Erstellen von Indikatoren für Dateien

Dateiindikatoren verhindern die weitere Verbreitung eines Angriffs in Ihrem organization, indem potenziell schädliche Dateien oder vermutete Schadsoftware verboten werden. Wenn Sie eine potenziell schädliche PE-Datei (Portable Executable) kennen, können Sie sie blockieren. Das Blockieren der Datei verhindert, dass sie auf Geräten in Ihrer Organisation gelesen, geschrieben oder ausgeführt wird.

Es gibt drei Möglichkeiten, Indikatoren für Dateien zu erstellen:

• Durch das Erstellen eines Indikators über die Einstellungsseite
• Erstellen eines kontextbezogenen Indikators mithilfe der Schaltfläche "Indikator hinzufügen" auf der Dateidetailseite
• Durch programmgesteuertes Erstellen eines Indikators über die Indikator-API

Voraussetzungen

Machen Sie sich mit den folgenden Voraussetzungen vertraut, bevor Sie Indikatoren für Dateien erstellen:

• Aktivieren der Verhaltensüberwachung
• Aktivieren Sie cloudbasierten Schutz.
• Konfigurieren der Netzwerkkonnektivität für Cloudschutz

Unterstützte Betriebssysteme

Die folgenden Betriebssysteme unterstützen Dateiindikatoren:

• Über Windows 10, Version 1703 oder höher verfügen
• Windows 11
• Windows Server 2012 R2
• Windows Server 2016 oder höher
• Azure Stack HCI-Betriebssystem, Version 23H2 und höher.

Windows-Voraussetzungen

Bevor Sie Dateiindikatoren für Windows erstellen, stellen Sie sicher, dass die folgenden Anforderungen erfüllt sind:

• Dieses Feature ist verfügbar, wenn Ihr organization Microsoft Defender Antivirus (im aktiven Modus) verwendet.
• Die Version des Anti-Malware-Clients muss 4.18.1901.x oder höher sein. Siehe Monatliche Plattform- und Engine-Versionen
• Die Berechnung des Datei-Hashs wird durch Festlegen von Computer Configuration\Administrative Templates\Windows Components\Microsoft Defender Antivirus\MpEngine\Enable File Hash Computation auf Aktiviert aktiviert. Alternativ können Sie den folgenden PowerShell-Befehl ausführen: Set-MpPreference -EnableFileHashComputation $true

macOS-Voraussetzungen

Überprüfen Sie vor dem Erstellen von Dateiindikatoren unter macOS die folgenden Voraussetzungen:

• Echtzeitschutz (Real-Time Protection, RTP) muss aktiv sein.
• Konfigurieren Sie die Dateihashberechnung unter macOS. Führen Sie den folgenden Befehl aus: mdatp config enable-file-hash-computation --value enabled

Linux Voraussetzungen

Stellen Sie vor dem Erstellen von Dateiindikatoren unter Linux sicher, dass die folgenden Voraussetzungen vorhanden sind:

• Verfügbar in Defender for Endpoint Version 101.85.27 oder höher.
• Konfigurieren der Dateihashberechnung unter Linux im Microsoft Defender-Portal oder im verwalteten JSON
• Eine aktivierte Verhaltensüberwachung wird bevorzugt, aber diese Funktion arbeitet auch mit jedem anderen Scan (RTP oder benutzerdefiniert).

Erstellen eines Indikators für Dateien über die Einstellungsseite

Führen Sie die folgenden Schritte aus, um einen Dateiindikator auf der Einstellungsseite zu erstellen:

1. Wählen Sie im Navigationsbereich System>Einstellungen>Endpunkte>Indikatoren (unter Regeln) aus.

2. Wählen Sie die Registerkarte Datei-Hashes aus.

3. Wählen Sie Element hinzufügen aus.

4. Geben Sie die folgenden Details an:

   • Indikator: Geben Sie die Details der Entität an und definieren Sie das Ablaufdatum des Indikators.
   • Aktion: Geben Sie die auszuführende Aktion an, und geben Sie eine Beschreibung an.
   • Geltungsbereich: Definieren Sie den Geltungsbereich der Gerätegruppe (das Festlegen des Geltungsbereichs ist in Defender for Business nicht verfügbar).

5. Überprüfen Sie die Details auf der Registerkarte Zusammenfassung, und wählen Sie dann Speichern aus.

Erstellen eines kontextbezogenen Indikators auf der Seite mit den Dateidetails

Eine der Optionen beim Ausführen von Antwortaktionen für eine Datei ist das Hinzufügen eines Indikators für die Datei. Wenn Sie einen Hashindikator für eine Datei hinzufügen, können Sie festlegen, dass eine Warnung ausgelöst und die Datei blockiert wird, wenn ein Gerät in Ihrer Organisation versucht, sie auszuführen.

Dateien, die automatisch durch einen Indikator blockiert werden, werden nicht im Aktionscenter der Datei angezeigt, die Warnungen sind jedoch weiterhin in der Warnungswarteschlange sichtbar.

Dateien blockieren

Führen Sie den folgenden Schritt aus, um Dateien mithilfe von Indikatoren zu blockieren:

1. Um mit dem Blockieren von Dateien zu beginnen, aktivieren Sie das Feature "Blockieren oder Zulassen" in den Einstellungen (wechseln Sie im Microsoft Defender-Portal zu Einstellungen>Endpunkte>Allgemein>Erweiterte Features>Zulassen oder Blockieren von Dateien).

Warnungen bei Dateiblockierungsaktionen (Vorschau)

Die derzeit unterstützten Aktionen für Datei-IOC sind Zulassen, Überwachen und Blockieren sowie Korrigieren. Nachdem Sie eine Datei blockiert haben, können Sie auswählen, ob das Auslösen einer Warnung erforderlich ist. Indem Sie auswählen, ob eine Warnung für das Blockereignis generiert werden soll, können Sie die Anzahl der an Ihre Sicherheitsteams gesendeten Warnungen steuern und sicherstellen, dass nur erforderliche Warnungen ausgelöst werden.

1. Wechseln Sie im Microsoft Defender-Portal zu Einstellungen>Endpunkte>Indikatoren>Neuen Dateihash hinzufügen.

2. Wählen Sie aus, ob die Datei blockiert und wiederhergestellt werden soll.

3. Geben Sie an, ob eine Warnung für das Dateiblockereignis generiert werden soll, und definieren Sie die Warnungseinstellungen:

   • Der Warnungstitel
   • Der Schweregrad der Warnung
   • Kategorie
   • Beschreibung
   • Empfohlene Aktionen

   

   Wichtig

   • In der Regel werden Dateiblöcke innerhalb von 15 Minuten erzwungen und entfernt, durchschnittlich 30 Minuten, aber es kann mehr als 2 Stunden dauern.
   • Wenn es in Konflikt stehende Datei-IoC-Richtlinien mit demselben Erzwingungstyp und Ziel gibt, wird die Richtlinie des sichereren Hashs angewendet. Eine SHA-256-Datei-Hash-IoC-Richtlinie hat Vorrang vor einer SHA-1-Datei-Hash-IoC-Richtlinie, die wiederum Vorrang vor einer MD5-Datei-Hash-IoC-Richtlinie hat, wenn die Hash-Typen dieselbe Datei identifizieren. Dies gilt immer unabhängig von der Gerätegruppe.
   • Wenn in allen anderen Fällen in Konflikt stehende Datei-IoC-Richtlinien mit demselben Erzwingungsziel auf alle Geräte und die Gerätegruppe angewendet werden, gewinnt die Richtlinie in der Gerätegruppe für ein Gerät.
   • Wenn die Gruppenrichtlinie EnableFileHashComputation deaktiviert ist, wird die Blockiergenauigkeit des Datei-IoC verringert. Die Aktivierung EnableFileHashComputation kann sich jedoch auf die Geräteleistung auswirken. Das Kopieren großer Dateien aus einer Netzwerkfreigabe auf Ihr lokales Gerät, insbesondere über eine VPN-Verbindung, kann sich beispielsweise auf die Geräteleistung auswirken. Weitere Informationen zur Gruppenrichtlinie EnableFileHashComputation finden Sie unter Defender CSP. Weitere Informationen zum Konfigurieren dieses Features in Defender für Endpunkt unter Linux und macOS finden Sie unter Konfigurieren der Dateihashberechnungsfunktion unter Linux und Konfigurieren der Dateihashberechnungsfunktion unter macOS.

Erweiterte Suchfunktionen (Vorschau)

Derzeit in der Vorschau können Sie die Aktivitäten zu Reaktionsaktionen in Advanced Hunting abfragen. Im Folgenden finden Sie eine Beispielabfrage für die erweiterte Suche:

search in (DeviceFileEvents, DeviceProcessEvents, DeviceEvents, DeviceRegistryEvents, DeviceNetworkEvents, DeviceImageLoadEvents, DeviceLogonEvents)
Timestamp > ago(30d)
| where AdditionalFields contains "EUS:Win32/CustomEnterpriseBlock!cl"

Weitere Informationen zur erweiterten Suche finden Sie unter Proaktives Suchen nach Bedrohungen mit erweiterter Suche.

Im Folgenden finden Sie weitere Bedrohungsnamen, die in der Beispielabfrage verwendet werden können:

Dateien:

• EUS:Win32/CustomEnterpriseBlock!cl
• EUS:Win32/CustomEnterpriseNoAlertBlock!cl

Zertifikate:

• EUS:Win32/CustomCertEnterpriseBlock!cl

Die Aktivität der Reaktionsaktion kann auch in der Gerätezeitleiste angezeigt werden.

Behandlung von Richtlinienkonflikten

Zertifikat- und Datei-IoC-Richtlinien, die Konflikte behandeln, folgen der folgenden Reihenfolge:

1. Wenn die Datei durch die Richtlinien von Windows Defender Application Control und AppLocker im Erzwingungsmodus nicht zugelassen wird, dann Blockieren.

2. Andernfalls, wenn die Datei durch die Microsoft Defender Antivirusausschlüsse zulässig ist, dann Zulassen.

3. Andernfalls, wenn die Datei von Block- oder Warn-Datei-IoCs blockiert oder mit einer Warnung versehen wird, dann Blockieren/Warnen.

4. Andernfalls, wenn die Datei von SmartScreen blockiert wird, dann Blockieren.

5. Andernfalls, wenn die Datei durch eine IoC-Richtlinie für zulässige Dateien zulässig ist, dann Zulassen.

6. Andernfalls, wenn die Datei durch Regeln zur Verringerung der Angriffsfläche, kontrollierten Ordnerzugriff oder Antivirenschutz blockiert wird, dann Blockieren.

7. Andernfalls Zulassen (erfüllt die Richtlinien für Windows Defender Application Control und AppLocker, und es werden keine IoC-Regeln darauf angewendet).

Wenn es in Konflikt stehende Datei-IoC-Richtlinien mit demselben Erzwingungstyp und -ziel gibt, wird die Richtlinie des sichereren (d. h. längeren) Hashes angewendet. Beispielsweise hat eine SHA-256-Dateihash-IoC-Richtlinie Vorrang vor einer MD5-Dateihash-IoC-Richtlinie, wenn beide Hashtypen dieselbe Datei definieren.

Die Funktion zum Blockieren anfälliger Anwendungsfeatures in Microsoft Defender Vulnerability Management verwendet Datei-IoCs zur Durchsetzung und folgt der Reihenfolge für die Policy conflict handling.

Beispiele

Die folgenden Beispiele zeigen, wie die Erzwingung von Komponenten mit Dateiindikatoraktionen interagiert:

Siehe auch

• Indikatoren erstellen

• Erstellen von Indikatoren für IPs und URLs/Domänen

• Erstellen von Indikatoren basierend auf Zertifikaten

• Indikatoren verwalten

• Ausschlüsse für Microsoft Defender for Endpoint und Microsoft Defender Antivirus