Die automatisierte Untersuchung in Defender lässt sich pro Gruppe steuern

In vielen Microsoft-365- und Azure-Projekten, in denen ich Microsoft Defender for Endpoint und Defender for Office 365 einführe, ist die automatisierte Untersuchung in Defender längst mehr als eine theoretische Option. Im Security-Operations-Alltag gehört sie inzwischen fest dazu. Meiner Erfahrung nach hängt es stark vom Automatisierungsgrad ab – vollständig oder halbautomatisch –, wie wirksam und effizient sich Bedrohungen beseitigen lassen. Wer viele Endgeräte betreut oder mit hoher Benutzeraktivität zu tun hat, kommt im SOC heute ohne automatisierte Untersuchung nicht mehr aus.

Das Automatisierungslevel lässt sich für jede Gerätegruppe einzeln festlegen

Gern übersehen wird, dass sich das Automatisierungslevel in Defender for Endpoint fein abgestuft für jede Gerätegruppe einstellen lässt. Im Defender-Portal unter System → Einstellungen → Endpunkte → Gerätegruppen bestimme ich für jede Gruppe (zum Beispiel „Clients“, „Server“, „Testsysteme“), wie weit Defender Aktionen wie Datei-Quarantäne, Prozessbeendigung oder Registry-Änderungen selbstständig und ohne Bestätigung durch das SOC ausführen darf. Für die breite Masse der Clients ist meist „Vollständig (Empfohlen)“ aktiviert. Bei kritischen Produktionsservern, Domänencontrollern oder Altsystemen setze ich dagegen häufig auf „Halbautomatisch“. Dann sieht sich ein Analyst im SOC jede geplante Beseitigungsaktion an, bevor sie tatsächlich greift.

Das folgende Diagramm zeigt, nach welcher Logik Defender im Alltag zwischen Full und Semi Automation unterscheidet:

flowchart TD
    E1["Bedrohung erkannt"] --> E2["Automatisierte Untersuchung gestartet"]
    E2 --> E3["Zugehörige Gerätegruppe ermitteln"]
    E3 -->|"Full Automation"| E4["Beseitigungsaktion automatisch ausführen"]
    E3 -->|"Semi Automation"| E5["SOC prüft geplante Aktion"]
    E5 --> E6["SOC genehmigt oder verwirft"]
    E4 --> E7["Ergebnis ins Action Center"]
    E6 --> E7

Abbildung: Anhand der Gerätegruppe entscheidet Defender, ob eine Aktion sofort oder erst nach Prüfung durch das SOC umgesetzt wird.

Auf diese Weise reagiert Defender bei Standardgeräten schnell und automatisch, während kritische Systeme unter gezielter Kontrolle bleiben. Mehr dazu steht in Microsofts Dokumentation zur automatisierten Untersuchung und Reaktion.

Im Action Center behält das SOC alle Aktionen im Blick

Sämtliche geplanten, laufenden und abgeschlossenen Aktionen laufen im Action Center des Defender-Portals zusammen. Dort sehe ich auf einen Blick, welche Maßnahmen bereits erledigt sind, welche noch auf eine Freigabe warten und wo ich womöglich selbst eingreifen muss. Sehr praktisch sind die Filter nach Gerätegruppe, Aktionstyp oder Status, die im SOC-Tagesgeschäft spürbar Zeit sparen. Bei halbautomatischen Gerätegruppen schaue ich mindestens einmal täglich gezielt ins Action Center, damit keine wichtige Freigabe liegen bleibt.

Mein Tipp aus der Praxis: Kleineren SOC-Teams genügt oft ein fester wöchentlicher Termin, an dem sie alle offenen und abgeschlossenen Aktionen im Action Center durchgehen, vor allem bei Servern mit Semi Automation. In größeren Umgebungen rate ich zu einer täglichen Routine, damit keine Remediation-Aktion zu lange unbearbeitet bleibt.

Abgeschlossene Maßnahmen bleiben ebenfalls einsehbar, was bei Audits und für die Nachverfolgung wichtig ist.

Für Clients ist Full Automation fast immer die richtige Wahl

Viele Admins stehen der vollen Automatisierung anfangs skeptisch gegenüber und fragen sich, was passiert, wenn Defender eine wichtige Datei entfernt. In der Praxis hält sich dieses Risiko in Grenzen. Beseitigungsaktionen werden dokumentiert und lassen sich rückgängig machen. Zudem hat Microsoft die Erkennungslogik über die Jahre so weit verbessert, dass Fehlauslösungen inzwischen die Ausnahme sind. Gerade bei Standard-Clients, bei denen ein Produktivitätsausfall weniger schwer wiegt als etwa bei Finanz- oder Produktionsservern, zahlt sich Full Automation deutlich aus, weil Bedrohungen schneller beseitigt sind und im SOC weniger Tickets auflaufen. Außerdem kommt nur so die eigentliche Stärke der automatisierten Untersuchung in Defender voll zum Tragen, etwa die Anbindung von Office-365-Postfächern, aus denen sich kompromittierte Mails oder Anhänge direkt entfernen lassen.

Wie Defender XDR Vorfälle automatisch zusammenführt und priorisiert, erkläre ich im Beitrag Defender XDR: Unified incidents, automation, and hunting.

Kritische Server brauchen Ausnahmen und eine feste Routine

Allen Fortschritten zum Trotz bleibt Semi Automation für kritische Systeme häufig der Standard. Laufen auf einem Server Legacy-Anwendungen oder sensible Prozesse, sollte jede Aktion manuell geprüft werden. In jeder SOC-Schicht gehört deshalb ein gezielter Blick ins Action Center dazu, um festzustellen, welche Remediation-Aktionen noch ausstehen oder vielleicht versehentlich abgelehnt wurden. Manche Teams richten zusätzlich Monitoring-Alerts für Aktionen im Status „Pending“ ein, damit ihnen keine Reaktion entgeht.

Mit einer KQL-Abfrage wie dieser lassen sich alle automatisierten Untersuchungen der letzten sieben Tage im Defender-Portal nachvollziehen (Pfad: Microsoft Defender Portal → Hunting → Erweiterte Suche, Lizenz: Defender for Endpoint P2):

DeviceEvents
| where ActionType == "AutomatedInvestigationLaunched"
| where Timestamp > ago(7d)
| project Timestamp, DeviceName, InitiatingProcessFileName, InvestigationId

Damit sehe ich genau, wo die Automatisierung angeschlagen hat und welche Geräte betroffen waren. Ablauf und mögliche Aktionen beschreibt Microsoft ausführlich im Artikel zu AutoIR in Defender XDR.

Automatisierung zahlt sich nur mit einem klaren Plan aus

Von selbst läuft die automatisierte Untersuchung in Defender nicht. Richtig eingesetzt gehört sie aber zu den wirksamsten Mitteln gegen moderne Angriffe. Für die meisten Clients sollte Full Automation der Standard sein, weil sie das SOC entlastet und Angriffe schnell eindämmt. Bei kritischen Servern lohnt sich Semi Automation, sofern es einen klaren Freigabeprozess und regelmäßige Kontrollen gibt. Das Action Center muss dabei fest zur wöchentlichen, besser noch zur täglichen SOC-Routine gehören. Erst dann spielt die Automatisierung in Defender ihre Stärken wirklich aus. Wer sich daran hält, erspart sich im klassischen Incident-Management viel Ärger.