Configurar análises de rede autenticadas no Microsoft Defender para Endpoint

As análises de rede autenticadas fornecem uma forma sem agente de detetar e avaliar dispositivos de infraestrutura de rede, tais como comutadores, routers, controladores WLAN, firewalls e gateways de VPN.

Para obter mais informações, veja Análises de rede autenticadas.

Pré-requisitos

Para configurar tarefas de análise, precisa da permissão Gerir definições de segurança no Defender . Para obter mais informações, veja Criar e gerir funções para controlo de acesso baseado em funções.

Dispositivos suportados

Qualquer dispositivo de rede que responda a consultas SNMPv2 ou SNMPv3 pode ser detetado por análises de rede autenticadas. Recomendamos que configure todos os seus dispositivos de rede para análise, independentemente do fornecedor ou do sistema operativo.

Versões suportadas do Windows para o scanner

O scanner é suportado no Windows 10, versão 1903 e Windows Server, versão 1903 e posterior. Para obter mais informações, consulte Windows 10, versão 1903 e Windows Server, versão 1903

Selecionar o dispositivo do scanner

Para selecionar um dispositivo que efetue as análises de rede autenticadas:

• Decida um dispositivo integrado do Defender para Endpoint (cliente ou servidor) que tenha uma ligação de rede à porta de gestão dos dispositivos de rede que planeia analisar.

• Permitir o tráfego SNMP entre o dispositivo de análise do Defender para Endpoint e os dispositivos de rede de destino (por exemplo, pela firewall).

• Decida que dispositivos de rede são avaliados relativamente a vulnerabilidades (por exemplo, um comutador Cisco ou uma firewall da Palo Alto Networks).

• Certifique-se de que o SNMP só de leitura está ativado em todos os dispositivos de rede configurados para permitir que o dispositivo de análise do Defender para Ponto Final consulte os dispositivos de rede configurados. SNMP write não é necessário para a funcionalidade adequada desta funcionalidade.

• Obtenha os endereços IP dos dispositivos de rede a analisar (ou as sub-redes onde estes dispositivos são implementados).

• Obtenha as credenciais SNMP dos dispositivos de rede (por exemplo, Cadeia de Comunidade, noAuthNoPriv, authNoPriv, authPriv). Tem de fornecer as credenciais ao configurar uma nova tarefa de análise.

• Configuração do cliente proxy: não é necessária nenhuma configuração adicional além dos requisitos de proxy de dispositivos do Defender para Endpoint.

• Para permitir que o scanner seja autenticado e funcione corretamente, adicione os seguintes domínios/URLs:

  • *.security.microsoft.com
  • login.microsoftonline.com
  • *.blob.core.windows.net/networkscannerstable/*

  Nota

  Nem todos os URLs são especificados na lista documentada do Defender para Ponto Final da recolha de dados permitida.

Instalar o scanner

1. No Portal do Microsoft Defender, selecione Definições>Deteção de dispositivos>Análises autenticadas.

2. Transfira o scanner e instale-o no dispositivo de análise do Defender para Ponto Final designado.

   

Registar o scanner

Pode concluir o registo no dispositivo de análise designado ou em qualquer outro dispositivo (por exemplo, o seu dispositivo cliente pessoal).

A conta com a qual o utilizador inicia sessão e o dispositivo utilizado para concluir o processo de início de sessão tem de estar no mesmo inquilino onde o dispositivo está integrado para Microsoft Defender para Endpoint.

Para concluir o processo de registo do scanner:

1. Copie e siga o URL que aparece na linha de comandos e utilize o código de instalação fornecido para concluir o processo de registo. Poderá ter de alterar as definições da linha de comandos para copiar o URL.

2. Escreva o código e inicie sessão com uma conta Microsoft que tenha a permissão Gerir definições de segurança no Defender .

Quando terminar, deverá ver uma mensagem a confirmar que iniciou sessão.

Configurar uma nova análise de rede autenticada

1. No Portal do Microsoft Defender, selecione Definições>Deteção de dispositivos>Análises autenticadas.

2. Selecione Adicionar nova análise , selecione Análise autenticada do dispositivo de rede e selecione Seguinte.

   

3. Selecione se pretende Ativar a análise.

4. Escreva um Nome da análise.

5. Selecione o Dispositivo de análise: o dispositivo integrado que utiliza para analisar os dispositivos de rede.

6. Escreva o Destino (intervalo): os intervalos de endereços IP ou os nomes de anfitrião que pretende analisar. Pode introduzir os endereços ou importar um ficheiro CSV. A importação de um ficheiro substitui os endereços adicionados manualmente.

7. Selecione o Intervalo de análise : por predefinição, a análise é executada a cada quatro horas. Pode alterar o intervalo de análise ou executá-lo apenas uma vez ao selecionar Não repetir.

8. Selecione o método de Autenticação.

   Pode optar por Utilizar o Azure KeyVault para fornecer credenciais: se gerir as suas credenciais no Azure KeyVault, pode escrever o URL do KeyVault Azure e Azure nome do segredo do KeyVault a ser acedido pelo dispositivo de análise para fornecer credenciais. O valor do segredo depende do método que escolher, conforme descrito na tabela seguinte:

   Método de Autenticação	Azure valor secreto do KeyVault
   AuthPriv	Nome de utilizador; AuthPassword; PrivPassword
   AuthNoPriv	Nome de utilizador; AuthPassword
   CommunityString	CommunityString

9. Selecione Seguinte para executar ou ignorar a análise de teste.

10. Selecione Seguinte para rever as definições e selecione Submeter para criar a nova análise autenticada do dispositivo de rede.

Analisar e adicionar dispositivos de rede

Durante o processo de configuração, pode efetuar uma análise de teste única para verificar se:

• Existe conectividade entre o dispositivo de análise do Defender para Endpoint e os dispositivos de rede de destino configurados.
• As credenciais SNMP configuradas estão corretas.

Cada dispositivo de análise pode suportar até 1500 análises de endereços IP com êxito. Por exemplo, se analisar 10 sub-redes diferentes em que apenas 100 endereços IP devolvem resultados bem-sucedidos, pode analisar mais 1400 endereços IP de outras sub-redes no mesmo dispositivo de análise.

Se existirem vários intervalos/sub-redes de endereços IP para analisar, os resultados da análise de teste demoram vários minutos a aparecer. Está disponível uma análise de teste para até 1024 endereços.

Quando os resultados forem apresentados, pode escolher os dispositivos a incluir na análise periódica. Se ignorar a visualização dos resultados da análise, todos os endereços IP configurados são adicionados à análise autenticada do dispositivo de rede (independentemente da resposta do dispositivo). Os resultados da análise também podem ser exportados.

Ver dispositivos de rede no inventário de dispositivos

Os dispositivos recém-detetados são apresentados no inventário de dispositivos no novo separador Dispositivos de rede . Pode demorar até duas horas após adicionar uma tarefa de análise até que os dispositivos sejam atualizados.