Identitätssicherheit

Identity Security ist die einheitliche Identitätsschutz-SKU von SentinelOne. Sie umfasst drei Engines: ISPM (Active Directory-Posture-Bewertung), ISIDP (Echtzeitschutz von Domänencontrollern) und IDR (Köder auf Endpunkten). Die Microsoft-Entra-ID-Integration ist optional.

Alle unten genannten Pfade beziehen sich auf die Seitenleiste des Singularity Operations Center (Richtlinien und Einstellungen ist die Schaltfläche unten in der Seitenleiste).

Voraussetzungen

Vor dem Arbeiten in der Konsole validieren.

Element

Anforderung

Lizenzen

Endpoint (Core, Control oder Complete) + Identitätssicherheit, auf Kontoebene und an jeder Site

Windows-Agenten

≥ 25.2.3.437 auf DCs, Servern und dem AD-Connector-Server. Workstations (IDR): ≥ 24.1.5.277.

Legacy Identity Agent

Bei DCs, die bereits auf Windows-Agent 25.2 sind: nichts zu tun. Nur wenn der Legacy Identity Agent noch vorhanden ist: deinstallieren und dann neu starten (niemals zusammen mit dem Windows-Agenten)

AD-Connector-Server

Domänenmitgliedsserver (kein DC), dauerhaft eingeschaltet, 4 vCPU / 16 GB RAM

AD-Connector → DC-Verbindungen

53 · 88 · 389/636 · 445 · 5986 (WinRM HTTPS) · RPC-Ereignisprotokoll

Ausgehende Verbindungen

HTTPS 443 / WebSocket zur S1-Konsole für Ihre Region

AD-Dienstkonto

Standardbenutzer mit nicht ablaufendem Kennwort, Kerberos AES 128/256, Mitglied von Benutzer der Remoteverwaltung und Ereignisprotokollleser

Auf jedem DC:

winrm quickconfig -transport:https     :: WinRM HTTPS (Zertifikat für den FQDN des DC ausgestellt)
winrm configsddl default               :: Lesen + Ausführen für das Dienstkonto
:: Firewall: TCP 5986 + "Remote Event Log Management (RPC / RPC-EPMAP)" zulassen

Die Identity-Engine aktivieren

Richtlinien und Einstellungen > Endpoint/Cloud Workload Security > Richtlinie > Erkennungs-Engines

Wählen Sie im Bereichsselektor oben den Geltungsbereich Konto (oder Site für einen MSSP) aus und aktivieren Sie dann Identity Detection & Response.
Behalten Sie die Standard-Identity-Einstellungen bei und setzen Sie das Aktualisierungsintervall auf mindestens 60 Min.
In Richtlinien und Einstellungen > Konten, setzen Sie Identity Security Posture Mode zu Vollständig.

AD-Connector und Domäne

Richtlinien und Einstellungen > Identitätssicherheit > Active Directory > AD verbinden

Die Beispiele in diesem Abschnitt verwenden eine fiktive Gesamtstruktur acme.local, mit der untergeordneten Domäne corp.acme.local (NetBIOS CORP).

Erstellen Sie das AD-Dienstkonto

ISPM, ISIDP und IDR benötigen nur Lesezugriff. Ein Domänenadministrator-Konto ist nicht erforderlich und nicht empfohlen. ISPM-Korrekturskripte werden separat und manuell von einem Domänenadministrator ausgeführt.

Anforderung

Warum

Dediziertes Standard- Benutzer (z. B. svc-s1-identity)

Schreibgeschützt reicht aus und gewährleistet Nachvollziehbarkeit

Langes, zufälliges Kennwort, das nie abläuft

Wenn das Kennwort in AD geändert wird, wird die Verbindung unterbrochen (Status Deaktiviert)

In der Gesamtstruktur erstellt Stammdomäne

Erforderlich, um die gesamte Gesamtstruktur mit der Option „Unterdomänen überwachen“ zu bewerten

Kerberos AES 128 und AES 256 aktiviert

Für die Bewertung erforderlich

Mitglied von Benutzer der Remoteverwaltung

WinRM-Zugriff auf DCs (Bedrohungen und einige Exposures)

Mitglied von Ereignisprotokollleser

Liest die Sicherheitsprotokolle der DCs (Quell-IP und Benutzer in Erkennungen)

Lesen von adminSDHolder, KRBTGT, Administrator, Domänen-/Schema-/Unternehmens-Admins, MicrosoftDNS-Container

Andernfalls wird die Exposition „Unzureichende Berechtigungen für die AD-Expositionsbewertung“ ausgelöst

Lesen von CN=Deleted Objects

Erkennt massenhafte Kontolöschungen

PowerShell-Beispiel, zum Ausführen auf einem DC oder mit RSAT, Namen bei Bedarf anpassen:

# 1. Konto erstellen
New-ADUser -Name "svc-s1-identity" -SamAccountName "svc-s1-identity" `
  -UserPrincipalName "svc-s1-identity@acme.local" -Path "OU=Service Accounts,DC=acme,DC=local" `
  -AccountPassword (Read-Host -AsSecureString "Password") -Enabled $true `
  -PasswordNeverExpires $true -CannotChangePassword $true `
  -KerberosEncryptionType AES128,AES256

# 2. Integrierte Gruppen
Add-ADGroupMember -Identity "Remote Management Users" -Members "svc-s1-identity"
Add-ADGroupMember -Identity "Event Log Readers"       -Members "svc-s1-identity"

:: 3. Leserechte (Inhalt auflisten + Eigenschaft lesen), vererbt
dsacls "DC=acme,DC=local" /I:T /g ACME\svc-s1-identity:LCRP
dsacls "CN=Deleted Objects,DC=acme,DC=local" /takeownership
dsacls "CN=Deleted Objects,DC=acme,DC=local" /I:T /g ACME\svc-s1-identity:LCRP

:: 4. Auf JEDEM DC: WinRM-Zugriff und Lesen des Sicherheitsprotokolls für Network Service
winrm configsddl default                       :: Konto hinzufügen, Lesen + Ausführen prüfen
wevtutil gl security                           :: Ausgabe muss (A;;0x1;;;S-1-5-20) enthalten
wevtutil sl security /ca:"<current SDDL>(A;;0x1;;;S-1-5-20)"

Mit Unterdomänen überwachen, wiederholen Sie die dsacls Befehle in jeder Domäne, in der die Standardberechtigungen eingeschränkt wurden.

Wählen Sie den AD-Connector-Server

Domänen- mitglieds- server, kein DC. Beispiel: srv-s1adc01.corp.acme.local.
Dauerhaft eingeschaltet und nicht netzwerkquarantänisiert, Windows-Agent ≥ 25.2.3.437.
Er muss über DNS auflösbar sein und jede angegebene Domäne über die Ports 53, 88, 389/636, 445 und 5985/5986 erreichen.
Eine einzelne Gesamtstruktur, selbst mit mehreren Domänen: ein Connector reicht aus. Isolierte Gesamtstrukturen ohne Vertrauensstellung: ein Connector pro Gesamtstruktur.

Schnellprüfungen, die von diesem Server aus ausgeführt werden sollen:

Resolve-DnsName corp.acme.local
Test-NetConnection dc01.corp.acme.local -Port 636     # LDAPS
Test-NetConnection dc01.corp.acme.local -Port 5986    # WinRM HTTPS

Schließen Sie den Assistenten „AD verbinden“ ab

AD-Connector: geben Sie mindestens 3 Zeichen des Hostnamens ein (z. B. srv), wählen Sie den Endpunkt mit grünem Status aus und klicken Sie dann auf Weiter. Nach einigen Minuten bestätigt ein Banner die Verbindung.
Domänen-: füllen Sie die Felder aus der folgenden Tabelle aus und klicken Sie dann auf Weiter. Die Konsole führt einen LDAP-Test aus, und die Domäne wird nur gespeichert, wenn der Test erfolgreich ist.
Köder: konfigurieren Sie die Köder (siehe unten) und klicken Sie dann auf Fertigstellen.

Feld

Was einzugeben ist

Beispiel

Site

Auf Kontoebene: die Sites, die diese Domäne erben (nützlich für IDR und ISIDP). „Alle“ umfasst später erstellte Sites nicht.

Paris, Lyon

Domänenname

Der DNS-FQDN, niemals der NetBIOS-Name. Um die gesamte Gesamtstruktur abzudecken, geben Sie die Stammdomäne ein.

acme.local oder corp.acme.local, nicht CORP

Unterdomänen überwachen

Bewertet jede Domäne in der Gesamtstruktur (gleicher Baum und andere Bäume). Ohne dieses Kästchen werden Unterdomänen zwar erkannt, aber nicht bewertet.

Aktiviert

FQDN des Domänencontrollers

Der FQDN von einem DC in der Domäne, auflösbar für den AD-Connector. Ein RODC wird akzeptiert. Keine IP-Adresse. Andere DCs werden automatisch erkannt (zuerst der PDC).

dc01.corp.acme.local, nicht 10.0.0.10

Domänenbenutzername

Das Dienstkonto im UPN-, NetBIOS- oder Klarname-Format

svc-s1-identity@acme.local, ACME\svc-s1-identity, oder svc-s1-identity; nicht ACME.LOCAL\svc-s1-identity

Domänenkennwort

Sorgfältig eingeben: Ein falsches Kennwort sperrt das Konto nach wiederholten Versuchen

Aktualisierungszeitplan (Tag, Uhrzeit, Zeitzone)

Aktualisierung der AD-Daten, so geplant, dass sie außerhalb der Stoßzeiten erfolgt. Sie löst nicht die ISPM-Bewertung aus, die fest auf Samstag 04:00 UTC bleibt.

Sonntag · 02:00 · Europe/Paris

Protokolle und Optionen

Option	Auswahl	Voraussetzungen und Folgen
LDAP-Methode	LDAPS (636), empfohlen	Verschlüsselt den Datenverkehr zwischen dem Connector und den DCs. Erfordert ein gültiges Serverzertifikat auf den DCs (AD CS oder ein „Kerberos / Domain Controller Authentication“-Zertifikat) und den offenen Port 636. Prüfen Sie: `ldp.exe`, SSL-Verbindung zu `dc01.corp.acme.local:636`.
LDAP-Methode	LDAP (389)	Unverschlüsselter Kanal, reserviert für DCs ohne Zertifikat oder zur Fehlerbehebung. Der Fehler „LDAPS-Verbindung fehlgeschlagen“ fordert Sie auf, es über LDAP erneut zu versuchen. Feste Ports, nicht konfigurierbar.
WinRM-Methode	HTTPS (5986), empfohlen	Erfordert einen HTTPS-Listener auf jedem DC, mit einem Zertifikat, dessen Subject der FQDN des DC ist (das LDAPS-Zertifikat funktioniert), und mit offenem Port 5986: `winrm quickconfig -transport:https`.
WinRM-Methode	HTTP (5985)	Wenn die DCs kein Zertifikat haben. Die Authentifizierung bleibt Kerberos, aber `AllowUnencrypted=true` ist sowohl auf dem Client als auch auf dem Dienst erforderlich. Ohne WinRM auf allen DCs, schlägt Threat Detection fehl und einige Exposures werden Übersprungen.
LDAP-Referral	Aktiviert, wenn die Gesamtstruktur Unterdomänen hat	Folgt Referrals zu Unterdomänen: ISIDP- und IDR-Richtlinien gelten dann auch für untergeordnete Domänen, die in der Protokollkonfiguration sichtbar werden. Das Konto muss diese Unterdomänen abfragen können. Wenn Sie dies später aktivieren, führen Sie AD-Daten aktualisieren.
AD-Synchronisierung	Aktiviert	Synchronisiert Benutzer- und Gruppenattribute. Erforderlich für Threat Detection, CCP, die Suche nach kompromittierten Konten und das Asset-Inventar. Die erste Synchronisierung kann eine Weile dauern.
Threat Detection	Aktiviert (erfordert AD-Synchronisierung)	Echtzeit-ISPM-Bedrohungen: Passwort-Spraying, massenhafte Sperren und Zurücksetzungen usw. Verwendet eine persistente LDAP-Verbindung zum PDC und WinRM. Das Deaktivieren löscht die synchronisierten Objekte.
Zugriff über Vertrauensstellung	Nur für eine andere vertrauenswürdige Gesamtstruktur	Um eine Domäne in einer anderen Gesamtstruktur mit dem Konto der Hauptgesamtstruktur zu bewerten. Zwei zusätzliche Felder: Name der Vertrauensdomäne und Vertrauens-Domänencontroller (FQDN, keine IP). Kann danach nicht bearbeitet werden : löschen und neu erstellen.

Beispiel für Zugriff über Vertrauensstellung: die filiale.local Gesamtstruktur-Vertrauensstellungen acme.local. Geben Sie Domänenname = filiale.local, Benutzername = svc-s1-identity@acme.local, Zugriff über Vertrauensstellung = aktiviert, Name der Vertrauensdomäne = acme.local, Vertrauens-Domänencontroller = dc01.acme.local. Der Connector muss die filiale.local DCs auflösen und erreichen können.

Köder (von IDR verwendet)

Feld

Empfehlung

Beispiel

Land für den Namensgenerator

Land, das zu Ihren Benutzern passt

Frankreich

Dienst-(SPN-)Präfix

Das Präfix Ihrer echten Dienstkonten, sofern vorhanden

svc

Namensformat

Gleiches Format wie Ihre echten Benutzernamen. Variablen: %FN% (Vorname), %LN% (Nachname), %FNI% und %LNI% (Initialen), %#n% (n zufällige Ziffern).

%FNI%.%LN% → j.dupont

Hostname-Format

Angelehnt an Ihre Benennungen für Workstations und DCs

Benutzerdefiniert: PC- + Ziffern

IP-Adressformat

Bereich oder CIDR von mehr als 250 Adressen, niemals in der Produktion verwendet (sonst Fehlalarme)

10.250.0.0/24

Köder können nicht mehr bearbeitet werden, solange eine aktive Identitätsschutz-Richtlinie die Domäne abdeckt.

Nach der Validierung

Der Domänenstatus ändert sich zu Aktiviert. Er wird zurückgesetzt auf Deaktiviert wenn der Connector ausfällt oder das Kontokennwort geändert wird.
Die Konsole führt zuerst das AD-Learning, dann die Synchronisierung und anschließend die ISPM-Bewertung aus (ca. 30 Min.). Mehrere gleichzeitig hinzugefügte Domänen werden nacheinander verarbeitet.
Standardrichtlinien werden erstellt, inaktiv.
Jede Domäne kann nur einmal pro Organisation. Nach dem Löschen einer Domäne warten Sie 120 s, bevor Sie sie erneut erstellen. Nach dem Hinzufügen eines DC klicken Sie auf AD-Daten aktualisieren, andernfalls treten Fehlalarme bei DCSync auf.

Speicherfehler

Aktion

Authentifizierung fehlgeschlagen

Überprüfen Sie das Konto und das Kennwort (und eine mögliche Sperrung)

LDAPS-Verbindung fehlgeschlagen

Überprüfen Sie das DC-Zertifikat und Port 636 oder wechseln Sie zurück zu LDAP

Das Benutzerkonto hat nicht die Berechtigungen …

Prüfen Sie die Rechte im Abschnitt „Erstellen Sie das AD-Dienstkonto“ oben

Domänencontroller ausgefallen / nicht verfügbar / ausgelastet

Überprüfen Sie DNS und die Verbindungen vom AD-Connector aus und versuchen Sie es dann erneut

ISPM: AD-Posture

Richtlinien und Einstellungen > Identitätssicherheit > Einstellungen für die Identitäts-Posture

Weiter ist nichts zu tun: Die Bewertung beginnt, sobald die Domäne gespeichert ist (ca. 30 Min.), und läuft dann jeden Samstag um 04:00 UTC.

Für einen sofortigen Scan: Jetzt scannen.
Um die Ergebnisse zu prüfen: Fehlkonfigurationen > Identität. Beheben Sie zuerst kritische und hohe Exposures (klicken Sie auf die Fehlkonfiguration, dann Aktionen > Abschwächen > Skript herunterladen).

ISIDP: DC-Schutz

Richtlinien und Einstellungen > Identitätssicherheit > Identitätsrichtlinien (Identity-Provider-Richtlinie / Conditional-Access-Richtlinie Register)

Im vorherigen Schritt wurden zwei Standardrichtlinien erstellt, inaktiv und schreibgeschützt. Duplizieren Sie sie:

Conditional-Access-Richtlinie: duplizieren Default_policy_account_ca, fügen Sie ein Angriffsbasiert Regel, die alle Angriffe mit dem Audit Aktion, dann aktivieren Sie sie.
Identity-Provider-Richtlinie: duplizieren Default_policy_account_idp und überprüfen Sie Folgendes:
- Alle Domänen sind ausgewählt und Auf Windows-Server anwenden ist aktiviert.
- PAC-Validierung bleibt aktiviert, sofern keine PAM- oder JIT-Lösung vorhanden ist. Lernmodus: aktiviert, 4 Tage.
- Kerberos-, LDAP-, SAMR- und LSARPC-Protokolle geprüft. Erweiterung: Version fixieren auf N-1.
- Empfohlen: Konfiguration kompromittierter Anmeldeinformationen aktiviert (Leckdatenbanken, zunächst keine Abhilfemaßnahme).
- Die CA-Richtlinie aus Schritt 1 ist ausgewählt.
Aktionen > Richtlinie aktivieren. Zum sofortigen Pushen: Seitenleiste Sentinels > Endpunkte, wählen Sie die DCs aus und dann Aktionen > Agent-Aktionen > Änderungen an der Identitätsrichtlinie pushen.

Nach einigen Tagen ohne Fehlalarme die Angriffsregeln von Audit zu Blockieren.

IDR: Köder auf Endpunkten

Richtlinien und Einstellungen > Identitätssicherheit > Identitätsrichtlinien > Richtlinie zum Identitätsschutz

Klicken Sie auf Neue Richtlinie zum Identitätsschutz, wobei die AD-PowerShell-Antwort auf Alarm.
Fügen Sie 4 Regeln hinzu: Privilegierte Administratoren, Dienstkonten, Domänencontroller, delegierte Administratoren. Wählen Sie die echten Objekte aus und aktivieren Sie dann Köder hinzufügen und Echte Objekte ausblenden.
Erstellen, dann Aktionen > Richtlinie aktivieren.

Von einer Domain-Arbeitsstation aus testen: net group "Domain Admins" /domain sollte ein Köderkonto zurückgeben. Mit einem Agenten ab 25.2.3 wird die Erkennung als Indikator angezeigt in Ereignissuche (Abfrage: indicator.name = 'IdentityDeceptivePing'). Andere Warnungen befinden sich in Warnungen.

Microsoft Entra ID (optional)

Nur wenn der Kunde Entra ID verwendet: Richtlinien und Einstellungen > Cloud-Konten > Microsoft Azure

Einen Entra ID-Mandanten verbinden

Erforderlich: ein Mandant Globaler Administrator Konto und die Mandanten-ID. Optional: die Objekt-ID einer Gruppe „Riskante Benutzer“.

Konto verbinden: Typ Mandant, prüfen Identitätssicherheit aktivieren.
Verbindungsname, Mandanten-ID und Microsoft Entra ID-Benutzerkonten synchronisieren aktiviert.
In Azure: Mandanteneigenschaften > Zugriffsverwaltung für Azure-Ressourcen = Ja, dann abmelden und erneut anmelden.
Laden Sie die Terraform-Vorlage herunter und führen Sie sie in Azure Cloud Shell aus:

terraform init && terraform apply -auto-approve

Einfügen application_id und client_secret, dann Alle auswählen und automatisches Onboarding und Fertigstellen.

Das Secret läuft nach einem Jahr ab: planen Sie die Erneuerung.

Die Ergebnisse erscheinen in Fehlkonfigurationen > Identität.

Überprüfen Sie, dass ein Alarm ausgelöst wird

Von einer der Domäne beigetretenen Workstation aus, mit einem Domänenkonto, vorzugsweise in einem Pilot.

Um die Ergebnisse sofort zu sehen: in der Identitätsanbieter-Richtlinie, den Lernmodus vorübergehend deaktivieren (während des Lernens werden nur High-Warnungen ausgelöst). Dann die Richtlinie auf die DCs pushen.
Führen Sie die Befehle aus:

net group "Domain Admins" /domain      :: ISIDP (SAMR) + IDR (Köder in der Antwort)
dsquery * -filter "(admincount=1)"      :: ISIDP (LDAP), erfordert RSAT-AD-Tools

Prüfen Sie die Warnungen Seitenleiste (Zeitraum Letzte 1 Stunde), Erkennungs-Engine Filter:
- ADSecure-DC, -SAMR oder -LDAP für ISIDP (Aufzählung privilegierter Konten).
- ADSecure-EP für IDR. Mit einem Agenten ab 25.2.3 suchen Sie nach dem Indikator in Ereignissuche stattdessen.
Aktivieren Sie den Lernmodus wieder, sobald der Test bestätigt wurde.

Abschlussprüfung

Der AD Connector zeigt einen aktiven Status in Richtlinien und Einstellungen > Identitätssicherheit > Active Directory.
ISPM-Fehlkonfigurationen erscheinen in der Fehlkonfigurationen Seitenleiste, Registerkarte Identität.
Die Conditional-Access-Richtlinie und die Identitätsanbieter-Richtlinie sind aktiv.
Die Richtlinie zum Identitätsschutz ist aktiv.
Die Dashboards > Identität Dashboard zeigt Daten, und Warnungen sind sichtbar in Warnungen > Identität.
AD- und Entra-Assets sind sichtbar in Inventar > Identität.

VorherigeAdd-on-Module

NächsteNetzwerkanforderungen

Zuletzt aktualisiert vor 19 Tagen

War das hilfreich?