Entfernen Sie den Microsoft Defender for Identity-Sensor

Entferne den Microsoft Defender for Identity-Sensor, wenn du einen Server deaktivieren, verwaiste oder doppelte Sensoreinträge bereinigen oder Defender für die Identitätsüberwachung auf einem bestimmten Server stoppen musst. Für Sensoren, die ohne Bereitstellung von Microsoft Defender for Endpoint eingebunden wurden, befolgen Sie vor dem Entfernen des Sensoreintrags das spezielle Offboarding-Verfahren.

Nehmen Sie einen Domänencontroller ohne Bereitstellung von Microsoft Defender for Endpoint außer Betrieb

Für einen Domänencontroller, der ohne Defender for Endpoint-Bereitstellung integriert wurde, führen Sie das Offboarding-Paket auf dem Domänencontroller aus, bevor Sie den Sensor aus dem Portal entfernen. Das Entfernen des Portal-Eingangs allein deinstalliert die Sensorkomponente nicht. Der Sensor kann weiterhin Daten senden und reaktivieren.

  1. Wählen Sie auf der Registerkarte Sensorverwaltung der Seite On-premises im Microsoft Defender-Portal unter https://security.microsoft.com/securitysettings/identities den v3.x-Sensor aus, und wählen Sie dann Löschen.

  2. Wählen Sie im Dialogfeld zum Entfernen Offboarding-Paket herunterladen aus.

    Bildschirmaufnahme des Dialogfelds „Sensor entfernen“, wobei die Option „Offboarding-Paket herunterladen“ hervorgehoben ist.

  3. Kopiere das heruntergeladene Offboarding-Paket auf den Domänencontroller.

  4. Öffne PowerShell als Administrator und wechsle in den Ordner, der das Offboarding-Paket enthält.

  5. Führe das Deployment-Tool mit dem vollständigen Pfad zur .offboarding Datei aus:

    .\DefenderDeploymentTool_Offboard.exe -Offboard -File:"C:\Path\WindowsDefenderATP_valid_until_YYYY-MM-DD.offboarding"

    Um das Programm ohne Bestätigungsaufforderungen oder Dialogfelder auszuführen, fügen Sie die optionalen Parameter -Quiet und -YES hinzu.

  6. Nachdem das Offboarding abgeschlossen ist, kehren Sie zum Reiter Sensorverwaltung zurück und entfernen Sie den Sensor.

Löschen eines Sensors

Für den Sensor v3.x

Wichtig

Für einen Sensor, der ohne Defender für die Endpunkt-Bereitstellung eingebaut ist, schließen Sie das Offboarden eines Domänencontrollers ohne Defender für die Endpunkt-Bereitstellung durch, bevor Sie den Sensoreintrag löschen.

Führen Sie die folgenden Schritte aus, um einen v3.x-Sensor aus dem Microsoft Defender-Portal zu löschen:

  1. Im Reiter Sensorverwaltung auf der On-premises-Seite im Microsoft Defender-Portal wählt man unter https://security.microsoft.com/securitysettings/identities, den Domänencontroller aus, auf dem man die Funktionen Defender for Identity deaktivieren möchte.

  2. Wählen Sie Löschen und bestätigen Sie Ihre Auswahl.

    Screenshot des Sensorverwaltungs-Tabs mit der Aktion Löschen für einen ausgewählten Sensor.

Löschen und Deinstallieren eines Sensors v2.x von einem Domänencontroller

Wichtig

Es wird empfohlen, den Sensor vor dem Herabstufen des Domänencontrollers vom Domänencontroller zu entfernen.

Um Sensor v2.x von einem Domänencontroller zu entfernen und dessen Portal-Eintrag zu löschen, folgen Sie diesen Schritten:

  1. Melden Sie sich beim Domänencontroller mit Administratorrechten an.
  2. Wählen Sie im Windows-StartmenüEinstellungen>Systemsteuerung>Programme hinzufügen/entfernen aus.
  3. Wählen Sie die Sensorinstallation aus, wählen Sie Deinstallieren aus und folgen Sie den Anweisungen, um den Sensor zu entfernen.
  4. Öffnen Sie nach Abschluss der Deinstallation das Microsoft Defender Portal.
  5. Wählen Sie auf der Registerkarte Sensorverwaltung auf der Seite On-premises unter https://security.microsoft.com/securitysettings/identities den Domänencontroller aus, und wählen Sie dann Löschen.

Entfernen eines verwaisten Sensors

Ein Sensor kann verwaist sein, wenn ein Domänencontroller gelöscht wurde, ohne zuvor den Sensor zu deinstallieren, und der Sensor wird weiterhin im Microsoft Defender-Portal angezeigt.

  1. Auf der Registerkarte Sensorverwaltung auf der Seite On-premises im Microsoft Defender-Portal unter https://security.microsoft.com/securitysettings/identities suchen Sie den verwaisten Sensor, und wählen Sie Löschen (Papierkorb-Symbol).

    Screenshot der Seite mit den Defender for Identity-Sensoren, auf der die Löschoption für einen verwaisten Sensor angezeigt wird.

Entfernen eines doppelten Sensors

Nach einer direkten Sensoraktualisierung kann ein doppelter Sensoreintrag erscheinen, wodurch der Sensor im Microsoft Defender-Portal zweimal aufgeführt wird.

  1. Im Tab Sensorverwaltung auf der On-premises-Seite im Microsoft Defender-Portal finden Sie unter https://security.microsoft.com/securitysettings/identities, den doppelten Sensor. Es ist der Eintrag mit dem Status Unbekannt .
  2. Am Ende der Reihe wähle Löschen (Mülltonnen-Symbol).

Deinstallieren des Defender for Identity-Sensors im unbeaufsichtigten Modus

Verwenden Sie den folgenden Befehl, um eine automatische Deinstallation des Defender for Identity-Sensors durchzuführen:

Syntax

Der folgende Befehl zeigt die verfügbaren Optionen zum Entfernen des Sensors aus der Befehlszeile, einschließlich optionaler Stummschaltungen und Hilfeoptionen.

"Azure ATP sensor Setup.exe" [/quiet] [/Uninstall] [/Help]

Installationsoptionen

Name Syntax Erforderlich für die unbeaufsichtigte Deinstallation? Beschreibung
Ruhig /quiet Ja Führt das Deinstallationsprogramm aus und zeigt keine Benutzeroberfläche und keine Eingabeaufforderungen an.
Deinstallieren /deinstallieren Ja Führt die unbeaufsichtigte Deinstallation des Defender for Identity-Sensors auf dem Server aus.
Hilfe /Hilfe Nein Bietet Hilfe und Kurzübersicht. Zeigt die korrekte Verwendung des Setupbefehls an, einschließlich einer Liste aller Optionen und Verhaltensweisen.

Beispiele

So deinstallieren Sie den Defender for Identity-Sensor unbeaufsichtigt vom Server:

"Azure ATP sensor Setup.exe" /quiet /uninstall

Verwandte Inhalte

  • Zuletzt aktualisiert um