Microsoft erweitert die automatische Angriffseindämmung in Defender XDR um eine neue Reaktionsmöglichkeit: Erkennt das System einen kompromittierten Arbeitsplatzrechner mit hoher Sicherheit als aktiven Ausgangspunkt eines Angriffs, kann es das Gerät selbstständig vom Netzwerk isolieren. In einem von Microsoft dokumentierten Vorfall bei QNET lagen zwischen der ersten Erkennung und der vollständigen Isolation nur 128 Sekunden. Die automatische Geräteisolierung befindet sich derzeit in der Preview.
Was die automatische Geräteisolierung macht
Defender XDR bewertet nicht nur eine einzelne Warnung. Die automatische Angriffseindämmung korreliert Signale aus Endpunkten, Identitäten, E-Mail, Anwendungen und weiteren Defender-Diensten zu einem Vorfall. Erst wenn die Angriffskette mit hoher Sicherheit erkannt und ein Gerät als aktiver Einstiegspunkt identifiziert wurde, löst Defender die Isolation aus. Microsoft gibt für die zugrunde liegenden Eindämmungsentscheidungen eine Präzision von 99 Prozent an.
- Der betroffene Rechner verliert den größten Teil seiner internen und externen Netzwerkverbindungen.
- Die Verbindung zu den erforderlichen Diensten von Microsoft Defender for Endpoint bleibt bestehen.
- Das Security-Team erhält einen bereits eingedämmten Vorfall und kann Untersuchung und Bereinigung kontrolliert fortsetzen.
Der QNET-Fall: vom Alarm zur Isolation in 128 Sekunden
Im veröffentlichten Praxisfall öffnete ein Benutzer eine schädliche Datei, die vermutlich per E-Mail oder Browser-Download zugestellt wurde. Der Angreifer missbrauchte anschließend das legitime Windows-Werkzeug mshta.exe, um eine zweite Schadstufe von externer Infrastruktur abzurufen und Persistenz vorzubereiten. Defender erkannte die verdächtige Ausführung um 09:23:20 Uhr, entschied um 09:25:02 Uhr über die Eindämmung und hatte das Gerät um 09:25:28 Uhr vollständig isoliert.
Nach der Isolation beobachtete Microsoft weder weitere Schadstufen noch laterale Bewegung. Entscheidend ist dabei nicht allein die Zahl 128: Der Vorfall zeigt, dass eine automatisierte Reaktion die Zeit überbrücken kann, in der ein Analyst den Alarm erst aufnehmen, bewerten und manuell reagieren müsste.
Warum die Sperrung eines Benutzerkontos nicht immer reicht
Viele Angriffsszenarien lassen sich bremsen, indem Defender eine kompromittierte Identität eindämmt oder aktive Sitzungen widerruft. Läuft der Schadcode jedoch bereits lokal auf einem Endgerät, kann der Angreifer dort unabhängig vom Benutzerkonto weiterarbeiten, Anmeldedaten stehlen, Prozesse manipulieren oder weitere Persistenz schaffen. Die neue Geräteisolierung ergänzt deshalb die vorhandenen Maßnahmen gegen kompromittierte Benutzer und Identitäten.
Für Unternehmen ist das besonders relevant, wenn kein rund um die Uhr besetztes SOC vorhanden ist. Automatische Eindämmung ersetzt weder die Ursachenanalyse noch die Bereinigung, kann aber verhindern, dass aus einem einzelnen kompromittierten Arbeitsplatz ein größerer Vorfall wird.
Voraussetzungen und aktueller Preview-Stand
Die automatische Geräteisolierung funktioniert derzeit nur für Endbenutzer-Arbeitsstationen, die in Microsoft Defender for Endpoint eingebunden und verwaltet werden. Microsoft nennt mehrere mögliche Lizenzpfade, darunter Microsoft 365 E5, Microsoft 365 E3 mit Defender-Suite-Add-on, Defender for Endpoint Plan 2 und Defender for Business; daneben führt Microsoft weitere qualifizierende Lizenzen auf. Entscheidend ist jedoch nicht nur die Lizenz: Die benötigten Defender-Dienste müssen tatsächlich bereitgestellt und die Automatisierungseinstellungen passend konfiguriert sein.
Microsoft empfiehlt für Gerätegruppen die Remediation-Stufe „Full – remediate threats automatically“. Auch mit „Semi automation“ kann die automatische Angriffseindämmung ohne vorherige manuelle Freigabe ausgelöst werden. Die Isolation ist zeitlich begrenzt und wird automatisch wieder aufgehoben; Security-Verantwortliche können sie bei Bedarf früher beenden. Die Funktion ist weiterhin als Preview gekennzeichnet und sollte deshalb zunächst kontrolliert eingeführt werden.
Wo Unternehmen genau hinschauen sollten
- Kritische Systeme: Geräte, die nicht automatisch isoliert werden dürfen, müssen gezielt als Ausnahme definiert werden.
- Proxys und VPN: Vollständige Isolation kann die Wiederanbindung erschweren. Microsoft empfiehlt in passenden Umgebungen eine selektive Isolation.
- Geschäftsnotwendige Verbindungen: Erforderliche Prozesse und Ziele sollten vorab als kontrollierte Ausnahmen festgelegt und getestet werden.
- Betriebsprozess: Das SOC muss wissen, wie eine Isolation geprüft, bei Bedarf vorzeitig aufgehoben, bereinigt und anschließend sauber dokumentiert wird.
Was Security-Teams jetzt tun sollten
- Prüfen Sie, ob alle relevanten Arbeitsstationen vollständig in Defender for Endpoint eingebunden und aktuell sind.
- Kontrollieren Sie Gerätegruppen, Automatisierungsstufen und bestehende Ausnahmen auf unbeabsichtigte Schutzlücken.
- Testen Sie selektive Isolation, Proxy- und VPN-Szenarien mit repräsentativen Geräten, bevor die Preview breit eingesetzt wird.
- Ergänzen Sie das Incident-Response-Playbook um Freigabe, Untersuchung, Bereinigung und Wiederanbindung automatisch isolierter Geräte.
Offizielle Microsoft-Quellen
- Microsoft Security Blog: 129 seconds to disruption
- Microsoft Learn: Configure automatic attack disruption
Ob Ihre Defender-XDR-Umgebung für automatische Angriffseindämmung richtig vorbereitet ist und welche Ausnahmen wirklich notwendig sind, prüfen wir im Rahmen eines Microsoft Security Assessments – sprechen Sie uns an.
Automatic Attack Disruption vorbereiten
Prüfen Sie Onboarding, Automatisierungseinstellungen und Ausnahmen Ihrer Defender-XDR-Umgebung.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
