Eseguire l'onboarding di dispositivi Windows con Gestione configurazione

È possibile usare Gestione configurazione per eseguire l'onboarding degli endpoint nel servizio Microsoft Defender per endpoint.

Esistono diverse opzioni che è possibile usare per eseguire l'onboarding dei dispositivi usando Gestione configurazione:

• Eseguire l'onboarding dei dispositivi con System Center Configuration Manager
• Collegamento al tenant

È possibile creare una regola di rilevamento in un'applicazione Gestione configurazione per verificare continuamente se è stato eseguito l'onboarding di un dispositivo. Un'applicazione è un tipo di oggetto diverso da un pacchetto e un programma. Se l'onboarding di un dispositivo non è ancora stato eseguito (a causa del completamento in sospeso di OOBE o per qualsiasi altro motivo), Gestione configurazione tenta nuovamente di eseguire l'onboarding del dispositivo finché la regola non rileva il cambiamento di stato. Per altre informazioni, vedere Configurare i metodi di rilevamento in System Center 2012 R2 Gestione configurazione.

Prerequisiti

• Vedere Requisiti minimi per Microsoft Defender per endpoint.

• Ruolo del sistema del sito di Endpoint Protection. Questo ruolo è necessario in modo che i criteri di riduzione della superficie di attacco e antivirus vengano distribuiti correttamente agli endpoint di destinazione. Senza questo ruolo, gli endpoint nella raccolta di dispositivi non riceveranno i criteri antivirus e quelli di riduzione della superficie di attacco configurati.

Configurare le impostazioni della raccolta di esempi

Per ogni dispositivo, è possibile impostare un valore di configurazione per indicare se gli esempi possono essere raccolti dal dispositivo quando viene effettuata una richiesta tramite il portale di Microsoft Defender per inviare un file per un'analisi approfondita.

È possibile impostare una regola di conformità per l'elemento di configurazione in Gestione configurazione per modificare l'impostazione della condivisione di esempio in un dispositivo.

Questa regola deve essere un elemento di configurazione di una regola di conformità di correzione che imposta il valore di una chiave del Registro di sistema sui dispositivi di destinazione per garantire che siano conformi.

La configurazione viene impostata tramite la seguente voce di chiave del Registro di sistema:

Path: "HKLM\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection"
Name: "AllowSampleCollection"
Value: 0 or 1

Dove Tipo di chiave è un D-WORD. I valori possibili sono:

• 0: non consente la condivisione di esempi da questo dispositivo
• 1: consente la condivisione di tutti i tipi di file da questo dispositivo

Il valore predefinito nel caso in cui la chiave del Registro di sistema non esista è 1.

Per ulteriori informazioni su Conformità di System Center Configuration Manager, vedi Introduzione alle impostazioni di conformità in System Center 2012 R2 Gestione configurazione.

Creare una raccolta

Per eseguire l'onboarding di dispositivi Windows con Microsoft Configuration Manager, la distribuzione può essere destinata a una raccolta esistente o è possibile creare una nuova raccolta per il test.

L'onboarding con strumenti come Criteri di gruppo o un metodo manuale non installa alcun agente nel sistema.

All'interno della console Microsoft Configuration Manager, il processo di onboarding verrà configurato come parte delle impostazioni di conformità all'interno della console.

Qualsiasi sistema che riceve questa configurazione richiesta mantiene tale configurazione finché il client Gestione configurazione continua a ricevere questo criterio dal punto di gestione.

Seguire questa procedura per creare una raccolta di dispositivi che può essere usata per eseguire l'onboarding degli endpoint in Microsoft Defender per endpoint:

1. Nella console di Microsoft Configuration Manager, passare a Asset e conformità > Panoramica > Raccolte di dispositivi.

   

2. Selezionare e tenere premuto (o fare clic con il pulsante destro del mouse) Raccolta dispositivi e selezionare Crea raccolta dispositivi.

   

3. Specificare un nome e una raccolta di limitazione, quindi selezionare Avanti.

   

4. Selezionare Aggiungi regola e scegliere Regola di query.

   

5. Selezionare Avanti nella Procedura guidata per l'appartenenza diretta, quindi selezionare Modifica istruzione della query.

6. Selezionare Criteri e quindi scegliere l'icona a stella.

   

7. Mantieni il tipo di criterio su valore semplice, seleziona Sistema operativo - numero di build, l'operatore maggiore o uguale a e il valore 14393, quindi seleziona OK.

8. Selezionare Avanti e Chiudi.

   

9. Seleziona Avanti.

   

Dopo aver completato questa attività, è disponibile una raccolta di dispositivi con tutti gli endpoint di Windows nell'ambiente.

Configurare la protezione di nuova generazione

Le impostazioni di configurazione elencate nella tabella seguente sono consigliate:

Per distribuire Microsoft Defender antivirus e i criteri di riduzione della superficie di attacco tramite Microsoft Configuration Manager (SCCM) seguire questa procedura:

• Abilitare Endpoint Protection e configurare le impostazioni client personalizzate.
• Installare il client Endpoint Protection da un prompt dei comandi.
• Verificare l'installazione client di Endpoint Protection.

Abilitare Endpoint Protection e configurare le impostazioni client personalizzate

Seguire la procedura per abilitare la protezione degli endpoint e la configurazione delle impostazioni client personalizzate:

1. Nella console Gestione configurazione fare clic su Amministrazione.

2. Nell'area di lavoro Amministrazione fare clic su Impostazioni client.

3. Nel gruppo Crea della scheda Home fare clic su Crea impostazioni dispositivo client personalizzate.

4. Nella finestra di dialogo Crea impostazioni dispositivo client personalizzate specificare un nome e una descrizione per il gruppo di impostazioni e quindi selezionare Endpoint Protection.

5. Configurare le impostazioni client di Endpoint Protection necessarie. Per un elenco completo delle impostazioni client di Endpoint Protection che è possibile configurare, vedere la sezione Endpoint Protection in Informazioni sulle impostazioni client.

   Importante

   Installare il ruolo del sistema del sito di protezione endpoint prima di configurare le impostazioni del client per la protezione endpoint.

6. Fare clic su OK per chiudere la finestra di dialogo Crea impostazioni dispositivo client personalizzate . Le nuove impostazioni client vengono visualizzate nel nodo Impostazioni client dell'area di lavoro Amministrazione .

7. Distribuire quindi le impostazioni client personalizzate in una raccolta. Selezionare le impostazioni client personalizzate da distribuire. Nel gruppo Impostazioni client della scheda Home fare clic su Distribuisci.

8. Nella finestra di dialogo Seleziona raccolta scegliere la raccolta in cui si desidera distribuire le impostazioni client e quindi fare clic su OK. La nuova distribuzione viene visualizzata nella scheda Distribuzioni del riquadro dei dettagli.

I client verranno configurati con queste impostazioni al successivo download dei criteri client. Per altre informazioni, vedere Avviare il recupero dei criteri per un client Gestione configurazione.

Installare il client Endpoint Protection usando il prompt dei comandi

Seguire la procedura per completare l'installazione del client endpoint protection dal prompt dei comandi.

1. Copiare scepinstall.exe dalla cartella Client della cartella di installazione Gestione configurazione nel computer in cui si vuole installare il software client di Endpoint Protection.

2. Aprire il prompt dei comandi come amministratore. Modificare la directory nella cartella con il programma di installazione. Quindi esegui scepinstall.exe, aggiungendo eventuali proprietà aggiuntive della riga di comando richieste:

   Proprietà	Descrizione
   /s	Eseguire il programma di installazione in modo invisibile all'utente
   /q	Estrarre i file di installazione in modo invisibile all'utente
   /i	Eseguire normalmente il programma di installazione
   /policy	Specificare un file di criteri antimalware per configurare il client durante l'installazione
   /sqmoptin	Partecipare al Programma di miglioramento dell'esperienza utente di Microsoft (CEIP)

3. Seguire le istruzioni visualizzate per completare l'installazione del client.

4. Se è stato scaricato il pacchetto di definizione dell'aggiornamento più recente, copiare il pacchetto nel computer client e quindi fare doppio clic sul pacchetto di definizione per installarlo.

   Nota

   Al termine dell'installazione client di Endpoint Protection, il client esegue automaticamente un controllo dell'aggiornamento delle definizioni. Se il controllo dell'aggiornamento ha esito positivo, non è necessario installare manualmente il pacchetto di aggiornamento delle definizioni più recente.

   Esempio: installare il client con un criterio antimalware

   scepinstall.exe /policy <full path>\<policy file>

Verificare l'installazione client di Endpoint Protection

Dopo aver installato il client Endpoint Protection nel computer di riferimento, verificare che il client funzioni correttamente.

1. Nel computer di riferimento aprire System Center Endpoint Protection dall'area di notifica di Windows.

2. Nella scheda Home della finestra di dialogo System Center Endpoint Protection verificare che la protezione in tempo reale sia impostata su Attivato.

3. Verificare che per Definizioni di virus e spyware sia visualizzata la dicitura aggiornato.

4. Per assicurarsi che il computer di riferimento sia pronto per l'imaging, in Opzioni di analisi selezionare Completa e quindi fare clic su Analizza ora.

Configurare la protezione di rete

Prima di abilitare la protezione di rete in modalità di controllo o blocco, assicurarsi di aver installato l'aggiornamento della piattaforma antimalware, che può essere ottenuto dalla pagina di supporto.

Configurare l'accesso controllato alle cartelle

Abilitare la funzionalità in modalità di controllo per almeno 30 giorni. Dopo questo periodo, esaminare i rilevamenti e creare un elenco di applicazioni che possono scrivere in directory protette.

Per altre informazioni, vedere Monitorare l'attività di accesso controllato alle cartelle.For more information, see Monitor controlled folder access (CFA).

Eseguire un test di rilevamento per verificare l'onboarding

Dopo aver eseguito l'onboarding del dispositivo, è possibile scegliere di eseguire un test di rilevamento per verificare che un dispositivo sia stato correttamente caricato nel servizio. Per altre informazioni, vedere Eseguire un test di rilevamento in un dispositivo Microsoft Defender per endpoint appena caricato.

Rimuovere i dispositivi tramite Gestione configurazione

Per motivi di sicurezza, il pacchetto usato per i dispositivi offboard scadrà 7 giorni dopo la data in cui è stato scaricato. I pacchetti di offboarding scaduti inviati a un dispositivo vengono rifiutati. Quando si scarica un pacchetto di offboarding, verrà notificata la data di scadenza del pacchetto, che sarà inclusa anche nel nome del pacchetto.

Eseguire l'offboarding dei dispositivi tramite il ramo corrente di Microsoft Configuration Manager

Se si utilizza Microsoft Configuration Manager current branch, vedere Creare un file di configurazione per la rimozione.

Rimuovere i dispositivi usando System Center 2012 R2 Gestione configurazione

1. Ottenere il pacchetto di offboarding dal portale Microsoft Defender:

   1. Nel riquadro di spostamento, selezionare Impostazioni>Endpoint>Gestione dispositivi>Offboarding.
   2. Selezionare Windows 10 o Windows 11 come sistema operativo.
   3. Nel campo Metodo di distribuzione selezionare System Center Configuration Manager 2012/2012 R2/1511/1602.
   4. Selezionare Scarica pacchetto e salvare il file .zip.

2. Estrarre il contenuto del file .zip in un percorso condiviso di sola lettura accessibile dagli amministratori di rete che distribuiranno il pacchetto. Dovresti avere un file denominato WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd.

3. Distribuire il pacchetto seguendo la procedura descritta nell'articolo Pacchetti e programmi in System Center 2012 R2 Gestione configurazione.

   Scegliere una raccolta di dispositivi predefinita in cui distribuire il pacchetto.

Monitorare la configurazione del dispositivo

Se si utilizza il ramo corrente di Microsoft Configuration Manager, usare la dashboard integrata di Defender per endpoint nella console di Gestione configurazione. Per altre informazioni, vedi Defender for Endpoint - Monitor.

Se si usa System Center 2012 R2 Gestione configurazione, il monitoraggio è costituito da due parti:

1. Conferma che il pacchetto di configurazione è stato distribuito correttamente ed è in esecuzione (o è stato eseguito correttamente) nei dispositivi della rete.

2. Verifica che i dispositivi siano conformi al servizio Defender per endpoint (in questo modo il dispositivo può completare il processo di onboarding e continuare a segnalare i dati al servizio).

Verificare che il pacchetto di configurazione sia stato distribuito correttamente

1. Nella console Gestione configurazione fare clic su Monitoraggio nella parte inferiore del riquadro di spostamento.

2. Selezionare Panoramica e quindi Distribuzioni.

3. Seleziona la distribuzione con il nome del pacchetto.

4. Esaminare gli indicatori di stato in Statistiche di completamento e Stato contenuto.

   Se sono presenti distribuzioni non riuscite (dispositivi con errori, requisiti non soddisfatti o stati non riusciti), potrebbe essere necessario risolvere i problemi dei dispositivi. Per altre informazioni, vedi Risolvere i problemi di onboarding di Microsoft Defender per endpoint.

   

Verificare che i dispositivi siano conformi al servizio Microsoft Defender per endpoint

È possibile impostare una regola di conformità per l'elemento di configurazione in System Center 2012 R2 Gestione configurazione per monitorare la distribuzione.

Questa regola deve essere un elemento di configurazione delle regole di conformità non correttivo che monitora il valore di una chiave del Registro di sistema nei dispositivi di destinazione.

Monitorare la voce di chiave del registro di sistema seguente:

Path: "HKLM\SOFTWARE\Microsoft\Windows Advanced Threat Protection\Status"
Name: "OnboardingState"
Value: "1"

Per altre informazioni, vedere Introduzione alle impostazioni di conformità in System Center 2012 R2 Gestione configurazione.

Articoli correlati

• Effettuare l'onboarding dei server in Microsoft Defender per Endpoint
• Onboarding di dispositivi client Windows e Mac in Microsoft Defender for endpoint