Выполните пилотное развертывание и разверните Microsoft Defender для конечной точки

В этой статье описана последовательность действий для пилотного внедрения и развертывания Microsoft Defender для конечной точки в вашей организации. Эти рекомендации можно использовать для подключения Microsoft Defender для конечной точки в качестве отдельного средства кибербезопасности или в составе комплексного решения с Microsoft Defender XDR.

В этой статье предполагается, что у вас есть рабочий клиент Microsoft 365 и вы выполняете пилотное развертывание Microsoft Defender для конечной точки в этой среде. Эта практика будет поддерживать все параметры и настройки, настроенные во время пилотного проекта для полного развертывания.

Defender для конечной точки вносит свой вклад в архитектуру "Никому не доверяй", помогая предотвратить или уменьшить ущерб для бизнеса в результате нарушения безопасности. Дополнительные сведения см. в статье Предотвращение или уменьшение ущерба для бизнеса в результате нарушения бизнес-сценария платформы внедрения "Никому не доверяй" (Майкрософт).

Комплексное развертывание для Microsoft Defender XDR

Это статья 4 из 6 в серии, помогающая развернуть компоненты Microsoft Defender XDR, включая расследование инцидентов и реагирование на них.

Статьи этой серии соответствуют следующим этапам комплексного развертывания:

Пилотное внедрение и развертывание процесса для Defender for Endpoint

На следующей схеме показан общий процесс развертывания продукта или службы в ИТ-среде.

Вы начинаете с оценки продукта или службы и того, как они будут работать в вашей организации. Затем вы пилотируете продукт или службу с подходящим небольшим подмножеством производственной инфраструктуры для тестирования, обучения и настройки. Затем постепенно увеличивайте область развертывания, пока не будет охвачена вся инфраструктура или организация.

Ниже приведена последовательность действий для пилотного внедрения и развертывания Defender for Endpoint в вашей производственной среде.

Выполните следующие действия:

1. Проверка состояния лицензии
2. Подключение конечных точек с помощью любого из поддерживаемых средств управления
3. Проверка пилотной группы
4. Опробуйте возможности

Ниже приведены рекомендуемые действия для каждого этапа развертывания.

Защита организации от хакеров

Defender for Identity сам по себе обеспечивает мощную защиту. Однако в сочетании с другими возможностями Microsoft Defender XDR решение Defender for Endpoint передает данные в общий пул сигналов, которые в совокупности помогают предотвращать атаки.

Ниже приведен пример кибератаки и того, как компоненты Microsoft Defender XDR помочь обнаружить и устранить ее.

Defender для конечной точки обнаруживает уязвимости устройств и сети, которые в противном случае могут быть использованы для устройств, управляемых вашей организацией.

Microsoft Defender XDR сопоставляет сигналы от всех компонентов Microsoft Defender, чтобы обеспечить полную историю атаки.

Архитектура Microsoft Defender для конечной точки

На следующей схеме показаны архитектура и интеграции Microsoft Defender для конечной точки.

В этой таблице описывается иллюстрация.

Шаг 1. Проверка состояния лицензии

Сначала необходимо проверить состояние лицензии, чтобы убедиться, что она была правильно подготовлена. Это можно сделать через центр администрирования или через портал Microsoft Azure.

1. Чтобы просмотреть свои лицензии, перейдите в портал Microsoft Azure и откройте раздел лицензий портала Microsoft Azure.

   

2. Либо в центре администрирования перейдите в раздел Выставление счетов>Подписки.

   На экране отображаются все подготовленные лицензии и их текущее состояние.

   

Шаг 2. Подключение конечных точек с помощью любого из поддерживаемых средств управления

Убедившись, что состояние лицензии настроено должным образом, вы можете приступить к подключению устройств к сервису.

Для оценки Microsoft Defender для конечной точки рекомендуется выбрать несколько устройств Windows для проведения оценки.

Вы можете использовать любое из поддерживаемых средств управления, но Intune обеспечивает оптимальную интеграцию. Дополнительные сведения см. в разделе Настройка Microsoft Defender для конечной точки в Microsoft Intune.

В разделе Планирование развертывания описаны общие действия, необходимые для развертывания Defender для конечной точки.

Просмотрите это видео, чтобы получить краткий обзор процесса подключения и узнать о доступных средствах и методах.

Параметры средства подключения

В следующей таблице перечислены доступные инструменты в зависимости от конечной точки, которую необходимо подключить.

При пилотном развертывании Microsoft Defender для конечных точек можно сначала подключить к службе несколько устройств, прежде чем подключать все устройства в организации.

Затем вы можете опробовать доступные возможности, такие как выполнение имитации атак и просмотр того, как Defender для конечной точки отображает вредоносные действия и позволяет эффективно реагировать.

Шаг 3. Проверка пилотной группы

После завершения действий по подключению, описанных в разделе Включить оценку, вы должны увидеть устройства в списке инвентаризации устройств примерно через час.

Когда вы увидите подключенные устройства, вы можете опробовать возможности.

Шаг 4. Опробуйте возможности

Теперь, когда вы подключили несколько устройств и убедились, что они отправляют данные в службу, ознакомьтесь с продуктом, опробовав его широкие возможности, доступные по умолчанию.

Во время пилотного проекта вы можете легко приступить к работе с некоторыми функциями, чтобы увидеть продукт в действии без выполнения сложных действий по настройке.

Начнем с проверки панелей мониторинга.

Просмотр инвентаризации устройств

В списке устройств вы увидите список конечных точек, сетевых устройств и устройств Интернета вещей в сети. Он не только предоставляет представление об устройствах в вашей сети, но и предоставляет подробные сведения о них, такие как домен, уровень риска, платформа ОС и другие сведения, чтобы легко идентифицировать устройства, наиболее подверженные риску.

Просмотреть панель мониторинга Управление уязвимостями Microsoft Defender

Управление уязвимостями Defender помогает сосредоточиться на слабых сторонах, которые представляют собой самый срочный и самый высокий риск для организации. На панели мониторинга получите общее представление о оценке уязвимости организации, оценке безопасности Майкрософт для устройств, распределении уязвимостей устройств, основных рекомендациях по безопасности, наиболее уязвимом программном обеспечении, основных действиях по исправлению и основных предоставленных данных устройств.

Запуск имитации

Microsoft Defender для конечной точки поставляется со сценариями атаки "Сделай сам", которые можно запустить на пилотных устройствах. Каждый документ содержит требования к ОС и приложениям, а также подробные инструкции, относящиеся к сценарию атаки. Эти скрипты безопасны, задокументированы и просты в использовании. Эти сценарии демонстрируют возможности Microsoft Defender для конечных точек и познакомят вас с процессом расследования.

Для выполнения любого из предоставленных симуляций требуется по крайней мере одно подключенное устройство.

1. В Справка>Моделирование и руководства выберите, какие из доступных сценариев атак вы хотите смоделировать:

   • Сценарий 1: Документ доставляет бэкдор — имитирует доставку документа-приманки, использующего методы социальной инженерии. Документ запускает специально созданный backdoor, который предоставляет злоумышленникам контроль.

   • Сценарий 2. Сценарий PowerShell в атаке без файлов имитирует атаку без файлов, основанную на PowerShell, показывающую сокращение направлений атаки и обнаружение вредоносных действий в памяти с помощью обучения устройств.

   • Сценарий 3: Автоматизированное реагирование на инциденты — запускает автоматизированное расследование, которое выполняет поиск и устранение артефактов компрометации, что позволяет масштабировать возможности реагирования на инциденты.

2. Скачайте и прочитайте соответствующий пошаговый документ, предоставленный для выбранного сценария.

3. Скачайте файл имитации или скопируйте скрипт моделирования, перейдя в раздел Справочные>& руководства. Вы можете скачать файл или сценарий на тестовом устройстве, но это необязательно.

4. Запустите файл моделирования или скрипт на тестовом устройстве, как описано в пошаговом руководстве.

Интеграция SIEM

Вы можете интегрировать Defender для конечной точки с Microsoft Sentinel или универсальной службой управления информационной безопасностью и событиями безопасности (SIEM), чтобы обеспечить централизованный мониторинг оповещений и действий из подключенных приложений. С помощью Microsoft Sentinel вы можете более полно анализировать события безопасности в организации и создавать сборники схем для эффективного и немедленного реагирования.

Microsoft Sentinel включает коннектор Microsoft Defender for Endpoint. Дополнительные сведения см. в разделе соединитель Microsoft Defender для конечных точек для Microsoft Sentinel.

Сведения об интеграции с универсальными системами SIEM см. в статье Включение интеграции SIEM в Microsoft Defender для конечной точки.

Следующее действие

Интегрируйте информацию из руководства по операциям безопасности Defender for Endpoint в свои процессы SecOps.

Следующий шаг для комплексного развертывания Microsoft Defender XDR

Продолжайте комплексное развертывание Microsoft Defender XDR с помощью пилотного проекта и разверните Microsoft Defender for Cloud Apps.