Distribuera princip för slutpunktsidentifiering och svar med Intune

När du integrerar Microsoft Defender för Endpoint med Intune kan du använda slutpunktssäkerhetsprinciper för identifiering och svar på slutpunkt (EDR) för att hantera EDR-inställningarna och registrera enheter i Microsoft Defender för Endpoint.

Intune principer för EDR innehåller plattformsspecifika profiler som hanterar registrering (installation) av Microsoft Defender för Endpoint. Användning av registreringspaket är hur enheter konfigureras för att fungera med Microsoft Defender för Endpoint. Registrering till Defender via Intune EDR-principer konfigurerar enheter för att skicka säkerhetstelemetri till Microsoft Defender för Endpoint, vilket möjliggör avancerade funktioner för hotidentifiering, undersökning och svar.

Den här artikeln beskriver EDR-distributionsscenarier, från automatisk anslutningsbaserad distribution till manuell konfiguration för specialiserade miljöer.

Förstå EDR-registrering

EDR-registrering konfigurerar enheter så att de kan skicka säkerhetstelemetri till din Defender för Endpoint-klientorganisation. Onboarding-paketet är en plattformsspecifik konfigurationsfil som innehåller:

• Klientkonfiguration: Identifierar din specifika Defender för Endpoint-organisation.
• Tjänstslutpunkter: URL:er för kommunikation med Defender-tjänster.
• Autentiseringsmaterial: Certifikat och token för säker kommunikation mellan enheter och tjänster.
• Grundläggande konfiguration: Inställningar för enhetsregistrering och inledande kommunikationsparametrar.

Viktiga begrepp:

• Enheter visas i Defender-portalen strax efter lyckad registrering och inledande telemetriöverföring.
• Onboarding aktiverar telemetriflöde, men konfigurerar inte avancerade inställningar som minskning av attackytan, brandvägg eller antivirusprinciper.
• EDR-principer hanterar inte regler för hotjakt, anpassad identifieringslogik, svarsautomatisering eller undersökningsarbetsflöden.

Teknisk information finns i Registrera enheter i Microsoft Defender för Endpoint.

Gäller för:

• Linux
• macOS
• Windows
• Windows Server 2012 R2 och senare stöds när enheter hanteras via något av följande:
  • Configuration Manager (klientanslutning)
  • Hantering av säkerhetsinställningar i Microsoft Defender för Endpoint

Förhandskrav

Innan du distribuerar EDR-principer bekräftar du att organisationen uppfyller licens- och behörighetskraven.

Licens

• Microsoft Intune abonnemang 1

Du behöver licenser för Microsoft Defender:

• Defender för Endpoint Plan 1-licens per användare
• Microsoft 365 E5/A5/G5 (inkluderar Defender för Endpoint Plan 2)
• Microsoft Defender XDR (fristående)

Detaljerad licensinformation finns i:

• Microsoft Intune-licensiering
• Microsoft Defender för Endpoint licensiering

Rollbaserad åtkomstkontroll

Om du vill konfigurera EDR-principen måste ditt konto tilldelas en Intune roll med tillräcklig behörighet för rollbaserad åtkomstkontroll (RBAC):

• Endpoint Security Manager: Rollen Endpoint Security Manager omfattar behörigheter för att skapa och hantera policyer för slutpunktssäkerhet.
• Anpassad roll: Behörigheter för att skapa/läsuppdatering//och ta bort för slutpunktssäkerhet.

Du behöver också behörigheter i Microsoft Defender för Endpoint för att upprätta tjänstanslutningen:

• Säkerhetsadministratörsroll i Microsoft Entra ID eller
• Anpassad roll med motsvarande behörigheter: microsoft.directory/applications/create, microsoft.directory/applications/delete, microsoft.directory/servicePrincipals/create

Detaljerad behörighetsvägledning finns i Rollbaserad åtkomstkontroll för slutpunktssäkerhet.

Plattformar och profiler som stöds

Windows:

• Profil: Slutpunktsidentifiering och svar
  • Exempeldelning: Välj hur enheter ska skicka filexempel till Defender för Endpoint.
  • Registreringsalternativ: Automatisk från anslutningsappen (tillgängligt när tjänstanslutningen har konfigurerats) eller lägg manuellt till ett inbyggt eller avregistrerat paket.
    • Automatisk från-anslutning (rekommenderas när tjänst-till-tjänst-anslutningen är konfigurerad).
    • Manuell registrering med hjälp av ett Onboard - eller Offboard-paket från Defender-portalen.
  • Hantering: Intune-registrerade enheter eller oregistrerade enheter via hantering av säkerhetsinställningar i Defender för Endpoint.

macOS:

• Profil: Slutpunktsidentifiering och svar
  • Enhetstaggar: Enhetstaggar innehåller ett namn - och värdepar som används för att organisera enheter i Defender för Endpoint.
  • Skötselmetoder:
    • Intune-registrerad
    • Hantering av säkerhetsinställningar för Defender för Endpoint

Linux:

• Profiler:
  • Identifiering och svar för slutpunkt
    • Enhetstaggar: Enhetstaggar innehåller ett namn - och värdepar som används för att organisera enheter i Defender för Endpoint.
    • Skötselmetoder:
      • Intune-registrerad
      • Hantering av säkerhetsinställningar för Defender för Endpoint
  • Microsoft Defender globala undantag (AV+EDR) – Se Global undantagsprofil för Linux senare i den här artikeln.

Windows Server 2012 R2+:

• Profil: Slutpunktsidentifiering och svar (ConfigMgr)
  • Ledning:
    • Configuration Manager klientanslutning
    • Hantering av säkerhetsinställningar i Defender för Endpoint.
  • Samlingsmål: Tilldela till Configuration Manager samlingar i stället för Entra ID-grupper.
  • Förutsättningar:
    • KB4563473 snabbkorrigering
    • Samlingar synkroniserade till Intune för tilldelningar
    • Tilldelningar tillämpas på Configuration Manager samlingar, inte Entra ID-grupper

Konfigurera anslutningen Intune–Defender för slutpunkt

Intune kräver en anslutning till Microsoft Defender för Endpoint för att automatiskt hämta registreringspaket och stödja EDR-principdistribution.

När anslutningen är aktiverad:

• Intune hämtar det senaste registreringspaketet från Defender för Endpoint.
• Den senaste konfigurationen för registrering används när du skapar principer.
• Du kan använda Automatisk från-koppling i EDR-profiler.

Så här konfigurerar du anslutningen:

1. I administrationscentret för Microsoft Intune går du tillAnslutningsappar och token för innehavaradministrationMicrosoft>>Defender för Endpoint.
2. Välj Anslut Microsoft Defender för Endpoint till Intune.
3. Aktivera anslutningen och konfigurera inställningar för datadelning.
4. Kontrollera att anslutningsstatusen är Ansluten.

Detaljerade konfigurationsinstruktioner finns i Anslut Microsoft Defender för Endpoint till Intune.

Distribuera EDR-princip

Om noden för slutpunktsidentifiering och svar:

I Intune administrationscenter innehåller noden slutpunktsidentifiering och svar följande flikar:

• Sammanfattning – Visar en lista över alla EDR-principer, anslutningsstatus och innehåller diagrammet "Windows-enheter som registrerats i Defender för Endpoint" och alternativet Skapa princip .
• EDR-registreringsstatus – Visar sammanfattningsdiagrammet för registrering, enhetslistan med detaljerad status och innehåller alternativet Distribuera förkonfigurerad princip . Detaljerad information om hur du använder den här fliken finns i Statusrapport för EDR-registrering.

Varje enhet som rapporterar säkerhetstelemetri till Microsoft Defender för Endpoint måste registreras med hjälp av ett konfigurationspaket (kallas en onboarding-"blob"). Mer information om innehållet i ett registreringspaket finns i Förstå EDR-registrering.

Oavsett om du använder automatisk eller manuell distribution tillämpar Intune samma registreringskonfiguration på enheter. Skillnaden är hur Intune hämtar den konfigurationen:

• Automatiskt (rekommenderas) – Intune hämtar onboarding-paketet från Defender för Endpoint via den konfigurerade tjänstanslutningen.
• Manuell – Använd ett onboarding-paket som laddats ned från Defender-portalen när automatisk hämtning inte är tillgänglig.

Välja distributionsmetod:

Skapa en princip för automatisk identifiering av ärende (EDR)

Bäst för miljöer med standard Intune + Defender-integrering och en enda Defender för Endpoint-klientorganisation.

Förutsättningar: Aktiv tjänst-till-tjänst-anslutning mellan Intune och Defender för Endpoint.

Distribuera den förkonfigurerade principen för åtgärdsrapportering i Windows

Det snabbaste sättet att distribuera EDR-registrering till alla Windows-enheter är att använda det förkonfigurerade principalternativet som är tillgängligt på fliken EDR-registreringsstatus. Den här metoden använder automatiskt det senaste onboarding-paketet från Defender för Endpoint-klientorganisationen och distribueras med rekommenderade inställningar.

Detaljerade stegvisa instruktioner finns i Snabb distribution med förkonfigurerad princip i avsnittet Statusrapport för EDR-registrering.

Skapa en anpassad EDR-princip (alla plattformar)

När du behöver distribuera EDR-principer till specifika grupper eller plattformar med anpassade inställningar använder du alternativet Skapa princip på fliken Sammanfattning. Den här metoden ger dig fullständig kontroll över plattformsval, konfigurationsinställningar och grupptilldelningar.

Viktiga konfigurationsalternativ är:

• Typ av klientkonfigurationspaket för Microsoft Defender för Endpoint: Välj Automatisk från koppling när det är tillgängligt
• Delningsexempel: Välj utifrån dina datakänslighetskrav
• Enhetstaggar (macOS och Linux): Konfigurera för enhetsfiltrering och gruppering

Detaljerad vägledning för att skapa principer finns i avsnittet Riktad reparation i avsnittet Statusrapport för EDR-registrering.

Skapa EDR-princip manuellt

Använd den här metoden när din organisation inte kan använda tjänstanslutningen (flera klientorganisationer, luftgapade miljöer eller strikt ändringskontroll).

Ladda ned onboarding-paketet:

1. I Microsoft Defender -portalen går du till Inställningar>Slutpunkter>Registrering avenhetshantering>.
2. Välj operativsystemet och välj Mobil enhetshantering / Microsoft Intune.
3. Välj Ladda ned paket.

Skapa principen:

1. I Intune går du till Endpoint security>Endpoint detection and response>create Policy.
2. Välj plattform och profil.
3. För Pakettyp väljer du Ombord eller Ombord.
4. Klistra in innehållet i den nedladdade registreringsfilen.
5. Konfigurera återstående inställningar och tilldela och skapa sedan principen.

Ytterligare profiler för Linux enheter

När du har skapat dina grundläggande EDR-principer kan du distribuera ytterligare specialiserade profiler för förbättrad säkerhetshantering.

Skapa en global uteslutningsprincip för Linux

1. Gå till Slutpunktssäkerhet>Slutpunktsidentifiering och svarsskapande>princip.
2. Välj Linux som plattform och Microsoft Defender Global Exclusions (AV+EDR) för profil.
3. Konfigurera undantag genom att lägga till poster med:
   • Sökväg: Fil- eller katalogsökväg som ska undantas (inga jokertecken stöds).
   • Processnamn: Processnamn som ska undantas från EDR-övervakning (inga jokertecken stöds).
4. Tilldela Linux enhetsgrupper som hanteras via hantering av säkerhetsinställningar i MDE.

Configuration Manager distribution

Klientorganisationsanslutning

Med klientkoppling kan Intune distribuera EDR-principer till Configuration Manager-hanterade Windows-enheter.

Krav för Configuration Manager:

• Current Branch 2002 eller senare
• För 2002, installera KB4563473 (snabbkorrigering)

Konfiguration av klientanslutning:

• Synkronisera enhetssamlingar till Intune (Cloud Sync).
• Kontrollera att alla skrivbords- och serverklienter är aktiverade och synkroniserade (krävs för förkonfigurerade EDR-principer i Windows).

Behörigheter:

• Intune Service Administrator Entra ID inbyggd roll eller motsvarande roll för hantering av klientanslutning och slutpunktssäkerhetsprinciphantering.

Konfigurera Configuration Manager för EDR

1. Installera Configuration Manager uppdatering: Installera KB4563473 snabbkorrigering för Configuration Manager 2002.
2. Konfigurera klientanslutning: Synkronisera Configuration Manager samlingar till Intune.
3. Kontrollera anslutningen: Bekräfta att samlingar visas i både Configuration Manager och Intune administrationscenter.

Distribuera EDR-princip till Configuration Manager samlingar

1. I Intune administrationscenter går du till Endpoint security>Endpoint detection and response>create Policy.
2. Välj Windows-plattformen (ConfigMgr) och profilen för slutpunktsidentifiering och svar (ConfigMgr).
3. Konfigurera samma principinställningar som är tillgängliga för Intune-hanterade enheter.
4. I Tilldelningar väljer du Configuration Manager samlingar i stället för Entra ID-grupper.
5. Skapa och distribuera principen.

När du har distribuerat principen ger du tid för Intune-ConfigMgr-synkronisering och Configuration Manager klientprinciputvärdering innan enheter visas som registrerade.

Detaljerad konfiguration av klientanslutning finns i Konfigurera klientanslutning för att stödja Endpoint Protection-principer.

Statusrapport för EDR-registrering

Med rapporten Status för EDR-registrering får administratörer en omfattande vy över förloppet för enhetsregistrering i hela organisationen. Den här rapporten hjälper dig att spåra vilka enheter som har registrerats i Microsoft Defender för Endpoint och identifiera enheter som kan behöva uppmärksamhet.

Öppna statusrapporten för EDR-registrering

1. I administrationscentret för Microsoft Intune går du till Slutpunktssäkerhet>slutpunktsidentifiering och svar.
2. Välj fliken EDR-registreringsstatus .

Förstå rapporten

Fliken EDR-registreringsstatus innehåller följande:

• Diagram över sammanfattning av registrering: Windows-enheter registrerade i Defender för Endpoint – Det här diagrammet visar antalet enheter som har registrerats och enheter som inte har registrerats.

• Enhetslista med detaljerad information: Den här enhetslistan innehåller följande kolumner med information:

  • Enhetsnamn: Namnet på varje enhet i din organisation
  • Hanteras av: Hur enheten hanteras (Intune, Configuration Manager via anslutning till klientorganisation eller hantering av MDE säkerhetsinställningar)
  • Defender-sensortillstånd: Aktuell hälsostatus för Defender för Endpoint-sensorn.
    • Aktiv: Sensorn är igång och kommunicerar normalt
    • Inaktiv: Sensorn har inte rapporterat nyligen
    • Nedsatt: Sensorn har problem
  • Registreringsstatus: Aktuell registreringsstatus för varje enhet.
    • Registrerad: Enheten skickar telemetri till Defender för Endpoint
    • Inte registrerad: Enheten har inte slutfört registreringsprocessen
    • Väntande: Enheten håller på att introduceras
    • Senaste incheckning: Tid och datum för den senaste kommunikationen från enheten till Intune
    • Primärt UPN: Det primära användarens huvudnamn som är associerat med enheten

Använda rapporten för EDR-distribution

Snabb distribution med förkonfigurerad princip

För snabb distribution till alla berättigade Windows-enheter direkt från fliken EDR-registreringsstatus:

1. På fliken EDR-registreringsstatus väljer du Distribuera förkonfigurerad princip.

   

2. Välj distributionsomfång:

   • Windows + slutpunktsidentifiering och svar: För Intune-hanterade enheter
   • Windows (ConfigMgr) + slutpunktsidentifiering och svar (ConfigMgr): För Configuration Manager samlingar

3. Ange ett principnamn och en valfri beskrivning.

4. Välj Skapa för att distribuera omedelbart.

Den här förkonfigurerade principen automatiskt:

• Använder det senaste onboarding-paketet från Defender för Endpoint-klientorganisationen
• Distribueras till alla tillämpliga enheter i din organisation
• Använder rekommenderade säkerhetsinställningar

Använda rapporten för riktad åtgärd

Statusrapporten för EDR-registrering hjälper dig att identifiera enheter som behöver uppmärksamhet, som du sedan kan åtgärda med riktad principdistribution:

Identifiera problemenheter

Använd enhetslistan på fliken EDR-registreringsstatus för att identifiera specifika enheter som kräver uppmärksamhet:

1. Filtrera enheter efter status: Fokusera på "Inte registrerade" eller "väntande" enheter
2. Granska hanteringsmetoder: Se till att enheter hanteras via lämplig kanal
3. Kontrollera sensorhälsa: Identifiera enheter med inaktiva eller skadade sensorer

Skapa riktade principer

När du har identifierat problemenheter skapar du specifika EDR-principer med hjälp av alternativet Skapa princip på fliken Sammanfattning:

Övervaka scenarier

EDR-rapporten för registrering av data har stöd för flera viktiga administrativa scenarier:

Validering av inledande distribution

När du har distribuerat EDR-principer:

• Övervaka diagrammet för sammanfattning av onboarding för att öka antalet "registrerade"
• Granska förloppet för enskilda enheter i enhetslistan
• Identifiera enheter som inte kan registreras inom förväntade tidsramar

Löpande övervakning av efterlevnad

För kontinuerlig hantering av säkerhetsstatus:

• Konfigurera regelbundna granskningar av registreringsstatus.
• Spåra sensorhälsa i hela enhetsflottan.
• Identifiera enheter som blir inaktiva eller försämras med tiden.

Felsöka distributionsproblem

När enheter inte kan registreras:

• Använd enhetslistan för att identifiera problematiska enheter.
• Granska hanteringsmetoder för att säkerställa korrekt målinriktning.
• Kontrollera sensorstatus för enheter som visar statusen Inte registrerad.
• Korsreferens med rapporter om principefterlevnad med EDR.

Metodtips för att använda rapporten

• Regelbunden övervakning: Granska statusrapporten för EDR-registrering varje vecka för att säkerställa kontinuerlig skyddstäckning.
• Proaktiv reparation: Åtgärda "Inte registrerade" enheter snabbt för att upprätthålla säkerhetsstatusen.
• Korrelation med andra rapporter: Använd tillsammans med enskilda EDR-policyefterlevnadsrapporter för omfattande distributionssynlighet.
• Dokumentera baslinjemått: Spåra introduktionsframgångar över tid för att identifiera trender.

Ytterligare synlighet för onboarding

Utöver den dedikerade EDR-registreringsstatusrapporten kan du också visa status för enhetsregistrering via Intunes Microsoft Defender Antivirus-rapporter. De här rapporterna innehåller registreringsstatusinformation för Windows MDM-enheter och ger ett annat sätt att övervaka organisationens Defender för Endpoint-distribution:

• Statusrapport för antivirusagent: Visar omfattande enhetsstatus, inklusive registreringstillstånd för Defender för slutpunkt
• Rapport om slutpunkter med feltillstånd: Visar enheter med identifierade problem, inklusive registreringsproblem

De här rapporterna är tillgängliga i administrationscentret på följande språk:

• Gå till Reports>Endpoint securityMicrosoft>Defender Antivirus>Reports>Statuspanel för antivirusagent.
• Gå till fliken Endpoint security>Antivirus>Unhealthy endpoints .

Övervaka och verifiera EDR-distribution

Intune rapportering:

Du kan granska distributions- och registreringsresultat i Intune administrationscenter på Slutpunktssäkerhet>Slutpunktsidentifiering och svar:

• Principefterlevnad: På fliken Sammanfattning kan du välja principen för att visa dess distributionsstatus.
• Enhetsinformation: På fliken EDR-registreringsstatus visar du en enkel rapport som visar antal enheter, granskar en lista över enheter med information om deras registreringsstatus och sensorhälsa och väljer sedan enheter för att öka detaljnivån ytterligare för mer information.

Om du vill ha en omfattande tillsyn över enhetsregistrering använder du statusrapporten för EDR-registrering.

Validering av Microsoft Defender-portalen:

I Defender-portalen:

1. Enhetsinventering (tillgångsenheter>) visar en lista över registrerade enheter strax efter att telemetri har tagits emot.

2. Sensorhälsa visar senast sedd tid, sensorversion och kommunikationsstatus.

3. Riskbedömningen börjar när enheterna har skickat sin första telemetri.

Löpande övervakning

Granska följande för att säkerställa fortsatt lyckad registrering:

• Framgångsfrekvens för principdistribution
• Status för enhetsregistrering
• Sensorhälsa och kommunikation
• Misslyckade distributioner som kräver åtgärd

Felsökning

Enheter visas inte i Defender-portalen

• Bekräfta att enheten kan nå nödvändiga slutpunkter (till exempel *.securitycenter.windows.com och *.protection.outlook.com).
• Kontrollera EDR-principens efterlevnadsstatus i Intune och granska enhetsspecifik information i statusrapporten för EDR-registrering.
• Kontrollera att tjänsten Microsoft Defender för Endpoint körs på enheten.

Alternativet "Automatisk från anslutning" är inte tillgängligt

• Kontrollera att Defender-anslutningen visar Ansluten underAnslutningsappar och token för innehavaradministration>.
• Det kan ta upp till 15 minuter innan alternativet visas.
• Se till att ditt konto har rätt administrativ behörighet.

Mer information finns i Felsöka registreringsproblem med Microsoft Defender för Endpoint.

Avregistrera enheter

Intune EDR-princip stöder alternativet att använda en offboarding-blob för att offboarda enheter. Avregistreringsenheter från Defender för Endpoint är vanligtvis en ovanlig men planerad process. Vissa situationer som kräver offboarding inkluderar, men är inte begränsade till, att flytta en enhet från ett testlabb, en del av enhetens livscykelhantering eller krävs under konsolidering av klientorganisationen.

Så här skapar du en offboardingprincip:

1. Ladda ned ett nytt offboardingpaket från Microsoft Defender -portalen genom att gå till Inställningar>Slutpunkter>Enhetshantering>Offboarding.
2. Välj operativsystemet och välj Mobil enhetshantering / Microsoft Intune.
3. Välj Ladda ned paket.
4. Skapa antingen en ny EDR-princip med pakettypen inställd på Offboard och klistra in innehållet i offboarding-bloben eller uppdatera en befintlig offboardingprincip genom att ersätta blobinnehållet.

När du distribuerar en EDR-princip för offboarding i Intune:

• Av säkerhetsskäl upphör bloben eller paketet för avregistrering från Defender att gälla sju dagar efter att det har laddats ned. Utgångna offboardingpaket som skickas till enheter avvisas.
• När bloben för avregistrering distribueras till en enhet inaktiverar den Defender för Endpoint-sensorn, men tar inte bort Defender för Endpoint-klienten.
• Enheter slutar skicka telemetri till Defender för Endpoint-portalen.
• Enheter visas som "inaktiva" i Defender efter sju dagar.
• Efterlevnadsstatusen för Intune EDR-principen bör visa lyckad distribution.
• Historiska data finns kvar i Defender tills kvarhållningsprinciperna tar bort dem.

Efter avregistreringen slutar enheten att skicka telemetri och dess status ändras till inaktiv efter sju dagar. Historiska data finns kvar i Defender-portalen tills den konfigurerade kvarhållningsperioden upphör att gälla. Mer information om vad som händer efter avregistrering finns i Offboard-enheter.

Mer information finns i följande ämnen i dokumentationen för Microsoft Defender för Endpoint:

• Offboard-enheter med verktyg för mobil enhetshantering
• Offboard-enheter

Relaterat innehåll

När du har registrerat enheter med EDR-principer bör du överväga att distribuera ytterligare säkerhetskontroller för slutpunkter:

• Regler för minskning av attackytan
• Principer för skydd mot skadlig programvara
• Principer för brandväggar
• Principer för enhetsefterlevnad