Microsoft Defender for Identity usein kysyttyjä kysymyksiä

Defender for Identity havaitsee tunnetut hyökkäykset ja tekniikat, suojausongelmat ja verkkoosi kohdistuvat riskit. Täydellinen luettelo Defenderin käyttäjätietojen tunnistamisesta on kohdassa Defender for Identity Security Alerts.

Defender for Identity kerää ja tallentaa tietoja määritetyistä palvelimista, kuten toimialueen ohjauskoneista, jäsenpalvelimista ja niin edelleen. Tiedot tallennetaan palveluun erityisesti tarkoitettuun tietokantaan hallinta-, seuranta- ja raportointitarkoituksiin.

Kerättyihin tietoihin sisältyvät:

• Verkkoliikenne toimialueen ohjauskoneisiin ja toimialueen ohjauskoneista, kuten Kerberos-todennus, NTLM-todennus tai DNS-kyselyt.
• Suojauslokit, kuten Windowsin suojaustapahtumat.
• Active Directory -tietoja, kuten rakennetta, aliverkkoja tai sivustoja.
• Entiteettitiedot, kuten nimet, sähköpostiosoitteet ja puhelinnumerot.

Microsoft käyttää näitä tietoja

• Tunnista ennakoivasti hyökkäyksen indikaattorit organisaatiossasi.
• Luo hälytyksiä, jos mahdollinen hyökkäys havaitaan.
• Tarjoa suojaustoiminnoille näkymä entiteetteihin, jotka liittyvät verkon uhkasignaaleihin. Näin voit tutkia tietoturvauhkien esiintymistä verkossa.

Microsoft ei louhi tietojasi mainontaa tai muuta tarkoitusta varten kuin palvelun tarjoamiseen sinulle.

Defender for Identity tukee tällä hetkellä jopa 30 eri hakemistopalvelun tunnistetietojen lisäämistä tukeakseen Active Directory -ympäristöjä, joissa on epäluotettavia hakemistometsiä. Jos tarvitset lisää tilejä, avaa tukipalvelupyyntö.

Syväpakettitarkastustekniikkaa hyödyntävän Active Directory -liikenteen analysoimisen lisäksi Defender for Identity kerää myös tarvittavat Windows-tapahtumat toimialueen ohjauskoneesta ja luo entiteettiprofiileja Active Directory -toimialueen palvelut tietojen perusteella. Defender for Identity tukee myös VPN-lokien RADIUS-kirjanpidon vastaanottamista eri toimittajilta (Microsoft, Cisco, F5 ja Checkpoint).

Ei. Defender for Identity valvoo kaikkia verkon laitteita, jotka suorittavat todennus- ja valtuutuspyyntöjä Active Directorya vastaan, mukaan lukien muut kuin Windows- ja mobiililaitteet.

Kyllä. Koska tietokonetilejä ja muita entiteettejä voidaan käyttää haitallisiin toimiin, Defender for Identity valvoo kaikkien tietokonetilien toimintaa ja kaikkia muita ympäristössä olevia entiteettejä.

ATA on itsenäinen paikallinen ratkaisu, jossa on useita osia, kuten ATA-keskus, joka edellyttää erillistä laitteistoa paikallisesti.

Defender for Identity on pilvipohjainen suojausratkaisu, joka käyttää paikallinen Active Directory signaalejasi. Ratkaisu on erittäin skaalattava, ja sitä päivitetään usein.

ATA:n lopullinen versio on yleisesti saatavilla. ATA lopetti Mainstream-tuen 12.1.2021. Laajennettu tuki jatkuu tammikuuhun 2026 asti. Lisätietoja on blogissamme.

Toisin kuin ATA-tunnistin, Defender for Identity -tunnistin käyttää myös tietolähteitä, kuten Windowsin tapahtumien seurantaa (ETW), jonka avulla Defender for Identity voi toimittaa ylimääräisiä tunnistuksia.

Defender for Identityn usein päivittämissä päivityksissä on seuraavat ominaisuudet ja ominaisuudet:

• Usean toimialuepuuryhmän ympäristöjen tuki: Tarjoaa organisaatioille näkyvyyden eri AD-metsät.

• Microsoftin secure score -tilan arvioinnit: Tunnistaa yleiset virheelliset määritykset ja hyödynnettävät osat ja tarjoaa korjauspolkuja hyökkäyspinnan pienentämiseksi.

• UEBA-ominaisuudet: Merkityksellistä tietoa yksittäisen käyttäjän riskistä käyttäjätutkinnan prioriteetin pisteytyksen kautta. Pisteet voivat auttaa SecOpsia tutkimuksissaan ja auttaa analyytikoita ymmärtämään epätavallisia toimia käyttäjälle ja organisaatiolle.

• Alkuperäiset integroinnit: Integroida Microsoft Defender for Cloud Apps ja Microsoft Entra ID -tunnuksien suojaus kanssa tarjotakseen yhdistelmänäkymän sekä paikallisista että hybridiympäristöistä.

• Osallistuu Microsoft Defender XDR: auttaa Microsoft Defender XDR hälytyksissä ja uhkatiedoissa. Microsoft Defender XDR käyttää Microsoft 365 -suojaussalkkua (käyttäjätiedot, päätepisteet, tiedot ja sovellukset) analysoidakseen automaattisesti toimialueiden välisiä uhkatietoja ja luodakseen kokonaiskuvan jokaisesta hyökkäyksestä yhdessä koontinäytössä.

  Tämän laajuuden ja selkeyden syvyyden avulla Puolustajat voivat keskittyä kriittisiin uhkiin ja metsästää kehittyneitä rikkomuksia. Puolustajat voivat luottaa siihen, että Microsoft Defender XDR tehokas automaatio pysäyttää hyökkäykset mihin tahansa tappoketjuun ja palauttaa organisaation turvalliseen tilaan.

Defender for Identity on saatavilla osana Enterprise Mobility + Security 5 -pakettia (EMS E5) ja erillisenä käyttöoikeutena. Voit hankkia käyttöoikeuden suoraan Microsoft 365 -portaalista tai pilviratkaisukumppanin (CSP) käyttöoikeusmallin kautta.

Lisätietoja Defender for Identityn käyttöoikeusvaatimuksista on kohdassa Defender for Identity -käyttöoikeusohjeet.

Kyllä, tietosi eristetään käyttöoikeuksien todentamisen ja asiakastunnusten perusteella loogisen erottelun avulla. Jokainen asiakas voi käyttää vain omasta organisaatiostaan kerättyjä tietoja ja Microsoftin tarjoamien yleisten tietojen tietoja.

Ei. Kun Defender for Identity -työtila luodaan, se tallennetaan automaattisesti Azure-alueelle, joka on lähimpänä Microsoft Entra vuokraajan maantieteellistä sijaintia. Kun Defender for Identity -työtila on luotu, Defender for Identity -tietoja ei voi siirtää eri alueelle.

Microsoftin kehittäjille ja järjestelmänvalvojille on suunniteltu annettu riittävät oikeudet suorittaa määritetyt tehtävänsä palvelun käyttämiseksi ja kehittymiseen. Microsoft ottaa käyttöön ennalta ehkäisevän, etsivän ja reaktiivisen valvonnan yhdistelmiä, mukaan lukien seuraavat mekanismit luvattomalta kehittäjältä ja/tai hallinnolliselta toiminnalta suojautumiseksi:

• Luottamuksellisten tietojen tiukka käytönvalvonta
• Ohjausobjektien yhdistelmät, jotka tehostavat huomattavasti haitallisen toiminnan riippumatonta havaitsemista
• Valvonnan, kirjaamisen ja raportoinnin useita tasoja

Lisäksi Microsoft suorittaa taustavarmennustarkastuksia tietyille toimintojen henkilöstölle ja rajoittaa sovellusten, järjestelmien ja verkkoinfrastruktuurin käyttöä suhteessa taustavarmennuksen tasoon. Operatiivinen henkilöstö noudattaa muodollista prosessia, kun heidän on käytettävä asiakkaan tiliä tai siihen liittyviä tietoja tehtäviensä suorittamisessa.

Suosittelemme, että sinulla on Defender for Identity -tunnistin tai erillinen tunnistin kullekin toimialueen ohjauskoneelle. Lisätietoja on kohdassa Defender for Identity sensorin koko.

Vaikka salattua liikennettä sisältäviä verkkoprotokollia, kuten AtSvc:tä ja WMI:tä, ei salausta pureta, anturit analysoivat edelleen liikennettä.

Defender for Identity tukee Kerberos Armoringia, joka tunnetaan myös nimellä joustava todentamisen turvallinen tunnelointi (FAST). Poikkeuksena tähän tukeen on hajautusarvon tunnistamisen ylitys, joka ei toimi Kerberos-panssarin kanssa.

Defender for Identity -tunnistin voi kattaa useimmat näennäistoimialueen ohjauskoneet. Lisätietoja on kohdassa Defender for Identity Capacity Planning.

Jos Defender for Identity -tunnistin ei pysty kattamaan virtuaalisen toimialueen ohjauskonetta, käytä sen sijaan virtuaalista tai fyysistä Defender for Identityn erillistunnistinta. Lisätietoja on kohdassa Porttien peilauksen määrittäminen.

Helpoin tapa on käyttää virtuaalista Defender for Identityn erillistunnistinta jokaisessa isännässä, jossa virtuaalisen toimialueen ohjauskone on olemassa.

Jos näennäistoimialueen ohjauskoneet siirtyvät isäntien välillä, sinun on suoritettava jokin seuraavista toimista:

• Kun näennäistoimialueen ohjauskone siirtyy toiseen isäntään, määritä defender for Identityn erillinen tunnistin kyseisessä isännässä vastaanottamaan liikenne äskettäin siirretystä näennäistoimialueen ohjauskoneesta.

• Varmista, että olet liitetty erilliseen Defender for Identity -anturiin virtuaalisen toimialueen ohjauskoneen kanssa niin, että jos se siirretään, Defender for Identityn erillinen tunnistin siirtyy sen mukana.

• Jotkin virtuaalikytkimet voivat lähettää liikennettä isäntien välillä.

Jotta toimialueen ohjauskoneet voivat viestiä pilvipalvelun kanssa, sinun on avattava : *.atp.azure.com portti 443 palomuurissasi/välityspalvelimessasi. Lisätietoja on artikkelissa Välityspalvelimen tai palomuurin määrittäminen ottamaan käyttöön viestintä Defender for Identity -tunnistimien kanssa.

Kyllä, voit käyttää Defender for Identity -tunnistinta minkä tahansa IaaS-ratkaisun toimialueen ohjauskoneiden valvontaan.

Defender for Identity tukee usean toimialueen ympäristöjä ja useita toimialuepuualueita. Lisätietoja ja luottamusvaatimuksia on kohdassa Usean toimialuepuuryhmän tuki.

Kyllä, voit tarkastella käyttöönoton yleistä kuntoa ja mahdollisia määritys-, yhteys- ja niin edelleen liittyviä ongelmia. Saat ilmoituksen, koska nämä tapahtumat tapahtuvat Defender for Identity -kunto-ongelmien yhteydessä.

Microsoft Defender for Identity tarjoaa suojausarvon kaikille Active Directory -tileille, myös niille, joita ei ole synkronoitu Microsoft Entra ID. Käyttäjätilit, jotka on synkronoitu Microsoft Entra ID kanssa, hyötyvät myös Microsoft Entra ID (käyttöoikeustason perusteella) ja investigation priority -pisteytyksen tarjoamista suojausarvoista.

Microsoft Defender for Identity tiimi suosittelee, että kaikki asiakkaat käyttävät Npcap-ohjainta WinPcap-ohjainten sijaan. Alkaen Defender for Identity versiosta 2.184 asennuspaketti asentaa Npcap 1.0 OEM -laitevalmistajan WinPcap 4.1.3 -ohjainten sijaan.

WinPcapia ei enää tueta, ja koska sitä ei enää kehitetä, ohjainta ei voida enää optimoida Defender for Identity -tunnistinta varten. Lisäksi, jos WinPcap-ohjaimessa on tulevaisuudessa ongelma, ei ole vaihtoehtoja korjaukseen.

Npcap on tuettu, kun taas WinPcap ei ole enää tuettu tuote.

MDI-tunnistin edellyttää Npcap 1.0:aa tai uudempaa. Tunnistimen asennuspaketti asentaa version 1.0, jos mitään muuta Npcap-versiota ei ole asennettu. Jos sinulla on jo Npcap asennettuna (muiden ohjelmistovaatimusten tai jonkin muun syyn takia), on tärkeää varmistaa, että se on versio 1.0 tai uudempi ja että se on asennettu vaadittujen MDI-asetusten kanssa.

Kyllä. WinPcap-ohjainten poistaminen edellyttää Tunnistimen poistamista manuaalisesti. Uusinta pakettia käyttävä uudelleenasennus asentaa Npcap-ohjaimet.

Näet, että Npcap OEM on asennettu Lisää tai poista -ohjelmien kautta (appwiz.cpl), ja jos tässä oli avoin kunto-ongelma , se suljetaan automaattisesti.

Ei, Npcap on vapautettu tavanomaisesta viiden asennuksen rajoituksesta. Voit asentaa sen rajoittamattomaan järjestelmään, jossa sitä käytetään vain Defender for Identity -tunnistimen kanssa.

Katso Npcap-käyttöoikeussopimus täältä ja etsi Microsoft Defender for Identity.

Ei, vain Microsoft Defender for Identity tunnistin tukee Npcap versiota 1.00.

Ei, sinun ei tarvitse ostaa OEM-versiota. Lataa tunnistimen asennuspaketin versio 2.156 tai uudempi versio Defender for Identity -konsolista, joka sisältää Npcapin OEM-version.

• Voit hankkia Npcap-suoritettavat tiedostot lataamalla Defender for Identity -tunnistimen uusimman käyttöönottopaketin.

• Jos et ole vielä asentanut tunnistinta, asenna tunnistin versiolla 2.184 tai uudemmalla versiolla.

• Jos olet jo asentanut anturin WinPcapin kanssa ja sinun on päivitettävä käyttämään Npcapia:

  1. Poista tunnistimen asennus. Käytä joko Lisää tai poista sovellus Windowsin ohjauspaneelista (appwiz.cpl), tai suorita seuraava asennuksen poistokomento: ".\Azure ATP Sensor Setup.exe" /uninstall /quiet

  2. Poista WinPcap-asennus tarvittaessa. Tämä vaihe on merkityksellinen vain, jos WinPcap asennettiin manuaalisesti ennen tunnistimen asennusta. Tässä tapauksessa sinun on poistettava WinPcap manuaalisesti.

  3. Asenna tunnistin uudelleen versiolla 2.184 tai uudemmalla versiolla.

• Jos haluat asentaa Npcapin manuaalisesti: Asenna Npcap seuraavilla asetuksilla:

  • Jos käytät GUI-asennusohjelmaa, tyhjennä silmukkatukiasetus ja valitse WinPcap-tila . Varmista, että Rajoita Npcap-ohjaimen vain järjestelmänvalvojien käyttöoikeuksia -asetus on poistettu.
  • Jos käytät komentoriviä, suorita: npcap-1.00-oem.exe /loopback_support=no /winpcap_mode=yes /admin_only=no /S

• Jos haluat päivittää Npcapin manuaalisesti:

  1. Pysäytä Defender for Identity -tunnistinpalvelut, AATPSensorUpdater ja AATPSensor. Juosta: Stop-Service -Name AATPSensorUpdater -Force; Stop-Service -Name AATPSensor -Force

  2. Npcapin poistaminen Windowsin ohjauspaneelin Lisää tai poista sovellus -toiminnolla (appwiz.cpl).

  3. Asenna Npcap seuraavilla asetuksilla:

     • Jos käytät GUI-asennusohjelmaa, tyhjennä silmukkatukiasetus ja valitse WinPcap-tila . Varmista, että Rajoita Npcap-ohjaimen vain järjestelmänvalvojien käyttöoikeuksia -asetus on poistettu.

     • Jos käytät komentoriviä, suorita: npcap-1.00-oem.exe /loopback_support=no /winpcap_mode=yes /admin_only=no /S

  4. Käynnistä Defender for Identity sensor -palvelut, AATPSensorUpdater ja AATPSensor. Juosta: Start-Service -Name AATPSensorUpdater; Start-Service -Name AATPSensor

Defender for Identity voidaan määrittää lähettämään Syslog-ilmoitus mihin tahansa SIEM-palvelimeen CEF-muodossa kunto-ongelmien ja suojausilmoituksen havaitsemisen vuoksi. Lisätietoja on SIEM-lokiviitteen kohdassa.

Tilejä pidetään luottamuksellisina, kun tili on arkaluonteisiksi määritettyjen ryhmien jäsen (esimerkiksi toimialueen järjestelmänvalvojat).

Jos haluat ymmärtää, miksi tili on herkkä, voit tarkastella sen ryhmän jäsenyyttä ja selvittää, mihin arkaluonteisiin ryhmiin tili kuuluu. Ryhmä, johon ryhmä kuuluu, voi myös olla herkkä toisen ryhmän vuoksi, joten sama prosessi tulisi suorittaa, kunnes löydät korkeimman tason herkän ryhmän. Vaihtoehtoisesti voit merkitä tilit manuaalisesti luottamuksellisiksi.

Defender for Identityn avulla ei tarvitse luoda sääntöjä, raja-arvoja tai perusviivoja ja hienosäätää niitä. Defender for Identity analysoi käyttäjien, laitteiden ja resurssien toimintaa sekä heidän suhdettaan toisiinsa ja voi havaita epäilyttävää toimintaa ja tunnettuja hyökkäyksiä nopeasti. Kolme viikkoa käyttöönoton jälkeen Defender for Identity alkaa havaita epäilyttävää toimintaa. Toisaalta Defender for Identity alkaa havaita tunnettuja haitallisia hyökkäyksiä ja suojausongelmia heti käyttöönoton jälkeen.

Defender for Identity luo liikennettä toimialueen ohjauskoneista organisaation tietokoneisiin jossakin kolmesta skenaariosta:

• Verkon nimen tarkkuus Defender for Identity tallentaa liikenteen ja tapahtumat, käyttäjien oppimisen ja profiloinnin sekä tietokoneen toiminnan verkossa. Jotta Defender for Identityn on opittava ja profiloitava toimintoja organisaation tietokoneiden mukaan, sen on ratkaistava IPS:t tietokonetileihin. Ratkaise IP-osoitteet tietokonenimille Defender for Identity sensors pyytämällä IP-osoite IP-osoitteen takana olevalle tietokoneen nimelle.

  Pyynnöt tehdään jollakin neljästä menetelmästä:

  • NTLM RPC:n kautta (TCP-portti 135)
  • NetBIOS (UDP-portti 137)
  • RDP (TCP-portti 3389)
  • Tee KYSELY DNS-palvelimeen IP-osoitteen käänteisellä DNS-haulla (UDP 53)

  Kun olet saanut tietokoneen nimen, Defender for Identity -tunnistimet tarkistavat Active Directoryn tiedot ja tarkistavat, onko tietokoneessa korreloitu objekti, jolla on sama tietokoneen nimi. Jos vastaavuutta löytyy, IP-osoitteen ja vastaavan tietokoneobjektin välille tehdään kytkentä.

• Sivusuuntaisen liikkeen polku (LMP) Jotta luottamuksellisille käyttäjille voidaan luoda mahdollisia LLM-tunnuksia, Defender for Identity edellyttää tietoja tietokoneiden paikallisista järjestelmänvalvojista. Tässä skenaariossa Defender for Identity -tunnistin käyttää SAM-R:ää (TCP 445) verkkoliikenteessä tunnistetun IP-osoitteen kyselyyn määrittääkseen tietokoneen paikalliset järjestelmänvalvojat. Lisätietoja Defender for Identitystä ja SAM-R:stä on kohdassa SAM-R:n vaadittujen käyttöoikeuksien määrittäminen.

• Active Directoryn kysely LDAP:n avulla entiteettitietojen Defender for Identity -tunnistimia varten kyselevät toimialueen ohjauskonetta toimialueelta, johon entiteetti kuuluu. Se voi olla sama tunnistin tai toinen toimialueen ohjauskone kyseiseltä toimialueelta.

Defender for Identity tallentaa toimintoja useille eri protokollille. Joissakin tapauksissa Defender for Identity ei saa lähteen käyttäjän tietoja liikenteessä. Defender for Identity yrittää korreloida käyttäjän istunnon toimintoon, ja kun yritys onnistuu, toiminnon lähdekäyttäjä näytetään. Kun käyttäjän korrelaatioyritykset epäonnistuvat, vain lähdetietokone näytetään.

Defender for Identity -tunnistin saattaa käynnistää DNS-kutsun "aatp.dns.detection.local" vastauksena tiettyihin saapuviin DNS-toimintoihin MDI-valvotulle koneelle.

Defender for Identityn henkilökohtaiset käyttäjätiedot johdetaan käyttäjän objektista organisaation Active Directoryssa, eikä niitä voi päivittää suoraan Defender for Identityssä.

Voit viedä henkilötietoja Defender for Identitystä käyttämällä samaa tapaa kuin suojaushälytystietojen vieminen. Lisätietoja on kohdassa Suojausilmoitusten tarkasteleminen.

Microsoft Defender portaalin hakupalkin avulla voit hakea tunnistettavia henkilötietoja, kuten tiettyä käyttäjää tai tietokonetta. Lisätietoja on kohdassa Resurssien tutkiminen.

Defender for Identity toteuttaa henkilötietojen muutosten valvonnan, mukaan lukien henkilötietojen tietueiden poistamisen ja viennin. Jäljitysjäljiden säilytysaika on 90 päivää. Valvonta Defender for Identityssä on taustaominaisuus, joka ei ole asiakkaiden käytettävissä.

Kun käyttäjä on poistettu organisaation Active Directorysta, Defender for Identity poistaa automaattisesti käyttäjäprofiilin ja kaikki siihen liittyvät verkkotoiminnot defender for Identityn yleisen tietojen säilytyskäytännön mukaisesti, elleivät tiedot ole osa aktiivista tapausta. Suosittelemme vain luku - käyttöoikeuksien lisäämistä Poistetut objektit - säilöön. Lisätietoja on kohdassa Vaadittujen DSA-käyttöoikeuksien myöntäminen.

Katso viimeisintä virhettä nykyisessä virhelokissa (Where Defender for Identity on asennettu "Lokit"-kansioon).

Aiheeseen liittyvä sisältö

• Defender for Identityn edellytykset
• Defender for Identityn kapasiteetin suunnittelu
• Tapahtumakokoelman määrittäminen
• Määritetään Windows-tapahtumien edelleenlähetystä
• Vianmääritys
• Tutustu Defender for Identity -keskustelupalstalle!