Conexión al servicio Defender for Identity

Cada sensor de Microsoft Defender for Identity requiere conectividad a Internet con el servicio en la nube de Defender for Identity para informar de los datos del sensor y funcionar correctamente.

En algunas organizaciones, los controladores de dominio no están conectados directamente a Internet, pero están conectados a través de una conexión de proxy web, y no se admiten la inspección ssl y la interceptación de servidores proxy por motivos de seguridad. En estos casos, tu servidor proxy debe permitir que el tráfico de sensores pase directamente desde los sensores de Defender for Identity hasta las URLs requeridas del servicio Defender for Identity sin interceptación.

Habilitación del acceso a las direcciones URL del servicio Defender for Identity en el servidor proxy

Para garantizar la máxima seguridad y privacidad de los datos, Defender for Identity usa la autenticación mutua basada en certificados entre cada sensor de Defender for Identity y el back-end de la nube de Defender for Identity. No se soporta la inspección e interceptación SSL, porque estos comportamientos proxy interfieren en el proceso de autenticación mutua basado en certificados.

Para habilitar el acceso a Defender for Identity, asegúrese de permitir el tráfico a la dirección URL del sensor mediante la sintaxis siguiente: <your-workspace-name>sensorapi.atp.azure.com. Por ejemplo, contoso-corpsensorapi.atp.azure.com.

• Para obtener el nombre del área de trabajo, consulte la página Defender para la configuración de identidad en el portal de Microsoft Defender.

• Si el proxy o firewall usa listas de permitidos explícitas, también se recomienda asegurarse de que se permiten las siguientes direcciones URL:

  • crl.microsoft.com
  • ctldl.windowsupdate.com
  • www.microsoft.com/pkiops/*
  • www.microsoft.com/pki/*

• En ocasiones, las direcciones IP del servicio Defender for Identity pueden cambiar. Si configura manualmente las direcciones IP o si el proxy resuelve automáticamente los nombres DNS en su dirección IP y los usa, se recomienda comprobar periódicamente que las direcciones IP configuradas siguen actualizadas.

• Si ha configurado previamente el proxy mediante opciones heredadas, como WiniNet o una actualización de clave del Registro, deberá realizar cualquier cambio mediante el método que usó originalmente. Para obtener más información, vea Cambiar la configuración del proxy mediante métodos heredados.

Habilitación del acceso con una etiqueta de servicio

En lugar de habilitar manualmente el acceso a puntos de conexión específicos, descargue los intervalos IP de Azure y las etiquetas de servicio en la nube pública y use los intervalos de direcciones IP en la etiqueta de servicio AzureAdvancedThreatProtection de Azure para habilitar el acceso a Defender for Identity.

Para obtener más información, consulte Etiquetas de servicio de red virtual. Para conocer las ofertas del gobierno de EE. UU., consulte Introducción a las ofertas del Gobierno de EE. UU.

Cambio de la configuración del proxy mediante la CLI

Puedes usar la CLI para configurar o borrar la configuración del proxy del sensor ejecutando directamente el ejecutable de despliegue.

Requisitos previos: busque el Microsoft.Tri.Sensor.Deployment.Deployer.exe archivo. Este archivo se encuentra junto con la instalación del sensor. De forma predeterminada, esta ubicación es C:\Program Files\Azure Protección contra amenazas avanzada Sensor\version number\

Utiliza el ejecutable de despliegue para configurar un proxy autenticado para el sensor actual de Defender for Identity. Este enfoque es útil durante la instalación o cuando no hay disponibles los cmdlets de PowerShell.

Para cambiar la configuración del proxy del sensor actual:

Microsoft.Tri.Sensor.Deployment.Deployer.exe ProxyUrl="http://myproxy.contoso.local" ProxyUserName="CONTOSO\myProxyUser" ProxyUserPassword="myPr0xyPa55w0rd"

El comando usa los parámetros siguientes:

Para quitar completamente la configuración de proxy del sensor actual:

Para eliminar cualquier configuración de proxy configurada a través de la herramienta de despliegue y devolver el sensor a la conectividad directa, ejecute el siguiente comando:

Microsoft.Tri.Sensor.Deployment.Deployer.exe ClearProxyConfiguration

Cambio de la configuración del proxy mediante PowerShell

Requisitos previos: antes de ejecutar comandos de PowerShell de Defender for Identity, asegúrese de que ha descargado el módulo de PowerShell de Defender for Identity.

Puede ver y cambiar la configuración del proxy del sensor mediante PowerShell. Para ello, inicie sesión en el servidor de sensores y ejecute comandos como se muestra en los ejemplos siguientes:

Para ver la configuración de proxy del sensor actual:

Get-MDISensorProxyConfiguration

Para cambiar la configuración del proxy del sensor actual:

Set-MDISensorProxyConfiguration -ProxyUrl 'http://proxy.contoso.com:8080'

El comando anterior establece la configuración de proxy para el sensor de Defender para Identity para usar el servidor proxy especificado sin credenciales.

Para quitar completamente la configuración de proxy del sensor actual:

Clear-MDISensorProxyConfiguration

Para obtener más información, vea las siguientes referencias de PowerShell de DefenderForIdentity:

• Get-MDISensorProxyConfiguration
• Set-MDISensorProxyConfiguration
• Clear-MDISensorProxyConfiguration

Cambio de la configuración del proxy mediante métodos heredados

Si anteriormente configuraste la configuración del proxy a través de WinINet o una clave del Registro y necesitas actualizarlas, deberás usar el método coincidente: actualizar la configuración de WinINet a través de WinINet o actualizar la configuración basada en el Registro a través del Registro.

Si bien configurar el proxy desde la línea de comandos durante la instalación garantiza que solo los servicios del sensor de Microsoft Defender for Identity se comuniquen a través del proxy, el uso de WinINet o de una configuración del registro permite que otros servicios que se ejecutan con las cuentas LocalSystem o LocalService también encaminen el tráfico a través del proxy.

Configuración de un servidor proxy mediante WinINet

Al configurar el proxy mediante WinINet, tenga en cuenta que el servicio de sensor de Defender for Identity insertado se ejecuta en el contexto del sistema mediante la cuenta localService y que el servicio de actualización de Defender for Identity Sensor se ejecuta en el contexto del sistema mediante la cuenta localSystem .

• Si usa WinHTTP para la configuración de proxy, debe configurar los valores de proxy del explorador de Windows Internet (WinINet) para la comunicación entre el sensor y el servicio en la nube de Defender for Identity.

• Si usa el proxy transparente o WPAD en la topología de red, no es necesario configurar WinINet para el proxy.

Configuración de un servidor proxy mediante el Registro

En el procedimiento siguiente se describe cómo configurar manualmente un servidor proxy estático mediante un proxy estático basado en el Registro.

Para configurar el proxy, copie la configuración del proxy en el contexto de usuario en las cuentas LocalSystem y LocalService de la siguiente manera:

1. Realice una copia de seguridad de las claves del Registro.

2. En el Registro, busque el valor DefaultConnectionSettings como REG_BINARY, en la clave del Registro HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings y cópielo.

3. Si LocalSystem no tiene la configuración del proxy correcta, copie la configuración del proxy de Current_User a LocalSystem, en la clave del Registro HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings.

   Asegúrese de pegar el valor de la clave del registro Current_UserDefaultConnectionSettings como REG_BINARY.

   Esto puede ocurrir si la configuración del proxy no está configurada o si son diferentes de Current_User.

4. Si LocalService no tiene la configuración de proxy correcta, copie la configuración de proxy de Current_User a LocalService, debajo de la clave del Registro HKU\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings.

   Asegúrese de pegar el valor de la clave del registro Current_UserDefaultConnectionSettings como REG_BINARY.

Paso siguiente

Tras configurar el proxy, prueba la conectividad para verificar que el sensor puede llegar al servicio Defender for Identity.