Microsoft Defender Threat Intelligence (MDTI) Microsoft Defender Threat Intelligence (MDTI)

Referenz für externe Threat Intelligence, Infrastruktur Pivoting, Reputationsbewertung, Analystenwissen und Integrationen mit Sentinel sowie Defender XDR. Reference for external threat intelligence, infrastructure pivoting, reputation analysis, analyst knowledge, and integrations with Sentinel and Defender XDR.

Überblick: MDTI Overview: MDTI

Microsoft Defender Threat Intelligence ist eine Analystenoberfläche und API Landschaft für externe Bedrohungsinformationen. Sie bündelt Forschung, Telemetrie und Infrastrukturbeziehungen. Microsoft Defender Threat Intelligence is an analyst interface and API surface for external threat intelligence. It combines research, telemetry, and infrastructure relationships.

Im Gegensatz zu rein signaturbasierten Feeds liefert MDTI Kontext: Wer betreibt eine Infrastruktur, welche Bedrohungsakteure wurden beobachtet und welche Datenpunkte stützen eine Einschätzung. Unlike purely signature-based feeds, MDTI provides context: who operates an infrastructure set, which threat actors were observed, and which data points support an assessment.

Typische Anwendungsfälle sind Triage verdächtiger Domains, Threat Hunting, Incident Enrichment, Priorisierung von Blocklisten und Schutz exponierter Marken. Typical use cases include triage of suspicious domains, threat hunting, incident enrichment, blocklist prioritization, and protection of exposed brands.

Kernfunktionen Core capabilities

• Suche nach Akteuren, Kampagnen, Indikatoren und Infrastrukturartefakten. Search for actors, campaigns, indicators, and infrastructure artifacts.
• Pivoting zwischen Hosts, Zertifikaten, WHOIS Daten, Komponenten und Host Pairs. Pivot between hosts, certificates, WHOIS data, components, and host pairs.
• Reputationsbewertung und Analystenkommentare zur Priorisierung. Use reputation scoring and analyst commentary for prioritization.
• Projekte und Tags für kollaborative Untersuchungen und Wissensspeicherung. Use projects and tags for collaborative investigations and knowledge retention.

Threat Articles Threat articles

Threat Articles liefern kuratierte Analystenberichte zu Bedrohungsakteuren, Kampagnen, Malware Familien, Taktiken und relevanten Schwachstellen. Threat articles provide curated analyst reports on threat actors, campaigns, malware families, tactics, and relevant vulnerabilities.

Artikel enthalten Hinweise auf Ziele, Motivationen, verwendete Infrastruktur, zeitliche Entwicklung und typische Erkennungspunkte. Für Hunting und Incident Response sind sie oft der schnellste Einstieg. Articles contain clues on targets, motivations, infrastructure use, temporal evolution, and common detection points. For hunting and incident response, they are often the fastest on-ramp.

Wie Analysten Artikel nutzen How analysts use articles

• Neue Indikatoren gegen bekannte Bedrohungsakteure oder Kampagnen abgleichen. Match new indicators against known actors or campaigns.
• Erkennungshypothesen für Hunting Sitzungen aus TTP Beschreibungen ableiten. Derive hunting hypotheses from TTP descriptions.
• Management Briefings mit Kontext anreichern statt nur IOC Listen zu liefern. Enrich management briefings with context instead of only delivering IOC lists.
• Relevante Schwachstellen oder Werkzeuge in Exposure Programme übernehmen. Feed relevant vulnerabilities or tooling into exposure programs.

Indikatortypen Indicator types

MDTI arbeitet mit einer breiten Palette technischer Indikatoren. Die Stärke liegt nicht nur im einzelnen Wert, sondern im Kontext und in den Beziehungen zu weiteren Datenpunkten. MDTI works with a broad range of technical indicators. Its strength lies not only in the single value, but also in the surrounding context and its relationships to other data points.

Reputation Scoring Reputation scoring

MDTI stellt Reputationshinweise für Infrastruktur und Indikatoren bereit. Die exakte Gewichtung ist Microsoft intern und sollte immer zusammen mit Kontext gelesen werden. MDTI provides reputation guidance for infrastructure and indicators. The exact weighting is internal to Microsoft and should always be read with context.

Für operative Entscheidungen ist nicht nur relevant, ob ein Wert auffällig ist, sondern warum: neue Registrierung, ungewöhnliche Zertifikatskette, Kampagnenbezug oder verdächtige Ko Hosting Muster. For operations, it is not enough to know whether a value is suspicious; you also need to know why: new registration, unusual certificate chain, campaign linkage, or suspicious co-hosting patterns.

Praktische Interpretation Practical interpretation

• Reputation nie isoliert als Block Kriterium verwenden. Never use reputation alone as a blocking criterion.
• Neue auffällige Infrastruktur kann manuelle Eskalation statt Sofortblockade rechtfertigen. New suspicious infrastructure may justify manual escalation instead of instant blocking.
• Legitime Shared Hosting Umgebungen brauchen oft Zusatzprüfung. Legitimate shared hosting environments often require extra validation.

Datenbestände und Infrastrukturansichten Data sets and infrastructure views

Ein großer Mehrwert von MDTI ist die Zusammenführung mehrerer Datensätze in einer Untersuchung. So wird aus einem isolierten IOC ein belastbares Infrastrukturprofil. A major value of MDTI is the combination of multiple data sets inside one investigation. This turns an isolated IOC into a defensible infrastructure profile.

Analyst Insights, Intelligence Profiles und Infrastructure Mapping Analyst insights, intelligence profiles, and infrastructure mapping

MDTI ist mehr als eine Suche nach Datenpunkten. Analyst Insights beschreiben, wie Signale interpretiert werden, welche Bedrohungsaktivität wahrscheinlich dahintersteht und welche Folgeschritte sinnvoll sind. MDTI is more than a search interface for data points. Analyst insights explain how signals are interpreted, what threat activity is likely behind them, and which next steps make sense.

Intelligence Profiles bündeln Wissen zu Akteuren, Malware, Kampagnen oder Sektoren. Infrastructure Mapping zeigt Beziehungen zwischen Domains, Zertifikaten, Hosting, Komponenten und Verhaltensmustern. Intelligence profiles bundle knowledge about actors, malware, campaigns, or sectors. Infrastructure mapping shows relationships among domains, certificates, hosting, components, and behavior patterns.

Typische Mapping Fragen Typical mapping questions

• Welche Domains teilen Zertifikate, Tracker oder Komponenten mit dem auffälligen Host? Which domains share certificates, trackers, or components with the suspicious host?
• Welche Infrastruktur wurde historisch oder gleichzeitig mit derselben Kampagne beobachtet? Which infrastructure was observed historically or concurrently with the same campaign?
• Welche Hosting Muster oder Registrare deuten auf denselben Betreiber hin? Which hosting patterns or registrars suggest the same operator?
• Welche Erkenntnisse sind stabil genug für Detection, Hunting oder Blocklisten? Which findings are stable enough for detection, hunting, or block lists?

Projects und Zusammenarbeit Projects and collaboration

Projekte strukturieren Untersuchungen, bündeln Indikatoren, dokumentieren Hypothesen und erleichtern die Zusammenarbeit zwischen SOC, Threat Intel und Incident Response. Projects structure investigations, collect indicators, document hypotheses, and improve collaboration across the SOC, threat intel, and incident response teams.

Durch Freigabe von Projekten können Teams eine gemeinsame Sicht auf Infrastruktur, Artikel, Tags und Analystennotizen behalten. Das reduziert Wissensverlust. By sharing projects, teams keep a common view of infrastructure, articles, tags, and analyst notes. This reduces knowledge loss.

Gute Projektpraxis Good project practice

• Projekte nach Incident, Kampagne, Lieferant oder Bedrohungsakteur strukturieren. Structure projects by incident, campaign, supplier, or threat actor.
• Hypothesen klar trennen von bestätigten Erkenntnissen. Clearly separate hypotheses from confirmed findings.
• Teilen nur mit Rollen, die den Kontext wirklich brauchen. Share only with roles that genuinely need the context.
• Ergebnisse am Ende in Detection, Blocklisten oder Executive Summary überführen. At the end, convert results into detections, block lists, or an executive summary.

Tags: System und Custom Tags Tags: system and custom tags

Tags helfen, Infrastruktur schnell zu klassifizieren und über verschiedene Untersuchungen hinweg wiederzufinden. MDTI nutzt systemseitige und kundenspezifische Tags. Tags help classify infrastructure quickly and rediscover it across different investigations. MDTI uses system-provided and custom tags.

Tag Governance Tag governance

• Ein kontrolliertes Tag Vokabular verhindert Wildwuchs und doppelte Begriffe. A controlled tag vocabulary prevents sprawl and duplicate terms.
• Tags sollten Ermittlungsstatus, Risikoklasse oder Geschäftsrelevanz widerspiegeln. Tags should reflect investigation state, risk class, or business relevance.
• Custom Tags eignen sich gut für Übergänge nach Sentinel, Watchlists oder Ticketing. Custom tags work well for transitions into Sentinel, watchlists, or ticketing.

Suche, Filter und Pivot Analyse Search, filtering, and pivot analysis

MDTI Suche reicht von direkter IOC Eingabe bis zu kontextbezogenen Recherchen nach Akteuren, Kampagnen oder Infrastrukturclustern. Die größte Stärke liegt im iterativen Pivoting. MDTI search spans direct IOC lookup to context-rich research on actors, campaigns, or infrastructure clusters. Its greatest strength lies in iterative pivoting.

Filter helfen, Suchräume nach Typ, Relevanz, Reputation, Zeitbezug oder Beobachtungskontext einzugrenzen. Dadurch gelangt ein Analyst schnell von einer URL zu einem Cluster verwandter Hosts. Filters help narrow the search space by type, relevance, reputation, timeframe, or observation context. This lets an analyst move quickly from one URL to a cluster of related hosts.

Bewährte Pivot Muster Common pivot patterns

• Domain → WHOIS → Registrar → weitere neu registrierte Domains. Domain → WHOIS → registrar → additional newly registered domains.
• Domain → Passive DNS → IP → Host Pairs → Zertifikate. Domain → passive DNS → IP → host pairs → certificates.
• URL → Komponenten → Tracker → verwandte Seiten. URL → components → trackers → related pages.
• Artikel → Kampagne → beobachtete Infrastruktur → Custom Tags → Sentinel Watchlist. Article → campaign → observed infrastructure → custom tags → Sentinel watchlist.

actor:Storm-0558
campaign:credential-harvest
indicator:contoso-login-example.com
certificate:thumbprint:ABCD1234

API: MDTI Graph Security APIs und Indicator Management API: MDTI Graph Security APIs and indicator management

Graph Security APIs machen MDTI in Automatisierungen nutzbar. Typische Aufgaben sind Artikelsuche, Host Abfragen, Export relevanter Erkenntnisse und Management eigener Threat Indicators. Graph Security APIs make MDTI available to automation. Typical tasks include article search, host queries, export of relevant findings, and management of your own threat indicators.

Für produktive Nutzung sollten Berechtigungen, Lizenzumfang, API Limits und Lebenszyklus von Indikatoren sauber dokumentiert werden. Nicht jede Portalansicht ist identisch per API verfügbar. For production use, permissions, licensing scope, API limits, and the indicator lifecycle should be documented carefully. Not every portal view is exposed identically through API.

Connect-MgGraph -Scopes "ThreatIntelligence.Read.All"
Invoke-MgGraphRequest -Method GET -Uri "https://graph.microsoft.com/v1.0/security/threatIntelligence/articles?$search=Storm"

$body = @{
  action = 'alert'
  confidence = 85
  description = 'MDTI validated phishing domain'
  expirationDateTime = '2026-12-31T23:59:59Z'
  externalId = 'mdti-demo-001'
  targetProduct = 'Azure Sentinel'
  tlpLevel = 'amber'
  domainName = 'example-bad-domain.tld'
  threatType = 'phishing'
} | ConvertTo-Json

Invoke-MgGraphRequest -Method POST -Uri 'https://graph.microsoft.com/v1.0/security/tiIndicators' -Body $body -ContentType 'application/json'

Sentinel Integration Sentinel integration

MDTI ergänzt Microsoft Sentinel durch kontextreiche externe Informationen. Besonders relevant sind TI Connectoren, Matching Analytics und Workbooks. MDTI complements Microsoft Sentinel with context-rich external intelligence. Particularly relevant are TI connectors, matching analytics, and workbooks.

Operationalisierung in Sentinel Operationalizing in Sentinel

• Wichtige MDTI Erkenntnisse als tiIndicators oder Watchlists für Analytics Regeln aufbereiten. Convert key MDTI findings into tiIndicators or watchlists for analytics rules.
• Treffer mit Host, Benutzer, Prozess und Incident Kontext anreichern. Enrich hits with host, user, process, and incident context.
• Workbooks für Management, Hunting und Kampagnenbeobachtung trennen. Separate workbooks for management, hunting, and campaign monitoring.

Defender XDR Integration Defender XDR integration

In Defender XDR hilft MDTI vor allem bei Enrichment und Incident Korrelation. Verdächtige Domains, URLs, Zertifikate oder Hashes können mit Artikelkontext und Infrastrukturbeziehungen angereichert werden. In Defender XDR, MDTI primarily helps with enrichment and incident correlation. Suspicious domains, URLs, certificates, or hashes can be enriched with article context and infrastructure relationships.

Dadurch wird aus einem einzelnen Alert schneller ein priorisierbarer Incident. Analysten erkennen eher, ob eine Beobachtung isoliert oder Teil eines größeren Clusters ist. This turns a single alert into a more easily prioritized incident. Analysts can better tell whether an observation is isolated or part of a broader cluster.

Typische XDR Fragen Common XDR questions

• Ist diese URL Teil einer bekannten Phishing Kampagne? Is this URL part of a known phishing campaign?
• Hängt die beobachtete Domain mit weiteren verdächtigen Hosts oder Zertifikaten zusammen? Is the observed domain related to other suspicious hosts or certificates?
• Gibt es Indizien, dass neue externe Infrastruktur in interne Incidents einfließt? Is there evidence that new external infrastructure is feeding into internal incidents?

Lizenzierung: Standalone versus Included Licensing: standalone versus included

MDTI Lizenzierung sollte immer gegen aktuelle Microsoft Produktbedingungen geprüft werden. In der Praxis ist zwischen vollständigem eigenständigem MDTI und eingebetteten Erfahrungen in anderen Security Produkten zu unterscheiden. MDTI licensing should always be validated against current Microsoft product terms. In practice, distinguish between full standalone MDTI and embedded experiences in other security products.

Standalone liefert den umfassendsten Analystenarbeitsplatz mit tiefen Datenbeständen, Artikeln und Projektfunktionen. Enthaltene Erfahrungen bieten wertvolles Enrichment, sind aber nicht immer gleichwertig. Standalone delivers the broadest analyst workspace with deep data sets, articles, and project features. Included experiences provide valuable enrichment but are not always equivalent.

Untersuchungsworkflow und Best Practices Investigation workflow and best practices

Ein strukturierter Workflow erhöht den Nutzen von MDTI deutlich. Gute Teams starten mit einer klaren Frage, pivoten systematisch und operationalisieren Ergebnisse schnell. A structured workflow significantly increases MDTI value. Strong teams start with a clear question, pivot systematically, and operationalize results quickly.

• Mit einem initialen IOC, einem Artikel oder einem Incident Hinweis starten. Start with an initial IOC, an article, or an incident clue.
• Reputation, WHOIS und Passive DNS als erste Kontextschicht prüfen. Check reputation, WHOIS, and passive DNS as the first context layer.
• Über Zertifikate, Komponenten, Host Pairs und Subdomains in Cluster pivoten. Pivot through certificates, components, host pairs, and subdomains into clusters.
• Bestätigte Ergebnisse mit Custom Tags, Projekten und tiIndicators sichern. Preserve confirmed findings with custom tags, projects, and tiIndicators.
• Erkenntnisse nach Sentinel, Defender XDR, Ticketing oder Blocklisten exportieren. Export findings into Sentinel, Defender XDR, ticketing, or block lists.
• Am Ende dokumentieren, was Vermutung blieb und was belegt werden konnte. At the end, document what remained hypothesis and what was validated.

Kurze FAQ Quick FAQ

MDTI ersetzt keine interne Telemetrie, sondern ergänzt sie. Der größte Mehrwert entsteht, wenn externe Infrastrukturinformationen mit Defender, Sentinel und lokalen Geschäftsrisiken kombiniert werden. MDTI does not replace internal telemetry; it complements it. The biggest value comes from combining external infrastructure context with Defender, Sentinel, and local business risk.