Microsoft Defender XDR testen en implementeren

Van toepassing op:

• Microsoft Defender XDR

Deze reeks artikelen leidt je door het hele proces van het testen van de componenten van Microsoft Defender in je productietenant, zodat je hun functies en mogelijkheden kunt evalueren en vervolgens de implementatie binnen je organisatie kunt voltooien.

Een XDR-oplossing (eXtended Detection and Response) is een stap voorwaarts op het gebied van cyberbeveiliging, omdat hiermee de bedreigingsgegevens worden opgehaald van systemen die ooit geïsoleerd waren en deze samenbrengen, zodat u patronen kunt zien en sneller kunt reageren op vermoedelijke cyberaanvallen.

Microsoft Defender XDR:

• Is een XDR-oplossing die de informatie over cyberaanvallen voor identiteiten, eindpunten, e-mail en cloud-apps op één plek combineert. Het maakt gebruik van kunstmatige intelligentie (AI) en automatisering om bepaalde typen aanvallen automatisch te stoppen en getroffen assets te herstellen naar een veilige status.

• Is een cloudgebaseerde, geïntegreerde beveiligingssuite voor ondernemingen, voor vóór en na een inbreuk. Het coördineert preventie, detectie, onderzoek en respons tussen identiteiten, eindpunten, e-mail, cloud-apps en hun gegevens.

• Draagt bij aan een sterke Zero Trust architectuur door bedreigingsbeveiliging en -detectie te bieden. Het helpt bedrijfsschade door een inbreuk te voorkomen of te beperken. Zie het bedrijfsscenario Bedreigingsbeveiliging en XDR implementeren in het Microsoft Zero Trust adoption framework voor meer informatie.

Microsoft Defender-componenten en architectuur

Deze tabel geeft een overzicht van de componenten van Microsoft Defender.

In deze afbeelding ziet u de architectuur en integratie van Microsoft Defender XDR onderdelen.

In deze afbeelding:

• Microsoft Defender combineert de signalen van alle Defender-componenten om XDR over domeinen te bieden. Dit omvat een uniforme incidentwachtrij, geautomatiseerde reactie om aanvallen te stoppen, zelfherstel (voor gecompromitteerde apparaten, gebruikersidentiteiten en postvakken), opsporing van verschillende bedreigingen en bedreigingsanalyse.
• Microsoft Defender voor Office 365 beschermt je organisatie tegen kwaadwillende bedreigingen afkomstig van e-mailberichten, koppelingen (URL’s) en hulpmiddelen voor samenwerking. Het deelt signalen die voortkomen uit deze activiteiten met Microsoft Defender. De ingebouwde beveiligingsfuncties voor alle cloudpostvakken zijn geïntegreerd om end-to-end beveiliging te bieden voor binnenkomende e-mail en bijlagen.
• Microsoft Defender for Identity verzamelt signalen van AD DS-domeincontrollers en servers met AD FS en AD CS. Deze signalen worden gebruikt om uw hybride identiteitsomgeving te beschermen, inclusief beveiliging tegen hackers die gecompromitteerde accounts gebruiken om lateraal te verplaatsen tussen werkstations in de on-premises omgeving.
• Microsoft Defender voor Eindpunt verzamelt signalen van en beschermt apparaten die door uw organisatie worden beheerd.
• Microsoft Defender for Cloud Apps verzamelt signalen van het gebruik van cloud-apps door uw organisatie en beveiligt gegevensstromen tussen uw IT-omgeving en deze apps, inclusief zowel goedgekeurde als niet-goedgekeurde cloud-apps.
• Microsoft Entra Id-beveiliging evalueert risicogegevens van miljarden aanmeldingspogingen en gebruikt deze gegevens om het risico van elke aanmelding bij uw tenant te evalueren. Deze gegevens worden gebruikt door Microsoft Entra ID om toegang tot accounts toe te staan of te voorkomen op basis van de voorwaarden en beperkingen van uw beleid voor voorwaardelijke toegang. Microsoft Entra Id-beveiliging is gescheiden van Microsoft Defender en wordt meegeleverd met Microsoft Entra ID P2-licenties.

Microsoft Defender-componenten en SIEM-integratie

U kunt Microsoft Defender XDR-onderdelen integreren met Microsoft Sentinel of een algemene SIEM-service (Security Information and Event Management) om gecentraliseerde bewaking van waarschuwingen en activiteiten van verbonden apps mogelijk te maken.

Microsoft Sentinel is een cloudeigen oplossing die MOGELIJKHEDEN biedt voor SIEM en beveiliging, automatisering en respons (SOAR). Samen bieden Microsoft Sentinel en Microsoft Defender XDR onderdelen een uitgebreide oplossing om organisaties te helpen zich te beschermen tegen moderne aanvallen.

Microsoft Sentinel bevat connectors voor Microsoft Defender onderdelen. Hierdoor kunt u niet alleen inzicht krijgen in uw cloud-apps, maar ook geavanceerde analyses krijgen om cyberdreigingen te identificeren en te bestrijden en om te bepalen hoe uw gegevens reizen. Voor meer informatie, zie Overzicht van de integratie- en integratiestappen van Microsoft Defender en Microsoft Sentinelvoor Microsoft Sentinel en Microsoft Defender.

Zie Bedreigingsrespons automatiseren met playbooks in Microsoft Sentinel voor meer informatie over SOAR in Microsoft Sentinel, inclusief koppelingen naar playbooks in de Microsoft Sentinel GitHub-opslagplaats.

Zie Algemene SIEM-integratie voor informatie over integratie met SIEM-systemen van derden.

Microsoft Defender XDR en een voorbeeld van een cyberveiligheidsaanval

In dit diagram ziet u een veelvoorkomende cyberaanval en de onderdelen van Microsoft Defender XDR die helpen deze te detecteren en te herstellen.

De cyberaanval begint met een phishing-e-mail die binnenkomt in het Postvak IN van een werknemer in uw organisatie, die onbewust de e-mailbijlage opent. Met deze bijlage wordt malware geïnstalleerd, wat kan leiden tot een reeks aanvalspogingen die kunnen leiden tot diefstal van gevoelige gegevens.

In de afbeelding:

• De ingebouwde beveiligingsfuncties voor alle cloudpostvakken, onderdeel van Microsoft Defender voor Office 365, kunnen de phishing-e-mail detecteren en exchange-e-mailstroomregels (ook wel transportregels genoemd) gebruiken om ervoor te zorgen dat deze nooit in het Postvak IN van een gebruiker binnenkomt.
• Defender voor Office 365 maakt gebruik van Veilige bijlagen om de bijlage te testen en te bepalen of deze schadelijk is, zodat de e-mail die binnenkomt, niet kan worden uitgevoerd door de gebruiker of het beleid voorkomt dat de e-mail binnenkomt.
• Defender voor Eindpunt detecteert apparaat- en netwerkproblemen die anders mogelijk worden misbruikt voor apparaten die door uw organisatie worden beheerd.
• Defender for Identity noteert plotselinge wijzigingen in on-premises gebruikersaccounts, zoals escalatie van bevoegdheden of laterale verplaatsingen met een hoog risico. Er wordt ook gerapporteerd over gemakkelijk uit te buiten identiteitsproblemen, zoals onbeperkte Kerberos-delegatie, zodat uw beveiligingsteam deze kan verhelpen.
• Microsoft Defender for Cloud Apps detecteert afwijkend gedrag, zoals onmogelijk reizen, toegang tot referenties en ongebruikelijk downloaden, bestanden delen of e-mail doorsturen en rapporteert deze aan uw beveiligingsteam.

Het pilot- en implementatieproces voor Microsoft Defender

Microsoft raadt aan om de onderdelen van Microsoft 365 Defender in de volgende volgorde in te schakelen.

Deze volgorde is ontworpen om snel gebruik te maken van de waarde van de mogelijkheden op basis van hoeveel moeite doorgaans nodig is om de mogelijkheden te implementeren en te configureren. Defender voor Office 365 kan bijvoorbeeld in minder tijd worden geconfigureerd dan nodig is om apparaten in te schrijven bij Defender voor Eindpunt. Geef prioriteit aan de onderdelen om te voldoen aan de behoeften van uw bedrijf.

Start de testfase

Microsoft raadt u aan om uw testfase te starten in uw bestaande productieabonnement van Microsoft 365 om onmiddellijk praktische inzichten te krijgen en u kunt instellingen afstemmen om te werken tegen huidige bedreigingen in uw Microsoft 365-tenant. Nadat u ervaring hebt opgedaan en vertrouwd bent met het platform, kunt u het gebruik van elk onderdeel één voor één uitbreiden tot een volledige implementatie.

Een alternatief is om je Microsoft Defender trial lab-omgeving op te zetten. In deze omgeving worden echter geen echte cyberbeveiligingsinformatie weergegeven, zoals bedreigingen of aanvallen op uw productie-Microsoft 365-tenant terwijl u test en u geen beveiligingsinstellingen van deze omgeving naar uw productietenant kunt verplaatsen.

Proeflicenties voor Microsoft 365 E5 gebruiken

Als u geen Microsoft 365 E5 hebt en wilt profiteren van Microsoft 365 E5 proeflicenties voor uw testfase:

1. Meld u aan bij uw bestaande Microsoft 365-tenantbeheerportal.

2. Selecteer Services aanschaffen in het navigatiemenu.

3. Selecteer in de sectie Office 365 Details onder Office 365 E5 licentie.

   

4. Selecteer Gratis proefversie starten.

   

5. Bevestig uw aanvraag en selecteer Nu proberen.

   

Tijdens uw testfase met Microsoft 365 E5 proeflicenties in uw bestaande productietenant kunt u beveiligingsinstellingen en -methoden behouden wanneer de proefversie verloopt en u gelijkwaardige licenties aanschaft.

Volgende stap

Zie Proefimplementatie en implementatie van Microsoft Defender for Identity.