Ctrlk
For the complete documentation index, see llms.txt. This page is also available as Markdown.

Microsoft Defender

Het beheer van MS Defender EDR is momenteel in bèta. Laat het ons weten als je feedback hebt of problemen ondervindt.

Als onderdeel van het MDR (Managed Detection and Response)-aanbod beheert Stoïk de Microsoft EDR/XDR-configuratie. In tegenstelling tot CrowdStrike of SentinelOne verkoopt Stoïk geen Microsoft Defender-licenties, we beheren ze alleen. De licenties blijven van jou, en jij houdt de controle over je Microsoft-tenant. Om Stoïk de MDR-service op Microsoft Defender te laten leveren, moet je console met Stoïk zijn verbonden, zodat:

  • De gemonitorde hosts en waarschuwingen stromen door naar de systemen van Stoïk en worden 24/7 afgehandeld door het Stoïk CERT-team

  • Je hebt direct in Stoïk Protect volledig inzicht in je MDR-activiteit (hosts, waarschuwingen, onderzoeken)

1

Werk je licenties bij

Dit moet worden gedaan tijdens het gesprek met je Stoïk-salesvertegenwoordiger, als onderdeel van de aankoop van Stoïk MDR. Stoïk koopt de licenties voor Microsoft MDR niet namens jou.

2

Implementeer je licenties

Een licentie toewijzen is niet hetzelfde als de Defender for Endpoint-agent implementeren. De agent moet op elk apparaat worden geïmplementeerd om het daadwerkelijk te onboarden; alleen licentietoewijzing doet dit niet.

  • Endpoints (werkstations): zodra licenties zijn toegewezen, implementeer Defender for Endpoint op de apparaten via Intune, Group Policy of een handmatig script. Zie Microsoft's Apparaten onboarden documentatie voor de beschikbare methoden.

  • Servers: een speciale licentie is vereist. Schrijf je eerst in via Werk je licenties bij, en implementeer deze vervolgens met de .exe installatieprogramma dat Microsoft levert.

Een apparaat dat verschijnt onder MDR > Bewaakte assets in Stoïk Protect betekent niet dat Defender for Endpoint erop is geïnstalleerd en actief is. De daar getoonde assets komen uit Entra ID, niet uit Defender zelf, dus een apparaat kan verschijnen voordat de agent daadwerkelijk is geïmplementeerd.

3

Verbind je Microsoft-tenant met Stoïk

Dit is de stap die je Microsoft Defender-console koppelt aan Stoïk, zodat waarschuwingen en hosts doorstromen naar het onderzoeksplatform van Stoïk en naar Stoïk Protect. De configuratie heeft drie onderdelen:

  • Deel A: met één klik uitgevoerd vanuit Stoïk Protect (dit autoriseert Stoïk om waarschuwingen en hosts uit je Defender-tenant te lezen).

  • Deel B.1: nodig een speciale externe gebruiker uit om het Stoïk CERT-team toegang te geven tot het Microsoft Defender-portaal.

  • Deel B.2: voeg XDR Defender-machtigingen toe (vereist als Defender RBAC is ingeschakeld op je tenant).

Deel A: Machtig Stoïk vanuit Stoïk Protect

Voorwaarde: je moet zijn aangemeld bij Microsoft met een beheerdersaccount dat Globale beheerder rechten heeft.

1

Log in op Stoïk Protect met je Stoïk-account.

2

Ga naar MDR > Instellingen.

3

Klik op Verbind je Microsoft-account.

4

Je wordt doorgestuurd naar Microsoft. Controleer de machtigingen die de Stoïk MDR-app aanvraagt en klik op Accepteren.

5

Je wordt teruggestuurd naar Stoïk Protect. De Instellingen pagina toont de verbinding als Verbonden, samen met de gedetecteerde Microsoft Tenant-ID. Zodra Deel A is voltooid, stromen je Microsoft Defender-waarschuwingen door naar Stoïk. Je kunt gemonitorde hosts en waarschuwingen al zien in Stoïk Protect > MDR.

Deel B.1: Nodig de Stoïk MDR-gebruiker uit

Om het Stoïk CERT-team de Microsoft-onderzoeksconsole te laten gebruiken en grootschalige onderzoeken in je tenant uit te voeren, moet je een speciale externe gebruiker uitnodigen.

1

Ga naar portal.azure.com met een account dat beschikt over Globale beheerder rechten heeft.

2

Typ in de zoekbalk bovenaan Gebruikers en open de sectie voor gebruikersbeheer.

3

Klik op Alle gebruikers, en vervolgens Externe gebruiker uitnodigen.

4

Vul in:

  • E-mailadres: mdr_api@stoikcert.onmicrosoft.com

  • Weergavenaam: Stoik_Mdr_Api

Kopieer je tenant-ID (weergegeven in stap 3 van het uitnodigingsformulier); je hebt die later nodig.

5

Ga naar het Toewijzingen tabblad, klik op Rol toevoegen, zoek en selecteer Beveiligingsoperator, en klik vervolgens op Selecteer.

Als de rol daarna niet in de toewijzingslijst verschijnt, is dit een bekende weergavebug van Microsoft. Vernieuw de pagina; de rol wordt meestal correct toegepast.

6

Klik op Controleren + uitnodigen, en vervolgens Uitnodigen om af te ronden.

Een beleid voor voorwaardelijke toegang blokkeert de uitgenodigde gebruiker

Als er in je tenant beleidsregels voor voorwaardelijke toegang zijn ingesteld, kunnen die het mdr_api@stoikcert.onmicrosoft.com gastaccount blokkeren. Sluit het uit van het blokkeringsbeleid:

  1. Ga naar Beveiliging > Voorwaardelijke toegang > Beleid.

  2. Klik op het beleid dat de toegang blokkeert.

  3. Onder de Gebruikers sectie, klik op het Uitsluiten tabblad, vink Gebruikers en groepen, zoek en selecteer dan mdr_api@stoikcert.onmicrosoft.com (of een speciale beveiligingsgroep met Stoïk MDR-accounts).

  4. Klik op Opslaan.

Je tenant dwingt MFA af

Als je tenant MFA afdwingt, wordt de Stoïk MDR-gebruiker hierom gevraagd, iets wat het Stoïk CERT-team niet kan voltooien. In plaats van het account van MFA uit te sluiten, stel je een cross-tenant trust in zodat de MFA die al op de tenant van Stoïk is uitgevoerd, door de jouwe wordt geaccepteerd:

  1. Meld u aan bij de Microsoft Entra-beheercentrum.

  2. Ga naar Identity > Externe identiteiten > Instellingen voor toegang tussen tenants.

  3. Onder de Organisatie-instellingen tabblad, klik op Organisatie toevoegen.

  4. Typ de tenant-ID van Stoïk 8100d7bd-172a-492e-bb96-e3f923731bd9 (of stoikcert.onmicrosoft.com), selecteer deze en klik vervolgens op Toevoegen.

  5. Zodra de organisatie in de lijst verschijnt, klik je op de link onder de Inkomende toegang kolom (meestal Overgenomen van standaard).

  6. Ga naar het Vertrouwensinstellingen .

  7. Selecteer Instellingen aanpassen.

  8. Vink aan Vertrouw meervoudige verificatie van Microsoft Entra-tenants.

  9. Klik op Opslaan.

Deel B.2: Voeg XDR Defender-machtigingen toe (als Defender RBAC is ingeschakeld)

Beheer van Defender XDR-rollen via RBAC is standaard ingeschakeld op de meeste tenants. Als dit op de jouwe actief is, voltooi dan de onderstaande stappen. Zo niet, dan kun je dit gedeelte overslaan.

1

Ga naar security.microsoft.com met een account dat beschikt over Globale beheerder rechten heeft.

2

Uitvouwen Systeem, klik op Machtigingen, daarna onder Microsoft Defender XDR, selecteer Rollen.

3

Klik op Maak een aangepaste rol aan en vul Rolnaam in met stoik_mdr_role.

4

Verleen machtigingen: selecteer voor elk van de drie machtigingsgroepen Alle lees- en beheermachtigingen, klik op Toepassen, en vervolgens Volgende.

5

Voeg de toewijzing toe:

  • Klik op Toewijzing toevoegen.

  • Naam: stoik_mdr_assignment.

  • Werknemers: typ mdr_api@stoikcert.onmicrosoft.com en klik op het gebruikerspictogram dat verschijnt om te valideren.

  • Selecteer Alle gegevensbronnen.

  • Vink aan Neem automatisch alle toekomstige gegevensbronnen op.

  • Klik op Toevoegen, en vervolgens Volgende.

6

Klik op Verzenden om af te ronden.

Breng Stoïk op de hoogte

Zodra Deel B is voltooid, stuur je een e-mail naar protect@stoik.io met je Microsoft Tenant-ID (gekopieerd in stap 4 van het vorige gedeelte). Het Stoïk CERT-team zal de activering aan onze kant afronden.

Probleemoplossing

De knop "Verbind je Microsoft-account" in Stoïk Protect geeft een foutmelding. Zorg ervoor dat je bij Microsoft bent aangemeld met een Globale beheerder account.

De verbinding wordt in Stoïk Protect weergegeven als "Verbonden", maar ik zie geen enkele host of waarschuwing. Het kan tot enkele uren duren voordat de eerste gegevenssynchronisatie plaatsvindt.

Neem voor elk onopgelost probleem of om de toegang van Stoïk tot je Microsoft Defender-tenant in te trekken contact op met protect@stoik.io.

VorigeNetwerkvereisten
VolgendeBeheer op Stoïk Protect

Laatst bijgewerkt

Was dit nuttig?