Bedrohungswarnungen
Ihre regelmäßigen Scans liefern ein Momentaufnahme-Bild davon, wie Ihr Tenant konfiguriert ist. Bedrohungswarnungen sind anders: Sie zeigen Ihnen, was gerade jetzt geschieht. Sie ziehen die aktuellen Identitätsrisiko-Signale aus Ihrem Microsoft 365 Tenant und stellen sie an einer Stelle dar, damit Sie ein kompromittiertes Konto erkennen und darauf reagieren können, ohne Aether365 zu verlassen.
Bedrohungswarnungen nutzen Ihre AI Pilot Verbindung. Sie sind für die Ansicht schreibgeschützt und bieten zusätzlich eine Möglichkeit, einen riskanten Benutzer mit einem Klick einzudämmen, wenn Sie schnell reagieren müssen.
Erfordert eine AI-Pilot-Verbindung
Bedrohungswarnungen lesen Live-Risikosignale über die AI-Pilot-Verbindung. Wenn Sie noch keine eingerichtet haben, finden Sie unter AI Pilot, wie Sie sie verbinden. Ihre schreibgeschützte Scan-Verbindung allein treibt die Bedrohungswarnungen nicht an.
Was Bedrohungswarnungen zeigen
Die Seite Bedrohungswarnungen ist in drei Quellen gegliedert. Jede beantwortet eine andere Frage zum Identitätsrisiko in Ihrem Tenant.
Riskante Benutzer
Die Personen in Ihrem Tenant, deren Konten Microsoft derzeit als gefährdet einstuft. Für jeden Benutzer sehen Sie, wer es ist, sein aktuelles Risikoniveau und warum er markiert ist. Das ist der schnellste Weg, ein möglicherweise kompromittiertes Konto zu finden und zu entscheiden, ob Sie es eindämmen.
Risikoerkennungen
Die einzelnen Risikosignale hinter diesen Benutzern: Dinge wie Anmeldungen von unbekannten Orten, anonyme IP-Adressen, geleakte Anmeldedaten oder Muster unmöglicher Reisen. Wo eine benutzerbezogene Ansicht sagt "dieses Konto sieht riskant aus", sagen Ihnen Risikoerkennungen, was genau diese Schlussfolgerung ausgelöst hat.
Benötigt Microsoft Entra ID P2
Risikoerkennungen stammen von Microsoft Entra ID Protection, das eine Microsoft Entra ID P2 Lizenz erfordert. Wenn Ihr Tenant dafür nicht lizenziert ist, zeigt diese Quelle einen Hinweis "Noch nicht verfügbar" statt Daten. Siehe Lizenzierung und der Hinweis "Noch nicht verfügbar" weiter unten.
Sicherheitswarnungen
Übergeordnete Sicherheitswarnungen, die für Ihren Tenant ausgelöst wurden: verdächtige Aktivitäten, die zu einer Warnung korreliert wurden, die einen genaueren Blick wert ist. Diese geben Ihnen das breitere Sicherheitsbild neben den identitätsspezifischen Signalen.
Benötigt Microsoft Defender
Sicherheitswarnungen stammen von Microsoft Defender. Wenn Ihr Tenant keinen Microsoft Defender Plan hat, der diese Warnungen erzeugt, zeigt diese Quelle einen Hinweis "Noch nicht verfügbar" statt Daten.
Bedrohungswarnungen sind für die Ansicht schreibgeschützt
Das Ansehen von Bedrohungswarnungen ändert nie etwas in Ihrem Tenant. Es liest den aktuellen Risikozustand und zeigt ihn an. Die einzige Aktion, die eine Änderung bewirkt, ist die unten beschriebene Reaktion auf Sicherheitsvorfälle, und sie wird nur ausgeführt, wenn Sie sie ausdrücklich für einen bestimmten Benutzer auslösen.
Reaktion auf Sicherheitsvorfälle: einen riskanten Benutzer mit einem Klick eindämmen
Wenn Sie ein Konto finden, das kompromittiert ist oder sich verdächtig verhält, können Sie es direkt aus der Liste der riskanten Benutzer eindämmen. Das Eindämmen eines Benutzers bewirkt zwei Dinge gleichzeitig:
- Widerruft die aktiven Sitzungen des Benutzers, sodass ein angemeldeter Angreifer zu einer frischen Anmeldung gezwungen wird.
- Deaktiviert das Konto, sodass keine neue Anmeldung erfolgreich sein kann, bis Sie es wieder aktivieren.
Zusammen schneidet das den Zugang eines Angreifers schnell ab, während Sie ermitteln.
Einen Benutzer eindämmen:
- Öffnen Sie Bedrohungswarnungen in der Seitenleiste.
- Suchen Sie in der Liste Riskante Benutzer das Konto, das Sie eindämmen möchten.
- Klicken Sie bei diesem Benutzer auf Eindämmen und bestätigen Sie.
- Aether365 widerruft die Sitzungen des Benutzers und deaktiviert das Konto über Ihre AI Pilot Verbindung.
Eindämmen ist umkehrbar
Das Deaktivieren eines Kontos löscht es nicht. Sobald Sie ermittelt haben und das Konto sicher ist, können Sie es über das Microsoft Entra Admin Center wieder aktivieren. Erst eindämmen, dann ermitteln: Es ist weitaus einfacher, ein sauberes Konto wieder zu aktivieren, als sich von einem aktiven Eindringen zu erholen.
Da die Reaktion auf Sicherheitsvorfälle in Ihren Tenant schreibt, setzt sie die AI Pilot Schreibverbindung voraus. Wenn ein Tenant nur eine schreibgeschützte Scan-Verbindung hat, können die Quelldaten zwar weiterhin erscheinen, aber das Eindämmen eines Benutzers ist erst verfügbar, wenn AI Pilot verbunden ist.
Lizenzierung und der Hinweis "Noch nicht verfügbar"
Bedrohungswarnungen zeigen genau die Microsoft Signale, die Ihr Tenant lizenziert ist zu erzeugen. Quellen, die von einer Lizenz abhängen, die Sie nicht haben, zeigen einen klaren Hinweis "Noch nicht verfügbar" statt leerer oder irreführender Daten:
| Quelle | Benötigt | Wenn nicht lizenziert |
|---|---|---|
| Riskante Benutzer | Identitätsrisiko-Signale | Angezeigt, wenn verfügbar |
| Risikoerkennungen | Microsoft Entra ID P2 | Hinweis "Noch nicht verfügbar" |
| Sicherheitswarnungen | Microsoft Defender | Hinweis "Noch nicht verfügbar" |
Der Hinweis ist informativ, kein Fehler. Er bedeutet, dass die Quelle bereit ist aufzuleuchten, sobald der Tenant die richtige Lizenz erhält, ohne zusätzliche Einrichtung auf Ihrer Seite. Die Quellen, für die Sie lizenziert sind, funktionieren unabhängig davon ganz normal weiter.
Verwandt
- AI Pilot - die Schreibverbindung, die Bedrohungswarnungen und die Reaktion auf Sicherheitsvorfälle antreibt
- Richtlinienverwaltung - die Sicherheitsrichtlinien Ihres Tenants prüfen und härten
- Einen Tenant verbinden - Ihre Verbindungen einrichten
- Sicherheitsmodell - schreibgeschützter Standard und optionaler Schreibzugriff