Ověřená kontrola windows
Platí pro:
- Microsoft Defender Správa zranitelností
- Microsoft Defender XDR
- Microsoft Defender pro servery – plán 2
Důležité
Tato funkce bude vyřazena do konce listopadu 2025 a nebude podporována po tomto datu. Další informace o této změně najdete v nejčastějších dotazech k zastarání kontroly ověřené systémem Windows.
Ověřená kontrola windows umožňuje spouštět kontroly na nespravovaných zařízeních s Windows. Můžete vzdáleně cílit podle rozsahů IP adres nebo názvů hostitelů a kontrolovat služby Windows tím, že Microsoft Defender Správa zranitelností poskytnete přihlašovací údaje pro vzdálený přístup k zařízením. Po nakonfigurování budou cílená nespravovaná zařízení pravidelně kontrolována z hlediska ohrožení zabezpečení softwaru. Ve výchozím nastavení se kontrola spouští každé čtyři hodiny s možnostmi pro změnu tohoto intervalu nebo spuštění pouze jednou.
Poznámka
Abyste mohli tuto funkci používat, budete potřebovat Microsoft Defender Správa zranitelností Standalone nebo pokud už jste zákazníkem Microsoft Defender for Endpoint Plan 2, Defender Správa zranitelností doplněk.
Správci zabezpečení pak můžou zobrazit nejnovější doporučení k zabezpečení a zkontrolovat nedávno zjištěná ohrožení zabezpečení cílového zařízení na portálu Microsoft Defender.
Tip
Věděli jste, že si můžete vyzkoušet všechny funkce v Microsoft Defender Správa zranitelností zdarma? Zjistěte, jak si zaregistrovat bezplatnou zkušební verzi.
Instalace skeneru
Podobně jako u kontroly ověřené síťovým zařízením budete potřebovat skenovací zařízení s nainstalovaným skenerem. Pokud ještě nemáte skener nainstalovaný, přečtěte si článek Instalace skeneru , kde najdete postup, jak ho stáhnout a nainstalovat.
Poznámka
U již existujících nainstalovaných skenerů se nevyžadují žádné změny.
Předpoklady
Následující část obsahuje seznam požadavků, které je potřeba nakonfigurovat pro použití ověřené kontroly pro Windows.
Skenovací účet
Pro vzdálený přístup k zařízením je nutný skenovací účet. Musí se jednat o skupinový účet spravované služby (gMsa).
Poznámka
Doporučujeme, aby účet gMSA byl nejméně privilegovaným účtem s pouze požadovanými oprávněními ke kontrole a měl nastavené pravidelné cyklování hesla.
Vytvoření účtu gMsa:
Na řadiči domény v okně PowerShellu spusťte:
New-ADServiceAccount -Name gmsa1 -PrincipalsAllowedToRetrieveManagedPassword scanner-win11-i$ -KerberosEncryptionType RC4, AES128, AES256 -Verbose- gmsa1 je zkratka pro název účtu, který vytváříte, a scanner-win11-I$ je zkratka pro název počítače, na kterém se spustí agent skeneru. Heslo k účtu bude moct načíst jenom tento počítač. Můžete zadat seznam počítačů oddělených čárkami.
- Úpravy existujícího účtu je možné provést pomocí get-ADServiceAccount a Set-ADServiceAccount.
Pokud chcete nainstalovat účet služby AD, spusťte na počítači, na kterém se agent skeneru spustí, pomocí okna PowerShellu se zvýšenými oprávněními:
Install-ADServiceAccount -Identity gmsa1
Pokud PowerShell tyto příkazy nerozpozná, pravděpodobně to znamená, že vám chybí požadovaný modul PowerShellu. Pokyny k instalaci modulu se liší v závislosti na vašem operačním systému. Další informace najdete v tématu Začínáme se skupinovými účty spravované služby.
Zařízení, která se mají zkontrolovat
V následující tabulce najdete pokyny k požadovaným konfiguracím a oprávněním potřebným pro skenovací účet na jednotlivých zařízeních, která se mají zkontrolovat:
Poznámka
Následující postup je jen jedním doporučeným způsobem konfigurace oprávnění na každém zařízení, které se má kontrolovat, a používá skupinu Sledování výkonu Users. Oprávnění můžete také nakonfigurovat následujícími způsoby:
- Přidejte účet do jiné skupiny uživatelů a udělte jí všechna potřebná oprávnění.
- Udělte tato oprávnění explicitně skenovacímu účtu.
Pokud chcete nakonfigurovat a použít oprávnění u skupiny zařízení, která se mají kontrolovat pomocí zásad skupiny, přečtěte si téma Konfigurace skupiny zařízení pomocí zásad skupiny.
| Požadavky na zařízení, která se mají kontrolovat | Popis |
|---|---|
| Služba WMI (Windows Management Instrumentation) je povolená. | Povolení vzdálené služby WMI (Windows Management Instrumentation):
|
| Skenovací účet je členem skupiny Sledování výkonu Users. | Skenovací účet musí být členem skupiny Sledování výkonu Users na zařízení, které se má zkontrolovat. |
| Skupina Sledování výkonu Users má v oboru názvů služby WMI root/CIMV2 oprávnění Povolit účet a Vzdálené povolení. | Ověření nebo povolení těchto oprávnění:
|
| Sledování výkonu Skupina Uživatelé by měla mít oprávnění k operacím modelu DCOM. | Ověření nebo povolení těchto oprávnění:
|
Konfigurace skupiny zařízení pomocí zásad skupiny
Zásady skupiny vám umožní hromadně použít požadované konfigurace a také oprávnění vyžadovaná pro skenovací účet na skupinu zařízení, která se mají zkontrolovat.
Pokud chcete současně nakonfigurovat skupinu zařízení, postupujte na řadiči domény takto:
| Krok | Popis |
|---|---|
| Vytvoření nového objektu Zásady skupiny |
|
| Povolení rozhraní WMI (Windows Management Instrumentation) | Povolení vzdálené služby WMI (Windows Management Instrumentation):
|
| Povolit rozhraní WMI přes bránu firewall | Povolení rozhraní WMI (Windows Management Instrumentation) přes bránu firewall:
|
| Udělení oprávnění k provádění operací modelu DCOM | Udělení oprávnění k provádění operací modelu DCOM:
|
| Spuštěním skriptu PowerShellu prostřednictvím zásad skupiny udělte oprávnění oboru názvů služby WMI Root\CIMV2: |
|
Ukázkový skript PowerShellu
Jako výchozí bod použijte následující skript PowerShellu k udělení oprávnění k oboru názvů služby WMI Root\CIMV2 prostřednictvím zásad skupiny:
Param ()
Process {
$ErrorActionPreference = "Stop"
$accountSID = "S-1-5-32-558" # Performance Monitor Users built-in group, please change or pass parameter as you wish
$computerName = "."
$remoteparams = @{ComputerName=$computerName}
$invokeparams = @{Namespace="root\cimv2";Path="__systemsecurity=@"} + $remoteParams
$output = Invoke-WmiMethod @invokeparams -Name GetSecurityDescriptor
if ($output.ReturnValue -ne 0) {
throw "GetSecurityDescriptor failed: $($output.ReturnValue)"
}
$acl = $output.Descriptor
$CONTAINER_INHERIT_ACE_FLAG = 0x2
$ACCESS_MASK = 0x21 # Enable Account + Remote Enable
$ace = (New-Object System.Management.ManagementClass("win32_Ace")).CreateInstance()
$ace.AccessMask = $ACCESS_MASK
$ace.AceFlags = $CONTAINER_INHERIT_ACE_FLAG
$trustee = (New-Object System.Management.ManagementClass("win32_Trustee")).CreateInstance()
$trustee.SidString = $accountSID
$ace.Trustee = $trustee
$ACCESS_ALLOWED_ACE_TYPE = 0x0
$ace.AceType = $ACCESS_ALLOWED_ACE_TYPE
$acl.DACL += $ace.psobject.immediateBaseObject
$setparams = @{Name="SetSecurityDescriptor";ArgumentList=$acl.psobject.immediateBaseObject} + $invokeParams
$output = Invoke-WmiMethod @setparams
if ($output.ReturnValue -ne 0) {
throw "SetSecurityDescriptor failed: $($output.ReturnValue)"
}
}
Jakmile se zásady objektu zásad skupiny použijí na zařízení, použijí se všechna požadovaná nastavení a váš účet gMSA bude moct k zařízení přistupovat a kontrolovat ho.
Konfigurace nové ověřené kontroly
Konfigurace nové ověřené kontroly:
Na portálu Microsoft Defender přejděte na Nastavení>Zjišťování> zařízeníOvěřené kontroly.
Vyberte Přidat novou kontrolu , zvolte Kontrola ověřená systémem Windows a vyberte Další.
Zadejte Název kontroly.
Vyberte Skenovací zařízení: Onboardované zařízení, které použijete ke kontrole nespravovaných zařízení.
Zadejte Cíl (rozsah): Rozsahy IP adres nebo názvy hostitelů, které chcete zkontrolovat. Můžete zadat adresy nebo importovat soubor CSV. Import souboru přepíše všechny ručně přidané adresy.
Vyberte interval kontroly: Ve výchozím nastavení se kontrola spouští každé čtyři hodiny. Interval kontroly můžete změnit nebo ho můžete spustit jenom jednou, a to výběrem možnosti Neopakovat.
Zvolte metodu ověřování – můžete si vybrat ze dvou možností:
- Kerberos (upřednostňované)
- Vyjednávat
Poznámka
V případě selhání protokolu Kerberos se možnost Vyjednávání vrátí do protokolu NTLM. Použití protokolu NTLM se nedoporučuje, protože se nejedná o zabezpečený protokol.
Zadejte přihlašovací údaje, Microsoft Defender Správa zranitelností budou používat pro vzdálený přístup k zařízením:
- Použijte azure KeyVault: Pokud své přihlašovací údaje spravujete ve službě Azure KeyVault, můžete zadat adresu URL služby Azure KeyVault a název tajného klíče Azure KeyVault, ke které má skenovací zařízení přístup, a zadat přihlašovací údaje.
- Pro hodnotu tajného klíče Azure KeyVault použijte podrobnosti účtu gMSA ve formátu Doména. Uživatelské jméno
Výběrem možnosti Další spusťte nebo přeskočte testovací kontrolu. Další informace o testovacích kontrolách najdete v tématu Kontrola a přidání síťových zařízení.
Výběrem možnosti Další zkontrolujte nastavení a pak výběrem možnosti Odeslat vytvořte novou ověřenou kontrolu.
Poznámka
Vzhledem k tomu, že ověřený skener v současné době používá šifrovací algoritmus, který nevyhovuje standardu FIPS (Federal Information Processing Standards), nemůže skener fungovat, když organizace vynucuje použití algoritmů kompatibilních se standardem FIPS.
Pokud chcete povolit algoritmy, které nevyhovují standardu FIPS, nastavte v registru pro zařízení, na kterých se bude skener spouštět, následující hodnotu: Computer\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\FipsAlgorithmPolicy s hodnotou DWORD s názvem Enabled a hodnotou 0x0
Algoritmy kompatibilní se standardem FIPS se používají pouze ve vztahu k oddělením a agenturám USA federální vlády.
Ověřená kontrola rozhraní API systému Windows
Pomocí rozhraní API můžete vytvořit novou kontrolu a zobrazit všechny existující nakonfigurované kontroly ve vaší organizaci. Další informace najdete tady:
- Získání všech definic kontroly
- Přidání, odstranění nebo aktualizace definice kontroly
- Získání všech agentů kontroly
- Získání agenta kontroly podle ID
- Získání historie procházení podle definice
- Získání historie kontrol podle relace