設定適用於身分識別的 Microsoft Defender 感應器設定

設定 適用於身分識別的 Microsoft Defender v2.x 感測器設定以收集資料並驗證安裝。 針對 v3.x 感測器，請遵循啟用後進行設定。 如要查看任一個版本的入口網站資料，請參閱驗證感測器部署。

檢視並設定感測器設定

安裝 v2.x 感測器後，請依照以下步驟檢視並設定其設定：

1. 在 Microsoft Defender 全面偵測回應 中，前往 設定>身分識別>感應器。 例如：

感測器頁面會顯示你所有的 Defender for Identity 感測器，並列出每個感測器的以下細節：

欲了解更多資訊，請參閱 感測器細節。

1. 選擇「 篩選」 以選擇你想要顯示的篩選條件。 例如：

   

2. 利用顯示的濾鏡來決定要顯示哪些感測器。 例如：

   

3. 選擇感測器以顯示詳細面板，顯示感測器及其健康狀態的詳細資訊。 例如：

   

4. 往下滑，選擇 「管理感測器 」，會顯示一個可以設定感測器細節的窗格。 例如：

   

5. 請配置以下感測器細節：

   名稱	描述
   描述	選用。 輸入 Defender for Identity 感測器的說明。
   網域控制器 (FQDN)	這是 Defender for Identity 獨立感測器和安裝在 AD FS / AD CS 伺服器上的感測器的必要項目，而對於 Defender for Identity 感測器則無法修改。 輸入您的網域控制器的完整 FQDN，然後選取加號，將其新增至清單。 例如， DC1.domain1.test.local。 對於你在 網域控制器 清單中定義的任何伺服器： - 所有透過 Defender for Identity 獨立感測器透過埠鏡像監控流量的網域控制器，必須列入 網域控制器 清單。 如果網域控制器不在 網域控制器 清單中，偵測可疑活動可能無法如預期般運作。 - 列表中至少有一個網域控制器應為全域目錄。 這使得 Defender for Identity 能夠解析森林中其他領域的電腦與使用者物件。
   擷取網路介面卡	此為必要動作。 - 對於適用於身分識別的 Defender 感應器，所有用來與貴組織中其他電腦通訊的網路介面卡。 - 對於專用伺服器上的適用於身分識別的 Defender 獨立感應器，選取已設定為目的地鏡像連接埠的網路介面卡。 這些網路介面卡會接收鏡像網域控制器的流量。

6. 在 感測器 頁面，選擇 匯出 ，將你的感測器清單匯出成 .csv 檔案。 例如：

   

驗證安裝

請使用以下程序來驗證您的 v2.x 感測器安裝。

驗證部署成功

為了驗證 Defender for Identity 感測器是否已成功部署：

1. 請確認你的感測器機器上是否正在執行 Azure 進階威脅防護感測器服務。 當你儲存 Defender for Identity 感測器設定後，服務可能需要幾秒鐘才會啟動。

2. 如果服務無法啟動，請檢視 Microsoft.Tri.sensor-Errors.log 檔案，預設位於 %programfiles%\Azure 進階威脅防護 sensor\<sensor version>\Logs，該 <sensor version> 檔為你部署的版本。

驗證安全警示功能

以下程序說明如何驗證安全警示是否如預期般觸發。

使用此驗證程序中的範例時，請務必將 contosodc.contoso.azure 和 contoso.azure 分別替換為 Defender for Identity 感應器的完整網域名稱（FQDN）和您的網域名稱。

1. 在已加入成員的裝置上，開啟命令提示字元，然後輸入 nslookup

2. 輸入 server 安裝 Defender for Identity 感測器的網域控制器的 FQDN 或 IP 位址。 例如：server contosodc.contoso.azure

3. 輸入 ls -d contoso.azure

4. 對每個你想測試的感測器重複 server and ls -d 指令。

5. 您可以透過搜尋裝置名稱，從 裝置 頁面或 Defender 入口網站中的其他位置，存取您執行連線測試之電腦的裝置詳細資料頁面。

6. 在裝置詳細資料標籤中，選擇 時間軸 標籤以查看以下活動：

   • 事件：對指定網域名稱執行的 DNS 查詢
   • 動作類型 MdiDns查詢

如果你測試的網域控制器或 AD FS/AD CS 是你部署的第一台感測器，請至少等 15 分鐘再驗證該網域控制器的邏輯活動，讓資料庫後端完成初步微服務部署。

請確認最新的感測器版本

Defender for Identity 版本經常更新。 請在 Microsoft Defender 設定>身分識別>關於頁面查看最新版本。

相關內容

現在你已經設定好 Defender 的身份感應器設定，可以再設定更多設定。 如需詳細資訊，請參閱下列文章：

• 設定實體標籤：敏感、honeytoken 和 Exchange Server
• 設定偵測排除項目
• 設定通知：健康問題、警示與 Syslog

下一步