Tutorial: Sammeln von Sicherheitsrisikointelligenz

In diesem Tutorial erfahren Sie, wie Sie verschiedene Arten von Indikatorsuchen ausführen, um Sicherheitsrisikoinformationen mithilfe von Microsoft Defender Threat Intelligence (Defender TI) im Microsoft Defender-Portal zu sammeln.

Voraussetzungen

• Eine Microsoft Entra-ID oder ein persönliches Microsoft-Konto. Anmelden oder Erstellen eines Kontos

• Eine Defender TI Premium-Lizenz.

  Hinweis

  Benutzer ohne Defender TI Premium-Lizenz können weiterhin auf unser kostenloses Defender TI-Angebot zugreifen.

Haftungsausschluss

Defender TI kann Echtzeitbeobachtungen und Bedrohungsindikatoren enthalten, einschließlich bösartiger Infrastruktur und Tools für Bedrohungen. Alle IP-Adressen- und Domänensuchen in Defender TI können sicher durchsucht werden. Microsoft verwendet Onlineressourcen (z. B. IP-Adressen, Domänennamen), die als echte Bedrohungen betrachtet werden, die eine klare und vorhandene Gefahr darstellen. Wir bitten Sie, ihr bestes Urteilsvermögen zu verwenden und unnötige Risiken bei der Interaktion mit böswilligen Systemen zu minimieren, wenn Sie das folgende Tutorial ausführen. Microsoft minimiert Risiken, indem böswillige IP-Adressen, Hosts und Domänen entfernt werden.

Bevor Sie beginnen

Wie der Haftungsausschluss bereits erwähnt, werden verdächtige und böswillige Indikatoren zu Ihrer Sicherheit abgewischt. Entfernen Sie bei der Suche in Defender TI alle Klammern aus IP-Adressen, Domänen und Hosts. Suchen Sie diese Indikatoren nicht direkt in Ihrem Browser.

Öffnen von Defender TI im Microsoft Defender-Portal

1. Greifen Sie auf das Defender-Portal zu, und schließen Sie den Microsoft-Authentifizierungsprozess ab. Weitere Informationen zum Defender-Portal
2. Navigieren Sie zu Threat Intelligence>Intel Explorer.

Informationen zu den Features der Intel Explorer-Startseite

1. Überprüfen Sie die Optionen der Intel Explorer-Suchleiste, indem Sie das Dropdownmenü auswählen.

   

2. Scrollen Sie nach unten, und sehen Sie sich die empfohlenen und aktuellen Artikel in den jeweiligen Abschnitten an. Weitere Informationen zu Defender TI-Artikeln

   

Durchführen von Indikatorsuchen und Sammeln von Informationen zu Sicherheitsrisiken

1. Suchen Sie CVE-2020-1472 in der Intel Explorer-Suchleiste , und wählen Sie das zugehörige Intel-Profil CVE-2020-1472 – Netlogon Elevation of Privilege aus, und überprüfen Sie es.

   

2. Wählen Sie die Registerkarte Verwandte Artikel des Profils und dann den Artikel Graphican: Nylon Typhoon (NICKEL) Uses New Backdoor in Attacks Targeting Foreign Ministries aus.

   

3. Wählen Sie die öffentlichen Indikatoren dieses neu geöffneten Artikels aus. Die IP-Adresse 50.116.3[.] sollte angezeigt werden.164 der aufgeführten Indikatoren.

   

4. Navigieren Sie zurück zur Intel Explorer-Suchleiste , und suchen Sie nach 50.116.3[.]164.

5. Überprüfen Sie die folgenden Ergebnisse auf der Registerkarte Zusammenfassung :

   • Zuverlässigkeit
   • Analysteninsights
   • Artikel
   • Dienste
   • Lösungen
   • Zertifikate
   • Projekte

   

   Sie können die Informationen auch auf den jeweiligen Registerkarten auswählen und überprüfen.

6. Wählen Sie die Registerkarte Resolutionen und dann piwik.enpers[.]com.

   

7. Überprüfen Sie die Lösungen dieser Domäne, WHOIS, Zertifikate, Unterdomänen, Tracker, Komponenten, Cookies, DNS und Reverse-DNS-Datasets.

   

   

8. Führen Sie die entsprechenden Artefaktsuchen aus den vorherigen Schritten aus. Sie können auf die verschiedenen Suchoptionen im Dropdownmenü der Intel Explorer-Suchleiste verweisen und diese verwenden.

Ressourcen bereinigen

In diesem Abschnitt sind keine Ressourcen zum Bereinigen vorhanden.

Siehe auch

• Tutorial: Sammeln von Threat Intelligence und Infrastruktur-Verkettung