Eseguire l'onboarding dei server in Microsoft Defender

Si applica a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Usa questa guida per preparare e configurare nuovi server. Defender for Endpoint può aiutare a proteggere i server della tua organizzazione con funzionalità che includono la gestione della postura, la protezione delle minacce, il rilevamento e la risposta degli endpoint e l'integrazione con Defender for Servers.

Per i server che già eseguono Defender for Endpoint, vedi Deployment esistenti. Questi server non richiedono onboarding, reinstallazione o migrazione per mantenere l'attuale protezione di Defender for Endpoint.

Consiglio

Per un'esperienza personalizzata basata sull'ambiente in uso, è possibile accedere alla guida all'installazione automatica di Security Analyzer nel interfaccia di amministrazione di Microsoft 365.

Scegliere un metodo di distribuzione

Server	Metodo
VM di Azure supportata o server abilitato per Azure Arc in una sottoscrizione abilitata	Onboarding automatizzato
Il server che gestisci tramite uno strumento di distribuzione degli endpoint	Distribuzione manuale
Server che segnala già a Defender for Endpoint	Non sono necessarie modifiche alla distribuzione

Prerequisites

Soddisfare i requisiti minimi per Defender for Endpoint e i requisiti di connettività.
Prima del deployment automatico o manuale, verificare i requisiti di coesistenza antivirus e i requisiti della modalità passiva di Windows Server se viene installata un'altra applicazione antivirus.
Conferma i permessi richiesti dal tuo metodo di distribuzione.
Identificare gli agenti esistenti e le politiche di distribuzione per evitare assegnazioni concorrenti.

Prepara il lancio

Registra i server target, i sistemi operativi, i proprietari responsabili e le funzionalità di protezione necessarie.
Concordate su una finestra di cambiamento e sul metodo per disinstallare o reinstallare il software endpoint se necessario.
Per i metodi che supportano un progetto pilota, inizia con server rappresentativi. Espandi dopo aver completato i controlli di onboarding e controlli di accesso.

Prima di scegliere l'onboarding diretto, esamina la sua portata a livello di tenant. Non puoi limitare l'onboarding diretto a un gruppo pilota.

Piani server

Per eseguire l'onboarding dei server in Defender per endpoint, sono necessarie licenze server . È possibile scegliere tra queste opzioni:

Microsoft Defender per Server Piano 1 o 2 (nell'ambito dell'offerta Defender per il cloud)
Microsoft Defender per endpoint per server
Microsoft Defender for Business per server (solo per le piccole e medie imprese)

Consiglio

Per la maggior parte delle organizzazioni, Microsoft raccomanda di inserire server tramite Microsoft Defender for Servers Plan 2 come parte di Microsoft Defender per il cloud. Il piano 2 include Defender per la protezione dei server Endpoint e capacità specifiche per i carichi di lavoro dei server:

Scansione delle macchine senza agenti per vulnerabilità, malware e segreti
Monitoraggio dell'integrità dei file
Accesso just-in-time alla macchina virtuale
Valutazione della conformità normativa
Funzionalità Premium di Gestione delle vulnerabilità di Microsoft Defender
Valutazione della configurazione del sistema operativo basata sul Microsoft Cloud Security Benchmark
Un beneficio giornaliero di 500 MB per l'ingestione dati per ogni macchina protetta

Defender per il cloud integra automaticamente l'estensione Defender for Endpoint alle macchine virtuali Azure supportate e alle macchine abilitate Azure Arc, quindi non servono script di onboarding per macchina. Per un confronto delle funzionalità, vedi funzionalità del piano Defender for Servers.

Se la tua organizzazione non utilizza Defender per il cloud, le licenze standalone Microsoft Defender per endpoint per server e Microsoft Defender for Business per server sono alternative.

Integrazione con Microsoft Defender per server

Defender per endpoint si integra perfettamente con Defender per server (in Defender per cloud). Se la sottoscrizione include Defender per server Piano 1 o Piano 2, è possibile:

Onboarding automatico dei server
Fare in modo che i server monitorati da Defender per il cloud vengano visualizzati nel portale di Microsoft Defender, nell'inventario dei dispositivi
Condurre indagini dettagliate come cliente di Defender per il cloud

Ecco alcuni aspetti da tenere a mente:

Quando si usa Defender per il cloud per monitorare i server, viene creato automaticamente un tenant di Defender per endpoint. I dati raccolti da Defender per endpoint vengono archiviati nella posizione geografica del tenant, identificata durante il provisioning.
Se si usa Defender per endpoint prima di usare Defender per il cloud, i dati vengono archiviati nella posizione specificata al momento della creazione del tenant, anche se si esegue l'integrazione con Defender per il cloud in un secondo momento.
Dopo aver configurato, non è possibile modificare la posizione in cui vengono archiviati i dati. Per spostare i dati in un'altra posizione, contattare il supporto tecnico per reimpostare il tenant.
Il monitoraggio degli endpoint server che usa questa integrazione non è attualmente disponibile per Office 365 clienti GCC.
Linux server di cui è stato eseguito l'onboarding tramite Defender per il cloud hanno la configurazione iniziale impostata per l'esecuzione Microsoft Defender Antivirus in modalità passiva. Per informazioni su come distribuire Defender per endpoint nel server Linux, iniziare con i prerequisiti per Microsoft Defender per endpoint in Linux.

Per altre informazioni, vedere Proteggere gli endpoint con l'integrazione di Defender per endpoint con Defender per cloud.

Esegui l'onboarding automaticamente

Abilita Defender for Servers sull'abbonamento contenente la VM Azure o la risorsa Azure Arc.
Consulta le impostazioni e i prerequisiti di integrazione di Defender for Endpoint.
Attendere il completamento della distribuzione, quindi effettuare i controlli di onboarding.

Informazioni importanti per soluzioni antivirus/antimalware non Microsoft

Se si intende usare una soluzione antimalware non Microsoft, è necessario eseguire Microsoft Defender Antivirus in modalità passiva. Assicurarsi di impostare la modalità passiva durante il processo di installazione e onboarding. Per altre informazioni, vedere Windows Server e modalità passiva.

Importante

Se si installa Defender per endpoint nei server che eseguono McAfee Endpoint Security o VirusScan Enterprise, potrebbe essere necessario aggiornare la versione della piattaforma McAfee per assicurarsi che Microsoft Defender Antivirus non venga rimosso o disabilitato. Per altre informazioni sui numeri di versione specifici necessari, vedere l'articolo Del Centro conoscenze McAfee.

Distribuire Defender per endpoint manualmente

Scegli il metodo di distribuzione che corrisponde al tuo server e al tuo approccio di gestione. Segui la procedura collegata nella tabella seguente per completare il deployment, incluso il download di eventuali pacchetti di installazione o onboarding necessari.

Sistema operativo	Metodo di distribuzione
Windows Server 2012 R2 e successivi, Windows Server versione 1803, e Azure Stack HCI OS versione 23H2 e successive	Script locale (usa un pacchetto di onboarding) Microsoft Configuration Manager Criteri di gruppo script VDI Soluzione moderna e unificata per Windows Server 2016 e 2012 R2
Linux	Distribuzione basata su script di installazione Distribuzione basata su Ansible Distribuzione basata su Chef Distribuzione basata su Puppet Distribuzione basata su SaltStack Distribuzione manuale (usa uno script locale) Linee guida per la distribuzione di Defender per endpoint in Linux per SAP

Onboard Windows Server, versione 1803, Windows Server 2019 e successive, e Azure Stack HCI OS

Rivedi i requisiti minimi per Defender for Endpoint.
Usa Scegli un metodo di deployment per selezionare il metodo di onboarding appropriato per il tuo server.
Se stai distribuendo Defender per Endpoint manualmente, segui Distribuire manualmente Defender per Endpoint per il metodo selezionato.
Completare i controlli di onboarding dopo la distribuzione.

Eseguire l'onboarding di Windows Server 2016 e Windows Server 2012 R2

Esamina i requisiti minimi per Defender for Endpoint e i prerequisiti per Windows Server 2016 e Windows Server 2012 R2.
Usa Scegli un metodo di deployment per selezionare il metodo di onboarding appropriato per il tuo server.
Se stai distribuendo Defender per Endpoint manualmente, segui Distribuire manualmente Defender per Endpoint per il metodo selezionato.
Completare i controlli di onboarding dopo la distribuzione.

Nota

Il pacchetto di installazione per Windows Server 2016 e Windows Server 2012 R2 viene aggiornato mensilmente. Se il tuo metodo di distribuzione richiede il pacchetto di installazione, scarica l'ultimo pacchetto prima della distribuzione. Per eseguire l'aggiornamento dopo l'installazione, non è necessario eseguire di nuovo il pacchetto del programma di installazione. Se lo fai, l'installatore ti chiede di eseguire prima l'offboarding perché l'offboarding è necessario per la disinstallazione. Vedi Pacchetti di aggiornamento per Defender for Endpoint per Windows Server 2012 R2 e 2016.

Se stai migrando dalla precedente soluzione basata su Microsoft Monitoring Agent (MMA), consulta Migra server da Microsoft Monitoring Agent alla soluzione unificata moderna.

Prerequisiti per Windows Server 2016 e 2012 R2

È consigliabile installare sul server l'ultimo aggiornamento disponibile dello stack di manutenzione (SSU) e l'ultimo aggiornamento cumulativo disponibile (LCU).
È necessario installare la SSU dal 14 settembre 2021 o data successiva.
È necessario installare la LCU dal 20 settembre 2018 o data successiva.
Abilitare la funzionalità antivirus Microsoft Defender e assicurarsi che sia aggiornata. Per altre informazioni sull'abilitazione di Antivirus Defender in Windows Server, vedere Riabilitare Antivirus Defender in Windows Server se è stato disabilitato e Riabilitare Antivirus Defender in Windows Server se è stato disinstallato.
Scaricare e installare la versione più recente della piattaforma usando Windows Update. In alternativa, scaricare il pacchetto di aggiornamento manualmente da Microsoft Update Catalog o da MMPC.
In Windows Server 2016, Microsoft Defender Antivirus deve essere installato come funzionalità e aggiornato completamente prima dell'installazione.

Aggiornare i pacchetti per Windows Server 2016 o Windows Server 2012 R2

Per ricevere aggiornamenti regolari del prodotto e correzioni per il componente Defender for Endpoint, assicurarsi che l'aggiornamento di Windows KB5005292 venga applicato o approvato. Inoltre, per mantenere aggiornati i componenti di protezione, vedere Gestire gli aggiornamenti antivirus Microsoft Defender e applicare le baseline.

Se si usa Windows Server Update Services (WSUS) e/o Microsoft Configuration Manager, questo nuovo "aggiornamento Microsoft Defender per endpoint per il sensore EDR" è disponibile nella categoria " Microsoft Defender per endpoint.

Funzionalità nella soluzione unificata moderna per Windows Server 2016 e Windows Server 2012 R2

L'implementazione precedente (prima di aprile 2022) di onboarding Windows Server 2016 e Windows Server 2012 R2 richiedeva l'uso di Microsoft Monitoring Agent (MMA). Il pacchetto di soluzioni unificato moderno semplifica l'onboarding dei server rimuovendo le dipendenze e i passaggi di installazione. Fornisce anche un set di funzionalità molto espanso. Per ulteriori informazioni, vedere le seguenti risorse:

A seconda del server di cui si esegue l'onboarding, la soluzione unificata installa Defender per endpoint e/o il sensore EDR nel server. La tabella seguente indica quale componente è installato e cosa è incorporato per impostazione predefinita.

Versione del server	Microsoft Defender Antivirus	Sensore EDR
Windows Server 2012 R2
Windows Server 2016	Incorporato
Windows Server 2019 e versioni successive	Incorporato	Incorporato

Problemi noti e limitazioni nella soluzione unificata moderna

I punti seguenti si applicano a Windows Server 2016 e Windows Server 2012 R2:

Scaricare sempre il pacchetto del programma di installazione più recente dal portale di Microsoft Defender (https://security.microsoft.com) prima di eseguire una nuova installazione e assicurarsi che vengano soddisfatti i prerequisiti. Dopo l'installazione, assicurarsi di eseguire regolarmente l'aggiornamento usando gli aggiornamenti dei componenti descritti nella sezione Aggiornare i pacchetti per Defender per endpoint in Windows Server 2012 R2 e 2016.
Un aggiornamento del sistema operativo può introdurre un problema di installazione nei computer con dischi più lenti a causa di un timeout con l'installazione del servizio. L'installazione non va a buon fine con il messaggio Couldn't find c:\program files\windows defender\mpasdesc.dll, - 310 WinDefend. Usare il pacchetto di installazione più recente e lo script install.ps1 più recente per rimuovere l'installazione non riuscita, se necessario.
L'interfaccia utente in Windows Server 2016 e Windows Server 2012 R2 consente solo operazioni di base. Per eseguire operazioni in un dispositivo in locale, vedere Gestire Defender per endpoint con PowerShell, WMI e MPCmdRun.exe. Di conseguenza, le funzionalità che si basano specificamente sull'interazione dell'utente, ad esempio quando all'utente viene richiesto di prendere una decisione o di eseguire un'attività specifica, potrebbero non funzionare come previsto. È consigliabile disabilitare o non abilitare l'interfaccia utente né richiedere l'interazione dell'utente su qualsiasi server gestito in quanto può influire sulla funzionalità di protezione.
Non tutte le regole di riduzione della superficie di attacco sono applicabili a tutti i sistemi operativi. Vedere Regole di riduzione della superficie di attacco.
Gli aggiornamenti del sistema operativo sono supportati in Windows 10 e 11 e Windows Server 2019 o versioni successive. Queste versioni includono i componenti necessari per Defender for Endpoint. Per Windows Server 2016 e versioni precedenti, è necessario eseguire l'offboarding da Defender per endpoint e disinstallare Defender per endpoint prima di aggiornare il sistema operativo.
Per distribuire ed eseguire automaticamente l'onboarding della nuova soluzione usando Microsoft Configuration Manager, è necessario essere nella versione 2207 o successiva. È comunque possibile configurare e distribuire usando la versione 2107 con l'aggiornamento cumulativo dell'hotfix, ma questa operazione richiede passaggi di distribuzione aggiuntivi. Per altre informazioni, vedere scenari di migrazione Microsoft Configuration Manager.

Onboarding di server Linux

Per eseguire l'onboarding dei server che eseguono Linux, seguire questa procedura:

Assicurarsi di esaminare i prerequisiti per Microsoft Defender per endpoint in Linux.
Scegliere un metodo di distribuzione. A seconda dell'ambiente specifico, è possibile scegliere tra diverse opzioni:
Configurare le funzionalità. Vedere Configurare le impostazioni di sicurezza in Microsoft Defender per endpoint in Linux.

Associare server non-Azure tramite Direct onboarding

Se i server on-premises sottoposti a onboarding manuale necessitano di copertura Defender for Servers, segui l'onboarding diretto. Rivedi chi è interessato prima di abilitarla.

L'onboarding diretto non è necessario semplicemente per mantenere operativo un deployment di Defender for Endpoint esistente.

Verifica onboarding

Controlla la salute dell'agente locale utilizzando le istruzioni del metodo selezionato.
Trova il server nell'inventario dei dispositivi Microsoft Defender. Controlla la sua identità, la salute del sensore e l'attività recente.
Esegui un test di rilevamento approvato e conferma che l'alert sia arrivato.
Se è necessario Defender for Servers, verifica il suo piano e l'associazione con l'abbonamento in Defender per il cloud.

Nota

L'esecuzione di Microsoft Defender Antivirus non è necessaria, ma è consigliata. Se un altro prodotto fornitore di antivirus è la soluzione endpoint protection primaria, è possibile eseguire Antivirus Defender in modalità passiva. È possibile confermare che la modalità passiva sia attiva solo dopo aver verificato che il sensore Defender for Endpoint (SENSE) sia in esecuzione.
Nei dispositivi Windows Server che devono avere Microsoft Defender Antivirus installato in modalità attiva, eseguire il comando seguente:
```
sc.exe query Windefend
```
Se il risultato è "Il servizio specificato non esiste come servizio installato", è necessario installare Microsoft Defender Antivirus.
Eseguire il comando seguente per verificare che Defender per endpoint sia in esecuzione:
```
sc.exe query sense
```
Il risultato dovrebbe mostrare che è in esecuzione. Se si verificano problemi con l'onboarding, vedere Risolvere i problemi di onboarding.

Offboarding di server Windows

Per l'offboarding automatico di Azure, l'offboarding manuale degli endpoint e i controlli separati di rimozione software, vedi Eseguire l'offboarding dei server da Microsoft Defender.

Puoi rimuovere manualmente i server Windows utilizzando gli stessi metodi disponibili per i dispositivi client Windows:

Dopo l'offboarding, è possibile procedere alla disinstallazione del pacchetto della soluzione unificata in Windows Server 2016 e Windows Server 2012 R2. Per le versioni precedenti di Windows Server, sono disponibili due opzioni per l'offboarding dei server Windows dal servizio:

Disinstallare l'agente MMA
Rimuovere la configurazione dell'area di lavoro di Defender for Endpoint