Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Gebruik uitsluitingsbeleid om te voorkomen dat automatische aanvalsverstoring in Microsoft Defender XDR geselecteerde reacties op specifieke assets toepast.
Automatische beleidsmaatregelen voor verstoring van aanvallen en uitsluiting werken samen om actieve cyberdreigingen in te dammen. Automatische aanvalsverstoring is een ingebouwde, door AI aangedreven functie die de intentie van aanvallers analyseert en gecompromitteerde middelen identificeert. Het kan apparaten isoleren of gebruikersaccounts uitschakelen om een lopende aanval te stoppen. Uitsluitingsbeleid stelt beveiligingsteams in staat specifieke assets of acties van deze reacties uit te sluiten. Je kunt bijvoorbeeld voorkomen dat kritieke servers geïsoleerd worden of dat kritieke accounts worden uitgeschakeld om onbedoelde bedrijfsverstoring te voorkomen. Je kunt uitsluitingen op elk moment verwijderen om assets weer in geautomatiseerde antwoorden op te nemen.
Voorzichtigheid
Het wordt niet aanbevolen assets uit te sluiten van geautomatiseerde antwoorden. Het kan de effectiviteit van automatische aanvalsonderbreking verminderen bij het beschermen van uw omgeving tegen geavanceerde, krachtige aanvallen.
Vereisten
De vereiste machtigingen voor het beheren van uitsluitingen voor aanvalsonderbrekingen zijn afhankelijk van of Microsoft Defender XDR op rollen gebaseerd toegangsbeheer (RBAC) is ingeschakeld voor de relevante workload.
Uitgesloten apparaten
De volgende tabel geeft een overzicht van de benodigde rechten om apparaatuitsluitingen te beheren.
| Geïntegreerde RBAC voor eindpunten | Vereiste machtiging |
|---|---|
| Disabled | De rol van Beveiligingsbeheerder of Globale beheerder in Microsoft Entra ID of het Microsoft 365-beheercentrum. |
| Ingeschakeld | de globale Microsoft Entra-rol Beveiligingsoperator (of hoger), of de machtiging Kernbeveiligingsinstellingen (beheren) in Unified RBAC. |
Voor informatie over het inschakelen van Unified RBAC, zie Activate Microsoft Defender XDR Unified RBAC.
Identiteitsuitsluitingen
De volgende tabel geeft de benodigde rechten weer om identiteitsuitsluitingen te beheren.
| Unified RBAC voor identiteiten of eindpunten | Vereiste machtiging |
|---|---|
| Uitgeschakeld (identiteiten en eindpunten) | De rol van Beveiligingsbeheerder of Globale beheerder in Microsoft Entra ID of het Microsoft 365-beheercentrum. |
| Ingeschakeld (voor identiteiten of eindpunten) | de globale Microsoft Entra-rol Beveiligingsoperator (of hoger), of de machtiging Kernbeveiligingsinstellingen (beheren) in Unified RBAC. |
Note
Een beveiligingslezer kan uitsluitingen en tags bekijken, maar deze niet bewerken.
Uitsluitingstypen en -benaderingen
U kunt specifieke assets uitsluiten of u kunt brede regels op basis van beleid configureren op basis van uw operationele behoeften.
Assets uitsluiten
Uitsluitingen van gebruikersaccounts voorkomen dat specifieke gebruikersidentiteiten automatisch worden uitgeschakeld wanneer een aanval wordt gedetecteerd. Gebruik dit voor serviceaccounts, accounts voor noodbeheerders of identiteiten die kritieke bedrijfsprocessen ondersteunen.
Met uitsluitingen voor apparaatgroepen kunt u automatiseringsniveaus instellen voor groepen apparaten, bepalen of en hoe apparaten reageren op gedetecteerde bedreigingen. Gebruik dit om de beveiliging te verdelen met bedrijfscontinuïteit voor kritieke infrastructuur, verouderde systemen of apparaten waarop bedrijfskritieke toepassingen worden uitgevoerd.
IP-uitsluitingen voorkomen dat specifieke IP-adressen of IP-bereiken automatisch worden ingeperkt. Gebruik dit voor IP-adresbereiken van kritieke infrastructuur, verouderde systemen of externe services waar uw organisatie van afhankelijk is.
Gebruikersaccounts uitsluiten
Sluit gebruikersaccounts uit om te voorkomen dat kritieke serviceaccounts, accounts voor noodbeheerders of identiteiten die kritieke bedrijfsprocessen ondersteunen, automatisch worden uitgeschakeld tijdens een aanval. Dit helpt bij het behouden van bedrijfscontinuïteit voor essentiële functies terwijl onderbrekingsacties worden voortgezet ten opzichte van andere gecompromitteerde accounts.
Een gebruikersaccount uitsluiten van geautomatiseerde antwoorden:
Ga naar de Microsoft Defender-portal en meld u aan.
Ga naar Instellingen>Microsoft Defender XDR.
Voer de volgende stappen uit om een of meer gebruikersaccounts uit te sluiten van geautomatiseerde antwoorden:
Selecteer identiteiten onder Geautomatiseerd antwoord.
Selecteer Uitsluiting van gebruiker toevoegen. Er verschijnt een fly-outvenster.
Voer in het flyoutvenster de namen van gebruikersaccounts in het vak Gebruikers selecteren in en selecteer de gebruikersaccounts die u wilt uitsluiten.
Selecteer Gebruikers uitsluiten om de uitsluiting op te slaan.
Apparaatgroepen uitsluiten
Sluit apparaatgroepen uit om kritieke infrastructuur, verouderde systemen of apparaten met bedrijfskritieke toepassingen te beveiligen tegen automatische insluiting of isolatie. Met deze aanpak kunt u onderbrekingen ingeschakeld houden voor de meeste van uw omgeving, terwijl u specifieke apparaatgroepen opstelt waarvoor verschillende verwerking is vereist vanwege operationele afhankelijkheden.
Voorzichtigheid
Het uitsluiten van apparaatgroepen van geautomatiseerde antwoorden heeft ook invloed op geautomatiseerde onderzoeks- en reactieacties .
Een apparaatgroep uitsluiten van geautomatiseerde antwoorden:
Ga naar de Microsoft Defender-portal en meld u aan.
Ga naar Instellingen>Microsoft Defender XDR.
Selecteer onder Geautomatiseerde antwoordende optie Apparaten.
Kies op het tabblad Apparaatgroepen een apparaatgroep door het selectievakje naast de groepsnaam in de lijst in te schakelen om instellingen voor automatisering van aanvalsonderbrekingen te configureren.
Selecteer in het flyoutvenster het juiste automatiseringsniveau voor de apparaatgroep. U kunt kiezen uit een van de volgende automatiseringsniveaus die geschikt zijn voor uw apparaatgroep:
- Volledig - bedreigingen automatisch verhelpen: Isoleer apparaten automatisch wanneer een bedreiging wordt gedetecteerd.
- Semi: goedkeuring vereisen voor kernmappen: apparaten automatisch onderzoeken wanneer er een waarschuwing wordt ontvangen en herstelacties toepassen, behalve op items in hoofdmappen van het systeem. Herstelacties voor de kernmappen moeten worden goedgekeurd.
- Semi- goedkeuring vereisen voor niet-tijdelijke mappen: automatisch onderzoeken en herstel toepassen op acties in tijdelijke mappen en downloaden wanneer er een waarschuwing wordt ontvangen. Voor alle andere herstelacties is goedkeuring vereist.
- Semi: goedkeuring vereisen voor alle mappen: apparaten automatisch onderzoeken wanneer er een waarschuwing wordt ontvangen. Voor alle herstelacties is goedkeuring vereist.
- Geen geautomatiseerd antwoord: er wordt geen geautomatiseerd onderzoek of antwoord uitgevoerd voor apparaten in deze groep.
Selecteer Opslaan om het automatiseringsniveau voor de apparaatgroep op te slaan.
IP-adressen uitsluiten
Sluit IP-adressen uit om te voorkomen dat IP-bereiken van kritieke infrastructuur, verouderde systemen of externe services automatisch worden geblokkeerd. Deze aanpak is handig voor het beveiligen van netwerkresources waarvoor uw organisatie afhankelijk is, maar mogelijk niet de flexibiliteit heeft om te reageren op geautomatiseerde insluiting.
Een IP-adres uitsluiten van geautomatiseerde antwoorden:
Ga naar de Microsoft Defender-portal en meld u aan.
Ga naar Instellingen>Microsoft Defender XDR.
Selecteer onder Geautomatiseerde antwoordende optie Apparaten.
Selecteer in het tabblad BeleidsapplicatieIP uitsluiten om een IP-adres uit te sluiten.
Voer in het flyoutvenster het IP-adres/IP-bereik/IP-subnet in dat u wilt uitsluiten. U kunt meerdere IP-adressen en IP-subnetten toevoegen door ze te scheiden met een komma.
Voeg een naam en notitie toe voor de uitsluiting. Selecteer Maken om de uitsluiting op te slaan.
Toepassingen van beleid en uitsluitingen (Preview)
Wanneer automatische aanvalsonderbreking detecteert met een hoge betrouwbaarheid dat een gebruiker of apparaat is aangetast, wordt automatisch insluitingsbeleid toegepast op beheerde apparaten in uw organisatie. Deze beleidsregels helpen de bedreiging te bevatten en te voorkomen dat deze zich verspreidt over uw omgeving.
Uitsluitingen van beleidsapplicaties geven je gedetailleerde controle over hoe automatische beleidsmaatregelen voor het handhaven van aanvallen in jouw omgeving worden toegepast. Ze laten je apparaten definiëren die geen specifieke verstoringsbeleid zouden moeten ontvangen. Deze flexibiliteit beschermt gevoelige, operationeel kritische of uitzonderingsgebaseerde systemen zonder automatische aanvalsverstoring volledig uit te schakelen.
Met beleidstoepassingen en uitsluitingen kunt u het volgende doen:
- Beveiligingen voor meerdere apparaten als groep beheren met behulp van dynamische tags
- De meeste onderbrekingsbesturingselementen actief houden terwijl u specifieke beveiligingen selectief uitschakelt
- Behoud gecentraliseerde controle over welke beleidsinstellingen voor onderbrekingen zijn ingeschakeld of uitgesloten voor elke getagde apparaatgroep
Maak eerst een tag aan of gebruik een bestaande tag om de apparaten te definiëren. Maak vervolgens een regel die van toepassing is op die tag. U kunt bijvoorbeeld een tag maken voor alle servers in een specifieke afdeling en vervolgens een beleidstoepassing maken die van toepassing is op die tag. Standaard zijn alle beleidsbesturingselementen ingeschakeld. Door een beleidsapplicatie te configureren voor getagde apparaten, kun je verstoring ingeschakeld houden en alleen specifieke controles voor die groep uitsluiten.
Een tag maken
Maak een tag om apparaten samen te groeperen voor een beleidstoepassing.
Als u een tag wilt maken, gaat u naar Assetregelbeheer in de Microsoft Defender-portal en selecteert u Tag maken. Geef een naam en beschrijving op voor de tag en definieer vervolgens dynamische regels om apparaten automatisch op te nemen in de tag op basis van apparaateigenschappen, zoals apparaattype, besturingssysteem of andere kenmerken.
Maak een beleidsapplicatie aan
Ga naar de Microsoft Defender-portal en meld u aan.
Ga naar Instellingen>Microsoft Defender XDR.
Om een beleidsapplicatieregel voor getagde apparaten te maken, volgt u deze stappen:
Selecteer onder Geautomatiseerde antwoordende optie Apparaten.
Selecteer regel maken op het tabblad Beleidstoepassing.
Geef een naam en beschrijving op voor het beleid en selecteer Volgende.
Selecteer een tag om het beleid op toe te passen en selecteer vervolgens Volgende.
Configureer de verstoringscontroles die je wilt uitschakelen voor de getagde apparaten, en selecteer vervolgens Volgende.
Controleer en dien de beleidsaanvraag in.
Uitsluitingen verwijderen
Als u een uitsluiting verwijdert, kan de asset opnieuw worden opgenomen in geautomatiseerde reacties op een aanvalsonderbreking. Wanneer een uitsluiting wordt verwijderd, wordt de asset niet langer uitgesloten van geautomatiseerde reacties en kan deze automatisch worden geïsoleerd als deze betrokken is bij een aanval die aanvalsverstoring activeert.
Ga in de Microsoft Defender-portal naar Instellingen>Microsoft Defender XDR>Geautomatiseerde respons. Gebruik vervolgens het juiste tabblad om een uitsluiting te verwijderen:
- Ga naar de pagina Identiteiten . Selecteer het gebruikersaccount dat u wilt verwijderen in de lijst en selecteer vervolgens Verwijderen.
- Ga naar de pagina Apparaten en navigeer naar het tabblad IP-adressen . Selecteer het IP-adres dat u wilt verwijderen in de lijst en selecteer vervolgens Uitsluiting verwijderen.
- Uitsluitingen van apparaatgroepen kunnen worden geconfigureerd op het tabblad Apparaatgroepen . Selecteer de apparaatgroep die u wilt configureren in de lijst en kies de juiste uitsluiting in het flyoutvenster. Selecteer Opslaan om de uitsluiting op te slaan.
Als u een beleidstoepassing wilt bewerken of verwijderen, gaat u naar het tabblad Beleidstoepassing en selecteert u de tag met de beleidstoepassing die u wilt verwijderen. Selecteer Bewerken of Verwijderen.
Automatische verstoring van aanvallen uitschakelen
Als u zich afmeldt voor onderbrekingen van aanvallen, kan het beveiligingsrisico aanzienlijk toenemen. In plaats van zich volledig af te melden, overweeg om specifieke entiteiten uit te sluiten om geautomatiseerde antwoorden alleen voor geselecteerde assets te beperken.
Als u zich moet afmelden voor onderbreking van aanvallen, opent u een ondersteuningsaanvraag in de Microsoft Defender-portal met de opt-out voor aanvalsonderbreking. Geef in uw aanvraag op dat u zich wilt afmelden voor onderbreking van aanvallen en een korte uitleg over uw beslissing wilt opnemen. Deze feedback helpt ons de functie te verbeteren en de behoeften van klanten beter te begrijpen. Als u zich afmeldt, ontvangt u nog steeds waarschuwingen met betrekking tot onderbrekingen van aanvallen, maar worden er geen geautomatiseerde acties uitgevoerd.
Verwante onderwerpen
Zie het volgende artikel voor meer informatie over aanvalsonderbreking:
Tip
Wil je meer weten? Neem contact op met de Microsoft Beveiliging-community in onze Tech Community: Microsoft Defender XDR Tech Community.