Deploy Windows-apparaten met behulp van de Microsoft Defender-implementatietool

Het Microsoft Defender-implementatieprogramma is een lichtgewicht, zelfbijwerkende toepassing die vereiste onderdelen installeert en ondersteunde Windows-apparaten aanmeldt bij Microsoft Defender voor Eindpunt. Voer de tool interactief uit op individuele apparaten, of automatiseer deze met commandoregelparameters, configuratiebestanden, groepsbeleid, Microsoft Configuration Manager of een ander software-implementatiesysteem.

Gebruik de deployment tool als een aparte onboarding-methode. Het integreert niet met onboarding via Microsoft Intune, Microsoft Defender voor Cloud of andere implementatiemethoden. Bekijk voordat je begint de ondersteunde besturingssystemen en vereisten.

De implementatietool biedt de volgende functies:

• Afhandeling van vereisten: Controleert of vereiste updates aanwezig zijn en lost problemen op die de implementatie blokkeren.
• Logging en feedback: Registreert de bewerkingen in een lokaal logboek en toont foutbeschrijvingen in interactieve modus.
• Installatie en updates: Voorkomt het opnieuw installeren van bestaande componenten en downloadt huidige componenten wanneer nodig.
• Automatisering: Ondersteunt commandoregelparameters en herbruikbare configuratiebestanden voor geautomatiseerde implementaties.
• Staging: Downloadt installatiebestanden voor doelapparaten die de bestanden niet direct kunnen downloaden.
• Server passieve modus: Stelt Microsoft Defender Antivirus in om in passieve modus te draaien op Windows Server.
• Niet-persistente virtuele desktopinfrastructuur (VDI): Helpt apparaten die met dezelfde hostnaam zijn aangemaakt als één apparaat in het Defender-portaal te verschijnen.
• Pakketbeveiligingen: Hiervoor is een door het portaal gegenereerde toegangssleutel voor ingebruikname vereist en worden vervaldatums voor pakketten van één dag tot één jaar ondersteund. Gebruik de kortste praktische geldigheidsperiode.
• Pakketbeheer: Geeft een lijst van deploymentpakketten in het Microsoft Defender-portaal en laat je ze filteren op eigenschappen zoals status en vervaldatum.
• Ingebouwde hulp: Toont de beschikbare opdrachtregelopties wanneer je DefenderDT.exe -? uitvoert.

In interactieve modus vraagt de tool om de toegangssleutel vanuit het Defender-portaal, installeert de benodigde updates en Defender-componenten, en verbindt het apparaat met Defender for Endpoint. Als de installatie een herstart vereist, log dan in na het herstarten zodat de tool kan hervatten.

Voor geavanceerde en grootschalige implementaties gebruik je commandoregelparameters of een configuratiebestand.

Ondersteunde besturingssystemen

Het Defender-implementatieprogramma ondersteunt de volgende besturingssystemen:

• Windows 11
• Windows 10, versie 1809 (november 2018) of later
• Windows 7 SP1
• Windows Server 2016 of hoger
• Windows Server 2012 R2
• Windows Server 2008 R2 SP1

Vereisten

Bekijk de algemene vereisten en vereisten voor Windows 7 SP1 en Windows Server 2008 R2 SP1 voordat je de tool uitrolt.

Algemene vereisten

• De meeste operaties vereisen administratieve rechten.

• Toegang tot definitionupdates.microsoft.com toestaan. De tool downloadt updates en installatiebestanden van dit domein. Omdat de bestanden worden gehost op een contentdistributienetwerk, zijn de bijbehorende IP-adresbereiken niet statisch of voorspelbaar.

• De tool controleert de connectiviteit met uw organisatie voordat het onboarding plaatsvindt. Andere functies van Defender for Endpoint vereisen ook toegang tot service-URL's zoals *.endpoint.security.microsoft.com. Voor de volledige vereisten, zie Configureer uw netwerkomgeving om de connectiviteit met de Defender for Endpoint-service te waarborgen.

Voor soepele connectiviteit sluit u verkeer naar *.endpoint.security.microsoft.com uit van SSL/TLS-inspectie, HTTPS-interceptie en man-in-the-middle (MITM)-proxyverkeer. Als u SSL-inspectie inschakelt, kunnen Defender for Endpoint-sensoren mogelijk niet meer communiceren met backendservices, waardoor onboarding- of verbindingsfouten kunnen optreden.

Vereisten voor Windows 7 SP1 en Windows Server 2008 R2 SP1

• Apparaten moeten een x64-versie van Windows 7 SP1 of Windows Server 2008 R2 SP1 draaien. Installeer de nieuwste beschikbare updates om de installatietijd en de kans op een herstart te verkorten.

• Installeer ondersteuning voor SHA-2-codeondertekening. De deployment-tool vereist minstens KB4474419.

  • Installeer de servicing stack update ( SSU) KB4490628. Windows Update biedt automatisch de vereiste SSU aan.

  • Installeer de SHA-2 update KB4474419, uitgebracht op 10 september 2019. Windows Update biedt automatisch de vereiste update aan.

• Installeer .NET Framework 3.5 of hoger op Windows Server 2008 R2 SP1.

Een nieuw onboardingpakket genereren en downloaden

Genereer een onboardingpakket en toegangssleutel in het Microsoft Defender-portaal. Je hebt de toegangssleutel nodig wanneer je de tool interactief of met de parameter uitvoert -Key .

1. Op de Onboarding-pagina in het Microsoft Defender-portaal op https://security.microsoft.com/securitysettings/endpoints/onboarding, configureer je de volgende instellingen:

   • Stap 1: Selecteer een besturingssysteem om de implementatie te starten: Selecteer Windows.
   • Stap 2: Kies een deployment-optie: Selecteer Onboard in Deploy door pakketten of bestanden> te downloaden en toe te passen Defender deployment tool.

   

2. In de flyout Genereer Defender-implementatietool met een toegangssleutel die wordt geopend, configureer het pakket:

   • Naam: Voer een unieke, beschrijvende pakketnaam in.
   • Organisatie: Controleer de weergegeven organisatie.
   • Verlooptijd: Gebruik de kortste praktische geldigheidsperiode om het risico op ongeautoriseerd gebruik van pakketten te verminderen:
     • Binnen 7 dagen (standaard)
     • Binnen 30 dagen
     • Custom (tot één jaar)

   Klik op Genereren.

   

3. Wanneer het pakket klaar is, kopieer en bewaar je de toegangssleutel veilig.

   

4. Selecteer Download deployment tool en sla het gedownloade uitvoerbare bestand op.

Defender-eindpuntbeveiliging implementeren op apparaten

Voer de Defender-deploymenttool interactief of niet-interactief uit.

Interactief gebruik

Gebruik de interactieve modus voor één apparaat of een klein aantal apparaten. Dubbelklik op het uitvoerbare bestand om de standaard onboarding-instellingen te gebruiken, of start de tool vanuit de opdrachtprompt om opties op te geven.

Om een apparaat aan boord te nemen met de standaardinstellingen:

1. Dubbelklik op het uitvoerbare bestand om het te starten.

2. Selecteer in het dialoogvenster dat bevestigt dat de onboarding wordt gestart Doorgaan.

3. Voer de sleutel voor het Defender-implementatieprogramma in die u hebt gekopieerd uit de portal en selecteer vervolgens Doorgaan.

   

4. Wacht tot de installatie klaar is, en selecteer dan OK. Als de tool een herstart vereist, log dan in na het herstarten zodat de installatie kan worden hervat.

Niet-interactief gebruik

Gebruik de commandoregelinterface om installatie en onboarding te automatiseren of om andere bewerkingen uit te voeren, zoals voorschriftcontroles.

Voor de beschikbare parameters, zie Defender deployment tool command reference (commandoreferentie). Om de naslaginformatie voor opdrachten van je gedownloade toolversie te bekijken, voer DefenderDT.exe -? uit.

Geavanceerde en grootschalige implementaties

Voer de Defender-implementatietool niet-interactief uit vanuit Group Policy, Microsoft Configuration Manager of een ander software-implementatiesysteem. Gebruik commandoregelparameters om onboarding, staging, updates, herstarten, proxies en andere operaties aan te passen.

Voor terugkerende implementaties gebruik je een configuratiebestand in plaats van het herhalen van commandoregelparameters. Voer de tool uit met -MakeConfig om te genereren DefenderDTconfig.txt. Bewerk de configuratie en laad het vervolgens met -Config:<path>. Als je geen pad specificeert, zoekt de tool naar DefenderDTconfig.txt in de huidige map. Voor een voorbeeld, zie Gebruik een configuratiebestand.

Naslaginformatie over opdrachten voor het hulpprogramma voor Defender-implementatie

De volgende tabel geeft de parameters weer die beschikbaar zijn in de Defender deployment tool versie 1.0.0.6 (september 2026). Voer DefenderDT.exe -? uit om de parameters te verifiëren die beschikbaar zijn in je gedownloade versie.

Gebruik een verhoogde opdrachtprompt (een opdrachtpromptvenster dat je opent door 'Run as administrator' te selecteren) voor onboarding, offboarding, deïnstalleren, updaten en het genereren van configuratiebestanden. De -Help, -Precheck, en -Stage operaties vereisen geen administratieve rechten. Een configuratiebestand omzeilt ook de beheerderscontrole wanneer het alleen precheck of staging specificeert.

Gebruiksvoorbeelden

Vervang tijdelijke paden, sleutels en proxyadressen in de volgende voorbeelden door waarden voor je omgeving. Gebruik een verhoogde opdrachtprompt, behalve voor de precheck- en stagingvoorbeelden.

• Voer de standaard onboarding-sequentie uit zonder dialogen te tonen. Het hulpprogramma gebruikt WindowsDefenderATP.onboarding uit de huidige map:

  DefenderDT.exe -Quiet
  

• Onboard door een toegangssleutel te gebruiken, een proxy te configureren, een vereiste herstart toe te staan en dialogen te voorkomen:

  DefenderDT.exe -Key:<access-key> -Proxy:https://proxy.contoso.com:8080 -AllowReboot -Quiet
  

• Onboard door een onboardingbestand te gebruiken op een netwerklocatie zonder dialoogvensters te tonen:

  DefenderDT.exe -File:\\server.contoso.com\share\WindowsDefenderATP.onboarding -Quiet
  

• Offboard het apparaat door een lokaal offboardingbestand te gebruiken zonder om bevestiging te vragen of dialogen weer te geven:

  DefenderDT.exe -Offboard -File:C:\Packages\WindowsDefenderATP.offboarding -Yes -Quiet
  

• Controleer de vereisten, toon gedetailleerde output en voorkom dialogen:

  DefenderDT.exe -PreCheck -Verbose -Quiet
  

• Download installatiebestanden voor alle ondersteunde Windows-versies naar een absolute staginglocatie:

  DefenderDT.exe -Stage:C:\DefenderDT\StagedFiles
  

Een configuratiebestand gebruiken

Genereer een configuratiebestand wanneer je dezelfde parameters in meerdere deployments wilt hergebruiken.

1. Genereer DefenderDTconfig.txt in de huidige map:

   DefenderDT.exe -MakeConfig
   

2. Open DefenderDTconfig.txt in een teksteditor en configureer de parameters voor je deployment. Gebruik absolute paden voor parameters die een pad accepteren.

3. Voer het hulpprogramma uit met het configuratiebestand. Het volgende voorbeeld laadt het bestand vanaf een netwerklocatie:

   DefenderDT.exe -Config:\\server.contoso.com\share\DefenderDTconfig.txt
   

   Als DefenderDTconfig.txt zich in de huidige map bevindt, voer DefenderDT.exe -Config uit.

Deploy door gebruik te maken van Group Policy

Gebruik een directe geplande taak via Groepsbeleid om het implementatiehulpprogramma als SYSTEM met verhoogde rechten uit te voeren. Voor de algemene stappen om de geplande taak te maken, configureren, koppelen en testen, zie Onboard apparaten met behulp van Groepsbeleid.

Gebruik deze Defender-implementatietool-specifieke waarden:

• Sla DefenderDT.exe, het .onboarding-bestand en elk DefenderDTconfig.txt-bestand op in een gedeelde locatie met alleen-leestoegang waartoe de doelapparaten toegang hebben.
• Voor Program/script voer je het volledige Universal Naming Convention (UNC)-pad in naar DefenderDT.exe. Gebruik de volledig gekwalificeerde domeinnaam (FQDN) van de bestandsserver.
• Voor Argumenten toevoegen voer je de vereiste opdrachtregelparameters in. -File:\\server\share\WindowsDefenderATP.onboarding -Quiet Gebruik bijvoorbeeld wanneer het onboardingbestand niet in de werkmap van de tool staat.
• Voer de taak uit als NT AUTHORITY\SYSTEM, ongeacht of een gebruiker is ingelogd, en selecteer Uitvoeren met de hoogste rechten.
• Test het Group Policy-object (GPO) met een beperkte apparaatgroep voordat je bredere implementatie uitvoert.

Voor meer informatie over de beheerconsole, zie Group Policy Management Console.

Een apparaat verwijderen

Om een apparaat te offboarden, download je het offboardingpakket van het Defender-portaal, zet het over naar het doelapparaat en voer je de deployment-tool uit met het pakket.

Stap 1: het offboarding-pakket downloaden

1. Selecteer op de Offboarding-pagina in het Microsoft Defender-portaal op https://security.microsoft.com/securitysettings/endpoints/offboardingWindows onder Besturingssysteem selecteren.

2. Selecteer onder de Defender-deploymenttool 'Pakket downloaden' om het .zip bestand te downloaden dat het offboardingscript bevat.

   

Stap 2: voer de offboardingopdracht uit

Voltooi deze stappen op het apparaat dat je wilt offboarden:

1. Kopieer het .zip bestand naar het doelapparaat en pak het .offboarding bestand uit.

2. Voer de deployment-tool uit in een verhoogde opdrachtprompt met het absolute pad naar het uitgepakte .offboarding bestand. Bijvoorbeeld:

   DefenderDT.exe -Offboard -File:C:\Packages\WindowsDefenderATP.offboarding
   

3. Typ Y in het bevestigingsdialoogvenster om verder te gaan.

4. Wacht tot het proces voltooid is. Na een succesvolle offboarding toont de tool het volgende bericht:

   Microsoft Defender deployment tool completed, exit code: 0 [Success]
   

Overwegingen en beperkingen

Bekijk de algemene beperkingen en de beperkingen van Windows 7 SP1 en Windows Server 2008 R2 SP1.

Algemene overwegingen en beperkingen

• Als de interactieve sequentie een herstart vereist, log dan na het herstarten opnieuw in zodat de tool kan hervatten. Anders is het apparaat niet volledig ingebouwd.

• Op Windows Server 2016 en later kan de stap 'Windows-Defender' inschakelen falen als de Microsoft Defender Antivirus-functie wordt verwijderd of verwijderd. De gebruikersinterface en het lokale logboek tonen exitcode 710 en EnableFeatureFailed. De log kan ook fout 14081 en 0x3701 The referenced assembly could not be foundbevatten. Open een supportcase voor Windows Server als je dit probleem tegenkomt.

Bekende problemen en beperkingen voor Windows 7 SP1 en Windows Server 2008 R2 SP1

• Je kunt meldingen krijgen over mpclient.dll, mpsvc.dll, msmplics.dll, sense1ds.dll en MpCmdRun.exe, geladen door MsSense.exe of mpcommu.dll. De meldingen zouden na verloop van tijd moeten verdwijnen.

• Op Windows 7 SP1 en Windows Server 2008 R2 SP1 met het Desktop Experience pack geïnstalleerd, kan het zijn dat Action Center toont dat Windows geen antivirussoftware op deze computer heeft gevonden. De melding geeft geen probleem met de deployment aan.

• Gebruik de previewversie van de client analyzer-tool om logs te verzamelen en de connectiviteit op Windows 7 SP1 en Windows Server 2008 R2 SP1 te troubleshooten. Het analyseprogramma vereist PowerShell 5.1 of hoger.

• Microsoft Defender Antivirus biedt geen lokale gebruikersinterface op deze besturingssystemen. Om de instellingen van Microsoft Defender Antivirus lokaal te beheren, installeer PowerShell 5.1 of later.

• Groepsbeleidconfiguratie vereist een centrale opslag met actuele groepsbeleidsjablonen op een domeincontroller. Om de Local Group Policy Editor te gebruiken, werkt u WindowsDefender.admx en WindowsDefender.adml handmatig bij met de huidige Windows 11-sjablonen.

• De endpointbeveiligingsoplossing van Defender wordt geïnstalleerd in C:\Program Files\Microsoft Defender voor Eindpunt.

• De -Passive parameter van de deployment-tool geldt voor Windows Server. Het wordt niet ondersteund voor Windows 7 SP1.

Problemen oplossen

Bekijk het logboek van de Defender-implementatietool op problemen tijdens installatie en onboarding. De logboeken bevinden zich op:

C:\ProgramData\Microsoft\DefenderDeploymentTool\DefenderDeploymentTool-<COMPUTERNAME>.log

De tool registreert ook gebeurtenissen in deze Windows-gebeurtenislogboeken:

• Onboarding: Windows-logboeken > Toepassing > Bron: WDATPOnboarding
• Offboarding: Toepassingsbron voor Windows-logboeken >> : WDATPOffboarding

Om te verifiëren dat de installatie geslaagd is, voer je deze controles uit:

1. Controleer of de services worden uitgevoerd met de volgende opdrachten:

   Sc.exe query sense
   
   Sc.exe query windefend
   

   U ziet nu de volgende uitvoer:

   SERVICE_NAME: sense
           TYPE               : 10  WIN32_OWN_PROCESS
           STATE              : 4  RUNNING
                                   (STOPPABLE, NOT_PAUSABLE, ACCEPTS_PRESHUTDOWN)
           WIN32_EXIT_CODE    : 0  (0x0)
           SERVICE_EXIT_CODE  : 0  (0x0)
           CHECKPOINT         : 0x0
           WAIT_HINT          : 0x0
   
   SERVICE_NAME: windefend
           TYPE               : 10  WIN32_OWN_PROCESS
           STATE              : 4  RUNNING
                                   (STOPPABLE, NOT_PAUSABLE, ACCEPTS_SHUTDOWN)
           WIN32_EXIT_CODE    : 0  (0x0)
           SERVICE_EXIT_CODE  : 0  (0x0)
           CHECKPOINT         : 0x0
           WAIT_HINT          : 0x0
   

2. Voor Defender Antivirus-logs, instellingen en andere diagnostische informatie, zie Verzamel Microsoft Defender Antivirus diagnostische gegevens.

3. Gebruik de client-analyzer-tool om logs te verzamelen en de connectiviteit op Windows te troubleshooten.

Afsluitcodes

Voor grootschalige implementaties via een softwaredistributieoplossing, houd de volgende exitcodes in de gaten:

Verwante onderwerpen

• De Defender-oplossing voor eindpuntbeveiliging implementeren voor Windows 7 SP1- en Windows Server 2008 R2 SP1-apparaten
• Antwoordacties beperken voor assets met hoge waarde