Sensorimplementatie op domeincontrollers valideren

Valideer de implementatie van Microsoft Defender for Identity-sensoren op domeincontrollers door portaalgegevens, geavanceerde zoekresultaten en testalerts te controleren.

Het identiteitsbeveiligingsdashboard controleren

Bekijk het dashboard om identiteitsgegevens van je uitrol te controleren:

1. Selecteer in de Defender-portal identiteitendashboard> en bekijk de weergegeven details. Controleer op verwachte resultaten van uw omgeving. Zie Identity Security-dashboard voor meer informatie.

Entiteitsgegevens bevestigen in de Defender-portal

Controleer apparaat-, gebruikers- en groepsgegevens die uit uw omgeving zijn verzameld:

1. Selecteer in de Defender-portal Assets > Apparaten en selecteer het apparaat voor uw nieuwe sensor. Controleer of Defender for Identity-gebeurtenissen worden weergegeven op de tijdlijn van het apparaat.

2. Selecteer Assets > Users en controleer of er gebruikers zijn van een onlangs toegevoegd domein. U kunt ook de algemene zoekopdracht gebruiken om specifieke gebruikers te zoeken. Controleer of de pagina's met gebruikersgegevens Overzicht, Waargenomen in organisatie en Tijdlijngegevens bevatten.

3. Gebruik de algemene zoekopdracht om een gebruikersgroep te zoeken, of draai vanaf de pagina met gebruikers- of apparaatgegevens waar groepsdetails worden weergegeven. Bevestig de details van het groepslidmaatschap, de groepsgebruikers en de tijdlijngegevens van de groep.

   Als er geen gebeurtenisgegevens worden gevonden op de tijdlijn van de groep, moet u er mogelijk handmatig een maken. U kunt bijvoorbeeld gebruikers toevoegen aan en verwijderen uit de groep in Active Directory.

Zie Assets onderzoeken voor meer informatie.

Gegevens in geavanceerde opsporingstabellen verifiëren

Gebruik geavanceerde huntingquery's om te bevestigen dat sensorgegevens in de verwachte tabellen verschijnen. Voer elke query apart uit. Vervang DC_FQDN en domain door de volledig gekwalificeerde domeinnaam en het domein van je domeincontroller.

1. Voer op de pagina Geavanceerde opsporing van de Defender-portal de volgende query's uit om te controleren of gegevens worden weergegeven in de verwachte tabellen:

   IdentityDirectoryEvents
   | where TargetDeviceName contains "DC_FQDN" // insert domain controller FQDN
   
   IdentityInfo 
   | where AccountDomain contains "domain" // insert domain
   
   IdentityQueryEvents 
   | where DeviceName contains "DC_FQDN" // insert domain controller FQDN
   

Zie Geavanceerde opsporing in de Microsoft Defender-portal voor meer informatie.

Ispm-aanbevelingen (Identity Security Posture Management) testen

We raden aan risicovol gedrag te simuleren in een testomgeving om ondersteunde evaluaties te activeren en te verifiëren dat deze evaluaties zoals verwacht verschijnen. Bijvoorbeeld:

1. Activeer een nieuwe aanbeveling voor het oplossen van onveilige domeinconfiguraties door uw Active Directory-configuratie in te stellen op een niet-compatibele status en deze vervolgens te retourneren naar een compatibele status. Voer bijvoorbeeld de volgende opdrachten uit:

   Een niet-compatibele status instellen

   Set-ADObject -Identity ((Get-ADDomain).distinguishedname) -Replace @{"ms-DS-MachineAccountQuota"="10"}
   

   Ga als volgende te werk om deze te herstellen naar een compatibele status:

   Set-ADObject -Identity ((Get-ADDomain).distinguishedname) -Replace @{"ms-DS-MachineAccountQuota"="0"}
   

   Uw lokale configuratie controleren:

   Get-ADObject -Identity ((Get-ADDomain).distinguishedname) -Properties ms-DS-MachineAccountQuota
   

2. Selecteer in Microsoft Secure Score de optie Aanbevolen acties om te controleren op een nieuwe aanbeveling voor het oplossen van onveilige domeinconfiguraties . U kunt aanbevelingen mogelijk filteren op basis van het product Defender for Identity.

Zie evaluaties van beveiligingspostuur van Microsoft Defender for Identity voor meer informatie.

Waarschuwingsfunctionaliteit testen

Simuleer riskante activiteiten in een testomgeving om te controleren of waarschuwingen worden geactiveerd zoals verwacht. Bijvoorbeeld:

1. Tag een account als een honeytoken-account en probeer u vervolgens aan te melden bij het honeytoken-account via de geactiveerde domeincontroller.

2. Maak een verdachte service op uw domeincontroller.

3. Voer op uw domeincontroller een opdracht op afstand uit als beheerder, aangemeld vanaf uw werkstation.

4. Controleer of de verwachte waarschuwingen worden weergegeven in de Defender-portal.

Zie Beveiligingswaarschuwingen van Defender for Identity onderzoeken in Microsoft Defender voor meer informatie.

Herstelacties testen

Herstelacties testen op een testgebruiker. Bijvoorbeeld:

1. Ga in de Defender-portal naar de pagina met gebruikersgegevens voor een testgebruiker.

2. Selecteer in het menu Opties een van de beschikbare herstelacties.

3. Controleer Active Directory op de verwachte activiteit.

Zie Herstelacties in Microsoft Defender for Identity voor meer informatie.

Volgende stappen

Zie Microsoft Defender for Identity sensoren beheren en bijwerken voor meer informatie.