Undersöka beteenden med avancerad jakt

Medan vissa avvikelseidentifieringar främst fokuserar på att identifiera problematiska säkerhetsscenarier, kan andra hjälpa till att identifiera och undersöka avvikande användarbeteenden som inte nödvändigtvis tyder på en kompromiss. I sådana fall använder Microsoft Defender for Cloud Apps och Microsoft Defender för molnet en separat datatyp som kallas beteenden.

Den här artikeln beskriver hur du kan undersöka beteenden i Defender for Cloud Apps och Defender för molnet med avancerad jakt i Microsoft Defender.

Har du feedback att dela? Fyll i vårt feedbackformulär för Defender for Cloud Apps beteenden!

Vad är ett beteende?

Beteenden är kopplade till MITRE ATT&CK-kategorier och -tekniker, ett ramverk som klassificerar angreppstaktiker och metoder, och ger en djupare förståelse för en händelse än vad som tillhandahålls av rådata. Beteendedata ligger mellan rådata för händelser och aviseringar som genereras av en händelse.

Även om beteenden kan vara relaterade till säkerhetsscenarier är de inte nödvändigtvis ett tecken på skadlig aktivitet eller en säkerhetsincident. Varje beteende baseras på en eller flera råhändelser och ger kontextuella insikter om vad som inträffade vid en viss tidpunkt, med hjälp av information som Defender for Cloud Apps har lärt sig eller identifierat.

Detekteringar som stöds

Beteenden stöder för närvarande lågprioriterade identifieringar samt identifieringar från Defender for Cloud Apps och Defender för molnet, som kanske inte uppfyller kraven för aviseringar men som ändå är användbara för att ge kontext vid en utredning. Följande detekteringar stöds för närvarande:

Defender for Cloud Apps övergång från aviseringar till beteenden

För att förbättra kvaliteten på aviseringar som genereras av Defender for Cloud Apps och minska antalet falska positiva resultat håller Defender for Cloud Apps för närvarande på att flytta säkerhetsrelaterat innehåll från aviseringar till beteenden.

Den här övergången från aviseringar till beteenden syftar till att ta bort policyer från aviseringar som ger detekteringar av låg kvalitet, samtidigt som säkerhetsscenarier fortfarande skapas med fokus på inbyggda detekteringar. Parallellt skickar Defender for Cloud Apps beteenden som hjälper dig i dina undersökningar.

Övergångsprocessen från aviseringar till beteenden omfattar följande faser:

1. (Klart) Defender for Cloud Apps skickar beteenden parallellt med aviseringar.

2. (Klart) Principer som genererar beteenden är nu inaktiverade som standard och skickar inte aviseringar.

3. Gå över till en molnhanterad identifieringsmodell och ta bort kundinriktade principer helt. Den här fasen planeras att tillhandahålla både anpassade identifieringar och valda aviseringar som genereras av interna principer för säkerhetsfokuserade scenarier med hög återgivning.

Övergången till beteenden innehåller även förbättringar för beteendetyper som stöds och justeringar för principgenererade aviseringar för optimal noggrannhet.

Mer information finns i Transformera hur du undersöker med hjälp av beteenden och nya identifieringar.

Använda beteenden i Microsoft Defender XDR avancerad jakt

Få åtkomst till beteenden på sidan avancerad jakt i Defender portalen och använd beteenden genom att köra frågor mot beteendetabeller och skapa anpassade identifieringsregler som innehåller beteendedata.

Beteendeschemat på sidan Avancerad jakt liknar tabellschemat AlertInfo och innehåller följande tabeller:

Om du vill få fullständig information om ett beteende och dess entiteter använder BehaviorId du som primärnyckel för kopplingen. Till exempel:

BehaviorInfo
| where BehaviorId == "INSERT VALUE"
| join BehaviorEntities on BehaviorId

Exempelscenarier

Det här avsnittet innehåller exempelscenarier för användning av beteendedata på sidan avancerad jakt i Defender portalen och relevanta kodexempel.

Hämta aviseringar för massnedladdningar

Scenario: Du vill få aviseringar när en massnedladdning görs av en specifik användare eller en lista över användare som är benägna att utsättas för risk eller interna risker.

Det gör du genom att skapa en anpassad identifieringsregel baserat på följande fråga:

BehaviorEntities
| where ActionType == "MassDownload" 
| where EntityType == “User” and AccountName in (“username1”, “username2”…  ) 

Mer information finns i Skapa och hantera anpassade identifieringsregler i Microsoft Defender.

Hämta de 100 senaste beteendena

Scenario: Du vill fråga 100 senaste beteenden relaterade till MITRE-attacktekniken Giltiga konton (T1078).

Följande fråga returnerar de 100 senaste beteendena som mappats till T1078-tekniken (Giltiga konton) som hjälper dig att identifiera potentiella hot baserade på autentiseringsuppgifter:

BehaviorInfo
| where AttackTechniques has "Valid Accounts (T1078)"
| order by Timestamp desc 
| take 100

Undersöka beteenden för en viss användare

Scenario: Om du misstänker att en användare kan ha komprometterats undersöker du alla relaterade beteenden för den användaren.

Följande fråga filtrerar Defender for Cloud Apps beteenden efter tjänstkälla och konto-UPN för att hämta alla beteendeposter och associerade entiteter för en viss användare. Ersätt användarnamnet med namnet på den användare som du vill undersöka:

BehaviorInfo
| where ServiceSource == "Microsoft Cloud App Security"
| where AccountUpn == "*username*"
| join BehaviorEntities on BehaviorId
| project Timestamp, BehaviorId, ActionType, Description, Categories, AttackTechniques, ServiceSource, AccountUpn, AccountObjectId, EntityType, EntityRole, RemoteIP, AccountName, AccountDomain, Application

Undersöka beteenden för en specifik IP-adress

Scenario: Undersök alla beteenden där en av entiteterna är en misstänkt IP-adress.

Följande fråga hittar alla beteenden som är associerade med en angiven IP-adress, så att du kan spåra relaterade användaråtgärder och entiteter som är länkade till ip-adressen. Ersätt misstänkt IP-adress med den IP-adress som du vill undersöka.

BehaviorEntities
| where EntityType == "Ip"
| where RemoteIP == "*suspicious IP*"
| where ServiceSource == "Microsoft Cloud App Security"
| project Timestamp, BehaviorId, ActionType, Categories, ServiceSource, AccountUpn, AccountObjectId, EntityType, EntityRole, RemoteIP, AccountName, AccountDomain

Nästa steg

Mer information om beteenden och relaterade undersökningar finns i följande resurser:

• Transformera hur du undersöker med hjälp av beteenden och nya identifieringar
• Självstudie: Identifiera misstänkt användaraktivitet med beteendeanalys

Om du stöter på problem är vi här för att hjälpa till. Om du vill ha hjälp eller support för ditt produktproblem öppnar du ett supportärende.