Conceder acesso ao fornecedor de serviços de segurança gerida (MSSP) (pré-visualização)

  • Aplica-se a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Importante

Algumas informações estão relacionadas a produtos pré-lançados que podem ser substancialmente modificados antes de seu lançamento comercial. A Microsoft não faz garantias, expressas ou implícitas, quanto às informações fornecidas aqui.

A Microsoft recomenda que você use funções com o menor número de permissões. Isto ajuda a melhorar a segurança da sua organização. O Administrador Global é uma função altamente privilegiada que deve ser limitada a cenários de emergência quando não for possível usar uma função existente.

Para implementar uma solução de acesso delegado multi-inquilino, siga os seguintes passos:

  1. Ative o controlo de acesso baseado em funções no Defender para Endpoint e ligue-se a grupos de Microsoft Entra ID.

  2. Configure Pacotes de Acesso de Governação para pedido de acesso e aprovisionamento.

  3. Gerir pedidos de acesso e auditorias no Microsoft MyAccess.

Ativar controlos de acesso baseados em funções no Microsoft Defender para Ponto de Extremidade

  1. Criar grupos de acesso para recursos do MSSP no ID de Entra do Cliente: Grupos

    Estes grupos estão ligados às Funções que criar no Defender para Endpoint. Para tal, no cliente Entra inquilino do ID, crie três grupos. Na nossa abordagem de exemplo, criamos os seguintes grupos:

    • Analista da Camada 1
    • Analista da Camada 2
    • Aprovadores de Analistas do MSSP

  2. Crie funções do Defender para Ponto Final para níveis de acesso adequados no Customer Defender para Endpoint.

    Para ativar o RBAC no cliente Microsoft Defender portal, aceda a Definições>Funções dePermissõesdePontos Finais>> e, em seguida, selecione Ativar funções.

    Em seguida, crie funções RBAC para satisfazer as necessidades do Escalão SOC do MSSP. Ligue estas funções aos grupos de utilizadores criados através de grupos de utilizadores atribuídos. Existem duas funções possíveis: Analistas da Camada 1 e Analistas da Camada 2.

    • Analistas da Camada 1 – execute todas as ações, exceto a resposta em direto e faça a gestão das definições de segurança.

    • Analistas da Camada 2 – Capacidades da Camada 1 com a adição à resposta em direto

    Para obter mais informações, veja Utilizar o controlo de acesso baseado em funções.

Configurar Pacotes de Acesso de Governação

  1. Adicionar o MSSP como Organização Ligada no ID de Entra do Cliente: Governação de Identidades

    Adicionar o MSSP como uma organização ligada permite que o MSSP peça e tenha acesso aprovisionado.

    Para tal, no cliente Entra inquilino do ID, aceda a Governação de Identidade: Organização ligada. Adicione uma nova organização e procure o seu inquilino do Analista MSSP através do ID de Inquilino ou domínio. Sugerimos a criação de um inquilino Entra ID separado para os analistas do MSSP.

  2. Criar um catálogo de recursos no ID de Entra do Cliente: Governação de Identidades

    Os catálogos de recursos são uma coleção lógica de pacotes de acesso, criada no cliente Entra inquilino do ID.

    Para tal, no cliente Entra inquilino do ID, aceda a Governação de Identidades: Catálogos e adicione Novo Catálogo. No nosso exemplo, chama-se Acessos MSSP.

    A nova página do catálogo

    Para obter mais informações, veja Criar um catálogo de recursos.

  3. Criar pacotes de acesso para recursos do MSSP ID do cliente Entra: Governação de Identidades

    Os pacotes de acesso são a coleção de direitos e acessos que um requerente é concedido após a aprovação.

    Para tal, no cliente Entra inquilino do ID, aceda a Governação de Identidades: Pacotes de Acesso e adicione Novo Pacote de Acesso. Crie um pacote de acesso para os aprovadores do MSSP e cada escalão de analista. Por exemplo, a seguinte configuração do Analista de Camada 1 cria um pacote de acesso que:

    • Requer que um membro do grupo de Entra ID aprovadores do MSSP Analyst para autorizar novos pedidos
    • Tem revisões de acesso anuais, em que os analistas do SOC podem pedir uma extensão de acesso
    • Só pode ser pedido por utilizadores no Inquilino do SOC do MSSP
    • O Access expira automaticamente após 365 dias

    A página Novo pacote de acesso

    Para obter mais informações, veja Criar um novo pacote de acesso.

  4. Fornecer ligação de pedido de acesso aos recursos do MSSP a partir do ID de Entra do Cliente: Governação de Identidades

    A ligação do portal O Meu Acesso é utilizada pelos analistas do SOC do MSSP para pedir acesso através dos pacotes de acesso criados. A ligação é durável, o que significa que a mesma ligação pode ser utilizada ao longo do tempo para novos analistas. O pedido do analista entra numa fila para aprovação pelos Aprovadores de Analistas do MSSP.

    A página Propriedades

    A ligação está localizada na página de descrição geral de cada pacote de acesso.

Gerenciar Acesso

  1. Reveja e autorize pedidos de acesso em MyAccess do Cliente e/ou MSSP.

    Os pedidos de acesso são geridos no cliente O Meu Acesso, por membros do grupo Aprovadores de Analistas do MSSP.

    Para tal, aceda ao MyAccess do cliente com: https://myaccess.microsoft.com/@<Customer Domain>.

    Exemplo: https://myaccess.microsoft.com/@M365x440XXX.onmicrosoft.com#/

  2. Aprovar ou negar pedidos na secção Aprovações da IU.

    Neste momento, o acesso dos analistas é aprovisionado e cada analista deve conseguir aceder ao portal de Microsoft Defender do cliente:https://security.microsoft.com/?tid=<CustomerTenantId>

  • Last updated on