Abilitare Defender per l'integrazione degli endpoint in Microsoft Defender per il cloud

Microsoft Defender per il cloud si integra in modo nativo con Microsoft Defender per Endpoint per fornire funzionalità di Defender per Endpoint e Gestione delle vulnerabilità di Defender in Defender per il cloud.

• Quando si abilita il piano Defender per server in Defender per il cloud, l'integrazione di Defender per endpoint è abilitata per impostazione predefinita.
• L'integrazione distribuisce automaticamente l'agente defender per endpoint nei computer.

Questo articolo spiega come abilitare manualmente Defender per l'integrazione con Endpoint se era precedentemente disattivato o se hai un abbonamento legacy che richiede l'opt-in manuale.

Prerequisiti

Prima di abilitare Defender per l'integrazione degli endpoint, esaminare questi requisiti.

Abilita Defender per l'integrazione con Endpoint tramite un abbonamento

L'integrazione di Defender per endpoint viene abilitata automaticamente quando si abilita un piano di Defender per server. Se si disattiva l'integrazione in una sottoscrizione, è possibile riattivarla manualmente.

Per abilitare l'integrazione con Defender for Endpoint in una sottoscrizione:

1. Passare a Defender per il cloud>Impostazioni ambiente.

2. Selezionare la sottoscrizione pertinente.

3. Passare a Impostazioni e monitoraggio> diEndpoint Protection.

4. Impostare lo stato su Sì.

   

5. Seleziona Continua.

6. Seleziona Salva.

7. Il sensore Defender per endpoint viene distribuito in tutti i computer Windows e Linux nella sottoscrizione selezionata.

   L'onboarding potrebbe richiedere fino a un'ora. Defender per il cloud rileva le installazioni precedenti di Defender per endpoint e le riconfigura per l'integrazione con Defender per il cloud.

Verificare l'installazione nei computer Linux

Per verificare l'installazione del sensore di Defender for Endpoint su un computer Linux:

1. Eseguire il comando shell seguente in ogni computer: mdatp health. Se Microsoft Defender per endpoint è installato, viene visualizzato lo stato di integrità:

   healthy : true

   licensed: true

2. Nel portale di Azure, inoltre, è possibile verificare che nei computer Linux sia disponibile una nuova estensione di Azure denominata MDE.Linux.

Abilitare la soluzione Defender per endpoint unificata in Windows Server 2016/2012 R2

Se Defender per server è abilitato e l'integrazione di Defender per endpoint si trova in una sottoscrizione esistente prima della primavera 2022, potrebbe essere necessario abilitare manualmente l'integrazione della soluzione unificata per i computer che eseguono Windows Server 2016 o Windows Server 2012 R2 nella sottoscrizione.

1. Passare a Defender per il cloud>Impostazioni ambiente.

2. Selezionare la sottoscrizione pertinente.

3. Nella colonna Copertura di monitoraggio del piano Defender per server selezionare Impostazioni.

   Il componente Endpoint Protection è impostato sullo stato Parziale, ovvero non tutte le parti del componente sono abilitate.

4. Selezionare Correzione per visualizzare i componenti non abilitati.

   

5. Passare a Componenti> mancantiSoluzione unificata.

6. Seleziona Abilita.

   

   L'agente Defender for Endpoint viene installato automaticamente sui computer Windows Server 2012 R2 e 2016 connessi a Microsoft Defender per il cloud.

7. Seleziona Salva.

8. In Impostazioni e monitoraggio selezionare Continua.

   Defender per il cloud esegue l'onboarding di computer nuovi e esistenti in Defender per endpoint.

   Nel caso in cui si configuri Defender per endpoint nella prima sottoscrizione del tenant, l'onboarding potrebbe richiedere fino a 12 ore. Per i nuovi computer e le sottoscrizioni create dopo l'abilitazione dell'integrazione per la prima volta, l'onboarding richiede fino a un'ora.

Abilitazione nei computer Linux (piano/integrazione abilitata)

Se Defender per server è già abilitato e l'integrazione di Defender per endpoint è attiva in una sottoscrizione esistente prima dell'estate 2021, potrebbe essere necessario abilitare manualmente l'integrazione per i computer Linux.

1. Passare a Defender per il cloud>Impostazioni ambiente.

2. Selezionare la sottoscrizione pertinente.

3. Nella colonna Copertura di monitoraggio del piano Defender per server selezionare Impostazioni.

   Il componente Endpoint Protection è impostato sullo stato Parziale, ovvero non tutte le parti del componente sono abilitate.

4. Selezionare Correzione per visualizzare i componenti non abilitati.

   

5. In Componenti mancanti > nei computer Linux, seleziona Abilita.

   

6. Seleziona Salva.

7. In Impostazioni e monitoraggio selezionare Continua.

   • Defender per il cloud esegue l'onboarding dei computer Linux in Defender per endpoint.
   • Defender per il cloud rileva le installazioni precedenti di Defender per endpoint nei computer Linux e le riconfigura per l'integrazione con Defender per il cloud.
   • Nel caso in cui si configuri Defender per endpoint nella prima sottoscrizione del tenant, l'onboarding potrebbe richiedere fino a 12 ore. Per i nuovi computer creati dopo aver abilitato l'integrazione, l'onboarding richiede fino a un'ora.

8. Per verificare l'installazione del sensore Defender per endpoint in un computer Linux, eseguire il comando della shell seguente in ogni computer.

   mdatp health

   Se Microsoft Defender per endpoint è installato, viene visualizzato lo stato di integrità:

   healthy : true

   licensed: true

9. Nel portale di Azure, è possibile verificare che nei computer Linux sia disponibile una nuova estensione di Azure denominata MDE.Linux.

Abilitare l'integrazione con PowerShell in più sottoscrizioni

Per abilitare l'integrazione di Defender for Servers per macchine Linux o Windows Server 2012 R2 e 2016 con la soluzione unificata Microsoft Defender per endpoint (MDE) su più abbonamenti, puoi utilizzare uno degli script PowerShell in Defender per il cloud Repository GitHub.

• Usa lo script Enable MDE unified solution script per abilitare l'integrazione con la soluzione unificata moderna di Defender for Endpoint su Windows Server 2012 R2 o Windows Server 2016.
• Usare lo script Enable MDE integration for Linux script per abilitare l'integrazione con Defender for Endpoint nei computer Linux.

Gestire gli aggiornamenti automatici per Linux

In Windows, gli aggiornamenti delle versioni di Defender per endpoint vengono forniti tramite gli aggiornamenti continui della Knowledge Base. In Linux è necessario aggiornare il pacchetto Defender per endpoint.

• Quando si usa Defender per server con l'estensioneMDE.Linux, gli aggiornamenti automatici per Microsoft Defender per endpoint sono abilitati per impostazione predefinita.

• Se si preferisce gestire gli aggiornamenti delle versioni manualmente, è possibile disabilitare gli aggiornamenti automatici nei computer. A qusto scopo, aggiungere il tag seguente per i computer di cui è stato eseguito l'onboarding con l'estensione MDE.Linux.

  • Nome tag: ExcludeMdeAutoUpdate
  • Valore del tag: true

Questa configurazione è supportata per le macchine virtuali di Azure e i computer Azure Arc, in cui l'estensione avvia l'aggiornamento MDE.Linux automatico.

Abilitare l'integrazione su larga scala

È possibile abilitare l'integrazione di Defender per endpoint su larga scala tramite l'API REST fornita versione 2022-05-01 fornita. Per informazioni dettagliate, vedere la documentazione dell'API.

Il seguente esempio mostra il corpo della richiesta PUT che abilita l'integrazione di Defender per Endpoint. Questa Microsoft.Security/settings configurazione di risorse imposta l'impostazione WDATP su abilitata, che attiva l'integrazione di Defender for Endpoint in modo programmativo per l'abbonamento specificato.

URI: https://management.azure.com/subscriptions/<subscriptionId>/providers/Microsoft.Security/settings/WDATP?api-version=2022-05-01

{
    "name": "WDATP",
    "type": "Microsoft.Security/settings",
    "kind": "DataExportSettings",
    "properties": {
        "enabled": true
    }
}

Tenere traccia dello stato di distribuzione di Defender per endpoint

È possibile usare la cartella di lavoro relativa allo stato di distribuzione di Defender per endpoint per tenere traccia dello stato di distribuzione di Defender per endpoint sia nelle macchine virtuali di Azure che nelle macchine virtuali abilitate per Azure Arc. La cartella di lavoro interattiva offre una panoramica dei computer presenti nell’ambiente, in cui è visualizzato lo stato di distribuzione dell'estensione Microsoft Defender per endpoint.

Accedere al portale di Microsoft Defender

Per accedere al portale di Microsoft Defender da Defender per il cloud, seguire questa procedura:

1. Assicurarsi di disporre delle autorizzazioni appropriate per l'accesso al portale.

2. Controllare se è presente un proxy o un firewall che sta bloccando il traffico anonimo.

   • Il sensore Defender per endpoint si connette dal contesto di sistema e, pertanto, è necessario consentire il traffico anonimo.
   • Per garantire l'accesso senza restrizioni al portale di Microsoft Defender, abilita l'accesso agli URL del servizio nel server proxy.

3. Aprire il portale di Microsoft Defender. Informazioni su Eventi imprevisti e avvisi nel portale di Microsoft Defender.

Esegui un test di rilevamento

Per eseguire un test di rilevamento, seguire Test di rilevamento EDR per verificare l'onboarding del dispositivo e i servizi di reporting.

Rimuovere Defender per endpoint da un computer

Per rimuovere la soluzione Defender per endpoint dai computer:

1. Per disabilitare l'integrazione, in Defender per il cloud >Impostazioni ambiente selezionare la sottoscrizione contenente i computer pertinenti.
2. Nella pagina Piani di Defender selezionare Impostazioni e monitoraggio.
3. Nello stato del componente Endpoint Protection selezionare Off per disabilitare l'integrazione con Microsoft Defender per endpoint per la sottoscrizione.
4. Selezionare Continua e Salva per salvare le impostazioni.
5. Rimuovere l'estensione MDE.Windows o MDE.Linux dal computer.
6. Eseguire l'offboarding del dispositivo dal servizio Microsoft Defender per endpoint.

Rimuovere i tag di integrazione di Defender per Endpoint

Quando viene eseguito l'onboarding di un dispositivo Windows tramite Defender per il cloud, Defender per endpoint crea valori del Registro di sistema correlati a Defender per il cloud. Questi tag del Registro di sistema rimangono sul dispositivo dopo l'offboarding e non influiscono sulle funzionalità.

Per rimuovere completamente questi tag, seguire questa procedura. In Linux, il sistema archivia queste informazioni internamente e non le mostra nel Registro di sistema.

1. Selezionare Start, digitare regedit e premere INVIO per aprire l'editor del Registro di sistema.

2. Nel riquadro sinistro passare a:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Advanced Threat Protection\DeviceTags

3. Eliminare questi nomi di valore, se presenti:

   • AzureResourceId
   • SecurityWorkspaceId
   • SecurityAgentId