Integrieren Sie Windows-Geräte in Microsoft Defender for Endpoint mit Gruppenrichtlinie

  • Gilt für:: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Sie können die Active Directory Domain Services (AD DS) Group Policy nutzen, um unterstützte Windows-Clients und Windows Server-Geräte in großem Maßstab in Microsoft Defender for Endpoint zu integrieren. Dieser Artikel erklärt, wie man das Onboarding-Paket bereitstellt, Probensammlung konfiguriert, die Bereitstellung überprüft und Geräte offboardet. Bevor Sie beginnen, überprüfen Sie die Bereitstellungsvoraussetzungen und bestätigen, dass die Gruppenrichtlinie die geeignete Bereitstellungsmethode für Ihre Umgebung ist.

Hinweis

Das Defender-Bereitstellungstool kann zum Bereitstellen der Defender-Endpunktsicherheit auf Windows- und Linux-Geräten verwendet werden. Das Tool ist eine einfache, sich selbst aktualisierende Anwendung, die den Bereitstellungsprozess optimiert. Weitere Informationen finden Sie unter Bereitstellen Microsoft Defender Endpunktsicherheit auf Windows-Geräten mithilfe des Defender-Bereitstellungstools und Bereitstellen Microsoft Defender Endpunktsicherheit auf Linux Geräten mithilfe des Defender-Bereitstellungstools (Vorschau).

Voraussetzungen

Informationen zum Vergleichen der Gruppenrichtlinie mit anderen Bereitstellungsoptionen finden Sie unter Identifizieren der Defender for Endpoint-Architektur und der Bereitstellungsmethoden.

Geräte per Gruppenrichtlinie einbinden

Laden Sie das Onboarding-Paket herunter, erstellen Sie eine sofortige geplante Aufgabe und bereiten Sie die Aufgabe auf den Windows-Geräten aus, die Sie integrieren möchten.

  1. Auf der Seite Onboarding im Microsoft Defender-Portal unter https://security.microsoft.com/securitysettings/endpoints/onboarding konfigurieren Sie das Paket:

    1. Schritt 1: Wählen Sie ein Betriebssystem zum Start der Bereitstellung aus: Wählen Sie die Betriebssystemversionsgruppe für die Zielgeräte aus. Wählen Sie nicht Windows, das startet den separaten Workflow für das Defender-Bereitstellungstool.
    2. Wenn der Konnektivitätstyp verfügbar ist, wählen Sie die Konnektivitätsmethode für Ihre Umgebung aus.
    3. Für die Bereitstellungsmethode wählen Sie Gruppenrichtlinie.
    4. Wählen Sie "Onboardingpaket herunterladen" aus.

  2. Entpacken Sie die heruntergeladene .zip Datei an einen gemeinsamen, nur lesbaren Speicherort, auf den die Zielgeräte zugreifen können. Das extrahierte Paket enthält die WindowsDefenderATPOnboardingScript.cmd Datei.

  3. Öffnen Sie die GPMC, klicken Sie mit der rechten Maustaste auf Group Policy Objects und wählen Sie Neu. Geben Sie einen Namen für das GPO ein und wählen Sie dann OK aus.

  4. Klicken Sie mit der rechten Maustaste auf das neue GPO, und wählen Sie Bearbeiten.

  5. Im Gruppenrichtlinienverwaltungs-Editor wechseln Sie zu Computerkonfiguration>Einstellungen>Systemsteuerungseinstellungen.

  6. Rechtsklicke auf geplante Aufgaben, wähle Neu und wähle dann Sofortige Aufgabe (mindestens Windows 7) aus.

  7. Im Tab Allgemeine konfigurieren Sie die Aufgabe:

    1. Unter Sicherheitsoptionen wählen Sie Benutzer oder Gruppe ändern.
    2. Geben Sie SYSTEM ein, wählen Sie Namen überprüfen und wählen Sie dann OK. Das Konto wird als NT AUTHORITY\SYSTEM angezeigt.
    3. Wählen Sie Unabhängig von der Benutzeranmeldung ausführen aus.
    4. Wählen Sie "Ausführen" mit den höchsten Berechtigungen aus.
    5. Geben Sie einen beschreibenden Aufgabennamen ein, wie zum Beispiel Defender for Endpoint onboarding.

    Hinweis

    Auf Windows Server 2019 und später, wenn die Gruppenrichtlinien-Präferenz-XML enthältNT AUTHORITY\Well-Known-System-Account, ersetzen Sie diesen Wert durch NT AUTHORITY\SYSTEM.

  8. Im Reiter Aktionen wählen Sie Neu und konfigurieren Sie die Aktion:

    1. Für Aktion wählen Sie Programm starten.
    2. Für Programm/Skript geben Sie den Universal Naming Convention (UNC)-Pfad zur gemeinsamen WindowsDefenderATPOnboardingScript.cmd Datei ein. Verwenden Sie im Pfad den vollständig qualifizierten Domainnamen (FQDN) des Dateiservers.
    3. Wählen Sie OK aus.

  9. Wählen Sie OK und schließen Sie den Group Policy Management Editor.

  10. Im GPMC verknüpfen Sie die GPO mit der Website, Domain oder OU, die die Zielgeräte enthält. Teste die GPO mit einer begrenzten Gerätegruppe, bevor du sie breit einsetzt.

Informationen zum Verknüpfen und Validieren von GPOs finden Sie unter Group Policy Management Console.

Probensammlung konfigurieren

Defender for Endpoint kann Dateien von integrierten Geräten sammeln, wenn ein Analyst eine Datei für eine tiefgehende Analyse anfordert. Konfigurieren Sie die Sample-Collection-Policy so, dass sie steuert, ob Geräte auf diese Anfragen reagieren können.

  1. Auf dem Gerät, auf dem Sie die Group Policy verwalten, kopieren Sie die Defender for Endpoint-Verwaltungsvorlagen aus dem extrahierten Onboarding-Paket:

    • Für einen lokalen Policy Definitions-Ordner:
      • Kopieren Sie AtpConfiguration.admx in C:\Windows\PolicyDefinitions.
      • Kopieren Sie AtpConfiguration.adml in den entsprechenden Sprachordner, z. B. C:\Windows\PolicyDefinitions\en-US.
    • Für einen Zentralladen:
      • Kopieren Sie AtpConfiguration.admx in \\<forest-root>\SYSVOL\<forest-root>\Policies\PolicyDefinitions.
      • Kopieren Sie AtpConfiguration.adml in den entsprechenden Sprachordner, z. B. \\<forest-root>\SYSVOL\<forest-root>\Policies\PolicyDefinitions\en-US.

  2. Im GPMC klicken Sie mit der rechten Maustaste auf die GPO, die Sie für Defender for Endpoint-Einstellungen verwenden, und wählen Sie Bearbeiten.

  3. Im Group Policy Management Editor gehen Sie zu Computer Configuration>Policies>Administrative Templates>Windows Components>Windows Defender ATP.

    Hinweis

    Windows Defender ATP ist der Altname, der in dieser administrativen Vorlage erscheint.

  4. Öffnen Sie Beispielsammlung aktivieren oder deaktivieren, wählen Sie Aktiviert, wählen Sie Beispielsammlung auf Geräten aktivieren, und wählen Sie dann OK.

Wenn du diese Richtlinie nicht konfigurierst, ist die Probensammlung standardmäßig aktiviert.

Onboarding verbindet Geräte mit Defender for Endpoint, konfiguriert jedoch weder Microsoft Defender Antivirus noch andere Funktionen zum Endpunktschutz. Verwenden Sie dieselbe GPO oder separate GPOs, um die von Ihrer Organisation geforderten Sicherheitskontrollen zu konfigurieren.

Aktualisieren der Endpoint Protection-Konfiguration

Ab der Microsoft Defender Antivirus-Plattformversion 4.18.2208.0 deaktiviert die Richtlinie Windows Defender deaktivieren Microsoft Defender Antivirus auf eingebundenen Geräten mit Windows Server 2012 R2 und höher nicht mehr vollständig. Stattdessen versetzt die Richtlinie Defender Antivirus in den passiven Modus. Wenn die Richtlinie bereits aktiviert ist, bevor du den Server einbordest, bleibt Defender Antivirus deaktiviert. Dieses Verhalten gilt nur für Server, die auf Defender for Endpoint integriert sind.

Wenn du eine Antivirus-Lösung außerhalb von Microsoft verwendest, prüfe die Kompatibilität von Microsoft Defender Antivirus, bevor du den Antivirenmodus einstellst. Ansonsten gehen Sie im Group Policy Management Editor zu Computer Configuration>Policies>Administrative Templates>Windows Components>Microsoft Defender Antivirus und setzen Microsoft Defender Antivirus deaktivieren auf Deaktiviert oder Nicht konfiguriert. Für den Windows Server-Modus und ForceDefenderPassiveMode die Anleitungen siehe Microsoft Defender Antivirus konfigurieren auf Windows Server.

Konfigurieren und testen Sie die folgenden Schutzmaßnahmen entsprechend den Anforderungen Ihrer Organisation:

Geräteeinbindung überprüfen

Die Gruppenrichtlinie meldet den Bereitstellungsstatus nicht an Defender for Endpoint. Verwenden Sie Group Policy Results, um zu bestätigen, dass das GPO angewendet wurde, und überprüfen Sie das Gerät dann im Defender-Portal.

  1. Auf der Geräte-Inventar-Seite im Microsoft Defender-Portal unter https://security.microsoft.com/machines?category=all-devices, suchen Sie nach dem Gerät.

  2. Öffnen Sie die Geräteseite und überprüfen Sie, ob das Gerät integriert ist und der Gesundheitszustand des Sensors aktiv ist.

Nachdem die GPO angewendet und die geplante Aufgabe ausgeführt wurde, erscheint das Gerät typischerweise innerhalb weniger Minuten im Inventar. Gruppenrichtlinien-Replikation, Richtlinienaktualisierung und Netzwerkverbindung können die Meldung verzögern.

Um einen Testalarm zu generieren und die End-to-End-Berichterstattung zu bestätigen, siehe Führen Sie einen Erkennungstest auf einem neu integrierten Gerät durch. Wenn das Gerät nicht wie erwartet angezeigt wird oder Meldung erstattet, finden Sie unter Problembehandlung bei Onboardingproblemen von Microsoft Defender for Endpoint weitere Informationen.

Offboarding von Geräten mithilfe von Gruppenrichtlinien

Das Offboardingpaket läuft sieben Tage nach dem Download ab. Defender for Endpoint lehnt abgelaufene Pakete ab, und das Ablaufdatum erscheint im Dateinamen des Pakets.

Wichtig

Bereite Onboarding- und Offboarding-Richtlinien nicht gleichzeitig auf demselben Gerät bereit. Entferne das Onboarding-GPO oder hebe dessen Verknüpfung mit den Zielgeräten auf, bevor du das Offboarding-GPO bereitstellst.

Um Geräte mithilfe der Gruppenrichtlinie zu offboarden, erstellen Sie eine separate GPO für die Offboarding-Aufgabe:

  1. Auf der Offboarding-Seite im Microsoft Defender-Portal unter https://security.microsoft.com/securitysettings/endpoints/offboarding, konfigurieren Sie das Paket:

    1. Wählen Sie die Betriebssystem-Versionsgruppe für die Zielgeräte aus. Wählen Sie nicht Windows, das startet den separaten Workflow für das Defender-Bereitstellungstool.
    2. Für die Bereitstellungsmethode wählen Sie Gruppenrichtlinie.
    3. Wählen Sie Paket herunterladen und dann im Bestätigungsdialog Download aus.

  2. Entpacken Sie die heruntergeladene .zip Datei an einen gemeinsamen, nur lesbaren Speicherort, auf den die Zielgeräte zugreifen können. Das extrahierte Paket enthält eine Datei namens WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd.

  3. Im GPMC erstellen Sie eine GPO für das Offboarding und bearbeiten Sie die GPO.

  4. Im Gruppenrichtlinienverwaltungs-Editor wechseln Sie zu Computerkonfiguration>Einstellungen>Systemsteuerungseinstellungen.

  5. Rechtsklicke auf geplante Aufgaben, wähle Neu und wähle dann Sofortige Aufgabe (mindestens Windows 7) aus.

  6. Im Reiter "Allgemein" konfigurieren Sie die Aufgabe so:

    • Ausführen als NT AUTHORITY\SYSTEM.
    • Führe es aus, egal ob der Nutzer eingeloggt ist oder nicht.
    • Laufe mit den höchsten Privilegien.
    • Verwenden Sie einen beschreibenden Namen, wie zum Beispiel Defender for Endpoint offboarding.

  7. Im Reiter Aktionen wählen Sie Neu und konfigurieren Sie die Aktion:

    1. Für Aktion wählen Sie Programm starten.
    2. Für Program/Skript geben Sie den UNC-Pfad zur gemeinsamen WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd Datei ein. Verwenden Sie den FQDN des Dateiservers im Pfad.
    3. Wählen Sie OK aus.

  8. Wählen Sie OK aus, schließen Sie den Group Policy Management Editor und verknüpfen Sie das Offboarding-GPO mit der Zielseite, Domain oder OU.

Das Offboarding verhindert, dass das Gerät neue Erkennungs-, Schwachstellen- und Sicherheitsdaten an Defender for Endpoint sendet. Verlaufsdaten verbleiben im Defender-Portal, bis der konfigurierte Aufbewahrungszeitraum abläuft. Das Geräteprofil bleibt ohne Daten bis zu 180 Tage im Geräteinventar. Weitere Informationen finden Sie unter Offboard-Geräte.

Verwandte Inhalte

  • Zuletzt aktualisiert um