Aktivieren von Defender für die Endpunktintegration in Microsoft Defender for Cloud

Microsoft Defender for Cloud integriert sich nahtlos mit Microsoft Defender for Endpoint, um Funktionen von Defender for Endpoint und Defender Vulnerability Management in Defender for Cloud bereitzustellen.

• Wenn Sie den Defender für Server-Plan in Defender für Cloud aktivieren, ist die Integration von Defender für Endpunkt standardmäßig aktiviert.
• Die Integration stellt automatisch den Defender for Endpoint-Agent auf Computern bereit.

Dieser Artikel erklärt, wie man Defender für die Endpoint-Integration manuell aktiviert, wenn es zuvor deaktiviert war oder wenn man ein Legacy-Abonnement hat, das eine manuelle Anmeldung erfordert.

Voraussetzungen

Bevor Sie Defender für die Endpunktintegration aktivieren, überprüfen Sie diese Anforderungen.

Aktivieren Sie die Integration von Defender for Endpoint in einem Abonnement

Die Integration von Defender for Endpoint ist standardmäßig aktiviert, wenn Sie einen Defender for Servers-Plan aktivieren. Wenn Sie die Integration für ein Abonnement deaktivieren, können Sie sie manuell wieder aktivieren.

So aktivieren Sie Defender für die Endpunktintegration in einem Abonnement:

1. Navigieren Sie zu Defender for Cloud>Umgebungseinstellungen.

2. Wählen Sie das relevante Abonnement aus.

3. Wechseln Sie zu "Einstellungen" und "Überwachen des>Endpunktschutzes".

4. Legen Sie den Status auf "Ein" fest.

   

5. Wählen Sie "Weiter" aus.

6. Wählen Sie Speichern aus.

7. Der Defender für Endpunkt-Sensor wird für alle Windows- und Linux-Computer im ausgewählten Abonnement bereitgestellt.

   Diese Integration kann bis zu eine Stunde dauern. Defender für Cloud erkennt alle vorherigen Defender für Endpunkt-Installationen und konfiguriert sie neu, um sie in Defender for Cloud zu integrieren.

Überprüfen der Installation auf Linux-Computern

So überprüfen Sie Defender für die Installation des Endpunktsensors auf einem Linux-Computer:

1. Führen Sie den folgenden Shellbefehl auf jedem Computer aus: mdatp health. Wenn Microsoft Defender für Endpunkt installiert ist, wird der entsprechende Integritätsstatus angezeigt:

   healthy : true

   licensed: true

2. Darüber hinaus können Sie im Azure-Portal überprüfen, ob Linux-Computer über eine neue Azure-Erweiterung namens MDE.Linux verfügen.

Aktivieren der einheitlichen Defender for Endpoint-Lösung unter Windows Server 2016/2012 R2

Wenn Defender für Server aktiviert ist und die Integration von Defender für Endpunkt in einem Abonnement vor Frühjahr 2022 aktiviert ist, müssen Sie möglicherweise die Integration der einheitlichen Lösung für Computer mit Windows Server 2016 oder Windows Server 2012 R2 im Abonnement manuell aktivieren.

1. Navigieren Sie zu Defender for Cloud>Umgebungseinstellungen.

2. Wählen Sie das relevante Abonnement aus.

3. Wählen Sie in der Spalte für die Überwachungsabdeckung des Defender for Servers-Plans Einstellungen aus.

   Der Status der Endpoint Protections-Komponente lautet Partiell. Das bedeutet, dass nicht alle Teile der Komponente aktiviert sind.

4. Wählen Sie Reparieren aus, um die Komponenten anzuzeigen, die nicht aktiviert sind.

   

5. Wechseln Sie zu fehlenden Komponenten>einheitliche Lösung.

6. Wählen Sie Aktivieren aus.

   

   Der Defender für Endpunkt-Agent wird automatisch auf Windows Server 2012 R2- und 2016-Computern installiert, die mit Microsoft Defender for Cloud verbunden sind.

7. Wählen Sie Speichern aus.

8. Wählen Sie unter "Einstellungen und Überwachung " die Option "Weiter" aus.

   Defender for Cloud integriert vorhandene und neue Computer in Defender for Endpoint.

   Falls Sie Defender für Endpunkt im ersten Abonnement Ihres Mandanten konfigurieren, kann das Onboarding bis zu 12 Stunden dauern. Für neue Computer und Abonnements, die nach der erstmaligen Aktivierung der Integration erstellt wurden, dauert das Onboarding bis zu einer Stunde.

Aktivieren auf Linux-Computern (Plan/Integration aktiviert)

Wenn Defender für Server bereits aktiviert ist und die Integration von Defender für Endpunkt in einem Abonnement vor Sommer 2021 aktiviert ist, müssen Sie die Integration für Linux-Computer möglicherweise manuell aktivieren.

1. Navigieren Sie zu Defender for Cloud>Umgebungseinstellungen.

2. Wählen Sie das relevante Abonnement aus.

3. Wählen Sie in der Spalte für die Überwachungsabdeckung des Defender for Servers-Plans Einstellungen aus.

   Der Status der Komponente Endpunktschutz lautet Partiell. Das bedeutet, dass nicht alle Teile der Komponente aktiviert sind.

4. Wählen Sie Reparieren aus, um die Komponenten anzuzeigen, die nicht aktiviert sind.

   

5. Wählen Sie unter „Fehlende Komponenten“ > bei Linux-Computern Aktivieren aus.

   

6. Wählen Sie Speichern aus.

7. Wählen Sie unter "Einstellungen und Überwachung " die Option "Weiter" aus.

   • Defender for Cloud integriert Linux-Computer in Defender for Endpoint.
   • Defender for Cloud erkennt alle vorherigen Defender für Endpunkt-Installationen auf Linux-Computern und konfiguriert sie neu, um sie in Defender for Cloud zu integrieren.
   • Falls Sie Defender für Endpunkt im ersten Abonnement Ihres Mandanten konfigurieren, kann das Onboarding bis zu 12 Stunden dauern. Für neue Computer, die nach der Aktivierung der Integration erstellt wurden, dauert das Onboarding bis zu einer Stunde.

8. Wenn Sie die Defender for Endpoint-Sensorinstallation auf einem Linux-Computer überprüfen möchten, führen Sie auf jedem Computer den folgenden Shellbefehl aus:

   mdatp health

   Wenn Microsoft Defender für Endpunkt installiert ist, wird der entsprechende Integritätsstatus angezeigt:

   healthy : true

   licensed: true

9. Im Azure-Portal können Sie überprüfen, ob Linux-Computer über eine neue Azure-Erweiterung namens MDE.Linux verfügen.

Aktivieren der Integration mit PowerShell in mehreren Abonnements

Um die Integration von Defender for Servers für Linux-Rechner oder Windows Server 2012 R2 und 2016 mit der Microsoft Defender for Endpoint (MDE) Unified Lösung auf mehreren Abonnements zu ermöglichen, können Sie eines der PowerShell-Skripte im Defender for Cloud verwenden GitHub-Repository.

• Verwenden Sie das Skript Enable MDE unified solution script, um die Integration mit der modernen einheitlichen Lösung von Defender for Endpoint unter Windows Server 2012 R2 oder Windows Server 2016 zu aktivieren.
• Verwenden Sie die Enable MDE-Integration für Linux-Skript, um Defender für die Endpunktintegration auf Linux-Computern zu aktivieren.

Verwalten automatischer Updates für Linux

In Windows werden Defender for Endpoint-Versionsupdates über fortlaufende Knowledge Base-Updates bereitgestellt. In Linux müssen Sie das Defender for Endpoint-Paket aktualisieren.

• Wenn Sie Defender for Servers mit der Erweiterung MDE.Linux verwenden, sind automatische Updates für Microsoft Defender for Endpoint standardmäßig aktiviert.

• Wenn Sie die Versionsupdates manuell verwalten möchten, können Sie automatische Updates auf Ihren Computern deaktivieren. Fügen Sie hierzu das folgende Tag für Computer hinzu, die mit der Erweiterung MDE.Linux integriert wurden.

  • Tagname: ExcludeMdeAutoUpdate
  • Tagwert: true

Diese Konfiguration wird für Azure-VMs und Azure Arc-Computer unterstützt, auf denen die MDE.Linux Erweiterung autoUpdate initiiert.

Integration im großen Stil aktivieren

Sie können die Defender for Endpoint-Integration über die mitgelieferte REST-API-Version 2022-05-01 aktivieren. Umfassende Details hierzu finden Sie in der API-Dokumentation.

Das folgende Beispiel zeigt den Anforderungskörper für die PUT-Anfrage, der die Integration von Defender for Endpoint ermöglicht. Diese Ressourcenkonfiguration Microsoft.Security/settings setzt die Einstellung WDATP auf aktiviert, wodurch die Defender for Endpoint-Integration programmatisch für das angegebene Abonnement aktiviert wird.

URI: https://management.azure.com/subscriptions/<subscriptionId>/providers/Microsoft.Security/settings/WDATP?api-version=2022-05-01

{
    "name": "WDATP",
    "type": "Microsoft.Security/settings",
    "kind": "DataExportSettings",
    "properties": {
        "enabled": true
    }
}

Verfolgen des Defender for Endpoint-Bereitstellungsstatus

Sie können die Defender for Endpoint-Bereitstellungsstatus-Arbeitsmappe verwenden, um den Defender for Endpoint-Bereitstellungsstatus auf Ihren Azure-VMs und Azure Arc-fähigen VMs nachzuverfolgen. Die interaktive Arbeitsmappe bietet eine Übersicht über Computer in Ihrer Umgebung mit dem Bereitstellungsstatus der Microsoft Defender for Endpoint-Erweiterung.

Zugreifen auf das Microsoft Defender-Portal

Führen Sie die folgenden Schritte aus, um über Defender for Cloud auf das Microsoft Defender Portal zuzugreifen:

1. Vergewissern Sie sich, dass Sie über die richtigen Berechtigungen für den Zugriff auf das Portal verfügen.

2. Überprüfen Sie, ob Sie einen Proxy oder eine Firewall einsetzen, der bzw. die anonymen Datenverkehr blockiert.

   • Der Sensor von Defender für den Endpunkt stellt eine Verbindung aus dem Systemkontext her, daher muss anonymer Datenverkehr zugelassen werden.
   • Um den unbehinderten Zugriff auf das Microsoft Defender-Portal sicherzustellen, aktivieren Sie den Zugriff auf Dienst-URLs auf dem Proxyserver.

3. Öffnen Sie das Microsoft Defender-Portal. Erfahren Sie mehr über Vorfälle und Warnungen im Microsoft Defender-Portal.

Ausführen eines Erkennungstests

Um einen Erkennungstest auszuführen, befolgen Sie den EDR-Erkennungstest, um die Onboarding- und Reporting-Dienste des Geräts zu überprüfen.

Entfernen von Defender für Endpunkt von einem Computer

So entfernen Sie die Defender für Endpunkt-Lösung von Ihren Computern

1. Um die Integration zu deaktivieren, wählen Sie in Defender for Cloud >Umgebungseinstellungen das Abonnement mit den relevanten Computern aus.
2. Wählen Sie auf der Seite „Defender-Pläne“ die Option Einstellungen und Überwachung aus.
3. Wählen Sie im Status der Endpunkt-Schutzkomponente Aus aus, um die Integration mit Microsoft Defender for Endpoint für das Abonnement zu deaktivieren.
4. Klicken Sie auf Weiter und auf Speichern, um Ihre Einstellungen zu speichern.
5. Entfernen Sie MDE.Windows oder MDE.Linux vom Computer.
6. Offboarding des Geräts vom Microsoft Defender for Endpoint-Dienst.

Entfernen von Integrationstags für Defender for Endpoint

Wenn ein Windows-Gerät über Defender für Cloud integriert ist, erstellt Defender für Endpunkt Registrierungswerte im Zusammenhang mit Defender für Cloud. Diese Registrierungstags bleiben nach dem Offboarding auf dem Gerät und wirken sich nicht auf die Funktionalität aus.

Führen Sie die folgenden Schritte aus, um diese Tags vollständig zu entfernen. Unter Linux speichert das System diese Informationen intern und zeigt sie nicht in der Registrierung an.

1. Wählen Sie "Start" aus, geben Sie "regedit" ein, und drücken Sie die EINGABETASTE , um den Registrierungs-Editor zu öffnen.

2. Wechseln Sie im linken Bereich zu:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Advanced Threat Protection\DeviceTags

3. Löschen Sie diese Wertnamen, falls vorhanden:

   • AzureResourceId
   • SecurityWorkspaceId
   • SecurityAgentId