Latest / M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch / Microsoft Sentinel einfach erklärt: SIEM, SOAR und Data Lake für Microsoft-365-Admins (KI-Synchronfassung)

Transcript

Microsoft Sentinel einfach erklärt: SIEM, SOAR und Data Lake für Microsoft-365-Admins (KI-Synchronfassung) · M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch

• 0:00
  Was passiert eigentlich mit Ihren Daten, wenn ein ehemaliger Mitarbeiter sechs Monate nach seinem Ausscheiden auf Ihren Tillern zugreift?
• 0:04
  Das ist mein voller Ernst. Denken Sie mal darüber.
• 0:06
  Sie haben das Konto bei seinem Austritt deaktiviert, aber haben Sie auch geprüft, ob ein Gerät noch zwischengespeicherte Anmeldedaten enthält?
• 0:11
  Haben Sie nachgesehen, ob eine von ihm erstellte App-Registrierung immer noch funktioniert?
• 0:14
  Meist Microsoft 365 Administratoren haben keine Ahnung.
• 0:16
  Nicht, weil Sie Ihren Job nicht beherrschen, sondern weil die benötigten Informationen über 20 verschiedene Orte verstreut sind.
• 0:20
  So sieht der alte Weg aus.
• 0:21
  Sie möchten eine verdächtige Anmeldung untersuchen, also öffnen Sie das Entra Admin Center, um die Überwachungsprotokolle zu prüfen.
• 0:26
  Dann springen Sie zu Exchange, um zu sehen, ob irgendwelche E-Mail-Regeln erstellt wurden.
• 0:29
  Dann prüfen Sie SharePoint auf ungewöhnlichen Dateizugriff, danach Defender auf Warnungen und schließlich Teams auf seltsame Aktivitäten.
• 0:34
  Wenn Sie fünf Dashboards durchsucht haben, haben Sie längst den Faden verloren.
• 0:38
  Und das ist nur ein Benutzer an einem einzigen Tag.
• 0:40
  Hier kommt Microsoft Sentinel ins Spiel.
• 0:41
  Stellen Sie es sich wie das Sicherheitskamera-System für Ihr gesamtes digitales Gebäude vor.
• 0:45
  Sie wissen doch, wie ein physisches Bürokameras an jedem Eingang, jedem Flur und jeder Tür hat und ein Sicherheitsmitarbeiter alle auf einem einzigen Bildschirm überwachen kann.
• 0:51
  Alle.
• 0:52
  Genau das macht Sentinel für Ihren Microsoft 365-Tint.
• 0:54
  Es nimmt all diese separaten Protokolle von Android, Exchange, SharePoint und Defender und führt sie an einem Ort zusammen, an dem Sie wirklich sehen können, was vor sich geht.
• 1:02
  Am Ende dieser Folge werden Sie verstehen, was Sentinel wirklich tut, wie der neue Data Lake die Speicherung von Protokollen revolutioniert, ohne das Budget zu sprengen.
• 1:08
  Und das Budget zu sprengen und warum das für jeden Microsoft 365-Admin wichtig ist, nicht nur für Sicherheitsteams mit ausgefallenen Titeln.
• 1:15
  Schnappen Sie sich Ihren Kaffee und legen wir los.
• 1:17
  Was ein Sieben eigentlich macht?
• 1:19
  Sentinel ist das, was die Branche ein Sieben nennt.
• 1:21
  Das steht für Security Information and Event Management.
• 1:23
  Sagen wir es mal ganz einfach.
• 1:25
  Ein Sieben ist ein Tool, das Protokolle von überall sammelt.
• 1:27
  Von Ihren Servern, Firewalls, Apps und Identitätssystemen und dann die Zusammenhänge erkennt.
• 1:32
  Warum das wichtig ist.
• 1:33
  Ein einzelner Protokolleintrag ist nur Rauschen.
• 1:35
  Jemand hat versucht, sich anzumelden und ist gescheitert.
• 1:37
  Na und?
• 1:38
  Das passiert hunderte Mal am Tag.
• 1:40
  Aber ein Sieben schaut sich nicht nur ein Protokolleintrag an.
• 1:42
  Es betrachtet alle zusammen und erkennt so, dass dieselbe IP-Adresse innerhalb von 30 Sekunden versucht hat, sich bei fünf verschiedenen Konten anzumelden.
• 1:47
  Das ist ja kein Rauschen mehr.
• 1:48
  Das ist ein Bude-Force-Angriff.
• 1:50
  Die Magie liegt in der Korrelation.
• 1:51
  Ein Sieben nimmt eine verdächtige Anmeldung aus Entra und verknüpft sie mit einem Datei-Download aus SharePoint oder einer E-Mail-Weiterleitungsregel aus Exchange.
• 1:57
  Für sich genommen sieht nichts davon nach einem Angriff aus.
• 2:00
  Zusammengenommen hat sie eine Geschichte.
• 2:01
  Jemand ist eingedrungen, hat gefunden, was er suchte und einen Weg eingerichtet, ihre E-Mails dauerhaft abzugreifen.
• 2:05
  Stellen sie es sich wie eine Verkehrsleitzentrale vor.
• 2:07
  Sie beobachten nicht nur eine Kammer.
• 2:08
  Sie beobachten alle gleichzeitig und suchen nach Mustern.
• 2:10
  Ein Auto, das viermal dieser Bekreuzung passiert, eine Person, die das Gebäude betritt, aber nie wieder verlässt.
• 2:15
  Genau das tut ein Sieben für ihre digitale Umgebung.
• 2:17
  Die zentrale Erkenntnis hierbei ist einfacher bewirkungsvoll.
• 2:19
  Sie können nicht schützen, was sie nicht sehen.
• 2:21
  Wenn ihre Sicherheitsdaten über 20 Dashboards verstreut sind, sind sie blind.
• 2:24
  Vielleicht erkennen sie das Offensichtliche, aber die subtilen Angriffe, die sich über Wochen oder Monate hinziehen, entgehen ihnen völlig.
• 2:30
  Nun zur Besonderheit von Sentinel.
• 2:32
  Es ist ein Sieben, aber es ist weit mehr als das.
• 2:35
  Der Soa-Teil, warum Sentinel gewissermaßen Hände hat.
• 2:37
  Ein herkömmliches Sieben arbeitet wie ein Überwachungsgang.
• 2:39
  Es zeigt ihnen zwar alles, was vor sich geht, kann aber selbst nichts dagegen unternehmen.
• 2:43
  Es bemerkt einen Einbruch, kann aber nicht die Polizei rufen.
• 2:45
  Hier kommt Soa ins Spiel.
• 2:47
  Soa steht für Security Orchestration Automation and Response.
• 2:50
  Der Teil von Sentinel, der die ausführende Hand bildet.
• 2:52
  So läuft das in der Praxis ab.
• 2:53
  Sentinel erkennt eine Bedrohung.
• 2:54
  Ein Benutzerkonto wurde kompromittiert.
• 2:57
  Jemand meldet sie aus seinem Land an, das er noch nie besucht hat und beginnt Dateien herunterzuladen, die er nie zuvor berührt hat.
• 3:01
  Ein herkömmliches Sieben würde einen Alarm auslösen und darauf warten, dass ein Mensch reagiert, was Stunden dauern kann.
• 3:05
  Und bis dahin ist der Schaden bereits angerichtet.
• 3:07
  Sentinel wartet nicht.
• 3:08
  Es handelt automatisch.
• 3:10
  Es kann das Benutzerkonto deaktivieren, das Gerät von Unternehmensressourcen trennen, aktive Sitzungen beenden und das Sicherheitsteam benachrichtigen.
• 3:15
  Alles in Sekunden, ohne dass ein Mensch eingreifen muss.
• 3:19
  Diese Automatisierung basiert auf Funktionen, die Sentinel Playbooks nennen.
• 3:22
  Im Grunde sind das automatisierte Aufgabenlisten für Sicherheitsvorfälle.
• 3:25
  Wenn ein bestimmter Alarm ausgelöst wird, füllt Sentinel das passende Playbook aus.
• 3:28
  Wenn dies passiert, tue jenes.
• 3:30
  Ganz einfach.
• 3:30
  Und Sie müssen kein Programmierer sein, um sie zu erstellen.
• 3:33
  Sie werden mit einem visuellen Designer erstellt, genau wie beim Zeichnen eines Flussdiagramms.
• 3:36
  Warum ist das für Sie als Microsoft 365 Administrator wichtig?
• 3:39
  Weil Sie nicht um drei morgens aufwachen wollen, um manuell eine IP-Adresse zu blockieren.
• 3:43
  Sie haben Wichtigeres zu tun.
• 3:44
  Und ehrlich gesagt, wären Sie ohnehin nicht schnell genug.
• 3:46
  Bis Sie zu Ihrem Laptop stolpern und sich anmelden, hat der Angreifer sein Ziel bereits erreicht.
• 3:51
  Automatisierung ist kein Luxus, sondern eine Notwendigkeit.
• 3:53
  Sentinel erkennt also Bedrohungen und korreliert Signale über Ihre gesamte Umgebung hinweg.
• 3:57
  Und wenn etwas Schlimmes passiert, reagiert es automatisch.
• 4:00
  Das ist das Zusammenspiel von Siem und SOA.
• 4:02
  Doch wo genau ist Sentinel eigentlich in der Microsoft-Welt angesiedelt?
• 4:04
  Das behandeln wir als nächstes.
• 4:06
  Sentinels Platz im Microsoft Security Stack.
• 4:09
  Microsoft verfügt über ein umfassendes Portfolio an Sicherheitsprodukten.
• 4:11
  Defender für Endpoint-Schutz, Entra für Identität und Zugriff,
• 4:14
  Purview für Datensicherheit und Intune für die Geräteverwaltung.
• 4:17
  Jedes davon erfüllt seine Aufgabe gut.
• 4:19
  Aber die Sache ist die, sie kommunizieren nicht von Haus aus miteinander.
• 4:22
  Defender erkennt eine verdächtige Datei, Entra meldet eine seltsame Anmeldung,
• 4:25
  Purview entdeckt ungewöhnliche Datenzugriffe,
• 4:28
  drei separate Warenmeldungen, drei separate Dashboards, drei separate Untersuchungen.
• 4:32
  Wie kommt Sentinel ins Spiel?
• 4:33
  Es ist unter all diesen Lösungen angesiedelt.
• 4:35
  Nicht als Konkurrent, sondern als Fundament.
• 4:37
  Stellen Sie es sich wie den Boden eines Gebäudes vor.
• 4:39
  Die Räume sind Defender, Entra, Purview und Intune.
• 4:41
  Jeder mit seinem eigenen Zweck.
• 4:43
  Aber der Boden verbindet sie und ermöglicht es Ihnen,
• 4:45
  von einem Raum zum anderen zu gelangen, ohne ins Leere zu treten.
• 4:48
  Beachten Sie, dass ich nicht gesagt habe, Sentinel konkurriert mit Defender.
• 4:50
  Das tut es nicht.
• 4:51
  Defender ist hervorragend darin, Bedrohung auf Endpunkten und in Microsoft 365 zu erkennen,
• 4:54
  aber es sieht nur das, was in seinem Bereich liegt.
• 4:56
  Es weiß nichts von ihren lokalen Firewall-Protokollen
• 4:58
  oder ihren AWS-Cloud-Trail-Logs.
• 5:02
  Sentinel ist die Plattform, auf der Defender aufbaut,
• 5:04
  nicht das Produkt, das es ersetzt.
• 5:05
  Hier ist eine große Veränderung, von der Sie wissen.
• 5:07
  Microsoft konsolidiert alles an einem Ort.
• 5:09
  Nach dem 31. März 2027
• 5:11
  wird Sentinel im Azure-Portal nicht mehr verfügbar sein.
• 5:15
  Es wird dann nur noch im Microsoft-Defender-Portal zu finden sein.
• 5:17
  Jahrelang mussten sie zwischen dem Azure-Portal für Sentinel
• 5:19
  und dem Defender-Portal für XDR hin- und herwechseln.
• 5:21
  Das fällt weg.
• 5:23
  Microsoft baut ein einheitliches Security-Operation-Center auf
• 5:26
  und das Defender-Portal ist dessen zu Hause.
• 5:28
  Was bedeutet das für Sie?
• 5:29
  Weniger Portale, die man lernen muss, und weniger Kontextwechsel.
• 5:32
  Ein Ort, an dem Sie Ihre Vorfälle einsehen,
• 5:33
  nach Bedrohungen suchen und Ihren Sicherheitsstatus verwalten können.
• 5:37
  Es ist ein Schritt in Richtung Vereinfachung.
• 5:38
  Und für Microsoft 365-Administratoren,
• 5:40
  die bereits im Defender-Portal arbeiten,
• 5:41
  sind das gute Nachrichten.
• 5:42
  Aber der eigentliche Wendepunkt ist der Data Lake.
• 5:44
  Das behandeln wir als nächstes.
• 5:45
  Der neue, einheitliche Data Lake.
• 5:47
  Was hat sich geändert?
• 5:48
  Hier ist das Problem, das Sentinel immer hat.
• 5:49
  Das Speichern von Protokollen war sehr teuer.
• 5:52
  Nicht nur ein wenig, sondern sehr.
• 5:53
  Die Standardaufbewahrungsdauer betrug 90.
• 5:55
  Danach zahlte man entweder einen Aufpreis,
• 5:56
  um die Daten zu behalten,
• 5:57
  oder verabschiedete sich für immer von ihm.
• 5:59
  Die meisten Unternehmen entschieden sich dafür,
• 6:01
  Protokolle nach drei Monaten zu löschen,
• 6:02
  was bedeutete, dass sie ab diesem Zeitpunkt im Dimpfug unterwegs waren.
• 6:05
  Microsoft hat dies mit dem einheitlichen Data Lake gelöst,
• 6:07
  und das ändert die Rechnung grundlegend.
• 6:09
  Sentinel trennt jetzt Speicher von Rechenleistung.
• 6:11
  Beim alten Modell zahlten sie einen Preis,
• 6:12
  der sowohl die Datenspeicherung als auch die schnelle Abfrage abdeckte.
• 6:16
  Das war sinnvoll für aktive Untersuchungen,
• 6:17
  aber katastrophal für die langfristige Aufbewahrung.
• 6:20
  Sie zahlten für Geschwindigkeit, die sie nicht brauchten,
• 6:22
  bei Daten, die sie kaum anfassen.
• 6:23
  Der Data Lake hält das um.
• 6:24
  Sie speichern ihre Daten in einer kostengünstigen.
• 6:26
  Sie sind weiterhin vorhanden, zugänglich und durchsuchbar,
• 6:29
  aber sie zahlen nur für die Rechenleistung,
• 6:30
  wenn sie tatsächlich eine Abfrage ausführen.
• 6:32
  Stellen Sie sich den Unterschied zwischen dem Mieten einer Lagerbox
• 6:34
  und einem eigenen Keller vor.
• 6:36
  Die Lagerbox kostet jeden Monat Geld,
• 6:37
  egal ob Sie es nutzen oder nicht.
• 6:38
  Der Keller ist einfach da.
• 6:39
  Sie geben nur Geld aus, wenn Sie hinuntergehen und nach etwas suchen.
• 6:42
  Die Zahlen sprechen für sich.
• 6:43
  Microsoft gibt an, dass die Speicherung im Data Lake
• 6:45
  weniger als 15% der Kosten herkömmlicher Analyse-Logs verursacht.
• 6:49
  Das ist der Unterschied zwischen der Aufbewahrung von Logs
• 6:51
  für drei Monate gegenüber drei Jahren oder sogar zwölf Jahren,
• 6:53
  dem neuen maximalen Aufbewahrungszeitraum,
• 6:55
  alles ohne das Budget zu sprengen.
• 6:56
  Und das Beste daran, Sie müssen nichts zusätzlich tun.
• 6:59
  Jeder Log, den Sie bereits erfassen,
• 7:00
  wird automatisch in den Data Lake gespiegelt.
• 7:02
  Bäh.
• 7:03
  Keine Konfiguration.
• 7:04
  Keine neuen Konnektoren.
• 7:05
  Es passiert einfach.
• 7:07
  Dies eröffnet mächtige Möglichkeiten,
• 7:08
  wie Threat Hunting im großen Stil,
• 7:10
  worauf wir als nächstes eingehen werden.
• 7:12
  Threat Hunting.
• 7:13
  Angriffe finden, die sich direkt vor alle Augen verbergen.
• 7:14
  Die meisten Menschen verstehen dies nicht bei selbe Angriffen.
• 7:17
  Sie passieren nicht schnell, passieren langsam.
• 7:19
  Sicherheits-Experten nennen es Low and Slow.
• 7:21
  Ein Angreifer testet vielleicht ein Passwort für ein Konto,
• 7:23
  scheitert und verschwindet für einen Monat.
• 7:25
  Dann versuchen Sie es erneut bei einem anderen Konto.
• 7:27
  Ein weiterer Monat vergeht.
• 7:29
  Sie testen ein drittes Konto.
• 7:30
  Jeder Versuch sieht harmlos aus,
• 7:31
  wie jemand, der sein Passwort vergessen hat.
• 7:33
  Aber hier ist das Problem.
• 7:34
  Mit dem alten 90-Tage-Aufbewahrungsfenster
• 7:36
  würden Sie das Muster niemals erkennen.
• 7:38
  Zum Zeitpunkt des dritten Versuchs
• 7:39
  war der erste bereits aus Ihren Logs gelöscht.
• 7:41
  Sie würden einen einzelnen fehlgeschlagenen Login sehen,
• 7:44
  ohne Kontext, ohne Muster, ohne Möglichkeit,
• 7:45
  die Punkte zu verbinden.
• 7:46
  Der Data Lake ändert das komplett.
• 7:48
  Jetzt können Sie Abfragen über Jahre hinweg ausführen,
• 7:50
  nicht nur über Monate.
• 7:51
  Sie bitten Sentinel,
• 7:52
  ihn jeden fehlgeschlagenen Login
• 7:53
  von einer bestimmten IP
• 7:54
  über die letzten zwölf Monate anzuzeigen.
• 7:56
  Plötzlich wird das Musterglas klar.
• 7:58
  Drei Versuche von derselben IP
• 7:59
  mit derselben Technik bei verschiedenen Konten.
• 8:01
  Das ist ein Angriff, keine Vergesslichkeit.
• 8:02
  Das Tool für diese Fragen ist KQL,
• 8:04
  die Kusto Query Language.
• 8:06
  Die Kusto Query.
• 8:07
  Stellen Sie sich wie eine Suchmaschine
• 8:08
  für Ihre Sicherheitsprotokolle.
• 8:09
  Sie geben ein, wonach Sie suchen,
• 8:10
  wie zu B fehlgeschlagene Anmeldungen
• 8:12
  von einer verdächtigen IP
• 8:13
  oder ungewöhnlicher Weiterleitungsregel
• 8:14
  nach Feierabend und Sentinel liefert die Ergebnisse.
• 8:17
  Es ermöglicht Ihnen Fragen zu stellen,
• 8:18
  von denen Sie gar nicht wussten,
• 8:19
  dass Sie sie stellen müssen.
• 8:19
  Deshalb sind Sicherheitsteams
• 8:21
  vom Data Lake begeistert.
• 8:22
  Nicht wegen einer schicken neuen Funktion,
• 8:23
  sondern weil Sie endlich sehen können,
• 8:25
  was bisher im Verborgenen blieb.
• 8:27
  Angreifer, die langsam vorgehen,
• 8:28
  das Terrain sondieren
• 8:28
  und sich unter den normalen Datenverkehr mischen,
• 8:30
  verließen sich darauf,
• 8:31
  dass Sie nicht weit genug zurückblicken konnten,
• 8:32
  die Zusammenhänge zu erkennen.
• 8:33
  Der Data Lake nimmt Ihnen diesen Vorteil.
• 8:35
  Aber bei Sentinel geht es nicht nur um den Blick zurück,
• 8:37
  sondern auch um den Blick nach vorn.
• 8:39
  Graphen und KI die Zukunft,
• 8:40
  die bereits begonnen hat.
• 8:42
  Angreifer denken in Graphen,
• 8:43
  nicht in Listen.
• 8:44
  Sie sehen nicht einzelne Benutzer und Geräte,
• 8:46
  Sie sehen die Verbindungen dazwischen.
• 8:48
  Dieser Benutzer hat Zugriff auf jeden Server.
• 8:50
  Dieser Server verbindet sich mit dieser Datenbank.
• 8:52
  Und diese Datenbank enthält genau das,
• 8:53
  was Sie wollen.
• 8:54
  Sie planen den gesamten Pfad,
• 8:55
  bevor Sie überhaupt den ersten Schritt machen.
• 8:57
  Nun, hier liegt das Problem.
• 8:57
  Verteidiger haben schon immer in Listen gedacht.
• 9:00
  Eine Liste von Warnmeldungen,
• 9:01
  eine Liste von IP-Adressen,
• 9:02
  eine Liste von Benutzer.
• 9:03
  Sicher, Listen sind nützlich,
• 9:04
  aber Sie zeigen Ihnen nicht die Verbindungen.
• 9:06
  Sie zeigen Ihnen nicht den Pfad,
• 9:07
  den ein Angreifer nehmen kann.
• 9:08
  Der Sentinel-Graph ändert das.
• 9:09
  Er ermöglicht Verteidigern das zu tun,
• 9:11
  was Angreifer schon immer getan haben.
• 9:12
  Er zeigt Ihnen die Landkarte,
• 9:13
  nicht nur die Punkte.
• 9:15
  Sie sehen, dass Benutzer A Zugriff auf Server B hat.
• 9:17
  Server B verbindet sich mit Datenbank C.
• 9:19
  Und Datenbank C enthält Ihre sensibelsten Kundendaten.
• 9:21
  Das sind nicht nur Informationen,
• 9:23
  das ist Kontext.
• 9:23
  Und Kontext macht aus einer guten Untersuchung
• 9:25
  eine hervorragende.
• 9:26
  Das funktioniert in beide Richtungen.
• 9:27
  Vor einer Sicherheitsverletzung nutzen Sie den Graphen,
• 9:29
  um potenzielle Angriffspfade zu erkennen.
• 9:31
  Sie finden Engpässe.
• 9:33
  Ein einzelner Benutzer,
• 9:34
  dessen Kompromittierung die Hälfte
• 9:35
  Ihres Netzwerks öffnen würde.
• 9:36
  Dann können Sie diesen Benutzer priorisieren,
• 9:38
  zusätzliche Kontrollen anwenden
• 9:39
  und den Schadensradius verwingern,
• 9:41
  bevor etwas schief geht.
• 9:41
  Nach einer Sicherheitsverletzung
• 9:42
  zeigt Ihnen der Graph den tatsächlichen Schadensradius.
• 9:44
  Eine Warnung wird ausgelöst
• 9:45
  und der Sentinel-Graph zeigt Ihnen sofort
• 9:46
  jedes System, das der Benutzer berührt hat,
• 9:47
  jedes System, das der Benutzer berührt hat,
• 9:48
  jede Datei auf die er zugegriffen hat,
• 9:49
  jede Datei auf die er zugegriffen hat,
• 9:50
  jede hergestellte Verbindung.
• 9:51
  Keine Daten, kein manuelles Nachverfolgen,
• 9:52
  der Graph erledigt alles.
• 9:53
  Lassen Sie uns nun über KI sprechen.
• 9:54
  Microsoft Security Co-Pilot
• 9:56
  bringt natürliche Sprache ins Spiel.
• 9:57
  Anstatt komplexe KQL-Abfragen zu schreiben,
• 9:59
  stellen Sie einfach Fragen in normaler Sprache.
• 10:02
  Zeige mir alle Anmeldungen
• 10:03
  von ungewöhnlichen Standorten
• 10:04
  der letzten Woche.
• 10:05
  Security Co-Pilot wandelt dies
• 10:06
  in eine Abfrage um,
• 10:07
  führt Sie gegen Ihre Daten aus
• 10:08
  und zeigt die Ergebnisse an.
• 10:09
  Es senkt die Hürde.
• 10:10
  Sie müssen kein KQL-Experte sein,
• 10:11
  um nach Bedrohungen zu suchen.
• 10:12
  Es gibt auch den MCP-Server.
• 10:14
  MCP steht für Model Context Protocol.
• 10:16
  Einfach ausgedrückt,
• 10:17
  das ermöglicht KI-Agenten
• 10:18
  und intelligenten Bots,
• 10:19
  direkt mit Sentinel zu interagieren.
• 10:21
  Ein Agent kann Sentinel
• 10:22
  Fragen stellen,
• 10:23
  Abfragen ausführen,
• 10:23
  Ergebnisse analysieren
• 10:24
  und sogar Maßnahmen ergreifen,
• 10:25
  ganz ohne menschliches Eingreifen.
• 10:27
  Das klingt futuristisch,
• 10:28
  wird aber bereits eingeführt.
• 10:29
  Sentinel ermöglicht es Ihnen also,
• 10:31
  jahrelange Daten zu durchsuchen.
• 10:32
  Sie sehen die Zusammenhänge,
• 10:33
  die Angreifer ausnutzen.
• 10:34
  Und Sie können dann KI-Fragen
• 10:35
  in natürlicher Sprache stellen.
• 10:36
  Aber wie fängt man eigentlich an,
• 10:38
  ohne Sicherheitsexperte zu sein?
• 10:39
  Genau das schauen wir uns als nächstes.
• 10:40
  Der Einstieg ohne Überforderung.
• 10:43
  Sie denken vielleicht,
• 10:44
  das sei nur etwas für Sicherheitsteams
• 10:45
  mit einem sechsstelligen Budget.
• 10:47
  Das stimmt.
• 10:47
  Sie brauchen keine langwierige,
• 10:48
  endlose Zertifizierung.
• 10:50
  Sie benötigen lediglich
• 10:50
  ein Microsoft 365 Mandanten
• 10:52
  und die Bereitschaft,
• 10:53
  klein anzufangen.
• 10:53
  Die grundlegende Einrichtung
• 10:54
  ist wirklich unkompliziert.
• 10:55
  Sie aktivieren Sentinel
• 10:56
  im Microsoft Defender Portal.
• 10:58
  Dann verbinden Sie Ihre Datenquellen.
• 10:59
  Das ist alles.
• 11:00
  Sie müssen nicht alles
• 11:00
  auf einmal konfigurieren.
• 11:02
  Tatsächlich sollte es
• 11:02
  auch gar nicht tun.
• 11:03
  Beginnen Sie mit wenigen Quellen,
• 11:04
  die für Sie am wichtigsten sind.
• 11:05
  Azure AD-Anmeldeprotokolle,
• 11:07
  Exchange Online Mailfluss Logs,
• 11:08
  Defender for Office 365 Warnungen.
• 11:10
  Allein diese drei bieten Ihnen
• 11:11
  mehr Transparenz,
• 11:12
  als die meisten Unternehmen heute haben.
• 11:14
  Hier ist der Grund,
• 11:14
  warum es so einfach ist.
• 11:15
  Sentinel verfügt über einen Content Hub.
• 11:17
  Stellen Sie sich diesen
• 11:17
  wie ein App Store für Sicherheitsregeln.
• 11:19
  Sie suchen nach Kategorien,
• 11:20
  Identitätsbedrohung,
• 11:21
  E-Mail-Bedrohung,
• 11:21
  Compliance-Überwachung
• 11:22
  und installieren vorgefertigte
• 11:23
  Erkennungsregeln,
• 11:24
  vorgefertigte Erkennungsregeln.
• 11:25
  Sie müssen Abfragen
• 11:25
  nicht von Grund auf Neuschreiben.
• 11:27
  Sie benötigen am ersten Tag ein Keil.
• 11:28
  Der Content Hub bietet Ihnen
• 11:29
  einen Startpunkt,
• 11:30
  der sofort einsatzbereit ist.
• 11:31
  Lassen Sie uns nun
• 11:31
  über die Kosten sprechen.
• 11:33
  Das ist die Frage,
• 11:33
  die jeder stellt.
• 11:34
  Sentinel nutzt
• 11:35
  ein nutzungsbasiertes Modell.
• 11:36
  Sie zahlen für die Daten,
• 11:37
  die Sie einspeisen,
• 11:37
  haben die Kosten aber unter Kontrolle.
• 11:39
  Mit Kapazitätsreservierung
• 11:40
  können Sie sich
• 11:40
  auf ein Mindestvolumen festlegen
• 11:41
  und erhalten einen hohen Rabatt.
• 11:43
  Und erinnern Sie sich an die Data-Dag?
• 11:44
  Der verändert die Wirtschaftlichkeit.
• 11:45
  Logs mit hohem Volumen
• 11:46
  und geringer Priorität
• 11:47
  wie Firewall-Verkehr
• 11:48
  gelangen zu einem Bruchteil
• 11:49
  der Kosten
• 11:49
  direkt in den Data-Lag.
• 11:51
  Sie müssen sich also nicht mehr
• 11:52
  zwischen Transparenz
• 11:52
  und Ihrem Budget entscheiden.
• 11:54
  Das Schwierigste ist nicht,
• 11:55
  die Technologie,
• 11:55
  sondern zu wissen,
• 11:56
  wo man anfangen soll.
• 11:57
  Hier ist also mein Rat.
• 11:58
  Beginnen Sie mit einer Datenquelle
• 11:59
  und einer Erkennungsregel.
• 12:00
  Verbinden Sie die an 3D-Lag.
• 12:02
  Installieren Sie eine Regel,
• 12:02
  die alarmiert,
• 12:03
  wenn sich ein globaler Administrator
• 12:04
  von einem ungewöhnlichen Standort
• 12:05
  aussammelt.
• 12:06
  Sehen Sie, was Sentinel meldet.
• 12:07
  Das reicht für den Anfang völlig aus.
• 12:08
  Erweitern Sie es dann,
• 12:09
  sobald Sie sich sicher haben.
• 12:10
  Fassen wir das alles zusammen.
• 12:12
  Das große Ganze.
• 12:13
  Warum dies Ihre Arbeit verändert.
• 12:14
  Sentinel entwickelt sich weiter.
• 12:16
  Es begann als Werkzeug
• 12:17
  für Sicherheitsexperten
• 12:17
  und wird nun zur Plattform
• 12:18
  hinter der gesamten
• 12:19
  Microsoft-Sicherheit.
• 12:21
  Für Sie als M365-Administrator
• 12:23
  bedeutet das ein großes
• 12:24
  Sicherheitsupgrade,
• 12:24
  ohne, dass Sie es selbst aufbauen müssen.
• 12:26
  Denken Sie an das,
• 12:27
  was wir behandelt haben.
• 12:28
  Sentinel sammelt Signale
• 12:29
  aus Ihrer gesamten Umgebung.
• 12:31
  Es korreliert diese,
• 12:31
  um Muster zu finden,
• 12:32
  die Sie manuell niemals erkennen würden.
• 12:34
  Es kann automatisch reagieren,
• 12:35
  wenn etwas schief geht.
• 12:36
  Der neue Data Lake
• 12:37
  macht es bezahlbar,
• 12:38
  Datenjahre statt,
• 12:38
  um Monate zu speichern.
• 12:40
  Der Graph zeigt Ihnen Angriffswege,
• 12:41
  bevor sie ausgenutzt werden.
• 12:43
  Dank KI können Sie Fragen
• 12:43
  in einfacher Sprache stellen.
• 12:45
  All dies ist direkt
• 12:45
  in die Plattform integriert.
• 12:46
  Sie müssen es nicht
• 12:47
  aus verschiedenen Tools zusammensetzen.
• 12:49
  Der Data Lake
• 12:49
  beseitigt den Kompromiss
• 12:50
  zwischen Kosten und Sichtbarkeit,
• 12:51
  sodass Sie sich nicht mehr
• 12:52
  zwischen Protokollspeicherung
• 12:53
  und Geld sparen entscheiden müssen.
• 12:55
  Sie können beides tun.
• 12:56
  Das verändert Ihre Sicht auf Sicherheit.
• 12:58
  Anstatt zu fragen,
• 12:59
  können wir uns die Überwachung leisten.
• 13:00
  Fragen Sie,
• 13:01
  was sollten wir noch im Blick behalten?
• 13:02
  Sie müssen kein SOC-Analyst sein,
• 13:04
  um von Sentinel zu profitieren.
• 13:05
  Sie müssen nur jemand sein,
• 13:06
  dem die Sicherheit
• 13:06
  Ihres Tenants am Herzen liegt.
• 13:08
  Und wenn Sie dies hören,
• 13:09
  sind das Sie.
• 13:10
  Die Integration mit
• 13:11
  Defender Entry and Purview
• 13:12
  bedeutet weniger zu verwaltende Portale,
• 13:14
  weniger Kontextwechsel
• 13:14
  und mehr Kontrolle von einem Ort aus.
• 13:16
  Microsoft setzt darauf,
• 13:17
  dass Sicherheit integriert
• 13:18
  und nicht nachträglich
• 13:18
  aufgesetzt sein soll.
• 13:20
  Sentinel ist das Fundament
• 13:21
  dieser Wette und sie zahlt sich aus.
• 13:23
  Ihr nächster Schritt.
• 13:24
  Das wissen Sie nun also.
• 13:25
  Sentinel ist das zentrale Gehirn
• 13:27
  für Ihre Sicherheitsdaten.
• 13:28
  Es erfasst alles,
• 13:29
  korreliert die Signale
• 13:30
  und handelt automatisch,
• 13:31
  wenn etwas schief geht.
• 13:33
  Der Data Lake macht es erschwinglich,
• 13:34
  Protokolle über Jahre
• 13:35
  statt Monate aufzubewarnen.
• 13:36
  Graphen und KI
• 13:37
  machen es mit der Zeit intelligenter.
• 13:39
  Und all das findet sich
• 13:40
  im Defender-Portal,
• 13:41
  direkt neben den Tools,
• 13:42
  die Sie bereits nutzen.
• 13:43
  Sie müssen es nicht
• 13:44
  über Nacht beherrschen.
• 13:45
  Mein Rat ist einfach.
• 13:46
  Gehen Sie auf security.microsoft.com,
• 13:48
  öffnen Sie Sentinel
• 13:48
  und durchstüren Sie den Content Hub.
• 13:50
  Erkunden Sie einfach,
• 13:51
  was verfügbar ist,
• 13:51
  wählen Sie einen Connector
• 13:52
  und eine Erkennungsregel aus.
• 13:53
  Das ist Ihr Ausgangspunkt.
• 13:55
  Viele Leute werden
• 13:55
  diesen ersten Schritt nicht machen.
• 13:56
  Sie werden über Sentinel lesen,
• 13:58
  zustimmend nicken,
• 13:58
  den Browser schließen
• 13:59
  und zu Ihrem Alltag zurückkehren.
• 14:01
  Deshalb werden Sie
• 14:01
  einen Vorsprung haben,
• 14:02
  weil Sie tatsächlich etwas
• 14:03
  mit dem gelernten Wissen
• 14:04
  gemacht haben.
• 14:04
  Wenn Ihnen diese Folge geholfen hat,
• 14:06
  Sentinel etwas besser zu verstehen,
• 14:07
  abonnieren Sie
• 14:08
  Microsoft Knowledge Nuggets.
• 14:09
  Wir erläutern in jeder Folge
• 14:10
  Microsoft Sicherheits-
• 14:11
  und M365-Themen
• 14:12
  in einfacher Sprache.
• 14:14
  Teile dies mit jemandem,
• 14:15
  der Sentinel kennenlernen wollte,
• 14:16
  aber nicht wusste,
• 14:16
  wo er anfangen soll.
• 14:18
  Wir sehen uns im Medium.