Apparaten migreren om de gestroomlijnde connectiviteitsmethode te gebruiken

In dit artikel wordt beschreven hoe u apparaten migreert die eerder waren onboarded naar Defender for Endpoint om de gestroomlijnde apparaatverbindingsmethode te gebruiken. Zie Apparaten onboarden met behulp van gestroomlijnde connectiviteit voor meer informatie over gestroomlijnde connectiviteit. Apparaten moeten voldoen aan de vereisten die worden vermeld in Gestroomlijnde connectiviteit.

In de meeste gevallen is volledige offboarding van apparaten niet vereist bij opnieuw onboarden. U kunt het bijgewerkte onboardingpakket uitvoeren en uw apparaat opnieuw opstarten om de verbinding over te schakelen. Zie de volgende informatie voor meer informatie over afzonderlijke besturingssystemen.

Apparaten migreren met behulp van de gestroomlijnde methode

Gebruik de volgende richtlijnen om eerder geïntegreerde apparaten te migreren naar de methode voor gestroomlijnde connectiviteit voor elk ondersteund besturingssysteem en elke ondersteunde implementatietool.

Aanbevelingen voor migratie bekijken voordat u overschakelt naar connectiviteitsmethoden

Gebruik de volgende aanbevelingen om uw migratie-implementatie te plannen:

• Begin klein. Het wordt aanbevolen om eerst met een kleine set apparaten te beginnen. Pas de onboarding-blob toe met behulp van een van de ondersteunde implementatiehulpprogramma's en controleer vervolgens op connectiviteit. Als u een nieuw onboardingbeleid gebruikt, moet u het apparaat uitsluiten van alle bestaande onboardingbeleidsregels om conflicten te voorkomen.

• Valideren en bewaken. Nadat u de kleine set apparaten hebt onboarden, controleert u of de apparaten zijn onboarden en communiceren met de service.

• Voltooi de migratie. In deze fase kunt u de migratie geleidelijk implementeren naar een grotere set apparaten. Als u de migratie wilt voltooien, kunt u het vorige onboardingbeleid vervangen en de oude URL's van uw netwerkapparaat verwijderen.

Valideer apparaatvereisten voordat u doorgaat met migraties. Deze migratiehandleiding bouwt voort op onboarding-apparaten met behulp van gestroomlijnde connectiviteit door zich te richten op het migreren van bestaande apparaten.

Als u apparaten opnieuw wilt onboarden, moet u het gestroomlijnde onboardingpakket gebruiken. Zie Gestroomlijnde connectiviteit voor meer informatie over het openen van het pakket.

Afhankelijk van het besturingssysteem moet het apparaat mogelijk opnieuw worden opgestart of de service opnieuw moet worden opgestart zodra het onboardingpakket is toegepast:

• Windows: start het apparaat opnieuw op

• macOS: start het apparaat opnieuw op of start de Defender for Endpoint-service opnieuw op door uit te voeren:

  1. sudo launchctl unload /Library/LaunchDaemons/com.microsoft.fresno.plist
  2. sudo launchctl load /Library/LaunchDaemons/com.microsoft.fresno.plist

• Linux: start de Defender for Endpoint-service opnieuw door het volgende uit te voeren:sudo systemctl restart mdatp

De volgende tabel bevat migratie-instructies voor de beschikbare onboardinghulpprogramma's op basis van het besturingssysteem van het apparaat.

Apparaatconnectiviteit verifiëren met een gestroomlijnde methode voor gemigreerde apparaten

U kunt de volgende methoden gebruiken om te controleren of u Windows-apparaten hebt verbonden:

• Clientanalyse
• Bijhouden met geavanceerde opsporing in Microsoft Defender
• Lokaal bijhouden met Logboeken (voor Windows)
• Tests uitvoeren om de connectiviteit met Defender for Endpoint-services te bevestigen
• De register-editor controleren
• PowerShell-detectietest

Voor macOS en Linux kunt u de volgende methoden gebruiken:

• MDATP-connectiviteitstests
• Bijhouden met geavanceerde opsporing in Microsoft Defender
• Tests uitvoeren om de connectiviteit met Defender for Endpoint-services te bevestigen

Defender for Endpoint Client Analyzer (Windows) gebruiken om de connectiviteit te valideren na onboarding voor gemigreerde eindpunten

Nadat de onboarding is uitgevoerd, voert u de MDE Client Analyzer uit om te bevestigen dat uw apparaat verbinding maakt met de juiste bijgewerkte URL's.

Download het hulpprogramma Microsoft Defender voor Eindpunt Client Analyzer waarop defender voor eindpuntsensor wordt uitgevoerd.

Volg de validatiestappen voor clientconnectiviteit in Clientconnectiviteit met Microsoft Defender voor Eindpunt-service controleren. Het script maakt automatisch gebruik van het onboardingpakket dat op het apparaat is geconfigureerd (moet een gestroomlijnde versie zijn) om de connectiviteit te testen.

Zorg ervoor dat de verbinding tot stand is gebracht met de juiste URL's.

Bijhouden met geavanceerde opsporing in Microsoft Defender

U kunt geavanceerde opsporing in Microsoft Defender portal gebruiken om de status van het verbindingstype weer te geven.

De status van het connectiviteitstype vindt u in de tabel DeviceInfo onder de kolom ConnectivityType:

• Kolomnaam: ConnectivityType
• Mogelijke waarden: <blank>, Gestroomlijnd, Standaard
• Gegevenstype: Tekenreeks
• Beschrijving: Type connectiviteit van het apparaat naar de cloud

Zodra een apparaat is gemigreerd om de gestroomlijnde methode te gebruiken en het apparaat een geslaagde communicatie tot stand brengt met de EDR-opdracht & besturingskanaal, wordt de waarde weergegeven als 'Gestroomlijnd'.

Als u het apparaat terugzet naar de normale methode, is de waarde 'standaard'.

Voor apparaten die niet hebben geprobeerd opnieuw aan boord te gaan, blijft de waarde leeg.

Lokaal bijhouden op een apparaat via Windows Logboeken

U kunt het operationele LOGBOEK van SENSE van Windows Logboeken gebruiken om lokaal verbindingen te valideren met de nieuwe gestroomlijnde aanpak. SENSE-gebeurtenis-id 4 houdt geslaagde EDR-verbindingen bij.

Open het gebeurtenislogboek van de Defender for Endpoint-service met behulp van de volgende stappen:

1. Selecteer start in het menu Windows en typ Logboeken. Selecteer vervolgens Logboeken.

2. Schuif in de logboeklijst onder Logboekoverzicht omlaag totdat u Microsoft-Windows-SENSE/Operational ziet. Dubbelklik op het item om het logboek te openen.

   

   U kunt het logboek ook openen door Toepassings- en serviceslogboeken>Microsoft>Windows>SENSE uit te vouwen en Operationeel te selecteren.

3. Gebeurtenis-id 4 houdt geslaagde verbindingen bij met Defender for Endpoint Command & Control-kanaal. Controleer geslaagde verbindingen met bijgewerkte URL. Bijvoorbeeld:

   Contacted server 6 times, all succeeded, URI: <region>.<geo>.endpoint.security.microsoft.com.
   <EventData>
    <Data Name="UInt1">6</Data>
    <Data Name="Message1">https://<region>.<geo>.endpoint.security.microsoft.com>
   </EventData>
   

4. Bericht 1 bevat de URL van de contactpersoon. Controleer of de gebeurtenis de gestroomlijnde URL (endpoint.security.microsoft.com) bevat.

5. Gebeurtenis-id 5 houdt fouten bij, indien van toepassing.

Tests uitvoeren om de connectiviteit met Defender for Endpoint-services te bevestigen

Zodra het apparaat is toegevoegd aan Defender voor Eindpunt, controleert u of het nog steeds wordt weergegeven in Apparaatinventaris. De DeviceID moet hetzelfde blijven.

Controleer het tabblad Tijdlijn apparaatpagina om te controleren of er gebeurtenissen van het apparaat stromen.

Test de Live Response-verbinding

Zorg ervoor dat Live Response werkt op uw testapparaat. Volg de instructies in Entiteiten onderzoeken op apparaten met behulp van live-respons.

Zorg ervoor dat u na de verbinding een aantal basisopdrachten uitvoert om de verbinding te bevestigen (zoals cd, taken, verbinding maken).

Geautomatiseerde onderzoek- en antwoordconnectiviteit testen

Zorg ervoor dat geautomatiseerd onderzoek en antwoord op uw testapparaat werken: Configureer mogelijkheden voor geautomatiseerd onderzoek en respons.

Ga voor testlabs voor auto-IR naar Microsoft Defender XDR>Evaluaties & Zelfstudies>& Zelfstudies simulaties>>.

Cloudbeveiligingsconnectiviteit testen

Controleer of cloudbeveiligingsnetwerkverbinding werkt:

Voer in een opdrachtprompt met verhoogde bevoegdheid (een opdrachtpromptvenster dat u hebt geopend door Uitvoeren als administrator te selecteren) de volgende opdrachten uit:

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -ValidateMapsConnection

Zie Microsoft Defender Antivirus configureren en beheren met het opdrachtregelprogramma MpCmdRun voor meer informatie over MpCmdRun.

Testblok bij eerste detectie

Volg de instructies voor de demonstratie van Block at First Sight (BAFS) in Demonstratie van Block at First Sight (BAFS) in Microsoft Defender voor Eindpunt.

SmartScreen testen

Volg de SmartScreen-demonstratie-instructies op de pagina Microsoft Defender SmartScreen Demo (msft.net).

PowerShell-detectietest

1. Maak op het Windows-apparaat een map: C:\test-MDATP-test.

2. Open de opdrachtprompt als beheerder.

3. Voer in het opdrachtpromptvenster de volgende PowerShell-opdracht uit:

   powershell.exe -NoExit -ExecutionPolicy Bypass -WindowStyle Hidden $ErrorActionPreference = 'silentlycontinue';(New-Object System.Net.WebClient).DownloadFile('http://127.0.0.1/1.exe', 'C:\\test-MDATP-test\\invoice.exe');Start-Process 'C:\\test-MDATP-test\\invoice.exe'
   

Nadat de opdracht is uitgevoerd, wordt het opdrachtpromptvenster automatisch gesloten. Als dit is gelukt, wordt de detectietest gemarkeerd als voltooid.

Voor macOS en Linux kunt u de volgende methoden gebruiken:

• MDATP-connectiviteitstests
• Bijhouden met geavanceerde opsporing in Microsoft Defender
• Tests uitvoeren om de connectiviteit met Defender for Endpoint-services te bevestigen

MDATP-connectiviteitstest (macOS en Linux)

Voer uit mdatp health --details edr om te bevestigen dat edr_partner_geo_location het beschikbaar is. De waarde moet zijn GW_<geo> waar 'geo' de geografische locatie van uw tenant is.

Voer mdatp-connectiviteitstest uit. Zorg ervoor dat het gestroomlijnde URL-patroon aanwezig is. U moet twee verwachten voor \storage, één voor \mdav, één voor \xplat en één voor /packages.

Bijvoorbeeld:https://mdav.us.endpoint.security.microsoft.com/storage

Bijhouden met geavanceerde opsporing in Microsoft Defender

Voer de volgende query uit om onboardingapparaten weer te geven en het meest recente connectiviteitstype weer te geven dat voor elk apparaat is gerapporteerd (limiet van 30 k):

DeviceInfo
| where OnboardingStatus == "Onboarded"
| summarize arg_max(ConnectivityType, Timestamp) by DeviceName

Voer de volgende query uit om het aantal onboardingapparaten weer te geven dat is gegroepeerd op besturingssysteemplatform en verbindingstype, weergegeven als staafdiagram:

DeviceInfo
| where OnboardingStatus == "Onboarded"
| summarize arg_max(ConnectivityType, Timestamp, OSPlatform) by DeviceName
| summarize count() by OSPlatform, ConnectivityType
| render columnchart 

Defender for Endpoint Client Analyzer (platformoverschrijdend) gebruiken om connectiviteit voor nieuw gemigreerde eindpunten te valideren

Download en voer de clientanalyse uit voor macOS of Linux. Zie De clientanalyse downloaden en uitvoeren voor meer informatie.

1. Voer mdeclientanalyzer.cmd -o <path to cmd file> uit vanuit de map MDEClientAnalyzer. De opdracht maakt gebruik van parameters uit het onboarding-pakket om de connectiviteit te testen.

2. Uitvoeren mdeclientanalyzer.cmd -g <GW_US, GW_UK, GW_EU> (waarbij parameter van GW_US is, GW_EU, GW_UK). GW verwijst naar de gestroomlijnde optie. Voer uit met de toepasselijke tenant geo.