Apparaten offboarden uit Microsoft Defender voor Eindpunt

Wanneer u een apparaat offboardt van Defender for Endpoint, worden er geen nieuwe detecties, beveiligingsproblemen of beveiligingsgegevens verzonden naar de Microsoft Defender portal. Zeven dagen na het offboarden van een apparaat verandert de status ervan in inactief. Apparaten die de afgelopen 30 dagen niet actief waren, worden niet meegenomen in de blootstellingsscore van uw organisatie.

Eerdere gegevens, zoals waarschuwingen, beveiligingsproblemen en de tijdlijn van het apparaat, voor een offboard-apparaat worden weergegeven in de Microsoft Defender portal totdat de geconfigureerde bewaarperiode is verstreken. U ziet ook het apparaatprofiel (zonder gegevens) in de apparaatinventaris gedurende maximaal 180 dagen. Als u alleen gegevens voor actieve apparaten wilt weergeven, kunt u filters gebruiken, zoals de status van de sensor, apparaattags of apparaatgroepen.

Vereisten

Offboarding wordt ondersteund op apparaten met de volgende besturingssystemen:

• Windows-clientbesturingssystemen
• Windows Server 2012 R2 en hoger
• Linux (client en server)
• macOS
• Android en iOS
• Azure Stack HCI OS, versie 23H2 en hoger

Clientapparaten buiten gebruik stellen

Windows-clientapparaten offboarden

Ga naar het Microsoft Defender-portaal, selecteer in het navigatiepaneel Instellingen>Offboard, en selecteer vervolgens een besturingssysteem om het offboardingproces te starten.

U kunt ook andere methoden gebruiken, zoals:

• Apparaten buiten gebruik stellen met een lokaal script
• Offboard-apparaten met groepsbeleid
• Offboard-apparaten met mobile Apparaatbeheer-hulpprogramma's
• Offboard-apparaten met behulp van de API

Offboard Linux-clientapparaten

Voor informatie over het offboarden en verwijderen van Microsoft Defender voor Eindpunt op Linux-clients, zie Offboard Microsoft Defender voor Eindpunt on Linux.

Offboard MacOS-apparaten

In de volgende procedure zijn stappen 1 en 2 optioneel als u niet wilt dat deze apparaten 180 dagen als buiten gebruik worden gezien in de "Apparaatvoorraad".

1. Maak een apparaattag en geef de tag decommissionedde naam . Wijs de tag toe aan de Mac-apparaten die u wilt offboarden vanuit Defender voor Eindpunt.

2. Maak een apparaatgroep en geef deze een naam als , Decommissioned Mac. Wijs deze tag toe aan een geschikte gebruikersgroep.

3. Beleidsregels voor Manipulatiebeveiliging verwijderen. Zie Voorkeuren instellen op Mac: Manipulatiebeveiliging, of schakel de manipulatiebeveiliging uit door lokale configuratie te gebruiken.

4. Navigeer in de Microsoft Defender-portal naar Systeem>, Instellingen>, Eindpunten>, Apparaatbeheer>, Offboarding. Selecteer macOS in stap 1, kies vervolgens de gewenste implementatiemethode en selecteer Pakket downloaden om het offboarding-pakket te downloaden.

   Als u een niet-Microsoft-oplossing voor apparaatbeheer gebruikt, schakelt u de integratie met Defender for Endpoint uit.

5. Verwijder de Defender voor Eindpunt-app op Mac-apparaten.

6. Verwijder Mac-apparaten uit de groep voor beleid voor systeemextensie als er een MDM is gebruikt om ze in te stellen.

Android- of iOS-apparaten uitschrijven

Als u een Android- of iOS-apparaat wilt offboarden, verwijdert u de Microsoft Defender-app op het apparaat.

Offboard cloud- en on-premisesservers

Offboard een Azure-omgeving in één stap door Defender for Servers uit te schakelen voor het abonnement. Geschikte servers worden automatisch geoffboardd, zonder dat er op elke server een offboardingpakket hoeft te draaien. Om alleen geselecteerde servers te offboarden, gebruik handmatige offboarding.

Kies een offboardingpad

Kies een pad op basis van of je servers wilt offboarden via een Azure-abonnement of alleen geselecteerde servers.

Bereid je voor op server-offboarding

1. Registreer betrokken servers, bestaande dekking en uitrolbeleid.
2. Bekijk openstaande onderzoeken, de behoefte aan bewijsbehoud en eventuele plannen om de server opnieuw te onboarden of endpointsoftware opnieuw te installeren.
3. Verwijder conflicterende onboarding-opdrachten zodat deploymenttools de verandering niet terugdraaien.
4. Voor Direct onboarding kun je beoordelen wie er wordt getroffen voordat je een gedeelde instelling verandert.

Offboard-servers in een Azure-abonnement

Om een Azure-omgeving te offboarden, schakel je Defender for Servers uit voor het abonnement in het Azure-portaal. Dit haalt automatisch geschikte servers uit Defender for Endpoint. Je hoeft geen offboarding-pakket op elke server te draaien.

• Gebruik de instelling van het Defender for Servers-plan van het abonnement, niet door de Azure environment connector te verwijderen.
• Overstappen van Plan 2 naar Plan 1 of een server tussen abonnementen verplaatsen activeren geen automatische offboarding.

Om te beginnen met offboarding en het resultaat te verifiëren:

1. In Microsoft Defender voor Cloud in het Azure-portaal identificeer je het abonnement waar je Defender for Servers wilt uitschakelen.
2. Schakel het plan uit met de planwijzigingsprocedure. Dit is de enige actie die nodig is om het offboarden te starten. De software verzorgt automatisch intentievalidatie, het verwijderen van MDE-extensies en het buiten gebruik stellen van endpoints.
3. Laat de verwerking voltooien en verifieer vervolgens elk resultaat. Offboarding kan tot een uur duren voor grote abonnementen. Als de machines zijn uitgeschakeld, probeert de software het later opnieuw.

Gebruik de planbesturing van het abonnement om offboarding te starten, niet om de Azure-omgevingsverbinding te verwijderen.

Automatisch offboarden koppelt het eindpunt los van de huidige Defender for Endpoint-organisatie en stopt de EDR-rapportage aan die organisatie. Het verwijdert de endpointsoftware niet en verwijdert geen historische apparaatrecords. De aanwezigheid van software of record alleen duidt niet op een fout, en alleen de planinstelling bevestigt niet dat de offboarding voltooid is. Handmatige endpoint-offboarding of deinstallatie is niet nodig als onderdeel van de automatische stroom.

Individuele servers offboarden

Gebruik handmatig offboarden om geselecteerde servers te laten stoppen met rapporteren aan Defender for Endpoint. Volg de onderstaande methode voor je besturingssysteem en beheertool.

Download een offboardingpakket (indien nodig)

Ga naar het Microsoft Defender-portaal, selecteer in het navigatiepaneel Instellingen>Cloudbeveiliging>Serverbeveiliging - Onboarden en beheren>Offboarding beheren, en selecteer vervolgens een besturingssysteem om het offboardingproces te starten.

Download een actueel pakket voor de juiste tenant, controleer de vervaldatum en sla het veilig op. Pakketformaten en geldigheidsperioden verschillen per methode.

Voor local-script of Configuration Manager offboarding selecteer je de Windows-versiegroep die in de instructies van die methode is gespecificeerd. De generieke Windows-optie opent de aparte workflow van de Defender-implementatietool, niet de versiespecifieke pakketworkflow.

Kies een methode voor je besturingssysteem en beheertool. Download een offboardingpakket alleen als de gekozen procedure dat vereist.

Controleer server-offboarding

Historische gegevens en bewaring

Gegevens van eerdere eindpunten kunnen zichtbaar blijven onder het geconfigureerde retentiebeleid. Een bewaard apparaatrecord bewijst niet dat bescherming of rapportage nog actief is. Zie gegevensbewaring.

Verwante onderwerpen

• Microsoft Defender voor Eindpunt offboarden of verwijderen op Linux