Entiteiten op apparaten onderzoeken met behulp van liverespons

  • Van toepassing op: Microsoft Defender for Endpoint Plan 2

Live response geeft beveiligingsteams direct toegang tot een apparaat (ook wel een computer genoemd) met behulp van een externe shellverbinding. Live response biedt u de kracht om uitgebreid onderzoek uit te voeren en onmiddellijke reactieacties te ondernemen om geïdentificeerde bedreigingen in realtime te beperken.

Live response is ontworpen om onderzoeken te verbeteren door uw beveiligingsteam in staat te stellen forensische gegevens te verzamelen, scripts uit te voeren, verdachte entiteiten te verzenden voor analyse, bedreigingen te herstellen en proactief te zoeken naar nieuwe bedreigingen.

Met een live-reactie kunnen analisten alle volgende taken uitvoeren:

  • Voer eenvoudige en geavanceerde opdrachten uit om onderzoekswerk uit te voeren op een apparaat.
  • Download bestanden zoals malwarevoorbeelden en resultaten van PowerShell-scripts.
  • Download bestanden op de achtergrond (nieuw!).
  • Upload een PowerShell-script of uitvoerbaar bestand naar de bibliotheek en voer het uit op een apparaat vanaf tenantniveau.
  • Herstelacties uitvoeren of ongedaan maken.

Tip

U kunt bestanden die worden gebruikt voor livereacties uploaden, weergeven en beheren vanaf de pagina Bibliotheekbeheer .

Vereisten

Op apparaten moet een van de volgende ondersteunde besturingssystemen en versies worden uitgevoerd

Ondersteunde besturingssystemen

Andere vereisten

  • Live-antwoord inschakelen vanaf de pagina geavanceerde instellingen: U moet de mogelijkheid voor live-antwoorden inschakelen op de pagina Geavanceerde functies.

    Opmerking

    Alleen beheerders en gebruikers met de machtigingen Portal-instellingen beheren kunnen live reageren inschakelen.

  • Schakel liverespons in voor servers vanaf de pagina met geavanceerde instellingen (aanbevolen).

    Opmerking

    Alleen beheerders en gebruikers met de machtigingen Portal-instellingen beheren kunnen live reageren inschakelen.

  • Schakel de uitvoering van een niet-ondertekend live-antwoordscript in (optioneel).

    Belangrijk

    Handtekeningverificatie is alleen van toepassing op PowerShell-scripts.

    Waarschuwing

    Als u het gebruik van niet-ondertekende scripts toestaat, kan uw blootstelling aan bedreigingen toenemen. Als u deze moet gebruiken, moet u de instelling inschakelen op de pagina Instellingen voor geavanceerde functies .

  • Zorg ervoor dat u over de juiste machtigingen beschikt: alleen gebruikers die zijn ingericht met de juiste machtigingen kunnen een sessie starten. Zie Rollen maken en beheren voor meer informatie over roltoewijzingen.

    Belangrijk

    De optie om een bestand via livereactie naar de bibliotheek te uploaden, is alleen beschikbaar voor gebruikers met de machtiging 'Beveiligingsinstellingen beheren'. De knop wordt grijs weergegeven voor gebruikers met alleen gedelegeerde machtigingen. U kunt ook bestanden uploaden naar de bibliotheek vanaf de pagina Bibliotheekbeheer , waarvoor u deze machtiging niet nodig hebt.

    Afhankelijk van de rol die aan u is verleend, kunt u eenvoudige of geavanceerde liveresponsopdrachten uitvoeren. Gebruikersmachtigingen worden beheerd door de aangepaste RBAC-rol.

Dashboardoverzicht voor live-antwoorden

Wanneer u een live-antwoordsessie op een apparaat start, wordt er een dashboard geopend. Het dashboard bevat informatie over de sessie. Bijvoorbeeld:

  • Wie heeft de sessie gemaakt
  • Wanneer de sessie is gestart
  • De duur van de sessie

Het dashboard geeft u ook toegang tot acties voor de sessie. Bijvoorbeeld:

  • Sessie verbreken
  • Bestanden uploaden naar de bibliotheek
  • Opdrachtconsole
  • Opdrachtlogboek

Een live-antwoordsessie starten op een apparaat

Voer de volgende stappen uit om een live-antwoordsessie op een apparaat te starten.

Opmerking

Live-antwoordacties die zijn geïnitieerd vanaf de pagina Apparaat, zijn niet beschikbaar in de MachineActions-API.

  1. Meld u aan bij Microsoft Defender portal.

  2. Navigeer naar Eindpunten>Apparaatinventaris en selecteer een apparaat dat u wilt onderzoeken. De pagina apparaten wordt geopend.

  3. Start de live-antwoordsessie door Live-antwoordsessie starten te selecteren. Er wordt een opdrachtconsole weergegeven. Wacht totdat de sessie verbinding maakt met het apparaat.

  4. Gebruik de ingebouwde opdrachten om onderzoekswerk uit te voeren. Zie Opdrachten voor live-antwoorden voor meer informatie.

  5. Nadat u het onderzoek hebt voltooid, selecteert u Sessie verbreken en selecteert u vervolgens Bevestigen.

Opdrachten voor directe reactie

Afhankelijk van de rol die aan u is verleend, kunt u eenvoudige of geavanceerde liveresponsopdrachten uitvoeren. Gebruikersmachtigingen worden beheerd door aangepaste RBAC-rollen. Zie Rollen maken en beheren voor meer informatie over roltoewijzingen.

Opmerking

Live-respons is een interactieve shell in de cloud. Als zodanig kan de specifieke opdrachtervaring variëren in reactietijd, afhankelijk van de netwerkkwaliteit en de systeembelasting tussen de eindgebruiker en het doelapparaat.

Basisopdrachten

De volgende opdrachten zijn beschikbaar voor gebruikersrollen die de mogelijkheid hebben om eenvoudige live antwoordopdrachten uit te voeren. Zie Rollen maken en beheren voor meer informatie over roltoewijzingen.

Opdracht Beschrijving Windows en Windows Server macOS Linux
cd Hiermee wijzigt u de huidige map. Y Y Y
cls Wist het consolevenster. Y Y Y
connect Start een live-antwoordsessie op het apparaat. Y Y Y
connections Toont alle actieve verbindingen. Y N N
dir Toont een lijst met bestanden en submappen in een map. Y Y Y
drivers Toont alle stuurprogramma's die op het apparaat zijn geïnstalleerd. Y N N
fg <command ID> Plaats de opgegeven taak op de voorgrond, zodat deze de huidige taak is. fg neemt een command ID die beschikbaar is vanuit jobs, geen PID. Y Y Y
fileinfo Informatie over een bestand ophalen. Y Y Y
findfile Hiermee worden bestanden op een bepaalde naam op het apparaat gevonden. Y Y Y
getfile <file_path> Downloadt een bestand. Y Y Y
help Bevat help-informatie voor live-antwoordopdrachten. Y Y Y
jobs Toont de momenteel uitgevoerde taken, hun ID en status. Y Y Y
persistence Toont alle bekende persistentiemethoden op het apparaat. Y N N
processes Toont alle processen die op het apparaat worden uitgevoerd. Y Y Y
registry Geeft registerwaarden weer. Y N N
scheduledtasks Toont alle geplande taken op het apparaat. Y N N
services Toont alle services op het apparaat. Y N N
startupfolders Toont alle bekende bestanden in opstartmappen op het apparaat. Y N N
status Geeft de status en uitvoer van een specifieke opdracht weer. Y Y Y
trace Hiermee stelt u de logboekmodus van de terminal in op foutopsporing. Y Y Y

Geavanceerde opdrachten

De volgende opdrachten zijn beschikbaar voor gebruikersrollen die de mogelijkheid hebben om geavanceerde live antwoordopdrachten uit te voeren. Zie Rollen maken en beheren voor meer informatie over roltoewijzingen.

Opdracht Beschrijving Windows en Windows Server macOS Linux
analyze Analyseert de entiteit met verschillende incriminatie-engines om tot een oordeel te komen. Y N N
collect Verzamelt een forensisch gegevenspakket van het apparaat. N Y Y
isolate Hiermee wordt het apparaat losgekoppeld van het netwerk terwijl de verbinding met de Defender for Endpoint-service behouden blijft. N Y N
release Maakt een apparaat vrij van netwerkisolatie. N Y N
run Hiermee wordt een PowerShell-script uitgevoerd vanuit de bibliotheek op het apparaat. Y Y Y
library Een lijst met bestanden die zijn geüpload naar de live-antwoordbibliotheek. U kunt deze bestanden ook bekijken en beheren op de pagina Bibliotheekbeheer . Y Y Y
putfile Hiermee plaatst u een bestand uit de bibliotheek op het apparaat. Files worden opgeslagen in een werkmap en worden verwijderd wanneer het apparaat standaard opnieuw wordt opgestart. Y Y Y
remediate Herstelt een entiteit op het apparaat. De herstelactie varieert, afhankelijk van het entiteitstype:
  • Bestand: verwijderen
  • Proces: stoppen, afbeeldingsbestand verwijderen
  • Service: stoppen, afbeeldingsbestand verwijderen
  • Registervermelding: verwijderen
  • Geplande taak: verwijderen
  • Opstartmapitem: bestand verwijderen

Deze opdracht heeft een vereiste opdracht. U kunt de -auto opdracht in combinatie met herstellen gebruiken om de vereiste opdracht automatisch uit te voeren.		 Y Y Y
scan Voert een snelle antivirusscan uit om malware te identificeren en te herstellen. N Y Y
undo Hiermee wordt een entiteit hersteld die is opgeschoond. Y N N

Opmerking

De volgende bestandsgroottelimieten zijn van toepassing op de opdracht voor putfile live-antwoorden:

  • Windows: 300 MB
  • Andere platforms: 10 MB

Opdrachten voor live respons gebruiken

De opdrachten die u in de console kunt gebruiken, volgen vergelijkbare principes als Windows-opdrachten.

Geavanceerde opdrachten voor live-antwoorden bieden een krachtigere set acties waarmee u krachtigere acties kunt uitvoeren, zoals het downloaden en uploaden van een bestand, het uitvoeren van scripts op het apparaat en het uitvoeren van herstelacties op een entiteit.

Tip

U kunt bestanden die worden gebruikt voor livereacties uploaden, weergeven en beheren vanaf de pagina Bibliotheekbeheer .

Een bestand ophalen van het apparaat

Voor scenario's waarin u een bestand wilt ophalen van een apparaat dat u onderzoekt, kunt u de getfile opdracht gebruiken. Hiermee kunt u het bestand vanaf het apparaat opslaan voor verder onderzoek.

Opmerking

De volgende bestandsgroottelimieten zijn van toepassing:

  • getfile limiet: 3 GB
  • fileinfo limiet: 30 GB
  • library limiet: 250 MB
  • library limiet in cloudomgevingen van de Amerikaanse overheid: 5 MB (standaard). Als u een hogere limiet wilt aanvragen, opent u een ondersteuningsticket.

Een bestand op de achtergrond downloaden

Om ervoor te zorgen dat uw beveiligingsteam een getroffen apparaat kan blijven onderzoeken, kunnen bestanden nu op de achtergrond worden gedownload.

  • Als u een bestand op de achtergrond wilt downloaden, typt u getfile <file_path> & in de opdrachtconsole voor live response.
  • Als u wacht op het downloaden van een bestand, kunt u het naar de achtergrond verplaatsen met behulp van Ctrl + Z.
  • Om een bestandsdownload naar de voorgrond te brengen, typt u fg <command_id> in de live-responseopdrachtconsole.

Dit zijn enkele voorbeelden:

Opdracht Wat het doet
getfile "C:\windows\some_file.exe" & Begint op de achtergrond met het downloaden van een bestand met de naam some_file.exe.
fg 1234 Brengt een download met opdracht-ID 1234 terug naar de voorgrond.

Een bestand in de bibliotheek plaatsen

Live response heeft een bibliotheek waarin u bestanden kunt plaatsen. De bibliotheek slaat bestanden op (zoals scripts) die kunnen worden uitgevoerd in een live-antwoordsessie op tenantniveau.

Met liverespons kunnen PowerShell- en Bash-scripts worden uitgevoerd; U moet echter eerst de scriptbestanden uploaden naar de bibliotheek voordat u de scripts kunt uitvoeren.

U kunt een verzameling PowerShell- en Bash-scripts onderhouden die u tijdens liveresponssessies op apparaten kunt uitvoeren.

Een bestand uploaden in de bibliotheek

U kunt een bestand uploaden naar de bibliotheek vanuit de live-antwoordsessieconsole of vanaf de pagina Bibliotheekbeheer .

Een bestand uploaden naar de bibliotheek vanuit de live-antwoordsessieconsole:

Opmerking

Er gelden beperkingen voor de tekens die naar de bibliotheek kunnen worden geüpload. Gebruik alfanumerieke tekens en enkele symbolen (met name -, _of .).

  1. Selecteer Bestand uploaden naar bibliotheek.

  2. Selecteer Bladeren en selecteer het bestand.

  3. Geef een korte beschrijving op.

  4. Geef op of u een bestand met dezelfde naam wilt overschrijven.

  5. Als u wilt weten welke parameters nodig zijn voor het script, schakelt u het selectievakje scriptparameters in. Voer in het tekstveld een voorbeeld en een beschrijving in.

  6. Selecteer Bevestigen.

  7. (Optioneel) Als u wilt controleren of het bestand is geüpload naar de bibliotheek, voert u de library opdracht uit of controleert u de pagina Bibliotheekbeheer .

Een opdracht annuleren

Waarschuwing

Als u op Ctrl+C drukt, wordt de opdracht alleen geannuleerd in de Microsoft Defender portal. De opdracht aan de agentzijde wordt niet gestopt. Het wijzigen van bewerkingen zoals 'herstellen' kan doorgaan, zelfs als de opdracht is geannuleerd.

Als u een opdracht in de portal tijdens een sessie wilt annuleren, drukt u op Ctrl+C.

Een script uitvoeren

Voordat u een PowerShell-/Bash-script kunt uitvoeren, moet u het eerst uploaden naar de bibliotheek.

U kunt een script uploaden naar de bibliotheek vanuit de live-antwoordsessieconsole of vanaf de pagina Bibliotheekbeheer .

Als u van plan bent een niet-ondertekend PowerShell-script in de sessie te gebruiken, moet u de instelling inschakelen op de pagina Instellingen voor geavanceerde functies .

Waarschuwing

Als u het gebruik van niet-ondertekende scripts toestaat, kan uw blootstelling aan bedreigingen toenemen.

Nadat u het script hebt geüpload naar de bibliotheek, gebruikt u de run opdracht om het script uit te voeren.

Opdrachtparameters toepassen

Gebruik de volgende methoden om opdrachtparameters weer te geven en toe te passen.

  • Als u de syntaxis en beschikbare parameters voor een specifieke opdracht wilt weergeven, gebruikt u de ingebouwde Help-opdracht:

    help <command name>

  • Wanneer u parameters toepast op opdrachten, moet u er rekening mee houden dat parameters worden verwerkt op basis van een vaste volgorde. In het volgende voorbeeld ziet u de basissyntaxis voor het aanroepen van een opdracht met positionele parameters:

    <command name> param1 param2

  • Wanneer u parameters buiten de vaste volgorde opgeeft, geeft u de naam van de parameter op met een afbreekstreepje voordat u de waarde opgeeft. In het volgende voorbeeld ziet u het gebruik van benoemde parameters:

    <command name> -param2_name param2

  • Wanneer u opdrachten met vereiste opdrachten gebruikt, kunt u vlaggen gebruiken. In het volgende voorbeeld ziet u hoe u een bestand op pad kunt richten en de vereiste opdracht automatisch uitvoert:

    <command name> -type file -id <file path> -auto

    Als u een gedetecteerd bestand automatisch wilt herstellen, voert u het volgende uit:

    remediate file <file path> -auto

Ondersteunde uitvoertypen

Live response ondersteunt uitvoertypen in tabel- en JSON-indeling. Voor elke opdracht is er een standaard uitvoergedrag. U kunt de uitvoer in de gewenste uitvoerindeling wijzigen met behulp van de volgende opdrachten:

  • -output json
  • -output table

Opmerking

Er worden minder velden weergegeven in tabelindeling vanwege de beperkte ruimte. Als u meer details in de uitvoer wilt zien, kunt u de JSON-uitvoeropdracht gebruiken, zodat meer details worden weergegeven.

Ondersteunde uitvoerpijpen

Live response ondersteunt het doorsturen van uitvoer naar de CLI en een bestand. CLI is het standaarduitvoergedrag. U kunt de uitvoer doorsluisen naar een bestand met behulp van de volgende opdracht: [command] > [filename].txt.

Als u bijvoorbeeld de proceslijst wilt opslaan in een tekstbestand in plaats van deze op het scherm weer te geven, stuurt u de uitvoer door zoals hier wordt weergegeven:

processes > output.txt

Het opdrachtlogboek weergeven

Selecteer het tabblad Opdrachtlogboek om de opdrachten te zien die tijdens een sessie op het apparaat worden gebruikt. Elke opdracht wordt bijgehouden met volledige details, zoals:

  • ID
  • Opdrachtregel
  • Duur
  • Status- en invoer- of uitvoerzijbalk

Beperkingen

De volgende beperkingen gelden voor live-antwoordsessies en -opdrachten.

  • Live-antwoordsessies zijn beperkt tot 50 live-antwoordsessies tegelijk.

  • Time-outwaarde voor inactieve liveresponssessie is 30 minuten.

  • Afzonderlijke live-antwoordopdrachten hebben een tijdslimiet van 10 minuten, met uitzondering van getfile, findfileen run, die een limiet van 30 minuten hebben.

  • Een gebruiker kan maximaal vijf gelijktijdige sessies initiëren.

  • Een apparaat kan maar deel uitmaken van één sessie tegelijk.

  • De volgende bestandsgroottelimieten zijn van toepassing:

    • getfile limiet: 3 GB
    • fileinfo limiet: 30 GB
    • library limiet: 250 MB

    Opmerking

    Geslaagde voltooiing van een getfile-bewerking is afhankelijk van zowel de bestandsgrootte als de beschikbare netwerkdoorvoer.
    In omgevingen met lage bandbreedte is een bestandsoverdracht mogelijk niet voltooid voordat de time-out van de opdracht is bereikt, zelfs niet wanneer het bestand binnen de ondersteunde groottelimiet valt.
    Splits indien nodig grote bestanden op in kleinere onderdelen en download ze afzonderlijk.

Gerelateerd artikel

Zie het volgende artikel voor meer voorbeelden.

  • Last updated on