Настройте пересылку событий Windows для автономного датчика Defender for Identity

В этой статье описывается пример настройки переадресации событий Windows на автономный датчик Microsoft Defender для удостоверений. Переадресация событий — это один из способов расширения возможностей обнаружения с помощью дополнительных событий Windows, недоступных в сети контроллера домена. Дополнительные сведения см. в разделе Настройка аудита событий Windows.

Предварительные условия

Перед началом работы:

• Убедитесь, что контроллер домена правильно настроен для записи необходимых событий. Дополнительные сведения см. в разделе Настройка аудита событий Windows.
• Настройка зеркального отображения портов

Шаг 1. Добавление учетной записи сетевой службы в домен

В этой процедуре описывается, как добавить учетную запись сетевой службы в группу читателей журналов событий в домене. В этом сценарии будем считать, что автономный датчик Defender for Identity входит в домен.

1. В разделе Пользователи и компьютеры Active Directory перейдите в папку Встроенные и дважды щелкните средства чтения журнала событий.

2. Выберите Участники.

3. Если сетевая служба отсутствует в списке, нажмите кнопку Добавить, а затем введите Сетевая служба в поле Введите имена объектов для выбора .

4. Выберите Проверить имена и дважды нажмите кнопку ОК .

После добавления сетевой службы в группу читателей журнала событий перезагрузите контроллеры домена, чтобы изменения вступили в силу.

Дополнительные сведения см. в статье Учетные записи Active Directory.

Шаг 2: Создайте политику, в которой задается параметр «Настроить цель»

В этой процедуре описывается, как создать политику на контроллерах домена, чтобы задать параметр "Настройка целевого диспетчера подписок ", который является параметром групповой политики, который указывает контроллерам домена, куда перенаправить события.

1. На каждом контроллере домена выполните следующую команду:

   winrm quickconfig
   

2. В командной строке введите

   gpedit.msc
   

3. Разверните Конфигурация компьютера > Административные шаблоны > Компоненты Windows > Пересылка событий. Например, вы можете:

   

4. Дважды щелкните Настроить целевой диспетчер подписок, а затем:

   1. Щелкните Включено.

   2. В разделе Параметры выберите Показать.

   3. В разделе SubscriptionManagers введите следующее значение и нажмите кнопку ОК:

      Server=http://<fqdnMicrosoftDefenderForIdentitySensor>:5985/wsman/SubscriptionManager/WEC,Refresh=10

      Например, с помощью Server=http://atpsensor.contoso.com:5985/wsman/SubscriptionManager/WEC,Refresh=10:

      

5. Нажмите OK.

6. В командной строке с повышенными привилегиями введите:

   gpupdate /force
   

Шаг 3. Создание и выбор подписки на датчике

В этой процедуре описывается, как создать подписку для работы с Defender for Identity, а затем выбрать её на автономном датчике.

1. Откройте командную строку с повышенными привилегиями и введите

   wecutil qc
   

2. Откройте Просмотр событий.

3. Щелкните правой кнопкой мыши Подписки и выберите Создать подписку.

   1. Введите имя и описание подписки.

   2. В поле Журнал назначения убедитесь, что выбран параметр Переадресованные события . Чтобы Defender for Identity мог читать события, целевым журналом должен быть Forwarded Events.

   3. Выберите Исходный компьютер, инициированный>Выберите группы> компьютеровДобавить компьютер домена.

      1. Введите имя контроллера домена в поле Введите имя объекта для выбора .

      2. Выберите Проверить имена>ОК>ОК.

      3. Нажмите OK. Например, вы можете:

         

   4. Выберите Выбрать события>По журналу>Безопасность.

   5. В поле Includes/Excludes Event ID (Включает и исключает идентификатор события ) введите номер события и нажмите кнопку ОК. Например, введите 4776:

      

   6. Вернитесь в командную строку с повышенными привилегиями, в которой вы выполнили команду wecutil qc. Выполните следующие команды, заменив SubscriptionName именем, созданным для подписки.

      wecutil ss "SubscriptionName" /cm:"Custom"
      wecutil ss "SubscriptionName" /HeartbeatInterval:5000
      

   7. Вернитесь в консоль Просмотр событий. Щелкните правой кнопкой мыши созданную подписку и выберите Состояние среды выполнения , чтобы узнать, есть ли проблемы с состоянием.

   8. Через несколько минут проверьте, что события, которые вы настроили для пересылки, отображаются в журнале «Пересылаемые события» на автономном датчике Defender for Identity.

Дополнительные сведения см. в статье Настройка компьютеров для пересылки и сбора событий.

Связанные материалы

Дополнительные сведения см. в разделе:

• Настройка зеркального отображения портов
• Прослушивайте события SIEM с помощью автономного датчика Defender for Identity