Netzwerkisolationsausschlüsse

Isolationsausschlüsse ermöglichen es Ihnen, bestimmte Prozesse, IP-Adressen oder Dienste von der Netzwerkisolation auszuschließen, indem Sie die Aktion zur selektiven Isolationsantwort auf Geräte anwenden.

Die Netzwerkisolation in Microsoft Defender for Endpoint schränkt die Kommunikation eines kompromittierten Geräts ein, um die Ausbreitung von Bedrohungen zu verhindern. Bestimmte kritische Dienste, z. B. Verwaltungstools oder Sicherheitslösungen, müssen jedoch möglicherweise betriebsbereit bleiben.

Isolationsausschlüsse ermöglichen es bestimmten Prozessen oder Endpunkten, die Einschränkungen der Netzwerkisolation zu umgehen, um sicherzustellen, dass wichtige Funktionen (z. B. Remotewartung oder -überwachung) weiterhin bestehen bleiben und gleichzeitig eine breitere Netzwerkexposition begrenzt wird.

Voraussetzungen

Bevor Sie Isolationsausschlüsse verwenden, stellen Sie sicher, dass die folgenden Voraussetzungen erfüllt sind:

• Der Isolationsausschluss muss aktiviert sein.
• Zum Aktivieren des Isolationsausschlusses sind die Berechtigungen "Security Admin" oder "Sicherheitseinstellungen verwalten" oder höher erforderlich.

Unterstützte Betriebssysteme

Der Isolationsausschluss wird unter den folgenden Betriebssystemen unterstützt:

• Der Isolationsausschluss ist unter Windows 11, Windows 10 Version 1703 oder höher, Windows Server 2016 und höher, Windows Server 2012 R2, macOS und Azure Stack HCI OS, Version 23H2 und höher verfügbar.

Überprüfen und aktualisieren Sie Ausschlüsse regelmäßig, um sie den Sicherheitsrichtlinien anzupassen.

Isolationsmodi

Es gibt zwei Isolationsmodi: vollständige Isolation und selektive Isolation.

• Vollständige Isolation: Im vollständigen Isolationsmodus ist das Gerät vollständig vom Netzwerk isoliert, und es sind keine Ausnahmen zulässig. Der gesamte Datenverkehr wird blockiert, mit Ausnahme der wesentlichen Kommunikation mit dem Defender-Agent. Ausschlüsse werden nicht im vollständigen Isolationsmodus angewendet.

  Der vollständige Isolationsmodus ist die sicherste Option und eignet sich für Szenarien, in denen ein hohes Maß an Eindämmung erforderlich ist. Weitere Informationen zum vollständigen Isolationsmodus finden Sie unter Isolieren von Geräten aus dem Netzwerk.

• Selektive Isolation: Der selektive Isolationsmodus ermöglicht Administratoren das Anwenden von Ausschlüssen, um sicherzustellen, dass kritische Tools und Netzwerkkommunikation weiterhin funktionieren können, während der isolierte Zustand des Geräts beibehalten wird.

So verwenden Sie Isolationsausschlüsse

Es gibt zwei Schritte zum Verwenden des Isolationsausschlusses: Definieren von Isolationsausschlussregeln und Anwenden von Isolationsausschlüssen auf einem Gerät.

Schritt 1: Definieren globaler Ausschlüsse in den Einstellungen

Führen Sie die folgenden Schritte aus, um globale Isolationsausschlüsse zu definieren:

1. Navigieren Sie im Microsoft Defender-Portal zu Einstellungen>Endpunkte>Erweiterte Features>Isolationsausschlussregeln.

2. Wählen Sie die entsprechende Registerkarte des Betriebssystems (Windows-Regeln oder Mac-Regeln) aus.

3. Wählen Sie + Ausschlussregel hinzufügen aus.

   

4. Das Dialogfeld Neue Ausschlussregel hinzufügen wird angezeigt:

   

   Geben Sie die Isolationsausschlussparameter ein. Rote Sternchen geben die erforderlichen Parameter an. Die Parameter und ihre gültigen Werte sind:

   • Regelname: Geben Sie einen Namen für die Regel an.

   • Regelbeschreibung: Beschreiben Sie den Zweck der Regel.

   • Prozesspfad (nur Windows): Der Dateipfad einer ausführbaren Datei ist der Speicherort auf dem Endpunkt. Sie können eine ausführbare Datei definieren, die in jeder Regel verwendet werden soll.

     Beispiele:

     • C:\Windows\System\Notepad.exe
     • %WINDIR%\Notepad.exe

     Hinweise:

     • Die ausführbare Datei muss vorhanden sein, wenn die Isolation angewendet wird, andernfalls wird die Ausschlussregel ignoriert.
     • Der Ausschluss gilt nicht für untergeordnete Prozesse, die vom angegebenen Prozess erstellt wurden.

   • Dienstname (nur Windows): Windows Kurznamen des Diensts können in Fällen verwendet werden, in denen Sie einen Dienst (keine Anwendung) ausschließen möchten, der Datenverkehr sendet oder empfängt. Dienstkurznamen können abgerufen werden, indem Sie den Befehl Get-Service aus PowerShell ausführen. Sie können einen Dienst definieren, der in jeder Regel verwendet werden soll.

     Beispiel: termservice

   • Paketfamilienname (nur Windows): Der Paketfamilienname (PFN) ist ein eindeutiger Bezeichner, der Windows App-Paketen zugewiesen ist. Das PFN-Format folgt dieser Struktur: <Name>_<PublisherId>.

     Paketfamiliennamen können abgerufen werden, indem Sie den Befehl Get-AppxPackage aus PowerShell ausführen. Um beispielsweise die neue PFN von Microsoft Teams abzurufen, führen Sie Get-AppxPackage MSTeams aus und suchen Sie nach dem Wert der PackageFamilyName-Eigenschaft.

     Unterstützt unter:

     • Windows 11, Version 22H2 oder höher (Version 23H2 erfordert KB5050092)
     • Windows 10, Version 22H2 oder höher (erfordert KB5050081)
     • Windows Server 2025 oder höher
     • Windows Server, Version 23H2 oder höher
     • Azure Stack HCI OS, Version 23H2 oder höher

   • Richtung: Die Verbindungsrichtung (eingehend/ausgehend). Beispiele:

     • Ausgehende Verbindung: Wenn das Gerät eine Verbindung initiiert, definieren Sie für instance eine HTTPS-Verbindung mit einem Remote-Back-End-Server nur eine Ausgangsregel. Beispiel: Das Gerät sendet eine Anforderung an 1.1.1.1 (ausgehend). In diesem Fall ist keine Eingangsregel erforderlich, da die Antwort vom Server automatisch als Teil der Verbindung akzeptiert wird.
     • Eingehende Verbindung: Wenn das Gerät auf eingehende Verbindungen lauscht, definieren Sie eine Eingangsregel.

   • Remote-IP: Die IP (oder IPs), mit der die Kommunikation zulässig ist, während das Gerät vom Netzwerk isoliert ist.

     Unterstützte IP-Formate:

     • IPv4/IPv6 mit optionaler CIDR-Notation
     • Eine durch Trennzeichen getrennte Liste gültiger IPs

     Pro Regel können bis zu 20 IP-Adressen definiert werden.

     Gültige Eingabebeispiele:

     • Einzelne IP-Adresse: 1.1.1.1
     • IPV6-Adresse: 2001:db8:85a3::8a2e:370:7334
     • IP-Adresse mit CIDR-Notation (IPv4 oder IPv6): 1.1.1.1/24. In diesem Beispiel wird ein Bereich von IP-Adressen definiert. In diesem Fall sind alle IP-Adressen von 1.1.1.0 bis 1.1.1.255 enthalten. /24 stellt die Subnetzmaske dar, die angibt, dass die ersten 24 Bits der Adresse fest sind und die verbleibenden 8 Bits den Adressbereich definieren.

5. Speichern und übernehmen Sie die Änderungen.

Die globalen Isolationsausschlussregeln, die Sie im Portal definieren, gelten, wenn selektive Isolation für ein Gerät aktiviert ist.

Schritt 2: Anwenden der selektiven Isolation auf ein bestimmtes Gerät

1. Navigieren Sie im Portal zur Geräteseite.

2. Wählen Sie Gerät isolieren und selektive Isolation aus.

3. Markieren Sie Isolationsausschlüsse verwenden, um bestimmte Kommunikation zuzulassen, während das Gerät isoliert ist und geben Sie einen Kommentar ein.

   

4. Klicken Sie auf Bestätigen.

Ausschlüsse, die auf ein bestimmtes Gerät angewendet wurden, können im Info-Center-Verlauf überprüft werden.

Anwenden der selektiven Isolation über die API

Alternativ können Sie die selektive Isolation über die API anwenden. Legen Sie dazu den IsolationType-Parameter auf Selektiv fest. Weitere Informationen finden Sie unter Isolieren der Computer-API.

Ausschlusslogik

Isolationsausschlüsse werden gemäß der folgenden Logik ausgewertet:

• Alle Regeln, die übereinstimmen, werden angewendet.
• Innerhalb einer einzelnen Regel verwenden Bedingungen DIE AND-Logik (alle müssen übereinstimmen).
• Nicht definierte Bedingungen in einer Regel gelten als „beliebig“ (d. h. uneingeschränkt für den Parameter).

Wenn beispielsweise die folgenden Regeln definiert sind:

Rule 1:

   Process path = c:\example.exe
   Remote IP = 1.1.1.1
   Direction = Outbound

Rule 2:

   Process path = c:\example_2.exe
   Direction = Outbound

Rule 3:

   Remote IP = 18.18.18.18
   Direction = Inbound

• example.exe können nur Netzwerkverbindungen mit Remote-IP 1.1.1.1.1 initiieren.
• example_2.exe können Netzwerkverbindungen mit jeder IP-Adresse initiieren.
• Das Gerät kann eine eingehende Verbindung von der IP-Adresse 18.18.18.18 empfangen.

Überlegungen und Einschränkungen

Änderungen an Ausschlussregeln wirken sich nur auf neue Isolationsanforderungen aus. Bereits isolierte Geräte bleiben von den Ausschlüssen ausgenommen, die zum Zeitpunkt ihrer Anwendung definiert wurden. Um aktualisierte Ausschlussregeln auf isolierte Geräte anzuwenden, heben Sie die Isolierung dieser Geräte auf und isolieren Sie sie dann erneut.

Das Beibehalten vorhandener Ausschlüsse für bereits isolierte Geräte stellt sicher, dass Isolationsregeln während der gesamten Dauer einer aktiven Isolationssitzung konsistent bleiben.

Verwandte Inhalte

• Reaktionsmaßnahmen auf einem Gerät ergreifen
• Untersuchen von Dateien
• Manuelle Reaktionsaktionen in Microsoft Defender for Endpoint Plan 1