Erstellen und Verwalten von benutzerdefinierten Datensammlungsregeln in Microsoft Defender for Endpoint (Vorschau)

In diesem Artikel erfahren Sie, wie Sie benutzerdefinierte Datensammlungsregeln im Microsoft Defender-Portal erstellen und verwalten.

Voraussetzungen

Stellen Sie sicher, dass Sie über Folgendes verfügen:

Leistung und Grenzwerte

• Jede Regel kann bis zu 25.000 Ereignisse pro Gerät pro 24-Stunden-Rollfenster erfassen.
• Wenn ein Gerät den Schwellenwert erreicht, werden die Telemetriedaten für diese Regel angehalten, bis das Fenster zurückgesetzt wird.
• Die Regelbereitstellung dauert in der Regel 20 Minuten bis 1 Stunde.
• Benutzerdefinierte Sammlung funktioniert zusammen mit der Standardkonfiguration ohne Störungen

Sicherheitsüberlegungen

Berücksichtigen Sie die folgenden Sicherheitsauswirkungen, bevor Sie Regeln erstellen:

Datenkosten

• Benutzerdefinierte Datensammlung ist in Microsoft Defender for Endpoint P2 enthalten
• Für die Datenerfassung in Microsoft Sentinel fallen Gebühren basierend auf Ihrer Sentinel Abrechnung an.
• Zielsammlung auf bestimmte Gerätegruppen zur Kostenkontrolle

Regeln erstellen

1. Navigieren Sie im Microsoft Defender-Portal zu Einstellungen>Endpunkte>Regeln>Benutzerdefinierte Datensammlung.

2. Wählen Sie zum Onboarding Ihres Microsoft Sentinel Arbeitsbereichs oben rechts den Namen des Microsoft Sentinel Arbeitsbereichs aus.

   

3. Wählen Sie auf der Seite Arbeitsbereichsbereich Ihren Arbeitsbereich aus.

   

   Hinweis

   Sie müssen den Arbeitsbereich in dieser Phase auswählen, auch wenn Sie bereits über eine verbindung Microsoft Sentinel Arbeitsbereichs verfügen.

4. Wählen Sie Regel erstellen aus. Geben Sie im Abschnitt Allgemeine Informationen einen Regelnamen und eine Beschreibung ein, und wählen Sie Weiter aus.

   

5. Führen Sie im Abschnitt Regel erstellen folgendes aus:

   1. Wählen Sie aus, aus welcher Tabelle Daten gesammelt werden sollen. Weitere Informationen finden Sie unter Unterstützte Ereignistabellen.
   2. Wählen Sie die Aktion aus, für die Sie Daten sammeln möchten.
   3. Fügen Sie Regelbedingungen hinzu, um die Daten noch weiter zu filtern. Sie können mehrere Bedingungen hinzufügen, um die Datensammlung zu verfeinern. Regelbedingungen basieren auf der ausgewählten Tabelle. Weitere Informationen finden Sie im entsprechenden Tabellenlink unter Unterstützte Ereignistabellen.

   

6. Wählen Sie Weiter aus.

7. Wählen Sie im Abschnitt Regelbereich definieren aus, ob Sie Daten von allen anwendbaren Clientgeräten oder von bestimmten Geräten sammeln möchten, die dynamische Tags enthalten. Weitere Informationen finden Sie unter Erstellen dynamischer Regeln für Geräte in der Ressourcenregelverwaltung.

   

   Hinweis

   Die benutzerdefinierte Datensammlung unterstützt nur dynamische Tags.

8. Überprüfen Sie im Abschnitt Überprüfen und beenden Ihre Regeleinstellungen, und wählen Sie Senden aus.

   

Es kann bis zu einer Stunde dauern, bis die Regel auf den Zielgeräten bereitgestellt wird.

Überwachung und Problembehandlung

Nachdem Sie benutzerdefinierte Datensammlungsregeln bereitgestellt haben, überwachen Sie deren Leistung, und beheben Sie probleme.

Überprüfen der Regelbereitstellung

Um zu überprüfen, ob eine Regel Daten von einem bestimmten Gerät sammelt, fragen Sie die benutzerdefinierten Ereignistabellen in der erweiterten Suche ab:

search in (DeviceCustomFileEvents, DeviceCustomScriptEvents, DeviceCustomNetworkEvents, DeviceCustomProcessEvents, DeviceCustomImageLoadEvents) "your_device_id"
| where DeviceId == "your_device_id"
| summarize EventCount = count() by RuleName, RuleLastModificationTime, $table
| order by RuleLastModificationTime desc

Häufige Probleme und Lösungen

Überwachen der Regelleistung

• Überprüfen des Ereignisvolumens: Abfragen von benutzerdefinierten Ereignistabellen, um zu ermitteln, wie viele Ereignisse jede Regel sammelt
• Überprüfen der sammlung status: Überwachen, ob Geräte sich dem Grenzwert von 25.000 Ereignissen pro Regel und Tag nähern
• Überprüfen der Zielgruppenadressierung: Stellen Sie sicher, dass Regeln basierend auf Ihren dynamischen Tags auf den richtigen Geräten bereitgestellt werden.

Sammeln aller Ereignisse zu Testzwecken

So sammeln Sie alle Ereignisse aus einer bestimmten Tabelle (für Tests oder umfassende Überwachung):

1. Erstellen einer Regel mit der gewünschten Tabelle
2. Auswählen aller verfügbaren Aktionen
3. Fügen Sie eine Bedingung hinzu, die immer true ist, z. B.:
   • Für Netzwerkereignisse: RemotePort not equals 0
   • Für Dateiereignisse: FileName not equals ""
   • Für Prozessereignisse: ProcessCommandLine not equals ""
4. Ziel einer kleinen Pilotgruppe aufgrund eines hohen Datenvolumens

Verwalten von Regeln

Bearbeiten einer Regel

1. Navigieren Sie zu Einstellungen>Endpunktregeln>>Benutzerdefinierte Datensammlung.
2. Wählen Sie die Regel aus, die Sie bearbeiten möchten.
3. Wählen Sie Bearbeiten aus.
4. Ändern Sie die Regeleinstellungen nach Bedarf (Name, Beschreibung, Tabelle, Aktionen, Bedingungen oder Geräteadressierung).
5. Wählen Sie Absenden aus.

Änderungen werden auf Zielgeräten innerhalb von 20 Minuten bis 1 Stunde wirksam.

Aktivieren oder Deaktivieren einer Regel

1. Wählen Sie unter Benutzerdefinierte Datensammlung die Regel aus.
2. Aktivieren oder deaktivieren Sie das Kontrollkästchen Aktivieren unter der Regelbeschreibung.

Wenn Sie eine Regel deaktivieren, wird die Datensammlung auf allen Zielgeräten innerhalb des nächsten Agent-Check-Ins beendet (in der Regel innerhalb von Minuten bis 1 Stunde).

Löschen einer Regel

1. Wählen Sie unter Benutzerdefinierte Datensammlung die Regel aus.
2. Wählen Sie Löschen aus.
3. Bestätigen des Löschens

Nächste Schritte

• Übersicht über die benutzerdefinierte Datensammlung: Überprüfen der Funktionen und des Einsatzes der benutzerdefinierten Sammlung
• Erstellen und Verwalten von Gerätetags und Zielgeräten: Erfahren Sie, wie Tags die Geräteadressierung im großen Stil ermöglichen.
• Erweiterte Suche: Abfragen benutzerdefinierter Ereignistabellen in Microsoft Sentinel