Connettersi al servizio Defender for Identity

Ogni sensore Microsoft Defender per identità richiede la connettività Internet al servizio cloud Defender for Identity per segnalare i dati dei sensori e funzionare correttamente.

In alcune organizzazioni, i controller di dominio non sono connessi direttamente a Internet, ma sono connessi tramite una connessione proxy Web e i proxy di ispezione e intercettazione SSL non sono supportati per motivi di sicurezza. In questi casi, il server proxy deve consentire al traffico dei sensori di Defender per Identity di passare direttamente ai relativi URL senza intercettazioni.

Abilitare l'accesso agli URL del servizio Defender for Identity sul server proxy

Per garantire la massima sicurezza e privacy dei dati, Defender per identità usa l'autenticazione reciproca basata su certificati tra ogni sensore defender per identità e il back-end cloud defender per identità. L'ispezione SSL e l'intercettazione non sono supportate, perché questi comportamenti proxy interferiscono nel processo di autenticazione.

Per abilitare l'accesso a Defender per l'identità, assicurarsi di consentire il traffico verso l'URL del sensore, usando la sintassi seguente: <your-workspace-name>sensorapi.atp.azure.com. Ad esempio, contoso-corpsensorapi.atp.azure.com.

• Per ottenere il nome dell'area di lavoro, vedere la pagina Defender per le impostazioni di identità nel portale di Microsoft Defender.

• Se il proxy o il firewall usa elenchi consentiti espliciti, è anche consigliabile assicurarsi che siano consentiti gli URL seguenti:

  • crl.microsoft.com
  • ctldl.windowsupdate.com
  • www.microsoft.com/pkiops/*
  • www.microsoft.com/pki/*

• In alcuni casi, gli indirizzi IP del servizio Defender per identità possono cambiare. Se si configurano manualmente gli indirizzi IP o se il proxy risolve automaticamente i nomi DNS nel relativo indirizzo IP e li usa, è consigliabile verificare periodicamente che gli indirizzi IP configurati siano ancora aggiornati.

• Se il proxy è stato configurato in precedenza usando opzioni legacy, tra cui WiniNet o un aggiornamento della chiave del Registro di sistema, sarà necessario apportare eventuali modifiche usando il metodo usato in origine. Per altre informazioni, vedere Modificare la configurazione del proxy usando metodi legacy.

Abilitare l'accesso con un tag di servizio

Anziché abilitare manualmente l'accesso a endpoint specifici, scarica Azure IP Ranges and Service Tags - Public Cloud e usa gli intervalli di indirizzi IP contenuti nel tag di servizio Azure AzureAdvancedThreatProtection per abilitare l'accesso a Defender for Identity.

Per altre informazioni, vedere Tag del servizio di rete virtuale. Per le offerte del governo degli Stati Uniti, vedere Introduzione alle offerte del governo degli Stati Uniti.

Modificare la configurazione del proxy usando l'interfaccia della riga di comando

Prerequisiti: individuare il Microsoft.Tri.Sensor.Deployment.Deployer.exe file. Questo file si trova insieme all'installazione del sensore. Per impostazione predefinita, questa posizione è C:\Program Files\Azure Advanced Threat Protection Sensor\version number\

Per modificare la configurazione proxy del sensore corrente:

Microsoft.Tri.Sensor.Deployment.Deployer.exe ProxyUrl="http://myproxy.contoso.local" ProxyUserName="CONTOSO\myProxyUser" ProxyUserPassword="myPr0xyPa55w0rd"

Per rimuovere completamente la configurazione proxy del sensore corrente:

Microsoft.Tri.Sensor.Deployment.Deployer.exe ClearProxyConfiguration

Modificare la configurazione del proxy usando PowerShell

Prerequisiti: prima di eseguire i comandi PowerShell di Defender for Identity, assicurarsi di aver scaricato il modulo PowerShell di Defender for Identity.

È possibile visualizzare e modificare la configurazione del proxy per il sensore usando PowerShell. A tale scopo, accedere al server del sensore ed eseguire i comandi come illustrato negli esempi seguenti:

Per visualizzare la configurazione proxy del sensore corrente:

Get-MDISensorProxyConfiguration

Per modificare la configurazione proxy del sensore corrente:

Set-MDISensorProxyConfiguration -ProxyUrl 'http://proxy.contoso.com:8080'

Il comando precedente imposta la configurazione proxy per il Defender per il sensore di identità per l'uso del server proxy specificato senza credenziali.

Per rimuovere completamente la configurazione proxy del sensore corrente:

Clear-MDISensorProxyConfiguration

Per altre informazioni, vedere i riferimenti di PowerShell DefenderForIdentity seguenti:

• Get-MDISensorProxyConfiguration
• Set-MDISensorProxyConfiguration
• Clear-MDISensorProxyConfiguration

Modificare la configurazione del proxy usando metodi legacy

Se le impostazioni proxy sono state configurate in precedenza tramite WinINet o una chiave del Registro di sistema ed è necessario aggiornarle, è necessario usare il metodo corrispondente: aggiornare le impostazioni di WinINet tramite WinINet o aggiornare le impostazioni basate sul Registro di sistema tramite il Registro di sistema.

Durante la configurazione del proxy dalla riga di comando durante l'installazione si garantisce che solo il Defender per i servizi del sensore di identità comunichi tramite il proxy, usando WinINet o un registro di sistema consente ad altri servizi in esecuzione negli account LocalSystem o LocalService di indirizzare anche il traffico attraverso il proxy.

Configurare un server proxy usando WinINet

Quando si configura il proxy tramite WinINet, tenere presente che il servizio integrato del sensore di Defender per identità viene eseguito nel contesto di sistema usando l'account LocalService e che il servizio di aggiornamento del sensore di Defender per identità viene eseguito nel contesto di sistema usando l'account LocalSystem.

• Se usi WinHTTP per la configurazione del proxy, devi comunque configurare le impostazioni proxy del browser Windows Internet (WinINet) per la comunicazione tra il sensore e il servizio cloud Defender for Identity.

• Se si usa transparent proxy o WPAD nella topologia di rete, non è necessario configurare WinINet per il proxy.

Configurare un server proxy usando il Registro di sistema

La procedura seguente descrive come configurare manualmente un server proxy statico usando un proxy statico basato sul Registro di sistema.

Per configurare il proxy, copiare la configurazione del proxy nel contesto utente negli account LocalSystem e LocalService come indicato di seguito:

1. Eseguire il backup delle chiavi del Registro di sistema.

2. Nel Registro di sistema, cercare il valore DefaultConnectionSettings come REG_BINARY nella chiave di registro HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings e copiarlo.

3. Se LocalSystem non dispone delle impostazioni proxy corrette, copiare le impostazioni proxy da Current_User a LocalSystem, nella chiave di registro HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings.

   Assicurarsi di incollare il valore della Current_Userchiave del Registro di sistema come DefaultConnectionSettingsREG_BINARY .

   Ciò può verificarsi se le impostazioni proxy non sono configurate o se sono diverse da Current_User.

4. Se LocalService non ha le impostazioni proxy corrette, copiare le impostazioni proxy da Current_User a LocalService, nella chiave di registro HKU\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings.

   Assicurarsi di incollare il valore della Current_Userchiave del Registro di sistema come DefaultConnectionSettingsREG_BINARY .

Passaggio successivo