Migrera enheter till att använda den förenklade anslutningsmetoden

Använd denna artikel för att återinföra befintliga Microsoft Defender för Endpoint-enheter med det strömlinjeformade anslutningspaketet. Strömlinjeformad anslutning samlar kärntrafik för Defender for Endpoint-tjänster under en mindre uppsättning nätverksdestinationer. Innan du migrerar enheter, konfigurera de nödvändiga nätverksdestinationerna och kontrollera att enheterna uppfyller de förenklade anslutningskraven.

I de flesta fall behöver du inte avregistrera enheter innan du registrerar dem på nytt. Använd det strömlinjeformade onboarding-paketet och starta sedan om Windows-enheter eller starta om Defender for Endpoint-tjänsten på macOS och Linux-enheter.

Obs!

Defender-distributionsverktyget kan användas för att distribuera Defender-slutpunktssäkerhet på Windows- och Linux-enheter. Verktyget är ett enkelt, självuppdateringsprogram som effektiviserar distributionsprocessen. Mer information finns i Distribuera Microsoft Defender slutpunktssäkerhet till Windows-enheter med hjälp av Defender-distributionsverktyget och Distribuera Microsoft Defender slutpunktssäkerhet för att Linux enheter med hjälp av Defender-distributionsverktyget (förhandsversion).

Migrera enheter till strömlinjeformad uppkoppling

Använd de plattformsspecifika procedurerna i detta avsnitt för att migrera befintliga enheter från standardanslutning till strömlinjeformad uppkoppling.

Planera migreringen

Innan du migrerar enheter:

• Planera en gradvis utrullning: Börja med en liten uppsättning enheter. Utöka utrullningen efter att du har verifierat att testenheterna använder förenklad anslutning.

• Använd stödda hanteringsverktyg: För hanterade enheter, använd distributionsmetoder som Intune, Configuration Manager, Group Policy, Jamf Pro eller något annat stödd hanteringsverktyg.

• Testa molnanslutning: Bekräfta att enheter kan kommunicera med Defender for Endpoint-tjänster. För mer information, se Verifiera klientanslutning till Microsoft Defender för Endpoint service-URL:er.

• Förbered en rollback-plan: Håll standardanslutningsdestinationerna tillgängliga under migrationen. Om problem uppstår, återapplicera det vanliga anslutningspaketet för onboarding.

• Verifiera migreringsframgång: Verifiera att enheterna använder strömlinjeformad anslutning innan du tar bort standarddestinationerna för kärntjänster från din brandvägg eller proxykonfiguration. Fortsätt att tillåta stödjande tjänstedestinationer som krävs för operativsystemet, uppdateringar, certifikatvalidering samt dina distributions- och säkerhetsfunktioner. För mer information, se Introduktion av enheter med förenklad anslutning.

Starta om enheter eller tjänster efter återregistrering

Efter att du har implementerat det strömlinjeformade onboarding-paketet, slutför åtgärden för enhetens operativsystem:

• Windows: Starta om enheten.

• macOS: Starta om enheten, eller starta om Defender for Endpoint-tjänsten:

  sudo launchctl unload /Library/LaunchDaemons/com.microsoft.fresno.plist
  sudo launchctl load /Library/LaunchDaemons/com.microsoft.fresno.plist
  

• Linux: Starta om enheten eller starta om Defender for Endpoint-tjänsten:

  sudo systemctl restart mdatp
  

Verifiera migrerad enhetsanslutning

Använd följande metoder för att bekräfta att migrerade enheter använder strömlinjeformad anslutning.

Använd Client Analyzer på Windows

Kör Microsoft Defender för Endpoint Client Analyzer på en migrerad Windows-enhet för att bekräfta att enheten ansluter till de strömlinjeformade destinationerna. Analysatorn använder automatiskt det onboarding-paket som är konfigurerat på enheten. För instruktioner, se Kör klientanalysatorn på Windows och Verifiera klientanslutning till Microsoft Defender för Endpoint-tjänste-URL:er.

Spåra anslutningstyp med avancerad sökning

Använd avancerad jakt i Microsoft Defender-portalen för att se den anslutningstyp som enheterna rapporterar i DeviceInfo tabellen:

• Kolumnnamn: ConnectivityType.
• Möjliga värden: Blank, Streamlined, eller Standard.
• Datatyp: Sträng.
• Beskrivning: Typen av anslutning från enheten till molntjänsten Defender for Endpoint.

Efter att en migrerad enhet har upprättat kommunikation med EDR:s kommando- och kontrollkanal är värdet Streamlined. Om du tillämpar ett standardpaket för introduktion igen ändras värdet till Standard. Värdet förblir tomt för enheter som inte har försökt registreras på nytt.

Använd frågorna för avancerad jakt längre fram i den här artikeln för att granska enskilda enheter och det totala antalet distributioner. För schemat, se DeviceInfo-tabellen.

Spåra anslutningen lokalt i Windows Zobrazovač udalostí

Använd SENSE:s operativa logg i Windows Zobrazovač udalostí för att bekräfta att en Windows enhet ansluter till en strömlinjeformad destination.

1. Välj Start, skriv Zobrazovač udalostí, och tryck på Enter.

2. Under Loggsammanfattning, dubbelklicka på Microsoft-Windows-SENSE/Operational.

   

   Du kan också expandera Applications and Services Logs>>> och sedan välja Operational.

3. Hitta event ID 4, som registrerar en lyckad anslutning till en Defender for Endpoint-processor. Bekräfta att den kontaktade servern använder domänen endpoint.security.microsoft.com . Till exempel:

   Contacted server 6 times, all succeeded, URI: <region>.<geo>.endpoint.security.microsoft.com.
   <EventData>
    <Data Name="UInt1">6</Data>
    <Data Name="Message1">https://<region>.<geo>.endpoint.security.microsoft.com>
   </EventData>
   

4. Granska händelse-ID 5 för anslutningsfel.

Kör valfria Windows-funktionstester

Efter migreringen, bekräfta att enheten fortsätter att visas i Device Inventory med samma enhets-ID. Gå igenom enhetens tidslinje för att bekräfta att händelser fortsätter att komma.

Testa Live Response-anslutning

Starta en live-responssession på en testenhet och kör ett grundläggande kommando för att bekräfta att sessionen är responsiv. Mer information finns i Undersöka entiteter på enheter med livesvar.

Testa automatisk undersökning och svarsanslutning

Bekräfta att enheten uppfyller kraven för automatiserad utredning och respons. För mer information, se Konfigurera automatiserade utrednings- och responsfunktioner.

Testa molnlevererad skyddsanslutning

Verifiera molnlevererad skyddsanslutning på en Windows-testenhet.

Kör följande kommandon i en upphöjd kommandotolk (ett kommandotolksfönster som du öppnade genom att välja Kör som administratör):

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -ValidateMapsConnection

Mer information om MpCmdRun finns i Konfigurera och hantera Microsoft Defender Antivirus med kommandoradsverktyget MpCmdRun.

Testblock vid första anblick

Följ demonstrationsinstruktionerna för blocket vid första anblick (BAFS) i demonstrationerna för Defender for Endpoint.

Testa SmartScreen

Följ SmartScreen-demonstrationsinstruktionerna på sidan Microsoft Defender SmartScreen Demo (msft.net).

PowerShell-test för detektering

1. Skapa en mapp på Windows-enheten: C:\test-MDATP-test.

2. Öppna Kommandotolken som administratör.

3. Kör följande PowerShell-kommando i kommandotolkens fönster:

   powershell.exe -NoExit -ExecutionPolicy Bypass -WindowStyle Hidden $ErrorActionPreference = 'silentlycontinue';(New-Object System.Net.WebClient).DownloadFile('http://127.0.0.1/1.exe', 'C:\\test-MDATP-test\\invoice.exe');Start-Process 'C:\\test-MDATP-test\\invoice.exe'
   

Om kommandot körs framgångsrikt och testfilen körs är Windows EDR-detekteringstestet klart och en ny varning visas i Microsoft Defender-portalen inom några minuter. För mer information, se Kör ett EDR-detekteringstest.

Testa anslutning på macOS och Linux

Kör följande kommando för att bekräfta att det edr_partner_geo_location är tillgängligt. Värdet bör använda formatet GW_<geo>, där <geo> är organisationens geografiska position:

mdatp health --details edr

Kör anslutningstestet och bekräfta att resultaten inkluderar domänen endpoint.security.microsoft.com :

mdatp connectivity test

Förvänta dig två resultat för /storage, och ett resultat vardera för /mdav, /xplat, och /packages. Till exempel: https://mdav.us.endpoint.security.microsoft.com/storage.

Sök på anslutningstyp för migrerade enheter

Kör följande fråga för att lista ombordanslutna enheter och visa den senaste rapporterade anslutningstypen för varje enhet:

DeviceInfo
| where OnboardingStatus == "Onboarded"
| summarize arg_max(Timestamp, ConnectivityType) by DeviceName

Kör följande fråga för att räkna ombordmonterade enheter efter operativsystem och anslutningstyp:

DeviceInfo
| where OnboardingStatus == "Onboarded"
| summarize arg_max(Timestamp, ConnectivityType, OSPlatform) by DeviceName
| summarize count() by OSPlatform, ConnectivityType
| render columnchart

Använd Client Analyzer på macOS och Linux

Kör XMDE Client Analyzer för att samla in anslutning och hälsodiagnostik. Använd proceduren för enhetens operativsystem:

• Kör klientanalysatorn på macOS.
• Kör klientanalysatorn på Linux.