Abilitare Defender per l'integrazione degli endpoint in Microsoft Defender per il cloud

Microsoft Defender per il cloud si integra in modo nativo con Microsoft Defender per Endpoint per fornire funzionalità di Defender per Endpoint e Gestione delle vulnerabilità di Defender in Defender per il cloud.

• Quando si abilita il piano Defender per server in Defender per il cloud, l'integrazione di Defender per endpoint è abilitata per impostazione predefinita.
• L'integrazione distribuisce o utilizza un'installazione esistente di Defender for Endpoint su macchine supportate quando sono soddisfatti i prerequisiti.

Questo articolo spiega come abilitare manualmente Defender per l'integrazione con Endpoint se era precedentemente disattivato o se hai un abbonamento legacy che richiede l'opt-in manuale.

Prerequisiti

Prima di abilitare Defender per l'integrazione degli endpoint, esaminare questi requisiti.

Convalida pre-implementazione

Completa questi controlli prima di abilitare l'integrazione di Defender per Endpoint:

• Conferma che la macchina sia accesa e che abbia un sistema operativo supportato.
• Per le macchine abilitate Azure Arc, conferma che l'agente Azure Connected Machine riporta una connessione sana.
• Conferma che la macchina possa raggiungere gli URL dei servizi Defender per Endpoint. Non usare un test su un singolo URL come prova che tutti gli endpoint di servizio necessari sono raggiungibili.
• Conferma che il tuo proxy non richieda l'autenticazione interattiva dell'utente. Il sensore Defender for Endpoint si collega nel contesto di sistema.
• Su Linux, conferma che la distribuzione sia supportata, che Python sia installato e che il file system che contiene /opt/microsoft/mdatp non sia montato con noexec.
• Verificare i Criteri di gruppo e la configurazione antimalware di terze parti per confermare che Microsoft Defender Antivirus e il driver Early Launch Antimalware (ELAM) non siano disabilitati.

Per una valutazione completa della connettività e della prontezza dei sensori, esegui il Microsoft Defender per endpoint Client Analyzer. L'analizzatore testa gli endpoint del servizio e raccoglie diagnostiche nello stesso contesto di sicurezza utilizzato dal sensore.

Raccogli le informazioni sulla prontezza di Windows

Il seguente script PowerShell di sola lettura raccoglie informazioni comunemente necessarie quando si indaga un guasto di deployment. Non modifica il server e non sostituisce il controllo del sistema operativo supportato né il Client Analyzer.

$os = Get-CimInstance Win32_OperatingSystem
$disk = Get-CimInstance Win32_LogicalDisk -Filter "DeviceID='$($env:SystemDrive)'"
$himds = Get-Service -Name himds -ErrorAction SilentlyContinue
$senseService = Get-Service -Name Sense -ErrorAction SilentlyContinue
$defenderService = Get-Service -Name WinDefend -ErrorAction SilentlyContinue

[pscustomobject]@{
    ComputerName             = $env:COMPUTERNAME
    OperatingSystem          = $os.Caption
    OSVersion                = $os.Version
    SystemDriveFreeGB        = [math]::Round($disk.FreeSpace / 1GB, 2)
    AzureArcAgent            = if ($himds) { $himds.Status } else { 'Not installed' }
    SenseService             = if ($senseService) { $senseService.Status } else { 'Not present' }
    DefenderAntivirusService = if ($defenderService) { $defenderService.Status } else { 'Not present' }
    PowerShellVersion        = $PSVersionTable.PSVersion.ToString()
}

Interpreta l'output in base ai requisiti della piattaforma collegata. Un servizio fermo o mancante non è, di per sé, la prova della causa radice perché lo stato atteso del servizio dipende dal sistema operativo e dalla fase di distribuzione.

Raccogli informazioni sulla prontezza di Linux

Esegui questi comandi per raccogliere i prerequisiti Linux e le informazioni sulla salute:

cat /etc/os-release
python3 --version
findmnt -no TARGET,OPTIONS /
findmnt -T /opt -o TARGET,OPTIONS
azcmagent show
mdatp health

Se Defender for Endpoint non è ancora installato, il mdatp health comando non è disponibile. Valida la distribuzione e la versione rispetto ai prerequisiti di Defender for Endpoint su Linux e usa il Client Analyzer dopo l'installazione per validare la connettività e raccogliere diagnostiche.

Distribuzione e verifica per piattaforma

Windows Server 2019 e versioni successive

• Abilita Defender for Servers, Piano 1 o Piano 2.
• Verifica che la protezione degli endpoint sia abilitata in Impostazioni ambiente>Protezione degli endpoint.
• Verifica lo stato dell'estensione nel portale Azure: VM>Extensions>MDE.Windows>Il provisioning è riuscito.
• Verifica l'onboarding nel portale Microsoft Defender: Dispositivi> nome server.

Windows Server 2016 e Windows Server 2012 R2

• Abilita Defender per i server.
• Mantieni il sistema operativo e Microsoft Defender Antivirus completamente aggiornati.
• Dopo l'installazione dell'agente unificato, assicurati che Defender Antivirus Update KB5005292 sia approvato e applicato affinché il sensore EDR continui a ricevere aggiornamenti.
• Verifica l'estensione MDE.Windows e il record del dispositivo nel portale Microsoft Defender.

Server Linux

• Valida la distribuzione supportata, il requisito Python, le opzioni di montaggio del file system e la connettività in uscita prima del deployment.
• Verifica lo stato delle estensioni nel portale Azure: VM>Estensioni>MDE.Linux>Provisioning è riuscito.
• Esegui mdatp health e conferma che healthy e licensed sono veri.
• Se l'installazione fallisce, segui Risolvere i problemi di installazione per Defender for Endpoint su Linux e applica una correzione per un errore formulato in modo simile solo dopo aver confermato il problema effettivo nei log di installazione o dell'estensione.

Abilita Defender per l'integrazione con Endpoint tramite un abbonamento

Quando attivi un piano Defender for Servers, l'integrazione Defender for Endpoint è abilitata di default. Se si disattiva l'integrazione in una sottoscrizione, è possibile riattivarla manualmente.

Per abilitare l'integrazione con Defender for Endpoint in una sottoscrizione:

1. Accedi al portale di Azure.

2. Passare a Microsoft Defender per il cloud>Impostazioni dell'ambiente.

3. Seleziona l'abbonamento che contiene le macchine su cui vuoi distribuire l'integrazione di Defender for Endpoint.

4. Passare a Impostazioni e monitoraggio> diEndpoint Protection.

5. Impostare Stato su Attivato.

   

6. Seleziona Continua.

7. Seleziona Salva.

8. Il sensore Defender for Endpoint è distribuito su macchine Windows e Linux supportate che soddisfano i prerequisiti.

9. Defender per il cloud rileva un'installazione esistente di Defender for Endpoint e la utilizza quando il dispositivo è associato alla stessa organizzazione Defender for Endpoint (tenant). Un dispositivo registrato in un'altra organizzazione non viene riassegnato automaticamente.

Verificare l'installazione nei computer Linux

Per verificare l'installazione del sensore di Defender for Endpoint su un computer Linux:

1. Eseguire il comando shell seguente in ogni computer: mdatp health. Se Microsoft Defender per endpoint è installato, viene visualizzato lo stato di integrità:

   healthy : true

   licensed: true

2. Inoltre, nel portale Azure, puoi controllare che le macchine Linux abbiano una nuova estensione Azure chiamata MDE.Linux.

Abbonamenti legacy (creati prima della primavera 2022): Abilita la soluzione unificata Defender for Endpoint su Windows Server 2016/2012 R2

Se hai abilitato Defender for Servers e attivato l'integrazione di Defender for Endpoint in un abbonamento creato prima della primavera 2022, potresti dover abilitare manualmente l'integrazione della soluzione unificata per macchine che eseguono Windows Server 2016 o Windows Server 2012 R2 nell'abbonamento.

1. Accedi al portale di Azure.

2. Passare a Microsoft Defender per il cloud>Impostazioni dell'ambiente.

3. Seleziona l'abbonamento con le macchine Windows che devono ricevere Defender for Endpoint.

   Lo stato del componente di protezione Endpoint è Parziale, il che significa che non tutte le parti del componente sono abilitate.

4. Selezionare Correzione per visualizzare i componenti non abilitati.

   

5. Passare a Componenti> mancantiSoluzione unificata.

6. In Componenti mancanti>Soluzione unificata selezionare Abilita per installare automaticamente l'agente Defender per endpoint nei computer Windows Server 2012 R2 e 2016 connessi a Microsoft Defender per il cloud.

   

7. Seleziona Salva.

8. In Impostazioni e monitoraggio, seleziona Continua.

Defender per il cloud esegue l'onboarding di computer nuovi e esistenti in Defender per endpoint.

Se configuri Defender per Endpoint sul primo abbonamento nel tuo tenant, l'onboarding potrebbe richiedere fino a 12 ore. Per le nuove macchine e gli abbonamenti che crei dopo aver abilitato l'integrazione, l'onboarding richiede fino a un'ora.

Abbonamenti legacy (creati prima dell'estate 2021): Abilita sulle macchine Linux (piano/integrazione abilitati)

Se Defender per server è già abilitato e l'integrazione di Defender per endpoint è attiva in una sottoscrizione esistente prima dell'estate 2021, potrebbe essere necessario abilitare manualmente l'integrazione per i computer Linux.

1. Accedi al portale di Azure.

2. Passare a Microsoft Defender per il cloud>Impostazioni dell'ambiente.

3. Seleziona l'abbonamento con le macchine Linux a cui vuoi far ricevere Defender for Endpoint.

   Lo stato del componente di protezione Endpoint è Parziale, il che significa che non tutte le parti del componente sono abilitate.

4. Selezionare Correzione per visualizzare i componenti non abilitati.

   

5. In Componenti mancanti>Computer Linux selezionare Abilita.

   

6. Seleziona Salva per salvare le impostazioni.

7. In Impostazioni e monitoraggio, seleziona Continua.

   • Defender per il cloud esegue l'onboarding dei computer Linux in Defender per endpoint.
   • Defender per il cloud rileva le installazioni precedenti di Defender per endpoint nei computer Linux e le riconfigura per l'integrazione con Defender per il cloud.
   • Se configuri Defender per Endpoint sul primo abbonamento nel tuo tenant, l'onboarding potrebbe richiedere fino a 12 ore. Per i nuovi computer creati dopo aver abilitato l'integrazione, l'onboarding richiede fino a un'ora.

8. Per verificare l'installazione del sensore Defender per endpoint in un computer Linux, eseguire il comando della shell seguente in ogni computer.

   mdatp health

   Se Microsoft Defender per endpoint è installato, viene visualizzato lo stato di integrità:

   healthy : true

   licensed: true

9. Nel portale di Azure, è possibile verificare che nei computer Linux sia disponibile una nuova estensione di Azure denominata MDE.Linux.

Abilitare l'integrazione con PowerShell in più sottoscrizioni

Per abilitare l'integrazione di Defender per Server per computer Linux o per Windows Server 2012 R2 e 2016 con la soluzione unificata Microsoft Defender per endpoint (MDE) in più sottoscrizioni, utilizza uno degli script PowerShell nel repository GitHub di Defender per il cloud.

• Usa lo script Enable MDE unified solution script per abilitare l'integrazione con la soluzione unificata moderna di Defender for Endpoint su Windows Server 2012 R2 o Windows Server 2016.
• Usare lo script Enable MDE integration for Linux script per abilitare l'integrazione con Defender for Endpoint nei computer Linux.

Gestire gli aggiornamenti automatici per Linux

In Windows, gli aggiornamenti delle versioni di Defender for Endpoint sono forniti tramite aggiornamenti continui della knowledge base. In Linux è necessario aggiornare il pacchetto Defender per endpoint.

• Quando si usa Defender per server con l'estensioneMDE.Linux, gli aggiornamenti automatici per Microsoft Defender per endpoint sono abilitati per impostazione predefinita.

• Se si preferisce gestire gli aggiornamenti delle versioni manualmente, è possibile disabilitare gli aggiornamenti automatici nei computer. A qusto scopo, aggiungere il tag seguente per i computer di cui è stato eseguito l'onboarding con l'estensione MDE.Linux.

  • Nome tag: ExcludeMdeAutoUpdate
  • Valore del tag: true

Questa configurazione è supportata per le macchine virtuali di Azure e i computer Azure Arc, in cui l'estensione avvia l'aggiornamento MDE.Linux automatico.

Abilitare l'integrazione su larga scala

È possibile abilitare l'integrazione di Defender per endpoint su larga scala tramite l'API REST fornita versione 2022-05-01 fornita. Per informazioni dettagliate, vedere la documentazione dell'API.

Il seguente esempio mostra il corpo della richiesta PUT che abilita l'integrazione di Defender per Endpoint. Questa Microsoft.Security/settings configurazione di risorse imposta l'impostazione WDATP su abilitata, che attiva l'integrazione di Defender for Endpoint in modo programmativo per l'abbonamento specificato.

URI: https://management.azure.com/subscriptions/<subscriptionId>/providers/Microsoft.Security/settings/WDATP?api-version=2022-05-01

{
    "name": "WDATP",
    "type": "Microsoft.Security/settings",
    "kind": "DataExportSettings",
    "properties": {
        "enabled": true
    }
}

Risolvere i problemi di distribuzione dell'estensione

Usa la sequenza seguente invece di riprovare la distribuzione senza prima identificare la fase di guasto.

Diagnostica Windows

• Portale Azure: VM>Estensioni>MDE.Windows>Visualizza lo stato dettagliato
• Visualizzatore eventi: Registri applicazioni e servizi>Microsoft>Windows>Windows Defender
• Log delle estensioni: C:\WindowsAzure\Logs\Plugins\Microsoft.Azure.AzureDefenderForServers.MDE.Windows
• Esegui il Client Analyzer per Defender for Endpoint su Windows.
• Per errori di onboarding e del sensore, usa Risolvere i problemi di onboarding di Defender for Endpoint.

Diagnostica Linux

• Portale Azure: VM>Estensioni>MDE.Linux>Visualizza lo stato dettagliato

• Log delle estensioni: /var/log/azure/Microsoft.Azure.AzureDefenderForServers.MDE.Linux/

• Registro di installazione: /var/log/microsoft/mdatp/install.log

• Diario di installazione: sudo journalctl --no-pager | grep 'microsoft-mdatp'

• Stato dei sensori: mdatp health

• Se la macchina è abilitata per Azure Arc:azcmagent show

• Pacchetto diagnostico: sudo mdatp diagnostic create

• Consulta Risolvere i problemi di installazione di Defender for Endpoint in Linux per problemi relativi a dipendenze, account di servizio, systemd, SELinux e problemi di noexec.

Tenere traccia dello stato di distribuzione di Defender per endpoint

È possibile usare la cartella di lavoro relativa allo stato di distribuzione di Defender per endpoint per tenere traccia dello stato di distribuzione di Defender per endpoint sia nelle macchine virtuali di Azure che nelle macchine virtuali abilitate per Azure Arc. Il workbook interattivo fornisce una panoramica delle macchine nel tuo ambiente mostrando lo stato di distribuzione delle estensioni Defender for Endpoint.

Accedere al portale di Microsoft Defender

Per accedere al portale di Microsoft Defender da Defender per il cloud, seguire questa procedura:

1. Assicurati di avere i permessi giusti per l'accesso al portale.

2. Controlla se hai un proxy o un firewall che blocca il traffico anonimo.

   • Il sensore Defender for Endpoint si collega dal contesto di sistema, quindi devi permettere traffico anonimo.
   • Per garantire l'accesso senza restrizioni al portale di Microsoft Defender, abilita l'accesso agli URL del servizio nel server proxy.

3. Aprire il portale di Microsoft Defender. Informazioni su Eventi imprevisti e avvisi nel portale di Microsoft Defender.

Esegui un test di rilevamento

Per eseguire un test di rilevamento, vedi il test di rilevamento EDR per verificare i servizi di onboarding e reporting del dispositivo.

Rimuovere Defender per endpoint da un computer

Per rimuovere la soluzione Defender per endpoint dai computer:

1. Accedi al portale di Azure.

2. Passare a Microsoft Defender per Cloud>Impostazioni ambiente e selezionare la sottoscrizione pertinente.

3. Passare a Impostazioni e monitoraggio> diEndpoint Protection.

4. Cambia la protezione endpoint in Disattivata.

5. Seleziona Continua.

6. Seleziona Salva.

7. Rimuovere l'estensione MDE.Windows o MDE.Linux dal computer.

8. Eseguire l'offboarding del dispositivo dal servizio Microsoft Defender per endpoint.

Rimuovere i tag di integrazione di Defender per Endpoint

Quando si integrano un dispositivo Windows tramite Defender per il cloud, Defender for Endpoint crea valori di registro relativi a Defender per il cloud. Questi tag del Registro di sistema rimangono sul dispositivo dopo l'offboarding e non influiscono sulle funzionalità.

Per rimuovere completamente questi tag, seguire questa procedura. In Linux, il sistema archivia queste informazioni internamente e non le mostra nel Registro di sistema.

1. Seleziona Avvio, inserisci regedit e seleziona Invio per aprire l'Editor del registro.

2. Nel riquadro sinistro passare a:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Advanced Threat Protection\DeviceTags

3. Eliminare questi nomi di valore, se presenti:

   • AzureResourceId
   • SecurityWorkspaceId
   • SecurityAgentId

Passaggi successivi