Account di Servizio directory per Microsoft Defender per identità

Defender per Identity usa gli account del servizio directory per leggere i dati da Active Directory, ad esempio l'esecuzione di query su oggetti, il rilevamento delle modifiche e la risoluzione delle entità. Questa operazione è separata dall'account azione, che esegue azioni correttive come la disabilitazione degli utenti o la reimpostazione delle password.

Anche se in alcuni scenari un DSA è facoltativo, è consigliabile configurare un DSA per Defender per identità per una copertura di sicurezza completa.

Ad esempio, quando è configurato un DSA, il DSA viene usato per connettersi al controller di dominio all'avvio. Un DSA può essere usato anche per eseguire query sul controller di dominio per i dati sulle entità visualizzate nel traffico di rete, negli eventi monitorati e nelle attività ETW monitorate

Per le seguenti caratteristiche e funzionalità è richiesto un DSA:

• Quando si usa un sensore installato in un server AD FS, AD CS o Microsoft Entra Connect.

• Richiesta di elenchi di membri per i gruppi di amministratori locali dai dispositivi visualizzati nel traffico di rete, negli eventi e nelle attività ETW tramite una chiamata SAM-R effettuata al dispositivo.

• Accesso al contenitore DeletedObjects per raccogliere informazioni su utenti e computer eliminati.

• Mappatura del dominio e delle relazioni di trust, che si verifica all'avvio del sensore e di nuovo ogni 10 minuti.

• Esecuzione di query su un altro dominio tramite LDAP per informazioni dettagliate, quando si rilevano attività da entità in tali altri domini.

Quando si usa un singolo DSA, il DSA deve disporre delle autorizzazioni di lettura per tutti i domini nelle foreste. In un ambiente a più finestre non attendibile, è necessario un account DSA per ogni foresta.

Un sensore in ogni dominio è definito come sincronizzatore di dominio ed è responsabile del rilevamento delle modifiche apportate alle entità nel dominio. Ad esempio, le modifiche possono includere oggetti creati, attributi di entità rilevati da Defender per identità e così via.

Opzioni dell'account DSA supportate

Defender for Identity supporta le seguenti opzioni DSA:

Utilizzo della voce DSA

Questa sezione descrive come vengono usate le voci DSA e come il sensore seleziona una voce DSA in uno scenario specifico. I tentativi del sensore variano a seconda del tipo di voce DSA:

Viene applicata la logica seguente:

1. Il sensore cerca una voce che corrisponda esattamente al nome di dominio del dominio di destinazione. Se viene trovata una corrispondenza esatta, il sensore tenta di autenticarsi utilizzando le credenziali presenti in tale voce.

2. Se non è presente una corrispondenza esatta o se l'autenticazione non è riuscita, il sensore cerca nell'elenco una voce nel dominio padre usando l'FQDN DNS e tenta di eseguire l'autenticazione usando le credenziali nella voce padre.

3. Se non è presente una voce per il dominio padre o se l'autenticazione non è riuscita, il sensore cerca nell'elenco una voce di dominio di pari livello, usando il nome di dominio completo DNS e tenta di eseguire l'autenticazione usando le credenziali nella voce di pari livello.

4. Se non è presente una voce per il dominio di pari livello o se l'autenticazione non è riuscita, il sensore esamina nuovamente l'elenco e tenta di eseguire di nuovo l'autenticazione con ogni voce fino a quando non ha esito positivo. Le voci DSA gMSA hanno una priorità maggiore rispetto alle normali voci DSA.

Esempio di logica con un DSA

Questa sezione fornisce un esempio del modo in cui il sensore tenta l'intero account DSA quando si dispone di più account, inclusi un account gMSA e un account normale.

Viene applicata la logica seguente:

1. Il sensore cerca una corrispondenza tra il nome di dominio DNS del dominio di destinazione, come emea.contoso.com, e la voce gMSA DSA, come emea.contoso.com.

2. Il sensore cerca una corrispondenza tra il nome di dominio DNS del dominio di destinazione, come emea.contoso.com, e la voce standard DSA, come emea.contoso.com

3. Il sensore cerca una corrispondenza nel nome DNS radice del dominio di destinazione, ad esempio emea.contoso.com, e nel nome di dominio della voce DSA gMSA, ad esempio contoso.com.

4. Il sensore cerca una corrispondenza nel nome DNS radice del dominio di destinazione, ad esempio emea.contoso.com, e nel nome di dominio della voce regolare DSA, ad esempio contoso.com.

5. Il sensore cerca il nome del dominio di destinazione per un dominio fratello, ad esempio emea.contoso.com, e il nome di dominio della voce DSA gMSA, ad esempio apac.contoso.com.

6. Il sensore cerca il nome di dominio di destinazione per un dominio di pari livello, come emea.contoso.com, e il nome di dominio della voce normale DSA, come ad esempio apac.contoso.com.

7. Il sensore esegue un round robin di tutte le voci gMSA DSA.

8. Il sensore esegue un round robin di tutte le voci normali DSA.

La logica illustrata in questo esempio viene implementata con la configurazione seguente:

• Voci DSA:

  • DSA1.emea.contoso.com
  • DSA2.fabrikam.com

• Sensori e la voce DSA utilizzata per prima:

  FQDN del controller di dominio	Voce DSA utilizzata
  DC01.emea.contoso.com	DSA1.emea.contoso.com
  DC02.contoso.com	DSA1.emea.contoso.com
  DC03.fabrikam.com	DSA2.fabrikam.com
  DC04.contoso.local	turno rotativo

Concedere le autorizzazioni DSA necessarie

La DSA richiede autorizzazioni di sola lettura per tutti gli oggetti in Active Directory, incluso il contenitore Oggetti eliminati.

Le autorizzazioni di sola lettura nel contenitore Oggetti eliminati consentono a Defender for Identity di rilevare le eliminazioni degli utenti da Active Directory.

Usare l'esempio di codice seguente per concedere le autorizzazioni di lettura necessarie per il contenitore Oggetti eliminati , indipendentemente dal fatto che si usi o meno un account gMSA.

# Declare the identity that you want to add read access to the deleted objects container:
$Identity = 'mdiSvc01'

# If the identity is a gMSA, first to create a group and add the gMSA to it:
$groupName = 'mdiUsr01Group'
$groupDescription = 'Members of this group are allowed to read the objects in the Deleted Objects container in AD'
if(Get-ADServiceAccount -Identity $Identity -ErrorAction SilentlyContinue) {
    $groupParams = @{
        Name           = $groupName
        SamAccountName = $groupName
        DisplayName    = $groupName
        GroupCategory  = 'Security'
        GroupScope     = 'Universal'
        Description    = $groupDescription
    }
    $group = New-ADGroup @groupParams -PassThru
    Add-ADGroupMember -Identity $group -Members ('{0}$' -f $Identity)
    $Identity = $group.Name
}

# Get the deleted objects container's distinguished name:
$distinguishedName = ([adsi]'').distinguishedName.Value
$deletedObjectsDN = 'CN=Deleted Objects,{0}' -f $distinguishedName

# Take ownership on the deleted objects container:
$params = @("$deletedObjectsDN", '/takeOwnership')
C:\Windows\System32\dsacls.exe $params

# Grant the 'List Contents' and 'Read Property' permissions to the user or group:
$params = @("$deletedObjectsDN", '/G', ('{0}\{1}:LCRP' -f ([adsi]'').name.Value, $Identity))
C:\Windows\System32\dsacls.exe $params
  
# To remove the permissions, uncomment the next 2 lines and run them instead of the two prior ones:
# $params = @("$deletedObjectsDN", '/R', ('{0}\{1}' -f ([adsi]'').name.Value, $Identity))
# C:\Windows\System32\dsacls.exe $params

Per altre informazioni, vedere Modifica delle autorizzazioni per un contenitore di oggetti eliminati.

Testare le autorizzazioni e le deleghe DSA tramite PowerShell

Usare il comando di PowerShell seguente per verificare che il DSA non disponga di troppe autorizzazioni, ad esempio autorizzazioni di amministratore avanzate:

Test-MDIDSA [-Identity] <String> [-Detailed] [<CommonParameters>]

Ad esempio, per controllare le autorizzazioni per l'account mdiSvc01 e fornire dettagli completi, eseguire:

Test-MDIDSA -Identity "mdiSvc01" -Detailed

Per altre informazioni, vedere le informazioni di riferimento su PowerShell DefenderForIdentity.

Passaggio successivo