Incorporar dispositivos Windows a Microsoft Defender para punto de conexión con Directiva de Grupo

  • Se aplica a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Puedes usar la Política de Grupo de Active Directory Domain Services (AD DS) para incorporar dispositivos cliente de Windows compatibles y Windows Server a Microsoft Defender para punto de conexión a gran escala. Este artículo explica cómo desplegar el paquete de incorporación, configurar la recogida de muestras, verificar el despliegue y desconectar de dispositivos. Antes de comenzar, revisa los requisitos previos de despliegue y confirma que la Política de Grupo es el método de despliegue adecuado para tu entorno.

Nota:

La herramienta de implementación de Defender se puede usar para implementar la seguridad del punto de conexión de Defender en dispositivos Windows y Linux. La herramienta es una aplicación ligera y de actualización automática que simplifica el proceso de implementación. Para obtener más información, vea Implementar Microsoft Defender seguridad del punto de conexión en dispositivos Windows mediante la herramienta de implementación de Defender e Implementar Microsoft Defender seguridad del punto de conexión en dispositivos Linux mediante la herramienta de implementación de Defender (versión preliminar).

Requisitos previos

Para comparar la Directiva de Grupo con otras opciones de despliegue, consulte Identificar Defender para la arquitectura y métodos de despliegue de Endpoint.

Incorpora dispositivos mediante la Política de grupo

Descarga el paquete de incorporación, crea una tarea programada inmediata y despliega la tarea en los dispositivos Windows que quieras incorporar.

  1. En la página de Incorporación del portal de Microsoft Defender en https://security.microsoft.com/securitysettings/endpoints/onboarding, configura el paquete:

    1. Paso 1: Seleccione un sistema operativo para iniciar el despliegue: Seleccione el grupo de versiones del sistema operativo para los dispositivos objetivo. No selecciones Windows, que inicia el flujo de trabajo separado de la herramienta de despliegue de Defender.
    2. Si el tipo de conectividad está disponible, selecciona el método de conectividad de tu entorno.
    3. Para el método de despliegue, selecciona Política de grupo.
    4. Seleccione Descargar el paquete de incorporación

  2. Extrae el archivo descargado .zip a una ubicación compartida y de solo lectura a la que puedan acceder los dispositivos objetivo. El paquete extraído contiene el WindowsDefenderATPOnboardingScript.cmd archivo.

  3. Abre el GPMC, haz clic derecho en Objetos de Directiva de Grupo y selecciona Nuevo. Introduce un nombre para la GPO y luego selecciona OK.

  4. Haz clic derecho en la nueva GPO y selecciona Editar.

  5. En el Editor de administración de directivas de grupo, ve a Configuración del equipo>Preferencias>Configuración del Panel de control.

  6. Haz clic derecho en Tareas programadas, selecciona Nuevo y luego selecciona Tarea Inmediata (al menos Windows 7).

  7. En la pestaña General , configura la tarea:

    1. En opciones de seguridad, selecciona Cambiar usuario o grupo.
    2. Escriba SYSTEM, seleccione Comprobar nombres y, a continuación, seleccione OK. La cuenta aparece como NT AUTHORITY\SYSTEM.
    3. Seleccione Ejecutar si el usuario ha iniciado sesión o no.
    4. Seleccione Ejecutar con privilegios más altos.
    5. Introduce un nombre descriptivo de tarea, como Defender for Endpoint onboarding.

    Nota:

    En Windows Server 2019 y posteriores, si la preferencia de política de grupo XML contiene NT AUTHORITY\Well-Known-System-Account, sustituye ese valor por NT AUTHORITY\SYSTEM.

  8. En la pestaña de Acciones, selecciona Nuevo y configura la acción:

    1. Para Acción, selecciona Iniciar un programa.
    2. Para programa/script, introduce la ruta de Convención Universal de Nombres (UNC) hacia el archivo compartido WindowsDefenderATPOnboardingScript.cmd . Utiliza el nombre de dominio totalmente calificado (FQDN) del servidor de archivos en la ruta.
    3. Selecciona Aceptar.

  9. Selecciona Aceptar y cierra el Editor de Gestión de Políticas de Grupo.

  10. En GPMC, vincule la GPO al sitio, dominio o OU que contiene los dispositivos de destino. Prueba la GPO con un grupo limitado de dispositivos antes de desplegarla de forma general.

Para información sobre cómo vincular y validar GPOs, consulte Consola de Gestión de Políticas de Grupo.

Configurar la recogida de muestras

Defender for Endpoint puede recopilar archivos de dispositivos integrados cuando un analista solicita un archivo para un análisis profundo. Configura la política de recogida de muestras para controlar si los dispositivos pueden responder a estas solicitudes.

  1. En el dispositivo donde gestionas la Directiva de Grupo, copia los archivos de plantilla administrativa de Defender for Endpoint del paquete de incorporación extraído:

    • Para una carpeta local de Definiciones de Políticas:
      • Copie AtpConfiguration.admx en C:\Windows\PolicyDefinitions.
      • Copia AtpConfiguration.adml a la carpeta del idioma correspondiente, como C:\Windows\PolicyDefinitions\en-US.
    • Para una tienda central:
      • Copie AtpConfiguration.admx en \\<forest-root>\SYSVOL\<forest-root>\Policies\PolicyDefinitions.
      • Copia AtpConfiguration.adml a la carpeta del idioma correspondiente, como \\<forest-root>\SYSVOL\<forest-root>\Policies\PolicyDefinitions\en-US.

  2. En el GPMC, haz clic con el botón derecho en la GPO que usas para la configuración de Microsoft Defender for Endpoint y selecciona Editar.

  3. En el Editor de Gestión de Políticas de Grupo, ve aPolíticas>de Configuración de Ordenadores>Plantillas Administrativas>Windows Componentes>Windows Defender ATP.

    Nota:

    Windows Defender ATP es el nombre heredado que aparece en esta plantilla administrativa.

  4. Abre Habilitar o desactiva la colección de muestras, selecciona Habilitada, selecciona Habilitar la colección de muestras en las máquinas y luego selecciona OK.

Si no configuras esta política, la recogida de muestras está habilitada por defecto.

La incorporación conecta dispositivos a Defender para Endpoint, pero no configura Microsoft Defender Antivirus ni otras funciones de protección de endpoint. Utiliza la misma GPO o GPOs separadas para configurar los controles de seguridad requeridos por tu organización.

Actualización de la configuración de Endpoint Protection

En Microsoft Defender plataforma Antivirus versión 4.18.2208.0 y posteriores, la política de Desactivar Windows Defender ya no desactiva completamente Defender Antivirus en dispositivos integrados que ejecuten Windows Server 2012 R2 y posteriores. En su lugar, la política coloca a Defender Antivirus en modo pasivo. Si la política ya está activada antes de que te conectes al servidor, Defender Antivirus sigue desactivado. Este comportamiento solo se aplica a servidores integrados en Defender para Endpoint.

Si usas una solución antivirus que no sea de Microsoft, revisa la compatibilidad con Microsoft Defender Antivirus antes de configurar el modo antivirus. De lo contrario, en el Editor de administración de directivas de grupo, vaya a Configuración del equipo>Directivas>Plantillas administrativas>Componentes de Windows>Microsoft Defender Antivirus y establezca Desactivar Microsoft Defender Antivirus en Deshabilitada o No configurada. Para el modo de Windows Server y la guía sobre ForceDefenderPassiveMode, consulta Configurar Microsoft Defender Antivirus en Windows Server.

Configura y prueba las siguientes protecciones según los requisitos de tu organización:

Verificar la incorporación del dispositivo

La Directiva de grupo no notifica el estado de implementación a Defender for Endpoint. Utiliza los resultados de la política de grupo para confirmar que la GPO se aplicó y luego verifica el dispositivo en el portal de Defender.

  1. En la página de inventario de dispositivos en el portal de Microsoft Defender en https://security.microsoft.com/machines?category=all-devices, busca el dispositivo.

  2. Abre la página del dispositivo y verifica que el dispositivo está integrado y que el estado de salud del sensor está activo.

Una vez aplicada la GPO y ejecutada la tarea programada, el dispositivo suele aparecer en el inventario en pocos minutos. La replicación de políticas de grupo, la actualización de políticas y la conectividad de red pueden retrasar la información.

Para generar una alerta de prueba y confirmar el informe de extremo a extremo, consulte Ejecutar una prueba de detección en un dispositivo recién incorporado. Si el dispositivo no aparece o no se comunica como se esperaba, consulta Solución de problemas de incorporación de Microsoft Defender para punto de conexión.

Exclusión de dispositivos mediante la Política de grupo

El paquete de desconexión expira siete días después de descargarlo. Defender for Endpoint rechaza los paquetes caducados y la fecha de caducidad aparece en el nombre del archivo del paquete.

Importante

No implemente las políticas de incorporación y desvinculación en el mismo dispositivo al mismo tiempo. Elimina o desvincula la Política de grupo de incorporación de los dispositivos de destino antes de implementar la Política de grupo de baja.

Para desincorporar dispositivos mediante la Directiva de grupo, crea un GPO independiente para la tarea de desincorporación:

  1. En la página Desvinculación del portal de Microsoft Defender, en https://security.microsoft.com/securitysettings/endpoints/offboarding, configura el paquete:

    1. Selecciona el grupo de versiones del sistema operativo para los dispositivos objetivo. No selecciones Windows, que inicia el flujo de trabajo separado de la herramienta de despliegue de Defender.
    2. Para el método de despliegue, selecciona Política de grupo.
    3. Selecciona Descargar paquete y luego selecciona Descargar en el cuadro de confirmación.

  2. Extrae el archivo descargado .zip a una ubicación compartida y de solo lectura a la que puedan acceder los dispositivos objetivo. El paquete extraído contiene un archivo llamado WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd.

  3. En el GPMC, crea una GPO para la salida y edita la GPO.

  4. En el Editor de administración de directivas de grupo, ve a Configuración del equipo>Preferencias>Configuración del Panel de control.

  5. Haz clic derecho en Tareas programadas, selecciona Nuevo y luego selecciona Tarea Inmediata (al menos Windows 7).

  6. En la pestaña General , configura la tarea para:

    • Ejecuta como NT AUTHORITY\SYSTEM.
    • Ejecuta tanto si el usuario está conectado como si no.
    • Corre con los máximos privilegios.
    • Utiliza un nombre descriptivo, como Defender for Endpoint offboarding.

  7. En la pestaña de Acciones, selecciona Nuevo y configura la acción:

    1. Para Acción, selecciona Iniciar un programa.
    2. Para Program/script, introduce la ruta UNC hacia el archivo compartido WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd . Usa el FQDN del servidor de archivos en la ruta.
    3. Selecciona Aceptar.

  8. Selecciona OK, cierra el Editor de Gestión de Políticas de Grupo y vincula la GPO de baja al sitio, dominio o unidad organizativa (OU) de destino.

La desconexión impide que el dispositivo envíe nuevos datos de detección, vulnerabilidad y seguridad a Defender for Endpoint. Los datos históricos permanecen en el portal de Defender hasta que expira el período de retención configurado. El perfil del dispositivo, sin datos, permanece en el inventario del dispositivo hasta 180 días. Para más información, véase Dispositivos fuera de bordo.

Contenido relacionado

  • Se actualizó por última vez el