Общие сведения о развертывании Microsoft Defender для удостоверений

Defender для удостоверений использует датчики для сбора сигналов из локальной инфраструктуры удостоверений для обнаружения угроз.

Defender для удостоверений обнаруживает такие угрозы, как повышение привилегий или боковое смещение с высоким риском, и сообщает о легко эксплуатируемых проблемах с удостоверениями, таких как неограниченное делегирование Kerberos для исправления командой безопасности.

Установите датчики Defender для удостоверений на всех контроллерах домена, включая контроллеры домена только для чтения (RODC). Если в вашей среде есть серверы AD FS, AD CS или Microsoft Entra Connect, которые не являются контроллерами домена, установите датчик версии 2.x на каждом из этих серверов.

Выбор метода развертывания

Версия развертываемого датчика зависит от роли сервера и операционной системы. Используйте следующую таблицу, чтобы выбрать подходящее развертывание для каждого сервера в вашей среде.

Defender для удостоверений поддерживает смешанные среды с датчиками версий 3.x и 2.x. Например, вы можете развернуть версию 3.x на контроллерах домена под управлением Windows Server 2019 или более поздней версии, а версию 2.x — на более старых контроллерах домена или на серверах AD FS, AD CS и Microsoft Entra Connect, которые не являются контроллерами домена. Обе версии датчика работают вместе и передают отчеты в одну рабочую область Defender для удостоверений.

Прежде чем активировать датчик Defender для удостоверений версии 3.x, обратите внимание на следующее:

• Требуется развертывание Defender для конечной точки на сервере. Развертывание конечной точки не является предварительным условием; Defender для конечной точки должен быть подключен на сервере, где работает датчик.
• Не поддерживает интеграцию VPN.
• Не поддерживает уведомления системного журнала.
• Имеет ограничения, связанные с Azure ExpressRoute. Дополнительные сведения см. в статье Azure ExpressRoute для Microsoft 365.

Шаги по развертыванию датчика версии 3.x

Выполните следующие действия, чтобы развернуть датчик версии 3.x на контроллерах домена, работающих Windows Server 2019 или более поздней версии, включая контроллеры домена, которые также выполняют роли AD FS, AD CS или Microsoft Entra Connect.

1. Проверка необходимых компонентов
2. Активация датчика
3. Настройка аудита событий Windows
4. Настройка аудита RPC
5. Проверка развертывания

Действия по развертыванию датчика версии 2.x

Выполните следующие действия, чтобы развернуть датчик версии 2.x на контроллерах домена под управлением Windows Server 2016 или более ранних версий, а также на серверах AD FS, AD CS и Microsoft Entra Connect, которые не являются контроллерами домена.

1. Проверка необходимых компонентов
2. Планирование емкости
3. Настройка подключения
4. Установка датчика
5. Настройка датчика
6. Настройка аудита событий Windows
7. Настройка учетных записей службы каталогов
8. Настройка для AD FS, AD CS или Entra Connect (если применимо)
9. Проверка развертывания

Дальнейшие действия

• Подготовка среды для датчика версии 3
• Подготовка среды для датчика версии 2