Habilitar a integração com o Defender for Endpoint no Microsoft Defender para Nuvem

O Microsoft Defender para Nuvem integra-se nativamente ao Microsoft Defender para Ponto de Extremidade para fornecer recursos do Defender para Ponto de Extremidade e do Gerenciamento de Vulnerabilidades do Microsoft Defender no Defender para Nuvem.

• Quando você habilita o plano do Defender para Servidores no Defender para Cloud, a integração com o Defender para Endpoint é ativada por padrão.
• A integração implanta automaticamente o agente do Defender para Endpoint nos dispositivos.

Este artigo explica como ativar manualmente o Defender para integração com o Endpoint caso ele já estivesse desligado ou se você tiver uma assinatura legada que exige inscrição manual.

Pré-requisitos

Antes de habilitar a integração com o Defender for Endpoint, examine estes requisitos.

Habilitar o Defender para integração com o Endpoint em uma assinatura

A integração do Defender para Ponto de Extremidade é habilitada por padrão quando você habilita um plano do Defender para Servidores. Se você desativar a integração em uma assinatura, poderá ativá-la manualmente novamente.

Para habilitar a integração do Defender for Endpoint em uma assinatura:

1. Vá para Defender para Nuvem>Configurações do ambiente.

2. Selecione a assinatura relevante.

3. Vá para Configurações e monitoramento>Proteção de endpoint.

4. Defina o status como Ativado.

   

5. Selecione Continuar.

6. Selecione Salvar.

7. O sensor do Defender para Endpoint é implantado em todas as máquinas Windows e Linux na assinatura selecionada.

   A integração pode levar até uma hora. Nos computadores Linux, o Defender para Nuvem detecta qualquer instalação anterior do Defender para Ponto de Extremidade e as reconfigura para que se integrem com o Defender para Nuvem.

Verificar a instalação em computadores Linux

Para verificar a instalação do sensor do Defender for Endpoint em uma máquina Linux:

1. Execute o seguinte comando do shell em cada computador: mdatp health. Se o Microsoft Defender para Endpoint estiver instalado, você poderá ver seu status de integridade:

   healthy : true

   licensed: true

2. Além disso, no portal do Azure, você pode verificar se os computadores Linux têm uma nova extensão do Azure chamada MDE.Linux.

Habilitar a solução unificada do Defender para Ponto de Extremidade no Windows Server 2016/2012 R2

Se o Defender para Servidores estiver habilitado e a integração do Defender para Endpoint estiver ativada em uma assinatura que existia antes da primavera de 2022, talvez seja necessário habilitar manualmente a integração da solução unificada para servidores que executam o Windows Server 2016 ou o Windows Server 2012 R2 na assinatura.

1. Vá para Defender para Nuvem>Configurações do ambiente.

2. Selecione a assinatura relevante.

3. Na coluna de Cobertura de monitoramento do plano Defender para Servidores, selecione Configurações.

   O status do componente Proteções de ponto de extremidade é Parcial, o que significa que nem todas as partes do componente estão habilitadas.

4. Selecione Corrigir para ver os componentes que não estão habilitados.

   

5. Acesse Componentes ausentes>Solução unificada.

6. Selecione Habilitar.

   

   O agente do Defender for Endpoint é instalado automaticamente em máquinas Windows Server 2012 R2 e 2016 conectadas ao Microsoft Defender para Nuvem.

7. Selecione Salvar.

8. Em Configurações e monitoramento, selecione Continuar.

   O Defender para Nuvem integra computadores existentes e novos ao Defender para Ponto de Extremidade.

   Caso você esteja configurando o Defender para Ponto de Extremidade na primeira assinatura em seu locatário, a integração pode levar até 12 horas. Para novos computadores e assinaturas criados após a integração ter sido habilitada pela primeira vez, a integração leva até uma hora.

Habilitar nos computadores Linux (plano/integração habilitados)

Se o Defender para Servidores já estiver habilitado e a integração do Defender para Endpoint estiver ativada em uma assinatura existente antes do verão de 2021, talvez seja necessário habilitar manualmente a integração para máquinas Linux.

1. Vá para Defender para Nuvem>Configurações do ambiente.

2. Selecione a assinatura relevante.

3. Na coluna de Cobertura de monitoramento do plano Defender para Servidores, selecione Configurações.

   O status do componente Proteções de ponto de extremidade é Parcial, o que significa que nem todas as partes do componente estão habilitadas.

4. Selecione Corrigir para ver os componentes que não estão habilitados.

   

5. Em computadores Linux de componentes ausentes > , selecione Habilitar.

   

6. Selecione Salvar.

7. Em Configurações e monitoramento, selecione Continuar.

   • O Defender para Nuvem integra os computadores Linux ao Defender para Ponto de Extremidade.
   • O Defender para Nuvem detecta quaisquer instalações anteriores do Defender para Endpoint em computadores Linux e as reconfigura para integração com o Defender para Nuvem.
   • Caso você esteja configurando o Defender para Ponto de Extremidade na primeira assinatura em seu locatário, a integração pode levar até 12 horas. Para computadores criados após a integração ter sido habilitada, a integração leva até uma hora.

8. Para verificar a instalação do sensor do Defender para Ponto de Extremidade em um computador Linux, execute o seguinte comando do shell em cada computador.

   mdatp health

   Se o Microsoft Defender para Endpoint estiver instalado, você poderá ver seu status de integridade:

   healthy : true

   licensed: true

9. No portal do Azure, você pode verificar se os computadores Linux têm uma nova extensão do Azure chamada MDE.Linux.

Habilitar a integração com o PowerShell em várias assinaturas

Para habilitar a integração do Defender for Servers para máquinas Linux ou Windows Server 2012 R2 e 2016 com a solução unificada Microsoft Defender para Ponto de Extremidade (MDE) em múltiplas assinaturas, você pode usar um dos scripts PowerShell no Defender para Nuvem Repositório GitHub.

• Use o script Habilitar a solução unificada do MDE para habilitar a integração com a solução unificada moderna do Defender para Ponto de Extremidade no Windows Server 2012 R2 ou Windows Server 2016.
• Use o script Habilitar a integração do MDE para Linux a fim de habilitar a integração do Defender para Ponto de Extremidade em computadores Linux.

Gerenciar atualizações automáticas para Linux

No Windows, as atualizações de versão do Defender para Ponto de Extremidade são fornecidas por meio de atualizações contínuas da base de conhecimento. No sistema Linux, você precisa atualizar o pacote do Defender para Endpoint.

• Quando você usa o Defender para Servidores com a extensão MDE.Linux, as atualizações automáticas do Microsoft Defender para Ponto de Extremidade são habilitadas por padrão.

• Se quiser gerenciar as atualizações de versão manualmente, você poderá desabilitar atualizações automáticas nos seus computadores. Para fazê-lo, adicione a seguinte tag aos computadores integrados com a extensão MDE.Linux.

  • Nome da marca: ExcludeMdeAutoUpdate
  • Valor da tag: true

Essa configuração tem suporte para VMs do Azure e máquinas do Azure Arc, em que a MDE.Linux extensão inicia a atualização automática.

Habilitar a integração em grande escala

Você pode habilitar a integração do Defender para Ponto de Extremidade em grande escala por meio da versão 2022-05-01 da API REST fornecida. Para ver os detalhes completes, confira a documentação da API.

O exemplo a seguir mostra o corpo da solicitação PUT que permite a integração do Defender para o Endpoint. Essa Microsoft.Security/settings configuração de recursos define a WDATP configuração para ativada, o que ativa a integração do Defender for Endpoint programaticamente para a assinatura especificada.

URI: https://management.azure.com/subscriptions/<subscriptionId>/providers/Microsoft.Security/settings/WDATP?api-version=2022-05-01

{
    "name": "WDATP",
    "type": "Microsoft.Security/settings",
    "kind": "DataExportSettings",
    "properties": {
        "enabled": true
    }
}

Acompanhar o status de implantação do Defender para Ponto de Extremidade

Você pode usar a pasta de trabalho do status de implantação do Defender para Ponto de Extremidade para acompanhar o status de implantação do Defender para Ponto de Extremidade em suas VMs do Azure e VMs habilitadas para o Azure Arc. A pasta de trabalho interativa fornece uma visão geral dos computadores no seu ambiente mostrando o status de implantação da extensão do Microsoft Defender para Ponto de Extremidade.

Acessar o portal do Microsoft Defender

Para acessar o portal Microsoft Defender do Defender para Nuvem, conclua as seguintes etapas:

1. Cerifique-se de que você tenha as permissões certas para o acesso ao portal.

2. Verifique se há um proxy ou firewall bloqueando o tráfego anônimo.

   • O sensor do Defender para Ponto de Extremidade se conecta por meio do contexto do sistema; portanto, o tráfego anônimo deve ser permitido.
   • Para garantir o acesso sem obstáculos ao portal do Microsoft Defender, habilite o acesso às URLs de serviço no servidor proxy.

3. Abra o portal Microsoft Defender. Saiba mais sobre incidentes e alertas no portal do Microsoft Defender.

Executar um teste de detecção

Para executar um teste de detecção, siga as instruções em Teste de detecção de EDR para verificar os serviços de integração do dispositivo e de geração de relatórios.

Remover o Defender para Ponto de Extremidade de um computador

Para remover a solução Defender para Ponto de Extremidade de seus computadores:

1. Para desabilitar a integração, nas >Configurações de ambiente do Defender para Nuvem, selecione a assinatura com os computadores relevantes.
2. Na página de planos do Defender, selecione Configurações e Monitoramento.
3. No status do componente de proteção do Ponto de Extremidade, selecione Desativado para desabilitar a integração com o Microsoft Defender para Ponto de Extremidade.
4. Selecione Continuar e Salvar para salvar suas configurações.
5. Remova a extensão MDE.Windows ou MDE.Linux do computador.
6. Desative o dispositivo no serviço do Microsoft Defender para Ponto de Extremidade.

Remover tags de integração do Defender para Endpoint

Quando um dispositivo Windows é integrado pelo Defender para Cloud, o Defender para Endpoint cria valores de registro relacionados ao Defender para Cloud. Essas marcas do Registro permanecem no dispositivo após o descarregamento e não afetam a funcionalidade.

Para remover essas marcas completamente, siga estas etapas. No Linux, o sistema armazena essas informações internamente e não as mostra no registro.

1. Selecione Iniciar, digite regedit e pressione Enter para abrir o Editor do Registro.

2. No painel esquerdo, vá para:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Advanced Threat Protection\DeviceTags

3. Exclua esses nomes de valor se eles existirem:

   • AzureResourceId
   • SecurityWorkspaceId
   • SecurityAgentId