Pilotphase und Bereitstellung von Microsoft Defender for Identity

Dieser Artikel enthält einen Workflow zum Pilotieren und Bereitstellen von Microsoft Defender for Identity in Ihrem organization. Nutzen Sie diese Empfehlungen, um Microsoft Defender for Identity als Teil einer End-to-End-Lösung mit Microsoft Defender einzuführen.

In diesem Artikel wird davon ausgegangen, dass Sie über einen Microsoft 365-Produktionsmandanten verfügen und Microsoft Defender for Identity in dieser Umgebung pilotieren und bereitstellen. Bei dieser Vorgehensweise werden alle Einstellungen und Anpassungen beibehalten, die Sie während des Pilotprojekts für Ihre vollständige Bereitstellung konfigurieren.

Defender for Identity trägt zu einer Zero Trust Architektur bei, indem es dazu beiträgt, Geschäftsschäden durch eine Sicherheitsverletzung zu verhindern oder zu reduzieren. Weitere Informationen finden Sie unter Verhindern oder Reduzieren von Geschäftsschäden durch eine Sicherheitsverletzung im Microsoft Zero Trust Adoption Framework.

End-to-End-Bereitstellung für Microsoft Defender

Dies ist Artikel 2 von 6 in einer Reihe, die Ihnen helfen soll, die Komponenten von Microsoft Defender XDR bereitzustellen, einschließlich der Untersuchung und Reaktion auf Vorfälle.

Die Artikel in dieser Reihe entsprechen den folgenden Phasen der End-to-End-Bereitstellung:

Pilot- und Bereitstellungsworkflow für Defender for Identity

Das folgende Diagramm veranschaulicht einen allgemeinen Prozess zum Bereitstellen eines Produkts oder Diensts in einer IT-Umgebung.

Sie beginnen damit, das Produkt oder die Dienstleistung zu bewerten und zu prüfen, wie sie in Ihrem Unternehmen eingesetzt werden. Anschließend pilotieren Sie das Produkt oder den Dienst mit einer entsprechend kleinen Teilmenge Ihrer Produktionsinfrastruktur zum Testen, Lernen und Anpassen. Erweitern Sie dann schrittweise den Umfang der Bereitstellung, bis Ihre gesamte Infrastruktur oder organization abgedeckt ist.

Hier sehen Sie den Workflow zum Pilotieren und Bereitstellen von Defender for Identity in Ihrer Produktionsumgebung.

Gehen Sie folgendermaßen vor:

1. Einrichten des Defender for Identity-instance
2. Installieren und Konfigurieren von Sensoren
3. Konfigurieren von Ereignisprotokoll- und Proxyeinstellungen auf Computern mit dem Sensor
4. Zulassen, dass Defender for Identity lokale Administratoren auf anderen Computern identifiziert
5. Funktionen ausprobieren

Hier finden Sie die empfohlenen Schritte für jede Bereitstellungsphase.

Schutz Ihrer Organisation vor Hackern

Defender for Identity bietet einen leistungsstarken Schutz für sich allein. In Kombination mit den anderen Funktionen von Microsoft Defender liefert Defender for Identity jedoch Daten zu den gemeinsamen Signalen, die zusammen helfen, Angriffe zu stoppen.

Hier ist ein Beispiel für einen Cyberangriff und wie die Komponenten von Microsoft Defender XDR helfen, ihn zu erkennen und zu entschärfen.

Defender for Identity sammelt Signale von Domänencontrollern für Active Directory Domain Services (AD DS) und von Servern, auf denen Active Directory-Verbunddienste (AD FS) und Active Directory-Zertifikatdienste (AD CS) ausgeführt werden. Es verwendet diese Signale, um Ihre Hybrididentitätsumgebung zu schützen, einschließlich schutz vor Hackern, die kompromittierte Konten verwenden, um sich seitlich über Arbeitsstationen in der lokalen Umgebung zu bewegen.

Microsoft Defender korreliert die Signale aller Microsoft Defender-Komponenten, um die vollständige Angriffsgeschichte zu liefern.

Architektur von Defender for Identity

Microsoft Defender for Identity ist vollständig mit Microsoft Defender integriert und nutzt Signale von lokales Active Directory-Identitäten, um Ihnen zu helfen, fortschrittliche Bedrohungen gegen Ihr Unternehmen besser zu identifizieren, zu erkennen und zu untersuchen.

Stellen Sie Microsoft Defender for Identity bereit, um Ihren Security Operations -Teams (SecOps) bei der Bereitstellung einer modernen ITDR-Lösung (Identity Threat Detection and Response) in Hybridumgebungen zu helfen, einschließlich:

• Verhindern Sie Sicherheitsverletzungen durch proaktive Bewertungen der Identitätssicherheitslage
• Erkennen von Bedrohungen mithilfe von Echtzeitanalysen und Datenintelligenz
• Untersuchen verdächtiger Aktivitäten mit klaren, umsetzbaren Vorfallinformationen
• Reagieren Sie auf Angriffe, indem Sie automatische Reaktionen auf kompromittierte Identitäten verwenden. Weitere Informationen finden Sie unter Was ist Microsoft Defender for Identity?

Defender for Identity schützt Ihre lokalen AD DS-Benutzerkonten und Benutzerkonten, die mit Ihrem Microsoft Entra ID Mandanten synchronisiert werden. Informationen zum Schutz einer Umgebung, die nur aus Microsoft Entra Benutzerkonten besteht, finden Sie unter Microsoft Entra ID Protection.

Das folgende Diagramm veranschaulicht die Architektur für Defender for Identity.

In dieser Abbildung:

• Sensoren, die auf AD DS-Domänencontrollern und AD CS-Servern installiert sind, analysieren Protokolle und Netzwerkdatenverkehr und senden sie zur Analyse und Berichterstellung an Microsoft Defender for Identity.
• Sensoren können auch AD FS-Authentifizierungen sowohl für Identitätsanbieter von Drittanbietern als auch dann auswerten, wenn Microsoft Entra ID für die Nutzung der Verbundauthentifizierung konfiguriert ist (die gepunkteten Linien in der Abbildung).
• Microsoft Defender for Identity übermittelt Signale an Microsoft Defender.

Defender for Identity-Sensoren können direkt auf den folgenden Servern installiert werden:

• AD DS-Domänencontroller. Der Sensor überwacht den Datenverkehr des Domänencontrollers direkt, ohne dass ein dedizierter Server oder die Konfiguration der Portspiegelung erforderlich ist.
• AD FS-Server/AD CS-Server. Der Sensor überwacht den Netzwerkdatenverkehr und Authentifizierungsereignisse direkt.

Einen tieferen Einblick in die Architektur von Defender for Identity finden Sie unter Microsoft Defender for Identity Architektur.

Schritt 1: Einrichten der Defender for Identity-Instanz

Melden Sie sich beim Defender-Portal an, um mit der Bereitstellung unterstützter Dienste zu beginnen, einschließlich Microsoft Defender for Identity. Weitere Informationen finden Sie unter Start using Microsoft Defender.

Schritt 2: Installieren Ihrer Sensoren

Defender for Identity erfordert einige erforderliche Arbeit, um sicherzustellen, dass Ihre lokalen Identitäts- und Netzwerkkomponenten die Mindestanforderungen erfüllen, damit Sie den Defender for Identity-Sensor in Ihrer Umgebung installieren können.

Sobald Sie sicher sind, dass Ihre Umgebung bereit ist, planen Sie Ihre Kapazität, und überprüfen Sie die Konnektivität mit Defender for Identity. Wenn Sie dann bereit sind, laden Sie den Defender for Identity-Sensor auf den Domänencontrollern, AD FS- und AD CS-Servern in Ihrer lokalen Umgebung herunter, installieren und konfigurieren ihn.

Schritt 3: Konfigurieren von Ereignisprotokoll- und Proxyeinstellungen auf Computern mit dem Sensor

Konfigurieren Sie auf den Computern, auf denen Sie den Sensor installiert haben, die Windows-Ereignisprotokollsammlung, um die Erkennungsfunktionen zu aktivieren und zu verbessern.

Schritt 4: Zulassen, dass Defender for Identity lokale Administratoren auf anderen Computern identifiziert

Die Microsoft Defender for Identity-Erkennung von Lateral Movement Paths (LMP) basiert auf Abfragen, die lokale Administratoren auf bestimmten Computern identifizieren. Diese Abfragen werden mit dem SAM-R-Protokoll unter Verwendung des Defender for Identity Service-Kontos ausgeführt.

Um sicherzustellen, dass Windows-Clients und -Server Ihrem Defender for Identity-Konto die Ausführung von SAM-R erlauben, muss eine Änderung an Gruppenrichtlinie vorgenommen werden, um das Defender for Identity-Dienstkonto zusätzlich zu den konfigurierten Konten hinzuzufügen, die in der Netzwerkzugriffsrichtlinie aufgeführt sind. Stellen Sie sicher, dass Sie Gruppenrichtlinien auf alle Computer mit Ausnahme von Domänencontrollern anwenden.

Anweisungen dazu finden Sie unter Konfigurieren von SAM-R zum Aktivieren der Erkennung von Lateral Movement-Pfaden in Microsoft Defender for Identity.

Schritt 5: Testen von Funktionen

Die Defender for Identity-Dokumentation enthält die folgenden Artikel, die den Prozess zum Identifizieren und Beheben verschiedener Angriffstypen durchlaufen:

• Untersuchen von Ressourcen, einschließlich verdächtiger Benutzer, Gruppen und Geräte
• Verstehen und Untersuchen von LMPs mit Microsoft Defender for Identity
• Grundlegendes zu Sicherheitswarnungen

Weitere Informationen finden Sie unter:

• Reconnaissance-Warnungen
• Warnungen zu kompromittierten Anmeldeinformationen
• Warnungen zu lateralen Bewegungen
• Warnungen zur Domänendominanz
• Exfiltrationswarnungen
• Untersuchen eines Benutzers
• Untersuchen eines Computers
• Pfade lateraler Bewegungen untersuchen
• Untersuchen von Entitäten

SIEM-Integration

Sie können Defender for Identity mit Microsoft Sentinel für einheitliche Sicherheitsvorgänge im Defender-Portal oder mit einem generischen SIEM-Dienst (Security Information and Event Management) integrieren, um die zentralisierte Überwachung von Warnungen und Aktivitäten von verbundenen Apps zu ermöglichen. Mit Microsoft Sentinel können Sie Sicherheitsereignisse in Ihren organization umfassender analysieren und Playbooks für eine effektive und sofortige Reaktion erstellen.

Das Defender-Portal unterstützt einheitliche Sicherheitsoperationen mit Microsoft Sentinel und bringt Signale von Defender, einschließlich Defender for Identity, zu Microsoft Sentinel.

Weitere Informationen finden Sie unter:

• Verbinden Microsoft Sentinel mit dem Microsoft Defender-Portal
• Generische SIEM-Integration

Nächster Schritt

Integrieren Sie Folgendes in Ihre SecOps-Prozesse:

• Dashboard für Identitätssicherheit anzeigen
• Anzeigen und Verwalten von Defender for Identity-Zustandsproblemen

Nächster Schritt für die End-to-End-Implementierung von Microsoft Defender

Setzen Sie Ihre End-to-End-Bereitstellung von Microsoft Defender XDR mit Pilot fort, und stellen Sie Defender für Office 365 bereit.