Werken met IP-bereiken en tags

Als u gemakkelijk bekende IP-adressen wilt identificeren, zoals uw fysieke IP-adressen op kantoor, moet u IP-adresbereiken instellen. Met IP-adresbereiken kunt u de manier waarop logboeken en waarschuwingen worden weergegeven en onderzocht taggen, categoriseren en aanpassen. Elke groep IP-bereiken kan worden gecategoriseerd op basis van een vooraf ingestelde lijst met IP-categorieën. U kunt ook aangepaste IP-tags maken voor uw IP-bereiken. Daarnaast kunt u openbare geolocatiegegevens overschrijven op basis van uw interne netwerkkennis. Zowel IPv4 als IPv6 worden ondersteund.

Defender for Cloud Apps wordt vooraf geconfigureerd met ingebouwde IP-bereiken voor populaire cloudproviders zoals Azure en Microsoft 365. Daarnaast hebben we ingebouwde tagging op basis van Bedreigingsinformatie van Microsoft, waaronder anonieme proxy, Botnet en Tor. Je kunt de volledige lijst met ingebouwde IP-tags zien in het dropdownmenu op de IP-adresbereikpagina.

Opmerking

• Om deze ingebouwde tags als onderdeel van een zoekopdracht te gebruiken, raadpleeg de tag-ID's in de Defender for Cloud Apps API-documentatie.
• U kunt IP-bereiken bulksgewijs toevoegen door een script te maken met behulp van de API voor IP-adresbereiken.
• U kunt geen IP-bereiken met overlappende IP-adressen toevoegen.
• Als u de API-documentatie wilt weergeven, gaat u naar API-documentatie.

Ingebouwde IP-adrestags en aangepaste IP-tags worden hiërarchisch beschouwd. Aangepaste IP-tags hebben voorrang op ingebouwde IP-tags. Als een IP-adres bijvoorbeeld is getagd als Riskant op basis van bedreigingsinformatie, maar er een aangepaste IP-tag is die het als Zakelijk identificeert, hebben de aangepaste categorie en tags voorrang.

Een IP-adresbereik maken

Selecteer instellingen in de Microsoft Defender Portal. Kies vervolgens Cloud-apps. Selecteer onder Systeemde optie IP-adresbereiken. Selecteer IP-adresbereik toevoegen om IP-adresbereiken toe te voegen en stel de volgende velden in:

1. Geef uw IP-bereik een naam. De naam wordt niet weergegeven in het activiteitenlogboek. Het wordt alleen gebruikt om uw IP-bereik te beheren.

2. Voer elk IP-adresbereik in dat u wilt configureren. U kunt zoveel IP-adressen en subnetten toevoegen als u wilt met behulp van netwerkvoorvoegselnotatie (ook wel CIDR-notatie genoemd), bijvoorbeeld 192.168.1.0/32 voor IPv4 of 2001:db8::/32 voor IPv6.

3. Categorieën worden gebruikt om eenvoudig activiteiten van belangrijke IP-adressen in uw logboeken en waarschuwingen te herkennen. Categorieën zijn beschikbaar in de portal. Ze vereisen echter meestal gebruikersconfiguratie om te bepalen welke IP-adressen in elke categorie worden opgenomen. De uitzondering op deze configuratie is de categorie Riskant , die drie IP-tags bevat: Anonieme proxy, Botnet en Tor.

   De volgende categorieën zijn beschikbaar:

   • Beheer: deze IP-adressen moeten alle IP-adressen zijn die door uw beheerders worden gebruikt.

   • Cloudprovider: deze IP-adressen moeten de IP-adressen zijn die door uw cloudprovider worden gebruikt. Pas deze categorie toe als uw cloudprovider niet automatisch wordt geïdentificeerd.

   • Zakelijk: Deze IP-adressen moeten alle openbare IP-adressen van uw interne netwerk, uw filialen en uw Wi-Fi roamingadressen zijn.

   • Riskant: deze IP-adressen moeten alle IP-adressen zijn die u riskant vindt. Dit kunnen verdachte IP-adressen zijn die u in het verleden hebt gezien, IP-adressen in de netwerken van uw concurrenten, enzovoort. Het wordt aangeraden om voorzichtig te zijn met het toepassen van automatische governance-acties die alleen zijn gebaseerd op riskante IP-adressen, omdat er enkele gevallen zijn waarin IP-adressen die kwaadwillende actoren dienen, ook door legitieme werknemers worden gebruikt. Daarom is het onze aanbeveling om elk geval zelf te onderzoeken.

   • VPN: Deze IP-adressen moeten alle IP-adressen zijn die u gebruikt voor externe werknemers. Door deze categorie te gebruiken, kunt u voorkomen dat onmogelijke reiswaarschuwingen worden weergegeven wanneer werknemers verbinding maken vanaf hun thuislocatie via het zakelijke VPN.

   Om het IP-bereik in een categorie op te nemen, selecteer je een categorie in het keuzemenu Categorieën .

4. Voer een tag in om de activiteiten van deze IP-adressen te taggen . Als u een woord in het vak invoert, wordt de tag gemaakt. Nadat je een tag hebt aangemaakt, kun je die tag toevoegen aan extra IP-bereiken door de tag uit de bestaande taglijst te selecteren. U kunt meer dan één IP-tag toevoegen voor elk bereik. IP-tags kunnen worden gebruikt bij het bouwen van beleid. Naast IP-tags die u configureert, beschikt Defender for Cloud Apps over ingebouwde tags die niet kunnen worden geconfigureerd. Je kunt de lijst met ingebouwde IP-tags onder het IP-tagfilter zien.

   Opmerking

   • IP-tags worden toegevoegd aan de activiteit zonder gegevens te overschrijven.
   • Meerdere tags kunnen worden toegepast op hetzelfde IP-bereik.

5. Als u de geregistreerde internetprovider wilt overschrijven of de locatie of voor deze adressen wilt overschrijven , schakelt u het relevante selectievakje in. Als u bijvoorbeeld een IP-adres hebt dat openbaar wordt beschouwd als in Ierland, maar u weet dat het IP-adres zich in de VS bevindt. U overschrijft de locatie voor dat IP-adresbereik. Of als u niet wilt dat een IP-adresbereik wordt gekoppeld aan een geregistreerde internetprovider, kunt u de geregistreerde internetprovider overschrijven.

6. Wanneer u klaar bent, selecteert u Maken.

   

Volgende stappen

Clouddetectie instellen

Als u problemen ondervindt, zijn wij er om u te helpen. Open een ondersteuningsticket om hulp of ondersteuning te krijgen voor uw productprobleem.