Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Microsoft Defender for Cloud Apps und Microsoft Defender for Cloud verwenden einen Datentyp namens Verhaltensweisen, um anomale Nutzeraktivitäten zu erkennen und zu untersuchen, die nicht unbedingt auf eine Kompromittierung hinweisen. Im Gegensatz zu Anomalieerkennungen, die sich auf problematische Sicherheitsszenarien konzentrieren, liefern Verhaltensweisen kontextuelle Einblicke in Nutzerhandlungen, die eine weitere Überprüfung rechtfertigen könnten.
In diesem Artikel wird beschrieben, wie Sie das Verhalten von Defender for Cloud Apps und Defender for Cloud mit dem erweiterten Hunting in Microsoft Defender untersuchen.
Möchten Sie Feedback teilen? Füllen Sie unser Feedbackformular für Defender for Cloud Apps Verhalten aus!
Was ist ein Verhalten?
MITRE ATT&CK ist ein Rahmenwerk, das Taktiken und Methoden der Gegner klassifiziert. Verhaltensweisen sind den MITRE ATT&CK-Kategorien und -Techniken zugeordnet und bieten ein tieferes Verständnis eines Ereignisses als die Rohdaten des Ereignisses. Verhaltensdaten liegen zwischen unformatierten Ereignisdaten und den von einem Ereignis generierten Warnungen.
Obwohl Verhaltensweisen mit Sicherheitsszenarien zusammenhängen, sind sie nicht notwendigerweise ein Zeichen für schädliche Aktivitäten oder einen Sicherheitsvorfall. Jedes Verhalten basiert auf einem oder mehreren rohen Ereignissen und liefert kontextuelle Einblicke in die Nutzer- oder Systemaktivität, die zu einem bestimmten Zeitpunkt stattfand, basierend auf Informationen, die Defender for Cloud Apps gelernt oder identifiziert hat.
Wichtig
Ab März 2025 können Kunden von Defender for Cloud Apps den Geltungsbereich der rollenbasierten Zugriffssteuerung (RBAC) für „Verhaltensweisen“ konfigurieren. Mit dieser neuen Funktion können Administratoren Zugriffsberechtigungen präziser definieren und verwalten. Administratoren können sicherstellen, dass Benutzer basierend auf ihren Rollen und Zuständigkeiten über die entsprechende Ebene des Zugriffs auf bestimmte Anwendungsdaten verfügen. Weitere Informationen finden Sie unter Verwalten des Administratorzugriffs in Microsoft Defender for Cloud Apps.
Unterstützte Erkennungen
Verhaltensweisen unterstützen derzeit Erkennungen mit geringer Genauigkeit, Defender for Cloud Apps und Defender for Cloud, die möglicherweise nicht dem Standard für Warnungen entsprechen, aber dennoch nützlich sind, um Kontext während einer Untersuchung bereitzustellen. Zu den derzeit unterstützten Erkennungen gehören:
| Warnungsname | Richtlinienname | ActionType (Jagd) |
|---|---|---|
| Aktivität aus seltenen Ländern | Aktivität aus seltenen Ländern/Regionen | Aktivität aus einem seltenen Land |
| Unmögliche Reiseaktivität | Unmögliche Reise | ImpossibleTravelActivity |
| Massenlöschen | Ungewöhnliche Dateilöschaktivität (nach Benutzer) | MassDelete |
| Massendownload | Ungewöhnlicher Dateidownload (nach Benutzer) | MassDownload |
| Massenanteil | Ungewöhnliche Dateifreigabeaktivität (nach Benutzer) | MassShare |
| Mehrere VM-Löschaktivitäten | Mehrere VM-Löschaktivitäten | Mehrere VM-Löschaktivitäten |
| Mehrere fehlgeschlagene Anmeldeversuche | Mehrere fehlgeschlagene Anmeldeversuche | Mehrere fehlgeschlagene Anmeldeversuche |
| Aktivitäten zum Teilen mehrerer Power BI-Berichte | Aktivitäten zur Freigabe mehrerer Power BI-Berichte | Mehrere Aktivitäten zum Teilen von Power BI-Berichten |
| Mehrere VM-Erstellungsaktivitäten | Mehrere VM-Erstellungsaktivitäten | Aktivitäten zur Erstellung mehrerer VMs |
| Verdächtige administrative Aktivität | Ungewöhnliche administrative Aktivität (nach Benutzer) | Verdächtige Administratoraktivität |
| Verdächtige Aktivität durch Identitätsanmaßung | Ungewöhnliche Aktivität mit Identitätsdiebstahl (durch Benutzer) | SuspiciousImpersonatedActivity |
| Verdächtige Herunterladenaktivitäten von OAuth-App-Dateien | Verdächtige Herunterladenaktivitäten von OAuth-App-Dateien | Verdächtige Dateidownloadaktivitäten von OAuth-Apps |
| Freigabe verdächtiger Power BI-Berichte | Freigabe verdächtiger Power BI-Berichte | SuspiciousPowerBiReportSharing |
| Ungewöhnliches Hinzufügen von Anmeldeinformationen zu einer OAuth-App | Ungewöhnliches Hinzufügen von Anmeldeinformationen zu einer OAuth-App | UngewöhnlichesHinzufügenVonAnmeldeinformationenZuEinerOAuth-App |
Hinweis
"Mehrere VM-Erstellungsaktivitäten" und "Mehrere VM-Löschaktivitäten" werden im Mai 2026 eingestellt. Nach ablauf der Deaktivierung werden diese Verhaltensweisen nicht mehr generiert und stehen nicht für die Suche, benutzerdefinierte Erkennungen oder Korrelation in Microsoft Defender zur Verfügung. Datensätze, die vor dem Ablaufdatum generiert wurden, werden gemäß der Standardrichtlinie für die Datenaufbewahrung aufbewahrt.
Der Übergang von Defender for Cloud Apps von Warnungen zu Verhaltensweisen
Um die Qualität der von Defender for Cloud Apps generierten Warnungen zu verbessern und die Anzahl falsch positiver Ergebnisse zu verringern, wandelt Defender for Cloud Apps derzeit Sicherheitsinhalte von Warnungen in Verhaltensweisen um.
Der Übergang von Sicherheitsinhalten von Defender for Cloud Apps von Warnungen zu Verhaltensweisen zielt darauf ab, Richtlinien aus Warnungen zu entfernen, die niedrige Erkennungen liefern, während gleichzeitig Sicherheitsszenarien geschaffen werden, die sich auf Erkennungen aus der Box-Reihe konzentrieren. Parallel sendet Defender for Cloud Apps Verhaltensweisen, die Sie bei Ihren Untersuchungen unterstützen.
Der Übergangsprozess von Warnungen zu Verhalten umfasst die folgenden Phasen:
(Vollständig) Defender for Cloud Apps sendet Verhaltensweisen parallel zu Warnungen.
(Vollständig) Richtlinien, die Verhaltensweisen generieren, sind jetzt standardmäßig deaktiviert und senden keine Warnungen.
Wechseln Sie zu einem in der Cloud verwalteten Erkennungsmodell, und entfernen Sie kundenorientierte Richtlinien vollständig. Die cloud-managed-Detektionsmodell-Phase ist so geplant, dass sowohl individuelle Erkennungen als auch ausgewählte Warnungen bereitgestellt werden, die von internen Richtlinien für hochpräzise, sicherheitsorientierte Szenarien erzeugt werden.
Der Übergang zu Verhaltensweisen umfasst auch Verbesserungen für unterstützte Verhaltenstypen und Anpassungen für richtliniengenerierte Warnungen, um eine optimale Genauigkeit zu erzielen.
Hinweis
Die Planung der cloudverwalteten Erkennungsmodellphase ist unbestimmt. Kunden werden über alle Änderungen über Benachrichtigungen im Nachrichtencenter benachrichtigt.
Weitere Informationen finden Sie unter Transformieren der Art der Untersuchung mithilfe von Verhalten und neuen Erkennungen.
Verwenden von Verhaltensweisen in der erweiterten Suche von Microsoft Defender XDR
Greifen Sie auf der Seite Advanced hunting im Defender-Portal auf Verhaltensweisen zu, und verwenden Sie Verhaltensweisen, indem Sie Verhaltenstabellen abfragen und benutzerdefinierte Erkennungsregeln erstellen, die Verhaltensdaten enthalten.
Verhaltensdaten sind in zwei Tabellen verfügbar: BehaviorInfo und BehaviorEntities. Ihr Schema ähnelt dem Schema der AlertInfo-Tabelle. Die folgende Tabelle beschreibt jede Verhaltenstabelle:
| Tabellenname | Beschreibung |
|---|---|
| BehaviorInfo | Erfassen Sie für jedes Verhalten die zugehörigen Metadaten, einschließlich Verhaltenstitel, MITRE-ATT&CK-Kategorien und Techniken. |
| VerhaltenEntitäten | Informationen zu den Entitäten, die Teil des Verhaltens waren. Dies kann mehrere Datensätze pro Verhalten sein. |
Um vollständige Informationen zu einem Verhalten und seinen Entitäten zu erhalten, verwenden Sie BehaviorId als Primärschlüssel für den Join. Die folgende Abfrage sucht ein bestimmtes Verhalten nach ID und verknüpft es mit verwandten Entitäten, sodass Sie alle zugehörigen Artefakte inspizieren können:
BehaviorInfo
| where BehaviorId == "INSERT VALUE"
| join BehaviorEntities on BehaviorId
Beispielszenarien
Dieser Abschnitt enthält Beispielszenarien für die Verwendung von Verhaltensdaten auf der Seite Defender Portal "Erweiterte Bedrohungssuche" und relevante Codebeispiele.
Tipp
Erstellen Sie Microsoft Defender XDR benutzerdefinierte Erkennungsregeln für alle Erkennungen, die weiterhin als Warnung angezeigt werden sollen, wenn eine Warnung nicht mehr standardmäßig generiert wird.
Benachrichtigungen für Massen-Downloads erhalten
Szenario: Sie möchten benachrichtigt werden, wenn ein Massendownload von einem bestimmten Benutzer oder einer Liste von Benutzern durchgeführt wird, die anfällig für Kompromittierung oder für interne Risiken sind.
Dazu erstellen Sie eine benutzerdefinierte Erkennungsregel basierend auf der folgenden Abfrage. Die Abfragefilter für MassDownload Verhaltensentitäten, die mit bestimmten Benutzerkonten verknüpft sind, helfen Ihnen, potenzielle Datenexfiltrationsaktivitäten zu untersuchen:
BehaviorEntities
| where ActionType == "MassDownload"
| where EntityType == “User” and AccountName in (“username1”, “username2”… )
Weitere Informationen finden Sie unter Erstellen und Verwalten von benutzerdefinierten Erkennungsregeln in Microsoft Defender.
100 letzte Verhaltensweisen abfragen
Szenario: Sie möchten 100 aktuelle Verhaltensweisen im Zusammenhang mit der MITRE-Angriffstechnik Gültige Konten (T1078) abfragen.
Um die neuesten Verhaltensweisen im Zusammenhang mit der Technik Valid Accounts (T1078) zu überprüfen, führen Sie die folgende Abfrage aus. Es zeigt die 100 aktuellsten Matching-Verhaltensweisen zurück und hilft Ihnen, potenzielle Qualifikations-basierte Bedrohungen zu identifizieren:
BehaviorInfo
| where AttackTechniques has "Valid Accounts (T1078)"
| order by Timestamp desc
| take 100
Untersuchen von Verhaltensweisen für einen bestimmten Benutzer
Szenario: Wenn Sie vermuten, dass ein Benutzer möglicherweise kompromittiert wurde, untersuchen Sie alle zugehörigen Verhaltensweisen für diesen Benutzer.
Verwenden Sie die folgende Abfrage, um Verhaltensweisen zu finden, die von Microsoft Cloud App Security für ein bestimmtes Benutzerkonto gemeldet wurden. Die Abfrage filtert nach Dienstquelle und Konto-UPN und fügt dann verwandte Entitäten hinzu, um einen vollständigen Überblick über die Verhaltensaufzeichnungen des Benutzers zu erhalten. Ersetzen Sie den Benutzernamen durch den Namen des Benutzers, den Sie untersuchen möchten:
BehaviorInfo
| where ServiceSource == "Microsoft Cloud App Security"
| where AccountUpn == "*username*"
| join BehaviorEntities on BehaviorId
| project Timestamp, BehaviorId, ActionType, Description, Categories, AttackTechniques, ServiceSource, AccountUpn, AccountObjectId, EntityType, EntityRole, RemoteIP, AccountName, AccountDomain, Application
Untersuchen von Verhaltensweisen für eine bestimmte IP-Adresse
Szenario: Untersuchen Sie alle Verhaltensweisen, bei denen eine der Entitäten eine verdächtige IP-Adresse ist.
Um Aktivitäten zu verfolgen, die mit einer verdächtigen IP-Adresse verbunden sind, verwenden Sie die folgende Abfrage, um Verhaltensentitäten nach Abgleich entfernter IP-Werte zu suchen. Die Abfrage findet alle Verhaltensweisen, die mit der angegebenen IP-Adresse verbunden sind, sodass Sie verwandte Benutzeraktionen und -entitäten identifizieren können. Ersetzen Sie verdächtige IP durch die IP-Adresse, die Sie untersuchen möchten.
BehaviorEntities
| where EntityType == "Ip"
| where RemoteIP == "*suspicious IP*"
| where ServiceSource == "Microsoft Cloud App Security"
| project Timestamp, BehaviorId, ActionType, Categories, ServiceSource, AccountUpn, AccountObjectId, EntityType, EntityRole, RemoteIP, AccountName, AccountDomain
Nächste Schritte
Weitere Informationen zu Verhalten und verwandten Untersuchungen finden Sie in den folgenden Ressourcen:
- Transformieren Sie die Art der Untersuchung mithilfe von Verhaltensweisen und neuen Erkennungen
- Tutorial: Erkennen verdächtiger Benutzeraktivitäten mit Verhaltensanalysen
Wenn Probleme auftreten, helfen wir Ihnen gerne weiter. Um Unterstützung oder Support für Ihr Produktproblem zu erhalten, öffnen Sie ein Supportticket.