Sdílet prostřednictvím

Analýza prvního incidentu v Microsoft Defenderu XDR

  • Článek

Platí pro:

  • Microsoft Defender XDR

Při analýze útoků je nezbytné porozumět kontextu, který obklopuje incidenty . Kombinace vašich odborných znalostí a zkušeností s funkcemi a možnostmi XDR v programu Microsoft Defender zajišťuje rychlejší řešení incidentů a bezpečnost vaší organizace před kybernetickými útoky.

Dnešní hrozby týkající se zabezpečení dat – ohrožení zabezpečení obchodních e-mailů (BEC), malware, jako jsou zadní vrátka a ransomware, porušení zabezpečení organizace a útoky na národní stát – vyžadují rychlé, inteligentní a rozhodné kroky od respondentů na incidenty. Nástroje, jako je Microsoft Defender XDR , umožňují týmům reakce detekovat, určit a prošetřit incidenty prostřednictvím jednoho podokna a najít informace potřebné k provedení těchto včasných rozhodnutí.

Úkoly šetření

Vyšetřování obvykle zahrnuje osoby, které reagují, prohlížejí si několik aplikací a současně kontrolují různé zdroje analýzy hrozeb. Někdy se vyšetřování rozšiřuje o proaktivní vyhledávání jiných hrozeb. Dokumentování faktů a řešení při vyšetřování útoku je další důležitou úlohou, která poskytuje historii a kontext pro použití jiných vyšetřovatelů nebo pro pozdější šetření. Tyto úlohy šetření se při použití Microsoft DefenderU XDR zjednoduší následujícím postupem:

  • Pivoting – portál agreguje důležité informace o útoku v kontextu napříč úlohami Defenderu povolenými ve vaší organizaci. Portál konsoliduje všechny informace do jednotlivých komponent útoku (soubor, adresa URL, poštovní schránka, uživatelský účet nebo zařízení) a zobrazuje relace a časovou osu aktivit. Se všemi informacemi dostupnými na stránce umožňuje portál řešitelům incidentů přecházet mezi souvisejícími entitami a událostmi, aby našli informace, které potřebují k rozhodování.

  • Proaktivní vyhledávání – lovci hrozeb můžou najít známé a možné hrozby v rámci organizace prostřednictvím pokročilých funkcí proaktivního vyhledávání na portálu pomocí dotazů Kusto. Pokud s Kusto začínáte, použijte k vyhledávání hrozeb režim s asistencí .

  • Přehled – tam, kde je to možné, můžou osoby reagující na incidenty zobrazit akce u dříve zjištěných událostí a výstrahy, které pomáhají při současném vyšetřování. K událostem a upozorněním se také automaticky přidávají další přehledy prostřednictvím vlastní analýzy hrozeb microsoftu a ze zdrojů, jako je MITRE ATT&CK® framework a VirusTotal.

  • Spolupráce – týmy operací zabezpečení můžou zobrazit rozhodnutí a akce jednotlivých členů týmu týkající se minulých a současných incidentů a upozornění prostřednictvím funkcí portálu, jako jsou komentáře, označování, označování příznakem a přiřazení. Další spolupráce se službou Microsoftu pro spravovanou detekci a odezvu prostřednictvím defenderových expertů pro XDR a Defender Experts for Hunting je dostupná také v případě, že organizace vyžaduje rozšířenou reakci.

Přehled útoků

Příběh útoku poskytuje respondentům na incidenty úplný kontextový přehled toho, co se při útoku stalo. Respondující uživatelé můžou zobrazit všechna související upozornění a události, včetně automatizovaných nápravných akcí provedených programem Microsoft Defender XDR za účelem zmírnění útoku.

V příběhu útoku se můžete podrobněji ponořit do podrobností útoku tím, že prozkoumáte karty dostupné na stránce incidentu. Pomocí playbooků reakcí na incidenty , které jsou přístupné na portálu, můžete rychle napravit běžné útoky, jako jsou útoky phishing, password spray a škodlivé aplikace. Tyto playbooky obsahují pokyny k detekci, reakci a zmírnění rizik, které podporují vyšetřování incidentů.

Toto video o vyšetřování útoku v Microsoft DefenderU XDR a použití funkcí portálu při vyšetřování vás provede příběhem útoku a stránkou incidentu.

Prošetřování hrozeb

Složité hrozby, jako jsou útoky typu adversary-in-the-middle nebo ransomware, často vyžadují ruční šetření. Účastník reakce na incidenty, který řeší tyto složité útoky, hledá následující důležité informace:

  • Přítomnost malwaru nebo podezřelé použití nástrojů a aplikací
  • Stopy o komunikačních kanálech nebo vstupních bodech používaných jakoukoli škodlivou nebo podezřelou entitou
  • Stopy ukazující na možné ohrožení identity
  • Identifikace dopadu na stav dat a zabezpečení organizace

Následující části obsahují kurzy a videa o funkcích XDR v programu Microsoft Defender, které pomáhají týmům reagovat na incidenty při vyšetřování různých složitých útoků.

Šetření ransomwaru

Ransomware je i nadále významnou hrozbou pro organizace. Společnost Microsoft má následující zdroje informací, které vám pomůžou prozkoumat útoky ransomware a reagovat na ně:

Analýza e-mailových útoků

Identifikace a sledování upravených, vytvořených nebo odcizených identit je zásadní pro vyšetřování útoků phishing a BEC. Při vyšetřování těchto útoků použijte následující zdroje informací:

V následujících videích se dozvíte, jak v Programu Microsoft Defender XDR prozkoumat útoky phishing a BEC:

Prošetřete ohrožení identity a zjistěte, co můžete udělat, abyste útok zamezili prostřednictvím tohoto videa:

Analýza malwaru

Informace a možnosti škodlivého souboru jsou klíčem k vyšetřování malwaru. Microsoft Defender XDR ve většině případů dokáže odpálit soubor a zobrazit tak důležitá data, včetně hodnoty hash, metadat, rozšíření v rámci organizace a možností souborů na základě technik MITRE ATT&CK®. Tím se eliminuje nutnost provádět testování černé skříňky nebo statickou analýzu souborů. Informace o souborech můžete zobrazit z grafu incidentů nebo zobrazením stromu procesu upozornění, časové osy artefaktů nebo časové osy zařízení.

Následující zdroje informací obsahují podrobné informace o tom, jak používat možnosti portálu při zkoumání souborů:

Analýza rizikových aplikací a prevence cloudových hrozeb

Aktéři se zlými úmysly můžou zneužít cloudové aplikace. Aplikace můžou neúmyslně unikat citlivé informace v případě zneužití nebo zneužití. Osoby reagující na incidenty, které prošetřují a chrání aplikace v cloudových prostředích, můžou využít následující prostředky, ve kterých je Defender for Cloud Apps nasazený ve svých organizacích:

Zjistěte, jak můžete chránit cloudové aplikace v reálném čase pomocí tohoto videa úlohy Defender for Cloud Apps:

  • Video: Ochrana cloudových aplikací a souvisejících souborů prostřednictvím Defenderu for Cloud Apps

Analýza porušení zabezpečení

Útoky v národních státech, útoky na kritickou infrastrukturu a porušení zabezpečení organizace často vyžadují, aby útočník vytvořil komunikační body, jakmile jsou v síti. Osoby reagující na incidenty hledají stopy tím, že identifikují podezřelý provoz nebo výměnu mezi zdrojem a cílem. Microsoft má následující kurzy pro zkoumání komunikačních komponent:

Útočníci často používají ohrožení zabezpečení k získání přístupu k organizaci. Některé útoky ransomwaru zpočátku využívají neopravených ohrožení zabezpečení, jako je chyba zabezpečení Log4Shell. Následující zdroje informací pomáhají osobám reagující na incidenty identifikovat ohrožení zabezpečení a zranitelná zařízení v jejich organizaci prostřednictvím služby Defender for Vulnerability Management:

K porušením také dochází prostřednictvím různých zařízení, jako jsou telefony a tablety, které se připojují k síti vaší organizace. Osoby reagující na incidenty můžou tato zařízení dále prozkoumat na portálu. V následujícím videu se dozvíte o hlavních hrozbách z mobilních zařízení a o tom, jak je můžete prošetřit:

  • Ochrana před mobilními hrozbami v Microsoft Defenderu XDR

Zdroje informací o hrozbách a proaktivního vyhledávání

Integrované funkce analýzy hrozeb a proaktivního vyhledávání v programu Microsoft Defender XDR pomáhají týmům reagovat na incidenty při provádění proaktivní ochrany před vznikajícími hrozbami a útoky. Prostřednictvím analýzy hrozeb na portálu máte přímý přístup k nejnovějším informacím o vznikajících hrozbách a útocích.

Domovská stránka analýzy hrozeb

Pomocí inteligentních informací v analýze hrozeb se podrobněji seznamte s novými hrozbami v následujícím videu:

Proaktivní vyhledávání hrozeb v rámci organizace pomocí integrované pokročilé funkce proaktivního proaktivního vyhledávání na portálu.

Stránka rozšířeného proaktivního vyhledávání v Microsoft Defenderu XDR

Následující zdroje informací obsahují další informace o tom, jak používat rozšířené proaktivní vyhledávání:

Rozšiřte své analýzy hrozeb o nejnovější výzkum zabezpečení a změny provedené týmy Microsoftu pro výzkum zabezpečení:

Spolupracujte s odborníky Microsoftu na reakci na incidenty a proaktivního vyhledávání hrozeb a vylepšete možnosti týmů pro operace zabezpečení. Další informace o našich expertech a o tom, jak je zapojit, najdete v následujících zdrojích informací:

Další krok

Viz také

Tip

Chcete se dozvědět více? Spojte se s komunitou zabezpečení společnosti Microsoft v naší technické komunitě: Technická komunita Microsoft Defender XDR.