Konfigurieren der Windows-Ereignisüberwachung

Konfigurieren Sie die Windows-Ereignisüberwachung, um Defender for Identity-Erkennungen zu aktivieren. Der Sensor analysiert bestimmte Windows-Ereignisprotokolle von Ihren Domänencontrollern, AD FS-Servern, AD CS-Servern und Microsoft Entra Connect-Servern. Damit die richtigen Ereignisse überwacht und in das Windows-Ereignisprotokoll aufgenommen werden können, benötigen diese Server die richtigen erweiterten Überwachungsrichtlinieneinstellungen.

Konfigurieren Sie die Überwachung mit einer der folgenden Methoden:

• Automatische Konfiguration für Sensor v3.x auf Domänencontrollern, AD FS, AD CS und Microsoft Entra Connect Servern (empfohlen)
• Manuelle Konfiguration für Sensor v2.x oder wenn du dich gegen automatische Audits entschieden hast
• PowerShell-Konfiguration
• Erforderliche Windows-Ereignisse für alle Servertypen

Defender for Identity generiert Systemintegritätswarnungen, wenn falsche Konfigurationen für die Überwachung von Windows-Ereignissen erkannt werden. Weitere Informationen finden Sie unter Microsoft Defender for Identity-Integritätswarnungen.

Wenn Sie die Überwachung ordnungsgemäß konfigurieren, hat Windows Ereignisüberwachung minimale Auswirkungen auf die Serverleistung.

Konfigurieren von Defender for Identity zum automatischen Sammeln von Windows-Ereignissen

Wenn du den Defender für Identity Sensor v3.x bereitstellst, nutze das automatische Windows-Auditing. Dieser Ansatz erfordert keine manuelle Konfiguration und übernimmt alle Audit-Einstellungen für Sie.

Aktivieren der automatischen Windows-Überwachung

Um das automatische Windows-Audit im Defender-Portal zu aktivieren, führen Sie die folgenden Schritte durch:

1. Navigieren Sie im Microsoft Defender-Portal zu Einstellungen und dann zu Identitäten.
2. Wählen Sie im Abschnitt Allgemeindie Option Erweiterte Features aus.
3. Aktivieren Sie die Konfiguration der automatischen Windows-Überwachung.

Was durch die automatische Überprüfung konfiguriert wird

Wenn diese Option aktiviert ist, wird der Sensor automatisch:

• Überprüft die aktuelle Windows-Ereignisüberwachungskonfiguration.
• Identifiziert lücken in der Konfiguration.
• Wendet alle erforderlichen Änderungen an, einschließlich aller Schritte in der manuellen Konfiguration:
  • Erweiterte Überwachung von Verzeichnisdiensten: Fügt überwachungseinträge zur System Access Control List (SACL) des Domänenstammobjekts hinzu, um die erforderliche Verzeichnisdienstüberwachung zu aktivieren.
  • NTLM-Überwachung: Verwendet Standardmäßige Windows-Registrierungs-APIs, um die erforderlichen NTLM-Überwachungsregistrierungswerte zu konfigurieren.
  • Domänenobjektüberwachung: Ändert die SACL auf der Konfigurationspartition, um Änderungen an Verzeichnisdienstkonfigurationsobjekten zu erfassen.
  • AD FS Auditing: Konfiguriert automatisch die folgenden Einstellungen:
    • Überwachung auf Objektebene im AD FS-Konfigurationscontainer: Fügt Überwachungseinträge zum System Access Control List (SACL) des AD FS-Konfigurationscontainers hinzu, um die Überwachung von AD FS-bezogenen Verzeichnisobjekten zu ermöglichen.
    • Gruppenrichtlinie für die Ereignisüberwachung: Konfiguriert die vom Überwachungsanwendung generierte erweiterte Überwachungsrichtlinie (Erfolg und Fehler) im lokalen System mithilfe der Windows lokalen Sicherheitszertifizierungsstelle (LSA)-Überwachungsrichtlinien-APIs unter dem lokalen Systemkonto des Sensors.
    • Andere AD FS-Überwachungseinstellungen sind nicht in der automatischen Überwachung enthalten und müssen weiterhin manuell konfiguriert werden, z. B. die AD FS-Ereignisüberwachung in der AD FS-Verwaltung und die ausführliche Protokollierung von AD FS-Ereignissen.
  • AD CS-Auditing: Schreibt den erforderlichen Wert in den Überwachungsfilter der Zertifizierungsstelle (CA) in deren Registrierungskonfiguration. Automatische Prüfung ändert einen bestehenden Audit-Filter, erstellt aber keinen, sodass die CA bereits einen Audit-Filter konfiguriert haben muss. Der neue Wert tritt in Kraft, nachdem der Certificate Services (certsvc)-Dienst neu gestartet wurde. Bis der Service neu startet, löst Defender for Identity eine Gesundheitswarnung aus, die dich auffordert, ihn neu zu starten.
  • Microsoft Entra Connect-Überwachung: Konfiguriert die erweiterte Überwachungsrichtlinie "Überwachungsanmeldung" (Erfolg und Fehler) auf Microsoft Entra Connect-Servern mithilfe der Windows LSA-Überwachungsrichtlinien-APIs.
  • Windows Überwachungsrichtlinie: Konfiguriert die lokalen Windows Überwachungsrichtlinien mithilfe der Windows LSA-Überwachungsrichtlinien-APIs.
• Wendet Auditing-Einstellungen direkt auf die lokale Systemrichtlinie des Servers an.
• Wird einmal alle 24 Stunden ausgeführt.

Erforderliche Windows-Ereignisse

In diesem Abschnitt werden die Windows-Ereignisse aufgeführt, die für den Defender for Identity-Sensor erforderlich sind. Die spezifischen Ereignisse hängen vom Servertyp ab, auf dem der Sensor installiert ist.

Erforderliche AD FS-Ereignisse

Die folgenden Ereignisse sind für AD FS-Server erforderlich:

• 1202: Der Föderationsdienst hat neue Anmeldeinformationen validiert
• 1203: Fehler beim Überprüfen neuer Anmeldeinformationen durch den Verbunddienst
• 4624: Ein Konto wurde erfolgreich angemeldet
• 4625: Konto konnte sich nicht anmelden

Weitere Informationen finden Sie unter Konfigurieren der Überwachung auf einem AD FS-Server.

Erforderliche AD CS-Ereignisse

Die folgenden Ereignisse sind für AD CS-Server erforderlich:

• 4870: Zertifikatdienste haben ein Zertifikat widerrufen
• 4882: Die Sicherheitsberechtigungen für Zertifikatdienste wurden geändert.
• 4885: Der Überwachungsfilter für Zertifikatdienste wurde geändert.
• 4887: Zertifikatdienste haben eine Zertifikatanforderung genehmigt und ein Zertifikat ausgestellt.
• 4888: Zertifikatdienste haben eine Zertifikatanforderung verweigert
• 4890: Die Zertifikat-Manager-Einstellungen für Zertifikatdienste wurden geändert.
• 4896: Mindestens eine Zeile wurde aus der Zertifikatdatenbank gelöscht.

Weitere Informationen finden Sie unter Konfigurieren der Überwachung auf einem AD CS-Server.

Erforderliche Microsoft Entra Connect-Ereignisse

Das folgende Ereignis ist für Microsoft Entra Connect-Server erforderlich:

• 4624: Ein Konto wurde erfolgreich angemeldet

Weitere Informationen finden Sie unter Konfigurieren der Überwachung auf Microsoft Entra Connect.

Andere erforderliche Windows-Ereignisse

Die folgenden allgemeinen Windows-Ereignisse sind für alle Defender for Identity-Sensoren auf Domänencontrollern erforderlich:

• 4662: Ein Vorgang wurde für ein Objekt ausgeführt
• 4726: Benutzerkonto gelöscht
• 4728: Mitglied zur globalen Sicherheitsgruppe hinzugefügt
• 4729: Mitglied aus der globalen Sicherheitsgruppe entfernt
• 4730: Globale Sicherheitsgruppe gelöscht
• 4732: Mitglied zur lokalen Sicherheitsgruppe hinzugefügt
• 4733: Mitglied aus lokaler Sicherheitsgruppe entfernt
• 4741: Computerkonto hinzugefügt
• 4743: Computerkonto gelöscht
• 4753: Globale Verteilergruppe gelöscht
• 4756: Mitglied zur universellen Sicherheitsgruppe hinzugefügt
• 4757: Mitglied aus universeller Sicherheitsgruppe entfernt
• 4758: Universelle Sicherheitsgruppe gelöscht
• 4763: Universelle Verteilergruppe gelöscht
• 4776: Domänencontroller hat versucht, Anmeldeinformationen für ein Konto zu überprüfen (NTLM)
• 5136: Ein Verzeichnisdienstobjekt wurde geändert
• 7045: Neuer Dienst installiert
• 8004: NTLM-Authentifizierung

Weitere Informationen finden Sie unter Konfigurieren der NTLM-Überwachung und Konfigurieren der Domänenobjektüberwachung.

Ereignissammlung für eigenständige Sensoren

Wenn Sie mit einem eigenständigen Defender for Identity-Sensor arbeiten, konfigurieren Sie die Ereignissammlung manuell mit einer der folgenden Methoden:

• Überwachen der Sicherheitsinformationen und Ereignisverwaltungsereignisse (SIEM) auf Ihrem eigenständigen Defender for Identity-Sensor. Defender for Identity unterstützt UDP-Datenverkehr (User Datagram Protocol) von Ihrem SIEM-System oder Ihrem Syslog-Server.
• Konfigurieren Sie die Windows-Ereignisweiterleitung an Ihren eigenständigen Defender for Identity-Sensor. Wenn Sie Syslog-Daten an einen eigenständigen Sensor weiterleiten, stellen Sie sicher, dass Sie nicht alle Syslog-Daten an Ihren Sensor weiterleiten.

Weitere Informationen finden Sie in der Produktdokumentation für Ihr SIEM-System oder Ihren Syslog-Server.

Überprüfen Der aktuellen Konfiguration

Bevor Sie die Windows-Ereignissammlung manuell konfigurieren, können Sie ein PowerShell-Skript ausführen, um Ihre aktuelle Konfiguration zu überprüfen und einen Bericht über alle Anpassungen zu generieren, die Sie vornehmen müssen:

1. Laden Sie das PowerShell-Modul für Defender for Identity herunter.

2. Führen Sie das PowerShell-Modul Defender for Identity New-MDIConfigurationReport aus, um einen Bericht über Ihre aktuelle Windows-Ereignisüberwachungskonfiguration zu generieren.

       New-MDIConfigurationReport -Path "C:\Reports" -Mode Domain -Identity "DOMAIN\ServiceAccountName" -OpenHtmlReport
   

   Dabei gilt:

   • Path ist das Verzeichnis, in dem der Bericht gespeichert wird.
   • Mode gibt an, woher die Einstellungen gesammelt werden.
     • Im Domain Modus werden die Einstellungen aus den Gruppenrichtlinie-Objekten (GPOs) gesammelt. Wenn Sie verwenden -Mode Domain, schließen Sie den -Identity Parameter ein, um eine interaktive Eingabeaufforderung zu vermeiden.
     • Im LocalMachine Modus werden die Einstellungen vom lokalen Computer erfasst.
   • OpenHtmlReport öffnet den HTML-Bericht, nachdem der Bericht generiert wurde. Um beispielsweise einen Bericht zu generieren und in Ihrem Standardbrowser zu öffnen, führen Sie den folgenden Befehl aus:

   New-MDIConfigurationReport -Path "C:\Reports" -Mode Domain -OpenHtmlReport
   

   Weitere Informationen finden Sie unter New-MDIConfigurationReport.

3. Überprüfen Sie den Bericht, und nehmen Sie alle erforderlichen Anpassungen vor, bevor Sie die Windows-Ereignissammlung konfigurieren.

Manuelles Konfigurieren der Windows-Ereignissammlung

Dieser Abschnitt enthält Anweisungen zum manuellen Konfigurieren der Windows-Ereignissammlung. Verwenden Sie diese Schritte, wenn Sie Sensor v2.x einsetzen oder wenn Sie das automatische Auditing für Sensor v3.x abgelehnt haben.

In den folgenden Abschnitten wird die Konfiguration für jeden Servertyp beschrieben:

• Konfigurieren der Überwachung auf einem Domänencontroller
• Konfigurieren der Überwachung auf einem AD FS-Server
• Konfigurieren der Überwachung auf einem AD CS-Server
• Konfigurieren der Überwachung auf Microsoft Entra Connect
• Konfigurieren Sie die Überwachungsprotokollierung im Konfigurationscontainer

Konfigurieren der Überwachung auf einem Domänencontroller

Führen Sie zum Konfigurieren der Überwachung auf einem Domänencontroller die folgenden Schritte aus:

• Konfigurieren der erweiterten Überwachung von Verzeichnisdiensten
• Konfigurieren der NTLM-Überwachung
• Konfigurieren der Domänenobjektüberwachung
• Konfigurieren der Überwachung auf Objektebene für den AD FS-Konfigurationsordner

Konfigurieren der erweiterten Überwachung von Verzeichnisdiensten

Das folgende Verfahren beschreibt, wie Sie die Audit-(Premium) Policy-Einstellungen Ihres Domänencontrollers für Defender for Identity ändern können.

1. Melden Sie sich beim Server als Domänenadministrator an.

2. Öffnen Sie den Gruppenrichtlinie-Verwaltungs-Editor über Server-Manager>Tools>Gruppenrichtlinie Management.

3. Erweitern Sie Domänencontroller Organisationseinheiten, klicken Sie mit der rechten Maustaste auf Standarddomänencontrollerrichtlinie, und wählen Sie dann Bearbeiten aus.

   

   Hinweis

   Verwenden Sie die Standarddomänencontrollerrichtlinie oder ein dediziertes GPO, um diese Richtlinien festzulegen.

4. Wechseln Sie zu Computerkonfigurationsrichtlinien>>Windows-Einstellungen>Sicherheitseinstellungen. Gehen Sie abhängig von der Richtlinie, die Sie aktivieren möchten, wie folgt vor:

   1. Wechseln Sie zu Erweiterte Überwachungsrichtlinienkonfiguration>Überwachungsrichtlinien.

      

   2. Bearbeiten Sie unter Überwachungsrichtlinien jede der folgenden Richtlinien, und wählen Sie Folgende Überwachungsereignisse konfigurieren sowohl für Erfolg- als auch für Fehlerereignisse aus.

      Überwachungsrichtlinie	Unterkategorie	Löst Ereignis-IDs aus
      Kontoanmeldung	Validierung der Anmeldeinformationen überwachen	4776
      Kontoverwaltung	Überwachung der ComputerkontoverwaltungHinweis zur Fehlerüberwachung	4741, 4743
      Kontoverwaltung	Überwachung der Verwaltung von VerteilergruppenHinweis zur Fehlerüberwachung	4753, 4763
      Kontoverwaltung	Überwachung der Verwaltung von SicherheitsgruppenHinweis zur Überwachung von Fehlern	4728, 4729, 4730, 4732, 4733, 4756, 4757, 4758
      Kontoverwaltung	Überwachen der Benutzerkontenverwaltung	4726
      DS-Zugriff	Änderungen am Verzeichnisdienst überwachenSiehe Hinweis	5136
      System	Sicherheitssystemerweiterung überwachenSiehe Hinweis	7045
      DS-Zugriff	Verzeichnisdienstzugriff überwachen	4662 – Für dieses Ereignis müssen Sie auch die Domänenobjektüberwachung konfigurieren.

      Hinweis

      * Diese Unterkategorien unterstützen keine Fehlerereignisse. Fügen Sie sie zu Überwachungszwecken hinzu, falls sie in Zukunft implementiert werden. Weitere Informationen finden Sie unter Überwachung der Computerkontoverwaltung, Überwachung der Sicherheitsgruppenverwaltung und Überwachung der Erweiterung des Sicherheitssystems.

   3. Zum Konfigurieren von Überwachung der Sicherheitsgruppenverwaltung wählen Sie unter Kontoverwaltung die Option Überwachung der Sicherheitsgruppenverwaltung aus, und wählen Sie dann Die folgenden Überwachungsereignisse konfigurieren sowohl für Erfolg- als auch für Fehlerereignisse aus.

      

5. Führen Sie an einer Eingabeaufforderung mit erhöhten Rechten Folgendes aus: gpupdate.

6. Nachdem Sie die Richtlinie über ein GPO angewendet haben, prüfen Sie, ob die neuen Ereignisse in der Ereignisanzeige unter Windows-Protokolle>Sicherheit angezeigt werden.

   Führen Sie den folgenden Befehl aus, um Ihre Überwachungsrichtlinien über die Befehlszeile zu testen:

   auditpol.exe /get /category:*
   

Weitere Informationen finden Sie in der auditpol-Referenzdokumentation.

Konfigurieren der NTLM-Überwachung

Wenn ein Defender for Identity-Sensor das Windows-Ereignis 8004 analysiert, werden die NTLM-Authentifizierungsaktivitäten von Defender for Identity mit den Daten angereichert, auf die vom Server zugegriffen wird. In diesem Abschnitt werden die Konfigurationsschritte für die Überwachung des Windows-Ereignisses 8004 beschrieben.

So konfigurieren Sie die NTLM-Überwachung:

1. Öffnen Sie Verwaltung der Gruppenrichtlinien und erweitern Sie Organisationseinheiten für Domänencontroller, klicken Sie mit der rechten Maustaste auf Standardrichtlinie für Domänencontroller und wählen Sie dann Bearbeiten aus.

2. Wechseln Sie zu Standarddomänencontroller Richtlinie>Lokale Richtlinien>Sicherheitsoptionen.

3. Konfigurieren Sie die angegebenen Sicherheitsrichtlinien wie folgt:

   Sicherheitsrichtlinieneinstellungen	Wert
   Netzwerksicherheit: NTLM einschränken: Ausgehender NTLM-Datenverkehr zu Remote-Servern	Alle überwachen
   Netzwerksicherheit: NTLM einschränken: NTLM-Authentifizierung in dieser Domäne überwachen	Alle aktivieren
   Netzwerksicherheit: NTLM einschränken: Eingehenden NTLM-Datenverkehr überwachen	Aktivieren der Überwachung für alle Konten

4. Um ausgehenden NTLM-Datenverkehr an Remoteserver zu konfigurieren, doppelklicken Sie unter Sicherheitsoptionen auf Netzwerksicherheit: NTLM einschränken: Ausgehender NTLM-Datenverkehr auf Remoteserver, und wählen Sie dann Alle überwachen aus.

Konfigurieren der Domänenobjektüberwachung

Zum Sammeln von Ereignissen für Objektänderungen, z. B. für Ereignis 4662, müssen Sie auch die Objektüberwachung für den Benutzer, die Gruppe, den Computer und andere Objekte konfigurieren. Im folgenden Verfahren wird beschrieben, wie Sie die Überwachung in der Active Directory-Domäne aktivieren.

So konfigurieren Sie die Überwachung von Domänenobjekten:

1. Wechseln Sie zur Active Directory-Benutzer und -Computer-Konsole.

2. Wählen Sie die Domäne aus, die Sie überwachen möchten.

3. Wählen Sie das Menü Ansicht und dann Erweiterte Features aus.

4. Klicken Sie mit der rechten Maustaste auf die Domäne, und wählen Sie Eigenschaften aus.

   

5. Wechseln Sie zur Registerkarte Sicherheit , und wählen Sie dann Erweitert aus.

   

6. Wählen Sie unter Erweiterte Sicherheitseinstellungen die Registerkarte Überwachung und dann Hinzufügen aus.

   

7. Wählen Sie Prinzipal auswählen aus.

   

8. Geben Sie unter Geben Sie den auszuwählenden Objektnamen einJeder ein. Wählen Sie dann Namen überprüfen>OK aus.

   

9. Zurück zu Prüfprotokolleintrag. Sie müssen einen separaten Überwachungseintrag für jeden der folgenden Objekttypen erstellen:

   • Untergeordnete Benutzerobjekte
   • Nachfolgergruppenobjekte
   • Abgeleitete Computerobjekte
   • Untergeordnete msDS-GroupManagedServiceAccount-Objekte
   • Untergeordnete msDS-ManagedServiceAccount-Objekte
   • Untergeordnete msDS-DelegatedManagedServiceAccount-Objekte¹

   Wichtig

   Die Überwachung muss für alle aufgelisteten Objekttypen konfiguriert werden, nicht nur für Benutzerobjekte. Das Konfigurieren der Überwachung für nur einen Objekttyp führt zu einer unvollständigen Erkennungsabdeckung.

   Treffen Sie für jeden Objekttyp die folgende Auswahl:

   1. Wählen Sie für TypErfolg aus.

   2. Wählen Sie für Gilt für den Objekttyp aus der Liste aus.

   3. Scrollen Sie unter Berechtigungen nach unten, und wählen Sie die Schaltfläche Alle löschen aus.

      

   4. Scrollen Sie nach oben, und wählen Sie Vollzugriff aus. Alle Berechtigungen sind ausgewählt.

   5. Deaktivieren Sie die Auswahl für die Berechtigungen Inhalt auflisten, Alle Eigenschaften lesen und Leseberechtigungen , und wählen Sie dann OK aus. In diesem Schritt werden alle Einstellungen derEigenschaften auf Lesen festgelegt.

      

      Jetzt werden alle relevanten Änderungen an Verzeichnisdiensten als 4.662 Ereignisse angezeigt, wenn sie ausgelöst werden.

Konfigurieren der Überwachung auf Objektebene im AD FS-Konfigurationsordner

Um die Objektebene-Prüfung im AD FS-Konfigurationsordner zu konfigurieren, führen Sie die folgenden Schritte durch:

1. Wechseln Sie zur Active Directory-Benutzer und -Computer-Konsole, und wählen Sie die Domäne aus, in der Sie die Protokolle aktivieren möchten.

2. Navigieren Sie zu Program Data>Microsoft>ADFS.

   

3. Klicken Sie mit der rechten Maustaste auf AD FS , und wählen Sie Eigenschaften aus.

4. Wechseln Sie zur Registerkarte Sicherheit , und wählen Sie Erweiterte>Sicherheitseinstellungen aus. Wechseln Sie dann zur Registerkarte Überwachung, und wählen Sie Hinzufügen>Prinzipal auswählen aus.

5. Geben Sie unter Geben Sie den auszuwählenden Objektnamen einJeder ein. Wählen Sie dann Namen überprüfen>OK aus.

6. Kehren Sie zu Überwachungseintrag zurück. Treffen Sie die folgende Auswahl:

   • Wählen Sie für Typ die Option Alle aus.
   • Wählen Sie unter Gilt für die Option Dieses Objekt und alle untergeordneten Objekte aus.
   • Scrollen Sie unter Berechtigungen nach unten, und wählen Sie Alle löschen aus. Scrollen Sie nach oben und wählen Sie Alle Eigenschaften lesen und Alle Eigenschaften schreiben aus.

   

7. Wählen Sie OK aus.

Konfigurieren der Überwachung auf einem AD FS-Server

Das folgende Verfahren beschreibt, wie Sie Ihre Active Directory-Verbunddienste (AD FS) (AD FS) Audit-Konfigurationen für Defender for Identity anpassen können.

Konfigurieren einer Gruppenrichtlinie für die Ereignisüberwachung

Um gruppenrichtlinienbasierte Ereignisprüfung für AD FS zu konfigurieren, führen Sie die folgenden Schritte durch:

1. Erstellen Sie eine Gruppenrichtlinie für Ihre Active Directory-Verbunddienste (AD FS).

2. Konfigurieren Sie die folgenden Überwachungseinstellungen:

   1. Wechseln Sie zu Computerkonfiguration\Richtlinien\Windows-Einstellungen\Sicherheitseinstellungen\Erweiterte Überwachungsrichtlinienkonfiguration\Überwachungsrichtlinien\Objektzugriff\Überwachungsanwendung generiert.

   2. Aktivieren Sie die Kontrollkästchen, um Überwachungsereignisse für Erfolg und Fehler zu konfigurieren.

   

Konfigurieren der AD FS-Ereignisüberwachung in der AD FS-Verwaltung

Um das AD FS Event Auditing in AD FS Management zu ermöglichen, führen Sie die folgenden Schritte aus:

1. Wählen Sie Start>Programme>Verwaltung>AD FS-Verwaltung aus.

2. Wechseln Sie zu Aktionen>Verbunddiensteigenschaften bearbeiten.

3. Wählen Sie die Registerkarte Ereignisse aus.

4. Aktivieren Sie die Kontrollkästchen Erfolgsüberwachungen und Fehlerüberwachungen .

5. Wählen Sie OK aus.

   

Konfigurieren der ausführlichen Protokollierung für AD FS-Ereignisse

Für Sensoren auf AD FS-Servern muss die Überwachungsstufe für die relevanten Ereignisse auf Verbose festgelegt werden.

Verwenden Sie den folgenden PowerShell-Befehl, um die Überwachungsstufe auf Verbose festzulegen:

Set-AdfsProperties -AuditLevel Verbose

Konfigurieren der Überwachung auf einem AD CS-Server

Wenn Sie mit einem dedizierten Server arbeiten, auf dem Active Directory Certificate Services (AD CS) konfiguriert ist, konfigurieren Sie die Überwachung wie folgt, um dedizierte Warnungen und Berichte zur Sicherheitsbewertung anzuzeigen:

1. Erstellen Sie eine Gruppenrichtlinie, die auf Ihren AD CS-Server angewendet werden soll. Bearbeiten Sie sie, und konfigurieren Sie die folgenden Überwachungseinstellungen:

   1. Wechseln Sie zu Computerkonfiguration\Richtlinien\Windows-Einstellungen\Sicherheitseinstellungen\Erweiterte Überwachungsrichtlinienkonfiguration\Überwachungsrichtlinien\Objektzugriff\Überwachung von Zertifizierungsdiensten.

   2. Aktivieren Sie die Kontrollkästchen, um Überwachungsereignisse für Erfolg und Fehler zu konfigurieren.

   

2. Konfigurieren Sie die Überwachung auf der Zertifizierungsstelle mit einer der folgenden Methoden:

   • Um CA-Auditing mit PowerShell zu konfigurieren, stellen Sie den CA-Audit-Filter so ein, dass vollständige Audits aktiviert werden, und starten Sie dann den Certificate Services-Service neu, damit die Änderung wirksam wird:

certutil -setreg CA\AuditFilter 127 
Restart-Service certsvc

• So konfigurieren Sie die Überwachung der Zertifizierungsstelle im Defender-Portal:

  1. Wählen Sie Start>Zertifizierungsstelle (MMC-Desktopanwendung) aus. Klicken Sie mit der rechten Maustaste auf den Namen Ihrer Zertifizierungsstelle, und wählen Sie Eigenschaften aus.

     

  2. Wählen Sie die Registerkarte Überwachung aus, wählen Sie alle Ereignisse aus, die Sie überwachen möchten, und wählen Sie dann Anwenden aus.

     

Konfigurieren der Überwachung auf Microsoft Entra Connect

So konfigurieren Sie die Überwachung auf Microsoft Entra Connect-Servern:

1. Erstellen Sie eine Gruppenrichtlinie, die auf Ihre Microsoft Entra Connect-Server angewendet werden soll.

2. Bearbeiten Sie die Gruppenrichtlinie, und konfigurieren Sie die folgenden Überwachungseinstellungen:

   1. Wechseln Sie zu Computerkonfiguration\Richtlinien\Windows-Einstellungen\Sicherheitseinstellungen\Erweiterte Überwachungsrichtlinienkonfiguration\Überwachungsrichtlinien\Anmelde-/Abmelden\Audit-Anmeldung.

   2. Aktivieren Sie die Kontrollkästchen, um Überwachungsereignisse für Erfolg und Fehler zu konfigurieren.

   

Konfigurieren Sie die Überwachung auf dem Konfigurationscontainer

Sie benötigen die Konfigurationscontainerüberwachung nur für Umgebungen, in denen microsoft Exchange derzeit oder zuvor vorhanden war. Diese Umgebungen verfügen über einen Exchange-Container im Konfigurationsabschnitt der Domäne.

Active Directory repliziert den Konfigurationscontainer im gesamten Forest und konfiguriert also das Auditing einmal für den gesamten Forest. Der Gesundheitsalarm kann für mehrere Domänen erscheinen, da Sensoren in jeder Domäne den Zustand des gemeinsamen Konfigurationscontainers melden.

1. Öffnen Sie das ADSI-Bearbeitungstool.

2. Wählen Sie Start>Ausführen aus, geben Sie ADSIEdit.msc ein, und wählen Sie dann OK aus.

3. Wählen Sie im Menü Aktion die Option Verbinden mit aus.

4. Gehen Sie zu Verbindungseinstellungen>Einen bekannten Namenskontext auswählen, >Konfiguration und wählen Sie OK.

5. Erweitern Sie den Konfigurationscontainer , um den Knoten Konfiguration anzuzeigen, der mit "CN=Configuration,DC=..." beginnt.

   

6. Klicken Sie mit der rechten Maustaste auf den Knoten Konfiguration , und wählen Sie Eigenschaften aus.

   

7. Wählen Sie die Registerkarte Sicherheit und dann Erweitert aus.

8. Wählen Sie unter Erweiterte Sicherheitseinstellungen die Registerkarte Überwachung und dann Hinzufügen aus.

9. Wählen Sie Prinzipal auswählen aus.

10. Geben Sie unter Geben Sie den auszuwählenden Objektnamen einJeder ein. Wählen Sie dann Namen überprüfen>OK aus.

11. Kehren Sie zu Überwachungseintrag zurück. Treffen Sie die folgende Auswahl:

    • Wählen Sie für Typ die Option Alle aus.
    • Wählen Sie unter Gilt für die Option Dieses Objekt und alle untergeordneten Objekte aus.
    • Scrollen Sie unter Berechtigungen nach unten, und wählen Sie Alle löschen aus. Scrollen Sie nach oben und wählen Sie Alle Eigenschaften schreiben aus.

    

12. Wählen Sie OK aus.

Konfigurieren der Windows-Ereignissammlung mithilfe von PowerShell

Weitere Informationen finden Sie in der PowerShell-Referenz zu Defender for Identity:

• Set-MDIConfiguration
• Get-MDIConfiguration

Die folgenden Befehle zeigen, wie Sie die Überwachungsrichtlinieneinstellungen (Premium) Ihres Domänencontrollers für Defender for Identity mithilfe von PowerShell ändern.

So zeigen Sie Ihre Überwachungsrichtlinien an:

Verwenden Sie das Get-MDIConfiguration Cmdlet, um die aktuellen Defender for Identity-Konfigurationswerte im Domänen- oder lokalen Maschinenmodus abzurufen. Verwenden Sie folgende Syntax, um die aktuelle Konfiguration für einen bestimmten Modus und Konfigurationssatz anzuzeigen:

Get-MDIConfiguration [-Mode] <String> [-Configuration] <String[]>

Dabei gilt:

• Mode gibt an, ob der Modus Domain oder LocalMachine verwendet werden soll. Im Modus Domain stammen die Einstellungen aus den Gruppenrichtlinienobjekten. Im LocalMachine Modus stammen die Einstellungen vom lokalen Computer.
• Configuration gibt an, welche Konfiguration abgerufen werden soll. Verwenden Sie All , um alle Konfigurationen abzurufen.

So konfigurieren Sie Ihre Einstellungen:

Verwenden Sie folgende Syntax, um Defender for Identity-Konfigurationseinstellungen anzuwenden und optional das Verhalten der GPO-Erstellung und -Verknüpfung zu steuern:

Set-MDIConfiguration [-Mode] <String> [-Configuration] <String[]> [-CreateGpoDisabled] [-SkipGpoLink] [-Force]

Dabei gilt:

• Mode gibt an, ob der Modus Domain oder LocalMachine verwendet werden soll. Im Modus Domain stammen die Einstellungen aus den Gruppenrichtlinienobjekten. Im LocalMachine Modus stammen die Einstellungen vom lokalen Computer.
• Configuration gibt an, welche Konfiguration festgelegt werden soll. Verwenden Sie All , um alle Konfigurationen festzulegen.
• CreateGpoDisabled gibt an, ob die Gruppenrichtlinienobjekte erstellt und als deaktiviert beibehalten werden.
• SkipGpoLink gibt an, dass GPO-Links nicht erstellt werden.
• Force gibt an, dass die Konfiguration festgelegt oder GPOs erstellt werden, ohne den aktuellen Zustand zu überprüfen.

Das folgende Beispiel wendet alle unterstützten Defender for Identity-Domänenkonfigurationseinstellungen in einer Operation an, erstellt die Gruppenrichtlinienobjekte und verknüpft sie:

Set-MDIConfiguration -Mode Domain -Configuration All

Aktualisieren von Legacykonfigurationen

Defender for Identity erfordert keine Protokollierung von 1.644 Ereignissen mehr. Wenn Sie eine der folgenden Einstellungen aktiviert haben, entfernen Sie sie aus der Registrierung. Diese Registrierungswerte konfigurierten NTDS-Diagnoseprotokollierungsebenen und Suchschwellenwerte, die zuvor für die Ereignis 1644-Auflistung erforderlich waren, aber nicht mehr erforderlich sind.

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics]
"15 Field Engineering"=dword:00000005

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters]
"Expensive Search Results Threshold"=dword:00000001
"Inefficient Search Results Threshold"=dword:00000001
"Search Time Threshold (msecs)"=dword:00000001

Verwandte Inhalte

Weitere Informationen finden Sie unter:

• Windows-Sicherheitsüberwachung
• Erweiterte Sicherheitsüberwachungsrichtlinien