Desincorporar dispositivos de Microsoft Defender para punto de conexión

Al desconectar un dispositivo de Defender para punto de conexión, no se envían nuevas detecciones, vulnerabilidades o datos de seguridad al portal de Microsoft Defender. Siete días después de desconectar un dispositivo, su estado cambia a inactivo. Los dispositivos que no estaban activos en los últimos 30 días no se tienen en cuenta en la puntuación de exposición de la organización.

Los datos históricos, como las alertas, las vulnerabilidades y la cronología del dispositivo, de un dispositivo dado de baja se muestran en el portal de Microsoft Defender hasta que expire el período de retención configurado. También verá el perfil de dispositivo (sin datos) en el inventario de dispositivos durante un máximo de 180 días. Para ver solo los datos de los dispositivos activos, puede usar filtros, como el estado de mantenimiento del sensor, las etiquetas de dispositivo o los grupos de dispositivos.

Requisitos previos

El offboarding se soporta en dispositivos que ejecutan los siguientes sistemas operativos:

• Sistemas operativos cliente Windows
• Windows Server 2012 R2 y versiones posteriores
• Linux (cliente y servidor)
• macOS
• Android e iOS
• Sistema operativo Azure Stack HCI, versión 23H2 y versiones posteriores

Retirar dispositivos cliente

Retirar dispositivos cliente de Windows

Navega al portal de Microsoft Defender, en el panel de navegación, selecciona Configuración>Desincorporar y luego selecciona un sistema operativo para iniciar el proceso de desactivación.

También puede usar otros métodos, como:

• Retirar dispositivos mediante un script local
• Dispositivos fuera del panel que usan directiva de grupo
• Dar de baja dispositivos con herramientas de administración de dispositivos móviles
• Dispositivos externos usando la API

Retirar dispositivos cliente Linux

Para obtener información sobre la desvinculación y la desinstalación de Microsoft Defender para punto de conexión en clientes Linux, consulte Offboard Microsoft Defender para punto de conexión on Linux.

Retirar dispositivos MacOS

En el siguiente procedimiento, los pasos 1 y 2 son opcionales si no quieres que estos dispositivos aparezcan como retirados en el "Inventario de dispositivos" durante 180 días.

1. Cree una etiqueta de dispositivo y asigne un nombre a la etiqueta decommissioned. Asigne la etiqueta a los dispositivos Mac que desea retirar de Defender for Endpoint.

2. Cree un grupo de dispositivos y asígnele un nombre similar a . Decommissioned Mac Asigne esta etiqueta a un grupo de usuarios adecuado.

3. Quite las directivas de Protección contra alteraciones. Consulta Establecer preferencias en Mac: Protección contra manipulaciones, o desactiva la protección usando una configuración local.

4. En el portal de Microsoft Defender, vaya a Sistema>Configuración>Puntos de conexión>Administración de dispositivos>Desincorporación. Seleccione macOS en el paso 1, elija el método de implementación preferido y seleccione Descargar paquete para descargar el paquete de retirada.

   O bien, si usa una solución de administración de dispositivos que no es de Microsoft, deshabilite la integración con Defender para punto de conexión.

5. Desinstale la aplicación Defender para punto de conexión en dispositivos Mac.

6. Quite los dispositivos Mac del grupo de políticas de extensiones del sistema si se utilizó una solución MDM para configurarlas.

Dispositivos Android o iOS fuera del panel

Para desconectar un dispositivo Android o iOS, desinstale la aplicación Microsoft Defender en el dispositivo.

Retirar servidores en la nube y locales

Retire un entorno de Azure en un solo paso desactivando Defender para servidores para la suscripción. Los servidores elegibles se retiran automáticamente, sin ejecutar un paquete de offboarding en cada servidor. Para dar de baja solo los servidores seleccionados, usa la baja manual.

Elige un proceso de baja

Elige un camino según si quieres retirar servidores en una suscripción de Azure o solo los servidores seleccionados.

Prepararse para la retirada del servidor

1. Registrar los servidores afectados, la cobertura existente y las políticas de despliegue.
2. Revisa las investigaciones abiertas, las necesidades de retención de pruebas y cualquier plan para volver a integrar el servidor o reinstalar el software del endpoint.
3. Elimina las asignaciones de incorporación en conflicto para que las herramientas de despliegue no reviertan el cambio.
4. Para la incorporación directa, revisa quién está afectado antes de cambiar una configuración compartida.

Retirar servidores de una suscripción de Azure

Para retirar un entorno Azure, desactiva Defender for Servers para su suscripción en el portal de Azure. Esto da de baja automáticamente los servidores aptos de Defender para Endpoint. No hace falta ejecutar un paquete de offboarding en cada servidor.

• Usa la configuración de plan Defender for Servers de la suscripción, no la eliminación del conector de entorno de Azure.
• Cambiar de Plan 2 a Plan 1 o mover un servidor entre suscripciones no activa la desincorporación automática.

Para empezar a dar de baja y verificar el resultado:

1. En Microsoft Defender para la nube en el portal de Azure, identifica la suscripción donde quieres desactivar Defender para servidores.
2. Desactiva el plan usando el procedimiento de cambio de plan. Esta es la única acción necesaria para iniciar el offboarding. El software se encarga automáticamente de la validación de la intención, la eliminación de la extensión MDE y la baja de los puntos de conexión.
3. Permite que el procesamiento se complete y luego verifica cada resultado. El offboarding puede durar hasta una hora para suscripciones grandes. Si las máquinas están apagadas, el software lo intenta más tarde.

Utiliza el control del plan de la suscripción para iniciar la baja, no la eliminación de la conexión con el entorno de Azure.

La desvinculación automática desconecta el endpoint de su organización actual en Defender for Endpoint y detiene los informes de EDR a esa organización. No desinstala el software del endpoint ni elimina los registros históricos del dispositivo. La mera presencia del software o de un registro no indica un fallo, y la configuración del plan por sí sola no confirma que la baja se haya completado. No es necesario dar de baja o desinstalar manualmente el endpoint como parte del flujo automático.

Retirar servidores individuales

Utiliza la desincorporación manual para evitar que los servidores seleccionados informen a Defender for Endpoint. Sigue el método que aparece a continuación para tu sistema operativo y herramienta de gestión.

Descargar un paquete de salida (si es necesario)

Navega al portal de Microsoft Defender, en el panel de navegación, selecciona Configuración>Seguridad en la nube>Seguridad del servidor - Incorporar y gestionar>Administrar la desactivación, y luego selecciona un sistema operativo para iniciar el proceso de desactivación.

Descarga un paquete actual para el tenant correcto, comprueba su caducidad y guárdalo de forma segura. Los formatos de los paquetes y los periodos de validez varían según el método.

Para el offboard de scripts locales o Administrador de configuración, selecciona el grupo de versiones de Windows especificado en las instrucciones de ese método. La opción genérica Windows abre el flujo de trabajo separado de la herramienta de despliegue de Defender, no el flujo de trabajo específico del paquete de la versión.

Elige un método para tu sistema operativo y herramienta de gestión. Descarga un paquete de offboarding solo si el procedimiento seleccionado lo requiere.

Validar la retirada del servidor

Registros históricos y conservación

Los datos anteriores de endpoints pueden permanecer visibles bajo la política de retención configurada. Un registro de dispositivo retenido no prueba que la protección o la generación de informes sigan activas. Consulta la retención de datos.

Contenido relacionado

• Quitar o desinstalar Microsoft Defender para punto de conexión en Linux