Bedrohungsinformationen in Microsoft Sentinel

Microsoft Sentinel ist eine cloudnative Siem-Lösung (Security Information and Event Management), die Threat Intelligence aus zahlreichen Quellen erfassen, zusammenstellen und verwalten kann.

Einführung in Threat Intelligence

Cyber Threat Intelligence (CTI) ist eine Information, die vorhandene oder potenzielle Bedrohungen für Systeme und Benutzer beschreibt. Diese Intelligenz hat viele Formen, z. B. schriftliche Berichte, in denen die Beweggründe, die Infrastruktur und die Techniken eines bestimmten Bedrohungsakteurs detailliert beschrieben werden. Es können auch spezifische Beobachtungen von IP-Adressen, Domänen, Dateihashes und anderen Artefakten sein, die bekannten Cyberbedrohungen zugeordnet sind.

Organisationen verwenden CTI, um einen wesentlichen Kontext für ungewöhnliche Aktivitäten bereitzustellen, sodass Sicherheitspersonal schnell Maßnahmen ergreifen kann, um ihre Mitarbeiter, Informationen und Ressourcen zu schützen. Sie können CTI an vielen Stellen beziehen, z. B.:

• Open-Source-Datenfeeds
• Gemeinschaften zum Austausch von Bedrohungsinformationen
• Informationsfeeds für Marktinformationen
• Lokal gewonnene Erkenntnisse, die im Zuge von Sicherheitsuntersuchungen innerhalb einer Organisation erfasst werden

Für SIEM-Lösungen wie Microsoft Sentinel sind die häufigsten Formen von KTI Bedrohungsindikatoren, die auch als Indikatoren der Kompromittierung (Indicators of Compromise, IOCs) oder Indikatoren für Angriffe bezeichnet werden. Bedrohungsindikatoren sind Daten, die beobachtete Artefakte wie URLs, Dateihashes oder IP-Adressen bekannten Bedrohungsaktivitäten wie Phishing, Botnets oder Schadsoftware zuordnen. Diese Form der Threat Intelligence wird oft als taktische Bedrohungsintelligenz bezeichnet. Es wird in großem Umfang auf Sicherheitsprodukte und Automatisierung angewendet, um potenzielle Bedrohungen für eine organization zu erkennen und vor ihnen zu schützen.

Ein weiteres Facet der Threat Intelligence stellt Bedrohungsakteure, ihre Techniken, Taktiken und Verfahren (TTPs), ihre Infrastruktur und die Identitäten ihrer Opfer dar. Microsoft Sentinel unterstützt die Verwaltung dieser Aspekte zusammen mit IOCs, die mithilfe des Open-Source-Standards für den Austausch von CTI dargestellt werden, der als Structured Threat Information Expression (STIX) bekannt ist. Als STIX-Objekte ausgedrückte Threat Intelligence verbessert die Interoperabilität und ermöglicht es Organisationen, Bedrohungen effizienter aufzuspüren. Verwenden Sie THREAT INTELLIGENCE-STIX-Objekte in Microsoft Sentinel, um böswillige Aktivitäten zu erkennen, die in Ihrer Umgebung beobachtet werden, und stellen Sie den vollständigen Kontext eines Angriffs bereit, um Entscheidungen zur Reaktion zu treffen.

In der folgenden Tabelle sind die Aktivitäten aufgeführt, die erforderlich sind, um die Integration von Threat Intelligence (TI) in Microsoft Sentinel optimal zu nutzen:

Threat Intelligence bietet auch nützliche Kontexte in anderen Microsoft Sentinel Erfahrungen, z. B. Notebooks. Weitere Informationen finden Sie unter Erste Schritte mit Notebooks und MSTICPy.

Bedrohungsinformationen importieren und verbinden

Die meisten Bedrohungsinformationen werden über Datenkonnektoren oder eine API importiert. Konfigurieren Sie Aufnahmeregeln für Datenkonnektoren, um Störungen zu reduzieren und Ihre Intelligence-Datenfeeds zu optimieren. Hier finden Sie die verfügbaren Lösungen für Microsoft Sentinel.

• Microsoft Defender Threat Intelligence-Datenkonnektor zur Erfassung von Microsoft-Bedrohungsinformationen
• Threat Intelligence - TAXII-Datenkonnektor für branchenübliche STIX/TAXII-Feeds
• Threat Intelligence-Upload-API für integrierte und kuratierte TI-Feeds mithilfe einer REST-API zum Herstellen einer Verbindung (erfordert keinen Datenconnector)
• Threat Intelligence Platform-Datenkonnektor verbindet auch TI-Feeds mithilfe einer Legacy-REST-API, soll jedoch eingestellt werden.

Verwenden Sie diese Lösungen in beliebiger Kombination, je nachdem, woher Ihre Organisation Bedrohungsinformationen bezieht. Alle diese Datenkonnektoren sind im Content hub im Rahmen der Threat Intelligence-Lösung verfügbar. Weitere Informationen zu dieser Lösung finden Sie im Azure Marketplace-Eintrag Threat Intelligence.

Sehen Sie sich auch diesen Katalog von Threat Intelligence-Integrationen an, die mit Microsoft Sentinel verfügbar sind.

Bedrohungsinformationen mit dem Defender Threat Intelligence-Datenkonnektor zu Microsoft Sentinel hinzufügen

Bringen Sie öffentliche, Open-Source- und hochgradig vertrauenswürdige IOCs, die von Defender Threat Intelligence generiert werden, mithilfe der Defender Threat Intelligence-Datenkonnektoren in Ihren Microsoft Sentinel-Arbeitsbereich. Mit einer einfachen Ein-Klick-Einrichtung können Sie die Threat Intelligence aus den standardmäßigen und Premium-Defender-Threat-Intelligence-Datenkonnektoren nutzen, um zu überwachen, Warnungen zu generieren und Bedrohungen aufzuspüren.

Es sind zwei Versionen des Datenconnectors verfügbar: Standard und Premium. Es gibt auch eine kostenlos verfügbare Defender Threat Intelligence-Threat-Analytics-Regel, die Ihnen einen Einblick in die Daten bietet, die der Defender Threat Intelligence-Premiumdatenconnector bereitstellt. Bei Abgleichsanalysen werden jedoch nur die Indikatoren in Ihre Umgebung aufgenommen, die der Regel entsprechen.

Der Defender Threat Intelligence Premium-Datenkonnektor nimmt mit Microsoft angereicherte Open-Source-Informationen sowie von Microsoft kuratierte IOCs auf. Diese Premiumfunktionen ermöglichen Analysen über mehr Datenquellen mit größerer Flexibilität und einem besseren Verständnis dieser Bedrohungsdaten. Die folgende Tabelle zeigt, was Sie erwarten können, wenn Sie die Premium-Version lizenzieren und aktivieren.

Weitere Informationen finden Sie in den folgenden Artikeln:

• Informationen dazu, wie Sie eine Premium-Lizenz erhalten und alle Unterschiede zwischen den Standard- und Premium-Versionen kennenlernen, finden Sie unter Defender Threat Intelligence-Lizenzen kennenlernen.
• Weitere Informationen zur kostenlosen Defender Threat Intelligence-Version finden Sie unter Introducing Defender Threat Intelligence free experience for Microsoft Defender XDR.
• Informationen zum Aktivieren von Defender Threat Intelligence und den Premium-Defender Threat Intelligence-Datenconnectors finden Sie unter Aktivieren des Defender Threat Intelligence-Datenconnectors.
• Informationen zu Abgleichanalysen finden Sie unter Verwenden Sie Abgleichanalysen zum Erkennen von Bedrohungen.

Hinzufügen von Threat Intelligence zu Microsoft Sentinel mit der Upload-API

Viele Organisationen verwenden TIP-Lösungen (Threat Intelligence Platform), um Bedrohungsindikatorfeeds aus verschiedenen Quellen zu aggregieren. Aus dem aggregierten Feed werden die Daten für Sicherheitslösungen wie Netzwerkgeräte, EDR/XDR-Lösungen oder SIEMs wie Microsoft Sentinel zusammengestellt. Mithilfe der Upload-API können Sie diese Lösungen verwenden, um THREAT INTELLIGENCE-STIX-Objekte in Microsoft Sentinel zu importieren.

Die neue Upload-API erfordert keinen Datenconnector und bietet die folgenden Verbesserungen:

• Die Bedrohungsindikatorfelder basieren auf dem standardisierten STIX-Format.
• Die Microsoft Entra-Anwendung benötigt die Rolle „Microsoft Sentinel-Mitwirkender“.
• Der API-Anforderungsendpunkt ist auf Arbeitsbereichsebene ausgerichtet. Die erforderlichen Microsoft Entra Anwendungsberechtigungen ermöglichen eine präzise Zuweisung auf Arbeitsbereichsebene.

Weitere Informationen finden Sie unter Verbinden Ihrer Threat Intelligence-Plattform mithilfe der Upload-API.

Hinzufügen von Threat Intelligence zu Microsoft Sentinel mit dem Threat Intelligence Platform-Datenconnector

Ähnlich wie bei der Upload-API verwendet der Threat Intelligence Platform-Datenconnector eine API, die es Ihrer TIP- oder benutzerdefinierten Lösung ermöglicht, Threat Intelligence an Microsoft Sentinel zu senden. Dieser Datenkonnektor ist jedoch auf Indikatoren beschränkt und wird eingestellt. Nutzen Sie die Optimierungen, die die Upload-API bietet.

Der TIP-Datenconnector verwendet die Microsoft Graph Security tiIndicators-API , die keine anderen STIX-Objekte unterstützt. Verwenden Sie es mit jedem benutzerdefinierten TIP, der mit der tiIndicators-API kommuniziert, um Indikatoren an Microsoft Sentinel (und an andere Microsoft-Sicherheitslösungen wie Defender XDR) zu senden.

Weitere Informationen zu den in Microsoft Sentinel integrierten TIP-Lösungen finden Sie unter Integrierte Threat Intelligence-Plattformprodukte. Weitere Informationen finden Sie unter Verbinden Ihrer Threat Intelligence-Plattform mit Microsoft Sentinel.

Hinzufügen von Threat Intelligence zu Microsoft Sentinel mit dem Threat Intelligence - TAXII-Datenconnector

Der am weitesten verbreitete Branchenstandard für die Übertragung von Threat Intelligence ist eine Kombination aus dem STIX-Datenformat und dem TAXII-Protokoll. Wenn Ihre Organisation Bedrohungsinformationen aus Lösungen bezieht, die die aktuelle STIX/TAXII-Version (2.0 oder 2.1) unterstützen, verwenden Sie den Datenconnector „Threat Intelligence - TAXII“, um Ihre Bedrohungsinformationen in Microsoft Sentinel zu importieren. Mithilfe des Datenconnectors Threat Intelligence – TAXII verfügt Microsoft Sentinel über einen integrierten TAXII-Client, der Threat Intelligence von TAXII 2.x-Servern importiert.

So importieren Sie STIX-formatierte Threat Intelligence in Microsoft Sentinel von einem TAXII-Server:

1. Rufen Sie das API-Stammverzeichnis des TAXII-Servers und die ID der Sammlung ab.
2. Aktivieren Sie den Threat Intelligence – TAXII-Datenkonnektor in Microsoft Sentinel.

Weitere Informationen finden Sie unter Verbinden Microsoft Sentinel mit STIX/TAXII Threat Intelligence-Feeds.

Erstellen und Verwalten von Threat Intelligence

Die von Microsoft Sentinel bereitgestellte Threat Intelligence wird neben Microsoft Defender Threat Intelligence (MDTI) und Threat Analytics im Microsoft Defender-Portal verwaltet.

Zwei der häufigsten Aufgaben im Bereich Threat Intelligence sind das Erstellen neuer Threat-Intelligence-Daten für Sicherheitsuntersuchungen und das Hinzufügen von Tags. Die Verwaltungsschnittstelle vereinfacht den manuellen Prozess der Zusammenstellung einzelner Bedrohungsinformationen durch einige Schlüsselfunktionen.

• Konfigurieren Sie Erfassungsregeln, um Bedrohungsinformationen aus Datenquellen des Datenconnectors zu optimieren.
• Definieren Sie Beziehungen, wenn Sie neue STIX-Objekte erstellen.
• Pflegen Sie vorhandene TI mithilfe des Beziehungseditors.
• Kopieren Sie gemeinsame Metadaten aus einem neuen oder bestehenden TI-Objekt mithilfe der Duplizieren-Funktion.
• Fügen Sie Freiformtags zu Objekten mithilfe von Mehrfachauswahl hinzu.

Die folgenden STIX-Objekte sind in Microsoft Sentinel verfügbar:

Konfigurieren von Erfassungsregeln

Sie können Bedrohungsinformationen aus Datenkonnektoren optimieren, indem Sie Objekte filtern und anreichern, bevor sie an Ihren Arbeitsbereich übermittelt werden. Erfassungsregeln gelten nur für Datenkonnektoren und haben keine Auswirkungen auf Bedrohungsdaten, die über die Upload-API hochgeladen oder manuell erstellt werden. Erfassungsregeln aktualisieren Attribute oder filtern Objekte vollständig heraus. In der folgenden Tabelle sind einige Anwendungsfälle aufgeführt:

Beachten Sie bei der Verwendung von Erfassungsregeln die folgenden Tipps:

• Alle Regeln gelten in der richtigen Reihenfolge. Threat-Intelligence-Objekte, die aufgenommen werden, werden durch jede Regel verarbeitet, bis eine Delete-Aktion erfolgt. Wenn an einem Objekt keine Aktion ausgeführt wird, wird es unverändert aus der Quelle übernommen.
• Die Aktion Delete bedeutet, dass das Threat-Intelligence-Objekt bei der Aufnahme übersprungen wird, d. h., dass es aus der Pipeline entfernt wird. Frühere Versionen des bereits erfassten Objekts sind nicht betroffen.
• Es dauert bis zu 15 Minuten, bis neue und bearbeitete Regeln wirksam werden.

Weitere Informationen finden Sie unter Arbeiten mit Threat Intelligence-Erfassungsregeln.

Erstellen von Beziehungen

Sie können die Bedrohungserkennung und -reaktion verbessern, indem Sie mithilfe des Beziehungs-Generators Verbindungen zwischen Objekten herstellen. In der folgenden Tabelle sind einige anwendungsfälle aufgeführt:

Die folgende Abbildung zeigt, wie der Beziehungs-Generator alle diese Anwendungsfälle miteinander verbindet.

Threat Intelligence zusammenstellen

Konfigurieren Sie, welche TI-Objekte Sie für die entsprechenden Zielgruppen freigeben können, indem Sie eine Vertraulichkeitsstufe namens Traffic Light Protocol (TLP) festlegen.

Legen Sie TLP-Werte für TI-Objekte auf der Benutzeroberfläche fest, wenn Sie sie erstellen oder bearbeiten. Das Festlegen von TLP über die API ist weniger intuitiv und erfordert die Auswahl einer von vier marking-definition Objekt-GUIDs. Weitere Informationen zum Konfigurieren von TLP über die API finden Sie unter object_marking_refs in den Allgemeinen Eigenschaften der Upload-API.

Eine weitere Möglichkeit, TI zu kuratieren, ist die Verwendung von Tags. Das Markieren von Threat Intelligence ist eine schnelle Möglichkeit, Objekte zu gruppieren, um sie leichter zu finden. In der Regel können Sie Tags anwenden, die sich auf einen bestimmten Incident beziehen. Wenn ein Objekt jedoch Bedrohungen durch einen bestimmten bekannten Akteur oder eine bekannte Angriffskampagne darstellt, sollten Sie anstelle eines Tags eine Beziehung erstellen. Nachdem Sie nach der Bedrohungsintelligenz, mit der Sie arbeiten möchten, gesucht und gefiltert haben, markieren Sie sie einzeln oder mehrfach, und markieren Sie sie alle gleichzeitig. Da tagging freiform ist, erstellen Sie Standardbenennungskonventionen für Threat Intelligence-Tags.

Weitere Informationen finden Sie unter Arbeiten mit Threat Intelligence in Microsoft Sentinel.

Bedrohungsinformationen anzeigen

Rufen Sie Ihre Bedrohungsdaten über die Verwaltungsschnittstelle oder mithilfe von Abfragen ab:

• Verwenden Sie über die Verwaltungsoberfläche die erweiterte Suche, um Ihre Threat Intelligence-Objekte zu sortieren und zu filtern, ohne eine Log Analytics-Abfrage zu schreiben.

  

• Verwenden Sie Abfragen, um Threat Intelligence aus Protokollen im Azure-Portal oder Erweiterte Suche im Defender-Portal anzuzeigen.

  In beiden Richtungen speichert die ThreatIntelIndicators Tabelle unter dem Microsoft Sentinel Schema alle Ihre Microsoft Sentinel Bedrohungsindikatoren. Diese Tabelle bildet die Grundlage für Bedrohungsdatenabfragen, die von anderen Funktionen von Microsoft Sentinel wie Analysen, Hunting-Abfragen und Arbeitsmappen ausgeführt werden.

Lebenszyklus der Threat Intelligence

Microsoft Sentinel speichert Threat Intelligence-Daten in Ihren Threat Intelligence-Tabellen und erfasst alle Daten automatisch alle sieben bis 10 Tage, um die Abfrageeffizienz zu optimieren.

Wenn ein Indikator erstellt, aktualisiert oder gelöscht wird, erstellt Microsoft Sentinel einen neuen Eintrag in den Tabellen. Auf der Verwaltungsschnittstelle wird nur der aktuelle Indikator angezeigt. Microsoft Sentinel dedupliziert Indikatoren basierend auf der Id -Eigenschaft (die IndicatorId -Eigenschaft in der Vorgängerversion ThreatIntelligenceIndicator) und wählt den Indikator mit dem neuesten TimeGenerated[UTC]aus.

Die Id-Eigenschaft ist eine Verkettung des base64-codierten SourceSystem-Werts, des Werts --- (drei Bindestriche) und des stixId (bei dem es sich um den Data.Id-Wert handelt).

Geolokalisierungs- und WhoIs-Datenanreicherungen anzeigen (Öffentliche Vorschau)

Microsoft bereichert Domänen- und IP-Indikatoren mit zusätzlichen GeoLocation- und WhoIs-Daten, um mehr Kontext für Untersuchungen bereitzustellen, in denen der ausgewählte IOC gefunden wird.

Sehen Sie sich die Daten zu GeoLocation und WhoIs im Bereich „Threat Intelligence“ für diese Typen von Bedrohungsindikatoren an, die in Microsoft Sentinel importiert wurden.

Verwenden Sie beispielsweise GeoLocation-Daten, um Informationen wie die Organisation, das Land oder die Region für einen IP-Indikator zu ermitteln. Verwenden Sie WhoIs-Daten, um anhand eines Domänenindikators Informationen wie den Registrar und das Erstellungsdatum des Eintrags zu ermitteln.

Erkennen von Bedrohungen mit Bedrohungsindikatoranalysen

Der wichtigste Anwendungsfall für Threat Intelligence in SIEM-Lösungen wie Microsoft Sentinel ist die Verwendung von Analyseregeln für die Bedrohungserkennung. Diese indikatorbasierten Regeln vergleichen Rohereignisse aus Ihren Datenquellen mit Ihren Bedrohungsindikatoren, um Sicherheitsbedrohungen in Ihrem organization zu erkennen. In Microsoft Sentinel Analytics erstellen Sie Analyseregeln, die von Abfragen unterstützt werden, die nach einem Zeitplan ausgeführt werden und Sicherheitswarnungen generieren. Zusammen mit Konfigurationen bestimmen sie, wie oft die Regel ausgeführt werden soll, welche Art von Abfrageergebnissen Sicherheitswarnungen und Incidents generieren soll und optional, wann eine automatisierte Antwort ausgelöst werden soll.

Obwohl Sie immer neue Analyseregeln von Grund auf neu erstellen können, bietet Microsoft Sentinel eine Reihe integrierter Regelvorlagen, die von Microsoft-Sicherheitstechnikern erstellt wurden, um Ihre Bedrohungsindikatoren zu nutzen. Diese Vorlagen basieren auf dem Typ der Bedrohungsindikatoren (Domäne, E-Mail, Dateihash, IP-Adresse oder URL) und Datenquellenereignissen, die Sie abgleichen möchten. Jede Vorlage listet die erforderlichen Quellen auf, die für die Funktion der Regel erforderlich sind. Anhand dieser Informationen lässt sich leicht feststellen, ob die erforderlichen Ereignisse bereits in Microsoft Sentinel importiert wurden.

Wenn diese integrierten Regeln ausgelöst werden, wird standardmäßig eine Warnung erstellt. In Microsoft Sentinel generieren die von Analyseregeln generierten Warnungen auch Sicherheitsvorfälle. Wählen Sie im menü Microsoft Sentinel unter Bedrohungsmanagement die Option Incidents aus. Incidents sind das, was Ihre Sicherheitsteams selektieren und untersuchen, um die geeigneten Reaktionsaktionen zu bestimmen. Weitere Informationen finden Sie unter Tutorial: Untersuchen von Incidents mit Microsoft Sentinel.

Weitere Informationen zur Verwendung von Bedrohungsindikatoren in Ihren Analyseregeln finden Sie unter Verwenden von Threat Intelligence zum Erkennen von Bedrohungen.

Microsoft bietet über die Analyseregel Defender Threat Intelligence Zugriff auf seine Bedrohungsdaten. Weitere Informationen dazu, wie Sie diese Regel nutzen können, die Warnungen und Vorfälle mit hoher Genauigkeit generiert, finden Sie unter Übereinstimmungsanalysen verwenden, um Bedrohungen zu erkennen.

Arbeitsmappen bieten Einblicke in Ihre Threat Intelligence

Arbeitsmappen bieten leistungsstarke interaktive Dashboards, die Ihnen Einblicke in alle Aspekte der Microsoft Sentinel bieten, und Threat Intelligence ist keine Ausnahme. Verwenden Sie die integrierte Threat Intelligence-Arbeitsmappe , um wichtige Informationen zu Ihrer Threat Intelligence zu visualisieren. Passen Sie die Arbeitsmappe an Ihre geschäftlichen Anforderungen an. Erstellen Sie neue Dashboards, indem Sie viele Datenquellen kombinieren, um Ihre Daten auf einzigartige Weise zu visualisieren.

Da Microsoft Sentinel Arbeitsmappen auf Azure Monitor-Arbeitsmappen basieren, sind bereits umfangreiche Dokumentationen und viele weitere Vorlagen verfügbar. Weitere Informationen finden Sie unter Erstellen interaktiver Berichte mit Azure Monitor-Arbeitsmappen.

Es gibt auch eine umfangreiche Ressource für Azure Monitor-Arbeitsmappen auf GitHub, in der Sie weitere Vorlagen herunterladen und Ihre eigenen Vorlagen beitragen können.

Weitere Informationen zum Verwenden und Anpassen der Threat Intelligence-Arbeitsmappe finden Sie unter Visualisieren von Threat Intelligence mit Arbeitsmappen.

Verwandte Inhalte

In diesem Artikel haben Sie mehr über Threat Intelligence-Funktionen erfahren, die von Microsoft Sentinel unterstützt werden. Weitere Informationen finden Sie in den folgenden Artikeln:

• Neue STIX-Objekte in Microsoft Sentinel
• Aufdecken von Angreifern mit Threat Intelligence im Defender-Portal
• Suche im Microsoft Defender-Portal