Vyhodnocení a pilotní Microsoft Defender XDR zabezpečení

  • Článek

Platí pro:

  • Microsoft Defender XDR

Jak tato řada článků funguje

Tato série je navržená tak, aby vás prošla celým procesem nastavení zkušebního prostředí XDR od konce do konce, abyste mohli vyhodnotit funkce a možnosti Microsoft Defender XDR a dokonce povýšit zkušební prostředí přímo do produkčního prostředí, až budete připravení.

Pokud se o zabezpečení XDR začínáte zamýšlet, můžete si projít 7 odkazovaných článků v této sérii, abyste získali přehled o tom, jak komplexní řešení je.

Co je XDR a Microsoft Defender XDR?

Zabezpečení XDR je krokem vpřed v kybernetickém zabezpečení, protože přebírá data o hrozbách ze systémů, které byly dříve izolované, a sjednocuje je, abyste viděli vzory a mohli s nimi rychleji pracovat.

Microsoft XDR například na jednom místě sjednocuje zabezpečení koncových bodů (detekce koncových bodů a odpověď nebo EDR), e-mailu, aplikací a identit.

Microsoft Defender XDR je řešení XDR (eXtended Detection and Response), které automaticky shromažďuje, koreluje a analyzuje data o signálech, hrozbách a výstrahách z prostředí Microsoftu 365, včetně koncových bodů, e-mailů, aplikací a identit. Využívá umělou inteligenci (AI) a automatizaci k automatickému zastavení útoků a nápravě ovlivněných prostředků do bezpečného stavu.

Doporučení Microsoftu pro vyhodnocení zabezpečení Microsoft Defender XDR

Microsoft doporučuje vytvořit hodnocení v existujícím produkčním předplatném Office 365. Díky tomu okamžitě získáte přehledy z reálného světa a budete moct vyladit nastavení tak, aby fungovala proti aktuálním hrozbám ve vašem prostředí. Poté, co jste získali zkušenosti a jste obeznámeni s platformou, jednoduše propagujte jednotlivé komponenty, jednu po druhé, do produkčního prostředí.

Anatomie útoku na kybernetickou bezpečnost

Microsoft Defender XDR je cloudová sjednocená podniková sada ochrany před porušením zabezpečení a po něm. Koordinuje prevenci, detekci, šetření a reakce napříč koncovými body, identitami, aplikacemi, e-maily, aplikacemi pro spolupráci a všemi jejich daty.

Na tomto obrázku probíhá útok. Phishingový e-mail přijde do složky Doručená pošta zaměstnance ve vaší organizaci, který nevědomky otevře přílohu e-mailu. Tím se nainstaluje malware, což vede k řetězu událostí, které můžou končit krádeží citlivých dat. V tomto případě ale funguje Defender pro Office 365.

Různé pokusy o útok

Na obrázku:

  • Exchange Online Protection, která je součástí Microsoft Defender pro Office 365, dokáže rozpoznat phishingový e-mail a použít pravidla toku pošty (označovaná také jako pravidla přenosu), aby se ujistila, že nikdy nedorazí do složky Doručená pošta.
  • Defender pro Office 365 pomocí bezpečných příloh otestuje přílohu a zjistí, jestli je škodlivá, takže doručená pošta buď není ze strany uživatele použitelná, nebo zásady brání tomu, aby pošta vůbec přišla.
  • Defender for Endpoint spravuje zařízení, která se připojují k podnikové síti, a zjišťuje ohrožení zabezpečení zařízení a sítě, která by jinak mohla být zneužita.
  • Defender for Identity bere na vědomí náhlé změny účtu, jako je eskalace oprávnění nebo vysoce rizikový laterální pohyb. Také hlásí problémy s snadno zneužítelnými identitami, jako je nekonvrénované delegování protokolu Kerberos, a opravuje ho bezpečnostní tým.
  • Microsoft Defender for Cloud Apps si všimne neobvyklého chování, jako je například nemožné cestování, přístup k přihlašovacím údajům nebo neobvyklá aktivita stahování, sdílení souborů nebo přeposílání pošty, a ohlásí je týmu zabezpečení.

Microsoft Defender XDR komponenty zabezpečí zařízení, identitu, data a aplikace

Microsoft Defender XDR se skládá z těchto bezpečnostních technologií, které fungují společně. Všechny tyto komponenty nepotřebujete k tomu, abyste mohli využívat možnosti XDR a Microsoft Defender XDR. Prostřednictvím jednoho nebo dvou také dosáhnete výhod a efektivity.

Součást Popis Referenční materiál
Microsoft Defender for Identity Microsoft Defender for Identity používá signály služby Active Directory k identifikaci, detekci a vyšetřování pokročilých hrozeb, ohrožených identit a škodlivých akcí insiderů zaměřených na vaši organizaci. Co je Microsoft Defender for Identity?
Exchange Online Protection Exchange Online Protection je nativní cloudová služba pro přenos a filtrování protokolu SMTP, která pomáhá chránit vaši organizaci před spamem a malwarem. přehled Exchange Online Protection (EOP) – Office 365
Microsoft Defender pro Office 365 Microsoft Defender pro Office 365 chrání vaši organizaci před škodlivými hrozbami, které představují e-mailové zprávy, odkazy (adresy URL) a nástroje pro spolupráci. Microsoft Defender pro Office 365 – Office 365
Microsoft Defender for Endpoint Microsoft Defender for Endpoint je sjednocená platforma pro ochranu zařízení, detekci po porušení zabezpečení, automatizované vyšetřování a doporučenou reakci. Microsoft Defender for Endpoint – Zabezpečení Windows
Microsoft Defender for Cloud Apps Microsoft Defender for Cloud Apps je komplexní řešení napříč SaaS, které vašim cloudovým aplikacím přináší hlubokou viditelnost, silnou kontrolu dat a vylepšenou ochranu před hrozbami. Co je Defender for Cloud Apps?
Microsoft Entra ID Protection Microsoft Entra ID Protection vyhodnocuje data rizik z miliard pokusů o přihlášení a používá je k vyhodnocení rizika každého přihlášení do vašeho prostředí. Tato data používají Microsoft Entra ID k povolení nebo zabránění přístupu k účtu v závislosti na konfiguraci zásad podmíněného přístupu. Microsoft Entra ID Protection je licencována odděleně od Microsoft Defender XDR. Je součástí Microsoft Entra ID P2. Co je Identity Protection?

Microsoft Defender XDR architektura

Následující diagram znázorňuje architekturu vysoké úrovně pro klíčové komponenty a integrace Microsoft Defender XDR. V této řadě článků najdete podrobnou architekturu jednotlivých komponent Defenderu a scénáře použití.

Architektura portálu Microsoft Defender na vysoké úrovni

Na tomto obrázku:

  • Microsoft Defender XDR kombinuje signály ze všech komponent Defenderu, aby poskytovaly rozšířenou detekci a odezvu (XDR) napříč doménami. To zahrnuje sjednocenou frontu incidentů, automatizovanou reakci na zastavení útoků, samoopravení (pro ohrožená zařízení, identity uživatelů a poštovní schránky), proaktivní vyhledávání křížových hrozeb a analýzu hrozeb.
  • Microsoft Defender pro Office 365 chrání vaši organizaci před škodlivými hrozbami, které představují e-mailové zprávy, odkazy (adresy URL) a nástroje pro spolupráci. Signály, které z těchto aktivit vyplývají, sdílí s Microsoft Defender XDR. Exchange Online Protection (EOP) je integrovaný, aby poskytoval komplexní ochranu příchozích e-mailů a příloh.
  • Microsoft Defender for Identity shromažďuje signály ze serverů se službou AD FS (Active Directory Federated Services) a místní Active Directory Doménové služby (AD DS). Tyto signály používá k ochraně prostředí hybridní identity, včetně ochrany před hackery, kteří používají ohrožené účty k laterálně přesunu mezi pracovními stanicemi v místním prostředí.
  • Microsoft Defender for Endpoint shromažďuje signály ze zařízení používaných vaší organizací a chrání je.
  • Microsoft Defender for Cloud Apps shromažďuje signály z používání cloudových aplikací ve vaší organizaci a chrání tok dat mezi vaším prostředím a těmito aplikacemi, včetně schválených i neschválaných cloudových aplikací.
  • Microsoft Entra ID Protection vyhodnocuje data rizik z miliard pokusů o přihlášení a používá je k vyhodnocení rizika každého přihlášení do vašeho prostředí. Tato data používají Microsoft Entra ID k povolení nebo zabránění přístupu k účtu v závislosti na konfiguraci zásad podmíněného přístupu. Microsoft Entra ID Protection je licencována odděleně od Microsoft Defender XDR. Je součástí Microsoft Entra ID P2.

Microsoft SIEM a SOAR můžou používat data z Microsoft Defender XDR

Další volitelné komponenty architektury, které nejsou součástí tohoto obrázku:

  • Podrobná data signálu ze všech komponent Microsoft Defender XDR je možné integrovat do služby Microsoft Sentinel a kombinovat s dalšími zdroji protokolování, abyste mohli nabídnout úplné funkce a přehledy siem a SOAR.
  • Další informace o používání služby Microsoft Sentinel( Azure SIEM) s Microsoft Defender XDR jako XDR najdete v tomto článku s přehledem a postupem integrace služby Microsoft Sentinel a Microsoft Defender XDR.
  • Další informace o funkci SOAR ve službě Microsoft Sentinel (včetně odkazů na playbooky v úložišti Microsoft Sentinel na GitHubu) najdete v tomto článku.

Proces hodnocení Microsoft Defender XDR kybernetické bezpečnosti

Microsoft doporučuje povolit komponenty Microsoftu 365 v zobrazeném pořadí:

Proces hodnocení na vysoké úrovni na portálu Microsoft Defender

Následující tabulka popisuje tento obrázek.

Sériové číslo Krok Popis
1 Vytvoření prostředí vyhodnocení Tento krok zajistí, že máte zkušební licenci pro Microsoft Defender XDR.
2 Povolení Služby Defender for Identity Projděte si požadavky na architekturu, povolte vyhodnocení a projděte si kurzy pro identifikaci a nápravu různých typů útoků.
3 Povolit Defender pro Office 365 Ujistěte se, že splňujete požadavky na architekturu, povolte vyhodnocení a pak vytvořte pilotní prostředí. Tato komponenta zahrnuje Exchange Online Protection, takže obě komponenty zde skutečně vyhodnotíte.
4 Povolení Defenderu pro koncový bod Ujistěte se, že splňujete požadavky na architekturu, povolte vyhodnocení a pak vytvořte pilotní prostředí.
5 Povolit Microsoft Defender for Cloud Apps Ujistěte se, že splňujete požadavky na architekturu, povolte vyhodnocení a pak vytvořte pilotní prostředí.
6 Prošetřování hrozeb a reakce na ně Simulujte útok a začněte používat možnosti reakce na incidenty.
7 Propagace zkušební verze na produkční verzi Povyšte komponenty Microsoftu 365 do produkčního prostředí po jednom.

Toto pořadí se obvykle doporučuje a navrhuje tak, aby rychle využilo hodnotu schopností na základě toho, kolik úsilí je obvykle potřeba k nasazení a konfiguraci funkcí. Například Defender pro Office 365 je možné nakonfigurovat za kratší dobu, než je potřeba k registraci zařízení v Defenderu for Endpoint. Samozřejmě byste měli upřednostnit komponenty tak, aby vyhovovaly vašim obchodním potřebám, a můžete je povolit v jiném pořadí.

Přechod na další krok

Seznamte se s prostředím pro vyhodnocení Microsoft Defender XDR nebo ho vytvořte.

Tip

Chcete se dozvědět více? Spojte se s komunitou zabezpečení společnosti Microsoft v naší technické komunitě: Technická komunita Microsoft Defender XDR.