Onboarding von Windows-Geräten mithilfe einer Gruppenrichtlinie

  • Gilt für:: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Hinweis

Das Defender-Bereitstellungstool kann zum Bereitstellen der Defender-Endpunktsicherheit auf Windows- und Linux-Geräten verwendet werden. Das Tool ist eine einfache, sich selbst aktualisierende Anwendung, die den Bereitstellungsprozess optimiert. Weitere Informationen finden Sie unter Bereitstellen Microsoft Defender Endpunktsicherheit auf Windows-Geräten mithilfe des Defender-Bereitstellungstools und Bereitstellen Microsoft Defender Endpunktsicherheit auf Linux Geräten mithilfe des Defender-Bereitstellungstools (Vorschau).

Voraussetzungen

  • Um Gruppenrichtlinie (GP)-Updates zum Bereitstellen des Pakets verwenden zu können, müssen Sie Windows Server 2008 R2 oder höher verwenden.

  • Für Windows Server 2019 und neuer müssen Sie möglicherweise in der XML-Datei, die von der Gruppenrichtlinien-Einstellung erstellt wird, NT AUTHORITY\Well-Known-System-Account durch NT AUTHORITY\SYSTEM ersetzen.

  • Wenn Sie die neue, einheitliche Microsoft Defender for Endpoint-Lösung für Windows Server 2012 R2 und Windows Server 2016 verwenden, stellen Sie sicher, dass Sie die neuesten ADMX-Dateien in Ihrem Zentralspeicher verwenden, um Zugriff auf die richtigen Microsoft Defender for Endpoint-Richtlinienoptionen zu erhalten. Siehe So erstellen und verwalten Sie den Zentralspeicher für Administrative Vorlagen für Gruppenrichtlinien in Windows, und laden Sie die neuesten Dateien zur Verwendung mit Windows 10 herunter.

Weitere Informationen finden Sie unter Architektur und Bereitstellungsmethode für Defender for Endpoint identifizieren, um die verschiedenen Bereitstellungspfade für Defender for Endpoint kennenzulernen.

  1. Öffnen Sie die GP-Konfigurationspaketdatei (WindowsDefenderATPOnboardingPackage.zip), die Sie aus dem Dienst-Onboarding-Assistenten heruntergeladen haben. Sie können das Paket auch über das Microsoft Defender-Portal abrufen:

    1. Wählen Sie im Navigationsbereich System>Einstellungen>Endpunkte>Geräteverwaltung>Onboarding aus.

    2. Wählen Sie das Betriebssystem aus.

    3. Wählen Sie im Feld Bereitstellungsmethodedie Option Gruppenrichtlinie aus.

    4. Wählen Sie Paket herunterladen aus, und speichern Sie die .zip Datei.

  2. Extrahieren Sie den Inhalt der .zip-Datei in einen freigegebenen, schreibgeschützten Speicherort, auf den das Gerät zugreifen kann. Sie sollten über einen Ordner namens OptionalParamsPolicy verfügen, und die Datei WindowsDefenderATPOnboardingScript.cmd.

  3. Um ein neues Gruppenrichtlinienobjekt zu erstellen, öffnen Sie die Gruppenrichtlinie Management Console (GPMC), klicken Sie mit der rechten Maustaste auf Gruppenrichtlinie Objekte, die Sie konfigurieren möchten, und klicken Sie auf Neu. Geben Sie den Namen des neuen GPO in das angezeigte Dialogfeld ein und klicken Sie auf OK.

  4. Öffnen Sie die Gruppenrichtlinie Management Console (GPMC), klicken Sie mit der rechten Maustaste auf das Gruppenrichtlinie Object (GPO), das Sie konfigurieren möchten, und klicken Sie auf Bearbeiten.

  5. Wechseln Sie im Gruppenrichtlinie-Verwaltungs-Editor zu Computerkonfiguration, dann Einstellungen und dann Systemsteuerungseinstellungen.

  6. Klicken Sie mit der rechten Maustaste auf Geplante Aufgaben, zeigen Sie auf Neu, und klicken Sie dann auf Sofortaufgabe (mindestens Windows 7).

  7. Wechseln Sie im daraufhin geöffneten Aufgabenfenster zur Registerkarte Allgemein . Klicken Sie unter Sicherheitsoptionen auf Benutzer oder Gruppe ändern , geben Sie SYSTEM ein, und klicken Sie dann auf Namen überprüfen und dann auf OK. NT AUTHORITY\SYSTEM wird als Benutzerkonto angezeigt, unter dem die Aufgabe ausgeführt wird.

  8. Wählen Sie die Option Unabhängig von der Benutzeranmeldung ausführen aus und aktivieren Sie das Kontrollkästchen Mit höchsten Privilegien ausführen.

  9. Geben Sie im Feld Name einen geeigneten Namen für die geplante Aufgabe ein (z. B. Defender für Endpunktbereitstellung).

  10. Wechseln Sie zur Registerkarte Aktionen, und wählen Sie Neu... aus. Stellen Sie sicher, dass Programm starten im Feld Aktion ausgewählt ist. Geben Sie den UNC-Pfad unter Verwendung des vollqualifizierten Domänennamens (FQDN) des Dateiservers der freigegebenen WindowsDefenderATPOnboardingScript.cmd-Datei ein.

  11. Wählen Sie OK aus, und schließen Sie alle geöffneten GPMC-Fenster.

  12. Um das Gruppenrichtlinienobjekt mit einer Organisationseinheit zu verknüpfen, klicken Sie mit der rechten Maustaste, und wählen Sie Vorhandenes Gruppenrichtlinienobjekt verknüpfen aus. Wählen Sie im angezeigten Dialogfeld das Gruppenrichtlinie Objekt aus, das Sie verknüpfen möchten. Klicken Sie auf OK.

Tipp

Nach dem Onboarding des Geräts können Sie einen Erkennungstest ausführen, um zu überprüfen, ob das Gerät ordnungsgemäß in den Dienst integriert ist. Weitere Informationen finden Sie unter Führen Sie einen Erkennungstest auf einem neu eingebundenen Defender for Endpoint-Gerät aus.

Zusätzliche Konfigurationseinstellungen für Defender for Endpoint

Für jedes Gerät können Sie angeben, ob Stichproben vom Gerät gesammelt werden können, wenn eine Anforderung über das Defender-Portal erfolgt, um eine Datei für eine umfassende Analyse zu übermitteln.

Sie können Gruppenrichtlinie (GP) verwenden, um Einstellungen zu konfigurieren, z. B. Einstellungen für die Beispielfreigabe, die in der Deep Analysis-Funktion verwendet wird.

Konfigurieren von Beispielsammlungseinstellungen

  1. Kopieren Sie auf Ihrem GP-Verwaltungsgerät die folgenden Dateien aus dem Konfigurationspaket:

    • Kopieren Sie AtpConfiguration.admx in C:\Windows\PolicyDefinitions.

    • Kopieren Sie AtpConfiguration.adml in C:\Windows\PolicyDefinitions\en-US.

    Wenn Sie einen Zentralen Speicher für Gruppenrichtlinien-Administrationsvorlagen verwenden, kopieren Sie die folgenden Dateien aus dem Konfigurationspaket:

    • Kopieren Sie AtpConfiguration.admx in \\<forest.root>\SysVol\<forest.root>\Policies\PolicyDefinitions.

    • Kopieren Sie AtpConfiguration.adml in \\<forest.root>\SysVol\<forest.root>\Policies\PolicyDefinitions\en-US.

  2. Öffnen Sie die Gruppenrichtlinie Management Console, klicken Sie mit der rechten Maustaste auf das Gruppenrichtlinienobjekt, das Sie konfigurieren möchten, und klicken Sie auf Bearbeiten.

  3. Wechseln Sie im Gruppenrichtlinien-Verwaltungs-Editor zu Computerkonfiguration.

  4. Klicken Sie auf Richtlinien und dann auf Administrative Vorlagen.

  5. Klicken Sie auf Windows-Komponenten und dann auf Windows Defender ATP.

  6. Wählen Sie aus, ob Sie die Beispielfreigabe auf Ihren Geräten aktivieren oder deaktivieren möchten.

Hinweis

Wenn Sie keinen Wert festlegen, ist der Standardwert die Aktivierung der Beispielsammlung.

Aktualisieren der Endpoint Protection-Konfiguration

Nachdem Sie das Onboardingskript konfiguriert haben, bearbeiten Sie die gleiche Gruppenrichtlinie, um Endpoint Protection-Konfigurationen hinzuzufügen. Führen Sie Gruppenrichtlinienbearbeitungen von einem System aus, auf dem Windows 10, Windows 11 oder Windows Server 2019 und höher ausgeführt wird, um sicherzustellen, dass Sie über alle erforderlichen Microsoft Defender Antivirus-Funktionen verfügen. Möglicherweise müssen Sie das Gruppenrichtlinienobjekt schließen und erneut öffnen, um die Defender ATP-Konfigurationseinstellungen zu registrieren.

Alle Richtlinien befinden sich unter Computer Configuration\Policies\Administrative Templates.

Richtlinienspeicherort:\Windows Components\Windows Defender ATP

Richtlinie Einstellung
Aktivieren\Deaktivieren der Beispielsammlung Aktiviert – „Erfassung von Beispieldaten auf Geräten aktivieren“ aktiviert

Speicherort der Richtlinie:\Windows Components\Microsoft Defender Antivirus

Richtlinie Einstellung
Konfigurieren der Erkennung für potenziell unerwünschte Anwendungen Aktiviert, Blockieren

Richtlinienspeicherort:\Windows Components\Microsoft Defender Antivirus\MAPS

Richtlinie Einstellung
Microsoft MAPS beitreten Aktiviert, Erweiterte KARTEN
Senden von Dateibeispielen, wenn eine weitere Analyse erforderlich ist Aktiviert, Sichere Beispiele senden

Richtlinienspeicherort:\Windows Components\Microsoft Defender Antivirus\Real-time Protection

Richtlinie Einstellung
Deaktivieren des Echtzeitschutzes Deaktiviert
Verhaltensüberwachung aktivieren Aktiviert
Alle heruntergeladenen Dateien und Anlagen überprüfen Aktiviert
Überwachen von Datei- und Programmaktivitäten auf Ihrem Computer Aktiviert

Richtlinienspeicherort:\Windows Components\Microsoft Defender Antivirus\Scan

Diese Einstellungen konfigurieren regelmäßige Überprüfungen des Endpunkts. Es wird empfohlen, eine wöchentliche Schnellüberprüfung durchzuführen, sofern die Leistung dies zulässt.

Richtlinie Einstellung
Überprüfen Sie vor dem Ausführen einer geplanten Überprüfung auf die neuesten Informationen zur Viren- und Spyware-Sicherheit. Aktiviert

Richtlinienspeicherort:\Windows Components\Microsoft Defender Antivirus\Microsoft Defender Exploit Guard\Attack Surface Reduction

Rufen Sie die Liste der GUIDs der Regeln für die Angriffsflächenreduzierung (Attack Surface Reduction, ASR) aus ASR-Regeln ab. Weitere Informationen zu den einzelnen ASR-Regeln finden Sie unter Details zur ASR-Regel.

  1. Öffnen Sie die Richtlinie Angriffsflächenreduzierung konfigurieren.

  2. Wählen Sie Aktiviert aus.

  3. Wählen Sie die Schaltfläche Anzeigen aus.

  4. Fügen Sie im Feld Wertname jede GUID mit einem Wert von 2 hinzu. Dadurch wird jedes jeweils nur für Audit eingerichtet.

    Konfiguration der Verringerung der Angriffsfläche

Richtlinie Standort Einstellung
Konfigurieren des kontrollierten Ordnerzugriffs \Windows-Komponenten\Microsoft Defender Antivirus\Microsoft Defender Exploit Guard
Kontrollierter Ordnerzugriff		 Aktiviert, Überwachungsmodus

Führen Sie einen Erkennungstest aus, um das Onboarding zu überprüfen.

Nach dem Onboarding des Geräts können Sie einen Erkennungstest ausführen, um zu überprüfen, ob ein Gerät ordnungsgemäß in den Dienst integriert ist. Weitere Informationen finden Sie unter Ausführen eines Erkennungstests auf einem neu integrierten Microsoft Defender for Endpoint Gerät.

Offboarden von Geräten mit Gruppenrichtlinie

Aus Sicherheitsgründen läuft das paket, das für Offboard-Geräte verwendet wird, 7 Tage nach dem Datum ab, an dem es heruntergeladen wurde. Abgelaufene Offboardingpakete, die an ein Gerät gesendet werden, werden abgelehnt. Wenn Sie ein Offboarding-Paket herunterladen, wird Ihnen das Ablaufdatum des Pakets angezeigt und es ist auch im Paketnamen enthalten.

Hinweis

Onboarding- und Offboardingrichtlinien dürfen nicht gleichzeitig auf demselben Gerät bereitgestellt werden, da dies andernfalls zu unvorhersehbaren Kollisionen führt.

  1. Rufen Sie das Offboardingpaket aus dem Microsoft Defender-Portal ab:

    1. Wählen Sie im Navigationsbereich Systemeinstellungen>>Endpunkte>Geräteverwaltung>Offboarding aus.

    2. Wählen Sie das Betriebssystem aus.

    3. Wählen Sie im Feld Bereitstellungsmethodedie Option Gruppenrichtlinie aus.

    4. Klicken Sie auf Paket herunterladen , und speichern Sie die .zip Datei.

  2. Extrahieren Sie den Inhalt der .zip-Datei in einen freigegebenen, schreibgeschützten Speicherort, auf den das Gerät zugreifen kann. Sie sollten über eine Datei namens WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd verfügen.

  3. Öffnen Sie die Gruppenrichtlinie Management Console (GPMC), klicken Sie mit der rechten Maustaste auf das Gruppenrichtlinie Object (GPO), das Sie konfigurieren möchten, und klicken Sie auf Bearbeiten.

  4. Wechseln Sie im Editor für die Gruppenrichtlinienverwaltung zu Computerkonfiguration, dann zu Voreinstellungen und anschließend zu Systemsteuerungseinstellungen.

  5. Klicken Sie mit der rechten Maustaste auf Geplante Vorgänge, zeigen Sie auf Neu, und klicken Sie dann auf Direktvorgang.

  6. Wechseln Sie im daraufhin geöffneten Aufgabenfenster unter Sicherheitsoptionen zur Registerkarte Allgemein, und wählen Sie Benutzer oder Gruppe ändern aus, geben Sie SYSTEM ein, wählen Sie dann Namen überprüfen und dann OK aus. NT AUTHORITY\SYSTEM wird als Das Benutzerkonto angezeigt, unter dem die Aufgabe ausgeführt wird.

  7. Wählen Sie Ausführen, unabhängig davon, ob der Benutzer angemeldet ist oder nicht aus, und aktivieren Sie das Kontrollkästchen Mit höchsten Berechtigungen ausführen.

  8. Geben Sie im Feld Name einen geeigneten Namen für die geplante Aufgabe ein (z. B. Defender für Endpunktbereitstellung).

  9. Wechseln Sie zur Registerkarte Aktionen , und wählen Sie Neu... aus. Stellen Sie sicher, dass Programm starten im Feld Aktion ausgewählt ist. Geben Sie den UNC-Pfad der freigegebenen Datei WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd unter Angabe des vollqualifizierten Domänennamens (FQDN) des Dateiservers ein.

  10. Wählen Sie OK aus, und schließen Sie alle geöffneten GPMC-Fenster.

Wichtig

Das Offboarding bewirkt, dass das Gerät keine Sensordaten mehr an das Portal sendet. Daten vom Gerät, einschließlich des Verweises auf warnungen, werden jedoch bis zu 6 Monate lang aufbewahrt.

Überwachen der Gerätekonfiguration

Mit Gruppenrichtlinie gibt es keine Option zum Überwachen der Bereitstellung von Richtlinien auf den Geräten. Die Überwachung kann direkt im Portal oder mithilfe der verschiedenen Bereitstellungstools erfolgen.

Überwachen von Geräten über das Portal

  1. Wechseln Sie zum Microsoft Defender-Portal.

  2. Wählen Sie Gerätebestand aus.

  3. Überprüfen Sie, ob Geräte angezeigt werden.

Hinweis

Es kann mehrere Tage dauern, bis Geräte in der Geräteliste angezeigt werden. Dies umfasst die Zeit, die benötigt wird, bis die Richtlinien an das Gerät verteilt werden, die Zeit bis zur Benutzeranmeldung und die Zeit, die benötigt wird, bis der Endpunkt mit der Berichterstattung beginnt.

Einrichten von Defender AV-Richtlinien

Erstellen Sie eine neue Gruppenrichtlinie oder gruppieren Sie diese Einstellungen in mit den anderen Richtlinien. Dies hängt von der Umgebung des Kunden ab und davon, wie er den Dienst mithilfe verschiedener Organisationseinheiten (OUs) bereitstellen möchte.

  1. Nachdem Sie die GP ausgewählt oder eine neue erstellt haben, bearbeiten Sie die GP.

  2. Navigieren Sie zu Computerkonfiguration>Richtlinien>Administrative Vorlagen>Windows-Komponenten>Microsoft Defender Antivirus>Echtzeitschutz.

    Echtzeitschutz

  3. Konfigurieren Sie im Ordner Quarantäne das Entfernen von Elementen aus dem Quarantäneordner.

    Quarantäneordner für zu entfernende Elemente

    Quarantäne für das Entfernen von Konfigurationen

  4. Konfigurieren Sie im Ordner Scan die Scaneinstellungen.

    GPO-Scans

Überwachen aller Dateien in Echtzeitschutz

Navigieren Sie zu Computerkonfiguration>Richtlinien>Administrative Vorlagen>Windows-Komponenten>Microsoft Defender Antivirus>Echtzeitschutz.

Konfigurieren der Überwachung für eingehende ausgehende Dateiaktivitäten

Konfigurieren von Windows Defender SmartScreen-Einstellungen

  1. Navigieren Sie zu Computerkonfigurationsrichtlinien>>Administrative Vorlagen>Windows-Komponenten>Windows Defender SmartScreen>Explorer.

    Konfigurieren des Windows Defender SmartScreen-Explorers

  2. Navigieren Sie zu Computerkonfigurationsrichtlinien>>Administrative Vorlagen>Windows-Komponenten>Windows Defender SmartScreen>Microsoft Edge.

    Konfigurieren von Windows Defender Smart Screen in Microsoft Edge

Konfigurieren potenziell unerwünschter Anwendungen

Navigieren Sie zu Computerkonfigurationsrichtlinien>>Administrative Vorlagen>Windows-Komponenten>Microsoft Defender Antivirus.

Konfigurieren potenzieller unerwünschter Apps

Konfigurationspotenzial

Konfigurieren von Cloud Deliver Protection und automatisches Senden von Beispielen

Navigieren Sie zu Computerkonfigurationsrichtlinien>>Administrative Vorlagen>Windows-Komponenten>Microsoft Defender Antivirus>MAPS.

Karten

Auf den ersten Blick blockieren

Microsoft Maps beitreten

Senden eines Dateibeispiels, wenn eine weitere Analyse erforderlich ist

Hinweis

Die Option Alle Beispiele senden bietet die meiste Analyse von Binärdateien/Skripts/Dokumenten, wodurch der Sicherheitsstatus erhöht wird. Die Option Sichere Beispiele senden schränkt den Typ der zu analysierenden Binärdateien/Skripts/Dokumente ein und verringert den Sicherheitsstatus.

Weitere Informationen finden Sie unter Aktivieren des Cloudschutzes in Microsoft Defender Antivirus und Cloudschutz und Beispielübermittlung in Microsoft Defender Antivirus.

Überprüfen auf Signaturaktualisierung

Navigieren Sie zu Computerkonfigurationsrichtlinien>>Administrative Vorlagen>Windows-Komponenten>Microsoft Defender Antivirus>Security Intelligence Updates.

Signaturaktualisierung

Aktualisierung der Signaturdefinition

Konfigurieren von Zeitlimit und Schutzstufe für die Cloudübermittlung

Navigieren Sie zu Computerkonfigurationsrichtlinien>>Administrative Vorlagen>Windows-Komponenten>Microsoft Defender Antivirus>MpEngine.

Wenn Sie die Richtlinie auf Cloudschutzebene auf Standard Microsoft Defender Richtlinie zum Blockieren von Antivirensoftware konfigurieren, wird die Richtlinie deaktiviert. Dies ist erforderlich, um die Schutzebene auf die Windows-Standardeinstellung festzulegen.

Erweiterte Cloudüberprüfung der Konfiguration

Konfiguration Cloud-Schutzstufe

  • Last updated on