Bedrohungsintelligenz in Microsoft Defender abfragen

Verwenden Sie die Tabelle ThreatIntelEntities in der erweiterten Suche, um die integrierten Bedrohungsdaten von Microsoft abzufragen, einschließlich bekannter Indikatoren für eine Kompromittierung (IOCs), Bedrohungsakteuren und bösartiger Infrastruktur. Korrelieren Sie diese Intelligenz mit Aktivitäten in Ihrer Umgebung, um Bedrohungsjagd, individuelle Erkennungen und Reaktionen zu unterstützen.

Bedrohungsinformationen in der fortgeschrittenen Jagd abfragen

Integrierte Bedrohungsinformationen sind in der ThreatIntelEntities Tabelle verfügbar.

1. Melden Sie sich beim Microsoft Defender-Portal an.

2. Wählen Sie Fortgeschrittene Jagd.

3. Wähle Schema.

4. Erweitern Sie die Gruppe für Bedrohungsaufklärung .

5. Wählen Sie die Tabelle „ThreatIntelEntities“ aus.

Tabellenspalten der ThreatIntelEntities

Die Tabelle ThreatIntelEntities enthält folgende Spalten:

Column	Type	Description
TenantId	string	Die Log Analytics-Arbeitsbereichs-ID.
Id	string	Ein Wert, der das Indikator-STIX-Objekt eindeutig identifiziert.
SourceSystem	string	Das Quellsystem, das die Entität erfasst hat.
LastUpdateMethod	string	Die Komponente, die die Entität zuletzt aktualisiert hat.
AdditionalFields	dynamic	Typspezifische Felder, die mit der Entität verknüpft sind.
Data	dynamic	Alle Objekteigenschaften, formatiert gemäß der STIX 2.1-Spezifikation.
IsActive	bool	Gibt an, ob der Indikator aktiv und für Nachweise gültig ist.
Revoked	bool	Gibt an, ob die Anzeige widerrufen wurde.
ValidUntil	datetime	Der Zeitpunkt, zu dem der Indikator für die von ihm repräsentierten Verhaltensweisen nicht mehr gültig ist.
ValidFrom	datetime	Der Zeitpunkt, ab dem der Indikator für die Verhaltensweisen, die er repräsentiert, als gültig gilt.
Created	datetime	Das Datum und die Uhrzeit der Erstellung des Indikators.
Modified	datetime	Das Datum und die Uhrzeit, an denen der Indikator zuletzt geändert wurde.
Tags	string	Tags, die mit dem Indikator verbunden sind.
Confidence	int	Das Vertrauen des Ersteller in die Richtigkeit der Daten. Der Wert muss von 0 bis 100 liegen.
Pattern	string	Das Erkennungsmuster für den Indikator, das als STIX-Muster ausgedrückt werden kann.
ObservableKey	string	Die gesamte linke Seite eines Gleichheitsvergleichs im Muster.
ObservableValue	string	Die gesamte rechte Seite eines Gleichheitsvergleichs im Muster.
Type	string	Der Name der Tabelle.

Erweiterung der Bedrohungsaufklärungsabdeckung

Verwenden Sie Microsoft Sentinel, um externe Bedrohungsinformationen mit Ihren Microsoft Defender-Daten zu integrieren.

Weitere Informationen finden Sie unter Threat Intelligence in Microsoft Sentinel.