Incorporar servidores a Microsoft Defender

Utiliza esta guía para preparar y poner en marcha nuevos servidores. Defender for Endpoint puede ayudar a proteger los servidores de tu organización con capacidades que incluyen gestión de postura, protección contra amenazas, detección y respuesta de endpoints, e integración con Defender for Servers.

Para servidores que ya ejecutan Defender for Endpoint, véase Despliegues existentes. Esos servidores no requieren integración, reinstalación ni migración para mantener la protección existente de Defender for Endpoint.

Elegir un método de implementación

Prerequisites

• Cumpla con los requisitos mínimos de Defender para endpoint y los requisitos de conectividad.
• Antes del despliegue automático o manual, revisa los requisitos de coexistencia antivirus y de modo pasivo de Windows Server si hay instalada otra aplicación antivirus.
• Confirma los permisos requeridos por tu método de despliegue.
• Identificar agentes existentes y políticas de despliegue para evitar asignaciones en conflicto.

Prepara el despliegue

• Registra los servidores objetivo, sistemas operativos, propietarios responsables y las características de protección requeridas.
• Acordad una ventana de cambio y el método para retirar o reinstalar el software del endpoint si es necesario.
• Para métodos que permitan una prueba piloto, empieza con servidores representativos. Amplía después de completar las comprobaciones de incorporación y comprobaciones de acceso.

Antes de elegir la incorporación directa, revisa su ámbito de todo el inquilino. No puedes limitar la incorporación directa a un grupo piloto.

Planes de servidor

Para incorporar servidores a Defender para punto de conexión, se requieren licencias de servidor . Puede elegir entre estas opciones:

• Microsoft Defender para el plan 1 de servidores o el plan 2 (como parte de la oferta de Defender for Cloud)
• Microsoft Defender para punto de conexión para servidores
• Microsoft Defender para Servidores Empresariales (solo para pequeñas y medianas empresas)

Integración con Microsoft Defender para servidores

Defender para punto de conexión se integra perfectamente con Defender para servidores (en Defender for Cloud). Si su suscripción incluye el plan 1 o el plan 2 de Defender para servidores, puede hacer lo siguiente:

• Incorporación automática de servidores
• Haga que los servidores supervisados por Defender for Cloud aparezcan en el portal de Microsoft Defender, en el inventario de dispositivos.
• Realizar investigaciones detalladas como cliente de Defender for Cloud

Estas son algunas cosas que debe tener en cuenta:

• Cuando se usa Defender for Cloud para supervisar servidores, se crea automáticamente un inquilino de Defender para punto de conexión. Los datos recopilados por Defender for Endpoint se almacenan en la ubicación geográfica del tenant, identificada durante el aprovisionamiento.
• Si usa Defender for Endpoint antes de usar Defender for Cloud, sus datos se almacenan en la ubicación que especificó cuando creó el inquilino, incluso si se integra con Defender for Cloud posteriormente.
• Una vez configurado, no puede cambiar la ubicación de donde se almacenan los datos. Para mover sus datos a otra ubicación, póngase en contacto con soporte para restablecer su tenant.
• La supervisión de endpoints de servidor mediante esta integración no está disponible actualmente para los clientes de Office 365 GCC.
• Linux servidores incorporados a través de Defender for Cloud tienen su configuración inicial establecida para ejecutar Microsoft Defender Antivirus en modo pasivo. Para obtener información sobre cómo implementar Defender para punto de conexión en Linux servidor, comience con los requisitos previos para Microsoft Defender para punto de conexión en Linux.

Para obtener más información, consulte Proteja los puntos de conexión mediante la integración de Defender for Endpoint en Defender for Cloud.

Incorporar automáticamente

1. Activa Defender para Servidores en la suscripción que contiene la VM de Azure o el recurso de Azure Arc.
2. Revisa la configuración de integración y los requisitos previos de Defender for Endpoint.
3. Permite que el despliegue se complete y luego realiza las comprobaciones de incorporación inicial.

Información importante para soluciones antivirus o antimalware que no son de Microsoft

Si tiene previsto usar una solución antimalware que no sea de Microsoft, debe ejecutar Microsoft Defender Antivirus en modo pasivo. Asegúrese de establecer el modo pasivo durante el proceso de instalación e incorporación. Para obtener más información, consulte Windows Server y modo pasivo.

Implementa Defender para Endpoint manualmente

Elige el método de despliegue que se adapte a tu servidor y a tu enfoque de gestión. Sigue el procedimiento enlazado en la siguiente tabla para completar el despliegue, incluyendo la descarga de cualquier paquete de instalación o de incorporación necesario.

Incorporar Windows Server, versión 1803, Windows Server 2019 y posteriores, y Azure Stack HCI OS

1. Revisa los requisitos mínimos para Defender para Endpoint.
2. Utiliza Elegir un método de implementación para seleccionar el método de incorporación inicial adecuado para tu servidor.
3. Si despliegas Defender para Endpoint manualmente, sigue Implementar Defender para Endpoint manualmente para el método seleccionado.
4. Completar las comprobaciones de configuración inicial después del despliegue.

Incorporación de Windows Server 2016 y Windows Server 2012 R2

1. Revisa los requisitos mínimos para Defender for Endpoint y los requisitos previos para Windows Server 2016 y Windows Server 2012 R2.
2. Utiliza Elegir un método de implementación para seleccionar el método de incorporación inicial adecuado para tu servidor.
3. Si despliegas Defender para Endpoint manualmente, sigue Implementar Defender para Endpoint manualmente para el método seleccionado.
4. Completar las comprobaciones de configuración inicial después del despliegue.

Si estás migrando desde la anterior solución basada en Microsoft Monitoring Agent (MMA), consulta Migrar servidores de Microsoft Monitoring Agent a la solución unificada moderna.

Requisitos previos para Windows Server 2016 y 2012 R2

• Se recomienda instalar en el servidor la actualización de pila de mantenimiento (SSU) más reciente disponible y la actualización acumulativa más reciente (LCU).
• Debe instalarse el SSU de fecha 14 de septiembre de 2021 o posterior.
• Debe instalarse el LCU de fecha 20 de septiembre de 2018 o posterior.
• Habilite la característica Microsoft Defender Antivirus y asegúrese de que está actualizada. Para obtener más información sobre cómo habilitar Antivirus de Defender en Windows Server, vea Volver a habilitar Antivirus de Defender en Windows Server si se ha deshabilitado y Volver a habilitar Antivirus de Defender en Windows Server si se ha desinstalado.
• Descargue e instale la versión más reciente de la plataforma mediante Windows Update. Como alternativa, descargue el paquete de actualización manualmente desde el catálogo de Microsoft Update o desde MMPC.
• En Windows Server 2016, Microsoft Defender Antivirus debe instalarse como una característica y actualizarse completamente antes de la instalación.

Actualizar paquetes para Windows Server 2016 o Windows Server 2012 R2

Para recibir mejoras y correcciones periódicas del producto para el componente Defender for Endpoint, asegúrese de que se aplique o apruebe Windows Update KB5005292. Además, para mantener actualizados los componentes de protección, consulte Administrar las actualizaciones de Microsoft Defender Antivirus y aplicar líneas base.

Si usa Windows Server Update Services (WSUS) o Microsoft Configuration Manager, esta nueva "actualización de Microsoft Defender para punto de conexión para el sensor EDR" está disponible en la categoría " Microsoft Defender para punto de conexión."

Funcionalidad en la solución unificada moderna para Windows Server 2016 y Windows Server 2012 R2

La implementación anterior (antes de abril de 2022) de la incorporación de Windows Server 2016 y Windows Server 2012 R2 requería el uso de Microsoft Monitoring Agent (MMA). El paquete de solución unificado y moderno facilita la incorporación de servidores mediante la eliminación de dependencias y los pasos de instalación. También proporciona un conjunto de características mucho más expandido. Para obtener más información, consulte los recursos siguientes:

• Escenarios de migración de servidores desde la anterior solución de Microsoft Defender para endpoint basada en MMA
• Blog de la comunidad tecnológica: Protección de Windows Server 2012 R2 y 2016

En función del servidor que va a incorporar, la solución unificada instala Defender for Endpoint y/o el sensor EDR en el servidor. En la tabla siguiente se indica qué componente está instalado y qué está integrado de forma predeterminada.

Versión del servidor	Antivirus de Microsoft Defender	Sensor EDR
Windows Server 2012 R2
Windows Server 2016	Integrado
Windows Server 2019 y versiones posteriores	Integrado	Integrado

Problemas conocidos y limitaciones en la solución unificada moderna

Los puntos siguientes se aplican a Windows Server 2016 y Windows Server 2012 R2:

• Descargue siempre el paquete del instalador más reciente del portal de Microsoft Defender (https://security.microsoft.com) antes de realizar una nueva instalación y asegúrese de que se cumplen los requisitos previos. Después de la instalación, asegúrese de actualizar periódicamente mediante las actualizaciones de componentes descritas en la sección Actualizar paquetes para Defender para punto de conexión en Windows Server 2012 R2 y 2016.

• Una actualización del sistema operativo puede presentar un problema de instalación en máquinas con discos más lentos debido a un tiempo de espera con la instalación del servicio. Se produce un error en la instalación con el mensaje Couldn't find c:\program files\windows defender\mpasdesc.dll, - 310 WinDefend. Utilice el paquete de instalación más reciente y la versión más reciente del script install.ps1 para ayudar a resolver la instalación fallida, si es necesario.

• La interfaz de usuario en Windows Server 2016 y Windows Server 2012 R2 solo permite operaciones básicas. Para realizar operaciones en un dispositivo localmente, consulte Administración de Defender para punto de conexión con PowerShell, WMI y MPCmdRun.exe. Como resultado, es posible que las características que dependen específicamente de la interacción del usuario, como dónde se solicita al usuario que tome una decisión o realice una tarea específica, no funcionen según lo esperado. Se recomienda deshabilitar o no habilitar la interfaz de usuario ni requerir la interacción del usuario en cualquier servidor administrado, ya que puede afectar a la funcionalidad de protección.

• No todas las reglas de reducción de superficie expuesta a ataques se aplican a todos los sistemas operativos. Consulta Reglas de reducción de superficie expuesta a ataques.

• Las actualizaciones del sistema operativo se admiten en Windows 10 y 11, y Windows Server 2019 o posterior. Estas versiones incluyen los componentes necesarios de Defender for Endpoint. Para Windows Server 2016 y versiones anteriores, debe desconectarse de Defender para punto de conexión y desinstalar Defender para punto de conexión antes de actualizar el sistema operativo.

• Para implementar e incorporar automáticamente la nueva solución mediante Microsoft Configuration Manager, debe estar en la versión 2207 o posterior. Aún se puede configurar e implementar utilizando la versión 2107 con el paquete acumulativo de revisiones, pero esto requiere pasos de implementación adicionales. Consulte Microsoft Configuration Manager escenarios de migración para obtener más información.

Incorporación de servidores Linux

Para incorporar servidores que ejecutan Linux, siga estos pasos:

1. Asegúrese de consultar los requisitos previos de Microsoft Defender para punto de conexión en Linux.

2. Elija un método de implementación. En función de su entorno en particular, puede elegir entre varias opciones:

   • Implementación basada en script del instalador
   • Implementación basada en Ansible
   • Implementación basada en Chef
   • Implementación basada en Puppet
   • Implementación basada en Saltstack
   • Implementación manual (usa un script local)
   • Incorporación directa con Defender for Cloud
   • Conecte las máquinas que no son de Azure a Microsoft Defender para la nube con Defender for Endpoint
   • Guía de implementación de Defender para punto de conexión en Linux para SAP

3. Configure sus capacidades. Consulte Configuración de las opciones de seguridad en Microsoft Defender para punto de conexión en Linux.

Asocia servidores que no son de Azure usando Direct onboarding

Si los servidores locales incorporados manualmente necesitan cobertura de Defender para servidores, sigue la incorporación directa. Revisa quién se ve afectado antes de habilitarlo.

La incorporación directa no es necesaria solo para mantener en funcionamiento un despliegue existente de Defender para Endpoint.

Verificar el onboarding

1. Revisa el estado del agente local utilizando las instrucciones del método seleccionado.

2. Busca el servidor en el inventario de dispositivos de Microsoft Defender. Comprueba su identidad, estado del sensor y actividad reciente.

3. Realiza una prueba de detección aprobada y confirma que la alerta ha llegado.

4. Si se requiere Defender for Servers, verifica su plan y la asociación de suscripción en Defender for Cloud.

   Nota:

   No es necesario ejecutar Microsoft Defender Antivirus, pero se recomienda. Si otro producto de proveedor de antivirus es la solución de endpoint protection principal, puede ejecutar Antivirus de Defender en modo pasivo. Solo se puede confirmar que el modo pasivo está activado tras verificar que el sensor de Defender for Endpoint (SENSE) se está ejecutando.

5. En Windows Server dispositivos que deben tener instalado Microsoft Defender Antivirus en modo activo, ejecute el siguiente comando:

   sc.exe query Windefend
   

   Si el resultado es , "El servicio especificado no existe como un servicio instalado", debe instalar Microsoft Defender Antivirus.

6. Ejecute el siguiente comando para comprobar que Defender para punto de conexión se está ejecutando:

   sc.exe query sense
   

   El resultado debe mostrar que se está ejecutando. Si tiene problemas con la incorporación, consulte Solución de problemas de incorporación.

Retirar servidores Windows

Para la desconexión automática de Azure, la desconexión manual de endpoint y comprobaciones separadas de eliminación de software, consulte Retirar servidores de Microsoft Defender.

Puedes retirar manualmente los servidores de Windows usando los mismos métodos que están disponibles para los dispositivos cliente de Windows:

• Dispositivos fuera de la placa con Administrador de configuración
• Dar de baja dispositivos mediante herramientas de gestión de dispositivos móviles
• Dispositivos fuera del panel que usan directiva de grupo
• Dar de baja dispositivos mediante un script local

Después de la desvinculación, puede proceder a desinstalar el paquete de la solución unificada en Windows Server 2016 y Windows Server 2012 R2. Para las versiones anteriores de Windows Server, tiene dos opciones para desconectar servidores Windows del servicio:

• Desinstale el agente MMA
• Eliminar la configuración del área de trabajo de Defender for Endpoint

Pasos siguientes

• Configurar las capacidades
• Visualización del inventario de dispositivos

Vea también

• Incorporar dispositivos cliente con Windows y Mac a Microsoft Defender para punto de conexión
• Configurar las opciones del proxy y de conectividad a Internet
• Ejecutar una prueba de detección en un dispositivo de Defender for Endpoint incorporado recientemente
• Solución de problemas de incorporación de Defender para Endpoint
• Solucionar problemas de incorporación relacionados con la Administración de seguridad de Microsoft Defender for Endpoint
• Microsoft Defender para punto de conexión: Mobile Threat Defense (para dispositivos iOS y Android)