Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Este artigo lista os pré-requisitos para implementar um sensor Microsoft Defender para Identidade autónomo onde diferem dos principais pré-requisitos de implementação.
Para obter mais informações, veja Planear a capacidade para a implementação do Microsoft Defender para Identidade.
Importante
Os sensores autónomos do Defender para Identidade não suportam a recolha de entradas de registo do Rastreio de Eventos para Windows (ETW) que fornecem os dados para várias deteções. Para cobertura completa do seu ambiente, recomendamos implantar o sensor do Defender para Identidade.
Requisitos de sistema adicionais para sensores autónomos
Os pré-requisitos dos sensores autônomos diferem dos do sensor do Microsoft Defender for Identity e são os seguintes:
Os sensores autónomos requerem um mínimo de 5 GB de espaço em disco
Os sensores autónomos também podem ser instalados em servidores que estejam num grupo de trabalho.
Os sensores autónomos podem suportar a monitorização de vários controladores de domínio, consoante a quantidade de tráfego de rede de e para os controladores de domínio.
Se estiver a trabalhar com múltiplas florestas, os seus computadores de sensores autónomos têm de ter permissão para comunicar com todos os controladores de domínio de floresta remota através de LDAP.
Para obter informações sobre como utilizar máquinas virtuais com o sensor autónomo do Defender para Identidade, veja Configurar o espelhamento de porta.
Adaptadores de rede para sensores autónomos
Os sensores autónomos requerem, pelo menos, um dos seguintes adaptadores de rede:
Adaptadores de gestão - utilizados para comunicações na sua rede empresarial. O sensor usa esse adaptador para consultar o DC que está protegendo e executando a resolução para contas de computador.
Configure adaptadores de gestão com endereços IP estáticos, incluindo um gateway predefinido, e servidores DNS preferidos e alternativos.
O sufixo DNS para esta ligação deve ser o nome DNS do domínio para cada domínio a ser monitorizado.
Observação
Se o sensor autónomo do Defender para Identidade for membro do domínio, este poderá ser configurado automaticamente.
Adaptador de captura - usado para capturar tráfego de e para os controladores de domínio.
Importante
- Configure o espelhamento de porta para o adaptador de captura como o destino do tráfego de rede do controlador de domínio. Normalmente, você precisa trabalhar com a equipe de redes ou de virtualização para configurar o espelhamento de portas.
- Configure um endereço IP estático não roteável (com máscara /32) para seu ambiente, sem gateway padrão para o sensor e sem endereços de servidor DNS. Por exemplo: '10.10.0.10/32. Esta configuração garante que o adaptador de rede de captura pode capturar a quantidade máxima de tráfego e que o adaptador de rede de gestão é utilizado para enviar e receber o tráfego de rede necessário.
Observação
Se executar o Wireshark no sensor autónomo do Defender para Identidade, reinicie o serviço de sensor do Defender para Identidade depois de parar a captura do Wireshark. Se não reiniciar o serviço de sensor, o sensor deixa de capturar o tráfego.
Se você tentar instalar o sensor do Defender para Identidade em um computador configurado com um adaptador de agrupamento de NICs, receberá um erro de instalação. Se quiser instalar o sensor do Defender para Identidade em um computador configurado com agrupamento de NICs, consulte Problema de agrupamento de NICs do sensor do Defender para Identidade.
Portas para sensores autónomos
A tabela seguinte lista as portas adicionais que o sensor autónomo do Defender para Identidade necessita de configurar no adaptador de gestão, além das portas listadas para o sensor do Defender para Identidade.
| Protocolo | Transport | Porta | De | Para |
|---|---|---|---|---|
| Portas internas | ||||
| LDAP | TCP e UDP | 389 | Sensor do Defender para Identidade | Controladores de domínio |
| LDAP seguro (LDAPS) | TCP | 636 | Sensor do Defender para Identidade | Controladores de domínio |
| LDAP para Catálogo Global | TCP | 3268 | Sensor do Defender para Identidade | Controladores de domínio |
| LDAPS para Catálogo Global | TCP | 3269 | Sensor do Defender para Identidade | Controladores de domínio |
| Kerberos | TCP e UDP | 88 | Sensor do Defender para Identidade | Controladores de domínio |
| Tempo do Windows | UDP | 123 | Sensor do Defender para Identidade | Controladores de domínio |
| Syslog (opcional) | TCP/UDP | 514, consoante a configuração | Servidor SIEM | Sensor do Defender para Identidade |
Requisitos do registo de eventos do Windows
A detecção do Defender for Identity baseia-se em logs de eventos específicos do Windows que o sensor analisa nos controladores de domínio. Para que os eventos corretos sejam auditados e incluídos no registo de Eventos do Windows, os controladores de domínio necessitam de definições precisas da Política de Auditoria Avançada do Windows.
Para obter mais informações, consulte Verificação de política de auditoria avançada e Políticas de auditoria de segurança avançadas na documentação do Windows.
Para se certificar de que o Evento 8004 do Windows é auditado conforme necessário pelo serviço, reveja as definições de auditoria NTLM.
Para sensores em execução nos servidores AD FS / AD CS, configure o nível de auditoria como Verbose. Para obter mais informações, veja Informações de auditoria de eventos do AD FS e informações de auditoria de eventos do AD CS.