Sie müssen Änderungen an C:\Windows\System32 und am Registrierungspfad HKLM\Software\Company auf Windows-Servern erkennen und Warnungen dazu ausgeben. Sie verwenden Microsoft Defender for Servers Plan 2 und möchten, dass Warnungen in Defender for Cloud und Protokolle in einem Log Analytics-Arbeitsbereich angezeigt werden. Was sollten Sie konfigurieren?

Die Dateiintegritätsüberwachung (FIM) in Defender for Cloud (Teil von Defender for Servers Plan 2) ist die spezifische Funktion, die Änderungen an Dateien und Registrierungsschlüsseln verfolgt und Warnungen generiert. Um FIM zu nutzen, müssen die Server an einen Log Analytics-Arbeitsbereich berichten, der für Defender for Servers Plan 2 konfiguriert ist. Anschließend können Sie die zu überwachenden Ordner- und Registrierungspfade direkt in den Defender for Cloud-Einstellungen für diesen Arbeitsbereich definieren und Warnungen aktivieren. Die anderen Optionen sind ungeeignet: Azure Monitor-Aktivitätsprotokollwarnungen überwachen Azure-Ressourcenereignisse, nicht Änderungen im Dateisystem oder der Registrierung eines Servers. Die Qualys-Erweiterung ist für Schwachstellenmanagement gedacht, nicht für die Dateiintegritätsüberwachung. Update Management in Azure Automation dient der Verwaltung von Software-Updates, nicht der Überwachung von Datei- oder Registrierungsänderungen. Windows Sysmon kann zwar Datei- und Registrierungsereignisse protokollieren, erfordert jedoch eine manuelle Konfiguration und Integration in ein SIEM-System für Warnungen und ist keine integrierte Defender for Cloud-Lösung.