Rimuovere i dispositivi da Microsoft Defender per endpoint

Quando si esegue l'offboarding di un dispositivo da Defender per endpoint, non vengono inviati nuovi rilevamenti, vulnerabilità o dati di sicurezza al portale di Microsoft Defender. Sette giorni dopo l'offboarding di un dispositivo, lo stato diventa inattivo. I dispositivi che non erano attivi negli ultimi 30 giorni non vengono inclusi nel punteggio di esposizione dell'organizzazione.

I dati passati, ad esempio avvisi, vulnerabilità e sequenza temporale del dispositivo, per un dispositivo offboarded vengono visualizzati nel portale di Microsoft Defender fino alla scadenza del periodo di conservazione configurato. Il profilo del dispositivo (senza dati) viene visualizzato anche nell'inventario dei dispositivi per un massimo di 180 giorni. Per visualizzare i dati solo per i dispositivi attivi, è possibile usare filtri, ad esempio lo stato di integrità del sensore, i tag del dispositivo o i gruppi di dispositivi.

Prerequisiti

L'offboarding è supportato su dispositivi che eseguono i seguenti sistemi operativi:

• Sistemi operativi client Windows
• Windows Server 2012 R2 e versioni successive
• Linux (client e server)
• macOS
• Android e iOS
• Azure Stack HCI OS, versione 23H2 e successive

Rimuovere i dispositivi client

Rimuovere i dispositivi client Windows

Naviga al portale Microsoft Defender, nel pannello di navigazione, seleziona Impostazioni>Offboarding, e poi seleziona un sistema operativo per avviare il processo di offboarding.

È anche possibile usare altri metodi, ad esempio:

• Rimuovere i dispositivi usando uno script locale
• Offboarding di dispositivi tramite Criteri di gruppo
• Rimuovere i dispositivi usando strumenti di Gestione dei dispositivi mobili
• Dispositivi offboard che utilizzano l'API

Rimuovere dalla gestione i dispositivi client Linux

Per informazioni sullo offboarding e la disinstallazione di Microsoft Defender per endpoint sui client Linux, vedi Offboard Microsoft Defender per endpoint su Linux.

Rimuovere i dispositivi macOS

Nella procedura seguente, i passaggi 1 e 2 sono opzionali se non si desidera vedere questi dispositivi come ritirati nell'"Inventario dei dispositivi" per 180 giorni.

1. Creare un tag del dispositivo e denominare il tag decommissioned. Assegna il tag ai dispositivi Mac che vuoi rimuovere da Defender for Endpoint.

2. Creare un gruppo di dispositivi e denominarlo come , Decommissioned Mac. Assegnare questo tag a un gruppo di utenti appropriato.

3. Rimuovere i criteri per La protezione da manomissione. Vedi Imposta preferenze su Mac: Protezione antimanomissione, oppure disattiva la protezione usando una configurazione locale.

4. Nel portale di Microsoft Defender, passare a Sistema>Impostazioni>Endpoint>Gestione dispositivi>Offboarding. Selezionare macOS nel passaggio 1, quindi scegliere il metodo di distribuzione preferito e selezionare Scarica pacchetto per scaricare il pacchetto di offboarding.

   In alternativa, se si usa una soluzione di gestione dei dispositivi non Microsoft, disabilitare l'integrazione con Defender per endpoint.

5. Disinstallare l'app Defender per endpoint nei dispositivi Mac.

6. Rimuovere i dispositivi Mac dal gruppo per i criteri di estensione del sistema se è stato usato un MDM per impostarli.

Eseguire l'offboarding di dispositivi Android o iOS

Per eseguire l'offboarding di un dispositivo Android o iOS, disinstallare l'app Microsoft Defender nel dispositivo.

Disconnettere i server cloud e on-premises

Offboard un ambiente Azure in un solo passaggio disattivando Defender for Servers per l'abbonamento. I server idonei vengono offboardati automaticamente, senza eseguire un pacchetto di offboarding su ciascun server. Per effettuare l'offboarding solo di server selezionati, usa l'offboarding manuale.

Scegli un percorso di offboarding

Scegli un percorso in base al fatto che tu voglia eseguire l'offboarding dei server in tutta una sottoscrizione di Azure o solo dei server selezionati.

Prepararsi alla dismissione del server

1. Registra i server interessati, la copertura esistente e le politiche di distribuzione.
2. Esaminare indagini aperte, necessità di conservazione delle prove e eventuali piani per reintegrare nuovamente il server o reinstallare il software dell'endpoint.
3. Rimuovi le assegnazioni di onboarding in conflitto così che gli strumenti di distribuzione non annullano il cambiamento.
4. Per l'onboarding diretto, rivedi chi è interessato prima di cambiare un'impostazione condivisa.

Rimuovere server da una sottoscrizione di Azure

Per effettuare l'offboard di un ambiente Azure, disattiva Defender for Servers per il suo abbonamento nel portale Azure. Questo rimuove automaticamente da Defender per Endpoint i server idonei. Non c'è bisogno di eseguire un pacchetto offboarding su ogni server.

• Usa l'impostazione del piano Defender for Servers dell'abbonamento, non la cancellazione del connettore di ambiente Azure.
• Passare dal Piano 2 al Piano 1 o spostare un server tra abbonamenti non attiva l'offboarding automatico.

Per avviare l'offboarding e verificare il risultato:

1. In Microsoft Defender per il cloud nel portale Azure, identifica l'abbonamento dove vuoi disattivare Defender for Servers.
2. Disattiva il piano utilizzando la procedura di cambio piano. Questa è l'unica azione necessaria per avviare l'offboarding. Il software gestisce automaticamente la validazione dell'intento, la rimozione delle estensioni MDE e l'offboarding degli endpoint.
3. Permettere che l'elaborazione si completi, poi verificare ogni risultato. La disattivazione può richiedere fino a un'ora per abbonamenti grandi. Se le macchine sono spente, il software riprova successivamente.

Usare il controllo del piano della sottoscrizione per avviare l'offboarding, non l'eliminazione della connessione all'ambiente Azure.

L'offboarding automatico disconnette l'endpoint dalla sua attuale organizzazione Defender for Endpoint e interrompe la segnalazione EDR a tale organizzazione. Non disinstalla il software dell'endpoint né rimuove i record storici dei dispositivi. La sola presenza del software o del record non indica un errore e la sola impostazione del piano non conferma che l'offboarding sia stato completato. L'offboarding manuale dell'endpoint o la disinstallazione non sono necessari nell'ambito del flusso automatico.

Rimuovere singoli server

Usa l'offboarding manuale per impedire a server selezionati di segnalare a Microsoft Defender per endpoint. Segui il metodo qui sotto per il tuo sistema operativo e lo strumento di gestione.

Scarica un pacchetto offboarding (se necessario)

Naviga al portale Microsoft Defender, nel pannello di navigazione, seleziona Impostazioni>Cloud Security>Sicurezza del server - Onboarding e gestione>Gestisci offboarding, e poi seleziona un sistema operativo per avviare il processo di offboarding.

Scarica un pacchetto attuale per il tenant corretto, controlla la sua scadenza e conservalo in modo sicuro. I formati dei pacchetti e i periodi di validità variano a seconda del metodo.

Per l'offboarding con script locale o Gestione configurazione, seleziona il gruppo versione di Windows specificato nelle istruzioni di quel metodo. L'opzione Windows generica apre il flusso di lavoro separato dello strumento di distribuzione di Defender, non il flusso di lavoro del pacchetto specifico della versione.

Scegli un metodo per il tuo sistema operativo e il tuo strumento di gestione. Scarica un pacchetto offboarding solo se la procedura selezionata lo richiede.

Convalida l'offboarding del server

Record storici e conservazione

I dati degli endpoint passati possono rimanere visibili secondo la politica di retention configurata. Un record di dispositivo conservato non dimostra che la protezione o la segnalazione siano ancora attive. Vedi conservazione dei dati.

Contenuto correlato

• Disconnettere o disinstallare Microsoft Defender per endpoint su Linux