Den nya Defender-serversäkerhetsupplevelsen

Den nya Defender-serversäkerhetsupplevelsen samlar Defender for Endpoint och Defender for Servers i Microsoft Defender-portalen. Använd det för att hantera serverskydd och undersöka hot med moln- och endpoint-information på ett och samma ställe.

Denna publika förhandsvisning täcker Azure-miljöer och lokala servrar i den egna miljön. Se Vad som är nytt för versionssammanfattningen.

På denna sida: Serversidan för tillgångar | Undersök en incident | Gå och sök | RBAC och enhetsgrupper.

Serverar som redan kör Defender for Endpoint

Servrar som redan kör Defender for Endpoint fortsätter att fungera med sin befintliga konfiguration. Du behöver inte onboarda, installera om eller migrera dem för att behålla deras befintliga skydd. Gå igenom kraven för varje enhetlig kapacitet innan du ändrar din konfiguration.

Granska sidan för serverresurser

Servertillgångssidan samlar tillgänglig molnresurs- och endpoint-enhetsinformation för samma server, istället för att kräva separata granskningssidor.

1. I Microsoft Defender öppnar du en avisering som rör servern och väljer Öppna resurssida på serverns meny. Från en incidentgraf, öppna servernodens meny och välj Asset details.
2. Kontrollera endpoint-enhets-ID och, där det finns, Azure-resurs-ID. Identifiera inte en server enbart utifrån namnet.
3. Granska serverns identitet, onboardingstatus samt information om tillgängliga resurser och operativsystem.
4. Välj Öppna enhetstidslinje för att inspektera endpoint-aktivitet, eller Go Hunt för att undersöka relaterade händelser.

Om poster verkar duplicerade eller felaktigt matchade, kontrollera båda identifierarna innan du agerar. Tillgänglig kontext beror på anslutna datakällor; manuell onboarding skapar inte en Azure-resurs.

Svarsåtgärder beror på dina behörigheter, plattformen och serverns tillstånd. Använd vägledningen för enhetssvar som stöds innan du utför en åtgärd som kan påverka arbetsbelastningen.

Undersöka aviseringar och incidenter

För att undersöka en server behöver du tillgång till dess undersökningsdata, och servern måste ha en relaterad varning eller incident.

1. Öppna en incident som involverar servern och granska dess attackgraf.
2. Välj servernoden. För en server med korrelerade moln- och slutpunktsposter tillhandahåller grafen en serveridentitet och utredningsmeny.
3. Högerklicka på noden eller öppna dess ellipsmeny. Välj Resursdetaljer för kontext, Fäst relaterade aviseringar för att inspektera relaterade upptäckter, eller Gå till jakt för att undersöka aktivitet.
4. Öppna en relaterad varning och följ dess serverlänk. Bekräfta att det leder till samma serveridentitet innan du överväger en svarsåtgärd.

Moln- och endpoint-varningar kan hänvisa till samma server utan att bli en enda varning. En delad resursidentitet garanterar inte att varje varning grupperas i en incident.

Använd Go hunt

Du behöver åtkomst till Avancerad jakt till datan som efterfrågas. Att kunna öppna en tillgångssida ger inte tillgång till alla jakttabeller.

1. Från incidentgrafen, öppna servernodens meny och välj Gå till jakt. Du kan också använda åtgärden från serverns varning eller resurskontext där det är möjligt.
2. Välj Alla aktiviteter, Relaterade aviseringar eller Se alla tillgängliga sökfrågor, och välj sedan den sökfråga du behöver.
3. Inspektera den genererade sökningen och dess resultat i Advanced hunting. Go Hunt kan köra den genererade frågan automatiskt istället för att bara visa den för granskning.
4. Kontrollera att frågan riktar sig till den avsedda servern. Där båda identiteterna är tillgängliga, granska deras endpoint-enhets- och molnresursidentifierare, valda tabeller och tidsintervall.
5. För att undersöka ett annat tidsfönster, justera frågens tidsstämpelfilter och kör det igen. Använd UTC i frågeuttryck.
6. Öppna relevanta resultat, jämför deras tidsstämplar med varningen och återvänd till händelsen för att fortsätta utredningen.

För en specifik endpoint-händelse, öppna Device timeline, välj händelsen och använd Hunt for related events där det finns tillgängligt. Detta söker runt den händelsen istället för att söka på hela servern.

All aktivitetstyper garanterar inte att alla datakällor inkluderas. Om resultaten är tomma eller ofullständiga, kontrollera frågefiltren, tillgängliga tabeller, retention, endpoint-rapportering och dina databehörigheter. Ett tomt frågeresultat fastställer inte att servern är opåverkad. Se Go Hunt query behavior för vägledning om justering av frågor.

Verifiera RBAC- och serveråtkomst

Roller definierar vad en person kan göra; åtkomstområden definierar vilka data de kan komma åt.

För en server som representeras i både moln- och endpoint-data, konfigurera relevant molnomfång och relevant enhetsgrupp. Att koppla en enhetsgrupp till ett molnomfång anpassar servermedlemskap; det ersätter inte rolltilldelningar eller ger inte användarna tillgång i sig självt. Befintliga endpoint-enbart distributioner behöver inte en molnanslutning bara för att fortsätta fungera.

Tilldela teamets behörigheter

Använd behörighetsmodellen som är aktiv i din klientorganisation. Aktivera inte en annan modell bara för att följa denna guide.

För klientorganisationer som använder Microsoft Defender unified RBAC kan en säkerhetsadministratör eller en administratör med de nödvändiga delegerade auktoriseringsbehörigheterna:

1. Öppna Behörigheter>Microsoft Defender XDR>Roller och skapa eller redigera rätt roll.
2. Välj de behörigheter teamet behöver. Håll åtkomst till utredningar åtskilda från respons- och administrationsbehörigheter.
3. Lägg till en tilldelning för teamets Microsoft Entra-säkerhetsgrupp och de nödvändiga datakällorna. Tillgång till data från Defender for Endpoint ger inte tillgång till data från Defender för molnet.
4. För molndata, välj de avsedda molnområdena. Granska och lämna in uppgiften.

Följ guiden i Skapa anpassade roller för hela guiden. Klientorganisationer som fortfarande använder den tidigare endpoint-modellen bör använda Defender for Endpoint RBAC; befintliga roller ersätts inte av den här upplevelsen.

Definiera en serverenhetsgrupp

Skapa en enhetsgrupp för att hantera åtkomst till servrar med hjälp av enhetsvillkor eller befintliga molnomfång. Innan du börjar, se till att de Microsoft Entra-användargrupper du vill tilldela har lämpliga RBAC-roller.

1. I Microsoft Defender-portalen, gå till Inställningar>Slutpunkter>Behörigheter>Enhetsgrupper.

2. Välj Lägg till enhetsgrupp, eller redigera en befintlig grupp. Ange ett beskrivande namn och granska nivån för automatisk åtgärd.

3. På sidan Enheter , välj hur du fyller i gruppen:

   Option	Description
   Definiera med hjälp av villkor	Matcha servrar med hjälp av enhetsattribut som stöds, såsom enhetsnamn, domän, taggar eller OS-plattform.
   Välj molnomfång för att fylla denna grupp	Välj ett eller flera befintliga molnomfång. Enheter från alla valda områden ingår. (förhandsversion)

4. Välj Nästa och granska matchande enheter på sidan Förhandsgranska enheter innan du fortsätter.

5. På sidan Användaråtkomst väljer du de Microsoft Entra-användargrupper som ska ha åtkomst och väljer sedan Skicka.

6. Gå igenom gruppens medlemskap och behörighetstilldelningar. För tillståndsbaserade grupper, granska grupprankningen: en enhet som matchar flera tillståndsbaserade grupper tillhör den högst rankade gruppen.

Synkronisera en cloud scope och enhetsgrupp

1. Om det behövs, skapa Azure-omfånget under System>Behörigheter>Microsoft Defender XDR>Omfång>Lägg till molnomfång. Välj de avsedda anslutna Azure-prenumerationerna.
2. Tilldela teamets molndatabehörigheter till det omfånget och välj det sedan i enhetsgruppens Enheter-steg.
3. Behåll teamets endpoint-roll och tilldelningen av Användaråtkomst för enhetsgruppen på plats. Verifiera åtkomst till båda datakällorna.

Följ Manage cloud scopes om scopeaktivering krävs. Aktivering är en irreversibel konfigurationsändring: granska befintliga tilldelningar och aktiveringsguiden innan du fortsätter.

Molnomfångslänken uppdaterar enhetens medlemskap när innehållet i det valda omfånget ändras. Nyanslutna miljöer läggs inte automatiskt till i molnomfånget. Granska omfångsmedlemskap när du lägger till en Azure-miljö.

Kontrollera den faktiska åtkomsten

Testa med vanliga analytikerkonton, inte bara ett säkerhetsadministratörskonto; bred administratörsåtkomst kan dölja avgränsningsfel. Ett displayfilter begränsar en vy men är inte en ersättning för behörigheter.

Om förväntad åtkomst saknas, kontrollera rollbehörigheter, datakälltilldelningar, medlemskap i entra-gruppen, enhetens effektiva grupp och dess molnomfång. Om en analytiker ser oavsiktlig serverdata, granska andra rolltilldelningar och bred åtkomst innan utrullningen utökas.

Ta bort serverskydd

Se Offboard-enheter för automatisk Azure-offboarding och andra stödda offboardingmetoder.

Relaterat innehåll

• Frågor om serversäkerhet
• Vad som är nytt: hubb för offentlig förhandsversion