Исследование ресурсов

Microsoft Defender для удостоверений предоставляет пользователям XDR в Microsoft Defender с доказательствами того, что пользователи, компьютеры и устройства выполнили подозрительные действия или показывают признаки компрометации.

В этой статье приводятся рекомендации по определению рисков для вашей организации, принятию решения об исправлении и определении оптимального способа предотвращения подобных атак в будущем.

Действия по расследованию подозрительных пользователей

Если оповещение или инцидент указывает, что пользователь может быть подозрительным или скомпрометирован, проверка и изучите профиль пользователя для следующих сведений и действий:

• Удостоверение пользователя

  • Является ли пользователь конфиденциальным пользователем (например, администратором или списком наблюдения и т. д.)?
  • Какова их роль в организации?
  • Они важны в дереве организации?

• Исследование подозрительных действий, таких как:

  • Есть ли для пользователя другие открытые оповещения в Defender для удостоверений или других средствах обеспечения безопасности, таких как Microsoft Defender для конечной точки, Microsoft Defender для облака и (или) Microsoft Defender for Cloud Apps?
  • Произошел ли сбой входа пользователя?
  • Какие ресурсы были доступны пользователю?
  • Доступ пользователем к ресурсам с высоким уровнем ценности?
  • Должен ли пользователь получить доступ к ресурсам, к которые они обращаются?
  • На каких устройствах входил пользователь?
  • Должен ли пользователь войти на эти устройства?
  • Существует ли боковой путь перемещения (LMP) между пользователем и конфиденциальным пользователем?

Используйте ответы на эти вопросы, чтобы определить, отображается ли учетная запись скомпрометирована или что подозрительные действия подразумевают вредоносные действия.

Найдите сведения об удостоверениях в следующих областях XDR в Microsoft Defender:

• Страницы сведений об отдельных удостоверениях
• Страница сведений о отдельном оповещении или инциденте
• Страницы сведений об устройстве
• Запросы расширенной охоты
• Страница Центра уведомлений

Например, на следующем рисунке показаны сведения на странице сведений об удостоверениях:

Сведения об удостоверениях

При изучении определенного удостоверения вы увидите следующие сведения на странице сведений об удостоверениях:

Дополнительные сведения см. в статье "Изучение пользователей " в документации по XDR в Microsoft Defender.

Действия по расследованию для подозрительных групп

Если оповещение или расследование инцидентов связано с группой Active Directory, проверка сущность группы для следующих сведений и действий:

• Сущность группы

  • Группа представляет собой конфиденциальную группу, например доменные Администратор?
  • Включает ли группа конфиденциальных пользователей?

• Исследование подозрительных действий, таких как:

  • Есть ли другие открытые, связанные оповещения в Defender для удостоверений или другие средства безопасности, такие как Microsoft Defender для конечной точки, Microsoft Defender для облака и /или Microsoft Defender для облака Приложения?
  • В группу недавно добавлены или удалены пользователи?
  • Была ли группа недавно запрошена, и кем?

Используйте ответы на эти вопросы, чтобы помочь в расследовании.

В области сведений о сущности группы выберите "Перейти охота" или "Открыть временная шкала" для изучения. Сведения о группе также можно найти в следующих областях XDR в Microsoft Defender:

• Страница сведений о отдельном оповещении или инциденте
• Страницы сведений об устройстве или пользователе
• Запросы расширенной охоты

Например, на следующем рисунке показаны действия операторов сервера временная шкала, включая связанные оповещения и действия за последние 180 дней:

Действия по расследованию подозрительных устройств

Оповещение XDR в Microsoft Defender выводит список всех устройств и пользователей, подключенных к каждому подозрительному действию. Выберите устройство для просмотра страницы сведений об устройстве, а затем изучите следующие сведения и действия:

• Что произошло во время подозрительной активности?

  • Какой пользователь вошел на устройство?
  • Обычно пользователь входит в систему или обращается к исходному или целевому устройству?
  • Какие ресурсы были доступны? По каким пользователям? Если доступ к ресурсам был предоставлен, были ли они высокоценными ресурсами?
  • Должен ли пользователь получить доступ к этим ресурсам?
  • Пользователь, который обращается к устройству, выполняет другие подозрительные действия?

• Дополнительные подозрительные действия для исследования:

  • Были ли открыты другие оповещения во время создания этого оповещения в Microsoft Defender для удостоверений или в других средствах обеспечения безопасности, таких как Microsoft Defender для конечной точки, Microsoft Defender для облака и (или) Microsoft Defender for Cloud Apps?
  • Произошел сбой входа?
  • Были ли развернуты или установлены новые программы?

Используйте ответы на эти вопросы, чтобы определить, отображается ли устройство скомпрометировано или что подозрительные действия подразумевают вредоносные действия.

Например, на следующем рисунке показана страница сведений об устройстве:

Дополнительные сведения см. в документации по XDR в Microsoft Defender.

Следующие шаги

• Изучение путей бокового смещения (LMPs)
• Изучение пользователей в XDR в Microsoft Defender
• Исследование инцидентов в XDR в Microsoft Defender