Rol de Microsoft Defender for Identity sensor v3.x uit

Zet de Defender for Identity Sensor v3.x uit op geschikte domeincontrollers en AD FS, AD CS of Microsoft Entra Connect servers die geen domeincontrollers zijn. Voer de vereiste controles af vóór activatie en configureer daarna audit- en identiteitsinstellingen.

Voordat u activeert

Voer deze controles uit voordat u de sensor activeert.

Beperkingen van sensorversies

Voordat u de Defender for Identity-sensor v3.x activeert, moet u rekening houden met het volgende:

• Biedt geen ondersteuning voor VPN-integratie.
• Biedt geen ondersteuning voor Syslog-meldingen.
• Heeft beperkingen voor het werken met Azure ExpressRoute. Zie Azure ExpressRoute voor Microsoft 365 voor meer informatie.

Serververeisten

Zorg ervoor dat de server waarop u de sensor activeert:

• Is toegevoegd aan Defender for Endpoint. Het onderdeel Microsoft Defender Antivirus kan actief of passief zijn. Voor in aanmerking komende servers kun je in plaats daarvan Sensor v3.x onboarding gebruiken zonder Defender voor Endpoint-implementatie.
• Er is nog geen Defender for Identity-sensor v2.x geïmplementeerd.
• Werkt op Windows Server 2019 of hoger.
• Is de cumulatieve update voor Windows Server van september 2026 of later geïnstalleerd (Defender for Identity-sensorversie 3.0.10 of later).

Gebruik de cumulatieve update van september 2026 voor je Windows Server-versie, of een latere cumulatieve update:

Ondersteunde servertypen

De v3.x-sensor ondersteunt domeincontrollers. Het ondersteunt ook servers die geen domeincontrollers zijn en de volgende identiteitsrollen uitvoeren:

• Active Directory Federation Services (AD FS)
• Active Directory certificaatservices (AD CS)
• Microsoft Entra Connect

Licentievereisten

Voor het implementeren van Defender for Identity is een van de volgende Microsoft 365-licenties vereist:

• Enterprise Mobility + Security E5 (EMS E5/A5)
• Microsoft 365 E5 (Microsoft E5/A5/G5)
• Microsoft 365 E5/A5/G5/F5* Beveiliging
• Microsoft 365 F5 Beveiliging en naleving*

Voor beide F5-licenties is Microsoft 365 F1/F3 of Office 365 F3 en Enterprise Mobility + Security E3 vereist. Koop licenties in de Microsoft 365-portal of via CSP-licenties (Cloud Solution Partner). Zie Veelgestelde vragen over licenties en privacy voor meer informatie.

Rollen en machtigingen

• Als u uw Defender for Identity-werkruimte wilt maken, hebt u een Microsoft Entra ID-tenant nodig.

• U moet een beveiligingsbeheerder zijn of de volgende Unified RBAC-machtigingen hebben:

  • System settings (Read and manage)
  • Security settings (All permissions)

Netwerkvereisten

De Defender for Identity-sensor gebruikt dezelfde URI's als Microsoft Defender voor Eindpunt. Bekijk de volgende documenten voor Defender voor Eindpunt, op basis van de connectiviteit van uw systeem, om de volledige lijst met vereiste service-eindpunten te vinden.

• Microsoft Defender voor Eindpunt gestroomlijnde connectiviteits-URL's

• URL’s voor standaardconnectiviteit van Microsoft Defender voor Eindpunt

Geheugenvereisten

In de volgende tabel worden geheugenvereisten beschreven op de server waarop de Defender voor identiteitssensor wordt uitgevoerd, afhankelijk van het type virtualisatie dat u gebruikt:

De Defender voor Identity Sensor v3.x beperkt het CPU-gebruik tot 30% en het geheugengebruik tot 1,5 GB. Als een andere dienst echter aanzienlijke systeemmiddelen gebruikt, kan de server nog steeds prestatiedruk ondervinden. Als de sensor de CPU-limiet bereikt, beperkt deze de verwerking van sommige gebeurtenissen. Als de sensor de geheugenlimiet bereikt, kan de sensorservice opnieuw starten.

De Defender for Identity sizing tool geldt voor v2.x-sensoren en is niet vereist voor v3.x.

Vereisten voor serviceaccounts

De Defender for Identity-sensor communiceert op twee manieren met Active Directory:

• AD-gegevens lezen (query's uitvoeren op objecten, wijzigingen bijhouden, entiteiten omzetten). In v2.x wordt hiervoor een DSA (Directory Service Account) gebruikt. In v3.x verwerkt LocalSystem dit automatisch.
• Herstelacties uitvoeren (accounts uitschakelen, wachtwoorden opnieuw instellen). In v2.x wordt hiervoor een actieaccount gebruikt. In v3.x verwerkt LocalSystem dit automatisch.

De v3.x-sensor maakt voor beide doeleinden gebruik van de lokale systeemidentiteit van de server. Het maakt geen gebruik van Directory Service Accounts (DSA) of group Managed Service Accounts (gMSA). LocalSystem is de enige ondersteunde identiteit voor v3.x.

Voordat je van sensor v2.x migreert, selecteer Automatisch het lokale systeemaccount van de sensor gebruiken in het Microsoft Defender-portaal (Settings>Identities>Microsoft Defender for Identity>Manage action accounts). Migratie verandert deze instelling voor het actieaccount niet automatisch. De v3.x-sensoren gebruiken geen gMSA-accounts die zijn geconfigureerd voor v2.x-sensoren.

DSA- en gMSA-gezondheidswaarschuwingen in omgevingen met zowel v2.x- als v3.x-sensoren

Als je werkruimte nog steeds een Directory Service Account (DSA) of een groep Managed Service Account (gMSA) heeft geconfigureerd omdat v2.x-sensoren op AD FS-, AD CS- of Entra Connect-servers dit nog steeds vereisen, blijven DSA- en gMSA-inloggegevens gevalideerd worden op alle sensoren in de werkruimte, inclusief v3.x-sensoren. Als de validatie van DSA- of gMSA-referenties mislukt, wordt de statuswaarschuwing De gebruikersreferenties voor Directory Services zijn onjuist weergegeven. Validatie op werkruimteniveau van DSA- en gMSA-referenties op alle sensoren is standaard. Defender for Identity valideert DSA- en gMSA-referenties op werkruimteniveau voor alle sensoren zolang deze accounts bestaan, ongeacht of afzonderlijke sensoren deze gebruiken voor controle- of reactieacties.

Defender for Identity v3.x-sensoren negeren de DSA en gMSA voor audit- en responsacties, maar ze zijn nog steeds inbegrepen in de validatie van referenties op werkruimteniveau. Migratie verwijdert de werkruimteniveau DSA- of gMSA-configuratie niet automatisch. Om deze gezondheidswaarschuwing op v3.x-sensoren te stoppen, verwijder je handmatig de configuratie nadat alle sensoren volledig naar v3.x zijn gemigrerd en geen v2.x-sensoren het meer vereisen. Het verwijderen van de workspace-configuratie verwijdert het gMSA-account in Active Directory niet.

Uw vereisten testen

Voer het Test-MdiReadiness.ps1-script uit om te testen of uw omgeving aan de vereiste vereisten voldoet.

Het Test-MdiReadiness.ps1 script is ook beschikbaar via Microsoft Defender XDR op de pagina Hulpmiddelen voor identiteiten > (preview).

De sensor activeren

Nadat u alle vereisten hebt bevestigd, activeert u de sensor vanuit de Microsoft Defender-portal.

Instellingen configureren na activatie

Voltooi deze configuratiestappen nadat de sensor is geactiveerd en actief is.

Windows-gebeurteniscontrole configureren

Defender for Identity is voor veel detecties afhankelijk van Windows-gebeurtenislogboeken. Voor v3.x-sensoren schakel automatische auditing in om ondersteunde auditinstellingen te configureren. Voltooi de aanvullende stappen voor AD FS of AD CS, indien van toepassing.

Als automatische auditing niet beschikbaar is of je hebt afgehakt, configureer dan handmatig auditing of stel Windows event collection in met PowerShell.

RPC-controle configureren

Installeer de cumulatieve Windows Server-update van september 2026 of later voordat je Defender for Identity sensor versie 3.0.10 of later installeert of upgradet. Vanaf sensor versie 3.0.8 wordt RPC-auditing automatisch ingeschakeld op domeincontrollers, zodat je geen RPC-configuratietag meer hoeft toe te passen. De bijbehorende gezondheidswaarschuwing verdwijnt kort na de upgrade.

Aanbevolen instellingen

Gebruik de volgende aanbevolen instellingen om stabiele sensorprestaties te garanderen:

• Stel de energiebeheeroptie van de computer waarop de Defender for Identity-sensor draait in op Hoge prestaties.
• Synchroniseer de tijd op servers waar je de sensor installeert tot binnen vijf minuten van elkaar.

Volgende stap

De Microsoft Defender for Identity sensor activeren