Инвентаризация устройств для Интернета вещей в Defender

2024-10-15

Инвентаризация устройств Defender для Интернета вещей помогает определить сведения о конкретных устройствах, таких как производитель, тип, серийный номер, встроенное ПО и многое другое. Сбор сведений об устройствах помогает вашим командам заранее исследовать уязвимости, которые могут скомпрометировать ваши наиболее критически важные ресурсы.

Управление всеми устройствами Интернета вещей и OT путем создания актуальной инвентаризации, которая включает все управляемые и неуправляемые устройства.
Защита устройств с помощью подхода на основе рисков для выявления таких рисков, как отсутствие исправлений, уязвимостей и определение приоритетов на основе оценки рисков и автоматического моделирования угроз
Обновление инвентаризации путем удаления неуместных устройств и добавления сведений, относящихся к организации, чтобы подчеркнуть ваши предпочтения организации

Например:

Поддерживаемые устройства

Инвентаризация устройств Defender для Интернета вещей поддерживает следующие классы устройств:

Устройства	Например...
Производство	Промышленные и операционные устройства, такие как пневматические устройства, системы упаковки, промышленные системы упаковки, промышленные роботы
Дом	Панели доступа, устройства наблюдения, системы HVAC, лифты, интеллектуальные системы освещения
Здравоохранение	Метры глюкозы, мониторы
Транспорт / коммунальные услуги	Турникеты, счетчики людей, датчики движения, системы пожарной и безопасности, интеркомы
Энергия и ресурсы	Контроллеры DCS, ПЛК, устройства архивирования данных, интерфейсы человек-машина
Устройства конечных точек	Рабочие станции, серверы или мобильные устройства
Предприятие	Интеллектуальные устройства, принтеры, устройства связи или аудио-видеоустройства
Розничная торговля	Сканеры штрихкодов, датчик влажности, табельные часы

Временный тип устройства указывает на устройство, которое было обнаружено только в течение короткого времени. Мы рекомендуем тщательно исследовать эти устройства, чтобы понять их влияние на сеть.

Неклассифицированные устройства — это устройства, которые не имеют заранее определенной категории.

Параметры управления устройствами

Перечень устройств Defender для Интернета вещей доступен в следующих местоположениях:

Расположение	Описание	Дополнительная поддержка инвентаризации
Портал Azure	Устройства OT, обнаруженные всеми OT-сенсорами, подключенными к облаку.	— Если вы также используете Microsoft Sentinel, инциденты в Microsoft Sentinel связаны с связанными устройствами в Defender для Интернета вещей. — Используйте рабочие книги Defender для IoT для видимости всей инвентаризации облачных устройств, включая связанные оповещения и уязвимости.
Microsoft Defender XDR	Устройства IoT для предприятий, обнаруженные агентами Microsoft Defender для защиты конечных устройств	Сопоставляйте устройства в Microsoft Defender XDR в целенаправленных оповещениях, уязвимостях и рекомендациях.
Консоли сетевых датчиков OT	Устройства, обнаруженные датчиком OT	— Просмотр всех обнаруженных устройств на карте сетевых устройств — Просмотр связанных событий на временной шкале событий

Дополнительные сведения см. в разделе:

Автоматически консолидированные устройства

При развертывании Defender для Интернета вещей в масштабе с несколькими датчиками OT каждый датчик может обнаруживать различные аспекты одного устройства. Чтобы предотвратить дублирование устройств в инвентаризации устройств, Defender для Интернета вещей предполагает, что все устройства, найденные в одной зоне, с логическим сочетанием аналогичных характеристик, совпадают. Defender для Интернета вещей автоматически объединяет эти устройства и перечисляет их только один раз в инвентаризации устройств.

Например, все устройства с одинаковым IP-адресом и MAC-адресом, обнаруженными в той же зоне, объединяются и определяются как одно устройство в инвентаризации устройств. Если у вас есть отдельные устройства от повторяющихся IP-адресов, обнаруженных несколькими датчиками, необходимо определить каждый из этих устройств отдельно. В таких случаях включите датчики OT в разные зоны, чтобы каждое устройство было идентифицировано как отдельное и уникальное устройство, даже если они имеют один и тот же IP-адрес. Устройства с одинаковыми MAC-адресами, но разные IP-адреса не объединяются и продолжают отображаться как уникальные устройства.

Неклассифицированные устройства — это устройства, которые не имеют заранее определенной категории.

Совет

Определите сайты и зоны в Defender для Интернета вещей, чтобы обеспечить общую безопасность сети, следовать принципам нулевого доверия и получить ясность в данных, обнаруженных датчиками.

Несанкционированные устройства

При первой работе с Defender для Интернета вещей во время обучения сразу после развертывания датчика все устройства определяются как авторизованные устройства.

После завершения периода обучения обнаруженные новые устройства считаются несанкционированными и новыми устройствами. Мы рекомендуем тщательно проверять эти устройства на наличие рисков и уязвимостей. Например, в портале Azure отфильтруйте инвентаризацию устройств для Authorization == **Unauthorized**. На странице сведений об устройстве детализация и проверка связанных уязвимостей, оповещений и рекомендаций.

Статус новое удаляется сразу после редактирования любых сведений об устройстве или перемещения устройства на карте устройств датчика OT. В отличие от этого, метка неавторизованная остается до тех пор, пока вы вручную не измените сведения об устройстве и не пометите его как авторизованная.

На сенсоре OT несанкционированные устройства также включаются в следующие отчеты:

Отчеты о векторах атак: устройства, помеченные как несанкционированные , включаются в имитацию вектора атаки как подозреваемые устройства-изгои, которые могут быть угрозой для сети.
Отчеты об оценке рисков: устройства, помеченные как несанкционированные, перечислены в отчетах об оценке рисков в качестве их рисков для вашей сети, требуют расследования.

Важные устройства OT

Помечайте устройства OT как важные , чтобы выделить их для дополнительного отслеживания. На датчике OT важные устройства включаются в следующие отчеты:

Отчеты о векторах атак: устройства, помеченные как важные , включаются в имитацию вектора атаки как возможные целевые объекты атаки.
Отчеты об оценке рисков: устройства, помеченные как важные, учитываются в отчетах об оценке рисков при вычислении показателей безопасности.

Данные столбца инвентаризации устройств

В следующей таблице перечислены столбцы, доступные в инвентаризации устройств Defender для Интернета вещей на портале Azure и на датчике OT, описание каждого столбца, а также информация о том, можно ли изменить его и на какой платформе. Элементы со звездами (*) также доступны в датчике OT.

Примечание.

Приведенные ниже функции предоставляются в предварительной версии. Дополнительные условия использования предварительной версии Azure включают прочие юридические условия, применимые к функциям Azure, которые находятся в бета-версии, предварительной версии или еще не являются общедоступными по другим причинам.

Имя	Описание	Возможно изменение
Авторизация *	Определяет, помечено ли устройство как авторизованное. Это значение может потребоваться изменить при изменении безопасности устройства. Переключите авторизованное устройство.	Редактируемый в Azure и датчике OT
Бизнес-функция	Описывает бизнес-функцию устройства.	Редактируемый в Azure
Класс	Класс устройства. По умолчанию: `IoT`	Редактируемый в Azure
Источник данных	Источник данных, например микроагент, датчик ОТ или Microsoft Defender для конечной точки. По умолчанию: `MicroAgent`	Не редактируемый
Описание *	Описание устройства.	Редактируемое как в Azure, так и в датчике OT
Идентификатор устройства	Идентификатор устройства, назначенный Azure.	Не редактируемый
Модель встроенного ПО	Модель встроенного ПО устройства.	Редактируемый в Azure
Поставщик встроенного ПО	Поставщик встроенного ПО устройства.	Не редактируемый
Версия встроенного ПО *	Версия встроенного ПО устройства.	Редактируемый в Azure
Первое появление *	Дата и время первого обнаружения устройства. Отображается в `MM/DD/YYYY HH:MM:SS AM/PM` формате. На датчике OT отображается как обнаруженное.	Не редактируемый
Важность	Важный уровень устройства: `Low`, `Medium`или `High`.	Редактируемый в Azure
Адрес IPv4 *	IPv4-адрес устройства.	Не редактируемый
Адрес IPv6	IPv6-адрес устройства.	Не редактируемый
Последнее действие *	Дата и время последней отправки события с устройства в Azure или на датчик OT в зависимости от того, где вы просматриваете список устройств. Отображается в `MM/DD/YYYY HH:MM:SS AM/PM` формате.	Не редактируемый
Местонахождение	Физическое расположение устройства.	Редактируемый в Azure
MAC-адрес *	MAC-адрес устройства.	Не редактируемый
Модель *	Модель оборудования устройства.	Редактируемый в Azure
Имя *	Обязательно. Название устройства, как обнаруженное датчиком, или введенное пользователем.	Редактируемый в Azure и на датчике OT
Сетевое расположение (общедоступная предварительная версия) *	Сетевое расположение устройства. Отображает, определено ли устройство как локальное или перенаправленное, в соответствии с настроенными подсетями.	Не редактируемый
Архитектура ОС	Архитектура операционной системы устройства.	Не редактируемый
Дистрибутив ОС	Распространение операционной системы устройства, например Android, Linux и Haiku.	Не редактируемый
Платформа ОС *	Операционная система устройства, если обнаружена. На датчике OT отображается операционная система.	Редактируемый в датчике OT
Версия ОС	Версия операционной системы устройства, например Windows 10 или Ubuntu 20.04.1.	Не редактируемый
Режим PLC *	Режим работы PLC устройства, включая состояние ключа (физическое или логическое) и состояние запуска (логический). Если оба состояния одинаковы, отображается только одно состояние. — Возможные ключевые состояния: `Run`, `Program`, `Remote`, `Stop`, `Invalid`и `Programming Disabled`. — Возможные состояния выполнения: `Run`, `Program`, `Stop`, `Paused`, `Exception`, `Halted`, `Trapped`, `Idle` или `Offline`.	Редактируемый в датчике OT
Программируемое устройство *	Определяет, определено ли устройство как устройство программирования, выполняя действия программирования для PLCs, RTUS и контроллеров, которые относятся к инженерным станциям.	Редактируемый в Azure и на датчике OT
Протоколы *	Протоколы, используемые устройством.	Не редактируемый
Уровень Пердью	Уровень Purdue, на котором находится устройство.	Редактируемый в датчике OT
Устройство сканера *	Определяет, выполняет ли устройство такие действия, как сканирование в сети.	Редактируемый в датчике OT
Датчик	Датчик, к которому подключено устройство.	Не редактируемый
Серийный номер *	Серийный номер устройства.	Не редактируемый
Сайт	Сайт устройства. Все датчики корпоративного Интернета вещей автоматически добавляются на сайт корпоративной сети.	Не редактируемый
Слоты *	Число слотов устройства.	Не редактируемый
Подтип	Подтип устройства, например динамик или умный телевизор. По умолчанию:`Managed Device`	Редактируемый в Azure
Теги	Теги устройства.	Редактируемый в Azure
Тип *	Тип устройства, например Связь или Промышленный. По умолчанию:`Miscellaneous`	Редактируемый в Azure и на датчике OT
поставщик *	Имя поставщика устройства, определенное в MAC-адресе. < Кроме того, несоответствие — в инвентаризации называется поставщик, в окне — поставщик оборудования>	Редактируемый в Azure
Виртуальная локальная сеть *	Виртуальная локальная сеть устройства.	Не редактируемый
Зона	Зона устройства.	Не редактируемый

Следующие столбцы доступны только в датчиках OT и не редактируются.

DHCP-адрес устройства.
Полное доменное имя устройства и полное доменное имя последнего времени поиска.
Группы устройств, которые включают устройство, как определено на карте устройства датчика OT.
Адрес модуля устройства.
Стойка устройства.
Количество неподтверждённых оповещений, связанных с устройством.

Примечание.

Дополнительные столбцы типов агента и версии агента используются построителями устройств. Дополнительные сведения см. в разделе Документация Microsoft Defender для Интернета вещей для построителей устройств.

Дальнейшие действия