Verbinding maken met de Defender for Identity-service

Voor elke Microsoft Defender for Identity sensor is een internetverbinding met de Defender for Identity-cloudservice vereist om sensorgegevens te rapporteren en goed te kunnen werken.

In sommige organisaties zijn de domeincontrollers niet rechtstreeks verbonden met internet, maar zijn ze verbonden via een webproxyverbinding. SSL-inspectie en -interceptieproxy's worden om veiligheidsredenen niet ondersteund. In zulke gevallen moet uw proxyserver het sensorverkeer direct van de Defender for Identity-sensoren naar de vereiste Defender for Identity-service-URL's laten passeren zonder onderschepping.

Toegang tot URL's van Defender for Identity-service inschakelen op de proxyserver

Om maximale beveiliging en gegevensprivacy te garanderen, maakt Defender for Identity gebruik van wederzijdse verificatie op basis van certificaten tussen elke Defender for Identity-sensor en de Defender for Identity-back-end van de Cloud. SSL-inspectie en onderschepping worden niet ondersteund, omdat deze proxygedragingen het certificaatgebaseerde wederzijdse authenticatieproces verstoren.

Als u toegang tot Defender for Identity wilt inschakelen, moet u verkeer naar de sensor-URL toestaan met behulp van de volgende syntaxis: <your-workspace-name>sensorapi.atp.azure.com. Bijvoorbeeld contoso-corpsensorapi.atp.azure.com.

• Zie de pagina Defender voor identiteitsinstellingen in de Microsoft Defender-portal om de naam van uw werkruimte op te halen.

• Als uw proxy of firewall expliciete acceptatielijsten gebruikt, raden we u ook aan ervoor te zorgen dat de volgende URL's zijn toegestaan:

  • crl.microsoft.com
  • ctldl.windowsupdate.com
  • www.microsoft.com/pkiops/*
  • www.microsoft.com/pki/*

• Af en toe kunnen de IP-adressen van de Defender for Identity-service worden gewijzigd. Als u IP-adressen handmatig configureert of als uw proxy dns-namen automatisch omzet in hun IP-adres en deze gebruikt, raden we u aan om periodiek te controleren of de geconfigureerde IP-adressen nog steeds up-to-date zijn.

• Als u uw proxy eerder hebt geconfigureerd met behulp van verouderde opties, waaronder WiniNet of een registersleutelupdate, moet u eventuele wijzigingen aanbrengen met behulp van de methode die u oorspronkelijk hebt gebruikt. Zie Proxyconfiguratie wijzigen met verouderde methoden voor meer informatie.

Toegang inschakelen met een servicetag

In plaats van handmatig toegang tot specifieke eindpunten in te schakelen, downloadt u de Azure IP-bereiken en servicetags - openbare cloud en gebruikt u de IP-adresbereiken in de Azure-servicetag AzureAdvancedThreatProtection om toegang tot Defender for Identity in te schakelen.

Zie Servicetags voor virtuele netwerken voor meer informatie. Zie Aan de slag met aanbiedingen van de Amerikaanse overheid voor aanbiedingen van de Amerikaanse overheid.

Proxyconfiguratie wijzigen met behulp van de CLI

Je kunt de CLI gebruiken om de proxyconfiguratie van de sensor in te stellen of te wissen door het implementatiebestand direct uit te voeren.

Vereisten: Zoek het Microsoft.Tri.Sensor.Deployment.Deployer.exe bestand. Dit bestand bevindt zich samen met de sensorinstallatie. Deze locatie is standaard C:\Program Files\Azure Advanced Threat Protection Sensor\version number\

Gebruik het implementatie-uitvoerbaar bestand om een geauthenticeerde proxy te configureren voor de huidige Defender for Identity-sensor. Deze aanpak is handig tijdens de installatie of wanneer PowerShell-cmdlets niet beschikbaar zijn.

De proxyconfiguratie van de huidige sensor wijzigen:

Microsoft.Tri.Sensor.Deployment.Deployer.exe ProxyUrl="http://myproxy.contoso.local" ProxyUserName="CONTOSO\myProxyUser" ProxyUserPassword="myPr0xyPa55w0rd"

De opdracht gebruikt de volgende parameters:

De proxyconfiguratie van de huidige sensor volledig verwijderen:

Om proxy-instellingen die via de deployment-tool zijn geconfigureerd te verwijderen en de sensor terug te brengen naar directe connectiviteit, voer je het volgende commando uit:

Microsoft.Tri.Sensor.Deployment.Deployer.exe ClearProxyConfiguration

Proxyconfiguratie wijzigen met PowerShell

Vereisten: voordat u PowerShell-opdrachten voor Defender for Identity uitvoert, moet u ervoor zorgen dat u de PowerShell-module Defender for Identity hebt gedownload.

U kunt de proxyconfiguratie voor uw sensor bekijken en wijzigen met behulp van PowerShell. Hiervoor meldt u zich aan bij uw sensorserver en voert u opdrachten uit, zoals wordt weergegeven in de volgende voorbeelden:

De proxyconfiguratie van de huidige sensor weergeven:

Get-MDISensorProxyConfiguration

De proxyconfiguratie van de huidige sensor wijzigen:

Set-MDISensorProxyConfiguration -ProxyUrl 'http://proxy.contoso.com:8080'

Met de voorgaande opdracht wordt de proxyconfiguratie voor de Defender for Identity-sensor zo ingesteld dat deze de opgegeven proxyserver zonder aanmeldingsgegevens gebruikt.

De proxyconfiguratie van de huidige sensor volledig verwijderen:

Clear-MDISensorProxyConfiguration

Zie de volgende DefenderForIdentity PowerShell-verwijzingen voor meer informatie:

• Get-MDISensorProxyConfiguration
• Set-MDISensorProxyConfiguration
• Clear-MDISensorProxyConfiguration

Proxyconfiguratie wijzigen met verouderde methoden

Als u uw proxy-instellingen eerder hebt geconfigureerd via WinINet of een registersleutel en deze moet bijwerken, moet u de overeenkomende methode gebruiken: WinINet-instellingen bijwerken via WinINet of registerinstellingen bijwerken via het register.

Hoewel het configureren van uw proxy via de opdrachtregel tijdens de installatie ervoor zorgt dat alleen de sensorservices van Defender for Identity via de proxy communiceren, zorgt het gebruik van WinINet of een registerinstelling ervoor dat ook andere services die worden uitgevoerd onder de accounts LocalSystem of LocalService verkeer via de proxy kunnen leiden.

Een proxyserver configureren met WinINet

Wanneer u de proxy configureert met behulp van WinINet, moet u er rekening mee houden dat de ingesloten Defender for Identity-sensorservice wordt uitgevoerd in de systeemcontext met behulp van het LocalService-account en dat de Updater-service voor Defender for Identity Sensor wordt uitgevoerd in de systeemcontext met behulp van het LocalSystem-account .

• Als u WinHTTP gebruikt voor proxyconfiguratie, moet u nog steeds proxy-instellingen voor Windows Internet (WinINet) configureren voor communicatie tussen de sensor en de Defender for Identity-cloudservice.

• Als u Transparante proxy of WPAD in uw netwerktopologie gebruikt, hoeft u WinINet niet te configureren voor uw proxy.

Een proxyserver configureren met behulp van het register

In de volgende procedure wordt beschreven hoe u handmatig een statische proxyserver configureert met behulp van een statische proxy op basis van een register.

Als u uw proxy wilt configureren, kopieert u de proxyconfiguratie in de gebruikerscontext als volgt naar de LocalSystem- en LocalService-accounts:

1. Maak een back-up van uw registersleutels.

2. Zoek in het register naar de DefaultConnectionSettings waarde als REG_BINARY, onder de HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings registersleutel en kopieer deze.

3. Als de LocalSystem niet de juiste proxy-instellingen heeft, kopieert u de proxy-instelling van de Current_User naar de LocalSystem, onder de HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings registersleutel.

   Zorg ervoor dat u de waarde uit de registersleutel van Current_UserDefaultConnectionSettings plakt als REG_BINARY.

   Dit kan gebeuren als uw proxy-instellingen niet zijn geconfigureerd of als ze afwijken van de Current_User.

4. Als de LocalService niet de juiste proxy-instellingen heeft, kopieert u de proxy-instelling van de Current_User naar de LocalService, onder de HKU\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings registersleutel.

   Zorg ervoor dat u de waarde uit de registersleutel van Current_UserDefaultConnectionSettings plakt als REG_BINARY.

Volgende stap

Na het configureren van de proxy test je de connectiviteit om te verifiëren dat de sensor de Defender for Identity-dienst kan bereiken.