Objekte bei der automatischen Angriffsunterbrechung von automatisierten Reaktionen ausschließen

Verwenden Sie Ausschlussrichtlinien, um zu verhindern, dass automatische Angriffsunterbrechung in Microsoft Defender XDR ausgewählte Reaktionsaktionen auf bestimmte Assets anwendet.

Richtlinien zur Unterbrechung von Angriffen und Ausschlussrichtlinien arbeiten zusammen, um aktive Cyberbedrohungen einzudämmen. Automatische Angriffsunterbrechung ist eine eingebaute, KI-gestützte Fähigkeit, die die Absicht der Angreifer analysiert und kompromittierte Ressourcen identifiziert. Es kann Geräte isolieren oder Benutzerkonten deaktivieren, um einen laufenden Angriff zu stoppen. Ausschlussrichtlinien erlauben es Sicherheitsteams, bestimmte Assets oder Aktionen von diesen Reaktionen auszuschließen. Zum Beispiel können Sie verhindern, dass kritische Server isoliert oder kritische Konten deaktiviert werden, um unbeabsichtigte Geschäftsstörungen zu vermeiden. Sie können jederzeit Ausschlüsse entfernen, um Assets wieder in automatisierte Antworten einzubinden.

Achtung

Das Ausschließen von Ressourcen aus automatisierten Antworten wird nicht empfohlen. Sie kann die Effektivität automatischer Angriffsunterbrechungen reduzieren, um Ihre Umgebung vor komplexen Angriffen mit hohem Einfluss zu schützen.

Voraussetzungen

Die erforderlichen Berechtigungen zur Verwaltung von Ausnahmen für die Angriffsunterbrechung hängen davon ab, ob Microsoft Defender XDR Unified role-based access control (RBAC) für das betreffende Produkt aktiviert ist.

Geräteausschlüsse

Die folgende Tabelle listet die Berechtigungen auf, die zur Verwaltung von Geräteausschlüssen erforderlich sind.

Unified RBAC für Endgeräte	Erforderliche Berechtigung
Disabled	Rolle "Sicherheitsadministrator" oder "Globaler Administrator" in Microsoft Entra ID oder der Microsoft 365 Admin Center.
Aktiviert	Globale Microsoft Entra-Rolle „Sicherheitsoperator“ (oder höher) oder die Berechtigung Zentrale Sicherheitseinstellungen (verwalten) in Unified RBAC.

Informationen zur Aktivierung von Unified RBAC finden Sie unter Microsoft Defender XDR Unified RBAC aktivieren.

Identitätsausschlüsse

Identitätsausschlüsse beeinflussen automatisierte Antwortaktionen sowohl in Defender for Identity als auch in Defender for Endpoint. Die folgende Tabelle listet die Berechtigungen auf, die zur Verwaltung von Identitätsausschlüssen für jedes bereitgestellte Produkt erforderlich sind.

Einheitliches RBAC für Identitäten und Endpunkte	Erforderliche Berechtigung
Deaktiviert für Identitäten und Endpunkte	Rolle "Sicherheitsadministrator" oder "Globaler Administrator" in Microsoft Entra ID oder der Microsoft 365 Admin Center.
Aktiviert	globale Microsoft Entra-Rolle „Security Operator“ (oder höher), oder die Core security settings (manage)-Berechtigung in Unified RBAC für die Datenquellen Microsoft Defender for Endpoint und Microsoft Defender for Identity. Wenn eines der beiden Produkte nicht bereitgestellt wird, ist keine Berechtigung für seine Datenquelle erforderlich.

Informationen zu Rollenzuweisungen und Datenquellenumfang finden Sie unter Erstellen einer benutzerdefinierten Rolle.

Note

Ein Sicherheitsleser kann Ausschlüsse und Tags anzeigen, aber nicht bearbeiten.

Ausschlusstypen und -ansätze

Sie können bestimmte Ressourcen ausschließen oder allgemeine richtliniengesteuerte Regeln basierend auf Ihren betrieblichen Anforderungen konfigurieren.

Ressourcen ausschließen

Benutzerkontoausschlüsse verhindern, dass bestimmte Benutzeridentitäten automatisch deaktiviert werden, wenn ein Angriff erkannt wird. Verwenden Sie dies für Dienstkonten, Notfalladministratorkonten oder Identitäten, die wichtige Geschäftsprozesse unterstützen.

Mithilfe von Gerätegruppenausschlüssen können Sie Automatisierungsstufen für Gerätegruppen festlegen, steuern, ob und wie Geräte auf erkannte Bedrohungen reagieren. Verwenden Sie dies, um die Sicherheit mit der Geschäftskontinuität für kritische Infrastruktur, ältere Systeme oder Geräte, auf denen unternehmenskritische Anwendungen ausgeführt werden, abzuwägen.

IP-Ausschlüsse verhindern, dass bestimmte IP-Adressen oder Bereiche automatisch enthalten sind. Verwenden Sie diese Für kritische Infrastruktur-IP-Bereiche, Ältere Systeme oder externe Dienste, auf denen Ihre Organisation basiert.

Benutzerkonten ausschließen

Schließen Sie Benutzerkonten aus, um zu verhindern, dass kritische Dienstkonten, Notfalladministratorkonten oder Identitäten, die wichtige Geschäftsprozesse unterstützen, während eines Angriffs automatisch deaktiviert werden. Dies trägt dazu bei, die Geschäftskontinuität für wichtige Funktionen aufrechtzuerhalten, während Unterbrechungsaktionen gegen andere kompromittierte Konten fortgesetzt werden.

So schließen Sie ein Benutzerkonto aus automatisierten Antworten aus:

1. Wechseln Sie zum Microsoft Defender-Portal, und melden Sie sich an.

2. Wechseln Sie zu Einstellungen>Microsoft Defender XDR.

Führen Sie die folgenden Schritte aus, um ein oder mehrere Benutzerkonten aus automatisierten Antworten auszuschließen:

1. Wählen Sie unter Automatisierte Antwortdie Option Identitäten aus.

2. Wählen Sie "Benutzerausschluss hinzufügen" aus. Ein Flyoutbereich wird angezeigt.

   

3. Geben Sie im Flyoutbereich die Benutzernamen im Feld Benutzer auswählen ein, und wählen Sie die Benutzerkonten aus, die Sie ausschließen möchten.

   

4. Wählen Sie Benutzer ausschließen aus, um den Ausschluss zu speichern.

Ausschließen von Gerätegruppen

Schließen Sie Gerätegruppen aus, um kritische Infrastruktur, Ältere Systeme oder Geräte, die unternehmenskritische Anwendungen ausführen, vor automatischer Eindämmung oder Isolation zu schützen. Mit diesem Ansatz können Sie Unterbrechungen für den Großteil Ihrer Umgebung aktiviert lassen und gleichzeitig bestimmte Gerätegruppen ausnehmen, die aufgrund betrieblicher Abhängigkeiten anders behandelt werden müssen.

Achtung

Das Ausschließen von Gerätegruppen aus automatisierten Antworten wirkt sich auch auf automatisierte Untersuchungs- und Reaktionsaktionen aus.

So schließen Sie eine Gerätegruppe von automatisierten Antworten aus:

1. Wechseln Sie zum Microsoft Defender-Portal, und melden Sie sich an.

2. Wechseln Sie zu Einstellungen>Microsoft Defender XDR.

3. Wählen Sie unter Automatisierte Antworten die Option Geräte aus.

4. Wählen Sie auf der Registerkarte Gerätegruppen eine Gerätegruppe aus, indem Sie das Kontrollkästchen neben dem Gruppennamen in der Liste aktivieren, um einstellungen für die Automatisierung von Angriffsunterbrechungen zu konfigurieren.

   

5. Wählen Sie im Flyoutbereich die entsprechende Automatisierungsebene für die Gerätegruppe aus. Sie können aus einer der folgenden Automatisierungsebenen wählen, die für Ihre Gerätegruppe geeignet sind:

   • Vollständig - Bedrohungen automatisch beheben: Geräte automatisch isolieren, wenn eine Bedrohung erkannt wird.
   • Semi – Genehmigung für Kernordner erforderlich: Untersuchen Sie Automatisch Geräte, wenn eine Warnung empfangen wird, und wenden Sie Korrekturaktionen an, mit Ausnahme von Elementen in kernen Systemordnern. Korrekturaktionen für die Kernordner erfordern eine Genehmigung.
   • Semi – Genehmigung für ordner erforderlich, die nicht temporäre Ordner sind: Überprüfen Sie automatisch Aktionen in temporären Ordnern und Downloadordnern, und wenden Sie korrekturen an, wenn eine Warnung empfangen wird. Alle anderen Wiederherstellungsaktionen erfordern eine Genehmigung.
   • Semi : Genehmigung für alle Ordner erforderlich: Geräte automatisch untersuchen, wenn eine Warnung empfangen wird. Alle Wiederherstellungsaktionen erfordern eine Genehmigung.
   • Keine automatisierte Antwort: Für Geräte in dieser Gruppe wird keine automatisierte Untersuchung oder Antwort durchgeführt.

   

6. Wählen Sie Speichern aus, um die Automatisierungsstufe für die Gerätegruppe zu speichern.

IP-Adressen ausschließen

Schließen Sie IP-Adressen aus, um zu verhindern, dass kritische Infrastruktur-IP-Bereiche, ältere Systeme oder externe Dienste automatisch blockiert werden. Dieser Ansatz ist nützlich, um Netzwerkressourcen zu schützen, von denen Ihre Organisation abhängt, aber möglicherweise nicht flexibel auf die automatisierte Eindämmung reagieren kann.

So schließen Sie eine IP-Adresse von automatisierten Antworten aus:

1. Wechseln Sie zum Microsoft Defender-Portal, und melden Sie sich an.

2. Wechseln Sie zu Einstellungen>Microsoft Defender XDR.

3. Wählen Sie unter Automatisierte Antworten die Option Geräte aus.

   

4. Im Reiter Anwendung der Richtlinie wählen Sie IP ausschließen, um eine IP-Adresse auszuschließen.

   

5. Geben Sie im Flyoutbereich die IP-Adresse,den IP-Adressbereich/das IP-Subnetz ein, die Sie ausschließen möchten. Sie können mehrere IP-Adressen und IP-Subnetze hinzufügen, indem Sie sie durch ein Komma trennen.

   

6. Fügen Sie einen Namen und eine Notiz für den Ausschluss hinzu. Wählen Sie Erstellen aus, um den Ausschluss zu speichern.

Richtlinienanwendungen und Ausschlüsse (Vorschau)

Wenn die automatische Angriffsunterbrechung mit hoher Zuverlässigkeit erkennt, dass ein Benutzer oder Gerät kompromittiert ist, wendet sie automatisch Eindämmungsrichtlinien auf verwaltete Geräte in Ihrer Organisation an. Diese Richtlinien helfen dabei, die Bedrohung zu enthalten und zu verhindern, dass sie in Ihrer Umgebung verbreitet wird.

Ausschlüsse für die Richtlinienanwendung geben Ihnen eine detaillierte Kontrolle darüber, wie automatische Richtlinien zur Durchsetzung von Angriffsunterbrechung in Ihrer Umgebung angewendet werden. Sie ermöglichen es dir, Geräte zu definieren, die keine spezifischen Unterbrechungsrichtlinien erhalten sollten. Diese Flexibilität schützt sensible, betriebskritische oder ausnahmebasierte Systeme, ohne die automatische Angriffsunterbrechung vollständig zu deaktivieren.

Richtlinienanwendungen und Ausschlüsse ermöglichen Folgendes:

• Verwalten von Schutzmaßnahmen für mehrere Geräte als Gruppe mithilfe dynamischer Tags
• Die meisten Steuerelemente zur Vermeidung von Unterbrechungen aktiv lassen, während bestimmte Schutzmaßnahmen gezielt deaktiviert werden
• Behalten Sie die zentrale Kontrolle darüber, welche Steuerelemente für Unterbrechungsrichtlinien für jede markierte Gerätegruppe aktiviert oder ausgeschlossen sind

Erstellen Sie zunächst einen Tag oder verwenden Sie einen bestehenden Tag, um die Geräte zu definieren. Erstellen Sie dann eine Regel, die für dieses Tag gilt. Sie können beispielsweise ein Tag für alle Server in einer bestimmten Abteilung erstellen und dann eine Richtlinienanwendung erstellen, die für dieses Tag gilt. Standardmäßig sind alle Richtlinienkontrollen aktiviert. Indem Sie eine Richtlinienzuweisung für getaggte Geräte konfigurieren, können Sie Disruption aktiviert lassen und nur bestimmte Steuerelemente für diese Gruppe ausschließen.

Erstellen eines Tags

Erstellen Sie ein Tag, um Geräte für eine Richtlinienanwendung zu gruppieren.

Um ein Tag zu erstellen, wechseln Sie im Microsoft Defender-Portal zur Bestandsregelverwaltung, und wählen Sie "Tag erstellen" aus. Geben Sie einen Namen und eine Beschreibung für das Tag an, und definieren Sie dann dynamische Regeln, um geräte automatisch in das Tag einzuschließen, basierend auf Geräteeigenschaften wie Gerätetyp, Betriebssystem oder anderen Attributen.

Erstellen Sie einen Richtlinienantrag

1. Wechseln Sie zum Microsoft Defender-Portal, und melden Sie sich an.

2. Wechseln Sie zu Einstellungen>Microsoft Defender XDR.

Um eine Regelanwendung für Richtlinien für getaggte Geräte zu erstellen, folgen Sie diesen Schritten:

1. Wählen Sie unter Automatisierte Antworten die Option Geräte aus.

   

2. Wählen Sie auf der Registerkarte "Richtlinieanwendung " die Option "Regel erstellen" aus.

   

3. Geben Sie einen Namen und eine Beschreibung für die Richtlinie ein, und wählen Sie "Weiter" aus.

   

4. Wählen Sie ein Tag, auf das Sie die Richtlinie anwenden möchten, und wählen Sie dann Next.

5. Konfigurieren Sie die Unterbrechungssteuerungen, die Sie für die markierten Geräte deaktivieren möchten, und wählen Sie dann Weiter aus.

   

6. Prüfen Sie den Antrag und reichen Sie ihn ein.

Entfernen von Ausschlüssen

Durch das Entfernen eines Ausschlusses kann die Ressource wieder in automatisierte Antworten für Angriffsunterbrechungen einbezogen werden. Wenn ein Ausschluss entfernt wird, wird das Objekt nicht mehr von automatisierten Antworten ausgeschlossen und kann automatisch enthalten sein, wenn er an einem Angriff beteiligt ist, der Angriffsunterbrechungen auslöst.

Wechseln Sie im Microsoft Defender-Portal zu "Einstellungen>Microsoft Defender XDR>Automatierte Antwort". Verwenden Sie dann die entsprechende Registerkarte, um einen Ausschluss zu entfernen:

• Wechseln Sie zur Seite Identitäten . Wählen Sie das Benutzerkonto aus, das Sie aus der Liste entfernen möchten, und wählen Sie dann Entfernen aus.

• Navigieren Sie zur Seite Geräte , und navigieren Sie zur Registerkarte IP-Adressen . Wählen Sie die IP-Adresse aus, die Sie aus der Liste entfernen möchten, und wählen Sie dann Ausschluss entfernen aus.

• Gerätegruppenausschlüsse können auf der Registerkarte Gerätegruppen konfiguriert werden. Wählen Sie in der Liste die Gerätegruppe aus, die Sie konfigurieren möchten, und wählen Sie den entsprechenden Ausschluss aus dem Flyoutbereich aus. Wählen Sie Speichern aus, um den Ausschluss zu speichern.

Um eine Richtlinienanwendung zu bearbeiten oder zu entfernen, wechseln Sie zur Registerkarte " Richtlinienanwendung ", und wählen Sie das Tag mit der Richtlinienanwendung aus, die Sie entfernen möchten. Wählen Sie "Bearbeiten " oder "Löschen" aus.

Deaktivieren der automatischen Angriffsunterbrechung

Das Deaktivieren der Angriffsunterbrechung kann das Sicherheitsrisiko erheblich erhöhen. Anstatt sich komplett abzumelden, sollten Sie in Erwägung ziehen, bestimmte Entitäten auszuschließen, um automatisierte Antworten nur für ausgewählte Assets zu begrenzen.

Wenn Sie sich von der Angriffsunterbrechung abmelden müssen, öffnen Sie im Microsoft Defender-Portal einen Supportfall mit dem Betreff Attack disruption opt-out. Geben Sie in Ihrer Anfrage an, dass Sie die Abmeldung von der Angriffsunterbrechung wünschen, und fügen Sie eine kurze Begründung für Ihre Entscheidung hinzu. Dieses Feedback hilft uns, das Feature zu verbessern und die Kundenanforderungen besser zu verstehen. Wenn Sie sich abmelden, erhalten Sie weiterhin Warnungen im Zusammenhang mit Angriffsunterbrechungen, aber es werden keine automatisierten Aktionen ausgeführt.

Verwandte Inhalte

Weitere Informationen zu Angriffsunterbrechungen finden Sie im folgenden Artikel:

• Anzeigen von Details und Ergebnissen automatisierter Angriffsunterbrechungsaktionen

Tipp

Möchten Sie mehr erfahren? Wenden Sie sich an die Microsoft Security-Community in unserer Tech Community: Microsoft Defender XDR Tech Community.