Untersuchen von Entitäten auf Geräten mithilfe einer Liveantwort

  • Gilt für:: Microsoft Defender for Endpoint Plan 2

Live Response bietet Sicherheitsteams über eine Remoteshellverbindung sofortigen Zugriff auf ein Gerät (auch als Computer bezeichnet). Live Response bietet Ihnen die Möglichkeit, eingehende Untersuchungen durchzuführen und sofortige Reaktionsaktionen zu ergreifen, um identifizierte Bedrohungen in Echtzeit sofort einzudämmen.

Live Response wurde entwickelt, um Untersuchungen zu verbessern, indem Ihr Sicherheitsteam forensische Daten sammeln, Skripts ausführen, verdächtige Entitäten zur Analyse senden, Bedrohungen beseitigen und proaktiv nach neuen Bedrohungen suchen kann.

Mit live response können Analysten alle folgenden Aufgaben ausführen:

  • Führen Sie grundlegende und erweiterte Befehle aus, um Ermittlungsarbeiten auf einem Gerät auszuführen.
  • Laden Sie Dateien wie Schadsoftwarebeispiele und Ergebnisse von PowerShell-Skripts herunter.
  • Laden Sie Dateien im Hintergrund herunter (neu!).
  • Laden Sie ein PowerShell-Skript oder eine ausführbare Datei in die Bibliothek hoch, und führen Sie es auf einem Gerät auf Mandantenebene aus.
  • Ausführen oder Rückgängigmachen von Korrekturaktionen.

Tipp

Sie können Dateien, die für Liveantworten verwendet werden, über die Seite Bibliotheksverwaltung hochladen, anzeigen und verwalten.

Voraussetzungen

Geräte müssen eines der folgenden unterstützten Betriebssysteme und Versionen ausführen:

Unterstützte Betriebssysteme

Weitere Anforderungen

  • Liveantwort über die Seite mit den erweiterten Einstellungen aktivieren: Sie müssen die Liveantwortfunktion auf der Einstellungsseite Erweiterte Features aktivieren.

    Hinweis

    Nur Administratoren und Benutzer, die über die Berechtigungen "Portaleinstellungen verwalten" verfügen, können Liveantworten aktivieren.

  • Aktivieren Sie die Liveantwort für Server über die Seite mit den erweiterten Einstellungen (empfohlen).

    Hinweis

    Nur Administratoren und Benutzer, die über die Berechtigungen "Portaleinstellungen verwalten" verfügen, können Liveantworten aktivieren.

  • Aktivieren Sie die Ausführung von Liveantwortskripts ohne Vorzeichen (optional).

    Wichtig

    Die Signaturüberprüfung gilt nur für PowerShell-Skripts.

    Warnung

    Wenn Sie die Verwendung nicht signierter Skripts zulassen, kann sich dadurch Ihre Gefährdung durch Bedrohungen erhöhen. Wenn Sie sie verwenden müssen, müssen Sie die Einstellung auf der Seite Erweiterte Featureseinstellungen aktivieren.

  • Stellen Sie sicher, dass Sie über die entsprechenden Berechtigungen verfügen: Nur Benutzer, die mit den entsprechenden Berechtigungen bereitgestellt wurden, können eine Sitzung initiieren. Weitere Informationen zu Rollenzuweisungen finden Sie unter Erstellen und Verwalten von Rollen.

    Wichtig

    Die Option zum Hochladen einer Datei in die Bibliothek per Liveantwort ist nur für Benutzer mit der Berechtigung "Sicherheitseinstellungen verwalten" verfügbar. Die Schaltfläche ist für Benutzer mit nur delegierten Berechtigungen abgeblendet. Sie können auch Dateien von der Bibliotheksverwaltungsseite in die Bibliothek hochladen, für die Sie diese Berechtigung nicht benötigen.

    Abhängig von der Ihnen zugewiesenen Rolle können Sie grundlegende oder erweiterte Liveantwortbefehle ausführen. Benutzerberechtigungen werden von der benutzerdefinierten RBAC-Rolle gesteuert.

Übersicht über live response Dashboard

Wenn Sie auf einem Gerät eine Live-Response-Sitzung starten, wird ein Dashboard geöffnet. Die Dashboard enthält Informationen zur Sitzung. Zum Beispiel:

  • Wer hat die Sitzung erstellt?
  • Zeitpunkt des Sitzungsstarts
  • Die Dauer der Sitzung

Die Dashboard bietet Ihnen auch Zugriff auf Aktionen für die Sitzung. Zum Beispiel:

  • Sitzung trennen
  • Hochladen von Dateien in die Bibliothek
  • Befehlskonsole
  • Befehlsprotokoll

Initiieren einer Liveantwortsitzung auf einem Gerät

Führen Sie die folgenden Schritte aus, um eine Liveantwortsitzung auf einem Gerät zu initiieren.

Hinweis

Liveantwortaktionen, die über die Seite Gerät initiiert werden, sind in der MachineActions-API nicht verfügbar.

  1. Melden Sie sich beim Microsoft Defender-Portal an.

  2. Navigieren Sie zu Endpunkte>Gerätebestand, und wählen Sie ein Gerät aus, das Untersucht werden soll. Die Seite "Geräte" wird geöffnet.

  3. Starten Sie die Liveantwortsitzung, indem Sie Liveantwortsitzung initiieren auswählen. Eine Befehlskonsole wird angezeigt. Warten Sie, während die Sitzung eine Verbindung mit dem Gerät herstellt.

  4. Verwenden Sie die integrierten Befehle, um Ermittlungen auszuführen. Weitere Informationen finden Sie unter Liveantwortbefehle.

  5. Nachdem Sie Ihre Untersuchung abgeschlossen haben, wählen Sie Sitzung beenden und dann Bestätigen aus.

Live-Antwortbefehle

Abhängig von der Ihnen zugewiesenen Rolle können Sie grundlegende oder erweiterte Liveantwortbefehle ausführen. Benutzerberechtigungen werden durch benutzerdefinierte RBAC-Rollen gesteuert. Weitere Informationen zu Rollenzuweisungen finden Sie unter Erstellen und Verwalten von Rollen.

Hinweis

Die Liveantwort ist eine cloudbasierte interaktive Shell. Daher kann eine bestimmte Befehlserfahrung je nach Netzwerkqualität und Systemauslastung zwischen dem Endbenutzer und dem Zielgerät in der Antwortzeit variieren.

Grundlegende Befehle

Die folgenden Befehle sind für Benutzerrollen verfügbar, denen die Möglichkeit gewährt wird, grundlegende Live-Antwortbefehle auszuführen. Weitere Informationen zu Rollenzuweisungen finden Sie unter Erstellen und Verwalten von Rollen.

Befehl Beschreibung Windows und Windows Server macOS Linux
cd Ändert das aktuelle Verzeichnis. Y Y Y
cls Löscht den Konsolenbildschirm. Y Y Y
connect Initiiert eine Liveantwortsitzung für das Gerät. Y Y Y
connections Zeigt alle aktiven Verbindungen an. Y N N
dir Zeigt eine Liste der Dateien und Unterverzeichnisse in einem Verzeichnis an. Y Y Y
drivers Zeigt alle auf dem Gerät installierten Treiber an. Y N N
fg <command ID> Platzieren Sie den angegebenen Auftrag im Vordergrund, sodass er der aktuelle Auftrag ist. fg verwendet eine in Jobs verfügbare command ID, keine PID. Y Y Y
fileinfo Abrufen von Informationen zu einer Datei. Y Y Y
findfile Sucht Dateien mit einem bestimmten Namen auf dem Gerät. Y Y Y
getfile <file_path> Lädt eine Datei herunter. Y Y Y
help Stellt Hilfeinformationen für Liveantwortbefehle bereit. Y Y Y
jobs Zeigt die aktuell ausgeführten Aufträge, ihre ID und ihren Status an. Y Y Y
persistence Zeigt alle bekannten Persistenzmethoden auf dem Gerät an. Y N N
processes Zeigt alle Prozesse an, die auf dem Gerät ausgeführt werden. Y Y Y
registry Zeigt Registrierungswerte an. Y N N
scheduledtasks Zeigt alle geplanten Aufgaben auf dem Gerät an. Y N N
services Zeigt alle Dienste auf dem Gerät an. Y N N
startupfolders Zeigt alle bekannten Dateien in Startordnern auf dem Gerät an. Y N N
status Zeigt den status und die Ausgabe eines bestimmten Befehls an. Y Y Y
trace Legt den Protokollierungsmodus des Terminals auf Debug fest. Y Y Y

Erweiterte Befehle

Die folgenden Befehle sind für Benutzerrollen verfügbar, denen die Möglichkeit gewährt wird , erweiterte Liveantwortbefehle auszuführen. Weitere Informationen zu Rollenzuweisungen finden Sie unter Erstellen und Verwalten von Rollen.

Befehl Beschreibung Windows und Windows Server macOS Linux
analyze Analysiert die Entität mit verschiedenen Inkriminations-Engines, um zu einem Urteil zu gelangen. Y N N
collect Sammelt forensische Pakete vom Gerät. N Y Y
isolate Trennt das Gerät vom Netzwerk, während die Verbindung mit dem Defender for Endpoint-Dienst beibehalten wird. N Y N
release Gibt ein Gerät aus der Netzwerkisolation frei. N Y N
run Führt ein PowerShell-Skript aus der Bibliothek auf dem Gerät aus. Y Y Y
library Listet Dateien auf, die in die Liveantwortbibliothek hochgeladen wurden. Sie können diese Dateien auch auf der Seite Bibliotheksverwaltung anzeigen und verwalten. Y Y Y
putfile Fügt eine Datei aus der Bibliothek auf dem Gerät ab. Files werden in einem Arbeitsordner gespeichert und beim Neustart des Geräts standardmäßig gelöscht. Y Y Y
remediate Bereinigt eine Entität auf dem Gerät. Die Wartungsaktion variiert je nach Entitätstyp:
  • Datei: löschen
  • Prozess: Beenden, Löschen der Bilddatei
  • Dienst: Beenden, Löschen der Bilddatei
  • Registrierungseintrag: löschen
  • Geplante Aufgabe: entfernen
  • Startordnerelement: Datei löschen

Dieser Befehl setzt einen anderen Befehl voraus. Sie können den -auto Befehl in Verbindung mit remediate verwenden, um den erforderlichen Befehl automatisch auszuführen.		 Y Y Y
scan Führt eine schnelle Antivirenüberprüfung aus, um Schadsoftware zu identifizieren und zu beheben. N Y Y
undo Stellt eine Entität wieder her, die wiederhergestellt wurde. Y N N

Hinweis

Die folgenden Dateigrößenbeschränkungen gelten für putfile Liveantwortbefehle:

  • Windows: 300 MB
  • Andere Plattformen: 10 MB

Verwenden von Liveantwortbefehlen

Die Befehle, die Sie in der Konsole verwenden können, folgen ähnlichen Prinzipien wie Windows-Befehle.

Erweiterte Liveantwortbefehle bieten einen robusteren Satz von Aktionen, mit denen Sie leistungsfähigere Aktionen ausführen können, z. B. eine Datei herunterladen und hochladen, Skripts auf dem Gerät ausführen und Wartungsaktionen für eine Entität ausführen können.

Tipp

Sie können Dateien, die für Liveantworten verwendet werden, über die Seite Bibliotheksverwaltung hochladen, anzeigen und verwalten.

Abrufen einer Datei vom Gerät

Für Szenarien, in dem Sie eine Datei von einem Gerät abrufen möchten, das Sie untersuchen, können Sie den getfile Befehl verwenden. Auf diese Weise können Sie die Datei zur weiteren Untersuchung vom Gerät speichern.

Hinweis

Es gelten die folgenden Dateigrößenbeschränkungen:

  • getfile Limit: 3 GB
  • fileinfo Limit: 30 GB
  • library Limit: 250 MB

Herunterladen einer Datei im Hintergrund

Damit Ihr Sicherheitsteam weiterhin ein betroffenes Gerät untersuchen kann, können Dateien jetzt im Hintergrund heruntergeladen werden.

  • Um eine Datei im Hintergrund herunterzuladen, geben Sie in der Liveantwortbefehlskonsole ein download <file_path> &.
  • Wenn Sie darauf warten, dass eine Datei heruntergeladen wird, können Sie sie mit STRG+Z in den Hintergrund verschieben.
  • Um einen Dateidownload in den Vordergrund zu bringen, geben Sie in der Liveantwortbefehlskonsole ein fg <command_id>.

Hier sind einige Beispiele:

Befehl Was es bewirkt
getfile "C:\windows\some_file.exe" & Startet das Herunterladen einer Datei namens some_file.exe im Hintergrund.
fg 1234 Gibt einen Download mit der Befehls-ID 1234 im Vordergrund zurück.

Speichern einer Datei in der Bibliothek

Die Liveantwort verfügt über eine Bibliothek, in die Sie Dateien einfügen können. Die Bibliothek speichert Dateien (z. B. Skripts), die in einer Liveantwortsitzung auf Mandantenebene ausgeführt werden können.

Die Liveantwort ermöglicht die Ausführung von PowerShell- und Bash-Skripts. Sie müssen die Dateien jedoch zuerst in der Bibliothek ablegen, bevor Sie sie ausführen können.

Sie können über eine Sammlung von PowerShell- und Bash-Skripts verfügen, die auf Geräten ausgeführt werden können, mit denen Sie Liveantwortsitzungen initiieren.

So laden Sie eine Datei in die Bibliothek hoch

Sie können eine Datei entweder über die Liveantwortsitzungskonsole oder über die Bibliotheksverwaltungsseite in die Bibliothek hochladen.

So laden Sie eine Datei aus der Liveantwort-Sitzungskonsole in die Bibliothek hoch:

Hinweis

Es gibt Einschränkungen für die Zeichen, die in die Bibliothek hochgeladen werden können. Verwenden Sie alphanumerische Zeichen und einige Symbole (insbesondere -, _oder .).

  1. Wählen Sie Datei in Bibliothek hochladen aus.

  2. Wählen Sie Durchsuchen aus, und wählen Sie die Datei aus.

  3. Geben Sie eine kurze Beschreibung an.

  4. Geben Sie an, ob Sie eine Datei mit demselben Namen überschreiben möchten.

  5. Wenn Sie wissen möchten, welche Parameter für das Skript erforderlich sind, aktivieren Sie das Kontrollkästchen Skriptparameter. Geben Sie im Textfeld ein Beispiel und eine Beschreibung ein.

  6. Wählen Sie Bestätigen aus.

  7. (Optional) Um zu überprüfen, ob die Datei in die Bibliothek hochgeladen wurde, führen Sie den library Befehl aus, oder überprüfen Sie die Seite Bibliotheksverwaltung .

Abbrechen eines Befehls

Sie können einen Befehl jederzeit während einer Sitzung abbrechen, indem Sie STRG+C drücken.

Warnung

Die Verwendung dieser Tastenkombination stoppt den Befehl auf Agentenseite nicht. Der Befehl wird nur im Microsoft Defender-Portal abgebrochen. Daher können Änderungsvorgänge wie „remediate“ fortgesetzt werden, auch wenn der Befehl abgebrochen wird.

Ausführen eines Skripts

Bevor Sie ein PowerShell-/Bash-Skript ausführen können, müssen Sie es zuerst in die Bibliothek hochladen.

Sie können ein Skript über die Liveantwortsitzungskonsole oder über die Bibliotheksverwaltungsseite in die Bibliothek hochladen.

Verwenden Sie nach dem Hochladen des Skripts in die Bibliothek den run Befehl, um das Skript auszuführen.

Wenn Sie planen, ein nicht signiertes PowerShell-Skript in der Sitzung zu verwenden, müssen Sie die Einstellung auf der Seite Erweiterte Featureseinstellungen aktivieren.

Warnung

Die Zulassung der Verwendung nicht signierter Skripts kann Ihr Risiko durch Bedrohungen erhöhen.

Anwenden von Befehlsparametern

Verwenden Sie die folgenden Ansätze zum Anzeigen und Anwenden von Befehlsparametern.

  • Informationen zu Befehlsparametern finden Sie in der Konsolenhilfe. Um mehr über einen einzelnen Befehl zu erfahren, führen Sie Folgendes aus:

    help <command name>

  • Beachten Sie beim Anwenden von Parametern auf Befehle, dass Parameter basierend auf einer festen Reihenfolge behandelt werden:

    <command name> param1 param2

  • Geben Sie beim Angeben von Parametern außerhalb der festen Reihenfolge den Namen des Parameters mit einem Bindestrich an, bevor Sie den Wert angeben:

    <command name> -param2_name param2

  • Wenn Sie Befehle verwenden, für die zuvor andere Befehle ausgeführt werden müssen, können Sie Flags verwenden:

    <command name> -type file -id <file path> - auto

    oder

    remediate file <file path> - auto`

Unterstützte Ausgabetypen

Die Liveantwort unterstützt Ausgabetypen im Tabellen- und JSON-Format. Für jeden Befehl gibt es ein Standardausgabeverhalten. Sie können die Ausgabe in Ihrem bevorzugten Ausgabeformat mit den folgenden Befehlen ändern:

  • -output json
  • -output table

Hinweis

Aufgrund des begrenzten Platzes werden weniger Felder im Tabellenformat angezeigt. Um weitere Details in der Ausgabe anzuzeigen, können Sie den JSON-Ausgabebefehl verwenden, damit weitere Details angezeigt werden.

Unterstützte Ausgabe-Pipelines

Die Live-Reaktion unterstützt die Weiterleitung der Ausgabe an die CLI und in eine Datei. Die CLI ist das Standardausgabeverhalten. Sie können die Ausgabe mit dem folgenden Befehl an eine Datei übergeben: [command] > [filename].txt.

Beispiel:

processes > output.txt

Anzeigen des Befehlsprotokolls

Wählen Sie die Registerkarte Befehlsprotokoll aus, um die Befehle anzuzeigen, die während einer Sitzung auf dem Gerät verwendet werden. Jeder Befehl wird mit vollständigen Details nachverfolgt, z. B.:

  • ID
  • Befehlszeile
  • Dauer
  • Status- und Eingabe-/Ausgabeseitenleiste

Begrenzungen

Die folgenden Einschränkungen gelten für Liveantwortsitzungen und -befehle.

  • Liveantwortsitzungen sind auf 50 Liveantwortsitzungen gleichzeitig beschränkt.

  • Der Inaktive Timeoutwert der Liveantwortsitzung beträgt 30 Minuten.

  • Für einzelne Live-Antwortbefehle gilt ein Zeitlimit von 10 Minuten, mit Ausnahme von getfile, findfileund run, für die ein Limit von 30 Minuten gilt.

  • Ein Benutzer kann bis zu fünf gleichzeitige Sitzungen initiieren.

  • Ein Gerät kann sich jeweils nur in einer Sitzung befinden.

  • Es gelten die folgenden Dateigrößenbeschränkungen:

    • getfile Limit: 3 GB
    • fileinfo Limit: 30 GB
    • library Limit: 250 MB

    Hinweis

    Der erfolgreiche Abschluss eines Getfile-Vorgangs hängt sowohl von der Dateigröße als auch vom verfügbaren Netzwerkdurchsatz ab.
    In Umgebungen mit geringer Bandbreite kann eine Dateiübertragung möglicherweise nicht abgeschlossen werden, bevor das Befehlstimeout erreicht ist, auch wenn die Datei innerhalb des unterstützten Größenlimits liegt.
    Teilen Sie bei Bedarf große Dateien in kleinere Teile auf, und laden Sie sie separat herunter.

Verwandter Artikel

Weitere Beispiele finden Sie im folgenden Artikel.

  • Last updated on