Integrar dispositivos Windows no Microsoft Defender para Endpoint com Política de Grupo

  • Aplica-se a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Pode usar a Active Directory Domain Services (AD DS) Group Policy para integrar clientes Windows suportados e dispositivos Windows Server no Microsoft Defender para Endpoint em larga escala. Este artigo explica como implementar o pacote de integração, configurar a recolha de amostras, verificar a implementação e desassociar dispositivos. Antes de começar, reveja os pré-requisitos de implementação e confirme se a Política de Grupo é o método de implementação adequado para o seu ambiente.

Nota

A ferramenta de implementação do Defender pode ser utilizada para implementar a segurança do ponto final do Defender em dispositivos Windows e Linux. A ferramenta é uma aplicação leve e de atualização automática que simplifica o processo de implementação. Para obter mais informações, veja Implementar Microsoft Defender segurança de pontos finais em dispositivos Windows com a ferramenta de implementação do Defender e Implementar Microsoft Defender segurança de pontos finais em dispositivos Linux com a ferramenta de implementação do Defender (pré-visualização).

Pré-requisitos

Para comparar a Política de Grupo com outras opções de implementação, consulte Identificar a arquitetura e os métodos de implementação do Defender for Endpoint.

Integrar dispositivos ao utilizar a Política de Grupo

Descarregue o pacote de integração, crie uma tarefa agendada imediatamente e implemente a tarefa nos dispositivos Windows que pretende integrar.

  1. Na página de Onboarding no portal Microsoft Defender em https://security.microsoft.com/securitysettings/endpoints/onboarding, configure o pacote:

    1. Passo 1: Selecione um sistema operativo para iniciar a implementação: Selecione o grupo de versões do sistema operativo para os dispositivos-alvo. Não selecione o Windows, que inicia o fluxo de trabalho separado da ferramenta de implementação do Defender.
    2. Se o tipo de conectividade estiver disponível, selecione o método de conectividade para o seu ambiente.
    3. Para o método de Implementação, selecione Política de Grupo.
    4. Selecione Transferir pacote de integração.

  2. Extrair o ficheiro descarregado .zip para um local partilhado, só de leitura, onde os dispositivos alvo possam aceder. O pacote extraído contém o WindowsDefenderATPOnboardingScript.cmd ficheiro.

  3. Abra o GPMC, clique com o botão direito em Objetos de Políticas de Grupo e selecione Novo. Introduza um nome para a GPO e depois selecione OK.

  4. Clique com o botão direito na nova GPO e selecione Editar.

  5. No Editor de Gestão de Políticas de Grupo, vá para Configuração do Computador>>Definições do Painel de Controlo.

  6. Clique com o botão direito em Tarefas Agendadas, selecione Novo e depois selecione Tarefa Imediata (pelo menos Windows 7).

  7. No separador Geral, configure a tarefa:

    1. Em Opções de Segurança, selecione Alterar Utilizador ou Grupo.
    2. Introduz, SYSTEMselecione Verificar Nomes e depois selecione OK. A conta aparece como NT AUTHORITY\SYSTEM.
    3. Selecione Executar se o usuário está conectado ou não.
    4. Selecione Executar com os privilégios mais altos.
    5. Insira um nome descritivo de tarefa, como Defender for Endpoint onboarding.

    Nota

    No Windows Server 2019 e posteriores, se a preferência de Política de Grupo em XML contiver NT AUTHORITY\Well-Known-System-Account, substitua esse valor por NT AUTHORITY\SYSTEM.

  8. No separador Ações , selecione Novo e configure a ação:

    1. Para Ação, selecione Iniciar um programa.
    2. Para Program/script, introduza o caminho da Convenção Universal de Nomes (UNC) para o ficheiro partilhado WindowsDefenderATPOnboardingScript.cmd . Use o nome de domínio totalmente qualificado (FQDN) do servidor de ficheiros no caminho.
    3. Selecione OK.

  9. Selecione OK e feche o Editor de Gestão de Políticas de Grupo.

  10. Na GPMC, associa a GPO ao site, domínio ou OU onde se encontram os dispositivos de destino. Testa a GPO com um grupo limitado de dispositivos antes de a implementares de forma abrangente.

Para informações sobre ligação e validação de GPOs, consulte Consola de Gestão de Políticas de Grupo.

Configurar a coleção de exemplos

O Defender for Endpoint pode recolher ficheiros de dispositivos integrados quando um analista solicita um ficheiro para análise aprofundada. Configure a política de recolha de amostras para controlar se os dispositivos podem responder a estes pedidos.

  1. No dispositivo em que gere a Política de Grupo, copie os ficheiros de modelo administrativo do Defender for Endpoint a partir do pacote de integração inicial extraído:

    • Para uma pasta local de Definições de Políticas:
      • Copiar AtpConfiguration.admx para C:\Windows\PolicyDefinitions.
      • Copiar AtpConfiguration.adml para a pasta da língua aplicável, como C:\Windows\PolicyDefinitions\en-US.
    • Para uma loja central:
      • Copiar AtpConfiguration.admx para \\<forest-root>\SYSVOL\<forest-root>\Policies\PolicyDefinitions.
      • Copiar AtpConfiguration.adml para a pasta da língua aplicável, como \\<forest-root>\SYSVOL\<forest-root>\Policies\PolicyDefinitions\en-US.

  2. No GPMC, clique com o botão direito do rato na GPO que utiliza para as definições do Defender for Endpoint e selecione Editar.

  3. No Editor de Gestão de Políticas de Grupo, vá a Configuração do Computador>Políticas>Modelos Administrativos>Componentes do Windows>Windows Defender ATP.

    Nota

    Windows Defender ATP é o nome legado que aparece neste modelo administrativo.

  4. Abra Ativar ou desativar Coleção de amostras, selecione Ativado, selecione Ativar recolha de amostras nas máquinas e depois selecione OK.

Se não configurares esta política, a recolha de samples está ativada por defeito.

A integração liga dispositivos ao Defender for Endpoint, mas não configura o Microsoft Defender Antivirus nem outras funcionalidades de proteção de endpoint. Utilize a mesma GPO ou GPOs distintas para configurar os controlos de segurança exigidos pela sua organização.

Atualizar a configuração do Endpoint Protection

Na versão 4.18.2208.0 e em versões posteriores da plataforma do Microsoft Defender Antivirus, a política Desativar o Windows Defender já não desativa completamente o Microsoft Defender Antivirus em dispositivos incorporados que executam o Windows Server 2012 R2 ou posterior. Em vez disso, a política coloca o Defender Antivirus em modo passivo. Se a política já estiver ativada antes de aceder ao servidor, o Defender Antivirus permanece desativado. Este comportamento aplica-se apenas a servidores integrados no Defender for Endpoint.

Se usar uma solução antivírus que não seja da Microsoft, verifique a compatibilidade com o Microsoft Defender Antivirus antes de configurar o modo antivírus. Caso contrário, no Editor de Gestão de Política de Grupo, vá a Configuração do Computador>Políticas>Modelos Administrativos>Componentes do Windows>Microsoft Defender Antivirus e defina Desativar o Microsoft Defender Antivirus como Desativado ou Não configurado. Para o modo Windows Server e ForceDefenderPassiveMode orientações, veja Configurar Microsoft Defender Antivirus no Windows Server.

Configure e teste as seguintes proteções de acordo com os requisitos da sua organização:

Verificar a integração do dispositivo

A Política de Grupo não reporta o estado de implementação ao Defender para o Endpoint. Use os Resultados da Política de Grupo para confirmar que a GPO se aplicou, e depois verifique o dispositivo no portal Defender.

  1. Na página de inventário de dispositivos no portal Microsoft Defender em https://security.microsoft.com/machines?category=all-devices, pesquise o dispositivo.

  2. Abra a página do dispositivo e verifique se o dispositivo está adicionado e se o estado de saúde do sensor está ativo.

Depois de a GPO ser aplicada e a tarefa agendada ser executada, o dispositivo normalmente aparece no inventário em poucos minutos. A replicação de Políticas de Grupo, atualização de políticas e conectividade de rede podem atrasar o relatório.

Para gerar um alerta de teste e confirmar relatórios de ponta a ponta, consulte Executar um teste de deteção num dispositivo recém-incorporado. Se o dispositivo não aparecer nem comunicar como esperado, consulte Resolver problemas de integração do Microsoft Defender para Endpoint.

Remover dispositivos usando Política de Grupo

O pacote de desvinculação expira sete dias após a sua transferência. O Defender for Endpoint rejeita pacotes expirados, e a data de validade aparece no nome do ficheiro do pacote.

Importante

Não implemente políticas de onboarding e offboarding no mesmo dispositivo ao mesmo tempo. Remova ou desligue a GPO de onboarding dos dispositivos alvo antes de implementar a GPO de offboarding.

Para remover dispositivos utilizando a Política de Grupo, crie uma GPO separada para a tarefa de remoção:

  1. Na página Desativação no portal Microsoft Defender em https://security.microsoft.com/securitysettings/endpoints/offboarding, configure o pacote:

    1. Selecione o grupo de versões do sistema operativo para os dispositivos-alvo. Não selecione o Windows, que inicia o fluxo de trabalho separado da ferramenta de implementação do Defender.
    2. Para o método de Implementação, selecione Política de Grupo.
    3. Selecione Download package e depois selecione Download no diálogo de confirmação.

  2. Extrair o ficheiro descarregado .zip para um local partilhado, só de leitura, onde os dispositivos alvo possam aceder. O pacote extraído contém um ficheiro chamado WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd.

  3. No GPMC, cria uma GPO para a desativação e edite a GPO.

  4. No Editor de Gestão de Políticas de Grupo, vá para Configuração do Computador>>Definições do Painel de Controlo.

  5. Clique com o botão direito em Tarefas Agendadas, selecione Novo e depois selecione Tarefa Imediata (pelo menos Windows 7).

  6. No separador Geral, configure a tarefa para:

    • Executar como NT AUTHORITY\SYSTEM.
    • Executar quer o utilizador tenha ou não iniciado sessão.
    • Correr com os privilégios mais altos.
    • Use um nome descritivo, como Defender for Endpoint offboarding.

  7. No separador Ações , selecione Novo e configure a ação:

    1. Para Ação, selecione Iniciar um programa.
    2. Para Program/script, introduza o caminho UNC para o ficheiro partilhado WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd . Use o FQDN do servidor de ficheiros no caminho.
    3. Selecione OK.

  8. Selecione OK, feche o Editor de Gestão de Políticas de Grupo e associe a GPO de desativação ao site, domínio ou OU de destino.

O offboarding impede que o dispositivo envie novos dados de deteção, vulnerabilidade e segurança para o Defender for Endpoint. Os dados históricos permanecem no portal Defender até expirar o período de retenção configurado. O perfil do dispositivo, sem dados, permanece no inventário do dispositivo até 180 dias. Para mais informações, consulte Dispositivos externos.

Conteúdo relacionado

  • Última atualização a