Ativar o Defender para integração com o Endpoint no Microsoft Defender para a Cloud

O Microsoft Defender for Cloud integra-se nativamente ao Microsoft Defender para Endpoint para fornecer recursos de Gerenciamento de Vulnerabilidades do Defender for Endpoint e do Defender no Defender para a Cloud.

• Quando você habilita o plano do Defender for Servers no Defender para a Cloud, a integração do Defender for Endpoint é habilitada por padrão.
• A integração implementa ou utiliza uma instalação existente do Defender para Endpoint em máquinas suportadas quando os pré-requisitos são cumpridos.

Este artigo explica como ativar manualmente o Defender para integração com o Endpoint se este estivesse desligado anteriormente ou se tiver uma subscrição legada que requer opt-in manual.

Pré-requisitos

Antes de ativar o Defender para integração com endpoints, reveja estes requisitos.

Validação pré-implementação

Complete estas verificações antes de ativar a integração do Defender para Endpoint:

• Confirme que a máquina está ligada e a correr um sistema operativo suportado.
• Para máquinas com Azure Arc, confirme que o agente Azure Connected Machine reporta uma ligação saudável.
• Confirme que a máquina consegue aceder às URLs dos serviços Defender for Endpoint. Não uses um teste contra uma única URL como prova de que todos os endpoints de serviço necessários são acessíveis.
• Confirme que o seu proxy não requer autenticação interativa do utilizador. O sensor Defender for Endpoint liga-se no contexto do sistema.
• No Linux, confirme que a distribuição é suportada, que o Python está instalado e que o sistema de ficheiros que contém /opt/microsoft/mdatp não está montado com noexec.
• Revise a Política de Grupo e a configuração antimalware de terceiros para confirmar que o Microsoft Defender Antivirus e o driver Early Launch Antimalware (ELAM) não estão desativados.

Para uma avaliação completa de conectividade e prontidão dos sensores, execute o Microsoft Defender para Endpoint Client Analyzer. O analisador testa os endpoints de serviço e recolhe diagnósticos no mesmo contexto de segurança utilizado pelo sensor.

Recolha informações de prontidão do Windows

O seguinte script PowerShell de apenas leitura recolhe informações que são normalmente necessárias quando investiga uma falha na implementação. Não modifica o servidor nem substitui a verificação do sistema operativo suportado nem o Client Analyzer.

$os = Get-CimInstance Win32_OperatingSystem
$disk = Get-CimInstance Win32_LogicalDisk -Filter "DeviceID='$($env:SystemDrive)'"
$himds = Get-Service -Name himds -ErrorAction SilentlyContinue
$senseService = Get-Service -Name Sense -ErrorAction SilentlyContinue
$defenderService = Get-Service -Name WinDefend -ErrorAction SilentlyContinue

[pscustomobject]@{
    ComputerName             = $env:COMPUTERNAME
    OperatingSystem          = $os.Caption
    OSVersion                = $os.Version
    SystemDriveFreeGB        = [math]::Round($disk.FreeSpace / 1GB, 2)
    AzureArcAgent            = if ($himds) { $himds.Status } else { 'Not installed' }
    SenseService             = if ($senseService) { $senseService.Status } else { 'Not present' }
    DefenderAntivirusService = if ($defenderService) { $defenderService.Status } else { 'Not present' }
    PowerShellVersion        = $PSVersionTable.PSVersion.ToString()
}

Interprete a saída em função dos requisitos da plataforma associada. Um serviço parado ou ausente não é, por si só, prova da causa raiz porque o estado esperado do serviço depende do sistema operativo e da fase de implementação.

Recolha informação sobre prontidão Linux

Execute estes comandos para recolher pré-requisitos Linux e informações de saúde:

cat /etc/os-release
python3 --version
findmnt -no TARGET,OPTIONS /
findmnt -T /opt -o TARGET,OPTIONS
azcmagent show
mdatp health

Se o Defender for Endpoint ainda não estiver instalado, o mdatp health comando não está disponível. Valide a distribuição e a versão contra os pré-requisitos do Defender for Endpoint no Linux e use o Client Analyzer após a instalação para validar a conectividade e recolher diagnósticos.

Implementação e verificação por plataforma

Windows Server 2019 e posterior

• Ativar o Defender para Servidores Plano 1 ou Plano 2.
• Verificar que a proteção de endpoint está ativada em Definições do ambiente>Proteção de endpoint.
• Verifique o estado da extensão no portal Azure: VM>Extensions>MDE.Windows>O provisionamento foi bem-sucedido.
• Verifique a integração no portal Microsoft Defender: Dispositivos> nome do servidor.

Windows Server 2016 e Windows Server 2012 R2

• Ativar o Defender para servidores.
• Mantenha o sistema operativo e o Microsoft Defender Antivirus totalmente atualizados.
• Depois de instalado o agente unificado, certifique-se de que a Atualização do Antivírus Defender KB5005292 seja aprovada e aplicada para que o sensor EDR continue a receber atualizações.
• Verifique a MDE.Windows extensão e o registo do dispositivo no portal do Microsoft Defender.

Servidores Linux

• Valide a distribuição suportada, o requisito de Python, as opções de montagem do sistema de ficheiros e a conectividade de saída antes da implementação.
• Verificar o estado da extensão no portal Azure: VM>Extensões>MDE.Linux>Aprovisionamento com êxito.
• Executa mdatp health e confirma que healthy e licensed são verdadeiros.
• Se a instalação falhar, siga a Resolução de problemas de instalação para o Defender for Endpoint no Linux e aplique uma correção para um erro semelhante apenas depois de confirmar a falha real nos registos de instalação ou extensão.

Ative o Defender para integração com o Endpoint numa subscrição

Quando ativas um plano Defender for Servers, a integração com o Defender for Endpoint fica ativada por defeito. Se desativar a integração numa subscrição, pode voltar a ligá-la manualmente.

Para permitir a integração do Defender para Endpoint numa subscrição:

1. Inicie sessão no portal Azure.

2. Vai a Microsoft Defender para Cloud>Definições de ambiente.

3. Selecione a subscrição que contém as máquinas onde quer implementar a integração do Defender para o Endpoint.

4. Aceda a Definições e monitorização>Proteção de pontos finais.

5. Altere o estado para Ligado.

   

6. Selecione Continuar.

7. Selecione Guardar.

8. O sensor Defender for Endpoint é implementado em máquinas Windows e Linux suportadas que cumprem os pré-requisitos.

9. O Defender para a Cloud deteta uma instalação existente do Defender for Endpoint e utiliza-a quando o dispositivo está associado à mesma organização Defender for Endpoint (tenant). Um dispositivo adicionado a outra organização não é automaticamente reatribuído.

Verificar a instalação em máquinas Linux

Para verificar o Defender para instalação de sensores Endpoint numa máquina Linux:

1. Execute o seguinte comando shell em cada máquina: mdatp health. Se o Microsoft Defender para Endpoint estiver instalado, você verá seu status de integridade:

   healthy : true

   licensed: true

2. Além disso, no portal do Azure, pode verificar se as máquinas Linux têm uma nova extensão do Azure chamada MDE.Linux.

Subscrições legadas (criadas antes da primavera de 2022): Ativar a solução unificada Defender for Endpoint no Windows Server 2016/2012 R2

Se ativaste o Defender para Servidores e ativaste a integração do Defender para o Endpoint numa subscrição que criaste antes da primavera de 2022, talvez precises de ativar manualmente a integração da solução unificada para máquinas a correr Windows Server 2016 ou Windows Server 2012 R2 na subscrição.

1. Inicie sessão no portal Azure.

2. Vai a Microsoft Defender para Cloud>Definições de ambiente.

3. Seleciona a subscrição com as máquinas Windows para as quais pretendes receber o Defender for Endpoint.

   O estado do componente de proteção do Endpoint é Parcial, o que significa que nem todas as partes do componente estão ativadas.

4. Selecione Corrigir para ver os componentes que não estão ativados.

   

5. Vá a Componentes em falta>Solução unificada.

6. Em Componentes em falta>Solução unificada, selecione Ativar para instalar automaticamente o agente do Defender for Endpoint em máquinas Windows Server 2012 R2 e 2016 ligadas ao Microsoft Defender para a Cloud.

   

7. Selecione Guardar.

8. Nas Definições e monitorização, selecione Continuar.

O Defender para a Cloud integra máquinas novas e existentes no Defender for Endpoint.

Se estiver a configurar o Defender para o Endpoint na primeira subscrição do seu tenant, a integração pode demorar até 12 horas. Para novas máquinas e subscrições que criar depois de ativar a integração, o processo de integração pode demorar até uma hora.

Subscrições legadas (criadas antes do verão de 2021): Ativar em máquinas Linux (plano/integração ativado)

Se o Defender for Servers já estiver habilitado e a integração do Defender for Endpoint estiver ativada em uma assinatura que existia antes do verão de 2021, talvez seja necessário habilitar manualmente a integração para máquinas Linux.

1. Inicie sessão no portal Azure.

2. Vai a Microsoft Defender para Cloud>Definições de ambiente.

3. Seleciona a subscrição com as máquinas Linux para a qual pretendes receber o Defender for Endpoint.

   O estado do componente de proteção do Endpoint é Parcial, o que significa que nem todas as partes do componente estão ativadas.

4. Selecione Corrigir para ver os componentes que não estão ativados.

   

5. Em Componentes ausentes>de máquinas Linux, selecione Ativar.

   

6. Selecione Guardar para guardar as definições.

7. Nas Definições e monitorização, selecione Continuar.

   • O Defender para a Cloud integra máquinas Linux ao Defender for Endpoint.
   • O Defender para a Cloud deteta quaisquer instalações anteriores do Defender for Endpoint em máquinas Linux e as reconfigura para integração com o Defender para a Cloud.
   • Se estiver a configurar o Defender para o Endpoint na primeira subscrição do seu tenant, a integração pode demorar até 12 horas. Para novas máquinas criadas após a integração ter sido ativada, a integração leva até uma hora.

8. Para verificar a instalação do sensor Defender for Endpoint em uma máquina Linux, execute o seguinte comando shell em cada máquina.

   mdatp health

   Se o Microsoft Defender para Endpoint estiver instalado, você verá seu status de integridade:

   healthy : true

   licensed: true

9. No portal do Azure, você pode verificar se as máquinas Linux têm uma nova extensão do Azure chamada MDE.Linux.

Habilite a integração com o PowerShell em várias assinaturas

Para ativar a integração do Defender para Servidores em máquinas Linux ou no Windows Server 2012 R2 e 2016 com a solução unificada do Microsoft Defender para Endpoint (MDE) em várias subscrições, utilize um dos scripts do PowerShell no repositório do GitHub do Defender para a Cloud.

• Utilize o script Enable MDE unified solution script para ativar a integração com a solução unificada moderna do Defender para Endpoint no Windows Server 2012 R2 ou no Windows Server 2016.
• Utilize o Script para ativar a integração do MDE para Linux para ativar a integração do Defender para Endpoint em máquinas Linux.

Gerenciar atualizações automáticas para Linux

No Windows, as atualizações de versão do Defender for Endpoint são fornecidas através de atualizações contínuas da base de conhecimento. No Linux, você precisa atualizar o pacote Defender for Endpoint.

• Quando você usa o Defender for Servers com a extensão, as atualizações automáticas para o MDE.Linux Microsoft Defender para Endpoint são habilitadas por padrão.

• Se quiser gerir as atualizações de versão manualmente, pode desativar as atualizações automáticas nas suas máquinas. Para fazer isto, adicione a seguinte etiqueta para máquinas incorporadas com a extensão MDE.Linux.

  • Nome da etiqueta: ExcludeMdeAutoUpdate
  • Valor da etiqueta: true

Essa configuração é suportada para VMs do Azure e máquinas Azure Arc, onde a extensão inicia a MDE.Linux atualização automática.

Habilite a integração em escala

Você pode habilitar a integração do Defender for Endpoint em escala por meio da API REST fornecida versão 2022-05-01. Para obter detalhes completos, consulte a documentação da API.

O exemplo seguinte mostra o corpo da solicitação PUT que ativa a integração com o Defender for Endpoint. Esta Microsoft.Security/settings configuração de recurso define a definição WDATP como ativada, o que ativa, de forma programática, a integração do Defender for Endpoint para a subscrição especificada.

URI: https://management.azure.com/subscriptions/<subscriptionId>/providers/Microsoft.Security/settings/WDATP?api-version=2022-05-01

{
    "name": "WDATP",
    "type": "Microsoft.Security/settings",
    "kind": "DataExportSettings",
    "properties": {
        "enabled": true
    }
}

Resolver problemas na implementação da extensão

Utilize a sequência seguinte em vez de tentar novamente a implementação sem antes identificar a fase de falha.

Diagnósticos do Windows

• Portal do Azure: VM>Extensões>MDE.Windows>Ver estado detalhado
• Visualizador de Eventos: Registos> de Aplicações e Serviços Microsoft>Windows>Windows Defender
• Registos de extensão: C:\WindowsAzure\Logs\Plugins\Microsoft.Azure.AzureDefenderForServers.MDE.Windows
• Execute o Defender for Endpoint Client Analyzer no Windows.
• Para erros de integração e erros de sensor, use Troubleshoot Defender for Endpoint onboarding issues.

Diagnóstico do Linux

• Portal Azure: VM>Extensões>MDE. Linux>Ver estado detalhado

• Registos de extensão: /var/log/azure/Microsoft.Azure.AzureDefenderForServers.MDE.Linux/

• Registo de instalação: /var/log/microsoft/mdatp/install.log

• Diário de instalação: sudo journalctl --no-pager | grep 'microsoft-mdatp'

• Saúde dos sensores: mdatp health

• Se a máquina estiver ativada para Azure Arc: azcmagent show

• Pacote de diagnóstico: sudo mdatp diagnostic create

• Consulte Resolução de problemas de instalação do Defender for Endpoint no Linux para problemas de dependências, de conta de serviço, de systemd, de SELinux e de noexec.

Acompanhe o status de implantação do Defender for Endpoint

Pode utilizar o livro do estado de implementação do Defender for Endpoint para acompanhar o estado de implementação do Defender for Endpoint nas suas VMs do Azure e VMs ativadas para Azure Arc. O livro de exercícios interativo fornece uma visão geral das máquinas no seu ambiente, mostrando o estado de implementação da extensão Defender for Endpoint.

Acesse o portal do Microsoft Defender

Para aceder ao portal Microsoft Defender a partir do Defender para a Cloud, complete os seguintes passos:

1. Certifique-se de que tem as permissões corretas para o acesso ao portal.

2. Verifica se tens um proxy ou firewall que bloqueie o tráfego anónimo.

   • O sensor Defender for Endpoint liga-se a partir do contexto do sistema, por isso deve permitir tráfego anónimo.
   • Para garantir o acesso sem obstáculos ao portal do Microsoft Defender, habilite o acesso às URLs de serviço no servidor proxy.

3. Abra o portal Microsoft Defender. Saiba mais sobre Incidentes e alertas no portal do Microsoft Defender.

Executar um teste de deteção

Para realizar um teste de deteção, consulte o teste de deteção EDR para verificar os serviços de integração e reporte do dispositivo.

Remover o Defender for Endpoint de uma máquina

Para remover a solução Defender for Endpoint das suas máquinas:

1. Inicie sessão no portal Azure.

2. Vá a Microsoft Defender para a Cloud> e selecione a subscrição relevante.

3. Aceda a Definições e monitorização>Proteção de pontos finais.

4. Alterne Proteção de endpoints para Desativado.

5. Selecione Continuar.

6. Selecione Guardar.

7. Remova a extensão MDE.Windows ou MDE.Linux da máquina.

8. Remova o dispositivo do serviço Microsoft Defender para Endpoint.

Remover tags de integração do Defender for Endpoint

Quando integra um dispositivo Windows através do Defender para a Cloud, o Defender for Endpoint cria valores de registo relacionados com o Defender para a Cloud. Essas tags de registro permanecem no dispositivo após o desembarque e não afetam a funcionalidade.

Para remover essas tags completamente, siga estas etapas. No Linux, o sistema armazena essas informações internamente e não as mostra no registro.

1. Selecione Iniciar, introduza regedit e selecione Enter para abrir o Editor do Registo.

2. No painel esquerdo, vá para:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Advanced Threat Protection\DeviceTags

3. Exclua esses nomes de valor, se existirem:

   • AzureResourceId
   • SecurityWorkspaceId
   • SecurityAgentId

Passos seguintes