Ergebnisse auswerten
Stoik Email Security überwacht Ihre Postfächer auf zwei Arten von Bedrohungen: verdächtige E-Mails und kompromittierte Konten. Alle erkannten Bedrohungen werden in Stoik Protect aufgelistet und vom Stoik SOC überprüft.
E-Mail-Bedrohungen
E-Mail-Bedrohungen sind verdächtige oder bösartige E-Mails, die in Ihren Postfächern erkannt werden, und zwar von zwei Typen:
Betrug: Versuche finanziellen Betrugs, etwa Rechnungsbetrug oder das Vortäuschen einer bekannten Kontaktperson.
Phishing: E-Mails, die auf eine Seite verweisen, welche eine bekannte Marke imitiert, um Zugangsdaten zu stehlen.
Sie werden auf dem Verdächtige E-Mails Bildschirm unter Email Security in der Seitenleiste aufgeführt.
Jede Zeile in der Tabelle zeigt:
Betreff: die Betreffzeile der E-Mail
Kritikalität: Niedrig, Mittel, Hoch oder Kritisch
Geschützter Benutzer: das Postfach, das die E-Mail empfangen oder gesendet hat
Erkennungsdatum: wann die E-Mail empfangen wurde
Status: Offen oder Geschlossen
Gültigkeit : Nicht definiert, Falschpositiv oder Echtpositiv
Aktionen : Keine, Banner und/oder Quarantäne
Klicken Sie auf eine beliebige E-Mail-Bedrohung, um eine vollständige Seite mit allen Details zu öffnen.
Alarminformationen
Der Abschnitt Informationen zeigt die Metadaten der markierten E-Mail an:
Erkennungsdatum -- wann die E-Mail empfangen wurde
Geschützter Benutzer -- das Postfach, das die E-Mail empfangen oder gesendet hat
Verkehr -- eingehend oder ausgehend
Postfach -- Microsoft 365 oder Google Workspace
Typ -- der Bedrohungstyp: Betrug oder Phishing
Gründe -- die Gründe, warum die E-Mail markiert wurde (z. B. sich als Benutzer ausgebend, verdächtige Bankinformationen)
Aktionen -- die vom SOC ergriffenen Maßnahmen (z. B. E-Mail in Quarantäne verschoben, Warnbanner hinzugefügt)
Status -- ob die Bedrohung Offen oder Geschlossen ist
Gültigkeit -- Echtpositiv oder Falschpositiv
Urteil
Ein farbiges Banner oben fasst die Gesamtbewertung zusammen. Die Bannerfarbe und die Überschrift entsprechen der Kritikalität des Alarms:
Kritisch
Kritischer Betrugsversuch erkannt
Hoch
Betrugsversuch mit hohem Risiko erkannt
Mittel
Verdächtige Aktivität erkannt
Niedrig
Geringfügige Anomalien erkannt
Eine kurze Zusammenfassung unter der Überschrift liefert zusätzlichen Kontext. Email Security-Alarme werden vom Stoik SOC verwaltet: Auf Ihrer Seite ist keine Aktion erforderlich.
Angreiferinformationen
Der Abschnitt Angreifer ist standardmäßig geschlossen; wenn er geöffnet wird, zeigt er Informationen zum Absender an, wie zum Beispiel:
Name des Absenders
Absenderdomäne
E-Mail-Adresse des Absenders
Aktivität
Der Abschnitt Aktivität ist eine chronologisch rückwärts sortierte Zeitleiste aller Ereignisse, die mit einem Alarm geschehen sind. Jeder Eintrag enthält Datum und Uhrzeit. Das aktuellste Ereignis erscheint zuerst.
Alarmbearbeitung
Alarm erstellt
Als die E-Mail ursprünglich empfangen wurde.
Alarmbestätigung
Als der Alarm im Stoik-System verarbeitet und bestätigt wurde.
Alarmbearbeitung
Als ein SOC-Analyst mit der Untersuchung des Alarms begann.
Alarmabschluss
Als der Alarm behoben und geschlossen wurde.
Alarm erstellt und Alarmbestätigung immer angezeigt werden. Alarmbearbeitung und Alarmabschluss erscheinen, während der Alarm fortschreitet.
SOC-Aktionen und Alarmaktualisierungen
Die Zeitleiste protokolliert Aktionen, die vom SOC durchgeführt wurden. Dazu gehören das Hinzufügen eines Warnbanners und das Verschieben einer E-Mail in Quarantäne.
Sie protokolliert auch Alarmaktualisierungen. Beispielsweise kann sich die Gültigkeit ändern von Nicht definiert zu Echtpositiv oder Falschpositiv.
Signalprüfungen
In der Zeitleiste erscheinen drei Signalprüfungen. Jede Prüfung zeigt einen farbigen Punkt:
Es wurde ein Problem gefunden
Eine Anomalie wurde erkannt
Die Prüfung wurde bestanden
Absenderidentität
Überprüft, ob der Absender sich als ein bekannter Kontakt in Ihrer Organisation ausgibt.
Kommunikationsverlauf
Überprüft, ob dieser Absender zuvor bereits mit Ihrer Organisation kommuniziert hat.
Absenderruf
Prüft die Domäne und E-Mail-Adresse des Absenders anhand bekannter Bedrohungsdatenbanken.
E-Mail-Austausch
Die Zeitleiste enthält E-Mails, die zwischen Stoïk und Ihrer Organisation ausgetauscht wurden. Diese Einträge zeigen, wie der Alarm kommuniziert und behoben wurde.
Analystennotizen
Einige Alarme enthalten Analystennotizen die vom Stoik SOC verfasst wurden. Diese Notizen liefern zusätzlichen Kontext dazu, wie der Alarm untersucht und behoben wurde.
Nicht alle Alarme haben Analystennotizen; sie werden hinzugefügt, wenn das SOC-Team zusätzlichen Kontext für relevant hält.
E-Mail-Inhalt
Der Abschnitt E-Mail-Inhalt bettet die ursprüngliche markierte E-Mail direkt im Seitenbereich ein, sodass Sie genau sehen können, was im Posteingang gelandet ist, und das Urteil im Kontext verstehen.
Er umfasst:
Absender die Adresse(n), von der/denen die E-Mail gesendet wurde
Empfänger das/die Postfach/Postfächer, an die die E-Mail gesendet wurde
Betreff die Betreffzeile der E-Mail
Sendedatum wann die E-Mail gesendet wurde
Warnbanner wenn es vom Stoik SOC hinzugefügt wurde, wird das Banner Endbenutzern oben in der E-Mail angezeigt
Textkörper der vollständige E-Mail-Inhalt mit ursprünglicher Formatierung, Bildern und Links
Klicken Sie auf Erweitern um die E-Mail in einem größeren Pop-in zu öffnen und leichter lesen zu können.
Wenn die E-Mail Anlagen, werden sie in einem eigenen Anlagen Abschnitt unten aufgeführt. Stoïk analysiert Anhänge (z. B. PDFs) auf Phishing- und Betrugsindikatoren, zum Beispiel eingebettete Links oder IBANs, scannt deren Inhalt jedoch nicht auf Malware. Heruntergeladene Dateien sind daher nicht garantiert malwarefrei: Der Schutz vor schädlichen Dateien beruht auf der Sicherheitslösung, die auf Ihren Geräten installiert ist.
Kompromittierte Konten
Kompromittierte Konten sind Postfächer, die Anzeichen eines unbefugten Zugriffs oder verdächtiger Aktivität zeigen. Sie werden auf dem Kompromittierte Konten Bildschirm unter Email Security in der Seitenleiste aufgeführt.
Jede Zeile enthält eine Erkannte Signale Spalte, die die Signale hinter dem Alarm auflistet, nach Typ gruppiert mit ihrer Anzahl an Vorkommnissen (z. B. 3 Unmögliche Reisen · 2 Ungewöhnliche Verhaltensweisen).
Klicken Sie auf ein beliebiges kompromittiertes Konto, um einen Vollbildbereich mit allen Details zu öffnen.
Alarminformationen
Der Abschnitt Informationen zeigt Folgendes an:
Erkennungsdatum: wann die Kompromittierung erkannt wurde
Status: ob der Alarm Offen oder Geschlossen ist
Gültigkeit: Echtpositiv oder Falschpositiv
Geschützter Benutzer: das Postfach, das angegriffen wurde
Aktionen : Keine, MFA-Zurücksetzung, Zurücksetzen des Passworts usw.
Kritikalität: Niedrig, Mittel, Hoch oder Kritisch
Benutzerprofil
Eine Basislinie dessen, was für diesen Benutzer normal ist, berechnet aus den letzten 13 Wochen seiner Anmeldeaktivität. Verwenden Sie sie als Referenzpunkt beim Lesen der untenstehenden Zeitleiste.
Üblicher Standort
Die Länder, von denen sich dieser Benutzer am häufigsten anmeldet (mit dem Anteil der Anmeldungen je Land).
Übliches Gerät
Das Betriebssystem und der Browser, die der Benutzer typischerweise verwendet.
Übliches Anmeldemuster
Eine wöchentliche Heatmap, die zeigt, wann der Benutzer normalerweise aktiv ist.
VPN-Nutzung
Wie oft sich dieser Benutzer über ein VPN anmeldet.
E-Mail-Durchsatz
Wie viele E-Mails dieser Benutzer durchschnittlich pro Tag sendet, samt seinem historischen Höchstwert.
Abdeckung
Die Anzahl der Anmeldungen, aus denen die Basislinie berechnet wird.
Aktivität
Der Abschnitt Aktivität ist eine chronologisch rückwärts sortierte Zeitleiste der Signale, die den Alarm ausgelöst haben, und der vom Stoik SOC ergriffenen Maßnahmen. Die Ereignisse sind nach Tagen gruppiert. Jeder Eintrag zeigt die Uhrzeit, ein Symbol und eine kurze Erklärung.
Erkannte Signale
Die Zeitleiste zeigt die Signale, die zum Alarm geführt haben:
Unmögliches Reisen erkannt — zwei Anmeldungen liegen angesichts der Zeit zwischen ihnen zu weit auseinander.
Anmeldung aus einem Hochrisikoland — Anmeldung aus einem Land, das in unserer Bedrohungsdatenbank markiert ist.
Anmeldung von ungewöhnlichem Standort / Netzwerk / Gerät / Browser — der Benutzer hat sich aus einem Kontext angemeldet, den er normalerweise nicht verwendet.
Anmeldung zu ungewöhnlicher Zeit — Anmeldung außerhalb der normalen Arbeitszeiten des Benutzers.
Automatisierter Zugriff erkannt — Anmeldung von einem Headless-Browser oder Automatisierungstool.
Verdächtiger App-Zugriff erkannt — Zugriff von einem Tool, das häufig von Angreifern verwendet wird (z. B. Graph Explorer, Azure CLI).
Hohes E-Mail-Aufkommen erkannt — der Benutzer hat innerhalb von 24 Stunden deutlich mehr E-Mails als gewöhnlich gesendet.
Verdächtige Posteingangsregel erstellt — für das Postfach wurde eine Regel erstellt, die Nachrichten automatisch löscht, weiterleitet oder ausblendet.
Authentifizierungsmethode hinzugefügt oder entfernt — eine MFA-Methode wurde für das Konto geändert.
Anmeldung von bekannter bösartiger IP — Anmeldung von einer IP, die in unserem Bedrohungs-Feed aufgeführt ist.
VPN verwendet — Anmeldung über VPN bei einem Benutzer, der dies selten nutzt.
Sitzung geräteübergreifend wiederverwendet — dieselbe Sitzungs-ID wurde von zwei unterschiedlichen OS-/Browser-Kombinationen gesehen.
Microsoft Entra meldete hohes Risiko — Microsofts eigener Identitätsschutz hat einen Alarm ausgelöst.
Fehlgeschlagener MFA-Versuch — eine MFA-Abfrage ist fehlgeschlagen.
SOC-Aktionen
Der Stoik SOC kann die folgenden Maßnahmen ergreifen, um ein kompromittiertes Konto einzudämmen:
Passwort zurücksetzen — ein neues temporäres Passwort erzwingen. Der Benutzer muss es bei der nächsten Anmeldung ändern.
Sitzung zurücksetzen — jede aktive Anmeldesitzung widerrufen. Jedes Gerät muss sich erneut authentifizieren.
Posteingangsregeln löschen — eine bestimmte Postfachregel entfernen, z. B. eine Weiterleitungs- oder Auto-Löschregel.
Anwendungen löschen — eine bestimmte App-Zuweisung des Benutzers widerrufen.
MFA-Methode löschen — eine bestimmte Authentifizierungsmethode entfernen.
Gerät löschen — ein Gerät, das dem Benutzer gehört oder von ihm registriert wurde, dauerhaft löschen.
Alarmbearbeitung
Die Zeitleiste verfolgt auch, wie der Alarm behandelt wurde:
Alarm erstellt
Als die Kompromittierung erkannt wurde.
Alarmbestätigung
Als der Alarm im Stoik-System verarbeitet und bestätigt wurde.
Alarmbearbeitung
Als ein SOC-Analyst mit der Untersuchung des Alarms begann.
Alarmabschluss
Als der Alarm behoben und geschlossen wurde.
Alarm erstellt und Alarmbestätigung immer angezeigt werden. Alarmbearbeitung und Alarmabschluss erscheinen, während der Alarm fortschreitet.
Analystennotizen
Einige Alarme enthalten Analystennotizen die vom Stoik SOC verfasst wurden. Diese Notizen liefern zusätzlichen Kontext dazu, wie der Alarm untersucht und behoben wurde.
Nicht alle Alarme haben Analystennotizen; sie werden hinzugefügt, wenn das SOC-Team zusätzlichen Kontext für relevant hält.
E-Mail-Austausch
Einige Alarme enthalten E-Mail-Austausche im Zusammenhang mit der Alarmbearbeitung. Falls verfügbar, werden diese Kommunikationen im Seitenbereich angezeigt und geben Ihnen den vollständigen Kontext, wie der Alarm kommuniziert und behoben wurde.
Dieser Abschnitt erscheint nur, wenn es zugehörige E-Mails gibt
Zuletzt aktualisiert
War das hilfreich?