Geräte in Microsoft Defender for Endpoint

Geräte sind die Grundlage Ihrer Sicherheitsvorgänge in Microsoft Defender for Endpoint. Es ist wichtig zu verstehen, wie Geräte in Ihrer Umgebung angezeigt werden, wie sie effektiv verwaltet werden und wie sie für Sicherheitsaktionen organisiert werden können, um Ihre organization zu schützen.

Was sind Geräte in Defender für Endpunkt?

Geräte in Microsoft Defender for Endpoint jeden Endpunkt enthalten, der Sicherheitstelemetriedaten an den Dienst meldet. Dies umfasst Folgendes:

• Computer und mobile Geräte: Arbeitsstationen, Server, Laptops und mobile Geräte (Windows, macOS, Linux, iOS, Android)
• Netzwerkgeräte: Router, Switches und andere Netzwerkinfrastrukturen
• IoT/OT-Geräte: Drucker, Kameras, industrielle Steuerungssysteme und Betriebstechnologiegeräte

Geräte werden in Ihrem Bestand mit zwei primären Methoden angezeigt:

• Onboarding: Geräte, die Sie explizit in Defender für Endpunkt integrieren, wobei der vollständige Agent installiert ist. Integrierte Geräte zeigen eine Onboarding-statusonboarded an und weisen in der Regel den Integritätsstatus Aktiver Sensor auf. Da der Agent installiert ist, kann Defender für Endpunkt detaillierte Sicherheitsdaten von diesen Geräten sammeln, einschließlich Warnungen, Sicherheitsrisiken und Softwareinventur. Weitere Informationen finden Sie unter Onboarding von Geräten in Microsoft Defender for Endpoint.
• Ermittlung: Geräte, die automatisch in Ihrem Netzwerk ermittelt werden, ohne dass ein Agent installiert ist. Die Ermittlung erfolgt über integrierte Endpunkte, die netzwerkdatenverkehr beobachten (grundlegende Ermittlung) oder die Umgebung aktiv testen (Standardermittlung). Ermittelte Geräte zeigen eine Onboarding-status kann integriert werden, nicht unterstützt oder Unzureichende Informationen. Weitere Informationen finden Sie unter Übersicht über die Geräteermittlung.
• IoT- und OT-Geräte: IoT- und OT-Geräte (Operational Technology) wie Drucker, Kameras und industrielle Steuerungssysteme werden im Bestand angezeigt, wenn Sie Microsoft Defender für IoT im Defender-Portal aktivieren. Diese Geräte werden auf der Registerkarte IoT/OT-Geräte angezeigt und enthalten zusätzliche Felder wie Gerätetyp, Untertyp, Anbieter und Modell.

In der Spalte Ermittlungsquellen im Gerätebestand wird angegeben, wie die einzelnen Geräte gefunden wurden: MDE (vom Defender für Endpunkt-Sensor gefunden), Microsoft Defender für IoT (von Defender für IoT ermittelt) und andere Quellen. Verwenden Sie diese Spalte, um zu verstehen, warum ein Gerät angezeigt wird und ob ein Onboarding erforderlich ist.

Lebenszyklus und Journey des Geräts

Die Verwaltung von Geräten in Defender für Endpunkt folgt einem vorhersagbaren Lebenszyklus. In der folgenden Tabelle werden die wichtigsten Phasen, Aufgaben, beteiligten Rollen und die zugehörige Dokumentation beschrieben:

Geräteadressierung

Die Geräteadressierung verwendet Gerätetags, um zu identifizieren, welche Geräte bestimmte Sicherheitsaktionen erhalten sollen. Anstatt Geräte einzeln zu verwalten, können Sie Geräte in aussagekräftigen Gruppen organisieren und Konfigurationen, Richtlinien oder Datensammlungsregeln im großen Stil anwenden.

Tags im Vergleich zu Gruppen

Gerätetags sind Bezeichnungen , die Sie entweder manuell oder über dynamische Regeln an Geräte anfügen, um geschäftsbezogene Kontexte wie Abteilung, Standort oder Wichtigkeit zu erfassen. Alle Benutzer können markierte Geräte sehen. Tags allein steuern nicht den Zugriff oder wenden Sicherheitsrichtlinien an. sie bieten die organisatorische Grundlage für die Zielgruppenadressierung.

Gerätegruppen bauen auf Tags auf, um zu steuern, welche Sicherheitsteams auf bestimmte Geräte zugreifen und diese verwalten können. Wenn Sie eine Gerätegruppe erstellen, definieren Sie Abgleichsregeln (häufig basierend auf Tags), legen automatisierte Korrekturstufen fest und weisen Microsoft Entra Benutzergruppen zu. Gerätegruppen ermöglichen die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC), sodass beispielsweise ein regionales Sicherheitsteam nur Geräte in seiner geografischen Region sieht. Ausführliche Anweisungen finden Sie unter Erstellen und Verwalten von Gerätegruppen.

Dynamische Tags im Vergleich zu manuellen Tags

Manuelle Tags sind benutzerdefinierte Bezeichnungen, die Sie über das Portal oder die API direkt auf einzelne Geräte anwenden. Sie sind schnell einzurichten und nützlich für Ad-hoc-Anforderungen wie das Taggen von Geräten während einer aktiven Untersuchung. Sie lassen sich jedoch nicht gut skalieren und erfordern manuelle Updates. Manuelle Tags werden für benutzerdefinierte Datensammlungen oder einige Automatisierungsszenarien nicht unterstützt.

Dynamische Tags werden automatisch basierend auf Regeln angewendet, die Sie in der Ressourcenregelverwaltung definieren. Sie werden aktualisiert, wenn sich Die Geräteeigenschaften ändern (ungefähr jede Stunde), auf Tausende von Geräten skaliert werden und für erweiterte Funktionen wie die benutzerdefinierte Datensammlung erforderlich sind. Verwenden Sie dynamische Tags, wenn Sie Tags benötigen, um ohne manuellen Aufwand auf dem neuesten Stand zu bleiben.

Zielgruppenadressierungsszenarien

In der folgenden Tabelle sind häufige Szenarien zusammengefasst, in denen die Geräteadressierung Sicherheitsvorgänge steuert.

Schritt-für-Schritt-Anweisungen zum Erstellen von Tags und Gerätegruppen finden Sie unter Erstellen und Verwalten von Gerätetags und Zielgeräten.

Sicherheitsaktionen, die durch Zielgruppenadressierung unterstützt werden

Gerätetags und -gruppen ermöglichen es Ihnen, Sicherheitsvorgänge auf mehrere Bereiche anzuwenden: