Zum Hauptinhalt springen
Die benutzerbezogene Behebung isoliert Benutzer automatisch (oder manuell), wenn sie mit Malicious-Detektionen in Verbindung stehen. Wenn eine Detektion einer Bewertungsregel mit konfigurierten Behebungsmaßnahmen für Benutzer entspricht, die automatische identitätsbezogene Behebung jedoch global deaktiviert oder durch eine Gruppenrichtlinie blockiert ist, wird die Detektion an Ihr Team eskaliert. Die manuelle Behebung ist immer verfügbar, wenn Sie einen Fall prüfen und Aktionen > Behebung oder Freigabe wählen.
Für Detektionen aus Beta-Integrationen wird keine automatische Behebung durchgeführt. Wenn die Detektion von einer Beta-Integration erzeugt wurde, überspringt Wirespeed die automatische Behebung und eskaliert den Fall stattdessen an Ihr Team. Die manuelle Behebung bleibt verfügbar.

​
Behebungsmaßnahmen

Wirespeed kann die folgenden Behebungsmaßnahmen für einen Benutzer ausführen:
  • Konto deaktivieren – verhindert, dass sich der Benutzer anmeldet
  • MFA-Neuregistrierung erzwingen – entfernt registrierte MFA-Methoden, sodass sich der Benutzer bei der nächsten Anmeldung, die eine starke Authentifizierung erfordert, erneut registrieren muss
  • Passwort zurücksetzen – erzwingt eine Passwortänderung bei der nächsten Anmeldung
  • Sitzungen widerrufen – beendet alle aktiven Anmeldesitzungen
Für Microsoft-Entra-Konten, die aus einem lokalen Active Directory synchronisiert werden, kann Wirespeed das Passwort nicht über Microsoft Graph zurücksetzen und überspringt diese Aktion. Microsoft Graph kann eine erfolgreiche Kontodeaktivierung melden, doch eine spätere Verzeichnissynchronisierung kann das Konto wieder aktivieren, da das lokale Active Directory maßgeblich bleibt. Wirespeed führt andere konfigurierte Behebungsmaßnahmen wie das Widerrufen von Sitzungen weiterhin aus. Bei der automatischen Behebung führt das übersprungene Zurücksetzen des Passworts zur Eskalation der Detektion, damit ein Analyst nachfassen kann. Setzen Sie das Passwort zurück und deaktivieren Sie das Konto im lokalen Active Directory, damit diese Aktionen dauerhaft wirksam sind.
Welche Aktionen in der Oberfläche angezeigt und für eine Detektion ausgeführt werden, hängt vom verbundenen Identitätsanbieter und den in der passenden Bewertungsregel ausgewählten Aktionen ab.

​
Freigabeaktionen

Wenn eine Detektion als Benign gelöst wird, kann Wirespeed die benutzerbezogene Behebung automatisch rückgängig machen:
  • Konto aktivieren – aktiviert das Benutzerkonto wieder für die Anmeldung
„MFA-Neuregistrierung erzwingen“, „Passwort zurücksetzen“ und „Sitzungen widerrufen“ sind einmalige Aktionen und erfordern keinen separaten Freigabeschritt. „MFA-Neuregistrierung erzwingen“ ist destruktiv: Entfernte Authentifizierungsmethoden können von Wirespeed nicht wiederhergestellt werden, und der Benutzer muss neue Methoden registrieren, bevor er eine MFA-Abfrage bestehen kann.

​
VIPs und NHIs

VIP- und NHI-Benutzer werden über Gruppen verwaltet. Für die integrierten Gruppen VIP und NHI ist die Behebung standardmäßig deaktiviert, sodass für diese Identitäten keine automatische Behebung erfolgt, selbst wenn die automatische identitätsbezogene Behebung global aktiviert ist. Die manuelle Behebung über das Menü „Aktionen“ des Falls bleibt verfügbar. Prüfen Sie, wie VIPs und NHIs in Ihrer Umgebung abgebildet sind, bevor Sie die Behebung für diese Gruppen aktivieren.

​
Unterstützte Integrationen

Behebungs- und Freigabemaßnahmen für Benutzer sind über verbundene Identitätsanbieter verfügbar, darunter: Jede Integration unterstützt eine Teilmenge der oben genannten Aktionen. Der Dialog „Behebung oder Freigabe“ zeigt nur Aktionen an, die Ihre verbundene Integration ausführen kann.