Implementar a segurança de pontos finais do Microsoft Defender em dispositivos Windows com a ferramenta de implementação do Defender

A ferramenta de implementação do Defender é uma aplicação simples e de atualização automática concebida para simplificar a integração de todas as versões do Windows suportadas pela solução de segurança de ponto final do Defender. A ferramenta trata dos pré-requisitos, automatiza as migrações de soluções mais antigas e elimina a necessidade de scripts de inclusão complexos, transferências separadas e instalações manuais, ao mesmo tempo que fornece visibilidade de inclusão, personalização e proteção.

Com a interface de utilizador da ferramenta, os administradores podem fazer duplo clique na ferramenta e seguir uma sequência de instalação e inclusão interativa. Para implementações maiores, a ferramenta fornece opções de automatização com parâmetros de linha de comandos avançados para que possa integrar com plataformas de orquestração ou ferramentas de implementação personalizadas, como Política de Grupo, deixando no local as experiências fornecidas através de outras integrações de soluções da Microsoft, como o Intune e o Defender para a Cloud. Atualmente, a ferramenta é a sua própria metodologia de integração e não se integra noutros métodos de inclusão.

A tabela seguinte descreve algumas das principais funcionalidades suportadas pela ferramenta.

Quando a experiência de duplo clique interativa é utilizada, a ferramenta inicia automaticamente o processo de integração e pede-lhe que introduza a chave da ferramenta de implementação do Defender gerada no portal quando cria o pacote da ferramenta de implementação do Defender em Sistema>Definições>Pontos Finais>Integração. Processa a instalação da maioria das atualizações de pré-requisitos e dos componentes mais recentes do Defender e liga o dispositivo aos serviços do Defender. Se necessário, a ferramenta pede-lhe para reiniciar o dispositivo para concluir a instalação depois de iniciar sessão novamente.

Para implementações mais avançadas e em grande escala, a ferramenta oferece funcionalidades para executar passos adicionais e orquestrados através de parâmetros da linha de comandos ou de um ficheiro de configuração.

Para ver a referência de comandos completa depois de transferir a ferramenta, execute: DefenderDT.exe -?.

Sistemas operativos suportados

A ferramenta de implementação do Defender suporta os seguintes sistemas operativos:

• Windows 7 SP1
• Windows Server 2008 R2 SP1
• Windows Server 2012 R2, 2016, 2019, 2022, 2025
• Windows 10 (versão 1809 e mais recente)
• Windows 11 (todas as versões)

Pré-requisitos

Existem pré-requisitos que dizem respeito a todos os dispositivos Windows e Windows Server suportados, bem como pré-requisitos específicos para dispositivos Windows 7 SP1 e Windows Server 2008 R2 SP1.

Pré-requisitos gerais

• Os privilégios administrativos são necessários para a maioria das operações.

• Acesso ao domínio definitionupdates.microsoft.com. A ferramenta é transferida e atualizada a partir deste domínio. Uma vez que os ficheiros que transfere estão alojados numa plataforma de distribuição de conteúdos, não existirão intervalos de IP estáticos ou previsíveis associados – ao contrário de outros serviços cloud do Defender.

• Embora a ferramenta verifique a conectividade relativamente ao seu tenant específico antes de continuar, outros requisitos de conectividade, como o acesso ao endereço consolidado *.endpoint.security.microsoft.com/*, aplicam-se a funcionalidades adicionais que poderá querer utilizar com o produto. Consulte a configuração do seu ambiente de rede para garantir a conectividade com o serviço Defender for Endpoint.

Para uma conectividade sem problemas, exclua o tráfego para *.endpoint.security.microsoft.com da inspeção SSL/TLS, da interceção de HTTPS e do proxy de intermediário (MITM). Se ativar a inspeção SSL, os sensores do Defender for Endpoint podem falhar em comunicar com os serviços de backend, resultando em falhas de integração ou de conectividade.

Pré-requisitos adicionais para o Windows 7 SP1 e Windows Server 2008 R2 SP1

• Os dispositivos têm de ter uma versão x64 do Windows 7 SP1 ou Windows Server 2008 R2 SP1. Recomendamos ter as atualizações mais recentes instaladas para evitar reinícios e reduzir significativamente o tempo de instalação necessário.

• Para que a ferramenta de implementação do Defender seja executada no Windows 7 SP1 ou Windows Server 2008 R2 SP1, no mínimo, a atualização KB4474419 para assinatura de código SHA2 tem de ser instalada.

  • Atualização da pilha de manutenção (SSU) (KB4490628). Se utilizar o Windows Update, a SSU necessária é-lhe disponibilizada automaticamente.

  • Atualização SHA-2 (KB4474419) disponibilizada a 10 de setembro de 2019. Se utilizar Windows Update, a atualização SHA-2 necessária é disponibilizada automaticamente.

• Em dispositivos Server 2008 R2 SP1, o .NET 3.5 ou uma versão superior do .NET Framework também têm de ser instalados.

Gerar e descarregar um novo pacote de onboarding

Os passos seguintes mostram como gerar e descarregar um novo pacote de integração.

1. No portal do Microsoft Defender (security.microsoft.com), aceda a Sistema>Definições>Pontos finais>Integração.

2. No menu suspenso do Passo 1, escolha Windows.

3. Em Implementar transferindo e aplicando pacotes ou ficheiros, selecione o botão Integrar.

   

4. É apresentada a página Gerar ferramenta de implementação do Defender com uma chave de acesso.

   

   • Indique um nome para o pacote. Certifique-se de que cria um nome exclusivo e descritivo.

   • Defina uma data de expiração para o pacote. Pode definir a data de expiração para qualquer período de tempo até um ano. Recomenda-se que torne o período de validade dos pacotes o mais curto possível para reduzir o risco de utilização de pacotes de implementação não autorizados.

   • Quando terminar de configurar o pacote, selecione Gerar.

5. Quando o pacote estiver pronto, verá uma página com a chave de acesso do pacote e um botão de transferência, semelhante à imagem seguinte.

   

   Copie a chave e guarde-a, pois será necessária com a ferramenta de implementação.

   Depois de copiar a chave e guardá-la, selecione Transferir ferramenta de implementação. Isto descarrega um ficheiro.zip ou .exe do executável da ferramenta de implementação Defender, dependendo da escolha de download que fizer.

Implementar a segurança de pontos finais do Defender em dispositivos

A ferramenta de implementação do Defender pode ser utilizada interativa ou não interativamente.

Utilização interativa

A ferramenta suporta duas experiências interativas que são adequadas para implementação num ou num número limitado de dispositivos – uma experiência de integração rápida de máquina única de "duplo clique" sem alterações ao comportamento predefinido e uma experiência de linha de comandos manual que proporciona mais flexibilidade.

Para utilizar a instalação predefinida rápida de "duplo clique":

1. Faça duplo clique no executável para o iniciar.

2. Uma caixa de diálogo informa-o de que a integração no dispositivo será iniciada. Selecione Continuar.

   

3. Introduza a chave da ferramenta de implementação do Defender que copiou do portal e, em seguida, selecione Continuar.

   

4. Aguarde até que a instalação esteja concluída e, em seguida, selecione OK. Não é necessário reiniciar o dispositivo.

   

Utilização não interativa

Também pode efetuar todas as operações de instalação e inclusão manualmente através da interface de linha de comandos. Além disso, a interface de linha de comandos suporta várias outras operações, como a execução de verificações de pré-requisitos:

Para ver a referência de comandos completa, execute: DefenderDT.exe -?.

Implementações avançadas e em grande escala

A ferramenta de implementação do Defender pode ser utilizada de forma não interativa como parte de uma sequência orquestrada executada por uma ferramenta de gestão, como Política de Grupo, Microsoft Configuration Manager ou outra ferramenta que a sua organização utiliza para implementações de software.

Para este fim, a ferramenta fornece parâmetros opcionais de linha de comandos que lhe permitem personalizar operações de integração para suportar uma grande variedade de cenários.

Para cenários de implementação repetitivos no seu ambiente, pode utilizar um ficheiro de configuração em vez da linha de comandos para transmitir parâmetros. Para gerar o ficheiro de configuração, execute a ferramenta com o -makeconfig parâmetro . Depois de o ficheiro ser criado, abra-o num editor de texto para configurar as opções de acordo com o seu cenário de implementação. Veja o exemplo de utilização.

Exemplos de utilização

Os exemplos seguintes ilustram como utilizar a ferramenta.

• Execute a ferramenta de implementação do Defender sem alterar as definições e sem interagir com a mesma:

  DefenderDT.exe -Quiet
  

• Utilize um ficheiro WindowsDefenderATP.onboarding no mesmo diretório da ferramenta para executar a sequência de inclusão predefinida, ligar e configurar um proxy para utilizar e, se for necessário reiniciar, inicie-o sem pedir. Não mostrar a janela da consola.

  DefenderDT.exe -Proxy:192.168.0.255:8080 -AllowReboot -Quiet
  

• Use um ficheiro .onboarding armazenado numa localização de rede para executar a sequência de integração. Não mostrar a janela da consola.

  DefenderDT.exe -File:\\server\share\Defender.onboarding -Quiet
  

• Efetuar uma operação de desativação. Não peça aprovação. Não mostrar a janela da consola.

  DefenderDT.exe -Offboard -File:c:"\Defender deployment tooltest\WindowsDefenderATPOffboardingScript_valid_until_2025-04-02.offboarding" -YES -Quiet
  

• Execute uma verificação de pré-requisitos e apresente uma saída verbosa sem apresentar uma caixa de diálogo.

  DefenderDT.exe -PreCheck -Verbose -Quiet
  

• Transfira atualizações e ficheiros de instalação para serem utilizados para teste para o diretório atual.

  DefenderDT.exe -Stage
  

• Crie e edite um ficheiro de configuração e, em seguida, utilize-o para transmitir vários parâmetros à ferramenta para efetuar uma instalação com ficheiros de instalação faseadas.

  1. Gerar um ficheiro de configuração:

     DefenderDT.exe -MakeConfig
     

  2. Utilize o Bloco de Notas para abrir o ficheiro MdeConfig.txt que foi criado no diretório. Especifique os parâmetros que pretende utilizar.

     Por exemplo:

     # Only absolute paths can be used for the parameters accepting paths
     
     # Configures the tool to perform offboarding.
     
     # Add the parameter "YES" to proceed with offboarding without user approval. 
     # Offboard: False 
     
     # Used with "Offboard" and "Uninstall" parameters. 
     # Yes: False 
     
     # Downloads the installation files for all Windows versions supported by the tool to a specific location for staging purposes. 
     # Stage: 
     
     # Specifies the path to the folder containing the installation files. To stage installation files, use the "Stage" parameter. 
     # Source: 
     
     # Specifies the full path to the .onboarding or .offboarding file if it is not placed in the current folder. 
     # File: 
     
     # Proxy to use during and after installation. Empty string by default. 
      Proxy: 
     
     # Prevents any dialogs from displaying. False by default. 
      Quiet: False 
     
     # Allows device reboots if needed. False by default 
      AllowReboot: False 
     
     # Prevents the tool from resuming activities after a reboot. False by default. 
      NoResumeAfterReboot: False 
     
     # Windows Server only. Sets Defender antivirus to run in passive mode. 
      Passive: False 
     
     # Installs updates but does not perform onboarding, even if an onboarding file is present. False by default. 
      UpdateOnly: False 
     
     # Displays detailed information. False by default. 
      Verbose: False 
     
     # Checks for prerequisites and logs results but does not proceed with installation or onboarding. False by default. 
      Precheck: False 
     
     # Offboards the device and uninstalls any components that were added during onboarding. 
     # Will use the .offboarding file in the current folder if no path was specified. 
     # Add the parameter "YES" to proceed without user approval. 
      Uninstall: False 
     
     # Optionally removes the specified workspace connection used by Microsoft Monitoring Agent (MMA). Empty string by default. 
      RemoveMMA: 
     
     # Allows offboarding to proceed even if there is no connectivity. False by default. 
      Offline: False 
     

  3. Execute a ferramenta com o ficheiro de configuração.

     DefenderDT.exe -File:\\server\DDT\Defenderconfig.txt
     

     Se o ficheiro MdeConfig.txt estiver armazenado no mesmo diretório que a ferramenta, não precisa de especificar um caminho.

Utilizar Política de Grupo para implementação

Os passos seguintes mostram como criar uma tarefa agendada para executar a ferramenta com Política de Grupo:

1. Coloque os ficheiros DefenderDT.exe e WindowsDefenderATP.onboarding numa localização partilhada que possa ser acedida pelo dispositivo. Se já tiver criado um ficheiro de configuração MDEConfig.txt , coloque-o na mesma localização.

2. Para criar um novo Objeto de Política de Grupo (GPO), abra a Consola de Gestão de Políticas de Grupo (GPMC), clique com o botão direito do rato em Objetos de Política de Grupo que pretende configurar e selecione Novo. Introduza o nome do novo GPO na caixa de diálogo apresentada e selecione OK.

3. Abra a Consola de Gestão do Política de Grupo, clique com o botão direito do rato no Objeto de Política de Grupo (GPO) que pretende configurar e selecione Editar.

4. No Editor de Gestão de Políticas de Grupo, aceda a Configuração do Computador>Preferências>Definições do Painel de Controlo.

5. Clique com o botão direito do rato em Tarefas agendadas, aponte para Nova e, em seguida, selecione Tarefa Imediata (Pelo menos Windows 7).

6. Na janela Tarefa que é aberta, aceda ao separador Geral .

7. Em Opções de segurança , selecione Alterar Utilizador ou Grupo, escreva SISTEMA e, em seguida, selecione Verificar Nomes e selecione OK. NT AUTHORITY\SYSTEM aparece como a conta de utilizador que a tarefa irá executar como.

8. Selecione Executar se o utilizador tem sessão iniciada ou não e selecione a caixa de verificação Executar com privilégios mais altos .

9. No campo Nome , escreva um nome adequado para a tarefa agendada.

10. Aceda ao separador Ações e selecione Novo. Certifique-se de que Iniciar um programa está selecionado no campo Ação. Introduza o caminho UNC completo, utilizando o nome de domínio completamente qualificado (FQDN) do servidor de ficheiros da aplicação deDefenderDT.exe partilhada.

11. No campo Adicionar argumentos (opcional), introduza os parâmetros que pretende utilizar. Por exemplo, para utilizar um ficheiro de inclusão que não esteja no diretório de trabalho da ferramenta, especifique o parâmetro -file: com o caminho UNC completo para o ficheiro de inclusão, por exemplo -file: \\server\share\WindowsDefenderATP.onboarding.

12. Selecione OK e feche todas as janelas de GPMC abertas.

13. Para ligar o GPO a uma Unidade Organizacional (UO), clique com o botão direito do rato e selecione Ligar um GPO existente. Na caixa de diálogo apresentada, selecione o objeto Política de Grupo que pretende ligar e selecione OK.

Desativar um dispositivo

Para retirar um dispositivo utilizando a ferramenta de implementação do Defender, descarregue o pacote de desativação a partir do portal, transfira-o para o dispositivo de destino e execute o comando de desativação.

Passo 1: Descarregar o pacote de desativação

1. No portal do Defender, aceda a Sistema>Definições>Pontos finais>Gestão de dispositivos>Offboarding.

2. Em Selecionar sistema operativo, selecioneWindows.

3. Em Ferramenta de implementação do Defender, selecione Transferir pacote para transferir o ficheiro de .zip que contém o script de exclusão.

   

Passo 2: Executar o comando de remoção

1. Copie o ficheiro .zip para o computador de destino e extraia-o para aceder ao .offboarding script.

2. Abra a Linha de Comandos como Administrador e navegue para a pasta extraída.

3. Execute o seguinte comando:

   <PackageExecutable>.exe -offboard -file:<PathToOffboardingFile>
   

   Por exemplo:

   C:\Packages>Disable_Live_Response.exe -offboard -file:WindowsDefenderATP_valid_until_2025-11-12.offboarding
   

4. Quando lhe for pedido Are you sure you want to offboard? Yes(Y)/No(N)?, escreva Y para continuar.

5. Aguarde pela conclusão do processo. Uma desativação bem-sucedida apresenta a seguinte mensagem:

   Microsoft Defender deployment tool completed, exit code: 0 [Success]
   

Considerações e limitações

As considerações e limitações gerais e as considerações e limitações adicionais específicas dos dispositivos Windows 7 SP1 e Windows Server 2008 R2 SP1 estão descritas abaixo.

Considerações e limitações gerais

• Quando estiver a utilizar a experiência interativa e for necessário reiniciar a sequência, tem de iniciar sessão novamente após o reinício para retomar. Caso contrário, o dispositivo não será totalmente integrado.

• No Windows Server 2016 e versões posteriores, quando a funcionalidade Microsoft Defender Antivirus tiver sido desinstalada ou removida, poderá ocorrer um erro durante o passo «Ativar Funcionalidade "Windows-Defender"». Isto pode ser observado na interface do utilizador, no registo local, em Conclusão da sequência, com o código de saída 710 e a descrição do erro EnableFeatureFailed. No registo local, também poderá encontrar o erro 14081 com a descrição 0x3701 Não foi possível localizar a assemblagem referenciada. Este erro não é indicativo de um problema com a funcionalidade Antivírus do Defender ou os ficheiros de origem, uma vez que estes normalmente seriam resolvidos pela ferramenta de inclusão. Abra um pedido de suporte para Windows Servers caso se depare com este problema.

Problemas conhecidos e limitações do Windows 7 SP1 e Windows Server 2008 R2 SP1

• Poderá receber alertas sobre mpclient.dll, mpcommu.dll, mpsvc.dll, msmplics.dlle sense1ds.dll carregados por MpCmdRun.exe ou MsSense.exe. Estes devem ser resolvidos ao longo do tempo.

• No Windows 7 SP1 e no Windows Server 2008 R2 SP1 com o pacote Experiência de Utilização do Computador instalado, poderá ver uma notificação do Centro de Ação O Windows não encontrou software antivírus neste computador. Isto não é indicativo de um problema.

• A versão de pré-visualização ("beta") da ferramenta de analisador de cliente pode ser utilizada para recolher registos e realizar a resolução de problemas de conectividade no Windows 7 SP1 e Windows Server 2008 R2 SP1. Requer a instalação do PowerShell 5.1 ou posterior.

• Não existe uma interface de utilizador local para o Antivírus. Se quiser gerir as definições do Antivírus localmente com o PowerShell, é necessária a versão 5.1 ou posterior.

• A configuração através de Política de Grupo é suportada através de um arquivo central com modelos de política de grupo atualizados num controlador de domínio. Para a configuração da política de grupo local, os modelos (WindowsDefender.admx/WindowsDefender.adml) terão de ser atualizados manualmente para uma versão mais recente (Windows 11) se pretender utilizar o editor de políticas de grupo local para aplicar as definições.

• A solução de segurança do ponto final do Defender será instalada no C:\Program Files\Microsoft Defender para Endpoint

• Pode colocar Antivírus do Defender no modo passivo no Windows 7 ao transmitir o parâmetro -passive para a ferramenta de implementação do Defender. No entanto, atualmente, não é possível mudar para o modo ativo posteriormente com a chave de registo ForceDefenderPassiveMode, como no servidor Windows. Para mudar para o modo ativo, é necessário desativar e desinstalar e, em seguida, executar a ferramenta de implementação do Defender novamente sem o parâmetro de modo passivo.

Resolução de Problemas

Pode referenciar o registo de ferramentas de implementação do Defender para compreender se ocorreram problemas durante a instalação e a integração. O registo da ferramenta de implementação está localizado em:

C:\ProgramData\Microsoft\DefenderDeploymentTool\DefenderDeploymentTool-<COMPUTERNAME>.log

Os eventos também serão escritos nos seguintes registos de eventos do Windows:

• Integração: Registos do Windows > Aplicação > Origem: WDATPOnboarding
• Exclusão: Origem da Aplicação > de Registos > do Windows: WDATPOffboarding

Para testar se a instalação foi bem-sucedida, efetue as seguintes verificações:

1. Verifique se os serviços estão em execução com os seguintes comandos:

   Sc.exe query sense
   
   Sc.exe query windefend
   

   Deverá ver o seguinte resultado:

   SERVICE_NAME: sense
           TYPE               : 10  WIN32_OWN_PROCESS
           STATE              : 4  RUNNING
                                   (STOPPABLE, NOT_PAUSABLE, ACCEPTS_PRESHUTDOWN)
           WIN32_EXIT_CODE    : 0  (0x0)
           SERVICE_EXIT_CODE  : 0  (0x0)
           CHECKPOINT         : 0x0
           WAIT_HINT          : 0x0
   
   SERVICE_NAME: windefend
           TYPE               : 10  WIN32_OWN_PROCESS
           STATE              : 4  RUNNING
                                   (STOPPABLE, NOT_PAUSABLE, ACCEPTS_SHUTDOWN)
           WIN32_EXIT_CODE    : 0  (0x0)
           SERVICE_EXIT_CODE  : 0  (0x0)
           CHECKPOINT         : 0x0
           WAIT_HINT          : 0x0
   

2. Para obter uma recolha detalhada de registos para Antivírus do Defender, incluindo definições e outras informações, veja Recolher dados de diagnóstico do Antivírus Microsoft Defender.

3. Pode utilizar a ferramenta de análise de cliente para recolher registos e realizar a resolução de problemas de conectividade no Windows.

Códigos de saída

Quando executa a ferramenta como parte de uma implementação em grande escala, por exemplo, através de uma solução de distribuição de software, pode monitorizar códigos de saída para ajudar a monitorizar os resultados. Podem ser gerados os seguintes códigos de saída:

Conteúdos relacionados

• Implementar a solução de segurança de ponto final do Defender para dispositivos Windows 7 SP1 e Windows Server 2008 R2 SP1
• Restringir ações de resposta em ativos de alto valor