Erstellen benutzerdefinierter Erkennungsregeln in Microsoft Defender XDR

Benutzerdefinierte Erkennungsregeln sind erweiterte Huntingabfragen , die Sie entwerfen und optimieren, um verschiedene Ereignisse und Systemzustände proaktiv zu überwachen, einschließlich vermuteter Sicherheitsverletzungsaktivitäten und falsch konfigurierter Endpunkte. Sie können festlegen, dass sie in regelmäßigen Abständen ausgeführt werden, Warnungen generieren und Reaktionsaktionen durchführen, wenn Übereinstimmungen vorhanden sind.

Erforderliche Berechtigungen zum Verwalten von benutzerdefinierten Erkennungen

Um benutzerdefinierte Erkennungen zu verwalten, benötigen Sie Rollen mit Berechtigungen für die Daten, auf die diese Erkennungen abzielen. Um beispielsweise benutzerdefinierte Erkennungen für mehrere Datenquellen (Microsoft Defender und Microsoft Sentinel oder mehrere Defender Workloads) zu verwalten, benötigen Sie alle anwendbaren Defender- und Sentinel-Rollen. Weitere Informationen finden Sie in den folgenden Abschnitten.

Microsoft Defender XDR

Um benutzerdefinierte Erkennungen für Microsoft Defender Daten zu verwalten, müssen Sie einer der folgenden Rollen zugewiesen sein:

• Sicherheitseinstellungen (verwalten) – Benutzer mit dieser Microsoft Defender Berechtigung können Sicherheitseinstellungen im Microsoft Defender-Portal verwalten.

• Sicherheitsadministrator: Benutzer mit dieser Microsoft Entra Rolle können Sicherheitseinstellungen im Microsoft Defender-Portal und in anderen Portalen und Diensten verwalten.

• Sicherheitsoperator: Benutzer mit dieser Microsoft Entra Rolle können Warnungen verwalten und haben globalen schreibgeschützten Zugriff auf sicherheitsbezogene Features, einschließlich aller Informationen im Microsoft Defender-Portal. Diese Rolle ist für die Verwaltung benutzerdefinierter Erkennungen nur ausreichend, wenn die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC) in Microsoft Defender for Endpoint deaktiviert ist. Wenn Sie RBAC konfiguriert haben, benötigen Sie auch die Berechtigung Sicherheitseinstellungen verwalten für Defender für Endpunkt.

Sie können benutzerdefinierte Erkennungen verwalten, die für Daten aus bestimmten Defender Lösungen gelten, wenn Sie über die richtigen Berechtigungen für sie verfügen. Wenn Sie beispielsweise nur über Verwaltungsberechtigungen für Microsoft Defender für Office 365 verfügen, können Sie benutzerdefinierte Erkennungen unter Verwendung von Email*-Tabellen, nicht jedoch von Identity*-Tabellen erstellen.

Da die IdentityLogonEvents Tabelle Authentifizierungsaktivitätsinformationen sowohl von Microsoft Defender for Cloud Apps als auch von Defender for Identity enthält, müssen Sie über Verwaltungsberechtigungen für beide Dienste verfügen, um benutzerdefinierte Erkennungen zu verwalten, die diese Tabelle abfragen.

Microsoft Sentinel

Zum Verwalten benutzerdefinierter Erkennungen für Microsoft Sentinel-Daten müssen Sie der Rolle Microsoft Sentinel-Mitwirkender oder einer höheren Rolle zugewiesen sein. Benutzer mit dieser Azure Rolle können Microsoft Sentinel SIEM-Arbeitsbereichsdaten verwalten, einschließlich Warnungen und Erkennungen. Sie können diese Rolle einem bestimmten primären Arbeitsbereich, Azure Ressourcengruppe oder einem gesamten Abonnement zuweisen.

Verwalten der erforderlichen Berechtigungen

Um die erforderlichen Berechtigungen zu verwalten, kann ein globaler Administrator:

• Weisen Sie die Rolle Sicherheitsadministrator oder Sicherheitsoperator in Microsoft 365 Admin Center unter Rollen>Sicherheitsadministrator zu.
• Überprüfen Sie die RBAC-Einstellungen für Microsoft Defender for Endpoint in Microsoft Defender XDR unter Einstellungen>Berechtigungen>Rollen. Wählen Sie die entsprechende Rolle aus, um die Berechtigung Sicherheitseinstellungen verwalten zuzuweisen.

Erstellen einer benutzerdefinierten Erkennungsregel

Sie können eine benutzerdefinierte Erkennungsregel über einen der folgenden Einstiegspunkte erstellen:

• In Advanced Hunting – Wechseln Sie zu Advanced Hunting, bereiten Sie Ihre Abfrage vor und führen Sie sie aus. Wählen Sie dann Erkennungsregel erstellen aus. Mit diesem Ansatz können Sie Ihre Abfrageergebnisse überprüfen, bevor Sie die Regel erstellen.
• Aus der Liste benutzerdefinierter Erkennungen – Wechseln Sie zu Benutzerdefinierte Erkennungsregeln und wählen Sie + Erkennungsregel erstellen aus. Dieser Ansatz öffnet den Regel-Assistenten direkt, in dem Sie eine Abfrage schreiben oder einfügen und alle Regeleinstellungen an einem Ort konfigurieren können.

Unabhängig davon, welchen Einstiegspunkt Sie verwenden, führen Sie die folgenden Schritte aus, um die Regel zu konfigurieren:

1. Vorbereiten der Abfrage
2. Erstellen einer neuen Regel und Bereitstellen von Warnungsdetails
3. Definieren von Details zur Warnungsanreicherung
4. Angeben von Aktionen
5. Festlegen des Regelbereichs
6. Überprüfen und Aktivieren der Regel

1. Vorbereiten der Abfrage

Wechseln Sie im Microsoft Defender-Portal zu Erweiterte Suche, und wählen Sie eine vorhandene Abfrage aus, oder erstellen Sie eine neue Abfrage. Wenn Sie eine neue Abfrage verwenden, führen Sie die Abfrage aus, um Fehler zu identifizieren und mögliche Ergebnisse zu verstehen. Wenn Sie aus der Liste der benutzerdefinierten Erkennungen gestartet haben, indem Sie + Erkennungsregel erstellen auswählen, können Sie Ihre Abfrage direkt im Regel-Assistenten schreiben oder einfügen.

In den Abfrageergebnissen erforderliche Spalten

Zum Erstellen einer benutzerdefinierten Erkennungsregel mithilfe von Defender Daten wird empfohlen, dass die Abfrage die folgenden Spalten zurückgibt:

1. Timestamp oder TimeGenerated : Diese Spalte legt den Zeitstempel für generierte Warnungen fest. Wenn diese Spalten nicht aus dem KQL projiziert werden, wird die erste und letzte Ereigniszeit für die generierte Warnung entsprechend dem Lookbackfenster der Erkennung festgelegt.
2. Für Microsoft Defender for Endpoint-Tabellen fügen Sie die Spalten DeviceId oder DeviceName hinzu, um sicherzustellen, dass:
   • Warnungen werden mit dem korrekten Geltungsbereich der Gerätegruppe markiert.
   • Die Prozessstrukturansicht wurde erfolgreich erstellt.
3. Verwenden Sie für alle anderen Defender-TabellenTimestamp und ReportId aus demselben Ereignis, damit Defender das ursprüngliche Ereignis identifiziert, das die Warnung ausgelöst hat, sodass:
   • Warnungen werden mit dem richtigen Entitätsbereich markiert (nur für Organisationen relevant, die Defender XDR Bereiche verwenden)
   • Die Zeitachsenansicht der Warnung wird vollständig mit relevanten Daten erweitert.
4. Um eine betroffene Ressource im Assistenten automatisch zuzuordnen, schließen Sie eine der folgenden Spalten ein, die eine eindeutige Kennung für eine betroffene Ressource enthält:
   • Gerät:
     • DeviceId
     • DeviceName
     • RemoteDeviceName
   • Postfach:
     • RecipientEmailAddress
     • SenderFromAddress (Absender des Umschlags oder Return-Path-Adresse)
     • SenderMailFromAddress (Absenderadresse, die vom E-Mail-Client angezeigt wird)
     • SenderObjectId
     • RecipientObjectId
   • Konto:
     • AccountObjectId
     • AccountSid
     • AccountUpn
     • InitiatingProcessAccountSid
     • InitiatingProcessAccountUpn

Einfache Abfragen, z. B. solche, die den projectsummarize Operator nicht zum Anpassen oder Aggregieren von Ergebnissen verwenden, geben in der Regel diese empfohlenen Spalten zurück.

Es gibt verschiedene Möglichkeiten, um sicherzustellen, dass komplexere Abfragen diese Spalten zurückgeben. Wenn Sie beispielsweise lieber anhand einer Entität in einer Spalte wie AccountObjectId aggregieren und zählen möchten, können Sie Timestamp und ReportId trotzdem zurückgeben, indem Sie sie aus dem neuesten Ereignis abrufen, an dem jedes eindeutige AccountObjectId beteiligt ist.

Die folgende Beispielabfrage zählt die Anzahl der eindeutigen Geräte (DeviceId) mit Antivirenerkennungen und verwendet diese Anzahl, um nur die Geräte mit mehr als fünf Erkennungen zu finden. Um die neueste Timestamp und die entsprechende ReportIdzurückzugeben, wird der summarize -Operator mit der arg_max -Funktion verwendet.

DeviceEvents
| where ingestion_time() > ago(1d)
| where ActionType == "AntivirusDetection"
| summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count() by DeviceId
| where count_ > 5

Benutzerdefinierte Spalte für die Eingrenzung in Microsoft Sentinel

Wenn Sie die Bereichseingrenzung in Microsoft Sentinel konfiguriert haben, kann das benutzerdefinierte Feld SentinelScope_CF in Abfragen und Erkennungsregeln verwendet werden, um in Ihren Analysen auf den Geltungsbereich zu verweisen.

Wenn Sie benutzerdefinierte Erkennungen und Analyseregeln erstellen, müssen Sie die SentinelScope_CF Spalte in Ihren Abfragen projizieren, um die ausgelösten Warnungen für bereichsbezogene Analysten sichtbar zu machen. Wenn Sie diese Spalte nicht projizieren, werden Warnungen nicht abgedeckt und sind für Benutzer mit dem entsprechenden Bereich nicht sichtbar.

2. Erstellen einer neuen Regel und Bereitstellen von Warnungsdetails

Wählen Sie im Abfrage-Editor Erkennungsregel erstellen aus, und geben Sie die folgenden Warnungsdetails an:

• Erkennungsname : Name der Erkennungsregel; Machen Sie es einzigartig.
• Häufigkeit : Intervall zum Ausführen der Abfrage und Ausführen von Aktionen. Weitere Informationen finden Sie unter Regelhäufigkeit.
• Lookback: Der von der Abfrage abgedeckte Zeitraum, in dem die benutzerdefinierte Erkennung nur auf Daten aus Microsoft Sentinel abzielt. Weitere Informationen finden Sie unter Lookback.
• Warnungstitel : Titel, der mit warnungen angezeigt wird, die von der Regel ausgelöst werden; Machen Sie es eindeutig, und verwenden Sie Klartext. Zeichenfolgen werden aus Sicherheitsgründen bereinigt, sodass HTML, Markdown und anderer Code nicht funktionieren. Alle im Titel enthaltenen URLs sollten das Prozentcodierungsformat aufweisen, damit sie ordnungsgemäß angezeigt werden.
• Schweregrad : Potenzielles Risiko der Komponente oder Aktivität, die von der Regel identifiziert wird.
• Kategorie : Bedrohungskomponente oder -aktivität, die von der Regel identifiziert wird.
• Taktik - MITRE ATT&CK-Taktik, die durch die Regel identifiziert wird, wie im MITRE ATT&CK-Framework dokumentiert.
• Techniken – Eine oder mehrere Angriffstechniken, die von der Regel identifiziert werden, wie im MITRE ATT&CK-Framework dokumentiert.
• Untertechniken – Mindestens eine Angriffsuntertechnik, die von der Regel identifiziert wird, wie im MITRE ATT&CK-Framework dokumentiert.
• Bericht zur Bedrohungsanalyse : Verknüpfen Sie die generierte Warnung mit einem vorhandenen Bedrohungsanalysebericht, sodass sie in der Bedrohungsanalyse auf der Registerkarte Verwandte Vorfälle angezeigt wird.
• Beschreibung : Weitere Informationen zur Komponente oder Aktivität, die von der Regel identifiziert wird. Zeichenfolgen werden aus Sicherheitsgründen bereinigt, sodass HTML, Markdown und anderer Code nicht funktionieren. Alle in der Beschreibung enthaltenen URLs sollten dem Prozentcodierungsformat folgen, damit sie ordnungsgemäß angezeigt werden.
• Empfohlene Aktionen : Zusätzliche Aktionen, die Antwortende als Reaktion auf eine Warnung ausführen können.

Regelfrequenz

Wenn Sie eine neue Regel speichern, wird sie ausgeführt und sucht nach Übereinstimmungen aus den Daten der letzten 30 Tage. Die Regel wird dann in festen Intervallen erneut ausgeführt, wobei ein Lookbackzeitraum basierend auf der von Ihnen gewählten Häufigkeit angewendet wird:

• Alle 24 Stunden
• Alle 12 Stunden
• Alle 3 Stunden
• Stündlich
• Continuous (NRT): Wird kontinuierlich ausgeführt und überprüft Daten von Ereignissen, während sie in Quasi-Echtzeit (NRT) gesammelt und verarbeitet werden. Weitere Informationen finden Sie unter Fortlaufende Häufigkeit (NRT).
• Benutzerdefiniert : Wird entsprechend der von Ihnen ausgewählten Häufigkeit ausgeführt. Diese Option ist verfügbar, wenn die Regel nur auf Daten basiert, die in Microsoft Sentinel erfasst werden. Weitere Informationen finden Sie unter Benutzerdefinierte Häufigkeit für Microsoft Sentinel Daten.

Wenn Sie eine Regel bearbeiten, werden die Änderungen auf die nächste Laufzeit angewendet, die gemäß der von Ihnen festgelegten Häufigkeit geplant ist. Die Regelhäufigkeit basiert auf dem Ereigniszeitstempel und nicht auf der Erfassungszeit. Bei bestimmten Ausführungen können kleine Verzögerungen auftreten, sodass die konfigurierte Häufigkeit nicht 100 % genau ist.

Fortlaufende Frequenz (NRT)

Wenn Sie eine benutzerdefinierte Erkennung festlegen, die in der Fortlaufenden Häufigkeit (NRT) ausgeführt wird, erhöht dies die Fähigkeit Ihrer Organisation, Bedrohungen schneller zu erkennen. Die Verwendung der kontinuierlichen Frequenz (NRT) hat kaum bis gar keine Auswirkungen auf Ihre Ressourcennutzung. Ziehen Sie den Einsatz für alle geeigneten benutzerdefinierten Erkennungsregeln in Ihrer Organisation in Betracht.

Auf der Seite für benutzerdefinierte Erkennungsregeln können Sie benutzerdefinierte Erkennungsregeln, die für die Häufigkeit Kontinuierlich (NRT) geeignet sind, migrieren, indem Sie Jetzt migrieren auswählen:

Wenn Sie Jetzt migrieren auswählen, wird eine Liste aller kompatiblen Regeln gemäß ihrer KQL-Abfrage angezeigt. Sie können nur alle oder ausgewählte Regeln migrieren:

Wenn Sie Speichern auswählen, wird die Häufigkeit der ausgewählten Regeln auf Fortlaufende Häufigkeit (NRT) aktualisiert.

Abfragen, die Sie kontinuierlich ausführen können

Sie können eine Abfrage kontinuierlich ausführen, solange:

• Die Abfrage verweist nur auf eine Tabelle.
• Die Abfrage verwendet einen Operator aus der Liste der unterstützten KQL-Features. Für den matches regex-Operator müssen reguläre Ausdrücke als Zeichenfolgenliterale angegeben werden und den Anführungsregeln für Zeichenfolgen entsprechen. Beispielsweise wird der reguläre Ausdruck \A in KQL als "\\A"dargestellt. Der zusätzliche Backslash zeigt an, dass der andere Backslash Teil des regulären Ausdrucks \A ist.
• Die Abfrage verwendet keine Joins, Unions oder den externaldata-Operator.
• Die Abfrage enthält keine Kommentarzeile oder -informationen.

Tabellen, die kontinuierliche (NRT-)Frequenz unterstützen

Detektionen nahezu in Echtzeit werden von den folgenden Tabellen unterstützt:

Benutzerdefinierte Häufigkeit für Microsoft Sentinel Daten

Microsoft Sentinel-Kunden, die Microsoft Defender einbinden, können Benutzerdefiniert als Häufigkeit auswählen, wenn die Regel nur auf Daten basiert, die von Microsoft Sentinel erfasst werden.

Wenn Sie diese Frequenzoption auswählen, wird die Komponente Abfrage bei jeder Eingabe ausführen angezeigt. Geben Sie die gewünschte Häufigkeit für die Regel ein, und verwenden Sie die Dropdownliste, um die Einheiten auszuwählen: Minuten, Stunden oder Tage. Der unterstützte Bereich ist ein beliebiger Wert zwischen 5 Minuten und 14 Tagen.

Rückblick

Der Lookbackzeitraum Ihrer benutzerdefinierten Erkennungen kann je nach Zieldaten und Häufigkeit Ihrer Abfrage zwischen fünf Minuten und 30 Tagen liegen.

Wenn Ihre benutzerdefinierten Erkennungen Defender XDR Daten enthalten, wird je nach ausgewählter Regelhäufigkeit ein fester Lookbackzeitraum angewendet:

• Für Erkennungen, die alle 24 Stunden ausgeführt werden, beträgt der Lookbackzeitraum 30 Tage.
• Für Erkennungen, die alle 12 Stunden ausgeführt werden, beträgt der Lookbackzeitraum 48 Stunden.
• Für Erkennungen, die alle drei Stunden ausgeführt werden, beträgt der Lookbackzeitraum 12 Stunden.
• Für Erkennungen, die auf stündliche Ausführung festgelegt sind, beträgt der Lookbackzeitraum vier Stunden.

Wenn Ihre benutzerdefinierten Erkennungen nur Microsoft Sentinel Daten verwenden, können Sie den Lookbackzeitraum je nach festgelegter Regelhäufigkeit anpassen:

• Bei Erkennungen, die auf eine höhere (häufigere) Häufigkeit als eine Stunde festgelegt sind, ist der Lookbackzeitraum auf weniger als 48 Stunden beschränkt.
• Für Erkennungen, die mit einem Intervall von mehr als einem Tag ausgeführt werden, kann der Rückblickzeitraum auf bis zu 14 Tage festgelegt werden.
• Für Erkennungen, die mit einer Frequenz von einem Tag oder weniger ausgeführt werden, kann der Rückblickzeitraum auf bis zu 30 Tage festgelegt werden.

3. Details zur Anreicherung von Warnungen definieren

Sie können Warnungen anreichern, indem Sie weitere Details bereitstellen und definieren. Wenn Sie Warnungen anreichern, haben Sie folgende Möglichkeiten:

• Erstellen eines dynamischen Warnungstitels und einer Beschreibung
• Hinzufügen von benutzerdefinierten Details zur Anzeige im Warnungsseitenbereich
• Verknüpfen von Entitäten

Erstellen eines dynamischen Warnungstitels und einer Beschreibung

Sie können den Titel und die Beschreibung Ihrer Warnung dynamisch erstellen, indem Sie die Ergebnisse Ihrer Abfrage verwenden, um sie genau und indikativ zu gestalten. Dieses Feature kann die Effizienz von SOC-Analysten beim Selektieren von Warnungen und Vorfällen und beim Versuch, das Wesen einer Warnung schnell zu verstehen, steigern.

Um den Titel oder die Beschreibung der Warnung dynamisch zu konfigurieren, integrieren Sie sie in den Abschnitt Warnungsdetails , indem Sie die Freitextnamen der Spalten verwenden, die in Ihren Abfrageergebnissen verfügbar sind, und sie mit doppelt geschweiften Klammern umgeben.

Beispiel: User {{AccountName}} unexpectedly signed in from {{Location}}

Wählen Sie Abfrage und Ergebnisse durchsuchen aus, um die genauen Spaltennamen zu bestimmen, auf die Sie verweisen möchten. Mit dieser Auswahl wird der Bereich Erweiterter Suchkontext über dem Assistenten zum Erstellen von Regeln geöffnet, in dem Sie Ihre Abfragelogik und ihre Ergebnisse untersuchen können.

Hinzufügen benutzerdefinierter Details

Sie können die Produktivität Ihrer SOC-Analysten weiter steigern, indem Sie wichtige Details im Warnungsseitenbereich anzeigen. Sie können Die Daten von Ereignissen in Warnungen anzeigen, die aus diesen Ereignissen erstellt werden. Dieses Feature bietet Ihren SOC-Analysten sofortige Sichtbarkeit des Ereignisinhalts ihrer Incidents, sodass sie schneller selektieren, untersuchen und Schlussfolgerungen ziehen können.

Fügen Sie im Abschnitt Benutzerdefinierte Details Schlüssel-Wert-Paare hinzu, die den Details entsprechen, die Sie anzeigen möchten:

• Geben Sie im Feld Schlüssel einen Namen Ihrer Wahl ein, der als Feldname in Warnungen angezeigt wird.
• Wählen Sie im Feld Parameter den Ereignisparameter aus, den Sie in der Dropdownliste in den Warnungen anzeigen möchten. Diese Liste wird mit Werten aufgefüllt, die den Spaltennamen entsprechen, die ihre KQL-Abfrage ausgibt.

Der folgende Screenshot zeigt, wie die benutzerdefinierten Details im Seitenbereich der Warnung angezeigt werden:

Verknüpfen von Entitäten

Identifizieren Sie die Spalten in den Abfrageergebnissen, in denen Sie erwarten, die wichtigste betroffene Entität vorzufinden. Beispielsweise kann eine Abfrage Absenderadressen (SenderFromAddress oder SenderMailFromAddress) und Empfängeradressen (RecipientEmailAddress) zurückgeben. Die Identifizierung, welche dieser Spalten die wichtigste betroffene Entität darstellt, hilft dem Dienst, relevante Warnungen zu aggregieren, Vorfälle zu korrelieren und Rekonstruktionsmaßnahmen zu ergreifen.

Sie können für jeden Entitätstyp (Postfach, Benutzer oder Gerät) nur eine Spalte auswählen. Sie können keine Spalten auswählen, die von Ihrer Abfrage nicht zurückgegeben werden.

Erweiterte Entitätszuordnung

Sie können eine Vielzahl von Entitätstypen mit Ihren Warnungen verknüpfen. Das Verknüpfen weiterer Entitäten hilft der Korrelations-Engine, Warnungen zu denselben Vorfällen zu gruppieren und Incidents miteinander zu korrelieren. Wenn Sie ein Microsoft Sentinel Kunde sind, bedeutet dies auch, dass Sie jede Entität aus Ihren Datenquellen von Drittanbietern zuordnen können, die in Microsoft Sentinel erfasst werden.

Für Microsoft Defender XDR Daten werden die Entitäten automatisch ausgewählt. Wenn die Daten aus Microsoft Sentinel stammen, müssen Sie die Entitäten manuell auswählen.

Der erweiterte Abschnitt Entitätszuordnung enthält zwei Abschnitte, in denen Sie Entitäten auswählen können:

• Beeinträchtigte Ressourcen : Fügen Sie die betroffenen Ressourcen hinzu, die in den ausgewählten Ereignissen angezeigt werden. Sie können die folgenden Ressourcentypen hinzufügen:
  • Konto
  • Gerät
  • Postfach
  • Cloudanwendung
  • Azure-Ressource
  • Amazon Web Services-Ressource
  • Google Cloud Platform-Ressource
• Zugehörige Nachweise – Fügen Sie Nicht-Assets hinzu, die in den ausgewählten Ereignissen vorkommen. Die unterstützten Entitätstypen sind:
  • Prozess
  • Datei
  • Registrierungswert
  • IP
  • OAuth-Anwendung
  • DNS
  • Sicherheitsgruppe
  • URL
  • E-Mail-Cluster
  • E-Mail-Nachricht

Nachdem Sie einen Entitätstyp ausgewählt haben, wählen Sie einen Bezeichnertyp aus, der in den ausgewählten Abfrageergebnissen vorhanden ist, damit Sie ihn verwenden können, um diese Entität zu identifizieren. Jeder Entitätstyp verfügt über eine Liste unterstützter Bezeichner, wie im entsprechenden Dropdownmenü gezeigt. Um die einzelnen Bezeichner besser zu verstehen, lesen Sie die Beschreibung, die angezeigt wird, wenn Sie darauf zeigen.

Nachdem Sie den Bezeichner ausgewählt haben, wählen Sie eine Spalte aus den Abfrageergebnissen aus, die den ausgewählten Bezeichner enthält. Wählen Sie Abfrage und Ergebnisse durchsuchen aus, um den Kontextbereich für die erweiterte Suche zu öffnen. Mit dieser Option können Sie Ihre Abfrage und die Ergebnisse untersuchen, um sicherzustellen, dass Sie die richtige Spalte für den ausgewählten Bezeichner auswählen.

4. Angeben von Aktionen

Wenn Ihre benutzerdefinierte Erkennungsregel Defender Daten verwendet, kann sie automatisch Aktionen auf Geräten, Dateien, Benutzern oder E-Mails ausführen, die von der Abfrage zurückgegeben werden.

Aktionen auf Geräten

Wenden Sie diese Aktionen auf Geräte in der DeviceId Spalte der Abfrageergebnisse an:

• Gerät isolieren: Verwendet Microsoft Defender for Endpoint, um eine vollständige Netzwerkisolation anzuwenden, wodurch verhindert wird, dass das Gerät eine Verbindung mit einer Anwendung oder einem Dienst herstellt. Erfahren Sie mehr über die Geräteisolation in Microsoft Defender for Endpoint.
• Ermittlungspaket sammeln - Sammelt Geräteinformationen in einer ZIP-Datei. Erfahren Sie mehr über das Microsoft Defender for Endpoint Untersuchungspaket.
• Ausführen der Antivirenüberprüfung: Führt eine vollständige Microsoft Defender Antivirusüberprüfung auf dem Gerät aus.
• Untersuchung initiieren : Initiiert eine automatisierte Untersuchung auf dem Gerät.
• App-Ausführung einschränken : Legt Einschränkungen für das Gerät fest, damit nur Dateien ausgeführt werden können, die mit einem von Microsoft ausgestellten Zertifikat signiert wurden. Erfahren Sie mehr über App-Einschränkungen mit Microsoft Defender for Endpoint.

Aktionen auf Dateien

• Wenn diese Option ausgewählt ist, kann die Aktion Zulassen/Blockieren auf die Datei angewendet werden. Das Blockieren von Dateien ist nur zulässig, wenn Sie über Berechtigungen zum Korrigieren von Dateien verfügen und die Abfrageergebnisse eine Datei-ID identifizieren, z. B. einen SHA-1-Hash. Sobald eine Datei blockiert ist, werden auch andere Instanzen derselben Datei auf allen Geräten blockiert. Sie können steuern, für welche Gerätegruppe die Blockierung gilt, aber nicht für bestimmte Geräte.

• Wenn diese Option ausgewählt ist, kann die Aktion Datei unter Quarantäne auf Dateien in der SHA1Spalte , InitiatingProcessSHA1, SHA256oder InitiatingProcessSHA256 der Abfrageergebnisse angewendet werden. Diese Aktion löscht die Datei vom aktuellen Speicherort und platziert eine Kopie in Quarantäne.

Aktionen für Benutzer

• Wenn diese Option ausgewählt ist, wird die Aktion Benutzer als kompromittiert markieren auf Benutzer in der Spalte AccountObjectId, InitiatingProcessAccountObjectId oder RecipientObjectId der Abfrageergebnisse angewendet. Diese Aktion legt die Risikostufe des Benutzers in Microsoft Entra ID auf "hoch" fest, wodurch entsprechende Identitätsschutzrichtlinien ausgelöst werden.

• Wählen Sie Benutzer deaktivieren aus, um vorübergehend zu verhindern, dass sich ein Benutzer anmeldet.

• Wählen Sie Benutzerauthentifizierung zurücksetzen aus, um den Benutzer aufzufordern, sein Kennwort bei der nächsten Anmeldesitzung (für lokale Identitäten) zu ändern oder sich erneut anzumelden (für Microsoft Entra Identitäten).

• Sowohl die Optionen Benutzer deaktivieren als auch Benutzerauthentifizierung zurücksetzen erfordern die Benutzersicherheits-ID (SID), die sich in den Spalten AccountSid, InitiatingProcessAccountSid, RequestAccountSidund OnPremSidbefinden.

• Für alle Aktionen mit Microsoft Entra-Identitäten wird der Parameter AccountObjectId benötigt.

Weitere Informationen zu Benutzeraktionen finden Sie unter Wartungsaktionen in Microsoft Defender for Identity und Wartungsaktionen in Microsoft Defender for Cloud Apps.

Aktionen für E-Mails

• Wenn die benutzerdefinierte Erkennung E-Mail-Nachrichten ergibt, können Sie In Postfachordner verschieben auswählen, um die E-Mail in einen ausgewählten Ordner ( junk-,posteingangs- oder gelöschte Elementordner ) zu verschieben. Insbesondere können Sie E-Mail-Ergebnisse aus unter Quarantäne gestellten Elementen verschieben (beispielsweise im Fall von falsch positiven Erkennungen), indem Sie die Option Posteingang auswählen.

  

• Alternativ können Sie E-Mail löschen auswählen und dann entweder die E-Mails in Gelöschte Elemente verschieben (vorläufiges Löschen) oder die ausgewählten E-Mails dauerhaft löschen (endgültiges Löschen).

Die Spalten NetworkMessageId und RecipientEmailAddress müssen in den Ausgabeergebnissen der Abfrage vorhanden sein, um Aktionen auf E-Mail-Nachrichten anzuwenden.

5. Festlegen des Regelbereichs

Legen Sie den Bereich fest, um anzugeben, welche Geräte die Regel abdeckt. Der Bereich wirkt sich auf Regeln aus, die Geräte überprüfen, und wirkt sich nicht auf Regeln aus, die nur Postfächer und Benutzerkonten oder -identitäten überprüfen.

Wählen Sie beim Festlegen des Bereichs Folgendes aus:

• Alle Geräte
• Bestimmte Gerätegruppen

Die Regel fragt nur Daten von Geräten im Bereich ab. Aktionen werden nur auf diesen Geräten ausgeführt.

6. Überprüfen und Aktivieren der Regel

Wählen Sie nach der Überprüfung der Regel die Option Erstellen aus, um sie zu speichern. Die benutzerdefinierte Erkennungsregel wird sofort ausgeführt. Es wird basierend auf der konfigurierten Häufigkeit erneut ausgeführt, um nach Übereinstimmungen zu suchen, Warnungen zu generieren und Antwortaktionen auszuführen.

Wie benutzerdefinierte Erkennungen mit doppelten Warnmeldungen umgehen

Ein wichtiger Aspekt beim Erstellen und Überprüfen benutzerdefinierter Erkennungsregeln sind Warnungsgeräusche und Ermüdung. Benutzerdefinierte Erkennungen gruppieren und deduplizieren Ereignisse in einer einzelnen Warnung. Wenn eine benutzerdefinierte Erkennungsregel zweimal für ein Ereignis ausgeführt wird, das die gleichen Entitäten, benutzerdefinierten Details und dynamischen Details enthält, wird eine Warnung für beide Ereignisse erstellt. Wenn die Erkennungsregel erkennt, dass die Ereignisse identisch sind, protokolliert sie eines der Ereignisse für die erstellte Warnung und kümmert sich um die Duplikate. Duplikate können auftreten, wenn der Lookbackzeitraum länger als die Häufigkeit ist. Wenn die Ereignisse unterschiedlich sind, protokolliert die benutzerdefinierte Erkennung beide Ereignisse in der Warnung.

Verwandte Inhalte

• Benutzerdefinierte Erkennungen – Übersicht
• Verwalten von benutzerdefinierten Erkennungen
• Übersicht über das erweiterte Hunting
• Erlernen der Abfragesprache für die erweiterte Suche
• Migrieren erweiterter Suchabfragen aus Microsoft Defender for Endpoint
• Microsoft Graph-Sicherheits-API für benutzerdefinierte Erkennungen