Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Microsoft Defender for Cloud Apps en Microsoft Defender voor Cloud gebruiken een datatype genaamd gedragingen om anomalistische gebruikersactiviteit te identificeren en te onderzoeken die niet per se wijzen op een compromittering. In tegenstelling tot anomaliedetecties die zich richten op problematische beveiligingsscenario's, bieden gedragingen contextuele inzichten in gebruikersacties die nader onderzoek kunnen verdienen.
In dit artikel wordt beschreven hoe u Defender for Cloud Apps en Defender voor Cloud gedrag kunt onderzoeken met Microsoft Defender geavanceerde opsporing.
Hebt u feedback om te delen? Vul ons feedbackformulier voor Defender for Cloud Apps gedrag in.
Wat is een gedrag?
MITRE ATT&CK is een kader dat tegenstandertactieken en -methoden classificeert. Gedragingen zijn gekoppeld aan MITRE ATT&CK-categorieën en technieken en bieden een dieper begrip van een gebeurtenis dan de ruwe gebeurtenisgegevens bieden. Gedragsgegevens liggen tussen onbewerkte gebeurtenisgegevens en de waarschuwingen die door een gebeurtenis worden gegenereerd.
Hoewel gedrag kan zijn gerelateerd aan beveiligingsscenario's, zijn ze niet noodzakelijkerwijs een teken van schadelijke activiteit of een beveiligingsincident. Elk gedrag is gebaseerd op één of meer ruwe gebeurtenissen en biedt contextuele inzichten in de activiteit van de gebruiker of het systeem die op een specifiek moment plaatsvond, met behulp van informatie die Defender for Cloud Apps heeft geleerd of geïdentificeerd.
Belangrijk
Vanaf maart 2025 kunnen klanten van Defender for Cloud Apps RBAC-afbakening configureren voor 'Behaviors'. Met deze nieuwe mogelijkheid kunnen beheerders toegangsmachtigingen nauwkeuriger definiëren en beheren. Beheerders kunnen ervoor zorgen dat gebruikers het juiste toegangsniveau hebben tot specifieke toepassingsgegevens op basis van hun rollen en verantwoordelijkheden. Zie Beheerderstoegang beheren in Microsoft Defender for Cloud Apps voor meer informatie.
Ondersteunde detecties
Gedragingen ondersteunen momenteel detecties met een lage betrouwbaarheid, detecties van Defender for Cloud Apps en detecties van Defender voor Cloud, die mogelijk niet voldoen aan de drempel voor waarschuwingen, maar nog steeds nuttig zijn om context te bieden tijdens een onderzoek. Momenteel ondersteunde detecties zijn onder andere:
| Waarschuwingsnaam | Beleidsnaam | ActionType (jacht) |
|---|---|---|
| Activiteit vanuit een ongebruikelijk land | Activiteit uit niet-frequent land/regio | ActiviteitVanZeldenGezienLand |
| Onmogelijke reisactiviteit | Onmogelijk reizen | ImpossibleTravelActivity |
| Massaal verwijderen | Ongebruikelijke bestandsverwijderingsactiviteit (per gebruiker) | MassDelete |
| Massaal downloaden | Ongebruikelijke bestandsdownload (door gebruiker) | MassDownload |
| Massashare | Ongebruikelijke activiteit van bestandsshares (per gebruiker) | MassShare |
| Meerdere VM-activiteiten verwijderen | Meerdere VM-activiteiten verwijderen | MultipleDeleteVmActivities |
| Meerdere mislukte aanmeldingspogingen | Meerdere mislukte aanmeldingspogingen | Meerdere mislukte inlogpogingen |
| Meerdere activiteiten voor het delen van Power BI-rapporten | Meerdere activiteiten voor het delen van Power BI-rapporten | Activiteiten voor het delen van meerdere Power BI-rapporten |
| Activiteiten voor het maken van meerdere VM's | Activiteiten voor het maken van meerdere VM's | MultipleVmCreationActivities |
| Verdachte beheeractiviteiten | Ongebruikelijke beheeractiviteit (per gebruiker) | Verdachte beheerdersactiviteit |
| Verdachte geïmiteerde activiteit | Ongebruikelijke geïmiteerde activiteit (door gebruiker) | VerdachteNagebootsteActiviteit |
| Verdachte activiteiten voor het downloaden van OAuth-app-bestanden | Verdachte activiteiten voor het downloaden van OAuth-app-bestanden | VerdachteOAuthAppBestandsdownloadactiviteiten |
| Verdacht delen van Power BI-rapporten | Verdacht delen van Power BI-rapporten | SuspiciousPowerBiReportSharing |
| Ongebruikelijke toevoeging van aanmeldingsgegevens aan een OAuth-app | Ongebruikelijke toevoeging van referenties aan een OAuth-app | OngebruikelijkeToevoegingVanReferentiesAanEenOAuthApp |
Opmerking
'Activiteiten voor het maken van meerdere VM's' en 'Vm-activiteiten meerdere verwijderen' zijn gepland om in mei 2026 te worden afgeschaft. Na afschaffing worden deze gedragingen niet meer gegenereerd en zijn ze niet meer beschikbaar voor opsporing, aangepaste detecties of correlatie in Microsoft Defender. Records die vóór de afschaffingsdatum zijn gegenereerd, worden bewaard volgens het standaardbeleid voor gegevensretentie.
Defender for Cloud Apps overgang van waarschuwingen naar gedrag
Om de kwaliteit van waarschuwingen die worden gegenereerd door Defender for Cloud Apps te verbeteren en het aantal fout-positieven te verlagen, zet Defender for Cloud Apps momenteel beveiligingsinhoud over van waarschuwingen naar gedrag.
De overgang van Defender for Cloud Apps-beveiligingscontent van waarschuwingen naar gedrag heeft als doel beleid te verwijderen uit meldingen die lage kwaliteit detecties geven, terwijl beveiligingsscenario's blijven ontstaan die zich richten op kant-en-klaar detecties. Tegelijkertijd verzendt Defender for Cloud Apps gedrag om u te helpen bij uw onderzoeken.
Het overgangsproces van waarschuwingen naar gedrag omvat de volgende fasen:
(Voltooid) Defender for Cloud Apps verzendt gedrag parallel met waarschuwingen.
(Voltooid) Beleidsregels die gedrag genereren, zijn nu standaard uitgeschakeld en verzenden geen waarschuwingen.
Overstappen op een door de cloud beheerd detectiemodel, waardoor klantgerichte beleidsregels volledig worden verwijderd. De fase van het cloud-managed detectiemodel is gepland om zowel aangepaste detecties als geselecteerde waarschuwingen te bieden die door interne beleidslijnen worden gegenereerd voor high-fidelity, op beveiliging gerichte scenario's.
De overgang naar gedrag omvat ook verbeteringen voor ondersteunde gedragstypen en aanpassingen voor door beleid gegenereerde waarschuwingen voor optimale nauwkeurigheid.
Opmerking
De planning van de fase van het detectiemodel dat in de cloud wordt beheerd, is niet bepaald. Klanten worden op de hoogte gesteld van wijzigingen via meldingen in het berichtencentrum.
Zie Verander de manier waarop u onderzoek doet met gedragingen en nieuwe detecties voor meer informatie.
Gedrag gebruiken in Microsoft Defender XDR geavanceerde opsporing
Open gedrag op de pagina Geavanceerd zoeken in de Defender-portal en gebruik gedrag door query's uit te voeren op gedragstabellen en aangepaste detectieregels te maken die gedragsgegevens bevatten.
Gedragsgegevens zijn beschikbaar in twee tabellen: BehaviorInfo en BehaviorEntities. Hun schema lijkt op het AlertInfo-tabelschema. De volgende tabel beschrijft elke gedragstabel:
| Tabelnaam | Beschrijving |
|---|---|
| GedragInfo | Noteer per gedrag met de bijbehorende metagegevens, inclusief de titel van het gedrag, MITRE-aanvalscategorieën en technieken. |
| Gedragsentiteiten | Informatie over de entiteiten die deel uitmaakten van het gedrag. Dit kunnen meerdere records per gedrag zijn. |
Gebruik BehaviorId als primaire sleutel voor de join om volledige informatie over een gedrag en de entiteiten ervan te verkrijgen. De volgende query zoekt een specifiek gedrag op via ID en voegt het samen met gerelateerde entiteiten zodat je alle bijbehorende artefacten kunt inspecteren:
BehaviorInfo
| where BehaviorId == "INSERT VALUE"
| join BehaviorEntities on BehaviorId
Voorbeeldscenario's
Deze sectie bevat voorbeeldscenario's voor het gebruik van gedragsgegevens op de pagina Geavanceerde opsporing van de Defender-portal en relevante codevoorbeelden.
Tip
Maak Microsoft Defender XDR aangepaste detectieregels voor detectie die u wilt blijven weergeven als waarschuwing, als een waarschuwing niet meer standaard wordt gegenereerd.
Waarschuwingen ontvangen voor massadownloads
Scenario: u wilt een waarschuwing ontvangen wanneer een massadownload wordt uitgevoerd door een specifieke gebruiker of een lijst met gebruikers die vatbaar zijn voor inbreuk of interne risico's.
Om dit te doen, maak je een aangepaste detectieregel op basis van de volgende query. De queryfilters voor MassDownload gedragsentiteiten gekoppeld aan specifieke gebruikersaccounts, helpen je bij het onderzoeken van mogelijke data-exfiltratieactiviteiten:
BehaviorEntities
| where ActionType == "MassDownload"
| where EntityType == “User” and AccountName in (“username1”, “username2”… )
Zie Aangepaste detectieregels maken en beheren in Microsoft Defender voor meer informatie.
100 recente gedragingen opvragen
Scenario: U wilt een query uitvoeren op 100 recente gedragingen met betrekking tot de MITRE-aanvalstechniek Geldige accounts (T1078).
Om de nieuwste gedragingen die samenhangen met de Valid Accounts (T1078) techniek te bekijken, voer je de volgende query uit. Het geeft de 100 meest recente matching-gedragingen terug, waarmee je potentiële bedreigingen op basis van credentials kunt identificeren:
BehaviorInfo
| where AttackTechniques has "Valid Accounts (T1078)"
| order by Timestamp desc
| take 100
Gedrag voor een specifieke gebruiker onderzoeken
Scenario: Als u vermoedt dat een gebruiker mogelijk is aangetast, onderzoekt u alle gerelateerde gedragingen voor die gebruiker.
Gebruik de volgende query om gedragingen te vinden die door Microsoft Cloud App Security zijn gerapporteerd voor een specifiek gebruikersaccount. De query filtert op servicebron en account-UPN en voegt vervolgens gerelateerde entiteiten toe om een volledig overzicht te geven van de gedragsrecords van de gebruiker. Vervang de gebruikersnaam door de naam van de gebruiker die u wilt onderzoeken:
BehaviorInfo
| where ServiceSource == "Microsoft Cloud App Security"
| where AccountUpn == "*username*"
| join BehaviorEntities on BehaviorId
| project Timestamp, BehaviorId, ActionType, Description, Categories, AttackTechniques, ServiceSource, AccountUpn, AccountObjectId, EntityType, EntityRole, RemoteIP, AccountName, AccountDomain, Application
Gedrag voor een specifiek IP-adres onderzoeken
Scenario: Onderzoek alle gedragingen waarbij een van de entiteiten een verdacht IP-adres is.
Om activiteit te traceren die geassocieerd is met een verdacht IP-adres, gebruik je de volgende zoekopdracht om gedragsentiteiten te zoeken op overeenkomsten met externe IP-waarden. De query vindt alle gedragingen die gekoppeld zijn aan het opgegeven IP-adres, waardoor je gerelateerde gebruikersacties en entiteiten kunt identificeren. Vervang verdacht IP-adres door het IP-adres dat u wilt onderzoeken.
BehaviorEntities
| where EntityType == "Ip"
| where RemoteIP == "*suspicious IP*"
| where ServiceSource == "Microsoft Cloud App Security"
| project Timestamp, BehaviorId, ActionType, Categories, ServiceSource, AccountUpn, AccountObjectId, EntityType, EntityRole, RemoteIP, AccountName, AccountDomain
Volgende stappen
Zie de volgende bronnen voor meer informatie over gedrag en gerelateerde onderzoeken:
- De manier transformeren waarop u onderzoek doet met behulp van gedrag en nieuwe detecties
- Zelfstudie: Verdachte gebruikersactiviteit detecteren met gedragsanalyse
Als u problemen ondervindt, zijn wij er om u te helpen. Open een ondersteuningsticket om hulp of ondersteuning te krijgen voor uw productprobleem.