[Was und Warum:]
Microsoft verbessert die Erfahrung mit Automated Investigation and Response (AIR) in Microsoft Defender for Office 365 durch die Einführung einer manuellen Aktualisierungsfunktion und die Vereinfachung der Benennungskonventionen für Untersuchungen. Diese Änderungen verbessern die Portalleistung, reduzieren unnötige Netzwerkaktivitäten und unterstützen die Prinzipien der Datenminimierung, indem E-Mail-Betreffzeilen und User Principal Names (UPNs) aus den Untersuchungsnamen entfernt werden.
[Rollout-Zeitplan:]
- Allgemeine Verfügbarkeit (weltweit): Ab Ende Juli 2026, voraussichtliche Fertigstellung bis Ende August 2026
[Auswirkungen auf Ihre Organisation:]
Betroffene Personen:
- Security Operations Center (SOC) Analysten
- Sicherheitsadministratoren
- Incident-Responder
- Organisationen, die Microsoft Defender for Office 365 Plan 2 / E5 und AIR nutzen
Plattformen/Dienste:
- Microsoft Defender-Portal
- Microsoft Defender for Office 365
- Automated Investigation and Response (AIR)
Was wird passieren:
- Manuelle Aktualisierung ersetzt automatische Aktualisierung:
- Die AIR-Untersuchungsseite wird nicht mehr automatisch aktualisiert.
- Ein neuer Aktualisieren-Button wird auf der Untersuchungsseite verfügbar sein.
- Analysten müssen die Seite manuell aktualisieren, um den neuesten Untersuchungsstatus und Details abzurufen.
- Diese Änderung ist als Teil des Serviceupdates standardmäßig aktiviert.
- Es wird eine verbesserte Seitenreaktionsfähigkeit und reduzierte Hintergrund-Netzwerkaufrufe erwartet.
- Vereinfachte Untersuchungsnamen:
- Untersuchungsnamen für manuelle und nutzermeldete Fälle enthalten keine E-Mail-Betreffzeilen mehr.
- Stattdessen werden generische Untersuchungsnamen angezeigt, wie z. B.:
- E-Mail-Untersuchung für 'Network message Id'
- Vom Nutzer gemeldete Nachricht als bösartig 'Network message Id'
- Die bestehende Untersuchungsverlauf und Ergebnisse bleiben unverändert.
- Keine Änderungen an bestehenden Funktionen
- Auslöser für Untersuchungen bleiben unverändert.
- Erkennungslogik bleibt unverändert.
- Automatisierte Remediationsmaßnahmen bleiben unverändert.
- Funktionalität des Threat Explorers bleibt unverändert.
- E-Mail- und Kollaborationsberichte bleiben unverändert.
- Historische Untersuchungsaufzeichnungen bleiben verfügbar.
[Erforderliche Maßnahmen/Empfehlungen:]
Keine zwingende administrative Konfiguration erforderlich.
Empfohlene Maßnahmen:
- Überprüfen Sie SOC-Workflows, die sich auf automatisches Aktualisierungsverhalten stützen.
- Informieren Sie Sicherheitsanalysten, dass Untersuchungstatus-Updates jetzt die Verwendung des neuen Aktualisieren-Buttons erfordern.
- Überprüfen Sie Automatisierungen, Runbooks, Skripte, Dashboards oder Integrationen, die Untersuchungstitel auswerten könnten.
- Aktualisieren Sie interne SOPs, Analystenrichtlinien und Schulungsmaterialien, die Untersuchungstitel mit E-Mail-Betreffzeilen referenzieren.
- Kommunizieren Sie die Änderung der Benennungskonvention an Helpdesk- und Sicherheitsteams vor dem Rollout.
- Validieren Sie alle kundenspezifischen Berichtsprozesse, die von bisherigen Untersuchungsnamenformaten abhängig sein könnten.
Weitere Informationen: Details und Ergebnisse von AIR in Defender for Office 365 Plan 2 - Microsoft Defender for Office 365 | Microsoft Learn (wird vor dem Rollout aktualisiert)
[Compliance-Überlegungen:]
Bereich: Verarbeitung/Zugriff auf bestehende Kundendaten – Untersuchungsnamen zeigen keine E-Mail-Betreffzeilen mehr an, was die Datenminimierung unterstützt und die Darstellung der untersuchungsbezogenen Daten für Administratoren ändert.
Bereich: Administrative Überwachung und Berichterstattung – Organisationen müssen unter Umständen Berichte, betriebliche Abläufe und Untersuchungs-Workflows, die Untersuchungstitel referenzieren, anpassen.
