Latest / M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch / Microsoft Defender for Identity einfach erklärt: Identitätsangriffe auf Active Directory erkennen (KI-Synchronfassung)

Transcript

Microsoft Defender for Identity einfach erklärt: Identitätsangriffe auf Active Directory erkennen (KI-Synchronfassung) · M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch

0:00
Bereit für 10 Tage voller Microsoft 365 Dexy Co-Pilot, KI, Azure und den Menschen, die die Zukunft der Arbeit gestalten, ab.
0:07
Diesen Januar ist die M365-Con zurück und wir legen noch eins drauf. Und wir legen noch eins drauf.
0:12
Seien Sie bei Live-Sessions, Praxis-Demos und Expertenwissen von MVPs und Branchenprofis aus aller Welt dabei, dabei.
0:18
Keine generischen Folien. Kein endloses Buzzword-Bingo.
0:21
Wir widmen uns den echten Herausforderungen.
0:23
Co-Pilot Studio, KI-Agenten, Fabrik, Sicherheit, Governance und Automatisierung.
0:28
Ob IT-Profi-Entwickler oder Führungskraft Ace gibt Sessions, die genau auf Sie zugeschnitten sind.
0:35
An 10 vollen Tagen können Sie verschiedene Technologien erkunden und sich mit einer globalen Community vernetzen.
0:40
Schauen Sie live zu und nehmen Sie praktische Erkenntnisse für Ihr Unternehmen mit.
0:45
Januar 2027. 10 Tage. Eine Microsoft-Community. Die Anmeldung ist jetzt geöffnet.
0:51
Sichern Sie sich noch heute Ihren Platz.
0:52
Das ist M31965, Kontum.net, net, net.
1:00
Melden Sie sich jetzt unter M3196, Kontum.net an. Wir sehen uns live im Januar.
1:04
Was passiert, wenn ein Angreifer ein legitimes Passwort stiehlt, statt eine Firewall zu durchbrechen?
1:09
Charlotte.
1:10
Ich bin der Gastgeber Mirko Peters und heute sprechen wir über Microsoft Defender for Identity.
1:14
Die meisten Sicherheitstools konzentrieren sich auf den Pyramid.
1:16
Sie achten auf malware, verdächtige Dateien und ungewöhnlichen Netzwerkverkehr.
1:20
Doch Identitätsangriffe umgehen all das komplett.
1:22
Ein Angreifer mit einem gestohlenen Passwort muss nicht einbrechen.
1:25
Er meldet sich einfach an und von außen sieht alles ganz normal aus.
1:27
Am Ende dieser Folge werden Sie verstehen, was Microsoft Defender for Identity ist, warum es existiert und wie es Bedrohungen erkennt, die herkömmliche Tools übersehen.
1:37
Beginnen wir damit, warum Identitätssicherheit zum neuen Schlachtfeld geworden ist.
1:41
Das Problem der Identitätssicherheit.
1:43
Vor 20 Jahren bedeutete die Sicherung eines Netzwerks das Gebäude abzuriegen.
1:46
Man installierte eine Firewall-Antivirus-Software auf jedem Rechner und riet allen zu starken Passwörtern.
1:51
Das funktionierte damals recht gut, weil Angreifer ihre Verteidigung durchbrechen mussten, um hineinzukommen.
1:55
Sie mussten eine Schwachstelle finden, sie ausnutzen und sich dann im Netzwerk bewegen.
1:59
Der Perimeter war die Mauer und die Mauer war stark, aber das Problem ist, dieser Ansatz funktioniert heute nicht mehr.
2:03
Angreifer brechen nicht ein, sie melden sich einfach an.
2:05
Sie erbeuten ein gültiges Passwort durch Phishing, eine Datenpanne oder einfaches Raten und spazieren dann zur Vordertür herein.
2:12
Kompromittierte Anmeldedaten stecken inzwischen hinter 79% der Ransom-Wanker.
2:14
Das ist kein Nischenproblem. Es ist der Hauptweg für Angreifer und die Zahlen sind ernst.
2:18
70% der Unternehmen verzeichneten 2025 mindestens eine identitätsbezogene Sicherheitsverletzung.
2:23
Die durchschnittlichen Wiederherstellungskosten 1,64 Millionen.
2:26
Dazu zählen nicht nur Lösegeldforderungen, sondern auch Ausfallzeiten, forensische Untersuchungen, Anwaltskosten, Strafzahlungen und Reputationsschäden.
2:32
Für mittelständische Unternehmen liegen die durchschnittlichen Kosten immer noch bei 750.000 Dollar.
2:36
Das ist also kein theoretisches Risiko, sondern passiert überall.
2:39
Hier liegt das Kernproblem.
2:40
Herkömmliche Sicherheitstools achten auf Malware, verdächtige Dateien und ungewöhnliche Netzwerkverbindungen.
2:44
Sie verstehen aber das Nutzerverhalten nicht. Sie wissen nicht, ob eine Anmeldung normal oder verdächtig ist.
2:49
Ein Angreifer mit einem gestohlenen Passwort sieht exakt wie ein legitimer Nutzer an.
2:52
Derselbe Benutzernahme, dasselbe Passwort, derselbe Authentifizierungsprozess.
2:55
Der einzige Unterschied ist die Absicht.
2:57
Und wenn man nicht auf anormale Verhaltensmuster achtet, bemerkt man es erst, wenn es zu spät ist.
3:01
Genau diese Lücke soll Defender for Identity schließen.
3:04
Es überwacht die Überwacher.
3:05
Es überwacht ihre Identitätsinfrastruktur.
3:07
Lernt, was für jeden Benutzer und jedes Gerät normal ist und markiert alles, was nicht dazu passt und mag dazu passen.
3:11
Es sucht nicht nach Malware. Es sucht nach Verhalten, das keinen Sinn ergibt.
3:15
Was genau ist also Defender for Identity und wie funktioniert es?
3:18
Was ist Defender for Identity?
3:20
Hier ist die einfachste Definition.
3:21
Microsoft Defender for Identity ist ein cloudbasiertes Sicherheitstool,
3:24
das ihr lokales Active Directory auf identitätsbasierte Angriffe überwacht.
3:27
Beachten Sie, dass ich nicht ein 3ID gesagt habe. Das ist ein häufiger Punkt für Verlust.
3:31
Defender for Identity konzentriert sich auf ihre lokale Identitätsinfrastruktur.
3:35
Einschließlich Domain-Controllern, Active Directory und ADFS-Servern.
3:38
Das ist das, was in ihrem eigenen Rechenzentrum oder auf ihren eigenen Servern läuft.
3:41
Es ist keine reine Cloud-Lösung.
3:43
Wie funktioniert es nun?
3:44
Es nutzt Verhaltensanalysen.
3:45
Es lernt, was für jeden Benutzer und jedes Gerät normal ist und markiert dann alles Ungewöhnliche.
3:50
Stellen Sie es sich wie einen Sicherheitsmitarbeiter vor, der die Routine jedes Mitarbeiters kennt.
3:53
Er weiß, wer um 8 Uhr kommt, wer lange arbeitet und wer Zugriff auf den Serverraum hat.
3:57
Wenn jemand um 3 Uhr morgens auftaucht und versucht, die Serverraumtür zu öffnen, bemerkt der Wachmann das sofort.
4:02
Genau das macht Defender for Identity, nur eben für ihre digitale Umgebung.
4:05
Lassen Sie uns klären, was dieses Tool nicht ist.
4:07
Es ist kein Antivirus, keine Firewall und keine Patch-Management-Lösung.
4:11
Es ist Identitätsbedrohungserkennung, eine völlig andere Kategorie.
4:14
Es sucht nicht nach schädlichen Dateien, sondern nach schädlichem Verhalten.
4:17
Dieser Unterschied ist wichtig, denn die gefährlichsten Angriffe von heute nutzen überhaupt keine Malware, sondern legitime Zugangsdaten.
4:22
Defender for Identity ist Teil von Microsoft Defender XDR, der erweiterten Erkennungs- und Reaktionsplattform von Microsoft.
4:28
In der Praxis bedeutet das, dass es Signale mit Defender for Endpoint, Defender for Office 3556-Fisch und Microsoft Sentinel austauschen.
4:35
Wenn Defender for Identity, also eine verdächtige Anmeldung an einem Domain-Controller erkennt,
4:38
kann dies mit einer Phishing-E-Mail, die von Defender for Office 3556-Fisch erkannt wurde
4:42
oder einem verdächtigen Prozess auf dem Laptop eines Benutzers, den Defender for Endpoint identifiziert hat, abgeglichen werden.
4:47
Der wahre Wert liegt nicht in einer einzelnen Warnung, sondern darin, wie diese Tools zusammenarbeiten,
4:51
um den vollständigen Verlauf eines Angriffs aufzuzeigen.
4:53
Eine einzelne Warnung mag wie ein Fehlalarm aussehen, aber wenn man das Gesamtbild sieht,
4:57
einschließlich der Phishing-E-Mail, der kompromittierten Zugangsdaten und der lateralen Bewegung,
5:00
weiß man genau, was passiert ist.
5:02
Schauen wir unter die Haube und betrachten, wie die Bedrohung tatsächlich erkannt wird.
5:05
Die Funktionsweise, Sensoren und Verhaltensanalysen.
5:07
Defender for Identity verwendet leichtgewichtige Sensoren, die auf ihrem Domain-Controller installiert werden.
5:12
Das ist der entscheidende Teil des Prissen.
5:13
Ohne den Sensor passiert nichts.
5:15
Der Sensor erfasst die Daten und ist so konzipiert, dass er möglichst unauffällig im Hintergrund arbeitet,
5:19
den Netzwerkverkehr sowie Windows-Ereignisse liest, ohne ihren Domain-Controller zu verlangsamen.
5:23
Oh.
5:25
Betrachten Sie diese Sensoren als die Augen und Ohren des Systems.
5:28
Sie erfassen drei Hauptarten von Informationen im Netzwerkverkehr, um Authentifizierungsanfragen zwischen Maschinen zu sehen,
5:33
Windows-Ereignisse, um zu sehen, was auf Betriebssystem-Ebene geschieht
5:35
und Authentifizierungsaktivitäten, um zu sehen, wer sich von wo und wann anmeldet.
5:39
All diese Daten werden zur Analyse an den Cloud-Dienst von Defender for Identity gesendet.
5:43
Der Sensor leistet selbst nicht die Schwerstarbeit, er sammelt und leitet lediglich weiter.
5:46
Sobald die Daten die Cloud erreichen, beginnt die eigentliche Arbeit.
5:49
Der Cloud-Dienst erstellt ein Basisprofil für jeden einzelnen Benutzer in ihrer Umgebung.
5:54
Er lernt deren typische Anmeldezeiten, welche Workstations sie normalerweise verwenden
5:57
und auf welche Ressourcen sie üblicherweise zugreifen.
5:59
Dies ist der verhaltensbezogene Teil.
6:01
Das System wird nicht mit vorkonfigurierten Regeln geliefert, was als normal gilt.
6:04
Es lernt von ihrer tatsächlichen Umgebung, dass es wichtig, da normal für jede Organisation anders aussieht.
6:09
Wenn etwas von dieser Basislinie abweicht, wird eine Warnung ausgelöst.
6:12
Ein Beispiel.
6:12
Ein Benutzer, der sich immer von 9 bis 17 anmeldet, authentifiziert sich plötzlich um drei morgens von einer Workstation aus,
6:17
die er noch nie zuvor verwendet hat.
6:18
Dessen Abweichung das System kennzeichnet dies.
6:20
Es geht nicht sofort von Bösartigkeit aus, aber es gibt eine Warnung aus, damit ihr Sicherheitsteam die Untersuchung einleiten kann.
6:25
Welche Arten von Angriffen erkennt es eigentlich?
6:26
Die Liste ist lang, aber hier sind die wichtigsten.
6:28
Pass-the-Hash-Angriffe, bei denen ein Angreifer einen Passwort-Hash stiehlt und ihn zur Authentifizierung verwendet.
6:33
Kerberosting, bei dem ein Angreifer Dienst-Tickets für privilegierte Konten anfordert und diese offline knackt.
6:38
Golden-Ticket-Nutzung, bei der ein Angreifer ein Kerberost-Ticket fälscht, um Domain-weiten Zugriff zu erlangen.
6:43
DC-Sync-Angriffe, bei denen ein Angreifer vorgibt, ein Domänen-Controller zu sein und Passwort-Hashes anfordert.
6:48
Und laterale Bewegungen, bei der ein Angreifer ein kompromittiertes Konto nutzt, um von Maschine zu springen.
6:52
Jede Erkennung wird dem Maitre-ATDCK-Framework zugeordnet, dem Industriestandard zur Beschreibung von Angriffstechniken.
6:58
Wenn Defender for Identity also etwas markiert, sagt es nicht einfach nur verdächtige Aktivität.
7:03
Es sagt, dies ist ein Pass-the-Hash-Angriff zugeordnet zur Technik.
7:08
Das gibt Ihrem Sicherheitsteam sofortigen Kontext darüber, womit Sie es zu tun haben und wie Sie reagieren müssen.
7:12
Hier liegt der eigentliche Unterschied.
7:14
Es sagt Ihnen nicht nur, dass etwas passiert ist, es zeigt Ihnen die Angriffstimeline.
7:17
Es zeichnet nach, wie sich der Angreifer von Punkt A nach Punkt B bewegte.
7:19
Anstatt einer einzelnen Warnung verdächtiger Anmeldung erhalten Sie die ganze Geschichte, die initiale Kompromittierung, die laterale Bewegung, die Privilegienerweiterung und die Domainherrschaft, alles verbunden in einer einzigen Timeline.
7:31
Das ist der Unterschied zwischen einem Tool, das Sie alarmiert und einem Tool, das Ihnen hilft, die Dinge zu verstehen.
7:35
Gehen wir die Phasen eines Angriffs durch und sehen wir, wo Defender for Identity jeweils eingreift.
7:39
Den Angriffslebenszyklus, den es abdeckt.
7:41
Angreifer folgen nämlich einem Vorhersehbar-Muster.
7:43
Es ist keineswegs Willkür.
7:44
Sie durchlaufen verschiedene Phasen und jede Phase hat ein spezifisches Ziel.
7:47
Die Phasen sind Aufklärung, kompromittierte Anmeldedaten, laterale Bewegung und Domainherrschaft.
7:52
Sobald Sie diese Phasen verstehen, werden Sie genau sehen, wo Defender for Identity ansetzt.
7:56
Aber wie sieht das in der Praxis aus?
7:58
Beginnen wir mit der Aufklärung.
7:59
Der Angreifer hat noch keinen Zugriff.
8:01
Er sieht sich nur um, scannt Ihr Netzwerk und sucht nach Kontengruppen und Vertrauensstellungen.
8:05
Er versucht herauszufinden, wer die Administratoren sind, welche Konten erweiterte Rechte haben und wie die Domäne strukturiert ist.
8:11
Oft nutzen Sie Tools wie Bloodhound, um die Umgebung abzubilden.
8:14
Defender for Identity erkennt dies, indem es auf verdächtige LDRP-Abfragen oder Enumerationsversuche achtet.
8:19
Ein Alarm wird ausgelöst, wenn jemand von einer Workstation, die das noch nie getan hat, alle Domain-Administrator-Konten abfragt.
8:25
Der Angreifer hat noch nichts Schädliches getan, aber Sie wissen, dass er sich umsieht.
8:27
Als nächstes folgen kompromittierte Anmeldedaten.
8:29
Der Angreifer hat einen Weg gefunden, an ein Passwort zu gelangen.
8:31
Etwa durch Phishing, einen Datenliebstahl oder den Kauf im Darknet.
8:34
Nun verfügt er über einen legitimen Benutzernamen und ein Passwort.
8:37
Defender for Identity markiert in dieser Phase ungewöhnliche Anmeldungen.
8:40
Ungewöhnliche Anmeldungen beinhalten einen Nutzer, der sich um drei morgens von einem neuen Standort aus anmeldet
8:44
oder plötzlich auf hunderte statt wie üblich auf fünf Dateien zugreift.
8:48
Dies sind Verhaltensabweichungen, die keine Malweherkennung erfordern.
8:52
Sie erfordern lediglich das Verständnis dafür, wie normales Fall.
8:54
Dann folgt die laterale Bewegung.
8:56
Der Angreifer hat einen Fuß in der Tür, aber es handelt sich wahrscheinlich noch nicht um ein privilegiertes Kunden.
8:59
Sie müssen sich durch Ihr Netzwerk bewegen, um wertvolle Ziele zu erreichen.
9:02
Sie nutzen Techniken wie Pass-the-Hash, Pass-the-Ticket und Overpass-the-Hash, um von Maschine zu Maschine zu springen.
9:07
Jeder Sprung sieht wie eine legitime Authentifizierung aus, aber das muss das verdächtigen.
9:10
Defender for Identity erkennt dies, indem es auf Authentifizierungsanomalie nacht.
9:13
Wenn Sie ein Benutzerkonto innerhalb von fünf Minuten von drei verschiedenen Workstations aus anmeldet,
9:18
ist das kein normales menschliches Verhalten.
9:19
Das ist ein Angreifer, der sich lateral bewegt.
9:21
Schließlich die Domänenhohe.
9:22
Was Sie sehen? Warnmeldungen, Vorfälle und das Ergreifen von Maschine.
9:25
Öffnen Sie das Microsoft Defender-Portal unter security.microsoft.com und navigieren Sie tippen.
9:29
Das ist Ihr Kontrollzentrum.
9:31
Als erstes sehen Sie das Dashboard, das Ihnen einen schnellen Überblick über alle Vorgänge in Ihrer Identitätsumgebung bietet.
9:37
Benutzer werden überwacht, wie viele aktive Warnungen vorliegen und wie der Gesundheitsstatus Ihrer Sensoren ist.
9:41
Es ist darauf ausgelegt, Ihnen Sekunden statt in Minuten eine Momentaufnahme zu geben.
9:45
Auf diesem Dashboard befindet sich auch eine Punktzahl der Identitätssicherheitsscore.
9:49
Es ist eine Zahl von 0 bis 100, die zeigt, wie gut Sie Ihre Identitätsinfrastruktur schützen.
9:53
Dies ist keine theoretische Kennzahl, sondern basiert auf tatsächlichen Konfigurationen und Empfehlungen.
9:57
Wenn Sie Domänencontroller ohne Sensoren haben, sinkt Ihr Score.
9:59
Wenn Sie Benutzer ohne Multifaktor-Authentifizierung haben, sinkt Ihr Score.
10:03
Beheben Sie diese Probleme und Ihr Score steigt.
10:05
Es ist ein konkreter Weg, um Ihren Sicherheitsstatus zu verfolgen.
10:08
Kommen wir nun zu den Warnmeldungen.
10:10
Warnmeldungen werden durch Erkennungsregeln generiert.
10:12
Vorkonfigurierte Bedingungen, die definieren, wie verdächtiges Verhalten aussieht.
10:15
Basierend auf jahrelanger Bedrohungsforschung hat Microsoft hunderte dieser Regeln entwickelt.
10:19
Wenn sich ein Benutzer von einem ungewöhnlichen Ort anmeldet, ist das eine Erkennungsregel.
10:22
Wenn jemand einen DC-Sync-Angriff versucht, ist das eine Erkennungsregel.
10:25
Wenn ein Angreifer ein Golden Ticket verwendet, ist das eine Erkennungsregel.
10:28
Das System vergleicht ständig, was in Ihrer Umgebung passiert mit diesen Regeln.
10:32
Aber hier ist der Punkt.
10:33
Mehrere Warnmeldungen können zu einem einzigen Vorfall zusammengefasst werden.
10:35
Das ist wichtig, denn Angreifer tun nicht nur eine verdächtige Sache, sie führen viele Dinge nacheinander aus.
10:40
Eine einzelne Warnung könnte wie ein Fehlalarm aussehen, aber wenn Sie den gesamten Vorfall sehen,
10:44
die Aufklärung, die Kompromittierung der Anmeldeinformationen, die laterale Bewegung, die Domänenhoheit,
10:48
wissen Sie genau, was passiert ist.
10:49
Der Vorfall ist die Geschichte.
10:50
Die Warnmeldungen sind nur einzelne Sätze.
10:53
Jeder Vorfall enthält einen Angriffsgraf.
10:54
Dies ist eine visuelle Karte, die zeigt, wie sich der Angreifer durch ihre Umgebung bewegt hat.
10:58
Sie zeigt Ihnen den Startpunkt, jeden Zwischenschritt und das endgültige Ziel.
11:01
Sie können sehen, welche Konten kompromittiert, welche Maschinen aufgerufen und welche Techniken verwendet wurden.
11:06
Es ist, als würde man eine Videoüberwachungsaufzeichnung des gesamten Angriffs sehen, nur in Form eines Diagramms.
11:10
Und Sie können direkt aus dem Portal heraus Maßnahmen greifen.
11:12
Wenn Sie ein kompromittiertes Benutzerkonto identifizieren, müssen Sie sich nicht am Domänenkontroller anmelden, um es zu deaktivieren.
11:17
Sie können dies direkt über das Defender-Portal tun.
11:19
Deaktivieren Sie das Konto, erzwingen Sie eine Kennwort-Zurücksetzung oder fordern Sie einen Anmeldeversuch an.
11:23
Der Sensor kommuniziert mit Ihrem lokalen Active Directory und nimmt die Änderung sofort vor.
11:28
Das ist die Stärke, wenn der Sensor auf Ihrem Domänenkontroller installiert.
11:30
Er hört nicht nur zu, er kann auch handeln.
11:32
Sie können auch E-Mail-Benachrichtigungen konfigurieren.
11:34
Wenn ein kritischer Alarm ausgelöst wird, erhält Ihr Sicherheits-Team sofort eine E-Mail.
11:38
Sie müssen das Dashboard nicht rund um die Uhr überwachen.
11:40
Das System benachrichtigt Sie.
11:41
Und da die Warnungen dem Mitra-ATT-NCK-Framework zugeordnet sind,
11:44
wissen Sie genau, mit welcher Art von Angriff Sie es zu tun haben, noch bevor Sie das Portal öffnen.
11:48
Über die Grundlagen hinaus gibt es einige erweiterte Funktionen, die man kennen sollte.
11:52
Honeypods, Tagging und Ausschlussregeln.
11:54
Lassen Sie uns über Honeypod-Konten sprechen.
11:56
Diese werden auch als Honey-Tokens bezeichnet und sind genau das, wonach Sie klingen.
11:59
Gefälschte Benutzerkonten, die Sie speziell erstellen, um Angreifer anzulocken.
12:03
Sie geben Ihnen einen verlockenden Namen wie Exchange-Admin oder Domänen-Backup-Dienst.
12:06
Sie weisen Ihnen eine Gruppenmitgliedschaft mit vermeintlich hohen Projekten.
12:09
Aber hier ist der Haken.
12:10
Diese Konten haben keinen wirklichen Nutzen.
12:12
Niemand sollte sich jemals bei Ihnen anmelden.
12:13
Sie werden für keinen legitimen Zweck verwendet.
12:15
Sie warten einfach nur dort.
12:17
Wenn sich jemand bei einem Honeypod-Konto anmeldet, wissen Sie es sofort.
12:20
Nicht, weil Sie eine benutzerdefinierte Überwachung eingerichtet
12:22
oder eine komplexe Erkennungsregel geschrieben haben,
12:24
sondern weil Defender for Identity weiß, dass dieses Konto niemals verwendet werden darf.
12:27
In dem Moment, in dem sich jemand damit authentifiziert,
12:29
wird ein Alarm ausgelöst und Sie wissen genau, was passiert ist.
12:31
Ein Angreifer hat Ihr Lockvogelkonto gefunden und versucht es zu benutzen.
12:34
Das ist kein Fehlalarm, das ist ein bestätigter Eindringversuch.
12:37
Sie können diese im Defender-Portal unter Einstellungen, Identitäten und Token einrichten.
12:41
Das dauert etwa 30 Sekunden.
12:43
Entitäts-Tagging ist eine weitere Funktion.
12:44
Sie können bestimmte Benutzergeräte oder Gruppen zur zusätzlichen Überwachung als sensibel markieren.
12:49
Belegen Sie, was das bedeutet.
12:50
Wenn Sie ein Domain-Administrator-Konto als sensibel markieren,
12:53
überwacht Defender for Identity jede einzelne Aktion dieses Kontos genauer.
12:57
Jede Abweichung vom normalen Verhalten wird mit höherer Priorität gekennzeichnet.
13:00
Jede laterale Bewegung, die dieses Konto betrifft, wird eskaliert.
13:03
Es ist, als würde man einen GPS-Tracker an seinen wertvollsten Vermögensverdnern.
13:06
Und dann gibt es noch Ausschlussregeln.
13:07
Manchmal lösen legitime Sicherheitstools oder Admin-Prozesse Fehlalarme aus.
13:11
Ihr Schwachstellen-Scanner könnte sich möglicherweise gegenüber jedem Computer im Netzwerk authentifizieren.
13:15
Das sieht verdächtig aus.
13:16
Ihre Backup-Software greift möglicherweise zu ungewöhnlichen Zeiten auf Domain-Controller zu.
13:19
Das sieht ebenfalls verdächtig aus.
13:20
Sie können bestimmte IP-Adressen, Geräte oder Benutzer von Erkennungsregeln ausschließen,
13:24
damit diese Fehlalarme Ihre Warteschlange nicht überladen.
13:28
Globale Ausschlüsse gelten für alle Erkennungsregeln.
13:31
Regelspezifische Ausschlüsse sind gezielt.
13:33
Das Ziel bleibt gleich.
13:34
Rauschen, reduzieren, damit sich Ihr Sicherheitsteam auf echte Bedrohungen konzentriert.
13:37
Defender for Identity arbeitet nicht allein.
13:39
Schauen wir uns an, wie es in das Gesamtbild passt.
13:41
Wie es in das Sicherheitsökosystem von Microsoft passt.
13:44
Wie fügt sich Defender for Identity als unersumfassendere Sicherheitsbild von Microsoft ein?
13:48
Trachten Sie es als ein Teil des Defender XDR-Puzzles.
13:51
Jedes Tool ist für sich genommen nützlich, aber die wahre Stärke zeigt sich im Zusammenspiel.
13:55
Defender for Endpoint schützt Ihre Geräte.
13:57
Es prüft jeden Laptop und Server auf Marware und verdächtige Netzwerkaktivitäten.
14:01
Defender for Office 365 schützt Ihre E-Mail- und Kollaborationstools und erkennt Phishingversuche sowie schädliche Anhänge.
14:07
Und Defender for Identity überwacht Ihre Benutzerkonten auf gestohlene Anmeldedaten, laterale Bewegungen und Domänenkontrolle.
14:13
Jedes Tool ist einzeln nützlich, aber der entscheidende Punkt ist.
14:15
Gemeinsam tauschen Sie Signale aus und verknüpfen Informationen.
14:19
Stellen Sie sich eine verdächtige Anmeldung an einem Domänenkontroller vor.
14:22
Diese Anmeldung könnte mit einer Phishing-Mail zusammenhängen, die Defender for Office 36560 bereits erkannt hat.
14:26
Der Angreifer hat das Postfach kompromittiert und versucht nun, sich lateral im Netzwerk zu bewegen.
14:30
Defender for Identity erkennt die Anmeldung.
14:32
Defender for Office 36565 die E-Mail.
14:34
Und die Microsoft Defender XDR-Plattform erstellt einen einzigen Vorfall.
14:38
Das ist der Unterschied zwischen isolierten Warnungen und einer vollständigen Angriffsgeschichte.
14:41
Es lässt sich zudem in Microsoft Sentinel integrieren, das Cloud-Native-CM von Microsoft.
14:45
Dort führen Sie Advanced Hunting und benutzerdefinierte Erkennungen durch.
14:48
Sie können Kusto-Abfragen schreiben, die Ihre gesamten Defender-Daten durchsuchen, Identität, Endpunkte, E-Mails, Cloud-Apps und Muster finden,
14:54
die automatische Regeln nicht immer erfassen.
14:57
Und es arbeitet mit Microsoft Enter ID Protection zusammen.
14:59
Das ist der Unterschied.
15:00
Enter ID Protection kümmert sich um Cloud-basierte Anmeldelrisiken, wie zum Beispiel risikobehaftet.