So untersuchen Sie Warnmeldungen zur Anomalieerkennung

Microsoft Defender for Cloud Apps bietet Sicherheitserkennungen und Warnungen für schädliche Aktivitäten. Der Zweck dieses Leitfadens ist es, Ihnen allgemeine und praktische Informationen zu jeder Benachrichtigung zu geben, um Sie bei Ihren Untersuchungs- und Behebungsaufgaben zu unterstützen. In diesem Leitfaden eingeschlossen sind allgemeine Informationen über die Bedingungen für das Auslösen von Benachrichtigungen. Es ist jedoch wichtig zu beachten, dass Anomalieerkennungen von Natur aus nicht deterministisch sind, sie nur ausgelöst werden, wenn ein Verhalten vorliegt, das von der Norm abweicht. Schließlich sind einige Warnungen möglicherweise noch in der Vorschau, daher sollten Sie regelmäßig die offizielle Dokumentation auf den aktuellen Warnungsstatus prüfen.

Wichtig

Ab Juni 2025 hat Microsoft Defender for Cloud Apps damit begonnen, Richtlinien zur Anomalieerkennung auf ein dynamisches Bedrohungserkennungsmodell umzustellen. Dieses Modell passt die Erkennungslogik automatisch an die sich entwickelnde Bedrohungslandschaft an und hält Die Erkennungen ohne manuelle Konfiguration oder Richtlinienupdates auf dem neuesten Stand. Im Rahmen dieser Verbesserungen an der Gesamtsicherheit und zur Bereitstellung genauerer und rechtzeitiger Warnungen werden die Legacyrichtlinien auf der Seite "Richtlinienverwaltung" deaktiviert.

Sie erhalten weiterhin den gleichen Schutzstandard, ohne Ihre vorhandene Sicherheitsabdeckung zu unterbrechen. Es ist keine Aktion von Ihrer Seite erforderlich.

MITRE ATT&CK-Abdeckung für Anomalieerkennungswarnungen

Um die Beziehung zwischen Defender for Cloud Apps Warnungen und der vertrauten MITRE ATT&CK-Matrix zu erläutern und zu vereinfachen, haben wir die Warnungen nach ihrer entsprechenden MITRE ATT&CK-Taktik kategorisiert. Dieser MITRE ATT& CK-Mapping erleichtert es, die möglicherweise verwendete vermutete Angriffstechnik zu verstehen, wenn ein Defender for Cloud Apps-Alarm ausgelöst wird.

Dieser Leitfaden bietet Informationen zur Untersuchung und Behebung von Defender for Cloud Apps-Warnungen in den folgenden MITRE ATT& CK-Taktikkategorien:

Klassifizierungen der Sicherheitsbenachrichtigungen

Nach einer ordnungsgemäßen Untersuchung können alle Defender for Cloud Apps Warnungen als einer der folgenden Aktivitätstypen klassifiziert werden:

  • True Positive (TP): Eine Warnung zu einer bestätigten schädlichen Aktivität.
  • Benigner True Positive (B-TP): Eine Warnung zu verdächtigen, aber nicht bösartigen Aktivitäten, z. B. einem Penetrationstest oder einer anderen autorisierten verdächtigen Handlung.
  • Falsch positiv (False Positive, FP): Eine Warnung bei einer nicht bösartigen Aktivität.

Allgemeine Untersuchungsschritte

Sie sollten die folgenden allgemeinen Richtlinien verwenden, wenn Sie jede Art von Warnung untersuchen, um ein besseres Verständnis der potenziellen Bedrohung zu erhalten, bevor Sie die empfohlene Aktion anwenden.

  • Wenn Sie ein TP identifizieren, überprüfen Sie alle Aktivitäten des Benutzers, um ein Verständnis der Auswirkungen zu erhalten.
  • Überprüfen Sie alle Benutzeraktivitäten auf andere Gefährdungsindikatoren, und untersuchen Sie die Quelle und den Umfang der Auswirkungen. Überprüfen Sie beispielsweise die folgenden Benutzergeräteinformationen, und vergleichen Sie sie mit bekannten Geräteinformationen:
    • Betriebssystem und Version
    • Browser und Version
    • IP-Adresse und Standort

Warnungen zum Erstzugriff: Erkennen von Versuchen, Fuß zu fassen

Die Warnungen für den anfänglichen Zugriff weisen darauf hin, dass ein böswilliger Akteur möglicherweise versucht, eine erste Fußzeile in Ihrer Organisation zu erlangen.

Aktivität von anonymer IP-Adresse

Hinweis

Im Rahmen der kontinuierlichen Verbesserungen an Defender for Cloud Apps Warnungsbedrohungsschutzfunktionen wurde diese Richtlinie deaktiviert, zum neuen dynamischen Modell migriert und in Aktivität von einer TOR-IP-Adresse und anonymen Proxyaktivität umbenannt.

Beschreibung

Aktivität von einer IP-Adresse aus, die von Microsoft Threat Intelligence oder Ihrer Organisation als anonyme Proxy-IP-Adresse identifiziert wurde. Diese Proxys können verwendet werden, um die IP-Adresse eines Geräts auszublenden, und sie können für schädliche Aktivitäten verwendet werden.

TP, B-TP oder FP?

Die anonyme Proxy-Erkennung verwendet einen maschinellen Lernalgorithmus, der B-TP-Vorfälle reduziert, wie etwa falsch markierte IP-Adressen, die von den Nutzern in der Organisation weit verbreitet genutzt werden.

  1. TP: Wenn Sie bestätigen können, dass die Aktivität über eine anonyme oder TOR-IP-Adresse ausgeführt wurde.

    Empfohlene Aktion: Sperren Sie den Benutzer, markieren Sie den Benutzer als kompromittiert, und setzen Sie sein Kennwort zurück.

  2. B-TP: Wenn einem Benutzer bekannt ist, dass er anonyme IP-Adressen im Rahmen seiner Aufgaben verwendet. Zum Beispiel, wenn ein Sicherheitsanalyst Sicherheitstests oder Penetrationstests im Auftrag der Organisation durchführt.

    Empfohlene Aktion: Schließen Sie die Benachrichtigung.

Verständnis des Umfangs der Sicherheitsverletzung

Aktivität aus einem ungewöhnlichen Land

Aktivität aus einem Land/einer Region, die auf schädliche Aktivitäten hinweisen könnte. Diese Richtlinie erstellt ein Profil für Ihre Umgebung und löst Warnungen aus, wenn Aktivitäten von einem Ort erkannt werden, der nicht vor kurzem oder nie von einem Benutzer im organization besucht wurde.

Die Richtlinie kann weiter auf eine Teilmenge von Benutzern beschränkt werden oder Benutzer ausschließen, von denen bekannt ist, dass sie an entfernte Standorte reisen.

Lernzeit

Die Erkennung von seltenen Ländern benötigt Zeit, um normale Standortmuster zu erkennen, bevor sie genau alarmieren kann. Das Erkennen anomaler Standorte erfordert einen anfänglichen Lernzeitraum von sieben Tagen, in dem keine Warnungen für neue Standorte ausgelöst werden.

TP, B-TP oder FP?

  1. TP: Wenn Sie bestätigen können, dass die Aktivität nicht von einem legitimen Benutzer ausgeführt wurde.

    Empfohlene Aktion:

    1. Sperren Sie den Benutzer, setzen Sie sein Kennwort zurück, und identifizieren Sie den richtigen Zeitpunkt, um das Konto sicher wieder zu aktivieren.
    2. Optional: Erstellen Sie ein Playbook mit Power Automate, um Benutzer zu kontaktieren, die von seltenen Standorten aus eine Verbindung hergestellt haben, und deren Vorgesetzten, um ihre Aktivitäten zu überprüfen.

  2. B-TP: Wenn bekannt ist, dass sich ein Nutzer im im Alarm genannten Land oder Region befindet. Beispielsweise, wenn ein Benutzer, der häufig reist und sich derzeit am angegebenen Standort befindet.

    Empfohlene Aktion:

    1. Schließen Sie die Warnung, und ändern Sie die Richtlinie, um den Benutzer auszuschließen.
    2. Erstellen sie eine Benutzergruppe für Vielreisende, importieren Sie die Gruppe in Defender for Cloud Apps, und schließen Sie die Benutzer von dieser Warnung aus.
    3. Optional: Erstellen Sie ein Playbook mit Power Automate, um Benutzer zu kontaktieren, die von seltenen Standorten aus eine Verbindung hergestellt haben, und deren Vorgesetzten, um ihre Aktivitäten zu überprüfen.

Verständnis des Umfangs der Sicherheitsverletzung

  • Überprüfen Sie, welche Ressource möglicherweise kompromittiert wurde, z. B. potenzielle Datendownloads.

Aktivität von verdächtigen IP-Adressen

Hinweis

Im Rahmen der kontinuierlichen Verbesserungen an Defender for Cloud Apps Warnungsbedrohungsschutzfunktionen wurde diese Richtlinie deaktiviert, zum neuen dynamischen Modell migriert und in Erfolgreiche Anmeldung von einer verdächtigen IP-Adresse umbenannt.

Aktivität von einer IP-Adresse, die von Microsoft Threat Intelligence oder Ihrer Organisation als riskant eingestuft wurde. Diese IP-Adressen wurden als an schädlichen Aktivitäten beteiligt identifiziert, etwa an Password-Spraying-Angriffen und Botnet-Kommando-und-Kontrollaktivitäten (C&C), und können auf ein kompromittiertes Konto hindeuten.

TP, B-TP oder FP?

  1. TP: Wenn Sie bestätigen können, dass die Aktivität nicht von einem legitimen Benutzer ausgeführt wurde.

    Empfohlene Aktion: Sperren Sie den Benutzer, markieren Sie den Benutzer als kompromittiert, und setzen Sie sein Kennwort zurück.

  2. B-TP: Wenn ein Benutzer bekannt ist, dass er die IP-Adresse im Rahmen seiner Aufgaben verwendet. Zum Beispiel, wenn ein Sicherheitsanalyst Sicherheitstests oder Penetrationstests im Auftrag der Organisation durchführt.

    Empfohlene Aktion: Schließen Sie die Benachrichtigung.

Verständnis des Umfangs der Sicherheitsverletzung

  1. Überprüfen Sie das Aktivitätsprotokoll, und suchen Sie nach Aktivitäten von derselben IP-Adresse.
  2. Überprüfen Sie, welche Ressource möglicherweise kompromittiert wurde, z. B. potenzielle Datendownloads oder administrative Änderungen.
  3. Erstellen Sie eine Gruppe für Sicherheitsanalysten, die diese Warnungen freiwillig auslösen, und schließen Sie sie aus der Richtlinie aus.

Unmögliches Reisen

Aktivität desselben Benutzers an unterschiedlichen Standorten innerhalb eines Zeitraums, der kürzer ist als die erwartete Reisezeit zwischen den beiden Standorten. Dies kann auf eine Verletzung der Anmeldeinformationen hindeuten. Es ist jedoch auch möglich, dass der tatsächliche Standort des Benutzers maskiert wird, z. B. mithilfe eines VPN.

Um die Genauigkeit und Warnung nur zu verbessern, wenn ein starker Hinweis auf eine Sicherheitsverletzung vorliegt, richtet Defender for Cloud Apps eine Baseline für jeden Benutzer im organization ein und warnt nur, wenn das ungewöhnliche Verhalten erkannt wird. Die unmögliche Reiserichtlinie kann auf Ihre Anforderungen abgestimmt werden.

Lernzeit

Die Erkennung von Unmöglichem Reisen benötigt eine erste Beobachtungsperiode, um normale Reisemuster für jeden Nutzer festzulegen. Das Einrichten des Aktivitätsmusters eines neuen Benutzers erfordert einen anfänglichen Lernzeitraum von sieben Tagen, in dem keine Warnungen für neue Standorte ausgelöst werden.

TP, B-TP oder FP?

Die Erkennung der Unmöglichen Reise verwendet einen Machine-Learning-Algorithmus, der offensichtliche B-TP-Bedingungen ignoriert, wie zum Beispiel, wenn die IP-Adressen auf beiden Seiten der Reise als sicher gelten, die Reise vertrauenswert ist und von der Auslösung der Unmöglich-Reise-Erkennung ausgeschlossen wird. Beispielsweise gelten beide Seiten als sicher, wenn sie als Unternehmen gekennzeichnet sind. Wenn jedoch die IP-Adresse nur einer Seite der Reise als sicher gilt, wird die Erkennung normal ausgelöst.

  1. TP: Wenn Sie bestätigen können, dass der Ort in der Warnung zum unmöglichen Ortswechsel für den/die Benutzer*in unwahrscheinlich ist.

    Empfohlene Aktion: Sperren Sie den Benutzer, markieren Sie den Benutzer als kompromittiert, und setzen Sie sein Kennwort zurück.

  2. FP (Undetected user travel): Wenn Sie bestätigen können, dass der Benutzer kürzlich zu dem in der Warnung beschriebenen Ziel gereist ist. Beispiel: Das Telefon eines Benutzers, das sich im Flugzeugmodus befindet, bleibt mit Diensten wie Exchange Online in Ihrem Unternehmensnetzwerk verbunden, während er an einen anderen Ort reist. Wenn der Benutzer am neuen Standort eintrifft, stellt das Telefon eine Verbindung mit Exchange Online her, wodurch die Warnung zu einer unmöglichen Reise ausgelöst wird.

    Empfohlene Aktion: Schließen Sie die Benachrichtigung.

  3. FP (Untagged VPN): Wenn Sie bestätigen können, dass der IP-Adressbereich von einem sanktionierten VPN stammt.

    Empfohlene Aktion: Schließen Sie die Warnung, fügen Sie den IP-Adressbereich des VPN zu Defender for Cloud Apps hinzu, und verwenden Sie ihn dann, um den IP-Adressbereich des VPN zu markieren.

Verständnis des Umfangs der Sicherheitsverletzung

  1. Überprüfen Sie das Aktivitätsprotokoll, um ein Verständnis für ähnliche Aktivitäten am gleichen Standort und an derselben IP-Adresse zu erhalten.
  2. Wenn Sie sehen, dass der Benutzer andere riskante Aktivitäten ausgeführt hat, z. B. das Herunterladen einer großen Menge von Dateien von einem neuen Speicherort, wäre dies ein starker Hinweis auf eine mögliche Kompromittierung.
  3. Fügen Sie Unternehmens-VPN- und IP-Adressbereiche hinzu.
  4. Erstellen Sie mithilfe von Power Automate ein Playbook, und wenden Sie sich an den Vorgesetzten des Benutzers, um festzustellen, ob der Benutzer rechtmäßig unterwegs ist.
  5. Erwägen Sie die Erstellung einer Datenbank für bekannte Reisende für die aktuelle Reiseberichterstattung der Organisation und nutzen Sie diese, um Reiseaktivitäten abzugleichen.

Irreführender OAuth-App-Name

Die irreführende OAuth-App-Namenserkennung identifiziert Apps mit Zeichen, wie Fremdbuchstaben, die lateinischen Buchstaben ähneln. Dies kann auf den Versuch hinweisen, eine schädliche App als bekannte und vertrauenswürdige App zu tarnen, sodass Angreifer Benutzer zum Herunterladen ihrer schädlichen App täuschen können.

TP, B-TP oder FP?

  1. TP: Wenn Sie bestätigen können, dass die App einen irreführenden Namen hat.

    Empfohlene Aktion: Überprüfen Sie die Berechtigungsebene, welche diese App angefordert hat, und welche Benutzer den Zugriff gewährten. Sie können basierend auf Ihrer Untersuchung entscheiden, den Zugriff auf diese App zu verbieten.

Um den Zugriff auf die App zu sperren, wählen Sie auf den Registerkarten Google oder Salesforce auf der Seite App-Governance in der Zeile, in der die zu sperrende App angezeigt wird, das Symbol "Sperren" aus. – Sie können auswählen, ob Sie benutzern mitteilen möchten, dass die App, die sie installiert und autorisiert haben, gesperrt wurde. Die Benachrichtigung informiert Benutzer darüber, dass die App deaktiviert ist und sie keinen Zugriff auf die verbundene App haben. Wenn diese Personen es nicht erfahren sollen, heben Sie im Dialogfeld die Auswahl von Benutzer benachrichtigen, die Zugriff auf diese gesperrte App gewährt haben auf. – Es wird empfohlen, die Nutzer der App darüber zu informieren, dass ihre App bald gesperrt wird.

  1. FP: Wenn Sie bestätigen möchten, dass die App einen irreführenden Namen hat, aber eine legitime geschäftliche Verwendung in der Organisation hat.

    Empfohlene Aktion: Schließen Sie die Benachrichtigung.

Verständnis des Umfangs der Sicherheitsverletzung

Irreführender Herausgebername für eine OAuth-App

Die irreführende Namenserkennung der Verlage identifiziert Apps mit Zeichen, wie Fremdbuchstaben, die lateinischen Buchstaben ähneln. Dies kann auf den Versuch hinweisen, eine schädliche App als bekannte und vertrauenswürdige App zu tarnen, sodass Angreifer Benutzer zum Herunterladen ihrer schädlichen App täuschen können.

TP, B-TP oder FP?

  1. TP: Wenn Sie bestätigen können, dass die App über einen irreführenden Herausgebernamen verfügt.

    Empfohlene Aktion: Überprüfen Sie die Berechtigungsebene, welche diese App angefordert hat, und welche Benutzer den Zugriff gewährten. Sie können basierend auf Ihrer Untersuchung entscheiden, den Zugriff auf diese App zu verbieten.

  2. FP: Wenn Sie bestätigen möchten, dass die App einen irreführenden Herausgebernamen hat, aber ein legitimer Herausgeber ist.

    Empfohlene Aktion: Schließen Sie die Benachrichtigung.

Verständnis des Umfangs der Sicherheitsverletzung

  1. Wählen Sie auf den Registerkarten Google oder Salesforce auf der Seite App-Governance die App aus, um die App-Schublade zu öffnen, und wählen Sie dann Verwandte Aktivität aus. Dadurch wird die Seite Aktivitätsprotokoll geöffnet, die nach Aktivitäten gefiltert ist, die von der App ausgeführt werden. Beachten Sie, dass einige Apps Aktivitäten ausführen, die als von einem Benutzer ausgeführt registriert wurden. Diese Aktivitäten werden automatisch aus den Ergebnissen im Aktivitätsprotokoll herausgefiltert. Weitere Informationen zur Verwendung des Aktivitätsprotokolls finden Sie unter Aktivitätsprotokoll.
  2. Wenn Sie vermuten, dass eine App verdächtig ist, empfehlen wir Ihnen, den Namen und Herausgeber der App in verschiedenen App-Stores zu untersuchen. Wenn Sie App-Stores überprüfen, konzentrieren Sie sich auf die folgenden Typen von Apps:
    • Apps mit einer geringen Anzahl von Downloads.
    • Apps mit niedriger Bewertung, geringer Punktzahl oder schlechten Kommentaren.
    • Apps mit einem verdächtigen Herausgeber oder einer verdächtigen Website.
    • Apps, die in der letzten Zeit nicht aktualisiert wurden. Dies kann auf eine App hinweisen, die nicht mehr unterstützt wird.
    • Apps, die über irrelevante Berechtigungen verfügen. Dies kann darauf hindeuten, dass eine App riskant ist.
  3. Wenn Sie immer noch vermuten, dass eine App verdächtig ist, können Sie den App-Namen, den Herausgeber und die URL online recherchieren.

Persistenzwarnungen: Versuche erkennen, den Zugriff aufrechtzuerhalten

Die Persistenzwarnungen deuten darauf hin, dass ein böswilliger Akteur möglicherweise versucht, seinen Zugriff in Ihrer Organisation beizubehalten.

Aktivität, die vom gekündigten Benutzer ausgeführt wurde

Aktivitäten, die von einem beendeten Benutzer ausgeführt werden, können darauf hindeuten, dass ein gekündigter Mitarbeiter, der noch Zugriff auf Unternehmensressourcen hat, versucht, eine schädliche Aktivität auszuführen. Defender for Cloud Apps erstellt Benutzerprofile in der Organisation und löst eine Warnung aus, wenn ein deaktivierter Benutzer eine Aktivität ausführt.

TP, B-TP oder FP?

  1. TP: Wenn Sie bestätigen können, dass der beendete Benutzer weiterhin Zugriff auf bestimmte Unternehmensressourcen hat und Aktivitäten ausführt.

    Empfohlene Aktion: Deaktivieren Sie den Benutzer.

  2. B-TP: Wenn Sie feststellen können, dass der Benutzer vorübergehend deaktiviert oder gelöscht und erneut registriert wurde.

    Empfohlene Aktion: Schließen Sie die Benachrichtigung.

Verständnis des Umfangs der Sicherheitsverletzung

  1. Personaldatensätze abgleichen, um zu bestätigen, dass das Beschäftigungsverhältnis des Benutzers beendet wurde.

  2. Überprüfen Sie, ob das Microsoft Entra Benutzerkonto vorhanden ist.

    Hinweis

    Wenn Sie Microsoft Entra Connect verwenden, überprüfen Sie das lokales Active Directory-Objekt, und bestätigen Sie einen erfolgreichen Synchronisierungszyklus.

  3. Identifizieren Sie alle Apps, auf die der beendete Benutzer Zugriff hatte, und setzen Sie die Konten außer Betrieb.

  4. Außerbetriebnahmeprozeduren aktualisieren.

Verdächtige E-Mail-Löschaktivität (nach Benutzer)

Hinweis

Im Rahmen der laufenden Verbesserungen der Funktionen zum Bedrohungsschutz für Warnungen bei Defender for Cloud Apps wurde diese Richtlinie deaktiviert, zum neuen dynamischen Modell migriert und in Verdächtige E-Mail-Löschaktivität umbenannt.

Aktivitäten in einer einzelnen Sitzung, die darauf hinweisen, dass ein Benutzer verdächtige E-Mail-Löschungen ausgeführt hat. Der Löschtyp war der Typ "Hard Delete", wodurch das E-Mail-Element gelöscht und nicht im Postfach des Benutzers verfügbar ist. Der Löschvorgang erfolgte über eine Verbindung, die ungewöhnliche Einstellungen wie ISP, Land/Region und Benutzer-Agent enthält. Dies kann auf einen versuchten Verstoß gegen Ihre organization hindeuten, z. B. auf Angreifer, die versuchen, Vorgänge zu maskieren, indem sie E-Mails im Zusammenhang mit Spamaktivitäten löschen.

TP, B-TP oder FP?

  1. TP: Wenn Sie bestätigen können, dass die Aktivität nicht von einem legitimen Benutzer ausgeführt wurde.

    Empfohlene Aktion: Sperren Sie den Benutzer, markieren Sie den Benutzer als kompromittiert, und setzen Sie sein Kennwort zurück.

  2. FP: Wenn Sie bestätigen können, dass der Benutzer rechtmäßig eine Regel zum Löschen von Nachrichten erstellt hat.

    Empfohlene Aktion: Schließen Sie die Benachrichtigung.

Verständnis des Umfangs der Sicherheitsverletzung

  • Überprüfen Sie alle Benutzeraktivitäten auf andere Anzeichen für eine Gefährdung, z. B. die Warnung verdächtige Posteingangsweiterleitung , gefolgt von einer Unmöglichen Reisewarnung . Suchen Sie nach:

    1. Neue SMTP-Weiterleitungsregeln wie folgt:
      • Überprüfen Sie auf bösartige Weiterleitungsregelnamen. Regelnamen können von einfachen Namen wie "Alle E-Mails weiterleiten" und "Automatisch weiterleiten" oder betrügerischen Namen wie einem kaum sichtbaren "." variieren. Weiterleitungsregelnamen können sogar leer sein, und der Weiterleitungsempfänger kann ein einzelnes E-Mail-Konto oder eine ganze Liste sein. Böswillige Regeln können auch auf der Benutzeroberfläche ausgeblendet werden. Nach der Erkennung können Sie erfahren, wie Sie beschädigte ausgeblendete Posteingangsregeln mithilfe von MFCMAPI aus einem Postfach löschen.
      • Wenn Sie eine unbekannte Weiterleitungsregel an eine unbekannte interne oder externe E-Mail-Adresse erkennen, können Sie davon ausgehen, dass das Posteingangskonto kompromittiert wurde.
    2. Neue Posteingangsregeln wie "alle löschen", "Nachrichten in einen anderen Ordner verschieben" oder solche mit obskuren Namenskonventionen, z. B. "...".
    3. Ein Anstieg der gesendeten E-Mails.

Verdächtige Regel zur Manipulation des Posteingangs

Hinweis

Im Rahmen der kontinuierlichen Verbesserungen an Defender for Cloud Apps Warnungsbedrohungsschutzfunktionen wurde diese Richtlinie deaktiviert und zum neuen dynamischen Modell migriert. Wenn Sie zuvor Governanceaktionen oder E-Mail-Benachrichtigungen für diese Richtlinie konfiguriert haben, können Sie sie jederzeit auf der Verwaltungsseite für Cloud-Apps-Richtlinien > im Microsoft Defender-Portal > wieder aktivieren.

Aktivitäten, die darauf hinweisen, dass ein Angreifer Zugriff auf den Posteingang eines Benutzers erlangt und eine verdächtige Regel erstellt hat. Manipulationsregeln wie das Löschen oder Verschieben von Nachrichten oder Ordnern aus dem Posteingang eines Benutzers können ein Versuch sein, Informationen aus Ihrem organization zu exfiltrieren. Auf ähnliche Weise können sie auf einen Versuch hinweisen, Informationen zu manipulieren, die einem Benutzer angezeigt werden, oder ihren Posteingang zum Verteilen von Spam, Phishing-E-Mails oder Schadsoftware zu verwenden. Defender for Cloud Apps erstellt ein Profil Ihrer Umgebung und löst Warnungen aus, wenn verdächtige Regeln zur Bearbeitung des Posteingangs im Postfach eines Benutzers erkannt werden. Das Erkennen verdächtiger Posteingangs-Manipulationsregeln könnte darauf hindeuten, dass das Konto des Nutzers kompromittiert wurde.

TP, B-TP oder FP?

  1. TP: Wenn Sie bestätigen können, dass eine bösartige Posteingangsregel erstellt wurde und das Konto kompromittiert wurde.

    Empfohlene Aktion: Sperren Sie den Benutzer, setzen Sie sein Kennwort zurück, und entfernen Sie die Weiterleitungsregel.

  2. FP: Wenn Sie bestätigen können, dass ein Benutzer die Regel rechtmäßig erstellt hat.

    Empfohlene Aktion: Schließen Sie die Benachrichtigung.

Verständnis des Umfangs der Sicherheitsverletzung

  1. Überprüfen Sie alle Benutzeraktivitäten auf andere Anzeichen für eine Gefährdung, z. B. die Warnung verdächtige Posteingangsweiterleitung , gefolgt von einer Unmöglichen Reisewarnung . Suchen Sie nach:
    • Neue SMTP-Weiterleitungsregeln.
    • Neue Posteingangsregeln wie "alle löschen", "Nachrichten in einen anderen Ordner verschieben" oder solche mit obskuren Namenskonventionen, z. B. "...".
  2. Sammeln Sie IP-Adresse und Standortinformationen für die Aktion.
  3. Überprüfen Sie aktivitäten, die über die IP-Adresse ausgeführt werden, die zum Erstellen der Regel verwendet wurde, um andere kompromittierte Benutzer zu erkennen.

Warnungen zur Berechtigungseskalation: Erkennen von Versuchen, Berechtigungen auf höherer Ebene zu erhalten

Die Warnungen zur Berechtigungseskalation deuten darauf hin, dass ein böswilliger Akteur möglicherweise versucht, Berechtigungen auf höherer Ebene in Ihrer Organisation zu erhalten.

Ungewöhnliche administrative Aktivität (nach Benutzer)

Aktivitäten, die angeben, dass ein Angreifer ein Benutzerkonto kompromittiert und Administrative Aktionen ausgeführt hat, die für diesen Benutzer nicht üblich sind. Beispielsweise kann ein Angreifer versuchen, eine Sicherheitseinstellung für einen Benutzer zu ändern, ein Vorgang, der für einen gängigen Benutzer relativ selten ist. Defender for Cloud Apps erstellt eine Baseline basierend auf dem Verhalten des Benutzers und löst eine Warnung aus, wenn das ungewöhnliche Verhalten erkannt wird.

Lernzeit

Die Erkennung erfordert eine anfängliche siebentägige Lernphase, um das Aktivitätsmuster eines neuen Nutzers festzustellen. Während dieser Zeit werden keine Warnungen für neue Orte ausgelöst.

TP, B-TP oder FP?

  1. TP: Wenn Sie bestätigen können, dass die Aktivität nicht von einem legitimen Administrator ausgeführt wurde.

    Empfohlene Aktion: Sperren Sie den Benutzer, markieren Sie den Benutzer als kompromittiert, und setzen Sie sein Kennwort zurück.

  2. FP: Wenn Sie bestätigen können, dass ein Administrator das ungewöhnliche Volumen an administrativen Aktivitäten rechtmäßig ausgeführt hat.

    Empfohlene Aktion: Schließen Sie die Benachrichtigung.

Verständnis des Umfangs der Sicherheitsverletzung

  1. Überprüfen Sie alle Benutzeraktivitäten auf andere Anzeichen für eine Gefährdung, z. B . verdächtige Posteingangsweiterleitung oder Unmögliches Reisen.
  2. Überprüfen Sie andere Konfigurationsänderungen, z. B. das Erstellen eines Benutzerkontos, das zur Persistenz verwendet werden kann.

Benachrichtigungen zum Zugriff auf Anmeldeinformationen: Erkennen von Versuchen, Kontoanmeldeinformationen zu stehlen

Die Benachrichtigungen für den Zugriff auf Anmeldeinformationen deuten darauf hin, dass ein böswilliger Akteur möglicherweise versucht, Kontonamen und Kennwörter aus Ihrer Organisation zu stehlen.

Mehrere fehlgeschlagene Anmeldeversuche

Fehlgeschlagene Anmeldeversuche können auf einen Versuch hinweisen, ein Konto zu verletzen. Fehlgeschlagene Anmeldungen können jedoch auch normales Verhalten sein. Beispielsweise, wenn ein Benutzer versehentlich ein falsches Kennwort eingegeben hat. Um Genauigkeit und Warnungen nur zu erreichen, wenn ein starker Hinweis auf eine versuchte Sicherheitsverletzung vorliegt, legt Defender for Cloud Apps eine Baseline der Anmeldegewohnheiten für jeden Benutzer im organization fest und warnt nur, wenn das ungewöhnliche Verhalten erkannt wird.

Lernzeit

Die Erkennung mehrerer fehlgeschlagener Anmeldeversuche benötigt Zeit, um das normale Anmeldeverhalten jedes Nutzers zu erkennen, bevor sie genau alarmiert werden kann. Das Einrichten des Aktivitätsmusters eines neuen Benutzers erfordert einen anfänglichen Lernzeitraum von sieben Tagen, in dem keine Warnungen für neue Standorte ausgelöst werden.

TP, B-TP oder FP?

Die Politik für mehrere fehlgeschlagene Anmeldeversuche basiert darauf, das normale Anmeldeverhalten eines Benutzers zu erlernen. Wenn eine Abweichung von der Norm erkannt wird, wird eine Warnung ausgelöst. Wenn bei der Erkennung erkannt wird, dass dasselbe Verhalten fortgesetzt wird, wird die Warnung nur einmal ausgelöst.

  1. TP (MFA schlägt fehl): Wenn Sie bestätigen können, dass die MFA ordnungsgemäß funktioniert, könnte dies ein Anzeichen für einen versuchten Brute-Force-Angriff sein.

    Empfohlene Aktionen:

    1. Sperren Sie den Benutzer, markieren Sie den Benutzer als kompromittiert und setzen Sie sein Kennwort zurück.
    2. Suchen Sie die App, die die fehlgeschlagenen Authentifizierungen ausgeführt hat, und konfigurieren Sie sie neu.
    3. Suchen Sie nach anderen Benutzern, die zum Zeitpunkt der Aktivität angemeldet sind, da sie möglicherweise ebenfalls kompromittiert sind. Sperren Sie den Benutzer, markieren Sie den Benutzer als kompromittiert und setzen Sie sein Kennwort zurück.

  2. B-TP (MFA-Fehler): Wenn Sie bestätigen können, dass die Warnung durch ein Problem mit der MFA verursacht wurde.

    Empfohlene Aktion: Erstellen Sie mithilfe von Power Automate ein Playbook, um den Benutzer zu kontaktieren und zu überprüfen, ob Probleme mit der MFA auftreten.

  3. B-TP (Falsch konfigurierte App): Wenn Sie bestätigen können, dass eine falsch konfigurierte App versucht, mehrmals mit abgelaufenen Anmeldeinformationen eine Verbindung mit einem Dienst herzustellen.

    Empfohlene Aktion: Schließen Sie die Benachrichtigung.

  4. B-TP (Passwort geändert): Wenn Sie bestätigen können, dass ein Benutzer vor kurzem sein Kennwort geändert hat, sich dies aber nicht auf die Anmeldeinformationen in den Netzwerkfreigaben ausgewirkt hat.

    Empfohlene Aktion: Schließen Sie die Benachrichtigung.

  5. B-TP (Sicherheitstest): Wenn Sie bestätigen können, dass ein Sicherheits- oder Penetrationstest von Sicherheitsanalysten im Auftrag der Organisation durchgeführt wird.

    Empfohlene Aktion: Schließen Sie die Benachrichtigung.

Verständnis des Umfangs der Sicherheitsverletzung

  1. Überprüfen Sie alle Benutzeraktivitäten auf andere Anzeichen einer Gefährdung, z. B. auf die Warnung folgt eine der folgenden Warnungen: Unmögliche Reise, Aktivität von anonymer IP-Adresse oder Aktivität aus seltenen Ländern.
  2. Überprüfen Sie die folgenden Benutzergeräteinformationen, und vergleichen Sie sie mit bekannten Geräteinformationen:
    • Betriebssystem und Version
    • Browser und Version
    • IP-Adresse und Standort
  3. Identifizieren Sie die Quell-IP-Adresse oder den Speicherort, an dem der Authentifizierungsversuch stattgefunden hat.
  4. Ermitteln Sie, ob der Benutzer kürzlich sein Kennwort geändert hat, und stellen Sie sicher, dass alle Apps und Geräte über das aktualisierte Kennwort verfügen.

Ungewöhnliches Hinzufügen von Anmeldeinformationen zu einer OAuth-App

Die ungewöhnliche Hinzufügung der Erkennung von Zugangsdaten erkennt die verdächtige Hinzufügung privilegierter Zugangsdaten zu einer OAuth-App. Dies kann darauf hindeuten, dass ein Angreifer die App kompromittiert hat und sie für schädliche Aktivitäten verwendet.

Lernzeit

Das Erlernen der Umgebung Ihrer organization erfordert einen Zeitraum von sieben Tagen, in dem Sie möglicherweise eine große Anzahl von Warnungen erwarten.

Ungewöhnlicher ISP für eine OAuth-App

Die Erkennung identifiziert eine OAuth-App, die eine Verbindung mit Ihrer Cloudanwendung von einem ISP herstellt, der für die App ungewöhnlich ist. Eine OAuth-App, die sich von einem ungewöhnlichen Internetanbieter verbindet, könnte darauf hindeuten, dass ein Angreifer versucht hat, eine legitime, kompromittierte App zu nutzen, um bösartige Aktivitäten an Ihren Cloud-Anwendungen durchzuführen.

Lernzeit

Der Lernzeitraum für diese Erkennung beträgt 30 Tage.

TP, B-TP oder FP?

  1. TP: Wenn Sie bestätigen können, dass die Aktivität keine legitime Aktivität der OAuth-App war oder dass dieser ISP nicht von der legitimen OAuth-App verwendet wird.

    Empfohlene Aktion: Widerrufen Sie alle Zugriffstoken der OAuth-App, und untersuchen Sie, ob ein Angreifer Zugriff auf das Generieren von OAuth-Zugriffstoken hat.

  2. FP: Wenn Sie bestätigen können, dass die Aktivität rechtmäßig von der originalen OAuth-App durchgeführt wurde.

    Empfohlene Aktion: Schließen Sie die Benachrichtigung.

Verständnis des Umfangs der Sicherheitsverletzung

  1. Überprüfen Sie die Aktivitäten, die von der OAuth-App ausgeführt werden.

  2. Untersuchen Sie, ob ein Angreifer Zugriff auf das Generieren von OAuth-Zugriffstoken hat.

Sammlungswarnungen: Erkennen von Versuchen, Daten aus Ihrer Organisation zu sammeln

Die Sammlungswarnungen deuten darauf hin, dass ein böswilliger Akteur möglicherweise versucht, Daten von Interesse für sein Ziel aus Ihrer Organisation zu sammeln.

Aktivitäten zum Teilen mehrerer Power BI-Berichte

Aktivitäten in einer einzelnen Sitzung, die darauf hinweisen, dass ein Benutzer in Power BI im Vergleich zur erlernten Baseline eine ungewöhnlich hohe Anzahl von Aktivitäten zum Freigeben von Berichten ausgeführt hat. Dies kann auf einen versuchten Verstoß gegen Ihre organization hinweisen.

Lernzeit

Das Einrichten des Aktivitätsmusters eines neuen Benutzers erfordert einen anfänglichen Lernzeitraum von sieben Tagen, in dem keine Warnungen für neue Standorte ausgelöst werden.

TP, B-TP oder FP?

  1. TP: Wenn Sie bestätigen können, dass die Aktivität nicht von einem legitimen Benutzer ausgeführt wurde.

    Empfohlene Aktion: Entfernen Sie den Freigabezugriff aus Power BI. Wenn Sie bestätigen können, dass das Konto kompromittiert wurde, sperren Sie den Benutzer, markieren Sie den Benutzer als kompromittiert, und setzen Sie sein Kennwort zurück.

  2. FP: Wenn Sie bestätigen können, dass der Benutzer eine geschäftliche Begründung für die Freigabe dieser Berichte hatte.

    Empfohlene Aktion: Schließen Sie die Benachrichtigung.

Verständnis des Umfangs der Sicherheitsverletzung

  1. Überprüfen Sie das Aktivitätsprotokoll, um ein besseres Verständnis für andere Aktivitäten zu erhalten, die vom Benutzer ausgeführt werden. Sehen Sie sich die IP-Adresse an, von der aus sie angemeldet sind, und die Gerätedetails.
  2. Wenden Sie sich an Ihr Power BI-Team oder Information Protection Team, um die Richtlinien für die interne und externe Freigabe von Berichten zu verstehen.

Freigabe verdächtiger Power BI-Berichte

Aktivitäten, die darauf hinweisen, dass ein Nutzer einen Power BI-Bericht geteilt hat, der möglicherweise sensible Informationen enthält, die mit natürlicher Sprachverarbeitung (NLP) identifiziert wurden, um die Metadaten des Berichts zu analysieren. Der Bericht wurde entweder für eine externe E-Mail-Adresse freigegeben, im Web veröffentlicht oder eine Momentaufnahme wurde an die E-Mail-Adresse eines externen Abonnenten zugestellt. Dies kann auf einen versuchten Verstoß gegen Ihre organization hinweisen.

TP, B-TP oder FP?

  1. TP: Wenn Sie bestätigen können, dass die Aktivität nicht von einem legitimen Benutzer ausgeführt wurde.

    Empfohlene Aktion: Entfernen Sie den Freigabezugriff aus Power BI. Wenn Sie bestätigen können, dass das Konto kompromittiert wurde, sperren Sie den Benutzer, markieren Sie den Benutzer als kompromittiert, und setzen Sie sein Kennwort zurück.

  2. FP: Wenn Sie bestätigen können, dass der Benutzer eine geschäftliche Begründung für die Freigabe dieser Berichte hatte.

    Empfohlene Aktion: Schließen Sie die Benachrichtigung.

Verständnis des Umfangs der Sicherheitsverletzung

  1. Überprüfen Sie das Aktivitätsprotokoll, um ein besseres Verständnis für andere Aktivitäten zu erhalten, die vom Benutzer ausgeführt werden. Sehen Sie sich die IP-Adresse an, von der aus sie angemeldet sind, und die Gerätedetails.
  2. Wenden Sie sich an Ihr Power BI-Team oder Information Protection Team, um die Richtlinien für die interne und externe Freigabe von Berichten zu verstehen.

Ungewöhnliche Aktivität mit Identitätsdiebstahl (durch Benutzer)

In einigen Software gibt es Optionen, mit denen andere Benutzer die Identität anderer Benutzer annehmen können. E-Mail-Dienste ermöglichen es Benutzern beispielsweise, andere Benutzer zum Senden von E-Mails in ihrem Namen zu autorisieren. Diese Aktivität wird häufig von Angreifern verwendet, um Phishing-E-Mails zu erstellen, um Informationen über Ihre organization zu extrahieren. Defender for Cloud Apps erstellt auf Grundlage des Verhaltens des Benutzers eine Baseline und erzeugt eine Aktivität, wenn eine ungewöhnliche Aktivität im Zusammenhang mit einem Identitätswechsel erkannt wird.

Lernzeit

Das Einrichten des Aktivitätsmusters eines neuen Benutzers erfordert einen anfänglichen Lernzeitraum von sieben Tagen, in dem keine Warnungen für neue Standorte ausgelöst werden.

TP, B-TP oder FP?

  1. TP: Wenn Sie bestätigen können, dass die Aktivität nicht von einem legitimen Benutzer ausgeführt wurde.

    Empfohlene Aktion: Sperren Sie den Benutzer, markieren Sie den Benutzer als kompromittiert, und setzen Sie sein Kennwort zurück.

  2. FP (Ungewöhnliches Verhalten): Wenn Sie bestätigen können, dass der Benutzer die ungewöhnlichen Aktivitäten oder mehr Aktivitäten als die festgelegte Baseline rechtmäßig ausgeführt hat.

    Empfohlene Aktion: Schließen Sie die Benachrichtigung.

  3. FP: Wenn Sie bestätigen können, dass Apps wie Teams sich berechtigterweise als der Benutzer ausgegeben haben.

    Empfohlene Aktion: Überprüfen Sie die Aktionen, und schließen Sie die Warnung bei Bedarf.

Verständnis des Umfangs der Sicherheitsverletzung

  1. Überprüfen Sie alle Benutzeraktivitäten und Warnungen auf zusätzliche Gefährdungsindikatoren.
  2. Überprüfen Sie die Identitätswechselaktivitäten, um potenzielle schädliche Aktivitäten zu identifizieren.
  3. Überprüfen Sie die Konfiguration des delegierten Zugriffs.

Exfiltrationswarnungen: Erkennen von Versuchen, Daten aus Ihrer Organisation zu stehlen

Die Exfiltrationswarnungen deuten darauf hin, dass ein böswilliger Akteur möglicherweise versucht, Daten aus Ihrer Organisation zu stehlen.

Verdächtige Weiterleitung im Posteingang

Hinweis

Im Rahmen der kontinuierlichen Verbesserungen an Defender for Cloud Apps Warnungsbedrohungsschutzfunktionen wurde diese Richtlinie deaktiviert, zum neuen dynamischen Modell migriert und in verdächtige E-Mail-Weiterleitungsregel umbenannt, die von einer Drittanbieter-App erstellt wurde.

Aktivitäten, die darauf hinweisen, dass ein Angreifer Zugriff auf den Posteingang eines Benutzers erlangt und eine verdächtige Regel erstellt hat. Manipulationsregeln, z. B. das Weiterleiten aller oder bestimmter E-Mails an ein anderes E-Mail-Konto, können ein Versuch sein, Informationen aus Ihrem organization zu exfiltrieren. Defender for Cloud Apps erstellt ein Profil Ihrer Umgebung und löst Warnungen aus, wenn verdächtige Regeln zur Bearbeitung des Posteingangs im Postfach eines Benutzers erkannt werden. Dies kann darauf hindeuten, dass das Konto des Benutzers kompromittiert ist.

TP, B-TP oder FP?

  1. TP: Wenn Sie bestätigen können, dass eine schädliche Posteingangsweiterleitungsregel erstellt wurde und das Konto kompromittiert wurde.

    Empfohlene Aktion: Sperren Sie den Benutzer, setzen Sie sein Kennwort zurück, und entfernen Sie die Weiterleitungsregel.

  2. FP: Wenn Sie bestätigen können, dass der Benutzer aus legitimen Gründen eine Weiterleitungsregel an ein neues oder persönliches externes E-Mail-Konto erstellt hat.

    Empfohlene Aktion: Schließen Sie die Benachrichtigung.

Verständnis des Umfangs der Sicherheitsverletzung

  1. Überprüfen Sie alle Benutzeraktivitäten auf zusätzliche Gefährdungsindikatoren, z. B. auf die Warnung folgt eine Unmögliche Reisewarnung . Suchen Sie nach:

    1. Neue SMTP-Weiterleitungsregeln wie folgt:
      • Überprüfen Sie auf bösartige Weiterleitungsregelnamen. Regelnamen können von einfachen Namen wie "Alle E-Mails weiterleiten" und "Automatisch weiterleiten" oder betrügerischen Namen wie einem kaum sichtbaren "." variieren. Weiterleitungsregelnamen können sogar leer sein, und der Weiterleitungsempfänger kann ein einzelnes E-Mail-Konto oder eine ganze Liste sein. Böswillige Regeln können auch auf der Benutzeroberfläche ausgeblendet werden. Nach der Erkennung können Sie erfahren, wie Sie beschädigte ausgeblendete Posteingangsregeln mithilfe von MFCMAPI aus einem Postfach löschen.
      • Wenn Sie eine unbekannte Weiterleitungsregel an eine unbekannte interne oder externe E-Mail-Adresse erkennen, können Sie davon ausgehen, dass das Posteingangskonto kompromittiert wurde.
    2. Neue Posteingangsregeln wie "alle löschen", "Nachrichten in einen anderen Ordner verschieben" oder solche mit obskuren Namenskonventionen, z. B. "...".

  2. Überprüfen Sie aktivitäten, die über die IP-Adresse ausgeführt werden, die zum Erstellen der Regel verwendet wurde, um andere kompromittierte Benutzer zu erkennen.

  3. Überprüfen Sie die Liste der weitergeleiteten Nachrichten mithilfe Exchange Online Nachrichtennachverfolgung.

Ungewöhnlicher Dateidownload (nach Benutzer)

Aktivitäten, die angeben, dass ein Benutzer im Vergleich zur gelernten Baseline eine ungewöhnliche Anzahl von Dateidownloads von einer Cloudspeicherplattform durchgeführt hat. Dies kann auf einen Versuch hinweisen, Informationen über die organization zu erhalten. Defender for Cloud Apps erstellt eine Baseline basierend auf dem Verhalten des Benutzers und löst eine Warnung aus, wenn das ungewöhnliche Verhalten erkannt wird.

Lernzeit

Das Einrichten des Aktivitätsmusters eines neuen Benutzers erfordert einen anfänglichen Lernzeitraum von sieben Tagen, in dem keine Warnungen für neue Standorte ausgelöst werden.

TP, B-TP oder FP?

  1. TP: Wenn Sie bestätigen können, dass die Aktivität nicht von einem legitimen Benutzer ausgeführt wurde.

    Empfohlene Aktion: Sperren Sie den Benutzer, markieren Sie den Benutzer als kompromittiert, und setzen Sie sein Kennwort zurück.

  2. FP (Ungewöhnliches Verhalten): Wenn Sie bestätigen können, dass der Benutzer rechtmäßig mehr Dateidownloadaktivitäten ausgeführt hat als die festgelegte Baseline.

    Empfohlene Aktion: Schließen Sie die Benachrichtigung.

  3. FP (Softwaresynchronisierung): Wenn Sie bestätigen können, dass Software, z. B. OneDrive, mit einer externen Sicherung synchronisiert wurde, die die Warnung verursacht hat.

    Empfohlene Aktion: Schließen Sie die Benachrichtigung.

Verständnis des Umfangs der Sicherheitsverletzung

  1. Überprüfen Sie die Downloadaktivitäten, und erstellen Sie eine Liste der heruntergeladenen Dateien.
  2. Überprüfen Sie die Vertraulichkeit der heruntergeladenen Dateien beim Ressourcenbesitzer, und überprüfen Sie die Zugriffsebene.

Ungewöhnlicher Dateizugriff (nach Benutzer)

Aktivitäten, die angeben, dass ein Benutzer eine ungewöhnliche Anzahl von Dateizugriffen in SharePoint oder OneDrive auf Dateien ausgeführt hat, die Finanz- oder Netzwerkdaten im Vergleich zur gelernten Baseline enthalten. Dies kann auf einen Versuch hindeuten, Informationen über die Organisation zu erlangen, sei es für finanzielle Zwecke oder zum Erlangen von Anmeldeinformationen und für laterale Bewegungen im Netzwerk. Defender for Cloud Apps erstellt eine Baseline basierend auf dem Verhalten des Benutzers und löst eine Warnung aus, wenn das ungewöhnliche Verhalten erkannt wird.

Lernzeit

Der Lernzeitraum hängt von der Aktivität des Benutzers ab. Im Allgemeinen liegt der Lernzeitraum für die meisten Benutzer zwischen 21 und 45 Tagen.

TP, B-TP oder FP?

  1. TP: Wenn Sie bestätigen können, dass die Aktivität nicht von einem legitimen Benutzer ausgeführt wurde.

    Empfohlene Aktion: Sperren Sie den Benutzer, markieren Sie den Benutzer als kompromittiert, und setzen Sie sein Kennwort zurück.

  2. FP (Ungewöhnliches Verhalten): Wenn Sie bestätigen können, dass der Benutzer legitim mehr Dateizugriffsaktivitäten ausgeführt hat als die festgelegte Baseline.

    Empfohlene Aktion: Schließen Sie die Benachrichtigung.

Verständnis des Umfangs der Sicherheitsverletzung

  1. Überprüfen Sie die Zugriffsaktivitäten, und erstellen Sie eine Liste der Dateien, auf die zugegriffen wird.
  2. Überprüfen Sie die Vertraulichkeit der Dateien, auf die zugegriffen wird, mit dem Ressourcenbesitzer, und überprüfen Sie die Zugriffsebene.

Ungewöhnliche Dateifreigabeaktivität (nach Benutzer)

Aktivitäten, die darauf hinweisen, dass ein Benutzer im Vergleich zur erlernten Basislinie eine ungewöhnlich hohe Anzahl von Aktionen zur Dateifreigabe auf einer Cloudspeicherplattform ausgeführt hat. Dies kann auf einen Versuch hinweisen, Informationen über die organization zu erhalten. Defender for Cloud Apps erstellt eine Baseline basierend auf dem Verhalten des Benutzers und löst eine Warnung aus, wenn das ungewöhnliche Verhalten erkannt wird.

Lernzeit

Das Einrichten des Aktivitätsmusters eines neuen Benutzers erfordert einen anfänglichen Lernzeitraum von sieben Tagen, in dem keine Warnungen für neue Standorte ausgelöst werden.

TP, B-TP oder FP?

  1. TP: Wenn Sie bestätigen können, dass die Aktivität nicht von einem legitimen Benutzer ausgeführt wurde.

    Empfohlene Aktion: Sperren Sie den Benutzer, markieren Sie den Benutzer als kompromittiert, und setzen Sie sein Kennwort zurück.

  2. FP (Ungewöhnliches Verhalten): Wenn Sie bestätigen können, dass der Benutzer rechtmäßig mehr Dateifreigabeaktivitäten ausgeführt hat als die festgelegte Baseline.

    Empfohlene Aktion: Schließen Sie die Benachrichtigung.

Verständnis des Umfangs der Sicherheitsverletzung

  1. Überprüfen Sie die Freigabeaktivitäten, und erstellen Sie eine Liste der freigegebenen Dateien.
  2. Überprüfen Sie die Vertraulichkeit der freigegebenen Dateien beim Ressourcenbesitzer, und überprüfen Sie die Zugriffsebene.
  3. Erstellen Sie eine Microsoft Purview DLP-Richtlinie für ähnliche Dokumente, um die zukünftige Freigabe vertraulicher Dateien zu erkennen.

Ransomware-Aktivität

Ransomware ist ein Cyberangriff, bei dem ein Angreifer Opfer von ihren Geräten sperrt oder sie daran hindert, auf ihre Dateien zuzugreifen, bis das Opfer ein Lösegeld zahlt. Ransomware kann durch eine schädliche freigegebene Datei oder ein kompromittiertes Netzwerk verbreitet werden. Defender for Cloud Apps nutzt Sicherheitsforschungswissen, Threat Intelligence und erlernte Verhaltensmuster, um Ransomware-Aktivitäten zu identifizieren. Beispielsweise kann eine hohe Rate von Dateiuploads oder Dateilöschungen einen Verschlüsselungsprozess darstellen, der bei Ransomware-Vorgängen üblich ist.

Diese Erkennung erstellt eine Baseline der normalen Arbeitsmuster jedes Benutzers in Ihrem organization, z. B. wann der Benutzer auf die Cloud zugreift und was er häufig in der Cloud tut.

Die Defender for Cloud Apps Richtlinien für die automatische Bedrohungserkennung werden im Hintergrund ausgeführt, sobald Sie eine Verbindung herstellen. Mit unserer Sicherheitsforschungskompetenz, um Verhaltensmuster zu identifizieren, die Ransomware-Aktivitäten in unserem organization widerspiegeln, bietet Defender for Cloud Apps umfassende Abdeckung vor komplexen Ransomware-Angriffen.

Lernzeit

Das Einrichten des Aktivitätsmusters eines neuen Benutzers erfordert einen anfänglichen Lernzeitraum von sieben Tagen, in dem keine Warnungen für neue Standorte ausgelöst werden.

TP, B-TP oder FP?

  1. TP: Wenn Sie bestätigen können, dass die Aktivität nicht vom Benutzer ausgeführt wurde.

    Empfohlene Aktion: Sperren Sie den Benutzer, markieren Sie den Benutzer als kompromittiert, und setzen Sie sein Kennwort zurück.

  2. FP (Ungewöhnliches Verhalten): Der Benutzer hat rechtmäßig mehrere Lösch- und Uploadaktivitäten ähnlicher Dateien in kurzer Zeit ausgeführt.

    Empfohlene Aktion: Nachdem Sie das Aktivitätsprotokoll überprüft und bestätigt haben, dass die Dateierweiterungen nicht verdächtig sind, schließen Sie die Warnung.

  3. FP (Common ransomware file extension): Wenn Sie in der Lage sind zu bestätigen, dass die Erweiterungen der betroffenen Dateien eine Übereinstimmung mit einer bekannten Ransomware-Erweiterung sind.

    Empfohlene Aktion: Wenden Sie sich an den Benutzer, und vergewissern Sie sich, dass die Dateien sicher sind, und schließen Sie dann die Warnung.

Verständnis des Umfangs der Sicherheitsverletzung

  1. Überprüfen Sie das Aktivitätsprotokoll auf andere Gefährdungsindikatoren wie massenhaftes Herunterladen oder Massenlöschen von Dateien.
  2. Wenn Sie Microsoft Defender for Endpoint verwenden, überprüfen Sie die Computerwarnungen des Benutzers, um festzustellen, ob schädliche Dateien erkannt wurden.
  3. Durchsuchen Sie das Aktivitätsprotokoll nach bösartigen Dateiupload- und -freigabeaktivitäten.

Ungewöhnliche Dateilöschaktivität (nach Benutzer)

Aktivitäten, die angeben, dass ein Benutzer im Vergleich zur gelernten Baseline eine ungewöhnliche Dateilöschaktivität ausgeführt hat. Dies kann auf Ransomware-Angriff hinweisen. Beispielsweise kann ein Angreifer die Dateien eines Benutzers verschlüsseln und alle Originale löschen, sodass nur die verschlüsselten Versionen übrig bleiben, die verwendet werden können, um das Opfer zur Zahlung eines Lösegelds zu erpressen. Defender for Cloud Apps erstellt eine Baseline, die auf dem normalen Verhalten des Benutzers basiert, und löst eine Warnung aus, wenn das ungewöhnliche Verhalten erkannt wird.

Lernzeit

Das Einrichten des Aktivitätsmusters eines neuen Benutzers erfordert einen anfänglichen Lernzeitraum von sieben Tagen, in dem keine Warnungen für neue Standorte ausgelöst werden.

TP, B-TP oder FP?

  1. TP: Wenn Sie bestätigen können, dass die Aktivität nicht von einem legitimen Benutzer ausgeführt wurde.

    Empfohlene Aktion: Sperren Sie den Benutzer, markieren Sie den Benutzer als kompromittiert, und setzen Sie sein Kennwort zurück.

  2. FP: Wenn Sie bestätigen können, dass der Benutzer rechtmäßig mehr Dateilöschaktivitäten ausgeführt hat als die festgelegte Baseline.

    Empfohlene Aktion: Schließen Sie die Benachrichtigung.

Verständnis des Umfangs der Sicherheitsverletzung

  1. Überprüfen Sie die Löschaktivitäten, und erstellen Sie eine Liste der gelöschten Dateien. Stellen Sie bei Bedarf die gelöschten Dateien wieder her.
  2. Erstellen Sie optional ein Playbook mit Power Automate, um Benutzer und deren Vorgesetzte zu kontaktieren, um die Aktivität zu überprüfen.

Siehe auch

Untersuchen riskanter Benutzer

  • Last updated on