Anzeigen und Verwalten von Warnungen auf Ihrem OT-Sensor
Warnungen von Microsoft Defender for IoT verbessern Ihre Netzwerksicherheit und -vorgänge mit Echtzeitdetails zu protokollierten Ereignissen in Ihrem Netzwerk. OT-Warnungen werden ausgelöst, wenn OT-Netzwerksensoren Änderungen oder verdächtige Aktivitäten im Netzwerkdatenverkehr erkennen, für die Ihre Aufmerksamkeit erforderlich ist.
In diesem Artikel wird beschrieben, wie Sie Defender for IoT-Warnungen direkt auf einem OT-Netzwerksensor anzeigen. Darüber hinaus können Sie OT-Warnungen im Azure-Portal oder an einer lokalen Verwaltungskonsole anzeigen.
Weitere Informationen finden Sie unter Warnungen in Microsoft Defender for IoT.
Voraussetzungen
Zum Anzeigen von Warnungen auf Ihrem OT-Sensor müssen ein SPAN-Port für Ihren Sensor konfiguriert und die Defender for IoT-Überwachungssoftware installiert sein. Weitere Informationen finden Sie unter Installieren von OT-Software für die Überwachung ohne Agents.
Zum Anzeigen von Warnungen auf dem OT-Sensor melden Sie sich bei Ihrem Sensor als Administrator-, Sicherheitsanalyst- oder Zuschauer-Benutzer an.
Zum Verwalten von Warnungen auf einem OT-Sensor melden Sie sich bei Ihrem Sensor als Administrator- oder Sicherheitsanalyst-Benutzer an. Zu den Aktivitäten zur Warnungsverwaltung gehören das Ändern der Status oder Schweregrade von Warnungen, das Lernen oder Stummschalten einer Warnung, der Zugriff auf PCAP-Daten oder das Hinzufügen vordefinierter Kommentare zu einer Warnung.
Weitere Informationen finden Sie unter Lokale Benutzer und Rollen für die OT-Überwachung mit Defender for IoT.
Anzeigen von Warnungen auf einem OT-Sensor
Melden Sie sich bei der OT-Sensorkonsole an, und wählen Sie links die Seite Warnungen aus.
Standardmäßig werden die folgenden Details im Raster angezeigt:
Name BESCHREIBUNG Severity Ein vom Sensor zugewiesener vordefinierter Warnungsschweregrad, den Sie bei Bedarf ändern können, einschließlich der Werte Kritisch, Schwerwiegend, Geringfügig, Warnung. Name Der Titel der Warnung. Engine Die Erkennungs-Engine von Defender for IoT, die die Aktivität erkannt und die Warnung ausgelöst hat. Letzte Erkennung Der Zeitpunkt, zu dem die Warnung zuletzt erkannt wurde.
– Wenn der Status einer Warnung Neu lautet und derselbe Datenverkehr erneut angezeigt wird, wird der Zeitpunkt für Letzte Erkennung für dieselbe Warnung aktualisiert.
– Wenn der Status der Warnung Geschlossen lautet und der Datenverkehr erneut angezeigt wird, wird der Zeitpunkt für Letzte Erkennungnicht aktualisiert, und eine neue Warnung wird ausgelöst.Status Der Warnungsstatus: Neu, Aktiv, Geschlossen
Weitere Informationen finden Sie unter Warnungsstatus und Selektierungsoptionen.Quellgerät Die IP-Quelladresse, die MAC-Adresse oder der Gerätename. Zum Anzeigen weiterer Details wählen Sie die Schaltfläche
Spalten bearbeiten aus.Wählen Sie im Bereich Spalten bearbeiten auf der rechten Seite Spalte hinzufügen und eine der folgenden zusätzlichen Spalten aus:
Name Beschreibung Zielgerät Die IP-Adresse des Zielgeräts Erste Erkennung Der Zeitpunkt, zu dem die Warnungsaktivität zum ersten Mal erkannt wurde ID Die Warnungs-ID Letzte Aktivität Zeitpunkt der letzten Änderung der Warnung, einschließlich manueller Aktualisierungen für Schweregrad oder Status oder automatisierter Änderungen für Geräteupdates oder Geräte-/Warnungsdeduplizierung.
Filtern der angezeigten Warnungen
Verwenden Sie das Suchfeld sowie die Optionen Zeitbereich und Filter hinzufügen, um die angezeigten Warnungen nach bestimmten Parametern zu filtern oder um eine bestimmte Warnung leichter zu finden.
Beispiel:
Beim Filtern von Warnungen nach Gruppen werden alle benutzerdefinierten Gruppen verwendet, die Sie möglicherweise im Gerätebestand oder auf den Seiten zur Gerätezuordnung erstellt haben.
Gruppieren der angezeigten Warnungen
Verwenden Sie das Menü Gruppieren nach oben rechts, um das Raster basierend auf Schweregrad, Name, Engine oder Status auf Unterabschnitte zu reduzieren.
Wenn beispielsweise die Gesamtzahl der Warnungen oberhalb des Rasters angezeigt wird, kann es sinnvoll sein, spezifischere Informationen zur Aufschlüsselung der Warnungsanzahl anzuzeigen, z. B. die Anzahl der Warnungen mit einem bestimmten Schweregrad oder Status.
Anzeigen von Details und Beheben einer bestimmten Warnung
Melden Sie sich beim OT-Sensor an, und wählen Sie im Menü auf der linken Seite Warnungen aus.
Wählen Sie eine Warnung im Raster aus, um weitere Details im Bereich auf der rechten Seite anzuzeigen. Der Warnungsdetailbereich enthält die Warnungsbeschreibung, die Quelle und das Ziel des Datenverkehrs und vieles mehr. Wählen Sie Vollständige Details anzeigen aus, um noch weitere Details anzuzeigen. Beispiel:
Die Seite mit den Warnungsdetails enthält weitere Details zur Warnung und eine Reihe von Wartungsschritten auf der Registerkarte Maßnahme ergreifen.
Verwenden Sie die folgenden Registerkarten, um mehr Erkenntnisse zum Kontext zu gewinnen:
Kartenansicht. Zeigen Sie die Quell- und Zielgeräte in einer Kartenansicht mit anderen Geräten an, die mit Ihrem Sensor verbunden sind. Beispiel:
Zeitskala der Ereignisse. Zeigen Sie das Ereignis zusammen mit anderen aktuellen Aktivitäten auf den zugehörigen Geräten an. Filtern Sie mit Optionen zum Anpassen der angezeigten Daten. Beispiel:
Verwalten von Status und Selektion von Warnungen
Achten Sie darauf, den Warnungsstatus zu aktualisieren, nachdem Sie Wartungsschritte ausgeführt haben, damit der Fortschritt aufgezeichnet wird. Sie können den Status für eine einzelne Warnung oder für eine Auswahl von Warnungen in einem Durchgang aktualisieren.
Sie können eine Warnung lernen, um Defender für IoT darauf hinzuweisen, dass der erkannte Netzwerkdatenverkehr zulässig ist. Gelernte Warnungen werden nicht erneut ausgelöst, wenn der gleiche Datenverkehr im Netzwerk erkannt wird. Sie können eine Warnung stumm schalten, wenn Lernen nicht zur Verfügung steht und Sie ein bestimmtes Szenario in Ihrem Netzwerk ignorieren möchten.
Weitere Informationen finden Sie unter Warnungsstatus und Selektierungsoptionen.
So verwalten Sie den Warnungsstatus:
Melden Sie sich bei der OT-Sensorkonsole an, und wählen Sie links die Seite Warnungen aus.
Wählen Sie eine oder mehrere Warnungen im Raster aus, deren Status Sie aktualisieren möchten.
Verwenden Sie die Symbolleistenschaltfläche
Status ändern oder die Option Status im Detailbereich auf der rechten Seite, um den Warnungsstatus zu aktualisieren.Die Option
Status ist auch auf der Seite mit den Warnungsdetails verfügbar.
So lernen Sie eine oder mehrere Warnungen:
Melden Sie sich bei der OT-Sensorkonsole an, wählen Sie links die Seite Warnungen aus, und führen Sie dann eine der folgenden Aktionen aus:
- Wählen Sie mindestens eine erlernbare Warnung im Raster und dann in der Symbolleiste
Erlernen aus. - Wählen Sie auf einer Warnungsdetailseite auf der Registerkarte Aktion ausführen die Option Lernen aus.
- Wählen Sie mindestens eine erlernbare Warnung im Raster und dann in der Symbolleiste
So schalten Sie eine Warnung stumm:
- Melden Sie sich bei der OT-Sensorkonsole an, und wählen Sie links die Seite Warnungen aus.
- Suchen Sie die Warnung, die Sie stummschalten möchten, und öffnen Sie die zugehörige Warnungsdetailseite.
- Schalten Sie auf der Registerkarte Aktion ausführen die Option Warnung stummschalten ein.
So heben Sie das Lernen einer Warnung auf ihre Stummschaltung auf:
- Melden Sie sich bei der OT-Sensorkonsole an, und wählen Sie links die Seite Warnungen aus.
- Suchen Sie die Warnung, die Sie gelernt oder stummgeschaltet haben, und öffnen Sie ihre Warnungsdetailseite.
- Deaktivieren Sie auf der Registerkarte Maßnahme ergreifen die Option Warnungslernen oder Warnung stummschalten.
Nachdem Sie das Lernen einer Warnung oder ihre Stummschaltung aufgehoben haben, werden Warnungen erneut ausgelöst, wenn der Sensor die ausgewählte Datenverkehrskombination erkennt.
Zugreifen auf PCAP-Warnungsdaten
Möglicherweise möchten Sie im Rahmen Ihrer Untersuchung auf Rohdatenverkehrsdateien zugreifen, die auch als Paketerfassungsdateien oder PCAP-Dateien bezeichnet werden.
Um auf Rohdatenverkehrsdateien für die Warnung zuzugreifen, wählen Sie PCAP herunterladen in der oberen linken Ecke der Seite mit den Warnungsdetails aus:
Beispiel:
Die PCAP-Datei wird heruntergeladen, und Ihr Browser fordert Sie auf, sie zu öffnen oder lokal zu speichern.
Exportieren von Warnungen in CSV oder PDF
Möglicherweise möchten Sie eine Auswahl von Warnungen für die Offlinefreigabe und -berichterstellung in eine CSV- oder PDF-Datei exportieren.
- Exportieren Sie Warnungen von der Hauptseite Warnungen in eine CSV-Datei. Exportieren Sie die Warnungen einzeln oder in einem Massenvorgang.
- Exportieren Sie Warnungen jeweils nur einzeln in eine PDF-Datei, entweder von der Hauptseite Warnungen oder von einer Warnungsdetailseite.
So exportieren Sie Warnungen in eine CSV-Datei:
Melden Sie sich bei der OT-Sensorkonsole an, und wählen Sie links die Seite Warnungen aus.
Verwenden Sie das Suchfeld und die Filteroptionen, um nur die Warnungen anzuzeigen, die Sie exportieren möchten.
Wählen Sie in der Symbolleiste oberhalb des Rasters In CSV exportieren aus.
Die Datei wird generiert, und Sie werden aufgefordert, sie zu öffnen oder lokal zu speichern.
So exportieren Sie eine Warnung in eine PDF-Datei:
Melden Sie sich bei der OT-Sensorkonsole an, wählen Sie links die Seite Warnungen aus, und führen Sie dann eine der folgenden Aktionen aus:
- Wählen Sie auf der Seite Warnungen eine Warnung und dann in der Symbolleiste oberhalb des Rasters In PDF exportieren aus.
- Wählen Sie auf einer Seite mit den Warnungsdetails die Option In PDF exportieren aus.
Die Datei wird generiert, und Sie werden aufgefordert, sie lokal zu speichern.
Hinzufügen von Warnungskommentaren
Warnungskommentare helfen Ihnen, Ihren Untersuchungs- und Wiederherstellungsprozess zu beschleunigen, da sich die Kommunikation zwischen Teammitgliedern und das Aufzeichnen von Daten durch sie effizienter gestalten lässt.
Wenn Ihr Administrator benutzerdefinierte Kommentare zum Hinzufügen zu Warnungen für Ihr Team erstellt hat, fügen Sie diese über den Abschnitt Kommentare auf einer Seite mit Warnungsdetails hinzu.
Melden Sie sich bei der OT-Sensorkonsole an, und wählen Sie links die Seite Warnungen aus.
Suchen Sie die Warnung, der Sie einen Kommentar hinzufügen möchten, und öffnen Sie die Seite mit den Warnungsdetails.
Wählen Sie in der Liste Kommentar auswählen den Kommentar aus, den Sie hinzufügen möchten, und wählen Sie dann Hinzufügen aus. Beispiel:
Weitere Informationen finden Sie unter Beschleunigen von OT-Warnungsworkflows.