Zum Hauptinhalt springen

​
Erste Schritte

​
So funktioniert unsere Integration

Wir nutzen die OAuth-Unterstützung von Microsoft, damit Sie Wirespeed autorisieren können, auf Ihren Microsoft-Mandanten zuzugreifen, täglich ein Inventar Ihrer lizenzierten Microsoft-Produkte zu erstellen und mit der Synchronisierung Ihrer Verzeichnisdaten (Benutzer und Endgeräte) und Sicherheitstelemetrie zu beginnen. Wenn Sie heute oder in 3 Jahren ein neues Microsoft-Produkt lizenzieren, bemerken wir das, rufen die Telemetrie ab und beginnen in Ihrem Auftrag mit der Triage von Detektionen. Einzelheiten zu den dafür erforderlichen Berechtigungen finden Sie im Abschnitt „Details zu den Berechtigungen“ weiter unten.

​
Integration einrichten

Fügen Sie zunächst eine neue Integration hinzu und wählen Sie Microsoft aus. Sie werden zur OAuth-Zustimmungsseite weitergeleitet.
Verbinden Sie die Microsoft-Integration mit einem Global-Administrator-Konto. Wirespeed überprüft bei der Einrichtung den Zugriff auf die abonnierten SKUs Ihres Mandanten, und Microsoft verweigert diesen Zugriff häufig, wenn der Zustimmungsvorgang nicht von einem Global Administrator abgeschlossen wird.

​
Testen

​
Microsoft Defender for Endpoint

Jeder der folgenden Befehle löst eine Detektion in Microsoft Defender for Endpoint aus, die von Wirespeed erfasst wird. Wirespeed erkennt diese automatisch als Testereignisse.

​
Microsoft Entra ID Protect

Je nach Lizenzstufe stehen auch weitere Tests zur Verfügung.

​
Fehler

​
AADSTS650051

AADSTS650051: Consent action for Application ‘UUID’ failed due to the following error: … service principal name is already present for the tenant …
Dies ist ein häufiger Fehler von Microsoft, der auf einen Fehler in deren OAuth-Zustimmungsprozess zurückgeht. Wenn Sie Wirespeed-Benutzer sind, melden Sie sich bei Wirespeed an und starten Sie das Hinzufügen der Integration erneut von vorn. Wenn Ihnen eine URL zur Integration von Wirespeed zugesendet wurde, öffnen Sie diese URL und versuchen Sie erneut, die Zustimmung zu erteilen. Wenn das Problem weiterhin besteht, wenden Sie sich bitte an support@wirespeed.co.

​
AADSTS650052

Dieser Fehler bedeutet, dass Ihrem Mandanten ein Dienstprinzipal für einen Microsoft-Dienst fehlt, den Wirespeed während der OAuth-Zustimmung anfordert. Ordnen Sie die Anwendungs-ID in Ihrer Fehlermeldung einem der folgenden Dienste zu und klappen Sie dann den entsprechenden Abschnitt auf, um die Schritte zur Behebung zu sehen.
Dieser Fehler kann während der Einrichtung der Integration mehrmals auftreten, jedes Mal für eine andere Microsoft-Anwendung. Das ist zu erwarten. Folgen Sie den Schritten zur Behebung für die Anwendung, die im aktuellen Fehler genannt wird, und wiederholen Sie die Integration in Wirespeed, bis die Zustimmung abgeschlossen ist.
Wenn der Dienst aus Ihrem Fehler oben nicht aufgeführt ist, kopieren Sie die Anwendungs-ID (UUID) aus den Fehlerdetails auf der Fehlerseite der Wirespeed-Integration. Sie steht unmittelbar nach access a service – zum Beispiel lautet die Anwendungs-ID in access a service '05a65629-4c1b-48c1-a78b-804c4abdd4af'(Microsoft Cloud App Security) 05a65629-4c1b-48c1-a78b-804c4abdd4af. Verwenden Sie diese UUID im Abschnitt Anderer Dienst weiter unten.
AADSTS650052: The app is trying to access a service ‘fc780465-2017-40d4-a0c5-307022471b92’(WindowsDefenderATP) that your organization ‘[ORGANIZATION_ID]’ lacks a service principal for. Contact your IT Admin to review the configuration of your service subscriptions or consent to the application in order to create the required service principal.
Dieser Fehler bedeutet, dass Sie Microsoft Defender for Endpoint nicht erworben haben. Wenn Sie ohne Kauf fortfahren möchten, fügen Sie einen Platzhalter-Dienstprinzipal hinzu, damit Microsoft die Fortsetzung der Integration zulässt. Der Platzhalter ist der Anwendungs-ID fc780465-2017-40d4-a0c5-307022471b92 zugeordnet, einer integrierten Microsoft-Anwendung für Defender for Endpoint.
Wählen Sie entweder Graph Explorer oder PowerShell – Sie müssen nur eine der beiden Methoden durchführen, nicht beide.
  1. Öffnen Sie als Global Administrator den Microsoft Graph Explorer
  2. Stellen Sie oben rechts sicher, dass der angezeigte Mandant derjenige ist, den Sie integrieren möchten. Andernfalls wählen Sie Ihr Profilsymbol neben diesem Feld aus und wechseln das Konto.
    1. Wenn das Dialogfeld Request Body leer ist, fügen Sie {"appId": "fc780465-2017-40d4-a0c5-307022471b92"} ein
  3. Wählen Sie Modify Permissions aus und erteilen Sie die Zustimmung für beide erforderlichen Berechtigungen
    1. Wenn die Berechtigungen nicht angezeigt werden, wählen Sie manuell Application.ReadWrite.All und Directory.ReadWrite.All aus
  4. Klicken Sie auf Run query
Stellen Sie sicher, dass Sie die Antwort 201 Created erhalten. Wiederholen Sie anschließend die Einrichtung der Integration in Wirespeed.
AADSTS650052: The app is trying to access a service ‘05a65629-4c1b-48c1-a78b-804c4abdd4af’(Microsoft Cloud App Security) that your organization ‘[ORGANIZATION_ID]’ lacks a service principal for. Contact your IT Admin to review the configuration of your service subscriptions or consent to the application in order to create the required service principal.
Dieser Fehler bedeutet, dass Sie Microsoft Defender for Cloud Apps (ehemals Microsoft Cloud App Security) in Ihrem Mandanten nicht erworben oder bereitgestellt haben. Wirespeed fordert Zugriff auf Cloud Apps an, um Sicherheitswarnungen aus diesem Dienst zu erfassen. Wenn Sie diese Funktion nicht nutzen, fügen Sie einen Platzhalter-Dienstprinzipal hinzu, damit Microsoft die Fortsetzung der Integration zulässt. Der Platzhalter ist der Anwendungs-ID 05a65629-4c1b-48c1-a78b-804c4abdd4af zugeordnet, einer integrierten Microsoft-Anwendung für Microsoft Cloud App Security.
Wählen Sie entweder Graph Explorer oder PowerShell – Sie müssen nur eine der beiden Methoden durchführen, nicht beide.
  1. Öffnen Sie als Global Administrator den Microsoft Graph Explorer
  2. Stellen Sie oben rechts sicher, dass der angezeigte Mandant derjenige ist, den Sie integrieren möchten. Andernfalls wählen Sie Ihr Profilsymbol neben diesem Feld aus und wechseln das Konto.
    1. Wenn das Dialogfeld Request Body leer ist, fügen Sie {"appId": "05a65629-4c1b-48c1-a78b-804c4abdd4af"} ein
  3. Wählen Sie Modify Permissions aus und erteilen Sie die Zustimmung für beide erforderlichen Berechtigungen
    1. Wenn die Berechtigungen nicht angezeigt werden, wählen Sie manuell Application.ReadWrite.All und Directory.ReadWrite.All aus
  4. Klicken Sie auf Run query
Stellen Sie sicher, dass Sie die Antwort 201 Created erhalten. Wiederholen Sie anschließend die Einrichtung der Integration in Wirespeed.
Verwenden Sie diesen Abschnitt, wenn die Anwendungs-ID aus Ihrem Fehler nicht in der obigen Tabelle steht. Klappen Sie auf der Fehlerseite der Wirespeed-Integration Fehlerdetails anzeigen auf und kopieren Sie die UUID in einfachen Anführungszeichen nach access a service.Beispiel für Fehlerdetails:
Verwenden Sie in diesem Beispiel die Anwendungs-ID 05a65629-4c1b-48c1-a78b-804c4abdd4af. Ersetzen Sie YOUR_APP_ID in den folgenden Schritten durch die UUID aus Ihrem Fehler.Dieser Fehler bedeutet, dass Ihrem Mandanten ein Dienstprinzipal für einen Microsoft-Dienst fehlt, den Wirespeed während der OAuth-Zustimmung anfordert. Wenn Sie diesen Dienst nicht erworben oder bereitgestellt haben, können Sie einen Platzhalter-Dienstprinzipal hinzufügen, damit Microsoft die Fortsetzung der Integration zulässt.
Wählen Sie entweder Graph Explorer oder PowerShell – Sie müssen nur eine der beiden Methoden durchführen, nicht beide.
  1. Öffnen Sie als Global Administrator den Microsoft Graph Explorer
  2. Stellen Sie oben rechts sicher, dass der angezeigte Mandant derjenige ist, den Sie integrieren möchten. Andernfalls wählen Sie Ihr Profilsymbol neben diesem Feld aus und wechseln das Konto.
  3. Setzen Sie den Request Body auf Folgendes (ersetzen Sie YOUR_APP_ID durch die UUID aus Ihrem Fehler):
  1. Wählen Sie Modify Permissions aus und erteilen Sie die Zustimmung für beide erforderlichen Berechtigungen
    1. Wenn die Berechtigungen nicht angezeigt werden, wählen Sie manuell Application.ReadWrite.All und Directory.ReadWrite.All aus
  2. Klicken Sie auf Run query
Stellen Sie sicher, dass Sie die Antwort 201 Created erhalten. Wiederholen Sie anschließend die Einrichtung der Integration in Wirespeed.

​
AADSTS50097

AADSTS50097: Device authentication is required.
Dieser Fehler tritt auf, wenn Ihr Microsoft-Entra-Mandant Conditional-Access-Richtlinien enthält, die eine Geräteauthentifizierung erfordern. Ihr Mandantenadministrator hat Richtlinien konfiguriert, die Anmeldungen nur von Geräten zulassen, die in Azure AD eingebunden, hybrid eingebunden oder als konform gekennzeichnet sind. So beheben Sie dieses Problem:
  1. Verwenden Sie ein autorisiertes Gerät – Stellen Sie die OAuth-Verbindung von einem Gerät aus her, das Ihrer Azure-AD-Domäne beigetreten ist oder in Intune/Endpoint Manager als konform gekennzeichnet ist.
  2. Vermeiden Sie den Inkognito- oder privaten Modus – Private Browsersitzungen können keine Geräteanmeldeinformationen vorlegen, was diesen Fehler selbst auf einem ansonsten autorisierten Gerät verursacht.
  3. Wenden Sie sich an Ihren IT-Administrator – Wenn Sie nicht sicher sind, welche Geräte autorisiert sind, bitten Sie Ihren IT-Administrator zu prüfen, ob das verwendete Gerät die Conditional-Access-Anforderungen Ihrer Organisation erfüllt.

​
Details zu den Berechtigungen

Für die Integration mit Ihrem Microsoft-Mandanten benötigen wir eine Reihe von Berechtigungen. Die während der OAuth-Abfrage angezeigte Berechtigungsliste kann einschüchternd oder sogar unnötig wirken. Das verstehen wir, und deshalb fordern wir nur die Berechtigungen an, die wir benötigen, um Ihnen die bestmögliche Erfahrung zu bieten.

​
Lesezugriff

  • Die meisten der im OAuth-Dialog aufgeführten Berechtigungen sind reine Leseberechtigungen. Microsoft verlangt, dass wir sie einzeln anfordern, daher wirkt die Liste lang. Im Überblick müssen wir Folgendes lesen:
  • Sicherheitswarnungen, selbstverständlich, da wir diese triagieren müssen
  • IOCs (Indicators of Compromise), da diese eine Form von Detektion sind
  • Audit-Protokolldaten, in denen wichtige ergänzende Sicherheitstelemetrie enthalten ist
  • Anmeldeprotokolle und -daten, damit wir Detektionen und Analysen durchführen können
  • Organisationsinformationen, also Metadaten über Ihren Mandanten selbst, damit wir sicherstellen können, dass wir die gesamte Sicherheitstelemetrie Ihrer Organisation ordnungsgemäß abdecken
  • Verzeichnisdaten, damit wir Ihre Organisation, Ihre Mitarbeitenden und deren Rollen kennenlernen und wissen, wie wir Fälle am besten triagieren oder mit ihnen interagieren
  • Benutzerprofile und Authentifizierungsmethoden, damit wir angemessene Handlungsempfehlungen für eine Sicherheitsdetektion ermitteln können
  • Dateiprofile, um in Detektionen referenzierte Dateien anzureichern
  • URL-Profile, um in Detektionen referenzierte URLs anzureichern
  • Risikodetektionen und -informationen, da Informationen zur Sicherheitslage Detektionen ergänzen und mit ihnen korrelieren
  • Informationen aus dem Threat & Vulnerability Management, die Detektionen ergänzen und anreichern
  • Daten aus der Security Baseline Assessment, die Detektionen ergänzen und anreichern
  • Behebungsaufgaben, damit wir wissen, welche Aufgaben Sie abgeschlossen haben, und bessere Empfehlungen geben können
  • Postfacheinstellungen (MailboxSettings.Read bei schreibgeschützten Integrationen), damit wir bei Untersuchungen Postfachregeln prüfen können. Diese Berechtigung erlaubt weder das Senden noch das Lesen von E-Mails.

​
Schreibzugriff

Wir fordern einige wenige Schreibberechtigungen an, um Ihnen die besten Ergebnisse und die beste Erfahrung zu ermöglichen. Alle werden bei der Integration angefordert, das bedeutet jedoch NICHT, dass sie verwendet werden, bevor Sie sich für Konfigurationseinstellungen entscheiden, die diese Berechtigungen nutzen. Es ist jedoch benutzerfreundlicher, diese Berechtigungen einmalig anzufordern, auch wenn Sie sie in unserer Plattform nicht aktivieren. Standardmäßig sind sie blockiert, wenn Ihr Mandant erstmals im Testmodus angelegt wird.
  • Risikodetektionen, damit wir Status aktualisieren können (z. B. erledigte Risikoereignisse oder Fehlalarme schließen)
  • Sicherheitswarnungen, damit wir den Status des „Ticket“-Teils von Warnungen aktualisieren und mit unseren Triage- und Reaktionsergebnissen synchron halten können
  • Authentifizierungsmethoden von Benutzern (UserAuthenticationMethod.ReadWrite.All), damit MFA-Neuregistrierung erzwingen die registrierten MFA-Methoden eines kompromittierten Benutzers entfernen kann. Dies ist eine destruktive, einmalige Behebungsmaßnahme: Wirespeed kann gelöschte Methoden nicht wiederherstellen, und der Benutzer muss bei der nächsten Anmeldung, die eine starke Authentifizierung erfordert, neue Methoden registrieren.
  • Zeitleistenereignisse, damit wir die Triage-Zeitleisten unserer Fälle mit den Zeitleisten in den Tickets Ihrer Detektionen in Ihrer Microsoft-Konsole synchronisieren können
  • Alle Geräteinformationen, damit wir im Rahmen der Reaktion Kommentare und Metadaten zu Geräten hinzufügen können, die Ihre Administratoren sehen

​
Zugriff auf Behebungen

Schließlich fordern wir eine kleine Anzahl von Berechtigungen an, damit wir in Ihrem Auftrag Bedrohungen ordnungsgemäß beheben können – entweder automatisiert (wenn Sie dies aktivieren) oder manuell (d. h. Sie klicken in unserer Anwendung auf die Schaltfläche „Beheben“, um einen Behebungsvorgang zu starten). Wie die oben genannten Schreibberechtigungen ist keine davon in unserer Plattform standardmäßig aktiviert. Im Testmodus ist die automatisierte Behebung blockiert; die manuelle Behebung ist weiterhin verfügbar, wenn Sie auf die Schaltfläche „Beheben“ klicken.
  • Benutzerkonten aktivieren/deaktivieren, damit wir bei einem Fall Behebungsmaßnahmen für eine kompromittierte Identität ausführen können, sei es automatisiert über die Optionen der benutzerbezogenen Behebung oder manuell durch Klicken auf die Schaltfläche „Beheben“ in unserer Plattform. Das Ergebnis ist, dass das Microsoft-Benutzerkonto deaktiviert oder aktiviert wird. Diese Aktion ist völlig sicher und umkehrbar, entweder in der Plattform über die Schaltfläche „Beheben“ oder direkt in Ihren bevorzugten Microsoft-Tools zur Benutzerverwaltung.
  • Alle Anmeldesitzungen widerrufen: Bei einer Identitätskompromittierung kann ein unbefugter Angreifer mit dem Zugriff Ihres kompromittierten Benutzers fortbestehen, selbst nachdem die Zugangsdaten des Benutzers zurückgesetzt wurden, indem er langlebige Sitzungstoken und Cookies nutzt. Damit können wir alle Anmeldungen widerrufen, wodurch der Zugriff von Angreifern auf Benutzerkonten beendet wird. Dies ist eine sichere und weitgehend umkehrbare Aktion, d. h. der betroffene Benutzer kann sich einfach erneut authentifizieren, um neue Sitzungen aufzubauen. Für Benutzer ist dies höchstens eine kleine Unannehmlichkeit – im Gegenzug für eine schnelle und vollständige Abwehr eines feindlichen Angreifers, der ein bösartiges Ziel wie BEC oder Ransomware verfolgt.
  • MFA-Neuregistrierung erzwingen, indem die registrierten MFA-Methoden des Benutzers entfernt werden. Wirespeed behält Passwort, E-Mail-Wiederherstellung und Temporary Access Pass bei, damit der Benutzer nicht ausgesperrt wird. Gelöschte MFA-Methoden können nicht wiederhergestellt werden, und der Benutzer muss bei der nächsten Anmeldung, die eine starke Authentifizierung erfordert, neue Methoden registrieren. Diese Aktion erfordert UserAuthenticationMethod.ReadWrite.All und ist nicht verfügbar, wenn die Integration als schreibgeschützt konfiguriert ist.
  • Live Response auf einem bestimmten Gerät ausführen: Damit können wir zusätzliche Telemetrie erfassen, Threat Hunting durchführen und gründliche Reaktionsmaßnahmen ergreifen, indem wir auf einem Endgerät in Ihrer Flotte nach möglicher Persistenz eines Angreifers suchen.
  • Codeausführung einschränken: Damit können wir Microsoft Defender for Endpoint (DFE) anweisen, bösartigen Code zu blockieren, den DFE in Ihrer Umgebung erkannt, aber nicht blockiert hat, indem eine Regel erstellt wird, die seine Ausführung verhindert – gemäß Ihren Konfigurationsoptionen für die endgerätebezogene Behebung, nachdem wir bestätigt haben, dass der Code feindlich ist.
  • Datei stoppen und unter Quarantäne stellen: Damit können wir Microsoft Defender for Endpoint (DFE) anweisen, einen bösartigen Prozess zu stoppen und die zugehörigen bösartigen Dateien unter Quarantäne zu stellen, wenn DFE die Bedrohung nur erkennt, aber nicht direkt blockiert – gemäß Ihren Konfigurationsoptionen für die endgerätebezogene Behebung, nachdem wir bestätigt haben, dass die vermutete Bedrohung tatsächlich bösartig ist. Das Wiederherstellen von Dateien aus der Quarantäne muss manuell im Defender-Portal erfolgen; MDE stellt keine REST API zum automatischen Aufheben der Quarantäne bereit.
  • Postfachregeln löschen (MailboxSettings.ReadWrite): Damit können wir bösartige Weiterleitungsregeln und andere Postfachregeln entfernen, die bei Untersuchungen gefunden wurden (siehe Behebung von Postfachregeln). Diese Berechtigung erlaubt weder das Senden noch das Lesen von E-Mails.
  • Bösartige Entra-Anwendungen entfernen (Application.ReadWrite.All): Damit können wir Drittanbieteranwendungen löschen, die Angreifer hinzugefügt haben, um Persistenz in Ihrem Mandanten zu erlangen.
  • Bösartige Anwendungsberechtigungen und -zustimmungen widerrufen (DelegatedPermissionGrant.ReadWrite.All): Damit können wir von Angreifern erteilte OAuth-Berechtigungen und -Zustimmungen entfernen, ohne die gesamte Anwendung zu löschen.
  • Microsoft-Defender-IOCs hinzufügen (Ti.ReadWrite.All): Damit können wir bei Untersuchungen als Behebungsmaßnahme Indicators of Compromise in Microsoft Defender veröffentlichen.

​
Berechtigungen einschränken

Wenn Sie die Berechtigungen trotz der obigen Erläuterungen, wie und warum sie erforderlich sind, weiter reduzieren möchten, können Sie wie folgt vorgehen:
  • Schließen Sie den OAuth-Dialog für die Microsoft-Integration mit Wirespeed ab und akzeptieren Sie die Berechtigungsliste wie angezeigt.
  • Gehen Sie zu Azure > Enterprise Applications > Wirespeed und entfernen Sie einzelne Berechtigungen (z. B. Schreibzugriff oder Zugriff auf Behebungen) als harte Grenze zusätzlich zu den in Wirespeed vorhandenen Kontrollebenen.
  • Dokumentieren Sie die entfernten Berechtigungen, damit Sie sie manuell wieder aktivieren können, falls Sie später Schreibzugriff oder Zugriff auf Behebungen aktivieren möchten. Wirespeed meldet Fehler, wenn bestimmte Funktionen ausgeführt werden sollen, für uns ist jedoch möglicherweise nicht sofort ersichtlich, dass die Fehlerursache manuell bearbeitete Berechtigungen sind.
  • Alternativ können Sie die Microsoft-Integration später aktualisieren und dabei alle Berechtigungen akzeptieren. Gehen Sie dazu in Wirespeed zu Integrationen > Integration hinzufügen > Microsoft und durchlaufen Sie denselben Vorgang wie ursprünglich, ohne anschließend Berechtigungen zu entfernen. Dadurch werden Ihre Berechtigungen aktualisiert und Ihre vorhandenen Microsoft-Daten bleiben erhalten.

​
Wirespeed-E-Mails auf die Zulassungsliste setzen

Sie können bestimmte Domains und E-Mail-Adressen mandantenweit in Microsoft auf eine Zulassungsliste setzen. So stellen Sie sicher, dass E-Mails von Wirespeed Ihr Team erreichen:
  1. Öffnen Sie das Microsoft Defender Portal.
  2. Navigieren Sie im Bereich Email & Collaboration auf der linken Seite zu Policies & rules.
  3. Wählen Sie Threat policies aus.
  4. Wählen Sie unter Rules die Option Tenant Allow/Block Lists aus.
  5. Klicken Sie bei ausgewählter Option Domains & addresses auf Add und wählen Sie Allow aus.
  6. Fügen Sie wirespeed.co in das Dialogfeld ein und belassen Sie Remove allow entry after auf der maximalen Gültigkeitsdauer von 45 Tagen.
  7. Schließen Sie das Formular ab, indem Sie auf Add klicken.
Bei der ersten Synchronisierung ruft Wirespeed Detektionen der letzten bis zu 120 Tage aus allen Microsoft-Detektionsquellen ab. Die Erfassung von Microsoft-Defender-Warnungen ist bei der ersten Synchronisierung zusätzlich auf die neuesten 5.000 Warnungen begrenzt.