Identiteitsbeveiliging

Identity Security is SentinelOne's uniforme identiteitbeschermings-SKU. Het dekt drie engines: ISPM (posture-assessment van Active Directory), ISIDP (real-time bescherming van Domain Controllers) en IDR (decoys op endpoints). Microsoft Entra ID-integratie is optioneel.

Alle paden hieronder verwijzen naar de zijbalk van het Singularity Operations Center (Beleid en instellingen is de knop onderaan in de zijbalk).

Vereisten

Valideer dit voordat je de console gebruikt.

Item

Vereiste

Licenties

Endpoint (Core, Control of Complete) + Identiteitsbeveiliging, op het account en op elke site

Windows-agents

≥ 25.2.3.437 op DC's, servers en de AD Connector-server. Werkstations (IDR): ≥ 24.1.5.277.

Legacy Identity Agent

DC's staan al op Windows agent 25.2: niets te doen. Alleen als de oude Identity Agent nog aanwezig is: verwijder deze en start daarna opnieuw op (nooit samen met de Windows-agent)

AD Connector-server

Server die lid is van het domein (geen DC), altijd aan, 4 vCPU / 16 GB RAM

AD Connector → DC-verkeer

53 · 88 · 389/636 · 445 · 5986 (WinRM HTTPS) · RPC Event Log

Uitgaand verkeer

HTTPS 443 / WebSocket naar de S1-console voor jouw regio

AD-serviceaccount

Standaardgebruiker met niet-vervallend wachtwoord, Kerberos AES 128/256, lid van Remote Management Users en Event Log Readers

Op elke DC:

winrm quickconfig -transport:https     :: WinRM HTTPS (certificaat uitgegeven aan de DC FQDN)
winrm configsddl default               :: Lezen + Uitvoeren voor het serviceaccount
:: Firewall: sta TCP 5986 toe + "Remote Event Log Management (RPC / RPC-EPMAP)"

Schakel de Identity-engine in

Beleid en instellingen > Endpoint/Cloud Workload Security > Beleid > Detectie-engines

Selecteer de Account-scope (of Site voor een MSSP) in de scopekiezer bovenaan en schakel vervolgens Identity Detection & Response.
Behoud de standaard Identity Settings, met het update-interval ingesteld op ten minste 60 min.
In Beleid en instellingen > Accounts, stel in Identity Security Posture Mode naar Volledig.

AD Connector en domein

Beleid en instellingen > Identiteitsbeveiliging > Active Directory > AD verbinden

De voorbeelden in deze sectie gebruiken een fictief forest acme.local, met het childdomein corp.acme.local (NetBIOS CORP).

Maak het AD-serviceaccount aan

ISPM, ISIDP en IDR hebben alleen leesrechten. Een Domain Admin-account is niet nodig en wordt niet aanbevolen. ISPM-remediatiescripts worden apart, handmatig, uitgevoerd door een Domain Admin.

Vereiste

Waarom

Toegewijde standaard gebruiker (bijv. svc-s1-identity)

Alleen-lezen is voldoende en zorgt voor traceerbaarheid

Lang, willekeurig wachtwoord dat nooit verloopt

Als het wachtwoord in AD verandert, valt de verbinding weg (status Uitgeschakeld)

Aangemaakt in de forest rootdomein

Vereist om het hele forest te beoordelen met subdomeinen monitoren

Kerberos AES 128 en AES 256 aangevinkt

Vereist voor beoordeling

Lid van Remote Management Users

WinRM-toegang tot DC's (dreigingen en sommige exposures)

Lid van Event Log Readers

Leest DC-beveiligingslogs (bron-IP en gebruiker in detecties)

Lezen op adminSDHolder, KRBTGT, Administrator, Domain / Schema / Enterprise Admins, MicrosoftDNS-container

Anders wordt de exposure "Onvoldoende rechten voor AD-exposurebeoordeling" gemeld

Lezen op CN=Deleted Objects

Detecteert massale accountverwijdering

PowerShell-voorbeeld, uit te voeren op een DC of met RSAT, pas namen aan indien nodig:

# 1. Maak het account aan
New-ADUser -Name "svc-s1-identity" -SamAccountName "svc-s1-identity" `
  -UserPrincipalName "svc-s1-identity@acme.local" -Path "OU=Service Accounts,DC=acme,DC=local" `
  -AccountPassword (Read-Host -AsSecureString "Wachtwoord") -Enabled $true `
  -PasswordNeverExpires $true -CannotChangePassword $true `
  -KerberosEncryptionType AES128,AES256

# 2. Ingebouwde groepen
Add-ADGroupMember -Identity "Remote Management Users" -Members "svc-s1-identity"
Add-ADGroupMember -Identity "Event Log Readers"       -Members "svc-s1-identity"

:: 3. Leesrechten (Lijstinhoud + Eigenschap lezen), overgenomen
dsacls "DC=acme,DC=local" /I:T /g ACME\svc-s1-identity:LCRP
dsacls "CN=Deleted Objects,DC=acme,DC=local" /takeownership
dsacls "CN=Deleted Objects,DC=acme,DC=local" /I:T /g ACME\svc-s1-identity:LCRP

:: 4. Op ALLE DC's: WinRM-toegang en Security-log lezen voor Network Service
winrm configsddl default                       :: voeg het account toe, controleer Lezen + Uitvoeren
wevtutil gl security                           :: uitvoer moet bevatten (A;;0x1;;;S-1-5-20)
wevtutil sl security /ca:"<huidige SDDL>(A;;0x1;;;S-1-5-20)"

Met subdomeinen monitoren, herhaal de dsacls commando's in elk domein waar de standaardrechten zijn beperkt.

Kies de AD Connector-server

Domein lid server, geen DC. Voorbeeld: srv-s1adc01.corp.acme.local.
Altijd aan en niet netwerk-geïsoleerd, Windows-agent ≥ 25.2.3.437.
Het moet via DNS oplossen en elk opgegeven domein bereiken op poorten 53, 88, 389/636, 445 en 5985/5986.
Eén forest, zelfs met meerdere domeinen: één connector is voldoende. Geïsoleerde forests zonder trust: één connector per forest.

Snelle controles om vanaf deze server uit te voeren:

Resolve-DnsName corp.acme.local
Test-NetConnection dc01.corp.acme.local -Port 636     # LDAPS
Test-NetConnection dc01.corp.acme.local -Port 5986    # WinRM HTTPS

Voltooi de wizard Verbinden met AD

AD Connector: typ minstens 3 tekens van de hostnaam (bijv. srv), kies het endpoint met een groene status en vervolgens Volgende. Na enkele minuten bevestigt een banner de verbinding.
Domein: vul de velden in uit de onderstaande tabel en vervolgens Volgende. De console voert een LDAP-test uit en het domein wordt alleen opgeslagen als de test slaagt.
Decoys: configureer de decoys (zie hieronder) en vervolgens Voltooien.

Veld

Wat in te vullen

Voorbeeld

Site

Op Account-scope: de sites die dit domein erven (nuttig voor IDR en ISIDP). "Alle" dekt later aangemaakte sites niet.

Parijs, Lyon

Domeinnaam

Het DNS FQDN, nooit de NetBIOS-naam. Om het hele forest te dekken, voer je het rootdomein in.

acme.local of corp.acme.local, niet CORP

subdomeinen monitoren

Beoordeelt elk domein in het forest (zelfde tree en andere trees). Zonder dit vakje worden subdomeinen ontdekt maar niet beoordeeld.

Aangevinkt

FQDN van de Domain Controller

De FQDN van één DC in het domein, door de AD Connector te resolven. Een RODC wordt geaccepteerd. Geen IP-adres. Andere DC's worden automatisch ontdekt (eerst PDC).

dc01.corp.acme.local, niet 10.0.0.10

Domeingebruikersnaam

Het serviceaccount, in UPN-, NetBIOS- of platte-naamformaat

svc-s1-identity@acme.local, ACME\svc-s1-identity, of svc-s1-identity; niet ACME.LOCAL\svc-s1-identity

Domeinwachtwoord

Voer zorgvuldig in: een fout wachtwoord vergrendelt het account na herhaalde pogingen

Verversingsschema (dag, tijd, tijdzone)

Verversen van AD-gegevens, om in te plannen buiten piekuren. Dit activeert niet de ISPM-beoordeling, die vast blijft staan op zaterdag 04:00 UTC.

Zondag · 02:00 · Europa/Parijs

Protocollen en opties

Optie	Keuze	Vereisten en gevolgen
LDAP-methode	LDAPS (636), aanbevolen	Versleutelt verkeer tussen de connector en de DC's. Vereist een geldig servercertificaat op de DC's (AD CS of een "Kerberos / Domain Controller Authentication"-certificaat) en poort 636 open. Controleer: `ldp.exe`, SSL-verbinding naar `dc01.corp.acme.local:636`.
LDAP-methode	LDAP (389)	Onversleuteld kanaal, gereserveerd voor DC's zonder certificaat of voor probleemoplossing. De fout "LDAPS-verbinding mislukt" vraagt je om opnieuw via LDAP te proberen. Vaste poorten, niet configureerbaar.
WinRM-methode	HTTPS (5986), aanbevolen	Vereist een HTTPS-listener op elke DC, met een certificaat waarvan de Subject de DC FQDN is (het LDAPS-certificaat werkt), en poort 5986 open: `winrm quickconfig -transport:https`.
WinRM-methode	HTTP (5985)	Als DC's geen certificaat hebben. Authenticatie blijft Kerberos, maar `AllowUnencrypted=true` is vereist op zowel client als service. Zonder WinRM op alle DC's, mislukt Threat Detection en worden sommige exposures Overgeslagen.
LDAP-referral	Aangevinkt als het forest subdomeinen heeft	Volgt referrals naar subdomeinen: ISIDP- en IDR-beleid zijn dan ook van toepassing op childdomeinen, die zichtbaar worden in Protocol Configuration. Het account moet deze subdomeinen kunnen opvragen. Als dit later wordt ingeschakeld, voer AD-gegevens verversen.
AD Sync	Aangevinkt	Synchroniseert gebruikers- en groepsattributen. Vereist voor Threat Detection, CCP, scan van gecompromitteerde accounts en asset-inventarisatie. De eerste synchronisatie kan enige tijd duren.
Threat Detection	Aangevinkt (vereist AD Sync)	Real-time ISPM-dreigingen: wachtwoord spraying, massale vergrendelingen en resets, enz. Vertrouwt op een persistente LDAP-verbinding met de PDC en op WinRM. Uitschakelen verwijdert de gesynchroniseerde objecten.
Toegang via trust	Alleen voor een ander vertrouwd forest	Om een domein in een ander forest te beoordelen met het account van het hoofdforest. Twee extra velden: Naam trustdomein en Domain Controller van trustdomein (FQDN, geen IP). Kan achteraf niet worden bewerkt: verwijder en maak opnieuw aan.

Voorbeeld toegang via trust: het filiale.local forest vertrouwt op acme.local. Vul Domeinnaam = in filiale.local, Gebruikersnaam = svc-s1-identity@acme.local, Toegang via trust = aangevinkt, Naam trustdomein = acme.local, Domain Controller van trustdomein = dc01.acme.local. De connector moet de filiale.local DC's

Decoys (gebruikt door IDR)

Veld

Advies

Voorbeeld

Land voor naamgenerator

Land dat overeenkomt met je gebruikers

Frankrijk

Voorvoegsel van service (SPN)

Het voorvoegsel van je echte serviceaccounts, indien aanwezig

svc

Naamformaat

Zelfde formaat als je echte gebruikersnamen. Variabelen: %FN% (voornaam), %LN% (achternaam), %FNI% en %LNI% (initialen), %#n% (n willekeurige cijfers).

%FNI%.%LN% → j.dupont

Hostnaamformaat

Afgestemd op je workstation- en DC-benaming

Aangepast: PC- + cijfers

IP-adresformaat

Bereik of CIDR van meer dan 250 adressen, nooit gebruikt in productie (anders fout-positieven)

10.250.0.0/24

Decoys kunnen niet langer worden bewerkt zolang een actief Identity-beschermingsbeleid het domein dekt.

Na validatie

De domeinstatus verandert in Ingeschakeld. Het keert terug naar Uitgeschakeld als de connector uitvalt of het accountwachtwoord verandert.
De console voert AD-learning uit, synchronisatie en vervolgens de ISPM-beoordeling (ongeveer 30 min). Meerdere domeinen die tegelijk worden toegevoegd, worden na elkaar verwerkt.
Standaardbeleidsregels worden aangemaakt, inactief.
Elk domein kan slechts één keer per organisatie. Wacht na het verwijderen van één item 120 s voordat je het opnieuw aanmaakt. Na het toevoegen van een DC klik je op AD-gegevens verversen, anders verschijnen er fout-positieven voor DCSync.

Opslaan mislukt

Actie

Authenticatie mislukt

Controleer het account en wachtwoord (en eventuele lockout)

LDAPS-verbinding mislukt

Controleer het DC-certificaat en poort 636, of schakel terug naar LDAP

Het gebruikersaccount heeft niet de rechten…

Controleer de rechten in "Maak het AD-serviceaccount aan" hierboven

Domain Controller down / niet beschikbaar / bezig

Controleer DNS en verkeer vanuit de AD Connector en probeer het opnieuw

ISPM: AD-posture

Beleid en instellingen > Identiteitsbeveiliging > Identity posture-instellingen

Verder niets te doen: de beoordeling start zodra het domein is opgeslagen (ongeveer 30 min), en draait daarna elke zaterdag om 04:00 UTC.

Voor een directe scan: Nu scannen.
Om resultaten te bekijken: Misconfiguraties > Identity. Pak Critical- en High-exposures eerst aan (klik op de misconfiguratie en vervolgens op Acties > Mitigeren > Script downloaden).

ISIDP: DC-bescherming

Beleid en instellingen > Identiteitsbeveiliging > Identity Policies (Identity provider-beleid / Conditional Access-beleid tabbladen)

In de vorige stap zijn twee standaardbeleidsregels aangemaakt, inactief en alleen-lezen. Dupliceer ze:

Conditional Access-beleid: dupliceren Default_policy_account_ca, voeg een Op aanvallen gebaseerd regel die alle aanvallen met de Audit actie, activeer het daarna.
Identity provider-beleid: dupliceren Default_policy_account_idp en controleer het volgende:
- Alle domeinen zijn geselecteerd en Toepassen op Windows-servers is aangevinkt.
- PAC-validatie blijft ingeschakeld, tenzij er een PAM- of JIT-oplossing aanwezig is. Leerstand: ingeschakeld, 4 dagen.
- Kerberos-, LDAP-, SAMR- en LSARPC-protocollen aangevinkt. Toevoeging: Versie vastzetten op N-1.
- Aanbevolen: Configuratie van gecompromitteerde inloggegevens ingeschakeld (datalekdatabases, in eerste instantie geen mitigatie).
- Het CA-beleid uit stap 1 is geselecteerd.
Acties > Beleid activeren. Om onmiddellijk door te voeren: zijbalk Sentinels > Eindpunten, selecteer de DC's, en vervolgens Acties > Agentacties > Identiteitsbeleidswijzigingen doorvoeren.

Na een paar dagen zonder fout-positieven, schakel aanvalregels over van Audit naar Blokkeren.

IDR: lokmiddelen op eindpunten

Beleid en instellingen > Identiteitsbeveiliging > Identity Policies > Identiteitsbeschermingsbeleid

Klik op Nieuw identiteitsbeschermingsbeleid, met de AD PowerShell-reactie ingesteld op Waarschuwing.
Voeg 4 regels toe: bevoorrechte beheerders, serviceaccounts, domeincontrollers, gedelegeerde beheerders. Selecteer de echte objecten en vink vervolgens Lokmiddelen toevoegen en Echte objecten verbergen.
Maken, en vervolgens Acties > Beleid activeren.

Test vanaf een domeinwerkstation: net group "Domain Admins" /domain zou een lokaccount moeten retourneren. Met een 25.2.3+-agent verschijnt de detectie als een indicator in Event Search (query: indicator.name = 'IdentityDeceptivePing'). Andere waarschuwingen staan in Waarschuwingen.

Microsoft Entra ID (optioneel)

Alleen als de klant Entra ID gebruikt: Beleid en instellingen > Cloudaccounts > Microsoft Azure

Maak verbinding met een Entra ID-tenant

Vereist: een tenant Globale beheerder account en de tenant-ID. Optioneel: de object-ID van een groep "risicogebruikers".

Account koppelen: type Tenant, controleer Identiteitsbeveiliging inschakelen.
Verbindingsnaam, tenant-ID en Gebruikersaccounts van Microsoft Entra ID synchroniseren ingeschakeld.
In Azure: Tenant-eigenschappen > Toegangsbeheer voor Azure-resources = Ja, meld u vervolgens af en weer aan.
Download de Terraform-sjabloon en voer deze uit in Azure Cloud Shell:

terraform init && terraform apply -auto-approve

Plakken application_id en client_secret, en vervolgens Alles selecteren en automatische onboarding, en Voltooien.

Het geheim verloopt na één jaar: plan de verlenging.

Resultaten verschijnen in Misconfiguraties > Identity.

Controleer of er een waarschuwing wordt gegenereerd

Vanaf een aan het domein gekoppeld werkstation, met een domeinaccount, bij voorkeur in een pilot.

Om meteen resultaten te zien: in het beleid van de identiteitsprovider, schakel de leerstand tijdelijk uit (tijdens het leren worden alleen High-waarschuwingen gegenereerd). Voer daarna het beleid door naar de DC's.
Voer de opdrachten uit:

net group "Domain Admins" /domain      :: ISIDP (SAMR) + IDR (lokmiddel in de reactie)
dsquery * -filter "(admincount=1)"      :: ISIDP (LDAP), vereist RSAT AD Tools

Controleer de Waarschuwingen zijbalk (periode Laatste 1 uur), Detectie-engine filter:
- ADSecure-DC, -SAMR of -LDAP voor ISIDP (enumeratie van geprivilegieerde accounts).
- ADSecure-EP voor IDR. Met een 25.2.3+-agent, zoek de indicator in Event Search in plaats daarvan.
Schakel de leerstand opnieuw in zodra de test is gevalideerd.

Eindcontrole

De AD Connector toont een actieve status in Beleid en instellingen > Identiteitsbeveiliging > Active Directory.
ISPM-misconfiguraties verschijnen in de Misconfiguraties zijbalk, tabblad Identiteit.
Het Conditional Access-beleid en het beleid van de identiteitsprovider zijn actief.
Het identiteitsbeschermingsbeleid is actief.
De Dashboards > Identity dashboard toont gegevens en waarschuwingen zijn zichtbaar in Waarschuwingen > Identity.
AD- en Entra-activa zijn zichtbaar in Inventaris > Identity.

VorigeToevoegingsmodules

VolgendeNetwerkvereisten

Laatst bijgewerkt 19 dagen geleden

Was dit nuttig?