Pianificare la capacità per la distribuzione di Microsoft Defender per identità

Usa lo strumento di dimensionamento di Microsoft Defender per identità per determinare se i server del controller di dominio dispongono di risorse sufficienti a supportare un sensore Microsoft Defender per identità v2. Prima di eseguire lo strumento di ridimensionamento, vedere la sezione Prerequisiti più avanti in questo articolo.

Sebbene le prestazioni del controller di dominio possano non essere compromesse se il server non dispone delle risorse necessarie, il sensore di Defender for Identity potrebbe non funzionare come previsto. Per altre informazioni, vedere Prerequisiti di Microsoft Defender per identità.

Lo strumento di dimensionamento misura la capacità necessaria solo per i controller di dominio. Non è necessario eseguirlo su server che sono solo AD FS, AD CS o Entra Connect (a meno che tali server non funzionino anche come controller di dominio), poiché l'impatto sulle prestazioni su questi server è estremamente minimo o inesistente.

Prerequisiti

Prima di eseguire lo strumento di ridimensionamento, completare i prerequisiti seguenti:

• Scarica lo strumento di dimensionamento di Defender for Identity.
• Esamina i prerequisiti di Defender per Identità. Lo strumento di ridimensionamento Microsoft Defender per identità attualmente si applica solo alla versione del sensore 2.x.

Per garantire risultati accurati, esegui lo strumento di dimensionamento solo prima di aver installato eventuali sensori di Defender for Identity nel tuo ambiente.

Usa lo strumento di ridimensionamento

1. Eseguire lo strumento di dimensionamento di Defender for Identity, TriSizingTool.exe, dal file ZIP scaricato.

2. Al termine dell'esecuzione dello strumento, aprire i risultati del file di Excel.

3. Nel file di Excel, individuare e selezionare il foglio Azure ATP Summary, quindi controllare la colonna Sensor Supported per verificare i risultati che indicano se il server è supportato.

   Ad esempio:

   

   Nota

   L'altro foglio nel file viene utilizzato per la pianificazione di Advanced Threat Analytics (ATA) e non è necessario per Defender for Identity.

Lo strumento di ridimensionamento determina se il server è supportato in base al valore Busy Packets/Second , calcolato in base ai 15 minuti più trafficati in un periodo di 24 ore.

I risultati comuni includono:

Ad esempio, l'immagine seguente mostra una serie di risultati in cui Forse indica che il valore Pacchetti occupati/sec in quel punto è significativamente superiore alla media. Notare che l'opzione Visualizza gli orari del DC come UTC/locale è impostata su Ora locale del controller di dominio. Questa impostazione consente di evidenziare il fatto che i valori sono stati acquisiti intorno alle 3:30.

Dimensionamento stimato del sensore di Defender for Identity

La tabella seguente illustra la capacità stimata di CPU e RAM necessaria per un sensore Defender per identità, in base alla quantità tipica di traffico di rete generato da un controller di dominio.

Questa tabella è una stima. La quantità finale analizzata dal sensore dipende dalla quantità di traffico e dalla distribuzione del traffico.

In questa tabella:

• La capacità di CPU e RAM si riferisce al consumo del sensore, non alla capacità del controller di dominio.

• La capacità della CPU non include i core virtuali creati tramite Hyper-Threading. È consigliabile non usare core configurati con hyiperthreading, il che può causare problemi di integrità nel sensore Defender per identità.

Quando si determina il dimensionamento, tenere presente il numero totale di core e la quantità totale di memoria che verrà usata dal servizio sensore.

Stima manuale del dimensionamento per i controller di dominio

Se non è possibile usare lo strumento di dimensionamento di Defender for Identity descritto in precedenza in questo articolo, è possibile stimare manualmente se i server del controller di dominio dispongono di risorse sufficienti per un sensore Defender for Identity.

Raccogliere manualmente le informazioni sul contatore del pacchetto/secondo da tutti i controller di dominio, per 24 ore con un intervallo di raccolta basso, ad esempio 5 secondi. Per ogni controller di dominio, calcolare la media giornaliera e la media del periodo più occupato (15 minuti).

Diversi strumenti possono aiutarti a individuare il contatore medio dei pacchetti al secondo del tuo controller di dominio. Questa procedura descrive un esempio di come usare Monitor prestazioni per raccogliere dati del contatore pacchetti al secondo per i controller di dominio.

1. Apri Monitoraggio prestazioni ed espandi Set di raccolta dati.

2. Fare clic con il pulsante destro del mouse su Definito dall'utente e scegliere Nuovo > set di agenti di raccolta dati.

3. Immettere un nome significativo per il set di raccolta e selezionare Crea manualmente (avanzato).

4. In Tipo di dati da includere selezionare Crea log dati e Contatore delle prestazioni.

5. Espandere Scheda di rete , quindi selezionare Pacchetti/sec e l'area di lavoro pertinente. Se non si è certi dell'area di lavoro da selezionare, selezionare <Tutte le aree di lavoro>. Selezionare Aggiungi>OK per completare il passaggio.

   In alternativa, se si esegue questo passaggio dalla riga di comando, eseguire ipconfig /all per visualizzare il nome e la configurazione dell'adattatore.

6. Impostare l'intervallo di campionamento su cinque secondi e definire la posizione in cui salvare i dati.

7. In Crea il set di agenti di raccolta dati selezionare Avvia il set di agenti di raccolta dati ora>Fine.

   Dovresti ora vedere il set di raccolta dati che hai creato, con un triangolo verde a indicare che è in esecuzione.

8. Dopo 24 ore, arrestare il set di raccolta dati. Fare clic con il pulsante destro del mouse sul set di raccolta dati e selezionare Arresta.

9. In Esplora file passare alla cartella in cui è stato salvato il file blg. Fare doppio clic su di esso per aprirlo in Monitor prestazioni.

10. Selezionare il contatore Pacchetti/sec e registrare i valori medi e massimi.

Passaggio successivo