Ansluta till defender for Identity-tjänsten

Varje Microsoft Defender for Identity sensor kräver internetanslutning till molntjänsten Defender for Identity för att rapportera sensordata och fungera korrekt.

I vissa organisationer är domänkontrollanter inte direkt anslutna till Internet, utan anslutna via en webbproxy, och SSL-inspektion och interceptproxyservrar stöds inte av säkerhetsskäl. I sådana fall måste din proxyserver tillåta sensortrafik att passera direkt från Defender for Identity-sensorerna till de nödvändiga Defender for Identity-tjänst-URL:erna utan avlyssning.

Aktivera åtkomst till URL:er för Defender for Identity-tjänsten på proxyservern

För att säkerställa maximal säkerhet och datasekretess använder Defender for Identity certifikatbaserad, ömsesidig autentisering mellan varje Defender for Identity-sensor och defender for Identity-molnserverdelen. SSL-inspektion och avlyssning stöds inte, eftersom dessa proxybeteenden stör den certifikatbaserade ömsesidiga autentiseringsprocessen.

Om du vill aktivera åtkomst till Defender för identitet ser du till att tillåta trafik till sensor-URL:en med hjälp av följande syntax: <your-workspace-name>sensorapi.atp.azure.com. Till exempel contoso-corpsensorapi.atp.azure.com.

• Om du vill hitta arbetsytans namn går du till inställningssidan för Defender för Identitet i Microsoft Defender-portalen.

• Om proxyn eller brandväggen använder explicita tillåtna listor rekommenderar vi också att du ser till att följande URL:er tillåts:

  • crl.microsoft.com
  • ctldl.windowsupdate.com
  • www.microsoft.com/pkiops/*
  • www.microsoft.com/pki/*

• Ibland kan IP-adresserna för Defender for Identity-tjänsten ändras. Om du konfigurerar IP-adresser manuellt, eller om proxyn automatiskt matchar DNS-namn till deras IP-adress och använder dem, rekommenderar vi att du regelbundet kontrollerar att de konfigurerade IP-adresserna fortfarande är uppdaterade.

• Om du tidigare har konfigurerat proxyn med äldre alternativ, inklusive WiniNet eller en uppdatering av registernyckeln, måste du göra ändringar med den metod som du använde ursprungligen. Mer information finns i Ändra proxykonfiguration med äldre metoder.

Aktivera åtkomst med en tjänsttagg

I stället för att manuellt aktivera åtkomst till specifika slutpunkter laddar du ned Azure IP-intervall och tjänsttaggar – offentligt moln och använder IP-adressintervallen i AzureAdvancedThreatProtection Azure-tjänsttaggen för att ge åtkomst till Defender for Identity.

Mer information finns i Tjänsttaggar för virtuella nätverk. Information om erbjudanden för amerikanska myndigheter finns i Komma igång med erbjudanden från amerikanska myndigheter.

Ändra proxykonfigurationen med hjälp av CLI

Du kan använda CLI för att ställa in eller rensa sensorns proxykonfiguration genom att köra deployeringsfilen direkt.

Förutsättningar: Leta upp Microsoft.Tri.Sensor.Deployment.Deployer.exe filen. Den här filen finns tillsammans med sensorinstallationen. Som standard är den här platsen C:\Program Files\Azure Advanced Threat Protection Sensor\version number\

Använd distributionsfilen för att konfigurera en autentiserad proxy för den aktuella Defender for Identity-sensorn. Denna metod är användbar under installation eller när PowerShell-cmdlets inte är tillgängliga.

Så här ändrar du den aktuella sensorns proxykonfiguration:

Microsoft.Tri.Sensor.Deployment.Deployer.exe ProxyUrl="http://myproxy.contoso.local" ProxyUserName="CONTOSO\myProxyUser" ProxyUserPassword="myPr0xyPa55w0rd"

Kommandot använder följande parametrar:

Så här tar du bort den aktuella sensorns proxykonfiguration helt och hållet:

För att ta bort alla proxyinställningar konfigurerade via distributionsverktyget och återföra sensorn till direktanslutning, kör följande kommando:

Microsoft.Tri.Sensor.Deployment.Deployer.exe ClearProxyConfiguration

Ändra proxykonfiguration med PowerShell

Krav: Innan du kör PowerShell-kommandon för Defender for Identity kontrollerar du att du har laddat ned PowerShell-modulen Defender för identitet.

Du kan visa och ändra proxykonfigurationen för sensorn med hjälp av PowerShell. Det gör du genom att logga in på sensorservern och köra kommandon enligt följande exempel:

Så här visar du den aktuella sensorns proxykonfiguration:

Get-MDISensorProxyConfiguration

Så här ändrar du den aktuella sensorns proxykonfiguration:

Set-MDISensorProxyConfiguration -ProxyUrl 'http://proxy.contoso.com:8080'

Föregående kommando anger proxykonfigurationen för Defender för identitetssensor att använda den angivna proxyservern utan autentiseringsuppgifter.

Så här tar du bort den aktuella sensorns proxykonfiguration helt och hållet:

Clear-MDISensorProxyConfiguration

Mer information finns i följande DefenderForIdentity PowerShell-referenser:

• Get-MDISensorProxyConfiguration
• Set-MDISensorProxyConfiguration
• Clear-MDISensorProxyConfiguration

Ändra proxykonfigurationen med äldre metoder

Om du tidigare har konfigurerat proxyinställningarna via antingen WinINet eller en registernyckel och behöver uppdatera dem, måste du använda matchningsmetoden: uppdatera WinINet-inställningarna via WinINet eller uppdatera registerbaserade inställningar via registret.

När du konfigurerar proxyn från kommandoraden under installationen ser du till att endast Defender för identitetssensortjänster kommunicerar via proxyn, och med wininet eller ett register kan andra tjänster som körs under LocalSystem- eller LocalService-konton även dirigera trafik via proxyn.

Konfigurera en proxyserver med WinINet

När du konfigurerar proxyn med WinINet bör du tänka på att den inbäddade tjänsten Defender för identitetssensor körs i systemkontext med hjälp av LocalService-kontot och att uppdateringstjänsten Defender för identitetssensor körs i systemkontexten med hjälp av LocalSystem-kontot .

• Om du använder WinHTTP för proxykonfiguration måste du fortfarande konfigurera proxyinställningar för Windows Internet (WinINet) för kommunikation mellan sensorn och molntjänsten Defender för identitet.

• Om du använder transparent proxy eller WPAD i nätverkstopologin behöver du inte konfigurera WinINet för proxyn.

Konfigurera en proxyserver med hjälp av registret

Följande procedur beskriver hur du konfigurerar en statisk proxyserver manuellt med hjälp av en registerbaserad statisk proxy.

Om du vill konfigurera proxyn kopierar du proxykonfigurationen i användarkontexten till LocalSystem - och LocalService-kontona på följande sätt:

1. Säkerhetskopiera dina registernycklar.

2. I registret söker du efter värdet DefaultConnectionSettings, som REG_BINARY, under registernyckeln HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings och kopierar det.

3. Om LocalSystem inte har rätt proxyinställningar kopierar du proxyinställningen från Current_User till LocalSystem under registernyckeln HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings.

   Se till att klistra in värdet från registernyckeln Current_UserDefaultConnectionSettings som REG_BINARY.

   Detta kan inträffa om proxyinställningarna inte har konfigurerats eller om de skiljer sig från Current_User.

4. Om LocalService inte har rätt proxyinställningar kopierar du proxyinställningarna från Current_User till LocalService under registernyckeln HKU\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings.

   Se till att klistra in värdet från registernyckeln Current_UserDefaultConnectionSettings som REG_BINARY.

Nästa steg

Efter att ha konfigurerat proxyn, testa anslutningen för att verifiera att sensorn kan nå Defender for Identity-tjänsten.