Reaktionsaktionen auf einem Gerät ausführen

Reagieren Sie schnell auf erkannte Angriffe, indem Sie Geräte isolieren oder ein Untersuchungspaket sammeln. Nachdem Sie Aktionen für Geräte durchgeführt haben, können Sie die Details zur Aktivität im Aktionscenter einsehen.

Antwortaktionen werden am oberen Rand einer bestimmten Geräteseite ausgeführt und umfassen Folgendes:

• Tags verwalten
• Initiieren einer automatisierten Untersuchung
• Initiieren einer Liveantwortsitzung
• Untersuchungspaket sammeln
• Antivirusscan ausführen
• App-Ausführung einschränken
• Gerät isolieren
• Gerät einschließen
• Wenden Sie sich an einen Bedrohungsexperten
• Info-Center

Geräteseiten finden Sie in einer der folgenden Ansichten:

• Warnungswarteschlange: Wählen Sie den Gerätenamen neben dem Gerätesymbol aus der Warnungswarteschlange aus.
• Geräteliste: Wählen Sie die Überschrift des Gerätenamens aus der Geräteliste aus.
• Suchfeld: Wählen Sie im Dropdownmenü Die Option Gerät aus, und geben Sie den Gerätenamen ein.

Einige Reaktionsaktionen mit hohen Auswirkungen können auf hochwertige Ressourcen beschränkt werden, um potenzielle Geschäftsunterbrechungen zu verhindern. Weitere Informationen finden Sie unter Einschränken von Antwortaktionen auf hochwertige Ressourcen.

Tags verwalten

Hinzufügen oder Verwalten von Tags, um eine logische Gruppenzugehörigkeit zu erstellen. Gerätekategorien unterstützen die ordnungsgemäße Zuordnung des Netzwerks, sodass Sie verschiedene Kategorien anfügen können, um den Kontext zu erfassen und die dynamische Listenerstellung als Teil eines Vorfalls zu ermöglichen.

Weitere Informationen zur Gerätemarkierung finden Sie unter Erstellen und Verwalten von Gerätetags.

Initiieren einer automatisierten Untersuchung

Sie können bei Bedarf eine neue, allgemeine automatisierte Untersuchung auf dem Gerät starten. Während eine Untersuchung ausgeführt wird, wird jede andere Warnung, die vom Gerät generiert wird, einer laufenden automatisierten Untersuchung hinzugefügt, bis diese Untersuchung abgeschlossen ist. Wenn die gleiche Bedrohung auch auf anderen Geräten erkannt wird, werden diese Geräte der Untersuchung hinzugefügt.

Weitere Informationen zu automatisierten Untersuchungen finden Sie unter Übersicht über automatisierte Untersuchungen.

Initiieren einer Liveantwortsitzung

Die Liveantwort ist eine Funktion, mit der Sie über eine Remoteshellverbindung sofort auf ein Gerät zugreifen können. Dies gibt Ihnen die Möglichkeit, eingehende Untersuchungen durchzuführen und sofortige Reaktionsaktionen zu ergreifen, um identifizierte Bedrohungen in Echtzeit sofort einzudämmen.

Live Response wurde entwickelt, um Untersuchungen zu verbessern, indem Sie forensische Daten sammeln, Skripts ausführen, verdächtige Entitäten zur Analyse senden, Bedrohungen beseitigen und proaktiv nach neuen Bedrohungen suchen können.

Weitere Informationen zur Liveantwort finden Sie unter Untersuchen von Entitäten auf Geräten mithilfe von Liveantworten.

Erfassen eines Untersuchungspakets von Geräten

Im Rahmen des Untersuchungs- oder Reaktionsprozesses können Sie ein Untersuchungspaket von einem Gerät abrufen. Durch das Sammeln des Untersuchungspakets können Sie den aktuellen Zustand des Geräts identifizieren und die vom Angreifer verwendeten Tools und Techniken besser verstehen.

Führen Sie die folgenden Schritte aus, um das Paket (ZIP-Ordner) herunterzuladen und die Ereignisse zu untersuchen, die auf einem Gerät aufgetreten sind:

1. Wählen Sie Untersuchungspaket sammeln in der Zeile mit Reaktionsaktionen oben auf der Geräteseite aus.

2. Geben Sie im Textfeld an, warum Sie diese Aktion ausführen möchten. Wählen Sie Bestätigen aus.

3. Die ZIP-Datei wird heruntergeladen.

Oder verwenden Sie dieses alternative Verfahren:

1. Wählen Sie auf der Geräteseite im Abschnitt "Antwortaktionen" die Option Untersuchungspaket sammeln aus.

   

2. Fügen Sie Kommentare hinzu, und wählen Sie dann Bestätigen aus.

   

3. Wählen Sie auf der Geräteseite im Abschnitt mit den Reaktionsaktionen Action center aus.

   

4. Wählen Sie Paketsammlungspaket verfügbar aus, um das Sammlungspaket herunterzuladen.

   

   Hinweis

   Die Sammlung des Untersuchungspakets schlägt möglicherweise fehl, wenn das Zielgerät über einen niedrigen Akkustand verfügt oder sich an einer getakteten Verbindung befindet.

Inhalt des Untersuchungspakets für Windows-Geräte

Für Windows-Geräte enthält das Paket die in der folgenden Tabelle beschriebenen Ordner:

Inhalt des Untersuchungspakets für Mac- und Linux-Geräte

In der folgenden Tabelle sind die Inhalte der Sammlungspakete für Mac- und Linux-Geräte aufgeführt:

Ausführen Microsoft Defender Antivirus-Überprüfung auf Geräten

Im Rahmen des Untersuchungs- oder Antwortprozesses können Sie remote eine Antivirenüberprüfung initiieren, um Schadsoftware zu identifizieren und zu beheben, die möglicherweise auf einem kompromittierten Gerät vorhanden ist.

Nachdem Sie den Antivirusscan ausgeführt haben, wählen Sie den Scantyp aus, den Sie ausführen möchten (schnell oder vollständig), und fügen Sie einen Kommentar hinzu, bevor Sie den Scan bestätigen.

Das Aktionscenter zeigt die Informationen zum Scan an, und die Zeitachse des Geräts enthält ein neues Ereignis, wodurch angezeigt wird, dass ein Scanvorgang auf dem Gerät initiiert wurde. Microsoft Defender Antivirenwarnungen spiegeln alle Erkennungen wider, die während der Überprüfung angezeigt wurden.

App-Ausführung einschränken

Zusätzlich zur Eindämmung eines Angriffs, indem Sie schädliche Prozesse beenden, können Sie auch ein Gerät sperren und verhindern, dass nachfolgende Versuche potenziell schädlicher Programme ausgeführt werden.

Um die Ausführung einer Anwendung zu beschränken, wird eine Codeintegritätsrichtlinie angewendet, die die Ausführung von Dateien nur zulässt, wenn sie von einem von Microsoft ausgestellten Zertifikat signiert sind. Das Einschränken der App-Ausführung auf nur Microsoft signierte Dateien kann verhindern, dass ein Angreifer kompromittierte Geräte kontrolliert und weitere schädliche Aktivitäten ausführt.

Nachdem Sie auf der Geräteseite Die App-Ausführung einschränken ausgewählt haben, geben Sie einen Kommentar ein, und wählen Sie Bestätigen aus. Das Aktionscenter zeigt die Scaninformationen an, und die Zeitleiste des Geräts enthält ein neues Ereignis.

Gerätebenutzerbenachrichtigung für App-Einschränkung

Wenn eine App eingeschränkt ist, wird die folgende Benachrichtigung angezeigt, um den Benutzer darüber zu informieren, dass die Ausführung einer App eingeschränkt ist:

Isolieren von Geräten aus dem Netzwerk

Abhängig von der Schwere des Angriffs und der Empfindlichkeit des Geräts können Sie das Gerät vom Netzwerk isolieren. Die Geräteisolation kann verhindern, dass der Angreifer das kompromittierte Gerät steuert und weitere Aktivitäten wie Datenexfiltration und laterale Bewegung ausführt.

Wichtige Punkte, die Sie beachten sollten:

• In Umgebungen, in denen Webproxys (einschließlich Proxy Auto Configuration (PAC), WPAD oder statische/direkte Proxykonfigurationen verwendet werden, können Geräte möglicherweise keine Wiederherstellung nach der Netzwerkisolation durchführen. Verwenden Sie in solchen Fällen selektive Isolation. Bei Verwendung der selektiven Isolation sind Ausschlusseinstellungen nicht erforderlich, um dieses Szenario zu vermeiden.

• Das Isolieren von Geräten aus dem Netzwerk wird für macOS für Clientversion 101.98.84 und höher unterstützt. Sie können auch die Liveantwort verwenden, um die Aktion auszuführen. Weitere Informationen zur Liveantwort finden Sie unter Untersuchen von Entitäten auf Geräten mithilfe von Liveantworten.

• Die vollständige Isolation ist für Geräte mit Windows 11, Windows 10 Version 1703 oder höher, Windows Server 2012 R2 und höher und Azure Stack HCI-Betriebssystem, Version 23H2 und höher, verfügbar.

• Das Isolieren von Geräten aus dem Netzwerk wird unterstützt, wenn Defender im passiven Modus auf allen unterstützten Windows-Betriebssystemen, macOS und Linux unterstützten Versionen ausgeführt wird.

• Sie können die Geräteisolationsfunktion für alle unterstützten Microsoft Defender for Endpoint auf Linux verwenden, die unter Systemanforderungen aufgeführt sind. Stellen Sie sicher, dass die folgenden Voraussetzungen aktiviert sind:

  • iptables
  • ip6tables
  • Linux Kernel mit CONFIG_NETFILTER, CONFIG_IP_NF_IPTABLESund CONFIG_IP_NF_MATCH_OWNER für Kernelversion niedriger als 5.x und CONFIG_NETFILTER_XT_MATCH_OWNER ab Kernel 5.x.

• Die selektive Isolation ist für Geräte verfügbar, die unter Windows 11, Windows 10 Version 1703 oder höher, Windows Server 2012 R2 und höher, Azure Stack HCI OS, Version 23H2 und höher, und macOS ausgeführt werden. Weitere Informationen zur selektiven Isolation finden Sie unter Isolationsausschlüsse.

• Beim Isolieren eines Geräts sind nur bestimmte Prozesse und Ziele zulässig. Daher können Geräte, die sich hinter einem vollständigen VPN-Tunnel befinden, den Microsoft Defender for Endpoint Clouddienst nicht erreichen, nachdem das Gerät isoliert wurde. Wir empfehlen die Verwendung eines Split-Tunneling-VPNs für den Datenverkehr im Zusammenhang mit dem cloudbasierten Schutz von Microsoft Defender for Endpoint und Microsoft Defender Antivirus.

• Das Feature unterstützt VPN-Verbindungen.

• Ihnen muss mindestens die Active remediation actions Rolle zugewiesen sein. Weitere Informationen finden Sie unter Erstellen und Verwalten von Rollen.

• Sie müssen basierend auf den Gerätegruppeneinstellungen Zugriff auf das Gerät haben. Weitere Informationen finden Sie unter Erstellen und Verwalten von Gerätegruppen.

• Ausschlüsse wie E-Mail, Messaginganwendung und andere Anwendungen für macOS und Linux Isolation werden nicht unterstützt.

• Ein isoliertes Gerät wird aus der Isolation entfernt, wenn ein Administrator dem isolierten Gerät eine neue iptable Regel hinzufügt oder ändert.

• Das Isolieren eines Servers, der auf Microsoft Hyper-V ausgeführt wird, blockiert den Netzwerkdatenverkehr zu allen untergeordneten virtuellen Computern des Servers.

• Die Geräteisolation wird nach sieben Tagen automatisch aufgehoben.

Die Geräteisolationsfunktion trennt das kompromittierte Gerät vom Netzwerk, während die Konnektivität mit dem Defender für Endpunkt-Dienst beibehalten wird, der das Gerät weiterhin überwacht. Ab Windows 10 Version 1709 können Sie die selektive Isolation verwenden, um die Netzwerkisolationsstufe besser steuern zu können. Sie können auch die Outlook- und Microsoft Teams-Konnektivität aktivieren.

Nachdem Sie auf der Geräteseite die Option Gerät isolieren ausgewählt haben, geben Sie einen Kommentar ein, und wählen Sie Bestätigen aus. Das Aktionscenter zeigt die Scaninformationen an, und die Zeitleiste des Geräts enthält ein neues Ereignis.

Isolieren des Geräts – automatische Angriffsunterbrechung (Vorschau)

Wenn bei einem Gerät in Ihrer Organisation der Verdacht besteht, dass es kompromittiert wurde, kann Microsoft Defender for Endpoint das Gerät im Rahmen der automatisierten Angriffsunterbrechung automatisch isolieren. Die automatische Isolation trägt dazu bei, das Risiko weiterer Auswirkungen auf die organization zu verringern, die laterale Bewegung von Angreifern einzuschränken und Auswirkungen wie Datenexfiltration und Verbreitung von Ransomware zu verhindern.

Wenn ein Gerät automatisch isoliert wird:

• Das kompromittierte Gerät wird vom Netzwerk getrennt, wodurch das Risiko weiterer Auswirkungen auf die organization verringert wird.
• Das Gerät behält die Verbindung mit dem Microsoft Defender for Endpoint-Dienst bei, der das Gerät weiterhin überwacht.

Anzeigen automatischer Geräteisolationsaktionen

Nachdem die automatische Isolation angewendet wurde, können Sie die Aktion und ihre status im Defender-Portal überprüfen:

• Öffnen Sie den relevanten Vorfall, und überprüfen Sie die Registerkarte Aktivitäten .

  

• Öffnen Sie die Seite des betroffenen Geräts und bestätigen Sie den Status der Geräteisolation.

• Öffnen Sie das Info-Center , um den Aktionsverlauf und den aktuellen Status zu überprüfen.

  

Sicherheitsvorkehrungen und geschäftliche Auswirkungen

Bevor Sie die automatische Geräteisolation bereitstellen oder darauf reagieren, sollten Sie Folgendes berücksichtigen:

• Bereichsbezogene Aktion: Isolation zielt auf bestimmte Geräte ab, die an dem Vorfall beteiligt sind, anstatt allgemein in der gesamten Umgebung.
• Zeitlich begrenzte Isolation: Die Isolation wird nach einem definierten Zeitfenster automatisch rückgängig gemacht. Sie können die Isolation auch früher aufheben, nachdem Sie die Untersuchung und Behebung abgeschlossen haben.
• Steuerung durch den Kunden: Sicherheitsverantwortliche können den Kontext des Sicherheitsvorfalls prüfen und Folgemaßnahmen ergreifen, einschließlich des Aufhebens der Isolierung, wenn dies gefahrlos möglich ist.

Ausschlüsse für die Isolation und Ausschlüsse für die automatische Unterbrechung von Angriffen

Es gibt zwei Arten von Ausschlüssen, die für die automatische Geräteisolation relevant sind:

• Selektive Isolationsausschlüsse: Definieren Sie, auf welche Prozesse und Netzwerkziele auf einem isolierten Gerät zugegriffen werden kann. Verwenden Sie diese, um kritische Kommunikation (z. B. Verwaltungstools oder Geschäftsanwendungen) beizubehalten, während das Gerät isoliert ist. Selektive Isolationsausschlüsse sind für Geräte verfügbar, die auf Windows 11, Windows 10 Version 1703 oder höher, Windows Server 2012 R2 und höher, Azure Stack HCI OS, Version 23H2 und höher und macOS ausgeführt werden.
• Automatische Angriffsunterbrechungsausschlüsse: Definieren Sie, welche Geräte oder Entitäten vollständig von automatischen Unterbrechungsaktionen ausgeschlossen werden. Verwenden Sie diese, um zu verhindern, dass unternehmenskritische Geräte überhaupt isoliert werden.

Wenn ein automatisch isoliertes Gerät unternehmenskritisch ist, priorisieren Sie die schnelle Validierung und die Koordination der Beteiligten. Heben Sie die Isolation erst auf, nachdem Sie bestätigt haben, dass geeignete Eindämmungs- und Behebungsmaßnahmen eingeleitet wurden. Erwägen Sie den Einsatz von automatischen Ausschlüssen für die Angriffsunterbrechung, um die Wahrscheinlichkeit zu verringern, dass Geräte isoliert werden, die keine Unterbrechung tolerieren können.

Bestätigen der automatischen Geräteisolation

Führen Sie die folgenden Schritte aus, um zu bestätigen, dass ein Gerät automatisch isoliert wurde:

1. Öffnen Sie den relevanten Incident, der durch die automatische Angriffsunterbrechung generiert wurde, im Microsoft Defender-Portal.
2. Überprüfen Sie die Registerkarte Aktivität oder das Info-Center , um zu sehen, welche automatisierten Antwortaktionen angewendet wurden.
3. Öffnen Sie die Seite des betroffenen Geräts und vergewissern Sie sich, dass der Gerätestatus anzeigt, dass es isoliert ist.
   • Wenn die Isolationsaktion als fehlgeschlagen oder ausstehend angezeigt wird, vergewissern Sie sich, dass das Gerät online ist und Berichte an Microsoft Defender for Endpoint senden kann. Sie können es im Aktionsbereich des Geräts erneut versuchen, sofern verfügbar.
   • Wenn ein Gerät isoliert erscheint, Sie aber keine Untersuchungsdaten sammeln können, überprüfen Sie, ob Ihre Untersuchungsmethode (z. B. Liveantwort) für dieses Gerät und Szenario unterstützt wird. Vergewissern Sie sich außerdem, dass die erforderlichen Dienstendpunkte in Ihrer Netzwerkkonfiguration erreichbar sind. Weitere Informationen finden Sie unter Untersuchen von Entitäten auf Geräten mithilfe von Liveantworten und Konfigurieren von Gerätekonnektivität und Proxyeinstellungen in Microsoft Defender for Endpoint.

Freigeben eines Geräts aus der automatischen Isolation

Sie können das Gerät jederzeit aus der Eindämmung freigeben, nachdem Sie das Risiko verringert und die Untersuchung abgeschlossen haben:

1. Wählen Sie das Gerät aus der Geräteinventur aus, oder öffnen Sie die Geräteseite.
2. Wählen Sie im Aktionsmenü Release from isolation (Aus Isolation freigeben ) aus.

Weitere Informationen zum Freigeben von Geräten finden Sie unter Isolieren von Geräten aus dem Netzwerk.

Erzwungenes Freigeben des Geräts aus der Isolation

Die Geräteisolationsfunktion ist ein unschätzbares Tool zum Schutz von Geräten vor externen Bedrohungen. Es gibt jedoch Fälle, in denen isolierte Geräte nicht mehr reagieren.

Es gibt ein herunterladbares Skript für diese Instanzen, das Sie ausführen können, um Geräte zwangslos aus der Isolation freizugeben. Das Skript ist über einen Link auf der Geräteseite im Microsoft Defender-Portal verfügbar.

So geben Sie das Gerät zwangsweise aus der Isolierung frei:

1. Wählen Sie auf der Geräteseite im Aktionsmenü Skript herunterladen, um die Isolierung eines Geräts aufzuheben aus.

2. Wählen Sie im Bereich auf der rechten Seite Skript herunterladen aus.

Mindestanforderungen für die erzwungene Gerätefreigabe

Um ein Gerät zwangslos aus der Isolation zu entlassen, muss auf dem Gerät Windows ausgeführt werden. Die folgenden Versionen werden unterstützt:

• Windows 10 21H2 und 22H2 mit KB5023773.
• Windows 11 Version 21H2, alle Editionen mit KB5023774.
• Windows 11 Version 22H2, alle Editionen mit KB5023778.

Benachrichtigung des Gerätebenutzers über die Isolierung

Wenn ein Gerät isoliert wird, wird die folgende Benachrichtigung angezeigt, um den Benutzer darüber zu informieren, dass das Gerät vom Netzwerk isoliert wird:

Enthält kritische Ressourcen

Wenn eine kritische Ressource kompromittiert und verwendet wird, um Bedrohungen innerhalb eines organization zu verbreiten, kann es schwierig sein, die Ausbreitung zu stoppen, da diese Ressourcen weiterhin funktionieren müssen, um Produktivitätsverluste zu vermeiden. Defender für Endpunkt behebt dies, indem es die kritische Ressource präzise eindämmt, um die Ausbreitung des Angriffs zu verhindern und gleichzeitig sicherzustellen, dass die Ressource betriebsbereit bleibt, um die Geschäftskontinuität zu gewährleisten.

Durch die automatische Unterbrechung von Angriffen erkennt Defender for Endpoint ein schädliches Gerät, identifiziert dessen Rolle und wendet eine passende Richtlinie an, um ein kritisches Asset automatisch zu isolieren. Die differenzierte Eindämmung erfolgt durch Das Blockieren nur bestimmter Ports und Kommunikationsrichtungen.

Sie können kritische Ressourcen anhand des Kritischen Ressourcentags auf dem Gerät oder auf der IP-Seite identifizieren. Geräteeinschluss unterstützt kritische Ressourcentypen wie Domänencontroller, DNS-Server und DHCP-Server.

Geräte vom Netzwerk isolieren

Wenn Sie ein nicht verwaltetes Gerät identifiziert haben, das kompromittiert oder potenziell kompromittiert ist, sollten Sie dieses Gerät aus dem Netzwerk enthalten, um zu verhindern, dass sich der potenzielle Angriff seitlich über das Netzwerk bewegt. Wenn Sie ein Gerät isolieren, blockiert jedes in Microsoft Defender for Endpoint eingebundene Gerät die gesamte eingehende und ausgehende Kommunikation mit diesem Gerät. Mit einem Gerät kann verhindert werden, dass benachbarte Geräte kompromittiert werden, während der Sicherheitsbetriebsanalyst die Bedrohung auf dem kompromittierten Gerät findet, identifiziert und korrigiert.

Sobald Geräte enthalten sind, empfehlen wir, die Bedrohung auf den enthaltenen Geräten so bald wie möglich zu untersuchen und zu beheben. Nach der Wartung sollten Sie die Geräte aus der Eindämmung entfernen.

So isolieren Sie ein Gerät

1. Wechseln Sie zur Seite Gerätebestand , und wählen Sie das gerät aus.

2. Wählen Sie im Menü "Aktionen" im Geräte-Flyout die Option Gerät enthalten aus.

   

3. Geben Sie im Popup "Gerät enthalten" einen Kommentar ein, und wählen Sie Bestätigen aus.

   

Ein Gerät auf der Geräteseite einschließen

Ein Gerät kann auch auf der Geräteseite enthalten sein, indem Sie in der Aktionsleiste Auf Gerät enthalten klicken:

Nachdem Sie ein Gerät isoliert haben, überprüfen Sie, falls das Verhalten nicht wie erwartet ist, ob der Dienst Base Filtering Engine (BFE) auf den in Defender for Endpoint eingebundenen Geräten aktiviert ist.

Beenden des Enthaltens eines Geräts

Sie können die Eindämmung eines Geräts jederzeit beenden.

1. Wählen Sie das Gerät aus der Geräteinventur aus, oder öffnen Sie die Geräteseite.

2. Wählen Sie im Aktionsmenü Aus Isolation freigeben aus. Durch das Aufheben der Eindämmung wird die Verbindung des Geräts zum Netzwerk wiederhergestellt.

Ip-Adressen von unentdeckten Geräten enthalten

Defender für Endpunkt kann auch IP-Adressen enthalten, die Geräten zugeordnet sind, die unentdeckt sind oder nicht in Defender für Endpunkt integriert sind. Die Fähigkeit, eine IP-Adresse zu enthalten, verhindert, dass Angreifer Angriffe auf andere nicht gefährdete Geräte verbreiten. Das Enthalten einer IP-Adresse führt dazu, dass in Defender für Endpunkt integrierte Geräte die eingehende und ausgehende Kommunikation mit Geräten blockieren, die die enthaltene IP-Adresse verwenden.

Die Eindämmung einer IP-Adresse, die nicht ermittelten Geräten oder Geräten zugeordnet ist, die nicht in Defender for Endpoint eingebunden sind, erfolgt automatisch durch automatische Angriffsunterbrechung. Die Richtlinie zum Einschließen von IP-Adressen blockiert automatisch eine schädliche IP-Adresse, wenn Defender for Endpoint erkennt, dass die IP-Adresse einem unentdeckten Gerät oder einem nicht onboardeten Gerät zugeordnet ist.

Eine Meldung, die angibt, dass die Aktion angewendet wird, wird auf der entsprechenden Incident-, Geräte- oder IP-Seite angezeigt. Es folgt ein Beispiel.

Nachdem eine IP-Adresse enthalten ist, können Sie die Aktion in der Verlaufsansicht des Info-Centers anzeigen. Sie können sehen, wann die Aktion aufgetreten ist, und die ip-Adressen identifizieren, die enthalten waren.

Wenn eine enthaltene IP-Adresse Teil eines Incidents ist, ist ein Indikator im Incidentdiagramm und auf der Registerkarte "Beweise und Antwort " des Incidents vorhanden. Hier sehen Sie ein Beispiel.

Sie können die Kapselung einer IP-Adresse jederzeit beenden. Um die Isolierung aufzuheben, wählen Sie im Aktionscenter die Aktion „IP-Adresse isolieren“ aus. Wählen Sie im Flyout Rückgängig aus. Mit dieser Aktion wird die Verbindung der IP-Adresse mit dem Netzwerk wiederhergestellt.

Benutzer vom Netzwerk isolieren

Wenn eine Identität in Ihrem Netzwerk möglicherweise kompromittiert wird, müssen Sie verhindern, dass diese Identität auf das Netzwerk und verschiedene Endpunkte zugreifen kann. Defender für Endpunkt kann eine Identität enthalten, die den Zugriff blockiert und dabei hilft, Angriffe, insbesondere Ransomware, zu verhindern. Wenn eine Identität enthalten ist, blockiert jedes unterstützte Microsoft Defender for Endpoint integriertes Gerät eingehenden Datenverkehr in bestimmten Protokollen im Zusammenhang mit Angriffen (Netzwerkanmeldungen verweigern, RPC, SMB, RDP), beenden laufende Remotesitzungen und melden vorhandene RDP-Verbindungen ab (Beenden der Sitzung selbst einschließlich aller zugehörigen Prozesse), während legitimer Datenverkehr ermöglicht wird. Das Speichern einer Identität kann erheblich dazu beitragen, die Auswirkungen eines Angriffs zu verringern. Wenn eine Identität enthalten ist, haben Sicherheitsbetriebsanalysten zusätzliche Zeit, um die Bedrohung für die kompromittierte Identität zu finden, zu identifizieren und zu beheben. Sobald ein Benutzer durch die automatische Angriffsunterbrechung isoliert wurde, wird er innerhalb der nächsten fünf Tage automatisch aus der Isolierung entfernt.

Wichtige Benutzernotizen enthalten

• Defender für Endpunkt erzwingt die Benutzereindämmung auf der Endpunktebene und deaktiviert das Konto nicht im Identitätsanbieter. Defender für Endpunkt blockiert die Verwendung kompromittierter Identitäten durch Angreifer auf geschützten Geräten und schränkt den authentifizierungsbasierten Zugriff, den Dateisystemzugriff und die Netzwerkkommunikationspfade ein. Diese Aktion wendet Kontrollen auf einer granularen Ebene an, sodass Microsoft angriffsbezogene Aktivitäten ausrichten und nach Möglichkeit die normale Geschäftskommunikation aufrechterhalten kann.
• Wenn die Benutzeraktion „Einschluss“ durch vorausschauende Abschirmung (Vorschau) ausgelöst wird, wendet die Benutzeraktion „Einschluss“ Einschränkungen gezielter an, mit Schwerpunkt auf Benutzern, die durch Vorhersagelogik als risikoreich identifiziert werden. Die Benutzeraktion „Isolieren“ in Predictive Shielding verhindert das Erstellen neuer Sitzungen, anstatt bestehende zu beenden.
• Während sich die Funktion für vorausschauenden Schutz insgesamt noch in der Vorschau befindet, ist diese Aktion bereits allgemein verfügbar – sowohl wenn sie durch Angriffsunterbrechung als auch durch vorausschauenden Schutz ausgelöst wird.
• Das Blockieren eingehender Kommunikation mit einem „isolierten“ Benutzer wird für Windows 10- und 11-Geräte unterstützt, die in Microsoft Defender for Endpoint eingebunden sind (Sense-Version 8740 und höher), für Windows Server 2019 und höhere Versionen sowie für Windows Server 2012 R2 und 2016 mit dem modernen Agent.
• Wichtig: Sobald auf einem Domänencontroller die Aktion Benutzer isolieren erzwungen wird, wird eine GPO-Aktualisierung der Richtlinie „Default Domain Controller Policy“ ausgelöst. Eine Änderung eines Gruppenrichtlinienobjekts startet eine Synchronisierung auf den Domänencontrollern in Ihrer Umgebung. Dies ist ein erwartetes Verhalten, und wenn Sie Ihre Umgebung auf AD-GPO-Änderungen überwachen, werden Sie möglicherweise über solche Änderungen benachrichtigt. Wenn die Aktion Benutzer einschließen rückgängig gemacht wird, werden die GPO-Änderungen auf ihren vorherigen Stand zurückgesetzt, was anschließend eine weitere AD-GPO-Synchronisierung in Ihrer Umgebung auslöst. Erfahren Sie mehr über das Zusammenführen von Sicherheitsrichtlinien auf Domänencontrollern.

So isolieren Sie einen Benutzer

Derzeit ist das Eindämmen von Benutzern nur durch die Verwendung der automatischen Angriffsunterbrechung automatisch verfügbar. Wenn Microsoft erkennt, dass ein Benutzer kompromittiert wurde, wird automatisch die Richtlinie „Benutzer eindämmen“ angewendet.

Benutzeraktionen für „contain“ anzeigen

Nachdem ein Benutzer unter Quarantäne gestellt wurde, können Sie die Aktion in der Ansicht Verlauf des Aktionscenters anzeigen. Hier können Sie sehen, wann die Aktion aufgetreten ist und welche Benutzer in Ihrer organization enthalten waren:

Darüber hinaus wird ein Benutzer, nachdem seine Identität als „eingedämmt“ eingestuft wurde, von Defender for Endpoint blockiert und kann weder böswillige laterale Bewegungen noch eine Verschlüsselung aus der Ferne auf einem oder gegen ein unterstütztes, bei Defender for Endpoint eingebundenes Gerät durchführen. Diese Blöcke werden als Warnungen angezeigt, damit Sie die Geräte, auf die der kompromittierte Benutzer zugriff hat, und potenzielle Angriffstechniken schnell erkennen können:

Den aktuellen Status der Aktion „contain user“ und anderer Aktionen finden Sie unter Nachverfolgen des Aktionsstatus auf der Registerkarte „Aktivitäten“ (Vorschau).

Benutzeraktionen rückgängig machen

Sie können die Blockierungen und Einschränkungen bei einem Benutzer jederzeit aufheben:

1. Wählen Sie im Aktionscenter die Aktion „Benutzer isolieren“ aus. Wählen Sie im Seitenbereich Rückgängig aus.

2. Wählen Sie den Benutzer entweder im Seitenbereich "Benutzerbestand", "Vorfallseite" oder im Bereich "Warnungsseite" aus, und wählen Sie "Rückgängig" aus.

Mit dieser Aktion wird die Verbindung des Benutzers mit dem Netzwerk wiederhergestellt.

Ermittlungsfunktionen mit Contain User

Nachdem ein Benutzer isoliert wurde, können Sie die potenzielle Bedrohung untersuchen, indem Sie die blockierten Aktionen des kompromittierten Benutzers einsehen. In der Ansicht "Gerät Zeitleiste" können Sie Informationen zu bestimmten Ereignissen anzeigen, einschließlich Protokoll- und Schnittstellengranularität sowie die zugehörige MITRE-Technik.

Darüber hinaus können Sie die Untersuchung mithilfe der erweiterten Suche erweitern. Suchen Sie in der Tabelle nach einem Aktionstyp, der mit DeviceEvents beginnt. Anschließend können Sie alle verschiedenen Singular-Blockierungsereignisse in Bezug auf "Contain User" in Ihrer Organisation anzeigen, tiefer in den Kontext jedes Blocks eintauchen und die verschiedenen Entitäten und Techniken extrahieren, die diesen Ereignissen zugeordnet sind.

GPO-Härtung – prädiktive Abschirmung (Vorschau)

Im Rahmen der Funktion vorausschauende Abschirmung (Vorschau) wendet Microsoft Defender for Endpoint automatisch die GPO-Härtungsmaßnahme an. Die Härtung von Gruppenrichtlinienobjekten (GPO) setzt die Anwendung neuer GPO-Richtlinien auf Geräte, die als Geräte mit hohem Risiko eingestuft werden, vorübergehend aus. Diese Aktion trägt dazu bei, potenzielle Gefährdungen zu verhindern, indem Änderungen auf kritische Konfigurationen beschränkt werden.

Um Vorhersageschutzaktionen zu erweitern, empfehlen wir Ihnen die Verwendung des Microsoft Defender for Identity-Sensors in Ihrer Umgebung. Weitere Informationen finden Sie unter Anreichern von Vorhersageschutz mit Microsoft Defender for Identity.

Nachdem die Aktion ausgeführt wurde, können Sie die Auswirkungen der Aktion im Vorfallsdiagramm anzeigen, die Aktionen im Aktionscenter nachverfolgen und mithilfe von Advanced Hunting weitere Untersuchungen durchführen. Weitere Informationen finden Sie unter Verwalten von Vorhersageschutzaktionen.

Safeboot-Härtung – Vorhersageschutz (Vorschau)

Im Rahmen der Funktion predictive shielding (Vorschau) wendet Defender for Endpoint automatisch die Safeboot-Härtungsaktion an. Die Safeboot-Härtung trägt dazu bei, Geräte vor Kompromittierung zu schützen, indem strengere Starteinstellungen auf Geräten erzwungen werden, für die ein hohes Risiko einer Kompromittierung vorhergesagt wird.

Um Vorhersageschutzaktionen zu erweitern, empfehlen wir Ihnen die Verwendung des Microsoft Defender for Identity-Sensors in Ihrer Umgebung. Weitere Informationen finden Sie unter Anreichern von Vorhersageschutz mit Microsoft Defender for Identity.

Nachdem die Aktion ausgeführt wurde, können Sie die Auswirkungen der Aktion im Vorfallsdiagramm anzeigen, die Aktionen im Aktionscenter nachverfolgen und mithilfe von Advanced Hunting weitere Untersuchungen durchführen. Weitere Informationen finden Sie unter Verwalten von Vorhersageschutzaktionen.

Informationen zum aktuellen Status der Safeboot-Härtungsaktion und anderer Aktionen finden Sie unter Den Aktionsstatus auf der Registerkarte „Aktivitäten“ nachverfolgen (Vorschau).

Wenden Sie sich an einen Bedrohungsexperten

Sie können sich an einen Microsoft-Bedrohungsexperten wenden, um weitere Einblicke in ein potenziell gefährdetes oder bereits kompromittiertes Gerät zu erhalten. Microsoft-Bedrohungsexperten können direkt im Defender Portal eingebunden werden, um zeitnahe und genaue Antworten zu erhalten. Experten bieten Einblicke nicht nur in Bezug auf ein potenziell kompromittiertes Gerät, sondern helfen Ihnen auch, komplexe Bedrohungen, Benachrichtigungen über gezielte Angriffe, die Sie erhalten, sowie Warnungen oder den Kontext von Bedrohungsinformationen, die Sie in Ihrem Portal-Dashboard sehen, besser zu verstehen.

Weitere Informationen finden Sie unter Konfigurieren und Verwalten von Endpunktangriffsbenachrichtigungen .

Aktivitätsdetails und Status überprüfen

Das Info-Center (https://security.microsoft.com/action-center) enthält Informationen zu Aktionen, die auf einem Gerät oder einer Datei ausgeführt wurden. Sie können die folgenden Details anzeigen:

• Sammlung von Untersuchungspaketen
• Antivirenüberprüfung
• App-Einschränkung
• Geräteisolation

Alle anderen zugehörigen Details werden ebenfalls angezeigt, z. B. Datum/Uhrzeit der Übermittlung, Übermitteln des Benutzers und ob die Aktion erfolgreich war oder fehlgeschlagen ist.

Auf der Registerkarte Aktivitäten auf der Seite Incident werden die Details und status von Aktionen angezeigt, die im Rahmen der Reaktion auf Vorfälle ausgeführt wurden. Weitere Informationen finden Sie unter Den Aktionsstatus auf der Registerkarte „Aktivitäten“ nachverfolgen (Vorschau).

Siehe auch

• Reaktionsmaßnahmen für eine Datei ergreifen
• Manuelle Reaktionsaktionen in Microsoft Defender for Endpoint Plan 1
• Ungenauigkeit melden