Instellingen voor Microsoft Defender for Identity sensor configureren

In dit artikel leert u hoe u Microsoft Defender for Identity sensorinstellingen correct configureert om gegevens te zien. U moet extra configuratie en integratie uitvoeren om te profiteren van de volledige mogelijkheden van Defender for Identity.

Sensorinstellingen weergeven en configureren

Nadat de Defender for Identity-sensor is geïnstalleerd, gaat u als volgt te werk om de defender voor identiteitssensorinstellingen weer te geven en te configureren:

1. Ga in Microsoft Defender XDR naar Instellingen>IdentiteitenSensoren>. Bijvoorbeeld:

Op de pagina Sensoren worden al uw Defender for Identity-sensoren weergegeven, met de volgende details per sensor:

Zie Sensordetails voor meer informatie.

1. Selecteer Filters om de filters te selecteren die u zichtbaar wilt maken. Bijvoorbeeld:

   

2. Gebruik de weergegeven filters om te bepalen welke sensoren moeten worden weergegeven. Bijvoorbeeld:

   

3. Selecteer een sensor om een detailvenster weer te geven met meer informatie over de sensor en de status ervan. Bijvoorbeeld:

   

4. Schuif omlaag en selecteer Sensor beheren om een deelvenster weer te geven waarin u sensordetails kunt configureren. Bijvoorbeeld:

   

5. Configureer de volgende sensordetails:

   Naam	Beschrijving
   Beschrijving	Optionele. Voer een beschrijving in voor de Defender for Identity-sensor.
   Domeincontrollers (FQDN)	Vereist voor de zelfstandige Defender for Identity-sensoren en sensoren die zijn geïnstalleerd op AD FS/AD CS-servers en kunnen niet worden gewijzigd voor de Defender for Identity-sensor. Voer de volledige FQDN van uw domeincontroller in en selecteer het plusteken om deze toe te voegen aan de lijst. Bijvoorbeeld DC1.domain1.test.local. Voor servers die u definieert in de lijst Domeincontrollers : - Alle domeincontrollers waarvan het verkeer wordt bewaakt via poortspiegeling door de zelfstandige Defender for Identity-sensor, moeten worden vermeld in de lijst Domeincontrollers . Als een domeincontroller niet wordt vermeld in de lijst met domeincontrollers , werkt de detectie van verdachte activiteiten mogelijk niet zoals verwacht. - Ten minste één domeincontroller in de lijst moet een globale catalogus zijn. Hierdoor kan Defender for Identity computer- en gebruikersobjecten in andere domeinen in de foreststructuur herkennen.
   Netwerkadapters registreren	Verplicht. - Voor Defender for Identity-sensoren, alle netwerkadapters die worden gebruikt voor communicatie met andere computers in uw organisatie. - Voor de zelfstandige sensor van Defender for Identity op een toegewezen server selecteert u de netwerkadapters die zijn geconfigureerd als de doelspiegelpoort. Deze netwerkadapters ontvangen het verkeer van de gespiegelde domeincontroller.

6. Selecteer op de pagina Sensorende optie Exporteren om een lijst met uw sensoren te exporteren naar een .csv-bestand . Bijvoorbeeld:

   

Installaties valideren

Gebruik de volgende procedures om de installatie van uw Defender for Identity-sensor te valideren.

Geslaagde implementatie valideren

Controleren of de Defender for Identity-sensor succesvol is geïmplementeerd:

1. Controleer of de Azure Advanced Threat Protection-sensorservice wordt uitgevoerd op uw sensorcomputer. Nadat u de Defender for Identity-sensorinstellingen hebt opgeslagen, kan het enkele seconden duren voordat de service wordt gestart.

2. Als de service niet wordt gestart, controleert u het Microsoft.Tri.sensor-Errors.log-bestand , dat zich standaard bevindt op %programfiles%\Azure Advanced Threat Protection sensor\<sensor version>\Logs, waarbij de versie is die <sensor version> u hebt geïmplementeerd.

Functionaliteit van beveiligingswaarschuwingen controleren

In de volgende procedure wordt beschreven hoe u kunt controleren of beveiligingswaarschuwingen worden geactiveerd zoals verwacht.

Wanneer u de voorbeelden in deze validatieprocedure gebruikt, moet u ervoor zorgen dat u contosodc.contoso.azure en contoso.azure vervangt door respectievelijk de volledig gekwalificeerde domeinnaam (FQDN) van uw Defender for Identity-sensor en uw domeinnaam.

1. Open op een apparaat dat lid is geworden een opdrachtprompt en voer nslookup in

2. Voer server en de FQDN of het IP-adres in van de domeincontroller waarop de Defender for Identity-sensor is geïnstalleerd. Bijvoorbeeld:server contosodc.contoso.azure

3. Voer ls -d contoso.azure

4. Herhaal de server en ls -d opdrachten voor elke sensor die u wilt testen.

5. Ga naar de pagina met apparaatdetails voor de computer waarop u de connectiviteitstest hebt uitgevoerd, bijvoorbeeld vanaf de pagina Apparaten , door te zoeken naar de apparaatnaam of ergens anders in de Defender-portal.

6. Selecteer op het tabblad Apparaatdetails het tabblad Tijdlijn om de volgende activiteit weer te geven:

   • Gebeurtenissen: DNS-query's uitgevoerd op een opgegeven domeinnaam
   • Actietype MdiDnsQuery

Als de domeincontroller of AD FS/AD CS die u test de eerste sensor is die u hebt geïmplementeerd, wacht u ten minste 15 minuten voordat u een logische activiteit voor die domeincontroller verifieert, zodat de back-end van de database de initiële microservice-implementaties kan voltooien.

Controleer de nieuwste beschikbare sensorversie

De Defender for Identity-versie wordt regelmatig bijgewerkt. Controleer de nieuwste versie op de Microsoft Defender-Instellingen>Identiteiten>Info-pagina.

Verwante onderwerpen

Nu u de Defender voor identiteitssensorinstellingen hebt geconfigureerd, kunt u aanvullende instellingen configureren. Zie de volgende artikelen voor meer informatie:

• Entiteitstags instellen: gevoelig, honeytoken en Exchange-server
• Detectie-uitsluitingen configureren
• Meldingen configureren: statusproblemen, waarschuwingen en Syslog

Volgende stap