Развертывание Microsoft Defender для удостоверений с помощью XDR в Microsoft Defender

В этой статье представлен обзор полного процесса развертывания для Microsoft Defender для удостоверений, включая шаги по подготовке, развертыванию и дополнительным шагам для конкретных сценариев.

Defender для удостоверений — это основной компонент стратегии нулевого доверия и развертывания обнаружения угроз идентификации (ITDR) или расширенного обнаружения и реагирования (XDR) с помощью XDR в Microsoft Defender. Defender для удостоверений использует сигналы от серверов инфраструктуры удостоверений, таких как контроллеры домена, AD FS / AD CS и Entra Connect, для обнаружения угроз, таких как эскалация привилегий или боковое перемещение с высоким риском, а также отчеты о проблемах с легко эксплуатируемыми удостоверениями, таких как ограниченное делегирование Kerberos, для исправления командой безопасности.

Краткое руководство по установке см. в кратком руководстве по развертыванию.

Необходимые компоненты

Прежде чем начать, убедитесь, что у вас есть доступ к XDR в Microsoft Defender по крайней мере как администратор безопасности, и у вас есть одна из следующих лицензий:

• Enterprise Mobility + Security E5 (EMS E5/A5)
• Microsoft 365 E5 (Microsoft E5/A5/G5)
• Безопасность Microsoft 365 E5/A5/G5/F5*
• Безопасность и соответствие требованиям Microsoft 365 F5*
• Автономная лицензия Defender для удостоверений

* Для обеих лицензий F5 требуется Microsoft 365 F3/F3 или Office 365 F3 и Enterprise Mobility + Security E3.

Получите лицензии непосредственно на портале Microsoft 365 или используйте модель лицензирования Cloud Solution Partner (CSP).

Дополнительные сведения см. в разделе "Вопросы о лицензировании и конфиденциальности " и "Что такое роли и разрешения Defender для удостоверений"?

Начало работы с XDR в Microsoft Defender

В этом разделе описывается, как начать подключение к Defender для удостоверений.

1. Войдите на портал Microsoft Defender.
2. В меню навигации выберите любой элемент, например инциденты и оповещения, охота, центр действий или аналитика угроз, чтобы инициировать процесс подключения.

После этого вы сможете развернуть поддерживаемые службы, включая Microsoft Defender для удостоверений. Облачные компоненты, необходимые для Defender для удостоверений, автоматически добавляются при открытии страницы параметров Defender для удостоверений.

Дополнительные сведения см. в разделе:

• Microsoft Defender для удостоверений в XDR в Microsoft Defender
• Начало работы с XDR в Microsoft Defender
• Включение XDR в Microsoft Defender
• Развертывание поддерживаемых служб
• Часто задаваемые вопросы при включении XDR в Microsoft Defender

Планирование и подготовка

Чтобы подготовиться к развертыванию Defender для удостоверений, выполните следующие действия.

1. Убедитесь, что у вас есть все необходимые условия.

2. Планирование емкости Defender для удостоверений.

Развертывание Defender для удостоверений

Подготовив систему, выполните следующие действия, чтобы развернуть Defender для удостоверений:

1. Проверьте подключение к службе Defender для удостоверений.
2. Скачайте датчик Defender для удостоверений.
3. Установите датчик Defender для удостоверений.
4. Настройте датчик Defender для удостоверений, чтобы начать получать данные.

Настройка после развертывания

Следующие процедуры помогут выполнить процесс развертывания:

• Настройка коллекции событий Windows. Дополнительные сведения см. в коллекции событий с Microsoft Defender для удостоверений и настройке политик аудита для журналов событий Windows.

• Включение и настройка единого управления доступом на основе ролей (RBAC) для Defender для удостоверений.

• Настройте учетную запись службы каталогов (DSA) для использования с Defender для удостоверений. Хотя DSA является необязательным в некоторых сценариях, рекомендуется настроить DSA for Defender для удостоверений для полного покрытия безопасности. Например, если вы настроили DSA, DSA используется для подключения к контроллеру домена при запуске. DSA также можно использовать для запроса контроллера домена данных о сущностях, которые отображаются в сетевом трафике, отслеживаемых событиях и отслеживаемых действиях ТРАСС

• При необходимости настройте удаленные вызовы SAM . Хотя этот шаг является необязательным, рекомендуется настроить удаленные вызовы SAM-R для обнаружения пути бокового перемещения с помощью Defender для удостоверений.

Следующий шаг