> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.
# Bedrohungsereignisse verstehen
> Verstehen Sie Bedrohungsereignisse in Iru EDR, einschließlich Erkennungstypen, Schweregraden und Klassifizierungskategorien. Untersuchen Sie Sicherheits-Alerts und reagieren Sie darauf.
Diese Anleitung gilt für Mac-Computer und Windows-Computer
### Informationen zu Bedrohungsereignissen
Endpoint Detection and Response (EDR) erstellt ein Bedrohungsereignis, wenn es Malware oder potenziell unerwünschte Programme (PUPs) auf einem Gerät erkennt. Jedes Bedrohungsereignis enthält Details wie den Namen der Bedrohung, die Klassifizierung, den beteiligten Prozess, das Erkennungsdatum und den aktuellen Status. Alle Bedrohungsereignisse für Geräte, die mit Blueprints mit EDR verknüpft sind, finden Sie auf der Seite Detections. Darüber hinaus können diese Ereignisse in den einzelnen Geräteeinträgen angezeigt werden.
Bedrohungsereignisse werden sowohl in der Detect als auch in der Protect Posture erstellt. In der Protect Posture wird die Bedrohung außerdem unter Quarantäne gestellt.
Bedrohungsereignisse werden in der Detect Posture erstellt und ohne automatische Quarantäne gemeldet.
### Funktionsweise
Die Bedrohungsereignisse werden automatisch erstellt, wenn Iru Endpoint EDR potenzielle Sicherheitsrisiken auf verwalteten Geräten erkennt. Das System organisiert Bedrohungsereignisse in einer bedrohungszentrierten Tabellenansicht und gruppiert Ereignisse bei Dateierkennungen nach Datei-Hash und bei verhaltensbasierten Erkennungen nach Erkennungsregel. Diese Struktur vereinfacht die Bewertung der Auswirkungen einer Bedrohung auf Ihre Mac-Flotte. Jedes gruppierte Ereignis enthält ein Seitenpanel mit detaillierten Einblicken in die Bedrohung, sodass Sicherheitsteams Umfang und Schwere erkannter Bedrohungen schnell erfassen können.
### Ereignisinformationen verstehen
Jedes Bedrohungsereignis in der bedrohungszentrierten Tabellenansicht liefert wesentliche Informationen, die InfoSec-Teams bei der Untersuchung von Bedrohungen unterstützen.
* **Threat ID**: Zeigt den SHA-256-Hash-Wert der erkannten Bedrohung an
* **Process**: Zeigt den zuletzt erkannten Prozess an, der für die Bedrohung verantwortlich ist
* **Classification**: Gibt die Klassifizierungskategorie des Bedrohungsereignisses an
* **Detection Date**: Erfasst das Datum, an dem EDR die Bedrohung erkannt hat
* **Geräte**: Gibt die Gesamtzahl der vom Bedrohungsereignis betroffenen Mac-Geräte an
* **Threat Status**: Anzahl der Status Detected, Remediated und Released über alle Geräte hinweg für das gruppierte Bedrohungsereignis
### Schweregrade von Erkennungen verstehen
Iru Endpoint EDR enthält eine Schweregradbewertung, die InfoSec-Teams hilft, die Kritikalität erkannter Bedrohungen schnell einzuschätzen. Jedem Erkennungsereignis wird einer von fünf Schweregraden zugewiesen: Critical, High, Medium, Low und Informational.
Die Erkennungstabelle enthält eine Spalte **Severity**, die den entsprechenden Schweregrad für jede Erkennung anzeigt. Sie können Erkennungen sowohl bei Dateierkennungen als auch bei verhaltensbasierten Erkennungen nach Schweregrad sortieren und filtern.
Die Seite Detections enthält außerdem ein Kreisdiagramm **Detections By Severity**, das eine visuelle Aufschlüsselung der Erkennungen nach Schweregrad bietet.
### Bedrohungsklassifizierungen verstehen
Iru Endpoint EDR klassifiziert Bedrohungen bei Dateierkennungen in vier Kategorien (Malware, potenziell unerwünschtes Programm (PUP), harmlos und unbekannt) und bei verhaltensbasierten Erkennungen in zwei Kategorien: bösartig und verdächtig.
#### Klassifizierungen bei Dateierkennungen
* **Malware**: Dieser Begriff bezeichnet bösartige Software, die darauf ausgelegt ist, Geräten, Personen oder Organisationen zu schaden
* **Potenziell unerwünschtes Programm (PUP)**: Dies sind Anwendungen, die auf einem Gerät möglicherweise unerwünscht sind. PUPs beanspruchen oft viele Systemressourcen, beeinträchtigen die Leistung, zeigen unerwünschte Werbung an und sammeln persönliche Informationen. Im Gegensatz zu Malware sollen PUPs keinen Schaden anrichten und werden in der Regel unbeabsichtigt zusammen mit anderer Software installiert, häufig in gebündelten Paketen
* **Harmlos (Benign)**: Diese Klassifizierung gilt für Dateien, die zunächst als bösartig markiert, nach weiterer Analyse jedoch als nicht bösartig eingestuft wurden. Wenn Sie auf harmlose Bedrohungsereignisse stoßen, kann dies daran liegen, dass sich das Element zum Zeitpunkt der Erkennung oder Quarantäne auf der Sperrliste Ihres EDR Library Item befand
* **Unbekannt (Unknown)**: Diese Kategorie gilt für Dateien, die Iru Endpoint EDR anhand der verfügbaren Daten nicht eindeutig als bösartig oder harmlos klassifizieren kann. Die Klassifizierung kann sich ändern, wenn weitere Informationen verfügbar werden oder die Datei erneut analysiert wird.
#### Klassifizierungen bei verhaltensbasierten Erkennungen
* **Bösartig (Malicious)**: Eine Klassifizierung für Verhaltensaktivitäten, die darauf abzielen, Schaden anzurichten
* **Verdächtig (Suspicious)**: Eine Klassifizierung für Verhaltensaktivitäten, die nicht unmittelbar auf Schaden hindeuten, aber eine weitere Untersuchung rechtfertigen
### Bedrohungsstatus verstehen
Allen Bedrohungsereignissen ist ein Status zugeordnet. Folgende Status kann ein Bedrohungsereignis haben:
#### Status bei Dateierkennungen
* **Quarantined**: Eine erkannte Bedrohung, die in der Protect Posture automatisch unter Quarantäne gestellt wurde (macOS)
* **Not Quarantined**: Eine erkannte Bedrohung, die in der Detect Posture nicht unter Quarantäne gestellt wurde
* **Released**: Eine Bedrohung, die zunächst unter Quarantäne gestellt, später jedoch freigegeben und an ihrem ursprünglichen Speicherort wiederhergestellt wurde (macOS)
* **Resolved**: Eine erkannte Bedrohung, die sich nicht mehr am zuletzt erkannten Dateipfad befindet und nicht vom Agent unter Quarantäne gestellt wurde
#### Status bei verhaltensbasierten Erkennungen
* **Detected**: Bösartige Verhaltensaktivität wurde erkannt, aber nicht blockiert (Detect Posture)
* **Blocked**: Bösartige Verhaltensaktivität wurde erkannt und blockiert (Protect Posture)
* **Informational**: Verdächtige Verhaltensaktivität wurde erkannt und zur Transparenz markiert
Unter macOS wird die Quarantäne von Malware und PUP durch den im EDR Library Item konfigurierten Posture-Modus bestimmt. Weitere Informationen zur Konfiguration der Posture-Modi in Ihrer Umgebung finden Sie unter [Das EDR Library Item konfigurieren](/de/endpoint/endpoint-detection-response-edr/configure-the-edr-library-item).
### Erkennungen anzeigen
Wählen Sie in der linken Navigationsleiste **Erkennungen** (unter **Endpoint**).
Verwenden Sie den Filter **Erkennungstyp**, um **File detections**, **Behavioral detections** oder beides in derselben Tabelle anzuzeigen.
### Bedrohungsereignisse filtern
Sie können Bedrohungsereignisse sowohl bei Datei- als auch bei verhaltensbasierten Erkennungen nach ihrem Status filtern, um die Visualisierung und Behebung zu erleichtern.
Wählen Sie oben auf der Seite Detections den Datumsbereich neben **Viewing** (standardmäßig **Last 30 days**), um Bedrohungsereignisse auf einen Zeitraum wie **Last 7 days** oder **Custom date range** zu beschränken.
Filtern Sie nach **Classification**, um nur bestimmte Bedrohungstypen anzuzeigen. Wählen Sie bei Dateierkennungen Malware, PUP, harmlos oder unbekannt; bei verhaltensbasierten Erkennungen bösartig oder verdächtig.
Wählen Sie **Threat status**, um nach Behebungsstatus zu filtern (Quarantined, Not quarantined, Released, Resolved bei Dateierkennungen; Detected, Blocked oder Informational bei verhaltensbasierten Erkennungen). Sie können einen oder mehrere auswählen.
Filtern Sie nach **Status**, um sich auf den Workflow-Status zu konzentrieren: **New** (letzte 24 Stunden), **Öffnen**, **Geschlossen** oder **Archived**. So können Sie triagieren, was Aufmerksamkeit erfordert und was bereits bearbeitet wurde.
Filtern Sie nach **Severity** (Critical, High, Medium, Low oder Informational), um zu priorisieren, welche Bedrohungen zuerst untersucht oder behoben werden sollen.
Filtern Sie nach **Tags**, um nur Bedrohungen mit einem bestimmten, von Administratoren definierten Tag anzuzeigen, oder belassen Sie die Einstellung auf All, um alle Tags einzubeziehen.
Verwenden Sie den Filter **MITRE**, um die Liste nach MITRE ATT\&CK-Technik einzugrenzen. Suchen oder wählen Sie bestimmte Techniken aus, um nur Verhaltensereignisse anzuzeigen, die den ausgewählten Techniken entsprechen.
Wählen Sie **Clear all**, um alle Filter zu entfernen und zur Standardansicht für den ausgewählten Datumsbereich zurückzukehren.
### Seitenpanel
Die bedrohungszentrierte Tabellenansicht bietet für jedes gruppierte Ereignis ein Seitenpanel, das Sie durch Auswahl einer Zeile mit einem Bedrohungsereignis öffnen können, um detaillierte Informationen zu dieser Bedrohung aufzurufen.
Bei Dateierkennungen enthält das Seitenpanel:
* Den neuesten Dateinamen, der mit der Bedrohung verknüpft ist
* Eine globale Ansicht aller Bedrohungsstatus (Detected, Remediated und Released) für das gruppierte Bedrohungsereignis über alle Geräte hinweg
* Das erste und letzte Erkennungsdatum über alle Geräte hinweg
* Einblicke in alle eindeutigen Dateipfade, die im Zusammenhang mit der Bedrohung gefunden wurden
Bei verhaltensbasierten Erkennungen enthält das Seitenpanel:
* Den neuesten Prozessnamen, der mit dem gruppierten Ereignis verknüpft ist
* Eine globale Ansicht aller Bedrohungsstatus (Detected, Remediated und Released) über alle Geräte hinweg
* Eine Beschreibung der bösartigen oder verdächtigen Aktivität
* Die Malware-Familie, die mit der Verhaltensaktivität verknüpft ist
* Informative Tags, die zusätzlichen Kontext liefern
* Das erste und letzte Erkennungsdatum über alle Geräte hinweg
#### Gerätekarten
Die Gerätekarten im Seitenpanel stehen für Geräte, auf denen die bösartige Datei gefunden wurde. Über das Seitenpanel können Sie auch Reaktionsmaßnahmen durchführen, z. B. [Geräte isolieren](/de/endpoint/endpoint-detection-response-edr/device-isolation), um sie während aktiver Sicherheitsvorfälle vom Netzwerk getrennt unter Quarantäne zu stellen.
Bei Dateierkennungen zeigen diese Karten Informationen wie:
* **Gerätename**
* **Seriennummer**
* **Blueprint und Library Item**
* **Posture-Modus für Malware und PUP**
* **Umsetzbare Ereignisse**
* **Details zum Bedrohungsereignis:**
* **Threat Status** – Der aktuelle Status der Bedrohung auf dem Gerät.
* **Pfad** – Der Dateipfad, in dem die Bedrohung erkannt wurde.
* **Benutzer** – Der Benutzer, der dem Prozess zum Zeitpunkt der Erkennung der Bedrohung zugeordnet war.
* **Detection Date** – Das Datum, an dem EDR die Bedrohung erkannt hat.
* **Quarantine Date** – Das Datum, an dem EDR die Bedrohung unter Quarantäne gestellt hat.
* **Resolved Date** – Das Datum, an dem die Bedrohung in der Web-App als behoben markiert wurde.
* **Release Date** – Das Datum, an dem die Bedrohung auf dem Gerät aus der Quarantäne freigegeben wurde.
* **Application Bundle Path** – Der Pfad zum Anwendungs-Bundle.
Bei verhaltensbasierten Erkennungen zeigen diese Karten Informationen wie:
* **Gerätename**
* **Seriennummer**
* **Blueprint und Library Item**
* **Informationen zum Posture-Modus für bösartige verhaltensbasierte Erkennungen**
* **Details zum Bedrohungsereignis:**
* **Threat Status** – Der aktuelle Status der Bedrohung auf dem Gerät.
* **Detection date** – Das Datum, an dem EDR die Bedrohung erkannt hat.
* **Rule version** – Aktuelle Regelversion
* **Informationen zum übergeordneten Prozess und Zielprozess:**
* Name des übergeordneten Prozesses und des Zielprozesses
* ID des übergeordneten Prozesses und des Zielprozesses
* Prozesseigentümer
* Image-Pfade für übergeordneten Prozess und Zielprozess
* Befehlszeilenargumente für übergeordneten Prozess und Zielprozess
* SHA-256-Hash des übergeordneten Prozesses und des Zielprozesses
### Bedrohungsereignisse im Seitenpanel anzeigen
#### Bei Dateierkennungen
Wählen Sie in der linken Navigationsleiste **Erkennungen** (unter **Endpoint**).
Wählen Sie im Filter **Erkennungstyp** die Option **File detections**, um sich auf dateibasierte Bedrohungsereignisse zu konzentrieren.
Wählen Sie ein beliebiges **Bedrohungsereignis** aus, um das Seitenpanel zu öffnen.
Zeigen Sie auf der Registerkarte **Geräte** die Gerätekarten aller Geräte an, auf denen der bösartige Hash erkannt wurde. Wählen Sie eine beliebige Gerätekarte aus, um sie zu erweitern und die zugehörigen Bedrohungsereignisse anzuzeigen. In dieser Ansicht können Sie [Geräte](/de/endpoint/endpoint-detection-response-edr/device-isolation) auch mit dem Globussymbol vom Netzwerk isolieren.
#### Bei verhaltensbasierten Erkennungen
Wählen Sie in der linken Navigationsleiste **Erkennungen** (unter **Endpoint**).
Wählen Sie im Filter **Erkennungstyp** die Option **Behavioral detections**, um sich auf verhaltensbasierte Bedrohungsereignisse zu konzentrieren.
Wählen Sie ein beliebiges **Bedrohungsereignis** aus, um das Seitenpanel zu öffnen.
### Status einer Bedrohung erneut prüfen
Wenn die Posture-Modi für Malware oder PUP auf Detect eingestellt sind, können Sie den Status einer Bedrohung im Seitenpanel manuell prüfen, um festzustellen, ob sie noch im Dateipfad vorhanden ist. Wenn die Bedrohung nicht mehr vorhanden ist, wird ihr Status von "Not quarantined" auf "Resolved" aktualisiert. Wenn die Bedrohung noch vorhanden ist, bleibt ihr Status unverändert.
Wählen Sie in der linken Navigationsleiste **Erkennungen** (unter **Endpoint**).
Wählen Sie ein beliebiges **Bedrohungsereignis** aus, um das Seitenpanel zu öffnen.
Wählen Sie die gewünschte **Gerätekarte** aus, um sie zu erweitern und die Bedrohungsereignisse des Geräts anzuzeigen. In dieser erweiterten Ansicht haben Sie auch Zugriff auf Reaktionsmaßnahmen, einschließlich der [Geräteisolierung](/de/endpoint/endpoint-detection-response-edr/device-isolation).
Wählen Sie **Recheck status**.
Wenn Bedrohungen unter macOS zunächst erkannt und dann von einem Gerät entfernt werden, ändert sich ihr Status von **Not quarantined** zu **Resolved**, sobald die Posture-Modi für Malware oder PUP im EDR Library Item auf den Modus Protect eingestellt werden. Diese Aktualisierung erfolgt auch, wenn ein neuer Blueprint mit diesen Einstellungen auf das Gerät angewendet wird.
### Ein Bedrohungsereignis freigeben
Es kann Situationen geben, in denen InfoSec-Teams ein Bedrohungsereignis für bestimmte Dateien oder Anwendungen freigeben müssen, die fälschlicherweise unter Quarantäne gestellt wurden, z. B. ein Sicherheitstool oder eine Anwendung, die von der Organisation verwendet wird. Beim Freigeben eines Bedrohungsereignisses wird das Element zur Zulassungsliste des zugehörigen EDR Library Item hinzugefügt.
Die Freigabeaktion für Bedrohungsereignisse gilt nur für die Blueprints, denen das EDR Library Item zugewiesen ist. Durch das Freigeben einer Bedrohung wird diese auf allen Mac-Computern freigegeben, auf denen die Bedrohung erkannt wurde.
Wählen Sie in der linken Navigationsleiste **Erkennungen** (unter **Endpoint**).
Wählen Sie ein beliebiges **Bedrohungsereignis** aus, um das Seitenpanel zu öffnen.
Wählen Sie die gewünschte **Gerätekarte** aus, um sie zu erweitern und die Bedrohungsereignisse des Geräts anzuzeigen.
Wählen Sie **Release threat**.
Geben Sie einen **Item Name** ein.
Geben Sie optional eine interne Notiz ein, in der Sie angeben, warum das Bedrohungsereignis freigegeben wird.
Geben Sie **RELEASE** ein, um die Bedrohung freizugeben.
Wählen Sie **Add and Release**, um die Bedrohung zu Ihrer Zulassungsliste hinzuzufügen und freizugeben.
### Eine VirusTotal-Suche durchführen
VirusTotal analysiert Dateien und URLs. Über ein Bedrohungsereignis können Sie den Hash in VirusTotal suchen, ohne die Iru Endpoint-Web-App zu verlassen.
Wählen Sie in der linken Navigationsleiste **Erkennungen** (unter **Endpoint**).
Wählen Sie das gewünschte Bedrohungsereignis aus, um das Seitenpanel zu öffnen.
Wählen Sie **Search VirusTotal** oben im Seitenpanel.
Iru Endpoint EDR kann bestimmte Hashes als Malware oder PUP klassifizieren, auch wenn VirusTotal keine Erkennungen dafür hat oder sie als nicht bösartig einstuft. Dies ist zu erwarten, da Iru Endpoint EDR mehrere Bedrohungsquellen nutzt.
### Bedrohungsereignisse als CSV exportieren
Zusätzlich zur Verwendung der Iru Endpoint API können InfoSec- und IT-Teams die Liste der Bedrohungsereignisse direkt aus der Administrationskonsole exportieren. Das Exportsymbol in der bedrohungszentrierten Ansicht wendet die aktuellen Filtereinstellungen an und erzeugt eine CSV-Datei mit detaillierten Informationen zu jedem Bedrohungsereignis in separaten Spalten. Diese Funktion ist sowohl in der Hauptansicht des Moduls Detections als auch auf der Registerkarte Detections im Geräteeintrag verfügbar.
Wählen Sie in der linken Navigationsleiste **Erkennungen** (unter **Endpoint**).
Verwenden Sie optional vor dem Export den Filter **Erkennungstyp**, um **File detections** oder **Behavioral detections** auszuwählen.
Wählen Sie das Symbol **Exportieren** ganz rechts in der Listenansicht der Bedrohungsereignisse. Eine CSV-Exportdatei wird automatisch heruntergeladen.
### Überlegungen
* **Bedrohungsklassifizierung**: Machen Sie sich mit dem Unterschied zwischen den Klassifizierungen bei Dateierkennungen (Malware, PUP, harmlos, unbekannt) und bei verhaltensbasierten Erkennungen (bösartig, verdächtig) vertraut, um Bedrohungen richtig zu bewerten
* **Statusverwaltung**: Überprüfen und aktualisieren Sie Bedrohungsstatus regelmäßig, um einen genauen Sicherheitsstatus zu gewährleisten und eine ordnungsgemäße Nachverfolgung der Behebung sicherzustellen
* **Priorisierung nach Schweregrad**: Verwenden Sie Schweregrade (Critical, High, Medium, Low, Informational), um die Bedrohungsabwehr zu priorisieren und Ressourcen effektiv zuzuweisen
* **Posture-Konfiguration**: Stellen Sie unter macOS sicher, dass EDR Library Items entsprechend Ihren Sicherheitsanforderungen mit geeigneten Posture-Modi (Detect oder Protect) konfiguriert sind. Windows EDR verwendet für Dateierkennungen den Modus Detect.
* **Bedrohungsuntersuchung**: Verwenden Sie das Seitenpanel und die Gerätekarten für Dateipfade, Benutzerkontext und Erkennungszeitachsen
* **Umgang mit Fehlalarmen**: Seien Sie darauf vorbereitet, legitime Anwendungen, die möglicherweise fälschlicherweise unter Quarantäne gestellt wurden, über den Freigabeprozess mit ordnungsgemäßer Dokumentation freizugeben
* **Externe Validierung**: Nutzen Sie die VirusTotal-Integration, um Bedrohungsinformationen abzugleichen und Bedrohungsklassifizierungen zu validieren
* **Datenexport**: Verwenden Sie den CSV-Export für Bedrohungsanalysen, Berichte und die Integration mit anderen Sicherheitstools
* **Massenvorgänge**: Erwägen Sie den Einsatz von Massenaktionen für ein effizientes Bedrohungsmanagement bei weit verbreiteten Bedrohungen auf mehreren Geräten, einschließlich der Funktionen zur [Massenisolierung von Geräten](/de/endpoint/endpoint-detection-response-edr/device-isolation)
* **Regelmäßige Überwachung**: Etablieren Sie regelmäßige Überprüfungsprozesse für Bedrohungsereignisse, um eine zeitnahe Reaktion und eine korrekte Klassifizierung von Sicherheitsvorfällen sicherzustellen