Verwalten von Korrelationseinstellungen für Analyseregeln in Microsoft Defender XDR

In diesem Artikel wird erläutert, wie Analyseregeln in die Microsoft Defender XDR-Korrelations-Engine eingeschlossen oder ausgeschlossen werden. Das Ein- oder Ausschließen von Analyseregeln bei der Korrelation hilft Organisationen, die zu Microsoft Sentinel migrieren, ein vorhersehbares Incidentverhalten beizubehalten und die Kompatibilität mit vorhandenen Automatisierungsworkflows sicherzustellen.

Übersicht

Microsoft Defender gruppiert mehrere Warnungen und Vorfälle in einheitliche Angriffsabschnitte. Diese Funktion bietet zwar leistungsstarke Sicherheitserkenntnisse, kann jedoch zu unerwartetem Verhalten für Organisationen führen, die von Microsoft Sentinel migrieren, wobei Incidents statisch sind und ausschließlich durch Analyseregelkonfigurationen bestimmt werden.

Standardmäßig werden alle Analyseregeln auf Mandantenebene ausgeschlossen, wenn Sie das erste Onboarding in Microsoft Defender durchführen. Abhängig von den Anforderungen Ihrer organization können Sie diese Einstellung ändern, um die Korrelation für alle Analyseregeln zu aktivieren und nur bestimmte Regeln auszuschließen, oder sie können alle Analyseregeln ausschließen und bestimmte Für korrelationsbezogene Regeln hinzufügen.

Indem Sie Analyseregeln aus der Korrelation ausschließen, können Sie sicherstellen, dass von diesen Regeln generierte Warnungen die Korrelations-Engine umgehen und genau wie in Microsoft Sentinel in Incidents gruppiert werden – nur basierend auf der Gruppierungskonfiguration der Analyseregel.

Weitere Informationen zur Funktionsweise der Korrelation in Microsoft Defender finden Sie unter Warnungskorrelation und Vorfallzusammenführung im Microsoft Defender-Portal.

Voraussetzungen

Zum Verwalten von Ausschlüssen von Analyseregeln aus der Korrelation benötigen Sie die folgenden Berechtigungen:

Microsoft Sentinel Contributor Diese Azure-Rolle ermöglicht es Ihnen, Microsoft Sentinel-Arbeitsbereichsdaten einschließlich Warnungen und Erkennungen zu verwalten.

Funktionsweise des Ausschlusses

Abhängig von den Einstellungen Ihres Mandanten können Sie alle oder nur bestimmte Analyseregeln von der Korrelation ausschließen.

Wenn Sie eine Analyseregel von der Korrelation ausschließen:

• Jede warnung, die von dieser Regel generiert wird, umgeht die Korrelations-Engine.
• Warnungen werden ausschließlich basierend auf der Gruppierungskonfiguration der Analyseregel in Incidents gruppiert.
• Das Verhalten stimmt mit der Erstellung von Incidents in Microsoft Sentinel überein.
• Die Regel funktioniert unabhängig von der Korrelationslogik, die normalerweise Angriffsgeschichten erstellt.

Standardeinstellungen für das Vorfallkorrelationsverhalten konfigurieren

Legen Sie das Standardverhalten der Vorfallkorrelation für Warnungen und Vorfälle fest, die von Analyseregeln in Ihrem Mandanten generiert werden. Die standardmäßige Vorfallkorrelationseinstellung des Mandanten bestimmt, ob Microsoft Defender in das Korrelationsmodul alle Analyseregeln einschließt, die ihr Vorfallkorrelationsverhalten nicht explizit konfiguriert haben.

Um das Standardverhalten für die Vorfallkorrelation Ihres Mandanten zu konfigurieren, wechseln Sie im Navigationsmenü des Defender-Portals zu System>Einstellungen>Microsoft Defender XDR>Regeln>Vorfallkorrelation und aktivieren oder deaktivieren Sie die Standardeinstellung für die Vorfallkorrelation.

Wichtig

Die Standardeinstellung Vorfallkorrelation ist standardmäßig deaktiviert.

Du kannst das Standardverhalten einzelner Regeln überschreiben, indem du ein Beschreibungs-Tag hinzufügst. Wenn Sie die Standardeinstellung für das Vorfalls-Korrelationsverhalten deaktivieren, schließt Microsoft Defender alle Analyseregeln von der Korrelation aus, es sei denn, Sie fügen explizit eine Regel hinzu, indem Sie das #INC_CORR# (inklusive Korrelations-)Tag zu ihrer Beschreibung hinzufügen. Wenn du die Standardeinstellung Incident Correlation einschaltest, korreliert Defender alle Analytics-Regeln, es sei denn, du konzipierst sie explizit so aus, dass du sie durch das Hinzufügen des #DONT_CORR# Tags ausschließt.

Verwalten des Korrelationsverhaltens einer Regel über die Benutzeroberfläche

Mithilfe des Analyseregel-Assistenten können Sie eine bestimmte Analyseregel aus der Korrelation einschließen oder ausschließen.

1. Wechseln Sie zum Microsoft Defender-Portal, und melden Sie sich an.

2. Wechseln Sie zum Analyseregel-Assistenten.

3. Geben Sie auf der Registerkarte Allgemein des Regel-Assistenten einen Namen und eine Beschreibung ein.

4. Konfigurieren Sie auf der Registerkarte Regellogik festlegen die Regellogik nach Bedarf.

5. Wählen Sie auf der Registerkarte Incidenteinstellungen im Dropdownfeld Incidentkorrelation eine der folgenden Einstellungen aus:

   • Mandantenstandard – Verwenden Sie die Einstellung für das Vorfallkorrelationsverhalten auf Mandantenebene
   • Aktiviert: Schließen Sie die Analyseregel für die Korrelation ein.
   • Deaktiviert : Ausschließen der Analyseregel von der Korrelation

   

Wenn Sie eine Regel über den Umschalter in der Benutzeroberfläche ein- oder ausschließen, wird das Tag #INC_CORR# bzw. #DONT_CORR# automatisch zu Beginn der Regelbeschreibung hinzugefügt.

Die Ansicht Analyseregeln enthält jetzt eine Spalte für den Korrelationszustand, sodass Sie leicht sehen können, welche Regeln eingeschlossen oder ausgeschlossen werden, und die Liste filtern können, um Regeln in einem bestimmten Zustand anzuzeigen.

Manuelles Verwalten des Korrelationsverhaltens einer Regel

Sie können die #INC_CORR# Tags und #DONT_CORR# manuell hinzufügen oder entfernen, um den Korrelationsstatus einer Analyseregel zu steuern.

Manuelles Hinzufügen des Tags

Um den Korrelationszustand einer Regel manuell festzulegen, fügen Sie das entsprechende Tag am Anfang der Regelbeschreibung hinzu.

1. Öffnen Sie die Analyseregel im Bearbeitungsmodus.
2. Fügen Sie im Feld Beschreibung der Regel ganz am Anfang des Textes #INC_CORR# oder #DONT_CORR# hinzu.
3. Speichern Sie die Regel.

Verwalten des Korrelationsverhaltens über die API

Sie können den Ausschlussstatus von Analyseregeln programmgesteuert über die Analytics-API steuern, indem Sie das Tag #INC_CORR# oder #DONT_CORR# hinzufügen oder entfernen.

So ändern Sie den Korrelationsstatus einer Regel:

1. Verwenden Sie die Microsoft Defender XDR-API, um die aktuelle Konfiguration der Regel abzurufen.
2. Fügen Sie das Tag #INC_CORR# oder #DONT_CORR# am Anfang des Beschreibungsfelds der Regel hinzu oder entfernen Sie es.
3. Aktualisieren Sie die Regel mithilfe der API.

Weitere Informationen zur Verwendung der Microsoft Defender-API finden Sie unter Microsoft Defender APIs (Übersicht).

Wichtige Überlegungen für Analyseregelkorrelationseinstellungen

Beachten Sie bei der Verwendung des Korrelationsausschlusses die folgenden Punkte:

• Der Korrelationszustand stimmt immer mit dem Tag überein. Wenn Sie z. B. eine Regel mithilfe der Benutzeroberflächen-Umschaltfläche ausschließen und dann das #DONT_CORR# Tag manuell aus der Beschreibung entfernen, wird der Korrelationsstatus der Regel auf Korrelation aktiviert zurückgesetzt.

• Selbst wenn Sie eine Regel von der Korrelation ausschließen und eine Analyseregel mit einem dynamischen Titel definieren, kann sich der Incidenttitel im Defender-Portal vom Titel in Microsoft Sentinel unterscheiden. Der Microsoft Sentinel Titel ist der Titel der ersten Warnung, und in Defender greift er auf die allgemeine MITRE-Taktik aller Warnungen zurück.

• Das Ändern des Korrelationszustands einer Regel wirkt sich nicht auf Warnungen aus, die vor der Änderung erstellt wurden. Warnungen erhalten ihren Korrelationszustand, wenn sie erstellt werden, und dieser Zustand bleibt statisch.

• Die Korrelations-Engine ist für die Erstellung vollständiger Angriffsgeschichten konzipiert und hilft SOC-Analysten (Security Operations Center) erheblich dabei, Angriffe zu verstehen und effizient zu reagieren. Schließen Sie Regeln nur dann von der Korrelation aus, wenn dies für bestimmte geschäftliche oder betriebliche Anforderungen erforderlich ist.

• Tagformatierungsregeln:

  • Keine Unterscheidung zwischen Groß- und Kleinschreibung – Sie können jede beliebige Kombination aus Groß- und Kleinbuchstaben verwenden (z. B. #dont_corr# oder #DONT_CORR#).
  • Der Abstand ist flexibel : Sie können eine beliebige Anzahl von Leerzeichen zwischen dem Tag und dem Rest der Beschreibung oder gar keine Leerzeichen hinzufügen.
  • Muss am Anfang sein : Das Tag muss am Anfang des Beschreibungsfelds angezeigt werden.

  Beispielsweise sind alle folgenden Beschreibungen gültig:

  • #DONT_CORR# Diese Regel erkennt verdächtige Anmeldeversuche.
  • #dont_corr# Diese Regel überwacht Dateiänderungen.
  • #DONT_CORR#This Regel hat kein Leerzeichen nach dem Tag

Verwandte Inhalte

• Warnungskorrelation und Incidentzusammenführung im Microsoft Defender-Portal
• Erstellen benutzerdefinierter Erkennungsregeln
• Verwalten von benutzerdefinierten Erkennungen
• Verwalten von Incidents in Microsoft Defender

Tipp

Möchten Sie mehr erfahren? Wenden Sie sich an die Microsoft Security-Community in unserer Tech Community: Microsoft Defender XDR Tech Community.