Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Prepare um servidor dedicado para um sensor independente do Microsoft Defender para Identidade. Revise os pré-requisitos principais para implantação e então complete os requisitos adicionais independentes abaixo.
Para obter mais informações, confira Planejar a capacidade para implantação do Microsoft Defender para Identidade.
Importante
Os sensores autônomos do Defender para Identidade não dão suporte à coleta de entradas de log do ETW (Rastreamento de Eventos para Windows) que fornecem os dados para várias detecções. Para cobertura completa do seu ambiente, recomendamos implantar o sensor Defender para Identidade.
Requisitos extras do sistema para sensores independentes
Os sensores autônomos diferem dos pré-requisitos do sensor do Defender para Identidade da seguinte maneira:
Sensores independentes requerem no mínimo 5 GB de espaço em disco.
Sensores autônomos também podem ser instalados em servidores que estão em um grupo de trabalho.
Sensores autônomos podem dar suporte ao monitoramento de vários controladores de domínio, dependendo da quantidade de tráfego de rede de e para os controladores de domínio.
Se você estiver trabalhando com várias florestas, suas máquinas de sensor autônomas deverão ter permissão para se comunicar com todos os controladores de domínio de floresta remota usando LDAP.
Para obter informações sobre como usar máquinas virtuais com o sensor autônomo do Defender para Identidade, confira Configurar espelhamento de porta.
Adaptadores de rede para sensores autônomos
Sensores autônomos exigem pelo menos um de cada um dos seguintes adaptadores de rede:
Adaptadores de gerenciamento - usados para comunicações em sua rede corporativa. O sensor usa esse adaptador para consultar o DC que está protegendo e executando a resolução para contas de computador.
Configure adaptadores de gerenciamento com endereços IP estáticos, incluindo um gateway padrão e servidores DNS preferenciais e alternativos.
O sufixo DNS para essa conexão deve ser o nome DNS do domínio para cada domínio que está sendo monitorado.
Observação
Se o sensor autônomo do Defender para Identidade for membro do domínio, isso poderá ser configurado automaticamente.
Adaptador de Captura - usado para capturar o tráfego de e para os controladores de domínio.
Importante
- Configure o espelhamento de porta para o adaptador de captura como o destino do tráfego de rede do controlador de domínio. Normalmente, você precisa trabalhar com a equipe de rede ou virtualização para configurar o espelhamento de porta.
- Configure um endereço IP estático não roteável (com máscara /32) para seu ambiente sem gateway de sensor padrão e sem endereços de servidor DNS. Por exemplo:
10.10.0.10/32. Essa configuração garante que o adaptador de rede de captura possa capturar a quantidade máxima de tráfego e que o adaptador de rede de gerenciamento seja usado para enviar e receber o tráfego de rede necessário.
Observação
Se você executar o Wireshark no sensor autônomo do Defender para Identidade, reinicie o serviço do sensor do Defender para Identidade depois de interromper a captura do Wireshark. Se você não reiniciar o serviço do sensor, o sensor para de capturar tráfego.
Se você tentar instalar o sensor do Defender para Identidade em um computador configurado com um adaptador de Agrupamento NIC, receberá um erro de instalação. Se você quiser instalar o sensor do Defender for Identity em um computador configurado com agrupamento NIC, consulte Problema de agrupamento NIC do sensor do Defender for Identity.
Portas para sensores autônomos
A tabela a seguir lista as portas extras que o sensor autônomo do Defender for Identity requer configuradas no adaptador de gerenciamento, além das portas listadas para o sensor do Defender for Identity.
| Protocolo | Transporte | Porta | De | Para |
|---|---|---|---|---|
| Portas internas | ||||
| LDAP | TCP e UDP | 389 | Sensor do Defender for Identity | Controladores de domínio |
| LDAP seguro (LDAPS) | TCP | 636 | Sensor do Defender for Identity | Controladores de domínio |
| LDAP para Catálogo Global | TCP | 3268 | Sensor do Defender for Identity | Controladores de domínio |
| LDAPS para Catálogo Global | TCP | 3269 | Sensor do Defender for Identity | Controladores de domínio |
| Kerberos | TCP e UDP | 88 | Sensor do Defender for Identity | Controladores de domínio |
| Hora do Windows | UDP | 123 | Sensor do Defender for Identity | Controladores de domínio |
| Syslog (opcional) | TCP/UDP | 514, dependendo da configuração | Servidor SIEM | Sensor do Defender for Identity |
Requisitos do log de eventos do Windows
A detecção do Defender for Identity depende de logs de eventos específicos do Windows que o sensor analisa de seus controladores de domínio. Para que os eventos corretos sejam auditados e incluídos no log de Eventos do Windows, seus controladores de domínio exigem configurações precisas da Política de Auditoria Avançada do Windows.
Para mais informações, veja Verificação avançada de políticas de auditoria e Políticas avançadas de auditoria de segurança na documentação do Windows.
Para garantir que o Evento 8004 do Windows seja auditado conforme necessário pelo serviço, examine suas configurações de auditoria NTLM.
Para servidores AD FS, configure o nível de auditoria para Verbose. Veja informações de auditoria de eventos para AD FS.
Para servidores de AD CS, siga Configurar auditoria em um servidor do AD CS.