Integrar dispositivos Windows ao Microsoft Defender para Ponto de Extremidade com Política de Grupo

  • Aplica-se a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Você pode usar a Estratégia de Grupo do Active Directory Domain Services (AD DS) para incorporar clientes Windows suportados e dispositivos Windows Server ao Microsoft Defender para Ponto de Extremidade em larga escala. Este artigo explica como implantar o pacote de integração, configurar a coleta de amostras, verificar a implantação e remover dispositivos da integração. Antes de começar, revise os pré-requisitos de implantação e confirme se a Política de Grupo é o método adequado para o seu ambiente.

Observação

A ferramenta de implementação do Defender pode ser utilizada para implementar a segurança do ponto final do Defender em dispositivos Windows e Linux. A ferramenta é uma aplicação leve e de atualização automática que simplifica o processo de implementação. Para obter mais informações, veja Implementar Microsoft Defender segurança de pontos finais em dispositivos Windows com a ferramenta de implementação do Defender e Implementar Microsoft Defender segurança de pontos finais em dispositivos Linux com a ferramenta de implementação do Defender (pré-visualização).

Pré-requisitos

Para comparar a Política de Grupo com outras opções de implantação, consulte Identificar a arquitetura e os métodos de implantação do Defender for Endpoint.

Integrar dispositivos usando Política de Grupo

Baixe o pacote de onboarding, crie uma tarefa agendada imediatamente e implante a tarefa nos dispositivos Windows que você deseja integrar.

  1. Na página de Onboarding no portal do Microsoft Defender em https://security.microsoft.com/securitysettings/endpoints/onboarding, configure o pacote:

    1. Passo 1: Selecione um sistema operacional para iniciar a implantação: Selecione o grupo de versões do sistema operacional para os dispositivos de destino. Não selecione o Windows, que inicia o fluxo de trabalho separado da ferramenta de implantação do Defender.
    2. Se o tipo de conectividade estiver disponível, selecione o método de conectividade para o seu ambiente.
    3. Para o método de implantação, selecione Política de Grupo.
    4. Selecione Baixar pacote de integração.

  2. Extraia o arquivo baixado .zip para um local compartilhado, somente leitura, que os dispositivos alvo possam acessar. O pacote extraído contém o WindowsDefenderATPOnboardingScript.cmd arquivo.

  3. Abra o GPMC, clique com o botão direito em Objetos de Política de Grupo e selecione Novo. Digite um nome para a GPO e então selecione OK.

  4. Clique com o botão direito na nova GPO e selecione Editar.

  5. No Editor de Gerenciamento de Políticas de Grupo, vá emPreferências> de >Configuração do Computador, Configurações do Painel de Controle.

  6. Clique com o botão direito em Tarefas Agendadas, selecione Novo e depois selecione Tarefa Imediata (pelo menos Windows 7).

  7. Na aba Geral , configure a tarefa:

    1. Nas opções de Segurança, selecione Alterar Usuário ou Grupo.
    2. Digite, SYSTEMselecione Verificar Nomes e então selecione OK. A conta aparece como NT AUTHORITY\SYSTEM.
    3. Selecione Executar se o usuário está conectado ou não.
    4. Selecione Executar com privilégios mais altos.
    5. Insira um nome descritivo da tarefa, como Defender for Endpoint onboarding.

    Observação

    No Windows Server 2019 e versões posteriores, se a preferência de Políticas de Grupo XML contiver NT AUTHORITY\Well-Known-System-Account, substitua esse valor por NT AUTHORITY\SYSTEM.

  8. Na aba Ações , selecione Novo e configure a ação:

    1. Para Ação, selecione Iniciar um programa.
    2. Para programa/script, insira o caminho da Convenção Universal de Nomes (UNC) para o arquivo compartilhado WindowsDefenderATPOnboardingScript.cmd . Use o nome de domínio totalmente qualificado (FQDN) do servidor de arquivos no caminho.
    3. Selecione OK.

  9. Selecione OK e feche o Editor de Gestão de Políticas de Grupo.

  10. No GPMC, vincule o GPO ao site, domínio ou OU que contém os dispositivos de destino. Teste a GPO com um grupo limitado de dispositivos antes de implantá-la de forma ampla.

Para informações sobre vinculação e validação de GPOs, veja Console de Gerenciamento de Políticas de Grupo.

Configurar a coleta de amostras

Defender for Endpoint pode coletar arquivos de dispositivos integrados quando um analista solicita um arquivo para análise aprofundada. Configure a política de coleta de amostras para controlar se os dispositivos podem responder a essas solicitações.

  1. No dispositivo em que você gerencia a Política de Grupo, copie os arquivos de modelo administrativo do Defender for Endpoint do pacote de integração extraído:

    • Para uma pasta local de Definições de Políticas:
      • Copiar AtpConfiguration.admx para C:\Windows\PolicyDefinitions.
      • Copie AtpConfiguration.adml para a pasta do idioma aplicável, como C:\Windows\PolicyDefinitions\en-US.
    • Para uma loja central:
      • Copiar AtpConfiguration.admx para \\<forest-root>\SYSVOL\<forest-root>\Policies\PolicyDefinitions.
      • Copie AtpConfiguration.adml para a pasta do idioma aplicável, como \\<forest-root>\SYSVOL\<forest-root>\Policies\PolicyDefinitions\en-US.

  2. No GPMC, clique com o botão direito na GPO que você usa para as configurações do Defender para o Endpoint e selecione Editar.

  3. No Editor de Gerenciamento de Política de Grupo, vá para Configuração do Computador>Políticas>Modelos Administrativos>Componentes do Windows>Windows Defender ATP.

    Observação

    Windows Defender ATP é o nome legado que aparece neste modelo administrativo.

  4. Abra Habilitar ou desativar Coleta de amostras, selecione Ativado, selecione Habilitar coleta de amostras nas máquinas e então selecione OK.

Se você não configurar essa política, a coleta de samples é ativada por padrão.

O onboarding conecta dispositivos ao Defender for Endpoint, mas não configura o Microsoft Defender Antivirus nem outros recursos de proteção de endpoints. Use a mesma GPO ou GPOs separadas para configurar os controles de segurança exigidos pela sua organização.

Atualizar a configuração do Endpoint Protection

Na versão 4.18.2208.0 e posteriores da plataforma Microsoft Defender Antivirus, a política Desativar o Windows Defender não desabilita mais completamente o Microsoft Defender Antivirus em dispositivos integrados que executam o Windows Server 2012 R2 e versões posteriores. Em vez disso, a política coloca o Defender Antivirus em modo passivo. Se a política já estiver ativada antes de você embarcar no servidor, o Defender Antivírus permanece desativado. Esse comportamento se aplica apenas a servidores integrados ao Defender for Endpoint.

Se você usar uma solução antivírus que não seja da Microsoft, revise a compatibilidade com o Microsoft Defender Antivirus antes de configurar o modo antivírus. Caso contrário, no Editor de Gerenciamento de Política de Grupo, vá em Configuração do Computador>Políticas>Modelos Administrativos>Componentes do Windows>Microsoft Defender Antivírus e defina Desativar o Microsoft Defender Antivírus como Desabilitado ou Não configurado. Para o modo Windows Server e ForceDefenderPassiveMode orientações, veja Configurar o Microsoft Defender Antivirus no Windows Server.

Configure e teste as seguintes proteções de acordo com as necessidades da sua organização:

Verificar a integração inicial do dispositivo

A Política de Grupo não informa o status da implantação ao Microsoft Defender for Endpoint. Use os Resultados da Política de Grupo para confirmar que a GPO se aplicou e então verifique o dispositivo no portal do Defender.

  1. Na página de inventário de dispositivos no portal do Microsoft Defender, https://security.microsoft.com/machines?category=all-devicespesquise pelo dispositivo.

  2. Abra a página do dispositivo e verifique se o dispositivo está integrado e se o estado de saúde do sensor está ativo.

Depois que a GPO for aplicada e a tarefa agendada for executada, o dispositivo normalmente aparecerá no inventário em poucos minutos. Replicação de Políticas de Grupo, atualização de políticas e conectividade de rede podem atrasar o relatório.

Para gerar um alerta de teste e confirmar o relato de ponta a ponta, veja Executar um teste de detecção em um dispositivo recém-incorporado. Se o dispositivo não aparecer ou reportar como esperado, veja Solucionar problemas de integração no Microsoft Defender para Ponto de Extremidade.

Desativar dispositivos por meio da Política de Grupo

O pacote de desativação expira sete dias depois de ser baixado. O Defender for Endpoint rejeita pacotes expirados, e a data de expiração aparece no nome do arquivo do pacote.

Importante

Não implante políticas de onboarding e offboarding no mesmo dispositivo ao mesmo tempo. Remova ou desvincule a GPO de onboarding dos dispositivos de destino antes de implantar a GPO de offboarding.

Para desativar dispositivos por meio da Política de Grupo, crie uma GPO separada para a tarefa de desativação:

  1. Na página Desativação no portal do Microsoft Defender em https://security.microsoft.com/securitysettings/endpoints/offboarding, configure o pacote:

    1. Selecione o grupo de versões do sistema operacional para os dispositivos de destino. Não selecione o Windows, que inicia o fluxo de trabalho separado da ferramenta de implantação do Defender.
    2. Para o método de implantação, selecione Política de Grupo.
    3. Selecione Baixar pacote e, em seguida, selecione Download no diálogo de confirmação.

  2. Extraia o arquivo baixado .zip para um local compartilhado, somente leitura, que os dispositivos alvo possam acessar. O pacote extraído contém um arquivo chamado WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd.

  3. No GPMC, crie uma GPO para o desligamento e edite a GPO.

  4. No Editor de Gerenciamento de Políticas de Grupo, vá emPreferências> de >Configuração do Computador, Configurações do Painel de Controle.

  5. Clique com o botão direito em Tarefas Agendadas, selecione Novo e depois selecione Tarefa Imediata (pelo menos Windows 7).

  6. Na aba Geral , configure a tarefa para:

    • Executar como NT AUTHORITY\SYSTEM.
    • Execute independentemente de o usuário estar logado ou não.
    • Corra com os privilégios mais altos.
    • Use um nome descritivo, como Defender for Endpoint offboarding.

  7. Na aba Ações , selecione Novo e configure a ação:

    1. Para Ação, selecione Iniciar um programa.
    2. Para Program/script, insira o caminho UNC para o arquivo compartilhado WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd . Use o FQDN do servidor de arquivos no caminho.
    3. Selecione OK.

  8. Selecione OK, feche o Editor de Gerenciamento de Política de Grupo e vincule a GPO de desligamento ao site, ao domínio ou à OU de destino.

O desacoplamento impede que o dispositivo envie novos dados de detecção, vulnerabilidade e segurança para o Defender for Endpoint. Os dados históricos permanecem no portal do Defender até que o período de retenção configurado expire. O perfil do dispositivo, sem dados, permanece no inventário do dispositivo por até 180 dias. Para obter mais informações, consulte Dispositivos externos.

Conteúdo relacionado

  • Última atualização em