Implantar a política de detecção e resposta de ponto de extremidade com o Intune

Ao integrar o Microsoft Defender para Ponto de Extremidade ao Intune, você pode usar políticas de segurança de ponto de extremidade para EDR (detecção e resposta de ponto de extremidade) para gerenciar as configurações de EDR e dispositivos integrados ao Microsoft Defender para Ponto de Extremidade.

As políticas do Intune para EDR incluem perfis específicos da plataforma que gerenciam a integração (instalação) do Microsoft Defender para Ponto de Extremidade. O uso de pacotes de integração é como os dispositivos são configurados para funcionar com o Microsoft Defender para Ponto de Extremidade. A integração ao Defender por meio de políticas de EDR do Intune configura dispositivos para enviar telemetria de segurança ao Microsoft Defender para Ponto de Extremidade, habilitando recursos avançados de detecção, investigação e resposta a ameaças.

Este artigo aborda cenários de implantação de EDR, desde a implantação automática baseada em conector até a configuração manual para ambientes especializados.

Noções básicas sobre a integração de EDR

A integração do EDR configura dispositivos para que eles possam enviar telemetria de segurança para seu locatário do Defender para Ponto de Extremidade. O pacote de integração é um arquivo de configuração específico da plataforma que contém:

• Configuração de locatário: identifica sua organização específica do Defender para Ponto de Extremidade.
• Pontos de extremidade de serviço: URLs para comunicação com os serviços do Defender.
• Material de autenticação: certificados e tokens para comunicação segura de dispositivo para serviço.
• Configuração básica: configurações de registro do dispositivo e parâmetros de comunicação iniciais.

Principais conceitos:

• Os dispositivos aparecem no portal do Defender logo após a integração bem-sucedida e o envio inicial da telemetria.
• A integração permite o fluxo de telemetria, mas não define configurações avançadas, como redução da superfície de ataque, firewall ou políticas antivírus.
• As políticas EDR não gerenciam regras de caça a ameaças, lógica de detecção personalizada, automação de resposta ou fluxos de trabalho de investigação.

Para obter detalhes técnicos, consulte Dispositivos integrados ao Microsoft Defender para Ponto de Extremidade.

Aplicável a:

• Linux
• macOS
• Windows
• O Windows Server 2012 R2 e posterior tem suporte quando os dispositivos são gerenciados por meio de um dos seguintes:
  • Gerenciador de Configurações (anexo de locatário)
  • Gerenciamento de configurações de segurança do Microsoft Defender para Ponto de Extremidade

Pré-requisitos

Antes de implantar políticas de EDR, confirme se sua organização atende aos requisitos de licenciamento e permissão.

Licença

• Microsoft Intune (plano 1)

Você precisa de licenças para o Microsoft Defender:

• Plano 1 do Defender para Ponto de Extremidade licença por usuário
• Microsoft 365 E5/A5/G5 (inclui o Plano 2 do Defender para Ponto de Extremidade)
• Microsoft Defender XDR (autônomo)

Para obter informações detalhadas sobre licenciamento, consulte:

• Licenciamento do Microsoft Intune
• Licenciamento do Microsoft Defender para Ponto de Extremidade

Controle de acesso baseado em função

Para configurar a política EDR, sua conta deve receber uma função do Intune com permissões suficientes de RBAC (controle de acesso baseado em função):

• Endpoint Security Manager: a função Endpoint Security Manager inclui permissões para criar e gerenciar políticas de segurança de ponto de extremidade.
• Função personalizada: no mínimo, permissões Criar/Ler/Atualizar/Excluir para segurança de ponto de extremidade.

Você também precisa de permissões no Microsoft Defender para Ponto de Extremidade para estabelecer a conexão de serviço:

• Função de Administrador de Segurança no Microsoft Entra ID ou
• Função personalizada com permissões equivalentes: microsoft.directory/applications/create, microsoft.directory/applications/delete, microsoft.directory/servicePrincipals/create

Para obter diretrizes detalhadas sobre permissões, consulte Controle de acesso baseado em função para segurança de ponto de extremidade.

Plataformas e perfis compatíveis

Windows:

• Perfil: detecção e resposta de ponto de extremidade
  • Compartilhamento de amostra: escolha como os dispositivos enviam amostras de arquivo para o Defender para Ponto de Extremidade.
  • Opções de integração: Automático do conector (disponível quando a conexão de serviço está configurada) ou adicione manualmente um pacote Onboard ou Offboard .
    • Automático do conector (recomendado quando a conexão serviço a serviço está configurada).
    • Integração manual usando um pacote Onboard ou Offboard no portal do Defender.
  • Gerenciamento: dispositivos registrados no Intune ou dispositivos não registrados por meio do gerenciamento de configurações de segurança do Defender para Ponto de Extremidade.

macOS:

• Perfil: detecção e resposta de ponto de extremidade
  • Marcas de dispositivo: as marcas de dispositivo incluem um par de nome e valor usado para organizar dispositivos no Defender para Ponto de Extremidade.
  • Métodos de gerenciamento:
    • Inscritos no Intune
    • Gerenciamento de configurações de segurança do Defender para Ponto de Extremidade

Linux:

• Perfis:
  • Detecção de ponto de extremidade e resposta
    • Marcas de dispositivo: as marcas de dispositivo incluem um par de nome e valor usado para organizar dispositivos no Defender para Ponto de Extremidade.
    • Métodos de gerenciamento:
      • Inscritos no Intune
      • Gerenciamento de configurações de segurança do Defender para Ponto de Extremidade
  • Exclusões Globais do Microsoft Defender (AV+EDR) – confira o perfil de exclusões globais do Linux mais adiante neste artigo.

Windows Server 2012 R2+:

• Perfil: Detecção e resposta de ponto de extremidade (ConfigMgr)
  • Gestão:
    • Anexação de locatário do Gerenciador de Configurações
    • Gerenciamento de configurações de segurança do Defender para Ponto de Extremidade.
  • Direcionamento de coleção: atribua a coleções do Gerenciador de Configurações em vez de grupos de ID de Entra.
  • Requisitos:
    • KB4563473 hotfix
    • Coleções sincronizadas com o Intune para atribuições
    • As atribuições são aplicadas a coleções do Gerenciador de Configurações, não a grupos do Entra ID

Configurar a conexão Intune–Defender para Ponto de Extremidade

O Intune requer uma conexão com o Microsoft Defender para Ponto de Extremidade para recuperar automaticamente os pacotes de integração e dar suporte à implantação da política EDR.

Quando a conexão estiver habilitada:

• O Intune recupera o pacote de integração mais recente do Defender para Ponto de Extremidade.
• A criação da política usa a configuração de integração mais recente.
• Você pode usar Automático do conector em perfis EDR.

Para configurar a conexão:

1. No Centro de administração do Microsoft Intune, acesse Administração de>locatários Conectores e tokensMicrosoft>Defender para Ponto de Extremidade.
2. Selecione Conectar o Microsoft Defender para Ponto de Extremidade ao Intune.
3. Habilite a conexão e configure as preferências de compartilhamento de dados.
4. Verifique se o status da conexão mostra Conectado.

Para obter instruções detalhadas de configuração, consulte Conectar o Microsoft Defender para Ponto de Extremidade ao Intune.

Implantar política EDR

Sobre o nó de detecção e resposta do Ponto de Extremidade:

No centro de administração do Intune, o nó Detecção e resposta do Ponto de extremidade inclui as seguintes guias:

• Resumo – Lista todas as políticas de EDR, o status do conector e inclui o gráfico "Dispositivos Windows integrados ao Defender para Ponto de Extremidade" e a opção Criar Política.
• Status de integração do EDR - Mostra o gráfico de resumo de integração, lista de dispositivos com status detalhado e inclui a opção Implantar política pré-configurada. Para obter orientações detalhadas sobre como usar essa guia, confira Relatório de Status de Integração do EDR.

Todos os dispositivos que relatam a telemetria de segurança para o Microsoft Defender para Ponto de Extremidade devem ser integrados usando um pacote de configuração (chamado de "blob" de integração). Para obter detalhes sobre o conteúdo de um pacote de integração, consulte Noções básicas sobre integração de EDR.

Independentemente de você usar a implantação automática ou manual, o Intune aplica a mesma configuração de integração aos dispositivos. A diferença é como o Intune obtém essa configuração:

• Automático (recomendável) – o Intune recupera o pacote de integração do Defender para Ponto de Extremidade por meio da conexão de serviço configurada.
• Manual – use um pacote de integração baixado do portal do Defender quando a recuperação automática não estiver disponível.

Escolhendo o método de implantação:

Criar uma política de EDR automática

Ideal para ambientes com integração padrão do Intune + Defender e um único locatário do Defender para Ponto de Extremidade.

Pré-requisitos:Conexão de serviço a serviço ativa entre o Intune e o Defender para Ponto de Extremidade.

Implantar a política pré-configurada do Windows EDR

A maneira mais rápida de implantar a integração do EDR em todos os dispositivos Windows é usando a opção de política pré-configurada disponível na guia Status de integração do EDR. Esse método usa automaticamente o pacote de integração mais recente do locatário do Defender para Ponto de Extremidade e implanta com as configurações recomendadas.

Para obter instruções detalhadas passo a passo, consulte Implantação rápida com política pré-configurada na seção Relatório de status de integração do EDR.

Criar política de EDR personalizada (todas as plataformas)

Quando você precisar implantar políticas EDR em grupos ou plataformas específicos com configurações personalizadas, use a opção Criar Política na guia Resumo. Essa abordagem oferece controle total sobre a seleção de plataforma, definições de configuração e atribuições de grupo.

As principais opções de configuração incluem:

• Configuração do cliente do Microsoft Defender para Ponto de Extremidade Tipo de pacote: Selecionar Automático do conector quando disponível
• Compartilhamento de Amostra: escolha com base em seus requisitos de confidencialidade de dados
• Marcas de dispositivo (macOS e Linux): configurar para filtragem e agrupamento de dispositivos

Para obter orientações detalhadas sobre a criação de políticas, consulte Correção direcionada na seção Relatório de status de integração do EDR.

Criação manual de política EDR

Use esse método quando sua organização não puder usar a conexão de serviço (vários locatários, ambientes com air gap ou controle de alterações estrito).

Baixe o pacote de integração:

1. No portal do Microsoft Defender, vá para Configurações>Pontos de> extremidadeGerenciamento de> dispositivosIntegração.
2. Selecione o sistema operacional e escolha Gerenciamento de Gerenciamento de Dispositivos Móveis / Microsoft Intune.
3. Selecione Baixar pacote.

Crie a política:

1. No Intune, acesse Segurança do ponto de> extremidadeDetecção e resposta> de ponto de extremidadeCriar Política.
2. Selecione a plataforma e o perfil.
3. Para Tipo de pacote, escolha Integrar ou Desligar.
4. Cole o conteúdo do arquivo de integração baixado.
5. Defina as configurações restantes e, em seguida, atribua e crie a política.

Perfis adicionais para dispositivos Linux

Depois de criar suas principais políticas de EDR, você pode implantar perfis especializados adicionais para gerenciamento de segurança aprimorado.

Criar uma política de exclusões globais do Linux

1. Acesse Segurança do ponto de> extremidadeDetecção e resposta> de ponto de extremidadeCriar política.
2. Selecione Linux para plataforma e Exclusões Globais do Microsoft Defender (AV+EDR) para perfil.
3. Configure exclusões adicionando entradas com:
   • Caminho: Caminho do arquivo ou diretório a ser excluído (sem suporte para curingas).
   • Nome do processo: Nome do processo a ser excluído do monitoramento do EDR (sem suporte para caracteres curinga).
4. Atribuir a grupos de dispositivos Linux gerenciados por meio do gerenciamento de configurações de segurança do MDPE.

Implantação do Gerenciador de Configurações

Anexar locatário

A anexação de locatário permite que o Intune implante políticas EDR em dispositivos Windows gerenciados pelo Gerenciador de Configurações.

Requisitos do Gerenciador de Configurações:

• Branch Atual 2002 ou posterior
• Para 2002, instale o KB4563473 (hotfix)

Configuração de anexação de locatário:

• Sincronizar coleções de dispositivos com o Intune (Cloud Sync).
• Certifique-se de que Todos os Clientes de Área de Trabalho e Servidor estejam habilitados e sincronizados (necessário para políticas de EDR do Windows pré-configuradas).

Permissões:

• Administrador de Serviços do Intune Função interna da ID de Entra ID ou função equivalente para conexão de locatário e gerenciamento de política de segurança de ponto de extremidade.

Configurar o Gerenciador de Configurações para EDR

1. Instale Gerenciador de Configurações atualização: Aplique KB4563473 hotfix para Gerenciador de Configurações 2002.
2. Configurar anexo de locatário: sincronize coleções do Gerenciador de Configurações com o Intune.
3. Verificar a conectividade: confirme se as coleções aparecem nos centros de administração do Gerenciador de Configurações e do Intune.

Implantar a política EDR para coleções do Gerenciador de Configurações

1. No Centro de administração do Intune, acesse Segurança do ponto de> extremidadeDetecção e resposta de> ponto de extremidadeCriar política.
2. Selecione a plataforma Windows (ConfigMgr) e o perfil de detecção e resposta de ponto de extremidade (ConfigMgr).
3. Defina as mesmas configurações de política disponíveis para dispositivos gerenciados pelo Intune.
4. Em Atribuições, selecione coleções do Gerenciador de Configurações em vez de grupos de ID do Entra.
5. Crie e implante a política.

Depois de implantar a política, reserve um tempo para a sincronização Intune-ConfigMgr e a avaliação da política de cliente do Gerenciador de Configurações antes que os dispositivos sejam exibidos como integrados.

Para obter a configuração detalhada de anexação de locatário, consulte Configurar anexação de locatário para dar suporte a políticas de proteção de ponto de extremidade.

Relatório de Status de Integração do EDR

O relatório de status de integração do EDR fornece aos administradores uma visão abrangente do progresso da integração do dispositivo em sua organização. Este relatório ajuda você a acompanhar quais dispositivos foram integrados com êxito ao Microsoft Defender para Ponto de Extremidade e a identificar dispositivos que podem precisar de atenção.

Acessando o relatório de Status de Integração do EDR

1. No Centro de administração do Microsoft Intune, acesse Segurança do ponto de> extremidadeDetecção e resposta de ponto de extremidade.
2. Selecione a guia Status de Integração do EDR .

Noções básicas sobre o relatório

A guia Status de Integração do EDR inclui o seguinte:

• Gráfico de resumo de integração: dispositivos Windows integrados ao Defender para Ponto de Extremidade – esse gráfico exibe as contagens de dispositivos que foram integrados e dispositivos que não foram integrados.

• Lista de dispositivos com informações detalhadas: Esta lista de dispositivos inclui as seguintes colunas de detalhes:

  • Nome do dispositivo: o nome de cada dispositivo em sua organização
  • Gerenciado por: Como o dispositivo é gerenciado (Intune, Gerenciador de Configurações por meio de anexação de locatário ou Gerenciamento de Configurações de Segurança do MDPE)
  • Estado do sensor do Defender: status de integridade atual do sensor do Defender para Ponto de Extremidade.
    • Ativo: o sensor está em execução e se comunicando normalmente
    • Inativo: o sensor não relatou recentemente
    • Prejudicado: o sensor está enfrentando problemas
  • Status de integração: estado de integração atual para cada dispositivo.
    • Integrado: o dispositivo está enviando telemetria com êxito para o Defender para Ponto de Extremidade
    • Não integrado: o dispositivo não concluiu o processo de integração
    • Pendente: o dispositivo está em processo de integração
    • Último marcar: a hora e a data da comunicação mais recente do dispositivo com o Intune
    • UPN primário: o nome principal principal associado ao dispositivo

Usando o relatório para implantação de EDR

Implantação rápida com política pré-configurada

Para implantação rápida em todos os dispositivos Windows qualificados diretamente da guia Status de Integração do EDR:

1. Na guia Status de Integração do EDR , selecione Implantar política pré-configurada.

   

2. Escolha o escopo da implantação:

   • Detecção e resposta do ponto de extremidade do Windows +: para dispositivos gerenciados do Intune
   • Windows (ConfigMgr) + Detecção e resposta de ponto de extremidade (ConfigMgr): para coleções do Gerenciador de Configurações

3. Forneça um nome de política e uma descrição opcional.

4. Selecione Criar para implantar imediatamente.

Esta política pré-configurada automaticamente:

• Usa o pacote de integração mais recente do seu locatário do Defender para Ponto de Extremidade
• Implantado em todos os dispositivos aplicáveis em sua organização
• Aplica as configurações de segurança recomendadas

Usando o relatório para correção direcionada

O relatório de Status de Integração do EDR ajuda a identificar dispositivos que precisam de atenção, que você pode resolver com a implantação de política direcionada:

Identificar dispositivos com problema

Use a lista de dispositivos na guia Status de Integração do EDR para identificar dispositivos específicos que exigem atenção:

1. Filtrar dispositivos por status: Concentre-se em dispositivos "Não integrados" ou "Pendentes"
2. Métodos de gerenciamento de análise: assegure-se de que os dispositivos estejam sendo gerenciados por meio do canal apropriado
3. Verifique a integridade do sensor: identifique dispositivos com sensores inativos ou danificados

Criar políticas direcionadas

Depois de identificar os dispositivos com problema, crie políticas de EDR específicas usando a opção Criar Política na guia Resumo:

Cenários de monitoramento

O relatório de Status de Integração do EDR dá suporte a vários cenários administrativos importantes:

Validação de implantação inicial

Após implantar políticas de EDR:

• Monitore o gráfico de resumo de integração para aumentar as contagens de "integrados"
• Examine o progresso de dispositivos individuais na lista de dispositivos
• Identifique dispositivos que não conseguem integrar dentro dos prazos esperados

Monitoramento contínuo de conformidade

Para gerenciamento contínuo da postura de segurança:

• Configure revisões regulares do status de integração.
• Acompanhe a integridade do sensor em toda a frota de dispositivos.
• Identifique os dispositivos que se tornaram inativos ou danificados ao longo do tempo.

Solução de problemas de implantação

Quando os dispositivos não conseguem integrar:

• Use a lista de dispositivos para identificar dispositivos problemáticos.
• Examine os métodos de gerenciamento para garantir o direcionamento adequado da política.
• Verifique o status do sensor para dispositivos mostrando o status "Não integrado".
• Referência cruzada com relatórios de conformidade de política EDR.

Práticas recomendadas para usar o relatório

• Monitoramento regular: Examine o relatório de status de integração de EDR semanalmente para garantir uma cobertura de proteção contínua.
• Correção proativa: resolva os dispositivos "não integrados" imediatamente para manter a postura de segurança.
• Correlação com outros relatórios: use junto com relatórios de conformidade de política EDR individuais para visibilidade abrangente da implantação.
• Documente as métricas de linha de base: acompanhe as taxas de sucesso de integração ao longo do tempo para identificar tendências.

Visibilidade de integração adicional

Além do relatório de Status de Integração do EDR dedicado, você também pode exibir o status de integração do dispositivo por meio dos relatórios do Microsoft Defender Antivírus do Intune. Esses relatórios incluem informações de status de integração para dispositivos Windows MDM e fornecem outra maneira de monitorar a implantação do Defender para Ponto de Extremidade da sua organização:

• Relatório de status do agente antivírus: mostra o status abrangente do dispositivo, incluindo o estado de integração do Defender para Ponto de Extremidade
• Relatório de pontos de extremidade não íntegros: exibe dispositivos com problemas detectados, incluindo problemas de integração

Esses relatórios estão disponíveis no centro de administração nas seguintes lcoations:

• Ir para Relatórios>Segurança do ponto de>extremidadeMicrosoft Defender Relatórios do Antivírus>Bloco>de status do agente antivírus.
• Acesse a guiaPontos>de extremidade não íntegros de antivírus de segurança> de ponto de extremidade.

Monitorar e validar a implantação do EDR

Relatórios do Intune:

Você pode examinar os resultados da implantação e da integração no centro de administração do Intune em: Segurança do ponto de> extremidadeDetecção e resposta de ponto de extremidade:

• Conformidade da política: na guia Resumo, você pode selecionar sua política para exibir o status de implantação.
• Detalhes do dispositivo: na guia Status de Integração do EDR, você exibe um relatório simples mostrando contagens de dispositivos, analisa uma lista de dispositivos com detalhes sobre o status de integração e a integridade do sensor e, em seguida, seleciona os dispositivos para detalhar mais para obter mais informações.

Para uma supervisão abrangente da integração do dispositivo, use o relatório de Status de Integração do EDR.

Validação do portal do Microsoft Defender:

No portal do Defender:

1. O inventário de dispositivos (Ativos>,Dispositivos) lista os dispositivos integrados logo após o recebimento da telemetria.

2. A integridade do sensor mostra a hora de visualização pela última vez, a versão do sensor e o status de comunicação.

3. A avaliação de risco começa depois que os dispositivos enviam sua telemetria inicial.

Monitoramento contínuo

Analise o seguinte para garantir o sucesso contínuo da integração:

• Taxas de êxito de implantação de política
• Status de integração do dispositivo
• Integridade e comunicação do sensor
• Implantações com falha que exigem correção

Solução de problemas

Os dispositivos não aparecem no portal do Defender

• Confirme se o dispositivo pode alcançar os pontos de extremidade necessários (por exemplo, *.securitycenter.windows.com e *.protection.outlook.com).
• Verifique o status de conformidade da política de EDR no Intune e examine os detalhes específicos do dispositivo no relatório de Status de Integração do EDR.
• Verifique se o serviço Microsoft Defender para Ponto de Extremidade está em execução no dispositivo.

A opção "Automático do conector" não está disponível

• Verifique se a conexão do Defender mostra Conectado em Administração>de locatário Conectores e tokens.
• Aguarde até 15 minutos após ativar a conexão para que a opção apareça.
• Certifique-se de que sua conta tenha as permissões administrativas apropriadas.

Para obter mais informações, consulte Solucionar problemas de integração do Microsoft Defender para Ponto de Extremidade.

Dispositivos de remoção

A política de EDR do Intune dá suporte à opção de usar um blob de remoção para remover dispositivos. Normalmente, desligar dispositivos do Defender para Ponto de Extremidade é um processo incomum, mas planejado. Algumas situações que exigem remoção incluem, mas não estão limitadas a, mover um dispositivo para fora de um laboratório de teste, parte do gerenciamento do ciclo de vida do dispositivo ou necessário durante a consolidação do locatário.

Para criar uma política de desligamento:

1. Baixe um novo pacote de remoção do portal do Microsoft Defender acessando Configurações>Pontos de> extremidadeGerenciamento de> dispositivoDesligamento.
2. Selecione o sistema operacional e escolha Gerenciamento de Gerenciamento de Dispositivos Móveis / Microsoft Intune.
3. Selecione Baixar pacote.
4. Crie uma nova política de EDR com o Tipo de pacote definido como Remover e cole o conteúdo do blob desativado ou atualize uma política de remoção existente substituindo o conteúdo do blob.

Ao implantar uma política de EDR remoção no Intune:

• Por motivos de segurança, o blob de remoção ou pacote do Defender expirará sete dias após o download. Os pacotes de remoção expirados enviados aos dispositivos são rejeitados.
• Quando implantado em um dispositivo, o blob de remoção desabilita o sensor do Defender para Ponto de Extremidade, mas não remove o cliente do Defender para Ponto de Extremidade.
• Os dispositivos param de enviar telemetria para o portal do Defender para Ponto de Extremidade.
• Os dispositivos são mostrados como "inativos" no Defender após sete dias.
• O status de conformidade da política de EDR do Intune deve mostrar implantação bem-sucedida.
• Os dados históricos permanecem no Defender até que as políticas de retenção os removam.

Após a remoção, o dispositivo para de enviar telemetria e seu status muda para inativo após sete dias. Os dados históricos permanecem no portal do Defender até que o período de retenção configurado expire. Para obter detalhes sobre o que acontece após a desativação, consulte Desintegrar dispositivos.

Para obter mais informações, consulte os seguintes assuntos na documentação do Microsoft Defender para Ponto de Extremidade:

• Desintegrar dispositivos usando ferramentas de Gerenciamento de Dispositivos Móveis
• Desintegrar dispositivos

Conteúdo relacionado

Após a integração de dispositivos com políticas EDR, considere implantar controles de segurança de ponto de extremidade adicionais:

• Regras da redução da superfície de ataque
• Políticas antimalware
• Políticas de firewall
• Políticas de conformidade do dispositivo