Cấu hình Microsoft Defender XDR theo best practices (TWL300 Lab 02, Phần 4/8)

Một môi trường XDR khỏe mạnh (Lab 01) mới chỉ là điểm xuất phát. Ở Lab 02 của chuỗi Microsoft Defender XDR (TWL300), chúng ta sẽ cấu hình Microsoft Defender XDR theo các best practice của Microsoft: củng cố endpoint, bật bảo vệ email/web, siết kiểm soát danh tính và bật khám phá ứng dụng. Mỗi tinh chỉnh đều tác động trực tiếp tới khả năng phát hiện, trải nghiệm người dùng và Secure Score.

Vì sao cần cấu hình theo best practices

Mặc định “out-of-the-box” của các sản phẩm Defender đã tốt, nhưng chưa tối ưu cho một tổ chức cụ thể. Việc áp dụng best practices giúp ba mục tiêu: (1) tăng độ phủ phát hiện bằng cách bật những tính năng nâng cao như EDR in block mode hay web content filtering; (2) giảm rủi ro bị vô hiệu hóa nhờ Tamper protection và kiểm soát chỉ dấu mạng; và (3) chuẩn hóa cấu hình qua preset policy để dễ kiểm toán, dễ nhân rộng. Quan trọng hơn, mỗi thay đổi đều được phản ánh vào Secure Score, cho bạn một thước đo định lượng để báo cáo tiến độ củng cố an ninh.

Task 1 — Bật advanced features cho Defender for Endpoint

Trong cổng security.microsoft.com, vào System → Settings → Endpoints → Advanced features và bật các tính năng theo khuyến nghị mặc định của Microsoft:

• EDR in block mode (chỉ Windows): bổ sung lớp chặn artifact độc khi Defender Antivirus chạy ở chế độ passive.
• Allow or block file & Custom network indicators: chặn file/IP/URL/domain độc trên toàn tenant, áp nhanh các chỉ dấu IOC từ threat intelligence.
• Tamper protection: ngăn malware/người dùng vô hiệu hóa Defender, tăng sức kháng ransomware.
• Web content filtering: chặn website nội dung không mong muốn (yêu cầu network protection ở block mode).
• Hide potential duplicate device records: giữ inventory sạch để Secure/Exposure Score chính xác.
• Microsoft Defender for Cloud Apps & Microsoft Intune connection: chia sẻ tín hiệu ứng dụng và thông tin thiết bị để chấm điểm rủi ro và áp Conditional Access.

Sau khi chọn, nhấn Save preferences. Tiếp theo, vào System → Settings → Device discovery và bật Standard mode để dùng các endpoint đã onboard làm cảm biến, phát hiện thiết bị chưa quản lý và thu hẹp điểm mù quan sát. Nếu một toggle không khả dụng trong tenant/SKU của bạn, hãy bỏ qua và tiếp tục.

Task 2 — Safe Links và Safe Attachments cho Office 365

Bảo vệ người dùng khỏi liên kết và tệp đính kèm độc bằng preset security policies. Vào Email & collaboration → Policies & rules → Threat policies → Preset Security Policies, ở mục Standard protection chọn Manage protection settings để chạy wizard.

1. Trang Exchange Online Protection: chọn All recipients → Next.
2. Trang Defender for Office 365 Protection: chọn All recipients → Next. Bước này tạo/cập nhật chính sách Safe Links & Safe Attachments cho toàn tổ chức.
3. Trang Impersonation Protection: tùy chọn thêm hộp thư VIP, domain và người gửi tin cậy → Next.
4. Trang Policy mode: chọn Turn on the policy when finished → Next → Confirm → Done.

Preset policy là cách nhanh và an toàn nhất để áp các thiết lập được Microsoft khuyến nghị mà không phải tinh chỉnh thủ công từng tham số. Bạn cũng nên cấu hình riêng Safe Attachments để mở rộng bảo vệ cho SharePoint, OneDrive và Teams.

Task 3 — Danh tính rủi ro theo Zero Trust

Tiếp theo, áp dụng risk-based identity trong Microsoft Entra theo nguyên tắc Zero Trust và cấu hình Microsoft Defender for Identity để đẩy tín hiệu rủi ro vào XDR. Tận dụng Entra ID P2 với Identity Protection để dựng các chính sách dựa trên rủi ro đăng nhập/người dùng (yêu cầu MFA hoặc chặn khi rủi ro cao). Khi MDI stream tín hiệu danh tính vào Defender, các incident sẽ tương quan được hành vi tấn công danh tính với hoạt động trên endpoint và email — yếu tố then chốt để dựng lại kill-chain ở các lab sau.

Task 4 — Khám phá ứng dụng bên thứ ba với Defender for Cloud Apps

Cuối cùng, bật third-party app discovery và tích hợp với Microsoft Defender for Cloud Apps (MDA). Khi tích hợp MDE↔MDA được bật ở Task 1, tín hiệu sử dụng ứng dụng từ endpoint sẽ chảy vào MDA để khám phá Shadow IT, chấm điểm rủi ro và áp quản trị (governance). Đây là mảnh ghép giúp bạn nhìn thấy các ứng dụng OAuth rủi ro và hành vi tải dữ liệu bất thường — vốn là một nhánh tấn công trong kịch bản Zava.

Lưu ý vận hành

• Bật Aggregated reporting giúp tăng khả năng quan sát nhưng có thể tăng chi phí lưu trữ nếu bạn stream bảng Advanced Hunting sang SIEM.
• Mọi thay đổi cấu hình đều phản ánh vào Secure Score — hãy theo dõi điểm trước/sau để định lượng tác động.
• Trong môi trường thật, áp dụng RBAC tối thiểu thay vì Global Admin như môi trường lab.

Kết luận

Hoàn tất Lab 02, bạn đã cấu hình Microsoft Defender XDR theo best practices trên cả bốn trụ cột: endpoint, email/web, danh tính và cloud app. Môi trường giờ đã đủ “cứng” để bước vào giai đoạn vận hành thực chiến. Ở phần tiếp theo, chúng ta sẽ giám sát và điều tra một alert thật từ đầu đến cuối. Theo dõi trọn bộ chuỗi tại Office365Vietnam.info.