Automatische inrichting configureren voor agents en extensies van Microsoft Defender for Cloud

Microsoft Defender for Cloud verzamelt gegevens van uw resources met behulp van de relevante agent of extensies voor die resource en het type gegevensverzameling dat u hebt ingeschakeld. Gebruik de onderstaande procedures om ervoor te zorgen dat uw resources over de benodigde agents en extensies beschikken die door Defender for Cloud worden gebruikt.

Vereisten

Als u aan de slag wilt met Defender for Cloud, moet u een abonnement hebben om aan de slag te Microsoft Azure. Als u geen abonnement hebt, kunt u zich registreren voor een gratis account.

Beschikbaarheid

Aspect	Details
Releasestatus:	Functie: Automatisch inrichten is algemeen beschikbaar (GA) Agent en extensies: Log Analytics-agent voor azure-VM's is ga, Microsoft Dependency Agent is in preview, beleids-invoegsel voor Kubernetes is ga, gastconfiguratieagent is preview
Prijzen:	Gratis
Ondersteunde bestemmingen:	Azure-machines Azure Arc machines Kubernetes-knooppunten Virtual Machine Scale Sets
Clouds:	Functie: Commerciële clouds Azure Government, Azure China 21Vianet Agent en extensies: Log Analytics-agent voor Azure-VM's is beschikbaar in alle clouds, de beleids-invoegsel voor Kubernetes is beschikbaar in alle clouds, de gastconfiguratieagent is alleen beschikbaar in commerciële clouds

Hoe verzamelt Defender for Cloud gegevens?

Defender for Cloud verzamelt gegevens van uw virtuele Azure-machines (VM's), virtuele-machineschaalsets, IaaS-containers en niet-Azure-machines (inclusief on-premises) om te controleren op beveiligingsproblemen en bedreigingen.

Het verzamelen van gegevens is vereist om inzicht te krijgen in ontbrekende updates, onjuist geconfigureerde beveiligingsinstellingen voor het besturingssysteem, eindpuntbeveiligingsstatus, beveiliging van de status en beveiliging tegen bedreigingen. Gegevensverzameling is alleen nodig voor rekenbronnen zoals VM's, virtuele-machineschaalsets, IaaS-containers en niet-Azure-computers.

U kunt profiteren van Microsoft Defender for Cloud, zelfs als u geen agents inrichten. U hebt echter beperkte beveiliging en de hierboven vermelde mogelijkheden worden niet ondersteund.

Gegevens worden verzameld met:

• De Log Analytics-agent, die verschillende configuraties en gebeurtenislogboeken met betrekking tot beveiliging van de machine leest en de gegevens kopieert naar uw werkruimte voor analyse. Voorbeelden van dergelijke gegevens zijn: besturingssysteemtype en -versie, besturingssysteemlogboeken (Windows-gebeurtenislogboeken), actieve processen, computernaam, IP-adressen en aangemelde gebruiker.
• Beveiligingsextensies, zoals de Azure Policy-invoegsel voor Kubernetes,die ook gegevens kan verstrekken aan Defender for Cloud met betrekking tot gespecialiseerde resourcetypen.

Wat is het nut van automatische inrichting?

Elk van de agents en extensies die op deze pagina worden beschreven kunnen handmatig worden geïnstalleerd. (Zie Handmatige installatie van de Log Analytics-agent.) Maar met automatische inrichting vermindert u de overhead voor beheer doordat alle vereiste agents en extensies op bestaande en nieuwe machines worden geïnstalleerd, waardoor een snellere beveiligingsdekking voor alle ondersteunde resources wordt gerealiseerd.

Het is raadzaam om automatische inrichting in te schakelen, maar het is standaard uitgeschakeld.

Hoe werkt automatische inrichting?

De instellingen voor automatische inrichting van Defender for Cloud hebben een schakelknop voor elk type ondersteunde extensie. Wanneer u automatische inrichting van een extensie inschakelen, wijst u de juiste implementeren indien niet bestaat beleid. Dit beleidstype zorgt ervoor dat de extensie wordt ingericht voor alle bestaande en toekomstige resources van dat type.

Automatische inrichting van de Log Analytics-agent en -extensies inschakelen

Wanneer automatische inrichting is aan voor de Log Analytics-agent, implementeert Defender for Cloud de agent op alle ondersteunde Azure-VM's en op nieuwe VM's. Zie Ondersteunde platforms in Microsoft Defender for Cloud voor een lijst met ondersteunde platforms.

Automatische inrichting van de Log Analytics-agent inschakelen:

1. Open omgevingsinstellingen in het menu van Defender for Cloud.

2. Selecteer het betreffende abonnement.

3. Stel op de pagina Automatische inrichting de status van automatische inrichting voor de Log Analytics-agent in op Aan.

   

4. Definieer in het deelvenster met de configuratieopties de werkruimte die gebruikt moet worden.

   

   • Verbinding maken Azure-VM's naar de standaardwerkruimte(en) die zijn gemaakt door Defender for Cloud : Defender for Cloud maakt een nieuwe resourcegroep en standaardwerkruimte in dezelfde geolocatie en verbindt de agent met die werkruimte. Als een abonnement VM's uit meerdere geolocaties bevat, maakt Defender for Cloud meerdere werkruimten om ervoor te zorgen dat aan de privacyvereisten voor gegevens wordt voldaan.

     De naamconventie voor de werkruimte en de resourcegroep is:

     • Werkruimte: DefaultWorkspace-[abonnements-id]-[geolocatie]
     • Resourcegroep: DefaultResourceGroup-[geo]

     Een Defender for Cloud-oplossing wordt automatisch ingeschakeld voor de werkruimte volgens de prijscategorie die is ingesteld voor het abonnement.

     Tip

     Bij vragen over standaard werkruimten zie:

     • Word ik gefactureerd voor Azure Monitor logboeken in de werkruimten die zijn gemaakt door Defender for Cloud?
     • Waar wordt de standaard Log Analytics-werkruimte gemaakt?
     • Kan ik de standaardwerkruimten verwijderen die zijn gemaakt door Defender for Cloud?

   • Azure VM's verbinden met een andere werkruimte: selecteer in de vervolgkeuzelijst de werkruimte waarin verzamelde gegevens moeten worden opgeslagen. De vervolgkeuzelijst bevat alle werkruimten in al uw abonnementen. U kunt deze optie gebruiken om gegevens te verzamelen van virtuele machines die worden uitgevoerd in verschillende abonnementen, en deze allemaal op te slaan in uw geselecteerde werkruimte.

     Als u al een bestaande Log Analytics-werkruimte hebt, wilt u mogelijk dezelfde werkruimte gebruiken (vereist lees- en schrijfmachtigingen voor de werkruimte). Deze optie is handig als u een centrale werkruimte gebruikt in uw organisatie en u deze ook wilt gebruiken voor het verzamelen van beveiligingsgegevens. Meer informatie vindt u in Toegang tot logboekgegevens en werkruimten beheren in Azure Monitor.

     Als voor de geselecteerde werkruimte al een oplossing 'Beveiliging' of 'SecurityCenterFree' is ingeschakeld, worden de prijzen automatisch ingesteld. Zo niet, installeer dan een Defender for Cloud-oplossing in de werkruimte:

     1. Open omgevingsinstellingen in het menu van Defender for Cloud.
     2. Selecteer de werkruimte waarmee u verbinding wilt maken met de agents.
     3. Selecteer Verbeterde beveiliging uitschakelen of Alle Microsoft Defender-abonnementen inschakelen.

5. Selecteer in de configuratie van de Windows-beveiligingsgebeurtenissen de hoeveelheid onbewerkte gebeurtenisgegevens die moet worden opgeslagen:

   • Geen : opslag voor beveiligingsgebeurtenissen uitschakelen. Dit is de standaardinstelling.
   • Minimaal: een kleine set gebeurtenissen voor als u het gebeurtenisvolume wilt minimaliseren.
   • Algemeen: een set gebeurtenissen die voldoet voor de meeste klanten en een volledige audittrail biedt.
   • Alle gebeurtenissen: voor klanten die willen controleren of alle gebeurtenissen zijn opgeslagen.

   Tip

   Zie Instellen van de beveiligingsgebeurtenisoptie op het niveau van de werkruimte als u deze opties wilt instellen op het niveau van de werkruimte.

   Zie Windows-beveiligingsgebeurtenisopties voor de Log Analytics-agent voor meer informatie over deze opties.

6. Selecteer Toepassen in het configuratievenster.

7. Voor het inschakelen van de automatische inrichting van een extensie anders dan de Log Analytics-agent, gaat u als volgt te werk:

   1. Als u automatische inrichting inschakelen voor de Microsoft Dependency Agent, zorg ervoor dat de Log Analytics-agent is ingesteld op automatisch implementeren.

   2. Zet voor de relevante extensie de wisselknop voor de status op Aan.

      

   3. Selecteer Opslaan. De Azure Policy definitie wordt toegewezen en er wordt een hersteltaak gemaakt.

      Extensie	Beleid
      Policy-invoegtoepassing voor Kubernetes	Azure Policy-invoegtoepassing implementeren op Azure Kubernetes Service-clusters
      Microsoft Dependency Agent (preview) (Windows-VM's)	Dependency Agent implementeren voor Windows-VM's
      Microsoft Dependency Agent (preview) (Linux-VM's)	Dependency Agent implementeren voor Linux-VM's
      Gastconfiguratieagent (preview)	Vereisten implementeren om beleidsregels voor gastconfiguraties op virtuele machines in te schakelen

8. Selecteer Opslaan. Als een werkruimte moet worden ingericht, kan de installatie van de agent tot wel 25 minuten duren.

9. U wordt gevraagd of u de bewaakte VM's die eerder waren verbonden met een standaardwerkruimte, opnieuw wilt configureren:

   

   • Nee: uw nieuwe werkruimte-instellingen worden alleen toegepast op nieuw gedetecteerde VM's waarop de Log Analytics-agent niet is geïnstalleerd.
   • Ja: uw nieuwe werkruimte-instellingen zijn van toepassing op alle VM's en elke VM die momenteel is verbonden met een door Defender for Cloud gemaakte werkruimte wordt opnieuw verbonden met de nieuwe doelwerkruimte.

   Notitie

   Als u Ja selecteert, verwijdert u de werkruimte(en) die zijn gemaakt door Defender for Cloud pas als alle VM's opnieuw zijn verbonden met de nieuwe doelwerkruimte. Deze bewerking mislukt als een werkruimte te vroeg wordt verwijderd.

Windows-beveiligingsgebeurtenisopties voor de Log Analytics-agent

Het selecteren van een gegevensverzamelingslaag in Microsoft Defender for Cloud is alleen van invloed op de opslag van beveiligingsgebeurtenissen in uw Log Analytics-werkruimte. De Log Analytics-agent verzamelt en analyseert nog steeds de beveiligingsgebeurtenissen die vereist zijn voor de bedreigingsbeveiliging van Defender for Cloud, ongeacht het niveau van beveiligingsgebeurtenissen dat u in uw werkruimte wilt opslaan. Als u ervoor kiest om beveiligingsgebeurtenissen op te slaan, kunt u gebeurtenissen vanuit die werkruimte onderzoeken, zoeken en controleren.

Vereisten

De verbeterde beveiliging van Defender for Cloud is vereist voor het opslaan van Windows beveiligingsgebeurtenisgegevens. Meer informatie over de verbeterde beveiligingsplannen.

Voor het opslaan van gegevens in Log Analytics worden mogelijk extra kosten voor gegevensopslag in rekening gebracht. Zie de pagina prijzen voor meer informatie.

Informatie voor Microsoft Sentinel-gebruikers

Gebruikers van Microsoft Sentinel: houd er rekening mee dat het verzamelen van beveiligingsgebeurtenissen binnen de context van één werkruimte kan worden geconfigureerd vanuit Microsoft Defender for Cloud of Microsoft Sentinel, maar niet beide. Als u van plan bent Microsoft Sentinel toe te voegen aan een werkruimte die al waarschuwingen van Microsoft Defender for Cloud ontvangt en is ingesteld op het verzamelen van beveiligingsgebeurtenissen, hebt u twee opties:

• Laat de verzameling Beveiligingsgebeurtenissen in Microsoft Defender for Cloud zoals deze is. U kunt deze gebeurtenissen opvragen en analyseren in Microsoft Sentinel en in Defender for Cloud. U kunt echter niet de connectiviteitsstatus van de connector bewaken of de configuratie ervan wijzigen in Microsoft Sentinel. Als dit belangrijk voor u is, kunt u de tweede optie overwegen.
• Schakel het verzamelen van beveiligingsgebeurtenissen in Microsoft Defender for Cloud uit (door Windows beveiligingsgebeurtenissen in te stellen op Geen in de configuratie van uw Log Analytics-agent). Voeg vervolgens de connector Beveiligingsgebeurtenissen toe in Microsoft Sentinel. Net als bij de eerste optie kunt u gebeurtenissen in Zowel Microsoft Sentinel als Defender for Cloud opvragen en analyseren, maar u kunt nu de connectiviteitsstatus van de connector bewaken of de configuratie ervan wijzigen in - en alleen in - Microsoft Sentinel.

Welke gebeurtenistypen worden er opgeslagen voor 'Algemeen' en 'Minimaal'?

Deze sets zijn ontworpen om typische scenario's te ondersteunen. Controleer welke set aan uw behoeften voldoet voordat u deze implementeert.

Bij het bepalen van de gebeurtenissen voor de opties Algemeen en Minimaal hebben we samengewerkt met klanten, en industriestandaards gebruikt om de ongefilterde frequentie van elke gebeurtenis en het gebruik ervan te weten te komen. Bij dit proces hebben we de volgende richtlijnen gebruikt:

• Minimaal: ervoor zorgen dat deze set alleen gebeurtenissen bevat die kunnen wijzen op een geslaagde inbraak, en belangrijke gebeurtenissen met een zeer laag volume. Deze set bevat bijvoorbeeld geslaagde en mislukte aanmeldingspogingen van gebruikers (gebeurtenis-id's 4624 en 4625), maar geen afmeldingen; die zijn belangrijk voor de controle, maar zijn niet belangrijk voor detectie en hebben een betrekkelijk hoog volume. Het grootste deel van het gegevensvolume van deze set bestaat uit de aanmeldingsgebeurtenissen en de procesaanmaakgebeurtenis (gebeurtenis-id 4688).
• Algemeen: een volledig auditlogboek bieden in deze set. Deze set bevat bijvoorbeeld zowel aanmeldingen als afmeldingen van gebruikers (gebeurtenis-ID 4634). Hierin zijn controleacties opgenomen zoals wijzigingen van beveiligingsgroep, belangrijke Kerberos-bewerkingen voor domeincontrollers, en andere gebeurtenissen die worden aanbevolen door brancheorganisaties.

Gebeurtenissen met een zeer laag volume zijn opgenomen in de gemeenschappelijke set. De belangrijkste motivatie om deze te kiezen voor alle gebeurtenissen is om het volume te verminderen en niet om specifieke gebeurtenissen uit te filteren.

Hier volgt een volledige uitsplitsing van de gebeurtenis-id's van Security en App Locker voor elke set:

De beveiligingsgebeurtenisoptie op het niveau van de werkruimte instellen

U kunt het niveau beveiligingsgebeurtenisgegevens definiëren dat moet worden opgeslagen op het niveau van de werkruimte.

1. Selecteer in het menu van Defender for Cloud in Azure Portal de optie Omgevingsinstellingen.

2. Selecteer de relevante werkruimte. De enige gebeurtenissen voor het verzamelen van gegevens voor een werkruimte zijn de Windows-beveiligingsgebeurtenissen die op deze pagina worden beschreven.

   

3. Selecteer de hoeveelheid onbewerkte gebeurtenisgegevens die moeten worden opgeslagen en selecteer Opslaan.

Handmatige agentinrichting

De Log Analytics-agent handmatig installeren:

1. Schakel automatische inrichting uit.

2. Maak desgewenst een werkruimte.

3. Schakel Microsoft Defender for Cloud in voor de werkruimte waarop u de Log Analytics-agent installeert:

   1. Open omgevingsinstellingen in het menu van Defender for Cloud.

   2. Stel de werkruimte in waar u de agent gaat installeren. Zorg ervoor dat de werkruimte zich in hetzelfde abonnement dat u in Defender for Cloud gebruikt en dat u lees-/schrijfmachtigingen hebt voor de werkruimte.

   3. Selecteer Microsoft Defender for Cloud in en klik op Opslaan.

      Notitie

      Als voor de werkruimte al een Security- of SecurityCenterFree-oplossing is ingeschakeld, wordt de prijs automatisch ingesteld.

4. Als u agents op nieuwe VM's wilt implementeren met behulp van een Resource Manager-sjabloon, installeert u de Log Analytics-agent:

   • De Log Analytics-agent voor Windows installeren
   • De Log Analytics-agent voor Linux installeren

5. Als u agents wilt implementeren op uw bestaande VM's, volgt u de instructies in Gegevens verzamelen over Azure Virtual Machines (de sectie Gebeurtenis- en prestatiegegevens verzamelen is optioneel).

6. Als u PowerShell wilt gebruiken om de agents te implementeren, gebruikt u de instructies in de documentatie voor virtuele machines:

   • Voor Windows-machines
   • Voor Linux-machines

Automatische inrichting in het geval van een reeds bestaande agentinstallatie

In de volgende use-cases wordt aangegeven hoe automatische inrichting werkt in gevallen waarin er al een agent of extensie is geïnstalleerd.

• Log Analytics-agent wordt geïnstalleerd op de computer, maar niet als een extensie (directe agent). Als de Log Analytics-agent rechtstreeks op de virtuele machine is geïnstalleerd (niet als Azure-extensie), installeert Defender for Cloud de Log Analytics-agentextensie en wordt de Log Analytics-agent mogelijk geupgraded naar de nieuwste versie. De geïnstalleerde agent blijft rapporteren aan de reeds geconfigureerde werkruimte(s) en rapporteert bovendien aan de werkruimte die is geconfigureerd in Defender for Cloud (Multi-homing wordt ondersteund op Windows machines).

  Als de geconfigureerde werkruimte een gebruikerswerkruimte is (niet de standaardwerkruimte van Defender for Cloud), moet u de oplossing 'Beveiliging' of 'SecurityCenterFree' erop installeren, zodat Defender for Cloud gebeurtenissen kan verwerken van VM's en computers die aan die werkruimte rapporteren.

  Voor Linux-machines wordt Agent-multihoming nog niet ondersteund. Als er een bestaande agentinstallatie wordt gedetecteerd, treedt er geen automatische inrichting op en wordt de configuratie van de machine niet gewijzigd.

  Wanneer vóór 17 maart 2019 een bestaande agent wordt gedetecteerd, wordt de Log Analytics-agentextensie niet geïnstalleerd en wordt de computer niet beïnvloed voor bestaande computers met abonnementen die vóór 17 maart 2019 zijn onboarding voor Defender for Cloud. Zie voor deze machines de aanbeveling 'Resolve monitoring agent health issues on your machines' (Agentstatusproblemen op uw machines oplossen) om de agentinstallatieproblemen op deze machines op te lossen.

• System Center Operations Manager agent is geïnstalleerd op de computer: Defender for Cloud installeert de Log Analytics-agentextensie naast de bestaande Operations Manager. De bestaande Operations Manager-agent blijft normaal aan de Operations Manager-server rapporteren. De Operations Manager-agent en Log Analytics-agent hebben gemeenschappelijke runtime-bibliotheken, die tijdens dit proces worden bijgewerkt naar de nieuwste versie. Als Operations Manager-agent versie 2012 is geïnstalleerd, schakel automatische inrichting dan niet in.

• Er is een reeds bestaande VM-extensie aanwezig:

  • Wanneer de bewakingsagent is geïnstalleerd als een extensie, staat de extensieconfiguratie slechts rapportage aan één werkruimte toe. Defender for Cloud overschrijven bestaande verbindingen met gebruikerswerkruimten niet. Defender for Cloud zal beveiligingsgegevens van de VM opslaan in de werkruimte die al is verbonden, mits de oplossing 'Beveiliging' of 'SecurityCenterFree' erop is geïnstalleerd. Defender for Cloud kan de extensieversie in dit proces upgraden naar de nieuwste versie.
  • Als u wilt zien naar welke werkruimte de bestaande extensie gegevens verstuurt, moet u de test uitvoeren om de connectiviteit met Microsoft Defender for Cloud te valideren. U kunt ook Log Analytics-werkruimten openen, een werkruimte selecteren, de VM selecteren en kijken naar de verbinding met de Log Analytics-agent.
  • Als u een omgeving hebt waarin de Log Analytics-agent is geïnstalleerd op clientwerkstations en rapporteert aan een bestaande Log Analytics-werkruimte, bekijkt u de lijst met besturingssystemen die worden ondersteund door Microsoft Defender for Cloud om te controleren of uw besturingssysteem wordt ondersteund. Zie bestaande Log Analytics-klantenvoor meer informatie.

Automatische inrichting uitschakelen

Wanneer u automatische inrichting uitschakelt, worden er geen agents ingericht op nieuwe VM's.

Automatische inrichting van een agent uitschakelen:

1. Selecteer in het menu van Defender for Cloud in de portal de optie Omgevingsinstellingen.

2. Selecteer het betreffende abonnement.

3. Selecteer Automatische inrichting.

4. Zet voor de relevante agent de wisselknop voor de status op Aan.

   

5. Selecteer Opslaan. Als automatische inrichting is uitgeschakeld, wordt de sectie Configuratie van de standaardwerkruimte niet weergegeven:

   

Problemen oplossen

• Zie Statusproblemen van agent controleren voor informatie over het identificeren van problemen met de installatie van automatische inrichting.
• Zie Problemen oplossen met de netwerkvereisten voor de Monitoring Agent om de netwerkvereisten voor de bewakingsagent te identificeren.
• Zie Onboarding-problemen van Operations Management Suite oplossen voor het identificeren van problemen met handmatige onboarding.

Volgende stappen

Op deze pagina wordt uitgelegd hoe u automatische inrichting inschakelen voor de Log Analytics-agent en andere Defender for Cloud-extensies. Ook wordt beschreven hoe u een Log Analytics-werkruimte definieert waarin de verzamelde gegevens worden opgeslagen. Beide bewerkingen zijn vereist om gegevensverzameling mogelijk te maken. Als u gegevens opslaat in Log Analytics, of u nu een nieuwe of bestaande werkruimte gebruikt, worden er mogelijk meer kosten in rekening gebracht voor gegevensopslag. Zie de pagina met prijzen voor prijsinformatie in uw lokale valuta of regio.