> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/help/help-nl/mdr/deploy/crowdstrike/add-on/itp.md). # ITP met Entra ID Verbind elke Entra ID-tenant met CrowdStrike Identity Threat Protection (ITP) door vanuit je Falcon-console een Azure-registratie aan te maken. Aan het einde e-mail je Stoïk je tenant-ID, zodat monitoring kan worden geactiveerd. ## Vereisten * Een **Microsoft Entra ID P1- of P2** licentie. Microsoft Entra ID Free wordt niet ondersteund. * Een **Azure-abonnement** in de tenant. CrowdStrike implementeert daar zijn log-inleesresources. * Een persoon met de **Global Administrator** of **Privileged Role Administrator** rol in Entra ID, om beheerdersinstemming te verlenen. * Een persoon met de **Eigenaar** en **Azure Deployment Stack Owner** Azure-rollen op het **Tenant Root Group** niveau, om de resources te implementeren. * Een **Falcon-consoleaccount** met de rechten om de connector in te stellen. Stoïk maakt dit voor je aan in stap 1. {% hint style="warning" %} De rol Global Administrator in Entra ID geeft **niet** niet de bovenstaande Azure-rollen. Deze moeten expliciet worden toegewezen op Tenant Root Group-niveau, anders mislukt de implementatie. {% endhint %} ## Doel van ITP ITP bewaakt continu accountactiviteit en Active Directory om afwijkend gedrag te detecteren. * **Gedragsanalyse gericht op identiteit:** detecteert verdachte authenticaties, ongebruikelijke toegangspatronen, ongeautoriseerde inlogpogingen en afwijkingen in gebruikersaccounts. Voorbeelden zijn verdachte verbindingen van werkstation naar server, netwerkscans, brute-forcepogingen en het extraheren van inloggegevens. De module kan kritieke gebeurtenissen automatisch blokkeren. * **Beveiligingsstatus van Active Directory:** geeft een realtime overzicht van de AD-beveiliging, met geavanceerdere opties dan de Stoïk Protect AD-scan. Het identificeert configuratieproblemen, accounts met gecompromitteerde wachtwoorden en problemen met rechtenbeheer. * **Bewaking van cloudbedreigingen (optioneel):** zodra Entra ID is gekoppeld, leest ITP je cloud- en hybride accounts, Entra ID-auditlogs, aanmeldingslogs en Azure-activiteitslogs in. Het correleert SSO-activiteit met je on-premises accounts en detecteert inlogpogingen vanaf verdachte IP-adressen en afwijkende toegangspogingen. ## Integratie CrowdStrike heeft deze integratie in 2026 gewijzigd: de Entra ID-connector wordt nu ingesteld als een **Azure-registratie** in Falcon Cloud Connectors. Je maakt niet langer handmatig een applicatie, een clientgeheim of een aangepaste rol aan. Als je de vorige connector al hebt ingesteld, zie [Migreren van de oude connector](#migrating-from-the-legacy-connector). Je voert de volledige configuratie zelf uit vanuit je Falcon-console, voor **elke Entra ID-tenant**. Stoïk geeft je de benodigde toegang en controleert het resultaat. **Er wordt geen geheim gedeeld met Stoïk**: je genereert de CrowdStrike API-referenties in de console en gebruikt ze alleen in je eigen Azure Cloud Shell. Idealiter voert dezelfde persoon stap 3 tot en met 6 uit en heeft die zowel de Entra ID- als de bovenstaande Azure-rollen. Plan anders een korte sessie met de betrokkenen: de wizard moet open blijven van stap 3 tot stap 6.
Wie doet wat
StapWie
1. Toegang tot je Falcon-console verkrijgenJij en Stoïk
2. Je Azure-rollen controlerenJij (Azure-beheerder)
3. De Azure-registratie aanmaken in FalconJij
4. Beheerdersinstemming verlenenJij (Global Administrator of Privileged Role Administrator)
5. De resources implementeren vanuit Azure Cloud ShellJij (Azure-beheerder)
6. De registratie voltooien en bevestigenJij, daarna Stoïk
7. Hersteltoegang verlenen aan StoïkJij (Global Administrator)
{% stepper %} {% step %} ### Toegang tot je Falcon-console verkrijgen 1. E-mail met de **naam en e-mailadres** van de persoon die de configuratie gaat uitvoeren. 2. Stoïk maakt voor deze persoon een Falcon-gebruikersaccount aan, met de rechten die nodig zijn om de Entra ID-connector te configureren. 3. De persoon ontvangt een activatiemail van CrowdStrike. Die stelt het wachtwoord en **MFA**in en meldt zich daarna aan bij de [Falcon-console](https://falcon.eu-1.crowdstrike.com). {% endstep %} {% step %} ### Je Azure-rollen controleren De persoon die de implementatie uitvoert opent [Azure Cloud Shell](https://shell.azure.com) in **Bash** modus en voert uit: ```bash az role assignment list \ --assignee $(az ad signed-in-user show --query id -o tsv) \ --scope "/providers/Microsoft.Management/managementGroups/$(az account show --query tenantId -o tsv)" \ --include-groups \ --query "[?roleDefinitionName=='Owner' || roleDefinitionName=='Azure Deployment Stack Owner'].{Role:roleDefinitionName, Scope:scope}" \ -o table ``` De uitvoer moet beide vermelden **Eigenaar** en **Azure Deployment Stack Owner**. Als een van beide rollen ontbreekt, laat deze dan toewijzen op Tenant Root Group-niveau voordat je verdergaat.
Kan de Tenant Root Group niet zien of beheren Een Global Administrator moet eerst `Toegangsbeheer voor Azure-resources` in `Entra ID` > `Eigenschappen`inschakelen. Hierdoor kan die persoon de bovenstaande rollen toewijzen. Daarna kun je het opnieuw uitschakelen.
{% endstep %} {% step %} ### De Azure-registratie aanmaken in Falcon Voordat je begint, kopieer uit je Microsoft-consoles: * de `Tenant-ID`: [Microsoft Entra-beheercentrum](https://entra.microsoft.com) > `Entra ID` > `Overzicht` * de `Subscription ID` waar de CrowdStrike-resources worden geïmplementeerd: [Azure-portal](https://portal.azure.com) > `Abonnementen` Ga daarna in de Falcon-console: 1. **Open de wizard:** * Als je een oude Entra ID-connector hebt, ga dan naar `Identiteitsbeveiliging` > `Instellingen` > `Configuraties` > `Connectors` en klik op **Nu upgraden** erop. De wizard wordt geopend met je tenant vooraf ingevuld. * Ga anders naar `Connectors` > `Cloud connectors` > `Cloudverbindingen`, open het `Azure` tabblad en klik op **Nieuwe registratie toevoegen**. Selecteer indien gevraagd **Nieuwe implementatiemethoden**, daarna **Volgende**. 2. **Registratieparameters:** voer een registratienaam in, je `Microsoft Entra-tenant-ID`, selecteer `Bicep` en voer de `Subscription ID`. Klik op **Doorgaan met standaardinstelling**. 3. **Functies:** selecteer `Realtime zichtbaarheid en detectie`, daarna **Volgende**. 4. **Geavanceerde instellingen:** laat `Ik wil de Entra ID-machtigingen aanpassen` niet aangevinkt. Wijzig de regio voor log-inleesresources alleen indien nodig. Klik op **Volgende**. 5. **API-referenties:** klik op **API-client genereren**. Kopieer de `Client ID` en `Client secret` en houd ze bij de hand voor stap 5. Het geheim wordt maar één keer weergegeven. Klik op **Klaar**, daarna **Volgende**. {% hint style="warning" %} Houd het clientgeheim voor jezelf. Stuur het nooit per e-mail, chat of ticket, ook niet naar Stoïk. Je hebt het alleen nodig in Azure Cloud Shell tijdens stap 5. {% endhint %} {% endstep %} {% step %} ### Beheerdersinstemming verlenen Uit te voeren door een Global Administrator of Privileged Role Administrator. Zonder beheerdersinstemming kan Falcon geen Entra ID-gegevens lezen en werkt Identity Protection niet. 1. Op de `Implementatieconfiguratie` pagina van de wizard, klik op **Beheerdersinstemming verlenen** en meld je aan met je Microsoft-beheerdersaccount. 2. Controleer of de **tenant-ID in de URL overeenkomt met je tenant**. 3. Bekijk de gevraagde machtigingen en klik op **Accepteren**. 4. Terug in de wizard, klik op **Verifiëren**. De door CrowdStrike aangemaakte applicatie heeft alleen **alleen-lezen** machtigingen op je directory. {% endstep %} {% step %} ### De resources implementeren vanuit Azure Cloud Shell 1. Op de `Implementatieconfiguratie` pagina, open de `Bash` tabblad en klik op **ZIP downloaden** om `crowdstrike-fcs-azure-bicep-generated.zip`. 2. Upload in Azure Cloud Shell (Bash) het ZIP-bestand. 3. Pak het uit: ```bash unzip crowdstrike-fcs-azure-bicep-generated.zip ``` 4. Controleer of het parametersbestand aanwezig is: ```bash ls parameters.bicepparam ``` Als het bestand niet wordt vermeld, controleer dan of je het juiste bestand hebt geüpload en uitgepakt. 5. Kopieer de commando's die worden weergegeven op het `Bash` tabblad en voer ze in volgorde uit: * `az login -t ''` * `export FALCON_CLIENT_SECRET=` * `az stack mg create ...`, waarmee de Bicep-sjabloon wordt geïmplementeerd 6. Wacht tot het laatste commando klaar is. De terminal lijkt inactief terwijl de implementatie draait en toont alleen fouten. Dit is normaal. {% endstep %} {% step %} ### De registratie voltooien en bevestigen 1. Klik in de wizard op **Valideren en voltooien**. 2. Op de `Azure` tabblad van `Cloudverbindingen`, de registratie toont eerst `In afwachting van`, daarna `Actief`. Reken ongeveer **2 uur** voor het verschijnen van gegevens. 3. De registratie is voltooid wanneer beide `Assets` en `Realtime zichtbaarheid en detectie` weergeven `Actief`. {% hint style="warning" %} E-mail met je tenant-ID. Stoïk controleert de registratie en activeert monitoring aan zijn kant. Zonder dit kan monitoring niet worden geactiveerd. {% endhint %} Zodra de registratie actief is, verwijdert Stoïk de configuratierechten van je Falcon-account. {% endstep %} {% step %} ### Hersteltoegang verlenen aan Stoïk Als een account buiten kantooruren wordt gecompromitteerd, kan je team mogelijk niet beschikbaar zijn. Door deze toegang te verlenen kan Stoïk getroffen accounts uitschakelen zodra een compromis is bevestigd. 1. Meld je aan als Global Administrator en open de [link voor beheerdersinstemming](https://login.microsoftonline.com/organizations/adminconsent?client_id=72f25200-dfe6-4c66-959d-103731ae6215\&redirect_uri=https://login.microsoftonline.com/common/oauth2/nativeclient). 2. Bekijk de gevraagde machtigingen en klik op **Accepteren**. 3. Je komt op een lege pagina terecht. Je kunt die sluiten.
Wat de herstelapplicatie kan doen De applicatie kan alleen bestaande accounts in- of uitschakelen. Ze kan geen accounts aanmaken of andere kenmerken wijzigen. Elke actie vereist MFA, wordt gelogd en van een tijdstempel voorzien. Stoïk kan op verzoek het volledige auditlogboek verstrekken.
{% endstep %} {% endstepper %} ## Migreren van de oude connector Als je de [oude Entra ID-connector](/help/help-nl/mdr/deploy/crowdstrike/add-on/itp-legacy.md) (applicatie `stoik-connector-itp` met een clientgeheim), moet deze worden gemigreerd: 1. Vraag toegang tot je Falcon-console aan (stap 1). 2. Voltooi stap 2 tot en met 6. Begin in stap 3 vanaf **Nu upgraden** op de oude connector. 3. Zodra de nieuwe registratie actief is, toont de oude connector `Ready to Decommission`. Verwijder deze in `Identiteitsbeveiliging` > `Instellingen` > `Configuraties` > `Connectors`, of vraag Stoïk om dat te doen. 4. Je kunt daarna de oude `stoik-connector-itp` applicatie, het clientgeheim en de `Identity Protection RBAC Reader` aangepaste rol uit je tenant verwijderen. Ze worden niet meer gebruikt. ## Zelf beheerde Falcon-console Als je je eigen Falcon-console beheert, sla dan stap 1 over en gebruik een account met de rechten om cloudregistraties en API-clients te beheren. Volg stap 2 tot en met 7. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.stoik.io/help/help-nl/mdr/deploy/crowdstrike/add-on/itp.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.