Activer l’intégration de Defender for Endpoint

Microsoft Defender pour le Cloud s'intègre nativement avec Microsoft Defender pour Endpoint afin de fournir des fonctionnalités Defender pour Endpoint et Defender pour la gestion des vulnérabilités dans Defender pour le Cloud.

• Lorsque vous activez le plan Defender pour serveurs dans Defender pour cloud, l’intégration de Defender pour point de terminaison est activée par défaut.
• L’intégration déploie automatiquement l’agent Defender pour point de terminaison sur les machines.

Cet article explique comment activer manuellement l’intégration de Defender pour point de terminaison si nécessaire.

Prérequis

Activer sur un abonnement

L’intégration de Defender for Endpoint est activée par défaut lorsque vous activez un plan Defender pour serveurs. Si vous désactivez l’intégration de Defender pour point de terminaison sur un abonnement, vous pouvez le réactiver manuellement si nécessaire à l’aide de ces instructions.

1. Dans Defender for Cloud, sélectionnez Paramètres d’environnement et sélectionnez l’abonnement contenant les machines sur lesquelles vous souhaitez déployer l’intégration de Defender for Endpoint.

2. Dans Paramètres et surveillance>Endpoint protection, basculez les paramètres de la colonne État sur Activé.

   

3. Sélectionnez Enregistrer et Continuer pour enregistrer vos paramètres.

4. Le capteur Defender pour point de terminaison est déployé sur toutes les machines Windows et Linux de l’abonnement sélectionné.

   L’intégration peut prendre jusqu’à une heure. Defender pour cloud détecte les installations précédentes de Defender pour point de terminaison et les reconfigure pour les intégrer à Defender pour cloud.

Vérifier l’installation sur les machines Linux

Vérifiez l’installation du capteur Defender pour point de terminaison sur une machine Linux en procédant comme suit :

1. Exécutez la commande de shell suivante sur chaque machine : mdatp health. Si Microsoft Defender pour les points de terminaison est installé, vous voyez son état de santé :

   healthy : true

   licensed: true

2. En outre, dans le portail Azure, vous pouvez vérifier que les machines Linux ont une nouvelle extension Azure nommée MDE.Linux.

Activer la solution unifiée Defender for Endpoint sur Windows Server 2016/2012 R2

Si Defender pour serveurs est activé et que l’intégration de Defender pour point de terminaison se trouve dans un abonnement qui existait avant le printemps 2022, vous devrez peut-être activer manuellement l’intégration de la solution unifiée pour les machines exécutant Windows Server 2016 ou Windows Server 2012 R2 dans l’abonnement.

1. Dans Defender for Cloud, sélectionnez Paramètres d’environnement, puis sélectionnez l’abonnement avec les machines Windows devant recevoir Defender for Endpoint.

2. Dans la colonne Couverture du monitoring du plan Defender pour serveurs, sélectionnez Paramètres.

   L’état du composant Endpoint Protection est Partiel, ce qui signifie que toutes les parties du composant ne sont pas activées.

3. Sélectionnez Corriger pour voir les composants qui ne sont pas activés.

   

4. Dans Composants manquants>Solution unifiée, sélectionnez Activer pour installer automatiquement l’agent Defender for Endpoint sur les machines Windows Server 2012 R2 et 2016 connectées à Microsoft Defender for Cloud.

   

5. Pour enregistrer les modifications, sélectionnez Enregistrer en haut de la page. Dans la page Paramètres et surveillance, sélectionnez Continuer.

   Defender for Cloud intègre les machines existantes et nouvelles à Defender for Endpoint.

   Si vous configurez Defender pour point de terminaison sur le premier abonnement de votre locataire, l’intégration peut prendre jusqu’à 12 heures. Pour les nouveaux ordinateurs et abonnements créés après l’activation de l’intégration pour la première fois, l’intégration prend jusqu’à une heure.

Activer sur des machines Linux (plan/intégration activé)

Si Defender pour serveurs est déjà activé et que l’intégration de Defender pour point de terminaison se trouve dans un abonnement qui existait avant l’été 2021, vous devrez peut-être activer manuellement l’intégration pour les machines Linux.

1. Dans Defender for Coud, sélectionnez Paramètres d’environnement, puis sélectionnez l’abonnement avec les machines Linux devant recevoir Defender for Endpoint.

2. Dans la colonne Surveillance de la couverture du plan Defender pour serveurs, sélectionnez Paramètres.

   L’état du composant Endpoint Protection est Partiel, ce qui signifie que toutes les parties du composant ne sont pas activées.

3. Sélectionnez Corriger pour voir les composants qui ne sont pas activés.

   

4. Dans Composants manquants>Machines Linux, sélectionnez Activer.

   

5. Pour enregistrer les modifications, sélectionnez Enregistrer en haut de la page. Dans la page Paramètres et surveillance, sélectionnez Continuer.

   • Defender for Cloud intègre les machines Linux à Defender for Endpoint.
   • Defender pour cloud détecte les installations précédentes de Defender pour point de terminaison sur des machines Linux et les reconfigure pour les intégrer à Defender pour cloud.
   • Si vous configurez Defender pour point de terminaison sur le premier abonnement de votre locataire, l’intégration peut prendre jusqu’à 12 heures. Pour les nouvelles machines créées après l’activation de l’intégration, l’intégration prend jusqu’à une heure.

6. Pour vérifier l’installation du capteur Defender for Endpoint sur une machine Linux, exécutez la commande de shell suivante sur chaque machine.

   mdatp health

   Si Microsoft Defender pour les points de terminaison est installé, vous voyez son état de santé :

   healthy : true

   licensed: true

7. Dans le portail Azure, vous pouvez vérifier que les machines Linux ont une nouvelle extension Azure nommée MDE.Linux.

Activer l’intégration à PowerShell dans plusieurs abonnements

Pour activer l’intégration de Defender pour serveurs pour les machines Linux ou Windows Server 2012 R2 et 2016 avec la solution unifiée MDE sur plusieurs abonnements, vous pouvez utiliser l’un des scripts PowerShell dans le référentiel GitHub Defender pour cloud.

• Utilisez ce script pour activer l’intégration à la solution unifiée moderne Defender pour point de terminaison sur Windows Server 2012 R2 ou Windows Server 2016
• Utilisez ce script pour activer l’intégration de Defender pour point de terminaison sur des machines Linux

Gérer les mises à jour automatiques pour Linux

Dans Windows, les mises à jour de version de Defender for Endpoint sont fournies via des mises à jour continues de la base de connaissances. Dans Linux, vous devez mettre à jour le package Defender pour point de terminaison.

• Lorsque vous utilisez Defender pour serveurs avec l’extension MDE.Linux, les mises à jour automatiques pour Microsoft Defender for Endpoint sont activées par défaut.

• Si vous souhaitez gérer manuellement les mises à jour de version, vous pouvez désactiver les mises à jour automatiques sur vos machines. Pour ce faire, ajoutez l’étiquette suivante pour les machines intégrées avec l’extension MDE.Linux.

  • Nom de la balise : ExcludeMdeAutoUpdate
  • Valeur de la balise : true

Cette configuration est prise en charge pour les machines virtuelles Azure et les machines Azure Arc, où l’extension lance la MDE.Linux mise à jour automatique.

Activer l’intégration à grande échelle

Vous pouvez activer l’intégration de Defender for Endpoint à grande échelle via la version 2022-05-01 de l’API REST fournie. Pour plus d’informations, consultez la documentation de l’API.

Voici un exemple de corps de requête pour la requête PUT visant à activer l’intégration de Defender for Endpoint :

URI : https://management.azure.com/subscriptions/<subscriptionId>/providers/Microsoft.Security/settings/WDATP?api-version=2022-05-01

{
    "name": "WDATP",
    "type": "Microsoft.Security/settings",
    "kind": "DataExportSettings",
    "properties": {
        "enabled": true
    }
}

Suivre l’état du déploiement de Defender for Endpoint

Vous pouvez utiliser le classeur d’état du déploiement Defender for Endpoint pour suivre l’état du déploiement de Defender for Endpoint sur vos machines virtuelles Azure et machines virtuelles avec Azure Arc. Le classeur interactif fournit une vue d’ensemble des machines de votre environnement montrant leur état de déploiement de l’extension Microsoft Defender for Endpoint.

Accéder au portail Microsoft Defender

1. Vérifiez que vous disposez des autorisations appropriées pour l’accès au portail.

2. Vérifiez si vous avez un proxy ou un pare-feu qui bloque le trafic anonyme.

   • Le capteur Defender for Endpoint se connecte à partir du contexte système, de sorte que le trafic anonyme doit être autorisé.
   • Pour garantir un accès non bloqué au portail Microsoft Defender, activez l’accès aux URL de service dans le serveur proxy.

3. Ouvrez le portail Microsoft Defender. Découvrez les incidents et les alertes dans le portail Microsoft Defender.

Exécuter un test de détection

Suivez les instructions dans le Test de détection EDR pour vérifier l’intégration et les services de génération de rapports de l’appareil.

Supprimer Defender pour point de terminaison sur une machine

Pour supprimer la solution Defender pour point de terminaison sur vos machines :

1. Pour désactiver l’intégration, dans Defender for Cloud >Paramètres d’environnement, sélectionnez l’abonnement avec les machines appropriées.
2. Dans la page Plans Defender, sélectionnez Paramètres et surveillance.
3. Dans l’état du composant Endpoint Protection, sélectionnez Inactif pour désactiver l’intégration à Microsoft Defender for Endpoint pour l’abonnement.
4. Sélectionnez Enregistrer et Continuer pour enregistrer vos paramètres.
5. Supprimez l'extension MDE.Windows ou MDE.Linux de la machine.
6. Retirez l’appareil du service Microsoft Defender for Endpoint.

Supprimer les balises d’intégration de Defender pour Endpoint

Lorsqu’un appareil Windows est intégré via Defender pour cloud, Defender pour point de terminaison crée des valeurs de Registre associées à Defender pour Cloud. Ces balises de Registre restent sur l’appareil après le retrait et n’affectent pas les fonctionnalités.

Pour supprimer complètement ces balises, procédez comme suit. Sur Linux, le système stocke ces informations en interne et ne l’affiche pas dans le Registre.

1. Sélectionnez Démarrer, tapez regedit, puis appuyez sur Entrée pour ouvrir l’Éditeur du Registre.

2. Dans le volet gauche, accédez à :

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Advanced Threat Protection\DeviceTags

3. Supprimez ces noms de valeurs s’ils existent :

   • AzureResourceId
   • SecurityWorkspaceId
   • SecurityAgentId