Webschutz in Microsoft Defender for Endpoint

In diesem Artikel wird erläutert, wie der Webschutz in Microsoft Defender for Endpoint hilft, Ihre Geräte vor Webbedrohungen zu schützen und unerwünschte Inhalte zu regeln. Es umfasst die Kernfunktionen Schutz vor Webbedrohungen, Webinhaltsfilterung und benutzerdefinierte Indikatoren sowie Browserunterstützung, Regeln zur Richtlinienrangfolge, Problembehandlung und erweiterte Suchabfragen. Diese Informationen sind für Sicherheitsadministratoren und IT-Experten vorgesehen, die Defender für Endpunkt verwalten.

Overview

Webschutz in Microsoft Defender for Endpoint ist eine Funktion, die aus Web-Bedrohungsschutz, Webinhaltsfilterung und benutzerdefinierten Indikatoren besteht. Mit dem Webschutz können Sie Ihre Geräte vor Webbedrohungen schützen und unerwünschte Inhalte regulieren. Sie finden Webschutzberichte im Microsoft Defender-Portal, indem Sie zu Berichte > Webschutz wechseln.

Internet-Bedrohungsschutz

Die Karten, aus denen sich der Webbedrohungsschutz zusammensetzt, sind Erkannte Webbedrohungen im Zeitverlauf und Zusammenfassung der Webbedrohungen.

Der Schutz vor Web-Bedrohungen umfasst:

• Umfassende Einblicke in Webbedrohungen, die Sich auf Ihre organization auswirken.
• Untersuchungsfunktionen über webbezogene Bedrohungsaktivitäten durch Warnungen und umfassende Profile von URLs und den Geräten, die auf diese URLs zugreifen.
• Eine vollständige Reihe von Sicherheitsfeatures, die allgemeine Zugriffstrends auf schädliche und unerwünschte Websites nachverfolgen.

Hinweis

Für andere Prozesse als Microsoft Edge und Internet Explorer nutzen Webschutzszenarien Netzwerkschutz für die Überprüfung und Durchsetzung:

• IP-Adressen werden für alle drei Protokolle (TCP, HTTP und HTTPS (TLS)) unterstützt.
• In benutzerdefinierten Indikatoren werden nur einzelne IP-Adressen unterstützt (keine CIDR-Blöcke oder IP-Bereiche).
• HTTP-URLs (einschließlich eines vollständigen URL-Pfads) können für jeden Browser oder Prozess blockiert werden.
• Vollqualifizierte HTTPS-Domänennamen (FQDN) können in Nicht-Microsoft-Browsern blockiert werden (Indikatoren, die einen vollständigen URL-Pfad angeben, können nur in Microsoft Edge blockiert werden)
• Das Blockieren von FQDNs in Nicht-Microsoft-Browsern erfordert, dass QUIC und Encrypted Client Hello in diesen Browsern deaktiviert sind.
• FQDNs, die über http2-Verbindungszusammenführung geladen werden, können nur in Microsoft Edge blockiert werden.
• Der Netzwerkschutz blockiert Verbindungen an allen Ports (nicht nur 80 und 443).

In Nicht-Microsoft Edge-Prozessen bestimmt Netzwerkschutz den vollqualifizierten Domänennamen für jede HTTPS-Verbindung, indem der Inhalt des TLS-Handshakes untersucht wird, der nach einem TCP/IP-Handshake auftritt. Dies erfordert, dass die HTTPS-Verbindung TCP/IP (nicht UDP/QUIC) verwendet und die ClientHello-Nachricht nicht verschlüsselt ist. Informationen zum Deaktivieren von QUIC und Encrypted Client Hello in Google Chrome finden Sie unter QuicAllowed und EncryptedClientHelloEnabled. Informationen zu Mozilla Firefox finden Sie unter Disable EncryptedClientHello und network.http.http3.enable.

Zwischen dem Hinzufügen eines Indikators und der Erzwingung auf dem Client kann eine Wartezeit von bis zu zwei Stunden (in der Regel weniger) auftreten. Weitere Informationen finden Sie unter Schutz vor Web-Bedrohungen.

Benutzerdefinierte Indikatoren

Benutzerdefinierte Indikatorerkennungen werden in Web-Bedrohungsberichten unter Web threat detections over time und Web Threat Summary zusammengefasst.

Benutzerdefinierte Indikatoren bieten Folgendes:

• Die Möglichkeit, IP- und URL-basierte Gefährdungsindikatoren zu erstellen, um Ihre organization vor Bedrohungen zu schützen.
• Die Möglichkeit, das Verhalten auf „Zulassen“, „Blockieren“ oder „Warnen“ festzulegen.
• Untersuchungsfunktionen für Aktivitäten im Zusammenhang mit Ihren benutzerdefinierten IP-/URL-Indikatoren und den Geräten, die auf diese URLs zugreifen.

Weitere Informationen finden Sie unter Erstellen von Indikatoren für IP-Adressen und URLs/Domänen.

Webinhaltsfilterung

Filterblöcke für Webinhalte werden unter Webaktivität nach Kategorie, Zusammenfassung der Webinhaltsfilterung und Zusammenfassung der Webaktivität zusammengefasst.

Die Filterung von Webinhalten bietet Folgendes:

• Die Möglichkeit, Benutzer am Zugriff auf Websites blockierter Kategorien zu hindern, unabhängig davon, ob sie vor Ort oder unterwegs surfen.
• Unterstützung für die Ausrichtung verschiedener Richtlinien auf verschiedene Gerätegruppen, die in den einstellungen für die Microsoft Defender for Endpoint rollenbasierte Zugriffssteuerung definiert sind.

  Hinweis

  Die Erstellung von Gerätegruppen wird in Defender für Endpunkt Plan 1 und Plan 2 unterstützt.

• Webberichterstattung am gleichen zentralen Ort mit Einblick in Blöcke und Webnutzung.

Weitere Informationen finden Sie unter Filtern von Webinhalten.

Rangfolge

Wenn mehrere Webschutzrichtlinien auf dieselbe URL oder IP-Anforderung angewendet werden können, bestimmt die Rangfolge, welche Richtlinie gewinnt. Der Webschutz besteht aus den folgenden Komponenten, die in der Reihenfolge der Rangfolge aufgeführt sind. Jede dieser Komponenten wird vom SmartScreen-Client in Microsoft Edge und vom Netzwerkschutzclient in allen anderen Browsern und Prozessen erzwungen.

• Benutzerdefinierte Indikatoren (IP/URL, Microsoft Defender for Cloud Apps Richtlinien)

  • Zulassen
  • Warnen
  • Blockieren

• Webbedrohungen (Malware, Phish)

  • SmartScreen Intel

• Webinhaltsfilterung (WCF)

Hinweis

Microsoft Defender for Cloud Apps generiert derzeit nur Indikatoren für blockierte URLs.

Die Reihenfolge der Rangfolge beschreibt die Reihenfolge, in der Webschutzkomponenten (benutzerdefinierte Indikatoren, Webbedrohungsschutz und Webinhaltsfilterung) eine URL oder IP auswerten. Wenn Sie beispielsweise über eine Richtlinie zum Filtern von Webinhalten verfügen, können Sie Ausschlüsse über benutzerdefinierte IP-/URL-Indikatoren erstellen. Benutzerdefinierte Kompromittierungsindikatoren (IoC) haben in der Rangfolge eine höhere Priorität als WCF-Blöcke.

Analog dazu haben im Konfliktfall zwischen Indikatoren Zulassungen immer Vorrang vor Sperren (Außerkraftsetzungslogik). Das bedeutet, dass ein Zulassungsindikator Vorrang vor jedem vorhandenen Blockindikator hat.

In der folgenden Tabelle sind einige allgemeine Konfigurationen zusammengefasst, die Konflikte innerhalb des Webschutzstapels verursachen würden. Außerdem werden die resultierenden Ergebnisse anhand der Rangfolge für Webschutzkomponenten ermittelt.

Richtlinie für benutzerdefinierte Indikatoren	Web-Bedrohungsrichtlinie	WCF-Richtlinie	Defender for Cloud Apps-Richtlinie	Ergebnis
Zulassen	Blockieren	Blockieren	Blockieren	Zulassen (Webschutz außer Kraft setzen)
Zulassen	Zulassen	Blockieren	Blockieren	Zulassen (WCF-Ausnahme)
Warnen	Blockieren	Blockieren	Blockieren	Warnen (außer Kraft setzen)

Interne IP-Adressen werden von benutzerdefinierten Indikatoren nicht unterstützt. Bei einer Warnungsrichtlinie, die vom Endbenutzer umgangen wird, wird die Blockierung der Website für diesen Benutzer standardmäßig für 24 Stunden aufgehoben. Dieser Zeitrahmen kann vom Admin geändert werden und wird vom SmartScreen-Clouddienst weitergegeben. Die Möglichkeit, eine Warnung zu umgehen, kann auch in Microsoft Edge mithilfe von CSP für Webbedrohungsblöcke (Malware/Phishing) deaktiviert werden. Weitere Informationen finden Sie unter Microsoft Edge SmartScreen-Einstellungen.

Schützen von Browsern

In allen Webschutzszenarien können SmartScreen und Netzwerkschutz zusammen verwendet werden, um den Schutz sowohl für Microsoft- als auch für Nicht-Microsoft-Browser und -Prozesse sicherzustellen. SmartScreen ist direkt in Microsoft Edge integriert, während der Netzwerkschutz den Datenverkehr in Nicht-Microsoft-Browsern und -Prozessen überwacht. Das folgende Diagramm veranschaulicht, wie SmartScreen und Netzwerkschutz in Microsoft und nicht Microsoft Browsern und Prozessen zusammenarbeiten. Dieses Diagramm der beiden Clients, die zusammenarbeiten, um mehrere Browser-/App-Abdeckungen bereitzustellen, ist für alle Features des Webschutzes (Indikatoren, Webbedrohungen, Inhaltsfilterung) genau.

Probleme mit blockierten Endpunkten beheben

Antworten aus der SmartScreen-Cloud sind standardisiert. Tools wie Telerik Fiddler können verwendet werden, um die Antwort des Clouddiensts zu überprüfen, wodurch die Quelle des Blocks ermittelt werden kann.

Wenn der SmartScreen-Clouddienst mit einer Zulassungs-, Block- oder Warnantwort antwortet, werden eine Antwortkategorie und ein Serverkontext an den Client weitergeleitet. In Microsoft Edge wird die Antwortkategorie verwendet, um die geeignete Blockseite zu bestimmen, die angezeigt werden soll (böswillig, Phishing, Organisationsrichtlinie).

In der folgenden Tabelle sind die Antworten und ihre korrelierten Features aufgeführt.

Antwortkategorie	Für den Block verantwortliche Funktion
CustomPolicy	WCF
CustomBlockList	Benutzerdefinierte Indikatoren
CasbPolicy	Defender für Cloud-Apps
Schädlich	Webbedrohungen
Phishing	Webbedrohungen

Erweiterte Suche für Webschutz

Kusto-Abfragen im erweiterten Hunting lassen sich verwenden, um Webschutzblockierungen in Ihrer Organisation für bis zu 30 Tage zusammenzufassen. Diese Abfragen verwenden die Antwortkategorien aus der Tabelle "Problembehandlungsendpunkte" , um zwischen den verschiedenen Quellen von Blöcken zu unterscheiden und auf benutzerfreundliche Weise zusammenzufassen. Führen Sie die folgende Abfrage aus, um beispielsweise webinhaltsfilterungsblöcke (WCF) zu finden, die von SmartScreen in Microsoft Edge erkannt wurden. Diese Abfrage filtert DeviceEvents nach SmartScreen-URL-Warnaktionen und extrahiert wichtige Felder wie Gerätename, Zeitstempel, URL und die Erlebniskategorie, um Blockierungen durch die Webinhaltsfilterung zu identifizieren.

DeviceEvents
| where ActionType == "SmartScreenUrlWarning"
| extend ParsedFields=parse_json(AdditionalFields)
| project DeviceName, ActionType, Timestamp, RemoteUrl, InitiatingProcessFileName, Experience=tostring(ParsedFields.Experience)
| where Experience == "CustomPolicy"

Um WCF-Blöcke zu identifizieren, die von Netzwerkschutz in nicht Microsoft Browsern erzwungen werden, verwenden Sie die folgende Abfrage. In dieser Abfrage ist ActionTypeExploitGuardNetworkProtectionBlocked und das Filterfeld ist ResponseCategory anstelle von Experience.

DeviceEvents
| where ActionType == "ExploitGuardNetworkProtectionBlocked"
| extend ParsedFields=parse_json(AdditionalFields)
| project DeviceName, ActionType, Timestamp, RemoteUrl, InitiatingProcessFileName, ResponseCategory=tostring(ParsedFields.ResponseCategory)
| where ResponseCategory == "CustomPolicy"

Informationen zum Auflisten von Blöcken, die auf andere Features (z. B. benutzerdefinierte Indikatoren) zurückzuführen sind, finden Sie in der Tabelle "ResponseCategory". In der Tabelle "ResponseCategory" werden die einzelnen Features und die jeweilige Antwortkategorie beschrieben. Diese Abfragen können geändert werden, um nach Telemetriedaten zu bestimmten Computern in Ihrem organization zu suchen. Der in jeder Abfrage angezeigte ActionType zeigt nur die Verbindungen an, die von einem Webschutz-Feature blockiert wurden, und nicht den gesamten Netzwerkdatenverkehr.

Was Benutzer sehen, wenn Webschutz Inhalte blockiert

Wenn ein Benutzer eine Webseite besucht, die ein Risiko für Schadsoftware, Phishing oder andere Webbedrohungen darstellt, zeigt Microsoft Edge eine Blockseite an, die der folgenden Abbildung ähnelt:

Ab Microsoft Edge 124 wird die folgende Blockseite für alle Kategorieblöcke der Webinhaltsfilterung angezeigt.

In jedem Fall werden in Browsern anderer Anbieter als Microsoft keine Sperrseiten angezeigt; stattdessen sieht der Benutzer die Seite „Fehler bei der sicheren Verbindung“ zusammen mit einer Windows-Toastbenachrichtigung. Je nach Richtlinie, die die Sperrung verursacht, sieht ein Benutzer in der Pop-up-Benachrichtigung eine andere Meldung. Beim Filtern von Webinhalten wird beispielsweise die Meldung "Dieser Inhalt ist blockiert" angezeigt.

Falsch positive Ergebnisse melden

Verwenden Sie zum Melden eines falsch positiven Ergebnisses für Websites, die von SmartScreen als gefährlich eingestuft wurden, den Link, der auf der Microsoft Edge-Blockseite angezeigt wird.

Für die Webinhaltsfilterung (WCF) können Sie eine Blockierung mithilfe eines Zulassen-Indikators außer Kraft setzen und optional die Kategorie einer Domäne anfechten. Navigieren Sie zur Registerkarte Domänen der WCF-Berichte. Neben jeder Domäne sehen Sie ein Auslassungszeichen. Zeigen Sie auf dieses Auslassungssymbol und wählen Sie Streitkategorie aus. Ein Ausklappfenster wird geöffnet. Legen Sie die Priorität des Incidents fest, und geben Sie einige weitere Details an, z. B. die vorgeschlagene Kategorie. Weitere Informationen zum Aktivieren von WCF und zum Bestreiten von Kategorien finden Sie unter Filtern von Webinhalten.

Weitere Informationen zum Übermitteln falsch positiver/negativer Ergebnisse finden Sie unter Behandeln falsch positiver/negativer Ergebnisse in Microsoft Defender for Endpoint.

Verwandte Artikel

Artikel	Beschreibung
Internet-Bedrohungsschutz	Verhindern Sie den Zugriff auf Phishing-Websites, Schadsoftwarevektoren, Exploit-Websites, nicht vertrauenswürdige oder reputationsschwache Websites und blockierte Websites.
Internet-Inhaltsfilterung	Nachverfolgen und Regulieren des Zugriffs auf Websites basierend auf deren Inhaltskategorien.