft Defender Vulnerability Management- und/oder Unternehmensüberwachung für IoT-Geräte hinzu, die für Ihre Umgebung relevant sind.

   4. Stellen Sie Microsoft Defender for Cloud Apps bereit.

Konfigurieren von Microsoft Entra ID Protection

Microsoft Defender XDR kann Signale von Microsoft Entra ID Protection aufnehmen. Dieser Dienst bewertet Risikodaten von Milliarden von Anmeldeversuchen und bewertet das Risiko jeder Anmeldung in Ihrer Umgebung. Microsoft Entra ID verwendet diese Daten, um den Zugriff auf Konten zu ermöglichen oder zu blockieren, je nachdem, wie Conditional Access-Richtlinien konfiguriert sind.

Konfigurieren Sie Microsoft Entra ID Protection, um Ihren Sicherheitsstatus zu verbessern und Ihren vereinheitlichten Sicherheitsvorgängen Microsoft Entra Signale hinzuzufügen. Weitere Informationen finden Sie unter Konfigurieren Ihrer Microsoft Entra ID Protection-Richtlinien.

Bereitstellen von Microsoft Defender für die Cloud

Microsoft Defender für Cloud bietet eine einheitliche Sicherheitsverwaltung für Ihre Cloudressourcen und kann auch Signale an Microsoft Defender XDR senden. Sie können beispielsweise zunächst Ihre Azure-Abonnements mit Microsoft Defender für Cloud verbinden und dann mit anderen Cloudumgebungen fortfahren.

Weitere Informationen finden Sie unter Verbinden Ihrer Azure-Abonnements.

Einführung in Microsoft Security Copilot

Integrieren Sie sich in Microsoft Security Copilot, um Ihre Sicherheitsabläufe mit fortschrittlicher KI zu verbessern. Security Copilot hilft Ihnen, Bedrohungen zu erkennen, zu untersuchen und darauf zu reagieren. Es bietet Einblicke und Empfehlungen, die Ihnen helfen, Risiken einen Schritt voraus zu sein. Nutzen Sie Security Copilot, um Routineaufgaben zu automatisieren, Reaktionszeiten zu reduzieren und die Effizienz Ihres Sicherheitsteams zu verbessern.

Weitere Informationen finden Sie unter Erste Schritte mit Security Copilot.

Entwerfen Ihres Arbeitsbereichs und Onboarding in Microsoft Sentinel

Der erste Schritt bei der Verwendung von Microsoft Sentinel besteht darin, einen Log Analytics-Arbeitsbereich zu erstellen, sofern Sie noch keinen haben. Ein einzelner Log Analytics-Arbeitsbereich könnte für viele Umgebungen ausreichen. Einige Organisationen schaffen jedoch mehrere Arbeitsbereiche, um Kosten zu senken und unterschiedliche Geschäftsanforderungen zu erfüllen. Das Defender-Portal unterstützt einen primären Und mehrere sekundäre Arbeitsbereiche.

1. Erstellen Sie eine Sicherheitsressourcengruppe für Governance-Zwecke, die es Ihnen ermöglicht, Microsoft Sentinel-Ressourcen und rollenbasierten Zugriff auf die Ressourcengruppe zu isolieren.
2. Erstellen Sie einen Log Analytics-Arbeitsbereich in der Ressourcengruppe Sicherheit, und integrieren Sie Microsoft Sentinel darin.

Weitere Informationen finden Sie unter Onboarding Microsoft Sentinel und Mehrere Microsoft Sentinel Arbeitsbereiche im Defender-Portal.

Konfigurieren von Rollen und Berechtigungen

Weisen Sie Ihren Benutzern basierend auf Ihrem dokumentierten Zugriffsplan für Rollen und Berechtigungen Zugriff zu. Um den Zero Trust-Prinzipien zu folgen, verwenden Sie rollenbasierte Zugriffskontrolle (RBAC), um jedem Nutzer nur Zugriff auf die benötigten Ressourcen zu gewähren. Gewähren Sie nicht Zugang zur gesamten Umgebung.

Die mindestens erforderliche Berechtigung, damit ein Analyst Microsoft Sentinel-Daten anzeigen kann, ist die Delegierung von Berechtigungen für die Azure RBAC-Rolle „Sentinel Reader“. Diese Berechtigungen werden auch auf das einheitliche Portal angewendet. Ohne diese Berechtigungen ist das Microsoft Sentinel Navigationsmenü im einheitlichen Portal nicht verfügbar, obwohl der Analyst Zugriff auf das Microsoft Defender-Portal hat.

Eine bewährte Methode besteht darin, alle Microsoft Sentinel zugehörigen Ressourcen in derselben Azure Ressourcengruppe zu haben und dann Microsoft Sentinel Rollenberechtigungen (z. B. die Rolle Sentinel Leser) auf der Ressourcengruppenebene zu delegieren, die den Microsoft Sentinel Arbeitsbereich enthält. Auf diese Weise gilt die Rollenzuweisung für alle Ressourcen, die Microsoft Sentinel unterstützen.

Weitere Informationen finden Sie unter:

• Onboardingvoraussetzungen
• Microsoft Entra ID-Rollen Benutzern zuweisen
• Gewähren des Zugriffs auf Azure Rollen für einen Benutzer
• Verwalten von einheitlicher RBAC in Microsoft Defender (Videodemo)

Im Defender-Portal registrieren

Integrieren Sie Microsoft Sentinel in das Defender-Portal, um es mit Microsoft Defender XDR zu kombinieren. Das ermöglicht Ihnen ein einheitliches Incident-Management und fortgeschrittene Jagd. Weitere Informationen finden Sie unter Verbinden von Microsoft Sentinel mit Microsoft Defender.

Optimieren von Systemkonfigurationen

Verwenden Sie die folgenden Microsoft Sentinel-Konfigurationsoptionen, um Ihre Bereitstellung zu optimieren:

Integrität und Überwachung aktivieren

Aktivieren Sie die Audit- und Gesundheitsüberwachungsfunktion auf der Seite Microsoft Sentinel Settings. Diese Funktion überwacht die Gesundheit und Integrität unterstützter Microsoft Sentinel-Ressourcen. Erhalten Sie Einblicke in Gesundheitsabweichungen, wie jüngste Fehlschläge oder Veränderungen von Erfolgs- zu Misserfolgszuständen. Sie können auch unautorisierte Aktionen verfolgen und die Auditdaten nutzen, um Benachrichtigungen und automatisierte Aktionen zu erstellen.

Weitere Informationen finden Sie unter Aktivieren Sie die Überwachung und Integritätsüberwachung für Microsoft Sentinel.

Konfigurieren von Microsoft Sentinel Inhalten

Installieren Sie basierend auf Ihren geplanten Microsoft Sentinel-Kosten und -Datenquellen die entsprechenden Microsoft Sentinel-Lösungen, und konfigurieren Sie Ihre Datenconnectors. Microsoft Sentinel bietet eine Vielzahl integrierter Lösungen und Datenkonnektoren, Sie können jedoch auch benutzerdefinierte Konnektoren erstellen und Konnektoren zum Erfassen von CEF- oder Syslog-Protokollen einrichten.

Weitere Informationen finden Sie unter:

• Inhalt konfigurieren
• Entdecken und verwalten Sie die vorgefertigten Inhalte von Microsoft Sentinel
• Finden Sie Ihren Datenkonnektor

Aktivieren der Benutzer- und Entitätsverhaltensanalyse (UEBA)

Stellen Sie nach dem Einrichten von Datenconnectors in Microsoft Sentinel sicher, dass Sie die Verhaltensanalyse von Benutzerentitäten aktivieren, um verdächtiges Verhalten zu identifizieren, das zu Phishing-Exploits und schließlich Angriffen wie Ransomware führen könnte. Weitere Informationen finden Sie unter Aktivieren von UEBA in Microsoft Sentinel.

Einrichten der interaktiven und langfristigen Datenaufbewahrung

Richten Sie eine interaktive und langfristige Datenaufbewahrung ein, um sicherzustellen, dass Ihre organization die langfristig wichtigen Daten beibehält. Weitere Informationen finden Sie unter Konfigurieren der interaktiven und langfristigen Datenaufbewahrung.

Aktivieren von Analyseregeln

Analyseregeln weisen Microsoft Sentinel an, Sie bei Ereignissen mit einer Reihe von Bedingungen zu benachrichtigen, die Sie als wichtig erachten. Die sofort einsatzbereiten Entscheidungen, die Microsoft Sentinel treffen, basieren auf der Verhaltensanalyse von Benutzerentitäten (User Entity Behavior Analytics, UEBA) und auf Korrelationen von Daten über mehrere Datenquellen hinweg. Wenn Sie Analyseregeln für Microsoft Sentinel aktivieren, priorisieren Sie die Aktivierung durch verbundene Datenquellen, Organisationsrisiken und MITRE-Taktik.

Weitere Informationen finden Sie unter Bedrohungserkennung in Microsoft Sentinel.

Anomalieregeln überprüfen

Microsoft Sentinel-Anomalieregeln sind sofort einsatzbereit und standardmäßig aktiviert. Anomalieregeln basieren auf Machine Learning-Modellen und UEBA, die mit den Daten in Ihrem Arbeitsbereich trainieren, um anomales Verhalten für Benutzer, Hosts und andere zu kennzeichnen. Überprüfen Sie die Anomalieregeln und den Schwellenwert für die Anomaliebewertung für jeden Einzelnen. Wenn Sie beispielsweise falsch positive Ergebnisse beobachten, sollten Sie erwägen, die Regel zu duplizieren und den Schwellenwert zu ändern.

Weitere Informationen finden Sie unter Arbeiten mit Analyseregeln für die Anomalieerkennung.

Verwenden Sie die Microsoft Threat Intelligence-Analyseregel

Aktivieren Sie die standardmäßige Microsoft Threat Intelligence-Analyseregel und überprüfen Sie, ob sie Ihren Logdaten mit von Microsoft erstellten Bedrohungsinformationen übereinstimmt. Weitere Informationen finden Sie unter Erkennen von Bedrohungen mit Bedrohungsindikatoranalysen. Microsoft verfügt über ein riesiges Archiv an Bedrohungsdaten. Die Microsoft Threat Intelligence Analytics-Regel verwendet einen Teil dieser Daten, um hochpräzise Warnungen und Vorfälle zu erzeugen, die SOC-Teams (Security Operations Centers) triagieren müssen.

Vermeiden doppelter Vorfälle

Nachdem Sie Microsoft Sentinel mit Microsoft Defender verbunden haben, wird automatisch eine bidirektionale Synchronisierung zwischen Microsoft Defender XDR Incidents und Microsoft Sentinel eingerichtet. Um zu vermeiden, dass für dieselben Warnungen doppelte Incidents erstellt werden, empfehlen wir, alle Regeln zur Incidenterstellung in Microsoft für in Microsoft Defender XDR integrierte Produkte zu deaktivieren, einschließlich Defender for Endpoint, Defender for Identity, Defender for Office 365, Defender for Cloud Apps und Microsoft Entra ID Protection.

Weitere Informationen finden Sie unter Erstellen von Microsoft-Incidents .

Durchführen eines MITRE ATT&CK-Crosswalks

Führen Sie bei aktivierten Analyseregeln für Fusion, Anomalien und Threat Intelligence einen MITRE ATT&CK-Crosswalk durch, um zu entscheiden, welche verbleibenden Analyseregeln aktiviert werden sollen, und um die Implementierung eines ausgereiften XDR-Prozesses (Extended Detection and Response) abzuschließen. Dadurch können Sie während des gesamten Lebenszyklus eines Angriffs erkennen und darauf reagieren.

Weitere Informationen finden Sie unter Grundlegendes zur Sicherheitsabdeckung.