Maximaler Schutz für das Active Directory KI-basierte Bedrohungserkennung für Cloud und AD mit Defender for Identity

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Microsoft Defender for Identity ist eine Lösung, die durch den Einsatz von Künstlicher Intelligenz (KI) und maschinellem Lernen Benutzerverhalten analysiert, um Bedrohungen frühzeitig zu erkennen und abzuwehren. Dieses Tool integriert Cloud-basierte Sicherheitslösungen mit On-Premises-Umgebungen.

Die Integration von Microsoft Defender for Identity beginnt mit der Installation eines Sensors auf dem Domain Controller in Active Directory. Dieser Sensor sammelt und analysiert Daten, um verdächtiges Verhalten zu identifizieren.

Nach der Installation des Sensors erfolgt die Konfiguration von Gruppenrichtlinien, um dem Dienstkonto die notwendigen Berechtigungen zuzuweisen. Dies geschieht durch die Anpassung der Sicherheits­einstellungen in der Standard-Domain-Controller-Richtlinie, insbesondere durch die Zuweisung der Berechtigung "Als Dienst anmelden" an das gruppenverwaltete Dienstkonto. Die Lösung kann drei Monate kostenlos für bis zu 25 Benutzern getestet werden. Neben der Absicherung von lokalen AD-Umgebungen, ist Defender for Identity auch ideal für Microsoft 365 und Szenarien mit Microsoft Azure.

Bildergalerie

Bildergalerie mit 7 Bildern

Überwachung und Analysen mit Microsoft Defender for Identity

Sobald der Sensor von Microsoft Defender for Identity aktiv ist, liefert er kontinuierlich Daten an die zentrale Verwaltungsoberfläche der Cloudlösung. Diese Daten umfassen Informationen über Anmeldeaktivitäten, Netzwerkverkehr und andere sicherheitsrelevante Ereignisse. Defender for Identity verwendet diese Informationen, um potenzielle Bedrohungen zu erkennen und Warnungen zu generieren. Ein typisches Beispiel ist die Erkennung von "Adversary-in-the-Middle"-Angriffen, bei denen ein Angreifer versucht, zwischen die Kommunikation eines Benutzers und einer Ressource zu treten.

Zusammenarbeit mit Microsoft Sentinel

Die Integration mit Microsoft Sentinel ermöglicht eine erweiterte Überwachung und Analyse von Sicherheitsvorfällen. Sentinel sammelt Signale von verschiedenen Quellen, einschließlich Defender for Identity, und verwendet diese Daten, um umfassende Bedrohungsanalysen durchzuführen. Bei der Erkennung eines Angriffs visualisiert Sentinel den Vorfall in einer detaillierten Zeitachse, zeigt betroffene Benutzer und Geräte an und bietet Handlungsempfehlungen, um den Angriff zu unterbrechen und zukünftige Angriffe zu verhindern.

Nutzer schützen, Angriffe anzeigen, Richtlinien erstellen

Microsoft Entra ID Protection in der Praxis

Erweiterte Jagdfunktionen

Defender for Identity bietet auch erweiterte Jagdfunktionen durch die Nutzung der KQL-Abfragen in Microsoft Defender. Diese Funktion ermöglicht es Sicherheitsteams, detaillierte Analysen durchzuführen und zusätzliche Informationen über verdächtige Aktivitäten zu sammeln. Das kann besonders nützlich sein, um komplexe Bedrohungen zu identifizieren und deren Ursprung und Auswirkungen zu verstehen.

Überwachung von Active Directory mit Microsoft Defender for Identity

Microsoft Defender for Identity bietet durch seine Funktionen eine umfassende Lösung zur Überwachung und Sicherung von Active Directory. Die Überwachung von AD ist aus mehreren Gründen wichtig. Erstens ist AD oft das primäre Ziel von Angriffen, da ein erfolgreicher Angriff auf AD einem Angreifer nahezu unbegrenzte Möglichkeiten zur Kompromittierung des gesamten Netzwerks bietet. Angreifer können administrative Rechte erlangen, sich lateral durch das Netzwerk bewegen und sensible Daten extrahieren oder Systeme kompromittieren. Zweitens dauert es nach aktuellen Statistiken nur wenige Minuten, bis ein Angreifer nach dem Erlangen eines Benutzerkontos ein Administratorkonto kompromittiert und möglicherweise Daten stehlen kann. Daher ist eine kontinuierliche Überwachung und sofortige Reaktion auf verdächtige Aktivitäten unerlässlich.

Active-Directory-Domänencontroller mit Azure Backup in die Cloud sichern

Backups in Azure schützen AD-Datenbanken vor Verlust

Funktionalitäten von Microsoft Defender for Identity

Microsoft Defender for Identity, früher bekannt als Azure Advanced Threat Protection (Azure ATP) und davor Microsoft Advanced Threat Analytics (ATA), bietet eine Vielzahl von Funktionen zur Sicherung von Active Directory:

• Benutzer- und Entitätsverhaltensanalyse (UEBA): Das Tool überwacht kontinuierlich das Verhalten von Benutzern und Entitäten und erstellt Basislinien für normales Verhalten. Abweichungen von diesen Basislinien werden als potenzielle Sicherheitsvorfälle gekennzeichnet.

• Erstellung von Berichten: Defender for Identity identifiziert potenzielle Schwachstellen und Fehlkonfigurationen in AD, wie ungesicherte LDAP-Verbindungen, und bietet Empfehlungen zur Verbesserung der Sicherheitslage.

• Angriffserkennung: Das Tool erkennt eine Vielzahl von Angriffsmethoden, darunter Brute-Force-Angriffe, Pass-the-Hash, Golden Tickets und Skeleton Keys. Es bietet detaillierte Berichte über die Angriffskette und ermöglicht es Sicherheitsteams, den gesamten Verlauf eines Angriffs nachzuvollziehen.

• Integration und Automatisierung: Microsoft Defender for Identity integriert sich nahtlos in die Microsoft 365 Defender Suite und ermöglicht eine automatisierte Reaktion auf erkannte Bedrohungen. Dies umfasst die Möglichkeit, betroffene Konten zu deaktivieren oder Passwörter zurückzusetzen, um die Ausbreitung eines Angriffs zu stoppen.

Bildergalerie

Bildergalerie mit 7 Bildern

Bereitstellung und Verwaltung

Die Bereitstellung von Microsoft Defender for Identity beginnt mit der bereits erwähnten Installation von Sensoren auf Domain Controllern. Diese Sensoren sammeln und analysieren kontinuierlich Daten, um verdächtiges Verhalten zu erkennen. Microsoft Defender for Identity ist ein integraler Bestandteil der Extended Detection and Response (XDR)-Lösung von Microsoft. Diese Lösung kombiniert Daten aus verschiedenen Quellen wie Defender for Endpoint, Defender for Office und Microsoft Sentinel, um ein umfassendes Sicherheitsbild zu erstellen. Durch die Integration von Cloud- und On-Premises-Sicherheitslösungen bietet Defender for Identity eine ganzheitliche Sicht auf die Sicherheitslage und unterstützt Unternehmen dabei, sowohl aktuelle als auch zukünftige Bedrohungen effektiv zu managen und abzuwehren.

Microsoft Defender for Identity verwalten

Nach dem Buchen des Dienstes, oder dem Abschluss einer Testumgebung, kann Microsoft Defender for Identity im Microsoft Defender Admin Center verwaltet werden. Dieses steht über die URL security.microsoft.com zur Verfügung. Lizenzen für die Absicherung der Benutzer können direkt im Microsoft 365 Admin Center (admin.microsoft.com) bei "Abrechnung -> Ihre Produkte -> Microsoft Defender for Identity -> Lizenzen zuweisen" an die einzelnen Benutzer gebunden werden.

Microsoft Entra Permissions Management verstehen und nutzen

Identitäts- und Zugriffsverwaltung in Multi-Cloud-Umgebungen

Im Microsoft Defender Admin Center (security.microsoft.com) erfolgt die weitere Einrichtung des Dienstes über "Einstellungen -> Identitäten". Im ersten Schritt legt der Assistent einen Arbeitsbereich für Microsoft Defender for Identity an. Die Verwaltung des Dienstes lässt sich dann an dieser Stelle erledigen. Hier kann man im Anschluss über "Sensor Hinzufügen" auch das Installationsprogramm für Windows-Server herunterladen. Es kann eine Weile dauern, bis alle Bereiche des Dienstes eingerichtet sind. Erst wenn der Schlüssel für den jeweiligen Sensor vorhanden ist, kann der Sensor auf einem Domänencontroller installiert werden. Auf dem Domänencontroller ist für den Betrieb des Dienstes ein Group Managed Service Account (GMSA) notwendig. In den Gruppenrichtlinien muss darüber hinaus noch bei der Standard-Richtlinie für Domänencontroller ein Eintrag erfolgen. Die Einstellungen sind im verlinkten Text zu finden.

Mehr als nur ein Ausweis

Microsoft Entra Verified ID verstehen und nutzen

Bildergalerie

Bildergalerie mit 7 Bildern

(ID:50154746)