Microsoft Defender för Identity – krav för fristående sensor

Den här artikeln innehåller förutsättningar för att distribuera en Microsoft Defender for Identity fristående sensor där de skiljer sig från de viktigaste distributionskraven.

Mer information finns i Planera kapacitet för distribution av Microsoft Defender for Identity.

Extra systemkrav för fristående sensorer

Fristående sensorer skiljer sig från Defender for Identity-sensorns förutsättningar på följande sätt:

• Fristående sensorer kräver minst 5 GB diskutrymme

• Fristående sensorer kan också installeras på servrar som finns i en arbetsgrupp.

• Fristående sensorer kan ha stöd för övervakning av flera domänkontrollanter, beroende på mängden nätverkstrafik till och från domänkontrollanterna.

• Om du arbetar med flera skogar måste dina fristående sensordatorer kunna kommunicera med alla fjärrskogsdomänkontrollanter med hjälp av LDAP.

Information om hur du använder virtuella datorer med fristående Defender for Identity-sensor finns i Konfigurera portspegling.

Nätverkskort för fristående sensorer

Fristående sensorer kräver minst ett av följande nätverkskort:

• Hanteringsadaptrar – används för kommunikation i företagets nätverk. Sensorn använder den här adaptern för att fråga den domänkontrollant som den skyddar och för att utföra namnmatchning mot datorkonton.

  Konfigurera hanteringskort med statiska IP-adresser, inklusive en standardgateway, och önskade och alternativa DNS-servrar.

  DNS-suffixet för den här anslutningen ska vara DNS-namnet på domänen för varje domän som övervakas.

  Obs!

  Om den fristående Defender for Identity-sensorn är medlem i domänen kan detta konfigureras automatiskt.

• Insamlingsadapter - används för att fånga upp trafik till och från domänkontrollanter.

  Viktigt

  • Konfigurera portspegling så att insamlingsadaptern blir mål för nätverkstrafiken från domänkontrollanten. Vanligtvis behöver du arbeta med nätverks- eller virtualiseringsteamet för att konfigurera portspegling.
  • Konfigurera en statisk icke-dirigerbar IP-adress (med /32-mask) för din miljö utan standardsensorgateway och inga DNS-serveradresser. Exempel: '10.10.0.10/32. Den här konfigurationen säkerställer att avbildningsnätverkskortet kan samla in maximal mängd trafik och att hanteringsnätverkskortet används för att skicka och ta emot nödvändig nätverkstrafik.

Om du försöker installera Defender for Identity-sensorn på en dator som konfigurerats med ett nätverkskort för teamindelning får du ett installationsfel. Om du vill installera Defender for Identity-sensorn på en dator som har konfigurerats med NIC-teamning, se Problem med NIC-teamning för Defender for Identity-sensorn.

Portar för fristående sensorer

I följande tabell visas de extra portar som den fristående Defender for Identity-sensorn behöver konfigureras på hanteringskortet, förutom portar som anges för Defender for Identity-sensorn.

Krav för Windows-händelselogg

Defender för identitetsidentifiering förlitar sig på specifika Windows-händelseloggar som sensorn parsar från dina domänkontrollanter. För att rätt händelser ska granskas och inkluderas i Windows-händelseloggen kräver domänkontrollanterna korrekta inställningar för Windows Avancerade granskningsprinciper.

Mer information finns i Avancerad granskningsprincipkontroll och Avancerade säkerhetsgranskningsprinciper i Windows-dokumentationen.

• Kontrollera att Windows Event 8004 granskas efter behov av tjänsten genom att granska NTLM-granskningsinställningarna.

• För sensorer som körs på servrar med AD FS / AD CS konfigurerar du granskningsnivån till Verbose. Mer information finns i Händelsegranskningsinformation för AD FS och händelsegranskningsinformation för AD CS.

Nästa steg