Defender włączony i przetestowany.

Działania Microsoft Defender mogą dotyczyć urządzeń, skrzynek, tożsamości i sesji SaaS. Dostęp do oceny, role operacyjne, dostęp partnera i uprawnienia do zmian w środowisku produkcyjnym są osobnymi decyzjami.

• Dostęp do oceny

  Najpierw Security Reader i inne role odczytu. Dostęp ustalam po podpisaniu zakresu prac, z MFA i zapisanym terminem wygaśnięcia.

• Minimalne uprawnienia, jeden tenant naraz

  Microsoft Defender unified RBAC i role poszczególnych usług są dobierane do zadania, a przy przekazaniu ograniczane lub usuwane. Global Administrator nie jest rolą operacyjną.

• Dostęp partnera przy wielu tenantach

  Tam, gdzie można zastosować GDAP, dostęp jest przypisany do tenanta, szczegółowy, ograniczony w czasie i jawnie zatwierdzony. Każdy tenant ma własną decyzję o dostępie, dowody, wyjątki i dziennik zmian, bez uniwersalnych poświadczeń i wspólnej płaszczyzny polityk.

• Kto zatwierdza zmiany

  Izolacja urządzenia, usunięcie wiadomości, działanie na koncie, poziomy automatyzacji i zmiany włączające wymuszanie wymagają zatwierdzenia według Państwa pisemnego modelu.

Microsoft opisuje wdrożenie etapowe, pilotaż osobno dla każdego produktu, unified RBAC, badanie incydentów, przegląd w Action Center, wymagania wstępne attack disruption i GDAP z minimalnymi uprawnieniami. Linki prowadzą wprost do tych źródeł. Fakty o planach i datach odczytałem 18 października 2026 r.

• What is Microsoft Defender XDR?Microsoft Learn

  Aktualny zakres produktu: punkty końcowe, tożsamości, poczta, aplikacje, incydenty, automatyczna reakcja i hunting między produktami.

• Microsoft Defender XDR prerequisitesMicrosoft Learn

  Subskrypcje, które dają dostęp do portalu Defender, i wymaganie Planu 2 dla attack disruption.

• Configure automatic attack disruptionMicrosoft Learn

  Wymagania wstępne, działania reakcji, wykluczenia i poziomy remediacji grup urządzeń, które czyta attack disruption.

• Automation levels in automated investigation and remediationMicrosoft Learn

  Automatyzacja pełna i półautomatyzacja oraz zmiana z 1 września 2026 r. w automatycznym badaniu punktów końcowych.

• Pilot and deploy Microsoft Defender XDRMicrosoft Learn

  Etapowy proces Microsoft: pilotaż poszczególnych składników przed szerszym wdrożeniem.

• Microsoft Defender unified RBACMicrosoft Learn

  Centralne zarządzanie uprawnieniami, aktywacja usług, zakres grup urządzeń, migracja ról i uwagi o zarządzaniu wieloma tenantami.

• Plan attack surface reduction deploymentMicrosoft Learn

  Pilotaże w jednostkach biznesowych, tryb audytu, reprezentatywne grupy, osoby wspierające i stopniowe rozszerzanie przed szerszym wymuszaniem.

• Attack surface reduction frequently asked questionsMicrosoft Learn

  Trzy standardowe reguły ochrony, które zwykle mogą przejść na Block bez okresu audytu.

• Investigate and respond in Defender XDRMicrosoft Learn

  Symulacja, badanie incydentów, przegląd w Action Center, zatwierdzanie remediacji i Advanced Hunting podczas walidacji wdrożenia.

• Granular delegated admin privilegesMicrosoft Learn

  Dostęp partnera przypisany do tenanta, z minimalnymi uprawnieniami i ograniczony w czasie, wymagający jawnej zgody klienta.

• Defender for Office 365 preset security policiesMicrosoft Learn

  Profile Standard i Strict, przypisania docelowe, kompromisy operacyjne i analiza konfiguracji.

• Defender for Office 365 service descriptionMicrosoft Learn

  Funkcje Planu 1 i Planu 2 oraz Plan 1 w Office 365 E3 i Microsoft 365 E3 od 1 lipca 2026 r.

• What is Microsoft Defender for Business?Microsoft Learn

  Co obejmuje Defender for Business, czym różni się od Defender for Endpoint i limit 300 użytkowników.

• Add Microsoft Defender Suite for Business PremiumMicrosoft Learn

  Co zawiera dodatek do Business Premium: Entra ID P2, Defender for Identity, Endpoint Plan 2, Office 365 Plan 2 i Cloud Apps.

• Integration and licensing for Security Exposure ManagementMicrosoft Learn

  Które licencje dają pełny zakres funkcji Exposure Management, a które tylko Secure Score.

• Security Copilot for Microsoft 365 E5 and E7Microsoft Learn

  Wliczone jednostki obliczeniowe, jak się skalują i zerują oraz które ustawienia wybiera automatyczne uruchomienie.

• Microsoft Sentinel in the Microsoft Defender portalMicrosoft Learn

  Koniec obsługi w portalu Azure po 31 marca 2027 r. i Sentinel bez Defender XDR albo licencji E5.

• Create custom detection rules in Defender XDRMicrosoft Learn

  Wymagane kolumny, częstotliwości i ograniczenia trybu Continuous (NRT) dla tabel i złączeń.

• What is Microsoft Defender Experts MDR?Microsoft Learn

  Dwa plany, minimalna liczba stanowisk dla Planu 2 i wdrożenie w trybie aktywnym, którego wymaga usługa.

• Where Microsoft Defender XDR processes and stores dataMicrosoft Learn

  Jak wybierana jest lokalizacja centrum danych, gdzie jest pokazywana i w jakich regionach działa Defender.

• Data security and retention in Microsoft Defender XDRMicrosoft Learn

  Regiony, w których działa Defender, i fakt, że po utworzeniu tenanta nie można go przenieść.

• Services excluded from the EU Data BoundaryMicrosoft Learn

  Które usługi Defender Microsoft wymienia jako wyłączone i dlaczego.

Tak. Microsoft Defender XDR to obecna nazwa warstwy wykrywania i reagowania, która łączy kilka produktów. Na tej stronie używam obecnej nazwy.

Nie. Strona opisuje wdrożenie i gotowość operacyjną. Mapa planów w tej sekcji pokazuje, co zawiera każdy plan Microsoft, według Microsoft Learn z 18 października 2026 r., żeby zakres nie obiecywał zabezpieczeń, których tenant nie może uruchomić. Nie sprzedaję licencji Microsoft firmom z Polski: kupują je Państwo u swojego dostawcy, na podstawie własnej umowy z Microsoft. Jeśli element zakresu wymaga licencji, której Państwo nie mają, mówię o tym przed zmianą, nie po niej.

Microsoft 365 Business Premium zawiera Defender for Business, Defender for Office 365 Plan 1 i Entra ID P1, dla maksymalnie 300 użytkowników. Defender for Business obejmuje ochronę, ASR, EDR, automatyczną remediację i attack disruption na urządzeniach z onboardingiem. Nie ma w nim advanced hunting, a Defender for Identity, Defender for Cloud Apps i polityki ryzyka Entra ID Protection nie wchodzą w jego skład. Defender Suite for Business Premium dodaje Entra ID P2, Defender for Identity, Defender for Endpoint Plan 2, Defender for Office 365 Plan 2 i Defender for Cloud Apps. Pozostałe różnice zawiera mapa planów w tej sekcji.

Nie. Zakres wynika z rzeczywistego środowiska i oczekiwanej ochrony. Defender for Identity ma największe znaczenie tam, gdzie istnieje hybrydowy Active Directory, i generuje też alerty dotyczące Okta w Defender XDR. Defender for Cloud Apps ma sens, jeśli potrzebują Państwo kontroli nad aplikacjami SaaS. Linia bazowa wskazuje, które obszary wnoszą wartość i których wymagań wstępnych brakuje.

Nie. Rozpoznanie zaczyna się od przeglądu pokrycia, konfiguracji, uprawnień i alertów tylko do odczytu. Zmiany w środowisku produkcyjnym zaczynają się po uzgodnieniu stanu docelowego, grupy pilotażowej, ścieżki zatwierdzania, wymaganego dowodu i sposobu cofnięcia zmiany.

Strojenie zapisuję jako decyzję techniczną. Każda istotna zmiana zakresu, progu, wyciszenia albo zamiennika ma powód, właściciela, kontrolę kompensującą i datę przeglądu. Po zmianie sprawdzam ponownie pokrycie i walidację.

To zależy od obszaru. Na punktach końcowych Microsoft zakończył osobne środowisko automatycznego badania 1 września 2026 r.: wykrywanie i reakcja działają teraz w ramach ochrony antywirusowej, a decyzji wymaga to, które grupy urządzeń attack disruption może powstrzymywać. Ustawienie „Semi automation” nadal pozwala na disruption bez zatwierdzenia, a „No automated response” wyłącza grupę. W poczcie automatyczne badanie i reagowanie (AIR) pozostaje funkcją Defender for Office 365 Plan 2, a działania w kolejce wymagają zatwierdzenia przez osobę, którą wskazujemy razem. Obie decyzje zapisuję, zanim zostanie włączona szersza automatyzacja.

Może powstrzymać użytkownika albo wyłączyć konto, gdy Defender uzna, że trwa atak. Microsoft podaje precyzję detektora co najmniej 99% dla działań powstrzymujących, więc błędne powstrzymanie jest możliwe, a każde działanie można cofnąć w Action Center. Contain user blokuje logowania sieciowe, SMB, RPC i RDP na urządzeniach z onboardingiem, nie wyłącza konta u dostawcy tożsamości i jest automatycznie zdejmowany w ciągu pięciu dni. Microsoft opisuje wykluczenia dla użytkowników, urządzeń i adresów IP i nie zaleca wykluczania zasobów. Przed pierwszym incydentem zapisuję, kto może zostać wykluczony z attack disruption, kto przegląda Action Center i kto może cofnąć działanie.

W Microsoft 365 E5 i E7 tak: 400 Security Compute Units miesięcznie na 1 000 płatnych licencji, do 10 000, proporcjonalnie przy mniejszej liczbie licencji (tenant z 400 licencjami dostaje 160). Przydziały zerują się co miesiąc i nie przechodzą na kolejny okres, a Microsoft wdraża to uprawnienie etapami od 18 listopada 2025 r. Wliczone są tylko E5 i E7; w pozostałych planach jednostki obliczeniowe trzeba uruchomić i opłacić. Agenci nie włączają się automatycznie. Mogę ustawić role i właściciela zużycia, wprowadzić wybraną przez Państwa opcję udostępniania danych Microsoft i zapisać te ustawienia. Nie obiecuję oszczędności czasu.

Tak. Wdrożenie w wielu tenantach opiera się na wspólnym standardzie z odrębnymi nakładkami dla poszczególnych tenantów, na tenancie pilotażowym, lokalnych właścicielach, osobnych dowodach i dostępie przypisanym do tenanta. GDAP może zapewnić szczegółowy dostęp partnera, ograniczony w czasie, tam, gdzie ma zastosowanie. Uniwersalne poświadczenia między tenantami nie są używane.

Państwa wewnętrzny zespół, wybrany przez Państwa dostawca MDR albo SOC, albo usługa Microsoft Defender Experts MDR (dawniej Defender Experts for XDR), sprzedawana osobno od produktów Microsoft Defender. Wdrażam, dostrajam i przekazuję runbooki; nie prowadzę SOC ani MDR i nigdy nie biorę udziału w obsłudze Państwa alertów. Plan 1 usługi Defender Experts MDR obejmuje produkty Microsoft Defender. Plan 2 dodaje wybrane źródła zewnętrzne przez Sentinel i wymaga co najmniej 1 500 licencjonowanych stanowisk. Pokrycie wymaga co najmniej jednego z produktów: Defender for Endpoint Plan 2, Defender for Office 365 Plan 2, Defender for Identity, Defender for Cloud Apps albo Entra ID P2, wdrożonego w trybie aktywnym. RUNBOOK-10 przygotowuje przekazanie, łącznie ze sprawdzeniem, że każdy z tych produktów działa w trybie aktywnym, i zapisem działań, które eksperci Microsoft mogą podjąć w Państwa imieniu.

Ustawa o KSC nie nakazuje konkretnej technologii, w tym SIEM ani SOC: jest neutralna technologicznie (Ministerstwo Cyfryzacji, FAQ do ustawy o KSC, wydanie z października 2026 r., pytania 3.16 i 3.42). Podmiot kluczowy lub ważny musi jednak stosować ciągłe monitorowanie systemów (art. 8 ust. 1 pkt 2 lit. g); o tym, kto je prowadzi, decydują Państwo.

Defender XDR sam wybiera lokalizację centrum danych i używa tej, której używa Defender for Endpoint, jeśli Państwo go mają. Microsoft wymienia UE (North Europe i West Europe) wśród regionów i pokazuje Państwa lokalizację w ustawieniach portalu Defender. Podaje, że tenanta Defender nie można przenieść do innego regionu po jego utworzeniu. Dokumentacja EU Data Boundary wymienia kilka usług Defender jako wyłączone: wskazuje, że większość danych Defender for Office 365 jest przekazywana i przechowywana w Stanach Zjednoczonych, a Defender for Endpoint opiera się na badaczach pracujących z danymi globalnie. Lokalizację zapisuję w linii bazowej. To opis udokumentowanego zachowania Microsoft; nie składam własnego zapewnienia co do lokalizacji danych. Przekazywanie tych danych przez Microsoft poza Europejski Obszar Gospodarczy reguluje Państwa umowa z Microsoft (Microsoft Products and Services Data Protection Addendum), której nie jestem stroną.

Po 31 marca 2027 r. Microsoft Sentinel nie jest już obsługiwany w portalu Azure i jest dostępny tylko w portalu Microsoft Defender. Microsoft ustalił najpierw lipiec 2026 r., a później przesunął datę. Sentinel jest ogólnie dostępny w portalu Defender z Defender XDR albo licencją E5, ale też bez nich, a od lipca 2025 r. pierwszy workspace nowego klienta, dodany przez rolę Owner lub User Access Administrator, trafia tam automatycznie. Dla analityków zmienia się zunifikowana kolejka incydentów, zarządzanie tabelami i przechowywaniem danych w portalu Defender oraz własne reguły wykrywania (custom detections) jako zalecany przez Microsoft typ reguły dla nowych reguł.

W środowisku Microsoft 365 najpierw Defender: łączy zapobieganie, wykrywanie, badanie i reagowanie w obsługiwanych produktach bezpieczeństwa Microsoft, a jego incydenty i alerty trafiają do Sentinel bez opłaty za pozyskiwanie danych (ingestion). Surowe tabele huntingu Microsoft Defender są bezpłatne przez 30 dni w portalu Defender i kosztują tylko wtedy, gdy Państwo je przedłużą albo skopiują. Sentinel zarabia na siebie, gdy liczą się źródła spoza Microsoft 365, na przykład zapory, dzienniki audytu SaaS, aplikacje własne albo wiele chmur. Oba są na tej stronie i zaprojektowane tak, żeby spotykały się w jednej kolejce incydentów; sekcja Sentinel powyżej ma własny zakres i poziomy.

Mogą pomóc w powiązaniu kontrolek z dowodami dla uzgodnionych celów. Pakiet może łączyć polityki, incydenty, działania, zapytania, właścicieli i wyjątki z wybranymi wymaganiami: art. 8 ustawy o KSC albo RODO. To dowód wdrożenia, a nie porada prawna, certyfikat, zatwierdzenie organu, opinia o zgodności ani audyt. Szersza mapa art. 8 na kontrolki w Microsoft 365 jest w dokumencie do pobrania w bloku „Dowody do przejrzenia przed rozmową o zakresie”.

Exit Kit powstaje od początku. Zapisuje repozytoria reguł i polityk, runbooki, model dostępu, kontakty operacyjne, miejsca dowodów, otwarte wyjątki i potwierdzenie, że mój dostęp został usunięty.

Ocena stosunku kosztu do wartości dla każdego konektora, kierowanie źródeł o niskiej wartości detekcyjnej do warstwy data lake, alerty limitu dziennego i udokumentowany budżet. Nie pozyskuję danych, których nie da się uzasadnić konkretnym wykryciem.

Tak. Rejestr konektorów działa też na istniejącym workspace. Mierzę wolumen każdej tabeli z tabeli Usage i oceniam każde źródło wobec reguł, które faktycznie je czytają. Źródła o wysokiej wartości detekcyjnej zostają w warstwie analitycznej, a duże źródła pomocnicze, takie jak dzienniki zapór, proxy i NetFlow, trafiają do warstwy data lake. Filtruję szum przy pozyskiwaniu i włączam zabezpieczenia. Oszczędności mierzę względem Państwa trzech ostatnich faktur, nigdy ich nie szacuję.

Kompromis jest realny i podejmuję go jawnie, nigdy po cichu. Dane, które leżą tylko w warstwie data lake, nie zasilają reguł analitycznych w czasie rzeczywistym; sięga się do nich przez zadania KQL, reguły podsumowujące (summary rules) i hunting. Gdy wykrycie potrzebuje źródła tylko z data lake, przenoszę potrzebną część do warstwy analitycznej przez regułę podsumowującą albo zadanie KQL, albo akceptuję lukę na piśmie. Katalog wykryć zapisuje, które techniki MITRE opierają się na której warstwie, więc decyzja o pokryciu jest zapisana, zanim zacznie się incydent. Workspace, które nie zostały jeszcze podłączone do data lake, nadal używają słowa Archive dla długoterminowego przechowywania.

Sentinel wygrywa w środowiskach silnie opartych na Microsoft, dzięki korzyściom licencyjnym i natywnemu pozyskiwaniu danych z Microsoft Defender. Splunk wygrywa przy bardzo dużym wolumenie nietypowych źródeł. Chronicle wygrywa w środowiskach silnie opartych na Google. O wyborze decyduje to, gdzie leżą Państwa dane.