Implantar o Microsoft Defender para Identidade com o Microsoft Defender XDR
Este artigo fornece uma visão geral do processo de implantação completo do Microsoft Defender para Identidade, incluindo as etapas de preparação, implantação e etapas extras para cenários específicos.
O Defender para Identidade é um componente essencial em uma estratégia de Confiança Zero e da implantação de ITDR (detecção e resposta a ameaças de identidade) ou de XDR (detecção e resposta estendida) com o Microsoft Defender XDR. O Defender para Identidade usa sinais de seus servidores de Infraestrutura de Identidade, como controladores de domínio, servidores AD FS/AD CS e Entra Connect, para detectar ameaças como escalonamento de privilégios ou movimento lateral de alto risco, e relata problemas de identidade facilmente explorados, como delegação Kerberos irrestrita, para correção pela equipe de segurança.
Para ver um conjunto rápido de destaques da implantação, consulte Guia de instalação rápida.
Pré-requisitos
Antes de começar, verifique se você tem acesso ao Microsoft Defender XDR pelo menos como administrador da segurança e se você tem uma das seguintes licenças:
- Enterprise Mobility + Security E5 (EMS E5/A5)
- Microsoft 365 E5 (Microsoft E5/A5/G5)
- Microsoft 365 E5/A5/G5/F5* Security
- Segurança + Conformidade no Microsoft 365 F5*
- Uma licença autônoma do Defender para Identidade
* Ambas as licenças F5 requerem o Microsoft 365 F1/F3 ou Office 365 F3 e o Enterprise Mobility + Security E3.
Adquira licenças diretamente pelo portal do Microsoft 365 ou use o modelo de licenciamento CSP (Parceiro de Soluções na Nuvem).
Para obter mais informações, consulte Perguntas frequentes sobre licenciamento e privacidade e O que são funções e permissões do Defender para Identidade?
Começar a usar o Microsoft Defender XDR
Esta seção descreve como iniciar a integração ao Defender para Identidade.
- Inicie uma sessão no portal do Microsoft Defender.
- No menu de navegação, selecione qualquer item, como Incidentes & alertas, Busca, Central de ações ou Análise de ameaças para iniciar o processo de integração.
Então você terá a opção de implantar os serviços com suporte, incluindo o Microsoft Defender para Identidade. Os componentes de nuvem necessários para o Defender para Identidade são adicionados automaticamente quando você abre a página de configurações do Defender para Identidade.
Para saber mais, veja:
- Microsoft Defender para Identidade no Microsoft Defender XDR
- Introdução ao Microsoft Defender XDR
- Ativar o Microsoft Defender XDR
- Implantar serviços com suporte
- Perguntas frequentes sobre a ativação do Microsoft Defender XDR
Importante
No momento, os data centers do Defender para Identidade estão implantados na Europa, no Reino Unido, na Suíça, na América do Norte/América Central/Caribe, no Leste da Austrália, na Ásia e na Índia. Seu espaço de trabalho (instância) é criado automaticamente na região do Azure mais próxima da localização geográfica do locatário do Microsoft Entra. Depois de criados, os espaços de trabalho do Defender para Identidade não podem ser movidos.
Planejar e preparar
Use as seguintes etapas para se preparar para implantar o Defender para Identidade:
Verifique se você atende a todos os pré-requisitos necessários.
Dica
Recomendamos executar o script Test-MdiReadiness.ps1 para testar seu ambiente e descobrir se ele tem os pré-requisitos necessários.
O link para o script Test-MdiReadiness.ps1 também está disponível no Microsoft Defender XDR, na página Ferramentas de >Identidades (versão prévia).
Implantar o Defender para Identidade
Depois de preparar seu sistema, use as seguintes etapas para implantar o Defender para Identidade:
- Verifique a conectividade com o serviço do Defender para Identidade.
- Baixe o sensor do Defender para Identidade.
- Instale o sensor do Defender para Identidade.
- Configure o sensor do Defender para Identidade para começar a receber dados.
Configurações pós-implantação
Use os seguintes procedimentos para concluir o processo de implantação:
Configure a coleta de eventos do Windows. Para obter mais informações, consulte Coleta de eventos com o Microsoft Defender para Identidade e Configurar políticas de auditoria para logs de eventos do Windows.
Habilite e configure o RBAC (Controle de Acesso Baseado em Função) unificado para o Defender para Identidade.
Configure uma DSA (Conta de Serviço de Diretório) para usar com o Defender para Identidade. Embora uma DSA seja opcional em alguns cenários, recomendamos que você configure uma DSA para o Defender para Identidade a fim de obter a cobertura total de segurança. Por exemplo, quando você tem um DSA configurado, esse DSA é usado para conectar ao controlador de domínio na inicialização. Uma DSA também pode ser usada para consultar o controlador de domínio em busca de dados sobre entidades vistas no tráfego de rede, eventos monitorados e atividades do ETW monitoradas
Configure chamadas remotas para SAM, conforme necessário. Embora essa etapa seja opcional, recomendamos que você configure chamadas remotas para SAM-R para detecção de caminho de movimentação lateral com o Defender para Identidade.
Dica
Por padrão, os sensores do Defender para Identidade consultam o diretório usando LDAP nas portas 389 e 3268. Para alternar para LDAPS nas portas 636 e 3269, abra um caso de suporte. Para obter mais informações, veja Suporte do Microsoft Defender para Identidade.
Importante
A instalação de um sensor do Defender para Identidade em um servidor do AD FS/AD CS e Entra Connect requer etapas extras. Para obter mais informações, veja Configurar os sensores para AD FS, AD CS e Entra Connect.