Yeni Defender sunucu güvenlik deneyimi

  • Şunlara uygulanır: Microsoft Defender for Endpoint Plan 2

Yeni Defender sunucu güvenlik deneyimi, Defender for Endpoint ve Defender for Servers'ı Microsoft Defender portalında bir araya getiriyor. Sunucu korumasını yönetmek ve tehditleri bulut ile uç nokta bilgileri tek bir yerde araştırmak için kullanın.

Bu genel önizleme, Azure ortamlarını ve şirket içi sunucuları kapsar. Sürüm özeti için Yenilikler bölümüne bakın.

Bu sayfada: Sunucu varlık sayfası | Bir olayı araştırın | Av başlatın | .

Zaten Defender for Endpoint çalıştıran sunucular

Zaten Defender for Endpoint çalıştıran sunucular mevcut yapılandırmalarıyla çalışmaya devam ediyor. Mevcut korumalarını korumak için onları sisteme dahil etmeniz, yeniden yüklemeniz veya taşımanız gerekmez. Konfigürasyonunuzu değiştirmeden önce her birleşik özellik için gereksinimleri gözden geçirin.

Yeni sunucuları sisteme alın

Yeni dağıtımlar için, otomatik veya manuel dağıtım yöntemini seçmek ve eklemeyi doğrulamak üzere Sunucuları Microsoft Defender’a ekleme bölümüne bakın.

On-premises sunucuları Defender for Servers'a bağlamak için bkz. Connect on-premises servers to Defender for Servers.

Sunucu varlık sayfasını inceleyin

Sunucu varlık sayfası, aynı sunucu için mevcut bulut kaynağı ve uç nokta cihazı bilgilerini bir araya getirir, ayrı inceleme sayfaları gerektirmez.

  1. Microsoft Defender'da, sunucuyla ilgili bir uyarı açın ve sunucunun menüsünden Varlık sayfasını aç seçin. Bir olay grafiğinden sunucu düğümünün menüsünü açın ve Varlık detayları seçeneğini seçin.
  2. Uç nokta cihaz kimliğini ve varsa Azure kaynak kimliğini kontrol edin. Sunucuyu sadece isimle tanımlamayın.
  3. Sunucunun kimliğini, katılım durumunu ve mevcut kaynak ile işletim sistemi detaylarını gözden geçirin.
  4. Son nokta aktivitesini incelemek için Open device timeline'ı seçin veya ilgili olayları araştırmak için Go hunt'u seçin.

Kayıtlar tekrarlanmış veya yanlış eşleşmiş görünüyorsa, işlem yapmadan önce her iki tanımlayıcıyı da kontrol edin. Mevcut bağlam bağlı veri kaynaklarına bağlıdır; manuel onboarding ise Azure kaynağı oluşturmaz.

Yanıt eylemleri izinlerinize, platforma ve sunucunun durumuna bağlıdır. İş yükünü etkileyebilecek bir eylemi yapmadan önce desteklenen cihaz yanıt yönergelerini kullanın.

Uyarıları ve olayları araştırma

Bir sunucuyu incelemek için inceleme verilerine erişiminiz gerekir ve sunucunun ilgili bir uyarı veya olay kaydı içermesi gerekir.

  1. Sunucuyla ilgili bir insident açın ve saldırı grafiğini inceleyin.
  2. Sunucu düğümünü seçin. Bağlantılı bulut ve uç nokta kayıtlarına sahip bir sunucu için, graf tek bir sunucu kimliği ve inceleme menüsü sağlar.
  3. Düğüme sağ tıklayın veya ilgili düğümün üç nokta menüsünü açın. Bağlam için Varlık ayrıntıları, ilgili algılamaları incelemek için ilgili uyarıları pinlemek veya faaliyeti araştırmak için Go hunt seçin.
  4. İlgili bir uyarı açın ve sunucu bağlantısını takip edin. Bir yanıt eylemini değerlendirmeden önce aynı sunucu kimliğine yönlendirdiğini doğrulayın.

Bulut ve uç nokta uyarıları, tek bir uyarı haline gelmeden aynı sunucuya atıfta bulunabilir. Paylaşılan bir varlık kimliği, her uyarının tek bir olayda gruplandığını garanti etmez.

Go hunt'ı kullanın

Sorgulanan verilere erişmek için gelişmiş tehdit araştırması erişimine sahip olmanız gerekir. Bir varlık sayfasını açabilmek, tüm arama tablolarına erişim sağlamaz.

  1. Olay grafiğinden, sunucu düğümünün menüsünü açın ve Go hunt seçin. Sunucunun uyarısı veya varlık bağlamından da, uygun olan yerlerde bu işlemi kullanabilirsiniz.
  2. Tüm etkinlik, İlgili uyarılar veya Tüm mevcut sorguları gör seçeneklerinden birini seçin, ardından ihtiyacınız olan sorguyu seçin.
  3. Oluşturulan sorguyu ve sonuçlarını gelişmiş avlanmada inceleyin. Go Hunt, oluşturulan sorguyu sadece inceleme için göstermek yerine otomatik olarak çalıştırabilir.
  4. Sorgu hedef alınan sunucuyu hedefliyor mu kontrol edin. Her iki kimlik de mevcut olduğunda, ilgili uç nokta cihazının ve bulut kaynağının tanımlayıcılarını, seçilen tabloları ve zaman aralığını inceleyin.
  5. Başka bir zaman penceresini incelemek için, sorgunun zaman damgası filtresini ayarlayın ve tekrar çalıştırın. Sorgu ifadelerinde UTC kullanın.
  6. İlgili sonuçları açın, onların zaman damgalarını uyarıyla karşılaştırın ve soruşturmaya devam etmek için vakaya geri dönün.

Belirli bir uç nokta etkinliği için, Cihaz zaman çizelgesini açın, etkinliği seçin ve varsa İlgili etkinlikleri ara seçeneğini kullanın. Bu, tüm sunucudan başlamak yerine o olayın etrafında arama yapar.

Tüm etkinlikler, her veri kaynağının dahil edildiğini garanti etmez. Sonuçlar boş veya eksikse, sorgu filtrelerini, mevcut tabloları, saklamayı, uç nokta raporlamasını ve veri izinlerinizi kontrol edin. Boş bir sorgu sonucu sunucunun etkilenmediğini göstermez. Go hunt sorgu davranışı için sorgu ayarlama yönergelerine bakın.

RBAC ve sunucu erişimini doğrulayın

Roller, bir kişinin ne yapabileceğini tanımlar; kapsamlar ise hangi verilere erişebileceğini belirler.

Denetim Purpose
Microsoft Entra kullanıcı grubu Erişim alan kişileri, örneğin sunucu operasyon ekibini tanımlar.
Defender RBAC rolü Seçili öğeye okuma, soruşturma, müdahale veya yönetim izinleri verir.
Cihaz grubu Uç noktaları gruplar ve atanan Entra kullanıcı grupları aracılığıyla verilerine erişim kontrol edilir. Ayrıca otomatik iyileştirme davranışını da ayarlayabilir.
Bulut kapsamı Bulut verisi erişimi için Azure abonelikleri gibi bulut ortamlarını gruplandırır. Azure RBAC'tan ayrıdır.

Hem bulut hem de uç nokta verilerinde temsil edilen bir sunucu için, ilgili bulut kapsamını ve ilgili cihaz grubunu yapılandırın. Bir cihaz grubunu bulut kapsamına bağlamak, sunucu üyeliğini hizalar; rol atamalarını değiştirmez veya kullanıcılara tek başına erişim tanımaz. Mevcut yalnızca uç nokta içeren dağıtımlar, yalnızca çalışmaya devam etmek için bulut bağlantısına ihtiyaç duymaz.

Takımın izinlerini ata

Kiracınızda etkin olan izin modelini kullanın. Sadece bu rehberi takip etmek için farklı bir modeli aktive etmeyin.

Microsoft Defender birleşik RBAC kullanan kiracılar için, bir Güvenlik Yöneticisi veya gerekli delege edilmiş Yetkilendirme izinlerine sahip bir yönetici şunları yapabilir:

  1. İzinler>Microsoft Defender XDR>Roller'i açın ve uygun rolü oluşturun veya düzenleyin.
  2. Ekibin ihtiyaç duyduğu izinleri seçin. Soruşturma erişimini yanıt ve yönetim izinlerinden ayrı tutun.
  3. Ekibin Microsoft Entra güvenlik grubu ve gerekli veri kaynakları için bir atama ekleyin. Sadece Defender for Endpoint verilerine erişim Defender for Cloud verilerine erişim sağlamaz.
  4. Bulut verileri için, amaçlanan bulut kapsamlarını seçin. Ödevi gözden geçirin ve gönderin.

Tam sihirbaz için Özel roller oluştur adımını izleyin. Önceki Endpoint modelini kullanan kiracılar Defender for Endpoint RBAC kullanmalı; mevcut roller bu deneyimle değiştirilmez.

Bir sunucu cihaz grubu tanımlayın

Sunuculara erişim yönetimi için cihaz koşulları veya mevcut bulut kapsamları kullanılarak bir cihaz grubu oluşturun. Başlamadan önce, atamak istediğiniz Microsoft Entra kullanıcı gruplarının uygun rol tabanlı erişim kontrol (RBAC) rollerine sahip olduğundan emin olun.

  1. Microsoft Defender portalında, Settings>Endpoints>Permissions>Device groups bölümüne gidin.

  2. Cihaz grubu ekle seçeneğini seçin veya mevcut bir grubu düzenleyin. Tanımlayıcı bir isim girin ve otomatik iyileştirme seviyesini gözden geçirin.

  3. Devices sayfasında, grubu nasıl dolduracağınızı seçin:

    Option Description
    Koşullar kullanılarak tanımlayın Sunucuları cihaz adı, alan adı, etiketler veya işletim sistemi platformu gibi desteklenen cihaz nitelikleriyle eşleştirin.
    Bu grubu doldurmak üzere bulut kapsamlarını seçin Bir veya daha fazla mevcut bulut kapsamını seçin. Tüm seçili kapsamlardaki cihazlar dahildir. (önizleme)

  4. Devam etmeden önce Sonraki seçeneğini seçin ve eşleşen cihazları Önizleme cihazları sayfasında inceleyin.

  5. Kullanıcı erişimi sayfasında, erişimi olması gereken Microsoft Entra kullanıcı gruplarını seçin ve ardından Gönder'i seçin.

  6. Grubun üyeliğini ve erişim atamalarını gözden geçirin. Koşul tabanlı gruplar için, grup sıralamasını gözden geçirin: birden fazla koşul tabanlı grupla eşleşen bir cihaz en yüksek sıralı gruba aittir.

Not:

Bulut kapsamı üyelik, seçilen kapsamlardaki tüm cihazları kapsar. Seçilen kapsamları gözden geçirerek grubun yalnızca amaçlanan cihazları içerdiğinden emin olun.

Bulut kapsamını ve cihaz grubunu eşitlemek

  1. Gerekirse, Azure kapsamını Sistem>İzinler>Microsoft Defender XDR>Kapsamlar>Bulut kapsamı ekle altında oluşturun. Bağlanan Azure aboneliklerini seçin.
  2. Ekibin bulut veri izinlerini bu kapsama atayın, ardından cihaz grubunun Cihazlar adımında onu seçin.
  3. Ekibin uç nokta rolünü ve cihaz grubu kullanıcı erişimi atamasını yerinde tutun. Her iki veri kaynağına erişimi doğrulayın.

Kapsam aktivasyonu gerekiyorsa Bulut kapsamlarını yönet yönergesini izleyin. Aktivasyon geri döndürülemez bir yapılandırma değişikliğidir: devam etmeden önce mevcut atamaları ve aktivasyon sihirbazını gözden geçirin.

Bulut kapsamı bağlantısı, seçilen kapsamın içeriği değiştikçe cihaz üyeliğini güncelliyor. Yeni bağlanan ortamlar otomatik olarak bulut kapsamına eklenmez. Azure ortamı eklerken kapsam üyeliğini gözden geçirin.

Etkili erişimi kontrol edin

Sıradan analist hesaplarıyla test yapın, sadece Güvenlik Yöneticisi hesabı değil; geniş yönetici erişimi kapsam hatalarını gizleyebilir. Bir ekran filtresi görünümü daraltır, ancak izinlerin yerine geçmez.

Kontrol Gerekli sonuç
Kullanıcıya atanmış erişim kapsamında bir sunucu açın Amaçlanan sunucu ve izin verilen veriler mevcuttur.
Bir uyarı veya olaydan varlığa ve tehdit avcılığına geçiş yapın Sunucu kimliği doğru kalıyor ve erişim uygun kalıyor.
Kapsam dışı bir sunucuyu açma girişimi Kısıtlı veriler ve eylemler hâlâ erişilemez.
Bir yanıt veya yapılandırma eylemini kontrol edin Bu işlem yalnızca yetkili bir kullanıcıya açıktır; sadece erişimi test etmek için bozucu eylemler gerçekleştirmeyin.

Beklenen erişim eksikse, rol izinlerini, veri kaynağı atamalarını, Entra grup üyeliğini, cihazın etkili grubunu ve bulut kapsamını kontrol edin. Bir analist amaçlanmayan sunucu verilerini görürse, dağıtımı genişletmeden önce diğer rol atamalarını ve geniş erişimi gözden geçirin.

Sunucu korumasını kaldır

Otomatik Azure offboarding ve diğer desteklenen offboarding yöntemleri için Offboard devices sayfasına bakınız.

İlgili içerik

  • Son güncelleştirme: