Microsoft Defender Übermittlungen
Read this article in: English
Sie können den Phishing-Meldebutton (PRB) in Microsoft Defender integrieren, um darüber Meldungen zu verarbeiten. So können mit dem PRB gemeldete E-Mails in dem Übermittlungen-Dashboard Ihres SOC-Teams in Defender angezeigt werden. Wenn Sie den Microsoft Defender for Office 365 Plan 2 haben, können Sie außerdem eine Automatisierte Untersuchung und Reaktion (AIR) zur Analyse und Reaktion auf die gemeldete E-Mail auslösen. Weitere Informationen finden Sie bei Microsoft: https://learn.microsoft.com/de-de/defender-office-365/air-auto-remediation.
Voraussetzungen und Einschränkungen
Alle APIs, die für den PRB verfügbar sind, werden unterstützt. Allerdings begrenzt Exchange Web Services (EWS) die Größe von Anhängen auf 500 kB, was bedeutet, dass wir die ursprüngliche E-Mail nicht als .eml-Datei anhängen können, wenn sie größer als 500 kB ist. In diesen Fällen werden die Berichte zwar an das Postfach für Benutzerübermittlungen gesendet, aber nicht im Microsoft Defender-Dashboard für Bentzerübermittlungen angezeigt. Es wird daher nicht empfohlen, diese Integration mit der EWS-API zu verwenden.
Microsoft Defender-Übermittlungen funktionieren nicht, wenn Berichte von einem lokalen Postfach oder von außerhalb der Organisation übermittelt werden. Die Melder müssen sich auf derselben Azure-Instanz von MS Defender befinden.
Einrichtung
I. Einrichtung in Microsoft Defender
Gehen Sie auf das Microsoft Defender Portal. Gehen Sie dort auf die Seite System / Einstellungen / E-Mail & Zusammenarbeit / Vom Benutzer gemeldete Einstellungen. Sie können auch direkt zu der Seite gehen: https://security.microsoft.com/userSubmissionsReportMessage
Stellen Sie sicher, dass die Checkbox Gemeldete Nachrichten in Outlook überwachen aktiviert ist.
Wählen Sie Nicht-Microsoft-Add-In-Schaltfläche verwenden aus.
Diese Einstellung sorgt auch dafür, dass der Meldebutton von Microsoft Defender selbst nicht mehr angezeigt wird. Führen Sie dies nur durch, wenn der PRB an alle Nutzer ausgerollt wurde und funktioniert.
Stellen Sie sicher, dass in dem Bereich Ziel des gemeldeten Elements die Auswahl auf Microsoft und mein Berichtspostfach steht.
Geben Sie unter Fügen Sie ein Exchange Online-Postfach hinzu, an das gemeldete Elemente gesendet werden sollen das Postfach ein, das Sie verwenden möchten.
Beachten Sie, dass Sie hier ein SecOps-Postfach angeben müssen. Mehr zur Einrichtung eines solchen Postfachs finden Sie in der Dokumentation von Microsoft.
II. Einrichtung im SoSafe Manager
Gehen Sie im SoSafe Manager auf die Seite Phishing-Meldebutton / Meldungsverarbeitung. Scrollen Sie dort runter bis zum Bereich Microsoft Defender E-Mails und aktivieren Sie den Schalter. Geben Sie dann das zuvor verwendete SecOps-Postfach unter MS Defender E-Mail-Adresse ein. Wählen Sie Speichern aus, um die Änderungen zu bestätigen.
Verwendung
Von Nutzern gemeldete E-Mails werden nun an Ihr Dashboard für Benutzerübermittlungen in Defender weitergeleitet (auf der Seite Untersuchung und Antwort / Aktionen und Übermittlungen / Übermittlungen). Weitere Informationen dazu, was Sie dort tun können, finden Sie auf den Support-Seiten von Microsoft. Beachten Sie, dass von SoSafe gesendete simulierte Phishing-Mails nicht weitergeleitet werden.