Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Auf der Seite für Integritätsprobleme von Microsoft Defender for Identity werden Probleme aufgeführt, die sich auf Ihre Defender for Identity-Bereitstellung und -Sensoren auswirken. Es warnt Sie über erkannte Probleme, die sich aus Konfigurations- oder Umgebungsfaktoren ergeben können.
Konfigurieren Sie die automatische Windows-Ereignisüberwachung , um Probleme im Zusammenhang mit der Windows-Ereignissammlung zu vermeiden.
Seite „Gesundheitsprobleme“
Auf der Microsoft Defender for Identity Health-Seite werden Sie darüber informiert, wenn ein Problem mit Ihrem Defender for Identity-Arbeitsbereich vorliegt, indem Sie ein Integritätsproblem auslösen. Sie können Zustandsprobleme sowohl für Ihre gesamte Defender for Identity-Umgebung als auch für bestimmte Sensoren einsehen.
Defender for Identity unterstützt die folgenden Arten von Integritätswarnungen:
- Domänenbezogene oder aggregierte Integritätsprobleme, aufgeführt auf der Registerkarte Globale Integritätsprobleme
- Sensorspezifische Integritätsprobleme, die auf der Registerkarte Sensorintegritätsprobleme aufgeführt sind
Führen Sie die folgenden Schritte aus, um auf die Seite zuzugreifen:
Anmelden beim Microsoft Defender-Portal
Wechseln Sie zu Einstellungen>Identitäten.
Wählen Sie unter Bereitstellung die Option Integritätsprobleme aus.
Filtern Sie Probleme nach Status, Problemname oder Schweregrad, damit Sie das gesuchte Problem finden können.
Wählen Sie ein beliebiges Problem aus, um weitere Details und die Option zum Schließen oder Unterdrücken des Problems zu erhalten.
Status des Integritätsproblems
Integritätsprobleme in Microsoft Defender for Identity können abhängig von ihrem Zustand und davon, wie sie behandelt werden, unterschiedliche Statuswerte aufweisen.
- Offen: Das Integritätsproblem ist als offen gekennzeichnet.
- Geschlossen: Ein Integritätsproblem wird automatisch als Geschlossen gekennzeichnet, wenn Microsoft Defender for Identity erkennt, dass das zugrunde liegende Problem behoben wurde. Wenn Sie über die Rolle des Azure ATP (Arbeitsbereichsname)-Administrators verfügen, können Sie ein Integritätsproblem auch manuell schließen.
- Unterdrückt: Wenn Sie über Administratorberechtigungen für Azure ATP (Arbeitsbereichsname) verfügen, können Sie die Integritätswarnung für sieben Tage unterdrücken. Unterdrücken Sie eine Integritätswarnung, wenn Ihnen ein erwartetes vorübergehendes Problem bekannt ist, zum Beispiel, wenn ein Computer für Wartungszwecke heruntergefahren wird.
Wenn z. B. ein Domänencontroller zur Wartung offline geschaltet wird, kann die Warnung "Sensor hat keine Kommunikation mehr" ausgelöst werden. Sie können die API verwenden, um den Warnungsstatus von Öffnen in Unterdrückt zu ändern. Nachdem der Domänencontroller wieder online ist, stellen Sie den Status auf Öffnen zurück, und lassen Sie Microsoft Defender for Identity die Warnung automatisch schließen, wenn das Problem behoben ist.
Details zum Zustandsproblem überprüfen
Hinweis
In einigen v3-Sensorumgebungen können Integritätswarnungen zur Windows-Ereignisüberwachung weiterhin bestehen, auch wenn die Windows-Ereignisüberwachung ordnungsgemäß konfiguriert ist. Dies geschieht in erster Linie bei der konfiguration der manuellen Überwachung, z. B. mithilfe von Gruppenrichtlinien oder PowerShell. Der Sensor bleibt fehlerfrei, und Erkennungen sind nicht betroffen. Um dies zu beheben, aktivieren Sie die Automatische Windows-Überwachungskonfiguration im Defender for Identity-Portal unter Einstellungen>Erweiterte Features.
Die Tabellen in diesem Abschnitt listen alle Probleme für jede Komponente sowie deren Ursachen und Schritte zu ihrer Behebung auf.
Jede Tabelle mit Zustandsproblemen enthält eine Spalte Angezeigt in, die angibt, ob das Problem auf der Registerkarte Sensorzustandsprobleme oder der Registerkarte Globale Zustandsprobleme angezeigt wird.
| Warnung | Beschreibung | Lösung | Schweregrad | Angezeigt in | Unterstützt von der Sensorversion |
|---|---|---|---|---|---|
| Netzwerkkonfigurationskonflikt für Sensoren, die unter VMware ausgeführt werden | Die virtuellen Computer, auf denen die aufgeführten Defender for Identity-Sensoren installiert sind, stimmen nicht mit der Netzwerkkonfiguration überein. Dieses Problem kann sich auf die Leistung und Zuverlässigkeit der Sensoren auswirken. | Überprüfen Sie die Netzwerkschnittstelleneinstellungen, einschließlich der Deaktivierung von Large Send Offload (LSO), und befolgen Sie die Anweisungen zur Netzwerkkonfiguration des VMware-Sensors. | Hoch | Registerkarte „Zustandsprobleme von Sensoren“ | 2.x |
| Ein Domänencontroller ist von einem Sensor nicht erreichbar | Der Defender for Identity-Sensor verfügt aufgrund von Konnektivitätsproblemen mit dem konfigurierten Domänencontroller über eingeschränkte Funktionen. Dies wirkt sich auf die Fähigkeit von Defender for Identity aus, verdächtige Aktivitäten im Zusammenhang mit Domänencontrollern zu erkennen, die von diesem Defender for Identity-Sensor überwacht werden. | Stellen Sie sicher, dass die Domänencontroller in Betrieb sind und dass dieser Defender for Identity-Sensor LDAP-Verbindungen mit ihnen herstellen kann. Stellen Sie in Einstellungen außerdem sicher, dass Sie für jede bereitgestellte Gesamtstruktur ein Verzeichnisdienstkonto konfigurieren. | Mittel | Registerkarte „Zustandsprobleme von Sensoren“ | 2.x |
| Alle/einige der ausgewählten Erfassungsnetzwerkadapter auf dem Defender for Identity-Sensor sind deaktiviert oder getrennt. | Netzwerkdatenverkehr für einige/alle Domänencontroller wird nicht mehr vom Defender for Identity-Sensor erfasst. Dieses Problem wirkt sich auf die Fähigkeit aus, verdächtige Aktivitäten im Zusammenhang mit diesen Domänencontrollern zu erkennen. | Stellen Sie sicher, dass diese ausgewählten Aufnahmenetzwerkadapter auf dem Defender for Identity-Sensor aktiviert und verbunden sind. | Mittel | Registerkarte „Zustandsprobleme von Sensoren“ | 2.x |
| Die Anmeldeinformationen für Verzeichnisdienste sind falsch. | Die Anmeldeinformationen für das Verzeichnisdienst-Benutzerkonto sind falsch. Dieses Problem wirkt sich auf die Fähigkeit von Sensoren aus, Aktivitäten mithilfe von LDAP-Abfragen für Domänencontroller zu erkennen. | – Für ad-standardkonten : Überprüfen Sie, ob der Benutzername, das Kennwort und die Domäne auf der Konfigurationsseite der Verzeichnisdienste korrekt sind. – Für gruppenverwaltete Dienstkonten: Vergewissern Sie sich, dass der Benutzername und die Domäne auf der Konfigurationsseite der Verzeichnisdienste korrekt sind. Überprüfen Sie auch alle anderen Voraussetzungen für das gMSA-Konto, die auf der Seite Empfehlungen für Dienstkonten in Verzeichnisdiensten beschrieben sind. - Für v3.x-Sensoren in Umgebungen mit v2- und v3-Sensoren: DSA- und gMSA-Anmeldeinformationen werden weiterhin auf allen Sensoren überprüft, einschließlich v3-Sensoren, solange eine DSA oder gMSA auf Arbeitsbereichsebene vorhanden ist. Dies ist beabsichtigt. V3-Sensoren ignorieren die DSA und gMSA bei Überwachungs- und Reaktionsmaßnahmen, die Validierung von Anmeldeinformationen erfolgt jedoch auf Arbeitsbereichsebene. Um den Empfang dieser Warnung zu beenden, entfernen Sie die DSA oder gMSA, nachdem alle Sensoren zu v3 migriert wurden. Weitere Informationen finden Sie unter DSA- und gMSA-Gesundheitswarnungen in Umgebungen mit sowohl v2- als auch v3-Sensoren. – Informationen zur gMSA-Kennwortrotation und zu Warnungen bezüglich temporärer Anmeldeinformationen finden Sie im Hinweis Die Anmeldeinformationen der Benutzer für Verzeichnisdienste sind falsch am Ende dieses Abschnitts. |
Mittel | Registerkarte "Globale Integritätsprobleme" | Alle |
| Niedrige Erfolgsrate der aktiven Namensauflösung | Die aufgeführten Defender for Identity-Sensoren lösen IP-Adressen mithilfe der folgenden Methoden in über 90 % der Fälle nicht zu Gerätenamen auf: – NTLM über RPC -Netbios – Reverse-DNS. Dieses Problem wirkt sich auf die Erkennungsfunktionen von Defender for Identity aus und kann die Anzahl falsch positiver Alarme erhöhen. |
- Für NTLM über RPC: Überprüfen Sie, ob Port 135 für die eingehende Kommunikation von Defender for Identity-Sensoren auf allen Computern in der Umgebung geöffnet ist. - Für Reverse-DNS: Überprüfen Sie, ob die Sensoren den DNS-Server erreichen können und dass Reverse-Lookupzonen aktiviert sind. – Für NetBIOS: Überprüfen Sie, ob Port 137 für die eingehende Kommunikation von Defender for Identity-Sensoren auf allen Computern in der Umgebung geöffnet ist. Stellen Sie außerdem sicher, dass die Netzwerkkonfiguration (z. B. Firewalls) die Kommunikation mit den relevanten Ports nicht verhindert. |
Niedrig | Registerkarte „Zustandsprobleme der Sensoren“ und Registerkarte „Globale Zustandsprobleme“ | 2.x |
| Kein Netzwerkverkehr vom Domänencontroller empfangen | Es wurde kein Netzwerkverkehr von einem Domänencontroller über diesen Defender for Identity-Sensor empfangen. Dieses Problem kann darauf hindeuten, dass die Portspiegelung von den Domänencontrollern zum Defender for Identity-Sensor noch nicht konfiguriert ist oder nicht funktioniert. | Stellen Sie sicher, dass die Portspiegelung auf Ihren Netzwerkgeräten ordnungsgemäß konfiguriert ist. Deaktivieren Sie auf der Sensorerfassungs-NIC für Defender for Identity diese Features in den erweiterten Einstellungen: Zusammengeführte Segmente empfangen (IPv4) Zusammengeführte Segmente empfangen (IPv6) |
Mittel | Registerkarte „Zustandsprobleme der Sensoren“ und Registerkarte „Globale Zustandsprobleme“ | 2.x |
| Das Passwort des Benutzers mit Leserechten läuft in Kürze ab | Das schreibgeschützte Benutzerkennwort, das zum Ausführen der Auflösung von Entitäten mit Active Directory verwendet wird, läuft in weniger als 30 Tagen ab. Wenn das Kennwort für diesen Benutzer abläuft, werden alle Defender for Identity-Sensoren nicht mehr ausgeführt, und es werden keine neuen Daten erfasst. | Ändern Sie das Kennwort für die Domänenkonnektivität, und aktualisieren Sie dann das Kennwort des Verzeichnisdienstkontos . | Mittel | Registerkarte "Globale Integritätsprobleme" | 2.x |
| Schreibgeschütztes Benutzerkennwort abgelaufen | Das schreibgeschützte Benutzerkennwort, das zum Abrufen von Verzeichnisdaten verwendet wird, ist abgelaufen. Alle Defender for Identity-Sensoren werden nicht mehr ausgeführt oder werden bald nicht mehr ausgeführt, und es werden keine neuen Daten gesammelt. | Ändern Sie das Kennwort für die Domänenkonnektivität, und aktualisieren Sie dann das Kennwort des Verzeichnisdienstkontos . | Hoch | Registerkarte "Globale Integritätsprobleme" | 2.x |
| Sensor veraltet (v2) | Ein Defender for Identity-Sensor führt eine Version aus, die nicht mit der Defender for Identity-Cloudinfrastruktur kommunizieren kann. | Aktualisieren Sie den Sensor manuell, und überprüfen Sie, warum der Sensor nicht automatisch aktualisiert wird. Wenn diese Option nicht funktioniert, laden Sie das neueste Sensorinstallationspaket herunter, deinstallieren Sie den Sensor, und installieren Sie ihn erneut. Weitere Informationen finden Sie unter Herunterladen des Microsoft Defender for Identity-Sensors und Installieren des Microsoft Defender for Identity-Sensors. | Mittel | Registerkarte „Zustandsprobleme der Sensoren“ und Registerkarte „Globale Zustandsprobleme“ | 2.x |
| Sensor veraltet (v3) | Ein Defender for Identity-Sensor wird auf einem Server ausgeführt, der nicht über das erforderliche kumulative Windows-Update verfügt, um die neuesten Sensorfunktionen zu unterstützen. | Aktualisieren Sie den Server mit dem neuesten kumulativen Windows-Update, und überprüfen Sie, ob Updates erfolgreich installiert wurden. Vergewissern Sie sich nach dem Aktualisieren auf der Seite Portalsensoren > , dass die Sensorversion auf dem neuesten Stand ist. Weitere Informationen finden Sie unter Defender for Identity v3.x-Sensoranforderungen. | Mittel | Registerkarte „Zustandsprobleme der Sensoren“ und Registerkarte „Globale Zustandsprobleme“ | 3.x |
| Der Sensor hat ein Speicherressourcenlimit erreicht. | Der Defender for Identity-Sensor hat sich selbst beendet und wird automatisch neu gestartet, um den Domänencontroller vor unzureichendem Arbeitsspeicher zu schützen. Der Defender for Identity-Sensor erzwingt Speicherbeschränkungen für sich selbst, um zu verhindern, dass auf dem Domänencontroller Ressourcenbeschränkungen auftreten. Dieses Problem tritt auf, wenn die Arbeitsspeicherauslastung auf dem Domänencontroller hoch ist. Daten von diesem Domänencontroller werden nur teilweise überwacht. | Erhöhen Sie die Arbeitsspeichermenge (RAM) auf dem Domänencontroller, oder fügen Sie weitere Domänencontroller an diesem Standort hinzu, um die Last dieses Domänencontrollers besser zu verteilen. | Mittel | Registerkarte „Zustandsprobleme von Sensoren“ | 2.x |
| Fehler beim Starten des Sensordiensts | Der Defender for Identity-Sensordienst konnte mindestens 30 Minuten lang nicht gestartet werden. Dieses Problem kann sich auf die Fähigkeit auswirken, verdächtige Aktivitäten zu erkennen, die von Domänencontrollern stammen, die von diesem Defender for Identity-Sensor überwacht werden. | Überwachen Sie die Defender for Identity-Sensorprotokolle, um die Grundursache für den Fehler des Defender for Identity-Sensordiensts zu verstehen. | Hoch | Registerkarte „Zustandsprobleme von Sensoren“ | Alle |
| Der Sensor hat die Kommunikation beendet | Vom Defender for Identity-Sensor ist keine Kommunikation eingegangen. Die Standardzeitspanne für diese Warnung beträgt 5 Minuten. Dieses Problem weist darauf hin, dass der Sensor keine Daten oder ein Keep-Alive-Signal an die Defender for Identity-Dienste senden konnte, wenn die zulässige Zeit überschritten wurde. Dieses Problem deutet in der Regel auf ein Netzwerkproblem in der Umgebung hin, das die Datenübertragung verhinderte, oder einen Serverneustart, der länger als der akzeptable Zeitrahmen dauerte, was sich auf die Fähigkeit von Defender for Identity auswirkt, verdächtige Aktivitäten zu erkennen. | Überprüfen Sie, ob die Kommunikation zwischen dem Defender for Identity-Sensor und dem Defender for Identity-Clouddienst nicht durch Router oder Firewalls blockiert wird. | Mittel | Registerkarte „Zustandsprobleme von Sensoren“ | Alle |
| Einige Windows-Ereignisse werden nicht analysiert | Der Defender for Identity-Sensor empfängt mehr Ereignisse, als er verarbeiten kann, was dazu führt, dass einige Windows-Ereignisse nicht analysiert werden. Dieses Problem kann sich auf die Fähigkeit auswirken, verdächtige Aktivitäten zu erkennen, die von Domänencontrollern stammen, die von diesem Defender for Identity-Sensor überwacht werden. | Erwägen Sie , bei Bedarf weitere Prozessoren und Arbeitsspeicher hinzuzufügen . Wenn Sie einen eigenständigen Defender for Identity-Sensor verwenden, überprüfen Sie, ob nur die erforderlichen Ereignisse an den Sensor weitergeleitet werden. Oder versuchen Sie, einige Ereignisse an einen anderen Defender for Identity-Sensor weiterzuleiten. | Mittel | Registerkarte „Zustandsprobleme der Sensoren“ und Registerkarte „Globale Zustandsprobleme“ | 2.x |
| Ein Teil des Netzwerkdatenverkehrs konnte nicht analysiert werden. | Der Defender for Identity-Sensor empfängt mehr Netzwerkdatenverkehr, als er verarbeiten kann, was dazu führt, dass ein Teil des Netzwerkdatenverkehrs nicht analysiert werden konnte. Dieses Problem kann sich auf die Fähigkeit auswirken, verdächtige Aktivitäten zu erkennen, die von Domänencontrollern stammen, die von diesem Defender for Identity-Sensor überwacht werden. | Erwägen Sie , bei Bedarf weitere Prozessoren und Arbeitsspeicher hinzuzufügen . Wenn Sie einen eigenständigen Defender for Identity-Sensor verwenden, verringern Sie die Anzahl der überwachten Domänencontroller. Dieses Problem kann auch auftreten, wenn Sie Domänencontroller auf virtuellen VMware-Computern verwenden. Um diese Probleme zu vermeiden, können Sie überprüfen, ob die folgenden Einstellungen auf dem virtuellen Computer auf 0 oder Deaktiviert festgelegt sind (im Windows-Betriebssystem, nicht in den VMware-Einstellungen): - Large-Send-Offload V2 (IPv4) - IPv4-TSO-Entlastung Die Namen können je nach VMware-Version variieren. Weitere Informationen finden Sie in der VMware-Dokumentation. |
Mittel | Registerkarte „Zustandsprobleme der Sensoren“ und Registerkarte „Globale Zustandsprobleme“ | 2.x |
| Einige ETW-Ereignisse werden nicht analysiert | Der Defender for Identity-Sensor empfängt mehr ETW-Ereignisse (Event Tracing for Windows), als er verarbeiten kann, wodurch einige ETW-Ereignisse nicht analysiert werden. Dieses Problem kann sich auf die Fähigkeit auswirken, verdächtige Aktivitäten zu erkennen, die von Domänencontrollern stammen, die von diesem Defender for Identity-Sensor überwacht werden. | Erwägen Sie , bei Bedarf weitere Prozessoren und Arbeitsspeicher hinzuzufügen . | Mittel | Registerkarte „Zustandsprobleme der Sensoren“ und Registerkarte „Globale Zustandsprobleme“ | 2.x |
| Sensor unter einem Betriebssystem, das bald nicht mehr unterstützt wird | Der Defender for Identity-Sensor wird auf einem Betriebssystem ausgeführt, das bald nicht mehr unterstützt wird. Windows Server 2012 und 2012 R2 hat am 10. Oktober 2023 das Ende des Supports erreicht. Weitere Informationen finden Sie unter: https://aka.ms/mdi/oseos | Das Betriebssystem auf dem Server sollte auf das neueste unterstützte Betriebssystem aktualisiert werden. Weitere Informationen finden Sie unter Mindestanforderungen des Betriebssystems. | Mittel | Registerkarte „Zustandsprobleme von Sensoren“ | 2.x |
| Sensor, der auf einem nicht unterstützten Betriebssystem ausgeführt wird | Der Defender for Identity-Sensor wird auf einem nicht unterstützten Betriebssystem ausgeführt. Windows Server 2012 und 2012 R2 hat am 10. Oktober 2023 das Ende des Supports erreicht. Weitere Informationen finden Sie unter: https://aka.ms/mdi/oseos | Das Betriebssystem auf dem Server sollte auf das neueste unterstützte Betriebssystem aktualisiert werden. Weitere Informationen finden Sie unter Mindestanforderungen des Betriebssystems. | Hoch | Registerkarte „Zustandsprobleme von Sensoren“ | Alle |
| Sensor hat Probleme mit der Paketerfassungskomponente | Der Defender for Identity-Sensor verwendet WinPcap-Treiber anstelle von Npcap-Treibern. Alle Kunden sollten Npcap-Treiber anstelle der WinPcap-Treiber verwenden. Ab Defender for Identity Version 2.184 installiert das Installationspaket Npcap 1.0 OEM. | Installieren Sie Npcap gemäß der Anleitung, wie unter beschrieben: https://aka.ms/mdi/npcap | Hoch | Registerkarte „Zustandsprobleme von Sensoren“ | 2.x |
| Sensor hat Probleme mit der Paketerfassungskomponente | Der Defender for Identity-Sensor führt eine Npcap-Version aus, die älter als die erforderliche Mindestversion ist. Die unterstützte Npcap-Mindestversion ist 1.0. Ab Defender for Identity Version 2.184 installiert das Installationspaket Npcap 1.0 OEM. | Aktualisieren Sie Npcap gemäß der Anleitung, die hier beschrieben ist: https://aka.ms/mdi/npcap | Mittel | Registerkarte „Zustandsprobleme von Sensoren“ | 2.x |
| Sensor hat Probleme mit der Paketerfassungskomponente | Der Defender for Identity-Sensor führt eine Npcap-Komponente aus, die nicht nach Bedarf konfiguriert ist. In der Npcap-Installation fehlen die erforderlichen Konfigurationsoptionen. | Installieren Sie Npcap gemäß der Anleitung, wie unter beschrieben: https://aka.ms/mdi/npcap | Hoch | Registerkarte „Zustandsprobleme von Sensoren“ | 2.x |
| NTLM-Überwachung ist nicht aktiviert | Die NTLM-Überwachung (für Ereignis-ID 8004) ist auf dem Server nicht aktiviert. (Diese Konfiguration wird einmal täglich pro Sensor überprüft.) | Aktivieren Sie NTLM-Überwachungsereignisse gemäß der Anleitung, wie im Abschnitt Ereignis-ID 8004 auf der Seite Windows-Ereignissammlung konfigurieren beschrieben. | Mittel | Registerkarte „Zustandsprobleme von Sensoren“ | Alle |
| Die erweiterte Überwachung für Verzeichnisdienste ist nicht wie erforderlich aktiviert | Die Konfiguration der erweiterten Überwachung von Verzeichnisdiensten umfasst nicht alle Kategorien und Unterkategorien nach Bedarf. (Diese Konfiguration wird einmal täglich pro Sensor überprüft.) | Aktivieren Sie die Ereignisse der erweiterten Überwachung der Verzeichnisdienste. Weitere Informationen finden Sie unter Konfigurieren von Überwachungsrichtlinien für Windows-Ereignisprotokolle. | Mittel | Registerkarte „Zustandsprobleme von Sensoren“ | Alle |
| Die Verzeichnisdienstobjektüberwachung ist nicht bei Bedarf aktiviert. | Die Konfiguration der Verzeichnisdienste-Objektüberwachung umfasst nicht alle Objekttypen und Berechtigungen nach Bedarf. (Diese Konfiguration wird einmal täglich pro Domäne überprüft.) | Aktivieren Sie die Ereignisse der Verzeichnisdiensteobjektüberwachung gemäß den Anweisungen, die im Abschnitt Konfigurieren der Überwachung von Domänenobjekten auf der Seite Windows-Ereignissammlung konfigurieren beschrieben sind. | Mittel | Registerkarte "Globale Integritätsprobleme" | Alle |
| Die Überwachung für den Konfigurationscontainer ist nicht bei Bedarf aktiviert. | Die Verzeichnisdienstüberwachung für den Konfigurationscontainer der Domäne ist nicht bei Bedarf aktiviert. (Diese Konfiguration wird einmal täglich pro Domäne überprüft.) Active Directory repliziert den Konfigurationscontainer im gesamten Forest und konfiguriert also das Auditing einmal für den gesamten Forest. Der Gesundheitsalarm kann für mehrere Domänen erscheinen, da Sensoren in jeder Domäne den Zustand des gemeinsamen Konfigurationscontainers melden. | Aktivieren Sie die Verzeichnisdiensteüberwachung für den Konfigurationscontainer der Domäne gemäß den Anweisungen, die im Abschnitt Konfigurieren von Überwachungsrichtlinien auf der Seite Windows-Ereignissammlung konfigurieren beschrieben sind. | Mittel | Registerkarte "Globale Integritätsprobleme" | Alle |
| Die Überwachung im AD FS-Container ist nicht wie erforderlich aktiviert. | Die Verzeichnisdienstüberwachung für den AD FS-Container ist nicht bei Bedarf aktiviert. (Diese Konfiguration wird einmal täglich pro Domäne überprüft.) | Aktivieren Sie die Verzeichnisdiensteüberwachung für den AD FS-Container gemäß den Anweisungen, die im Abschnitt Konfigurieren der Überwachung für einen Active Directory-Verbunddienste (AD FS) auf der Seite Windows-Ereignissammlung konfigurieren beschrieben sind. | Mittel | Registerkarte "Globale Integritätsprobleme" | Alle |
| Der Energiemodus ist nicht für eine optimale Prozessorleistung konfiguriert. | Der Energiemodus des Betriebssystems ist nicht für die optimalen Prozessorleistungseinstellungen konfiguriert. (Diese Konfiguration wird einmal täglich pro Sensor überprüft.) Dieses Problem kann sich auf die Leistung des Servers und die Fähigkeit der Sensoren auswirken, verdächtige Aktivitäten zu erkennen. | Führen Sie einen der folgenden Schritte aus: – Konfigurieren der Energieoption des Computers, auf dem der Defender for Identity-Sensor ausgeführt wird, auf Hohe Leistung – Legen Sie sowohl den minimalen als auch den maximalen Prozessorzustand auf 100 fest. Weitere Informationen finden Sie im Abschnitt Serveranforderungen auf der Seite Voraussetzungen für Defender for Identity . |
Niedrig | Registerkarte „Zustandsprobleme von Sensoren“ | 2.x |
| Fehler beim Schreiben des Sensors in den benutzerdefinierten Protokollpfad | Der in der Sensorkonfiguration angegebene benutzerdefinierte Protokollpfad kann nicht erstellt werden. | 1. Beenden Sie die Dienste AATPSensorUpdater und AATPSensor. 2. Ändern Sie SensorCustomLogLocation in der Sensorkonfigurationsdatei zu einem gültigen Pfad oder setzen Sie ihn auf null. 3. Starten Sie die AATPSensorUpdater Dienste und AATPSensor erneut. |
Niedrig | Registerkarte „Zustandsprobleme von Sensoren“ | 2.x |
| Fehler bei der Datenerfassung für Radius-Accounting (VPN-Integration) | Die aufgeführten Defender for Identity-Sensoren weisen Fehler bei der Erfassung von RADIUS-Abrechnungsdaten (VPN-Integration) auf. | Vergewissern Sie sich, dass das gemeinsam verwendete Geheimnis in den Defender for Identity-Konfigurationseinstellungen mit Ihrem VPN-Server übereinstimmt, gemäß der Anleitung im Abschnitt VPN in Defender for Identity konfigurieren auf der Seite Defender for Identity-VPN-Integration. | Niedrig | Seite „Gesundheitsprobleme“ | 2.x |
| Die Überwachung für AD CS-Server ist nicht nach Bedarf aktiviert. | Die Erweiterte Überwachungsrichtlinienkonfiguration oder AD CS-Überwachung ist nicht nach Bedarf aktiviert. (Diese Konfiguration wird einmal täglich pro Sensor überprüft.) | Aktivieren Sie die Erweiterte Überwachungsrichtlinienkonfiguration und die AD CS-Überwachung gemäß den Anweisungen, wie im Abschnitt Konfigurieren der Überwachung in AD CS auf der Seite Windows-Ereignissammlung konfigurieren beschrieben. | Mittel | Registerkarte „Zustandsprobleme von Sensoren“ | 2.x |
| Fehler beim Abrufen der Microsoft Entra Connect-Dienstkonfiguration durch den Sensor | Der Sensor kann die Konfiguration nicht aus dem Microsoft Entra Connect-Dienst (auch als Microsoft Azure AD-Synchronisierung bezeichnet) abrufen. | Stellen Sie sicher, dass der Microsoft Entra Connect-Dienst (Microsoft Azure AD Sync) ausgeführt wird, und befolgen Sie die Anweisungen unter Konfigurieren von Berechtigungen für die Microsoft Entra Connect (ADSync)-Datenbank , um dem Sensor die erforderlichen Berechtigungen zu gewähren. Wenn das Problem weiterhin besteht, befolgen Sie die Anleitung zur Problembehandlung unter SQL-Konnektivitätsprobleme mit Microsoft Entra Connect. | Mittel | Registerkarte „Zustandsprobleme von Sensoren“ | 2.x |
| Sensor v3.x RPC Audit Falsch konfiguriert | Dem Sensor fehlt das erforderliche Unified Sensor RPC Audit-Konfigurations-Tag, oder das Tag wurde nicht korrekt angewendet. | Dieses Problem betrifft die Fähigkeit des Sensors, die erweiterte RPC-Überwachung zu aktivieren, die für bestimmte erweiterte Identitätserkennungen auf v3.x-Sensoren erforderlich ist. Ohne diese Konfiguration funktionieren einige identitätsbasierte Erkennungen möglicherweise nicht, sodass Defender for Identity den Einblick in verdächtige Aktivitäten verringert. Vergewissern Sie sich, dass die Konfiguration unified Sensor RPC Audit ordnungsgemäß auf die relevanten Geräte angewendet wurde, indem Sie die Anweisungen unter Konfigurieren der RPC-Überwachung befolgen. Nach Anwendung des Tags wird die Konfiguration auf den entsprechenden Geräten automatisch erzwungen, wodurch die volle Erkennungsfähigkeit wiederhergestellt wird. Ab Sensorversion 3.0.8 wird die RPC-Überwachung beim Upgrade des Sensors automatisch aktiviert, sodass das Tag nicht mehr erforderlich ist. | Mittel | Registerkarte „Zustandsprobleme von Sensoren“ | 3.x |
Hinweis
Benutzeranmeldeinformationen für Verzeichnisdienste sind nicht korrekt: Die automatische Kennwortrotation des gruppenverwalteten Dienstkontos (gMSA) kann vorübergehend integritätsbezogene Warnmeldungen zu Verzeichnisanmeldeinformationen auslösen. Während der Kennwortrotation kann sich ein Sensor möglicherweise kurz nicht authentifizieren, bis er das aktualisierte gMSA-Kennwort abruft. Diese Warnungen werden voraussichtlich automatisch aufgelöst, nachdem der Sensor seine Anmeldeinformationen erfolgreich aktualisiert hat. Wenn die Warnung automatisch geschlossen wird und nicht erneut auftritt, ist keine manuelle Korrektur erforderlich. Administratoren sollten überprüfen, ob der gMSA ordnungsgemäß konfiguriert ist und dass der betroffene Sensor in einen fehlerfreien Zustand zurückkehrt.
In Umgebungen mit v2- und v3-Sensoren werden DSA- und gMSA-Anmeldeinformationen weiterhin auf allen Sensoren im Arbeitsbereich überprüft, solange diese Konten unabhängig von der Sensorversion konfiguriert sind. V3-Sensoren ignorieren die DSA und gMSA bei Überwachungs- und Reaktionsmaßnahmen, die Validierung der Anmeldeinformationen auf Arbeitsbereichsebene schließt sie jedoch weiterhin ein. Um den Empfang dieser Warnung auf v3-Sensoren zu beenden, entfernen Sie die DSA oder gMSA, nachdem alle Sensoren zu v3 migriert wurden und keine v2-Sensoren dies erfordern. Weitere Informationen finden Sie unter DSA- und gMSA-Gesundheitswarnungen in Umgebungen mit sowohl v2- als auch v3-Sensoren.