Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Von Bedeutung
Einige Informationen beziehen sich auf vorab veröffentlichte Produkte, die vor der kommerziellen Veröffentlichung erheblich geändert werden können. Microsoft gibt keine Garantie, weder ausdrücklich noch impliziert, hinsichtlich der hier bereitgestellten Informationen.
Microsoft Defender Entitätsseiten mit Threat Intelligence-Daten aus Microsoft Threat Intelligence anreichert, sodass Analysten während Untersuchungen kontextbezogene Intelligenz erhalten. Anstatt zwischen separaten Tools zu wechseln, können Sie auf Reputationsdaten, Die Zuordnung von Bedrohungsakten, Infrastrukturbeziehungen und andere Informationen direkt auf Entitätsseiten im Microsoft Defender-Portal zugreifen.
Entitätserweiterungen bringen global beobachtete Bedrohungserkennung in den Untersuchungsworkflow. Wenn Sie eine IP-Adresse, Domäne, URL oder Datei in einem Vorfall untersuchen, werden auf der Entitätsseite relevante Informationen angezeigt, die Ihnen dabei helfen, Risiken zu bewerten und schnellere, fundiertere Entscheidungen zu treffen.
Voraussetzungen
Alle Microsoft Defender XDR-Kunden können ohne zusätzliche Kosten auf Anreicherungen von Entitäten mit öffentlich verfügbaren Microsoft Threat Intelligence-Daten zugreifen.
Unterstützte Entitätstypen
Sie können Entitätserweiterungen für die folgenden Entitätstypen abrufen. Jeder Entitätstyp zeigt unterschiedliche Intelligenzdaten an, je nachdem, was relevant ist:
| Art der Entität | Anreicherungsdaten verfügbar |
|---|---|
| IP-Adresse | Reputation, zugeordnete Bedrohungsberichte, Infrastrukturzusammenhänge (DNS, WHOIS, Hostpaare, Unterdomänen), Dienste, TLS/SSL-Zertifikate, Komponenten, Tracker, Cookies |
| Domäne | Reputation, zugeordnete Bedrohungsberichte, Infrastrukturzusammenhänge (DNS, WHOIS, Hostpaare, Unterdomänen), Dienste, TLS/SSL-Zertifikate, Komponenten, Tracker, Cookies |
| URL | Reputation, zugeordnete Bedrohungsberichte, Sandbox-Analyse |
| File | Reputation, zugeordnete Bedrohungsberichte, Sandbox-Analyse |
Note
IP-Adressen und Domänen bieten einen breiteren Satz an Anreicherungsdaten, da zusätzliche Infrastrukturbeziehungsdaten für diese Entitätstypen verfügbar sind.
So greifen Sie auf Entitätsanreicherungen zu
Sie können über mehrere Einstiegspunkte im Microsoft Defender Portal auf erweiterte Entitätsseiten zugreifen:
- Untersuchung von Vorfällen – Wählen Sie eine Entität (IP, Domäne, URL oder Datei) aus den Nachweis- oder Benachrichtigungsdetails eines Vorfalls aus, um die Seite mit der erweiterten Entität zu öffnen.
- Globale Suche – Suchen Sie in der Defender Portalsuchleiste nach einer IP-Adresse, Domäne, URL oder Dateihash, um direkt zur Entitätsseite zu navigieren.
- Erweiterte Suche – Wählen Sie einen Entitätswert in abfrageergebnissen der erweiterten Suche aus, um die Entitätsseite zu öffnen.
- Direkte Navigation – Navigieren Sie direkt über einen beliebigen Link im Portal zu einer Entitätsseite.
Registerkarte „Threat Intelligence Insights“
Die Registerkarte "Threat Intelligence Insights " auf Entitätsseiten ist die primäre Oberfläche für Anreicherungsdaten. Diese Registerkarte konsolidiert die Bedrohungserkennung aus Microsoft Threat Intelligence in einer einzigen Ansicht, die in den folgenden Abschnitten unterteilt ist, je nach Entitätstyp:
Zuverlässigkeit
Der Abschnitt "Reputation" enthält eine Risikobewertung für die Entität basierend auf den Erkennungsregeln und der Intelligenz Microsoft. Reputationswerte helfen Analysten schnell festzustellen, ob eine Entität als bösartig, verdächtig, neutral oder unbekannt eingestuft wird, und zeigen frühere bösartige oder verdächtige Aktivitäten im Zusammenhang mit der Entität auf.
Reputation erscheint als numerischer Wert von 0 bis 100. Microsoft leitet die Bewertung aus proprietären Daten und maschinellen Lernregeln ab – jeweils mit einer Spitzen-, mittleren oder niedrigen Schwerestufe – die Faktoren wie die Eigenschaften der Top-Level-Domain, des Hosting-Anbieters, des Nameservers, des Registrars und der TLS-Zertifikate bewerten. Bewerten Sie diese Faktoren ganzheitlich: Die Kombination der Indikatoren und nicht ein einzelner Indikator sagt voraus, ob eine Entität wahrscheinlich böswillig ist. Hosts, Domains und IP-Adressen fallen basierend auf ihrer Bewertung in folgende Kategorien:
| Ergebnis | Kategorie | Description |
|---|---|---|
| 75–100 | Schädlich | Bestätigte Verbindungen zu bekannter bösartiger Infrastruktur auf Microsoft's Blockliste, mit Übereinstimmungen mit Machine-Learning-Regeln, die verdächtige Aktivitäten erkennen. |
| 50–74 | Verdächtig | Wahrscheinlich mit verdächtiger Infrastruktur verbunden, die auf Übereinstimmungen mit drei oder mehr Machine-Learning-Regeln basiert. |
| 25–49 | Neutral | Entspricht mindestens zwei Machine-Learning-Regeln. |
| 0–24 | Unbekannt | Gibt eine oder null Regelübereinstimmungen zurück. |
Zugeordnete Bedrohungsberichte
Wenn Microsoft eine Entität mit einem bekannten Bedrohungsakteur oder einer Bekannten Kampagne verknüpft, zeigt der Abschnitt "zugeordnete Bedrohungsberichte" verwandte Bedrohungsanalyseberichte an. Diese Berichte liefern Kontext über die Taktiken, Techniken und Verfahren (TTPs) des Bedrohungsakteurs und helfen Analysten, die umfassendere Bedrohungslandschaft zu verstehen.
Infrastrukturbeziehungen (IP-Adressen und Domänen)
Für IP-Adressen- und Domainentitäten greift der Abschnitt Infrastrukturbeziehungen auf Microsoft Internetdaten zurück – gesammelt durch passives DNS (PDNS), Portscans und Web-Crawling-Infrastruktur –, um eine vernetzte Infrastruktur und Support-Infrastrukturanalyse aufzuzeigen. Dieser Abschnitt umfasst:
- DNS-Einträge - Historische und aktuelle DNS-Auflösungsdaten, einschließlich Reverse-DNS, aus denen hervorgeht, welche Domains im Laufe der Zeit zu einer IP-Adresse aufgelöst wurden und umgekehrt.
- WHOIS-Informationen – Domänenregistrierungsdetails, einschließlich Registrant, Datum und Registrierungsstelle.
- Hostpaare – Beziehungen zwischen Hosts basierend auf beobachteten Verbindungen in Webinhalten.
- Subdomänen – Bekannte Unterdomänen , die einer Domäne zugeordnet sind.
- TLS/SSL-Zertifikate – Zertifikatdetails wie Aussteller, Gültigkeit und alternative Antragstellernamen.
- Dienste – Erkannte Netzwerkdienste, die in der Infrastruktur ausgeführt werden.
- Komponenten – Webtechnologien und Frameworks, die in der Infrastruktur identifiziert werden.
- Tracker - Webanalyse- und Tracking-Codes, die auf der Infrastruktur beobachtet wurden.
- Cookies - Cookie-Namen, die in den Antworten der Infrastruktur erkannt wurden.
Sandkastenanalyse (URLs und Dateien)
Bei URL- und Dateientitäten liefert die Sandkastenanalyse Detonationsergebnisse, die Verhaltensindikatoren anzeigen, die beim Ausführen der Entität in einer kontrollierten Umgebung beobachtet wurden.
Untersuchungsablauf
Entitätserweiterungen werden direkt in den Vorfalluntersuchungsworkflow in Microsoft Defender integriert. Ein typischer Untersuchungsfluss umfasst:
- Öffnen Sie einen Vorfall im Microsoft Defender-Portal, und überprüfen Sie die Nachweise des Vorfalls.
- Wählen Sie eine Entität (IP-Adresse, Domäne, URL oder Datei) aus, um die Entitätsseite zu öffnen.
- Überprüfen Sie die Registerkarte "Übersicht ", um wichtige Details zur Entität zu erhalten.
- Wählen Sie die Registerkarte "Threat Intelligence Insights" aus, um Anreicherungsdaten aus Microsoft Threat Intelligence anzuzeigen.
- Verwenden Sie die Intelligenz, um Risiken zu bewerten, die Zuordnung von Bedrohungsakteurn zu identifizieren und Infrastrukturbeziehungen zu verstehen.
- Wechseln Sie zu verwandten Entitäten und Berichten, um Ihre Analyse fortzusetzen.