Apparaten in Microsoft Defender voor Eindpunt controleren en beoordelen

Met apparaatdetectie kunt u uw zichtbaarheid van onbeheerde apparaten verbeteren, hun beveiligingspostuur beoordelen en de juiste acties ondernemen om ze te beveiligen.

In dit artikel wordt beschreven hoe u apparaten controleert en beoordeelt die zijn gedetecteerd door apparaatdetectie in Microsoft Defender voor Eindpunt. U leert ook hoe u gegevens op apparaten opvraagt die niet zijn voorbereid op Microsoft Defender voor Eindpunt en hoe u gegevens op gedetecteerde apparaten opvraagt.

Vereisten

Voordat u gedetecteerde apparaten kunt bekijken en beoordelen, moet u ervoor zorgen dat aan de volgende vereisten wordt voldaan:

• Uw organisatie heeft een Microsoft Defender voor Eindpunt Plan 2-licentie.
• U hebt ten minste één apparaat toegevoegd aan Defender voor Eindpunt. Geïntegreerde apparaten fungeren als netwerksensoren en gegevensbronnen voor het opsporen van niet-geïntegreerde apparaten.
• U hebt toegang tot de Microsoft Defender-portal met de juiste machtigingen om de apparaatinventaris weer te geven en geavanceerde opsporingsquery's uit te voeren.

Ondersteunde besturingssystemen

Apparaatdetectie ondersteunt de volgende besturingssystemen:

• Windows 10 en hoger
• Windows Server 2019 en hoger.

Niet-geonboarde apparaten in de apparaatinventaris bewaken

U kunt de apparaatinventaris controleren voor gedetecteerde apparaten die niet zijn toegevoegd aan Defender voor Eindpunt.

Als u deze apparaten wilt beoordelen, gaat u naar de apparaatinventaris en gebruikt u het filter Onboardingstatus , met een van de volgende waarden:

Onbeheerde apparaten toevoegen

U kunt onbeheerde apparaten handmatig onboarden. Niet-beheerde eindpunten in uw netwerk brengen beveiligingsproblemen en risico's voor uw netwerk met zich mee. Door ze bij de service aan te melden, kunt u de beveiligingszichtbaarheid vergroten.

Geavanceerde opsporing gebruiken op gedetecteerde apparaten

U kunt geavanceerde opsporingsquery's gebruiken om inzicht te krijgen op gedetecteerde apparaten. Meer informatie over gedetecteerde apparaten vindt u in de tabel DeviceInfo of netwerkgerelateerde informatie over deze apparaten in de tabel DeviceNetworkInfo.

Apparaten in het netwerk verkennen

Gebruik de volgende geavanceerde opsporingsquery om onboarding-apparaten te identificeren die zijn verbonden met een specifiek netwerk. Met de query worden apparaten met verbonden netwerkgegevens opgehaald uit de afgelopen zeven dagen, gefilterd op netwerknaam uit de lijst met netwerken in de instellingen voor apparaatdetectie.

DeviceNetworkInfo
| where Timestamp > ago(7d)
| where ConnectedNetworks  != ""
| extend ConnectedNetworksExp = parse_json(ConnectedNetworks)
| mv-expand bagexpansion = array ConnectedNetworks=ConnectedNetworksExp
| extend NetworkName = tostring(ConnectedNetworks ["Name"]), Description = tostring(ConnectedNetworks ["Description"]), NetworkCategory = tostring(ConnectedNetworks ["Category"])
| where NetworkName == "<your network name here>"
| summarize arg_max(Timestamp, *) by DeviceId

Apparaatgegevens ophalen

U kunt de volgende geavanceerde opsporingsquery gebruiken om de meest recente volledige informatie op een specifiek apparaat op te halen.

DeviceInfo
| where DeviceName == "<device name here>" and isnotempty(OSPlatform)
| summarize arg_max(Timestamp, *) by DeviceId

Querydetails voor gedetecteerde apparaten

Met de volgende query haal je voor elk gedetecteerd apparaat dat niet is gekoppeld de meest recente bekende vermelding op, waarbij ongeldig gemaakte of samengevoegde items worden uitgesloten. Gebruik dit om onbeheerde apparaten te identificeren en hun meest actuele gegevens te bekijken:

DeviceInfo
| summarize arg_max(Timestamp, *) by DeviceId  // Get latest known good per device Id
| where isempty(MergedToDeviceId) // Remove invalidated/merged devices
| where OnboardingStatus != "Onboarded"

Door de functie SeenBy aan te roepen in uw geavanceerde opsporingsquery, krijgt u meer informatie over welk onboardingsapparaat een gedetecteerd apparaat heeft gezien. Deze informatie kan helpen bij het bepalen van de netwerklocatie van elk gedetecteerd apparaat en vervolgens helpen bij het identificeren van het apparaat in het netwerk.

Met de volgende query wordt voor elk apparaat dat nog niet is onboarded het meest recente record opgehaald, worden samengevoegde vermeldingen uitgesloten en wordt de functie SeenBy aangeroepen om te tonen welk onboarded apparaat het heeft gedetecteerd:

DeviceInfo
| where OnboardingStatus != "Onboarded"
| summarize arg_max(Timestamp, *) by DeviceId 
| where isempty(MergedToDeviceId) 
| limit 100
| invoke SeenBy()
| project DeviceId, DeviceName, DeviceType, SeenBy

Zie de functie SeenBy() voor meer informatie.

Netwerkgerelateerde informatie opvragen

Apparaatdetectie gebruikt apparaten die in Defender for Endpoint zijn geïntegreerd als bron van netwerkgegevens om activiteiten te koppelen aan apparaten die niet zijn geïntegreerd. De netwerksensor op het onboarded Defender for Endpoint-apparaat identificeert twee nieuwe verbindingstypen:

• ConnectionAttempt - Een poging om een TCP-verbinding tot stand te brengen (syn)
• ConnectionAcknowledged - Een bevestiging dat een TCP-verbinding is geaccepteerd (syn\ack)

Deze verbindingstypen betekenen dat wanneer een niet-onboarded apparaat probeert te communiceren met een onboarded Defender voor eindpuntapparaat, de poging een DeviceNetworkEvent genereert en de niet-onboarded apparaatactiviteiten zichtbaar zijn op de tijdlijn van het onboarded apparaat en via de tabel Advanced hunting DeviceNetworkEvents.

De volgende query retourneert de tien meest recente verbindingspogingen en bevestigde verbindingen, zodat u kunt controleren welke niet-onboarded apparaten communiceren met onboarded eindpunten:

DeviceNetworkEvents
| where ActionType == "ConnectionAcknowledged" or ActionType == "ConnectionAttempt"
| take 10

Beveiligingsproblemen op gedetecteerde apparaten beoordelen

Microsoft Defender Vulnerability Management risico's op uw apparaten vindt. Ook worden onbeheerde apparaten in het netwerk gecontroleerd.

Als u beveiligingsproblemen wilt bekijken, gaat u naarAanbevelingen voor > in de Defender-portal.

Zoek bijvoorbeeld naar SSH om SSH-beveiligingsproblemen te vinden op onbeheerde en beheerde apparaten.

Zie Microsoft Defender Vulnerability Management voor meer informatie.