通过

配置Microsoft Defender for Identity传感器设置

  • 项目

本文介绍如何正确配置Microsoft Defender for Identity传感器设置以开始查看数据。 需要执行其他配置和集成，以利用 Defender for Identity 的完整功能。

查看和配置传感器设置

安装 Defender for Identity 传感器后，执行以下操作以查看和配置 Defender for Identity 传感器设置：

  1. 在Microsoft Defender XDR中，转到“设置>标识>传感器”。 例如：

    “传感器”页的屏幕截图。

    “ 传感器 ”页显示所有 Defender for Identity 传感器，其中列出了每个传感器的以下详细信息：

    • 传感器名称
    • 传感器域成员身份
    • 传感器版本号
    • 是否应延迟更新
    • 传感器服务状态
    • 传感器状态
    • 传感器运行状况
    • 运行状况问题的数量
    • 创建传感器时

    有关详细信息，请参阅 传感器详细信息。

  2. 选择 “筛选器 ”以选择要可见的筛选器。 例如：

    传感器筛选器的屏幕截图。

  3. 使用显示的筛选器确定要显示的传感器。 例如：

    已筛选的传感器列表的屏幕截图。

  4. 选择传感器以显示详细信息窗格，其中包含有关传感器及其运行状况的详细信息。 例如：

    传感器详细信息窗格的屏幕截图。

  5. 向下滚动并选择“ 管理传感器 ”以显示可在其中配置传感器详细信息的窗格。 例如：

    “管理传感器”选项的屏幕截图。

  6. 配置以下传感器详细信息：

    名称 说明
    说明 可选。 输入 Defender for Identity 传感器的说明。
    域控制器 (FQDN) 对于安装在 AD FS/AD CS 服务器上的 Defender for Identity 独立传感器和传感器是必需的，并且不能修改 Defender for Identity 传感器。

    输入域控制器的完整 FQDN，然后选择加号将其添加到列表中。 例如 DC1.domain1.test.local。

    对于在 “域控制器 ”列表中定义的任何服务器：

    - 必须在域控制器列表中列出通过 Defender for Identity 独立传感器通过端口镜像监视其流量的所有 域控制器 。 如果域控制器未在 “域控制器 ”列表中列出，则可疑活动的检测可能无法按预期运行。

    - 列表中至少有一个域控制器应为全局编录。 这使 Defender for Identity 能够解析林中其他域中的计算机和用户对象。
    捕获网络适配器 必填。

    - 对于 Defender for Identity 传感器，用于与组织中的其他计算机通信的所有网络适配器。

    - 对于专用服务器上的 Defender for Identity 独立传感器，请选择配置为目标镜像端口的网络适配器。 这些网络适配器将接收镜像的域控制器流量。

  7. 在“ 传感器 ”页上，选择“ 导出 ”，将传感器列表导出到 .csv 文件。 例如：

    导出传感器列表的屏幕截图。

验证安装

使用以下过程验证 Defender for Identity 传感器的安装。

注意

如果要在 AD FS 或 AD CS 服务器上安装，将使用一组不同的验证。 有关详细信息，请参阅 验证 AD FS/AD CS 服务器上的成功部署。

验证部署成功

若要验证是否已成功部署 Defender for Identity 传感器，请执行以下操作：

  1. 检查 Azure 高级威胁防护传感器 服务是否在传感器计算机上运行。 保存 Defender for Identity 传感器设置后，服务可能需要几秒钟才能启动。

  2. 如果服务未启动，请查看 Microsoft.Tri.sensor-Errors.log 文件，该文件默认位于 %programfiles%\Azure Advanced Threat Protection sensor\<sensor version>\Logs，其中 <sensor version> 是部署的版本。

验证安全警报功能

本部分介绍如何验证是否按预期触发了安全警报。

使用以下步骤中的示例时，请确保将 和 contoso.azure 分别替换为 contosodc.contoso.azure Defender for Identity 传感器和域名的 FQDN。

  1. 在已加入成员的设备上，打开命令提示符并输入 nslookup

  2. 输入 server 和安装 Defender for Identity 传感器的域控制器的 FQDN 或 IP 地址。 例如：server contosodc.contoso.azure

  3. 输入 ls -d contoso.azure

  4. 对要测试的每个传感器重复上述两个步骤。

  5. 通过搜索设备名称或从 Defender 门户中的其他位置访问运行连接测试的计算机的设备详细信息页（例如，从“ 设备 ”页）。

  6. 在“设备详细信息”选项卡上，选择“ 时间线 ”选项卡以查看以下活动：

    • 事件：对指定域名执行的 DNS 查询
    • 操作类型 MdiDnsQuery

如果要测试的域控制器或 AD FS/AD CS 是已部署的第一个传感器，请至少等待 15 分钟，然后验证该域控制器的任何逻辑活动，从而允许数据库后端完成初始微服务部署。

验证最新的可用传感器版本

Defender for Identity 版本经常更新。 在“Microsoft Defender XDR设置标识>关于”>页中检查最新版本。

相关内容

配置初始配置步骤后，可以配置更多设置。 有关详细信息，请转到以下任一页面：

后续步骤

使用 Microsoft Defender for Identity 的事件集合 »