Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Use este guia para implantar o Microsoft Defender para Ponto de Extremidade Plan 1. Revise os requisitos, escolha um método de implantação, dispositivos a bordo e configure os recursos de proteção incluídos no Plano 1.
O processo de instalação e configuração
O processo geral de configuração e configuração do Defender for Endpoint Plan 1 é o seguinte:
| Etapa | Descrição | |
|---|---|---|
| 1 | Analisar os requisitos | Verifique requisitos de licenciamento, sistema operacional, hardware, rede e armazenamento de dados. |
| 2 | Planejar sua implantação | Escolha uma arquitetura e um método de implantação. |
| 3 | Configurar seu ambiente | Prepare sua organização para a implantação. |
| 4 | Atribuir funções e permissões | Dê à sua equipe de segurança as permissões que elas precisam. |
| 5 | Integrar ao Defender for Endpoint | Escolha um método de integração para cada sistema operacional. |
| 6 | Configurar a proteção de última geração | Configure as configurações do Microsoft Defender Antivirus no Microsoft Intune. |
| 7 | Configurar capacidades de redução de superfície de ataque | Configure as capacidades de redução da superfície de ataque incluídas no Plano 1. |
Analise os requisitos do sistema
Antes da implantação, verifique as licenças, sistemas operacionais e navegadores suportados, hardware, conectividade de rede e necessidades de armazenamento de dados. Para os requisitos atuais, veja Requisitos mínimos para Microsoft Defender para Ponto de Extremidade.
Defender para Endpoint Plan 1 e Plan 2 não incluem licenças de servidor. Para requisitos de licenciamento e integração de servidores, veja Onboard Windows Server.
Planejar sua implantação
Escolha uma arquitetura e método de implantação com base nas ferramentas e ambiente de gerenciamento de dispositivos existentes. As arquiteturas de implantação incluem nativas da nuvem, cogerenciamento, locais e avaliação ou integração local.
O Microsoft Intune é a ferramenta recomendada para configurar e distribuir os recursos do Defender para Ponto de Extremidade aos dispositivos. No entanto, o Intune é um produto separado que não faz parte do Defender para Endpoint e não está incluído em todas as assinaturas. Para usar o Intune, você precisa de uma assinatura que a inclua ou pode comprá-la separadamente como uma assinatura autônoma ou complemento. Se você não tiver o Intune, poderá usar qualquer um dos outros métodos neste artigo. Para obter mais informações, confira Licenciamento do Microsoft Intune.
Para orientações sobre a escolha de uma arquitetura e método de implantação, veja Identificar sua arquitetura e selecionar um método de implantação para Defender for Endpoint.
O poster de implantação a seguir oferece um resumo visual das opções disponíveis:
Configure seu ambiente
Prepare seu ambiente para o Defender for Endpoint completando as seguintes tarefas:
- Verifique suas licenças.
- Configure sua organização.
- Configure as configurações do proxy, se necessário.
- Verifique se os sensores funcionam corretamente e reporte os dados ao Defender for Endpoint.
Para orientações detalhadas de configuração, veja Configurar Defender para Endpoint.
Atribuir funções e permissões
Atribua funções que deem à sua equipe de segurança as permissões necessárias para acessar o portal do Microsoft Defender, configurar o Defender para o Endpoint e responder a ameaças detectadas. Use funções com o mínimo de permissões necessárias para cada tarefa.
O Defender for Endpoint oferece suporte a funções do Microsoft Entra e ao controle de acesso baseado em função (RBAC). Para orientações atuais sobre permissões, veja Atribuir papéis e permissões.
Importante
Após fevereiro de 2025, novos clientes do Defender for Endpoint utilizam o Microsoft Defender Unified RBAC. Os clientes existentes mantêm suas funções e permissões atuais. Para obter mais informações, veja Microsoft Defender RBAC unificado.
Integrar-se ao Defender para Endpoint
Escolha um método de integração para cada sistema operacional e ambiente de gerenciamento. Para a lista atual de ferramentas de implantação, veja Selecionar seu método de implantação.
Depois de instalar seus dispositivos, configure a proteção de próxima geração e capacidades de redução de superfícies de ataque.
Configurar a proteção de última geração
Recomendamos o uso do Microsoft Intune para gerenciar os dispositivos e configurações de segurança da sua organização:
Para configurar a proteção de próxima geração no Intune, use uma política de antivírus de segurança para endpoints. Para instruções detalhadas, veja Criar políticas de segurança para endpoints.
Ao criar a política, use estas configurações específicas:
-
Tipo de política: Vá em Gerenciar>Antivírus na Segurança do Endpoint | Página de visão geral em https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/overview, e então selecione
Criar política. - Plataforma: Selecione Windows.
- Perfil: selecione Microsoft Defender Antivírus.
Na aba Configurações de configuração, defina as configurações do antivírus para sua organização. Para descrições das configurações disponíveis, veja as configurações da política de antivírus do Windows para o Microsoft Defender Antivirus.
Para opções de configuração do iOS, veja Configurar Microsoft Defender para Ponto de Extremidade em recursos do iOS.
Configure seus recursos de redução da superfície de ataque
A redução da superfície de ataque reduz os pontos onde sua organização fica vulnerável a ataques. O Defender for Endpoint Plan 1 inclui as seguintes capacidades de redução de superfície de ataque:
| Recurso/funcionalidade | Descrição |
|---|---|
| Regras de redução da superfície de ataque (RSA) | As regras ASR visam comportamentos de software de risco em dispositivos Windows que os invasores normalmente exploram por meio de malware (por exemplo, iniciando scripts que baixam arquivos, executando scripts ofuscados e injetando código em outros processos). |
| Mitigação de ransomware | Configure a mitigação de ransomware configurando o CFA (acesso controlado a pastas), que ajuda a proteger os dados valiosos da sua organização contra aplicativos mal-intencionados e ameaças, como ransomware. |
| Controle de dispositivo | Defina as configurações de controle de dispositivo para sua organização para permitir ou bloquear dispositivos removíveis (como unidades USB). |
| Proteção de rede | Configure a proteção de rede para impedir que as pessoas em sua organização usem aplicativos que acessam domínios perigosos ou conteúdo mal-intencionado na Internet. |
| Proteção na web | Configure a proteção contra ameaças da Web para proteger os dispositivos da sua organização contra sites de phishing, sites de exploração e outros sites não confiáveis ou de baixa reputação. Configure a filtragem de conteúdo da Web para rastrear e regular o acesso a sites com base em suas categorias de conteúdo (como Lazer, Alta largura de banda, Conteúdo adulto ou Responsabilidade legal). |
| Firewall de rede | Configure o firewall de rede com regras que determinam qual tráfego de rede tem permissão para entrar ou sair dos dispositivos da sua organização. |
| Controle de aplicativos | Configure as regras de controle de aplicativos se quiser permitir que apenas aplicativos e processos confiáveis sejam executados em seus dispositivos Windows. |
Regras de redução da superfície de ataque (ASR)
As regras de redução da superfície de ataque (ASR) estão disponíveis no Microsoft Defender Antivírus em dispositivos Windows. Para obter os métodos de implantação disponíveis, consulte Métodos de implantação e configuração para regras ASR.
Normalmente, você pode habilitar as regras de proteção padrão no modo Bloquear ou Avisar sem testar. Você deve testar outras regras ASR no modo de auditoria antes de alterná-las para o modo de bloqueio ou aviso . Para obter mais informações, consulte o guia de implantação de regras ASR.
Mitigação de ransomware
Você conta com proteção contra ransomware por meio do acesso controlado a pastas, que permite que apenas aplicativos confiáveis acessem pastas protegidas em seus endpoints.
Para configurar o acesso controlado a pastas no Intune, confira Configurar regras e exclusões ASR no Intune usando políticas de segurança do ponto de extremidade. Use as configurações Habilitar acesso controlado a pastas, Pastas protegidas do acesso controlado a pastas e Aplicativos permitidos do acesso controlado a pastas na política.
Para obter mais informações, consulte a visão geral do CFA (acesso controlado a pastas).
Controle de dispositivos
Você pode configurar o Defender para Endpoint para bloquear ou permitir dispositivos removíveis e arquivos em dispositivos removíveis. No Intune, use uma política de redução de superfície de ataque de segurança de pontos de extremidade. Para instruções detalhadas, veja Criar políticas de segurança para endpoints.
Observação
O controle de dispositivo não é suportado no Windows Server.
Ao criar a política, use estas configurações específicas:
-
Tipo de política: Acesse Gerenciar>Redução da superfície de ataque na página Segurança do endpoint | Visão geral em https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/overview, e depois selecione Criar política.
- Plataforma: Selecione Windows.
- Perfil: Selecione Controle de Dispositivos.
Para configurações de configuração, grupos reutilizáveis, atribuições e orientações de implantação, veja Configurar controle de dispositivo com Microsoft Intune.
Proteção de rede
A proteção de rede ajuda a evitar que aplicativos se conectem a domínios perigosos que possam hospedar golpes de phishing, exploits e outros conteúdos maliciosos na internet. No Intune, use uma política antivírus de segurança de endpoint. Para instruções detalhadas, veja Criar políticas de segurança para endpoints.
Ao criar a política, use estas configurações específicas:
-
Tipo de política: Vá em Gerenciar>Antivírus na Segurança do Endpoint | Página de visão geral em https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/overview, e então selecione Criar política.
- Plataforma: Selecione Windows.
- Perfil: selecione Microsoft Defender Antivírus.
Na aba de configurações de configuração, na seção Defender, defina Habilitar proteção de rede para Ativado (modo bloqueio). Para avaliar a proteção da rede sem bloquear conexões, selecione Ativado (modo de auditoria).
Dica
Para outros métodos de configuração e requisitos detalhados, veja Configurar proteção de rede.
Proteção da Web
A proteção da web ajuda a proteger os dispositivos da sua organização contra ameaças e conteúdos indesejados. Inclui proteção contra ameaças na web e filtragem de conteúdo web.
Configurar a proteção contra ameaças da Web
A política legada de proteção Web do Intune está obsoleta. Configure a proteção contra ameaças na web ativando a proteção de rede e o Microsoft Defender SmartScreen em seus dispositivos. Para orientações de requisitos e configuração, veja Proteja sua organização contra ameaças na web.
Configurar a filtragem de conteúdo da Web
Para ativar o filtro de conteúdo web e criar uma política, veja Ativar o filtro de conteúdo web.
Firewall de rede
O firewall da rede ajuda a reduzir o risco de ameaças à segurança da rede. Sua equipe de segurança pode definir regras que determinam qual tráfego tem permissão para fluir de ou para os dispositivos da sua organização. Recomendamos usar o Microsoft Intune para configurar o firewall de rede.
Para configurar o Firewall do Windows no Intune, use uma política de firewall de segurança de pontos de extremidade. Para instruções detalhadas, veja Criar políticas de segurança para endpoints.
Ao criar a política, use estas configurações específicas:
-
Tipo de política: Vá em Gerenciar>Firewall na Segurança do Endpoint | Página de visão geral em https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/overview, e então selecione Criar política.
- Plataforma: Selecione Windows.
- Perfil: Selecione o Firewall Windows.
Na aba de configurações de configuração, defina cada uma das seguintes configurações para Verdadeiro (Padrão):
- Habilitar o Firewall de Rede do Domínio
- Habilitar firewall de rede privada
- Habilitar firewall de rede pública
Para mais informações sobre perfis de firewall no Intune, veja Gerenciar configurações de firewall com políticas de segurança de endpoint no Microsoft Intune.
Dica
As configurações do firewall são detalhadas e podem parecer complexas. Consulte Práticas recomendadas para configurar o Windows Defender Firewall.
Controle da aplicação
O App Control for Business ajuda a proteger dispositivos Windows ao restringir os aplicativos que os usuários podem rodar e o código que roda no núcleo do sistema. O App Control complementa a proteção antivírus e não substitui o antivírus.
Para planejar sua implantação no App Control, consulte os seguintes recursos:
- Controle de Aplicativos para Windows
- Decisões de projeto da política de Controle de Aplicativos para Empresas
- Controle de Aplicativos Comuns para Casos de Uso Empresariais
Próximas etapas
Depois de concluir a instalação e a configuração, comece a usar o Defender for Endpoint Plan 1.