Начало работы с мониторингом безопасности Корпоративного Интернета вещей

В этой статье описывается, как клиенты Microsoft Defender для Endpoint могут включить корпоративную безопасность IoT для своих устройств, используя дополнительные возможности безопасности в Microsoft Defender для Интернета вещей.

Хотя инвентаризация устройств Интернета вещей уже доступна для клиентов Defender для конечной точки P2, включение корпоративной безопасности Интернета вещей добавляет оповещения, рекомендации и данные уязвимостей, созданные для устройств Интернета вещей в корпоративной сети.

Устройства Интернета вещей включают принтеры, камеры, телефоны VOIP, смарт-телевизоры и многое другое. Включение корпоративной IoT-безопасности означает, например, что вы можете использовать рекомендацию в Microsoft Defender XDR для открытия единой ИТ-заявки на устранение уязвимостей приложений как на серверах, так и на принтерах.

Предварительные требования

Прежде чем начать процедуры в этой статье, ознакомьтесь с защитой устройств Интернета вещей в предприятии, чтобы узнать больше об интеграции между Defender для Endpoint и Defender для Интернета вещей.

Убедитесь в наличии следующих элементов.

• Устройства Интернета вещей в вашей сети, видимые в списке устройств Microsoft Defender XDR

• Доступ к порталу Microsoft Defender в качестве администратора безопасности

• Агенты Microsoft Defender для конечной точки, развернутые в вашей среде. Для получения дополнительной информации см. о подключении Microsoft Defender для конечной точки.

• Одна из следующих лицензий:

  • Лицензия Microsoft 365 E5 (ME5) или E5 Security

  • Microsoft Defender для конечной точки P2 с дополнительной лицензией Microsoft Defender для Интернета вещей — лицензия на устройство EIoT, доступной для покупки или пробной версии в Центре администрирования Microsoft 365.

  Совет

  Если у вас есть автономная лицензия, вам не нужно переключаться в Enterprise IoT Security и можете сразу перейти к просмотру добавленной ценности безопасности в Microsoft Defender XDR.

  Дополнительные сведения см. в разделе "Безопасность Корпоративного Интернета вещей" в XDR в Microsoft Defender.

Включение мониторинга безопасности Корпоративного Интернета вещей

В этой процедуре описывается, как включить мониторинг корпоративных IoT в Microsoft Defender XDR, и она подходит только для клиентов с подпиской на ME5/E5 Security.

Пропустите эту процедуру, если у вас есть один из следующих типов планов лицензирования:

• Клиенты с устаревшим тарифным планом Enterprise IoT и лицензией ME5/E5 Security.
• Клиенты с отдельными лицензиями на каждое устройство, добавленные к Microsoft Defender для конечной точки P2. В таких случаях параметр безопасности Enterprise IoT включен как доступный только для чтения.

Чтобы включить мониторинг Корпоративного Интернета вещей, выполните приведенные действия.

1. В Microsoft Defender XDR выберите Параметры>Обнаружение устройствEnterprise IoT.

2. Переключите параметр "Безопасность Корпоративного Интернета вещей" на "Вкл.". Например:

   

Просмотр ценности повышения безопасности в Microsoft Defender XDR

В этой процедуре описывается просмотр связанных оповещений, рекомендаций и уязвимостей для конкретного устройства в Microsoft Defender XDR, когда включен параметр безопасности Enterprise IoT.

Чтобы просмотреть добавленное значение безопасности, выполните приведенные действия.

1. В Microsoft Defender XDR выберите Активы>Устройства, чтобы открыть страницу инвентаризации устройств.

2. Перейдите на вкладку "Устройства Интернета вещей" и выберите конкретный IP-адрес устройства, чтобы получить дополнительные сведения. Например:

   

3. На странице сведений об устройстве просмотрите следующие вкладки, чтобы просмотреть данные, добавленные корпоративной безопасностью Интернета вещей для устройства:

   • На вкладке "Оповещения" проверьте наличие оповещений , активированных устройством. Симуляция оповещений в Microsoft 365 Defender для корпоративного IoT с помощью сценария Raspberry Pi, доступного на странице "Оценка и учебные пособия Microsoft 365 Defender".

     Вы также можете настроить расширенные запросы охоты для создания пользовательских правил генерации оповещений. Дополнительные сведения см. в примерах расширенных запросов для отслеживания Enterprise IoT.

   • На вкладке "Рекомендации по безопасности" проверьте все рекомендации, доступные для устройства, чтобы снизить риск и поддерживать меньшую область атаки.

   • На вкладке обнаруженных уязвимостей проверьте наличие известных CVEs, связанных с устройством. Известные уязвимости (CVE) могут помочь решить, следует ли устанавливать патчи, удалять или изолировать устройство и снижать риск для вашей сети. В качестве альтернативы используйте расширенные запросы поиска для сбора уязвимостей на всех ваших устройствах.

Охота на угрозы

На странице инвентаризации устройств выберите Начать охоту чтобы выполнять запросы к устройствам с помощью таблиц, таких как таблица DeviceInfo. На странице расширенной охоты выполняйте запросы данных, используя другие схемы.

Примеры запросов для расширенного поиска угроз в корпоративных сетях Интернета вещей.

В этом разделе перечислены примеры запросов расширенного поиска, которые можно использовать в Microsoft 365 Defender для мониторинга и защиты ваших устройств Интернета вещей с помощью Enterprise для обеспечения безопасности IoT.

Поиск устройств по определенному типу или подтипу

Используйте следующий запрос, чтобы определить устройства, существующие в корпоративной сети по типу устройства, например маршрутизаторам:

DeviceInfo
| summarize arg_max(Timestamp, *) by DeviceId
| where DeviceType == "NetworkDevice" and DeviceSubtype == "Router"  

Поиск и экспорт уязвимостей для устройств Интернета вещей

Используйте следующий запрос для перечисления всех уязвимостей на устройствах Интернета вещей:

DeviceInfo
| where DeviceCategory =~ "iot"
| join kind=inner DeviceTvmSoftwareVulnerabilities on DeviceId

Дополнительные сведения см. в статье "Расширенная охота" и "Общие сведения о расширенной схеме охоты".

Следующие шаги