Apparaten migreren om de gestroomlijnde connectiviteitsmethode te gebruiken

Gebruik dit artikel om bestaande Microsoft Defender voor Eindpunt-apparaten weer te integreren met het gestroomlijnde connectiviteitspakket. Gestroomlijnde connectiviteit consolideert het kernverkeer van Defender for Endpoint-diensten onder een kleinere set netwerkbestemmingen. Voordat je apparaten migreert, configureer je de vereiste netwerkbestemmingen en bevestig je dat de apparaten voldoen aan de gestroomlijnde connectiviteitsvereisten.

In de meeste gevallen hoef je apparaten niet te offboarden voordat je ze opnieuw inboort. Pas het gestroomlijnde onboardingpakket toe en herstart vervolgens Windows-apparaten of herstart de Defender for Endpoint-service op macOS- en Linux-apparaten.

Opmerking

Het Defender-implementatieprogramma kan worden gebruikt voor het implementeren van Defender-eindpuntbeveiliging op Windows- en Linux-apparaten. Het hulpprogramma is een lichtgewicht, zelf-bijwerkende toepassing die het implementatieproces stroomlijnt. Zie Microsoft Defender-eindpuntbeveiliging implementeren op Windows-apparaten met het implementatiehulpprogramma van Defender en Microsoft Defender-eindpuntbeveiliging implementeren op Linux-apparaten met het implementatiehulpprogramma van Defender (preview) voor meer informatie.

Migrer apparaten naar gestroomlijnde connectiviteit

Gebruik de platformspecifieke procedures in deze sectie om bestaande apparaten te migreren van standaardconnectiviteit naar gestroomlijnde connectiviteit.

De migratie plannen

Voordat je apparaten overzet:

• Plan een geleidelijke uitrol: Begin met een kleine set apparaten. Breid de uitrol uit nadat je hebt gecontroleerd of de testapparaten gestroomlijnde connectiviteit gebruiken.

• Gebruik ondersteunde beheertools: Voor beheerde apparaten gebruik je deploymentmethoden zoals Intune, Configuration Manager, Group Policy, Jamf Pro of een ander ondersteund beheertool.

• Test cloudconnectiviteit: Bevestig dat apparaten kunnen communiceren met Defender for Endpoint-diensten. Voor meer informatie, zie Verifieer clientconnectiviteit met Microsoft Defender voor Eindpunt service-URL's.

• Bereid een rollback-plan op: Houd de standaard connectiviteitsbestemmingen beschikbaar tijdens de migratie. Als er problemen optreden, gebruik dan opnieuw het standaard connectiviteits-onboardingpakket.

• Valideer het succes van migratie: Controleer of apparaten gestroomlijnde connectiviteit gebruiken voordat je de standaard kernservicebestemmingen uit je firewall- of proxyconfiguratie verwijdert. Blijf ondersteunende servicebestemmingen toestaan die nodig zijn voor het besturingssysteem, updates, certificaatvalidatie en je implementatie- en beveiligingsfuncties. Voor meer informatie, zie Onboarding-apparaten met gestroomlijnde connectiviteit.

Herstart apparaten of diensten na het opnieuw inwerken

Nadat je het gestroomlijnde onboardingpakket hebt toegepast, voltooi je de actie voor het besturingssysteem van het apparaat:

• Windows: Herstart het apparaat.

• macOS: Herstart het apparaat, of herstart de Defender for Endpoint-service:

  sudo launchctl unload /Library/LaunchDaemons/com.microsoft.fresno.plist
  sudo launchctl load /Library/LaunchDaemons/com.microsoft.fresno.plist
  

• Linux: Herstart het apparaat, of herstart de Defender for Endpoint-service:

  sudo systemctl restart mdatp
  

Controleer de gemigrerde apparaatconnectiviteit

Gebruik de volgende methoden om te bevestigen dat gemigreerde apparaten gestroomlijnde connectiviteit gebruiken.

Gebruik de Client Analyzer op Windows

Voer de Microsoft Defender voor Eindpunt Client Analyzer uit op een gemigrerd Windows-apparaat om te bevestigen dat het apparaat verbinding maakt met de gestroomlijnde bestemmingen. De analyzer gebruikt automatisch het onboardingpakket dat op het apparaat is geconfigureerd. Voor instructies, zie Run the client analyzer on Windows en Verify client connectivity to Microsoft Defender voor Eindpunt service URLs.

Verbindingstype bijhouden met geavanceerd opsporen

Gebruik geavanceerde zoekopdrachten in het Microsoft Defender-portaal om het connectiviteitstype te bekijken dat apparaten in de tabel rapporterenDeviceInfo:

• Kolomnaam: ConnectivityType.
• Mogelijke waarden: Leeg, Streamlined, of Standard.
• Datatype: String.
• Beschrijving: Het type connectiviteit van het apparaat naar de Defender for Endpoint cloudservice.

Nadat een gemigreerd apparaat communicatie heeft opgezet met het EDR command-and-control-kanaal, is de waarde Streamlined. Als je een standaard onboardingpakket opnieuw toepast, wordt de waarde gewijzigd in Standard. De waarde blijft leeg voor apparaten die nog geen nieuwe onboarding hebben geprobeerd.

Gebruik later in dit artikel de geavanceerde zoekopdrachten om individuele apparaten en het aantal implementaties te bekijken. Voor het schema, zie de DeviceInfo-tabel.

Volg de connectiviteit lokaal in Windows Logboeken

Gebruik het SENSE-operationeel logboek in Windows Logboeken om te controleren of een Windows-apparaat verbinding maakt met een vereenvoudigde bestemming.

1. Selecteer Start, typ Logboeken, en druk op Enter.

2. Dubbelklik onder Log Summary op Microsoft-Windows-SENSE/Operational.

   

   Je kunt ook Applications and Services Logs uitvouwen>,MicrosoftWindowsSENSE>>, en dan Operationeel selecteren.

3. Vind event ID 4, die een succesvolle verbinding met een Defender for Endpoint-verwerkingsserver registreert. Bevestig dat de gecontacteerde server het endpoint.security.microsoft.com domein gebruikt. Bijvoorbeeld:

   Contacted server 6 times, all succeeded, URI: <region>.<geo>.endpoint.security.microsoft.com.
   <EventData>
    <Data Name="UInt1">6</Data>
    <Data Name="Message1">https://<region>.<geo>.endpoint.security.microsoft.com>
   </EventData>
   

4. Bekijk event ID 5 op verbindingsfouten.

Voer optionele Windows-featuretests uit

Bevestig na migratie dat het apparaat nog steeds verschijnt in Device Inventory met dezelfde apparaat-ID. Bekijk de tijdlijn van het apparaat om te bevestigen dat er nog steeds gebeurtenissen binnenkomen.

Test de Live Response-verbinding

Start een live responssessie op een testapparaat en voer een basiscommando uit om te bevestigen dat de sessie responsief is. Zie Entiteiten op apparaten onderzoeken met behulp van live-respons voor meer informatie.

Geautomatiseerde onderzoek- en antwoordconnectiviteit testen

Bevestig dat het apparaat voldoet aan de eisen voor geautomatiseerd onderzoek en respons. Voor meer informatie, zie Geautomatiseerde onderzoeks- en responsmogelijkheden configureren.

Cloudbeveiligingsconnectiviteit testen

Controleer de cloud-geleverde beveiligingsconnectiviteit op een Windows-testapparaat.

Voer in een opdrachtprompt met verhoogde bevoegdheid (een opdrachtpromptvenster dat u hebt geopend door Uitvoeren als administrator te selecteren) de volgende opdrachten uit:

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -ValidateMapsConnection

Zie Microsoft Defender Antivirus configureren en beheren met het opdrachtregelprogramma MpCmdRun voor meer informatie over MpCmdRun.

Testblok op het eerste gezicht

Volg de instructies voor de demonstratie van blokkeren bij eerste detectie (BAFS) in Demonstraties van Defender voor Eindpunt.

SmartScreen testen

Volg de SmartScreen-demonstratie-instructies op de pagina Microsoft Defender SmartScreen Demo (msft.net).

PowerShell-detectietest

1. Maak op het Windows-apparaat een map: C:\test-MDATP-test.

2. Open de opdrachtprompt als beheerder.

3. Voer in het opdrachtpromptvenster de volgende PowerShell-opdracht uit:

   powershell.exe -NoExit -ExecutionPolicy Bypass -WindowStyle Hidden $ErrorActionPreference = 'silentlycontinue';(New-Object System.Net.WebClient).DownloadFile('http://127.0.0.1/1.exe', 'C:\\test-MDATP-test\\invoice.exe');Start-Process 'C:\\test-MDATP-test\\invoice.exe'
   

Als het commando succesvol wordt uitgevoerd en het testbestand wordt uitgevoerd, is de Windows EDR-detectietest voltooid en verschijnt er binnen enkele minuten een nieuwe waarschuwing in het Microsoft Defender-portaal. Voor meer informatie, zie Voer een EDR-detectietest uit.

Testconnectiviteit op macOS en Linux

Voer het volgende commando uit om te bevestigen dat dit edr_partner_geo_location beschikbaar is. De waarde moet het formaat GW_<geo>gebruiken , waarbij <geo> de geografische locatie van uw organisatie is:

mdatp health --details edr

Voer de connectiviteitstest uit en bevestig dat de resultaten het endpoint.security.microsoft.com domein bevatten:

mdatp connectivity test

Verwacht twee resultaten voor /storage, en één resultaat elk voor /mdav, /xplat, en /packages. Bijvoorbeeld: https://mdav.us.endpoint.security.microsoft.com/storage.

Zoek connectiviteitstype voor gemigreerde apparaten

Voer de volgende zoekopdracht uit om aan boord geïnstalleerde apparaten te vermelden en het meest recente connectiviteitstype te tonen dat voor elk apparaat is gerapporteerd:

DeviceInfo
| where OnboardingStatus == "Onboarded"
| summarize arg_max(Timestamp, ConnectivityType) by DeviceName

Voer de volgende query uit om aan boord geïntroduceerde apparaten te tellen op besturingssysteem en connectiviteitstype:

DeviceInfo
| where OnboardingStatus == "Onboarded"
| summarize arg_max(Timestamp, ConnectivityType, OSPlatform) by DeviceName
| summarize count() by OSPlatform, ConnectivityType
| render columnchart

Gebruik de Client Analyzer op macOS en Linux

Voer de XMDE Client Analyzer uit om connectiviteits- en gezondheidsdiagnostiek te verzamelen. Gebruik de procedure voor het besturingssysteem van het apparaat:

• Voer de client analyzer uit op macOS.
• Draai de clientanalyzer op Linux.