introducción a la implementación de Microsoft Defender for Identity

Los sensores de Microsoft Defender for Identity recogen señales de tu infraestructura de identidad local. Defender for Identity utiliza estas señales para detectar amenazas como la escalada de privilegios y el movimiento lateral de alto riesgo. También informa sobre problemas de seguridad de identidades, como la delegación no restringida de Kerberos, para que tu equipo de seguridad pueda corregirlos.

Instale los sensores de Defender for Identity en todos los controladores de dominio, incluidos los controladores de dominio de solo lectura (RODC). También instala sensores en los servidores de Servicios de federación de Active Directory (AD FS) (AD FS), Active Directory Certificate Services (AD CS) y Microsoft Entra Connect que no sean controladores de dominio. Utiliza la tabla de este artículo para seleccionar la versión del sensor.

Selección del método de implementación

La versión del sensor que implemente depende del rol de servidor y del sistema operativo. Utilice la siguiente tabla para seleccionar el despliegue recomendado. Para plataformas v2.x compatibles, consulte los requisitos del servidor v2.x. Revisa los requisitos previos de migración por separado antes de actualizar un sensor v2.x existente.

Los controladores de dominio elegibles, los servidores AD FS, AD CS y Microsoft Entra Connect que ejecuten Windows Server 2019 o versiones posteriores soportan sensor v3.x. Puedes integrar estos servidores con o sin la implementación de Microsoft Defender para punto de conexión.

Diagrama del despliegue de sensores: usar sensor v3.x en servidores compatibles con Windows Server 2019 o posteriores, y v2.x en versiones anteriores.

Configuración del servidor Sistema operativo de servidor Implementación recomendada Opciones de incorporación
Cualquier tipo de servidor compatible Windows Server 2019 o posterior con la actualización acumulativa de septiembre de 2026 o posterior Sensor de Defender for Identity v3.x Para servidores integrados en Defender para Endpoint, activa el sensor v3.x directamente. Si no, usa el paquete de onboarding del sensor v3.x.
Cualquier tipo de servidor compatible Windows Server 2016 o versiones anteriores Sensor v2.x de Defender for Identity Instala el paquete sensor v2.x.

Defender for Identity soporta sensor v3.x y sensor v2.x en el mismo espacio de trabajo. Por ejemplo, podrías desplegar Sensor v3.x en servidores con Windows Server 2019 o posterior, y Sensor v2.x en servidores con Windows Server 2016 o anteriores.

Si tu organización requiere integración VPN o notificaciones de syslog, utiliza el sensor v2.x en los controladores de dominio correspondientes. Estas funciones no son compatibles con el sensor v3.x.

Importante

Si alguno de los sensores es v3.x, seleccione Usar automáticamente la cuenta del sistema local del sensor para todos los sensores. Los sensores v3.x no usan cuentas de gMSA configuradas para sensores v2.x; siempre usan la cuenta del sistema local. Para más información, consulte Requisitos de la cuenta de servicio de Sensor v3.x.

Antes de activar el sensor de Defender for Identity v3.x, tenga en cuenta que v3.x:

  • Soporta la incorporación a través de Defender para Endpoint. Los servidores que cumplan los requisitos pueden utilizar, en su lugar, el paquete de incorporación del sensor v3.x.
  • No admite la integración de VPN.
  • No admite notificaciones de Syslog.
  • Tiene limitaciones al trabajar con Azure ExpressRoute. Para obtener más información, consulte Azure ExpressRoute para Microsoft 365.

Revisa la pestaña de gestión de sensores

La pestaña de gestión de sensores muestra los sensores y servidores desplegados descubiertos en el Inventario de Dispositivos. El estado de incorporación de cada servidor muestra si el servidor es elegible para sensor v3.x y qué acción tomar.

Revisar cartas de acción

Las cartas de acción resumen servidores y sensores que necesitan atención. Selecciona una carta para abrir un panel con más información y acciones disponibles.

Carta de acción Qué muestra el panel Acciones disponibles
Controladores de dominio listos para activación Controladores de dominio elegibles que estén integrados en Microsoft Defender para punto de conexión y listos para la activación del sensor v3.x. Para activar automáticamente los controladores de dominio elegibles, selecciona Activar activación automática. En la página de funciones avanzadas , activa la activación automática del sensor v3.x. Para revisar los servidores en su lugar, selecciona Mostrar en tabla.
Controladores de dominio listos para la incorporación manual Controladores de dominio elegibles que no estén integrados en Microsoft Defender para punto de conexión o que ejecuten Windows Server 2016 o anteriores. Seleccione Descargar paquete de incorporación para elegir el paquete de despliegue manual de sensores correspondiente.
Servidores listos para migración Servidores elegibles que estén listos para migrar de sensor v2.x a sensor v3.x. Selecciona Mostrar en la tabla para filtrar la lista de servidores a los que estén listos para migración. Inicia la migración seleccionando los servidores en la tabla filtrada.
Servidores AD CS, AD FS o Entra Connect listos para activación Servidores AD FS, AD CS o Microsoft Entra Connect elegibles que estén integrados en Microsoft Defender para punto de conexión y listos para activación de sensores v3.x. Selecciona Mostrar en la tabla para revisar los servidores. Selecciona un servidor elegible y luego selecciona Activar.
Servidores AD CS, AD FS o Entra Connect listos para la incorporación manual Servidores AD FS, AD CS o Microsoft Entra Connect elegibles que no estén integrados en Microsoft Defender para punto de conexión o que ejecuten Windows Server 2016 o anteriores. Seleccione Descargar paquete de incorporación para elegir el paquete de despliegue manual de sensores correspondiente.
Sensores no saludables Sensores con problemas de salud abiertos que requieren atención. Selecciona Mostrar en la tabla para filtrar la lista de sensores a sensores poco saludables, o selecciona Ir a la página de salud para revisar los problemas de salud.

La columna de estado de incorporación utiliza los siguientes valores:

Estado de incorporación Pasos siguientes
Incorporado El sensor Defender for Identity está desplegado en el servidor.
Activar sensor El servidor está listo para la activación del sensor v3.x. Activa el sensor v3.x.
Incorporación manual El servidor requiere el despliegue manual de sensores. Elige el método de despliegue adecuado.
Actualizar a la última Windows Update El servidor no cumple con los requisitos del sistema operativo para la versión 3.x del sensor. Instala las últimas actualizaciones de Windows antes de activarlas.

Note

La tabla combina sensores desplegados con servidores descubiertos a través del Inventario de Dispositivos. Un servidor sin sensor desplegado debe estar integrado en Microsoft Defender para punto de conexión para que aparezca como una fila de servidor. Los servidores que no están incorporados a Defender for Endpoint pueden aparecer en las tarjetas de acciones de incorporación manual.

Elige un flujo de despliegue

Elige el flujo de despliegue del sensor que coincida con la configuración del servidor:

Pasos de implementación del sensor v3.x

Sigue estos pasos para desplegar el sensor v3.x en servidores elegibles que ejecuten Windows Server 2019 o posterior:

  1. Verifica los requisitos previos.
  2. Active el sensor.
  3. Configura auditorías de eventos de Windows.
  4. Configurar la auditoría de RPC.
  5. Validar el despliegue.

Pasos de implementación del sensor v2.x

Sigue estos pasos para desplegar el sensor v2.x en servidores compatibles que ejecuten Windows Server 2016 o anteriores:

  1. Verifica los requisitos previos.
  2. Planifica la capacidad.
  3. Configura la conectividad.
  4. Instala el sensor.
  5. Configura el sensor.
  6. Configura auditorías de eventos de Windows.
  7. Configura cuentas de Directory Service.
  8. Configura para AD FS, AD CS o Entra Connect (si corresponde).
  9. Validar el despliegue.

Pasos siguientes

  • Se actualizó por última vez el