Valider le déploiement de capteurs sur les contrôleurs de domaine

Utilisez les procédures suivantes pour vérifier que vos capteurs fonctionnent.

Remarque

La première fois que vous activez le capteur sur votre contrôleur de domaine, l’affichage du capteur en cours d’exécution sur la page Capteurs peut prendre jusqu’à une heure. Les activations suivantes s’affichent dans les cinq minutes.

Consultez le tableau de bord de la sécurité des identités

  1. Dans le portail Defender, sélectionnez Identités>Tableau de bord, puis passez en revue les détails affichés. Vérifiez les résultats attendus dans votre environnement. Pour plus d’informations, consultez Tableau de bord Identity Security.

Confirmer les données d’entité dans le portail Defender

  1. Dans le portail Defender, sélectionnez Ressources > Appareils, puis sélectionnez l’appareil pour votre nouveau capteur. Vérifiez que les événements Defender for Identity s’affichent dans la chronologie de l’appareil.

  2. Sélectionnez Ressources > Utilisateurs et vérifiez la présence d’utilisateurs provenant d’un domaine récemment intégré. Vous pouvez également utiliser la recherche globale pour rechercher des utilisateurs spécifiques. Vérifiez que les pages de détails de l’utilisateur incluent les données Vue d’ensemble, Observé dans l’organisation et Chronologie.

  3. Utilisez la recherche globale pour trouver un groupe d’utilisateurs, ou accédez-y depuis la page de détails d’un utilisateur ou d’un appareil, où les détails du groupe sont affichés. Vérifiez les détails de l’appartenance au groupe, les utilisateurs du groupe et les données de chronologie de groupe.

    Si aucune donnée d’événement n’est disponible dans la chronologie du groupe, vous devrez peut-être en créer manuellement. Par exemple, ajoutez et supprimez des utilisateurs du groupe dans Active Directory.

Pour plus d’informations, consultez Examiner les ressources.

Vérifier les données dans les tables de repérage avancé

Utilisez des requêtes de repérage avancées pour vérifier que les données du capteur sont écrites dans les tables attendues.

  1. Dans la page Repérage avancé du portail Defender, exécutez les requêtes suivantes pour vérifier que les données apparaissent dans les tables attendues :

    IdentityDirectoryEvents
| where TargetDeviceName contains "DC_FQDN" // insert domain controller FQDN

IdentityInfo 
| where AccountDomain contains "domain" // insert domain

IdentityQueryEvents 
| where DeviceName contains "DC_FQDN" // insert domain controller FQDN

Pour plus d’informations, consultez Repérage avancé dans le portail Microsoft Defender.

Tester les recommandations ISPM (Identity Security Posture Management)

Nous recommandons de simuler un comportement à risque dans un environnement de test pour déclencher les évaluations prises en charge et vérifier que ces évaluations sont conformes aux attentes. Par exemple :

  1. Déclenchez une nouvelle recommandation Résoudre les configurations de domaine non sécurisées en définissant votre configuration Active Directory sur un état non conforme, puis en la ramenant à un état conforme. Par exemple, exécutez les commandes suivantes :

    Pour définir un état non conforme

    Set-ADObject -Identity ((Get-ADDomain).distinguishedname) -Replace @{"ms-DS-MachineAccountQuota"="10"}

    Pour le retourner à un état conforme :

    Set-ADObject -Identity ((Get-ADDomain).distinguishedname) -Replace @{"ms-DS-MachineAccountQuota"="0"}

    Pour vérifier votre configuration locale :

    Get-ADObject -Identity ((Get-ADDomain).distinguishedname) -Properties ms-DS-MachineAccountQuota

  2. Dans Niveau de sécurité Microsoft, sélectionnez Actions recommandées pour vérifier s’il existe une nouvelle recommandation Résoudre les configurations de domaine non sécurisées. Vous souhaiterez peut-être filtrer les recommandations par produit Defender for Identity.

Pour plus d’informations, consultez Évaluations de la posture de sécurité de Microsoft Defender pour Identity

Fonctionnalité d’alerte de test

Simuler une activité à risque dans un environnement de test pour vérifier que les alertes sont déclenchées comme prévu. Par exemple :

  1. Marquez un compte en tant que compte honeytoken, puis essayez de vous connecter au compte honeytoken sur le contrôleur de domaine activé.

  2. Créez un service suspect sur votre contrôleur de domaine.

  3. Exécutez une commande à distance sur votre contrôleur de domaine en tant qu’administrateur connecté à partir de votre station de travail.

  4. Vérifiez que les alertes attendues s’affichent dans le portail Defender.

Pour plus d’informations, consultez Examiner les alertes de sécurité Defender for Identity dans Microsoft Defender.

Tester les actions de correction

Tester les actions de correction sur un utilisateur de test. Par exemple :

  1. Dans le portail Defender, accédez à la page des détails de l’utilisateur pour un utilisateur de test.

  2. Dans le menu Options , sélectionnez l’une des actions de correction disponibles.

  3. Recherchez l’activité attendue dans Active Directory.

Pour plus d’informations, consultez Actions de correction dans Microsoft Defender pour Identity.

Étapes suivantes

Pour plus d’informations, consultez Gérer et mettre à jour les capteurs Microsoft Defender pour Identity.

  • Last updated on