Implantar o sensor do Microsoft Defender para Identidade v3.x

Implante o sensor Defender for Identity v3.x em controladores de domínio elegíveis e servidores AD FS, AD CS ou Microsoft Entra Connect que não sejam controladores de domínio. Complete as verificações pré-requisito antes da ativação, depois configure as configurações de auditoria e identidade.

Antes de ativar

Conclua essas verificações antes de ativar o sensor.

Limitações da versão do sensor

Antes de ativar o sensor Defender para Identidade v3.x, observe que a versão 3.x:

Requisitos de servidor

Verifique se o servidor no qual você está ativando o sensor:

  • Integrado ao Defender para Ponto de Extremidade. O componente do Microsoft Defender Antivírus pode estar no modo ativo ou passivo. Para controladores de domínio elegíveis, você pode usar a integração do sensor v3.x sem a implantação do Defender para Ponto de Extremidade.
  • Não tem um sensor Defender para Identidade v2.x já implantado.
  • Roda Windows Server 2019 ou versões posteriores.
  • Tem a atualização cumulativa do Windows Server de julho de 2026 ou posterior instalada?

Tipos de servidor com suporte

O sensor v3.x suporta controladores de domínio. Também é compatível com servidores que não são controladores de domínio e desempenham as seguintes funções de identidade:

  • Serviços de Federação do Active Directory (AD FS)
  • Serviços de Certificado do Active Directory (AD CS)
  • Microsoft Entra Connect

Observação

A ativação manual do sensor Defender for Identity v3.x em servidores AD FS, AD CS e Microsoft Entra Connect elegíveis está em prévia. Esta prévia se aplica apenas a servidores que não são controladores de domínio e que não possuem um sensor Defender for Identity existente.

Importante

Se você implantar o sensor Defender for Identity v3.x apenas em servidores AD FS, AD CS ou Microsoft Entra Connect, também deve instalar pelo menos um sensor v3.x em um controlador de domínio.

Requisitos de licenciamento

A implantação do Defender para Identidade requer uma das seguintes licenças do Microsoft 365:

  • Enterprise Mobility + Security E5 (EMS E5/A5)
  • Microsoft 365 E5 (Microsoft E5/A5/G5)
  • Segurança do Microsoft 365 E5/A5/G5/F5*
  • Microsoft 365 F5 Segurança + Conformidade*

Ambas as licenças F5 exigem o Microsoft 365 F1/F3 ou o Office 365 F3 e o Enterprise Mobility + Security E3. Compre licenças no portal do Microsoft 365 ou por meio do licenciamento do CSP (Parceiro de Soluções na Nuvem). Para obter mais informações, consulte Perguntas frequentes sobre licenciamento e privacidade.

Funções e permissões

  • Para criar seu espaço de trabalho do Defender para Identidade, você precisa de um locatário no Microsoft Entra ID.

  • Você deve ser um Administrador de Segurança ou ter as seguintes permissões RBAC unificadas :

    • System settings (Read and manage)
    • Security settings (All permissions)

Requisitos de rede

O sensor do Defender for Identity usa os mesmos URIs que o Microsoft Defender para Ponto de Extremidade. Examine os documentos a seguir do Microsoft Defender for Endpoint, de acordo com a conectividade do seu sistema, para encontrar a lista completa dos endpoints de serviço necessários.

Requisitos de memória

A tabela a seguir descreve os requisitos de memória no servidor que executa o sensor Defender para Identidade, dependendo do tipo de virtualização que você está usando:

VM em execução Descrição
Hyper-V Verifique se a opção Habilitar Memória Dinâmica não está habilitada para a VM.
VMware Verifique se a quantidade de memória configurada e a memória reservada são as mesmas ou selecione a opção Reservar toda a memória de convidado (Todos bloqueados) nas configurações da VM.
Outro host de virtualização Consulte a documentação fornecida pelo fornecedor para saber como garantir que a memória esteja sempre totalmente alocada para as VMs.

Importante

Ao executar como uma máquina virtual, sempre aloque toda a memória para a máquina virtual.

A Defender do sensor Identity v3.x limita a utilização da CPU a 30% e o uso de memória a 1,5 GB. No entanto, se outro serviço usar recursos substanciais do sistema, o servidor ainda pode sofrer pressão de desempenho. Se o sensor atingir o limite da CPU, ele limita parte do processamento de eventos. Se o sensor atingir o limite de memória, o serviço do sensor pode reiniciar.

Consulte a documentação do Defender for Identity Capacity Planning para determinar se seus servidores têm recursos suficientes para um sensor Microsoft Defender para Identidade.

Requisitos de conta de serviço

O sensor do Defender para Identidade interage com o Active Directory de duas maneiras:

  • Leitura de dados do AD (consultando objetos, controlando alterações, resolvendo entidades). Na v2.x, isso usa uma DSA (Conta de Serviço de Diretório). Na v3.x, o LocalSystem lida com isso automaticamente.
  • Executar ações de correção (desabilitar contas, redefinir senhas). Na versão 2.x, isso utiliza uma conta de ações. Na v3.x, o LocalSystem lida com isso automaticamente.

O sensor v3.x usa a identidade do sistema local do servidor para ambas as finalidades. Não usa DSA (Directory Service Accounts) nem gMSA (contas de serviço gerenciadas de grupo). LocalSystem é a única identidade com suporte para v3.x.

Se você estiver migrando do sensor v2.x e já havia uma gMSA configurada para contas de ação, selecione Usar automaticamente a conta do sistema local do sensor no portal do Microsoft Defender (Configurações>Identidades>Microsoft Defender para Identidade>Gerenciar contas de ação). Os sensores v3.x não usam contas gMSA configuradas para sensores v2.x.

Importante

Se qualquer um de seus sensores for v3.x, selecione Usar automaticamente a conta do sistema local do sensor para todos os sensores. Os sensores v3.x usam a conta do sistema local, independentemente da configuração do gMSA.

Alertas de saúde DSA e gMSA em ambientes com sensores v2.x e v3.x

Se seu workspace ainda tiver uma Conta de Serviço de Diretório (DSA) ou Conta de Serviço Gerenciado de Grupo (gMSA) configurada porque sensores v2.x em servidores AD FS, AD CS ou Entra Connect ainda exigem isso, as credenciais DSA e gMSA continuam sendo validadas em todos os sensores do workspace, incluindo os sensores v3.x. Se a validação de credenciais DSA ou gMSA falhar, as credenciais de usuário dos serviços do diretório estão incorretas , o alerta de saúde aparece. A validação, em nível de espaço de trabalho, das credenciais DSA e gMSA em todos os sensores faz parte do design. O Defender para Identidade valida as credenciais DSA e gMSA no nível do workspace para todos os sensores, desde que essas contas existam, independentemente de os sensores individuais as usarem para ações de auditoria ou resposta.

Os sensores do Defender for Identity v3.x ignoram o DSA e o gMSA para auditoria e ações de resposta, mas eles ainda são incluídos na validação de credenciais no nível do workspace. Para parar de receber esse alerta de saúde nos sensores v3.x, remova o DSA ou gMSA em nível de espaço de trabalho depois que todos os sensores estiverem totalmente migrados para v3.x e nenhum sensor v2.x precisar disso.

Teste seus pré-requisitos

Execute o scriptTest-MdiReadiness.ps1 para testar se o seu ambiente tem os pré-requisitos necessários.

O script Test-MdiReadiness.ps1 também está disponível no Microsoft Defender XDR, na página Identidades > Ferramentas (Prévia).

Ativar o sensor

Depois de confirmar todos os pré-requisitos, ative o sensor no portal do Microsoft Defender.

Configurar configurações após a ativação

Conclua estas etapas de configuração depois que o sensor for ativado e estiver em execução.

Configurar a auditoria de eventos do Windows

O Defender para Identidade depende dos logs de eventos do Windows para muitas detecções. Para sensores v3.x, ative a auditoria automática, que gerencia todas as configurações de auditoria sem configuração manual.

Se a auditoria automática não estiver disponível ou você optar por não participar, configure a auditoria manualmente ou configure a coleta de eventos do Windows usando o PowerShell.

Configurar a auditoria de RPC

Instale a atualização cumulativa do Windows Server de julho de 2026 ou posterior antes de instalar ou atualizar para o sensor Defender for Identity versão 3.0.8 ou posterior. A partir da versão 3.0.8 do sensor, a auditoria RPC é ativada automaticamente nos controladores de domínio, então você não precisa mais aplicar uma tag de configuração RPC. O alerta de saúde relacionado é cancelado logo após a atualização.

Observação

Se você estiver na versão 3.0.8 do sensor e já tiver aplicado a tag Unified Sensor RPC Audit ou Sensor Extended RPC Audit, nenhuma ação adicional é necessária. Você pode deixar a marcação no lugar.

Use as seguintes configurações recomendadas para ajudar a garantir o desempenho estável do sensor:

  • Defina a Opção de Energia do computador que executa o sensor Defender para Identidade como Alto Desempenho.
  • Sincronize o tempo nos servidores onde você instala o sensor com até cinco minutos de diferença.

Próxima etapa

Ativar o sensor do Microsoft Defender para Identidade

  • Última atualização em