Defender inschakelen voor eindpuntintegratie in Microsoft Defender voor Cloud

Microsoft Defender voor Cloud kan systeemeigen worden geïntegreerd met Microsoft Defender voor Eindpunt om Defender for Endpoint- en Defender Vulnerability Management-mogelijkheden te bieden in Defender voor Cloud.

• Wanneer u het Defender for Servers-abonnement inschakelt in Defender voor Cloud, is De integratie van Defender voor Eindpunt standaard ingeschakeld.
• De integratie implementeert automatisch de Defender for Endpoint-agent op computers.

Dit artikel legt uit hoe je handmatig de integratie van Defender for Endpoint kunt inschakelen als deze eerder was uitgeschakeld of als je een legacy-abonnement hebt dat handmatig moet inschakelen.

Prerequisites

Bekijk deze vereisten voordat u Defender inschakelt voor eindpuntintegratie.

Schakel integratie van Defender for Endpoint in op een abonnement

Integratie van Defender voor Eindpunt is standaard ingeschakeld wanneer u een Defender for Servers-abonnement inschakelt. Als u integratie voor een abonnement uitschakelt, kunt u dit handmatig opnieuw inschakelen.

Defender inschakelen voor eindpuntintegratie in een abonnement:

1. Ga naar Defender voor Cloud>Omgevingsinstellingen.

2. Selecteer het betreffende abonnement.

3. Ga naar Instellingen en bewaking>van Endpoint Protection.

4. Stel de status in op Aan.

   

5. Klik op Doorgaan.

6. Kies Opslaan.

7. De Defender voor Eindpunt-sensor wordt geïmplementeerd op alle Windows- en Linux-machines in het geselecteerde abonnement.

   Onboarding kan tot een uur duren. Defender voor Cloud detecteert eventuele eerdere Installaties van Defender voor Eindpunt en configureert deze opnieuw om te integreren met Defender voor Cloud.

Installatie controleren op Linux-machines

Controleer Defender voor de installatie van eindpuntsensor op een Linux-computer:

1. Voer de volgende shell-opdracht uit op elke computer: mdatp health. Als Microsoft Defender voor Endpoint is geïnstalleerd, ziet u de status van de systeemgezondheid.

   healthy : true

   licensed: true

2. Daarnaast kunt u in Azure Portal controleren of linux-machines een nieuwe Azure-extensie hebben met de naam MDE.Linux.

Geïntegreerde oplossing van Defender for Endpoint inschakelen op Windows Server 2016/2012 R2

Als Defender for Servers is ingeschakeld en Defender for Endpoint-integratie is ingeschakeld in een abonnement dat vóór het voorjaar van 2022 bestond, moet u mogelijk handmatig integratie van de geïntegreerde oplossing inschakelen voor computers met Windows Server 2016 of Windows Server 2012 R2 in het abonnement.

1. Ga naar Defender voor Cloud>Omgevingsinstellingen.

2. Selecteer het betreffende abonnement.

3. Selecteer Instellingen in de kolom Bewakingsdekking van het Defender for Servers-plan.

   De status van het onderdeel Endpoint Protections is Gedeeltelijk, wat betekent dat niet alle onderdelen van het onderdeel zijn ingeschakeld.

4. Selecteer Herstellen om de onderdelen weer te geven die niet zijn ingeschakeld.

   

5. Ga naar Degeïntegreerde oplossing>.

6. Selecteer Inschakelen.

   

   De Defender voor eindpuntagent wordt automatisch geïnstalleerd op Windows Server 2012 R2- en 2016-machines die zijn verbonden met Microsoft Defender voor Cloud.

7. Kies Opslaan.

8. Selecteer Doorgaan in Instellingen en bewaking.

   Defender voor Cloud onboardt bestaande en nieuwe machines naar Defender for Endpoint.

   Als u Defender voor Eindpunt configureert voor het eerste abonnement in uw tenant, kan onboarding tot 12 uur duren. Voor nieuwe machines en abonnementen die zijn gemaakt nadat de integratie voor het eerst is ingeschakeld, duurt onboarding maximaal een uur.

Inschakelen op Linux-machines (plan/integratie ingeschakeld)

Als Defender for Servers al is ingeschakeld en Defender for Endpoint-integratie is ingeschakeld in een abonnement dat vóór de zomer 2021 bestond, moet u de integratie voor Linux-machines mogelijk handmatig inschakelen.

1. Ga naar Defender voor Cloud>Omgevingsinstellingen.

2. Selecteer het betreffende abonnement.

3. Selecteer Instellingen in de kolom Bewakingsdekking van het Defender for Servers-plan.

   De status van het onderdeel Endpoint Protections is Gedeeltelijk, wat betekent dat niet alle onderdelen van het onderdeel zijn ingeschakeld.

4. Selecteer Herstellen om de onderdelen weer te geven die niet zijn ingeschakeld.

   

5. Selecteer In Ontbrekende onderdelen > Linux-machines de optie Inschakelen.

   

6. Kies Opslaan.

7. Selecteer Doorgaan in Instellingen en bewaking.

   • Defender voor Cloud onboardt Linux-machines naar Defender voor Eindpunt.
   • Defender voor Cloud detecteert eventuele eerdere Installaties van Defender voor Eindpunt op Linux-machines en configureert ze opnieuw om te integreren met Defender voor Cloud.
   • Als u Defender voor Eindpunt configureert voor het eerste abonnement in uw tenant, kan onboarding tot 12 uur duren. Voor nieuwe machines die zijn gemaakt nadat de integratie is ingeschakeld, duurt onboarding maximaal een uur.

8. Voer de volgende shell-opdracht uit op elke computer om de installatie van defender voor eindpuntsensor op een Linux-computer te controleren.

   mdatp health

   Als Microsoft Defender voor Endpoint is geïnstalleerd, ziet u de status van de systeemgezondheid.

   healthy : true

   licensed: true

9. In Azure Portal kunt u controleren of Linux-machines een nieuwe Azure-extensie hebben met de naam MDE.Linux.

Integratie met PowerShell in meerdere abonnementen inschakelen

Om Defender for Servers-integratie voor Linux-machines of Windows Server 2012 R2 en 2016 met de Microsoft Defender voor Eindpunt (MDE) Unified Solution op meerdere abonnementen mogelijk te maken, kun je een van de PowerShell-scripts in de Defender voor Cloud gebruiken GitHub-repository.

• Gebruik het Enable MDE Unified Solution Script om integratie mogelijk te maken met de Defender voor moderne geïntegreerde eindpuntoplossing op Windows Server 2012 R2 of Windows Server 2016.
• Gebruik het Enable MDE integration for Linux script om Defender voor Eindpunt-integratie op Linux-machines in te schakelen.

Automatische updates voor Linux beheren

In Windows worden updates van defender voor eindpuntversies aangeboden via continue updates van de Knowledge Base. In Linux moet u het Defender for Endpoint-pakket bijwerken.

• Wanneer u Defender voor Servers met de MDE.Linux extensie gebruikt, worden automatische updates voor Microsoft Defender voor Eindpunt standaard ingeschakeld.

• Als u versie-updates handmatig wilt beheren, kunt u automatische updates op uw computers uitschakelen. Doe dit door de volgende tag toe te voegen voor machines die met de extensie MDE.Linux zijn onboard.

  • Naam van tag: ExcludeMdeAutoUpdate
  • Tagwaarde: true

Deze configuratie wordt ondersteund voor Azure-VM's en Azure Arc-machines, waarbij de MDE.Linux extensie autoupdate start.

Integratie op schaal inschakelen

U kunt de integratie van Defender voor Eindpunt op schaal inschakelen via de opgegeven REST API-versie 2022-05-01. Zie de API-documentatie voor meer informatie.

Het volgende voorbeeld toont het verzoeklichaam voor het PUT-verzoek dat integratie van Defender for Endpoint mogelijk maakt. Deze Microsoft.Security/settings resourceconfiguratie zet de WDATP instelling ingeschakeld, wat de Defender for Endpoint-integratie programmatisch activeert voor het opgegeven abonnement.

URI: https://management.azure.com/subscriptions/<subscriptionId>/providers/Microsoft.Security/settings/WDATP?api-version=2022-05-01

{
    "name": "WDATP",
    "type": "Microsoft.Security/settings",
    "kind": "DataExportSettings",
    "properties": {
        "enabled": true
    }
}

De implementatiestatus van Defender voor Eindpunt bijhouden

U kunt de werkmap Defender for Endpoint-implementatiestatus gebruiken om de implementatiestatus van Defender for Endpoint bij te houden op uw Azure-VM's en VM's met Azure Arc. De interactieve werkmap biedt een overzicht van machines in uw omgeving met de status van de implementatie van de Microsoft Defender voor Eindpunt extensie.

Toegang tot de Microsoft Defender-portal

Voer de volgende stappen uit om toegang te krijgen tot de Microsoft Defender-portal vanuit Defender voor Cloud:

1. Zorg ervoor dat u over de juiste machtigingen beschikt voor portaltoegang.

2. Controleer of u een proxy of firewall hebt die anoniem verkeer blokkeert.

   • De Defender voor Eindpunt-sensor maakt verbinding vanuit de systeemcontext, dus anoniem verkeer moet zijn toegestaan.
   • Schakel toegang tot service-URL's in de proxyserver in om ongehinderde toegang tot de Microsoft Defender-portal te garanderen.

3. Open het Microsoft Defender-portal. Meer informatie over incidenten en waarschuwingen in de Microsoft Defender-portal.

Een detectietest uitvoeren

Als u een detectietest wilt uitvoeren, volgt u de EDR-detectietest om de onboarding- en reportingservices van het apparaat te verifiëren.

Defender voor Eindpunt verwijderen van een computer

De Defender for Endpoint-oplossing verwijderen van uw computers:

1. Als u de integratie wilt uitschakelen, selecteert u in Defender voor Cloud >Omgevingsinstellingen het abonnement met de relevante computers.
2. Selecteer Instellingen en bewaking op de pagina Defender-abonnementen.
3. Selecteer uit in de status van het onderdeel Endpoint Protection om de integratie met Microsoft Defender voor Eindpunt voor het abonnement uit te schakelen.
4. Selecteer Doorgaan en Opslaan om uw instellingen op te slaan.
5. Verwijder de MDE.Windows of MDE.Linux extensie van de computer.
6. Het apparaat verwijderen van de Microsoft Defender voor Eindpunt-service.

Defender for Endpoint-integratietags verwijderen

Wanneer een Windows-apparaat wordt toegevoegd via Defender voor Cloud, maakt Defender voor Eindpunt registerwaarden met betrekking tot Defender voor Cloud. Deze registertags blijven na offboarding op het apparaat en hebben geen invloed op de functionaliteit.

Volg deze stappen om deze tags volledig te verwijderen. In Linux slaat het systeem deze informatie intern op en wordt deze niet weergegeven in het register.

1. Selecteer Start, typ regedit en druk op Enter om de Register-editor te openen.

2. Ga in het linkerdeelvenster naar:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Advanced Threat Protection\DeviceTags

3. Verwijder deze waardenamen als deze bestaan:

   • AzureResourceId
   • SecurityWorkspaceId
   • SecurityAgentId