Анализ первого инцидента в Microsoft Defender XDR

  • Статья

Область применения:

  • Microsoft Defender XDR

Понимание контекста, окружающего инциденты , имеет важное значение при анализе атак. Объединение опыта и опыта с функциями и возможностями Microsoft Defender XDR обеспечивает более быстрое разрешение инцидентов и защиту вашей организации от кибератак.

Современные угрозы безопасности данных — компрометация электронной почты (BEC), вредоносные программы, такие как backdoors и программы-шантажисты, организационные нарушения и атаки на национальные государства , требуют быстрых, интеллектуальных и решительных действий от реагирования на инциденты. Такие средства, как Microsoft Defender XDR позволяют группам реагирования обнаруживать, рассматривать и исследовать инциденты с помощью единой области и находить информацию, необходимую для принятия своевременных решений.

Задачи исследования

Исследования обычно включают реагирование, просматривающие несколько приложений, одновременно проверяя различные источники аналитики угроз. Иногда расследования распространяются на поиск других угроз. Документирование фактов и решений в расследовании атак является дополнительной важной задачей, которая предоставляет историю и контекст для использования другими следователями или для последующих расследований. Эти задачи исследования упрощаются при использовании Microsoft Defender XDR с помощью следующих средств:

  • Сводка — портал объединяет важные сведения об атаках, контекстуализированные для рабочих нагрузок Defender, включенных в вашей организации. Портал объединяет всю информацию между компонентами одной атаки (файл, URL-адрес, почтовый ящик, учетная запись пользователя или устройство), показывая связи и временная шкала действий. Благодаря всей информации, доступной на странице, портал позволяет службам реагирования на инциденты обходить связанные сущности и события, чтобы найти сведения, необходимые для принятия решений.

  • Охота — охотники за угрозами могут находить известные и возможные угрозы в организации с помощью расширенной возможности охоты на портале с помощью запросов Kusto. Если вы не знакомы с Kusto, используйте интерактивный режим для поиска угроз.

  • Аналитика . Там, где это применимо, службы реагирования на инциденты могут просматривать действия по ранее обнаруженным событиям и оповещениям, чтобы помочь в проведении расследований. Дополнительные аналитические сведения также автоматически добавляются к событиям и оповещениям с помощью собственных усилий корпорации Майкрософт по анализу угроз и из таких источников, как MITRE ATT&CK® и VirusTotal.

  • Совместная работа . Команды по управлению безопасностью могут просматривать решения и действия каждого участника команды в отношении прошлых и нынешних инцидентов и оповещений с помощью функций портала, таких как комментарии, маркировка, маркировка и назначение. Дальнейшее сотрудничество с управляемой службой обнаружения и реагирования Майкрософт через экспертов Defender для XDR и Эксперты Defender по охоте на угрозы также доступно, когда организации требуется расширенный ответ.

Общие сведения об атаках

История атаки предоставляет реагированию на инциденты полный контекстуализированный обзор того, что произошло в результате атаки. Респонденты могут просматривать все связанные оповещения и события, включая действия по автоматическому исправлению, выполняемые Microsoft Defender XDR для устранения атаки.

Из истории атаки вы можете более подробно ознакомиться с подробностями атаки, изучив вкладки, доступные на странице инцидента. Вы можете быстро устранить распространенные атаки, такие как фишинг, распыление паролей и компрометация вредоносных приложений, с помощью сборников схем реагирования на инциденты, доступных на портале. Эти сборники схем содержат рекомендации по обнаружению, реагированию и устранению рисков, которые поддерживают исследования инцидентов.

В этом видео о том, как расследовать атаку в Microsoft Defender XDR и как использовать функции портала в расследовании, вы узнаете об истории атаки и на странице инцидента.

Исследование угроз

Сложные угрозы, такие как атаки злоумышленника в середине и программы-шантажисты, часто требуют ручного исследования. Специалист по реагированию на инциденты, который решает эти сложные атаки, ищет следующую важную информацию:

  • Наличие вредоносных программ или подозрительное использование инструментов и приложений
  • Подсказки о любых каналах связи или точках входа, используемых любой вредоносной или подозрительной сущностью
  • Подсказки, указывающие на возможную компрометацию удостоверений
  • Определение влияния на данные и безопасность организации

В следующих разделах содержатся учебники и видеоролики по Microsoft Defender XDR функциям, которые помогают группам реагирования на инциденты исследовать различные сложные атаки.

Исследования программ-шантажистов

Программы-шантажисты по-прежнему представляют значительную угрозу для организаций. Корпорация Майкрософт располагает следующими ресурсами, которые помогут вам в расследовании атак программ-шантажистов и реагировании на них:

Анализ атак на основе Email

Выявление и отслеживание измененных, созданных или украденных удостоверений имеет важное значение для расследования фишинга и атак BEC. При изучении этих атак используйте следующие ресурсы:

В следующих видео показано, как исследовать фишинговые и BEC-атаки в Microsoft Defender XDR:

Изучите компрометацию удостоверений и узнайте, что можно сделать для сдерживания атаки, используя это видео:

Анализ вредоносных программ

Сведения и возможности вредоносного файла являются ключевыми для исследования вредоносных программ. Microsoft Defender XDR в большинстве случаев может взорвать файл, чтобы отобразить критически важные данные, включая хэш, метаданные, распространенность в организации и возможности файлов на основе методов MITRE ATT&CK®. Это избавляет от необходимости выполнять тестирование в черном ящике или статический анализ файлов. Сведения о файлах можно просмотреть из графа инцидентов или с помощью дерева обработки оповещений, артефакта временная шкала или временная шкала устройства.

В следующих ресурсах содержатся сведения о том, как использовать возможности портала для изучения файлов:

Анализ приложений с рисками и защита от угроз на основе облака

Злоумышленники могут использовать облачные приложения. Приложения могут непреднамеренно утечка конфиденциальной информации в результате злоупотреблений или неправильного использования. Специалисты по реагированию на инциденты, изучающие и защищающие приложения в облачных средах, могут использовать следующие ресурсы, в которых в их организациях развернут Defender for Cloud Apps:

Узнайте, как защитить облачные приложения в режиме реального времени, используя это видео рабочей нагрузки Defender for Cloud Apps:

  • Видео. Защита облачных приложений и связанных файлов с помощью Defender for Cloud Apps

Анализ нарушений

Атаки на национальные государства, атаки на критически важную инфраструктуру и организационные нарушения часто требуют от злоумышленника создания точек связи, когда они находятся в сети. Специалисты по реагированию на инциденты ищут подсказки, выявляя подозрительный трафик или обмен данными между источником и местом назначения. Корпорация Майкрософт имеет следующие учебники по изучению компонентов коммуникации:

Злоумышленники часто используют уязвимости для получения доступа к организации. Некоторые атаки программ-шантажистов изначально используют неисправляемые уязвимости, такие как уязвимость Log4Shell. Следующие ресурсы помогают реагированию на инциденты выявлять уязвимости и уязвимые устройства в своей организации с помощью службы Defender для управления уязвимостями:

Нарушения также происходят через различные устройства, такие как телефоны и планшеты, которые подключаются к сети вашей организации. Специалисты по реагированию на инциденты могут дополнительно исследовать эти устройства на портале. В следующем видео рассказывается о наиболее распространенных угрозах, исходящих от мобильных устройств, и о том, как их можно изучить:

  • Защита от мобильных угроз в Microsoft Defender XDR

Ресурсы для аналитики угроз и охоты

Microsoft Defender XDR встроенные возможности аналитики угроз и группы реагирования на инциденты помощи в охоте при выполнении упреждающей защиты от новых угроз и атак. У вас есть прямой доступ к последней информации о возникающих угрозах и атаках с помощью аналитики угроз на портале.

Домашняя страница аналитики угроз

Используйте аналитику в аналитике угроз, чтобы подробно изучить новые угрозы, используя следующее видео:

Упреждающее поиск угроз в организации с помощью встроенной расширенной возможности охоты на портале.

Страница расширенной охоты в Microsoft Defender XDR

В следующих ресурсах содержатся дополнительные сведения об использовании расширенной охоты.

Расширьте свою аналитику угроз с помощью последних исследований по безопасности и изменений, внесенных группами разработчиков безопасности Майкрософт:

Сотрудничайте со специалистами Майкрософт по реагированию на инциденты и охоте на угрозы, чтобы расширить возможности команд по обеспечению безопасности. Узнайте больше о наших экспертах и о том, как привлечь их к работе в следующих ресурсах:

Следующее действие

См. также

Совет

Хотите узнать больше? Engage с сообществом Microsoft Security в нашем техническом сообществе: Microsoft Defender XDR Техническое сообщество.