Die neue Sicherheitsfunktion für Defender-Server

  • Gilt für:: Microsoft Defender for Endpoint Plan 2

Die neue Defender-Serversicherheitserfahrung vereint Defender for Endpoint und Defender for Servers im Microsoft Defender-Portal. Nutzen Sie es, um den Serverschutz zu verwalten und Bedrohungen mit Cloud- und Endpunktinformationen an einem Ort zu untersuchen.

Diese öffentliche Vorschau deckt Azure-Umgebungen und On-Premises-Server ab. Siehe Was ist neu für eine Zusammenfassung der Veröffentlichung.

Auf dieser Seite: Server-Asset-Seite | Untersuchen Sie einen Vorfall | Auf die Jagd gehen | RBAC und Gerätegruppen.

Server, die bereits Defender for Endpoint ausführen

Server, die bereits Defender for Endpoint ausführen, arbeiten weiterhin mit ihrer bestehenden Konfiguration. Sie müssen sie nicht einbinden, neu installieren oder migrieren, um ihren bestehenden Schutz aufrechtzuerhalten. Überprüfen Sie die Anforderungen für jede vereinheitlichte Funktion, bevor Sie Ihre Konfiguration ändern.

Überprüfen Sie die Server-Asset-Seite

Die Server-Asset-Seite bringt verfügbare Cloud-Ressourcen- und Endpunkt-Geräte-Informationen für denselben Server zusammen, anstatt separate Seiten zur Untersuchung zu erfordern.

  1. In Microsoft Defender öffnen Sie eine Warnung, die den Server betrifft, und wählen Sie im Menü des Servers Assetseite öffnen. Öffnen Sie in einem Vorfalldiagramm das Menü des Serverknotens und wählen Sie Asset-Details aus.
  2. Überprüfen Sie die Endpunkt-Geräte-ID und, wo verfügbar, die Azure-Ressourcen-ID. Identifizieren Sie einen Server nicht allein anhand des Namens.
  3. Überprüfen Sie die Identität des Servers, den Onboarding-Status sowie verfügbare Details zu Ressourcen und Betriebssystem.
  4. Wählen Sie Gerätezeitachse öffnen, um die Endpunktaktivität zu inspizieren, oder Zur Suche wechseln, um verwandte Ereignisse zu untersuchen.

Wenn Datensätze doppelt erscheinen oder falsch abgeglichen sind, überprüfen Sie beide Identifikatoren, bevor Sie Maßnahmen ergreifen. Der verfügbare Kontext hängt von verbundenen Datenquellen ab; manuelles Onboarding erzeugt keine Azure-Ressource.

Die Reaktionsaktionen hängen von deinen Berechtigungen, der Plattform und dem Serverzustand ab. Verwenden Sie die unterstützte Anleitung zur Geräteantwort, bevor Sie eine Aktion ausführen, die die Arbeitslast beeinflussen könnte.

Untersuchen von Warnungen und Vorfällen

Um einen Server zu untersuchen, benötigen Sie Zugriff auf dessen Untersuchungsdaten, und der Server muss eine zugehörige Warnung oder einen Vorfall haben.

  1. Öffnen Sie einen Vorfall bezüglich des Servers und überprüfen Sie dessen Angriffsgraphen.
  2. Wählen Sie den Server-Knoten. Für einen Server mit korrelierten Cloud- und Endpunktdatensätzen werden im Graphen eine Serveridentität und ein Ermittlungsmenü bereitgestellt.
  3. Rechtsklicke auf den Knoten oder öffne das Dreipunktmenü. Wählen Sie Asset-Details für den Kontext, Zugehörige Warnungen anheften, um entsprechende Erkennungen zu überprüfen, oder Suche starten, um Aktivitäten zu untersuchen.
  4. Öffnen Sie eine verwandte Warnung und folgen Sie deren Serverlink. Bestätigen Sie, dass es zur gleichen Serveridentität führt, bevor Sie eine Antwortaktion in Erwägung ziehen.

Cloud- und Endpunkt-Warnungen können sich auf denselben Server beziehen, ohne zu einem einzelnen Alarm zu werden. Eine gemeinsame Asset-Identität garantiert nicht, dass jeder Alarm zu einem Vorfall zusammengefasst wird.

Go hunt verwenden

Du brauchst Advanced Hunting-Zugriff auf die abgefragten Daten. Die Möglichkeit, eine Asset-Seite zu öffnen, gewährt nicht Zugriff auf alle Jagdtabellen.

  1. Öffnen Sie im Incident-Graph das Menü des Serverknotens und wählen Sie Go hunt. Du kannst die Aktion auch aus dem Alert oder Asset-Kontext des Servers nutzen, wo verfügbar.
  2. Wählen Sie Alle Aktivitäten, Verwandte Benachrichtigungen oder Alle verfügbaren Anfragen sehen und wählen Sie dann die benötigte Anfrage aus.
  3. Überprüfen Sie die generierte Abfrage und ihre Ergebnisse in Advanced Hunting. Go Hunt kann die generierte Abfrage automatisch ausführen, anstatt sie nur zur Überprüfung anzuzeigen.
  4. Überprüfen Sie, ob die Abfrage den vorgesehenen Server anspricht. Wenn beide Identitäten verfügbar sind, überprüfen Sie deren Endpunktgeräte- und Cloudressourcen-Kennungen, ausgewählte Tabellen und den Zeitbereich.
  5. Um ein anderes Zeitfenster zu untersuchen, passen Sie den Zeitstempelfilter der Abfrage an und führen Sie es erneut aus. Verwende UTC in Abfrageausdrücken.
  6. Öffnen Sie relevante Ergebnisse, vergleichen Sie ihre Zeitstempel mit der Warnung und kehren Sie zum Vorfall zurück, um die Untersuchung fortzusetzen.

Für ein bestimmtes Endpunkt-Ereignis öffnen Sie die Geräte-Timeline, wählen Sie das Ereignis aus und verwenden Sie Nach verwandten Ereignissen suchen, wo verfügbar. Das sucht um dieses Ereignis herum, anstatt die Suche auf dem gesamten Server zu beginnen.

Alle Aktivitäten garantieren nicht, dass jede Datenquelle enthalten ist. Wenn die Ergebnisse leer oder unvollständig sind, überprüfen Sie die Abfragefilter, verfügbaren Tabellen, Aufbewahrung, Endpunktberichterstattung und Ihre Datenberechtigungen. Ein leeres Abfrageergebnis belegt nicht, dass der Server nicht betroffen ist. Siehe Go Hunt Query Behavior für Anleitungen zur Anpassung von Anfragen.

RBAC und Serverzugang überprüfen

Rollen definieren, was eine Person tun kann; Scopes bestimmen, auf welche Daten sie zugreifen kann.

Steuerung Purpose
Microsoft Entra-Benutzergruppe Identifiziert die Personen, die Zugriff erhalten, wie zum Beispiel ein Serverbetriebsteam.
Defender RBAC-Rolle Gewährt ausgewählte Lese-, Ermittlungs-, Antwort- oder Verwaltungsberechtigungen.
Gerätegruppe Gruppiert Endpunkte und kontrolliert den Zugriff auf deren Daten über zugewiesene Entra-Benutzergruppen. Es kann auch Verhalten zur automatischen Fehlerbehebung festlegen.
Cloud-Bereich Gruppiert ausgewählte Cloud-Umgebungen, wie z. B. Azure-Abonnements, für den Cloud-Datenzugriff. Es ist getrennt von Azure RBAC.

Für einen Server, der sowohl in Cloud- als auch in Endpoint-Daten dargestellt ist, konfigurieren Sie den entsprechenden Cloud-Bereich und die Gerätegruppe. Die Verknüpfung einer Gerätegruppe mit einem Cloud-Scope richtet die Server-Mitgliedschaft aus; sie ersetzt keine Rollenzuweisungen und gewährt den Nutzern nicht automatisch den Zugriff. Bestehende, ausschließlich auf Endpunkten basierende Deployments benötigen keine Cloud-Verbindung, nur um weiterzuarbeiten.

Weisen Sie dem Team Berechtigungen zu.

Nutze das Berechtigungsmodell, das in deinem Tenant aktiv ist. Aktivieren Sie kein anderes Modell nur, um diesem Leitfaden zu folgen.

Für Tenants, die Microsoft Defender unified RBAC verwenden, können ein Sicherheitsadministrator oder ein Administrator mit den erforderlichen delegierten Autorisierungsberechtigungen Folgendes:

  1. Berechtigungen> öffnen Microsoft Defender XDR>Rollen und erstellen oder bearbeiten Sie die entsprechende Rolle.
  2. Wählen Sie die Berechtigungen, die das Team benötigt. Halte den Zugriff auf Untersuchungen getrennt von Reaktions- und Verwaltungsberechtigungen.
  3. Fügen Sie eine Zuweisung für die Microsoft Entra-Sicherheitsgruppe des Teams und die erforderlichen Datenquellen hinzu. Der Zugriff auf Defender for Endpoint-Daten allein gewährt keinen Zugriff auf Defender for Cloud-Daten.
  4. Für Cloud-Daten wählen Sie die vorgesehenen Cloud-Scopes aus. Überprüfen und reichen Sie die Aufgabe ein.

Folgen Sie Erstellen benutzerdefinierter Rollen für den vollständigen Wizard. Mandanten, die das vorherige Endpunktmodell noch verwenden, sollten Defender für Endpoint RBAC verwenden; bestehende Rollen werden durch diese Funktion nicht ersetzt.

Definiere eine Server-Gerätegruppe

Erstellen Sie eine Gerätegruppe, um den Zugriff auf Server unter Verwendung von Gerätebedingungen oder bestehenden Cloud-Scopes zu verwalten. Bevor Sie beginnen, stellen Sie sicher, dass die Microsoft Entra-Benutzergruppen, die Sie zuweisen möchten, die entsprechenden rollenbasierten Zugriffskontrollrollen (RBAC) haben.

  1. Im Microsoft Defender-Portal gehen Sie zu Einstellungen>>Berechtigungen>.

  2. Wählen Sie Gerätegruppe hinzufügen aus oder bearbeiten Sie eine bestehende Gruppe. Geben Sie einen beschreibenden Namen ein und überprüfen Sie die Stufe der automatisierten Problembehebung.

  3. Wählen Sie auf der Seite Geräte, wie Sie der Gruppe Geräte hinzufügen:

    Auswahl Description
    Mit Bedingungen definieren Gleichen Sie Server mithilfe unterstützter Geräteattribute wie Gerätename, Domain, Tags oder Betriebssystemplattform ab.
    Wählen Sie Cloud-Scopes aus, um diese Gruppe zu füllen. Wählen Sie einen oder mehrere bestehende Cloud-Scopes aus. Geräte aus allen ausgewählten Bereichen sind enthalten. (Vorschau)

  4. Wählen Sie Weiter und überprüfen Sie die passenden Geräte auf der Seite „Vorschaugeräte“, bevor Sie fortfahren.

  5. Auf der User access-Seite wählen Sie die Microsoft Entra-Benutzergruppen aus, die Zugriff haben sollten, und wählen Sie dann Submit.

  6. Überprüfen Sie die Mitglieder und Zugangszuweisungen der Gruppe. Für konditionsbasierte Gruppen wird die Gruppenrangfolge überprüft: Ein Gerät, das mehreren bedingungsbasierten Gruppen entspricht, gehört zur höchstplatzierten Gruppe.

Hinweis

Die Cloud-Scope-Mitgliedschaft umfasst alle Geräte aus den ausgewählten Scopes. Überprüfen Sie die ausgewählten Scopes, um sicherzustellen, dass die Gruppe nur die vorgesehenen Geräte umfasst.

Cloud-Bereich und Gerätegruppe abgleichen

  1. Falls erforderlich, erstellen Sie den Azure-Bereich unter System>Berechtigungen>Microsoft Defender XDR>Bereiche>Cloudbereich hinzufügen. Wählen Sie die vorgesehenen verbundenen Azure-Abonnements aus.
  2. Weisen Sie die Cloud-Datenberechtigungen des Teams diesem Scope zu und wählen Sie es dann im Schritt Geräte der Gerätegruppe aus.
  3. Behalten Sie die Endpunkt-Rolle des Teams und die Zuweisung Benutzerzugriff der Gerätegruppe bei. Verifizieren Sie den Zugriff auf beide Datenquellen.

Befolgen Sie die Anweisungen unter Cloud-Scopes verwalten, wenn eine Scope-Aktivierung erforderlich ist. Die Aktivierung ist eine irreversible Konfigurationsänderung: Überprüfen Sie bestehende Zuweisungen und den Aktivierungsassistenten, bevor Sie fortfahren.

Der Cloud-Scope-Link aktualisiert die Gerätemitgliedschaft, sobald sich der Inhalt des ausgewählten Scopes ändert. Neu verbundene Umgebungen werden nicht automatisch in den Cloud-Bereich aufgenommen. Überprüfen Sie die Mitgliedschaft im Scope beim Hinzufügen einer Azure-Umgebung.

Überprüfen Sie den effektiven Zugang

Testen Sie mit gewöhnlichen Analystenkonten, nicht nur mit einem Security Administrator-Account; breiter Administratorzugriff kann Scoping-Fehler verbergen. Ein Anzeigefilter schränkt die Ansicht ein, ist aber kein Ersatz für Berechtigungen.

Prüfen Erforderliches Ergebnis
Öffnen Sie einen Server mit den dem Benutzer zugewiesenen Zugriffsrechten Der vorgesehene Server und die erlaubten Daten sind verfügbar.
Navigiere von einem Alarm oder Vorfall zum Asset und zur Hunting Die Serveridentität bleibt korrekt und der Zugriff bleibt angemessen.
Versuch, einen Server außerhalb des Gültigkeitsbereichs zu öffnen Eingeschränkte Daten und Aktionen bleiben unzugänglich.
Überprüfen Sie eine Antwort oder Konfigurationsaktion Die Aktion steht nur einem autorisierten Benutzer zur Verfügung; führen Sie keine störenden Aktionen nur zum Testen des Zugriffs aus.

Wenn der erwartete Zugriff fehlt, überprüfen Sie Rollenberechtigungen, Datenquellenzuweisungen, die Zugehörigkeit zu Entra-Gruuppen, die effektive Gruppe des Geräts und dessen Cloudbereich. Wenn ein Analyst unbeabsichtigte Serverdaten sieht, überprüfen Sie andere Rollenzuweisungen und den breiten Zugriff, bevor Sie den Rollout ausweiten.

Serverschutz entfernen

Siehe Geräte aus dem Offboarding entfernen für automatisches Azure-Offboarding und andere unterstützte Offboarding-Methoden.

Verwandte Inhalte

  • Zuletzt aktualisiert um