Definir as configurações do sensor do Microsoft Defender para Identidade

Configure as configurações do sensor Microsoft Defender para Identidade v2.x para coletar dados e validar a instalação. Para sensores v3.x, siga Configurar as definições após a ativação. Para verificar os dados do portal para qualquer uma das versões, consulte Validar a implantação de sensores.

Exibir e definir configurações do sensor

Após instalar um sensor v2.x, siga estes passos para visualizar e configurar suas configurações:

1. No Microsoft Defender XDR, vá para Configurações>Identidades>Sensores. Por exemplo:

A página Sensores exibe todos os seus sensores do Defender para Identidade, listando os seguintes detalhes por sensor:

Para obter mais informações, consulte Detalhes do sensor.

1. Selecione Filtros para selecionar os filtros que você deseja que fiquem visíveis. Por exemplo:

   

2. Use os filtros exibidos para determinar quais sensores exibir. Por exemplo:

   

3. Selecione um sensor para mostrar um painel de detalhes com mais informações sobre o sensor e seu status de integridade. Por exemplo:

   

4. Role para baixo e selecione Gerenciar sensor para exibir um painel onde você pode configurar os detalhes do sensor. Por exemplo:

   

5. Configure os seguintes detalhes do sensor:

   Nome	Descrição
   Descrição	Opcional. Insira uma descrição para o sensor do Defender for Identity.
   Controladores de Domínio (FQDN)	Necessário para os sensores autônomos do Defender for Identity e os sensores instalados em servidores AD FS/AD CS e não pode ser modificado para o sensor do Defender for Identity. Insira o FQDN completo do controlador de domínio e selecione o sinal de adição para adicioná-lo à lista. Por exemplo, DC1.domain1.test.local. Para todos os servidores definidos na lista Controladores de Domínio : - Todos os controladores de domínio cujo tráfego está sendo monitorado por meio do espelhamento de porta pelo sensor autônomo do Defender for Identity devem ser listados na lista Controladores de Domínio. Se um controlador de domínio não estiver listado na lista de Controladores de Domínio , a detecção de atividades suspeitas poderá não funcionar conforme o esperado. - Pelo menos um controlador de domínio na lista deve ser um catálogo global. Isso permite que o Defender para Identidade resolva objetos de computador e usuário em outros domínios da floresta.
   Captura de adaptadores de rede	Obrigatório. - Para sensores do Defender para Identidade, todos os adaptadores de rede usados para comunicação com outros computadores em sua organização. - Para o sensor autônomo do Defender para Identidade em um servidor dedicado, selecione os adaptadores de rede configurados como a porta de espelho de destino. Esses adaptadores de rede recebem o tráfego espelhado do controlador de domínio.

6. Na página Sensores , selecione Exportar para exportar uma lista de seus sensores para um arquivo .csv . Por exemplo:

   

Validar instalações

Use os procedimentos a seguir para validar a instalação do seu sensor v2.x.

Validar implantação bem-sucedida

Para validar se o sensor do Defender for Identity foi implantado com êxito:

1. Verifique se o serviço do Azure Proteção Avançada contra Ameaças sensor está em execução no computador do sensor. Depois de salvar as configurações do sensor do Defender para Identidade, pode levar alguns segundos para que o serviço seja iniciado.

2. Se o serviço não iniciar, examine o arquivo Microsoft.Tri.sensor-Errors.log, localizado por padrão em %programfiles%\Azure Proteção Avançada contra Ameaças sensor\<sensor version>\Logs, em que <sensor version> é a versão implantada.

Verificar a funcionalidade do alerta de segurança

O procedimento a seguir descreve como verificar se os alertas de segurança são disparados conforme o esperado.

Ao usar os exemplos neste procedimento de validação, substitua contosodc.contoso.azure e contoso.azure pelo nome de domínio totalmente qualificado (FQDN) do sensor do Defender for Identity e pelo nome do seu domínio, respectivamente.

1. Em um dispositivo com um membro conectado, abra um prompt de comando e insira nslookup

2. Insira server e o FQDN ou o endereço IP do controlador de domínio em que o sensor do Defender for Identity está instalado. Por exemplo: server contosodc.contoso.azure

3. Insira ls -d contoso.azure

4. Repita os comandos server e ls -d para cada sensor que você deseja testar.

5. Acesse a página de detalhes do dispositivo para o computador no qual você executou o teste de conectividade, como na página Dispositivos , pesquisando o nome do dispositivo ou de outro lugar no portal do Defender.

6. Na guia de detalhes do dispositivo, selecione a guia Timeline para exibir as seguintes atividades:

   • Eventos: consultas DNS realizadas para um nome de domínio especificado
   • Tipo de ação MdiDnsQuery

Se o controlador de domínio ou o AD FS/AD CS que você está testando for o primeiro sensor que você implantou, aguarde pelo menos 15 minutos antes de verificar qualquer atividade lógica para esse controlador de domínio, permitindo que o back-end do banco de dados conclua as implantações iniciais do microsserviço.

Verifique a versão mais recente disponível do sensor

A versão do Defender para Identidade é atualizada com frequência. Verifique a versão mais recente na página Microsoft Defender Identidades de Configurações>>Sobre.

Conteúdo relacionado

Agora que você definiu o Defender para configurações de sensor de identidade, você pode definir configurações adicionais. Veja os seguintes artigos para obter mais informações:

• Definir tags de entidade: sensitive, honeytoken e Exchange server
• Configurar exclusões de detecção
• Configurar notificações: problemas de integridade, alertas e Syslog

Próxima etapa