Convalidare la distribuzione del sensore nei controller di dominio

Usare le procedure seguenti per verificare che i sensori funzionino.

Controllare il dashboard di Identity Security

1. Nel portale di Defender, seleziona Identità>Dashboard e rivedi i dettagli visualizzati. Controlla i risultati previsti nel tuo ambiente. Per altre informazioni, vedere Dashboard di Sicurezza delle identità.

Confermare i dati delle entità nel portale di Defender

1. Nel portale di Defender, seleziona Asset > Dispositivi e seleziona la macchina per il nuovo sensore. Confermare che gli eventi di Defender for Identity vengano visualizzati nella timeline del dispositivo.

2. Selezionare Risorse > Utenti e verificare se sono presenti utenti di un dominio aggiunto di recente. È anche possibile usare il ricerca globale per trovare utenti specifici. Confermare che le pagine dei dettagli dell'utente includano i dati di Panoramica, Osservati nell'organizzazione e Cronologia.

3. Usa la ricerca globale per trovare un gruppo di utenti oppure passa dalla pagina dei dettagli di un utente o di un dispositivo, in cui sono mostrati i dettagli del gruppo. Confermare i dettagli dell'appartenenza al gruppo, gli utenti del gruppo e i dati della sequenza temporale del gruppo.

   Se non vengono trovati dati sugli eventi nella sequenza temporale del gruppo, potrebbe essere necessario crearne alcuni manualmente. Ad esempio, aggiungere e rimuovere utenti dal gruppo in Active Directory.

Per altre informazioni, vedere Analizzare gli asset.

Verificare i dati nelle tabelle di ricerca avanzata

Usare query di ricerca avanzate per verificare che i dati del sensore vengano scritti nelle tabelle previste.

1. Nella pagina Ricerca avanzata del portale di Defender eseguire le query seguenti per verificare che i dati vengono visualizzati nelle tabelle previste:

   IdentityDirectoryEvents
   | where TargetDeviceName contains "DC_FQDN" // insert domain controller FQDN
   
   IdentityInfo 
   | where AccountDomain contains "domain" // insert domain
   
   IdentityQueryEvents 
   | where DeviceName contains "DC_FQDN" // insert domain controller FQDN
   

Per altre informazioni, vedere Ricerca avanzata nel portale di Microsoft Defender.

Testa le raccomandazioni di Identity Security Posture Management (ISPM)

È consigliabile simulare un comportamento rischioso in un ambiente di test per attivare le valutazioni supportate e verificare che vengano visualizzate come previsto. Ad esempio:

1. Attivare una nuova raccomandazione Risolvi configurazioni di dominio non sicure impostando la configurazione di Active Directory su uno stato non conforme e quindi restituendola a uno stato conforme. Ad esempio, eseguire i comandi seguenti:

   Per impostare uno stato non conforme

   Set-ADObject -Identity ((Get-ADDomain).distinguishedname) -Replace @{"ms-DS-MachineAccountQuota"="10"}
   

   Per restituirlo a uno stato conforme:

   Set-ADObject -Identity ((Get-ADDomain).distinguishedname) -Replace @{"ms-DS-MachineAccountQuota"="0"}
   

   Per controllare la configurazione locale:

   Get-ADObject -Identity ((Get-ADDomain).distinguishedname) -Properties ms-DS-MachineAccountQuota
   

2. In Microsoft Secure Score selezionare Azioni consigliate per verificare la disponibilità di una nuova raccomandazione risolvere le configurazioni di dominio non sicure . Potresti voler filtrare le raccomandazioni in base al prodotto Defender for Identity.

Per altre informazioni, vedi valutazioni della postura di sicurezza di Microsoft Defender per l'identità

Funzionalità di avviso di test

Simulare l'attività rischiosa in un ambiente di test per verificare che gli avvisi vengano attivati come previsto. Ad esempio:

1. Contrassegna un account come account honeytoken, quindi prova ad accedere all'account honeytoken autenticandoti tramite il controller di dominio attivato.

2. Creare un servizio sospetto nel controller di dominio.

3. Esegui un comando remoto sul controller di dominio come amministratore connesso dalla tua workstation.

4. Verificare che gli avvisi previsti vengano visualizzati nel portale di Defender.

Per altre informazioni, vedi Analizzare gli avvisi di sicurezza di Defender for Identity in Microsoft Defender.

Azioni di correzione dei test

Testare le azioni di correzione in un utente di test. Ad esempio:

1. Nel portale di Defender passare alla pagina dei dettagli utente per un utente di test.

2. Dal menu Opzioni selezionare una delle azioni di correzione disponibili.

3. Controllare Active Directory per l'attività prevista.

Per altre informazioni, vedere Azioni di correzione in Microsoft Defender per identità.

Passaggi successivi

Per altre informazioni, vedi Gestire e aggiornare i sensori di Microsoft Defender per identità.