Migrar dispositivos para utilizar o método de conectividade simplificado

Use este artigo para reinstalar dispositivos Microsoft Defender para Endpoint existentes com o pacote de conectividade simplificado. A conectividade simplificada consolida o tráfego central do serviço Defender for Endpoint num conjunto mais pequeno de destinos de rede. Antes de migrar os dispositivos, configure os destinos de rede necessários e confirme que os dispositivos cumprem os pré-requisitos de conectividade simplificada.

Na maioria dos casos, não é necessário desligar dos dispositivos antes de os reinstalar. Aplica o pacote de integração simplificado e depois reinicia os dispositivos Windows ou reinicia o serviço Defender for Endpoint em dispositivos macOS e Linux.

Nota

A ferramenta de implementação do Defender pode ser utilizada para implementar a segurança do ponto final do Defender em dispositivos Windows e Linux. A ferramenta é uma aplicação leve e de atualização automática que simplifica o processo de implementação. Para obter mais informações, veja Implementar Microsoft Defender segurança de pontos finais em dispositivos Windows com a ferramenta de implementação do Defender e Implementar Microsoft Defender segurança de pontos finais em dispositivos Linux com a ferramenta de implementação do Defender (pré-visualização).

Migrar dispositivos para conectividade simplificada

Utilize os procedimentos específicos da plataforma nesta secção para migrar dispositivos existentes da conectividade padrão para uma conectividade simplificada.

Planear a migração

Antes de migrar dispositivos:

• Planeie uma implementação gradual: Comece com um pequeno conjunto de dispositivos. Expanda a implementação depois de verificar se os dispositivos de teste usam conectividade simplificada.

• Use ferramentas de gestão suportadas: Para dispositivos geridos, utilize métodos de implementação como Intune, Gestor de Configuração, Group Policy, Jamf Pro ou outra ferramenta de gestão suportada.

• Teste a conectividade na cloud: Confirme que os dispositivos podem comunicar com os serviços Defender for Endpoint. Para mais informações, consulte Verificar conectividade do cliente ao Microsoft Defender para Endpoint Service URLs.

• Prepare um plano de rollback: Mantenha os destinos de conectividade padrão disponíveis durante a migração. Se ocorrerem problemas, volte a aplicar o pacote padrão de configuração inicial da conectividade.

• Valide o sucesso da migração: Verifique se os dispositivos utilizam conectividade simplificada antes de remover os destinos padrão dos serviços principais da sua firewall ou configuração de proxy. Continue a permitir os destinos de serviço de suporte necessários para o sistema operativo, atualizações, validação de certificados e funcionalidades de implementação e segurança. Para mais informações, consulte Integração de dispositivos com conectividade simplificada.

Reiniciar dispositivos ou serviços após a reintegração

Depois de aplicar o pacote de integração simplificado, conclua a ação correspondente ao sistema operativo do dispositivo:

• Windows: Reinicie o dispositivo.

• macOS: Reinicie o dispositivo ou reinicie o serviço Defender for Endpoint:

  sudo launchctl unload /Library/LaunchDaemons/com.microsoft.fresno.plist
  sudo launchctl load /Library/LaunchDaemons/com.microsoft.fresno.plist
  

• Linux: Reinicie o dispositivo ou reinicie o serviço Defender for Endpoint:

  sudo systemctl restart mdatp
  

Verificar a conectividade do dispositivo migrado

Use os seguintes métodos para confirmar que os dispositivos migrados utilizam conectividade simplificada.

Utilize o Analisador do Cliente no Windows

Execute o Microsoft Defender para Endpoint Client Analyzer num dispositivo Windows migrado para confirmar que o dispositivo se liga aos destinos simplificados. O analisador utiliza automaticamente o pacote de integração configurado no dispositivo. Para instruções, consulte Executar o analisador do cliente no Windows e Verificar a conectividade do cliente com as URLs de serviço do Microsoft Defender para Endpoint.

Monitorizar o tipo de conectividade com caça avançada

Use a caça avançada no portal Microsoft Defender para ver o tipo de conectividade que os dispositivos reportam na DeviceInfo tabela:

• Nome da coluna: ConnectivityType.
• Valores possíveis: Vazio, Streamlined, ou Standard.
• Tipo de dados: String.
• Descrição: O tipo de conectividade do dispositivo para o serviço cloud Defender for Endpoint.

Depois de um dispositivo migrado estabelecer comunicação com o canal de comando e controlo EDR, o valor é Streamlined. Se reaplicar um pacote de integração padrão, o valor muda para Standard. O valor permanece em branco nos dispositivos que ainda não tentaram voltar a integrar-se.

Utilize as consultas de pesquisa avançada mais à frente neste artigo para verificar dispositivos individuais e os totais de implementação. Para o esquema, veja a tabela DeviceInfo.

Monitorizar a conectividade localmente no Visualizador de Eventos do Windows

Utilize o registo operacional do SENSE no Visualizador de Eventos do Windows para confirmar que um dispositivo Windows estabelece ligação a um destino otimizado.

1. Selecione Iniciar, escreva Visualizador de Eventos, e pressione Enter.

2. Em Resumo do Registo, faça duplo clique em Microsoft-Windows-SENSE/Operational.

   

   Também pode expandir Registos de Aplicações e Serviços>Microsoft>Windows>SENSE e, depois, selecionar Operacional.

3. Encontre o ID do evento 4, que regista uma ligação bem-sucedida a um servidor de processamento Defender for Endpoint. Confirme que o servidor contactado usa o endpoint.security.microsoft.com domínio. Por exemplo:

   Contacted server 6 times, all succeeded, URI: <region>.<geo>.endpoint.security.microsoft.com.
   <EventData>
    <Data Name="UInt1">6</Data>
    <Data Name="Message1">https://<region>.<geo>.endpoint.security.microsoft.com>
   </EventData>
   

4. Verifique o ID de evento 5 para detetar erros de ligação.

Execute testes opcionais de funcionalidades do Windows

Após a migração, confirme que o dispositivo continua a aparecer no Inventário de Dispositivos com o mesmo ID de dispositivo. Revise a linha temporal do dispositivo para confirmar que os eventos continuam a acontecer.

Testar a conectividade do Live Response

Inicie uma sessão de resposta ao vivo num dispositivo de teste e execute um comando básico para confirmar que a sessão responde. Para obter mais informações, veja Investigar entidades em dispositivos com resposta em direto.

Testar a conectividade de investigação e resposta automatizadas

Confirme que o dispositivo cumpre os requisitos para investigação e resposta automáticas. Para mais informações, consulte Configurar capacidades automatizadas de investigação e resposta.

Teste a conectividade de proteção fornecida pela cloud

Verifique a conectividade de proteção entregue na cloud num dispositivo de teste Windows.

Numa Linha de Comandos elevada (uma janela da Linha de Comandos que abriu ao selecionar Executar como administrador), execute os seguintes comandos:

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -ValidateMapsConnection

Para obter mais informações sobre MpCmdRun, veja Configurar e gerir Microsoft Defender Antivírus com a ferramenta de linha de comandos MpCmdRun.

Bloco de teste à primeira vista

Siga as instruções de demonstração do bloco à primeira vista (BAFS) no Defender para demonstrações de ponto final.

Teste do SmartScreen

Siga as instruções de demonstração do SmartScreen na página Microsoft Defender SmartScreen Demo (msft.net).

Teste de deteção do PowerShell

1. No dispositivo Windows, crie uma pasta: C:\test-MDATP-test.

2. Abra a Linha de Comandos como administrador.

3. Na janela Linha de Comandos, execute o seguinte comando do PowerShell:

   powershell.exe -NoExit -ExecutionPolicy Bypass -WindowStyle Hidden $ErrorActionPreference = 'silentlycontinue';(New-Object System.Net.WebClient).DownloadFile('http://127.0.0.1/1.exe', 'C:\\test-MDATP-test\\invoice.exe');Start-Process 'C:\\test-MDATP-test\\invoice.exe'
   

Se o comando for executado com sucesso e o ficheiro de teste for executado, o teste de deteção EDR do Windows está concluído e um novo alerta aparece no portal do Microsoft Defender dentro de poucos minutos. Para mais informações, consulte Executar um teste de deteção de EDR.

Conectividade de teste no macOS e Linux

Execute o comando seguinte para confirmar que edr_partner_geo_location está disponível. O valor deve usar o formato GW_<geo>, onde <geo> é a localização geográfica da sua organização:

mdatp health --details edr

Execute o teste de conectividade e confirme que os resultados incluem o endpoint.security.microsoft.com domínio:

mdatp connectivity test

Espere dois resultados para /storage, e um resultado para /mdav, /xplat, e /packages. Por exemplo: https://mdav.us.endpoint.security.microsoft.com/storage.

Consultar o tipo de conectividade dos dispositivos migrados

Execute a seguinte consulta para listar os dispositivos integrados e mostrar o tipo de conectividade mais recente reportado para cada dispositivo:

DeviceInfo
| where OnboardingStatus == "Onboarded"
| summarize arg_max(Timestamp, ConnectivityType) by DeviceName

Execute a seguinte consulta para contar os dispositivos integrados por sistema operativo e tipo de conectividade:

DeviceInfo
| where OnboardingStatus == "Onboarded"
| summarize arg_max(Timestamp, ConnectivityType, OSPlatform) by DeviceName
| summarize count() by OSPlatform, ConnectivityType
| render columnchart

Use o Client Analyzer no macOS e Linux

Execute o XMDE Client Analyzer para recolher a conectividade e diagnósticos de saúde. Use o procedimento para o sistema operativo do dispositivo:

• Executa o analisador cliente no macOS.
• Executa o analisador cliente no Linux.