Pilottesta och distribuera Microsoft Defender XDR

Gäller för:

• Microsoft Defender XDR

Denna artikelserie guidar dig genom hela processen att testa komponenterna i Microsoft Defender i din produktionstenant så att du kan utvärdera deras funktioner och kapaciteter och sedan slutföra distributionen i hela organisationen.

En XDR-lösning (eXtended detection and response) är ett steg framåt i cybersäkerheten eftersom den tar hotdata från system som en gång isolerades och förenar dem så att du kan se mönster och agera snabbare på misstänkta cyberattacker.

Microsoft Defender XDR:

• Är en XDR-lösning som kombinerar information om cyberattacker för identiteter, slutpunkter, e-post och molnappar på ett och samma ställe. Den använder artificiell intelligens (AI) och automatisering för att automatiskt stoppa vissa typer av attacker och åtgärda berörda tillgångar till ett säkert tillstånd.

• Är en molnbaserad, enhetlig företagsförsvarssvit före och efter intrång. Den samordnar skydd, identifiering, undersökning och svar mellan identiteter, slutpunkter, e-post, molnappar och deras data.

• Bidrar till en stark Nolltillit arkitektur genom att tillhandahålla skydd och identifiering av hot. Det hjälper till att förhindra eller minska affärsskador från ett intrång. Mer information finns i Implement threat protection and XDR business scenario in the Microsoft Nolltillit adoption framework (Implementera hotskydd och XDR-affärsscenario i Microsoft Nolltillit adoption framework).

Microsoft Defender-komponenter och arkitektur

Denna tabell listar komponenterna i Microsoft Defender.

Den här bilden visar arkitekturen och integreringen av Microsoft Defender XDR komponenter.

I den här illustrationen:

• Microsoft Defender kombinerar signalerna från alla Defender-komponenter för att tillhandahålla XDR över domäner. Detta omfattar en gemensam incidentkö, automatiserade åtgärder för att stoppa attacker, automatisk återställning (för komprometterade enheter, användaridentiteter och postlådor), hotjakt över flera hottyper och hotanalyser.
• Microsoft Defender för Office 365 skyddar din organisation mot skadliga hot från e-postmeddelanden, länkar (URL: er) och samarbetsverktyg. Den delar signaler som följer av dessa aktiviteter med Microsoft Defender. De inbyggda säkerhetsfunktionerna för alla molnpostlådor är integrerade för att ge skydd från slutpunkt till slutpunkt för inkommande e-post och bifogade filer.
• Microsoft Defender for Identity samlar in signaler från AD DS-domänkontrollanter och servrar som kör AD FS och AD CS. Den använder dessa signaler för att skydda din hybrididentitetsmiljö, inklusive skydd mot angripare som använder komprometterade konton för att röra sig lateralt mellan arbetsstationer i den lokala miljön.
• Microsoft Defender för Endpoint samlar in signaler från och skyddar enheter som hanteras av din organisation.
• Microsoft Defender for Cloud Apps samlar in signaler från din organisations användning av molnappar och skyddar data som flödar mellan DIN IT-miljö och dessa appar, inklusive både sanktionerade och icke sanktionerade molnappar.
• Microsoft Entra ID Protection utvärderar riskdata från miljarder inloggningsförsök och använder dessa data för att utvärdera risken för varje inloggning till din klientorganisation. Dessa data används av Microsoft Entra ID för att tillåta eller förhindra kontoåtkomst baserat på villkoren och begränsningarna för dina principer för villkorsstyrd åtkomst. Microsoft Entra ID Protection är separat från Microsoft Defender och ingår i Microsoft Entra ID P2-licenser.

Microsoft Defender-komponenter och SIEM-integration

Du kan integrera Microsoft Defender XDR komponenter med Microsoft Sentinel eller en allmän SIEM-tjänst (säkerhetsinformation och händelsehantering) för att möjliggöra centraliserad övervakning av aviseringar och aktiviteter från anslutna appar.

Microsoft Sentinel är en molnbaserad lösning som tillhandahåller SIEM- och säkerhetsorkestrerings-, automatiserings- och svarsfunktioner (SOAR). Tillsammans tillhandahåller Microsoft Sentinel och Microsoft Defender XDR komponenter en omfattande lösning som hjälper organisationer att försvara sig mot moderna attacker.

Microsoft Sentinel innehåller anslutningsappar för Microsoft Defender-komponenter. På så sätt kan du inte bara få insyn i dina molnappar utan även få avancerade analyser för att identifiera och bekämpa cyberhot och styra hur dina data färdas. För mer information, se Översikt över integrations- och integrationssteg för Microsoft Defender och Microsoft Sentinelför Microsoft Sentinel och Microsoft Defender.

Mer information om SOAR i Microsoft Sentinel (inklusive länkar till spelböcker i Microsoft Sentinel GitHub-lagringsplats) finns i Automatisera hotsvar med spelböcker i Microsoft Sentinel.

Information om integrering med SIEM-system från tredje part finns i Allmän SIEM-integrering.

Microsoft Defender XDR och ett exempel på en cybersäkerhetsattack

Det här diagrammet visar en gemensam cyberattack och komponenterna i Microsoft Defender XDR som hjälper till att identifiera och åtgärda den.

Cyberattacken börjar med ett nätfiskemeddelande som kommer till inkorgen för en anställd i din organisation, som omedvetet öppnar e-postbilagan. Den här bifogade filen installerar skadlig kod, vilket kan leda till en kedja av attackförsök som kan leda till stöld av känsliga data.

På bilden:

• De inbyggda säkerhetsfunktionerna för alla molnpostlådor, som ingår i Microsoft Defender för Office 365, kan identifiera nätfiskemeddelandet och använda Exchange-e-postflödesregler (även kallade transportregler) för att se till att de aldrig kommer in i en användares inkorg.
• Defender för Office 365 använder säkra bifogade filer för att testa den bifogade filen och fastställa att den är skadlig, så att e-postmeddelandet som anländer antingen inte kan åtgärdas av användaren eller principer förhindrar att e-postmeddelandet kommer alls.
• Defender för Endpoint identifierar säkerhetsrisker för enheter och nätverk som annars kan utnyttjas för enheter som hanteras av din organisation.
• Defender for Identity noterar plötsliga ändringar av lokala användarkonton, till exempel behörighetseskalering eller lateral förflyttning med hög risk. Den rapporterar också identitetsrelaterade problem som är enkla att utnyttja, till exempel obegränsad Kerberos-delegering, så att ditt säkerhetsteam kan åtgärda dem.
• Microsoft Defender for Cloud Apps identifierar avvikande beteende, till exempel omöjlig resa, åtkomst till autentiseringsuppgifter och ovanlig nedladdning, fildelning eller vidarebefordran av e-post och rapporterar dessa till ditt säkerhetsteam.

Pilot- och distributionsprocessen för Microsoft Defender

Microsoft rekommenderar att du aktiverar komponenterna i Microsoft 365 Defender i följande ordning.

Den här ordningen är utformad för att utnyttja värdet av funktionerna snabbt baserat på hur mycket arbete som vanligtvis krävs för att distribuera och konfigurera funktionerna. Defender för Office 365 kan till exempel konfigureras på kortare tid än det tar att registrera enheter i Defender för Endpoint. Prioritera komponenterna så att de uppfyller dina affärsbehov.

Starta pilotprojektet

Microsoft rekommenderar att du startar pilottestet i din befintliga produktionsprenumeration på Microsoft 365 för att få verkliga insikter omedelbart och du kan justera inställningarna för att arbeta mot aktuella hot i din Microsoft 365-klientorganisation. När du har fått erfarenhet och är bekväm med plattformen utökar du helt enkelt användningen av varje komponent, en i taget, till fullständig distribution.

Ett alternativ är att sätta upp din Microsoft Defender trial lab-miljö. Den här miljön visar dock ingen verklig cybersäkerhetsinformation, till exempel hot eller attacker mot din Microsoft 365-produktionsklient medan du pilottestar, och du kommer inte att kunna flytta säkerhetsinställningar från den här miljön till din produktionsklientorganisation.

Använda Microsoft 365 E5 utvärderingslicenser

Om du inte har Microsoft 365 E5 och vill dra nytta av Microsoft 365 E5 utvärderingslicenser för piloten:

1. Logga in på din befintliga administrationsportal för Microsoft 365-klientorganisationen.

2. Välj Köp tjänster på navigeringsmenyn.

3. I avsnittet Office 365 väljer du Information under Office 365 E5 licens.

   

4. Välj Starta kostnadsfri utvärderingsversion.

   

5. Bekräfta din begäran och välj Prova nu.

   

Din pilot som använder Microsoft 365 E5 utvärderingslicenser i din befintliga produktionsklientorganisation låter dig behålla alla säkerhetsinställningar och metoder när utvärderingsversionen upphör att gälla och du köper motsvarande licenser.

Nästa steg

Se Pilot och distribuera Microsoft Defender for Identity.