Solución de problemas de Microsoft Defender for Identity conocidos

En este artículo se describe cómo solucionar problemas conocidos en Microsoft Defender for Identity.

No se puede iniciar el servicio de sensor

Entradas del registro del sensor:

Warn DirectoryServicesClient CreateLdapConnectionAsync failed to retrieve group managed service account password. [DomainControllerDnsName=DC1.CONTOSO.LOCAL Domain=contoso.local UserName=mdiSvc01]

Causa 1

El controlador de dominio no tiene derechos para acceder a la contraseña de la cuenta de gMSA.

Solución 1:

Compruebe que el controlador de dominio tiene derechos para acceder a la contraseña. Debe disponer de un grupo de seguridad en Active Directory que incluya el controlador de dominio, Microsoft Entra Connect, el servidor de Servicios de federación de Active Directory (AD FS) / Servicios de certificados de Active Directory (AD CS) y las cuentas de equipo de los sensores independientes. Si el grupo Seguridad no existe, se recomienda crear uno.

Puede usar el siguiente comando para comprobar si se agrega una cuenta de equipo o un grupo de seguridad al parámetro . Reemplace mdiSvc01 por el nombre que ha creado.

Get-ADServiceAccount mdiSvc01 -Properties PrincipalsAllowedToRetrieveManagedPassword

Los resultados deben tener este aspecto:

En este ejemplo, podemos ver que se agrega un grupo denominado mdiSvc01Group . Si no se ha agregado el controlador de dominio o el grupo de seguridad, puede usar los siguientes comandos para agregarlo. Reemplace mdiSvc01 por el nombre de gMSA y reemplace DC1 por el nombre del controlador de dominio o mdiSvc01Group por el nombre del grupo de seguridad.

# To set the specific domain controller only:
$specificDC = Get-ADComputer -Identity DC1
Set-ADServiceAccount mdiSvc01 -PrincipalsAllowedToRetrieveManagedPassword $specificDC


# To set a security group that contains the relevant computer accounts:
$group = Get-ADGroup -Identity mdiSvc01Group
Set-ADServiceAccount mdiSvc01 -PrincipalsAllowedToRetrieveManagedPassword $group

Si ya se ha agregado el controlador de dominio o el grupo de seguridad, pero sigue viendo el error, puede probar los pasos siguientes:

• Reinicio del servidor para sincronizar los cambios recientes
• Purgue el vale de Kerberos, lo que obliga al servidor a solicitar un nuevo vale de Kerberos. Desde un símbolo del sistema de administrador, ejecute el siguiente comando: klist -li 0x3e7 purge

Causa 2

Debido a un escenario conocido relacionado con Secure Time Seeding, el atributo PasswordLastSet de gMSA puede establecerse en una fecha futura, lo que impide que el sensor se inicie.

El siguiente comando se puede usar para confirmar si la cuenta de gMSA se encuentra en el escenario, cuando los valores PasswordLastSet y LastLogonDate muestran una fecha futura:

Get-ADServiceAccount mdiSvc01 -Properties PasswordLastSet, LastLogonDate

Solución 2:

Como solución provisional, se puede crear una nueva gMSA que tenga la fecha correcta para el atributo. Se recomienda abrir una solicitud de soporte técnico con servicios de directorio para identificar la causa principal y explorar las opciones para una resolución completa.

Error de comunicación del sensor

Si recibe el siguiente mensaje de error del sensor:

System.Net.Http.HttpRequestException:
An error occurred while sending the request. ---> System.Net.WebException:
Unable to connect to the remote server --->
System.Net.Sockets.SocketException: A connection attempt failed because the
connected party did not properly respond after a period of time, or established
connection failed because connected host has failed to respond...

Resolución:

Asegúrese de que la comunicación no esté bloqueada para localhost, puerto TCP 443. Para obtener más información sobre los requisitos previos de Microsoft Defender for Identity, consulte puertos.

Ubicación del registro de implementación

Los registros de implementación de Defender for Identity se encuentran en el directorio temporal del usuario que instaló el producto. En la ubicación de instalación predeterminada, se puede encontrar en: C:\Users\Administrator\AppData\Local\Temp (o en un directorio superior a %temp%). Para obtener más información, consulte Solución de problemas de Defender for Identity mediante registros.

El problema de autenticación de proxy se presenta como un error de licencia

Si durante la instalación del sensor recibe el siguiente error: El sensor no se pudo registrar debido a problemas de licencia.

Entradas del registro de implementación:

[1C60:1AA8][2018-03-24T23:59:13]i000: 2018-03-25 02:59:13.1237 Info InteractiveDeploymentManager ValidateCreateSensorAsync returned [validateCreateSensorResult=LicenseInvalid]] [1C60:1AA8][2018-03-24T23:59:56]i000: 2018-03-25 02:59:56.4856 Info InteractiveDeploymentManager ValidateCreateSensorAsync returned [validateCreateSensorResult=LicenseInvalid]] [1C60:1AA8][2018-03-25T00:27:56]i000: 2018-03-25 03:27:56.7399 Debug SensorBootstrapperApplication Engine.Quit [deploymentResultStatus=1602 isRestartRequired=False]] [1C60:15B8][2018-03-25T00:27:56]i500: Shutting down, exit code: 0x642

Causa:

En algunos casos, al comunicarse a través de un proxy, durante la autenticación podría responder al sensor de Defender for Identity con el error 401 o 403 en lugar del error 407. El sensor de Defender for Identity interpreta el error 401 o 403 como un problema de licencia y no como un problema de autenticación de proxy.

Resolución:

Asegúrese de que el sensor puede ir a *.atp.azure.com a través del proxy configurado sin autenticación. Para obtener más información, consulte Configuración del proxy para habilitar la comunicación.

El problema de autenticación de proxy se presenta como un error de conexión

Si durante la instalación del sensor recibe el siguiente error: El sensor no se pudo conectar al servicio.

Causa:

El problema puede deberse a que faltan los certificados de entidades de certificación raíz de confianza requeridos por Defender for Identity.

Resolución:

Ejecute el siguiente cmdlet de PowerShell para comprobar que están instalados los certificados necesarios.

En el ejemplo siguiente, el certificado "DigiCert Global Root G2" es para clientes comerciales y el certificado "DigiCert Global Root CA" para los clientes de GCC High del Gobierno de EE. UU., como se indica.

# Certificate for commercial customers
Get-ChildItem -Path "Cert:\LocalMachine\Root" | where { $_.Thumbprint -eq "AA11BB22CC33DD44EE55FF66AA77BB88CC99DD00"} | fl

# Certificate for US Government GCC High customers
Get-ChildItem -Path "Cert:\LocalMachine\Root" | where { $_.Thumbprint -eq "BB22CC33DD44EE55FF66AA77BB88CC99DD00EE11"} | fl

Salida del certificado para el certificado de clientes comerciales:

Subject      : CN=DigiCert Global Root G2, OU=www.digicert.com, O=DigiCert Inc, C=US
Issuer       : CN=DigiCert Global Root G2, OU=www.digicert.com, O=DigiCert Inc, C=US
Thumbprint   : AA11BB22CC33DD44EE55FF66AA77BB88CC99DD00
FriendlyName : DigiCert Global Root G2
NotBefore    : 01/08/2013 15:00:00
NotAfter     : 15/01/2038 14:00:00
Extensions   : {System.Security.Cryptography.Oid, System.Security.Cryptography.Oid, System.Security.Cryptography.Oid}

Salida del certificado para los clientes GCC High de la Administración Pública de Estados Unidos:

Subject      : CN=DigiCert Global Root CA, OU=www.digicert.com, O=DigiCert Inc, C=US
Issuer       : CN=DigiCert Global Root CA, OU=www.digicert.com, O=DigiCert Inc, C=US
Thumbprint   : BB22CC33DD44EE55FF66AA77BB88CC99DD00EE11
FriendlyName : DigiCert
NotBefore    : 11/9/2006 4:00:00 PM
NotAfter     : 11/9/2031 4:00:00 PM
Extensions   : {System.Security.Cryptography.Oid, System.Security.Cryptography.Oid, System.Security.Cryptography.Oid, System.Security.Cryptography.Oid}

Si no ve la salida esperada, siga estos pasos:

1. Descargue los siguientes certificados en la máquina:

   • Para los clientes comerciales, descargue el certificado DigiCert Global Root G2 .
   • Para los clientes de GCC High del Gobierno de EE. UU., descargue el certificado DigiCert Global Root CA.

2. Ejecute el siguiente cmdlet de PowerShell para instalar el certificado.

   # For commercial customers, install certificate
   Import-Certificate -FilePath "<PATH_TO_CERTIFICATE_FILE>\DigiCertGlobalRootG2.crt" -CertStoreLocation Cert:\LocalMachine\Root
   
   # For US Government GCC High customers, install certificate
   Import-Certificate -FilePath "<PATH_TO_CERTIFICATE_FILE>\DigiCertGlobalRootCA.crt" -CertStoreLocation Cert:\LocalMachine\Root
   

Error de instalación silenciosa al intentar usar PowerShell

Si durante la instalación silenciosa del sensor intenta usar PowerShell y recibe el siguiente error:

"Azure ATP sensor Setup.exe" "/quiet" NetFrameworkCommandLineArguments="/q" Acce ... Unexpected token '"/quiet"' in expression or statement."

Causa:

Si no se incluye el prefijo ./ necesario para la instalación al usar PowerShell, se produce este error.

Resolución:

Use el comando completo para instalar correctamente.

./"Azure ATP sensor Setup.exe" /quiet NetFrameworkCommandLineArguments="/q" AccessKey="<Access Key>"

Problema de agrupación de NIC del sensor de Defender for Identity

Al instalar el sensor de Defender for Identity en una máquina configurada con un adaptador de agrupación de NIC y el controlador Winpcap, recibe un error de instalación. Si desea instalar el sensor de Defender for Identity en una máquina configurada con agrupación de NIC, asegúrese de reemplazar el controlador Winpcap por Npcap siguiendo las instrucciones aquí.

Modo de grupo de varios procesadores

En el caso de los sistemas operativos Windows 2008R2 y 2012, el sensor de Defender for Identity no se admite en modo de grupo de varios procesadores.

Posibles soluciones alternativas sugeridas:

• Si Hyper-Threading está habilitado, desactívalo. Esto podría reducir el número de núcleos lógicos lo suficiente como para evitar la necesidad de ejecutarse en modo de grupo de varios procesadores .

• Si su equipo tiene menos de 64 núcleos lógicos y se ejecuta en un host HP, puede que pueda cambiar la opción de la BIOS NUMA Group Size Optimization del valor predeterminado Clustered a Flat.

Problema con el sensor de máquina virtual de VMware

Si tiene un sensor de Defender for Identity en máquinas virtuales de VMware, es posible que reciba una o ambas de las siguientes alertas de estado: Parte del tráfico de red no se está analizando y Incompatibilidad en la configuración de red de los sensores que se ejecutan en VMware. Esto puede ocurrir debido a una incompatibilidad entre la configuración de la NIC del sistema operativo invitado de VMware y los requisitos de MDI Sensor.

Para resolver el problema:

En el sistema operativo invitado, establezca lo siguiente en Deshabilitado en la configuración de NIC de la máquina virtual: Descarga de TSO IPv4.

Use el siguiente comando para comprobar si la descarga de envío grande (LSO) está habilitada o deshabilitada:

Get-NetAdapterAdvancedProperty | Where-Object DisplayName -Match "^Large*"

Si LSO está habilitado, use el siguiente comando para deshabilitarlo:

Disable-NetAdapterLso -Name {name of adapter}

No se pudieron recuperar las credenciales de la cuenta de servicio administrada de grupo (gMSA) del sensor

Si recibe la siguiente alerta de estado: Las credenciales de usuario de servicios de directorio son incorrectas

Entradas del registro del sensor:

2020-02-17 14:01:36.5315 Info ImpersonationManager CreateImpersonatorAsync started [UserName=account_name Domain=domain1.test.local IsGroupManagedServiceAccount=True] 2020-02-17 14:01:36.5750 Info ImpersonationManager CreateImpersonatorAsync finished [UserName=account_name Domain=domain1.test.local IsSuccess=False]

Entradas de registro de Sensor Updater:

2020-02-17 14:02:19.6258 Warn GroupManagedServiceAccountImpersonationHelper GetGroupManagedServiceAccountAccessTokenAsync failed GMSA password could not be retrieved [errorCode=AccessDenied AccountName=account_name DomainDnsName=domain1.test.local]

El sensor no pudo recuperar la contraseña de la cuenta de gMSA.

Causa 1

El controlador de dominio no tiene permisos para recuperar la contraseña de la cuenta de gMSA.

Resolución 1:

Compruebe que al equipo que ejecuta el sensor se le han concedido permisos para recuperar la contraseña de la cuenta de gMSA. Para obtener más información, consulte Concesión de permisos para recuperar la contraseña de la cuenta gMSA.

Causa 2

El servicio de sensor se ejecuta como LocalService y realiza la suplantación de la cuenta de servicio de directorio.

Si la directiva de asignación de derechos de usuario Iniciar sesión como servicio está configurada para este controlador de dominio, se produce un error en la suplantación a menos que se conceda a la cuenta de gMSA el permiso Iniciar sesión como servicio .

Resolución 2:

Configure Iniciar sesión como un servicio para las cuentas gMSA cuando la directiva de asignación de derechos de usuario Iniciar sesión como un servicio esté configurada en el controlador de dominio afectado. Para obtener más información, vea Comprobar que la cuenta de gMSA tiene los derechos necesarios.

Causa 3

Si el tique de Kerberos del controlador de dominio se emitió antes de que el controlador de dominio se agregara al grupo de seguridad con los permisos adecuados, este grupo no formará parte del tique de Kerberos. Por lo tanto, no puede recuperar la contraseña de la cuenta gMSA.

Resolución 3:

Realice una de las siguientes acciones para resolver este problema:

• Reinicie el controlador de dominio.

• Elimine el ticket de Kerberos para obligar al controlador de dominio a solicitar un nuevo ticket de Kerberos. En una ventana de comandos con privilegios de administrador en el controlador de dominio, ejecute el siguiente comando:

  klist -li 0x3e7 purge

• Asigne el permiso para recuperar la contraseña de la gMSA a un grupo del que el controlador de dominio ya es miembro, como el grupo Controladores de dominio.

Se deniega el acceso a la clave del Registro "Global"

El servicio de sensor no se inicia y el registro del sensor contiene una entrada similar a la siguiente:

2021-01-19 03:45:00.0000 Error RegistryKey System.UnauthorizedAccessException: Access to the registry key 'Global' is denied.

Causa:

El gMSA configurado para este controlador de dominio o el servidor AD FS o AD CS no tiene permisos para las claves de registro del contador de rendimiento.

Resolución:

Agregue la gMSA al grupo Usuarios del registro de rendimiento en el servidor.

Las descargas de informes no pueden contener más de 300 000 entradas

Defender for Identity no admite descargas de informes que contengan más de 300 000 entradas por informe. Los informes aparecen incompletos si se incluyen más de 300 000 entradas.

Causa:

Se trata de una limitación de ingeniería.

Resolución:

No hay ninguna resolución conocida.

El sensor no puede enumerar los registros de eventos

Si observa un número limitado o falta de alertas de eventos de seguridad o actividades lógicas en la consola de Defender for Identity, pero no se desencadena ningún problema de mantenimiento.

Entradas del registro del sensor:

Error EventLogException System.Diagnostics.Eventing.Reader.EventLogException: The handle is invalid at void System.Diagnostics.Eventing.Reader.EventLogException.Throw(int errorCode) at object System.Diagnostics.Eventing.Reader.NativeWrapper.EvtGetEventInfo(EventLogHandle handle, EvtEventPropertyId enumType) at string System.Diagnostics.Eventing.Reader.EventLogRecord.get_ContainerLog()

Causa:

Una lista discrecional de control de acceso está limitando el acceso a los registros de eventos requeridos para la cuenta Servicio local.

Resolución:

Asegúrese de que la lista de control de acceso discrecional (DACL) incluya la siguiente entrada (este es el SID del servicio AATPSensor).

(A;;0x1;;;S-1-5-80-818380073-2995186456-1411405591-3990468014-3617507088)

Compruebe si un GPO configuró DACL para el registro de eventos de seguridad:

Policies > Administrative Templates > Windows Components > Event Log Service > Security > Configure log access

Anexe la entrada anterior a la directiva existente. Ejecute C:\Windows\System32\wevtutil.exe gl security después para comprobar que se agregó la entrada.

Los registros locales de Defender for Identity ahora deben mostrar:

Info WindowsEventLogReader EnableEventLogWatchers EventLogWatcher enabled [name=Security]

ApplyInternal produjo un error de conexión SSL bidireccional al error de servicio

Si durante la instalación del sensor recibe el siguiente error: ApplyInternal produjo un error de conexión SSL bidireccional al servicio y el registro del sensor contiene una entrada similar a:

2021-01-19 03:45:00.0000 Error CommunicationWebClient+\<SendWithRetryAsync\>d__9`1 ApplyInternal falló en la conexión SSL bidireccional con el servicio. El problema puede deberse a un proxy con la inspección SSL habilitada. [_workspaceApplicationSensorApiEndpoint=Unspecified/contoso.atp.azure.com:443 Thumbprint=CC33DD44EE55FF66AA77BB88CC99DD00EE11FF22]'

Causa:

El problema se puede producir cuando los valores del Registro SystemDefaultTlsVersions o SchUseStrongCrypto no se establecen en su valor predeterminado de 1.

Resolución:

Compruebe que los valores del Registro SystemDefaultTlsVersions y SchUseStrongCrypto están establecidos en 1:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319] 
"SystemDefaultTlsVersions"=dword:00000001
"SchUseStrongCrypto"=dword:00000001
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
 
"SystemDefaultTlsVersions"=dword:00000001
"SchUseStrongCrypto"=dword:00000001

Problema al instalar el sensor en Windows Server 2019 con la actualización KB5009557 instalada o en un servidor con permisos de EventLog endurecidos

Es posible que la instalación del sensor falle con el siguiente mensaje de error:

System.UnauthorizedAccessException: Attempted to perform an unauthorized operation.

Resolución:

Hay dos posibles soluciones alternativas para este problema:

1. Instale el sensor con PSExec:

   psexec -s -i "C:\MDI\Azure ATP Sensor Setup.exe"
   

2. Instale el sensor con una tarea programada configurada para ejecutarse como LocalSystem. La sintaxis de la línea de comandos que se debe usar se menciona en Instalación silenciosa del sensor de Defender for Identity.

Error en la instalación del sensor debido al cliente de administración de certificados

Si se produce un error en la instalación del sensor y el archivo Microsoft.Tri.Sensor.Deployment.Deployer.log contiene una entrada similar a:

2022-07-15 03:45:00.0000 Error IX509CertificateRequestCertificate2 Deployer failed [arguments=128Ve980dtms0035h6u3Bg==] System.Runtime.InteropServices.COMException (0x80090008): CertEnroll::CX509CertificateRequestCertificate::Encode: Invalid algorithm specified. 0x80090008 (-2146893816 NTE_BAD_ALGID)

Causa:

El problema puede deberse a que un cliente de administración de certificados como Entrust Entelligence Security Provider (EESP) impide que la instalación del sensor cree un certificado autofirmado en el equipo.

Resolución:

Desinstale el cliente de administración de certificados, instale el sensor de Defender for Identity y vuelva a instalar el cliente de administración de certificados.

Error en la instalación del sensor debido a problemas de conectividad de red

Si se produce un error en la instalación del sensor con un código de error de 0x80070643 y el archivo de registro de instalación contiene una entrada similar a:

[22B8:27F0][2016-06-09T17:21:03]e000: Error 0x80070643: Failed to install MSI package.

Causa:

El problema puede deberse a que el proceso de instalación no puede acceder a los servicios en la nube de Defender for Identity para el registro del sensor.

Resolución:

Asegúrese de que el sensor puede ir a *.atp.azure.com directamente o a través del proxy configurado. Si es necesario, establezca la configuración del servidor proxy para la instalación mediante la línea de comandos:

"Azure ATP sensor Setup.exe" [ProxyUrl="http://proxy.internal.com"] [ProxyUserName="domain\proxyuser"] [ProxyUserPassword="ProxyPassword"]

Para obtener más información, consulte Ejecución de una instalación silenciosa con una configuración de proxy e Instalación del sensor de Microsoft Defender for Identity.

El servicio de sensor no se pudo ejecutar y permanece en estado De inicio

Los siguientes errores aparecerán en el registro del sistema en el Visor de eventos:

• El procedimiento Open para el servicio ".NETFramework" en la DLL "C:\Windows\system32\mscoree.dll" falló con el código de error: Se deniega el acceso. Los datos de rendimiento de este servicio no estarán disponibles.
• Se produjo un error en el procedimiento Open del servicio "Lsa" en la DLL "C:\Windows\System32\Secur32.dll": falló con el código de error «Se deniega el acceso». Los datos de rendimiento de este servicio no estarán disponibles.
• El procedimiento Open del servicio "WmiApRpl" en la DLL "C:\Windows\system32\wbem\wmiaprpl.dll" falló con el código de error "El dispositivo no está listo". Los datos de rendimiento de este servicio no estarán disponibles.

El Microsoft.TriSensorError.log contendrá un error similar al siguiente:

Microsoft.Tri.Sensor.DirectoryServicesClient.TryCreateLdapConnectionAsync(DomainControllerConnectionData domainControllerConnectionData, bool isGlobalCatalog, bool isTraversing) 2021-07-13 14:56:20.2976 Error DirectoryServicesClient Microsoft.Tri.Infrastructure.ExtendedException: Failed to communicate with configured domain controllers at new Microsoft.Tri.Sensor.DirectoryServicesClient(IConfigurationManager

Causa:

NT Service\All Services no tiene derecho a iniciar sesión como servicio.

Resolución:

Agregue la directiva de controlador de dominio con el inicio de sesión como servicio. Para obtener más información, vea Comprobar que la cuenta de gMSA tiene los derechos necesarios.

El área de trabajo no se creó porque ya existe un grupo de seguridad con el mismo nombre en Microsoft Entra ID

Causa:

El problema puede surgir cuando expira una licencia del área de trabajo de Defender for Identity y se elimina cuando finaliza el período de retención, pero no se eliminaron los grupos de Microsoft Entra.

Resolución:

1. Vaya al Azure Portal ->Microsoft Entra ID ->Groups
2. Cambie el nombre de los tres grupos siguientes (donde workspaceName es el nombre del área de trabajo), agregando a ellos un sufijo "- old":
   • "Azure ATP workspaceName Administradores" -> "Azure ATP workspaceName Administradores - antiguo"
   • "Azure ATP workspaceName Espectadores" -> "Azure ATP workspaceName Espectadores - antiguo"
   • "Azure ATP workspaceName Usuarios" -> "Azure ATP workspaceName Usuarios - antiguo"
3. A continuación, puede volver al portal de Microsoft Defender, a la sección Configuración ->Identidades para crear el nuevo área de trabajo de Defender for Identity.

El sensor de Entra Connect pierde los permisos de la base de datos después de la actualización a Microsoft Entra Connect

Causa:

La actualización de Microsoft Entra Connect puede provocar que el sensor de Entra Connect pierda los permisos de base de datos configurados anteriormente. Para investigar, compruebe los registros de Microsoft Defender para ver los indicadores pertinentes. Consulte Solución de problemas del sensor de Microsoft Defender for Identity mediante los registros de Defender for Identity para conocer las ubicaciones de los registros y obtener más detalles.

Registros de ejemplo que podrían indicar el problema:

GetEntraConnectGlobalSettingsAsync GetEntraConnectGlobalSettingsAsync failed. Exception - The EXECUTE permission was denied on the object 'mms_get_globalsettings', database Contoso', schema 'dbo'

GetEntraConnectConnectivityParametersAsync GetEntraConnectConnectivityParametersAsync failed. Exception - The EXECUTE permission was denied on the object 'mms_get_connectors', database Contoso, schema 'dbo'

Resolución:

Si es necesario volver a configurar los permisos, siga los pasos descritos en esta guía.

Las alertas de auditoría sobre el estado siguen presentes en el sensor v3.x

En algunos entornos que ejecutan el sensor Microsoft Defender for Identity v3.x, las siguientes alertas de salud pueden persistir incluso cuando la auditoría está configurada correctamente:

• La auditoría en el contenedor ADFS no está habilitada como se requiere
• La auditoría en el contenedor de Configuración no está habilitada como se requiere

Este problema ocurre principalmente en entornos que configuran la auditoría manualmente, como a través de la Directiva de Grupo o PowerShell. El sensor permanece sano y las detecciones no se ven afectadas. Para resolver el problema, en el portal de Microsoft Defender, ve a Configuración>>Características avanzadas y activa Configuración automática de auditoría de Windows. Se espera que este problema se resuelva en una futura actualización de sensores.

Pasos siguientes

• Requisitos previos del sensor de Defender for Identity v2.x y requisitos previos del sensor de Defender for Identity v3.x
• Planeamiento de capacidad de Defender for Identity
• Configuración de la colección de eventos
• Configuración del reenvío de eventos de Windows
• Consulte el foro de Defender for Identity.