Conceder acesso ao fornecedor de serviços de segurança gerida (MSSP) (pré-visualização)

  • Artigo

Aplica-se a:

Quer experimentar o Defender para Ponto Final? Inscrever-se para uma avaliação gratuita.

Importante

Algumas informações estão relacionadas com o produto pré-lançado que pode ser substancialmente modificado antes de ser lançado comercialmente. A Microsoft não oferece garantias, expressas ou implícitas, em relação às informações aqui fornecidas.

Para implementar uma solução de acesso delegado multi-inquilino, siga os seguintes passos:

  1. Ative o controlo de acesso baseado em funções no Defender para Endpoint e ligue-se a grupos do Active Directory (AD).

  2. Configure Pacotes de Acesso de Governação para pedido de acesso e aprovisionamento.

  3. Gerir pedidos de acesso e auditorias no Microsoft Myaccess.

Ativar controlos de acesso baseados em funções no Microsoft Defender para Endpoint

  1. Create grupos de acesso para recursos MSSP no AAD do Cliente: Grupos

    Estes grupos estão ligados às Funções que criar no Defender para Endpoint. Para tal, no inquilino do AD do cliente, crie três grupos. Na nossa abordagem de exemplo, criamos os seguintes grupos:

    • Analista da Camada 1
    • Analista da Camada 2
    • Aprovadores de Analistas do MSSP

  2. Create funções do Defender para Ponto Final para níveis de acesso adequados no Customer Defender para Endpoint.

    Para ativar o RBAC no portal Microsoft Defender cliente, aceda a Definições > Funções de Permissões de Pontos Finais >> e "Ativar funções", a partir de uma conta de utilizador com direitos de Administrador Global ou Administrador de Segurança.

    Em seguida, crie funções RBAC para satisfazer as necessidades do Escalão SOC do MSSP. Ligue estas funções aos grupos de utilizadores criados através de "Grupos de utilizadores atribuídos".

    Duas funções possíveis:

    • Analistas da Camada 1

      Efetue todas as ações exceto a resposta em direto e faça a gestão das definições de segurança.

    • Analistas da Camada 2

      Capacidades da Camada 1 com a adição à resposta em direto

    Para obter mais informações, veja Utilizar o controlo de acesso baseado em funções.

Configurar Pacotes de Acesso de Governação

  1. Adicionar o MSSP como Organização Ligada no AAD do Cliente: Governação de Identidades

    Adicionar o MSSP como uma organização ligada permite que o MSSP peça e tenha acessos aprovisionados.

    Para tal, no inquilino do AD do cliente, aceda a Governação de Identidade: Organização ligada. Adicione uma nova organização e procure o seu inquilino do Analista MSSP através do ID de Inquilino ou domínio. Sugerimos que crie um inquilino do AD separado para os analistas do MSSP.

  2. Create um catálogo de recursos no AAD do Cliente: Governação de Identidades

    Os catálogos de recursos são uma coleção lógica de pacotes de acesso, criada no inquilino do AD do cliente.

    Para tal, no inquilino do AD do cliente, aceda a Governação de Identidades: Catálogos e adicione Novo Catálogo. No nosso exemplo, chama-se Acessos MSSP.

    A nova página do catálogo

    Para obter mais informações, veja Create um catálogo de recursos.

  3. Create pacotes de acesso para recursos do MSSP– AAD do Cliente: Governação de Identidades

    Os pacotes de acesso são a coleção de direitos e acessos que um requerente é concedido após a aprovação.

    Para tal, no inquilino do AD do cliente, aceda a Governação de Identidade: Pacotes de Acesso e adicione Novo Pacote de Acesso. Create um pacote de acesso para os aprovadores do MSSP e cada escalão de analista. Por exemplo, a seguinte configuração do Analista de Camada 1 cria um pacote de acesso que:

    • Requer que um membro do grupo do AD MSSP Analyst Approvers autorize novos pedidos
    • Tem revisões de acesso anuais, em que os analistas do SOC podem pedir uma extensão de acesso
    • Só pode ser pedido por utilizadores no Inquilino do SOC do MSSP
    • O Access expira automaticamente após 365 dias

    A página Novo pacote de acesso

    Para obter mais informações, veja Create um novo pacote de acesso.

  4. Fornecer ligação de pedido de acesso aos recursos do MSSP a partir do AAD do Cliente: Governação de Identidades

    A ligação do portal O Meu Acesso é utilizada pelos analistas do SOC do MSSP para pedir acesso através dos pacotes de acesso criados. A ligação é durável, o que significa que a mesma ligação pode ser utilizada ao longo do tempo para novos analistas. O pedido do analista entra numa fila para aprovação pelos Aprovadores de Analistas do MSSP.

    A página Propriedades

    A ligação está localizada na página de descrição geral de cada pacote de acesso.

Gerir o acesso

  1. Reveja e autorize pedidos de acesso em Myaccess do Cliente e/ou MSSP.

    Os pedidos de acesso são geridos no cliente O Meu Acesso, por membros do grupo Aprovadores de Analistas do MSSP.

    Para tal, aceda ao myaccess do cliente com: https://myaccess.microsoft.com/@<Customer Domain>.

    Exemplo: https://myaccess.microsoft.com/@M365x440XXX.onmicrosoft.com#/

  2. Aprovar ou negar pedidos na secção Aprovações da IU.

    Neste momento, o acesso dos analistas foi aprovisionado e cada analista deve conseguir aceder ao portal de Microsoft Defender do cliente:https://security.microsoft.com/?tid=<CustomerTenantId>

Sugestão

Quer saber mais? Engage com a comunidade de Segurança da Microsoft na nossa Comunidade Tecnológica: Microsoft Defender para Endpoint Tech Community.