> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/help/help-de/mdr/deploy/sentinelone/add-on/identity-security.md).

# Identitätssicherheit

Richten Sie Identity Security, die einheitliche Identity-Protection-SKU von SentinelOne, in Ihrem Active Directory ein. Sie deckt drei Engines ab: ISPM (Bewertung der Active-Directory-Postur), ISIDP (Echtzeitschutz von Domänencontrollern) und IDR (Täuschkörper auf Endpunkten). Die Integration von Microsoft Entra ID ist optional.

Alle Pfade unten beziehen sich auf die Seitenleiste des Singularity Operations Center (`Richtlinien und Einstellungen` ist die Schaltfläche unten in der Seitenleiste).

## Voraussetzungen

* **Lizenzen**: Endpoint (Core, Control oder Complete) + **Identity Security**, auf dem Konto *und* auf jeder Site.
* **Windows-Agenten**: **≥ 25.2.3.437** auf DCs, Servern und dem AD-Connector-Server. Workstations (IDR): ≥ 24.1.5.277.
* **Legacy Identity Agent**: Für DCs, die bereits auf dem Windows-Agenten 25.2 laufen: nichts zu tun. Nur wenn der Legacy Identity Agent noch vorhanden ist: deinstallieren, dann neu starten (niemals zusammen mit dem Windows-Agenten).
* **AD-Connector-Server**: ein Domänenmitgliedsserver, siehe [Wählen Sie den AD-Connector-Server](#choose-the-ad-connector-server).
* **AD-Connector → DC-Flows**: 53 · 88 · 389/636 · 445 · 5986 (WinRM HTTPS) · RPC-Eventlog.
* **Ausgehende Flows**: HTTPS 443 / WebSocket zur S1-Konsole für Ihre Region.
* **AD-Dienstkonto**: ein Standardbenutzer mit Lesezugriff, siehe [Erstellen Sie das AD-Dienstkonto](#create-the-ad-service-account).
* **WinRM HTTPS auf jedem DC**:

```
winrm quickconfig -transport:https     :: WinRM HTTPS (Zertifikat für den FQDN des DC ausgestellt)
winrm configsddl default               :: Konto hinzufügen, Lesen + Ausführen prüfen
:: Firewall: TCP 5986 + "Remote Event Log Management (RPC / RPC-EPMAP)" zulassen
```

## Die Identity-Engine aktivieren

`Richtlinien und Einstellungen` > `Endpoint/Cloud Workload Security` > `Richtlinie` > `Erkennungs-Engines`

1. Wählen Sie oben im Bereichsauswähler den Geltungsbereich Konto (oder Site für einen MSSP) aus und aktivieren Sie dann **Identity Detection & Response**.
2. Behalten Sie die Standard-Identity-Einstellungen bei und setzen Sie das Aktualisierungsintervall auf mindestens 60 Min.
3. In `Richtlinien und Einstellungen` > `Konten`, setzen Sie **Identity Security Posture Mode** zu **Vollständig**.

<figure><img src="https://243136008-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2Fgit-blob-ff47e3c5a07c99859df109907264e4d57060c7b6%2Fs1-identity-security-detection-engines-enabled.png?alt=media" alt=""><figcaption><p>Erkennungs-Engines > Identity Detection &#x26; Response.</p></figcaption></figure>

## Mit Active Directory verbinden

`Richtlinien und Einstellungen` > `Identity Security` > `Active Directory` > `AD verbinden`

Die Beispiele in diesem Abschnitt verwenden eine fiktive Gesamtstruktur `acme.local`, mit der untergeordneten Domäne `corp.acme.local` (NetBIOS `CORP`).

### Erstellen Sie das AD-Dienstkonto

ISPM, ISIDP und IDR benötigen nur **Lesezugriff**. Ein Konto mit Domänen-Adminrechten ist unnötig und nicht empfohlen. ISPM-Behebungsskripts werden separat, manuell, von einem Domänen-Admin ausgeführt.

<table data-search="false"><thead><tr><th>Anforderung</th><th>Warum</th></tr></thead><tbody><tr><td>Dediziertes <strong>Standard-</strong> Benutzer (z. B. <code>svc-s1-identity</code>)</td><td>Nur Lesezugriff reicht aus und gewährleistet Nachvollziehbarkeit</td></tr><tr><td>Langes, zufälliges Kennwort, das <strong>nie abläuft</strong></td><td>Wenn sich das Kennwort in AD ändert, wird die Verbindung getrennt (Status <em>Deaktiviert</em>)</td></tr><tr><td>Erstellt in der Gesamtstruktur <strong>Stammdomäne</strong></td><td>Erforderlich, um die gesamte Gesamtstruktur mit überwachten Unterdomänen zu bewerten</td></tr><tr><td>Kerberos <strong>AES 128 und AES 256</strong> aktiviert</td><td>Erforderlich für die Bewertung</td></tr><tr><td>Mitglied von <strong>Remoteverwaltungsbenutzer</strong></td><td>WinRM-Zugriff auf DCs (Bedrohungen und einige Exposures)</td></tr><tr><td>Mitglied von <strong>Ereignisprotokollleser</strong></td><td>Liest die Sicherheitsprotokolle der DCs (Quell-IP und Benutzer in Erkennungen)</td></tr><tr><td>Lesezugriff auf adminSDHolder, KRBTGT, Administrator, Domänen-/Schema-/Unternehmens-Admins, MicrosoftDNS-Container</td><td>Andernfalls wird die Exposition „Unzureichende Berechtigungen für die AD-Expositionsbewertung“ ausgelöst</td></tr><tr><td>Lesezugriff auf <code>CN=Deleted Objects</code></td><td>Erkennt massenhafte Kontolöschungen</td></tr></tbody></table>

<details>

<summary>PowerShell-Beispiel</summary>

Zum Ausführen auf einem DC oder mit RSAT, wobei Namen nach Bedarf angepasst werden:

```powershell
# 1. Konto erstellen
New-ADUser -Name "svc-s1-identity" -SamAccountName "svc-s1-identity" `
  -UserPrincipalName "svc-s1-identity@acme.local" -Path "OU=Service Accounts,DC=acme,DC=local" `
  -AccountPassword (Read-Host -AsSecureString "Password") -Enabled $true `
  -PasswordNeverExpires $true -CannotChangePassword $true `
  -KerberosEncryptionType AES128,AES256

# 2. Standardgruppen
Add-ADGroupMember -Identity "Remote Management Users" -Members "svc-s1-identity"
Add-ADGroupMember -Identity "Event Log Readers"       -Members "svc-s1-identity"
```

```
:: 3. Leserechte (Inhalt auflisten + Eigenschaft lesen), vererbt
dsacls "DC=acme,DC=local" /I:T /g ACME\svc-s1-identity:LCRP
dsacls "CN=Deleted Objects,DC=acme,DC=local" /takeownership
dsacls "CN=Deleted Objects,DC=acme,DC=local" /I:T /g ACME\svc-s1-identity:LCRP

:: 4. Auf JEDEM DC: WinRM-Zugriff und Lesen des Sicherheitsprotokolls für Network Service
winrm configsddl default                       :: Konto hinzufügen, Lesen + Ausführen prüfen
wevtutil gl security                           :: Ausgabe muss (A;;0x1;;;S-1-5-20) enthalten
wevtutil sl security /ca:"<current SDDL>(A;;0x1;;;S-1-5-20)"
```

</details>

Mit *Unterdomänen überwachen*, wiederholen Sie die `dsacls` Befehle in jeder Domäne, in der die Standardberechtigungen eingeschränkt wurden.

### Wählen Sie den AD-Connector-Server

* Domäne **Mitglieds-** Server, nicht ein DC. Beispiel: `srv-s1adc01.corp.acme.local`.
* Immer eingeschaltet und nicht netzwerkisoliert, 4 vCPU / 16 GB RAM, Windows-Agent **≥ 25.2.3.437**.
* Er muss **per DNS auflösbar sein** und jede deklarierte Domäne über die Ports 53, 88, 389/636, 445 und 5985/5986 erreichen.
* Eine einzige Gesamtstruktur, auch mit mehreren Domänen: **ein Connector** reicht aus. Isolierte Gesamtstrukturen ohne Vertrauensstellung: ein Connector pro Gesamtstruktur.

Schnelle Prüfungen, die von diesem Server aus ausgeführt werden sollen:

```powershell
Resolve-DnsName corp.acme.local
Test-NetConnection dc01.corp.acme.local -Port 636     # LDAPS
Test-NetConnection dc01.corp.acme.local -Port 5986    # WinRM HTTPS
```

### Schließen Sie den Assistenten „AD verbinden“ ab

1. **AD-Connector**: geben Sie mindestens 3 Zeichen des Hostnamens ein (z. B. `srv`), wählen Sie den Endpunkt mit grünem Status aus und klicken Sie dann auf *Weiter*. Ein Banner bestätigt die Verbindung nach einigen Minuten.
2. **Domäne**: füllen Sie die Felder aus der folgenden Tabelle aus und klicken Sie dann auf *Weiter*. Die Konsole führt einen LDAP-Test aus, und die Domäne wird nur gespeichert, wenn der Test erfolgreich ist.
3. **Täuschkörper**: konfigurieren Sie die Täuschkörper, siehe [Täuschkörper](#decoys), dann *Fertigstellen*.

<figure><img src="https://243136008-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2Fgit-blob-2948384debcb6e8660f9c15c95d090e84b53cdb7%2Fs1-identity-security-connect-ad-domain-form.png?alt=media" alt=""><figcaption><p>Domänenschritt des Assistenten. In diesem Dokumentationsbeispiel sind LDAP und WinRM HTTP ausgewählt; in der Produktion sollten LDAPS und WinRM HTTPS bevorzugt werden.</p></figcaption></figure>

<table data-search="false"><thead><tr><th>Feld</th><th>Was einzugeben ist</th><th>Beispiel</th></tr></thead><tbody><tr><td><strong>Site</strong></td><td>Auf Kontoebene: die Sites, die diese Domäne erben (nützlich für IDR und ISIDP). „Alle“ deckt später erstellte Sites nicht ab.</td><td>Paris, Lyon</td></tr><tr><td><strong>Domänenname</strong></td><td>Die <strong>DNS-FQDN</strong>, niemals der NetBIOS-Name. Um die gesamte Gesamtstruktur abzudecken, geben Sie die Stammdomäne ein.</td><td><code>acme.local</code> oder <code>corp.acme.local</code>, nicht <code>CORP</code></td></tr><tr><td><strong>Unterdomänen überwachen</strong></td><td>Bewertet jede Domäne in der Gesamtstruktur (derselbe Baum und andere Bäume). Ohne dieses Kontrollkästchen werden Unterdomänen erkannt, aber <strong>nicht bewertet</strong>.</td><td>Aktiviert</td></tr><tr><td><strong>FQDN des Domänencontrollers</strong></td><td>Der FQDN von <strong>eines</strong> DC in der Domäne, auflösbar durch den AD-Connector. Ein RODC wird akzeptiert. Keine IP-Adresse. Andere DCs werden automatisch erkannt (PDC zuerst).</td><td><code>dc01.corp.acme.local</code>, nicht <code>10.0.0.10</code></td></tr><tr><td><strong>Domänenbenutzername</strong></td><td>Das Dienstkonto im UPN-, NetBIOS- oder Klartextnamenformat</td><td><code>svc-s1-identity@acme.local</code>, <code>ACME\svc-s1-identity</code>, oder <code>svc-s1-identity</code>; nicht <code>ACME.LOCAL\svc-s1-identity</code></td></tr><tr><td><strong>Domänenkennwort</strong></td><td>Sorgfältig eingeben: Ein falsches Kennwort <strong>sperrt das Konto</strong> nach wiederholten Versuchen</td><td></td></tr><tr><td><strong>Aktualisierungszeitplan</strong> (Tag, Uhrzeit, Zeitzone)</td><td>Aktualisierung der AD-Daten, um sie außerhalb der Spitzenzeiten zu planen. Sie löst nicht die ISPM-Bewertung aus, die weiterhin fest auf Samstag 04:00 UTC eingestellt ist.</td><td>Sonntag · 02:00 · Europe/Paris</td></tr></tbody></table>

### Protokolle und Optionen

<table data-search="false"><thead><tr><th width="140">Option</th><th width="160">Auswahl</th><th>Voraussetzungen und Konsequenzen</th></tr></thead><tbody><tr><td rowspan="2"><strong>LDAP-Methode</strong></td><td><strong>LDAPS (636)</strong>, empfohlen</td><td>Verschlüsselt den Datenverkehr zwischen dem Connector und den DCs. Erfordert ein <strong>gültiges Serverzertifikat auf den DCs</strong> (AD CS oder ein Zertifikat „Kerberos / Domain Controller Authentication“) und den offenen Port 636. Prüfen Sie: <code>ldp.exe</code>, SSL-Verbindung zu <code>dc01.corp.acme.local:636</code>.</td></tr><tr><td><strong>LDAP (389)</strong></td><td>Unverschlüsselter Kanal, vorbehalten für DCs ohne Zertifikat oder zur Fehlerbehebung. Der Fehler „LDAPS connection failed“ fordert Sie auf, es erneut über LDAP zu versuchen. Feste Ports, nicht konfigurierbar.</td></tr><tr><td rowspan="2"><strong>WinRM-Methode</strong></td><td><strong>HTTPS (5986)</strong>, empfohlen</td><td>Erfordert einen HTTPS-Listener auf <strong>jedem DC</strong>, mit einem Zertifikat, dessen Subject der FQDN des DC ist (das LDAPS-Zertifikat funktioniert), und offenem Port 5986: <code>winrm quickconfig -transport:https</code>.</td></tr><tr><td><strong>HTTP (5985)</strong></td><td>Wenn DCs kein Zertifikat haben. Die Authentifizierung bleibt Kerberos, aber <code>AllowUnencrypted=true</code> ist sowohl auf dem Client als auch auf dem Dienst erforderlich. <strong>Ohne WinRM auf allen DCs</strong>, schlägt Threat Detection fehl und einige Exposures werden <em>Übersprungen</em>.</td></tr><tr><td><strong>LDAP-Referral</strong></td><td>Aktiviert, wenn die Gesamtstruktur Unterdomänen hat</td><td>Folgt Referrals zu Unterdomänen: ISIDP- und IDR-Richtlinien gelten dann auch für untergeordnete Domänen, die in der Protokollkonfiguration sichtbar werden. Das Konto muss in der Lage sein, diese Unterdomänen abzufragen. Wenn später aktiviert, führen Sie <em>AD-Daten aktualisieren</em>.</td></tr><tr><td><strong>AD-Synchronisierung</strong></td><td>Aktiviert</td><td>Synchronisiert Benutzer- und Gruppenattribute. Erforderlich für Threat Detection, CCP, Scans kompromittierter Konten und die Bestandsaufnahme von Assets. Die erste Synchronisierung kann eine Weile dauern.</td></tr><tr><td><strong>Threat Detection</strong></td><td>Aktiviert (erfordert AD Sync)</td><td>ISPM-Bedrohungen in Echtzeit: Passwortspray, massenhafte Sperren und Zurücksetzungen usw. Basierend auf einer persistenten LDAP-Verbindung zum PDC und auf WinRM. Das Deaktivieren löscht die synchronisierten Objekte.</td></tr><tr><td><strong>Zugriff über Trust</strong></td><td>Nur für eine andere vertrauenswürdige Gesamtstruktur</td><td>Um eine Domäne in einer anderen Gesamtstruktur mit dem Konto der Hauptgesamtstruktur zu bewerten. Zwei zusätzliche Felder: <em>Trust-Domänenname</em> und <em>Trust-Domänencontroller</em> (FQDN, keine IP). <strong>Kann nicht bearbeitet werden</strong> danach: löschen und neu erstellen.</td></tr></tbody></table>

<details>

<summary>Beispiel für Zugriff über Trust</summary>

Das `filiale.local` Gesamtstruktur-Trusts `acme.local`. Geben Sie Domänenname = `filiale.local`, Benutzername = `svc-s1-identity@acme.local`, Zugriff über Trust = aktiviert, Trust-Domänenname = `acme.local`, Trust-Domänencontroller = `dc01.acme.local`. Der Connector muss die `filiale.local` DCs auflösen und erreichen.

</details>

### Täuschkörper

IDR verwendet diese Täuschkörper.

<table data-search="false"><thead><tr><th>Feld</th><th>Hinweis</th><th>Beispiel</th></tr></thead><tbody><tr><td>Land für Namensgenerator</td><td>Land passend zu Ihren Benutzern</td><td>Frankreich</td></tr><tr><td>Dienst- (SPN-) Präfix</td><td>Das Präfix Ihrer echten Dienstkonten, falls vorhanden</td><td><code>svc</code></td></tr><tr><td>Namensformat</td><td>Dasselbe Format wie Ihre echten Benutzernamen. Variablen: <code>%FN%</code> (Vorname), <code>%LN%</code> (Nachname), <code>%FNI%</code> und <code>%LNI%</code> (Initialen), <code>%#n%</code> (n zufällige Ziffern).</td><td><code>%FNI%.%LN%</code> → <code>j.dupont</code></td></tr><tr><td>Hostname-Format</td><td>Angelehnt an die Benennung Ihrer Workstations und DCs</td><td>Benutzerdefiniert: <code>PC-</code> + Ziffern</td></tr><tr><td>IP-Adressformat</td><td>Bereich oder CIDR von <strong>mehr als 250 Adressen</strong>, <strong>nie in der Produktion verwendet</strong> (sonst False Positives)</td><td><code>10.250.0.0/24</code></td></tr></tbody></table>

{% hint style="warning" %}
Täuschkörper können nicht mehr bearbeitet werden, solange eine aktive Identity-Protection-Richtlinie die Domäne abdeckt.
{% endhint %}

### Nach der Validierung

* Der Domänenstatus ändert sich zu **Aktiviert**. Er wechselt zurück zu *Deaktiviert* wenn der Connector ausfällt oder sich das Kontokennwort ändert.
* Die Konsole führt AD-Learning, Synchronisierung und dann die ISPM-Bewertung aus (ca. 30 Min.). Mehrere gleichzeitig hinzugefügte Domänen werden nacheinander verarbeitet.
* Standardrichtlinien werden erstellt, **inaktiv**.
* Jede Domäne kann nur **einmal pro Organisation**. Nach dem Löschen einer Domäne warten Sie 120 s, bevor Sie sie neu erstellen. Nachdem Sie einen DC hinzugefügt haben, klicken Sie auf **AD-Daten aktualisieren**, andernfalls treten DCSync-False-Positives auf.

Wenn die Domäne nicht gespeichert werden kann, siehe [Problembehandlung](#troubleshooting).

## Die AD-Postur überprüfen (ISPM)

`Richtlinien und Einstellungen` > `Identity Security` > `Identity-Postur-Einstellungen`

Weiter ist nichts zu tun: Die Bewertung startet, sobald die Domäne gespeichert ist (ca. 30 Min.), und läuft dann jeden Samstag um 04:00 UTC.

1. Für einen sofortigen Scan: **Jetzt scannen**.
2. Um die Ergebnisse zu prüfen: `Fehlkonfigurationen` > `Identity`. Beheben Sie zuerst kritische und hohe Exposures (klicken Sie auf die Fehlkonfiguration und dann auf `Aktionen` > `Abschwächen` > `Skript herunterladen`).

## Domänencontroller schützen (ISIDP)

`Richtlinien und Einstellungen` > `Identity Security` > `Identity-Richtlinien` (`Identity-Provider-Richtlinie` / `Bedingter-Zugriff-Richtlinie` Registerkarten)

Beim Speichern der Domäne wurden zwei Standardrichtlinien erstellt, **inaktiv und schreibgeschützt**. Duplizieren Sie sie:

1. **Bedingter-Zugriff-Richtlinie**: duplizieren `Default_policy_account_ca`, fügen Sie eine **angriffsbasierte** Regel hinzu, die alle Angriffe mit der **Audit** Aktion abdeckt, und aktivieren Sie sie dann.
2. **Identity-Provider-Richtlinie**: duplizieren `Default_policy_account_idp` und überprüfen Sie Folgendes:
   * Alle Domänen sind ausgewählt und **Auf Windows-Server anwenden** ist aktiviert.
   * Die PAC-Validierung bleibt aktiviert, sofern keine PAM- oder JIT-Lösung vorhanden ist. Lernmodus: aktiviert, 4 Tage.
   * Kerberos-, LDAP-, SAMR- und LSARPC-Protokolle aktiviert. Add-on: *Version anheften* bei N-1.
   * Empfohlen: *Kompromittierte Anmeldekonfiguration* aktiviert (Leck-Datenbanken, zunächst keine Abhilfe).
   * Die CA-Richtlinie aus Schritt 1 ist ausgewählt.
3. `Aktionen` > `Richtlinie aktivieren`. Zum sofortigen Pushen: Seitenleiste `Sentinels` > `Endpunkte`, wählen Sie die DCs aus und dann `Aktionen` > `Agentenaktionen` > `Änderungen an der Identity-Richtlinie verteilen`.

<figure><img src="https://243136008-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2Fgit-blob-9a8a118214ab166837d7191294e7b3f153795fc2%2Fs1-identity-security-identity-provider-policy.png?alt=media" alt=""><figcaption><p>Richtlinie des Identitätsanbieters: Erkennung und Protokolle.</p></figcaption></figure>

{% hint style="info" %}
Wechseln Sie nach ein paar Tagen ohne Fehlalarme die Angriffsregeln von *Audit* zu **Blockieren**.
{% endhint %}

## Täuschkörper auf Endpunkten bereitstellen (IDR)

`Richtlinien und Einstellungen` > `Identity Security` > `Identity-Richtlinien` > `Richtlinie zum Identitätsschutz`

1. Klicken Sie **Neue Richtlinie zum Identitätsschutz**, wobei die AD-PowerShell-Antwort auf **Alarm**.
2. Fügen Sie 4 Regeln hinzu: Privilegierte Administratoren, Dienstkonten, Domänencontroller, delegierte Administratoren. Wählen Sie die echten Objekte aus und aktivieren Sie dann **Täuschkörper hinzufügen** und **Echte Objekte ausblenden**.
3. *Erstellen*, dann `Aktionen` > `Richtlinie aktivieren`.

Testen Sie von einer Domänen-Workstation aus: `net group "Domain Admins" /domain` sollte ein Täuschkonto zurückgeben. Mit einem Agenten ab 25.2.3 erscheint die Erkennung als Indikator in `Ereignissuche` (Abfrage: `indicator.name = 'IdentityDeceptivePing'`). Andere Alarme befinden sich in `Alerts`.

## Microsoft Entra ID verbinden (optional)

Nur wenn der Kunde Entra ID verwendet: `Richtlinien und Einstellungen` > `Cloud-Konten` > `Microsoft Azure`. Sie benötigen einen Mandanten **Globaler Administrator** Konto und die Mandanten-ID. Optional: die Objekt-ID einer Gruppe „riskante Benutzer“.

1. *Konto verbinden*: Typ **Mandant**, prüfen Sie **Identitätssicherheit aktivieren**.
2. Verbindungsname, Mandanten-ID und **Benutzerkonten aus Microsoft Entra ID synchronisieren** aktiviert.
3. In Azure: *Mandanteneigenschaften* > *Zugriffsverwaltung für Azure-Ressourcen = Ja*, dann abmelden und erneut anmelden.
4. Laden Sie die Terraform-Vorlage herunter und führen Sie sie in Azure Cloud Shell aus:

```
terraform init && terraform apply -auto-approve
```

5. Einfügen `application_id` und `client_secret`, dann **Alle auswählen** und automatisches Onboarding sowie *Fertigstellen*.

{% hint style="warning" %}
Das Geheimnis **läuft nach einem Jahr ab**: planen Sie die Erneuerung.
{% endhint %}

Ergebnisse erscheinen in `Fehlkonfigurationen` > `Identity`.

## Vergewissern Sie sich, dass ein Alarm ausgelöst wird

Von einer in die Domäne aufgenommenen Workstation aus, mit einem Domänenkonto, vorzugsweise in einem Pilotprojekt.

1. Um die Ergebnisse sofort zu sehen: in der Richtlinie des Identitätsanbieters, **den Lernmodus vorübergehend deaktivieren** (während des Lernens werden nur High-Alarme ausgelöst). Dann die Richtlinie an die DCs verteilen.
2. Führen Sie die folgenden Befehle aus:

```
net group "Domain Admins" /domain      :: ISIDP (SAMR) + IDR (Täuschkörper in der Antwort)
dsquery * -filter "(admincount=1)"      :: ISIDP (LDAP), erfordert RSAT AD Tools
```

3. Prüfen Sie die `Alerts` Seitenleiste (Zeitraum *Letzte 1 Stunde*), **Erkennungs-Engine** Filter:
   * `ADSecure-DC`, `-SAMR` oder `-LDAP` für ISIDP (Aufzählung privilegierter Konten).
   * `ADSecure-EP` für IDR. Mit einem Agenten ab 25.2.3 suchen Sie nach dem Indikator in `Ereignissuche` stattdessen.
4. Aktivieren Sie den Lernmodus erneut, sobald der Test validiert ist.

## Abschließende Prüfung

* Der AD Connector zeigt einen aktiven Status in `Richtlinien und Einstellungen` > `Identity Security` > `Active Directory`.
* ISPM-Fehlkonfigurationen erscheinen in der **Fehlkonfigurationen** Seitenleiste, Registerkarte Identität.
* Die Conditional-Access-Richtlinie und die Richtlinie des Identitätsanbieters sind aktiv.
* Die Richtlinie zum Identitätsschutz ist aktiv.
* Das `Dashboards` > `Identity` Dashboard zeigt Daten, und Alarme sind sichtbar in `Alerts` > `Identity`.
* AD- und Entra-Assets sind sichtbar in `Inventar` > `Identity`.

## Problembehandlung

<details>

<summary>Fehler beim Speichern: Authentifizierung fehlgeschlagen</summary>

Überprüfen Sie Konto und Passwort (und eine mögliche Sperrung).

</details>

<details>

<summary>Fehler beim Speichern: LDAPS-Verbindung fehlgeschlagen</summary>

Überprüfen Sie das Zertifikat des DC und Port 636, oder wechseln Sie zurück zu LDAP.

</details>

<details>

<summary>Fehler beim Speichern: Das Benutzerkonto verfügt nicht über die Berechtigungen…</summary>

Überprüfen Sie die Rechte in [Erstellen Sie das AD-Dienstkonto](#create-the-ad-service-account).

</details>

<details>

<summary>Fehler beim Speichern: Domänencontroller ausgefallen / nicht verfügbar / beschäftigt</summary>

Überprüfen Sie DNS und den Datenverkehr vom AD Connector und versuchen Sie es dann erneut.

</details>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.stoik.io/help/help-de/mdr/deploy/sentinelone/add-on/identity-security.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.