Freigeben über

Implementieren von Microsoft Sentinel und Microsoft Defender XDR für Zero Trust

  • Artikel
  • Gilt für::
    Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Dieser Lösungsleitfaden führt durch die Einrichtung von Microsoft Extended Detection and Response (XDR)-Tools zusammen mit Microsoft Sentinel, damit Ihre Organisation schneller auf Cybersicherheitsangriffe reagieren und diese beheben kann.

Microsoft Defender XDR ist eine XDR-Lösung, die Signal-, Bedrohungs- und Warnungsdaten aus Ihrer Microsoft 365-Umgebung automatisch sammelt, korreliert und analysiert.

Microsoft Sentinel ist eine Cloud-native Lösung, die Funktionen für die Verwaltung von Sicherheitsinformationen und Ereignissen (SIEM) sowie für die Orchestrierung, Automatisierung und Reaktion auf Sicherheitsvorfälle (SOAR) bietet. Gemeinsam bieten Microsoft Sentinel und Microsoft Defender XDR eine umfassende Lösung, die Organisationen bei der Verteidigung gegen moderne Angriffe unterstützt.

Dieser Leitfaden hilft Ihnen bei der Reifung Ihrer Zero Trust-Architektur, indem er die Prinzipien von Zero Trust auf folgende Weise abbildet.

Null-Vertrauens-Prinzip (Zero-Trust-Prinzip) Von
Explizit verifizieren Microsoft Sentinel sammelt Daten aus der gesamten Umgebung und analysiert Bedrohungen und Anomalien, sodass Ihre Organisation und alle implementierten Automatisierungen basierend auf allen verfügbaren und überprüften Datenpunkten handeln können.

 Microsoft Defender XDR bietet erweiterte Erkennung und Reaktion für Benutzer, Identitäten, Geräte, Apps und E-Mails. Konfigurieren Sie die Microsoft Sentinel-Automatisierung so, dass die von Microsoft Defender XDR erfassten risikobasierten Signale verwendet werden, um Maßnahmen zu ergreifen, z. B. das Blockieren oder Autorisieren von Datenverkehr basierend auf dem Risikoniveau.
Geringstmögliche Zugriffsberechtigungen verwenden Microsoft Sentinel erkennt anomale Aktivitäten über das User Entity Behavior Analytics (UEBA)-Modul. Da sich Sicherheitsszenarien im Laufe der Zeit ändern können und häufig sehr schnell, importiert Microsoft Sentinels Bedrohungserkennung auch Daten von Microsoft oder Drittanbietern, um neue, aufkommende Bedrohungen zu erkennen und zusätzlichen Kontext für Untersuchungen bereitzustellen.

 Microsoft Defender XDR umfasst Microsoft Entra ID Protection, sodass Benutzer basierend auf dem Risikograd der Identität blockiert werden können. Geben Sie alle zugehörigen Daten zur weiteren Analyse und Automatisierung in Microsoft Sentinel ein.
Angenommen, der Verstoß Die Lösung überprüft die Umgebung kontinuierlich auf Bedrohungen und Sicherheitsrisiken. Microsoft Sentinel analysiert gesammelte Daten und die Verhaltenstrends jeder Entität, um verdächtige Aktivitäten, Anomalien und mehrstufige Bedrohungen im gesamten Unternehmen zu erkennen.

Microsoft Defender XDR sowie Sentinel können automatisierte Wartungsaufgaben implementieren (einschließlich automatisierter Untersuchungen, Geräteisolation und Datenquarantäne). Das Geräterisiko kann als Signal verwendet werden, das in Microsoft Entra Conditional Access eingespeist wird.

Microsoft Sentinel und XDR-Architektur

Microsoft Sentinel-Kunden können eine der folgenden Methoden verwenden, um Microsoft Sentinel in Microsoft Defender XDR-Dienste zu integrieren:

  • Verwenden Sie Microsoft Sentinel-Datenconnectors, um Microsoft Defender XDR-Dienstdaten in Microsoft Sentinel zu erfassen. Zeigen Sie in diesem Fall Microsoft Sentinel-Daten im Azure-Portal an.

  • Integrieren Sie Microsoft Sentinel und Microsoft Defender XDR in eine einzige einheitliche Sicherheitsoperationsplattform im Microsoft Defender-Portal. Zeigen Sie in diesem Fall Microsoft Sentinel-Daten direkt im Microsoft Defender-Portal mit den restlichen Defender-Vorfällen, Warnungen, Sicherheitsrisiken und anderen Sicherheitsdaten an.

Dieses Lösungshandbuch enthält Informationen für beide Methoden. Wählen Sie in diesem Lösungshandbuch die Registerkarte aus, die für Ihren Arbeitsbereich relevant ist. Wenn Sie Ihren Arbeitsbereich in die einheitliche Plattform für Sicherheitsvorgänge integriert haben, arbeiten Sie im Defender-Portal. Wenn Sie Ihren Arbeitsbereich nicht integriert haben, arbeiten Sie im Azure-Portal, sofern nicht anders angegeben.

Die folgende Abbildung zeigt, wie die XDR-Lösung von Microsoft nahtlos in Microsoft Sentinel mit der einheitlichen Sicherheitsoperationsplattform integriert wird.

Diagramm einer Microsoft Sentinel- und Microsoft Defender XDR-Architektur mit der einheitlichen Sicherheitsoperationsplattform.

In diesem Diagramm:

  • Erkenntnisse aus Signalen in Ihrer gesamten Organisation werden in Microsoft Defender XDR und Microsoft Defender for Cloud erfasst.
  • Microsoft Sentinel bietet Unterstützung für Multicloud-Umgebungen und kann in Drittanbieter-Apps und -Partner integriert werden.
  • Microsoft Sentinel-Daten werden zusammen mit den Daten Ihrer Organisation in das Microsoft Defender-Portal aufgenommen.
  • SecOps-Teams können dann Bedrohungen analysieren und auf die Bedrohungen reagieren, die in Microsoft Sentinel und Microsoft Defender XDR im Microsoft Defender-Portal identifiziert wurden.

Implementieren von Microsoft Sentinel und Microsoft Defender XDR für Zero Trust

Microsoft Defender XDR ist eine XDR-Lösung, die Microsoft Sentinel ergänzt. Ein XDR sammelt Telemetrie-Rohdaten aus verschiedenen Diensten wie Cloud-Anwendungen, E-Mail-Sicherheit, Identitäts- und Zugriffsmanagement.

Mithilfe von künstlicher Intelligenz (KI) und maschinellem Lernen führt der XDR dann eine automatische Analyse, Untersuchung und Reaktion in Echtzeit durch. Die XDR-Lösung korreliert außerdem Sicherheitswarnungen zu größeren Vorfällen, wodurch Sicherheitsteams einen besseren Einblick in Angriffe erhalten, und bietet eine Priorisierung von Vorfällen, die Analysten hilft, den Risikograd der Bedrohung zu verstehen.

Mit Microsoft Sentinel können Sie über integrierte Connectoren und Industriestandards eine Verbindung zu vielen Sicherheitsquellen herstellen. Mit seiner KI können Sie mehrere Low-Fidelity-Signale aus verschiedenen Quellen miteinander korrelieren, um einen vollständigen Überblick über die Ransomware-Kill-Chain und priorisierte Warnmeldungen zu erhalten.

Anwenden von SIEM- und XDR-Funktionen

Dieser Abschnitt enthält ein typisches Angriffsszenario, das einen Phishingangriff umfasst. Anschließend wird erläutert, wie Sie mit Microsoft Sentinel und Microsoft Defender XDR auf den Vorfall reagieren können.

Allgemeine Angriffsreihenfolge

Das folgende Diagramm zeigt eine übliche Angriffsreihenfolge eines Phishing-Szenarios.

Diagramm eines gängigen Angriffsszenarios und der Verteidigung durch Microsoft-Sicherheitsprodukte.

Die Abbildung zeigt auch die Microsoft-Sicherheitsprodukte, die verwendet werden, um jeden Angriffsschritt zu erkennen. Es wird veranschaulicht, wie Angriffssignale und SIEM-Daten an Microsoft Defender XDR und Microsoft Sentinel gesendet werden.

Zusammenfassung des Angriffs:

Angriffsschritt Ortungsdienst und Signalquelle Verteidigungsmaßnahmen sind vorhanden
1. Angreifer sendet Phishing-E-Mail Microsoft Defender für Office 365 Schützt Postfächer mit fortschrittlichen Anti-Phishing-Funktionen, die vor böswilligen Phishing-Angriffen auf der Basis von Identitätswechsel schützen können.
2. Benutzer öffnet Anhang Microsoft Defender für Office 365 Das Feature "Sichere Anlagen" von Microsoft Defender für Office 365 öffnet Anlagen in einer isolierten Umgebung für eine größere Bedrohungsüberprüfung (Detonation).
3. Der Anhang installiert Malware Microsoft Defender für den Endpunkt Schützt Endgeräte vor Malware mit seinen Schutzfunktionen der nächsten Generation, wie z. B. Cloud-basierter Schutz und verhaltensbasierter/heuristischer/Echtzeit-Virenschutz.
4. Malware stiehlt Benutzeranmeldedaten Microsoft Entra ID und Microsoft Entra ID Protection Schützt Identitäten, indem es das Verhalten und die Aktivitäten von Benutzern überwacht, Seitwärtsbewegungen erkennt und bei anomalen Aktivitäten Alarm schlägt.
5. Angreifer bewegt sich seitlich durch Microsoft 365 Anwendungen und Daten Microsoft Defender für Cloud-Apps Kann anomale Aktivitäten von Benutzern erkennen, die auf Cloud-Anwendungen zugreifen.
6. Angreifer lädt sensible Dateien aus einem SharePoint-Ordner herunter Microsoft Defender für Cloud-Apps Kann Massendownload-Ereignisse von Dateien aus SharePoint erkennen und darauf reagieren.

Wenn Sie Ihren Microsoft Sentinel-Arbeitsbereich in die einheitliche Plattform für Sicherheitsvorgänge integriert haben, stehen SIEM-Daten direkt im Microsoft Defender-Portal mit Microsoft Sentinel zur Verfügung.

Reagieren auf einen Incident mithilfe von Microsoft Sentinel und Microsoft Defender XDR

Nachdem Sie nun erfahren haben, wie ein typischer Angriff abläuft, wird nun die die Anwendung der Integration von Microsoft Sentinel und Microsoft Defender XDR für die Reaktion auf Vorfälle erläutert.

Wählen Sie die relevante Registerkarte für Ihren Arbeitsbereich aus, je nachdem, ob Sie Ihren Arbeitsbereich in die einheitliche Sicherheitsoperationsplattform integriert haben.

Nachdem Sie Microsoft Sentinel und Microsoft Defender XDR integriert haben, indem Sie Ihren Arbeitsbereich in die einheitliche Plattform für Sicherheitsvorgänge integrieren, führen Sie alle Schritte zur Reaktion auf Vorfälle direkt im Microsoft Defender-Portal aus, genau wie bei anderen Microsoft Defender XDR-Vorfällen. Unterstützte Schritte umfassen alles, von der Triage bis hin zur Untersuchung und Lösung.

Verwenden Sie den Microsoft Sentinel-Bereich im Microsoft Defender-Portal für Features, die allein mit dem Defender-Portal nicht verfügbar sind.

Weitere Informationen finden Sie unter Reagieren auf einen Incident mithilfe von Microsoft Sentinel und Microsoft Defender XDR.

Wichtige Funktionen

Um einen Zero-Trust-Ansatz bei der Verwaltung von Vorfällen zu implementieren, verwenden Sie diese Funktionen von Microsoft Sentinel und XDR.

Fähigkeit oder Eigenschaft Beschreibung Produkt
Automated Investigation and Response (AIR) AIR-Funktionen wurden entwickelt, um Warnungen zu untersuchen und sofortige Maßnahmen zum Beheben von Verletzungen zu ergreifen. AIR-Funktionen verringern den Umfang an Warnungen erheblich, sodass sich Sicherheitsexperten auf komplexere Bedrohungen und andere Initiativen mit hoher Wertschöpfung konzentrieren können. Microsoft Defender XDR
Erweiterte Erkennung Die erweiterte Bedrohungssuche ist ein abfragebasiertes Tool zur Bedrohungsermittlung, mit dem Sie Rohdaten für bis zu 30 Tage untersuchen können. Sie können Ereignisse in Ihrem Netzwerk proaktiv untersuchen, um Bedrohungsindikatoren und Entitäten aufzuspüren. Der flexible Zugriff auf die Daten ermöglicht eine uneingeschränkte Suche nach bekannten und potenziellen Bedrohungen. Microsoft Defender XDR
Benutzerdefinierte Datei-Indikatoren Verhindern Sie die weitere Ausbreitung eines Angriffs in Ihrem Unternehmen, indem Sie potenziell bösartige Dateien oder vermutete Malware verbieten. Microsoft Defender XDR
Cloud Discovery: Cloud Discovery analysiert die von Defender for Endpoint gesammelten Datenverkehrsprotokolle und gleicht die identifizierten Apps mit dem Cloud-App-Katalog ab, um Informationen zur Compliance und Sicherheit zu liefern. Microsoft Defender für Cloud-Apps
Benutzerdefinierte Netzwerkindikatoren Durch die Erstellung von Indikatoren für IP-Adressen und URLs oder Domänen können Sie nun IP-Adressen, URLs oder Domänen auf der Grundlage Ihrer eigenen Threat Intelligence zulassen oder blockieren. Microsoft Defender XDR
Endpunkt-Erkennung und Reaktion (EDR) Block Bietet zusätzlichen Schutz vor bösartigen Artefakten, wenn Microsoft Defender Antivirus (MDAV) nicht das primäre Antivirenprodukt ist und im passiven Modus ausgeführt wird. EDR im Blockmodus arbeitet im Hintergrund, um bösartige Artefakte zu beseitigen, die von EDR-Funktionen entdeckt wurden. Microsoft Defender XDR
Reaktionsfähigkeit des Geräts Reagieren Sie schnell auf entdeckte Angriffe, indem Sie Geräte isolieren oder ein Untersuchungspaket zusammenstellen. Microsoft Defender XDR
Live Response Live Response ermöglicht Sicherheitsteams den sofortigen Zugriff auf ein Gerät (auch als Computer bezeichnet) über eine Remoteshellverbindung. Dadurch haben Sie die Möglichkeit, eingehende Untersuchungen durchzuführen und sofortige Antwortaktionen auszuführen, um erkannte Bedrohungen in Echtzeit einzudämmen. Microsoft Defender XDR
Sichere Cloud-Anwendungen Eine DevSecOps-Lösung (Development, Security, Operations), die die Sicherheitsverwaltung auf Codeebene in Umgebungen mit mehreren Clouds und mehreren Pipelines vereint. Microsoft Defender für Cloud
Verbessern Sie Ihren Sicherheitsstatus Eine CSPM-Lösung (Cloud Security Posture Management), die Aktionen zeigt, mit denen Sie Sicherheitsverletzungen verhindern können. Microsoft Defender für Cloud
Schützen von Cloudworkloads Eine Plattform für den Cloudworkloadschutz (Cloud Workload Protection Platform, CWPP) mit spezifischem Schutz für Server, Container, Speicher, Datenbanken und andere Workloads. Microsoft Defender für Cloud
Benutzer- und Entitätsverhaltensanalyse (UEBA) Analysiert das Verhalten von Organisationseinheiten wie Benutzern, Hosts, IP-Adressen und Anwendungen) Microsoft Sentinel

Für integrierte Arbeitsbereiche, Microsoft Sentinel in der einheitlichen Sicherheitsoperationsplattform
Fusion Ein Modul für Korrelationen, das auf skalierbaren Algorithmen für maschinelles Lernen basiert. Erkennt automatisch mehrstufige Angriffe, die auch als Advanced Persistent Threats (APT) bekannt sind, indem es Kombinationen von anomalem Verhalten und verdächtigen Aktivitäten identifiziert, die auf verschiedenen Stufen der Kill Chain beobachtet werden. Microsoft Sentinel

Für integrierte Arbeitsbereiche, Microsoft Sentinel in der einheitlichen Sicherheitsoperationsplattform
Threat Intelligence Nutzen Sie Drittanbieter von Microsoft, um Daten anzureichern und zusätzlichen Kontext zu Aktivitäten, Warnungen und Protokollen in Ihrer Umgebung zu liefern. Microsoft Sentinel

Für integrierte Arbeitsbereiche, Microsoft Sentinel in der einheitlichen Sicherheitsoperationsplattform
Automatisierung  Automatisierungsregeln sind eine Möglichkeit, die Automatisierung mit Microsoft Sentinel zentral zu verwalten, indem Sie eine kleine Reihe von Regeln definieren und koordinieren können, die in verschiedenen Szenarien angewendet werden können. Microsoft Sentinel

Für integrierte Arbeitsbereiche, Microsoft Sentinel in der einheitlichen Sicherheitsoperationsplattform
Anomalie-Regeln Vorlagen für Anomalieregel verwenden Machine Learning, um bestimmte Arten von anomalen Verhaltensweisen zu erkennen. Microsoft Sentinel

Für integrierte Arbeitsbereiche, Microsoft Sentinel in der einheitlichen Sicherheitsoperationsplattform
Geplante Abfragen Eingebaute, von Microsoft-Sicherheitsexperten geschriebene Regeln, die die von Sentinel gesammelten Protokolle nach verdächtigen Aktivitätsketten und bekannten Bedrohungen durchsuchen. Microsoft Sentinel

Für integrierte Arbeitsbereiche, Microsoft Sentinel in der einheitlichen Sicherheitsoperationsplattform
Fast-Echtzeit (NRT) Regeln NRT-Regeln sind eingeschränkte geplante Regeln, die einmal pro Minute ausgeführt werden sollen, um Ihnen so schnell wie möglich Informationen zur Verfügung zu stellen.  Microsoft Sentinel

Für integrierte Arbeitsbereiche, Microsoft Sentinel in der einheitlichen Sicherheitsoperationsplattform
Hunting Um Sicherheitsanalysten dabei zu unterstützen, proaktiv nach neuen Anomalien zu suchen, die von Ihren Sicherheits-Apps oder auch Ohren Regeln zur geplanten Analyse nicht erkannt wurden, werden Sie von den in Microsoft Sentinel integrierten Bedrohungssuchabfragen dazu geführt, die richtigen Fragen zu stellen, um Probleme in den Daten zu finden, die bereits in Ihrem Netzwerk vorhanden sind. Microsoft Sentinel

Verwenden Sie für integrierte Arbeitsbereiche die erweiterte Suchfunktion des Microsoft Defender-Portals.
Microsoft Defender XDR-Connector Der Microsoft Defender XDR-Connector synchronisiert Protokolle und Incidents mit Microsoft Sentinel. Microsoft Defender XDR und Microsoft Sentinel br>
Für integrierte Arbeitsbereiche, Microsoft Sentinel in der einheitlichen Sicherheitsoperationsplattform
Datenconnectors Ermöglicht das Einlesen von Daten zur Analyse in Microsoft Sentinel. Microsoft Sentinel

Für integrierte Arbeitsbereiche, Microsoft Sentinel in der einheitlichen Sicherheitsoperationsplattform
Content-Hub-Lösung –Zero Trust (TIC 3.0) Zero Trust (TIC 3.0) umfasst eine Arbeitsmappe, Analyseregeln und ein Playbook, die eine automatisierte Visualisierung der Zero Trust-Prinzipien mit Querverweisen zum Trust Internet Connections-Framework bieten und Unternehmen dabei helfen, Konfigurationen im Laufe der Zeit zu überwachen. Microsoft Sentinel

Für integrierte Arbeitsbereiche, Microsoft Sentinel in der einheitlichen Sicherheitsoperationsplattform
Sicherheitsorchestrierung, Automatisierung und Reaktion (SOAR) Die Verwendung von Automatisierungsregeln und Playbooks als Reaktion auf Sicherheitsbedrohungen erhöht die Effektivität Ihres SOC und spart Ihnen Zeit und Ressourcen. Microsoft Sentinel

Für integrierte Arbeitsbereiche, Microsoft Sentinel in der einheitlichen Sicherheitsoperationsplattform
SOC-Optimierungen Schließen Sie Abdeckungslücken gegen bestimmte Bedrohungen, und erhöhen Sie Ihre Aufnahmeraten gegen Daten, die keinen Sicherheitswert bieten.

Was ist in dieser Lösung enthalten?

Diese Lösung führt Sie schrittweise durch die Implementierung von Microsoft Sentinel und XDR, damit Ihr Sicherheitsteam Vorfälle mit einem Zero-Trust-Ansatz effektiv beheben kann.

Abbildung der Schritte zur Microsoft Sentinel- und XDR-Lösung

Schulungsinhalte decken derzeit nicht die einheitliche Plattform für Sicherheitsvorgänge ab.

Training Verbinden von Microsoft Defender XDR mit Microsoft Sentinel
Erfahren Sie mehr über die Konfigurationsoptionen und Daten, die von Microsoft Sentinel Connectors für Microsoft Defender XDR bereitgestellt werden.

Start >

Nächste Schritte

Führen Sie diese Schritte aus, um Microsoft Sentinel und XDR für einen Zero Trust-Ansatz zu implementieren:

  1. Einrichten Ihrer XDR-Tools
  2. Architektur Ihres Microsoft Sentinel-Arbeitsbereichs
  3. Erfassen von Datenquellen
  4. Reaktion auf einen Vorfall

Weitere Artikel zum Anwenden von Zero Trust-Prinzipien auf Azure IaaS: