Importante
"Este repositorio está ahora en modo 'Pantalla azul': ¡archivado y congelado en el tiempo!"
Microsoft Defender for Identity monitorea sus controladores de dominio capturando y analizando el tráfico de red y aprovechando los eventos de Windows directamente desde sus controladores de dominio. Es necesario habilitar la auditoría para que los eventos de Windows aparezcan en el visor de eventos. Lamentablemente, la auditoría no está activada de forma predeterminada. Microsoft creó una excelente página de documentos sobre la configuración de la colección de eventos de Windows, pero requiere "mucho" trabajo manual, así que decidí hacer la vida un poco más fácil. Creé una exportación de las políticas necesarias para Microsoft Defender for Identity para mejorar la detección usando los eventos de Windows para que otros puedan importar usando un solo comando.
Los documentos de Microsoft describen cinco configuraciones. Idealmente, se deben realizar todas las configuraciones de Microsoft Defender for Identity para permitir una detección mejorada. Estos son los cinco ajustes de configuración.
Para los primeros tres ajustes de configuración, creé una copia de seguridad de un GPO, que puedes importar usando un solo comando.
Import-Gpo - BackupGpoName " Microsoft Defender for Identity Auditing " - TargetName " Microsoft Defender for Identity Auditing " - Path C:UnpackedFiles - CreateIfNeededPara obtener más información, consulte la publicación de mi blog:
https://thalpius.com/2022/07/30/microsoft-defender-for-identity-auditing/
