Notatka
Dostęp do tej strony wymaga autoryzacji. Może spróbować zalogować się lub zmienić katalogi.
Dostęp do tej strony wymaga autoryzacji. Możesz spróbować zmienić katalogi.
Ten artykuł zawiera przepływ pracy na potrzeby pilotażu i wdrażania Microsoft Defender for Identity w organizacji. Wykorzystaj te zalecenia, aby wdrożyć Microsoft Defender for Identity jako część kompleksowego rozwiązania z Microsoft Defender.
W tym artykule przyjęto założenie, że masz produkcyjną dzierżawę platformy Microsoft 365 i pilotujesz i wdrażasz Microsoft Defender for Identity w tym środowisku. Takie podejście pozwoli zachować wszelkie ustawienia i dostosowania skonfigurowane podczas pilotażu na potrzeby pełnego wdrożenia.
Usługa Defender for Identity przyczynia się do Zero Trust architektury, pomagając zapobiegać lub zmniejszać szkody biznesowe spowodowane naruszeniem. Aby uzyskać więcej informacji, zobacz Scenariusz dotyczący zapobiegania lub zmniejszania szkód biznesowych spowodowanych naruszeniem zasad biznesowych w strukturze wdrażania Zero Trust firmy Microsoft.
Kompleksowe wdrożenie rozwiązania Microsoft Defender
Jest to artykuł 2 z 6 serii, który ułatwia wdrażanie składników Microsoft Defender XDR, w tym badanie zdarzeń i reagowanie na nie.
Artykuły z tej serii odpowiadają następującym fazom kompleksowego wdrożenia:
| Faza | Link |
|---|---|
| Odp. Uruchamianie pilotażu | Uruchamianie pilotażu |
| B. Pilotuj i wdrażaj komponenty Microsoft Defender |
-
Pilotaż i wdrażanie usługi Defender for Identity (w tym artykule) - Pilotaż i wdrażanie usługi Defender dla Office 365 - Pilotaż i wdrażanie usługi Defender dla punktu końcowego - Pilotaż i wdrażanie Microsoft Defender for Cloud Apps |
| C. Badanie zagrożeń i odpowiadanie na nie | Badanie i reagowanie na zdarzenia praktyczne |
Pilotażowy i wdrażany przepływ pracy dla usługi Defender for Identity
Na poniższym diagramie przedstawiono typowy proces wdrażania produktu lub usługi w środowisku IT.
Rozpoczynasz od oceny produktu lub usługi oraz sposobu jej działania w organizacji. Następnie pilotujesz produkt lub usługę za pomocą odpowiednio małego podzestawu infrastruktury produkcyjnej na potrzeby testowania, uczenia się i dostosowywania. Następnie stopniowo zwiększaj zakres wdrożenia, dopóki nie zostanie uwzględniona cała infrastruktura lub organizacja.
Oto przepływ pracy na potrzeby pilotażu i wdrażania usługi Defender for Identity w środowisku produkcyjnym.
Wykonaj następujące czynności:
- Skonfiguruj instancję Defender for Identity
- Instalowanie i konfigurowanie czujników
- Konfigurowanie ustawień dziennika zdarzeń i serwera proxy na maszynach za pomocą czujnika
- Zezwalaj usłudze Defender for Identity na identyfikowanie administratorów lokalnych na innych komputerach
- Wypróbuj możliwości
Poniżej przedstawiono zalecane kroki dla każdego etapu wdrażania.
| Etap wdrażania | Opis |
|---|---|
| Oceń | Przeprowadzanie oceny produktu dla usługi Defender for Identity. |
| Pilot | Wykonaj kroki 1–5 dla odpowiedniego podzestawu serwerów z czujnikami w środowisku produkcyjnym. |
| Pełne wdrożenie | Wykonaj kroki 2–4 dla pozostałych serwerów, rozszerzając się poza pilotaż, aby uwzględnić wszystkie z nich. |
Ochrona organizacji przed hakerami
Usługa Defender for Identity zapewnia samodzielną zaawansowaną ochronę. Jednak w połączeniu z innymi funkcjami Microsoft Defender, Defender for Identity dostarcza dane do wspólnych sygnałów, które razem pomagają powstrzymać ataki.
Oto przykład cyberataku i sposobu, w jaki składniki Microsoft Defender XDR pomagają go wykrywać i eliminować.
Usługa Defender for Identity zbiera sygnały z kontrolerów domeny i serwerów Active Directory Domain Services (AD DS) z uruchomionymi usługami Active Directory Federation Services (AD FS) i Active Directory Certificate Services (AD CS). Wykorzystuje te sygnały do ochrony hybrydowego środowiska tożsamości, w tym do ochrony przed hakerami, którzy używają przejętych kont do przemieszczania się bocznego między stacjami roboczymi w środowisku lokalnym.
Microsoft Defender koreluje sygnały ze wszystkich komponentów Microsoft Defender, aby przedstawić pełną historię ataku.
Architektura usługi Defender for Identity
Microsoft Defender for Identity jest w pełni zintegrowany z Microsoft Defender i wykorzystuje sygnały z tożsamości lokalna usługa Active Directory, aby pomóc Ci lepiej identyfikować, wykrywać i badać zaawansowane zagrożenia skierowane przeciwko Twojej organizacji.
Wdróż Microsoft Defender for Identity, aby pomóc zespołom operacji zabezpieczeń (SecOps) w dostarczaniu nowoczesnego rozwiązania do wykrywania i reagowania na zagrożenia tożsamości (ITDR) w środowiskach hybrydowych, w tym:
- Zapobieganie naruszeniom zabezpieczeń przy użyciu proaktywnych ocen stanu zabezpieczeń tożsamości
- Wykrywanie zagrożeń przy użyciu analizy w czasie rzeczywistym i analizy danych
- Badanie podejrzanych działań przy użyciu jasnych, możliwych do działania informacji o zdarzeniu
- Reagowanie na ataki przy użyciu automatycznej reakcji na naruszone tożsamości. Aby uzyskać więcej informacji, zobacz Co to jest Microsoft Defender for Identity?
Usługa Defender for Identity chroni lokalne konta użytkowników usługi AD DS oraz konta użytkowników synchronizowane do dzierżawy Microsoft Entra ID. Aby chronić środowisko składające się tylko z Microsoft Entra kont użytkowników, zobacz Ochrona Microsoft Entra ID.
Na poniższym diagramie przedstawiono architekturę usługi Defender for Identity.
Na tej ilustracji:
- Czujniki zainstalowane na kontrolerach domeny usług AD DS i serwerach usług AD CS analizują dzienniki i ruch sieciowy oraz wysyłają je do Microsoft Defender for Identity w celu analizy i raportowania.
- Czujniki mogą również analizować uwierzytelnienia AD FS dla zewnętrznych dostawców tożsamości oraz wtedy, gdy usługa Microsoft Entra ID jest skonfigurowana do korzystania z uwierzytelniania federacyjnego (linie przerywane na ilustracji).
- Microsoft Defender for Identity udostępnia sygnały usłudze Microsoft Defender.
Czujniki usługi Defender for Identity można zainstalować bezpośrednio na następujących serwerach:
- Kontrolery domeny usług AD DS. Czujnik bezpośrednio monitoruje ruch kontrolera domeny bez konieczności używania dedykowanego serwera lub konfiguracji dublowania portów.
- Serwery usług AD FS / serwery AD CS. Czujnik bezpośrednio monitoruje ruch sieciowy i zdarzenia uwierzytelniania.
Aby zapoznać się z architekturą usługi Defender for Identity, zobacz architekturę Microsoft Defender for Identity.
Krok 1. Konfigurowanie wystąpienia usługi Defender for Identity
Zaloguj się do portalu usługi Defender, aby rozpocząć wdrażanie obsługiwanych usług, w tym Microsoft Defender for Identity. Więcej informacji można znaleźć w artykule Start using Microsoft Defender.
Krok 2. Instalowanie czujników
Usługa Defender for Identity wymaga wykonania pewnych działań przygotowawczych, aby upewnić się, że lokalne składniki infrastruktury tożsamości i sieci spełniają minimalne wymagania niezbędne do zainstalowania czujnika usługi Defender for Identity w danym środowisku.
Gdy masz pewność, że środowisko jest gotowe, zaplanuj pojemność i sprawdź łączność z usługą Defender for Identity. Następnie, gdy wszystko będzie gotowe, pobierz, zainstaluj i skonfiguruj czujnik Defender for Identity na kontrolerach domeny, serwerach usług AD FS i AD CS w środowisku lokalnym.
| Krok | Opis | Więcej informacji |
|---|---|---|
| 1 | Upewnij się, że środowisko spełnia wymagania wstępne usługi Defender for Identity. | Microsoft Defender for Identity wymagania wstępne |
| 2 | Określ, ile czujników Microsoft Defender for Identity potrzebujesz. | Planowanie wydajności dla Microsoft Defender for Identity |
| 3 | Weryfikowanie łączności z usługą Defender for Identity | Sprawdzanie aktywności sieci |
| 4 | Pobierz i zainstaluj czujnik usługi Defender for Identity | Instalowanie usługi Defender for Identity |
| 5 | Konfigurowanie czujnika | Konfigurowanie ustawień czujnika Microsoft Defender for Identity |
Krok 3. Konfigurowanie ustawień dziennika zdarzeń i serwera proxy na maszynach za pomocą czujnika
Na komputerach, na których zainstalowano czujnik, skonfiguruj zbieranie dzienników zdarzeń systemu Windows, aby włączyć i zwiększyć możliwości wykrywania.
| Krok | Opis | Więcej informacji |
|---|---|---|
| 1 | Konfigurowanie zbierania dzienników zdarzeń systemu Windows | Konfigurowanie inspekcji zdarzeń systemu Windows |
Krok 4. Zezwalanie usłudze Defender for Identity na identyfikowanie administratorów lokalnych na innych komputerach
Wykrywanie ścieżki przemieszczania bocznego (LMP) w usłudze Microsoft Defender for Identity opiera się na zapytaniach, które identyfikują lokalnych administratorów na określonych komputerach. Te zapytania są wykonywane przy użyciu protokołu SAM-R przy użyciu konta usługi Defender for Identity Service.
Aby upewnić się, że klienci i serwery systemu Windows zezwalają kontu usługi Defender for Identity na przeprowadzanie operacji SAM-R, należy wprowadzić zmiany w zasadach grupy, aby dodać konto usługi Defender for Identity obok skonfigurowanych kont wymienionych w zasadach „Dostęp do sieci”. Pamiętaj, aby zastosować zasady grupy do wszystkich komputerów z wyjątkiem kontrolerów domeny.
Aby uzyskać instrukcje, zobacz Konfigurowanie SAM-R w celu włączenia wykrywania ścieżek ruchu bocznego w Microsoft Defender for Identity.
Krok 5. Wypróbowanie możliwości
Dokumentacja usługi Defender for Identity zawiera następujące artykuły, w których opisano proces identyfikowania i korygowania różnych typów ataków:
- Badanie zasobów, w tym podejrzanych użytkowników, grup i urządzeń
- Poznaj i zbadaj ataki LMP za pomocą Microsoft Defender for Identity
- Omówienie alertów zabezpieczeń
Więcej informacji można znaleźć w następujących artykułach:
- Alerty dotyczące rozpoznania
- Alerty dotyczące naruszeń poświadczeń
- Alerty o ruchu bocznym
- Alerty dotyczące dominacji domeny
- Alerty eksfiltracji
- Zbadaj użytkownika
- Zbadaj komputer
- Badanie ścieżek ruchu bocznego
- Badanie jednostek
Integracja z systemem SIEM
Usługę Defender for Identity można zintegrować z usługą Microsoft Sentinel na potrzeby ujednoliconych operacji zabezpieczeń w portalu usługi Defender lub z ogólną usługą zarządzania informacjami o zabezpieczeniach i zdarzeniami (SIEM), aby umożliwić scentralizowane monitorowanie alertów i działań z połączonych aplikacji. Dzięki Microsoft Sentinel można bardziej kompleksowo analizować zdarzenia zabezpieczeń w całej organizacji i tworzyć podręczniki w celu zapewnienia skutecznej i natychmiastowej reakcji.
Portal Defender obsługuje ujednolicone operacje zabezpieczeń za pomocą Microsoft Sentinel, udostępniając w Microsoft Sentinel sygnały z usługi Defender, w tym z usługi Defender for Identity.
Więcej informacji można znaleźć w następujących artykułach:
Następny krok
Uwzględnij następujące elementy w procesach SecOps:
- Wyświetlanie pulpitu nawigacyjnego usługi Identity Security
- Wyświetlanie problemów z kondycją usługi Defender for Identity i zarządzanie nimi
Kolejny krok w kompleksowym wdrożeniu Microsoft Defender
Kontynuuj kompleksowe wdrożenie Microsoft Defender XDR za pomocą programu Pilot i wdróż usługę Ochrona usługi Office 365 w usłudze Defender.
Wskazówka
Chcesz dowiedzieć się więcej? Zaangażuj się w społeczność rozwiązań zabezpieczających firmy Microsoft w naszej społeczności technicznej Społeczność techniczna usługi Microsoft Defender XDR.