Microsoft Sentinel entwickelt sich zu einem SIEM und einer Plattform

September 2025

Microsoft Sentinel entwickelt sich zu einem SIEM und einer Plattform
Die Sicherheit wird für die KI-Ära überarbeitet und geht über statische, regelbasierte Kontrollen und Post-Breach-Reaktionen hinaus in Richtung einer plattformbasierten, maschinenschnellen Verteidigung. Um der Herausforderung fragmentierter Tools, ausufernder Signale und veralteter Architekturen zu begegnen, die mit der Geschwindigkeit und dem Ausmaß moderner Angriffe nicht mithalten können, hat sich Microsoft Sentinel sowohl zu einem SIEM als auch zu einer Plattform entwickelt, die Daten für eine agentenbasierte Verteidigung vereint. Dieses Update spiegelt architektonische Verbesserungen wider, die KI-gesteuerte Sicherheitsoperationen in großem Umfang unterstützen. Weitere Informationen finden Sie unter Was ist Microsoft Sentinel?

Zu den wichtigsten Ergänzungen gehören der Microsoft Sentinel Data Lake, der Microsoft Sentinel Graph und der Microsoft Sentinel Model Context Protocol (MCP)-Server, wie unten beschrieben.

Microsoft Sentinel Data Lake ist jetzt allgemein verfügbar (GA)
Eine skalierbare, kosteneffiziente Grundlage für langfristige Datenspeicherung und multimodale Analysen. Microsoft Sentinel Data Lake ermöglicht es Unternehmen, Sicherheitsdaten über verschiedene Quellen hinweg zu vereinheitlichen und erweiterte Analysen ohne Infrastruktur-Overhead durchzuführen.

Weitere Informationen finden Sie unter Microsoft Sentinel Data Lake.

Microsoft Sentinel Graph (Vorschau)
Vereinheitlichte Diagrammanalysen für tieferen Kontext und Bedrohungsanalysen. Microsoft Sentinel Graph modelliert Beziehungen zwischen Benutzern, Geräten und Aktivitäten, um komplexe Bedrohungsuntersuchungen und Analysen vor und nach einem Einbruch zu unterstützen.

Weitere Informationen finden Sie unter Was ist Microsoft Sentinel graph? (Vorschau).

Microsoft Sentinel Model Context Protocol (MCP) Server (Vorschau)
Eine gehostete Schnittstelle zur Erstellung intelligenter Agenten unter Verwendung natürlicher Sprache. Der Microsoft Sentinel MCP-Server vereinfacht die Erstellung von Agenten und die Untersuchung von Daten, indem er es Ingenieuren ermöglicht, Sicherheitsdaten ohne Schemakenntnisse abzufragen und zu analysieren.
Weitere Informationen finden Sie unter Überblick über das Model Context Protocol (MCP).

Neue Datenquellen für erweiterte User and Entity Behavior Analytics (UEBA) (Vorschau)

Die UEBA von Microsoft Sentinel ermöglicht SOC-Teams eine KI-gestützte Erkennung von Anomalien auf der Grundlage von Verhaltenssignalen in Ihrem Tenant. Es hilft bei der Priorisierung von Bedrohungen mithilfe von dynamischen Baselines, Peer-Vergleichen und angereicherten Entitätsprofilen.

UEBA unterstützt jetzt die Erkennung von Anomalien anhand von sechs neuen Datenquellen:
Microsoft-Authentifizierungsquellen:
Diese Quellen bieten einen tieferen Einblick in das Identitätsverhalten in Ihrer Microsoft-Umgebung.

• Microsoft Defender XDR-Geräteanmeldeereignisse: Erfassen Sie die Anmeldeaktivität von Endgeräten und identifizieren Sie so Seitwärtsbewegungen, ungewöhnliche Zugriffsmuster oder gefährdete Geräte.
• Microsoft Entra ID Anmeldeprotokolle für verwaltete Identitäten: Verfolgen Sie Anmeldungen von verwalteten Identitäten, die in der Automatisierung verwendet werden, wie z. B. Skripte und Dienste. Dies ist wichtig, um den stillen Missbrauch von Dienstidentitäten zu erkennen.
• Microsoft Entra ID Dienstprinzipal-Anmeldungsprotokolle: Überwachen Sie die Anmeldungen von Dienstprinzipalen, die häufig von Anwendungen oder Skripten verwendet werden, um Anomalien wie unerwarteten Zugriff oder die Ausweitung von Berechtigungen zu erkennen.

Cloud- und Identitätsmanagement-Plattformen von Drittanbietern:
UEBA lässt sich jetzt mit führenden Cloud- und Identitätsmanagement-Plattformen integrieren, um die Erkennung von Identitätskompromittierung, Missbrauch von Berechtigungen und riskantem Zugriffsverhalten in Multi-Cloud-Umgebungen zu verbessern.

• AWS CloudTrail-Anmeldeereignisse: Kennzeichnen Sie riskante Anmeldeversuche in Amazon Web Services (AWS), wie z. B. fehlgeschlagene Multifaktor-Authentifizierung (MFA) oder die Verwendung des Root-Kontos - kritische Indikatoren für eine mögliche Gefährdung des Kontos.
• GCP-Auditprotokolle - Gescheiterte IAM-Zugriffsereignisse: Erfassen Sie verweigerte Zugriffsversuche in Google Cloud Platform, um Versuche der Privilegieneskalation oder falsch konfigurierte Rollen zu identifizieren.
• Okta MFA- und Authentifizierungssicherheitsänderungsereignisse: Erfassen Sie MFA-Herausforderungen und Änderungen an Authentifizierungsrichtlinien in Okta - Signale, die auf gezielte Angriffe oder Identitätsmanipulationen hinweisen könnten.

Diese neuen Quellen verbessern die Fähigkeit von UEBA, Bedrohungen in Microsoft- und hybriden Umgebungen auf der Grundlage von angereicherten Benutzer-, Geräte- und Dienstidentitätsdaten, erweitertem Verhaltenskontext und neuen plattformübergreifenden Anomalieerkennungsfunktionen zu erkennen.

Um die neuen Datenquellen zu aktivieren, müssen Sie in das Defender-Portal aufgenommen werden.