Dateien mithilfe der Tenant Allow/Block List zulassen oder blockieren

Tipp

Wussten Sie, dass Sie die Features in Microsoft Defender für Office 365 Plan 2 kostenlos testen können? Verwenden Sie die 90-Tage-Testversion von Defender für Office 365 im Microsoft Defender-Portal-Testversionshub. Informationen dazu, wer sich registrieren und testen kann, finden Sie unter Try Microsoft Defender for Office 365.

In allen Organisationen mit Cloudpostfächern können Administratoren Einträge für Dateien in der Zulassungs-/Sperrliste des Mandanten erstellen und verwalten. Weitere Informationen zur Mandanten-Zulassungs-/Sperrliste finden Sie unter Zulassungen und Sperrungen in der Mandanten-Zulassungs-/Sperrliste verwalten. Der Abgleich von Datei-Hashes mit der Mandanten-Zulassungs-/Sperrliste gilt für alle Dateien, die während der Nachrichtenanalyse extrahiert werden, dazu gehören auch:

  • Standardanhänge.
  • Inline- oder eingebetteter Inhalt. Beispiel:
    • Bilder im Nachrichtentext.
    • Dateien, die in unterstützten Anlagentypen enthalten sind.

In diesem Artikel wird beschrieben, wie Administratoren Einträge für Dateien im Microsoft Defender-Portal und in Exchange Online PowerShell verwalten können.

Was sollten Sie wissen, bevor Sie beginnen?

  • Sie öffnen das Microsoft Defender-Portal unter https://security.microsoft.com. Um direkt zur Seite Zulassungs-/Sperrlisten für Mandanten zu wechseln, verwenden Sie https://security.microsoft.com/tenantAllowBlockList. Um direkt zur Seite Übermittlungen zu wechseln, verwenden Sie https://security.microsoft.com/reportsubmission.

  • Wie Sie eine Verbindung mit Exchange Online PowerShell herstellen, finden Sie unter Herstellen einer Verbindung mit Exchange Online PowerShell.

  • Sie geben Dateien mithilfe des SHA256-Hashwerts der Datei an. Um den SHA256-Hashwert einer Datei in Windows zu finden, verwenden Sie den folgenden PowerShell-Befehl, um den SHA-256-Hash der Datei zu berechnen, bevor Sie sie zur Zulassungs-/Sperrliste des Mandanten hinzufügen:

    Get-FileHash -Path "<Path>\<Filename>" -Algorithm SHA256

    Ein Beispielwert ist 768a813668695ef2483b2bde7cf5d1b2db0423a0d3e63e498f3ab6f2eb13ea3a. PHash-Werte (Perceptual Hash) werden nicht unterstützt.

  • Eintragsgrenzwerte für Dateien:

    • Microsoft 365-Organisationen ohne Defender für Office 365: Maximal 1000 Dateieinträge insgesamt:
      • Einträge zulassen: maximal 500.
      • Blockeinträge: maximal 500
    • Microsoft 365-Organisationen mit Defender for Office 365 Plan 1 (enthalten oder als Add-On-Abonnement): Maximal insgesamt 2.000 Dateieinträge:
      • Einträge zulassen: maximal 1000.
      • Blockeinträge: maximal 1000.
    • Microsoft 365-Organisationen mit Defender für Office 365 Plan 2 (enthalten oder in einem Add-On-Abonnement): Insgesamt maximal 15.000 Dateieinträge:
      • Einträge zulassen: maximal 5000.
      • Blockeinträge: maximal 10.000.

  • Sie können maximal 64 Zeichen in einen Dateieintrag eingeben.

  • Ein Eintrag sollte innerhalb von 5 Minuten aktiv sein.

  • Ihnen müssen Berechtigungen zugewiesen werden, bevor Sie die Verfahren in diesem Artikel ausführen können. Sie haben folgende Optionen:

    • Microsoft Defender XDR – einheitliche rollenbasierte Zugriffssteuerung (RBAC) (Wenn die Berechtigung für E-Mail & Zusammenarbeit>Defender for Office 365Aktiv ist. Betrifft nur das Defender-Portal, nicht PowerShell):

      • Einträge aus der Zulassungs-/Sperrliste für Mandanten hinzufügen und entfernen: Mitgliedschaft mit den folgenden Berechtigungen:
        • Autorisierung und Einstellungen/Sicherheitseinstellungen/Erkennungsoptimierung (verwalten)
      • Schreibgeschützter Zugriff auf die Mandanten-Zulassungs-/Sperrliste:
        • Autorisierung und Einstellungen/Sicherheitseinstellungen/Schreibgeschützt.
        • Autorisierung und Einstellungen/Sicherheitseinstellungen/Core-Sicherheitseinstellungen (lesen).

    • Exchange Online Berechtigungen:

      • Einträge aus der Zulassungs-/Sperrliste für Mandanten hinzufügen und entfernen: Mitgliedschaft in einer der folgenden Rollengruppen:
        • Organisationsverwaltung oder Sicherheitsadministrator (Rolle "Sicherheitsadministrator").
        • Sicherheitsoperator (Mandantenrolle AllowBlockList Manager): Diese Berechtigung funktioniert nur, wenn sie direkt im Exchange Admin Center unter https://admin.exchange.microsoft.com>Rollen>Admin Rollen zugewiesen wird.
      • Schreibgeschützter Zugriff auf die Zulassungs-/Sperrliste für Mandanten: Mitgliedschaft in einer der folgenden Rollengruppen:
        • Globales Lesegerät
        • Sicherheitsleser
        • Konfiguration nur anzeigen
        • Schreibgeschützte Organisationsverwaltung

    • Microsoft Entra Berechtigungen: Durch die Mitgliedschaft in den Rollen "Globaler Administrator*", "Sicherheitsadministrator", "Globaler Leser" oder "Sicherheitsleseberechtigter" erhalten Benutzer die erforderlichen Berechtigungen und Berechtigungen für andere Features in Microsoft 365.

      Wichtig

      * Microsoft setzt sich nachdrücklich für das Prinzip der geringsten Rechte ein. Wenn Sie Konten nur die minimalen Berechtigungen zuweisen, die zum Ausführen ihrer Aufgaben erforderlich sind, können Sie Sicherheitsrisiken reduzieren und den allgemeinen Schutz Ihrer organization stärken. Globaler Administrator ist eine Rolle mit hohen Berechtigungen, die Sie auf Notfallszenarien beschränken sollten oder wenn Sie keine andere Rolle verwenden können.

  • Eine Registerkarte "Dateien" ist nur auf der Seite "Übermittlungen" in Organisationen mit Microsoft Defender oder Microsoft Defender for Endpoint Plan 2 verfügbar. Informationen und Anweisungen zum Übermitteln von Dateien über die Registerkarte Files finden Sie unter Übermitteln von Dateien in Microsoft Defender for Endpoint.

Erstellen Sie Zulassungseinträge für Dateien

Sie können keine Zulassungseinträge für Dateien direkt in der Zulassungs-/Sperrliste des Mandanten erstellen. Unnötige Zulassungseinträge setzen Ihre Organisation bösartigen E-Mails aus, die das System andernfalls filtern würde.

Stattdessen verwenden Sie die Registerkarte Email Anlagen auf der Seite Übermittlungen unter https://security.microsoft.com/reportsubmission?viewid=emailAttachment. Wenn Sie eine blockierte Datei als Ich habe bestätigt, dass die Datei unbedenklich ist übermitteln, können Sie Diese Datei zulassen auswählen, um auf der Registerkarte Files auf der Seite Zulassungs-/Sperrlisten für Mandanten einen Zulassen-Eintrag für die Datei hinzuzufügen. Anweisungen finden Sie unter Unbedenkliche E-Mail-Anlagen an Microsoft übermitteln.

Tipp

Einträge für die Zulassung aus Übermittlungen werden während des Nachrichtenflusses anhand der Filter hinzugefügt, die bestimmt haben, dass die Nachricht bösartig war. Wenn beispielsweise die Absender-E-Mail-Adresse und eine URL in der Nachricht als bösartig eingestuft werden, wird ein Zulassungseintrag für den Absender (E-Mail-Adresse oder Domäne) und die URL erstellt.

Während des Nachrichtenflusses oder zum Zeitpunkt des Klicks werden Nachrichten, die die Entitäten in den Einträgen der Zulassungsliste enthalten, zugestellt, wenn sie andere Prüfungen im Filterstapel bestehen (alle Filter, die den zugelassenen Entitäten zugeordnet sind, werden übersprungen). Wenn eine Nachricht beispielsweise E-Mail-Authentifizierungsprüfungen, URL-Filterung und Dateifilterung erfolgreich durchläuft, wird eine Nachricht von einer zugelassenen Absender-E-Mail-Adresse zugestellt, wenn sie außerdem von einem zugelassenen Absender stammt.

Standardmäßig werden Zulassungseinträge für Domänen und E-Mail-Adressen, Dateien und URLs 45 Tage lang aufbewahrt, nachdem das Filtersystem festgestellt hat, dass die Entität sauber ist, und dann wird der Zulassungseintrag entfernt. Alternativ können Sie zulassen festlegen, dass Einträge bis zu 30 Tage nach der Erstellung ablaufen. Zulassen, dass Einträge für gefälschte Absender nie ablaufen .

Während des Klickens setzt die Datei zulassen-Eingabe alle Filter außer Kraft, die der Dateientität zugeordnet sind, sodass Benutzer auf die Datei zugreifen können.

Erstellen von Blockeinträgen für Dateien

Email Nachrichten, die diese blockierten Dateien enthalten, werden als Schadsoftware blockiert. Nachrichten, die die blockierten Dateien enthalten, werden unter Quarantäne gesetzt.

Verwenden Sie eine der folgenden Methoden, um Blockeinträge für Dateien zu erstellen:

Verwenden Sie das Microsoft Defender-Portal, um Sperreinträge für Dateien in der Mandanten-Zulassungs-/Sperrliste zu erstellen

Führen Sie die folgenden Schritte aus, um einen Blockeintrag für Dateien direkt im Microsoft Defender-Portal zu erstellen:

  1. Navigieren Sie im Microsoft Defender-Portal unter https://security.microsoft.comzu E-Mail & Zusammenarbeit>Richtlinien & Regeln>Bedrohungsrichtlinien>Regeln>Mandanten-Zulassungs-/Sperrlisten. Oder verwenden Sie , um direkt die Seite https://security.microsoft.com/tenantAllowBlockList aufzurufen.

  2. Wählen Sie auf der Seite Zulassungs-/Sperrlisten für Mandanten die Registerkarte Files aus.

  3. Wählen Sie auf der Registerkarte Files die Option Hinzufügen und dann Blockieren aus.

  4. Konfigurieren Sie im daraufhin geöffneten Flyout Dateien blockieren die folgenden Einstellungen:

    • Dateihashes hinzufügen: Geben Sie einen SHA256-Hashwert pro Zeile ein, bis zu einem Maximum von 20.

    • Blockeintrag entfernen nach: Wählen Sie einen der folgenden Werte aus:

      • 1 Tag
      • 7 Tage
      • 30 Tage (Standard)
      • Nie ablaufen
      • Spezifisches Datum: Der Höchstwert beträgt 90 Tage ab heute.

    • Optionaler Hinweis: Geben Sie beschreibenden Text ein, warum Sie die Dateien blockieren.

    Wenn Sie mit dem Flyout Dateien blockieren fertig sind, wählen Sie Hinzufügen aus.

Zurück auf der Registerkarte Files wird der Eintrag aufgelistet.

Verwenden Sie PowerShell, um Sperreinträge für Dateien in der Mandanten-Zulassungs-/Sperrliste zu erstellen.

Verwenden Sie in Exchange Online PowerShell die folgende Syntax, um Blockeinträge für Dateihashes in der Zulassungs-/Sperrliste des Mandanten zu erstellen:

New-TenantAllowBlockListItems -ListType FileHash -Block -Entries "HashValue1","HashValue2",..."HashValueN" <-ExpirationDate Date | -NoExpiration> [-Notes <String>]

In diesem Beispiel werden Blockeinträge für zwei Dateihashes hinzugefügt und so konfiguriert, dass sie nie ablaufen.

New-TenantAllowBlockListItems -ListType FileHash -Block -Entries "768a813668695ef2483b2bde7cf5d1b2db0423a0d3e63e498f3ab6f2eb13ea3","2c0a35409ff0873cfa28b70b8224e9aca2362241c1f0ed6f622fef8d4722fd9a" -NoExpiration

Ausführliche Informationen zu Syntax und Parametern finden Sie unter New-TenantAllowBlockListItems.

Verwenden Sie das Microsoft Defender-Portal, um Einträge für Dateien in der Zulassungs-/Blockierungsliste des Mandanten anzuzeigen.

Wechseln Sie im Microsoft Defender-Portal unter https://security.microsoft.comzu E-Mail & Zusammenarbeit>Richtlinien & Regeln>Bedrohungsrichtlinien>Mandanten-Zulassungs-/Sperrlisten im Abschnitt Regeln. Oder verwenden Sie , um direkt die Seite https://security.microsoft.com/tenantAllowBlockList aufzurufen.

Wählen Sie die Registerkarte Files aus.

Auf der Registerkarte Files können Sie die Einträge sortieren, indem Sie auf eine verfügbare Spaltenüberschrift klicken. Die folgenden Spalten sind verfügbar:

  • Wert: Der Dateihash.
  • Aktion: Die verfügbaren Werte sind Zulassen oder Blockieren.
  • Urteile außer Kraft setzen: Die verfügbaren Werte sind Bis zu Schadsoftware für Block‑ und Zulassungseinträge.
  • Geändert von
  • Zuletzt aktualisiert
  • Datum der letzten Verwendung: Das Datum, an dem der Eintrag zuletzt im Filtersystem verwendet wurde, um das Urteil zu überschreiben.
  • Entfernen am: Das Ablaufdatum.
  • Hinweise

Um die Einträge zu filtern, wählen Sie Filter aus. Die folgenden Filter sind im geöffneten Filter-Flyout verfügbar:

  • Aktion: Die verfügbaren Werte sind Zulassen und Blockieren.
  • Läuft nie ab: oder
  • Zuletzt aktualisiert: Wählen Sie ein Von- und ein Bis-Datum aus.
  • Datum der letzten Verwendung: Wählen Sie Datumsangaben Von und Bis aus.
  • Entfernen am: Wählen Sie Datumsangaben Von und Bis aus.
  • Geändert von: Geben Sie eine unvollständige oder vollständige E-Mail-Adresse ein, um danach zu suchen.

Wenn Sie im Filter-Flyout fertig sind, wählen Sie Anwenden aus. Um die Filter zu löschen, wählen Sie Filter löschen aus.

Verwenden Sie das Suchfeld und einen entsprechenden Wert, um nach bestimmten Einträgen zu suchen.

Um die Einträge zu gruppieren, wählen Sie Gruppieren und dann Aktion aus. Um die Gruppierung der Einträge aufzuheben, wählen Sie Keine aus.

Verwenden Sie PowerShell, um Einträge für Dateien in der Mandanten-Zulassungs-/Sperrliste anzuzeigen.

Verwenden Sie in Exchange Online PowerShell die folgende Syntax, um Dateihash-Einträge aus der Zulassungs-/Sperrliste für Mandanten abzurufen. Sie können die Ergebnisse nach Aktion (Zulassen oder Blockieren), bestimmtem Hashwert oder Ablaufstatus filtern:

Get-TenantAllowBlockListItems -ListType FileHash [-Allow] [-Block] [-Entry <FileHashValue>] [<-ExpirationDate Date | -NoExpiration>]

Dieses Beispiel listet alle Dateihash-Einträge (sowohl Zulassungs- als auch Sperreinträge) in der Tenant Allow/Block List auf.

Get-TenantAllowBlockListItems -ListType FileHash

In diesem Beispiel wird ein bestimmter SHA-256-Datei-Hash in der Mandanten-Zulassungs-/Sperrliste nachgeschlagen und dessen Eintragsdetails werden zurückgegeben.

Get-TenantAllowBlockListItems -ListType FileHash -Entry "9f86d081884c7d659a2feaa0c55ad015a3bf4f1b2b0b822cd15d6c15b0f00a08"

In diesem Beispiel werden nur die blockierten Datei-Hash-Einträge aus der Mandanten-Zulassungs-/Sperrliste zurückgegeben.

Get-TenantAllowBlockListItems -ListType FileHash -Block

Ausführliche Informationen zu Syntax und Parametern finden Sie unter Get-TenantAllowBlockListItems.

Verwenden Sie das Microsoft Defender-Portal, um Einträge für Dateien in der Mandanten-Zulassungs-/Sperrliste zu ändern.

In vorhandenen Dateieinträgen können Sie das Ablaufdatum und die Notiz ändern.

  1. Navigieren Sie im Microsoft Defender-Portal unter https://security.microsoft.comzu E-Mail & Zusammenarbeit>Richtlinien & Regeln>Bedrohungsrichtlinien>Regeln>Mandanten-Zulassungs-/Sperrlisten. Oder verwenden Sie , um direkt die Seite https://security.microsoft.com/tenantAllowBlockList aufzurufen.

  2. Wählen Sie die Registerkarte Files aus.

  3. Wählen Sie auf der Registerkarte Files den Eintrag aus der Liste aus, indem Sie das Kontrollkästchen neben der ersten Spalte aktivieren, und wählen Sie dann die angezeigte Aktion Bearbeiten aus.

  4. Im daraufhin geöffneten Datei bearbeiten-Flyout sind die folgenden Einstellungen verfügbar:

    • Blockieren von Einträgen:
      • Blockeintrag entfernen nach: Wählen Sie einen der folgenden Werte aus:
        • 1 Tag
        • 7 Tage
        • 30 Tage
        • Nie ablaufen
        • Spezifisches Datum: Der Höchstwert beträgt 90 Tage ab heute.
      • Optionaler Hinweis
    • Einträge zulassen:
      • Zulassungseintrag entfernen nach: Wählen Sie einen der folgenden Werte aus:
        • 1 Tag
        • 7 Tage
        • 30 Tage
        • 45 Tage nach dem letzten Nutzungsdatum
        • Spezifisches Datum: Der Höchstwert beträgt 30 Tage ab heute.
      • Optionaler Hinweis

    Wenn Sie im Flyout Datei bearbeiten fertig sind, wählen Sie Speichern aus.

Tipp

Verwenden Sie im Detail-Flyout eines Eintrags auf der Registerkarte Dateien oben im Flyout die Option Einreichung anzeigen, um zu den Details des entsprechenden Eintrags auf der Seite Einreichungen zu gelangen. Diese Aktion ist verfügbar, wenn eine Übermittlung für die Erstellung des Eintrags in der Zulassungs-/Sperrliste des Mandanten verantwortlich war.

Verwenden von PowerShell zum Ändern vorhandener Zulassungs- oder Blockierungseinträge für Dateien in der Mandanten-Zulassungs-/Sperrliste

Verwenden Sie in Exchange Online PowerShell die folgende Syntax, um vorhandene Dateihasheinträge in der Zulassungs-/Sperrliste des Mandanten zu aktualisieren, z. B. das Ablaufdatum oder die Notizen zu ändern:

Set-TenantAllowBlockListItems -ListType FileHash <-Ids <Identity value> | -Entries <Value>> [<-ExpirationDate Date | -NoExpiration>] [-Notes <String>]

In diesem Beispiel wird das Ablaufdatum des angegebenen Dateihashblockeintrags auf den 1. September 2022 aktualisiert.

Set-TenantAllowBlockListItems -ListType FileHash -Entries "27c5973b2451db9deeb01114a0f39e2cbcd2f868d08cedb3e210ab3ece102214" -ExpirationDate "9/1/2022"

Ausführliche Informationen zu Syntax und Parametern finden Sie unter Set-TenantAllowBlockListItems.

Verwenden Sie das Microsoft Defender-Portal, um Einträge für Dateien aus der Zulassungs-/Sperrliste des Mandanten zu entfernen.

  1. Navigieren Sie im Microsoft Defender-Portal unter https://security.microsoft.comzu E-Mail & Zusammenarbeit>Richtlinien & Regeln>Bedrohungsrichtlinien>Regeln>Mandanten-Zulassungs-/Sperrlisten. Oder verwenden Sie , um direkt die Seite https://security.microsoft.com/tenantAllowBlockList aufzurufen.

  2. Wählen Sie die Registerkarte Files aus.

  3. Führen Sie auf der Registerkarte Files einen der folgenden Schritte aus:

    • Wählen Sie den Eintrag aus der Liste aus, indem Sie das Kontrollkästchen neben der ersten Spalte aktivieren, und wählen Sie dann die angezeigte Aktion Löschen aus.

    • Wählen Sie den Eintrag aus der Liste aus, indem Sie auf eine beliebige Stelle in der Zeile klicken, die nicht das Kontrollkästchen ist. Wählen Sie im geöffneten Flyout mit den Details oben im Flyout Löschen aus.

      Tipp

      Um Details zu anderen Einträgen anzuzeigen, ohne das Details-Flyout zu verlassen, verwenden Sie Vorheriges Element und Nächstes Element oben im Flyout.

  4. Wählen Sie im daraufhin geöffneten Warnungsdialogfeld Die Option Löschen aus.

Zurück auf der Registerkarte Files wird der Eintrag nicht mehr aufgeführt.

Tipp

Sie können mehrere Einträge auswählen, indem Sie jedes Kontrollkästchen aktivieren, oder alle Einträge auswählen, indem Sie das Kontrollkästchen neben der Spaltenüberschrift Wert aktivieren.

Verwenden von PowerShell zum Entfernen von Einträgen für Dateien aus der Zulassungs-/Sperrliste für Mandanten

Verwenden Sie in Exchange Online PowerShell die folgende Syntax, um Dateihash-Einträge aus der Zulassungs-/Sperrliste für Mandanten zu löschen. Sie können Einträge anhand ihres Identitätswerts oder Hashwerts angeben:

Remove-TenantAllowBlockListItems -ListType FileHash <-Ids <Identity value> | -Entries <Value>>

In diesem Beispiel wird der Datei-Hash-Eintrag mit dem angegebenen SHA-256-Wert aus der Tenant Allow/Block List entfernt.

Remove-TenantAllowBlockListItems -ListType FileHash -Entries "27c5973b2451db9deeb01114a0f39e2cbcd2f868d08cedb3e210ab3ece102214"

Ausführliche Informationen zur Syntax und zu den Parametern finden Sie unter Remove-TenantAllowBlockListItems.

Verwandte Inhalte

  • Zuletzt aktualisiert um