Ligar ao serviço Defender para Identidade

Cada sensor de Microsoft Defender para Identidade necessita de conectividade Internet ao serviço cloud do Defender para Identidade para comunicar dados de sensores e funcionar com êxito.

Em algumas organizações, os controladores de domínio não estão diretamente ligados à Internet, mas estão ligados através de uma ligação por proxy web, e a inspeção SSL e os proxies de interceção não são suportados por motivos de segurança. Nesses casos, o seu servidor proxy deve permitir que o tráfego de sensores passe diretamente dos sensores do Defender for Identity para os URLs do serviço Defender for Identity exigidos sem interceção.

Ativar o acesso aos URLs do serviço Defender para Identidade no servidor proxy

Para garantir a segurança máxima e a privacidade dos dados, o Defender para Identidade utiliza a autenticação mútua baseada em certificados entre cada sensor do Defender para Identidade e o back-end da cloud do Defender para Identidade. A inspeção e interceção SSL não são suportadas, porque estes comportamentos proxy interferem no processo de autenticação mútua baseada em certificados.

Para ativar o acesso ao Defender para Identidade, certifique-se de que permite o tráfego para o URL do sensor com a seguinte sintaxe: <your-workspace-name>sensorapi.atp.azure.com. Por exemplo, contoso-corpsensorapi.atp.azure.com.

• Para obter o nome do seu espaço de trabalho, consulte a página de definições do Defender for Identity no portal do Microsoft Defender.

• Se o proxy ou a firewall utilizar listas de permissões explícitas, também recomendamos que garanta que são permitidos os seguintes URLs:

  • crl.microsoft.com
  • ctldl.windowsupdate.com
  • www.microsoft.com/pkiops/*
  • www.microsoft.com/pki/*

• Ocasionalmente, os endereços IP do serviço Defender para Identidade podem ser alterados. Se configurar manualmente endereços IP ou se o seu proxy resolver automaticamente os nomes DNS no respetivo endereço IP e os utilizar, recomendamos que verifique periodicamente se os endereços IP configurados ainda estão atualizados.

• Se tiver configurado anteriormente o proxy através de opções legadas, incluindo o WiniNet ou uma atualização de chave de registo, terá de efetuar quaisquer alterações com o método que utilizou originalmente. Para obter mais informações, veja Alterar a configuração do proxy com métodos legados.

Ativar o acesso com uma etiqueta de serviço

Em vez de ativar manualmente o acesso a pontos finais específicos, transfira os Intervalos de IP do Azure e as Etiquetas de Serviço – Cloud Pública e utilize os intervalos de endereços IP na etiqueta de serviço AzureAdvancedThreatProtection do Azure para permitir o acesso ao Defender para Identidade.

Para obter mais informações, veja Etiquetas de serviço de rede virtual. Para ofertas do Governo dos EUA, veja Introdução às ofertas do Governo dos EUA.

Alterar a configuração do proxy com a CLI

Pode usar a CLI para definir ou limpar a configuração proxy do sensor executando diretamente o executável de deployment.

Pré-requisitos: localize o Microsoft.Tri.Sensor.Deployment.Deployer.exe ficheiro. Este ficheiro está localizado juntamente com a instalação do sensor. Por predefinição, esta localização é C:\Program Files\Azure Advanced Threat Protection Sensor\version number\

Use o executável de implementação para configurar um proxy autenticado para o sensor atual do Defender for Identity. Esta abordagem é útil durante a instalação ou quando os cmdlets PowerShell não estão disponíveis.

Para alterar a configuração do proxy do sensor atual:

Microsoft.Tri.Sensor.Deployment.Deployer.exe ProxyUrl="http://myproxy.contoso.local" ProxyUserName="CONTOSO\myProxyUser" ProxyUserPassword="myPr0xyPa55w0rd"

O comando utiliza os seguintes parâmetros:

Para remover totalmente a configuração do proxy do sensor atual:

Para remover quaisquer definições de proxy configuradas através da ferramenta de implementação e devolver o sensor à conectividade direta, execute o seguinte comando:

Microsoft.Tri.Sensor.Deployment.Deployer.exe ClearProxyConfiguration

Alterar a configuração do proxy com o PowerShell

Pré-requisitos: antes de executar comandos do PowerShell do Defender para Identidade, certifique-se de que transferiu o módulo do PowerShell do Defender para Identidade.

Pode ver e alterar a configuração do proxy do sensor com o PowerShell. Para tal, inicie sessão no servidor de sensores e execute comandos, conforme mostrado nos seguintes exemplos:

Para ver a configuração do proxy do sensor atual:

Get-MDISensorProxyConfiguration

Para alterar a configuração do proxy do sensor atual:

Set-MDISensorProxyConfiguration -ProxyUrl 'http://proxy.contoso.com:8080'

O comando anterior define a configuração do proxy para o sensor Defender for Identity usar o servidor proxy especificado sem quaisquer credenciais.

Para remover totalmente a configuração do proxy do sensor atual:

Clear-MDISensorProxyConfiguration

Para obter mais informações, consulte as seguintes referências do PowerShell do Defender for Identity:

• Get-MDISensorProxyConfiguration
• Set-MDISensorProxyConfiguration
• Clear-MDISensorProxyConfiguration

Alterar a configuração do proxy com métodos legados

Se já configurou previamente as definições do seu proxy através do WinINet ou de uma chave de registo e precisa de as atualizar, terá de usar o método de correspondência: atualizar as definições do WinINet através do WinINet, ou atualizar as definições baseadas no registo através do registo.

Ao configurar o seu proxy a partir da linha de comandos durante a instalação garante que apenas os serviços de sensores Defender for Identity comunicam através do proxy, usando WinINet ou um registo permite que outros serviços a correr sob as contas LocalSystem ou LocalService também direcionem o tráfego através do proxy.

Configurar um servidor proxy com o WinINet

Ao configurar o proxy com o WinINet, tenha em atenção que o serviço de sensor incorporado do Defender para Identidade é executado no contexto do sistema com a conta LocalService e que o serviço de atualização do Sensor do Defender para Identidade é executado no contexto do sistema com a conta LocalSystem .

• Se utilizar WinHTTP para a configuração de proxy, ainda terá de configurar as definições de proxy do browser Windows Internet (WinINet) para comunicação entre o sensor e o serviço cloud do Defender para Identidade.

• Se estiver a utilizar o proxy transparente ou o WPAD na topologia de rede, não precisa de configurar o WinINet para o seu proxy.

Configurar um servidor proxy com o registo

O procedimento seguinte descreve como configurar manualmente um servidor proxy estático usando um proxy estático baseado em registo.

Para configurar o proxy, copie a configuração do proxy no contexto de utilizador para as contas LocalSystem e LocalService da seguinte forma:

1. Faça uma cópia de segurança das chaves de registo.

2. No Editor de Registo, procure o valor DefaultConnectionSettings como REG_BINARY, sob a chave do registo HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings, e copie-o.

3. Se o LocalSystem não tiver as configurações de proxy corretas, copie as definições de proxy do Current_User para o LocalSystem, na chave de registo HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings.

   Certifique-se de colar o valor da chave de registo Current_User de DefaultConnectionSettings como REG_BINARY.

   Isto pode acontecer se as definições de proxy não estiverem configuradas ou se forem diferentes das Current_User.

4. Se o LocalService não tiver as definições de proxy corretas, copie as definições de proxy do Current_User para o LocalService, na chave de registo HKU\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings.

   Certifique-se de colar o valor da chave de registo Current_User de DefaultConnectionSettings como REG_BINARY.

Passo seguinte

Após configurar o proxy, teste a conectividade para verificar se o sensor consegue chegar ao serviço Defender for Identity.