Bedrohungsanalyse in Microsoft Defender

Gilt für:

• Microsoft Defender XDR

Threat Analytics ist eine produktinterne Threat Intelligence-Lösung von erfahrenen Microsoft-Sicherheitsexperten. Es hilft Sicherheitsteams dabei, effizient zu bleiben, während sie sich neuen Bedrohungen stellen, z. B.:

• Aktive Bedrohungsakteure und ihre Kampagnen
• Beliebte und neue Angriffstechniken
• Kritische Sicherheitsrisiken
• Häufige Angriffsflächen
• Weit verbreitete Schadsoftware

Zusätzlich zu den Microsoft-eigenen Erkenntnissen zeigt threat analytics auch OSINT-Artikel an – kuratierte Bedrohungsberichte aus öffentlich zugänglichen Quellen – und bietet Sicherheitsteams so einen einheitlichen Überblick über Microsoft-interne und externe Bedrohungsinformationen in einer einzigen Ansicht.

Sie können auf die Bedrohungsanalyse über die obere linke Seite der Navigationsleiste des Microsoft Defender-Portals oder über eine dedizierte Dashboardkarte zugreifen, die die wichtigsten Bedrohungen für Ihre Organisation anzeigt, sowohl hinsichtlich der bekannten Auswirkungen als auch ihrer Offenlegung.

Wenn Sie Sichtbarkeit über aktive oder laufende Kampagnen erhalten und wissen, was zu tun ist, können Sie Ihrem Security Operations-Team mit Bedrohungsanalysen helfen, fundierte Entscheidungen zu treffen.

Mit komplexeren Angreifern und neuen Bedrohungen, die häufig und weit verbreitet auftreten, ist es wichtig, schnell in der Lage zu sein:

• Erkennen und Reagieren auf neue Bedrohungen
• Erfahren Sie, ob Sie derzeit angegriffen werden
• Bewerten Sie die Auswirkungen der Bedrohung auf Ihre Werte.
• Überprüfen Sie Ihre Resilienz gegenüber den Bedrohungen oder deren Gefährdung.
• Identifizieren sie die Maßnahmen zur Entschärfung, Wiederherstellung oder Prävention, die Sie ergreifen können, um die Bedrohungen zu stoppen oder einzudämten.

Jeder Bericht enthält eine Analyse einer nachverfolgten Bedrohung und umfassende Anleitungen zur Abwehr dieser Bedrohung. Es enthält auch Daten aus Ihrem Netzwerk, die angeben, ob die Bedrohung aktiv ist und ob sie über entsprechende Schutzmaßnahmen verfügen.

Erforderliche Rollen und Berechtigungen

Für den Zugriff auf Die Bedrohungsanalyse im Defender-Portal benötigen Sie eine Lizenz für mindestens ein Microsoft Defender Produkt. Weitere Informationen finden Sie unter Microsoft Defender Voraussetzungen.

Für den Zugriff auf die Bedrohungsanalyse sind auch die folgenden Rollen und Berechtigungen erforderlich:

• Sicherheitsdatengrundlagen (lesen) – zum Anzeigen von Bedrohungsanalyseberichten, verwandten Vorfällen und Warnungen sowie betroffenen Ressourcen
• Sicherheitsrisikoverwaltung (Lesen) und Expositionsmanagement (lesen) – zum Anzeigen verwandter Expositionsdaten und empfohlener Aktionen

Standardmäßig wird der Zugriff auf die im Defender-Portal verfügbaren Dienste zentral über globale Microsoft Entra-Rollen verwaltet. Wenn Sie mehr Flexibilität und Kontrolle über den Zugriff auf bestimmte Produktdaten benötigen und noch nicht die einheitliche rollenbasierte Zugriffssteuerung (RBAC) von Microsoft Defender für die zentralisierte Berechtigungsverwaltung verwenden, empfehlen wir ihnen, für jeden Dienst benutzerdefinierte Rollen zu erstellen. Weitere Informationen zum Erstellen benutzerdefinierter Rollen

Bedrohungsanalyse-Dashboard anzeigen

Das Dashboard für die Bedrohungsanalyse (security.microsoft.com/threatanalytics3) hebt die Berichte hervor, die für Ihre Organisation am relevantesten sind. Es fasst die Bedrohungen in den folgenden Abschnitten zusammen:

• Neueste Bedrohungen: Listet die zuletzt veröffentlichten oder aktualisierten Bedrohungsberichte zusammen mit der Anzahl aktiver und aufgelöster Warnungen auf.
• Bedrohungen mit hohen Auswirkungen – listet die Bedrohungen auf, die die größten Auswirkungen auf Ihre Organisation haben. In diesem Abschnitt werden die Bedrohungen mit der höchsten Anzahl aktiver und behobener Warnungen zuerst aufgelistet.
• Bedrohungen mit der höchsten Exposition: Listet Bedrohungen auf, denen Ihre Organisation die höchste Exposition ausgesetzt ist. Ihre Expositionsstufe für eine Bedrohung wird anhand von zwei Informationen berechnet: wie schwerwiegend die mit der Bedrohung verbundenen Sicherheitsrisiken sind und wie viele Geräte in Ihrer Organisation von diesen Sicherheitsrisiken ausgenutzt werden könnten.

Wählen Sie im Dashboard eine Bedrohung aus, um den Bericht für diese Bedrohung anzuzeigen. Sie können auch das Suchfeld auswählen, um ein Schlüsselwort einzuschlüsseln, das sich auf den Bedrohungsanalysebericht bezieht, den Sie lesen möchten.

Anzeigen von Berichten nach Kategorie

Sie können die Liste der Bedrohungsberichte filtern und die relevantesten Berichte gemäß den folgenden Optionen anzeigen:

• Bedrohungs-Tags – helfen Ihnen, die relevantesten Berichte für eine bestimmte Bedrohungskategorie anzuzeigen. Zum Beispiel enthält das Ransomware-Tag alle Berichte im Zusammenhang mit Ransomware.

  Das Microsoft Threat Intelligence-Team fügt jedem Bedrohungsbericht Bedrohungstags hinzu. Die folgenden Bedrohungstags sind derzeit verfügbar:

  • Ransomware
  • Phishing
  • Aktivitätsgruppe
  • Sicherheitsrisiko

• Kategorie: Unterstützt Sie beim Anzeigen der relevantesten Berichte gemäß einem bestimmten Berichtstyp. Beispielsweise umfasst die Kategorie Actor alle Bedrohungsakteurprofile, und die Kategorie OSINT enthält Open-Source-Intelligence-Artikel aus externen Quellen. Weitere Informationen zu den verschiedenen Berichtstypen für Analysten

Diese Filter unterstützen Sie bei der effizienten Überprüfung der Bedrohungsberichtsliste. Beispielsweise können Sie alle Bedrohungsberichte im Zusammenhang mit der Ransomware-Kategorie oder Bedrohungsberichte anzeigen, die Sicherheitsrisiken beinhalten.

Kategorien werden oben auf der Seite "Bedrohungsanalyse" angezeigt. Indikatoren zeigen die Anzahl der verfügbaren Berichte in jeder Kategorie an.

Um Berichtsfiltertypen in Ihrem Dashboard hinzuzufügen, wählen Sie Filter aus, wählen Sie aus der Liste aus, und wählen Sie Hinzufügen aus.

Um die Typen der Berichte in der Liste basierend auf den verfügbaren Filtern festzulegen, wählen Sie einen Filtertyp (z. B. Bedrohungskennzeichnungen) aus, treffen Sie eine Auswahl aus der Liste, und wählen Sie Anwenden aus.

Bedrohungsanalysebericht anzeigen

Jeder Bericht zur Bedrohungsanalyse enthält Informationen in mehreren Abschnitten:

• Übersicht
• Analystenbericht
• Verwandte Vorfälle
• Betroffene Ressourcen
• Exponierung von Endpunkten
• Empfohlene Aktionen
• Indikatoren (Vorschau)

Übersicht: Schnelles Verstehen der Bedrohung, Bewerten ihrer Auswirkungen und Überprüfen der Schutzmaßnahmen

Der Abschnitt Übersicht bietet eine Vorschau des detaillierten Analystenberichts. Außerdem werden Diagramme bereitgestellt, die die Auswirkungen der Bedrohung auf Ihre Organisation und Ihre Offenlegung durch falsch konfigurierte und nicht gepatchte Geräte hervorheben.

Verstehen der Bedrohung und ihrer Taktiken, Techniken und Verfahren

Jeder Bericht enthält die folgenden Details zu einer Bedrohung, sofern zutreffend oder verfügbar, und bietet Ihnen einen schnellen Überblick darüber, was die Bedrohung ist und wie sie sich auf Ihre Organisation auswirken könnte:

• Aliase – Listet die öffentlich offengelegten Namen auf, die von anderen Sicherheitsanbietern für die Bedrohung angegeben wurden.
• Ursprung: Zeigt das Land oder die Region an, aus dem bzw. der die Bedrohung stammt.
• Verwandte Informationen : Listet andere Bedrohungsanalyseberichte auf, die relevant oder mit der Bedrohung in Zusammenhang stehen
• Ziele: Listet die Länder oder Regionen und Branchen auf, die von der Bedrohung betroffen sind.
• MITRE-Angriffstechniken – listet die beobachteten Taktiken, Techniken und Verfahren (TTPs) der Bedrohung gemäß dem MITRE ATT&CK-Framework auf.

Bewerten Sie die Auswirkungen auf Ihre Organisation

Jeder Bericht enthält Diagramme, die Informationen über die Auswirkungen einer Bedrohung auf die Organisation liefern:

• Verwandte Vorfälle – bietet einen Überblick über die Auswirkungen der nachverfolgten Bedrohung auf Ihre Organisation mit den folgenden Daten:
  • Anzahl aktiver Warnungen und Anzahl aktiver Incidents, denen sie zugeordnet sind
  • Schweregrad aktiver Vorfälle
• Warnungen im Zeitverlauf – zeigt die Anzahl der zugehörigen aktiven und aufgelösten Warnungen im Laufe der Zeit an. Die Anzahl der aufgelösten Warnungen gibt an, wie schnell Ihre Organisation auf Warnungen im Zusammenhang mit einer Bedrohung reagiert. Im Idealfall sollte das Diagramm Warnungen anzeigen, die innerhalb weniger Tage aufgelöst wurden.
• Betroffener Bestand: Zeigt die Anzahl der unterschiedlichen Ressourcen an, die derzeit mindestens eine aktive Warnung für die nachverfolgte Bedrohung aufweisen. Warnungen werden für Postfächer ausgelöst, die Bedrohungs-E-Mails empfangen. Überprüfen Sie sowohl Richtlinien auf Organisationsebene als auch auf Benutzerebene auf Außerkraftsetzungen, die die Zustellung von Bedrohungs-E-Mails verursachen.

Überprüfen der Sicherheitsresilienz und des Sicherheitsstatus

Jeder Bericht enthält Diagramme, die einen Überblick darüber bieten, wie resilient Ihre Organisation gegen eine bestimmte Bedrohung ist:

• Empfohlene Aktionen: Zeigt den Aktionsstatusprozentsatz oder die Anzahl der Punkte an, die Sie erreicht haben, um Ihren Sicherheitsstatus zu verbessern. Führen Sie die empfohlenen Aktionen aus, um die Bedrohung zu beheben. Sie können die Aufschlüsselung der Punkte nach Kategorie oder Status anzeigen.
• Offenlegung von Endpunkten: Zeigt die Anzahl der anfälligen Geräte an. Wenden Sie Sicherheitsupdates oder Patches an, um Sicherheitsrisiken zu beheben, die von der Bedrohung ausgenutzt werden.

Analystenbericht: Erhalten Sie Experteneinblicke von Microsoft-Sicherheitsexperten

Im Abschnitt Analystenbericht können Sie den detaillierten Bericht von Experten lesen. Die meisten Berichte enthalten detaillierte Beschreibungen von Angriffsketten, einschließlich Taktiken und Techniken, die dem MITRE ATT&CK-Framework zugeordnet sind, umfassende Listen mit Empfehlungen und leistungsstarke Anleitungen zur Bedrohungssuche .

Weitere Informationen zum Analystenbericht

Zugehörige Vorfälle: Zugehörige Vorfälle anzeigen und verwalten

Auf der Registerkarte Verwandte Vorfälle finden Sie eine Liste aller Vorfälle im Zusammenhang mit der nachverfolgten Bedrohung. Sie können Vorfälle zuweisen oder Warnungen verwalten, die mit jedem Vorfall verknüpft sind.

Beeinträchtigte Ressourcen: Abrufen einer Liste der betroffenen Geräte, Benutzer, Postfächer, Apps und Cloudressourcen

Auf der Registerkarte Betroffene Ressourcen werden die Ressourcen angezeigt, die von der Bedrohung im Laufe der Zeit betroffen sind. Es wird Folgendes angezeigt:

• Von aktiven Warnungen betroffene Ressourcen
• Von behobenen Warnmeldungen betroffene Ressourcen
• Alle Ressourcen oder die Gesamtzahl der Ressourcen, die von aktiven und aufgelösten Warnungen betroffen sind

Ressourcen sind in die folgenden Kategorien unterteilt:

• Geräte
• Benutzer
• Postfächer
• Apps
• Cloudressourcen

Gefährdung von Endpunkten: Bereitstellungsstatus von Sicherheitsupdates kennen

Im Abschnitt Endpunkte wird die Expositionsstufe Ihrer Organisation für die Bedrohung angegeben. Die Expositionsstufe wird basierend auf dem Schweregrad der Sicherheitsrisiken und Fehlkonfigurationen berechnet, die die Bedrohung ausnutzt, und der Anzahl der Geräte mit diesen Schwachstellen.

Dieser Abschnitt enthält auch den Bereitstellungsstatus der unterstützten Softwaresicherheitsupdates für Sicherheitsrisiken, die auf integrierten Geräten gefunden wurden. Es enthält Daten aus der Microsoft Defender-Sicherheitsrisikoverwaltung, die auch detaillierte Drilldowninformationen aus verschiedenen Links im Bericht bereitstellt.

Empfohlene Aktionen: Überprüfen Sie die Liste der Risikominderungen und den Status Ihrer Geräte.

Überprüfen Sie auf der Registerkarte Empfohlene Aktionen die Liste der spezifischen Handlungsempfehlungen, die Ihnen helfen können, die Resilienz Ihrer Organisation gegen die Bedrohung zu erhöhen. Die Liste der nachverfolgten Risikominderungen enthält unterstützte Sicherheitskonfigurationen, z. B.:

• Aus der Cloud gelieferter Schutz
• Schutz vor potenziell unerwünschten Anwendungen (Potentially Unwanted Applications, PUA)
• Echtzeitschutz

Indikatoren: Spezifische Infrastruktur und Belege hinter der Bedrohung anzeigen (Vorschau)

Die Registerkarte Indikatoren enthält eine Liste aller Gefährdungsindikatoren (Indicators of Compromise, IOCs), die der Bedrohung zugeordnet sind. Microsoft-Forscher aktualisieren diese IOCs in Echtzeit, wenn sie neue Beweise im Zusammenhang mit der Bedrohung finden. Diese Informationen helfen Ihrem Security Operations Center (SOC) und Ihren Threat-Intelligence-Analysten bei der Problembehebung und der proaktiven Bedrohungssuche. Die Liste bewahrt auch abgelaufene IOCs auf, sodass Sie vergangene Bedrohungen analysieren und deren Auswirkungen in Ihrer Umgebung verstehen können.

Bleiben Sie mit den neuesten Berichten und Threat Intelligence auf dem Laufenden

Die Bedrohungsanalyse nutzt und integriert verschiedene Microsoft Defender- und Microsoft Security Copilot-Features , um Sie und Ihr SOC-Team auf dem Laufenden zu halten, sobald ein neuer Bericht oder ein neuer Teil von Threat Intelligence verfügbar ist, der für Ihre Umgebung relevant ist.

Einrichten des Threat Intelligence-Briefing-Agents

Richten Sie den Threat Intelligence-Briefing-Agent ein, um zeitnahe, relevante Threat Intelligence-Berichte mit detaillierten technischen Analysen zu erhalten, die auf der neuesten Aktivität des Bedrohungsakteurs und sowohl internen als auch externen Sicherheitsrisiken basieren. Der Agent korreliert Microsoft-Bedrohungsdaten und Kundensignale, um Bedrohungsinformationen innerhalb weniger Minuten einen kritischen Kontext hinzuzufügen, wodurch Analystenteams Stunden oder sogar Tage für die Erfassung und Korrelation von Informationen sparen.

Nach der Bereitstellung wird der Threat Intelligence-Briefing-Agent oben auf der Seite Bedrohungsanalyse als Banner angezeigt.

Erfahren Sie mehr über den Threat Intelligence Briefing Agent

Einrichten benutzerdefinierter Erkennungen und Verknüpfen dieser Erkennungen mit Bedrohungsanalyseberichten

Richten Sie benutzerdefinierte Erkennungsregeln ein, und verknüpfen Sie sie mit Bedrohungsanalyseberichten. Wenn diese Regeln ausgelöst werden und eine Warnung einen Incident generiert, wird der Bericht in diesem Incident angezeigt, und der Vorfall wird auf der Registerkarte Verwandte Vorfälle angezeigt, genau wie jede andere von Microsoft definierte Erkennung.

Weitere Informationen zum Erstellen und Verwalten benutzerdefinierter Erkennungsregeln

Einrichten von E-Mail-Benachrichtigungen für Berichtsupdates

Richten Sie E-Mail-Benachrichtigungen ein, die Ihnen Updates zu Bedrohungsanalyseberichten senden. Um E-Mail-Benachrichtigungen zu erstellen, führen Sie die Schritte zum Abrufen von E-Mail-Benachrichtigungen für Bedrohungsanalyseupdates in Microsoft Defender aus.

Weitere Berichtsdetails und Einschränkungen

Berücksichtigen Sie beim Überprüfen der Bedrohungsanalysedaten die folgenden Faktoren:

• Die Prüfliste auf der Registerkarte Empfohlene Aktionen zeigt nur Empfehlungen an, die in der Microsoft-Sicherheitsbewertung nachverfolgt werden. Sehen Sie auf der Registerkarte Analyst report nach, um weitere empfohlene Aktionen zu finden, die nicht in Secure Score erfasst werden.
• Die empfohlenen Aktionen garantieren keine vollständige Resilienz und spiegeln nur die bestmöglichen Maßnahmen wider, die zur Verbesserung erforderlich sind.
• Antivirenstatistiken basieren auf Microsoft Defender Antivirus-Einstellungen.
• Die Spalte Falsch konfigurierte Geräte auf der Hauptseite bedrohungsanalyse zeigt die Anzahl der Geräte an, die von einer Bedrohung betroffen sind, wenn die zugehörigen empfohlenen Aktionen der Bedrohung nicht aktiviert sind. Wenn Microsoft-Forscher jedoch keine empfohlenen Aktionen verknüpfen, wird in der Spalte Falsch konfigurierte Geräte der Status Nicht verfügbar angezeigt.
• Die Spalte "Anfällige Geräte " auf der Hauptseite "Bedrohungsanalyse" zeigt die Anzahl der Geräte an, auf denen Software ausgeführt wird, die für die mit der Bedrohung verbundenen Sicherheitsrisiken anfällig sind. Wenn Microsoft-Forscher jedoch keine Sicherheitsrisiken verknüpfen, wird in der Spalte Anfällige Geräte der Status Nicht verfügbar angezeigt.

Siehe auch

• Proaktives Auffinden von Bedrohungen mit erweiterter Suche
• Grundlegendes zum Abschnitt "Analystenbericht"
• Bewerten und Beheben von Sicherheitsschwächen und -risiken