Ctrlk
For the complete documentation index, see llms.txt. This page is also available as Markdown.

Microsoft Defender

Die Verwaltung von MS Defender EDR befindet sich derzeit in der Beta-Phase. Geben Sie uns Bescheid, wenn Sie Feedback haben oder auf Probleme stoßen.

Im Rahmen seines MDR-Angebots (Managed Detection and Response) verwaltet Stoïk die Microsoft-EDR/XDR-Konfiguration. Anders als CrowdStrike oder SentinelOne verkauft Stoïk keine Microsoft-Defender-Lizenzen, wir verwalten sie nur. Die Lizenzen bleiben Ihre, und Sie behalten die Kontrolle über Ihren Microsoft-Mandanten. Damit Stoïk den MDR-Service auf Microsoft Defender bereitstellen kann, muss Ihre Konsole mit Stoïk verbunden sein, damit:

  • Überwachte Hosts und Warnmeldungen in die Systeme von Stoïk einfließen und rund um die Uhr vom Stoïk-CERT-Team bearbeitet werden

  • Sie volle Transparenz über Ihre MDR-Aktivitäten (Hosts, Warnmeldungen, Untersuchungen) direkt in Stoïk Protect erhalten

1

Aktualisieren Sie Ihre Lizenzen

Dies muss im Rahmen des Gesprächs mit Ihrem Stoïk-Vertriebsmitarbeiter als Teil des Stoïk-MDR-Kaufs erfolgen. Stoïk kauft die Lizenzen für Microsoft MDR nicht in Ihrem Namen.

2

Stellen Sie Ihre Lizenzen bereit

Das Zuweisen einer Lizenz ist nicht dasselbe wie das Bereitstellen des Defender-for-Endpoint-Agents. Der Agent muss auf jedem Gerät bereitgestellt werden, um es tatsächlich zu registrieren; die bloße Lizenzzuweisung bewirkt das nicht.

  • Endpunkte (Arbeitsstationen): Nachdem die Lizenzen zugewiesen wurden, stellen Sie Defender for Endpoint auf den Geräten über Intune, Gruppenrichtlinien oder ein manuelles Skript bereit. Siehe die Geräte-Onboarding Dokumentation von Microsoft zu den verfügbaren Methoden.

  • Server: eine dedizierte Lizenz ist erforderlich. Abonnieren Sie sie zuerst über Aktualisieren Sie Ihre Lizenzen, und stellen Sie sie dann mit dem von Microsoft bereitgestellten .exe Installer bereit.

Ein Gerät, das unter MDR > Überwachte Assets in Stoïk Protect angezeigt wird, bedeutet nicht, dass Defender for Endpoint darauf installiert und aktiv ist. Die dort angezeigten Assets stammen aus Entra ID und nicht aus Defender selbst, daher kann ein Gerät erscheinen, bevor der Agent tatsächlich bereitgestellt wurde.

3

Verbinden Sie Ihren Microsoft-Mandanten mit Stoïk

Dies ist der Schritt, der Ihre Microsoft-Defender-Konsole mit Stoïk verbindet, sodass Warnmeldungen und Hosts in die Untersuchungsplattform von Stoïk und in Stoïk Protect einfließen. Die Einrichtung besteht aus drei Teilen:

  • Teil A: mit einem Klick in Stoïk Protect erledigt (dadurch wird Stoïk autorisiert, Warnmeldungen und Hosts aus Ihrem Defender-Mandanten zu lesen).

  • Teil B.1: laden Sie einen dedizierten externen Benutzer ein, um dem Stoïk-CERT-Team Zugriff auf das Microsoft-Defender-Portal zu geben.

  • Teil B.2: fügen Sie XDR-Defender-Berechtigungen hinzu (erforderlich, wenn Defender RBAC in Ihrem Mandanten aktiviert ist).

Teil A: Stoïk über Stoïk Protect autorisieren

Voraussetzung: Sie müssen mit einem Administratorkonto bei Microsoft angemeldet sein, das über Globaler Administrator Berechtigungen verfügt.

1

Melden Sie sich bei Stoïk Protect mit Ihrem Stoïk-Konto an.

2

Gehen Sie zu MDR > Einstellungen.

3

Klicken Sie auf Verbinden Sie Ihr Microsoft-Konto.

4

Sie werden zu Microsoft weitergeleitet. Prüfen Sie die von der Stoïk-MDR-Anwendung angeforderten Berechtigungen und klicken Sie auf Akzeptieren.

5

Sie werden zurück zu Stoïk Protect geleitet. Die Einstellungen Seite zeigt die Verbindung als Verbunden, zusammen mit der erkannten Microsoft-Mandanten-ID. Sobald Teil A abgeschlossen ist, fließen Ihre Microsoft-Defender-Warnmeldungen in Stoïk ein. Sie können überwachte Hosts und Warnmeldungen bereits in Stoïk Protect > MDR.

Teil B.1: Den Stoïk-MDR-Benutzer einladen

Damit das Stoïk-CERT-Team die Microsoft-Untersuchungskonsole nutzen und umfangreiche Untersuchungen in Ihrem Mandanten durchführen kann, müssen Sie einen dedizierten externen Benutzer einladen.

1

Gehen Sie zu portal.azure.com mit einem Konto, das über Globaler Administrator Berechtigungen verfügt.

2

Geben Sie in der oberen Suchleiste Benutzer ein und öffnen Sie den Bereich zur Benutzerverwaltung.

3

Klicken Sie auf Alle Benutzer, dann Externe Benutzer einladen.

4

Folgendes ausfüllen:

  • E-Mail-Adresse: mdr_api@stoikcert.onmicrosoft.com

  • Anzeigename: Stoik_Mdr_Api

Kopieren Sie Ihre Mandanten-ID (wird in Schritt 3 des Einladungsformulars angezeigt), Sie benötigen sie später.

5

Gehen Sie zum Zuweisungen Registerkarte klicken Sie auf Rolle hinzufügen, suchen Sie nach und wählen Sie Sicherheitsoperator, und klicken Sie dann auf Wählen Sie.

Falls die Rolle danach nicht in der Zuweisungsliste erscheint, handelt es sich um einen bekannten Anzeigefehler von Microsoft. Aktualisieren Sie die Seite; die Rolle wird normalerweise korrekt angewendet.

6

Klicken Sie auf Überprüfen + einladen, dann Einladen zum Abschließen.

Eine Richtlinie für bedingten Zugriff blockiert den eingeladenen Benutzer

Wenn in Ihrem Mandanten Richtlinien für bedingten Zugriff eingerichtet sind, können diese das mdr_api@stoikcert.onmicrosoft.com Gastkonto blockieren. Schließen Sie es von der blockierenden Richtlinie aus:

  1. Gehen Sie zu Schutz > Bedingter Zugriff > Richtlinien.

  2. Klicken Sie auf die Richtlinie, die den Zugriff blockiert.

  3. Unter dem Benutzer Abschnitt klicken Sie auf die Ausschließen Registerkarte, aktivieren Sie Benutzer und Gruppen, suchen Sie dann nach und wählen Sie mdr_api@stoikcert.onmicrosoft.com (oder eine dedizierte Sicherheitsgruppe, die Stoïk-MDR-Konten enthält).

  4. Klicken Sie auf Speichern.

Ihr Mandant erzwingt MFA

Wenn in Ihrem Mandanten MFA erzwungen wird, wird der Stoïk-MDR-Benutzer dazu aufgefordert, was das Stoïk-CERT-Team nicht abschließen kann. Statt das Konto von MFA auszunehmen, richten Sie stattdessen eine mandantenübergreifende Vertrauensstellung ein, damit die in Stoïks Mandanten bereits durchgeführte MFA von Ihrem Mandanten akzeptiert wird:

  1. Melden Sie sich in der Microsoft Entra Admin Center.

  2. Gehen Sie zu Identität > Externe Identitäten > Zugriffseinstellungen für mandantenübergreifenden Zugriff.

  3. Unter dem Organisationseinstellungen Registerkarte klicken Sie auf Organisation hinzufügen.

  4. Geben Sie die Mandanten-ID von Stoïk ein 8100d7bd-172a-492e-bb96-e3f923731bd9 (oder stoikcert.onmicrosoft.com), wählen Sie sie aus und klicken Sie dann auf Hinzufügen.

  5. Sobald die Organisation in der Liste erscheint, klicken Sie auf den Link unter der Eingehender Zugriff Spalte (typischerweise Von Standard übernommen).

  6. Gehen Sie zum Vertrauenseinstellungen Registerkarte.

  7. Wählen Sie Einstellungen anpassen.

  8. Aktivieren Sie Vertrauen Sie der Multi-Faktor-Authentifizierung aus Microsoft-Entra-Mandanten.

  9. Klicken Sie auf Speichern.

Teil B.2: XDR-Defender-Berechtigungen hinzufügen (wenn Defender RBAC aktiviert ist)

Die Rollenverwaltung für Defender XDR über RBAC ist bei den meisten Mandanten standardmäßig aktiviert. Wenn sie bei Ihnen aktiv ist, führen Sie die folgenden Schritte aus. Wenn nicht, können Sie diesen Abschnitt überspringen.

1

Gehen Sie zu security.microsoft.com mit einem Konto, das über Globaler Administrator Berechtigungen verfügt.

2

Erweitern System, klicken Sie auf Berechtigungen, dann unter Microsoft Defender XDR, wählen Sie Rollen.

3

Klicken Sie auf Eine benutzerdefinierte Rolle erstellen und füllen Sie Rollenname mit stoik_mdr_role.

4

Berechtigungen gewähren: Wählen Sie für jede der drei Berechtigungsgruppen Alle Lese- und Verwaltungsberechtigungen, klicken Sie auf Übernehmen, dann Weiter.

5

Fügen Sie die Zuweisung hinzu:

  • Klicken Sie auf Zuweisung hinzufügen.

  • Name: stoik_mdr_assignment.

  • Mitarbeiter: Geben Sie mdr_api@stoikcert.onmicrosoft.com ein und klicken Sie zur Bestätigung auf das angezeigte Benutzersymbol.

  • Wählen Sie Alle Datenquellen.

  • Aktivieren Sie Alle zukünftigen Datenquellen automatisch einschließen.

  • Klicken Sie auf Hinzufügen, dann Weiter.

6

Klicken Sie auf Senden zum Abschließen.

Stoïk benachrichtigen

Sobald Teil B abgeschlossen ist, senden Sie eine E-Mail an protect@stoik.io mit Ihrer Microsoft-Mandanten-ID (kopiert in Schritt 4 des vorherigen Abschnitts). Das Stoïk-CERT-Team wird die Aktivierung auf unserer Seite abschließen.

Fehlerbehebung

Die Schaltfläche „Connect your Microsoft account“ in Stoïk Protect gibt einen Fehler zurück. Stellen Sie sicher, dass Sie bei Microsoft mit einem Globaler Administrator Konto angemeldet sind.

Die Verbindung wird in Stoïk Protect als „Verbunden“ angezeigt, aber ich sehe keinen Host oder keine Warnmeldung. Es kann bis zu einigen Stunden dauern, bis die ersten Daten synchronisiert werden.

Bei nicht gelösten Problemen oder wenn Sie den Zugriff von Stoïk auf Ihren Microsoft-Defender-Mandanten widerrufen möchten, kontaktieren Sie protect@stoik.io.

VorherigeNetzwerkanforderungen
NächsteVerwaltung in Stoïk Protect

Zuletzt aktualisiert

War das hilfreich?