Implementar o sensor Microsoft Defender para Identidade v3.x

Implemente o sensor Defender for Identity v3.x em controladores de domínio elegíveis e servidores AD FS, AD CS ou Microsoft Entra Connect que não sejam controladores de domínio. Conclua as verificações de pré-requisitos antes da ativação e, em seguida, configure as definições de auditoria e de identidade.

Antes de ativar

Conclua estas verificações antes de ativar o sensor.

Limitações da versão do sensor

Antes de ativar o sensor do Defender para Identidade v3.x, tenha em atenção que v3.x:

Requisitos do servidor

Certifique-se de que o servidor no qual está a ativar o sensor:

  • Foi adicionado ao Defender for Endpoint. O componente antivírus Microsoft Defender pode estar no modo ativo ou passivo. Para controladores de domínio elegíveis, pode-se usar a integração de sensores v3.x sem o Defender para implementação no endpoint.
  • Não tem um sensor do Defender para Identidade v2.x já instalado.
  • Executa o Windows Server 2019 ou versões posteriores.
  • A atualização cumulativa do Windows Server de julho de 2026 ou posterior está instalada?

Tipos de servidor suportados

O sensor v3.x suporta controladores de domínio. Também é compatível com servidores que não são controladores de domínio e que executam as seguintes funções de identidade:

  • Serviços de Federação do Active Directory (AD FS)
  • Serviços de Certificados do Active Directory (AD CS)
  • Microsoft Entra Connect

Note

A ativação manual do sensor Defender for Identity v3.x em servidores AD FS, AD CS e Microsoft Entra Connect elegíveis está em pré-visualização. Esta pré-visualização aplica-se apenas a servidores que não sejam controladores de domínio e que não tenham um sensor Defender for Identity existente.

Importante

Se instalar o sensor Defender for Identity v3.x apenas em servidores AD FS, AD CS ou Microsoft Entra Connect, deve também instalar pelo menos um sensor v3.x num controlador de domínio.

Requisitos de licenciamento

A implementação do Defender para Identidade requer uma das seguintes licenças do Microsoft 365:

  • Enterprise Mobility + Security E5 (EMS E5/A5)
  • Microsoft 365 E5 (Microsoft E5/A5/G5)
  • Microsoft 365 E5/A5/G5/F5* Segurança
  • Segurança + Conformidade do Microsoft 365 F5*

Ambas as licenças F5 requerem Microsoft 365 F1/F3 ou Office 365 F3 e Enterprise Mobility + Security E3. Compre licenças no portal do Microsoft 365 ou através do licenciamento do Parceiro de Solução Cloud (CSP). Para obter mais informações, veja FAQs sobre licenciamento e privacidade.

Funções e permissões

  • Para criar o seu espaço de trabalho do Defender para Identidade, é necessário um tenant do Microsoft Entra ID.

  • Tem de ser um Administrador de Segurança ou ter as seguintes permissões RBAC Unificadas :

    • System settings (Read and manage)
    • Security settings (All permissions)

Requisitos de rede

O sensor do Defender para Identidade usa os mesmos URIs que o Microsoft Defender para Endpoint. Reveja os seguintes documentos do Defender para Endpoint, com base na conectividade do seu sistema, para encontrar a lista completa dos pontos finais de serviço necessários.

Requisitos de memória

A tabela seguinte descreve os requisitos de memória do servidor que executa o sensor Defender for Identity, dependendo do tipo de virtualização que está a utilizar:

VM em execução em Descrição
Hyper-V Certifique-se de que a opção Ativar Memória Dinâmica não está ativada para a VM.
VMware Certifique-se de que a quantidade de memória configurada e a memória reservada são iguais ou selecione a opção Reservar toda a memória de convidado (Tudo bloqueado) nas definições da VM.
Outro anfitrião de virtualização Veja a documentação fornecida pelo fornecedor sobre como garantir que a memória está sempre totalmente alocada às VMs.

Importante

Ao executar como uma máquina virtual, aloque sempre toda a memória à máquina virtual.

O Defender do sensor Identity v3.x limita a utilização da CPU a 30% e o uso de memória a 1,5 GB. No entanto, se outro serviço usar recursos substanciais do sistema, o servidor pode ainda sofrer pressão no desempenho. Se o sensor atingir o limite da CPU, limita algum processamento de eventos. Se o sensor atingir o limite de memória, o serviço do sensor pode reiniciar.

Consulte a documentação do Defender for Identity Capacity Planning para determinar se os seus servidores têm recursos suficientes para um sensor Microsoft Defender para Identidade.

Requisitos da conta de serviço

O sensor do Defender para Identidade interage com o Active Directory de duas formas:

  • Ler dados do AD (consultar objetos, controlar alterações, resolver entidades). Na v2.x, esta ação utiliza uma Conta de Serviço de Diretório (DSA). No v3.x, LocalSystem processa isto automaticamente.
  • Executar ações de remediação (desativar contas, repor palavras-passe). Na versão 2.x, isto utiliza uma conta para ações. No v3.x, LocalSystem processa isto automaticamente.

O sensor v3.x utiliza a identidade do sistema local do servidor para ambas as finalidades. Não utiliza Contas de Serviço de Diretório (DSA) nem Contas de Serviço Geridas de grupo (gMSA). LocalSystem é a única identidade suportada para v3.x.

Se estiver a migrar do sensor v2.x e tiver anteriormente uma gMSA configurada para contas de ação, selecione Utilizar automaticamente a conta de sistema local do sensor no portal do Microsoft Defender (Identidades> de Definições>Microsoft Defender para Identidade>Gerir contas de ação). Os sensores v3.x não utilizam contas gMSA configuradas para sensores v2.x.

Importante

Se algum dos sensores for v3.x, selecione Utilizar automaticamente a conta de sistema local do sensor para todos os sensores. Os sensores v3.x utilizam a conta do sistema local, independentemente da configuração gMSA.

Alertas de saúde DSA e gMSA em ambientes com sensores v2.x e v3.x

Se o seu espaço de trabalho ainda tiver uma Conta de Serviço de Diretório (DSA) ou uma Conta de Serviço Gerido de Grupo (gMSA) configurada porque os sensores v2.x em servidores AD FS, AD CS ou Entra Connect ainda o requerem, as credenciais DSA e gMSA continuam a ser validadas em todos os sensores do espaço de trabalho, incluindo os sensores v3.x. Se a validação de credenciais DSA ou gMSA falhar, as credenciais de utilizador dos serviços do Diretório estão incorretas , aparece um alerta de saúde. A validação ao nível do espaço de trabalho das credenciais DSA e gMSA em todos os sensores é intencional. O Defender para Identidade valida as credenciais DSA e gMSA ao nível da área de trabalho para todos os sensores, desde que essas contas existam, independentemente de os sensores individuais as utilizarem para ações de auditoria ou resposta.

Os sensores do Defender for Identity v3.x ignoram a DSA e a gMSA para ações de auditoria e resposta, mas continuam incluídos na validação de credenciais ao nível do espaço de trabalho. Para deixar de receber este alerta de saúde nos sensores v3.x, remova o DSA ou gMSA ao nível da área de trabalho depois de todos os sensores estarem totalmente migrados para a v3.x e de nenhum sensor v2.x necessitar dele.

Teste os pré-requisitos

Execute o scriptTest-MdiReadiness.ps1 para testar se o seu ambiente tem os pré-requisitos necessários.

O script Test-MdiReadiness.ps1 também está disponível no Microsoft Defender XDR, na página Ferramentas > de Identidades (Pré-visualização).

Ativar o sensor

Depois de confirmar todos os pré-requisitos, ative o sensor a partir do portal do Microsoft Defender.

Configurar definições após a ativação

Conclua estes passos de configuração depois de o sensor estar ativado e em execução.

Configurar a auditoria de eventos do Windows

O Defender para Identidade baseia-se em registos de eventos do Windows para muitas deteções. Para sensores v3.x, ative a auditoria automática, que gere todas as definições de auditoria sem configuração manual.

Se a auditoria automática não estiver disponível ou se tiver optado por não participar, configure a auditoria manualmente ou configure a recolha de eventos do Windows usando o PowerShell.

Configurar auditoria RPC

Instale a atualização cumulativa do Windows Server de julho de 2026 ou posterior antes de instalar ou atualizar para o sensor Defender for Identity versão 3.0.8 ou posterior. A partir da versão 3.0.8 dos sensores, a auditoria RPC é ativada automaticamente nos controladores de domínio, pelo que já não precisa de aplicar uma etiqueta de configuração RPC. O alerta de saúde relacionado desaparece pouco depois da atualização.

Note

Se estiver na versão 3.0.8 do sensor e já aplicou a tag Unified Sensor RPC Audit ou Sensor Extended RPC Audit , não é necessária nenhuma ação adicional. Podes deixar a etiqueta no lugar.

Use as seguintes definições recomendadas para ajudar a garantir um desempenho estável do sensor:

  • Defina a Opção de Energia do computador que executa o sensor do Defender para Identidade como Elevado Desempenho.
  • Sincronize a hora dos servidores onde instala o sensor, com uma diferença máxima de cinco minutos entre si.

Passo seguinte

Ativar o sensor do Microsoft Defender para Identidade

  • Última atualização a