Überprüfen Sie die Sensorbereitstellung auf Domänencontrollern

Verwenden Sie die folgenden Verfahren, um zu überprüfen, ob Ihre Sensoren funktionieren.

Überprüfen Sie die Identity Security-Dashboard

1. Wählen Sie im Defender-Portal Identitäten>Dashboard aus, und überprüfen Sie die angezeigten Details. Prüfen Sie in Ihrer Umgebung, ob die erwarteten Ergebnisse erzielt werden. Weitere Informationen finden Sie unter Identity Security Dashboard.

Bestätigen von Entitätsdaten im Defender-Portal

1. Wählen Sie im Defender-Portal Assets > Devices und dann den Computer für Ihren neuen Sensor aus. Vergewissern Sie sich, dass Defender for Identity-Ereignisse auf dem Gerät Zeitleiste angezeigt werden.

2. Wählen Sie Assets > Benutzer aus und suchen Sie nach Benutzern aus einer neu eingebundenen Domäne. Sie können auch die globale Suche verwenden, um bestimmte Benutzer zu finden. Bestätigen Sie, dass die Seiten mit Benutzerdetails die Daten Übersicht, In der Organisation beobachtet und Zeitverlauf enthalten.

3. Verwenden Sie die globale Suche, um eine Benutzergruppe zu finden, oder navigieren Sie von einer Benutzer- oder Gerätedetailseite, auf der Gruppendetails angezeigt werden. Prüfen Sie die Details zur Gruppenmitgliedschaft, die Benutzer der Gruppe und die Zeitachsendaten der Gruppe.

   Wenn keine Ereignisdaten in der Gruppe Zeitleiste gefunden werden, müssen Sie einige möglicherweise manuell erstellen. Fügen Sie beispielsweise Benutzer in Active Directory hinzu, und entfernen Sie sie aus der Gruppe.

Weitere Informationen finden Sie unter Untersuchen von Ressourcen.

Daten in Tabellen mit erweiterter Suche überprüfen

Verwenden Sie erweiterte Suchabfragen, um zu bestätigen, dass Sensordaten in die erwarteten Tabellen geschrieben werden.

1. Führen Sie auf der Seite Erweiterte Suche im Defender-Portal die folgenden Abfragen aus, um zu überprüfen, ob Daten in den erwarteten Tabellen angezeigt werden:

   IdentityDirectoryEvents
   | where TargetDeviceName contains "DC_FQDN" // insert domain controller FQDN
   
   IdentityInfo 
   | where AccountDomain contains "domain" // insert domain
   
   IdentityQueryEvents 
   | where DeviceName contains "DC_FQDN" // insert domain controller FQDN
   

Weitere Informationen finden Sie unter Erweiterte Suche im Microsoft Defender-Portal.

Test von ISPM-Empfehlungen (Identity Security Posture Management)

Es wird empfohlen, risikobehaftetes Verhalten in einer Testumgebung zu simulieren, um unterstützte Bewertungen auszulösen und zu überprüfen, ob sie wie erwartet angezeigt werden. Zum Beispiel:

1. Lösen Sie eine neue Empfehlung zur Auflösung unsicherer Domänenkonfigurationen aus, indem Sie Ihre Active Directory-Konfiguration auf einen nicht konformen Zustand festlegen und dann in einen konformen Zustand zurücksetzen. Führen Sie beispielsweise die folgenden Befehle aus:

   Einen nicht konformen Zustand festlegen

   Set-ADObject -Identity ((Get-ADDomain).distinguishedname) -Replace @{"ms-DS-MachineAccountQuota"="10"}
   

   Um es wieder in einen konformen Zustand zu versetzen:

   Set-ADObject -Identity ((Get-ADDomain).distinguishedname) -Replace @{"ms-DS-MachineAccountQuota"="0"}
   

   So überprüfen Sie Ihre lokale Konfiguration:

   Get-ADObject -Identity ((Get-ADDomain).distinguishedname) -Properties ms-DS-MachineAccountQuota
   

2. Wählen Sie unter Microsoft-Sicherheitsbewertung die Option Empfohlene Aktionen aus, um nach einer neuen Empfehlung zur Auflösung unsicherer Domänenkonfigurationen zu suchen. Möglicherweise möchten Sie Empfehlungen nach dem Defender for Identity-Produkt filtern.

Weitere Informationen finden Sie unter Sicherheitsstatusbewertungen von Microsoft Defender for Identity.

Testen der Warnungsfunktionalität

Simulieren Sie riskante Aktivitäten in einer Testumgebung, um zu überprüfen, ob Warnungen wie erwartet ausgelöst werden. Zum Beispiel:

1. Markieren Sie ein Konto als Honeytoken-Konto, und versuchen Sie dann, sich über den aktivierten Domänencontroller beim Honeytoken-Konto anzumelden.

2. Erstellen Sie einen verdächtigen Dienst auf Ihrem Domänencontroller.

3. Führen Sie einen Remotebefehl auf Ihrem Domänencontroller als Administrator aus, der von Ihrer Arbeitsstation angemeldet ist.

4. Vergewissern Sie sich, dass die erwarteten Warnungen im Defender-Portal angezeigt werden.

Weitere Informationen finden Sie unter Untersuchen von Sicherheitswarnungen von Defender for Identity in Microsoft Defender.

Testen von Wiederherstellungsaktionen

Testen Sie Abhilfemaßnahmen an einem Testbenutzer. Zum Beispiel:

1. Navigieren Sie im Defender-Portal zur Seite mit den Benutzerdetails für einen Testbenutzer.

2. Wählen Sie im Menü Optionen eine der verfügbaren Wartungsaktionen aus.

3. Überprüfen Sie Active Directory auf die erwartete Aktivität.

Weitere Informationen finden Sie unter Wartungsaktionen in Microsoft Defender for Identity.

Nächste Schritte

Weitere Informationen finden Sie unter Verwalten und Aktualisieren von Microsoft Defender for Identity-Sensoren.