Share via

Der Analystenbericht in der Bedrohungsanalyse

  • Artikel

Gilt für:

Möchten Sie Microsoft Defender für Endpunkt ausprobieren? Registrieren Sie sich für eine kostenlose Testversion.

Jeder Bedrohungsanalysebericht enthält dynamische Abschnitte und einen umfassenden schriftlichen Abschnitt, der als Analystbericht bezeichnet wird. Um auf diesen Abschnitt zuzugreifen, öffnen Sie den Bericht über die nachverfolgte Bedrohung, und wählen Sie die Registerkarte Analystenbericht aus.

Der Abschnitt

Abschnitt "Analystenbericht" eines Bedrohungsanalyseberichts

Überprüfen des Analystenberichts

Jeder Abschnitt des Analystenberichts ist so konzipiert, dass er verwertbare Informationen bereitstellt. Obwohl die Berichte variieren, enthalten die meisten Berichte die in der folgenden Tabelle beschriebenen Abschnitte.


Berichtsabschnitt Beschreibung
Kurzfassung Übersicht über die Bedrohung, einschließlich ihrer ersten Anzeige, ihrer Beweggründe, bemerkenswerten Ereignisse, hauptziele und unterschiedlichen Tools und Techniken. Sie können diese Informationen verwenden, um die Priorisierung der Bedrohung im Kontext Ihrer Branche, Ihres geografischen Standorts und Ihres Netzwerks weiter zu bewerten.
Analyse Technische Informationen zu den Bedrohungen, einschließlich der Details eines Angriffs und der Verwendung einer neuen Technik oder Angriffsfläche durch Angreifer
MITRE ATT&CK-Techniken beobachtet Wie beobachtete Techniken dem MITRE ATT&CK-Angriffsframework zugeordnet werden
Entschärfungen Empfehlungen, die die Auswirkungen der Bedrohung stoppen oder verringern können. Dieser Abschnitt enthält auch Risikominderungen, die nicht dynamisch als Teil des Bedrohungsanalyseberichts nachverfolgt werden.
Erkennungsdetails Spezifische und generische Erkennungen, die von Microsoft-Sicherheitslösungen bereitgestellt werden und aktivitäten oder Komponenten im Zusammenhang mit der Bedrohung darstellen können.
Erweiterte Suche Erweiterte Huntingabfragen zum proaktiven Identifizieren möglicher Bedrohungsaktivitäten. Die meisten Abfragen werden zur Ergänzung von Erkennungen bereitgestellt, insbesondere für die Suche nach potenziell schädlichen Komponenten oder Verhaltensweisen, die nicht dynamisch als bösartig bewertet werden konnten.
References Microsoft- und Drittanbieterveröffentlichungen, auf die von Analysten während der Erstellung des Berichts verwiesen wird. Der Inhalt der Bedrohungsanalyse basiert auf Daten, die von Microsoft-Forschern überprüft wurden. Informationen aus öffentlich zugänglichen Quellen von Drittanbietern werden eindeutig als solche identifiziert.
Änderungsprotokoll Der Zeitpunkt, zu dem der Bericht veröffentlicht wurde und wann wesentliche Änderungen am Bericht vorgenommen wurden.

Anwenden zusätzlicher Entschärfungen

Die Bedrohungsanalyse verfolgt die status von Sicherheitsupdates und sicheren Konfigurationen dynamisch nach. Diese Informationen sind als Diagramme und Tabellen auf der Registerkarte Entschärfungen verfügbar.

Zusätzlich zu diesen nachverfolgten Risikominderungen werden im Analystenbericht auch Risikominderungen behandelt, die nicht dynamisch überwacht werden. Hier sind einige Beispiele für wichtige Risikominderungen, die nicht dynamisch nachverfolgt werden:

  • Blockieren von E-Mails mit .lnk Anlagen oder anderen verdächtigen Dateitypen
  • Zufällige Lokale Administratorkennwörter
  • Informieren von Endbenutzern über Phishing-E-Mails und andere Bedrohungsvektoren
  • Aktivieren bestimmter Regeln zur Verringerung der Angriffsfläche

Während Sie die Registerkarte Entschärfungen verwenden können, um Ihren Sicherheitsstatus gegen eine Bedrohung zu bewerten, können Sie mit diesen Empfehlungen zusätzliche Schritte zur Verbesserung Ihres Sicherheitsstatus unternehmen. Lesen Sie sorgfältig alle Anleitungen zur Risikominderung im Analystenbericht, und wenden Sie sie nach Möglichkeit an.

Verstehen, wie jede Bedrohung erkannt werden kann

Der Analystenbericht enthält auch die Erkennungen von Microsoft Defender Antivirus- und Endpunkterkennungs- und -antwortfunktionen (Endpoint Detection and Response, EDR).

Antivirenerkennungen

Diese Erkennungen sind auf Geräten verfügbar, auf denen Microsoft Defender Antivirus unter Windows aktiviert ist. Wenn diese Erkennungen auf Geräten auftreten, die in Microsoft Defender for Endpoint integriert wurden, lösen sie auch Warnungen aus, die die Diagramme im Bericht aufleuchten.

Hinweis

Der Analystenbericht listet auch generische Erkennungen auf, die eine Vielzahl von Bedrohungen identifizieren können, zusätzlich zu Komponenten oder Verhaltensweisen, die für die verfolgte Bedrohung spezifisch sind. Diese generischen Erkennungen spiegeln sich nicht in den Diagrammen wider.

EDR-Warnungen (Endpoint Detection and Response, Endpunkterkennung und -antwort)

EDR-Warnungen werden für Geräte ausgelöst, die in Microsoft Defender for Endpoint integriert sind. Diese Warnungen basieren im Allgemeinen auf Sicherheitssignalen, die vom Microsoft Defender for Endpoint-Sensor und anderen Endpunktfunktionen (z. B. Antivirensoftware, Netzwerkschutz, Manipulationsschutz) gesammelt werden und als leistungsstarke Signalquellen dienen.

Wie die Liste der Antivirenerkennungen sind einige EDR-Warnungen so konzipiert, dass sie generisch verdächtiges Verhalten kennzeichnen, das möglicherweise nicht mit der verfolgten Bedrohung in Verbindung steht. In solchen Fällen identifiziert der Bericht die Warnung eindeutig als "generisch" und hat keinen Einfluss auf die Diagramme im Bericht.

Suchen nach subtilen Bedrohungsartefakten mithilfe der erweiterten Suche

Erkennungen ermöglichen es Ihnen zwar, die nachverfolgte Bedrohung automatisch zu identifizieren und zu stoppen, viele Angriffsaktivitäten hinterlassen jedoch subtile Spuren, die eine zusätzliche Überprüfung erfordern. Einige Angriffsaktivitäten weisen Verhaltensweisen auf, die auch normal sein können, sodass ihre dynamische Erkennung zu Betriebsgeräuschen oder sogar zu falsch positiven Ergebnissen führen kann.

Die erweiterte Suche bietet eine Abfrageschnittstelle, die auf Kusto-Abfragesprache basiert, die das Auffinden subtiler Indikatoren für Die Bedrohungsaktivität vereinfacht. Außerdem können Sie kontextbezogene Informationen anzeigen und überprüfen, ob Indikatoren mit einer Bedrohung verbunden sind.

Erweiterte Huntingabfragen in den Analystenberichten wurden von Microsoft-Analysten überprüft und können im Editor für erweiterte Suchabfragen ausgeführt werden. Sie können die Abfragen auch verwenden, um benutzerdefinierte Erkennungsregeln zu erstellen, die Warnungen für zukünftige Übereinstimmungen auslösen.

Tipp

Möchten Sie mehr erfahren? Engage mit der Microsoft-Sicherheitscommunity in unserer Tech Community: Microsoft Defender for Endpoint Tech Community.