Shromažďování událostí pomocí Microsoft Defenderu for Identity

Senzor Identity v programu Microsoft Defender for Identity je nakonfigurovaný tak, aby automaticky shromažďoval události syslogu. V případě událostí Windows se detekce identity v programu Defender pro identity spoléhá na konkrétní protokoly událostí. Senzor tyto protokoly událostí analyzuje z řadičů domény.

Shromažďování událostí pro servery SLUŽBY AD FS, servery AD CS, servery Microsoft Entra Connect a řadiče domény

Aby bylo možné auditovat a zahrnout správné události do protokolu událostí systému Windows, servery Active Directory Federation Services (AD FS) (AD FS), servery služby Active Directory Certificate Services (AD CS), servery služby Microsoft Entra Connect nebo řadiče domény vyžadují přesná rozšířená nastavení zásad auditu.

Další informace najdete v tématu Konfigurace zásad auditu pro protokoly událostí Systému Windows.

Odkaz na požadované události

Tato část obsahuje seznam událostí Systému Windows, které senzor identity v programu Defender for Identity vyžaduje, když je nainstalovaný na serverech služby AD FS, na serverech AD CS, na serverech Microsoft Entra Connect nebo na řadičích domény.

Požadované události služby AD FS

Pro servery AD FS jsou vyžadovány následující události:

• 1202: Federační služba ověřila nové přihlašovací údaje.
• 1203: Službě FS se nepodařilo ověřit nové přihlašovací údaje.
• 4624: Účet byl úspěšně přihlášen
• 4625: Účet se nepodařilo přihlásit

Další informace najdete v tématu Konfigurace auditování Active Directory Federation Services (AD FS).

Požadované události AD CS

Pro servery AD CS jsou vyžadovány následující události:

• 4870: Certifikační služby odvolaly certifikát
• 4882: Změna oprávnění zabezpečení pro Certifikační služby
• 4885: Filtr auditu pro Certificate Services se změnil
• 4887: Certifikační služba schválila žádost o certifikát a vydala certifikát
• 4888: Certifikační služby zamítly žádost o certifikát
• 4890: Nastavení správce certifikátů pro Certifikační služby se změnilo.
• 4896: Jeden nebo více řádků bylo odstraněno z databáze certifikátů

Další informace naleznete v tématu Konfigurace auditování pro službu Active Directory Certificate Services.

Požadované události Microsoft Entra Connect

Pro servery Microsoft Entra Connect se vyžaduje následující událost:

• 4624: Účet byl úspěšně přihlášen

Další informace naleznete v tématu Konfigurace auditování pro Microsoft Entra Connect.

Další požadované události Windows

Pro všechny senzory identity v programu Defender for Identity jsou vyžadovány následující obecné události Windows:

• 4662: Operace byla provedena u objektu
• 4726: Odstraněný uživatelský účet
• 4728: Člen přidán do globální skupiny zabezpečení
• 4729: Člen odebraný z globální skupiny zabezpečení
• 4730: Globální odstraněná skupina zabezpečení
• 4732: Člen přidán do místní skupiny zabezpečení
• 4733: Člen odebrán z místní skupiny zabezpečení
• 4741: Přidán účet počítače
• 4743: Odstraněný účet počítače
• 4753: Globální distribuční skupina byla odstraněna
• 4756: Člen přidán do univerzální skupiny zabezpečení
• 4757: Člen odebraný z univerzální skupiny zabezpečení
• 4758: Odstraněna univerzální skupina zabezpečení
• 4763: Odstraněná univerzální distribuční skupina
• 4776: Řadič domény se pokusil ověřit přihlašovací údaje pro účet (NTLM)
• 5136: Objekt adresářové služby byl změněn.
• 7045: Nainstalována nová služba
• 8004: Ověřování NTLM

Další informace naleznete v tématu Konfigurace auditování NTLM a Konfigurace auditování objektů domény.

Shromažďování událostí pro samostatné senzory

Pokud pracujete se samostatným senzorem Identity Defenderu, nakonfigurujte shromažďování událostí ručně pomocí jedné z následujících metod:

• Naslouchejte událostem zabezpečení a správy událostí (SIEM) v samostatném senzoru Defenderu for Identity. Defender for Identity podporuje přenosy protokolu UDP (User Datagram Protocol) ze systému SIEM nebo serveru syslog.
• Nakonfigurujte předávání událostí Windows do samostatného senzoru Defenderu for Identity. Při předávání dat syslogu do samostatného senzoru nezapomeňte nepřeposílat všechna data syslogu do senzoru.

Další informace najdete v dokumentaci k produktu pro váš systém SIEM nebo server syslog.

Další krok