Nastavení kontrol ověřených sítí v Microsoft Defender for Endpoint

Ověřené kontroly sítě poskytují způsob, jak bez agentů zjišťovat a vyhodnocovat zařízení síťové infrastruktury, jako jsou přepínače, směrovače, kontrolery wlan, brány firewall a brány VPN.

Další informace najdete v tématu Kontroly ověřené sítě.

Poznámka

Kontrola ověřená systémem Windows je od 18. prosince 2025 zastaralá. Další informace najdete v nejčastějších dotazech k vyřazení kontroly ověřené systémem Windows.

Požadavky

Ke konfiguraci úloh kontroly potřebujete oprávnění Spravovat nastavení zabezpečení v programu Defender . Další informace najdete v tématu Vytváření a správa rolí pro řízení přístupu na základě rolí.

Podporovaná zařízení

Všechna síťová zařízení, která reagují na dotazy SNMPv2 nebo SNMPv3, je možné zjistit ověřenými síťovými kontrolami. Doporučujeme nakonfigurovat kontrolu všech síťových zařízení bez ohledu na dodavatele nebo operační systém.

Podporované verze Windows pro skener

Skener je podporován v Windows 10 verze 1903 a Windows Server verze 1903 a novější. Další informace najdete v tématech Windows 10 verze 1903 a Windows Server verze 1903.

Poznámka

Na jednoho tenanta můžete nainstalovat až 40 skenerů.

Vybrat zařízení skeneru

Výběr zařízení, které provádí kontroly ověřené sítě:

• Rozhodněte se o zařízení (klienta nebo serveru) defenderu for Endpoint, které má síťové připojení k portu pro správu síťových zařízení, která plánujete kontrolovat.

• Povolte provoz PROTOKOLU SNMP mezi zařízením pro kontrolu defenderu for Endpoint a cílovými síťovými zařízeními (například bránou firewall).

• Rozhodněte, u kterých síťových zařízení se posuzují ohrožení zabezpečení (například přepínač Cisco nebo brána firewall Palo Alto Networks).

• Ujistěte se, že je na všech nakonfigurovaných síťových zařízeních povolený protokol SNMP jen pro čtení, aby se zařízení pro kontrolu defenderu for Endpoint mohlo dotazovat na nakonfigurovaná síťová zařízení. SNMP write není potřeba pro správnou funkčnost této funkce.

• Získejte IP adresy síťových zařízení, která se mají zkontrolovat (nebo podsítě, ve kterých jsou tato zařízení nasazená).

• Získejte přihlašovací údaje SNMP síťových zařízení (například Community String, noAuthNoPriv, authNoPriv, authPriv). Při konfiguraci nové úlohy kontroly musíte zadat přihlašovací údaje.

• Konfigurace klienta proxy serveru: Kromě požadavků na proxy zařízení defenderu for Endpoint není nutná žádná další konfigurace.

• Pokud chcete, aby byl skener ověřený a správně fungoval, přidejte následující domény nebo adresy URL:

  • *.security.microsoft.com
  • *.mdiot.microsoft.com
  • login.microsoftonline.com
  • *.blob.core.windows.net/networkscannerstable/*

  Poznámka

  Ne všechny adresy URL jsou zadané v seznamu povoleného shromažďování dat v programu Defender for Endpoint.

Instalace skeneru

1. Na portálu Microsoft Defender vyberte Nastavení>Zjišťování> zařízeníOvěřené kontroly.

2. Stáhněte si skener a nainstalujte ho na určené skenovací zařízení Defender for Endpoint.

   

Registrace skeneru

Registraci můžete dokončit na určeném skenovacím zařízení nebo jiném zařízení (například na osobním klientském zařízení).

Účet, pomocí kterého se uživatel přihlašuje, a zařízení použité k dokončení procesu přihlášení musí být ve stejném tenantovi, ve kterém je zařízení nasazené do Microsoft Defender for Endpoint.

Postup dokončení procesu registrace skeneru:

1. Zkopírujte a postupujte podle adresy URL, která se zobrazí na příkazovém řádku, a pomocí poskytnutého instalačního kódu dokončete proces registrace. Možná budete muset změnit nastavení příkazového řádku, aby se adresa URL zkopírovala.

2. Zadejte kód a přihlaste se pomocí účtu Microsoft, který má oprávnění Spravovat nastavení zabezpečení v programu Defender .

Po dokončení by se měla zobrazit zpráva s potvrzením, že jste se přihlásili.

Poznámka

Naplánovaná úloha, která hledá aktualizace, se spouští pravidelně. Při spuštění úloha porovná verzi skeneru na klientském zařízení s verzí agenta v umístění aktualizace. Umístění aktualizace je místo, kde systém Windows hledá aktualizace, například ve sdílené síťové složce nebo z internetu.

Pokud mezi těmito dvěma verzemi existuje rozdíl, proces aktualizace určí, které soubory se liší a které je potřeba aktualizovat v místním počítači. Po určení požadovaných aktualizací se spustí stahování aktualizací.

Konfigurace nové ověřené kontroly sítě

1. Na portálu Microsoft Defender vyberte Nastavení>Zjišťování> zařízeníOvěřené kontroly.

2. Vyberte Přidat novou kontrolu , zvolte Kontrola ověřená síťovým zařízením a vyberte Další.

   

3. Vyberte, jestli chcete aktivovat kontrolu.

4. Zadejte název kontroly.

5. Vyberte Skenovací zařízení: Onboardované zařízení, které používáte ke kontrole síťových zařízení.

6. Zadejte Cíl (rozsah): Rozsahy IP adres nebo názvy hostitelů, které chcete zkontrolovat. Můžete zadat adresy nebo importovat soubor CSV. Import souboru přepíše všechny ručně přidané adresy.

7. Vyberte Interval kontroly: Ve výchozím nastavení se kontrola spouští každé čtyři hodiny. Interval procházení můžete změnit nebo ho můžete spustit jenom jednou, a to výběrem možnosti Neopakovat.

8. Vyberte metodu ověřování.

   K zadání přihlašovacích údajů můžete vybrat možnost Použít azure KeyVault: Pokud přihlašovací údaje spravujete v Azure KeyVault, můžete zadat adresu URL Azure KeyVault a Azure název tajného klíče KeyVault, ke které má skenovací zařízení přístup, a zadat přihlašovací údaje. Hodnota tajného kódu závisí na zvolené metodě, jak je popsáno v následující tabulce:

   Metoda ověřování	Azure hodnotu tajného klíče KeyVault
   AuthPriv	Username; AuthPassword; PrivPassword
   AuthNoPriv	Username; AuthPassword
   CommunityString	CommunityString

9. Výběrem možnosti Další spusťte nebo přeskočte testovací kontrolu.

10. Výběrem možnosti Další zkontrolujte nastavení a výběrem možnosti Odeslat vytvořte novou kontrolu ověřeného síťového zařízení.

Poznámka

Pokud chcete zabránit duplikaci zařízení v inventáři síťových zařízení, ujistěte se, že každá IP adresa je nakonfigurovaná jenom jednou na více skenovaných zařízeních.

Kontrola a přidání síťových zařízení

Během procesu instalace můžete provést jednorázovou testovací kontrolu a ověřit, že:

• Mezi zařízením pro kontrolu defenderu for Endpoint a nakonfigurovaným cílovým síťovým zařízením existuje připojení.
• Nakonfigurované přihlašovací údaje protokolu SNMP jsou správné.

Každé skenovací zařízení může podporovat až 1 500 úspěšných prohledávání IP adres. Pokud například prohledáte 10 různých podsítí, kde pouze 100 IP adres vrací úspěšné výsledky, můžete z jiných podsítí na stejném skenovacím zařízení zkontrolovat dalších 1 400 IP adres.

Pokud je potřeba zkontrolovat více rozsahů IP adres nebo podsítí, výsledky testovací kontroly se zobrazí několik minut. Testovací kontrola je k dispozici až pro 1 024 adres.

Při zobrazení výsledků můžete zvolit, která zařízení se mají zahrnout do pravidelné kontroly. Pokud přeskočíte zobrazení výsledků kontroly, všechny nakonfigurované IP adresy se přidají do kontroly ověřené síťovým zařízením (bez ohledu na odpověď zařízení). Výsledky kontroly je také možné exportovat.

Zobrazení síťových zařízení v inventáři zařízení

Nově zjištěná zařízení se zobrazí v inventáři zařízení na nové kartě Síťová zařízení . Po přidání úlohy skenování může trvat až dvě hodiny, než se zařízení aktualizují.