Integrieren von Windows-Geräten mithilfe von Konfigurations-Manager

Sie können Konfigurations-Manager verwenden, um Endpunkte in den Microsoft Defender for Endpoint-Dienst zu integrieren.

Es gibt mehrere Optionen, mit denen Sie Geräte mithilfe von Konfigurations-Manager integrieren können:

• Geräte mithilfe von System Center Configuration Manager einbinden
• Tenant attach

Sie können eine Erkennungsregel für eine Konfigurations-Manager-Anwendung erstellen, um kontinuierlich zu überprüfen, ob ein Gerät integriert wurde. Eine Anwendung ist ein anderer Objekttyp als ein Paket und Programm. Wenn ein Gerät noch nicht onboarded ist (weil der OOBE-Vorgang noch nicht abgeschlossen ist oder aus einem anderen Grund), versucht Konfigurations-Manager erneut, das Gerät zu onboarden, bis die Regel die Statusänderung erkennt. Weitere Informationen finden Sie unter Konfigurieren von Erkennungsmethoden in System Center 2012 R2 Konfigurations-Manager.

Voraussetzungen

• Weitere Informationen finden Sie unter Mindestanforderungen für Microsoft Defender for Endpoint.

• Standortsystemrolle des Endpoint Protection-Punkts. Diese Rolle ist erforderlich, damit Antivirenrichtlinien und Richtlinien zur Reduzierung der Angriffsfläche ordnungsgemäß für die Zielendpunkte bereitgestellt werden. Ohne diese Rolle erhalten Endpunkte in der Gerätesammlung nicht die konfigurierten Richtlinien zur Verringerung der Antiviren- und Angriffsfläche.

Konfigurieren von Beispielsammlungseinstellungen

Für jedes Gerät können Sie einen Konfigurationswert festlegen, um anzugeben, ob Proben vom Gerät gesammelt werden können, wenn über das Microsoft Defender-Portal eine Anforderung zum Übermitteln einer Datei zur eingehenden Analyse gestellt wird.

Sie können eine Konformitätsregel für das Konfigurationselement in Konfigurations-Manager festlegen, um die Beispielfreigabeeinstellung auf einem Gerät zu ändern.

Diese Regel sollte ein Konfigurationselement zur Korrektur der Konformitätsregel sein, das den Wert eines Registrierungsschlüssels auf Zielgeräten festlegt, um sicherzustellen, dass sie kompatibel sind.

Die Konfiguration wird über den folgenden Registrierungsschlüsseleintrag festgelegt:

Path: "HKLM\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection"
Name: "AllowSampleCollection"
Value: 0 or 1

wobei Key type ein D-WORD ist. Die folgenden Werte sind möglich:

• 0: Lässt keine Beispielfreigabe von diesem Gerät zu
• 1: Lässt die Freigabe aller Dateitypen von diesem Gerät zu

Der Standardwert für den Fall, dass der Registrierungsschlüssel nicht vorhanden ist, ist 1.

Weitere Informationen zu System Center Configuration Manager Compliance finden Sie unter Einführung in Konformitätseinstellungen in System Center 2012 R2 Konfigurations-Manager.

Erstellen einer Sammlung

Um Windows-Geräte mit Microsoft Configuration Manager zu integrieren, kann die Bereitstellung auf eine vorhandene Sammlung abzielen oder eine neue Sammlung zu Testzwecken erstellt werden.

Beim Onboarding mit Tools wie Gruppenrichtlinie oder einer manuellen Methode werden keine Agents auf dem System installiert.

Innerhalb der Microsoft Configuration Manager-Konsole wird der Onboardingprozess als Teil der Konformitätseinstellungen in der Konsole konfiguriert.

Jedes System, das diese erforderliche Konfiguration empfängt, behält diese Konfiguration so lange bei, wie der Konfigurations-Manager Client diese Richtlinie weiterhin vom Verwaltungspunkt empfängt.

Führen Sie die folgenden Schritte aus, um eine Gerätesammlung zu erstellen, die zum Integrieren von Endpunkten in Microsoft Defender for Endpoint verwendet werden kann:

1. Navigieren Sie in der Microsoft Configuration Manager-Konsole zu Bestand und Kompatibilität > Übersicht Gerätesammlungen>.

   

2. Wählen Sie Gerätesammlung aus, halten Sie sie gedrückt (oder klicken Sie mit der rechten Maustaste darauf), und wählen Sie Gerätesammlung erstellen aus.

   

3. Geben Sie einen Namen und eine einschränkende Sammlung an, und wählen Sie dann Weiter aus.

   

4. Wählen Sie Regel hinzufügen und wählen Sie Abfrageregel aus.

   

5. Wählen Sie im Assistenten für direkte Mitgliedschaften die Option Weiter und dann Abfrageanweisung bearbeiten aus.

6. Wählen Sie Kriterien und dann das Sternsymbol aus.

   

7. Behalten Sie den Kriteriumstyp als einfachen Wert bei, wählen Sie dann Betriebssystem – Buildnummer, als Operator ist größer oder gleich und den Wert 14393 aus, und klicken Sie abschließend auf OK.

8. Wählen Sie Weiter und Schließen aus.

   

9. Wählen Sie Weiter aus.

   

Nach Abschluss dieser Aufgabe verfügen Sie über eine Gerätesammlung mit allen Windows-Endpunkten in der Umgebung.

Konfigurieren des Schutzes der nächsten Generation

Die in der folgenden Tabelle aufgeführten Konfigurationseinstellungen werden empfohlen:

Führen Sie die folgenden Schritte aus, um Microsoft Defender Antivirus-Richtlinien und Richtlinien zur Verringerung der Angriffsfläche mit Microsoft Configuration Manager (SCCM) bereitzustellen:

• Aktivieren Sie Endpoint Protection, und konfigurieren Sie benutzerdefinierte Clienteinstellungen.
• Installieren Sie den Endpoint Protection-Client über eine Eingabeaufforderung.
• Überprüfen Sie die Installation des Endpoint Protection-Clients.

Aktivieren von Endpoint Protection und Konfigurieren benutzerdefinierter Clienteinstellungen

Führen Sie die Schritte aus, um Endpoint Protection zu aktivieren und benutzerdefinierte Clienteinstellungen zu konfigurieren:

1. Klicken Sie in der Konfigurations-Manager-Konsole auf Verwaltung.

2. Klicken Sie im Arbeitsbereich Verwaltung auf Clienteinstellungen.

3. Klicken Sie auf der Registerkarte Start in der Gruppe Erstellen auf Benutzerdefinierte Clientgeräteeinstellungen erstellen.

4. Geben Sie im Dialogfeld Benutzerdefinierte Clientgeräteeinstellungen erstellen einen Namen und eine Beschreibung für die Gruppe von Einstellungen ein, und wählen Sie dann Endpoint Protection aus.

5. Konfigurieren Sie die erforderlichen Endpoint Protection-Clienteinstellungen. Eine vollständige Liste der Endpoint Protection-Clienteinstellungen, die Sie konfigurieren können, finden Sie im Abschnitt Endpoint Protection unter Informationen zu Clienteinstellungen.

   Wichtig

   Installieren Sie die Endpoint Protection-Standortsystemrolle, bevor Sie die Clienteinstellungen für Endpoint Protection konfigurieren.

6. Klicken Sie auf OK , um das Dialogfeld Benutzerdefinierte Clientgeräteeinstellungen erstellen zu schließen. Die neuen Clienteinstellungen werden im Arbeitsbereich Verwaltung im Knoten Clienteinstellungen angezeigt.

7. Stellen Sie als Nächstes die benutzerdefinierten Clienteinstellungen für eine Sammlung bereit. Wählen Sie die benutzerdefinierten Clienteinstellungen aus, die Sie bereitstellen möchten. Klicken Sie auf der Registerkarte Start in der Gruppe Clienteinstellungen auf Bereitstellen.

8. Wählen Sie im Dialogfeld Sammlung auswählen die Sammlung aus, für die Sie die Clienteinstellungen bereitstellen möchten, und klicken Sie dann auf OK. Die neue Bereitstellung wird auf der Registerkarte Bereitstellungen des Detailbereichs angezeigt.

Clients werden beim nächsten Herunterladen der Clientrichtlinie mit diesen Einstellungen konfiguriert. Weitere Informationen finden Sie unter Initiieren des Richtlinienabrufs für einen Konfigurations-Manager-Client.

Installieren Sie den Endpoint Protection-Client mithilfe der Eingabeaufforderung

Führen Sie die Schritte aus, um die Installation des Endpoint Protection-Clients über die Eingabeaufforderung abzuschließen.

1. Kopieren Sie scepinstall.exe aus dem Ordner Client des Installationsordners Konfigurations-Manager auf den Computer, auf dem Sie die Endpoint Protection-Clientsoftware installieren möchten.

2. Öffnen Sie die Eingabeaufforderung als Administrator. Wechseln Sie in den Ordner mit dem Installationsprogramm. Führen Sie dann aus scepinstall.exe, und fügen Sie alle zusätzlichen Befehlszeileneigenschaften hinzu, die Sie benötigen:

   Eigenschaft	Beschreibung
   /s	Führen Sie das Installationsprogramm im stillen Modus aus
   /q	Extrahieren Sie die Setupdateien im Hintergrund.
   /i	Führen Sie das Installationsprogramm normal aus.
   /policy	Geben Sie eine Antischadsoftware-Richtliniendatei an, um den Client während der Installation zu konfigurieren
   /sqmoptin	Melden Sie sich für das Microsoft-Programm zur Verbesserung der Benutzerfreundlichkeit (Customer Experience Improvement Program, CEIP) an.

3. Befolgen Sie die Anweisungen auf dem Bildschirm, um die Clientinstallation abzuschließen.

4. Wenn Sie das neueste Updatedefinitionspaket heruntergeladen haben, kopieren Sie das Paket auf den Clientcomputer, und doppelklicken Sie dann auf das Definitionspaket, um es zu installieren.

   Hinweis

   Nach Abschluss der Installation des Endpoint Protection-Clients führt der Client automatisch eine Überprüfung des Definitionsupdates durch. Wenn diese Updateüberprüfung erfolgreich ist, müssen Sie das neueste Definitionsupdatepaket nicht manuell installieren.

   Beispiel: Installieren des Clients mit einer Richtlinie für Antischadsoftware

   scepinstall.exe /policy <full path>\<policy file>

Überprüfen der Installation des Endpoint Protection-Clients

Nachdem Sie den Endpoint Protection-Client auf Ihrem Referenzcomputer installiert haben, überprüfen Sie, ob der Client ordnungsgemäß funktioniert.

1. Öffnen Sie auf dem Referenzcomputer System Center Endpoint Protection im Windows-Infobereich.

2. Vergewissern Sie sich auf der Registerkarte Start im Dialogfeld System Center Endpoint Protection, dass Echtzeitschutz auf Ein festgelegt ist.

3. Vergewissern Sie sich, dass für Viren- und Spywaredefinitionenauf dem neuesten Stand angezeigt wird.

4. Um sicherzustellen, dass Ihr Referenzcomputer für die Imageerstellung bereit ist, wählen Sie unter Scanoptionendie Option Vollständig aus, und klicken Sie dann auf Jetzt überprüfen.

Konfigurieren des Netzwerkschutzes

Stellen Sie vor dem Aktivieren des Netzwerkschutzes im Überwachungs- oder Blockmodus sicher, dass Sie das Antischadsoftware-Plattformupdate installiert haben, das auf der Supportseite abgerufen werden kann.

Konfigurieren des kontrollierten Ordnerzugriffs

Aktivieren Sie das Feature im Überwachungsmodus für mindestens 30 Tage. Überprüfen Sie nach diesem Zeitraum die Erkennungen, und erstellen Sie eine Liste der Anwendungen, die in geschützte Verzeichnisse schreiben dürfen.

Weitere Informationen finden Sie unter Überwachen der kontrollierten Ordnerzugriffsaktivität (CFA).

Führen Sie einen Erkennungstest aus, um das Onboarding zu überprüfen.

Nach dem Onboarding des Geräts können Sie einen Erkennungstest ausführen, um zu überprüfen, ob ein Gerät ordnungsgemäß in den Dienst integriert ist. Weitere Informationen finden Sie unter Ausführen eines Erkennungstests auf einem neu integrierten Microsoft Defender for Endpoint Gerät.

Offboarden von Geräten mit Konfigurations-Manager

Aus Sicherheitsgründen läuft das paket, das für Offboard-Geräte verwendet wird, 7 Tage nach dem Datum ab, an dem es heruntergeladen wurde. Abgelaufene Offboardingpakete, die an ein Gerät gesendet wurden, werden abgelehnt. Wenn Sie ein Offboarding-Paket herunterladen, werden Sie über das Ablaufdatum des Pakets informiert, und dieses wird auch im Paketnamen angegeben.

Offboarding von Geräten mit der aktuellen Verzweigung von Microsoft Configuration Manager

Wenn Sie Microsoft Configuration Manager Current Branch verwenden, siehe Erstellen Sie eine Offboarding-Konfigurationsdatei.

Offboarding von Geräten mit System Center 2012 R2 Konfigurations-Manager

1. Rufen Sie das Offboardingpaket aus dem Microsoft Defender-Portal ab:

   1. Wählen Sie im Navigationsbereich Einstellungen>Endpunkte>Geräteverwaltung>Offboarding aus.
   2. Wählen Sie als Betriebssystem Windows 10 oder Windows 11 aus.
   3. Wählen Sie im Feld Bereitstellungsmethodedie Option System Center Configuration Manager 2012/2012 R2/1511/1602 aus.
   4. Wählen Sie Paket herunterladen aus, und speichern Sie die .zip Datei.

2. Extrahieren Sie den Inhalt der .zip-Datei an einen freigegebenen, schreibgeschützten Speicherort, auf den die Netzwerkadministratoren zugreifen können, die das Paket bereitstellen. Sie sollten über eine Datei namens WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd verfügen.

3. Stellen Sie das Paket bereit, indem Sie die Schritte im Artikel Pakete und Programme in System Center 2012 R2 Konfigurations-Manager ausführen.

   Wählen Sie eine vordefinierte Gerätesammlung aus, in der das Paket bereitgestellt werden soll.

Überwachen der Gerätekonfiguration

Wenn Sie Microsoft Configuration Manager Current Branch verwenden, nutzen Sie das integrierte Microsoft Defender for Endpoint-Dashboard in der Konfigurations-Manager-Konsole. Weitere Informationen finden Sie unter Defender for Endpoint - Monitor.

Wenn Sie System Center 2012 R2 Konfigurations-Manager verwenden, besteht die Überwachung aus zwei Teilen:

1. Vergewissern Sie sich, dass das Konfigurationspaket ordnungsgemäß bereitgestellt wurde und auf den Geräten in Ihrem Netzwerk ausgeführt wird (oder erfolgreich ausgeführt wurde).

2. Überprüfen, ob die Geräte mit dem Defender für Endpunkt-Dienst kompatibel sind (dadurch wird sichergestellt, dass das Gerät den Onboardingprozess abschließen und weiterhin Daten an den Dienst melden kann).

Vergewissern Sie sich, dass das Konfigurationspaket ordnungsgemäß bereitgestellt wurde.

1. Klicken Sie in der Konfigurations-Manager Konsole unten im Navigationsbereich auf Überwachung.

2. Wählen Sie Übersicht und dann Bereitstellungen aus.

3. Wählen Sie die Bereitstellung mit dem Paketnamen aus.

4. Überprüfen Sie die status Indikatoren unter Abschlussstatistiken und Inhaltsstatus.

   Wenn bereitstellungsfehler (Geräte mit dem Status "Fehler", "Anforderungen nicht erfüllt" oder "Fehler") vorliegen, müssen Sie möglicherweise eine Problembehandlung für die Geräte durchführen. Weitere Informationen finden Sie unter Problembehandlung für Probleme beim Onboarding von Microsoft Defender for Endpoint.

   

Überprüfen, ob die Geräte mit dem Microsoft Defender for Endpoint-Dienst kompatibel sind

Sie können eine Konformitätsregel für Konfigurationselemente in System Center 2012 R2 Konfigurations-Manager festlegen, um Ihre Bereitstellung zu überwachen.

Bei dieser Regel sollte es sich um ein Konfigurationselement einer nicht korrigierenden Konformitätsregel handeln, das den Wert eines Registrierungsschlüssels auf den Zielgeräten überwacht.

Überwachen Sie den folgenden Registrierungsschlüsseleintrag:

Path: "HKLM\SOFTWARE\Microsoft\Windows Advanced Threat Protection\Status"
Name: "OnboardingState"
Value: "1"

Weitere Informationen finden Sie unter Einführung in Konformitätseinstellungen in System Center 2012 R2 Konfigurations-Manager.

Verwandte Artikel

• Server in Microsoft Defender for Endpoint integrieren
• Integrieren von Windows- und Mac-Clientgeräten in Microsoft Defender for Endpoint