Microsoft Defender: Attack Surface Reduction-Regel für Endpunkte

Von Mirko Peters · 2026-03-06 · Aktualisiert 2026-03-24

Endpunkte mit Attack-Surface-Reduction-Regeln absichern. Die Wirksamkeit der ASR-Regeln mithilfe fortgeschrittener KQL-Abfragen prüfen, um die Erkennung zu verbessern und Ausnahmen gezielter anzupassen.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Das Auditieren von Attack Surface Reduction-Regeln spielt eine zentrale Rolle, wenn Sie die Sicherheitslage Ihrer Organisation aufrechterhalten wollen. Mit Advanced KQL lässt sich dieser Prozess deutlich beschleunigen. Diese leistungsstarke Abfragesprache ermöglicht es Ihnen, Daten präziser auszuwerten, und spart Zeit bei gleichzeitig höherer Genauigkeit. Mit Advanced KQL erkennen Sie Schwachstellen schnell und stellen sicher, dass Sicherheitsrichtlinien eingehalten werden. Dieser Ansatz erweitert nicht nur Ihre Auditmöglichkeiten, sondern hilft Ihnen auch, fundierte Entscheidungen für Ihre Sicherheitsstrategie zu treffen.

Das Wichtigste in Kürze

• Verstehen Sie den grundlegenden Aufbau von KQL-Abfragen, um Ihre Audit-Fähigkeiten zu verbessern.
• Nutzen Sie Filtertechniken, um sich auf bestimmte ASR-Regeln und relevante Daten zu konzentrieren.
• Verknüpfen Sie Datentabellen, um Informationen zu kombinieren und ein umfassendes Bild der ASR-Audits zu erhalten.
• Nutzen Sie Funktionen wie count() und summarize, um Trends und Muster effektiv zu analysieren.
• Legen Sie einen regelmäßigen Auditplan fest, um Compliance und Sicherheitslage aufrechtzuerhalten.
• Dokumentieren Sie Ihre Erkenntnisse gründlich, um den Fortschritt nachzuverfolgen und Trends über die Zeit zu erkennen.
• Verbessern Sie Ihre Auditprozesse kontinuierlich, indem Sie die Ergebnisse auswerten und Feedback einholen.
• Schließen Sie Datenlücken frühzeitig, damit die Zuverlässigkeit Ihrer Auditdaten gewährleistet ist.

1. Joins über mehrere Workspaces sind praktisch und schnell – Advanced KQL unterstützt Joins über mehrere Workspaces hinweg. Damit können ASR-Audits Endpunktereignisse, Bedrohungssignale und Konfigurationsdaten korrelieren, ohne aufwendige ETL-Prozesse.
2. Approximative Funktionen beschleunigen umfangreiche Abfragen – Funktionen wie approx_count_distinct und percentile_approx ermöglichen es, große ASR-Telemetriedaten mit deutlich weniger Rechenaufwand und nahezu in Echtzeit zusammenzufassen.
3. Zeitreihenoperatoren zeigen subtile Trends – Operatoren wie make-series, series_fir und series_decompose helfen dabei, schleichende Abweichungen bei ASR-Regeln und wiederkehrende Richtlinienausnahmen zu erkennen, die einfache Filter übersehen.
4. Entitätsanreicherung ist integriert – KQL kann ASR-Auditdaten direkt bei der Abfrage mit Bedrohungsinformationen, Geräteinventar und Identitätsattributen anreichern. So entstehen kontextualisierte Warnungen ganz ohne separate Anreicherungspipelines.
5. Rendern und Visualisierung reduzieren Fehlalarme – Mit render timechart, barchart und heatmap direkt in den Abfragen erkennen Auditoren schnell, welche ungewöhnlichen ASR-Regeltreffer eine Untersuchung erfordern und welche nur Rauschen sind.
6. Abfragelimits und Kostenkontrollen sind präzise – KQL bietet abfragezeitliche Steuerungen (etwa take, limit und row_count_between) sowie Abfragediagnosen. Auditoren können so die Ressourcennutzung begrenzen und trotzdem verwertbare ASR-Erkenntnisse gewinnen.
7. Erweiterte Mustererkennung mit Regex und Sequenzen – Die Kombination aus Regex, mv-expand und dem Sequenzoperator ermöglicht es, komplexe mehrstufige Angriffsmuster in ASR-Protokollen zu erkennen, die einfache Ereignisanzahlen übersehen würden.

Einrichtung der Advanced-KQL-Umgebung

KQL-Voraussetzungen

Bevor Sie sich mit Advanced KQL beschäftigen, sollten Sie einige Voraussetzungen erfüllen. Stellen Sie zunächst sicher, dass Sie Zugriff auf Microsoft Defender haben, da dieses die notwendigen Daten für Ihre Abfragen liefert. Grundkenntnisse in Programmierkonzepten helfen Ihnen zusätzlich, KQL besser zu verstehen. Dies sind die wichtigsten Voraussetzungen:

• Zugriff auf Microsoft Defender: Dieses Tool ist für die Erfassung von Sicherheitsdaten unverzichtbar.
• Grundverständnis von Datenabfragen: Wenn Sie einfache Abfragen lesen und schreiben können, fällt Ihnen der Einstieg leichter.
• Vertrautheit mit Sicherheitskonzepten: Wenn Sie Begriffe wie Schwachstellen und Compliance verstehen, können Sie effektiver auditieren.

Werkzeuge für KQL

Um mit KQL effizient zu arbeiten, benötigen Sie die passenden Werkzeuge. Diese empfohlenen Tools helfen Ihnen beim Einstieg:

• Kusto Query Explorer: Dieses webbasierte Tool ermöglicht es Ihnen, KQL-Abfragen in Echtzeit zu schreiben und zu testen.
• Azure Data Explorer: Diese Plattform bietet eine leistungsstarke Umgebung für die Ausführung von KQL-Abfragen auf großen Datenmengen.
• Microsoft Defender-Portal: Über dieses Portal greifen Sie auf Sicherheitsdaten und Erkenntnisse zu, die Sie mit KQL analysieren können.

Konfiguration Ihrer Umgebung

Eine korrekt konfigurierte Umgebung ist entscheidend für eine optimale KQL-Leistung. Gehen Sie wie folgt vor, um Ihre Umgebung effektiv einzurichten:

1. Notwendige Tools installieren: Installieren Sie zunächst Kusto Query Explorer und stellen Sie sicher, dass Sie Zugriff auf Microsoft Defender haben.
2. Datenquellen einrichten: Verbinden Sie Ihre Tools mit den relevanten Datenquellen. Diese Verbindung ermöglicht es Ihnen, die Daten abzurufen, die Sie für Ihre Abfragen benötigen.
3. Abfrageleistung optimieren: Nutzen Sie die materialize-Funktion, um die Abfragegeschwindigkeit durch Zwischenspeicherung von Zwischenergebnissen zu erhöhen. Die Reihenfolge der Operatoren innerhalb einer KQL-Abfrage beeinflusst sowohl das Ergebnis als auch die Leistung erheblich. Strukturieren Sie Ihre Abfragen daher sorgfältig, um die besten Ergebnisse zu erzielen.

Wenn Sie diese Schritte befolgen, schaffen Sie eine solide Grundlage für den Einsatz von Advanced KQL in Ihren ASR-Audits. Diese Einrichtung vereinfacht nicht nur Ihren Auditprozess, sondern verbessert auch die Genauigkeit Ihrer Ergebnisse.

KQL-Abfragen für ASR-Audits

Grundlegende Abfragestruktur

Wenn Sie mit KQL-Abfragen für ASR-Audits beginnen, ist das Verständnis der grundlegenden Struktur unerlässlich. Eine KQL-Abfrage besteht in der Regel aus mehreren Komponenten, die zusammenarbeiten, um die gewünschten Daten abzurufen. Dies sind die wichtigsten Komponenten einer KQL-Abfrage:

• Tabellenname: Dieser legt die Datenquelle fest, die Sie abfragen möchten. Für ASR-Audits verwenden Sie beispielsweise Tabellen wie DeviceEvents oder AlertEvidence.
• Operatoren: Dies sind Befehle, die Aktionen auf die Daten ausführen. Gängige Operatoren sind where, project und summarize.
• Filter: Sie können Filter anwenden, um Ihre Ergebnisse einzugrenzen. Beispielsweise können Sie nach Datum oder bestimmten ASR-Regeln filtern.
• Funktionen: Funktionen ermöglichen Ihnen, Daten zu bearbeiten. Mit Funktionen können Sie Vorkommen zählen oder Durchschnittswerte berechnen.

Die Advanced-Hunting-Funktion von Microsoft Defender for Endpoint ermöglicht es Ihnen, ASR-Regeln mithilfe benutzerdefinierter KQL-Abfragen detailliert zu analysieren. Diese Abfragen können Aufschluss darüber geben, welche Regelerkennungen auftreten, welche Geräte betroffen sind und welche Auswirkungen auf Anwendungen bestehen.

Komponenten einer KQL-Abfrage

Hier sehen Sie ein einfaches Beispiel für die Struktur einer KQL-Abfrage:

DeviceEvents
| where ActionType == "ASRRuleTriggered"
| project DeviceName, Timestamp, ActionType

In diesem Beispiel fragen Sie die Tabelle DeviceEvents ab, filtern nach Ereignissen, bei denen der Aktionstyp "ASRRuleTriggered" lautet, und projizieren nur den Gerätenamen, den Zeitstempel und den Aktionstyp.

Gängige Funktionen in KQL

KQL umfasst mehrere Funktionen, die Ihre Abfragemöglichkeiten erweitern. Dies sind einige gängige Funktionen, die Sie kennen sollten:

• count(): Diese Funktion zählt die Datensätze, die Ihren Kriterien entsprechen.
• distinct(): Verwenden Sie diese Funktion, um eindeutige Werte aus einer bestimmten Spalte zurückzugeben.
• summarize: Diese Funktion aggregiert Daten anhand festgelegter Kriterien und ermöglicht Ihnen, Trends über die Zeit zu analysieren.

Fortgeschrittene Abfragetechniken

Sobald Sie die Grundlagen verstanden haben, können Sie fortgeschrittene KQL-Techniken erkunden, um detailliertere Informationen aus Ihren ASR-Auditdaten zu gewinnen. Diese Techniken helfen Ihnen, tiefere Einblicke in Ihre Sicherheitslage zu erhalten.

ASR-Daten filtern

Filtern ist entscheidend, wenn Sie sich auf bestimmte Aspekte Ihrer ASR-Daten konzentrieren möchten. Sie können mehrere Bedingungen in Ihrer where-Klausel verwenden, um Ihre Ergebnisse zu verfeinern. Zum Beispiel:

DeviceEvents
| where ActionType == "ASRRuleTriggered" and Timestamp > ago(30d)
| summarize Count = count() by DeviceName

Diese Abfrage filtert ASR-Regelauslösungen der letzten 30 Tage und fasst die Anzahl der Auslösungen nach Gerätename zusammen.

Datentabellen verknüpfen

Das Verknüpfen von Datentabellen ermöglicht es Ihnen, Informationen aus verschiedenen Quellen zu kombinieren und so eine umfassendere Sicht auf Ihre ASR-Audits zu erhalten. Sie können den Operator join verwenden, um Tabellen anhand eines gemeinsamen Feldes zusammenzuführen. Hier ein Beispiel:

DeviceEvents
| join kind=inner (Alerts) on DeviceId
| where ActionType == "ASRRuleTriggered"
| project DeviceName, AlertSeverity, Timestamp

In dieser Abfrage verknüpfen Sie die Tabelle DeviceEvents mit der Tabelle Alerts über das Feld DeviceId. So sehen Sie, welche Warnmeldungen mit ASR-Regelauslösungen zusammenhängen.

Mit diesen grundlegenden und fortgeschrittenen KQL-Techniken steigern Sie Ihre Möglichkeiten zur ASR-Überwachung deutlich. Sie gewinnen aussagekräftige Erkenntnisse und können fundierte Entscheidungen über die Sicherheitsmaßnahmen Ihrer Organisation treffen.

ASR-Prüfergebnisse interpretieren

Ausgabeformate verstehen

Die Ausgabeformate von KQL-Abfragen hängen von den abgefragten Daten ab. Wenn Sie diese Formate verstehen, können Sie aus Ihren ASR-Überwachungen verwertbare Erkenntnisse ableiten. Achten Sie besonders auf folgende Aspekte:

• Das Microsoft Defender-Portal stellt detaillierte Berichte zu erkannten Aktivitäten bereit. Über diese Berichte können Sie die Wirksamkeit der Regeln zur Reduzierung der Angriffsfläche nachverfolgen.
• Wenn Regeln auslösen, werden Warnungen erzeugt. So erhalten Sie sofortige Transparenz über mögliche Bedrohungen.
• Sie können das Windows-Ereignisprotokoll auswerten. Filtern Sie im Protokoll Microsoft-Windows-Windows Defender/Operational gezielt nach der Ereignis-ID 1121. So identifizieren Sie Anwendungen, die durch ASR-Regeln blockiert worden wären.

ASR-Ergebnisse analysieren

Die Analyse Ihrer ASR-Prüfergebnisse ist entscheidend, um die Wirksamkeit Ihrer Sicherheitsmaßnahmen zu messen. So können Sie gründlich vorgehen:

1. Verwenden Sie den Überwachungsmodus, um Erkenntnisse zu ASR-Richtlinien zu sammeln.
2. Öffnen Sie das Microsoft Defender-Portal und wechseln Sie zu „Berichte“.
3. Wählen Sie unter „Endpunkte“ die Option „Attack Surface Reduction Rules“ aus.
4. Filtern Sie die Regeln, um Metriken anzuzeigen. Wählen Sie für umfassende Daten „Alle“.
5. Analysieren Sie „Audited Detections“, um zu beurteilen, ob die Aktionen, die blockiert worden wären, notwendig sind.
6. Überprüfen Sie Trends und Konfigurationen regelmäßig, damit Geräte korrekt eingerichtet sind.
7. Verwenden Sie die Seite „Add exclusions“, um gezielt Treffer einzelner ASR-Regeln zu verwalten.

Wenn Sie diese Schritte befolgen, können Sie Ihre Prüfergebnisse wirksam analysieren und Ihre Sicherheitsstrategien verfeinern.

Sicherheitslücken identifizieren

Das Identifizieren von Sicherheitslücken ist ein zentraler Bestandteil Ihres ASR-Überwachungsprozesses. Mit den Erkenntnissen aus Ihren KQL-Abfragen können Sie Schwachstellen in Ihrer Sicherheitslage gezielt aufspüren. Folgende Strategien helfen Ihnen dabei:

• Suchen Sie nach Mustern in den Daten. Wenn bestimmte Geräte häufig ASR-Regeln auslösen, benötigen sie möglicherweise zusätzliche Sicherheitsmaßnahmen.
• Vergleichen Sie die Ergebnisse Ihrer ASR-Überwachungen über die Zeit. Dieser Vergleich zeigt, ob sich Ihre Sicherheitslage verbessert oder verschlechtert.
• Nutzen Sie fortgeschrittene KQL-Abfragen, um bestimmte Vorfälle genauer zu untersuchen. Eine Abfrage wie DeviceEvents | where ActionType startswith 'Asr' liefert Erkenntnisse für die Verfeinerung Ihrer Richtlinien.

Wenn Sie Sicherheitslücken aktiv identifizieren, können Sie proaktiv handeln, die Sicherheit Ihrer Organisation stärken und das Risiko potenzieller Bedrohungen verringern.

Bewährte Methoden für ASR-Überwachungen

Regelmäßige Prüfzyklen

Ein fester Prüfzyklus ist entscheidend, um die Wirksamkeit Ihrer Regeln zur Reduzierung der Angriffsfläche dauerhaft zu gewährleisten. Führen Sie Überwachungen mindestens quartalsweise durch. So bleiben Sie über Veränderungen in Ihrer Sicherheitslandschaft auf dem Laufenden. Folgende Tipps helfen Ihnen beim Einrichten Ihres Prüfzyklus:

• Feste Termine festlegen: Wählen Sie pro Quartal bestimmte Tage für Ihre Überwachungen. Diese Regelmäßigkeit hilft Ihnen, die Aufgabe nicht zu vergessen und entsprechend zu priorisieren.
• Team einbinden: Beziehen Sie Ihr Sicherheitsteam in die Terminplanung ein. Dessen Rückmeldung hilft, die besten Zeitpunkte unter Berücksichtigung von Auslastung und anderen Verpflichtungen zu finden.
• Automatische Erinnerungen nutzen: Setzen Sie mit Kalenderwerkzeugen Erinnerungen für anstehende Überwachungen. Automatisierung verringert das Risiko, einen Termin zu verpassen.

Ergebnisse dokumentieren

Ein dokumentierter Stand Ihrer Ergebnisse ist unerlässlich, um Fortschritte nachzuverfolgen und Trends zu erkennen. Verwenden Sie dafür ein strukturiertes Format. Berücksichtigen Sie folgende Elemente:

• Prüfdatum: Halten Sie fest, wann die Überwachung stattgefunden hat.
• Zusammenfassung der Ergebnisse: Fassen Sie die wichtigsten Erkenntnisse zusammen, einschließlich ausgelöster ASR-Regeln zur Reduzierung der Angriffsfläche.
• Empfehlungen: Formulieren Sie umsetzbare Empfehlungen auf Basis Ihrer Ergebnisse. So stellen Sie sicher, dass festgestellte Probleme zeitnah behoben werden.
• Folgemaßnahmen: Listen Sie erforderliche Folgemaßnahmen auf und weisen Sie Verantwortlichkeiten im Team zu.

Mit einer gründlichen Dokumentation schaffen Sie eine wertvolle Grundlage für künftige Audits. Diese Grundlage hilft Ihnen, Ergebnisse im Zeitverlauf zu vergleichen und Ihre Sicherheitsstrategien zu verfeinern.

Strategien für kontinuierliche Verbesserung

Kontinuierliche Verbesserung ist für wirksame Audits entscheidend. Sie sollten Ihre Audit-Prozesse regelmäßig überprüfen und bei Bedarf anpassen. Mit den folgenden Strategien verbessern Sie Ihre ASR-Audits:

1. Trends analysieren: Suchen Sie nach Mustern in Ihren Auditergebnissen. Wenn Sie wiederkehrende Probleme erkennen, wissen Sie, wo Sie ansetzen sollten.
2. Feedback einholen: Ermutigen Sie Ihr Team, Feedback zum Auditprozess zu geben. Die Erkenntnisse daraus können zu wertvollen Verbesserungen führen.
3. Auf dem Laufenden bleiben: Verfolgen Sie die neuesten Entwicklungen in Sicherheit und bei Auditpraktiken. Besuchen Sie Webinare, lesen Sie Fachartikel und beteiligen Sie sich an Foren, um von anderen Experten zu lernen.
4. Neue Ansätze testen: Scheuen Sie sich nicht, mit neuen Audittechniken oder Werkzeugen zu experimentieren. Durch das Testen unterschiedlicher Methoden lassen sich effizientere Wege finden, Audits durchzuführen.

Wenn Sie diese bewährten Vorgehensweisen umsetzen, verbessern Sie Ihre ASR-Audits und stärken Ihre gesamte Sicherheitslage. Regelmäßige Audits, gründliche Dokumentation und die Bereitschaft zur kontinuierlichen Verbesserung helfen Ihnen, potenziellen Bedrohungen einen Schritt voraus zu sein.

Häufige Herausforderungen bei KQL-Audits

Fehlerbehebung bei KQL-Abfragen

Wenn Sie mit KQL arbeiten, können Probleme auftreten, die Ihren Fortschritt behindern. Die Fehlerbehebung bei diesen Abfragen ist für wirksame Audits unverzichtbar. Hier sind einige häufige Probleme und Lösungen:

• Syntaxfehler: Prüfen Sie auf Tippfehler und falsche Syntax. KQL reagiert empfindlich auf die Formatierung. Achten Sie darauf, die richtigen Operatoren und Funktionen zu verwenden.
• Datentyp-Konflikte: Stellen Sie sicher, dass die Datentypen in Ihren Abfragen den erwarteten Typen in der Datenbank entsprechen. Ein Vergleich einer Zeichenfolge mit einer Zahl führt beispielsweise zu Fehlern.
• Leistungsprobleme: Wenn Ihre Abfragen langsam laufen, sollten Sie sie optimieren. Verwenden Sie die Funktion summarize, um die verarbeitete Datenmenge zu reduzieren. Filtern Sie Ihre Daten außerdem so früh wie möglich in der Abfrage.

Tipp: Testen Sie Ihre Abfragen immer in kleineren Abschnitten. So lassen sich Probleme gezielter eingrenzen.

Umgang mit Datenlücken

Datenlücken können bei Ihren Audits erhebliche Herausforderungen mit sich bringen. Fehlende oder unvollständige Daten können zu falschen Schlussfolgerungen führen. Mit den folgenden Strategien gehen Sie diese Lücken an:

1. Regelmäßige Datenprüfungen: Planen Sie regelmäßige Prüfungen Ihrer Datenquellen ein. Stellen Sie sicher, dass alle relevanten Datenfeeds korrekt funktionieren.
2. Warnmeldungen nutzen: Richten Sie Warnmeldungen für kritische Datenpunkte ein. So können Sie schnell reagieren, wenn Daten nicht mehr verfügbar sind.
3. Gegenprüfung: Vergleichen Sie Ihre Auditdaten mit anderen Quellen. Dadurch erkennen Sie Abweichungen und können fehlende Informationen ergänzen.

Wenn Sie Datenlücken proaktiv angehen, erhöhen Sie die Zuverlässigkeit Ihrer Auditdaten. Diese Zuverlässigkeit ist entscheidend für fundierte Sicherheitsentscheidungen.

Sicherstellung der ASR-Compliance

Die Einhaltung der ASR-Regeln ist entscheidend, um Ihre Sicherheitslage aufrechtzuerhalten. Mit folgenden Schritten stellen Sie die Compliance sicher:

• Regelmäßige Audits: Führen Sie Audits häufig durch, um zu prüfen, ob die ASR-Regeln korrekt angewendet werden. Regelmäßige Kontrollen helfen Ihnen, Abweichungen von den Vorgaben frühzeitig zu erkennen.
• Dokumentation: Führen Sie detaillierte Aufzeichnungen über Ihre Audits. Die Dokumentation von Ergebnissen und ergriffenen Maßnahmen schafft Verantwortlichkeit und dient als Referenz für künftige Audits.
• Schulung: Schulen Sie Ihr Team in den ASR-Regeln und der Nutzung von KQL. Ein gut informiertes Team kann die Compliance besser aufrechterhalten und auf Sicherheitsbedrohungen reagieren.

Wenn Sie sich auf diese Bereiche konzentrieren, stärken Sie Ihre Compliance-Bemühungen und verbessern Ihre gesamte Sicherheitsstrategie.

Zusammenfassend lässt sich sagen: Der Einsatz von Advanced KQL für ASR-Audits verbessert Ihren Sicherheitsauditprozess deutlich. Sie können Ihre Analyse straffen und Schwachstellen wirksamer erkennen. Die wichtigsten Punkte finden Sie hier: Das Wichtigste in Kürze:

Wenden Sie diese Techniken an, um Ihre Auditing-Prozesse kontinuierlich zu verbessern. Bleiben Sie proaktiv bei der Verfeinerung Ihrer Sicherheitsmaßnahmen. Die Sicherheit Ihrer Organisation hängt davon ab! 🔒

Häufige Fragen

Was ist Advanced KQL?

Advanced KQL (Kusto Query Language) ist eine leistungsstarke Abfragesprache, mit der große Datenmengen in Microsoft Defender analysiert werden. Sie hilft Ihnen, aus Sicherheitsdaten effizient Erkenntnisse zu gewinnen.

Wie beginne ich mit KQL?

Machen Sie sich zunächst mit Microsoft Defender vertraut und lernen Sie den Kusto Query Explorer kennen. Üben Sie das Schreiben einfacher Abfragen, um Ihr Verständnis der Sprache aufzubauen.

Kann ich KQL-Abfragen automatisieren?

Ja, KQL-Abfragen lassen sich mit Azure Logic Apps oder Power Automate automatisieren. Mit diesen Tools können Sie Abfragen planen und auf Basis bestimmter Bedingungen Warnmeldungen erhalten.

Welche Fehler treten bei KQL häufig auf?

Häufige Fehler sind Syntaxfehler, Nichtübereinstimmungen von Datentypen und Leistungsprobleme. Überprüfen Sie stets den Aufbau Ihrer Abfrage und stellen Sie sicher, dass die Datentypen Ihren Erwartungen entsprechen.

Wie oft sollte ich ASR-Regeln überprüfen?

Führen Sie ASR-Audits mindestens vierteljährlich durch. Regelmäßige Audits helfen Ihnen, Ihre Sicherheitslage im Blick zu behalten, und stellen die Einhaltung der ASR-Regeln sicher.

Welche Tools unterstützen KQL?

Wichtige Tools für KQL sind Kusto Query Explorer, Azure Data Explorer und das Microsoft Defender-Portal. Sie stellen Umgebungen zum Schreiben und Testen Ihrer Abfragen bereit.

Wie kann ich meine KQL-Kenntnisse verbessern?

Um Ihre KQL-Kenntnisse zu verbessern, üben Sie regelmäßig, besuchen Sie Schulungen und beteiligen Sie sich an Online-Foren. Der Austausch mit der Community kann wertvolle Erkenntnisse und Tipps liefern.

Advanced Hunting und Defender: Advanced KQL für ASR-Audits

Was ist „Advanced KQL für ASR-Audits“ und wie passt es zu Advanced Hunting?

Advanced KQL für ASR-Audits bezeichnet Abfragen in der Kusto Query Language, die detaillierte Informationen zu den Regeln der Attack Surface Reduction (ASR) und deren Auditereignissen aufbereiten. Bei Advanced Hunting in Defender und in Microsoft 365 Defender helfen diese Abfragen Threat-Hunting-Teams und Security-Operatoren dabei, Geräte mit Regeln im Überwachungsmodus, Listen betroffener Geräte, Richtlinienbereitstellungen über Intune sowie potenziell bösartige Aktivitäten zu identifizieren, die von Microsoft Defender for Endpoint gemeldet werden.

Wie überprüfe ich mit Hunting-Abfragen, ob ASR-Regeln im Überwachungsmodus laufen?

Verwenden Sie Advanced-Hunting-Abfragen in Defender, um Berichte zu ASR-Regeln und Auditereignisse abzurufen, die zeigen, welche Regeln aktiviert sind und in welchem Modus (Überwachung oder Blockieren) sie laufen. Typische KQL-Abfragen, die detaillierte Informationen liefern, verknüpfen Berichte zu ASR-Regeln mit Geräte- und Ereignistabellen, bestätigen Regeln im Überwachungsmodus, zeigen Regelereignisse der letzten 30 Tage an und bieten verschiedene Möglichkeiten, die Auditergebnisse zu prüfen – etwa durch den Abgleich mit Intune-Richtlinien und der Telemetrie von Microsoft Defender XDR.

Kann ich mit Microsoft 365 Defender eine benutzerdefinierte Erkennung für ASR-Ereignisse erstellen?

Ja, Sie können mit Advanced-Hunting-Abfragen eigene Erkennungen und Erkennungsregeln in Microsoft 365 Defender erstellen. KQL-Abfragen, die detaillierte Informationen zu Angriffsvektoren und Schadsoftware-Aktivitäten liefern, ermöglichen es Ihnen, benutzerdefinierte Erkennungen einzurichten, die bei wiederholten Regelereignissen, Ausnahmen oder verdächtigen Auditereignissen alarmieren, die Microsoft zur Überwachung empfiehlt. Anschließend können Sie diese Erkennungen in Berichte zu Regeln oder automatisierte Reaktionsabläufe überführen.

Wie melde ich ASR-Aktivitäten und erstelle ASR-Regelberichte für Compliance-Zwecke?

ASR-Regelberichte erstellen Sie, indem Sie Erkennungsregeln und Advanced-Hunting-Tabellen abfragen und die Ereignisse der letzten 30 Tage oder benutzerdefinierter Zeiträume exportieren. Nutzen Sie die API oder die integrierten Berichtsfunktionen in Microsoft 365, um Dashboards zu erstellen. Diese zeigen aktivierte Regeln, Regeln im Überwachungsmodus, Anzahl betroffener Geräte und Trends – nützlich für die Optimierung von ASR und die Verwaltung der ASR-Regelbereitstellung über Intune und lokale Geräte hinweg.

Welche gängigen Methoden gibt es, um das Audit zu überprüfen und ASR-Regeln auf Basis der Abfrageergebnisse zu optimieren?

Verschiedene Möglichkeiten, das Audit zu überprüfen, sind das Auswerten von Audit-Ereignissen, der Vergleich von Regeln aus dem Audit über verschiedene Geräte hinweg, die Prüfung von Intune-Richtlinien und des Bereitstellungsstatus sowie das Threat Hunting mit Advanced-Hunting-Abfragen, um sicherzustellen, dass der Auditmodus kein schädliches Verhalten durchlässt. Nutzen Sie die Ergebnisse, um über Audit oder Block zu entscheiden, fügen Sie bei Bedarf Ausnahmen hinzu und optimieren Sie ASR, indem Sie die Standardschutzregeln anpassen oder zusätzliche Erkennungsregeln implementieren.

Wie kann ich mit erweitertem KQL über Defender XDR und Microsoft Sentinel hinweg nach Bedrohungen suchen?

Schreiben Sie Advanced-Hunting-Abfragen, die zwischen Defender for Endpoint, den Microsoft-Defender-XDR-Daten und Microsoft-Sentinel-Protokollen wechseln. Korrelieren Sie ASR-Audit-Ereignisse mit Endpunkt-Telemetrie, Malware-Erkennungen und Netzwerkindikatoren, um verdächtige Muster sichtbar zu machen. Dieser Ansatz unterstützt das Threat Hunting und hilft dabei festzustellen, ob Audit-Ereignisse auf harmlose Software zurückgehen, Ausnahmen erfordern oder auf echte Angriffsversuche hindeuten, die eine schnelle Behebung notwendig machen.

Was sollte ich in Abfragen aufnehmen, um betroffene Geräte und regelspezifische Details sichtbar zu machen?

Nehmen Sie Felder wie DeviceId, DeviceName, Timestamp, ActionType, RuleId, RuleName und DetectionSource in Ihr KQL auf. Verknüpfen Sie die Berichte zu ASR-Regeln bzw. die Regelereignisse mit dem Geräteinventar und den Intune-Registrierungstabellen, um Listen betroffener Geräte, die pro Gerät aktivierten Regeln und die Information anzuzeigen, ob eine Regel im Audit- oder Blockmodus läuft. KQL, das detaillierte Informationen liefert, erleichtert die Priorisierung der Behebung und die Aktualisierung der Regelberichte.

Wie oft sollte ich Advanced-Hunting-Abfragen ausführen, und wie weit zurück sollte ich abfragen (zum Beispiel 30 Tage)?

Führen Sie Hunting-Abfragen kontinuierlich oder nach einem Zeitplan aus, der zu Ihrem Bedrohungsmodell passt. Als gängige Basis gilt die Analyse der letzten 30 Tage, um Trends und wiederkehrende Ereignisse zu erkennen. Nutzen Sie geplante Abfragen in Microsoft 365 Defender oder die API, um die Berichterstellung zu ASR-Regeln zu automatisieren. Passen Sie die Zeiträume an die Anforderungen der Incident Response an bzw. dann, wenn Sie Regeln im Auditmodus testen, damit genügend Telemetrie vorliegt, bevor Sie in den Blockmodus wechseln.

Wie wirken sich Ausnahmen und der Blockmodus auf ASR-Audits aus, und was müssen Abfragen berücksichtigen?

Ausnahmen und der Blockmodus verändern das Verhalten von ASR: Ausnahmen unterdrücken Warnmeldungen für bekannte, harmlose Anwendungen, während der Blockmodus die Verhinderung erzwingt. Hunting-Abfragen sollten Ausnahmen berücksichtigen, indem sie ausgeschlossene Prozesse filtern oder markieren, und sie sollten Felder enthalten, die die Richtlinienquelle angeben (Intune, lokale Richtlinie). So lassen sich Audit-Ereignisse korrekt interpretieren, und der Wechsel vom Audit- in den Blockmodus unterbricht nicht unerwartet geschäftskritische Anwendungen.

Wo finde ich weitere Informationen zum Erlernen von KQL und zum Erstellen wirksamer Advanced-Hunting-Abfragen für ASR?

Beginnen Sie mit den Microsoft-Learn-Modulen zu Advanced Hunting in Defender und in Microsoft 365 Defender. Üben Sie anschließend das Erstellen von KQL, das detaillierte Informationen liefert, mit Beispieldatensätzen und echten ASR-Regelereignissen. Kombinieren Sie die Dokumentation zu Microsoft Defender for Endpoint, die Anleitungen zur Attack Surface Reduction in Microsoft Defender und Community-Hunting-Abfragen, um Ihre Kenntnisse im Threat Hunting, in der Regelberichterstattung und im effektiven Verwalten von ASR-Regeln zu erweitern.

Was sollte ich tun, wenn ich auf Datenlücken stoße?

Wenn Sie Datenlücken feststellen, prüfen Sie Ihre Datenquellen regelmäßig. Richten Sie Warnmeldungen für kritische Datenpunkte ein, damit Sie schnell reagieren, sobald Daten nicht mehr verfügbar sind.