Implante dispositivos Windows usando a ferramenta de implantação Microsoft Defender

A ferramenta de implantação Microsoft Defender é um aplicativo leve e autoatualizável que instala pré-requisitos e integra dispositivos Windows suportados ao Microsoft Defender para Ponto de Extremidade. Execute a ferramenta interativamente em dispositivos individuais ou automative-a com parâmetros de linha de comando, arquivos de configuração, Políticas de Grupo, Microsoft Configuration Manager ou outro sistema de implantação de software.

Use a ferramenta de implantação como um método de integração separado. Ele não se integra com o onboarding via Microsoft Intune, Microsoft Defender para Nuvem ou outros métodos de implantação. Antes de começar, revise os sistemas operacionais suportados e os pré-requisitos.

A ferramenta de implantação oferece os seguintes recursos:

• Tratamento pré-requisito: Verifica atualizações necessárias e resolve problemas que bloqueiam a implantação.
• Registro e feedback: Registra as operações em um log local e exibe descrições de erro em modo interativo.
• Instalação e atualizações: Evita reinstalar componentes existentes e baixa os componentes atuais quando necessário.
• Automação: Suporta parâmetros de linha de comando e arquivos de configuração reutilizáveis para implantações automatizadas.
• Staging: Baixa arquivos de instalação para dispositivos alvo que não podem baixar os arquivos diretamente.
• Modo passivo do servidor: Configura o Microsoft Defender Antivirus para rodar no modo passivo no Windows Server.
• Infraestrutura de área de trabalho virtual não persistente (VDI): Ajuda dispositivos recriados com o mesmo nome de host a aparecerem como um único dispositivo no portal do Defender.
• Barreiras de proteção do pacote: exige uma chave de acesso gerada pelo portal para a integração e oferece suporte a datas de término do pacote de um dia a um ano. Use o período de validade prático mais curto.
• Gerenciamento de pacotes: Lista pacotes de implantação no portal Microsoft Defender e permite filtrá-los por propriedades como status e data de expiração.
• Ajuda integrada: Exibe as opções disponíveis na linha de comando quando você executa DefenderDT.exe -?.

No modo interativo, a ferramenta solicita a chave de acesso do portal Defender, instala as atualizações necessárias e os componentes do Defender, e conecta o dispositivo ao Defender for Endpoint. Se a instalação exigir reiniciação, faça login após o reinício para que a ferramenta possa retomar.

Para implantações avançadas e em larga escala, use parâmetros de linha de comando ou um arquivo de configuração.

Sistemas operacionais com suporte

A ferramenta de implementação do Defender suporta os seguintes sistemas operativos:

• Windows 11
• Windows 10, versão 1809 (novembro de 2018) ou posterior
• Windows 7 SP1
• Windows Server 2016 ou posterior
• Windows Server 2012 R2
• Windows Server 2008 R2 SP1

Pré-requisitos

Revise os pré-requisitos gerais e os requisitos para Windows 7 SP1 e Windows Server 2008 R2 SP1 antes de implantar a ferramenta.

Pré-requisitos gerais

• A maioria das operações exige privilégios administrativos.

• Permitir acesso a definitionupdates.microsoft.com. A ferramenta baixa atualizações e arquivos de instalação desse domínio. Como os arquivos são hospedados em uma rede de distribuição de conteúdo, os intervalos de endereços IP associados não são estáticos ou previsíveis.

• A ferramenta verifica a conectividade com sua organização antes da integração. Outros recursos do Defender for Endpoint também exigem acesso a URLs de serviço, como *.endpoint.security.microsoft.com. Para os requisitos completos, veja Configurar seu ambiente de rede para garantir conectividade com o serviço Defender for Endpoint.

Para uma conectividade simplificada, exclua o tráfego para *.endpoint.security.microsoft.com da inspeção SSL/TLS, da interceptação HTTPS e do proxy man-in-the-middle (MITM). Se você habilitar a inspeção SSL, os sensores do Defender for Endpoint poderão não conseguir se comunicar com os serviços de back-end, o que resulta em falhas na integração inicial ou na conectividade.

Pré-requisitos para Windows 7 SP1 e Windows Server 2008 R2 SP1

• Os dispositivos devem rodar uma versão x64 do Windows 7 SP1 ou Windows Server 2008 R2 SP1. Instale as atualizações mais recentes disponíveis para reduzir o tempo de instalação e a probabilidade de reiniciação.

• Instale suporte para assinatura de código SHA-2. A ferramenta de implantação exige pelo menos KB4474419.

  • Instale a atualização da pilha de serviço (SSU ) KB4490628. O Windows Update oferece automaticamente a SSU necessária.

  • Instale a atualização SHA-2 KB4474419, lançada em 10 de setembro de 2019. O Windows Update oferece automaticamente a atualização necessária.

• No Windows Server 2008 R2 SP1, instale o .NET Framework 3.5 ou mais recente.

Gerar e baixar um novo pacote de integração

Gerar um pacote de integração e uma chave de acesso no portal Microsoft Defender. Você precisa da chave de acesso quando roda a ferramenta de forma interativa ou com o -Key parâmetro.

1. Na página de Onboarding do portal Microsoft Defender em https://security.microsoft.com/securitysettings/endpoints/onboarding, configure as seguintes configurações:

   • Passo 1: Selecione um sistema operacional para iniciar a implantação: Selecione Windows.
   • Passo 2: Escolha uma opção de implantação: Selecione Onboard no Deploy baixando e aplicando pacotes ou arquivos>da ferramenta de implantação Defender.

   

2. No painel Gerar a ferramenta de implantação do Defender com uma chave de acesso que é aberto, configure o pacote:

   • Nome: Insira um nome de pacote único e descritivo.
   • Organização: Verifique a organização exibida.
   • Expira: use o período de validade prático mais curto possível para reduzir o risco de uso não autorizado de pacotes:
     • Em 7 dias (padrão)
     • Em 30 dias
     • Personalizado (até um ano)

   Selecione Gerar.

   

3. Quando o pacote estiver pronto, copie e armazene a chave de acesso com segurança.

   

4. Selecione a ferramenta de implantação Download e salve o executável baixado.

Implantar a segurança de endpoint do Defender em dispositivos

Execute a ferramenta de implantação do Defender de forma interativa ou não.

Utilização interativa

Use o modo interativo para um dispositivo ou um pequeno número de dispositivos. Clique duas vezes no executável para usar as configurações padrão de integração ou execute a ferramenta a partir do Prompt de Comando para especificar opções.

Para integrar um dispositivo com as configurações padrão:

1. Faça duplo clique no executável para o iniciar.

2. No diálogo que confirma que a integração vai começar, selecione Continuar.

3. Introduza a chave da ferramenta de implementação do Defender que copiou do portal e, em seguida, selecione Continuar.

   

4. Espere a instalação terminar e então selecione OK. Se a ferramenta exigir reiniciação, faça login após o reinício para que a instalação possa retomar.

Utilização não interativa

Use a interface de linha de comando para automatizar a instalação e o onboarding ou para executar outras operações, como verificações de pré-requisitos.

Para os parâmetros disponíveis, veja a referência de comandos da ferramenta de implantação Defender. Para visualizar a referência do comando da versão da sua ferramenta baixada, execute DefenderDT.exe -?.

Implementações avançadas e em grande escala

Execute a ferramenta de implantação Defender de forma não interativa a partir do Group Policy, Microsoft Configuration Manager ou outro sistema de implantação de software. Use parâmetros de linha de comando para personalizar a integração inicial, o ambiente de homologação, as atualizações, as reinicializações, os servidores proxy e outras operações.

Para implantações recorrentes, use um arquivo de configuração em vez de repetir parâmetros de linha de comando. Execute a ferramenta com -MakeConfig para gerar DefenderDTconfig.txt. Edite a configuração e, depois, carregue-a com -Config:<path>. Se você não especificar um caminho, a ferramenta procura DefenderDTconfig.txt na pasta atual. Para obter um exemplo, consulte Usar um arquivo de configuração.

Referência de comando da ferramenta de implantação do Defender

A tabela a seguir lista os parâmetros disponíveis na ferramenta de implantação do Defender versão 1.0.0.6 (setembro de 2026). Execute DefenderDT.exe -? para verificar os parâmetros disponíveis na versão baixada.

Use um Prompt de Comando elevado (uma janela do Prompt de Comando aberta por você ao selecionar Executar como administrador) para integração, remoção, desinstalação, atualização e geração de arquivo de configuração. As operações -Help, -Precheck e -Stage não exigem privilégios administrativos. Um arquivo de configuração também contorna a verificação de administrador quando especifica apenas precheck ou staging.

Exemplos de utilização

Substitua caminhos provisórios, chaves e endereços proxy nos exemplos a seguir por valores para o seu ambiente. Use um Prompt de Comando com privilégios elevados, exceto nos exemplos de precheck e staging.

• Execute a sequência padrão de integração sem exibir diálogos. A ferramenta usa WindowsDefenderATP.onboarding da pasta atual:

  DefenderDT.exe -Quiet
  

• Integre usando uma chave de acesso, configure um proxy, permita um reinício obrigatório e evite diálogos:

  DefenderDT.exe -Key:<access-key> -Proxy:https://proxy.contoso.com:8080 -AllowReboot -Quiet
  

• Integrar usando um arquivo de integração em um local de rede sem exibir caixas de diálogo:

  DefenderDT.exe -File:\\server.contoso.com\share\WindowsDefenderATP.onboarding -Quiet
  

• Desincorpore o dispositivo usando um arquivo local de desincorporação, sem solicitar confirmação nem exibir caixas de diálogo:

  DefenderDT.exe -Offboard -File:C:\Packages\WindowsDefenderATP.offboarding -Yes -Quiet
  

• Verifique pré-requisitos, exiba resultados detalhados e evite diálogos:

  DefenderDT.exe -PreCheck -Verbose -Quiet
  

• Baixe os arquivos de instalação de todas as versões com suporte do Windows para um caminho absoluto de preparação:

  DefenderDT.exe -Stage:C:\DefenderDT\StagedFiles
  

Usar um arquivo de configuração

Gere um arquivo de configuração quando quiser reutilizar os mesmos parâmetros em várias implantações.

1. Gerar DefenderDTconfig.txt na pasta atual:

   DefenderDT.exe -MakeConfig
   

2. Abra DefenderDTconfig.txt em um editor de texto e configure os parâmetros para sua implantação. Use caminhos absolutos para parâmetros que aceitam um caminho.

3. Execute a ferramenta com o ficheiro de configuração. O exemplo a seguir carrega o arquivo a partir de um local de rede:

   DefenderDT.exe -Config:\\server.contoso.com\share\DefenderDTconfig.txt
   

   Se DefenderDTconfig.txt estiver na pasta atual, execute DefenderDT.exe -Config.

Implantar usando a Política de Grupo

Use uma tarefa agendada imediata da Política de Grupo para executar a ferramenta de implantação como SYSTEM com permissões elevadas. Para as etapas genéricas de criar, configurar, vincular e testar a tarefa agendada, veja Dispositivos a bordo usando a Estratégia de Grupo.

Use estes valores específicos da ferramenta de implantação do Defender:

• Armazene DefenderDT.exe, o arquivo .onboarding e qualquer arquivo DefenderDTconfig.txt em um local compartilhado e somente leitura ao qual os dispositivos de destino possam acessar.
• Para Program/script, insira o caminho completo da Convenção Universal de Nomenclatura (UNC) para DefenderDT.exe. Use o nome de domínio totalmente qualificado (FQDN) do servidor de arquivos.
• Para argumentos de Adição, insira os parâmetros de linha de comando necessários. Por exemplo, use -File:\\server\share\WindowsDefenderATP.onboarding -Quiet quando o arquivo de onboarding não está no diretório de trabalho da ferramenta.
• Execute a tarefa como NT AUTHORITY\SYSTEM, independentemente de o usuário estar logado, e selecione Executar com os maiores privilégios.
• Teste o objeto de Políticas de Grupo (GPO) com um grupo de dispositivos limitado antes de uma implantação mais ampla.

Para mais informações sobre o console de gerenciamento, veja Console de Gerenciamento de Políticas de Grupo.

Remover um dispositivo

Para remover um dispositivo, baixe o pacote de remoção no portal do Defender, transfira-o para o dispositivo de destino e execute a ferramenta de implantação usando o pacote.

Passo 1: Baixar o pacote de desativação

1. Na página de Desembarque do portal Microsoft Defender em https://security.microsoft.com/securitysettings/endpoints/offboarding, selecione Windows em Selecionar sistema operacional.

2. Em ferramenta de implantação do Defender, selecione Baixar pacote para baixar o arquivo .zip que contém o script de desativação.

   

Passo 2: executar o comando de exclusão

Complete estes passos no dispositivo que você deseja retirar:

1. Copie o .zip arquivo para o dispositivo de destino e extraia o .offboarding arquivo.

2. Execute a ferramenta de implantação em um Prompt de Comando elevado usando o caminho absoluto para o arquivo extraído .offboarding. Por exemplo:

   DefenderDT.exe -Offboard -File:C:\Packages\WindowsDefenderATP.offboarding
   

3. Digite Y na janela de confirmação para prosseguir.

4. Aguarde a conclusão do processo. Após um offboarding bem-sucedido, a ferramenta exibe a seguinte mensagem:

   Microsoft Defender deployment tool completed, exit code: 0 [Success]
   

Considerações e limitações

Revise as limitações gerais e as limitações do Windows 7 SP1 e Windows Server 2008 R2 SP1.

Considerações e limitações gerais

• Se a sequência interativa exigir um reinício, faça login novamente após o reinício para que a ferramenta possa retomar. Caso contrário, o dispositivo não será totalmente integrado.

• No Windows Server 2016 e versões posteriores, a etapa de Habilitar o Recurso 'Windows-Defender' pode falhar se o recurso Microsoft Defender Antivirus for desinstalado ou removido. A interface do usuário e o log local mostram código 710 de saída e EnableFeatureFailed. O log também pode conter erro 14081 e 0x3701 The referenced assembly could not be found. Abra um caso de suporte para o Windows Server se encontrar esse problema.

Problemas conhecidos e limitações do Windows 7 SP1 e Windows Server 2008 R2 SP1

• Você pode receber alertas sobre sense1ds.dll, MpCmdRun.exe, MsSense.exe, msmplics.dll e mpsvc.dll carregados por mpcommu.dll ou mpclient.dll. Os alertas devem ser resolvidos com o tempo.

• No Windows 7 SP1 e no Windows Server 2008 R2 SP1 com o pacote Desktop Experience instalado, o Centro de Ação pode exibir que o Windows não encontrou antivírus nesse computador. A notificação não indica problema de implantação.

• Use a versão pré-visualizada da ferramenta de analisador de clientes para coletar logs e diagnosticar a conectividade no Windows 7 SP1 e Windows Server 2008 R2 SP1. O analisador requer PowerShell 5.1 ou posterior.

• O Microsoft Defender Antivirus não oferece uma interface local de usuário nesses sistemas operacionais. Para gerenciar as configurações do Microsoft Defender Antivirus localmente, instale o PowerShell 5.1 ou posterior.

• A configuração da Estratégia de Grupo requer um Armazenamento Central com templates atuais de Políticas de Grupo em um controlador de domínio. Para usar o Editor de Política de Grupo Local, atualize manualmente WindowsDefender.admx e WindowsDefender.adml com os modelos mais recentes do Windows 11.

• A solução de segurança para endpoints do Defender é instalada em C:\Program Files\Microsoft Defender para Ponto de Extremidade.

• O -Passive parâmetro da ferramenta de implantação aplica-se ao Windows Server. Não é suportado para Windows 7 SP1.

Solução de problemas

Revise o log da ferramenta de implantação do Defender para detectar problemas durante a instalação e o onboarding. O registro está localizado em:

C:\ProgramData\Microsoft\DefenderDeploymentTool\DefenderDeploymentTool-<COMPUTERNAME>.log

A ferramenta também registra eventos nestes logs de eventos do Windows:

• Integração: Logs do Windows > Aplicativo > Origem: WDATPOnboarding
• Desativação: Logs do Windows > Aplicativo > Origem: WDATPOffboarding

Para verificar se a instalação foi bem-sucedida, complete estas verificações:

1. Verifique se os serviços estão em execução com os seguintes comandos:

   Sc.exe query sense
   
   Sc.exe query windefend
   

   Deverá ver o seguinte resultado:

   SERVICE_NAME: sense
           TYPE               : 10  WIN32_OWN_PROCESS
           STATE              : 4  RUNNING
                                   (STOPPABLE, NOT_PAUSABLE, ACCEPTS_PRESHUTDOWN)
           WIN32_EXIT_CODE    : 0  (0x0)
           SERVICE_EXIT_CODE  : 0  (0x0)
           CHECKPOINT         : 0x0
           WAIT_HINT          : 0x0
   
   SERVICE_NAME: windefend
           TYPE               : 10  WIN32_OWN_PROCESS
           STATE              : 4  RUNNING
                                   (STOPPABLE, NOT_PAUSABLE, ACCEPTS_SHUTDOWN)
           WIN32_EXIT_CODE    : 0  (0x0)
           SERVICE_EXIT_CODE  : 0  (0x0)
           CHECKPOINT         : 0x0
           WAIT_HINT          : 0x0
   

2. Para logs, configurações e outras informações de diagnóstico do Defender Antivírus, veja Coletar dados de diagnóstico do Microsoft Defender Antivírus.

3. Use a ferramenta de analisador cliente para coletar logs e solucionar problemas de conectividade no Windows.

Códigos de saída

Para implantações em larga escala por meio de uma solução de distribuição de software, monitore os seguintes códigos de saída:

Conteúdo relacionado

• Implementar a solução de segurança de ponto final do Defender para dispositivos Windows 7 SP1 e Windows Server 2008 R2 SP1
• Restringir ações de resposta em ativos de alto valor