Habilitación de Defender para la integración de puntos de conexión en Microsoft Defender para la nube

Microsoft Defender para la nube se integra nativamente con Microsoft Defender para Endpoint para ofrecer capacidades de Defender para Endpoint y de Administración de vulnerabilidades de Defender en Defender for Cloud.

• Al habilitar el plan de Defender para servidores en Defender for Cloud, la integración de Defender para punto de conexión está habilitada de forma predeterminada.
• La integración despliega o utiliza una instalación existente de Defender para Endpoint en máquinas compatibles cuando se cumplen los requisitos previos.

Este artículo explica cómo habilitar manualmente Defender para la integración de Endpoint si antes estaba desactivado o si tienes una suscripción heredada que requiere suscripción manual.

Prerequisites

Antes de habilitar Defender para la integración de puntos de conexión, revise estos requisitos.

Validación previa al despliegue

Completa estas comprobaciones antes de habilitar la integración con Defender for Endpoint:

• Confirma que la máquina está encendida y que ejecuta un sistema operativo compatible.
• Para máquinas habilitadas con Azure Arc, confirma que el agente de Azure Connected Machine informa de una conexión sana.
• Confirma que la máquina puede acceder a las URLs de los servicios de Defender para Endpoint. No uses una prueba contra una sola URL como prueba de que todos los endpoints de servicio necesarios son accesibles.
• Confirma que tu proxy no requiere autenticación interactiva de usuario. El sensor Defender for Endpoint se conecta en el contexto del sistema.
• En Linux, confirma que la distribución es compatible, que Python está instalado y que el sistema de archivos que contiene /opt/microsoft/mdatp no está montado con noexec.
• Revisa la Política de Grupo y la configuración antimalware de terceros para confirmar que Microsoft Defender Antivirus y el controlador Early Launch Antimalware (ELAM) no están deshabilitados.

Para una evaluación completa de conectividad y preparación de sensores, ejecuta el Microsoft Defender para punto de conexión Client Analyzer. El analizador prueba los puntos finales del servicio y recopila diagnósticos en el mismo contexto de seguridad que utiliza el sensor.

Recopila información sobre la preparación de Windows

El siguiente script PowerShell de solo lectura recopila información que es comúnmente necesaria cuando investigas un fallo de despliegue. No modifica el servidor ni reemplaza la comprobación del sistema operativo compatible ni el Analizador de Clientes.

$os = Get-CimInstance Win32_OperatingSystem
$disk = Get-CimInstance Win32_LogicalDisk -Filter "DeviceID='$($env:SystemDrive)'"
$himds = Get-Service -Name himds -ErrorAction SilentlyContinue
$senseService = Get-Service -Name Sense -ErrorAction SilentlyContinue
$defenderService = Get-Service -Name WinDefend -ErrorAction SilentlyContinue

[pscustomobject]@{
    ComputerName             = $env:COMPUTERNAME
    OperatingSystem          = $os.Caption
    OSVersion                = $os.Version
    SystemDriveFreeGB        = [math]::Round($disk.FreeSpace / 1GB, 2)
    AzureArcAgent            = if ($himds) { $himds.Status } else { 'Not installed' }
    SenseService             = if ($senseService) { $senseService.Status } else { 'Not present' }
    DefenderAntivirusService = if ($defenderService) { $defenderService.Status } else { 'Not present' }
    PowerShellVersion        = $PSVersionTable.PSVersion.ToString()
}

Interpreta la salida en función de los requisitos de la plataforma enlazada. Un servicio detenido o ausente no es, por sí solo, una prueba de la causa raíz porque el estado esperado del servicio depende del sistema operativo y de la etapa de despliegue.

Recopilar información sobre la preparación de Linux

Ejecuta estos comandos para recopilar los requisitos previos de Linux e información sobre el estado:

cat /etc/os-release
python3 --version
findmnt -no TARGET,OPTIONS /
findmnt -T /opt -o TARGET,OPTIONS
azcmagent show
mdatp health

Si Defender para Endpoint aún no está instalado, el mdatp health comando no está disponible. Valida la distribución y la versión con los requisitos previos de Defender for Endpoint en Linux, y utiliza el Analizador de Cliente tras la instalación para validar la conectividad y recopilar diagnósticos.

Despliegue y verificación por plataforma

Windows Server 2019 y versiones posteriores

• Activa Defender para servidores Plan 1 o Plan 2.
• Verificar que la protección de endpoint esté activada en Configuración del entorno>Protección de endpoint.
• Verifica el estado de la extensión en el portal de Azure: VM>Extensiones>MDE.Windows>El aprovisionamiento tuvo éxito.
• Comprueba la incorporación en el portal de Microsoft Defender: Dispositivos> nombre del servidor.

Windows Server 2016 y Windows Server 2012 R2

• Activa Defender para servidores.
• Mantén el sistema operativo y el antivirus Microsoft Defender completamente actualizados.
• Una vez instalado el agente unificado, asegúrate de que Defender Antivirus Update KB5005292 esté aprobada y aplicada para que el sensor EDR siga recibiendo actualizaciones.
• Verifica la MDE.Windows extensión y el registro del dispositivo en el portal de Microsoft Defender.

Servidores Linux

• Valida la distribución soportada, el requisito de Python, las opciones de montaje del sistema de archivos y la conectividad saliente antes del despliegue.
• Verificar el estado de la extensión en el portal de Azure: VM>Extensiones>MDE.Linux>Aprovisionamiento correcto.
• Corre mdatp health y confirma que healthy y licensed son ciertos.
• Si la instalación falla, sigue Soluciona problemas de instalación para Defender for Endpoint en Linux y aplica una solución para un error similar solo después de confirmar el fallo real en los registros de instalación o extensiones.

Habilitar Defender para la integración de Endpoint en una suscripción

Cuando activas un plan de Defender para servidores, la integración de Defender para Endpoint está habilitada por defecto. Si desactiva la integración en una suscripción, puede volver a activarla manualmente.

Para habilitar la integración con Defender for Endpoint en una suscripción:

1. Inicie sesión en Azure Portal.

2. Vaya a Microsoft Defender para la nube>Configuración del entorno.

3. Selecciona la suscripción que contiene las máquinas en las que quieres desplegar la integración de Defender para Endpoint.

4. Vaya a Configuración y supervisión de>Endpoint Protection.

5. Cambia Estado a Activado.

   

6. Selecciona Continuar.

7. Haga clic en Guardar.

8. El sensor Defender for Endpoint se despliega en equipos Windows y Linux compatibles que cumplen los requisitos previos.

9. Defender for Cloud detecta una instalación existente de Defender for Endpoint y la utiliza cuando el dispositivo está asociado con la misma organización de Defender for Endpoint (tenant). Un dispositivo incorporado a otra organización no se reasigna automáticamente.

Comprobación de la instalación en máquinas Linux

Para comprobar Defender para la instalación del sensor de punto de conexión en una máquina Linux:

1. Ejecute el siguiente comando de shell en cada máquina: mdatp health. Si Microsoft Defender para punto de conexión está instalado, verá su estado de mantenimiento:

   healthy : true

   licensed: true

2. Además, en el portal de Azure, puedes comprobar que las máquinas Linux tienen una nueva extensión de Azure llamada MDE.Linux.

Suscripciones heredadas (creadas antes de la primavera de 2022): Habilitar la solución unificada de Defender para Endpoint en Windows Server 2016/2012 R2

Si activaste Defender para servidores y activaste la integración de Defender para Endpoint en una suscripción que creaste antes de la primavera de 2022, puede que tengas que habilitar manualmente la integración de la solución unificada para máquinas que ejecuten Windows Server 2016 o Windows Server 2012 R2 en la suscripción.

1. Inicie sesión en Azure Portal.

2. Vaya a Microsoft Defender para la nube>Configuración del entorno.

3. Selecciona la suscripción con los equipos Windows en los que deseas que se instale Defender para Endpoint.

   El estado del componente de protección de endpoint es Parcial, lo que significa que no todas las partes del componente están habilitadas.

4. Seleccione Corregir para ver los componentes que no están habilitados.

   

5. Vaya a Componentes> que faltansolución unificada.

6. En Componentes que faltan>Solución unificada, seleccione Habilitar para instalar automáticamente el agente de Defender para punto de conexión en máquinas Windows Server 2012 R2 y 2016 conectadas a Microsoft Defender para la nube.

   

7. Haga clic en Guardar.

8. En Configuración y monitorización, selecciona Continuar.

Defender for Cloud incorpora máquinas existentes y nuevas a Defender para punto de conexión.

Si configuras Defender para Endpoint en la primera suscripción de tu tenant, la incorporación puede tardar hasta 12 horas. Para nuevas máquinas y suscripciones que creas tras habilitar la integración, la incorporación puede durar hasta una hora.

Suscripciones heredadas (creadas antes del verano de 2021): Habilitar en máquinas Linux (plan/integración habilitados)

Si Defender para servidores ya está habilitado y la integración de Defender para punto de conexión está activada en una suscripción que existía antes del verano de 2021, es posible que tenga que habilitar manualmente la integración para máquinas Linux.

1. Inicie sesión en Azure Portal.

2. Vaya a Microsoft Defender para la nube>Configuración del entorno.

3. Selecciona la suscripción con las máquinas Linux para las que quieres recibir Defender para Endpoint.

   El estado del componente de protección de endpoint es Parcial, lo que significa que no todas las partes del componente están habilitadas.

4. Seleccione Corregir para ver los componentes que no están habilitados.

   

5. En Componentes que faltan>Máquinas Linux, seleccione Habilitar.

   

6. Seleccione Guardar para guardar la configuración.

7. En Configuración y monitorización, selecciona Continuar.

   • Defender for Cloud incorpora máquinas Linux a Defender para punto de conexión.
   • Defender for Cloud detecta las instalaciones anteriores de Defender for Endpoint en máquinas Linux y las reconfigura para integrarse con Defender for Cloud.
   • Si configuras Defender para Endpoint en la primera suscripción de tu tenant, la incorporación puede tardar hasta 12 horas. En el caso de las nuevas máquinas creadas una vez habilitada la integración, la incorporación tarda hasta una hora.

8. Para comprobar el sensor de instalación de Defender para punto de conexión en una máquina de Linux, ejecute el siguiente comando de shell en cada máquina.

   mdatp health

   Si Microsoft Defender para punto de conexión está instalado, verá su estado de mantenimiento:

   healthy : true

   licensed: true

9. En Azure Portal, puede comprobar que las máquinas Linux tienen una nueva extensión de Azure denominada MDE.Linux.

Habilitación de la integración con PowerShell en varias suscripciones

Para habilitar la integración de Defender for Servers en equipos Linux o Windows Server 2012 R2 y 2016 con la solución unificada de Microsoft Defender para punto de conexión (MDE) en varias suscripciones, utiliza uno de los scripts de PowerShell del repositorio de GitHub de Defender for Cloud.

• Use el script Enable MDE unified solution script para habilitar la integración con la solución unificada moderna de Defender for Endpoint en Windows Server 2012 R2 o Windows Server 2016.
• Use el script Enable MDE integration for Linux script para habilitar la integración de Defender for Endpoint en máquinas Linux.

Administración de las actualizaciones automáticas para Linux

En Windows, las actualizaciones de versión de Defender para Endpoint se proporcionan mediante actualizaciones continuas de la base de conocimientos. En Linux, debe actualizar el paquete de Defender para punto de conexión.

• Cuando usa Defender para servidores con la extensión MDE.Linux, las actualizaciones automáticas de Microsoft Defender para punto de conexión están habilitadas de forma predeterminada.

• Si quiere administrar manualmente las actualizaciones de la versión, puede deshabilitar las actualizaciones automáticas en las máquinas. Para ello, agregue la siguiente etiqueta para las máquinas incorporadas con la extensión MDE.Linux.

  • Nombre de etiqueta:ExcludeMdeAutoUpdate
  • Valor de etiqueta: true

Esta configuración es compatible con máquinas virtuales de Azure y máquinas de Azure Arc, donde la extensión inicia la MDE.Linux actualización automática.

Habilitación de la integración a escala

Puede habilitar la integración del Defender para punto de conexión a gran escala a través de la API REST (versión 2022-05-01) proporcionada. Para obtener más información, consulte la documentación de la API.

El siguiente ejemplo muestra el cuerpo de la solicitud PUT que permite la integración de Defender para Endpoint. Esta Microsoft.Security/settings configuración del recurso establece la opción WDATP como habilitada, lo que activa la integración de Defender for Endpoint mediante programación para la suscripción especificada.

Identificador URI: https://management.azure.com/subscriptions/<subscriptionId>/providers/Microsoft.Security/settings/WDATP?api-version=2022-05-01

{
    "name": "WDATP",
    "type": "Microsoft.Security/settings",
    "kind": "DataExportSettings",
    "properties": {
        "enabled": true
    }
}

Solucionar problemas de implementación de la extensión

Utiliza la siguiente secuencia en lugar de intentar de nuevo el despliegue sin antes identificar la etapa de fallo.

Diagnósticos de Windows

• Portal Azure: VM>Extensiones>MDE.Windows>Ver estado detallado
• Visor de eventos: Registros de aplicaciones y servicios>>>
• Registros de extensión: C:\WindowsAzure\Logs\Plugins\Microsoft.Azure.AzureDefenderForServers.MDE.Windows
• Ejecuta el Defender for Endpoint Client Analyzer en Windows.
• Para errores de incorporación y de sensores, consulta Solucionar problemas de incorporación de Defender for Endpoint.

Diagnósticos de Linux

• Azure Portal: VM>Extensiones>MDE.Linux>Ver estado detallado

• Registros de extensión: /var/log/azure/Microsoft.Azure.AzureDefenderForServers.MDE.Linux/

• Registro de instalación: /var/log/microsoft/mdatp/install.log

• Registro de instalación: sudo journalctl --no-pager | grep 'microsoft-mdatp'

• Salud del sensor: mdatp health

• Si la máquina está habilitada para Azure Arc:azcmagent show

• Paquete diagnóstico: sudo mdatp diagnostic create

• Siga Solucionar problemas de instalación de Defender para Endpoint en Linux para resolver problemas relacionados con dependencias, cuentas de servicio, systemd, SELinux y noexec.

Seguimiento del estado de la implementación de Microsoft Defender para punto de conexión

Puede usar el libro de estado de implementación de Defender para punto de conexión para realizar un seguimiento del estado de implementación de Defender para punto de conexión en las máquinas virtuales de Azure y las máquinas virtuales habilitadas para Azure Arc. El libro de trabajo interactivo ofrece una visión general de las máquinas en tu entorno mostrando el estado de despliegue de la extensión de Defender para Endpoint.

Acceso al portal de Microsoft Defender

Para acceder al portal de Microsoft Defender desde Defender for Cloud, siga estos pasos:

1. Asegúrate de tener los permisos adecuados para acceder al portal.

2. Comprueba si tienes un proxy o cortafuegos que bloquee el tráfico anónimo.

   • El sensor Defender for Endpoint se conecta desde el contexto del sistema, así que debes permitir tráfico anónimo.
   • Para garantizar el acceso sin restricciones al portal de Microsoft Defender, habilite el acceso a las direcciones URL del servicio en el servidor proxy.

3. Abra el portal de Microsoft Defender. Obtenga información sobre incidentes y alertas en el portal de Microsoft Defender.

Ejecutar una prueba de detección

Para realizar una prueba de detección, consulte la prueba de detección EDR para verificar los servicios de incorporación e informe del dispositivo.

Eliminación de Defender para punto de conexión de una máquina

Para quitar la solución Defender para punto de conexión de las máquinas:

1. Inicie sesión en Azure Portal.

2. Ve a Microsoft Defender para la nube> y selecciona la suscripción correspondiente.

3. Vaya a Configuración y supervisión de>Endpoint Protection.

4. Cambie Protección de puntos de conexión a Desactivado.

5. Selecciona Continuar.

6. Haga clic en Guardar.

7. Quite la MDE.Windows o MDE.Linux extensión de la máquina.

8. Desactive el dispositivo desde el servicio Microsoft Defender para punto de conexión.

Eliminación de etiquetas de integración de Defender para punto de conexión

Cuando integras un dispositivo Windows a través de Defender for Cloud, Defender for Endpoint crea valores de registro relacionados con Defender for Cloud. Estas etiquetas del registro del sistema permanecen en el dispositivo después de la desactivación del dispositivo y no afectan a la funcionalidad.

Para quitar estas etiquetas por completo, siga estos pasos. En Linux, el sistema almacena esta información internamente y no la muestra en el registro.

1. Selecciona Iniciar, introduce regedit y selecciona Enter para abrir el Editor del Registro.

2. En el panel izquierdo, vaya a:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Advanced Threat Protection\DeviceTags

3. Elimine estos nombres de valor si existen:

   • AzureResourceId
   • SecurityWorkspaceId
   • SecurityAgentId

Pasos siguientes