Usuń urządzenia z Ochrona punktu końcowego w usłudze Microsoft Defender

Po odłączeniu urządzenia z usługi Defender for Endpoint do portalu Microsoft Defender nie są wysyłane żadne nowe wykrycia, luki w zabezpieczeniach ani dane zabezpieczeń. Siedem dni po odłączeniu urządzenia jego stan zmieni się na nieaktywny. Urządzenia, które nie były aktywne w ciągu ostatnich 30 dni, nie są uwzględniane w wskaźniku narażenia organizacji.

Dane historyczne, takie jak alerty, luki w zabezpieczeniach i oś czasu urządzenia, wycofanego z obsługi są wyświetlane w portalu Microsoft Defender do momentu wygaśnięcia skonfigurowanego okresu przechowywania. Profil urządzenia (bez danych) jest również widoczny w spisie urządzeń przez maksymalnie 180 dni. Aby wyświetlić dane tylko dla aktywnych urządzeń, można użyć filtrów, takich jak stan kondycji czujnika, tagi urządzeń lub grupy urządzeń.

Wymagania wstępne

Offboarding jest obsługiwany na urządzeniach działających na następujących systemach operacyjnych:

• Klienckie systemy operacyjne Windows
• Windows Server 2012 R2 i nowsze
• Linux (klient i serwer)
• macOS
• Android i iOS
• Azure Stack HCI OS, wersja 23H2 i nowsze

Wycofaj urządzenia klienckie

Wycofywanie urządzeń klienckich z systemem Windows

Przejdź do portalu Microsoft Defender, w panelu nawigacyjnym wybierz Ustawienia>Wycofywanie, a następnie wybierz system operacyjny, aby rozpocząć proces wycofywania.

Można również użyć innych metod, takich jak:

• Odłączanie urządzeń przy użyciu skryptu lokalnego
• Odłączanie urządzeń przy użyciu zasady grupy
• Wycofywanie urządzeń przy użyciu narzędzi do zarządzania urządzeniami mobilnymi
• Urządzenia zewnętrzne korzystające z API

Wycofaj urządzenia klienckie z systemem Linux

Informacje o wycofaniu i odinstalowaniu Ochrona punktu końcowego w usłudze Microsoft Defender na klientach Linux można znaleźć w artykule Offboard Ochrona punktu końcowego w usłudze Microsoft Defender on Linux.

Wycofaj urządzenia MacOS

W następnej procedurze kroki 1 i 2 są opcjonalne, jeśli nie chcesz, aby te urządzenia były widoczne jako wycofane w „Inwentarzu urządzeń” przez 180 dni.

1. Utwórz tag urządzenia i nadaj mu decommissionednazwę . Przypisz tag do urządzeń mac, które mają zostać odłączone od usługi Defender for Endpoint.

2. Utwórz grupę Urządzenia i nadaj jej nazwę w następujący sposób: Decommissioned Mac. Przypisz ten tag do odpowiedniej grupy użytkowników.

3. Usuń zasady ochrony przed naruszeniami. Zobacz Ustaw preferencje na Macu: Ochrona przed manipulacją lub wyłącz ochronę przed manipulacją, korzystając z konfiguracji lokalnej.

4. W portalu Microsoft Defender przejdź do pozycji System>Ustawienia>Punkty końcowe>Zarządzanie urządzeniami>Odłączanie. Wybierz macOS w kroku 1, a następnie wybierz preferowaną metodę wdrażania i wybierz Pobierz pakiet, aby pobrać pakiet wycofania.

   Jeśli używasz rozwiązania do zarządzania urządzeniami innych niż Microsoft, wyłącz integrację z usługą Defender for Endpoint.

5. Odinstaluj aplikację Defender for Endpoint na urządzeniach z systemem Mac.

6. Usuń urządzenia Mac z grupy zasad rozszerzeń systemowych, jeśli do ich skonfigurowania użyto rozwiązania MDM.

Odłączanie urządzeń z systemem Android lub iOS

Aby odłączyć urządzenie z systemem Android lub iOS, odinstaluj aplikację Microsoft Defender na urządzeniu.

Usuwanie serwerów w chmurze i lokalnych

Wycofaj środowisko Azure z ochrony w jednym kroku, wyłączając Defender for Servers dla subskrypcji. Serwery spełniające wymagania są automatycznie wycofywane z usługi, bez uruchamiania pakietu offboardingu na każdym serwerze. Aby wyrejestrować tylko wybrane serwery, użyj ręcznego offboardingu.

Wybierz ścieżkę offboardingu

Wybierz ścieżkę w zależności od tego, czy chcesz wycofać serwery w ramach subskrypcji Azure, czy tylko wybrane serwery.

Przygotuj się do wycofania serwera

1. Rejestruj dotknięte serwery, istniejący zakres ochrony oraz polityki wdrożenia.
2. Przejrzyj otwarte dochodzenia, potrzeby przechowywania dowodów oraz wszelkie plany ponownego wdrożenia serwera lub ponownej instalacji oprogramowania punktu końcowego.
3. Usuń konfliktujące przydziały onboardingowe, aby narzędzia wdrożenia nie cofnęły zmiany.
4. W przypadku bezpośredniego onboardingu sprawdź, kogo to dotyczy, zanim zmienisz wspólne ustawienie.

Wycofywanie serwerów w subskrypcji Azure

Aby wycofać środowisko Azure, wyłącz Defender for Servers dla jego subskrypcji w portalu Azure. Automatycznie usuwa to uprawnione serwery z Defender for Endpoint. Nie ma potrzeby uruchamiania pakietu offboardingowego na każdym serwerze.

• Użyj ustawienia planu Defender for Servers w subskrypcji zamiast usuwać łącznik środowiska Azure.
• Zmiana z Planu 2 na Plan 1 lub przeniesienie serwera między subskrypcjami nie powoduje automatycznego wycofania.

Aby rozpocząć offboarding i zweryfikować wynik:

1. W Microsoft Defender dla Chmury w portalu Azure zidentyfikowaj subskrypcję, w której chcesz wyłączyć Defender for Servers.
2. Anuluj plan za pomocą procedury zmiany planu. To jedyna czynność wymagana do rozpoczęcia offboardingu. Oprogramowanie automatycznie obsługuje walidację intencji, usuwanie rozszerzenia MDE oraz odłączanie punktów końcowych.
3. Pozwól na zakończenie przetwarzania, a następnie zweryfikuj każdy wynik. Usuwanie użytkownika może trwać do godziny przy dużych subskrypcjach. Jeśli maszyny są wyłączone, oprogramowanie próbuje ponownie później.

Użyj kontroli planu subskrypcji, aby rozpocząć offboarding, a nie usunięcie połączenia środowiska Azure.

Automatyczne wyrejestrowanie odłącza punkt końcowy od obecnej organizacji Defender for Endpoint i zatrzymuje raportowanie EDR do tej organizacji. Nie odinstalowuje oprogramowania agenta punktu końcowego ani nie usuwa historycznych rekordów urządzeń. Sama obecność oprogramowania lub rekordu nie oznacza awarii, a samo ustawienie planu nie potwierdza, że deprowizjonowanie jest zakończone. Ręczne wycofanie lub odinstalowanie endpointów nie jest wymagane w ramach automatycznego procesu.

Wycofaj poszczególne serwery

Użyj ręcznego offboardingu, aby powstrzymać wybrane serwery przed raportowaniem do Defender for Endpoint. Postępuj zgodnie z poniższą metodą dla swojego systemu operacyjnego i narzędzia do zarządzania.

Pobierz pakiet offboardingowy (jeśli jest wymagany)

Przejdź do portalu Microsoft Defender, w panelu nawigacyjnym wybierz Ustawienia>Zabezpieczenia w chmurze>Zabezpieczenia serwera — Dołączanie i zarządzanie>, a następnie wybierz system operacyjny, aby rozpocząć proces wycofywania.

Pobierz aktualny pakiet dla właściwej dzierżawy, sprawdź datę ważności i przechowuj go bezpiecznie. Formaty pakietów i okresy ważności różnią się w zależności od metody.

W przypadku offboardingu za pomocą skryptu lokalnego lub Configuration Manager wybierz grupę wersji systemu Windows określoną w instrukcjach tej metody. Ogólna opcja Windows otwiera osobny workflow narzędzia do wdrażania Defender, a nie workflow pakietów specyficzny dla wersji.

Wybierz metodę odpowiednią dla systemu operacyjnego i narzędzia do zarządzania. Pobierz pakiet offboardingowy tylko wtedy, gdy wybrana procedura go wymaga.

Zweryfikuj wycofanie serwera

Zapisy historyczne i przechowywanie

Dane z poprzednich endpointów mogą pozostać widoczne w ramach skonfigurowanej polityki retencyjnej. Zachowany rekord urządzenia nie dowodzi, że ochrona lub raportowanie są nadal aktywne. Zobacz retencję danych.

Zawartość pokrewna

• Wyłączanie lub odinstalowanie Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux