Nowe doświadczenie bezpieczeństwa serwerów Defender

  • Dotyczy: Microsoft Defender for Endpoint Plan 2

Nowe doświadczenie bezpieczeństwa serwerów Defender łączy Defender for Endpoint oraz Defender for Servers w portalu Microsoft Defender. Wykorzystaj go do zarządzania ochroną serwerów i analizowania zagrożeń za pomocą informacji o chmurze i punktach końcowych w jednym miejscu.

Ta publiczna wersja zapoznawcza obejmuje środowiska Azure oraz serwery lokalne. Zobacz Co nowego, aby poznać podsumowanie wydania.

Na tej stronie: | Zbadaj incydent | Wyszukaj | RBAC i grupy urządzeń.

Serwery już z uruchomionym Defender for Endpoint

Serwery, na których działa już Defender for Endpoint, nadal działają ze swoją istniejącą konfiguracją. Nie musisz ich wdrażać, ponownie instalować ani migrować, aby utrzymać ich obecną ochronę. Przejrzyj wymagania dla każdej ujednoliconej funkcji przed zmianą konfiguracji.

Przejrzyj stronę zasobów serwera

Strona zasobów serwera gromadzi dostępne informacje o zasobach chmurowych i urządzeniach końcowych dla tego samego serwera, zamiast wymagać oddzielnych stron analizy.

  1. W Microsoft Defender otwórz alert dotyczący serwera i wybierz opcję Open asset page w menu serwera. Z grafu incydentów otwórz menu węzła serwera i wybierz Szczegóły zasobów.
  2. Sprawdź identyfikator urządzenia końcowego oraz, jeśli jest dostępny, identyfikator zasobu Azure. Nie identyfikuj serwera tylko po nazwie.
  3. Sprawdź tożsamość serwera, status onboardingu oraz dostępne zasoby i szczegóły dotyczące systemu operacyjnego.
  4. Wybierz Otwórz oś czasu urządzenia, aby sprawdzić aktywność na punkcie końcowym, lub Przejdź do wyszukiwania zagrożeń, aby zbadać powiązane zdarzenia.

Jeśli rekordy są powielone lub nieprawidłowo dopasowane, sprawdź oba identyfikatory przed podjęciem działań. Dostępny kontekst zależy od powiązanych źródeł danych; ręczne wdrażanie nie tworzy zasobu Azure.

Działania odpowiedzi zależą od Twoich uprawnień, platformy i stanu serwera. Skorzystaj ze wskazówek dotyczących reakcji dla obsługiwanych urządzeń, zanim podejmiesz działanie, które mogłoby wpłynąć na obciążenie.

Badanie alertów i zdarzeń

Aby zbadać serwer, potrzebujesz dostępu do jego danych dochodzenia, a serwer musi mieć powiązane powiadomienie lub incydent.

  1. Utwórz incydent z udziałem serwera i przejrzyj jego graf ataku.
  2. Wybierz węzeł serwera. Dla serwera z powiązanymi rekordami chmurowymi i rekordami punktów końcowych wykres zapewnia jedną tożsamość serwera i menu analizy.
  3. Kliknij prawym przyciskiem myszy na węzeł lub otwórz jego menu z wielokropkami. Wybierz Szczegóły zasobów, aby uzyskać kontekst, Przypnij powiązane alerty, aby sprawdzić powiązane wykrycia, lub Rozpocznij wyszukiwanie, aby zbadać aktywność.
  4. Otwórz powiązane powiadomienie i przejdź za pomocą jego linku do serwera. Potwierdź, że prowadzi do tej samej tożsamości serwera, zanim rozważysz działanie w odpowiedzi.

Alerty dotyczące chmury i punktów końcowych mogą odnosić się do tego samego serwera, nie stając się pojedynczym alertem. Wspólny identyfikator zasobu nie gwarantuje, że każdy alert jest zgrupowany w jednym incydencie.

Użyj aplikacji Go hunt

Potrzebujesz dostępu do zaawansowanego wyszukiwania do danych objętych zapytaniem. Możliwość otwarcia strony zasobów nie daje dostępu do wszystkich tabel poszukiwań.

  1. Z wykresu incydentów otwórz menu węzła serwera i wybierz Go hunt. Możesz też użyć akcji z alertu serwera lub kontekstu zasobów tam, gdzie jest dostępna.
  2. Wybierz Wszystkie aktywności, Powiązane alerty lub Zobacz wszystkie dostępne zapytania, a następnie wybierz potrzebne zapytanie.
  3. Sprawdź wygenerowane zapytanie i jego wyniki w Advanced hunting. Go hunt może automatycznie wykonać wygenerowane zapytanie, zamiast tylko wyświetlać je do przeglądu.
  4. Sprawdź, czy zapytanie jest skierowane do zamierzonego serwera. Gdy dostępne są obie tożsamości, przejrzyj ich identyfikatory urządzenia końcowego i zasobów chmurowych, wybrane tabele oraz przedział czasowy.
  5. Aby zbadać inne okno czasowe, dostosuj filtr znaczników czasu zapytania i uruchom je ponownie. Używaj UTC w wyrażeniach zapytań.
  6. Otwórz odpowiednie wyniki, porównaj ich znaczniki czasu z alertem i wróć do incydentu, aby kontynuować śledztwo.

W przypadku określonego zdarzenia punktu końcowego otwórz oś czasu urządzenia, wybierz zdarzenie i użyj Wyszukaj powiązane zdarzenia, jeśli jest dostępne. To przeszukuje obszar wokół tego wydarzenia, zamiast zaczynać od całego serwera.

Cała aktywność nie gwarantuje, że każde źródło danych zostanie uwzględnione. Jeśli wyniki są puste lub niepełne, sprawdź filtry zapytań, dostępne tabele, retencję, raportowanie punktów końcowych oraz uprawnienia do danych. Pusty wynik zapytania nie potwierdza, że serwer pozostaje nienaruszony. Zobacz Go hunt query behavior, aby uzyskać wskazówki dotyczące dostosowania zapytań.

Weryfikacja RBAC i dostępu do serwera

Role określają, co dana osoba może robić; zakresy określają, do jakich danych ma dostęp.

Control Purpose
Grupa użytkowników Microsoft Entra Identyfikuje osoby otrzymujące dostęp, takie jak zespół operacyjny serwera.
Rola RBAC usługi Defender Przyznaje wybrane uprawnienia do odczytu, dochodzenia, reagowania lub administracji.
Grupa urządzeń Grupuje punkty końcowe i kontroluje dostęp do ich danych za pośrednictwem przypisanych grup użytkowników Entra. Może także ustawić zachowanie automatycznej remediacji.
Zakres chmury Grupuje wybrane środowiska chmurowe, takie jak subskrypcje Azure, dla dostępu do danych w chmurze. Jest to niezależne od Azure RBAC.

Dla serwera reprezentowanego zarówno w chmurze, jak i w danych punktów końcowych, skonfiguruj odpowiedni zakres chmury i grupę urządzeń. Połączenie grupy urządzeń z zakresem chmury dostosowuje przynależność serwera; nie zastępuje przypisań ról ani nie daje użytkownikom dostępu samodzielnie. Istniejące wdrożenia tylko na punktach końcowych nie potrzebują połączenia z chmurą, aby nadal działać.

Przypisz zespołowi uprawnienia

Użyj modelu uprawnień aktywnego w Twojej dzierżawie. Nie aktywuj innego modelu tylko po to, by podążać za tym przewodnikiem.

Dla najemców korzystających z zunifikowanego modelu RBAC Microsoft Defender, administrator zabezpieczeń lub administrator posiadający wymagane uprawnienia delegowane Authorization może:

  1. Otwórz Uprawnienia>Microsoft Defender XDR>Role i utwórz lub edytuj odpowiednią rolę.
  2. Wybierz uprawnienia, których potrzebuje zespół. Zachowaj dostęp do dochodzeń oddzielnie od uprawnień do reagowania i administracji.
  3. Dodaj przypisanie dla grupy zabezpieczeń Microsoft Entra zespołu oraz wymagane źródła danych. Sam dostęp do danych Defender for Endpoint nie daje dostępu do danych Defender dla Chmury.
  4. Dla danych chmurowych wybierz docelowe zakresy w chmurze. Przejrzyj i prześlij zadanie.

Postępuj zgodnie z Utwórz role niestandardowe, aby otworzyć pełny kreator. Najemcy nadal korzystający z poprzedniego modelu punktu końcowego powinni korzystać z Defender for Endpoint RBAC; istniejące role nie są zastępowane przez to rozwiązanie.

Zdefiniuj grupę urządzeń serwerowych

Stwórz grupę urządzeń do zarządzania dostępem do serwerów na podstawie warunków urządzenia lub istniejących zakresów chmury. Zanim zaczniesz, upewnij się, że grupy użytkowników Microsoft Entra, którym chcesz przypisać role, mają odpowiednie role kontroli dostępu opartej na rolach (RBAC).

  1. W portalu Microsoft Defender przejdź do Ustawień>Punkty końcowe>Uprawnienia>Grupy urządzeń.

  2. Wybierz Dodaj grupę urządzeń lub edytuj istniejącą grupę. Wpisz opisową nazwę i przejrzyj poziom automatycznej remediacji.

  3. Na stronie Urządzenia wybierz sposób wypełnienia grupy:

    Option Description
    Definiowanie przy użyciu warunków Dopasowywanie serwerów za pomocą obsługiwanych atrybutów urządzeń, takich jak nazwa urządzenia, domena, tagi lub platforma operacyjna.
    Wybierz zakresy chmury, aby uzupełnić tę grupę Wybierz co najmniej jeden istniejący zakres chmury. Uwzględnione są urządzenia ze wszystkich wybranych zakresów. (wersja zapoznawcza)

  4. Wybierz Dalej i przejrzyj dopasowane urządzenia na stronie Podglądu urządzeń , zanim będziesz kontynuować.

  5. Na stronie Dostęp użytkownika wybierz grupy użytkowników Microsoft Entra, które powinny mieć dostęp, a następnie wybierz Prześlij.

  6. Przejrzyj członkostwo grupy i przydziały dostępu. W przypadku grup opartych na warunkach przejrzyj ranking grup: urządzenie, które spełnia warunki wielu grup opartych na warunkach, należy do grupy o najwyższym rankingu.

Uwaga

Członkostwo zakresu chmury obejmuje wszystkie urządzenia z wybranych zakresów. Przejrzyj wybrane zakresy, aby upewnić się, że grupa obejmuje tylko zamierzone urządzenia.

Wyrównaj zakres chmury i grupę urządzeń

  1. Jeśli to konieczne, utwórz zakres Azure w obszarze System>Uprawnienia>Microsoft Defender XDR>Zakresy>Dodaj zakres chmury. Wybierz docelowe powiązane subskrypcje Azure.
  2. Przypisz uprawnienia zespołu do danych w chmurze do tego zakresu, a następnie wybierz go w kroku Urządzenia grupy urządzeń.
  3. Zachowaj rolę punktu końcowego zespołu oraz przypisanie dostępu użytkownika do grupy urządzeń. Sprawdź dostęp do obu źródeł danych.

Skorzystaj z Zarządzaj zakresami chmurowymi, jeśli wymagana jest aktywacja zakresu. Aktywacja to nieodwracalna zmiana konfiguracji: przed kontynuowaniem przejrzyj istniejące przypisania i kreator aktywacji.

Połączenie zakresu chmury aktualizuje członkostwo urządzenia wraz ze zmianą zawartości wybranego zakresu. Nowo połączone środowiska nie są automatycznie dodawane do zakresu chmury. Przejrzyj członkostwo w zakresie przy dodawaniu środowiska Azure.

Sprawdź efektywny dostęp

Testuj na zwykłych kontach analityków, nie tylko na koncie administratora bezpieczeństwa; szeroki dostęp administratora może ukryć błędy w określeniu zakresu. Filtr wyświetlania zawęża widok, ale nie zastępuje systemu uprawnień.

Sprawdź Wymagany wynik
Otwórz serwer w zakresie uprawnień przypisanych użytkownikowi Dostępny jest docelowy serwer oraz dozwolone dane.
Przejdź od alertu lub incydentu do zasobu i wyszukiwania zagrożeń Tożsamość serwera pozostaje poprawna, a dostęp jest odpowiedni.
Próba otwarcia serwera poza zakresem działania Ograniczone dane i działania pozostają niedostępne.
Sprawdź odpowiedź lub akcję konfiguracyjną Działanie jest dostępne tylko dla upoważnionego użytkownika; nie wykonuj działań zakłócających tylko po to, by przetestować dostęp.

Jeśli brakuje oczekiwanego dostępu, sprawdź uprawnienia ról, przypisania źródeł danych, członkostwo w grupie Entra, efektywną grupę urządzenia oraz zakres w chmurze. Jeśli analityk zauważy dane serwera widoczne nieumyślnie, przejrzyj inne przypisania ról i szeroki dostęp przed rozszerzeniem wdrożenia.

Usuń ochronę serwera

Zobacz wycofywanie urządzeń, aby poznać automatyczne wycofywanie z platformy Azure i inne obsługiwane metody wycofywania.

Treści powiązane

  • Ostatnia aktualizacja o