Настройка параметров датчика OT из портал Azure (общедоступная предварительная версия)
После подключения нового сетевого датчика OT к Microsoft Defender для Интернета вещей может потребоваться определить несколько параметров непосредственно на консоли датчиков OT, например добавление локальных пользователей.
Параметры датчика OT, перечисленные в этой статье, также доступны непосредственно из портал Azure. Используйте портал Azure для массового применения этих параметров на нескольких подключенных к облаку датчиков OT за раз или по всем облачным датчикам OT в определенном сайте или зоне. В этой статье описывается, как просмотреть и настроить параметры сетевого датчика OT из портал Azure.
Примечание.
Страница параметров датчика в Defender для Интернета вещей доступна в предварительной версии. Дополнительные условия использования предварительной версии Azure включают прочие юридические условия, применимые к функциям Azure, которые находятся в бета-версии, предварительной версии или еще не являются общедоступными по другим причинам.
Необходимые компоненты
Чтобы определить параметры датчика OT, убедитесь, что у вас есть следующие параметры:
Подписка Azure, подключенная к Defender для Интернета вещей. Если вам нужно, зарегистрируйте бесплатную учетную запись, а затем используйте краткое руководство. Начало работы с Defender для Интернета вещей для запуска бесплатной пробной версии.
Разрешения:
Чтобы просмотреть параметры, определенные другими пользователями, войдите с помощью средства чтения безопасности, администратора безопасности, участника или владельца подписки.
Чтобы определить или обновить параметры, войдите с помощью роли администратора безопасности, участника или владельца .
Дополнительные сведения см. в статье о ролях пользователей и разрешениях Azure для Defender для Интернета вещей.
Один или несколько сетевых датчиков, подключенных к облаку OT. Дополнительные сведения см. в разделе "Подключение датчиков OT к Defender для Интернета вещей".
Определение нового параметра датчика
Определите новый параметр всякий раз, когда требуется определить определенную конфигурацию для одного или нескольких сетевых датчиков OT. Например, если вы хотите определить ограничения пропускной способности для всех датчиков OT в определенном сайте или зоне или определить их для одного датчика OT в определенном расположении в сети.
Чтобы определить новый параметр, выполните следующие действия.
В Defender для Интернета вещей в портал Azure выберите "Сайты и датчики">(предварительная версия).
На странице параметров датчика (предварительная версия) нажмите кнопку +Добавить, а затем используйте мастер, чтобы определить следующие значения для параметра. Нажмите кнопку "Далее", когда вы закончите работу с каждой вкладкой в мастере, чтобы перейти к следующему шагу.
Имя вкладки Description Основы Выберите подписку, в которой вы хотите применить параметры, и тип параметра.
Введите понятное имя и необязательное описание параметра.Параметр Определите значения выбранного типа параметра.
Дополнительные сведения о параметрах, доступных для каждого типа параметров, найдите выбранный тип в ссылке на параметр датчика ниже.Применить Используйте раскрывающиеся меню "Выбор сайтов", "Выбор зон" и "Выбор датчиков", чтобы определить, где вы хотите применить этот параметр.
Важно. Выбор сайта или зоны применяет параметр ко всем подключенным датчикам OT, включая любые датчики OT, добавленные на сайт или зону позже.
Если вы выберете применение параметров ко всему сайту, вам также не нужно выбирать зоны или датчики.Проверка и создание Проверьте выбранные параметры.
Если новый параметр заменяет существующий параметр,
отображается предупреждение, указывающее существующий параметр.
Если вы удовлетворены конфигурацией параметра, нажмите кнопку "Создать".
Новый параметр теперь указан на странице параметров датчика (предварительная версия) в его типе параметров и на странице сведений о датчике для любого связанного датчика OT. Параметры датчика отображаются как доступные только для чтения на странице сведений о датчике. Например:
Совет
Вы можете настроить исключения в параметрах для определенного датчика ИЛИ зоны OT. В таких случаях создайте дополнительный параметр для исключения.
Параметры переопределяют друг друга иерархическим образом, чтобы если параметр применялся к конкретному датчику OT, он переопределяет все связанные параметры, применяемые ко всей зоне или сайту. Чтобы создать исключение для всей зоны, добавьте параметр для этой зоны, чтобы переопределить все связанные параметры, примененные ко всему сайту.
Просмотр и изменение текущих параметров датчика OT
Чтобы просмотреть текущие параметры, уже определенные для подписки, выполните следующие действия.
В Defender для Интернета вещей на портал Azure выберите параметры датчиков>и сайтов (предварительная версия)
На странице "Параметры датчика" (предварительная версия) отображаются все параметры, уже определенные для подписок, указанные по типу параметра. Разверните или свернуть каждый тип, чтобы просмотреть подробные конфигурации. Например:
Выберите конкретный параметр, чтобы просмотреть точную конфигурацию и сайт, зоны или отдельные датчики, где применяется этот параметр.
Чтобы изменить конфигурацию параметра, нажмите кнопку "Изменить ", а затем используйте тот же мастер, который использовался для создания параметра, чтобы сделать необходимые обновления. По завершении нажмите кнопку "Применить ", чтобы сохранить изменения.
Удаление существующего параметра датчика OT
Чтобы полностью удалить параметр датчика OT, выполните следующие действия.
- На странице параметров датчика (предварительная версия) найдите нужный параметр.
- Выберите меню параметров ... в правом верхнем углу карточки параметра и нажмите кнопку "Удалить".
Например:
Изменение параметров для отключенных датчиков OT
В этой процедуре описывается изменение параметров датчика OT, если датчик OT в настоящее время отключен от Azure, например во время текущего инцидента безопасности.
По умолчанию при настройке любых параметров из портал Azure все параметры, которые настраиваются как из портал Azure, так и датчик OT настроены только для чтения на самом датчике OT. Например, если вы настроите виртуальную локальную сеть из портал Azure, то ограничения пропускной способности, подсеть и параметры виртуальной локальной сети имеют значение "только для чтения" и блокируются от изменений на датчике OT.
Если вы находитесь в ситуации, когда датчик OT отключен от Azure, и вам нужно изменить один из этих параметров, необходимо сначала получить доступ на запись к этим параметрам.
Чтобы получить доступ на запись к заблокированным параметрам датчика OT, выполните следующие действия.
На странице портал Azure на странице параметров датчика (предварительная версия) найдите нужный параметр и откройте его для редактирования. Дополнительные сведения см. в разделе "Просмотр и изменение текущих параметров датчика OT" выше.
Измените область параметра, чтобы он больше не включает датчик OT, и любые изменения, внесенные при отключении датчика OT, не перезаписываются при подключении к Azure.
Внимание
Параметры, определенные на портал Azure всегда переопределяют параметры, определенные на датчике OT.
Войдите в затронутую консоль датчика OT и выберите пункт "Параметры > расширенных конфигураций>Azure Remote Config".
В поле кода измените
block_local_configзначение из10и нажмите кнопку "Закрыть". Например:
Продолжайте обновление соответствующего параметра непосредственно на сетевом датчике OT. Дополнительные сведения см. в разделе Управление отдельными датчиками.
Добавление параметров датчика
Дополнительные сведения об отдельных параметрах датчика OT, доступных в портал Azure, см. в следующих разделах.
Параметры типа :
- Active Directory
- Ограничение пропускной способности
- NTP
- Локальные подсети
- Именование виртуальной локальной сети
- Общедоступные адреса
Чтобы добавить новый тип параметра, выберите "Сайты" и "Датчики>". Выберите параметр в раскрывающемся списке "Тип ", например:
Active Directory
Чтобы настроить параметры Active Directory из портал Azure, определите значения для следующих параметров:
| Имя | Описание |
|---|---|
| Полное доменное имя контроллера домена | Полное доменное имя (FQDN) точно так же, как оно отображается на сервере LDAP. Например, введите host1.subdomain.contoso.com. Если возникла проблема с интеграцией с полным доменным именем, проверьте конфигурацию DNS. Вы также можете ввести явный IP-адрес сервера LDAP вместо полного доменного имени при настройке интеграции. |
| Порт контроллера домена | Порт, в котором настроен протокол LDAP. Например, используйте порт 636 для подключений LDAPS (SSL). |
| Основной домен | Доменное имя, например subdomain.contoso.com, и выберите тип подключения для конфигурации LDAP. Поддерживаемые типы подключений: LDAPS/NTLMv3 (рекомендуется), LDAP/NTLMv3 или LDAP/SASL-MD5 |
| Группы Active Directory | Выберите + Добавить, чтобы добавить группу Active Directory на каждый уровень разрешений, указанный по мере необходимости. При вводе имени группы убедитесь, что введите имя группы точно так же, как определено в конфигурации Active Directory на сервере LDAP. Эти имена групп используются при добавлении новых пользователей датчиков в Active Directory. Поддерживаемые уровни разрешений включают только чтение, аналитик безопасности, администратор и доверенные домены. |
Внимание
При вводе параметров LDAP:
- Определите значения точно так же, как они отображаются в Active Directory, за исключением случая.
- Только строчные символы пользователя, даже если конфигурация в Active Directory использует верхний регистр.
- Протокол LDAP и LDAPS не могут быть настроены для одного домена. Однако вы можете настроить каждый из разных доменов, а затем использовать их одновременно.
Чтобы добавить другой сервер Active Directory, выберите +Добавить сервер и определите эти значения сервера.
Ограничение пропускной способности
Для ограничения пропускной способности определите максимальную пропускную способность, которую требуется использовать датчиком для исходящей связи с датчиком в облако, в кб/с или в Мбит/с.
По умолчанию: 1500 кб/с
Минимальный обязательный для стабильного подключения к Azure: 350 кб/с. При этом минимальном параметре подключения к консоли датчика могут быть медленнее, чем обычно.
NTP
Чтобы настроить NTP-сервер для датчика из портал Azure, определите IP-адрес или домен допустимого сервера NTP IPv4 с помощью порта 123.
Локальные подсети
Чтобы сосредоточить инвентаризацию устройств Azure на устройствах, которые находятся в области OT, необходимо вручную изменить список подсетей, чтобы включить только локально отслеживаемые подсети, которые находятся в области OT.
Подсети в списке подсетей автоматически настраиваются как подсети ICS, что означает, что Defender для Интернета вещей распознает эти подсети как сети OT. Этот параметр можно изменить при настройке подсетей.
После настройки подсетей сетевое расположение устройств отображается в столбце сетевого расположения (общедоступная предварительная версия) в инвентаризации устройств Azure. Все устройства, связанные с перечисленными подсетями, отображаются как локальные, а устройства, связанные с обнаруженными подсетями, не включенными в список, отображаются как перенаправленные.
Настройка подсетей в портал Azure
В разделе "Локальные подсети" просмотрите настроенные подсети. Чтобы сосредоточиться на инвентаризации устройств и просмотреть локальные устройства в инвентаризации, удалите все подсети, которые не находятся в области Интернета вещей или OT, выбрав меню параметров (...) в любой подсети, которую вы хотите удалить.
Чтобы изменить дополнительные параметры, выберите любую подсеть и выберите команду "Изменить " для следующих параметров:
Выберите "Импорт подсетей" , чтобы импортировать разделенный запятыми список IP-адресов и маски подсети. Выберите " Экспорт подсетей" , чтобы экспортировать список настроенных данных, или очистить все , чтобы начать с нуля.
Введите значения в полях IP-адреса, маски и имени , чтобы вручную добавить сведения о подсети. Выберите "Добавить подсеть ", чтобы добавить дополнительные подсети по мере необходимости.
Подсеть ICS включена по умолчанию, что означает, что Defender для Интернета вещей распознает подсеть как сеть OT. Чтобы пометить подсеть как не ICS, отключите подсеть ICS.
Именование виртуальной локальной сети
Чтобы определить виртуальную локальную сеть для датчика OT, введите идентификатор виртуальной ЛС и понятное имя.
Выберите " Добавить виртуальную локальную сеть" , чтобы добавить дополнительные виртуальные ЛС по мере необходимости.
Общедоступные адреса
Добавьте общедоступные адреса, которые могли использоваться для внутреннего использования и не должны быть включены в качестве подозрительных IP-адресов или отслеживания данных. Исключенные общедоступные IP-адреса, которые могли использоваться для внутреннего использования и не должны быть включены в качестве подозрительных IP-адресов или отслеживания данных.
На вкладке "Параметры" введите IP-адрес и адрес маски.
Выберите Далее.
На вкладке "Применить" выберите сайты и переключите выделение по определенной зоне или датчику , чтобы при необходимости применить IP-адреса к определенным зонам и датчикам.
Выберите Далее.
Просмотрите сведения и нажмите кнопку "Создать ", чтобы добавить адрес в список общедоступных адресов.