Objekte bei der automatischen Angriffsunterbrechung von automatisierten Reaktionen ausschließen

Dieser Artikel enthält Informationen dazu, wie Sie Ausschließen, dass Ressourcen automatisch durch automatische Angriffsunterbrechungen in Microsoft Defender XDR eingeschlossen werden.

Automatische Angriffsunterbrechungen und Ausschlussrichtlinien arbeiten zusammen, um aktive Cyberbedrohungen einzudämten und zu steuern. Angriffsunterbrechungen sind eine integrierte erweiterte Funktion, die automatisch laufende Angriffe enthält, indem kompromittierte Ressourcen (z. B. Geräte oder Benutzerkonten) in Echtzeit geisoliert werden, wodurch der Fortschritt eines Angreifers angehalten wird. Ausschlussrichtlinien ermöglichen Es Sicherheitsteams, bestimmte Objekte oder Aktionen festzulegen, die von diesen automatisierten Antworten ausgenommen werden sollen, z. B. um sicherzustellen, dass bestimmte kritische Server oder Konten nicht automatisch heruntergefahren oder isoliert werden, um unbeabsichtigte Geschäftsunterbrechungen zu vermeiden. Sie können Ausschlüsse jederzeit entfernen , damit Ressourcen wieder in automatisierte Antworten einbezogen werden können.

Voraussetzungen

Die zum Verwalten von Angriffsunterbrechungsausschlüssen erforderlichen Berechtigungen hängen davon ab, ob Microsoft Defender XDR unified role-based access control (RBAC) für die relevante Workload aktiviert ist.

Geräteausschlüsse

Weitere Informationen finden Sie unter Aktivieren Microsoft Defender XDR Unified RBAC.

Identitätsausschlüsse

Ausschlusstypen und -ansätze

Sie können bestimmte Ressourcen ausschließen oder allgemeine richtliniengesteuerte Regeln basierend auf Ihren betrieblichen Anforderungen konfigurieren.

Ressourcen ausschließen

Benutzerkontoausschlüsse verhindern, dass bestimmte Benutzeridentitäten automatisch deaktiviert werden, wenn ein Angriff erkannt wird. Verwenden Sie dies für Dienstkonten, Notfalladministratorkonten oder Identitäten, die wichtige Geschäftsprozesse unterstützen.

Mithilfe von Gerätegruppenausschlüssen können Sie Automatisierungsstufen für Gerätegruppen festlegen, steuern, ob und wie Geräte auf erkannte Bedrohungen reagieren. Verwenden Sie dies, um die Sicherheit mit der Geschäftskontinuität für kritische Infrastruktur, ältere Systeme oder Geräte, auf denen unternehmenskritische Anwendungen ausgeführt werden, abzuwägen.

IP-Ausschlüsse verhindern, dass bestimmte IP-Adressen oder Bereiche automatisch enthalten sind. Verwenden Sie diese Für kritische Infrastruktur-IP-Bereiche, Ältere Systeme oder externe Dienste, auf denen Ihre Organisation basiert.

Benutzerkonten ausschließen

Schließen Sie Benutzerkonten aus, um zu verhindern, dass kritische Dienstkonten, Notfalladministratorkonten oder Identitäten, die wichtige Geschäftsprozesse unterstützen, während eines Angriffs automatisch deaktiviert werden. Dies trägt dazu bei, die Geschäftskontinuität für wichtige Funktionen aufrechtzuerhalten, während Unterbrechungsaktionen gegen andere kompromittierte Konten fortgesetzt werden.

So schließen Sie ein Benutzerkonto aus automatisierten Antworten aus:

1. Wechseln Sie zum Microsoft Defender-Portal, und melden Sie sich an.

2. Wechseln Sie zu Einstellungen>Microsoft Defender XDR.

Führen Sie die folgenden Schritte aus, um ein oder mehrere Benutzerkonten aus automatisierten Antworten auszuschließen:

1. Wählen Sie unter Automatisierte Antwortdie Option Identitäten aus.

2. Wählen Sie "Benutzerausschluss hinzufügen" aus. Ein Flyoutbereich wird angezeigt.

   

3. Geben Sie im Flyoutbereich die Benutzernamen im Feld Benutzer auswählen ein, und wählen Sie die Benutzerkonten aus, die Sie ausschließen möchten.

   

4. Wählen Sie Benutzer ausschließen aus, um den Ausschluss zu speichern.

Ausschließen von Gerätegruppen

Schließen Sie Gerätegruppen aus, um kritische Infrastruktur, Ältere Systeme oder Geräte, die unternehmenskritische Anwendungen ausführen, vor automatischer Eindämmung oder Isolation zu schützen. Mit diesem Ansatz können Sie Unterbrechungen für den Großteil Ihrer Umgebung aktiviert lassen und gleichzeitig bestimmte Gerätegruppen ausnehmen, die aufgrund betrieblicher Abhängigkeiten anders behandelt werden müssen.

So schließen Sie eine Gerätegruppe von automatisierten Antworten aus:

1. Wechseln Sie zum Microsoft Defender-Portal, und melden Sie sich an.

2. Wechseln Sie zu Einstellungen>Microsoft Defender XDR.

3. Wählen Sie unter Automatisierte Antworten die Option Geräte aus.

4. Wählen Sie auf der Registerkarte Gerätegruppen eine Gerätegruppe aus, indem Sie das Kontrollkästchen neben dem Gruppennamen in der Liste aktivieren, um einstellungen für die Automatisierung von Angriffsunterbrechungen zu konfigurieren.

   

5. Wählen Sie im Flyoutbereich die entsprechende Automatisierungsebene für die Gerätegruppe aus. Sie können aus einer der folgenden Automatisierungsebenen wählen, die für Ihre Gerätegruppe geeignet sind:

   • Vollständig - Bedrohungen automatisch beheben: Geräte automatisch isolieren, wenn eine Bedrohung erkannt wird.
   • Semi – Genehmigung für Kernordner erforderlich: Untersuchen Sie Automatisch Geräte, wenn eine Warnung empfangen wird, und wenden Sie Korrekturaktionen an, mit Ausnahme von Elementen in kernen Systemordnern. Korrekturaktionen für die Kernordner erfordern eine Genehmigung.
   • Semi – Genehmigung für ordner erforderlich, die nicht temporäre Ordner sind: Überprüfen Sie automatisch Aktionen in temporären Ordnern und Downloadordnern, und wenden Sie korrekturen an, wenn eine Warnung empfangen wird. Alle anderen Wiederherstellungsaktionen erfordern eine Genehmigung.
   • Semi : Genehmigung für alle Ordner erforderlich: Geräte automatisch untersuchen, wenn eine Warnung empfangen wird. Alle Wiederherstellungsaktionen erfordern eine Genehmigung.
   • Keine automatisierte Antwort: Für Geräte in dieser Gruppe wird keine automatisierte Untersuchung oder Antwort durchgeführt.

   

6. Wählen Sie Speichern aus, um die Automatisierungsstufe für die Gerätegruppe zu speichern.

IP-Adressen ausschließen

Schließen Sie IP-Adressen aus, um zu verhindern, dass kritische Infrastruktur-IP-Bereiche, ältere Systeme oder externe Dienste automatisch blockiert werden. Dieser Ansatz ist nützlich, um Netzwerkressourcen zu schützen, von denen Ihre Organisation abhängt, aber möglicherweise nicht flexibel auf die automatisierte Eindämmung reagieren kann.

So schließen Sie eine IP-Adresse von automatisierten Antworten aus:

1. Wechseln Sie zum Microsoft Defender-Portal, und melden Sie sich an.

2. Wechseln Sie zu Einstellungen>Microsoft Defender XDR.

3. Wählen Sie unter Automatisierte Antworten die Option Geräte aus.

   

4. Wählen Sie auf der Registerkarte Poloicy application die Option IP-Adresse ausschließen aus, um eine IP-Adresse auszuschließen.

   

5. Geben Sie im Flyoutbereich die IP-Adresse,den IP-Adressbereich/das IP-Subnetz ein, die Sie ausschließen möchten. Sie können mehrere IP-Adressen und IP-Subnetze hinzufügen, indem Sie sie durch ein Komma trennen.

   

6. Fügen Sie einen Namen und eine Notiz für den Ausschluss hinzu. Wählen Sie Erstellen aus, um den Ausschluss zu speichern.

Richtlinienanwendungen und Ausschlüsse (Vorschau)

Wenn die automatische Angriffsunterbrechung mit hoher Zuverlässigkeit erkennt, dass ein Benutzer oder Gerät kompromittiert ist, wendet sie automatisch Eindämmungsrichtlinien auf verwaltete Geräte in Ihrer Organisation an. Diese Richtlinien helfen dabei, die Bedrohung zu enthalten und zu verhindern, dass sie in Ihrer Umgebung verbreitet wird.

Richtlinienanwendungsausschlüsse bieten Ihnen eine präzise Kontrolle darüber, wie die Durchsetzungsrichtlinien für automatische Angriffsunterbrechungen in Ihrer Umgebung angewendet werden. Es ermöglicht Kunden, Geräte zu definieren, die keine spezifischen Unterbrechungsrichtlinien erhalten sollen. Dadurch erhalten Organisationen die Flexibilität, sensible, betriebskritische oder ausnahmebasierte Systeme zu schützen, ohne automatische Angriffsunterbrechungen vollständig zu deaktivieren.

Richtlinienanwendungen und Ausschlüsse ermöglichen Folgendes:

• Verwalten von Schutzmaßnahmen für mehrere Geräte als Gruppe mithilfe dynamischer Tags
• Die meisten Steuerelemente zur Vermeidung von Unterbrechungen aktiv lassen, während bestimmte Schutzmaßnahmen gezielt deaktiviert werden
• Zentrale Kontrolle darüber behalten, welche Steuerelemente für Unterbrechungsrichtlinien für jede gekennzeichnete Gerätegruppe aktiviert oder ausgeschlossen sind

Erstellen Sie zuerst ein Tag, oder verwenden Sie ein vorhandenes Tag, um das Gerät oder die Geräte zu definieren. Erstellen Sie dann eine Regel, die auf dieses Tag angewendet wird. Sie können beispielsweise ein Tag für alle Server in einer bestimmten Abteilung erstellen und dann eine Richtlinienanwendung erstellen, die für dieses Tag gilt. Standardmäßig sind alle Richtlinienkontrollen aktiviert. Wenn Sie das Anwenden einer Richtlinie für markierte Geräte konfigurieren, können Sie die Unterbrechungsfunktion aktiviert lassen und nur bestimmte Kontrollen für diese Gruppe ausschließen.

Erstellen eines Tags

Erstellen Sie ein Tag, um Geräte für eine Richtlinienanwendung zu gruppieren.

Um ein Tag zu erstellen, wechseln Sie im Microsoft Defender-Portal zur Bestandsregelverwaltung, und wählen Sie "Tag erstellen" aus. Geben Sie einen Namen und eine Beschreibung für das Tag an, und definieren Sie dann dynamische Regeln, um geräte automatisch in das Tag einzuschließen, basierend auf Geräteeigenschaften wie Gerätetyp, Betriebssystem oder anderen Attributen.

Erstellen einer Richtlinienanwendung:

1. Wechseln Sie zum Microsoft Defender-Portal, und melden Sie sich an.

2. Wechseln Sie zu Einstellungen>Microsoft Defender XDR.

Führen Sie die folgenden Schritte aus, um IP-Adressen von automatisierten Antworten auszuschließen:

1. Wählen Sie unter Automatisierte Antworten die Option Geräte aus.

   

2. Wählen Sie auf der Registerkarte "Richtlinieanwendung " die Option "Regel erstellen" aus.

   

3. Geben Sie einen Namen und eine Beschreibung für die Richtlinie ein, und wählen Sie "Weiter" aus.

   

4. Wählen Sie ein Tag aus, auf das Sie die Richtlinie anwenden möchten, und wählen Sie dann Weiter aus.

5. Konfigurieren Sie die Ausschlussrichtlinie, die Sie für das markierte Gerät deaktivieren möchten. wählen Sie dann "Weiter" aus.

   

6. Prüfen Sie den Antrag und reichen Sie ihn ein.

Entfernen von Ausschlüssen

Durch das Entfernen eines Ausschlusses kann die Ressource wieder in automatisierte Antworten für Angriffsunterbrechungen einbezogen werden. Wenn ein Ausschluss entfernt wird, wird das Objekt nicht mehr von automatisierten Antworten ausgeschlossen und kann automatisch enthalten sein, wenn er an einem Angriff beteiligt ist, der Angriffsunterbrechungen auslöst.

Wechseln Sie im Microsoft Defender-Portal zu "Einstellungen>Microsoft Defender XDR>Automatierte Antwort". Verwenden Sie dann die entsprechende Registerkarte, um einen Ausschluss zu entfernen:

• Wechseln Sie zur Seite Identitäten . Wählen Sie das Benutzerkonto aus, das Sie aus der Liste entfernen möchten, und wählen Sie dann Entfernen aus.

• Navigieren Sie zur Seite Geräte , und navigieren Sie zur Registerkarte IP-Adressen . Wählen Sie die IP-Adresse aus, die Sie aus der Liste entfernen möchten, und wählen Sie dann Ausschluss entfernen aus.

• Gerätegruppenausschlüsse können auf der Registerkarte Gerätegruppen konfiguriert werden. Wählen Sie in der Liste die Gerätegruppe aus, die Sie konfigurieren möchten, und wählen Sie den entsprechenden Ausschluss aus dem Flyoutbereich aus. Wählen Sie Speichern aus, um den Ausschluss zu speichern.

Um eine Richtlinienanwendung zu bearbeiten oder zu entfernen, wechseln Sie zur Registerkarte " Richtlinienanwendung ", und wählen Sie das Tag mit der Richtlinienanwendung aus, die Sie entfernen möchten. Wählen Sie "Bearbeiten " oder "Löschen" aus.

Deaktivieren der automatischen Angriffsunterbrechung

Das Deaktivieren der Angriffsunterbrechung kann das Sicherheitsrisiko erheblich erhöhen. Ziehen Sie stattdessen in Betracht, bestimmte Entitäten auszuschließen .

Wenn Sie sich von der Angriffsunterbrechung abmelden müssen, öffnen Sie im Microsoft Defender-Portal einen Supportfall mit dem Betreff Attack disruption opt-out. Geben Sie in Ihrer Anfrage an, dass Sie die Abmeldung von der Angriffsunterbrechung wünschen, und fügen Sie eine kurze Begründung für Ihre Entscheidung hinzu. Dieses Feedback hilft uns, das Feature zu verbessern und die Kundenanforderungen besser zu verstehen. Wenn Sie sich abmelden, erhalten Sie weiterhin Warnungen im Zusammenhang mit Angriffsunterbrechungen, aber es werden keine automatisierten Aktionen ausgeführt.

Verwandte Inhalte

Weitere Informationen zu Angriffsunterbrechungen finden Sie im folgenden Artikel:

• Anzeigen von Details und Ergebnissen automatisierter Angriffsunterbrechungsaktionen