De Defender for Identity-sensor v3.x implementeren

Implementeer de Defender for Identity-sensor v3.x op ondersteunde domeincontrollers. Voltooi de vereiste controles vóór activering en configureer vervolgens controle- en identiteitsinstellingen.

Voordat u activeert

Voer deze controles uit voordat u de sensor activeert.

Beperkingen van sensorversies

Voordat u de Defender for Identity-sensor v3.x activeert, moet u rekening houden met het volgende:

Serververeisten

Zorg ervoor dat de server waarop u de sensor activeert:

  • Heeft Defender for Endpoint op de server geïnstalleerd. Het onderdeel Microsoft Defender Antivirus kan actief of passief zijn. Defender voor Eindpunt moet worden ge onboardd op de server waarop de sensor wordt uitgevoerd; implementatie met alleen eindpunten is niet voldoende.
  • Er is nog geen Defender for Identity-sensor v2.x geïmplementeerd.
  • Windows Server 2019 of hoger wordt uitgevoerd.
  • Bevat de cumulatieve update van Windows Server juli 2026 of hoger.

Ondersteunde servertypen

De v3.x-sensor ondersteunt domeincontrollers, inclusief domeincontrollers met deze identiteitsrollen:

  • Active Directory Federation Services (AD FS)
  • Active Directory certificaatservices (AD CS)
  • Microsoft Entra Connect

Gebruik de Defender for Identity-sensor v2.x voor servers die geen domeincontrollers zijn en voer AD FS, AD CS of Microsoft Entra Connect uit.

Licentievereisten

Voor het implementeren van Defender for Identity is een van de volgende Microsoft 365-licenties vereist:

  • Enterprise Mobility + Security E5 (EMS E5/A5)
  • Microsoft 365 E5 (Microsoft E5/A5/G5)
  • Microsoft 365 E5/A5/G5/F5* Beveiliging
  • Microsoft 365 F5 Beveiliging en naleving*

Voor beide F5-licenties is Microsoft 365 F1/F3 of Office 365 F3 en Enterprise Mobility + Security E3 vereist. Koop licenties in de Microsoft 365-portal of via CSP-licenties (Cloud Solution Partner). Zie Veelgestelde vragen over licenties en privacy voor meer informatie.

Rollen en machtigingen

  • Als u uw Defender for Identity-werkruimte wilt maken, hebt u een Microsoft Entra ID-tenant nodig.

  • U moet een beveiligingsbeheerder zijn of de volgende Unified RBAC-machtigingen hebben:

    • System settings (Read and manage)
    • Security settings (All permissions)

Netwerkvereisten

De Defender for Identity-sensor gebruikt dezelfde URI's als Microsoft Defender voor Eindpunt. Bekijk de volgende documenten voor Defender voor Eindpunt, op basis van de connectiviteit van uw systeem, om de volledige lijst met vereiste service-eindpunten te vinden.

Geheugenvereisten

In de volgende tabel worden geheugenvereisten beschreven op de server waarop de Defender voor identiteitssensor wordt uitgevoerd, afhankelijk van het type virtualisatie dat u gebruikt:

VM die wordt uitgevoerd op Beschrijving
Hyper-V Zorg ervoor dat Dynamisch geheugen inschakelen niet is ingeschakeld voor de VM.
Vmware Zorg ervoor dat de hoeveelheid geconfigureerd geheugen en het gereserveerde geheugen hetzelfde zijn, of selecteer de optie Alle gastgeheugen reserveren (Alle vergrendelde) in de VM-instellingen.
Andere virtualisatiehost Raadpleeg de door de leverancier geleverde documentatie over hoe u ervoor kunt zorgen dat geheugen altijd volledig is toegewezen aan de VM's.

Belangrijk

Wanneer deze als virtuele machine wordt uitgevoerd, moet u altijd al het geheugen aan de virtuele machine toewijzen.

Versie 3 van de sensor voorkomt dat de sensor de CPU of het geheugen te veel gebruikt door het CPU-gebruik te beperken tot 30% en het geheugengebruik tot 1,5 GB. Als een andere service echter aanzienlijke systeembronnen gebruikt, kan de domeincontroller nog steeds prestatiebelasting ondervinden. Als de sensor de CPU-limiet bereikt, beperkt deze de verwerking van sommige gebeurtenissen. Als de sensor de geheugenlimiet bereikt, kan de sensorservice opnieuw starten.

Raadpleeg de documentatie voor Defender for Identity Capacity Planning om te bepalen of uw domeincontrollerservers voldoende resources hebben voor een Microsoft Defender for Identity sensor.

Vereisten voor serviceaccounts

De Defender for Identity-sensor communiceert op twee manieren met Active Directory:

  • AD-gegevens lezen (query's uitvoeren op objecten, wijzigingen bijhouden, entiteiten omzetten). In v2.x wordt hiervoor een DSA (Directory Service Account) gebruikt. In v3.x verwerkt LocalSystem dit automatisch.
  • Herstelacties uitvoeren (accounts uitschakelen, wachtwoorden opnieuw instellen). In v2.x wordt hiervoor een actieaccount gebruikt. In v3.x verwerkt LocalSystem dit automatisch.

De v3.x-sensor maakt voor beide doeleinden gebruik van de lokale systeemidentiteit van de server. Het maakt geen gebruik van Directory Service Accounts (DSA) of group Managed Service Accounts (gMSA). LocalSystem is de enige ondersteunde identiteit voor v3.x.

Als u migreert van sensor v2.x en eerder een gMSA hebt geconfigureerd voor actieaccounts, selecteert u Automatisch het lokale systeemaccount van de sensor gebruiken in de Microsoft Defender portal (Instellingen>Identiteiten>Microsoft Defender for Identity>Actieaccounts beheren). De v3.x-sensoren gebruiken geen gMSA-accounts die zijn geconfigureerd voor v2.x-sensoren.

Belangrijk

Als een van uw sensoren v3.x is, selecteert u Automatisch het lokale systeemaccount van de sensor gebruiken voor alle sensoren. De v3.x-sensoren gebruiken het lokale systeemaccount, ongeacht de gMSA-configuratie.

DSA- en gMSA-statuswaarschuwingen in omgevingen met zowel v2- als v3-sensoren

Als uw werkruimte nog steeds een Directory Service Account (DSA) of GMSA (Group Managed Service Account) heeft geconfigureerd omdat v2-sensoren op AD FS, AD CS of Entra Connect-servers dit nog steeds vereisen, blijven DSA- en gMSA-referenties gevalideerd op alle sensoren in de werkruimte, inclusief v3-sensoren. Als de validatie van DSA- of gMSA-referenties mislukt, wordt de statuswaarschuwing De gebruikersreferenties voor Directory Services zijn onjuist weergegeven. Validatie op werkruimteniveau van DSA- en gMSA-referenties op alle sensoren is standaard. Defender for Identity valideert DSA- en gMSA-referenties op werkruimteniveau voor alle sensoren zolang deze accounts bestaan, ongeacht of afzonderlijke sensoren deze gebruiken voor controle- of reactieacties.

V3-sensoren negeren de DSA en gMSA voor controle- en reactieacties, maar ze zijn nog steeds opgenomen in referentievalidatie op werkruimteniveau. Als u deze statuswaarschuwing op v3-sensoren niet meer wilt ontvangen, verwijdert u de DSA of gMSA op werkruimteniveau nadat alle sensoren volledig zijn gemigreerd naar v3 en geen v2-sensoren dit vereisen.

Uw vereisten testen

Voer het Test-MdiReadiness.ps1-script uit om te testen of uw omgeving aan de vereiste vereisten voldoet.

Het Test-MdiReadiness.ps1 script is ook beschikbaar via Microsoft Defender XDR op de pagina Hulpmiddelen voor identiteiten > (preview).

De sensor activeren

Nadat u alle vereisten hebt bevestigd, activeert u de sensor vanuit de Microsoft Defender-portal.

Instellingen configureren na activatie

Voltooi deze configuratiestappen nadat de sensor is geactiveerd en actief is.

Windows-gebeurteniscontrole configureren

Defender for Identity is voor veel detecties afhankelijk van Windows-gebeurtenislogboeken. Voor v3.x-sensoren schakel automatische auditing in, die alle auditinstellingen afhandelt zonder handmatige configuratie.

Als automatische auditing niet beschikbaar is of je hebt afgehakt, configureer dan handmatig auditing of stel Windows event collection in met PowerShell.

RPC-controle configureren

Vanaf de release van de Defender for Identity-sensor van juli 2026 (sensorversie 3.0.8) wordt RPC-auditing automatisch ingeschakeld op domeincontrollers wanneer u de sensor bijwerkt naar de nieuwste versie. U hoeft geen tag meer handmatig toe te passen om RPC-controle in te schakelen en de gerelateerde statuswaarschuwing wordt kort na de upgrade gewist.

Note

Als u versie 3.0.8 van de sensor gebruikt en u de tag Unified Sensor RPC Audit of Sensor Extended RPC Audit al hebt toegepast, hoeft u niets extra’s te doen. U kunt de tag op zijn plaats laten staan.

Gebruik de volgende aanbevolen instellingen om stabiele sensorprestaties te garanderen:

  • Stel de energiebeheeroptie van de computer waarop de Defender for Identity-sensor draait in op Hoge prestaties.
  • Synchroniseer de tijd op servers en domeincontrollers waarop u de sensor installeert, zodat deze niet meer dan vijf minuten van elkaar verschillen.

Volgende stap

De Microsoft Defender for Identity sensor activeren

  • Last updated on