SC-200

SC-200 ist die Prüfung für Menschen, die im Betrieb sitzen und auf Warnungen reagieren. Dieser Bereich beschreibt die UmgebungEigener Container für Apps, Flows und Daten mit eigener Region und eigenen Rechten., in der das passiert, und er hat das größte Gewicht.

Ausgangspunkt ist Microsoft Defender XDRZusammenführung der Signale aus Geräten, Identitäten, Mail und Clouddiensten zu gemeinsamen Vorfällen. als gemeinsames Portal. Die einzelnen Produkte liefern zu: Defender for EndpointSchutz für Endgeräte mit Erkennung, Untersuchung und Reaktion bis hin zur Geräteisolierung. die Geräte, Defender für Office 365 die Mail, Defender for IdentityErkennung von Angriffsmustern im lokalen Active Directory über Sensoren auf den Domänencontrollern. das lokale Verzeichnis, Defender for Cloud AppsErkennung und Steuerung genutzter SaaS-Dienste samt Berechtigungen. die genutzten Clouddienste. Einrichten heißt hier vor allem: DatenquellenBlock, der vorhandene Informationen liest, ohne etwas zu verändern. anbinden, Geräte onboarden, RichtlinienVerbindliche Vorgabe der Leitung, was in der Organisation gilt. für Erkennung und Reaktion setzen und die Rollen im Portal sauber vergeben.

Auf der Geräteseite gehören dazu die AngriffsflächenreduzierungRegelwerk in Defender für Endpunkt, das typische Angriffswege wie Makros mit Prozessstart blockiert. mit ihrem ÜberwachungsmodusBetriebsart, in der eine Richtlinie nur protokolliert, was sie blockieren würde., die GerätegruppenGruppierung von Endgeräten in Defender for Endpoint; steuert Automatisierungsstufe und Sichtbarkeit für Analysten. mit ihren AutomatisierungsstufenLegt je Gerätegruppe fest, wie weit Defender XDR selbstständig untersucht und behebt. und die Verwaltung von AusnahmenBegründete, befristete Ausklammerung einer Empfehlung für eine Ressource. und IndikatorenEintrag für Datei, IP, URL oder Zertifikat mit der Aktion Zulassen oder Blockieren.. Ein Indikator kann eine Datei, eine Adresse oder ein Zertifikat erlauben oder blockieren; die Reihenfolge, in der Indikatoren gegen andere Einstellungen gewinnen, ist prüfungsrelevant.

Microsoft SentinelCloudbasierte SIEM- und SOAR-Lösung mit Datenconnectors, Analyseregeln und Playbooks. kommt als zweite Säule dazu. Ein ArbeitsbereichEinheit aus Konfiguration, Variablen und eigenem Zustand in HCP Terraform., Datenconnectors, AnalyseregelnRegel in Microsoft Sentinel, die eine Abfrage im Takt ausführt und daraus Warnungen und Vorfälle erzeugt., Watchlists und AutomatisierungsregelnRegel, die bei passenden Vorfällen ein Playbook startet. bilden das Gerüst. Wichtig ist der Unterschied zwischen einer geplanten Analyseregel, die selbst sucht, und einer Regel, die Warnungen aus Microsoft-Produkten übernimmt.

Defender for Cloud rundet das Bild ab: Er bewertet den ZustandZuordnung zwischen beschriebenen Ressourcen und tatsächlichen Objekten. von Cloudumgebungen und liefert Empfehlungen und eine sichere Bewertung.

Hier geht es um den Ernstfall: Eine Warnung ist da, und jetzt beginnt die Arbeit. Der Ablauf ist immer derselbe: einordnen, untersuchen, eindämmen, beseitigen, wiederherstellen, aufschreiben.

Einordnen heißt, den VorfallZusammenführung mehrerer Warnungen zu einem zusammenhängenden Sachverhalt. zu bewerten und zuzuweisen. Der SchweregradStufe einer Syslog-Meldung von 0 (Notfall) bis 7 (Fehlersuche)., die betroffenen Werte und die Kette der Warnungen stehen im Portal. Die Einstufung als richtig oder falsch erkannt ist keine Formalie: Sie trainiert die UmgebungEigener Container für Apps, Flows und Daten mit eigener Region und eigenen Rechten. und beeinflusst spätere Erkennungen.

Untersuchen heißt, die Zeitleiste zu lesen. Welches Konto, welches Gerät, welche Datei, welche Verbindung. Die automatisierte Untersuchung nimmt einen Teil davon ab und schlägt Maßnahmen vor oder führt sie aus, je nach AutomatisierungsstufeLegt je Gerätegruppe fest, wie weit Defender XDR selbstständig untersucht und behebt..

Eindämmen heißt handeln. Auf der Geräteseite gibt es die Isolation, die Antivirenüberprüfung, das Anhalten und Isolieren einer Datei und die Live-AntwortFernsitzung auf einem Endpunkt mit eigener Befehlssammlung für Untersuchung und Sicherung von Artefakten. für den direkten Zugriff. Auf der Identitätsseite lässt sich ein Konto sperren, ein Kennwort zurücksetzen und die Anmeldesitzung widerrufen; ohne den Widerruf bleibt ein Token gültig, obwohl das Kennwort neu ist. Auf der Mailseite entfernt die automatische BereinigungNachträgliches Entfernen bösartiger Nachrichten aus Postfächern. nachträglich zugestellte Nachrichten aus den Postfächern.

Zum Schluss steht die Nacharbeit: Was hat gefehlt, welche Regel wurde ergänzt, welcher IndikatorEintrag für Datei, IP, URL oder Zertifikat mit der Aktion Zulassen oder Blockieren. gesetzt.

Die BedrohungssucheGezielte Suche nach Angreiferspuren ohne vorliegende Warnung. ist die Arbeit, die nicht von einer Warnung ausgelöst wird. Man sucht, weil man eine Vermutung hat, nicht weil ein Alarm kam.

Das WerkzeugFähigkeit, die ein Agent aufrufen darf, etwa die Suche in hochgeladenen Dateien. ist die Abfragesprache KQLKusto-Abfragesprache; Abfragen werden von oben nach unten abgearbeitet, frühe Filter sparen Laufzeit., in der erweiterten Suche in Defender XDRZusammenführung der Signale aus Geräten, Identitäten, Mail und Clouddiensten zu gemeinsamen Vorfällen. und in den ProtokollenEintrag mit Text und Struktur, der im Log-Analytics-Arbeitsbereich landet und mit KQL abgefragt wird. von Sentinel. Der Aufbau ist immer gleich: eine Tabelle, dann Filter, dann Projektion, dann ZusammenfassungBündelung zusammenhängender Netze zu einem Routingeintrag.. Häufige Tabellen sind die für Geräteprozesse, Netzwerkereignisse, Anmeldevorgänge und Mailzustellung. Die Operatoren where, project, summarize, join und die Zeitfilter sind das Handwerkszeug.

Aus einer guten Abfrage wird eine benutzerdefinierte ErkennungsregelAus einer Suchabfrage in Defender XDR erzeugte Regel mit Takt, Warnung und optionalen Maßnahmen.. Sie läuft nach Zeitplan, erzeugt Warnungen und kann Maßnahmen anstoßen. Wichtig ist, dass die Abfrage die Spalten liefert, über die die Warnung später zuordnen kann, sonst hängt sie im Leeren.

In Sentinel kommen ArbeitsmappenGrafische Auswertung von Daten aus dem Arbeitsbereich, mit Parametern und Zeitfiltern., Jagdabfragen und LesezeichenFestgehaltener Fund aus einer Suche samt Abfrage, Notiz und Entitäten. dazu. Ein Lesezeichen hält einen interessanten Fund fest, damit er nicht verloren geht, und lässt sich später an einen VorfallZusammenführung mehrerer Warnungen zu einem zusammenhängenden Sachverhalt. hängen. Watchlists bringen eigene Listen in die Abfragen, etwa bekannte Adressen oder besonders schützenswerte Konten.

Zur Einordnung dient das MITRE-Modell: Es gibt den Taktiken und Techniken Namen und macht Erkennungen vergleichbar.