Die Möglichkeit, die Angreifer nutzen, um Netzwerke, Anwender und Clouddienste zu attackieren, sind nahezu unerschöpflich. Mit Bedrohungsdaten sind allerdings umfangreiche Analysen und Rückschlüsse möglich, mit denen sich Angriffe erkennen und erfolgreich bekämpfen lassen. Da Microsoft eines der größten Netzwerke der Welt betreibt, liegen hier auch besonders viele Bedrohungsdaten vor. Mit diesen Informationen können die Sicherheitslösungen von Microsoft Muster finden und Anwendern zur Verfügung stellen, um Angriffe auf Clients schnell zu erkennen und zu bekämpfen. Der Dienst Microsoft 365 Threat Intelligence ist in Microsoft 365 Enterprise verfügbar. Verwenden Sie ein anderes Abonnement, lässt sich Microsoft 365 Threat Intelligence als Add-on dazubuchen.

Intelligent Security Graph in Microsoft 365

Eine wesentliche Funktion in Microsoft 365 Threat Intelligence ist der Microsoft Intelligent Security Graph. Dieser Dienst kann umfangreiche Daten aus dem Microsoft-Netzwerk aus zahlreichen Sensoren auslesen und verarbeiten. Das umfasst Benutzeranmeldungen, E-Mails und auch Sicherheitsvorfälle in Zusammenhang mit Microsoft 365 Defender. Dazu kommt die Anbindung an Microsoft Defender for Endpoint, um Malware-Angriffe auf PCs zu erkennen und zu bekämpfen.

Microsoft Intelligent Security Graph bietet ein Dashboard und den Threat Explorer, mit dem sich Analysen durchführen lassen. Mit den beiden Werkzeugen zeigt Microsoft 365 Threat Intelligence Informationen zu Angriffen an und gibt gleichzeitig Hinweise, wie auf die Angriffe reagiert werden sollte. Mit beiden Tools lassen sich auch Benutzerkonten identifizieren, die besonders anfällig für Angriffe sind. Hier bietet sich auch die Verwendung von Microsoft 365 Threat Intelligence zusammen mit Microsoft 365 Defender an. So kann Microsoft Threat Protection zudem dabei helfen, die Anwender für einen sicheren Umgang mit den Clouddiensten zu sensibilisieren.

Microsoft Intelligent Security Graph, auch als Microsoft Graph bezeichnet, wertet jede Sekunde hunderte GByte an Daten aus. Diese stammen direkt aus dem Microsoft-Netzwerk und von Windows-PCs, bei denen die Datenübertragung zu Microsoft gestattet ist. Die Lösung setzt auf maschinelles Lernen und damit auf KI, um Angriffsmuster schnell zu erkennen und Ratschläge zu entwickeln, mit denen sich die Angriffe abwehren lassen.

Bedrohungsmanagement

Neben der neuen Oberfläche von Micro-soft 365 Defender, die Sie über "security.microsoft.com" erreichen, stehen auch im Office 365 Security & Compliance-Center (protection.office.com) bei "Bedrohungsmanagement" hilfreiche Daten zur Verfügung. Mit dem "Dashboard" erhalten Sie eine Zusammenfassung der Möglichkeiten und Informationen zu den Angriffen. Oben links sind zum Beispiel mit "Untersuchungszusammenfassung" alle relevanten Daten für aktuelle Angriffe zu erkennen.

Auch die Kachel "So haben wir Ihre Organisation in den letzten 7 Tagen vor Bedrohungen geschützt" zeigt Ihnen Hinweise und Links an, mit denen sich der Schutz anpassen lässt. Hierüber können Sie zum Beispiel den Phishing-Schutz konfigurieren und sichere Anhänge in Exchange Online definieren. Nutzen Sie Microsoft 365 Defender über "security.microsoft.com", stehen die Informationen samt Threat Explorer dort ebenfalls zur Verfügung.

Mit dem Dashboard erhalten Sie einen Einblick in die aktuelle Bedrohungslandschaft Ihrer Umgebung. Auch Heatmaps zu den Ursprüngen der Angriffe und den Mustern sind hier zu sehen. Zusammen mit diesen Informationen bietet das Dashboard auch eine Liste der am häufigsten angegriffenen Benutzer und der jüngsten Warnungen. Dadurch lassen sich die betroffenen Benutzer, die Angreifer und deren Bedrohungen sowie die Art der Bedrohung genau klassifizieren. Dazu kommen Ratschläge und Tipps, wie die Bedrohungen beseitigt und zukünftige Gefahren vermieden werden können. Über das Dashboard steht auch der Threat Explorer zur Verfügung. Neben dem Link "Explorer" bei "Bedrohungsmanagement" zeigt das Dashboard auch zusammengefasste Daten an, die ihren Ursprung vom Threat Explorer haben.

Threat Explorer in der Praxis

Mit dem Threat Explorer von Microsoft 365 Threat Intelligence lassen sich Bedrohungen und Angriffe in Echtzeit nachverfolgen. Der Explorer steht in der klassischen Ansicht über "protection.office.com" bei "Bedrohungsmanagement" zur Verfügung und in Microsoft 365 Defender mit dem Link "security.micro-soft.com/threatexplorer". Das Dashboard im Bedrohungsmanagement dient eher der Übersicht für Führungskräfte, während der Threat Explorer Sicherheitsanalysten und Admins dabei unterstützt, auf Bedrohungen zu reagieren.

Im oberen Bereich wählen Sie bei "Anzeigen" aus, wie Sie die Anzeige filtern möchten. Neben Schadsoftware stehen hier Filter auf Basis von Phishing und anderen Kampagnen zur Verfügung. Sie können sich an dieser Stelle auch gefundene Malware und E-Mails mit Schadsoftware anzeigen lassen. Neben E-Mails aus Exchange Online kann Threat Explorer auch Angriffe erkennen, die durch gespeicherte Dateien in Share-Point Online und OneDrive for Business gestartet wurden. Nutzen Sie auf den Clients den Defender-Virenscanner, zeigt Threat Explorer in den Informationen auch Malware-Angriffe auf den Endpunkten selbst. Neben Microsoft Defender for Endpoint kann das auch andere Security-Produkte umfassen, die auf die APIs von Microsoft 365 Threat Intelligence setzen.

Bestandteil von Microsoft 365 Threat Intelligence ist auch der sogenannte Bedrohungs-Tracker. Dieser ist im Dashboard von Microsoft 365 Defender verfügbar unter "security.microsoft.com/threattracker" oder im Office 365 Security & Compliance-Center. Allerdings leitet der Aufruf an dieser Stelle zum Bedrohungs-Tracker auf der Microsoft-365-Defender-Seite weiter. Hier können Sie aktuelle Malware-Angriffe einsehen und Trends erkennen. Außerdem erhalten Sie an der Stelle Ratschläge, wie Sie auf die Bedrohungen reagieren sollten.

Angriffe simulieren

Mit dem Angriffssimulationstraining können sich Unternehmen und Admins auf Angriffe vorbereiten und mit Bordmitteln von Microsoft 365 Threat Intelligence auf diese Attacken reagieren. Die Simulationen sollen zudem helfen, das Benutzerverhalten zu analysieren. Unternehmen erhalten dabei Empfehlungen, wie sie in Zukunft ihre IT-Umgebung sowie die Benutzer auf den Angriff vorbereiten und wie sie am besten auf Attacken reagieren. Auf der Registerkarte "Übersicht" erhalten Sie eine Zusammenfassung des simulierten Angriffes. Durch das Training lernen Administratoren wie auch Benutzer, wie Hacker vorgehen. Als Admin erkennen Sie an dieser Stelle wiederum, wie viele Benutzer anfällig für Attacken sind, wer an der Simulation teilgenommen hat und wie viele User die Schulung abgeschlossen haben.

Eine neue Simulation starten Sie am besten über den integrierten Assistenten. Dazu finden Sie bei Microsoft 365 Defender, wenn Sie über ein Abonnement mit Microsoft 365 Threat Intelligence verfügen, den Menüpunkt "Angriffssimulationstraining". Rufen Sie diesen auf, können Sie mit dem Menüpunkt "Simulationen" und "Eine Simulation starten" aus einer Liste von Angriffen auswählen. Nach der Auswahl der gewünschten Attacke selektieren Sie die Details. Sie können im Assistenten zum Beispiel die E-Mail als Angriffsvektor auswählen und die spezifische Art der Attacke. Danach geben Sie an, welche Benutzer bei der Simulation mitmachen und an Schulungen teilnehmen sollen. Nachdem die Simulation in wenigen Schritten ausgeführt ist, können Sie den Test starten. Es lassen sich in diesem Zusammenhang auch mehrere Simulationen gleichzeitig anstoßen. Alle Simulationen sind dann direkt auf der Hauptseite bei "Simulationen" zu sehen.

Sobald die Simulation beginnt, erhalten die Teilnehmer das entsprechende Dokument oder die E-Mail zugestellt. Die Simulation läuft über das produktive Postfach der Teilnehmer. Öffnen die Anwender das Dokument oder die URL, erhalten sie einen Hinweis, dass sie an einem Test teilgenommen haben. Der Angriff läuft natürlich einige Zeit und im Dashboard von "Angriffssimulationstraining" lassen sich erste Ergebnisse auslesen, sobald der Test beginnt.

Automatisch reagieren

Mit Automated Investigation and Response (AIR) lassen sich automatisierte Prozesse und Reaktionen auf Bedrohungen planen. Diese Funktion in Microsoft 365 Threat Intelligence hilft Sicherheitsteams dabei, effektiver auf Angriffe zu reagieren. Dazu setzt AIR auf Security-Playbooks, die starten, wenn bestimmte Warnungen ausgelöst werden. Über diese Playbooks kann AIR auch automatische Untersuchungen ausführen und auswerten.

Security-Playbooks sind Backend-Richtlinien, die die Automatisierung in Microsoft Threat Protection darstellen. Die in AIR bereitgestellten Playbooks basieren auf realen Sicherheitsszenarien. Erkennt AIR eine Warnung, löst das System automatisch ein passendes Playbook aus. Das Playbook führt eine Untersuchung durch und prüft alle zugehörigen Metadaten. Dazu gehören auch E-Mail-Nachrichten, Benutzer, Betreffs, Absender und weitere Informationen, die für die Untersuchung eine Rolle spielen. AIR empfiehlt auf Basis der Playbooks verschiedene Maßnahmen, die das Sicherheitsteam eines Unternehmens ergreifen kann, um die Bedrohung zu kontrollieren und zu entschärfen.

Die mit AIR bereitgestellten Sicherheits-Playbooks sind auf die häufigsten Bedrohungen ausgerichtet, denen Unternehmen ausgesetzt sind. Sie basieren auf dem Input von Security-Operations- und Incident-Response-Teams – einschließlich der Teams, die Microsoft und seine Kunden bei der Verteidigung ihrer Ressourcen unterstützen. Die einzelnen Maßnahmen werden protokolliert und sind daher nachvollziehbar. Dabei führt AIR nur Aktionen durch, die von Sicherheitsteams auch genehmigt werden.

Eine wichtige Basis für AIR sind die Warnungen (Alerts). Diese dienen als Auslöser für Aktionen für Sicherheitsteams und auch für Microsoft 365 Defender sowie für andere Funktionen für mehr Sicherheit in Microsoft 365. Auf Basis von Warnungen, die in Microsoft 365 Threat Intelligence auftreten, können sich automatische und manuelle Maßnahmen ableiten. Die Warnungen stellen darüber hinaus sicher, dass alle Sicherheitsvorfälle im Unternehmen untersucht und behandelt werden. Oft ignorieren Unternehmen einzelne Sicherheitsvorfälle, weil sie vermeintlich nicht gefährlich sind. Mit AIR können Sie in Microsoft 365 Threat Intelligence auf jede einzelne Warnung reagieren, diese erfassen, analysieren und sich darauf vorbereiten.

Proaktiv nach Bedrohungen suchen

Die Bedrohungssuche (Threat Hunting) ist ein wesentlicher Bestandteil von Micro-soft 365 Threat Intelligence. Dabei handelt es sich um eine proaktive Maßnahme, mit der Admins Angriffen schnell auf die Spur kommen können. Threat Hunting hat besonders komplexe oder raffinierte Angriffsmethoden im Fokus, die den meisten IT-Verantwortlichen nicht schnell auffallen. Für diese Funktionen kommt meist Microsoft 365 Defender zum Einsatz.

Zu den Technologien gehören zum Beispiel verhaltensbasierte Erkennungsalgorithmen, die auf maschinellem Lernen und KI basieren. Diese können schnell reagieren, doch allein auch kein Netzwerk schützen. Vielmehr sind die gelieferten Informationen nur als Ergänzung gedacht. Threat Hunting kann dabei Bedrohungen aufspüren, die entweder unter einer großen Menge von Warnungen verborgen sind oder von Sicherheitsprodukten nicht erkannt werden. Die Funktion nutzt dazu alle Daten, die in Microsoft 365 Threat Intelligence zur Verfügung stehen, und lässt sich auf die spezifischen Anforderungen eines Netzwerks anpassen.

So erfahren Sie als Admin beispielsweise von einer neuen Sicherheitslücke, die eine der Anwendungen in der Umgebung betrifft. In Microsoft 365 Threat Intelligence können Sie nun eine Abfrage für Verhaltensweisen erstellen, die mit den an dieser Schwachstelle beteiligten Prozessen verbunden ist. Die Abfrage ermittelt eine bestehende Baseline und das normale Verhalten beim Umgang mit der Anwendung. Danach ändern Sie die vorhandenen Abfragen so ab, dass diese nur das zurückgeben, was unüblich ist. Danach können Sie eine Regel erstellen, die regelmäßige Abfragen ausführt und Benachrichtigungen an das Sicherheitsteam sendet, wenn unübliches Verhalten beim Umgang mit der Anwendung festgestellt wird.

Fazit

Microsoft 365 Threat Intelligence, Microsoft 365 Defender und Microsoft Defender für Endpunkte arbeiten eng zusammen und können die Sicherheit in Microsoft 365, Azure und lokalen Netzwerken signifikant verbessern – auch dank KI-Technologien. Für den umfassenden Einsatz der drei Microsoft-365-Produkte Threat Intelligence, Defender und Microsoft Defender für Endpunkte sind spezielle Lizenzen notwendig. Es ist aber IT-Verantwortlichen möglich, die Produkte separat zu buchen. (ln/dr)

Über den Autor: Thomas Joos ist IT-Experte und Fachautor mit langjähriger Praxiserfahrung als IT-Administrator, IT-Leiter und Consultant. Mit über 100 Fachbüchern und tausenden Artikeln gehört er zu den bekanntesten IT-Autoren im deutschsprachigen Raum.

FAQs