共用方式為

設定 Windows 事件轉送至適用於身分識別的 Defender 獨立感測器

  • 發行項

本文說明如何設定 Windows 事件轉送至 適用於身分識別的 Microsoft Defender 獨立感測器的範例。 事件轉送是一種方法，可透過無法從域控制器網路取得的額外 Windows 事件來增強偵測能力。 如需詳細資訊，請參閱 Windows 事件集合概觀。

重要

適用於身分識別的 Defender 獨立感測器不支援收集 Windows 事件追蹤 （ETW） 記錄專案，這些記錄專案會提供多個偵測的數據。 如需環境的完整涵蓋範圍，建議您部署適用於身分識別的 Defender 感測器。

必要條件

在開始之前：

步驟 1：將網路服務帳戶新增至網域

此程式描述如何將網路服務帳戶新增至 事件記錄讀取器群組 網域。 在此案例中，假設適用於身分識別的Defender獨立感測器是網域的成員。

  1. 在 Active Directory 的 [使用者和計算機] 中，移至 [內 建] 資料夾，然後 按兩下 [事件記錄檔讀取器]。

  2. 選取 [成員]。

  3. 如果未列出網路服務，請選取 [新增]，然後在 [輸入要選取的物件名稱] 欄位中輸入網路服務。

  4. 選取 [ 檢查名稱 ]，然後選取 [確定 ] 兩次。

將 網路服務 新增至 事件記錄讀取器 群組之後，請重新啟動域控制器，讓變更生效。

如需詳細資訊，請參閱 Active Directory 帳戶。

步驟 2：建立設定目標設定的原則

此程式描述如何在域控制器上建立原則，以設定 目標 訂用帳戶管理員設定

提示

您可以建立這些設定的組策略，並將組策略套用至適用於身分識別的 Defender 獨立感測器所監視的每個域控制器。 下列步驟會修改域控制器的本機原則。

  1. 在每個域控制器上，執行：

    winrm quickconfig

  2. 從命令提示字元輸入

    gpedit.msc

  3. 展開 [計算機設定 > 系統管理範本 > ] [Windows 元件 > 事件轉送]。 例如：

    [本機原則群組編輯器] 對話框的螢幕快照。

  4. 按兩下 [ 設定目標訂用帳戶管理員 ]，然後：

    1. 選取 [啟用] 。

    2. 在 [選項] 底下，選取 [顯示]。

    3. 在 [SubscriptionManagers] 下，輸入下列值，然後選取 [確定]：

      Server=http：//<fqdnMicrosoftDefenderForIdentitySensor>：5985/wsman/SubscriptionManager/WEC，Refresh=10

      例如，使用 Server=http://atpsensor.contoso.com:5985/wsman/SubscriptionManager/WEC，Refresh=10：

      [設定目標訂用帳戶] 對話框的螢幕快照。

  5. 選取 [確定]。

  6. 從提升權限的命令提示字元中，輸入：

    gpupdate /force

步驟 3：在您的感測器上建立並選取訂用帳戶

此程序說明如何建立訂用帳戶以搭配適用於身分識別的Defender使用，然後從獨立感測器中選取它。

  1. 開啟提升許可權的命令提示字元並輸入

    wecutil qc

  2. 開啟 [事件檢視器]。

  3. 以滑鼠右鍵按兩下 [ 訂用帳戶 ]，然後選取 [ 建立訂用帳戶]。

    1. 輸入訂用帳戶的名稱和描述。

    2. 針對 [ 目的地記錄檔]，確認已 選取 [轉送的事件 ]。 若要讓適用於身分識別的 Defender 讀取事件，目的地記錄必須是 轉送事件。

    3. 選取 [起始的來源計算機]>[選取計算機群組>][新增網域計算機]。

      1. 在 [輸入要選取的物件名稱] 字段中，輸入域控制器的名稱。

      2. 選取 [檢查名稱>確定] 。>

      3. 選取 [確定]。 例如：

        [事件檢視器] 對話框的螢幕快照。

    4. 選取 [依記錄>安全性選取事件]。>

    5. 在 [ 包含/排除事件標識符 ] 字段中輸入事件號碼，然後選取 [ 確定]。 例如，輸入 4776：

      [查詢] 對話框的螢幕快照。

    6. 返回在第一個步驟中開啟的命令視窗。 執行下列命令，將 SubscriptionName 取代為您為訂用帳戶建立的名稱。

      wecutil ss "SubscriptionName" /cm:"Custom"
wecutil ss "SubscriptionName" /HeartbeatInterval:5000

    7. 返回 事件檢視器 主控台。 以滑鼠右鍵按兩下已建立的訂用帳戶，然後選取[ 運行時間狀態 ]，以查看狀態是否有任何問題。

    8. 幾分鐘后，請檢查您設定為轉寄的事件是否顯示在適用於身分識別的 Defender 獨立感測器上的轉送事件中。

如需詳細資訊，請參閱： 將計算機設定為轉送和收集事件。

相關內容

如需詳細資訊，請參閱