De nieuwe Defender-serverbeveiligingservaring

De nieuwe Defender-serverbeveiligingservaring brengt Defender for Endpoint en Defender for Servers samen in het Microsoft Defender-portaal. Gebruik het om serverbeveiliging te beheren en dreigingen te onderzoeken met cloud- en endpointinformatie op één plek.

Deze publieke preview dekt Azure-omgevingen en on-premises servers. Zie What's new voor een overzicht van de release.

Op deze pagina: Server-assetpagina | Onderzoek een incident | Zoek gericht | .

Servers die al Defender for Endpoint draaien

Servers die al Defender for Endpoint draaien, blijven werken met hun bestaande configuratie. Je hoeft ze niet te onboarden, opnieuw te installeren of te migreren om hun bestaande bescherming te behouden. Bekijk de vereisten voor elke geünificeerde mogelijkheid voordat je je configuratie wijzigt.

Nieuwe servers toevoegen

Voor nieuwe implementaties, zie Servers onboarden bij Microsoft Defender om een automatische of handmatige implementatiemethode te kiezen en onboarding te verifiëren.

Om on-premises servers te verbinden met Defender for Servers, zie On-premises-servers verbinden met Defender for Servers.

Bekijk de server-assetpagina

De server asset-pagina brengt beschikbare cloudbron- en endpoint-apparaatinformatie voor dezelfde server samen, zonder dat aparte onderzoekspagina's nodig zijn.

1. Open in Microsoft Defender een waarschuwing met betrekking tot de server en selecteer Open asset page vanuit het servermenu. Open vanuit een incidentgrafiek het menu van de servernode en selecteer Asset details.
2. Controleer de endpoint device ID en, waar beschikbaar, de Azure resource ID. Identificeer een server niet alleen op naam.
3. Bekijk de identiteit van de server, de onboardingstatus en de beschikbare resource- en besturingssysteemdetails.
4. Selecteer Open device timeline om de activiteit van het eindpunt te inspecteren, of Go Hunt om gerelateerde gebeurtenissen te onderzoeken.

Als records gedupliceerd of onjuist gematcht lijken, controleer dan beide identificaties voordat u actie onderneemt. De beschikbare context hangt af van verbonden databronnen; handmatige onboarding creëert geen Azure-bron.

Reactieacties hangen af van je rechten, het platform en de staat van de server. Gebruik de ondersteunde richtlijnen voor apparaatrespons voordat je een actie onderneemt die de werklast kan beïnvloeden.

Waarschuwingen en incidenten onderzoeken

Om een server te onderzoeken, heb je toegang nodig tot de onderzoeksgegevens ervan, en de server moet een gerelateerde waarschuwing of incident hebben.

1. Open een incident waarbij de server betrokken is en bekijk de aanvalsgrafiek.
2. Selecteer de servernode. Voor een server met gecorreleerde cloud- en eindpuntrecords biedt de grafiek één serveridentiteit en onderzoeksmenu.
3. Klik met de rechtermuisknop op de node of open het menu met drie puntjes. Kies Asset details voor context, Gerelateerde waarschuwingen vastmaken om gerelateerde detecties te inspecteren, of Ga zoeken om activiteit te onderzoeken.
4. Open een gerelateerde alert en volg de serverlink. Bevestig dat het leidt naar dezelfde serveridentiteit voordat je een reactieactie overweegt.

Cloud- en endpoint-waarschuwingen kunnen naar dezelfde server verwijzen zonder dat het een enkele waarschuwing wordt. Een gedeelde asset identity garandeert niet dat elke alert in één incident wordt gegroepeerd.

Gebruik Go hunt

Je hebt toegang tot geavanceerd zoeken nodig voor de gegevens die worden opgevraagd. Het kunnen openen van een assetpagina geeft geen toegang tot alle jachttabellen.

1. Open vanuit de incidentgrafiek het menu van de servernode en selecteer Go Hunt. Je kunt de actie ook gebruiken vanuit de alert of assetcontext van de server waar beschikbaar.
2. Kies Alle activiteit, Gerelateerde meldingen, of Bekijk alle beschikbare zoekopdrachten, en selecteer vervolgens de zoekopdracht die je nodig hebt.
3. Inspecteer de gegenereerde query en de resultaten ervan in Geavanceerd zoeken. Go Hunt kan de gegenereerde query automatisch uitvoeren in plaats van deze alleen voor beoordeling te tonen.
4. Controleer of de query zich richt op de beoogde server. Waar beide identiteiten beschikbaar zijn, bekijk dan het endpoint-apparaat en cloudresource-identificaties, geselecteerde tabellen en tijdsbereik.
5. Om een ander tijdsvenster te onderzoeken, pas je het tijdstempelfilter van de query aan en voer je het opnieuw uit. Gebruik UTC in query-expressies.
6. Open relevante resultaten, vergelijk hun tijdstempels met de waarschuwing en keer terug naar het incident om het onderzoek voort te zetten.

Open voor een specifieke eindpuntgebeurtenis de Device-tijdlijn, selecteer de gebeurtenis en gebruik Hunt for related events waar beschikbaar. Dit zoekt rond dat event in plaats van te beginnen bij de hele server.

Alle activiteiten garandeert niet dat elke databron wordt opgenomen. Als de resultaten leeg of onvolledig zijn, controleer dan de queryfilters, beschikbare tabellen, retentie, endpointrapportage en je datapermissies. Een leeg queryresultaat betekent niet dat de server niet wordt beïnvloed. Zie Go hunt query behavior voor richtlijnen voor query-aanpassingen.

Verifieer RBAC- en servertoegang

Rollen bepalen wat iemand kan doen; scopes bepalen welke data ze kunnen benaderen.

Voor een server die zowel in cloud- als endpointdata wordt weergegeven, configureer je de relevante cloudscope en apparaatgroep. Het koppelen van een apparaatgroep aan een cloudscope brengt het serverlidmaatschap in overeenstemming; het vervangt geen roltoewijzingen en geeft gebruikers niet op zichzelf toegang. Bestaande endpoint-only implementaties hebben geen cloudverbinding nodig om gewoon te blijven functioneren.

Wijs de rechten van het team toe

Gebruik het permissiemodel dat actief is in je tenant. Activeer geen ander model alleen om deze handleiding te volgen.

Voor tenants die Microsoft Defender unified RBAC gebruiken, kunnen een Security Administrator of een beheerder met de vereiste gedelegeerde autorisatierechten:

1. Open Permissions>Microsoft Defender XDR>Roles en maak of bewerk de juiste rol.
2. Selecteer de rechten die het team nodig heeft. Houd de toegang tot onderzoek gescheiden van respons- en beheermachtigingen.
3. Voeg een toewijzing toe voor de Microsoft Entra-beveiligingsgroep van het team en de benodigde databronnen. Toegang tot Defender for Endpoint-data alleen geeft geen toegang tot Defender voor Cloud-gegevens.
4. Selecteer voor clouddata de bedoelde cloud scopes. Bekijk en dien de opdracht in.

Volg Aangepaste rollen maken voor de volledige wizard. Tenants die nog steeds het vorige endpointmodel gebruiken, moeten Defender for Endpoint RBAC gebruiken; bestaande rollen worden niet vervangen door deze ervaring.

Definieer een serverapparaatgroep

Maak een apparaatgroep aan om de toegang tot servers te beheren met behulp van apparaatcondities of bestaande cloud scopes. Voordat je begint, zorg ervoor dat de Microsoft Entra-gebruikersgroepen die je wilt toewijzen de juiste rolgebaseerde toegangscontrole (RBAC) rollen hebben.

1. Ga in het Microsoft Defender-portaal naar Instellingen>Endpoints>Machtigingen>.

2. Selecteer Apparaatgroep toevoegen of bewerk een bestaande groep. Voer een beschrijvende naam in en bekijk het niveau van geautomatiseerde sanering.

3. Op de pagina Apparaten kies je hoe je de groep vult:

   Option	Description
   Definiëren met voorwaarden	Zoek overeenkomende servers op basis van ondersteunde apparaatattributen, zoals apparaatnaam, domein, tags of OS-platform.
   Selecteer cloudbereiken om deze groep te vullen	Selecteer een of meer bestaande cloud scopes. Apparaten van alle geselecteerde bereiken zijn opgenomen. (voorvertoning)

4. Selecteer Volgende en bekijk de bijpassende apparaten op de pagina Voorbeeldapparaten voordat je verdergaat.

5. Selecteer op de pagina Gebruikerstoegang de Microsoft Entra-gebruikersgroepen die toegang zouden moeten hebben, en selecteer vervolgens Indienen.

6. Bekijk het lidmaatschap en de toegangstoewijzingen van de groep. Voor conditie-gebaseerde groepen, bekijk de groepsranglijst: een apparaat dat meerdere conditie-gebaseerde groepen matcht behoort tot de hoogst gerangschikte groep.

Lijn een cloud scope en apparaatgroep uit

1. Maak indien nodig de Azure scope aan onder System>Permissions>Microsoft Defender XDR>Scopes>Voeg cloud scope toe. Selecteer de beoogde verbonden Azure-abonnementen.
2. Wijs de cloud-datarechten van het team toe aan die scope en selecteer deze vervolgens in de stap Devices van de apparaatgroep.
3. Behoud de endpointrol van het team en de toewijzing van de apparaatgroep voor User access. Controleer de toegang tot beide databronnen.

Volg Cloudscopes beheren als activering van scopes nodig is. Activatie is een onomkeerbare configuratiewijziging: bekijk bestaande toewijzingen en de activatiewizard voordat je verder gaat.

De cloud-scope link werkt het lidmaatschap van het apparaat bij naarmate de inhoud van de geselecteerde scope verandert. Nieuw verbonden omgevingen worden niet automatisch toegevoegd aan de cloudscope. Bekijk het lidmaatschap van de scope bij het toevoegen van een Azure-omgeving.

Controleer de effectieve toegang

Test met gewone analistenaccounts, niet alleen een Security Administrator-account; brede beheerderstoegang kan scoping-fouten verbergen. Een weergavefilter beperkt een weergave, maar vervangt geen permissies.

Als verwachte toegang ontbreekt, controleer dan rolrechten, databrontoewijzingen, het lidmaatschap van de Entra-groep, de effectieve groep van het apparaat en de cloudscope. Als een analist onbedoelde serverdata ziet, bekijk dan andere roltoewijzingen en brede toegang voordat de uitrol wordt uitgebreid.

Verwijder serverbescherming

Zie Apparaten offboarden voor automatisch offboarden van Azure en andere ondersteunde methoden voor offboarding.

Verwante onderwerpen

• Servers registreren bij Microsoft Defender
• Offboard-apparaten
• Beveiligingsvragen voor de server
• Wat is nieuw: hub voor openbare preview