Erstellen Sie Richtlinien für die Anomalieerkennung in Defender for Cloud Apps

Die Microsoft Defender for Cloud Apps Richtlinien zur Anomalieerkennung bieten sofort einsatzbereite Benutzer- und Entitätsverhaltensanalysen (UEBA) und Machine Learning (ML), sodass Sie von Anfang an bereit sind, die erweiterte Bedrohungserkennung in Ihrer Cloudumgebung auszuführen. Da sie automatisch aktiviert werden, starten die neuen Richtlinien zur Anomalieerkennung sofort den Prozess der Erkennung und Sortierung von Ergebnissen und zielen auf zahlreiche Verhaltensanomalien für Ihre Benutzer und die Computer und Geräte ab, die mit Ihrem Netzwerk verbunden sind. Darüber hinaus machen die Richtlinien mehr Daten aus der Defender for Cloud Apps Erkennungs-Engine verfügbar, damit Sie den Untersuchungsprozess beschleunigen und laufende Bedrohungen eindämmen können.

Die Richtlinien für die Anomalieerkennung werden automatisch aktiviert, aber Defender for Cloud Apps hat einen anfänglichen Lernzeitraum von sieben Tagen, in dem nicht alle Warnungen zur Anomalieerkennung ausgelöst werden. Danach wird jede Sitzung bei der Datenerhebung von Ihren konfigurierten API-Connectoren mit Aktivitäten verglichen und im letzten Monat festgestellte Aktivitäten, einschließlich der Aktivität der Nutzer, IP-Adressen, Geräten und den Risikowerten dieser Aktivitäten. Daten von API-Connectoren können mehrere Stunden benötigen, bis sie verfügbar sind.

Diese Erkennungen sind Teil der heuristischen Anomalie-Erkennungs-Engine, die Ihre Umgebung profiliert und Warnungen auslöst, basierend auf einer Basislinie aus der Aktivität Ihrer Organisation. Die Erkennungen nutzen außerdem maschinelle Lernalgorithmen, die darauf ausgelegt sind, Nutzer und deren Anmeldemuster zu profilieren, um Fehlalarme zu reduzieren.

Anomalien werden durch die Überprüfung der Benutzeraktivität erkannt. Das Risiko wird anhand von über 30 verschiedenen Risikoindikatoren bewertet, die wie folgt in Risikofaktoren gruppiert sind:

• Riskante IP-Adresse
• Anmeldefehler
• Administratoraktivität
• Inaktive Konten
• Standort
• Unmögliche Reise
• Geräte- und Benutzeragent
• Aktivitätsrate

Basierend auf den Richtlinienergebnissen werden Sicherheitswarnungen ausgelöst. Defender for Cloud Apps sieht sich jede Benutzersitzung in Ihrer Cloud an und warnt Sie, wenn etwas passiert, das sich von der Baseline Ihrer organization oder von der regulären Aktivität des Benutzers unterscheidet.

Wichtig

Ab Juni 2025 hat Microsoft Defender for Cloud Apps damit begonnen, Richtlinien zur Anomalieerkennung auf ein dynamisches Bedrohungserkennungsmodell umzustellen. Dieses Modell passt die Erkennungslogik automatisch an die sich entwickelnde Bedrohungslandschaft an und hält Die Erkennungen ohne manuelle Konfiguration oder Richtlinienupdates auf dem neuesten Stand. Im Rahmen dieser Verbesserungen der Gesamtsicherheit und um genauere und rechtzeitige Warnungen bereitzustellen, wurden mehrere Legacyrichtlinien deaktiviert:

• Aktivität von verdächtigen IP-Adressen
• Verdächtige Posteingangsmanipulationsregeln
• Verdächtige E-Mail-Löschaktivität
• Aktivität von anonymen IP-Adressen
• Verdächtige Weiterleitung im Posteingang.
• Ungewöhnlicher Internetanbieter für eine OAuth-App.
• Verdächtige Dateizugriffsaktivität (nach Benutzer).
• Ransomware-Aktivität.
• Aktivität ausgeführt vom beendeten Nutzer.

Sie erhalten weiterhin den gleichen Schutzstandard, ohne Ihre vorhandene Sicherheitsabdeckung zu unterbrechen. Es ist keine Aktion von Ihrer Seite erforderlich.

Anomalieerkennungsrichtlinien

Sie können die Anomalieerkennungsrichtlinien im Microsoft Defender-Portal sehen, wenn Sie zu Cloud Apps>Policies>Policy Management gehen. Wählen Sie dann Richtlinie für die Anomalieerkennung als Richtlinientyp aus.

Die folgenden Richtlinien zur Anomalieerkennung sind verfügbar:

Unmögliche Reise

Diese Erkennung identifiziert zwei Benutzeraktivitäten (in einer einzelnen oder mehreren Sitzungen), die von geografisch entfernten Standorten stammen, innerhalb eines Zeitraums, der kürzer ist als die Zeit, die der Benutzer für die Reise vom ersten Standort zum zweiten gedauert hätte, was darauf hinweist, dass ein anderer Benutzer dieselben Anmeldeinformationen verwendet. Bei dieser Erkennung wird ein Machine Learning-Algorithmus verwendet, der offensichtliche "falsch positive Ergebnisse" ignoriert, die zu der unmöglichen Reisebedingung beitragen, z. B. VPNs und Orte, die regelmäßig von anderen Benutzern im organization verwendet werden. Die Erkennung hat einen anfänglichen Lernzeitraum von sieben Tagen, in dem sie das Aktivitätsmuster eines neuen Benutzers lernt. Die Erkennung unmöglicher Reisen identifiziert ungewöhnliche und unmögliche Benutzeraktivitäten zwischen zwei Standorten. Die Aktivität sollte ungewöhnlich genug sein, um als Indikator für eine Kompromittierung und als warnungswürdig angesehen zu werden. Damit dies funktioniert, umfasst die Erkennungslogik verschiedene Unterdrückungsstufen, um Szenarien zu adressieren, die Fehlalarme auslösen können, wie VPN-Aktivitäten oder Aktivitäten von Cloud-Anbietern, die keinen physischen Standort anzeigen. Mit dem Empfindlichkeitsschieberegler können Sie den Algorithmus beeinflussen und definieren, wie streng die Erkennungslogik ist. Je höher das Empfindlichkeitsniveau, desto weniger Aktivitäten werden im Rahmen der Detektionslogik unterdrückt. Auf diese Weise können Sie die Erkennung an Ihre Abdeckungsanforderungen und Ihre SNR-Ziele anpassen.

Hinweis

• Wenn die IP-Adressen auf beiden Seiten des Reisens als sicher eingestuft werden und der Sensitivitäts-Schieberegler für Vertraulichkeit nicht auf Hoch festgelegt ist, wird die Reise vertrauenswürdig und von der Auslösung der Erkennung Unmöglicher Ortswechsel ausgeschlossen. Beispielsweise gelten beide Seiten als sicher, wenn sie als Unternehmen gekennzeichnet sind. Wenn jedoch die IP-Adresse nur einer Seite der Reise als sicher gilt, wird die Erkennung normal ausgelöst.
• Die Standorte werden auf Länder-/Regionsebene berechnet. Dies bedeutet, dass es keine Warnungen für zwei Aktionen geben wird, die aus demselben Land/derselben Region oder aus angrenzenden Ländern/Regionen stammen.

Aktivität aus seltenen Ländern/Regionen

Bei dieser Erkennungsmethode werden anhand von in der Vergangenheit verwendeten Aktivitätsstandorten neue und selten verwendete Standorte ermittelt. Die Anomalieerkennungs-Engine speichert Informationen über zuvor vom Benutzer verwendete Standorte. Eine Warnung wird ausgelöst, wenn eine Aktivität von einem Ort aus auftritt, der nicht vor kurzem oder nie vom Benutzer besucht wurde. Um falsch positive Warnungen zu reduzieren, unterdrückt die Erkennung Verbindungen, die durch allgemeine Benutzereinstellungen gekennzeichnet sind.

Schadsoftwareerkennung

Diese Erkennung identifiziert schädliche Dateien in Ihrem Cloudspeicher, unabhängig davon, ob sie von Ihren Microsoft-Apps oder Apps von Drittanbietern stammen. Microsoft Defender for Cloud Apps verwendet die Threat Intelligence von Microsoft, um zu erkennen, ob bestimmte Dateien, die risiken heuristischen Heuristiken entsprechen, wie Dateityp und Freigabeebene, mit bekannten Schadsoftwareangriffen verbunden sind und potenziell böswillig sind. Diese integrierte Richtlinie ist standardmäßig deaktiviert. Nachdem schädliche Dateien erkannt wurden, können Sie eine Liste der infizierten Dateien anzeigen. Wählen Sie den Namen der Schadsoftwaredatei in der Dateischublade aus, um einen Malware-Bericht zu öffnen, der Ihnen Informationen über die Art der Schadsoftware bereitstellt, mit der die Datei infiziert ist.

Verwenden Sie diese Erkennung, um Dateiuploads und -downloads in Echtzeit mit Sitzungsrichtlinien zu steuern.

Datei-Sandboxing

Durch die Aktivierung von Datei-Sandboxing werden Dateien, die laut Metadaten und proprietären Heuristiken potenziell riskant sind, auch in einer sicheren Sandbox-Umgebung gescannt. Der Sandbox-Scan könnte Dateien erkennen, die anhand von Bedrohungsinformationen nicht erkannt wurden.

Defender for Cloud Apps unterstützt Datei-Sandbox-Malware-Erkennung für die folgenden Apps:

• Box
• Dropbox
• Google Workspace

Hinweis

• Das proaktive Sandboxing erfolgt in Drittanbieteranwendungen (Box, Dropbox usw.). In OneDrive und SharePoint werden Dateien als Teil des Diensts selbst gescannt und in die Sandbox eingeteilt.
• In Box, Dropbox und Google Workspace blockiert Defender for Cloud Apps die Datei nicht automatisch, aber die Blockierung kann gemäß den Funktionen der App und der vom Kunden festgelegten Konfiguration der App erfolgen.
• Wenn Sie nicht sicher sind, ob eine erkannte Datei wirklich schadsoftware oder falsch positiv ist, wechseln Sie zur Seite Microsoft Security Intelligence unterhttps://www.microsoft.com/wdsi/filesubmission, und übermitteln Sie die Datei zur weiteren Analyse.

Aktivität von anonymen IP-Adressen

Hinweis

Im Rahmen der kontinuierlichen Verbesserungen an Defender for Cloud Apps Warnungsbedrohungsschutzfunktionen wurde diese Richtlinie deaktiviert, zum neuen dynamischen Modell migriert und in Aktivität von einer TOR-IP-Adresse und anonymen Proxyaktivität umbenannt.

Diese Erkennung identifiziert, dass Benutzer von einer IP-Adresse aus aktiv waren, die als anonyme Proxy-IP-Adresse identifiziert wurde. Diese Proxys werden von Personen verwendet, die die IP-Adresse ihres Geräts verbergen möchten, und können für böswillige Absichten verwendet werden. Bei dieser Erkennung wird ein Machine Learning-Algorithmus verwendet, der "falsch positive Ergebnisse" reduziert, z. B. falsch markierte IP-Adressen, die häufig von Benutzern im organization verwendet werden.

Ransomware-Aktivität

Hinweis

Im Rahmen der kontinuierlichen Verbesserungen an Defender for Cloud Apps Warnungsbedrohungsschutzfunktionen wurde diese Richtlinie deaktiviert, zum neuen dynamischen Modell migriert und in ransomware-Zahlungsanweisungsdatei umbenannt, die in {Application} hochgeladen wurde.

Defender for Cloud Apps erweiterte seine Fähigkeiten zur Erkennung von Ransomware um Anomalieerkennung, um eine umfassendere Abdeckung gegen ausgeklügelte Ransomware-Angriffe zu gewährleisten. Defender for Cloud Apps nutzt unsere Expertise in der Sicherheitsforschung, um Verhaltensmuster zu identifizieren, die Ransomware-Aktivitäten widerspiegeln, und gewährleistet so einen ganzheitlichen und robusten Schutz. Zum Beispiel könnte eine hohe Rate an Dateihochladungen oder Dateilöschaktivitäten einen ungünstigen Verschlüsselungsprozess darstellen. Diese Daten werden in Protokollen gesammelt, die von verbundenen APIs empfangen werden, und dann mit erlernten Verhaltensmustern und Bedrohungsinformationen wie bekannten Ransomware-Erweiterungen kombiniert. Weitere Informationen dazu, wie Defender for Cloud Apps Ransomware erkennt, finden Sie unter Schützen Ihrer organization vor Ransomware.

Aktivität, die vom gekündigten Benutzer ausgeführt wurde

Hinweis

Im Rahmen laufender Verbesserungen der Warnschutzfunktionen von Defender for Cloud Apps wurde diese Richtlinie deaktiviert, auf das neue dynamische Modell übertragen und von einem deprovisionierten Nutzer in Aktivität umbenannt.

Diese Erkennung ermöglicht es Ihnen zu erkennen, wann ein entlassener Mitarbeiter weiterhin Aktionen an Ihren SaaS-Apps ausführt. Da die Daten zeigen, dass das größte Risiko einer Insider-Bedrohung von Mitarbeitern ausgeht, die zu schlechten Bedingungen gegangen sind, ist es wichtig, die Aktivitäten von gekündigten Mitarbeitern auf Konten im Auge zu behalten. Manchmal werden Mitarbeiter, wenn sie ein Unternehmen verlassen, ihre Konten von Unternehmens-Apps deprovisioniert, aber in vielen Fällen behalten sie weiterhin Zugriff auf bestimmte Unternehmensressourcen. Dies ist noch wichtiger, wenn privilegierte Konten in Betracht gezogen werden, da der potenzielle Schaden, den ein ehemaliger Administrator anrichten kann, von Natur aus größer ist. Diese Erkennung nutzt die Fähigkeit des Defender for Cloud Apps, das Nutzerverhalten während der gesamten Apps zu überwachen, wodurch die regelmäßige Aktivität des Nutzers, die Tatsache, dass das Konto gelöscht wurde, und die tatsächliche Aktivität auf anderen Apps identifiziert werden können. Beispielsweise kann ein Mitarbeiter, dessen Microsoft Entra Konto gelöscht wurde, aber weiterhin Zugriff auf die AWS-Infrastruktur des Unternehmens hat, große Schäden verursachen.

Die Erkennung sucht nach Benutzern, deren Konten in Microsoft Entra ID gelöscht wurden, führt aber weiterhin Aktivitäten auf anderen Plattformen wie AWS oder Salesforce aus. Dies ist besonders für Benutzer relevant, die ein anderes Konto (nicht ihr primäres Konto für einmaliges Anmelden) zum Verwalten von Ressourcen verwenden, da diese Konten häufig nicht gelöscht werden, wenn ein Benutzer das Unternehmen verlässt.

Aktivität von verdächtigen IP-Adressen

Hinweis

Im Rahmen der kontinuierlichen Verbesserungen an Defender for Cloud Apps Warnungsbedrohungsschutzfunktionen wurde diese Richtlinie deaktiviert, zum neuen dynamischen Modell migriert und in Erfolgreiche Anmeldung von einer verdächtigen IP-Adresse und Aktivität von einer mit Kennwortspray verknüpften IP-Adresse umbenannt.

Diese Erkennung identifiziert, dass Benutzer über eine IP-Adresse aktiv waren, die von Microsoft Threat Intelligence als riskant identifiziert wurde. Diese IP-Adressen sind an schädlichen Aktivitäten beteiligt, z. B. der Durchführung von Kennwortsprays, Botnet C&C, und können auf ein kompromittiertes Konto hinweisen. Bei dieser Erkennung wird ein Machine Learning-Algorithmus verwendet, der "falsch positive Ergebnisse" reduziert, z. B. falsch markierte IP-Adressen, die häufig von Benutzern im organization verwendet werden.

Verdächtige Weiterleitung im Posteingang

Hinweis

Im Rahmen der kontinuierlichen Verbesserungen an Defender for Cloud Apps Warnungsbedrohungsschutzfunktionen wurde diese Richtlinie deaktiviert, zum neuen dynamischen Modell migriert und in verdächtige E-Mail-Weiterleitungsregel umbenannt, die von einer Drittanbieter-App erstellt wurde.

Diese Erkennung sucht nach verdächtigen E-Mail-Weiterleitungsregeln, z. B. wenn ein Benutzer eine Posteingangsregel erstellt hat, die eine Kopie aller E-Mails an eine externe Adresse weiterleitet.

Hinweis

Defender for Cloud Apps benachrichtigt Sie nur bei jeder Weiterleitungsregel, die basierend auf dem typischen Verhalten des Benutzers als verdächtig identifiziert wird.

Verdächtige Posteingangsmanipulationsregeln

Hinweis

Im Rahmen der kontinuierlichen Verbesserungen an Defender for Cloud Apps Warnungsbedrohungsschutzfunktionen wurde diese Richtlinie deaktiviert und zum neuen dynamischen Modell migriert.

Diese Erkennung erstellt ein Profil für Ihre Umgebung und löst Warnungen aus, wenn verdächtige Regeln zum Löschen oder Verschieben von Nachrichten oder Ordnern im Posteingang eines Benutzers festgelegt werden. Dies kann darauf hindeuten, dass das Konto des Benutzers kompromittiert ist, dass Nachrichten absichtlich ausgeblendet werden und dass das Postfach verwendet wird, um Spam oder Schadsoftware in Ihrem organization zu verteilen.

Verdächtige E-Mail-Löschaktivität (Vorschau)

Hinweis

Im Rahmen der laufenden Verbesserungen der Funktionen zum Schutz vor Bedrohungen durch Warnungen in Defender for Cloud Apps wurde diese Richtlinie deaktiviert, auf das neue dynamische Modell migriert und in Verdächtige E-Mail-Löschaktivitäten umbenannt.

Diese Richtlinie erstellt ein Profil für Ihre Umgebung und löst Warnungen aus, wenn ein Benutzer verdächtige E-Mail-Löschaktivitäten in einer einzigen Sitzung ausführt. Diese Richtlinie kann darauf hinweisen, dass die Postfächer eines Benutzers durch potenzielle Angriffsvektoren wie die Befehls- und Steuerungskommunikation (C&C/C2) über E-Mail kompromittiert werden können.

Hinweis

Defender for Cloud Apps integriert sich mit Microsoft Defender XDR, um Schutz für Exchange Online zu bieten, einschließlich URL-Detonation, Malware-Schutz und mehr. Sobald Defender für Microsoft 365 aktiviert ist, werden Warnungen im Defender for Cloud Apps Aktivitätsprotokoll angezeigt.

Verdächtige Herunterladenaktivitäten von OAuth-App-Dateien

Überprüft die OAuth-Apps, die mit Ihrer Umgebung verbunden sind, und löst eine Warnung aus, wenn eine App mehrere Dateien von Microsoft SharePoint oder Microsoft OneDrive auf eine weise herunterlädt, die für den Benutzer ungewöhnlich ist. Dies kann darauf hindeuten, dass das Benutzerkonto kompromittiert ist.

Ungewöhnlicher ISP für eine OAuth-App

Hinweis

Im Rahmen fortlaufender Verbesserungen der Funktionen zum Bedrohungsschutz für Warnungen in Defender for Cloud Apps wurde diese Richtlinie deaktiviert, auf das neue dynamische Modell migriert und in OAuth-Anwendungsaktivität von einem unbekannten ISP umbenannt.

Diese Richtlinie erstellt ein Profil für Ihre Umgebung und löst Warnungen aus, wenn eine OAuth-App von einem ungewöhnlichen ISP eine Verbindung mit Ihren Cloudanwendungen herstellt. Diese Richtlinie kann darauf hinweisen, dass ein Angreifer versucht hat, eine legitime kompromittierte App zu verwenden, um schädliche Aktivitäten in Ihren Cloudanwendungen auszuführen.

Ungewöhnliche Aktivitäten (nach Benutzer)

Diese Erkennungen identifizieren Benutzer, die Folgendes ausführen:

• Ungewöhnliche Aktivitäten zum Herunterladen mehrerer Dateien
• Ungewöhnliche Dateifreigabeaktivitäten
• Ungewöhnliche Dateilöschaktivitäten
• Ungewöhnliche Identitätswechsel
• Ungewöhnliche administrative Aktivitäten
• Ungewöhnliche Power BI-Berichtsfreigabeaktivitäten (Vorschau)
• Ungewöhnliche Aktivitäten zur Erstellung mehrerer VMs (Vorschau)
• Ungewöhnliche Aktivitäten zum Löschen mehrerer Speicher (Vorschau)
• Ungewöhnliche Region für Cloudressource (Vorschau)

Hinweis

Im Rahmen der kontinuierlichen Verbesserungen an Defender for Cloud Apps Warnungs-Bedrohungsschutzfunktionen wurde die Richtlinie mit dem Titel "Verdächtige Dateizugriffsaktivität (nach Benutzer)" deaktiviert, zum neuen dynamischen Modell migriert und in Verdächtiger Dateizugriff umbenannt, der auf laterale Verschiebung und verdächtigen Dateizugriff von nicht vertrauenswürdigem ISP und Benutzer-Agent mit böswilligem IP-Indikator hinweist.

Diese Richtlinien suchen nach Aktivitäten innerhalb einer einzigen Sitzung relativ zum erlernten Baseline, was auf einen Versuch eines Bruchs hinweisen könnte. Diese Erkennungen verwenden einen maschinellen Lernalgorithmus, der die Anmeldemuster der Nutzer analysiert und Fehlalarme reduziert. Die Erkennungen sind Teil der heuristischen Anomalie-Erkennungs-Engine, die Ihre Umgebung profiliert und Warnungen auslöst, basierend auf einer Basislinie aus der Aktivität Ihrer Organisation.

Mehrere fehlgeschlagene Anmeldeversuche

Diese Erkennung identifiziert Nutzer, die mehrere Anmeldeversuche in einer einzigen Sitzung im Verhältnis zum gelernten Ausgangspunkt nicht bestanden haben, was auf einen Versuch eines Bruchs hinweisen könnte.

Mehrere VM-Löschaktivitäten

Diese Richtlinie erstellt ein Profil für Ihre Umgebung und löst Warnungen aus, wenn Benutzer mehrere virtuelle Computer in einer einzigen Sitzung löschen, relativ zur Baseline in Ihrem organization. Dies kann auf einen versuchten Verstoß hinweisen.

Aktivieren der automatisierten Governance

Sie können automatisierte Korrekturaktionen für Warnungen aktivieren, die von Richtlinien zur Anomalieerkennung generiert werden.

1. Wählen Sie auf der Seite Richtlinien den Namen der Erkennungsrichtlinie aus .
2. Legen Sie im geöffneten Fenster Richtlinie zur Anomalieerkennung bearbeiten unter Governanceaktionen die gewünschten Korrekturaktionen für jede verbundene App oder für alle Apps fest.
3. Wählen Sie Aktualisieren aus.

Optimieren Sie Anomalieerkennungsrichtlinien

So beeinflussen Sie die Anomalieerkennungs-Engine, um Warnungen gemäß Ihren Vorlieben zu unterdrücken oder anzuzeigen:

In der Onmöglich-Reise-Richtlinie können Sie den Empfindlichkeitsregler einstellen, um das Maß an anomalem Verhalten zu bestimmen, das vor dem Auslösen einer Warnung erforderlich ist. Zum Beispiel unterdrückt eine niedrige oder mittlere Einstellung Unmögliche Reisewarnungen aus den üblichen Standorten eines Nutzers, während eine hohe Stufe solche Warnungen hervorruft. Sie können aus den folgenden Vertraulichkeitsstufen wählen:

• Niedrig: System-, Mandanten- und Benutzerunterdrückungen
• Mittel: System- und Benutzerunterdrückungen
• Hoch: Nur systemseitige Unterdrückungen

Dabei gilt:

Unterdrückungstyp	Beschreibung
System	Integrierte Erkennungen, die immer unterdrückt werden.
Mandant	Allgemeine Aktivitäten basierend auf früheren Aktivitäten im Mandanten. Beispielsweise das Unterdrücken von Aktivitäten eines ISP, über den in Ihrer Organisation zuvor bereits eine Warnung ausgegeben wurde.
Benutzer	Häufige Aktivitäten, die auf der früheren Aktivität des bestimmten Benutzers basieren. Beispielsweise das Ausblenden von Aktivitäten von einem Ort, den der Benutzer häufig verwendet.

Hinweis

Warnungen zu unmöglichen Reisen, Aktivitäten aus seltenen Ländern/Regionen, Aktivitäten von anonymen IP-Adressen und Aktivität von verdächtigen IP-Adressen gelten nicht für fehlgeschlagene Anmeldungen und nicht interaktive Anmeldungen.

Geltungsbereich von Anomalieerkennungsrichtlinien

Für jede Anomalie-Erkennungsrichtlinie kann ein unabhängiger Bereich eingestellt werden, damit sie nur für die Benutzer oder Gruppen angewendet wird, die Sie in der Richtlinie einschließen und ausschließen wollen. Beispielsweise können Sie die Erkennung von Aktivitäten aus seltenen Ländern/Regionen so festlegen, dass ein bestimmter Benutzer ignoriert wird, der häufig reist.

So legen Sie den Bereich einer Anomalie-Erkennungsrichtlinie fest:

1. Wechseln Sie im Microsoft Defender-Portal zurRichtlinienverwaltung für >>. Wählen Sie dann Richtlinie für die Anomalieerkennung als Richtlinientyp aus.

2. Wählen Sie die Richtlinie aus, die Sie einschränken möchten.

3. Ändern Sie unter Bereich die Dropdownliste von der Standardeinstellung Alle Benutzer und Gruppen in Bestimmte Benutzer und Gruppen.

4. Wählen Sie Include, um die Benutzer und Gruppen anzugeben, für die diese Richtlinie gilt. Benutzer oder Gruppen, die hier nicht ausgewählt sind, werden nicht als Bedrohung betrachtet und generieren keine Warnung.

5. Wählen Sie Ausschließen , um Benutzer anzugeben, für die diese Richtlinie nicht gilt. Alle hier ausgewählten Benutzer werden nicht als Bedrohung betrachtet und generieren keine Warnung, selbst wenn sie Mitglieder von Gruppen sind, die unter Einschließen ausgewählt sind.

   

Selektieren von Anomalieerkennungswarnungen

Sie können die verschiedenen Warnungen, die von den neuen Richtlinien für die Anomalieerkennung ausgelöst werden, schnell selektieren und entscheiden, welche zuerst berücksichtigt werden müssen. Dazu benötigen Sie den Kontext für die Warnung, damit Sie das ganze Bild sehen und verstehen können, ob tatsächlich etwas Böswilliges geschieht.

1. Im Aktivitätsprotokoll können Sie eine Aktivität öffnen, um die Aktivitätsschublade anzuzeigen. Wählen Sie Benutzer aus, um die Registerkarte "Benutzererkenntnisse" anzuzeigen. Diese Registerkarte enthält Informationen wie die Anzahl von Warnungen, Aktivitäten und deren Verbindung, was für eine Untersuchung wichtig ist.

   

2. Bei malware-infizierten Dateien kann man nach der Erkennung einer Liste der infizierten Dateien sehen. Wählen Sie den Namen der Malware-Datei in der Dateischublade aus, um einen Bericht mit Informationen zum Malware-Typ zu öffnen.

Nächste Schritte

Bewährte Methoden zum Schutz Ihrer organization

Wenn Probleme auftreten, helfen wir Ihnen gerne weiter. Um Unterstützung oder Support für Ihr Produktproblem zu erhalten, öffnen Sie ein Supportticket.