Verwalten von Incidents in Microsoft Defender

Das Incidentmanagement ist wichtig, um sicherzustellen, dass Incidents benannt, zugewiesen und gekennzeichnet werden, um die Zeit in Ihrem Incidentworkflow zu optimieren und Bedrohungen schneller einzudämten und zu beheben.

Um Ihre Vorfälle im Microsoft Defender-Portal (https://security.microsoft.com) zu verwalten, verwenden Sie den Schnellstart, und wechseln Sie zu Untersuchung & Reaktion Incidents > & Warnungen > Incidents.

In diesem Artikel erfahren Sie, wie Sie verschiedene Incident management-Aufgaben ausführen, die verschiedenen Phasen im Lebenszyklus eines Incidents zugeordnet sind.

Incident-Selektierung:

• Zuweisen des Incidents zu einem Besitzer
• Schweregrad zuweisen oder ändern
• Hinzufügen von Ereigniskategorien
• Ändern des incident-status

Untersuchung und Lösung von Vorfällen:

• Beheben eines Incidents
• Angeben der Klassifizierung eines Incidents
• Hinzufügen von Kommentaren zu einem Incident

Incidentprotokollierung und -berichterstellung:

• Bearbeiten Sie den Incidentnamen.
• Bewerten Sie die Aktivitätsüberwachung, und fügen Sie Kommentare im Aktivitätsprotokoll hinzu.
• Generieren Sie eine Zusammenfassung der Untersuchung und Analyse des Incidents.
• Exportieren von Incidentdaten in eine PDF-Datei.

Tipp

Defender Boxed, eine Reihe von Karten, die die Sicherheitserfolge, Verbesserungen und Reaktionsaktionen Ihrer organization in den letzten sechs Monaten/Jahr darstellen, erscheint für einen begrenzten Zeitraum im Januar und Juli jedes Jahres. Erfahren Sie, wie Sie Ihre Defender Boxed-Highlights freigeben können.

Zugreifen auf den Bereich "Incident verwalten "

Auf die meisten dieser Aufgaben kann über den Bereich Incident verwalten für einen Incident zugegriffen werden. Sie können diesen Bereich von einem beliebigen von mehreren Standorten aus erreichen.

Wählen Sie incidents & alerts > Incidents (Incidents) beim Schnellstart des Microsoft Defender-Portals aus.

Aus der Incidentwarteschlange

Um über die Incidentwarteschlange auf den Bereich Incident verwalten zuzugreifen, aktivieren Sie das Kontrollkästchen eines Incidents, und wählen Sie in der Symbolleiste über den Filtern Incidents verwalten aus. Verwalten Sie viele Incidents gleichzeitig, indem Sie mehrere Kontrollkästchen aktivieren.

Alternativ können Sie die Zeile eines Incidents auswählen (ohne den Incidentnamen auszuwählen), sodass der Bereich mit den Incidentdetails angezeigt wird, und im Bereich mit den Incidentdetails die Option Incident verwalten auswählen.

Von der Seite "Incident"

1. Wählen Sie den Namen eines Incidents aus der Warteschlange aus. Alternativ können Sie die Zeile eines Incidents in der Warteschlange und dann im Bereich mit den Incidentdetails die Option Incidentseite öffnen auswählen.

2. Wählen Sie auf der Seite incident die Option Incident verwalten im oberen Bereich aus.

   Wenn Incident verwalten nicht angezeigt wird, wählen Sie die drei Punkte in der oberen rechten Ecke aus, und wählen Sie ihn im angezeigten Menü aus.

   

Selektierung von Vorfällen

Die folgenden Verwaltungsaufgaben sind eng mit der Selektierung von Vorfällen verbunden, können jedoch jederzeit ausgeführt werden.

• Zuweisen des Incidents zu einem Besitzer
• Schweregrad zuweisen oder ändern
• Hinzufügen von Ereigniskategorien
• Ändern des incident-status

Zuweisen eines Incidents zu einem Besitzer

Standardmäßig werden neue Incidents ohne Besitzer erstellt. Im Idealfall sollte Ihr SecOps-Team über Mechanismen und Verfahren verfügen, um Incidents automatisch Besitzern zuzuweisen. Möglicherweise müssen Sie einen Incident im Falle einer Eskalation oder einer fehlerhaften ursprünglichen Zuweisung neu zuweisen.

Zuweisen eines Besitzers

Führen Sie die folgenden Schritte aus, um einem Incident manuell einen neuen Besitzer zuzuweisen:

1. Befolgen Sie die Anweisungen im Abschnitt zum Öffnen des Bereichs " Incident verwalten ".

2. Wählen Sie das Feld Zuweisen zu aus. Eine Dropdownliste der vorgeschlagenen Zugewiesenen wird angezeigt.

3. Wenn das Benutzer- oder Gruppenkonto angezeigt wird, dem Sie den Incident zuweisen möchten, wählen Sie es aus.

   Andernfalls beginnen Sie, den Namen oder die Konto-ID des gewünschten Benutzers oder der gewünschten Gruppe in das Textfeld am Anfang der Liste einzugeben. Die Liste wird dynamisch aktualisiert und nach Ihrer Eingabe gefiltert. Wenn der gewünschte Benutzer oder die gewünschte Gruppe angezeigt wird, wählen Sie ihn aus.

4. Um eine vorhandene Zuweisung zu entfernen, einschließlich der soeben hinzugefügten, wählen Sie das X neben dem Kontonamen aus. Wählen Sie dann das Feld Zuweisen zu aus, wenn Sie eine weitere Zuweisung hinzufügen möchten.

   Einem Incident kann nur ein Benutzer- oder Gruppenkonto zugewiesen werden.

5. Klicken Sie auf Speichern.

Durch das Zuweisen des Besitzes an einem Incident wird allen zugehörigen Warnungen derselbe Besitz zugewiesen.

Anzeigen von Incidents, die einem bestimmten Besitzer zugewiesen sind

Um die Liste der Incidents anzuzeigen, die einem bestimmten Benutzer oder einer bestimmten Gruppe zugewiesen sind, filtern Sie die Incidentwarteschlange:

1. Wählen Sie in der Incidentwarteschlange den Filter Incidentzuweisung aus. Eine Dropdownliste der vorgeschlagenen Zugewiesenen wird angezeigt.

   Wenn unter den Filtern keine Incidentzuweisung angezeigt wird, wählen Sie Filter hinzufügen aus, wählen Sie Incidentzuweisung aus der Dropdownliste aus, und wählen Sie Hinzufügen aus.

2. Wenn das Benutzerkonto angezeigt wird, dessen zugewiesenen Incidents Sie anzeigen möchten, wählen Sie es aus.

   Andernfalls beginnen Sie, den Namen oder die Konto-ID des gewünschten Benutzers oder der gewünschten Gruppe in das Textfeld am Anfang der Liste einzugeben. Die Liste wird dynamisch aktualisiert und nach Ihrer Eingabe gefiltert. Wenn der gewünschte Benutzer oder die gewünschte Gruppe angezeigt wird, wählen Sie ihn aus.

   Im Gegensatz zum Zuweisen von Incidents können Sie hier mehr als einen zugewiesenen Empfänger auswählen, nach dem die Liste gefiltert werden soll. Um dem Filter ein weiteres Benutzer- oder Gruppenkonto hinzuzufügen, markieren Sie das Textfeld (neben dem vorhandenen Konto im Filter), und die Liste der vorgeschlagenen Zugewiesenen wird erneut angezeigt.

3. Wählen Sie Anwenden aus.

   

Um einen Link zur Incidentwarteschlange mit den aktuellen Angewendeten Filtern zu speichern, wählen Sie auf der Symbolleiste auf der Seite incident queue (Incidentwarteschlange) listenlink kopieren aus. Erstellen Sie eine Verknüpfung in Ihren Favoriten oder auf Ihrem Desktop, und fügen Sie den Link darin ein.

Zuweisen oder Ändern des Incidentschweregrads

Der Schweregrad eines Incidents wird auf den höchsten Schweregrad der zugehörigen Warnungen festgelegt. Der Schweregrad eines Incidents kann auf hoch, mittel, niedrig oder informativ festgelegt werden.

Führen Sie die folgenden Schritte aus, um den Schweregrad eines Incidents manuell zuzuweisen oder zu ändern:

1. Befolgen Sie die Anweisungen im Abschnitt zum Öffnen des Bereichs " Incident verwalten ".

2. Wählen Sie im Bereich Incident verwalten in der Dropdownliste Schweregrad den Schweregrad aus, den Sie anwenden möchten.

3. Klicken Sie auf Speichern.

Hinzufügen von Ereigniskategorien

Benutzerdefinierte Tags fügen Informationen hinzu, um einem Incident Kontext zu verleihen. Beispielsweise kann ein Tag eine Gruppe von Incidents mit einem gemeinsamen Merkmal bezeichnen. Tags sind ein Kriterium für die Filterung, sodass Sie die Incidentwarteschlange später nach allen Incidents filtern können, die ein bestimmtes Tag enthalten. So wenden Sie ein Tag auf einen Incident an:

1. Befolgen Sie die Anweisungen im Abschnitt zum Öffnen des Bereichs " Incident verwalten ".

2. Beginnen Sie im Feld Incidenttags mit der Eingabe des Namens des Tags, das Sie anwenden möchten. Während der Eingabe wird eine Liste der zuvor verwendeten und ausgewählten Tags angezeigt. Wenn das Tag, das Sie anwenden möchten, in der Liste angezeigt wird, wählen Sie es aus.

   

   Wenn Sie einen Tagnamen eingeben, der noch nie verwendet wurde, wählen Sie den letzten Eintrag in der Liste aus. Dabei handelt es sich um den text, den Sie eingegeben haben, gefolgt von "(Neu erstellen)."

   

   Das Tag wird dann als Bezeichnung im Feld Incidenttags angezeigt. Wiederholen Sie diesen Schritt, um nach Bedarf weitere Tags hinzuzufügen.

   

3. Klicken Sie auf Speichern.

Ein Incident kann Systemtags und/oder benutzerdefinierte Tags mit bestimmten Farbhintergründen aufweisen. Benutzerdefinierte Tags verwenden den weißen Hintergrund, während Systemtags in der Regel rote oder schwarze Hintergrundfarben verwenden. Systemtags identifizieren die folgenden Informationen:

• Eine Art von Angriff, z. B. Phishing von Anmeldeinformationen oder BEC-Betrug
• Automatische Aktionen, z. B. automatische Untersuchung und Reaktion und automatische Angriffsunterbrechung
• Defender-Experten zur Behandlung eines Incidents
• Kritische Ressourcen , die an dem Vorfall beteiligt sind

Tipp

Die Security Exposure Management von Microsoft, basierend auf vordefinierten Klassifizierungen, markiert Geräte, Identitäten und Cloudressourcen automatisch als kritische Ressource. Diese sofort einsatzbereite Funktion stellt den Schutz der wertvollen und wichtigsten Ressourcen einer organization sicher. Darüber hinaus unterstützt sie Sicherheitsteams bei der Priorisierung von Untersuchungen und Korrekturen. Erfahren Sie mehr über die Verwaltung kritischer Ressourcen.

Ändern des incident-status

Incidents beginnen mit dem status Active. Wenn Sie an einem Incident arbeiten, ändern Sie den Status in In Bearbeitung.

Untersuchung und Lösung von Vorfällen

Die folgenden Verwaltungsaufgaben sind eng mit der Untersuchung und Behebung von Vorfällen verbunden, können jedoch jederzeit ausgeführt werden.

• Beheben eines Incidents
• Angeben der Klassifizierung eines Incidents
• Hinzufügen von Kommentaren zu einem Incident

Beheben eines Incidents

Wenn ein Incident behoben und behoben wird, führen Sie die folgenden Aktionen aus, um die Lösung aufzuzeichnen:

1. Befolgen Sie die Anweisungen im Abschnitt zum Öffnen des Bereichs " Incident verwalten ".

2. Ändern Sie die status. Wählen Sie in der Dropdownliste Status die Option Aufgelöst aus. Wenn Sie die status eines Incidents in Gelöst ändern, wird unmittelbar nach dem Feld Status ein neues Feld angezeigt.

3. Geben Sie in diesem Feld eine Notiz ein, in der erläutert wird, warum Sie den Vorfall als gelöst betrachten. Dieser Hinweis ist im Aktivitätsprotokoll des Incidents in der Nähe des Eintrags sichtbar, der die Lösung des Incidents aufzeichnet.

   

   Der Lösungshinweis ist auch im Bereich "Incidentdetails " sowohl auf der Seite "Incidentwarteschlange" als auch auf der Seite "Incidents" eines behobenen Incidents sichtbar.

   

4. Klicken Sie auf Speichern.

Durch die Behebung eines Incidents werden auch alle verknüpften und aktiven Warnungen im Zusammenhang mit dem Incident aufgelöst. Ein Incident, der nicht aufgelöst wurde, wird als Aktiv angezeigt.

Angeben der Klassifizierung des Incidents

Wenn Sie einen Vorfall oder zu einem beliebigen Zeitpunkt in der Untersuchung eines Incidents beheben, sobald Sie wissen, wie der Vorfall klassifiziert werden soll, legen Sie das Feld Klassifizierung entsprechend fest.

1. Befolgen Sie die Anweisungen im Abschnitt zum Öffnen des Bereichs " Incident verwalten ".

2. Wählen Sie in der Dropdownliste Klassifizierung den entsprechenden Wert aus:

   • Nicht festgelegt (Standard).
   • Richtig positiv mit einer Art von Bedrohung. Verwenden Sie diese Klassifizierung für Vorfälle, die genau auf eine echte Bedrohung hinweisen. Die Angabe des Bedrohungstyps hilft Ihrem Sicherheitsteam, Bedrohungsmuster zu erkennen und Maßnahmen zur Abwehr dieser in Ihrer Organisation zu ergreifen.
   • Information, erwartete Aktivität mit einem Aktivitätstyp. Verwenden Sie die Optionen in dieser Kategorie, um Vorfälle für Sicherheitstests, rote Teamaktivitäten und erwartetes ungewöhnliches Verhalten von vertrauenswürdigen Apps und Benutzern zu klassifizieren.
   • Falsch positiv für Von Ihnen ermittelte Incidenttypen können ignoriert werden, da sie technisch ungenau oder irreführend sind.

   Sehen Sie sich die verfügbaren Arten von Aktivitäten und Bedrohungen für jede dieser Klassifizierungen im folgenden Screenshot an.

3. Klicken Sie auf Speichern.

   

Durch das Klassifizieren von Vorfällen und die Angabe ihrer status und ihres Typs können Sie Microsoft Defender optimieren, um im Laufe der Zeit eine bessere Erkennungsbestimmung zu ermöglichen.

Hinzufügen von Kommentaren zu einem Incident

Fügen Sie im Verlauf der Untersuchung und des Vorfalls Kommentare hinzu, um Ihre Aktivitäten, Erkenntnisse und Schlussfolgerungen aufzuzeichnen.

1. Öffnen Sie das Aktivitätsprotokoll des Incidents: Wählen Sie auf der Seite "Incident" oder im Bereich "Incidentdetails" auf der Seite "Incidentwarteschlange" die drei Punkte in der oberen rechten Ecke aus, und wählen Sie im resultierenden Menü Aktivitäten aus.

   

2. Wählen Sie oben im Bereich Aktivitäten die Option Kommentar hinzufügen aus. Geben Sie Ihren Kommentar in das Textfeld ein. Das Kommentarfeld unterstützt Text und Formatierung, Links und Bilder. Jeder Kommentar ist auf 30.000 Zeichen beschränkt.

   

3. Klicken Sie auf Speichern.

Alle Kommentare werden den historischen Ereignissen des Vorfalls hinzugefügt. Sie können die Kommentare und den Verlauf eines Incidents über den Link Kommentare und Verlauf auf der Seite Zusammenfassung anzeigen.

Incidentprotokollierung und -berichterstellung

Die folgenden Verwaltungsaufgaben können mit der Überwachung und Berichterstellung bei Incidentuntersuchungen verknüpft werden, können jedoch jederzeit ausgeführt werden.

• Bearbeiten des Incidentnamens
• Bewerten der Aktivitätsüberwachung und Hinzufügen von Kommentaren zum Aktivitätsprotokoll
• Exportieren von Incidentdaten in eine PDF-Datei

Bearbeiten des Incidentnamens

Microsoft Defender weist automatisch einen Namen basierend auf Warnungsattributen zu, z. B. der Anzahl der betroffenen Endpunkte, betroffenen Benutzer, Erkennungsquellen oder Kategorien. Mithilfe des Incidentnamens können Sie den Umfang des Incidents schnell verstehen. Beispiel: Mehrstufiger Incident auf mehreren Endpunkten, die von mehreren Quellen gemeldet werden.

Führen Sie die folgenden Schritte aus, um den Incidentnamen zu bearbeiten:

1. Befolgen Sie die Anweisungen im Abschnitt zum Öffnen des Bereichs " Incident verwalten ".

2. Geben Sie im Bereich Incident verwalten im Feld Incidentname einen neuen Namen ein.

3. Klicken Sie auf Speichern.

Hinweis

• Incidents, die vor dem Rollout der automatischen Incidentbenennungsfunktion vorhanden waren, behalten ihre Namen bei.

• Wenn ein anderer Incident in einem umbenannten Incident zusammengeführt wird, gibt Defender dem Incident einen neuen Namen und überschreibt jeden benutzerdefinierten Namen, den Sie ihm zuvor gegeben haben.

Anzeigen des Aktivitätsprotokolls eines Incidents

Wenn Sie ein Postmortem eines Incidents durchführen, sehen Sie sich das Aktivitätsprotokoll des Incidents an, um den Verlauf der für den Vorfall ausgeführten Aktionen (als "Audits" bezeichnet) und alle aufgezeichneten Kommentare anzuzeigen. Alle Änderungen, die an dem Incident vorgenommen wurden, ob von einem Benutzer oder vom System, werden im Aktivitätsprotokoll aufgezeichnet. Um eine detailliertere Ansicht aller Aktivitäten zu erhalten, greifen Sie unten im Aktivitätsprotokoll auf die Registerkarte Aktivitäten zu.

Öffnen des Aktivitätsprotokolls eines Incidents

1. Wählen Sie auf der Seite "Incident" oder im Bereich "Incidentdetails" auf der Seite "Incidentwarteschlange" die drei Punkte in der oberen rechten Ecke aus, und wählen Sie im daraufhin angezeigten Menü die Option Aktivitäten aus.

   

2. Sie können die Aktivitäten im Aktivitätsprotokoll nach Ursprung, Kategorie, Anbieter, Trigger, Aktivitäts-status, Richtlinien-status, Typ, Zielname, Zieltyp oder Ausgeführt von filtern. Wechseln Sie zu Filter hinzufügen, wählen Sie die gewünschten Filter aus, und wählen Sie Hinzufügen aus.

   

3. Wechseln Sie zur Dropdownliste der einzelnen Filter, wählen Sie Filterkriterien aus, und wählen Sie Übernehmen aus.

   

Sie können auch eigene Kommentare hinzufügen, indem Sie oben im Bereich Aktivitäten die Option Kommentar hinzufügen auswählen. Das Kommentarfeld akzeptiert Text und Formatierungen, Links und Bilder.

Ki-generierte Analystennotizen

Wenn Sie die Untersuchung eines Incidents abgeschlossen haben, können Sie eine automatische Zusammenfassung und Analyse der Untersuchung generieren.

Die Analyse umfasst Details wie:

• Eine allgemeine Zusammenfassung des Incident- und Untersuchungsprozesses, einschließlich der Aktionen und Aktivitäten des Analysten.
• Ausführliche Schritt-für-Schritt-Protokoll- und KQL-Abfragen werden während des Untersuchungsprozesses ausgeführt.

Verwenden Sie die Ausgabe, um neue Analysten zu trainieren, Audits durchzuführen, Untersuchungen zu unterstützen, Arbeit an Teamkollegen zu übergeben oder KI-Modelle und -Tools zu versorgen.

Voraussetzungen für das Generieren von Analystennotizen

Stellen Sie sicher, dass die folgenden Voraussetzungen erfüllt sind, um Analystennotizen zu generieren:

• Analystennotizen sind für Ihren Mandanten aktiviert. Ihr Sicherheitsadministrator kann Analystennotizen mithilfe der folgenden Schritte aktivieren:

  1. Wechseln Sie im Microsoft Defender-Portal zu Systemeinstellungen>.
  2. Wählen Sie Microsoft Defender XDR aus.
  3. Erweiterte Features öffnen
  4. Suchen Sie das Feature "Notizen für Analysten abonnieren", und schalten Sie es auf Ein um.

  

• Security Copilot-Lizenz

• Sie verfügen über eine der folgenden Berechtigungen (RBAC).

  • Lesen von Sicherheitsdaten
  • Verwalten von Sicherheitsdaten

Generieren von Analystennotizen

Führen Sie die folgenden Schritte aus, um Nach Abschluss der Untersuchung Analystennotizen zu generieren:

1. Navigieren Sie auf der Seite "Incident" zu den drei Punkten oben rechts, und wählen Sie Analystennotizen generieren aus.

   

   Es wird ein Banner mit dem Datum und der Uhrzeit des Generierungsstarts angezeigt. Der Vorbereitungsprozess kann bis zu 20 Minuten dauern. Sie können die Seite verlassen und an anderer Stelle weiterarbeiten. Sie erhalten eine Benachrichtigung, wenn sie abgeschlossen ist.

   

2. Auf der Registerkarte Aktivitäten befindet sich eine neue Zeile im Aktivitätsprotokoll, die angibt, dass die Generierung ausgeführt wird. Möglicherweise müssen Sie den Bildschirm aktualisieren, um ihn anzuzeigen. Wählen Sie die Zeile aus, um den Seitenbereich mit dem status der Generierung zu öffnen. Bei Bedarf können Sie die Generierung beenden, indem Sie Generierung beenden auswählen.

   

3. Wenn die Generierung abgeschlossen ist, wechseln Sie zur Registerkarte Aktivitäten . Die Analystennotizen werden als neue Zeile im Aktivitätsprotokoll angezeigt. Die Zeile enthält das Datum und die Uhrzeit, zu der die Notizen generiert wurden und wer sie generiert hat.

   

   Wählen Sie die Zeile aus, um den Seitenbereich mit den generierten Analystennotizen zu öffnen.

   Das generierte Protokoll enthält einen Haftungsausschluss, der besagt, dass es VON KI generiert wurde. Wählen Sie Von Copilot generierten Inhalt bearbeiten aus, um die Notizen nach Bedarf zu überprüfen und zu ändern. Wenn Sie die bearbeiteten Notizen speichern, wird der Haftungsausschluss entfernt.

   

   Sie können auch Feedback zu den generierten Notizen geben, um das Feature zu verbessern.

   

• Nur Benutzer mit mindestens den gleichen Berechtigungen und Demselben Umfang wie der Analyst, der die Notizen generiert hat, können sie anzeigen und bearbeiten.

Exportieren von Incidentdaten in eine PDF-Datei

Sie können die Daten eines Incidents über die Funktion Incident als PDF exportieren als PDF exportieren und im PDF-Format speichern. Diese Funktion ermöglicht es Sicherheitsteams, die Details eines Incidents jederzeit offline zu überprüfen.

Die exportierten Incidentdaten enthalten die folgenden Informationen:

• Eine Übersicht mit den Incidentdetails
• Angriffsgeschichtendiagramm und Bedrohungskategorien
• Die betroffenen Vermögenswerte, die bis zu 10 Ressourcen für jeden Ressourcentyp abdecken
• Die Beweisliste mit bis zu 100 Elementen
• Unterstützende Daten, einschließlich aller zugehörigen Warnungen und Aktivitäten, die im Aktivitätsprotokoll aufgezeichnet wurden

Hier sehen Sie ein Beispiel für die exportierte PDF:

Wenn Sie über die Copilot for Security-Lizenz verfügen, enthält die exportierte PDF auch die folgenden Incidentdaten:

• Incidentzusammenfassung
• Vorfallbericht

Die Funktion "In PDF exportieren" ist auch im Copilot-Seitenbereich verfügbar. Wenn Sie in der oberen rechten Ecke der Ergebnisse des Incidentberichts Karte die Auslassungspunkte Weitere Aktionen (...) auswählen, können Sie Incident als PDF exportieren auswählen.

Führen Sie zum Generieren der PDF-Datei die folgenden Schritte aus:

1. Öffnen Sie eine Vorfallsseite. Wählen Sie in der oberen rechten Ecke die Auslassungspunkte weitere Aktionen (...) und dann Incident als PDF exportieren aus.

   

2. Bestätigen Sie im nächsten Dialogfeld die Incidentinformationen, die Sie in die PDF-Datei einfügen oder ausschließen möchten. Alle Incidentinformationen sind standardmäßig ausgewählt. Wählen Sie PDF exportieren aus, um fortzufahren.

   

3. Eine status Meldung, die den aktuellen Status des Downloads angibt, wird unter dem Incidenttitel angezeigt. Abhängig von der Komplexität des Incidents und der Menge der zu exportierenden Daten kann der Exportvorgang einige Minuten dauern.

   

4. Ein weiteres Dialogfeld wird angezeigt, das angibt, dass die PDF-Datei bereit ist. Wählen Sie im Dialogfeld Herunterladen aus, um die PDF-Datei auf Ihrem Gerät zu speichern. Die status Meldung unterhalb des Incidenttitels wird ebenfalls aktualisiert, um anzugeben, dass der Download verfügbar ist.

   

Der Bericht wird für einige Minuten zwischengespeichert. Das System stellt die zuvor generierte PDF bereit, wenn Sie versuchen, denselben Incident innerhalb eines kurzen Zeitraums erneut zu exportieren. Um eine neuere Version der PDF-Datei zu generieren, warten Sie einige Minuten, bis der Cache abläuft.

Einrichten von E-Mail-Benachrichtigungen für Incidents

Sie können das Microsoft Defender-Portal einrichten, um Ihre Mitarbeiter per E-Mail über neue Vorfälle oder Aktualisierungen vorhandener Vorfälle zu benachrichtigen. Sie können Benachrichtigungen basierend auf folgenden Optionen erhalten:

• Warnungsschweregrad
• Warnungsquellen
• Gerätegruppe

Informationen zum Einrichten von E-Mail-Benachrichtigungen für Incidents finden Sie unter Abrufen von E-Mail-Benachrichtigungen zu Incidents.

Nächste Schritte

Setzen Sie ihre Untersuchung bei neuen und in Prozessen ausgeführten Vorfällen fort.

Führen Sie bei gelösten Vorfällen eine Überprüfung nach dem Incident durch.

Siehe auch

• Übersicht über Vorfälle
• Priorisieren von Vorfällen
• Untersuchen von Vorfällen

Tipp

Möchten Sie mehr erfahren? Wenden Sie sich an die Microsoft Security-Community in unserer Tech Community: Microsoft Defender XDR Tech Community.