Erstellen Sie Richtlinien für die Anomalieerkennung in Defender for Cloud Apps

Die Microsoft Defender for Cloud Apps Richtlinien zur Anomalieerkennung bieten sofort einsatzbereite Benutzer- und Entitätsverhaltensanalysen (UEBA) und Machine Learning (ML), sodass Sie von Anfang an bereit sind, die erweiterte Bedrohungserkennung in Ihrer Cloudumgebung auszuführen. Da sie automatisch aktiviert werden, starten die neuen Richtlinien zur Anomalieerkennung sofort den Prozess der Erkennung und Sortierung von Ergebnissen und zielen auf zahlreiche Verhaltensanomalien für Ihre Benutzer und die Computer und Geräte ab, die mit Ihrem Netzwerk verbunden sind. Darüber hinaus machen die Richtlinien mehr Daten aus der Defender for Cloud Apps Erkennungs-Engine verfügbar, damit Sie den Untersuchungsprozess beschleunigen und laufende Bedrohungen eindämmen können.

Die Richtlinien für die Anomalieerkennung werden automatisch aktiviert, aber Defender for Cloud Apps hat einen anfänglichen Lernzeitraum von sieben Tagen, in dem nicht alle Warnungen zur Anomalieerkennung ausgelöst werden. Nach dem anfänglichen siebentägigen Lernzeitraum wird jede Sitzung, sobald Daten von Ihren konfigurierten API-Konnektoren erfasst werden, mit den Aktivitäten, den Zeitpunkten der Benutzeraktivität, IP-Adressen, Geräten usw. verglichen, die im vergangenen Monat erkannt wurden, sowie mit der Risikobewertung dieser Aktivitäten. Beachten Sie, dass es mehrere Stunden dauern kann, bis Daten von API-Connectors verfügbar sind. Die aus dieser Analyse generierten Anomalieerkennungen sind Teil der heuristischen Engine zur Anomalieerkennung, die Ihre Umgebung profiliert und Warnungen auf Grundlage einer Basislinie auslöst, die anhand der Aktivitäten Ihrer Organisation erlernt wurde. Die Anomalieerkennungen verwenden auch Machine Learning-Algorithmen, die entwickelt wurden, um die Benutzer und das Anmeldemuster zu profilieren, um falsch positive Ergebnisse zu reduzieren.

Anomalien werden durch die Überprüfung der Benutzeraktivität erkannt. Das Risiko wird anhand von über 30 verschiedenen Risikoindikatoren bewertet, die wie folgt in Risikofaktoren gruppiert sind:

• Riskante IP-Adresse
• Anmeldefehler
• Administratoraktivität
• Inaktive Konten
• Standort
• Unmögliche Reise
• Geräte- und Benutzeragent
• Aktivitätsrate

Basierend auf den Richtlinienergebnissen werden Sicherheitswarnungen ausgelöst. Defender for Cloud Apps sieht sich jede Benutzersitzung in Ihrer Cloud an und warnt Sie, wenn etwas passiert, das sich von der Baseline Ihrer organization oder von der regulären Aktivität des Benutzers unterscheidet.

Anomalieerkennungsrichtlinien

Sie können die Richtlinien für die Anomalieerkennung im Microsoft Defender-Portal anzeigen, indem Sie zu Cloud-Apps ->Richtlinien ->Richtlinienverwaltung wechseln. Wählen Sie dann Richtlinie für die Anomalieerkennung als Richtlinientyp aus.

Die folgenden Richtlinien zur Anomalieerkennung sind verfügbar:

Richtlinie zur Erkennung von Anomalien bei unmöglichen Ortswechseln

Die Unmögliche Reiseerkennung identifiziert zwei Benutzeraktivitäten (in einer oder mehreren Sitzungen), die von geografisch entfernten Standorten innerhalb eines Zeitraums stammen, der kürzer ist als die Zeit, die der Benutzer von dem ersten Standort zum zweiten entfernt hat, was bedeutet, dass ein anderer Benutzer dieselben Anmeldeinformationen verwendet. Die Unmögliche Reiseerkennung verwendet einen Machine-Learning-Algorithmus, der offensichtliche "falsch positive Ergebnisse" ignoriert, die zu der unmöglichen Reisebedingung beitragen, z. B. VPNs und Standorte, die regelmäßig von anderen Benutzern in der Organisation verwendet werden. Die Erkennung hat einen anfänglichen Lernzeitraum von sieben Tagen, in dem sie das Aktivitätsmuster eines neuen Benutzers lernt. Die Erkennung unmöglicher Reisen identifiziert ungewöhnliche und unmögliche Benutzeraktivitäten zwischen zwei Standorten. Die Aktivität sollte ungewöhnlich genug sein, um als Indikator für eine Kompromittierung und als warnungswürdig angesehen zu werden. Damit die Erkennung unmöglicher Reisen korrekt funktioniert, enthält die Erkennungslogik verschiedene Unterdrückungsebenen, um Szenarien zu behandeln, die falsch positive Ergebnisse auslösen können, z. B. VPN-Aktivitäten oder Aktivitäten von Cloudanbietern, die keinen physischen Standort angeben. Mit dem Empfindlichkeitsschieberegler können Sie den Algorithmus beeinflussen und definieren, wie streng die Erkennungslogik ist. Je höher die Empfindlichkeitsstufe ist, desto weniger Aktivitäten werden als Teil der Erkennungslogik unterdrückt. Durch Anpassen des Schiebereglers für Empfindlichkeit können Sie die Erkennung entsprechend Ihren Abdeckungsanforderungen und Ihren SNR-Zielen anpassen.

Aktivität aufgrund der Richtlinie für die Erkennung von selten auftretenden Ländern

Die Aktivität aus der Erkennung von seltenen Ländern betrachtet frühere Aktivitätsstandorte, um neue und seltene Standorte zu ermitteln. Die Anomalieerkennungs-Engine speichert Informationen über zuvor vom Benutzer verwendete Standorte. Eine Warnung wird ausgelöst, wenn eine Aktivität von einem Ort aus auftritt, der nicht vor kurzem oder nie vom Benutzer besucht wurde. Um falsch positive Warnungen zu reduzieren, unterdrückt die Erkennung Verbindungen, die durch allgemeine Benutzereinstellungen gekennzeichnet sind.

Schadsoftwareerkennungsrichtlinie

Die Schadsoftwareerkennungsrichtlinie identifiziert schädliche Dateien in Ihrem Cloudspeicher, unabhängig davon, ob sie von Ihren Microsoft Apps oder Apps von Drittanbietern stammen. Microsoft Defender for Cloud Apps verwendet die Threat Intelligence von Microsoft, um zu erkennen, ob bestimmte Dateien, die risiken heuristischen Heuristiken entsprechen, wie Dateityp und Freigabeebene, mit bekannten Schadsoftwareangriffen verbunden sind und potenziell böswillig sind. Diese integrierte Richtlinie ist standardmäßig deaktiviert. Nachdem schädliche Dateien erkannt wurden, können Sie eine Liste der infizierten Dateien anzeigen. Wählen Sie den Namen der Schadsoftwaredatei in der Dateischublade aus, um einen Malware-Bericht zu öffnen, der Ihnen Informationen über die Art der Schadsoftware bereitstellt, mit der die Datei infiziert ist.

Verwenden Sie die Schadsoftwareerkennungsrichtlinie mit Sitzungsrichtlinien, um Dateiuploads und Downloads in Echtzeit zu steuern.

Datei-Isolation

Durch die Aktivierung des Datei-Sandboxings werden Dateien, die anhand ihrer Metadaten und auf Basis proprietärer Heuristiken als potenziell riskant eingestuft werden, ebenfalls in einer sicheren Umgebung in einer Sandbox gescannt. Die Sandboxüberprüfung erkennt möglicherweise Dateien, die nicht basierend auf Threat Intelligence-Quellen erkannt wurden.

Defender for Cloud Apps unterstützt die Schadsoftwareerkennung "File Sandboxing" für die folgenden Apps:

• Box
• Dropbox
• Google Workspace

Aktivität aus der Richtlinie für anonyme IP-Adressen

Die Erkennung von "Aktivität von anonymen IP-Adressen" identifiziert, dass Benutzer aus einer IP-Adresse aktiv waren, die als anonyme Proxy-IP-Adresse identifiziert wurde. Diese Proxys werden von Personen verwendet, die die IP-Adresse ihres Geräts verbergen möchten, und können für böswillige Absichten verwendet werden. Die Erkennung von Aktivitäten von anonymen IP-Adressen verwendet einen Maschinellen Lernalgorithmus, der "falsch positive Ergebnisse" reduziert, z. B. falsch markierte IP-Adressen, die von Benutzern in der Organisation häufig verwendet werden.

Ransomware-Aktivitätserkennungsrichtlinie

Defender for Cloud Apps seine Ransomware-Erkennungsfunktionen mit Anomalieerkennung erweitert, um eine umfassendere Abdeckung vor komplexen Ransomware-Angriffen zu gewährleisten. Defender for Cloud Apps nutzt unsere Expertise in der Sicherheitsforschung, um Verhaltensmuster zu identifizieren, die Ransomware-Aktivitäten widerspiegeln, und gewährleistet so einen ganzheitlichen und robusten Schutz. Wenn Defender for Cloud Apps z. B. eine hohe Rate von Dateiuploads oder Dateilöschaktivitäten erkennt, kann dies einen ungünstigen Verschlüsselungsprozess darstellen. Diese Daten werden in den Protokollen gesammelt, die von verbundenen APIs empfangen werden, und dann mit erlernten Verhaltensmustern und Threat Intelligence kombiniert, z. B. bekannten Ransomware-Erweiterungen. Weitere Informationen dazu, wie Defender for Cloud Apps Ransomware erkennt, finden Sie unter Schützen Ihrer organization vor Ransomware.

Aktivität, die durch beendete Benutzerrichtlinie ausgeführt wird

Die von der Erkennung ausgeschiedener Benutzer ausgeführte Aktivität ermöglicht es Ihnen, festzustellen, wann ein ausgeschiedener Mitarbeiter weiterhin Aktionen in Ihren SaaS-Apps durchführt. Da die Daten zeigen, dass das größte Risiko einer Insider-Bedrohung von Mitarbeitern ausgeht, die zu schlechten Bedingungen gegangen sind, ist es wichtig, die Aktivitäten von gekündigten Mitarbeitern auf Konten im Auge zu behalten. Manchmal, wenn Mitarbeiter ein Unternehmen verlassen, werden ihre Konten von Unternehmens-Apps entfernt, aber in vielen Fällen behalten sie weiterhin Zugriff auf bestimmte Unternehmensressourcen. Dies ist noch wichtiger, wenn privilegierte Konten in Betracht gezogen werden, da der potenzielle Schaden, den ein ehemaliger Administrator anrichten kann, von Natur aus größer ist. Diese Erkennung nutzt die Defender for Cloud Apps Möglichkeit, das Benutzerverhalten appübergreifend zu überwachen, was die Identifizierung der regelmäßigen Aktivitäten des Benutzers, die Tatsache, dass das Konto gelöscht wurde, und die tatsächliche Aktivität in anderen Apps ermöglicht. Beispielsweise kann ein Mitarbeiter, dessen Microsoft Entra Konto gelöscht wurde, aber weiterhin Zugriff auf die AWS-Infrastruktur des Unternehmens hat, große Schäden verursachen.

Die Erkennung sucht nach Benutzern, deren Konten in Microsoft Entra ID gelöscht wurden, führt aber weiterhin Aktivitäten auf anderen Plattformen wie AWS oder Salesforce aus. Dies ist besonders für Benutzer relevant, die ein anderes Konto (nicht ihr primäres Konto für einmaliges Anmelden) zum Verwalten von Ressourcen verwenden, da diese Konten häufig nicht gelöscht werden, wenn ein Benutzer das Unternehmen verlässt.

Richtlinie für Aktivitäten von verdächtigen IP-Adressen

Diese Erkennung identifiziert, dass Benutzer über eine IP-Adresse aktiv waren, die von Microsoft Threat Intelligence als riskant identifiziert wurde. Diese IP-Adressen sind an schädlichen Aktivitäten beteiligt, z. B. der Durchführung von Kennwortsprays, Botnet C&C, und können auf ein kompromittiertes Konto hinweisen. Bei dieser Erkennung wird ein Machine Learning-Algorithmus verwendet, der "falsch positive Ergebnisse" reduziert, z. B. falsch markierte IP-Adressen, die häufig von Benutzern im organization verwendet werden.

Verdächtige Posteingangsweiterleitungsrichtlinie

Diese Erkennung sucht nach verdächtigen E-Mail-Weiterleitungsregeln, z. B. wenn ein Benutzer eine Posteingangsregel erstellt hat, die eine Kopie aller E-Mails an eine externe Adresse weiterleitet.

Richtlinien für verdächtige Posteingangsmanipulationsregeln

Diese Erkennung erstellt ein Profil für Ihre Umgebung und löst Warnungen aus, wenn verdächtige Regeln zum Löschen oder Verschieben von Nachrichten oder Ordnern im Posteingang eines Benutzers festgelegt werden. Dies kann darauf hindeuten, dass das Konto des Benutzers kompromittiert ist, dass Nachrichten absichtlich ausgeblendet werden und dass das Postfach verwendet wird, um Spam oder Schadsoftware in Ihrem organization zu verteilen.

Richtlinie für verdächtige E-Mail-Löschaktivitäten (Vorschau)

Diese Richtlinie erstellt ein Profil für Ihre Umgebung und löst Warnungen aus, wenn ein Benutzer verdächtige E-Mail-Löschaktivitäten in einer einzigen Sitzung ausführt. Diese Richtlinie kann darauf hinweisen, dass die Postfächer eines Benutzers durch potenzielle Angriffsvektoren wie die Befehls- und Steuerungskommunikation (C&C/C2) über E-Mail kompromittiert werden können.

Richtlinien für verdächtige OAuth-App-Dateidownloadaktivitäten

Überprüft die OAuth-Apps, die mit Ihrer Umgebung verbunden sind, und löst eine Warnung aus, wenn eine App mehrere Dateien von Microsoft SharePoint oder Microsoft OneDrive auf eine weise herunterlädt, die für den Benutzer ungewöhnlich ist. Dies kann darauf hindeuten, dass das Benutzerkonto kompromittiert ist.

Ungewöhnliche ISP für eine OAuth-App-Richtlinie

Diese Richtlinie erstellt ein Profil für Ihre Umgebung und löst Warnungen aus, wenn eine OAuth-App von einem ungewöhnlichen ISP eine Verbindung mit Ihren Cloudanwendungen herstellt. Diese Richtlinie kann darauf hinweisen, dass ein Angreifer versucht hat, eine legitime kompromittierte App zu verwenden, um schädliche Aktivitäten in Ihren Cloudanwendungen auszuführen.

Ungewöhnliche Aktivitäten nach Benutzerrichtlinie

Diese Erkennungen identifizieren Benutzer, die Folgendes ausführen:

• Ungewöhnliche Aktivitäten zum Herunterladen mehrerer Dateien
• Ungewöhnliche Dateifreigabeaktivitäten
• Ungewöhnliche Dateilöschaktivitäten
• Ungewöhnliche Aktivitäten unter falscher Identität
• Ungewöhnliche administrative Aktivitäten
• Ungewöhnliche Power BI-Berichtsfreigabeaktivitäten (Vorschau)
• Ungewöhnliche Aktivitäten zur Erstellung mehrerer VMs (Vorschau)
• Ungewöhnliche Aktivitäten zum Löschen mehrerer Speicher (Vorschau)
• Ungewöhnliche Region für Cloudressource (Vorschau)

Diese Richtlinien suchen nach Aktivitäten innerhalb einer einzelnen Sitzung in Bezug auf die gelernte Baseline, die auf einen Sicherheitsverletzungsversuch hindeuten könnte. Diese Erkennungen nutzen einen Machine Learning-Algorithmus, der ein Profil für das Anmeldemuster der Benutzer erstellt und falsch positive Ergebnisse reduziert. Diese Erkennungen sind Teil des heuristischen Anomalieerkennungsmoduls, das Ihre Umgebung profiliert und Warnungen auf Grundlage einer Basislinie auslöst, die aus den Aktivitäten Ihrer Organisation erlernt wurde.

Richtlinie für mehrere fehlgeschlagene Anmeldeversuche

Diese Erkennung identifiziert Benutzer, bei denen mehrere Anmeldeversuche in einer einzelnen Sitzung in Bezug auf die gelernte Baseline fehlgeschlagen sind, was auf einen Sicherheitsverletzungsversuch hinweisen kann.

Richtlinie für Löschaktivitäten mehrerer virtueller Maschinen

Diese Richtlinie erstellt ein Profil für Ihre Umgebung und löst Warnungen aus, wenn Benutzer mehrere virtuelle Computer in einer einzigen Sitzung löschen, relativ zur Baseline in Ihrem organization. Dies kann auf einen versuchten Verstoß hinweisen.

Aktivieren der automatisierten Governance

Sie können automatisierte Korrekturaktionen für Warnungen aktivieren, die von Richtlinien zur Anomalieerkennung generiert werden.

1. Wählen Sie auf der Seite Richtlinien den Namen der Erkennungsrichtlinie aus .
2. Legen Sie im geöffneten Fenster Richtlinie zur Anomalieerkennung bearbeiten unter Governanceaktionen die gewünschten Korrekturaktionen für jede verbundene App oder für alle Apps fest.
3. Wählen Sie Aktualisieren aus.

Optimieren Sie Anomalieerkennungsrichtlinien

So beeinflussen Sie die Anomalieerkennungs-Engine, um Warnungen gemäß Ihren Vorlieben zu unterdrücken oder anzuzeigen:

In der Richtlinie für unmögliche Reisen können Sie den Empfindlichkeitsregler einstellen, um den Grad des anomalen Verhaltens zu bestimmen, der erforderlich ist, bevor eine Warnung ausgelöst wird. Wenn Sie sie beispielsweise auf „niedrig“ oder „mittel“ festlegen, werden „Impossible Travel“-Warnungen von den häufigen Standorten eines Benutzers unterdrückt. Wenn Sie sie auf „hoch“ festlegen, werden diese Warnungen angezeigt. Sie können aus den folgenden Vertraulichkeitsstufen wählen:

• Niedrig: System-, Mandanten- und Benutzerunterdrückungen
• Mittel: System- und Benutzerunterdrückungen
• Hoch: Nur systemseitige Unterdrückungen

Dabei gilt:

Geltungsbereich von Anomalieerkennungsrichtlinien

Für jede Anomalie-Erkennungsrichtlinie kann ein unabhängiger Bereich eingestellt werden, damit sie nur für die Benutzer oder Gruppen angewendet wird, die Sie in der Richtlinie einschließen und ausschließen wollen. Sie können beispielsweise die Aktivität „Erkennung seltener Länder“ so konfigurieren, dass ein bestimmter Benutzer, der häufig reist, ignoriert wird.

So legen Sie den Bereich einer Anomalie-Erkennungsrichtlinie fest:

1. Navigieren Sie im Microsoft Defender-Portal zu Cloud-Apps ->Richtlinien ->Richtlinienverwaltung. Wählen Sie dann Richtlinie für die Anomalieerkennung als Richtlinientyp aus.

2. Wählen Sie die Richtlinie aus, die Sie einschränken möchten.

3. Ändern Sie unter Bereich die Dropdownliste von der Standardeinstellung Alle Benutzer und Gruppen in Bestimmte Benutzer und Gruppen.

4. Wählen Sie Einschließen aus, um die Benutzer und Gruppen anzugeben, für die diese Richtlinie gilt. Benutzer oder Gruppen, die hier nicht ausgewählt sind, werden nicht als Bedrohung betrachtet und generieren keine Warnung.

5. Wählen Sie Ausschließen aus, um Benutzer anzugeben, für die diese Richtlinie nicht gilt. Alle hier ausgewählten Benutzer werden nicht als Bedrohung betrachtet und generieren keine Warnung, selbst wenn sie Mitglieder von Gruppen sind, die unter Einschließen ausgewählt sind.

   

Warnungen zur Erkennung von Anomalien bei der Selektierung

Sie können die verschiedenen Warnungen, die von den neuen Richtlinien für die Anomalieerkennung ausgelöst werden, schnell selektieren und entscheiden, welche zuerst berücksichtigt werden müssen. Dazu benötigen Sie den Kontext für die Warnung, damit Sie das ganze Bild sehen und verstehen können, ob tatsächlich etwas Böswilliges geschieht.

1. Im Aktivitätsprotokoll können Sie eine Aktivität öffnen, um die Aktivitätsschublade anzuzeigen. Wählen Sie Benutzer aus, um die Registerkarte "Benutzererkenntnisse" anzuzeigen. Diese Registerkarte enthält Informationen wie die Anzahl von Warnungen, Aktivitäten und deren Verbindung, was für eine Untersuchung wichtig ist.

   

2. Bei schadsoftwareinfizierten Dateien können Sie, nachdem Dateien erkannt wurden, eine Liste der infizierten Dateien anzeigen. Wählen Sie den Namen der Schadsoftwaredatei in der Dateischublade aus, um einen Malware-Bericht zu öffnen, der Ihnen Informationen über diese Art von Schadsoftware bereitstellt, mit der die Datei infiziert ist.

Nächste Schritte

Wenn Probleme auftreten, helfen wir Ihnen gerne weiter. Um Unterstützung oder Support für Ihr Produktproblem zu erhalten, öffnen Sie ein Supportticket.