ITP met Entra ID

Vergeet het laatste deel van stap 6 niet, Voltooi en bevestig de registratie: e-mail Stoïk met je tenant-ID. Zonder dat kan monitoring aan onze kant niet worden geactiveerd.

CrowdStrike heeft deze integratie in 2026 gewijzigd. De Entra ID-connector wordt nu ingesteld als een Azure-registratie in Falcon Cloud Connectors. Je maakt niet langer handmatig een applicatie, een client secret of een aangepaste rol aan. Als je de vorige connector al hebt ingesteld, zie Migreren vanaf de verouderde connector.

Doel van ITP

Identity Threat Protection (ITP) bewaakt voortdurend accountactiviteit en Active Directory om afwijkend gedrag te detecteren.

• Identiteitsgerichte gedragsanalyse: detecteert verdachte authenticaties, ongebruikelijke toegangspatronen, ongeautoriseerde inlogpogingen en afwijkingen in gebruikersaccounts. Voorbeelden zijn verdachte werkstation-naar-serververbindingen, netwerkscans, brute-forcepogingen en het extraheren van inloggegevens. De module kan kritieke gebeurtenissen automatisch blokkeren.

• Beveiligingsstatus van Active Directory: geeft een realtime overzicht van de AD-beveiliging, met geavanceerdere opties dan de Stoïk Protect AD-scan. Het identificeert configuratieproblemen, accounts met gecompromitteerde wachtwoorden en problemen met het beheren van privileges.

• Bewaking van clouddreigingen (optioneel): zodra Entra ID is verbonden, verwerkt ITP je cloud- en hybride accounts, Entra ID-auditlogboeken, inloglogboeken en Azure-activiteitslogboeken. Het correleert SSO-activiteit met je on-premises accounts en detecteert aanmeldingen vanaf verdachte IP-adressen en afwijkende toegangspogingen.

Vereisten

• Een Microsoft Entra ID P1- of P2 licentie. Microsoft Entra ID Free wordt niet ondersteund.

• Een Azure-abonnement in de tenant. CrowdStrike implementeert daar zijn resources voor logverwerking.

• Een persoon met de Global Administrator of Privileged Role Administrator rol in Entra ID, om beheerdersinstemming te verlenen.

• Een persoon met de Eigenaar en Azure Deployment Stack Owner Azure-rollen op groepsniveau van de Tenant Root Group niveau, om de resources te implementeren.

• Een Falcon-consoleaccount met de rechten om de connector in te stellen. Stoïk maakt dit voor je aan in stap 1.

De rol Global Administrator in Entra ID doet niet de bovenstaande Azure-rollen verlenen. Ze moeten expliciet worden toegewezen op Tenant Root Group-niveau, anders mislukt de implementatie.

Integratie

Je voert de volledige configuratie zelf uit vanuit je Falcon-console. Stoïk geeft je de toegang die je nodig hebt en controleert het resultaat. Er wordt geen geheim uitgewisseld met Stoïk: de CrowdStrike-API-referenties die nodig zijn voor de implementatie, worden door jou in de console gegenereerd en alleen gebruikt in je eigen Azure Cloud Shell.

Voltooi dit proces voor elke Entra ID-tenant.

Stap	Wie
1. Verkrijg toegang tot je Falcon-console	Jij en Stoïk
2. Controleer je Azure-rollen	Jij (Azure-beheerder)
3. Maak de Azure-registratie aan in Falcon	Jij
4. Verleen beheerdersinstemming	Jij (Global Administrator of Privileged Role Administrator)
5. Implementeer de resources vanuit Azure Cloud Shell	Jij (Azure-beheerder)
6. Voltooi en bevestig de registratie	Jij, daarna Stoïk
7. Verleen Stoïk toegang voor herstelacties	Jij (Global Administrator)

Idealiter voert dezelfde persoon stappen 3 tot en met 6 uit en heeft hij of zij zowel de bovenstaande Entra ID- als Azure-rollen. Plan anders een korte sessie met de betrokkenen: de wizard moet open blijven van stap 3 tot stap 6.

1

Verkrijg toegang tot je Falcon-console

1. E-mail [e-mail] met de naam en e-mail van de persoon die de configuratie zal uitvoeren.

2. Stoïk maakt voor deze persoon een Falcon-gebruikersaccount aan, met de rechten die nodig zijn om de Entra ID-connector te configureren.

3. Deze persoon ontvangt een activatiemail van CrowdStrike. Ze stellen hun wachtwoord in en MFA, melden zich vervolgens aan bij de Falcon-console.

2

Controleer je Azure-rollen

De persoon die de implementatie uitvoert, opent Azure Cloud Shell in Bash modus en voert uit:

az role assignment list \\
  --assignee $(az ad signed-in-user show --query id -o tsv) \\
  --scope "/providers/Microsoft.Management/managementGroups/$(az account show --query tenantId -o tsv)" \\
  --include-groups \\
  --query "[?roleDefinitionName=='Owner' || roleDefinitionName=='Azure Deployment Stack Owner'].{Role:roleDefinitionName, Scope:scope}" \\
  -o table

De uitvoer moet beide vermelden Eigenaar en Azure Deployment Stack Owner. Als een van beide rollen ontbreekt, laat die dan eerst toewijzen op Tenant Root Group-niveau voordat je verdergaat.

Als je de Tenant Root Group niet kunt zien of beheren, moet een Global Administrator eerst Toegangsbeheer voor Azure-resources in Entra ID > Eigenschappen. Hiermee krijgen zij het recht om de bovenstaande rollen toe te wijzen. Daarna kun je het weer uitschakelen.

3

Maak de Azure-registratie aan in Falcon

Kopieer voordat je begint uit je Microsoft-consoles:

• de Tenant-ID: Microsoft Entra-beheercentrum > Entra ID > Overzicht

• de Abonnements-ID waar de CrowdStrike-resources worden geïmplementeerd: Azure Portal > Abonnementen

Ga vervolgens in de Falcon-console als volgt te werk:

1. Open de wizard:

   • Als je een verouderde Entra ID-connector hebt, ga dan naar Identiteitsbeveiliging > Instellingen > Configuraties > Connectoren en klik op Nu upgraden ervoor. De wizard opent met je tenant al ingevuld.

   • Ga anders naar Connectoren > Cloudconnectoren > Cloudverbindingen, open het Azure tabblad en klik op Nieuwe registratie toevoegen. Als daarom wordt gevraagd, selecteer Nieuwe implementatiemethoden, en vervolgens Volgende.

2. Registratieparameters: voer een registratienaam in, je Microsoft Entra-tenant-ID, selecteer Bicep en voer de Abonnements-ID. Klik op Doorgaan met standaardconfiguratie.

3. Functies: selecteer Realtime zichtbaarheid en detectie, en vervolgens Volgende.

4. Geavanceerde instellingen: laat Ik wil Entra ID-rechten aanpassen niet aangevinkt. Wijzig de regio voor resources voor logverwerking alleen indien nodig. Klik op Volgende.

5. API-referenties: klik op API-client genereren. Kopieer de Client-ID en Clientgeheim en houd deze bij de hand voor stap 5. Het geheim wordt maar één keer getoond. Klik op Gereed, en vervolgens Volgende.

Houd het clientgeheim voor jezelf. Stuur het nooit per e-mail, chat of ticket, ook niet aan Stoïk. Je hebt het alleen nodig in Azure Cloud Shell tijdens stap 5.

4

Verleen beheerdersinstemming

Deze stap moet worden uitgevoerd door een Global Administrator of Privileged Role Administrator. Zonder beheerdersinstemming kan Falcon geen Entra ID-gegevens lezen en werkt Identity Protection niet.

1. Op de Configuratie implementeren pagina van de wizard, klik op Verleen beheerdersinstemming en meld je aan met je Microsoft-beheerdersaccount.

2. Controleer of de tenant-ID in de URL overeenkomt met je tenant.

3. Controleer de gevraagde machtigingen en klik op Accepteren.

4. Terug in de wizard, klik op Verifiëren.

De applicatie die door CrowdStrike is gemaakt heeft alleen alleen-lezen machtigingen voor je directory.

5

Implementeer de resources vanuit Azure Cloud Shell

1. Op de Configuratie implementeren pagina, open de Bash tabblad en klik op ZIP downloaden om crowdstrike-fcs-azure-bicep-generated.zip.

2. Upload het ZIP-bestand in Azure Cloud Shell (Bash).

3. Pak het uit:

   unzip crowdstrike-fcs-azure-bicep-generated.zip

4. Controleer of het parametersbestand aanwezig is:

   ls parameters.bicepparam

   Als het bestand niet wordt vermeld, controleer dan of je het juiste bestand hebt geüpload en uitgepakt.

5. Kopieer de opdrachten die op het Bash tabblad staan en voer ze in volgorde uit:

   • az login -t '<tenant ID>'

   • export FALCON_CLIENT_SECRET=<client secret from step 3>

   • az stack mg create ..., waarmee de Bicep-sjabloon wordt geïmplementeerd

6. Wacht tot de laatste opdracht is voltooid. De terminal lijkt inactief terwijl de implementatie wordt uitgevoerd en toont alleen fouten. Dit is normaal.

6

Voltooi en bevestig de registratie

1. Klik in de wizard op Valideren en voltooien.

2. Op de Azure tabblad van Cloudverbindingen, toont de registratie eerst In behandeling, en vervolgens Actief. Reken op ongeveer 2 uur voordat de gegevens verschijnen.

3. De registratie is voltooid wanneer beide Assets en Realtime zichtbaarheid en detectie weergeven Actief.

4. E-mail [e-mail] met je tenant-ID. Stoïk controleert de registratie en activeert monitoring aan zijn kant.

Zodra de registratie actief is, verwijdert Stoïk de configuratierechten uit je Falcon-account.

7

Verleen Stoïk toegang voor herstelacties

Als een account buiten kantooruren gecompromitteerd raakt, kan je team niet beschikbaar zijn. Door deze toegang te verlenen kan Stoïk getroffen accounts uitschakelen zodra een compromis is bevestigd.

1. Meld je aan als Global Administrator en open de beheerdersinstemmingslink.

2. Controleer de gevraagde machtigingen en klik op Accepteren.

3. Je komt op een lege pagina terecht. Je kunt deze sluiten.

De applicatie kan alleen bestaande accounts in- of uitschakelen. Ze kan geen accounts aanmaken of andere kenmerken wijzigen. Elke actie vereist MFA, wordt gelogd en krijgt een tijdstempel. Stoïk kan op verzoek het volledige auditlogboek leveren.

Migreren vanaf de verouderde connector

Als je de vorige Entra ID-connector hebt ingesteld (applicatie stoik-connector-itp met een clientgeheim), moet deze worden gemigreerd:

1. Vraag toegang tot je Falcon-console aan (stap 1).

2. Voltooi stappen 2 tot en met 6. Begin in stap 3 vanaf Nu upgraden op de verouderde connector.

3. Zodra de nieuwe registratie actief is, toont de verouderde connector Klaar voor buitengebruikstelling. Verwijder deze in Identiteitsbeveiliging > Instellingen > Configuraties > Connectoren, of vraag Stoïk om dit te doen.

4. Je kunt daarna de oude stoik-connector-itp applicatie, het clientgeheim en de Identity Protection RBAC Reader aangepaste rol uit je tenant verwijderen. Ze worden niet meer gebruikt.

Zelf beheerde Falcon-console

Als je je eigen Falcon-console beheert, sla dan stap 1 over en gebruik een account met de rechten om cloudregistraties en API-clients te beheren. Volg stappen 2 tot en met 7.