Konfigurieren intelligenter Erkennungen im Insider-Risikomanagement

Verwenden Sie die Einstellung Intelligente Erkennungen in Microsoft Purview Insider Risk Management für Folgendes:

• Erhöhen Sie die Bewertung für ungewöhnliche Dateidownloadaktivitäten, indem Sie eine Minimale Anzahl täglicher Ereignisse eingeben.
• Erhöhen oder verringern Sie das Volumen und die Verteilung von Warnungen mit hoher, mittlerer und niedriger Höhe.
• Importieren und filtern Sie Defender für Endpunkt-Warnungen nach Aktivitäten, die in Richtlinien verwendet werden, die aus Insider-Risikomanagementvorlagen erstellt wurden.
• Geben Sie nicht zugelassene Domänen an, um die Risikobewertung für potenziell riskante Aktivitäten zu erhöhen.
• Geben Sie Drittanbieterdomänen an, um Warnungen für potenziell riskante Downloadaktivitäten zu generieren.

Erkennung von Dateiaktivitäten

Sie können diesen Abschnitt verwenden, um die Anzahl der täglichen Ereignisse anzugeben, die erforderlich sind, um die Risikobewertung für Downloadaktivitäten zu erhöhen, die für einen Benutzer als ungewöhnlich angesehen werden. Wenn Sie beispielsweise "25" eingeben, wenn ein Benutzer durchschnittlich 10 Dateien in den letzten 30 Tagen herunterlädt, aber eine Richtlinie erkennt, dass er an einem Tag 20 Dateien heruntergeladen hat, wird die Bewertung für diese Aktivität nicht erhöht, obwohl dies für diesen Benutzer ungewöhnlich ist, da die Anzahl der an diesem Tag heruntergeladenen Dateien kleiner als 25 war.

Warnungslautstärke

Potenziell riskante Aktivitäten, die von Insider-Risikorichtlinien erkannt werden, werden einer bestimmten Risikobewertung zugewiesen, die wiederum den Schweregrad der Warnung (niedrig, mittel, hoch) bestimmt. Standardmäßig generiert das Insider-Risikomanagement eine bestimmte Anzahl von Warnungen mit niedrigem, mittlerem und hohem Schweregrad, aber Sie können das Volumen einer bestimmten Warnungsstufe erhöhen oder verringern, um Ihren Anforderungen gerecht zu werden.

Um die Anzahl der Warnungen für alle Richtlinien für das Insider-Risikomanagement anzupassen, wählen Sie eine der folgenden Einstellungen aus:

• Weniger Warnungen: Sie sehen alle Warnungen mit hohem Schweregrad, weniger Warnungen mit mittlerem Schweregrad und keine Warnungen mit niedrigem Schweregrad. Wenn Sie diese Einstellungsstufe auswählen, können Sie einige true positive Ergebnisse verpassen.
• Standardvolume: Sie sehen alle Warnungen mit hohem Schweregrad und eine ausgeglichene Menge von Warnungen mit mittlerem und niedrigem Schweregrad.
• Weitere Warnungen: Sie sehen alle Warnungen mit mittlerem und hohem Schweregrad sowie warnungen mit niedrigem Schweregrad. Diese Einstellungsebene kann zu mehr falsch positiven Ergebnissen führen.

Microsoft Defender for Endpoint Warnungsstatus

Microsoft Defender for Endpoint ist eine Sicherheitsplattform für Unternehmensendpunkte, die Unternehmensnetzwerke dabei unterstützen soll, erweiterte Bedrohungen zu verhindern, zu erkennen, zu untersuchen und darauf zu reagieren. Um eine bessere Sichtbarkeit von Sicherheitsverstößen in Ihrem organization zu erhalten, können Sie Defender für Endpunkt-Warnungen nach Aktivitäten importieren und filtern, die in Richtlinien verwendet werden, die aus Richtlinienvorlagen für Sicherheitsverletzungen im Insider-Risikomanagement erstellt wurden.

Abhängig von den Signaltypen, an den Sie interessiert sind, können Sie basierend auf der Defender für Endpunkt-Warnungs-Selektierung status, Warnungen in das Insider-Risikomanagement importieren. Sie können einen oder mehrere der folgenden Warnungs selektierungsstatus in den globalen Einstellungen definieren, die importiert werden sollen:

• Unbekannt
• Neu
• In Arbeit
• Gelöst

Warnungen von Defender für Endpunkt werden täglich importiert. Je nach ausgewählter Selektierung status können mehrere Benutzeraktivitäten für dieselbe Warnung wie die Selektierung status Änderungen in Defender für Endpunkt angezeigt werden.

Wenn Sie für diese Einstellung z. B. Neu, In Bearbeitung und Aufgelöst auswählen und eine Microsoft Defender for Endpoint Warnung generiert wird und die status auf Neu festgelegt ist, wird eine anfängliche Warnungsaktivität für den Benutzer im Insider-Risikomanagement importiert. Wenn die Defender für Endpunkt-Selektierung status in In Bearbeitung geändert wird, wird eine zweite Aktivität für diese Warnung importiert. Wenn die endgültige Defender für Endpunkt-Selektierung status von Resolved festgelegt ist, wird eine dritte Aktivität für diese Warnung importiert. Diese Funktion ermöglicht es Ermittlern, den Fortschritt der Defender für Endpunkt-Warnungen zu verfolgen und die Sichtbarkeitsebene auszuwählen, die für ihre Untersuchung erforderlich ist.

Domänen

Sie können nicht zugelassene Domänen und Domänen von Drittanbietern angeben, um Ihre Erkennungen zu erhöhen:

• Nicht zulässige Domänen: Wenn Sie eine nicht zugelassene Domäne angeben, weist die Risikomanagementaktivität, die mit dieser Domäne stattfindet, eine höhere Risikobewertung auf. Sie können beispielsweise Aktivitäten angeben, bei denen Inhalte für eine andere Person freigegeben werden (z. B. das Senden von E-Mails an eine person mit einer gmail.com Adresse) oder Aktivitäten, bei denen Benutzer Inhalte von einer nicht zulässigen Domäne auf ein Gerät herunterladen. Sie können bis zu 500 nicht zugelassene Domänen hinzufügen.
• Domänen von Drittanbietern: Wenn Ihr organization Domänen von Drittanbietern für geschäftliche Zwecke (z. B. Cloudspeicher) verwendet, schließen Sie diese in den Abschnitt Domänen von Drittanbietern ein, um Warnungen für potenziell riskante Aktivitäten im Zusammenhang mit dem Geräteindikator Verwenden Sie einen Browser zum Herunterladen von Inhalten von einer Drittanbieterwebsite zu erhalten. Sie können bis zu 500 Drittanbieterdomänen hinzufügen.

Hinzufügen einer nicht zugelassenen Domäne

Wählen Sie die entsprechende Registerkarte für das von Ihnen verwendete Portal aus. Weitere Informationen zum Microsoft Purview-Portal finden Sie im Microsoft Purview-Portal. Weitere Informationen zum Complianceportal finden Sie unter Microsoft Purview-Complianceportal.

Hinzufügen einer Drittanbieterdomäne

Wählen Sie die entsprechende Registerkarte für das von Ihnen verwendete Portal aus. Weitere Informationen zum Microsoft Purview-Portal finden Sie im Microsoft Purview-Portal. Weitere Informationen zum Complianceportal finden Sie unter Microsoft Purview-Complianceportal.