Integracja Defender for Identity VPN w Microsoft Defender

Uwaga

Integracja z siecią VPN jest obecnie obsługiwana tylko przez czujnik usługi Defender for Identity w wersji 2.x.

Microsoft Defender for Identity można zintegrować z rozwiązaniem sieci VPN, nasłuchując zdarzeń księgowych usługi RADIUS przekazanych do czujników usługi Defender for Identity, takich jak adresy IP i lokalizacje, z których pochodzą połączenia. Dane księgowe sieci VPN mogą pomóc w badaniu, udostępniając więcej informacji o aktywności użytkowników, takich jak lokalizacje, z których komputery łączą się z siecią, oraz dodatkowe wykrywanie nietypowych połączeń sieci VPN.

Ważna

Integracja VPN nie jest wspierana w środowiskach spełniających Federalne Standardy Przetwarzania Informacji (FIPS).

Integracja sieci VPN w usłudze Defender for Identity jest oparta na standardowym mechanizmie rozliczania RADIUS (RFC 2866) i obsługuje następujących dostawców rozwiązań VPN:

  • Microsoft
  • F5
  • Check Point
  • Cisco ASA

Integracja sieci VPN usługi Defender for Identity obsługuje zarówno główne nazwy UPN, jak i alternatywne nazwy główne użytkowników. Wywołania służące do ustalania lokalizacji na podstawie zewnętrznych adresów IP są anonimowe i w ich ramach nie jest wysyłany żaden identyfikator pozwalający zidentyfikować osobę.

Wymagania wstępne

Przed rozpoczęciem upewnij się, że masz następujące elementy:

  • Microsoft Defender for Identity wdrożony

  • Przynajmniej jeden podłączony i sprawny sensor Defender for Identity w wersji 2.x do otrzymywania zdarzeń księgowych RADIUS.

  • Dostęp do sekcji Ustawienia w Microsoft Defender. Aby uzyskać więcej informacji, zobacz grupy ról Microsoft Defender for Identity.

  • Możliwość konfigurowania usługi RADIUS w systemie sieci VPN.

    Poniższa procedura przedstawia przykład konfigurowania usługi Microsoft Defender for Identity do zbierania informacji rozliczeniowych z rozwiązań VPN przy użyciu Microsoft Routing and Remote Access Server (RRAS). Jeśli używasz rozwiązania VPN innej firmy, zapoznaj się z dokumentacją tego rozwiązania, aby uzyskać instrukcje, jak włączyć rozliczanie RADIUS.

Uwaga

Gdy włączasz integrację VPN w ustawieniach Defender for Identity, czujnik Defender for Identity uruchamia wstępnie skonfigurowaną politykę zapory Windows o nazwie Microsoft Defender for Identity Sensor. Te zasady umożliwiają przychodzącą księgowość usługi RADIUS na porcie UDP 1813.

Skonfiguruj rozliczanie RADIUS w systemie VPN

W tej procedurze opisano sposób konfigurowania księgowości usługi RADIUS na serwerze usługi RRAS w celu integracji systemu sieci VPN z usługą Defender for Identity. Instrukcje systemu mogą się różnić.

Na twoim serwerze RRAS

  1. Otwórz konsolę Routing i dostęp zdalny .

  2. Kliknij prawym przyciskiem myszy nazwę serwera i wybierz pozycję Właściwości.

  3. Na karcie Zabezpieczenia, w obszarze Dostawca rozliczeń, wybierz opcję RADIUS Accounting>Konfiguruj. Przykład:

    Zrzut ekranu zakładki Bezpieczeństwo pokazujący, że RADIUS Accounting jest wybrany jako dostawca księgowości.

  4. W oknie dialogowym Dodawanie serwera RADIUS wprowadź nazwę serwera najbliższego czujnika usługi Defender for Identity z łącznością sieciową. Aby zapewnić wysoką dostępność, można dodać dodatkowe czujniki Microsoft Defender for Identity jako serwery rozliczania RADIUS w RRAS.

  5. W obszarze Port upewnij się, że wartość domyślna parametru 1813 jest skonfigurowana.

  6. Wybierz pozycję Zmień i wprowadź nowy współdzielony klucz tajny w postaci ciągu znaków alfanumerycznych. Zanotuj nowy współdzielony sekret w postaci ciągu znaków. Wpiszesz go w polu Shared Secret w ustawieniach integracji Defender for Identity VPN.

  7. Zaznacz pole wyboru Wyślij komunikaty RADIUS Account On i Accounting Off, a następnie wybierz OK we wszystkich otwartych oknach dialogowych. Przykład:

    Zrzut ekranu ustawień rozliczania RRAS pokazujący włączoną opcję wysyłania komunikatów RADIUS Account On i Accounting Off.

Konfigurowanie sieci VPN w usłudze Defender for Identity

Ta procedura opisuje, jak skonfigurować integrację VPN Defender for Identity w Microsoft Defender.

  1. Zaloguj się w Microsoft Defender i wybierz Ustawienia>Tożsamości>VPN.

  2. Wybierz pozycję Włącz rozliczanie RADIUS i wprowadź w polu Klucz współdzielony wartość skonfigurowaną wcześniej na serwerze RRAS VPN. Przykład:

    Zrzut ekranu ustawień integracji VPN z zaznaczoną opcją Włącz rozliczanie RADIUS i wypełnionym polem Shared Secret.

  3. Wybierz pozycję Zapisz , aby kontynuować.

Po zapisaniu wybranej opcji czujniki usługi Defender for Identity rozpoczną nasłuchiwanie na porcie 1813 w przypadku zdarzeń księgowych radius i konfiguracja sieci VPN zostanie ukończona.

Gdy czujnik usługi Defender for Identity odbiera zdarzenia sieci VPN i wysyła je do usługi w chmurze Defender for Identity w celu przetworzenia, profil jednostki wskazuje różne lokalizacje sieci VPN, do których uzyskano dostęp, a działania profilu wskazują lokalizacje.

Zawartość pokrewna

Nasłuchuj zdarzeń SIEM na autonomicznym czujniku Defender for Identity

  • Ostatnia aktualizacja o