Próbaüzem és üzembe helyezés Microsoft Defender for Identity

Ez a cikk egy munkafolyamatot biztosít a Microsoft Defender for Identity a szervezetben való kipróbálásához és üzembe helyezéséhez. Ezekkel a javaslatokkal Microsoft Defender for Identity egy teljes körű megoldás részeként Microsoft Defender XDR.

Ez a cikk feltételezi, hogy éles Microsoft 365-bérlővel rendelkezik, és ebben a környezetben teszteli és telepíti a Microsoft Defender for Identity. Ez a gyakorlat megőrzi a próbaüzem során konfigurált beállításokat és testreszabásokat a teljes üzembe helyezéshez.

A Defender for Identity hozzájárul egy Teljes felügyelet architektúrához, és segít megelőzni vagy csökkenteni a biztonsági incidensből eredő üzleti károkat. További információ: A Microsoft Teljes felügyelet bevezetési keretrendszerének üzleti incidensekből eredő üzleti kárainak megelőzése vagy csökkentése.

Teljes körű üzembe helyezés Microsoft Defender XDR

Ez egy sorozat 6. cikke, amely segítséget nyújt a Microsoft Defender XDR összetevőinek üzembe helyezéséhez, beleértve az incidensek kivizsgálását és megválaszolását.

Az ebben a sorozatban szereplő cikkek a teljes üzembe helyezés következő fázisainak felelnek meg:

A Defender for Identity próba- és üzembe helyezési munkafolyamata

Az alábbi ábra egy termék vagy szolgáltatás informatikai környezetben történő üzembe helyezésének gyakori folyamatát szemlélteti.

Első lépésként értékelje ki a terméket vagy szolgáltatást, és hogy hogyan fog működni a szervezeten belül. Ezután tesztelheti a terméket vagy szolgáltatást az éles infrastruktúra megfelelő kis részhalmazával a teszteléshez, a tanuláshoz és a testreszabáshoz. Ezután fokozatosan növelje az üzembe helyezés hatókörét, amíg a teljes infrastruktúrára vagy szervezetre ki nem terjed.

Az alábbi munkafolyamat a Defender for Identity éles környezetben való kipróbálására és üzembe helyezésére vonatkozik.

Hajtsa végre az alábbi lépéseket:

1. A Defender for Identity-példány beállítása
2. Érzékelők telepítése és konfigurálása
3. Eseménynapló- és proxybeállítások konfigurálása gépeken az érzékelővel
4. A Defender for Identity lehetővé teszi a helyi rendszergazdák azonosítását más számítógépeken
5. Képességek kipróbálás

Az egyes üzembehelyezési szakaszokhoz az alábbi javasolt lépések tartoznak.

Szervezet védelme a hackerek ellen

A Defender for Identity önállóan nyújt hatékony védelmet. A Microsoft Defender XDR egyéb képességeivel kombinálva azonban a Defender for Identity adatokat biztosít a megosztott jelekhez, amelyek együttesen segítenek a támadások leállításában.

Íme egy példa egy kibertámadásra, valamint arra, hogy a Microsoft Defender XDR összetevői hogyan segítenek észlelni és enyhíteni a támadást.

A Defender for Identity jeleket gyűjt Active Directory tartományi szolgáltatások (AD DS) tartományvezérlőkről és Active Directory összevonási szolgáltatások (AD FS) (AD FS) és Active Directory tanúsítványszolgáltatást (AD CS) futtató kiszolgálókról. Ezeket a jeleket a hibrid identitáskezelési környezet védelmére használja, beleértve a feltört fiókokat használó hackerek elleni védelmet a helyszíni környezetben található munkaállomások közötti oldalirányú mozgáshoz.

Microsoft Defender XDR az összes Microsoft Defender összetevőtől érkező jeleket korrelálja a teljes támadási történet biztosítása érdekében.

A Defender for Identity architektúrája

Microsoft Defender for Identity teljes mértékben integrálva van a Microsoft Defender XDR, és helyi Active Directory identitásokból származó jeleket használja a szervezetre irányított speciális fenyegetések jobb azonosításához, észleléséhez és kivizsgálásához.

Helyezzen üzembe Microsoft Defender for Identity annak érdekében, hogy a biztonsági üzemeltetési (SecOps-) csapatok modern identitásfenyegetési és -reagálási (ITDR) megoldást nyújtsanak hibrid környezetekben, beleértve a következőket:

• A biztonsági incidensek megelőzése proaktív identitásbiztonsági állapotértékelések használatával
• Fenyegetések észlelése valós idejű elemzés és adatintelligencia használatával
• Gyanús tevékenységek vizsgálata világos, végrehajtható incidensadatok használatával
• A feltört identitásokra adott automatikus válaszokkal reagálhat a támadásokra. További információ: Mi az a Microsoft Defender for Identity?

A Defender for Identity megvédi a helyszíni AD DS-felhasználói fiókokat és a Microsoft Entra ID bérlővel szinkronizált felhasználói fiókokat. A csak Microsoft Entra felhasználói fiókokból álló környezetek védelméről lásd: Microsoft Entra ID-védelem.

Az alábbi ábrán a Defender for Identity architektúrája látható.

Ebben az ábrán:

• Az AD DS-tartományvezérlőkre és AD CS-kiszolgálókra telepített érzékelők elemzik a naplókat és a hálózati forgalmat, és elemzés és jelentéskészítés céljából elküldik őket a Microsoft Defender for Identity.
• Az érzékelők elemezhetik a külső identitásszolgáltatók AD FS-hitelesítéseit is, és ha Microsoft Entra ID összevont hitelesítés használatára van konfigurálva (az ábrán látható pontozott vonalak).
• Microsoft Defender for Identity jeleket oszt meg Microsoft Defender XDR.

A Defender for Identity érzékelői közvetlenül a következő kiszolgálókra telepíthetők:

• AD DS-tartományvezérlők. Az érzékelő közvetlenül figyeli a tartományvezérlő forgalmát anélkül, hogy dedikált kiszolgálóra vagy porttükrözés konfigurálására van szükség.
• AD FS-kiszolgálók/AD CS-kiszolgálók. Az érzékelő közvetlenül figyeli a hálózati forgalmat és a hitelesítési eseményeket.

A Defender for Identity architektúrájának részletesebb megismeréséhez lásd: Microsoft Defender for Identity architektúra.

1. lépés: A Defender for Identity-példány beállítása

Jelentkezzen be a Defender portálra a támogatott szolgáltatások, többek között a Microsoft Defender for Identity üzembe helyezésének megkezdéséhez. További információ: A Microsoft Defender XDR használatának megkezdése.

2. lépés: Az érzékelők telepítése

A Defender for Identity bizonyos előfeltételekkel kapcsolatos munkát igényel annak biztosításához, hogy a helyszíni identitás- és hálózatkezelési összetevők megfeleljenek a minimális követelményeknek ahhoz, hogy telepíteni tudja a Defender for Identity érzékelőt a környezetében.

Ha meggyőződik a környezet felkészültségéről, tervezze meg a kapacitását, és ellenőrizze a Defender for Identityhez való kapcsolódást. Ezután amikor készen áll, töltse le, telepítse és konfigurálja a Defender for Identity érzékelőt a helyszíni környezetben lévő tartományvezérlők, AD FS és AD CS-kiszolgálókon.

3. lépés: Eseménynapló- és proxybeállítások konfigurálása az érzékelővel rendelkező gépeken

Azon gépeken, amelyeken telepítette az érzékelőt, konfigurálja a Windows eseménynapló-gyűjtését az észlelési képességek engedélyezéséhez és javításához.

4. lépés: Annak engedélyezése, hogy a Defender for Identity azonosítsa a helyi rendszergazdákat más számítógépeken

Microsoft Defender for Identity oldalirányú mozgási útvonal (LMP) észlelése olyan lekérdezésekre támaszkodik, amelyek adott gépek helyi rendszergazdáit azonosítják. Ezek a lekérdezések az SAM-R protokollal, a Defender for Identity Service-fiókkal hajthatók végre.

Annak biztosítása érdekében, hogy a Windows-ügyfelek és -kiszolgálók lehetővé tegyék a Defender for Identity-fiók SAM-R végrehajtását, módosítani kell a Csoportházirend, hogy hozzáadja a Defender for Identity szolgáltatásfiókot a hálózati hozzáférési szabályzatban felsorolt konfigurált fiókok mellett. Győződjön meg arról, hogy a tartományvezérlők kivételével minden számítógépre alkalmazza a csoportházirendeket.

Ennek módjáról az SAM-R konfigurálása az oldalirányú mozgásvonal észlelésének engedélyezéséhez Microsoft Defender for Identity című témakörben olvashat.

5. lépés: Képességek kipróbálás

A Defender for Identity dokumentációja a következő cikkeket tartalmazza, amelyek végigvezetik a különböző támadástípusok azonosításának és elhárításának folyamatán:

• Objektumok vizsgálata, beleértve a gyanús felhasználókat, csoportokat és eszközöket
• LMP-k megismerése és vizsgálata Microsoft Defender for Identity
• A biztonsági riasztások ismertetése

További információ:

• Felderítési riasztások
• Sérült hitelesítőadat-riasztások
• Oldalirányú mozgás riasztásai
• Tartományi dominancia riasztásai
• Kiszűrési riasztások
• Felhasználó vizsgálata
• Számítógép vizsgálata
• Oldalirányú mozgási útvonalak vizsgálata
• Entitások vizsgálata

SIEM-integráció

A Defender for Identity integrálható Microsoft Sentinel a Microsoft egységes biztonsági üzemeltetési platformjának részeként, vagy egy általános biztonsági információ- és eseménykezelési (SIEM) szolgáltatással, amely lehetővé teszi a csatlakoztatott alkalmazások riasztásainak és tevékenységeinek központosított monitorozását. A Microsoft Sentinel átfogóbban elemezheti a szervezet biztonsági eseményeit, és forgatókönyveket hozhat létre a hatékony és azonnali reagálás érdekében.

Microsoft Sentinel támogatja az XDR-adatösszekötőkhöz készült Microsoft Defender, hogy az Defender XDR minden jelét Microsoft Sentinel, beleértve a Defender for Identityt is. Használja a Defender portált egységes biztonsági műveletek (SecOps) platformként.

További információ:

• Microsoft Sentinel csatlakoztatása a Microsoft Defender portálhoz
• Általános SIEM-integráció

További lépés

Építse be a következőket a SecOps-folyamatokba:

• Az ITDR-irányítópult megtekintése
• A Defender for Identity állapotproblémáinak megtekintése és kezelése

A Microsoft Defender XDR teljes körű üzembe helyezésének következő lépése

Folytassa a Microsoft Defender XDR teljes körű üzembe helyezését a Próbaüzem és a Office 365-höz készült Defender üzembe helyezésével.