Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Dieser Artikel erläutert, wie Microsoft Defender for Identity-Erkennungsausschlüsse in Microsoft Defender konfiguriert werden.
Microsoft Defender for Identity ermöglicht den Ausschluss bestimmter IP-Adressen, Computer, Domänen oder Benutzer von einer Reihe von Erkennungen.
Beispielsweise könnte eine DNS-Reconnaissance-Warnung von einem Sicherheitsscanner ausgelöst werden, der DNS als Scanmechanismus verwendet. Das Erstellen eines Ausschlusses hilft Microsoft Defender for Identity solche Scanner zu ignorieren und falsch positive Ergebnisse zu reduzieren.
Hinweis
Es wird empfohlen, eine Warnung in Microsoft Defender XDR zu optimieren, anstatt Ausschlüsse zu verwenden. Warnungsoptimierungsregeln ermöglichen präzisere Bedingungen als Ausschlüsse und ermöglichen es Ihnen, die Warnungen zu überprüfen, die optimiert wurden.
Unter den häufigsten Domänen mit Verdächtiger Kommunikation über DNS-Warnungen haben wir die Domänen beobachtet, die am häufigsten von der Warnung ausgeschlossen wurden. Diese Domänen werden standardmäßig der Ausschlussliste hinzugefügt, aber Sie haben die Möglichkeit, sie zu entfernen.
Important
Da Defender für Identitätserkennungen auf die Microsoft Defender XDR-Erkennungs-Engine wechselt, werden bestehende Erkennungsausschlüsse nicht automatisch übernommen. Nach einer Erkennungsbewegung werden zuvor konfigurierte Ausschlüsse nicht mehr angewendet, und zuvor unterdrückte Warnungen können wieder erscheinen. Um Ihre Abstimmung zu erhalten, stellen Sie eine gleichwertige Abstimmung mit Alert-Tuning-Regeln im Microsoft Defender-Portal nach.
So fügen Sie Ausschlüsse für die Erkennung hinzu
Führen Sie die folgenden Schritte aus, um Erkennungsausschlüsse hinzuzufügen.
Hinweis
Wenn Sie einen Ausschluss durch eine Alert-Tuning-Regel ersetzen, finden Sie die Erkennung für die ausgeschlossene Entität. Dann wird es dem Matching-Detektor im Alert-Tuning zugeordnet. Nachdem du die Regel erstellt hast, überprüfe, ob der Detektor im Microsoft Defender-Portal unter Alert-Tuning angezeigt wird. Dies bestätigt, dass der Alarmbereich korrekt ist.
Melden Sie sich beim Microsoft Defender-Portal an.
Wechseln Sie zu Systemeinstellungen> und dann zu Identitäten.
Wählen Sie Ausgeschlossene Entitäten aus. Sie können Ausschlüsse mit zwei Methoden festlegen: Ausschlüsse nach Erkennungsregel und Globale ausgeschlossene Entitäten.
Ausschlüsse nach Erkennungsregel
Führen Sie die folgenden Schritte aus, um Ausschlüsse für eine bestimmte Erkennungsregel zu konfigurieren:
Wählen Sie Ausschlüsse nach Erkennungsregel aus.
Führen Sie für jede Erkennung, die Sie konfigurieren möchten, die folgenden Schritte aus:
Wählen Sie eine Erkennungsregel aus der Liste aus.
Zeigen Sie die Details der Erkennungsregel an.
Um einen Ausschluss hinzuzufügen, wählen Sie die Schaltfläche Ausgeschlossene Entitäten aus.
Wählen Sie den Ausschlusstyp, wie Benutzer, Geräte, Domains oder IP-Adressen. Jede Regel unterstützt unterschiedliche Entitätstypen. In diesem Beispiel sind die Optionen Geräte ausschließen und IP-Adressen ausschließen.
Nachdem Sie den Ausschlusstyp ausgewählt haben, wählen Sie die + Schaltfläche aus, um den Ausschluss hinzuzufügen.
Wählen Sie + Hinzufügen aus, um die ausgeschlossene Entität zur Liste hinzuzufügen.
Wählen Sie IP-Adressen ausschließen (in diesem Beispiel) aus, um den Ausschluss abzuschließen.
Nachdem du Ausschlüsse hinzugefügt hast, kannst du sie exportieren oder entfernen. Zurück zum Button Ausgeschlossene Entitäten . In diesem Beispiel wählen Sie Geräte ausschließen. Um die Liste zu exportieren, wählen Sie die Nach-unten-Schaltfläche aus.
Um einen Ausschluss zu löschen, wählen Sie den Ausschluss und dann das Papierkorbsymbol aus. Das Löschen eines Ausschlusses entfernt ihn sofort und kann dazu führen, dass verwandte Warnungen fortgesetzt werden.
Globale ausgeschlossene Entitäten
Sie können auch Ausschlüsse konfigurieren, indem Sie globale ausgeschlossene Entitäten verwenden. Globale Ausschlüsse ermöglichen es, bestimmte Entitäten (IP-Adressen, Subnetze, Geräte oder Domains) von allen Defender für Identitätserkennungen auszuschließen. Wenn Sie beispielsweise ein Gerät ausschließen, gilt der Ausschluss nur für Erkennungen, die eine Geräteidentifikation verwenden.
Wählen Sie Global ausgeschlossene Entitäten aus, um die Kategorien von Entitäten anzuzeigen, die Sie ausschließen können.
Wählen Sie einen Ausschlusstyp aus. In diesem Beispiel haben wir Domänen ausschließen ausgewählt.
Es wird ein Bereich geöffnet, in dem Sie eine Auszuschließende Domäne hinzufügen können. Fügen Sie die Domäne hinzu, die Sie ausschließen möchten.
Die Domäne wird der Liste hinzugefügt. Wählen Sie Domänen ausschließen aus, um den Ausschluss abzuschließen.
Anschließend wird die Domäne in der Liste der Entitäten angezeigt, die von allen Erkennungsregeln ausgeschlossen werden sollen. Sie können die Liste exportieren oder die Entitäten entfernen, indem Sie sie auswählen und die Schaltfläche Entfernen auswählen.
