Włączanie integracji z usługą Defender dla punktu końcowego

Usługa Microsoft Defender for Cloud integruje się natywnie z Microsoft Defender for Endpoint, aby udostępniać funkcje Defender for Endpoint i Defender Vulnerability Management w Microsoft Defender for Cloud.

• Po włączeniu planu usługi Defender for Servers w usłudze Defender for Cloud integracja z usługą Defender dla punktu końcowego jest domyślnie włączona.
• Integracja automatycznie wdraża agenta usługi Defender for Endpoint na maszynach.

W tym artykule wyjaśniono, jak ręcznie włączyć integrację usługi Defender dla punktu końcowego w razie potrzeby.

Wymagania wstępne

Włączanie w ramach subskrypcji

Integracja z usługą Defender for Endpoint jest domyślnie włączona po włączeniu planu usługi Defender for Servers. Jeśli wyłączysz integrację usługi Defender for Endpoint z subskrypcją, możesz włączyć ją ponownie ręcznie, jeśli jest to konieczne, korzystając z tych instrukcji.

1. W Defender dla Chmury wybierz pozycję Ustawienia środowiska i wybierz subskrypcję zawierającą maszyny, na których chcesz wdrożyć integrację usługi Defender for Endpoint.

2. W > przełącz ustawienia kolumny Stan na Włączone.

   

3. Wybierz pozycję Kontynuuj i zapisz , aby zapisać ustawienia.

4. Czujnik Defender for Endpoint jest wdrażany na wszystkich maszynach z systemem Windows i Linux w ramach wybranej subskrypcji.

   Dołączanie może potrwać do godziny. Usługa Defender for Cloud wykrywa wszystkie poprzednie instalacje usługi Defender for Endpoint i konfiguruje je ponownie w celu integracji z usługą Defender for Cloud.

Weryfikowanie instalacji na maszynach z systemem Linux

Zweryfikuj instalację czujnika usługi Defender for Endpoint na maszynie z systemem Linux, wykonując następujące kroki:

1. Uruchom następujące polecenie powłoki na każdej maszynie: mdatp health. Jeśli usługa Microsoft Defender dla punktu końcowego jest zainstalowana, zobaczysz jego stan kondycji:

   healthy : true

   licensed: true

2. Ponadto w witrynie Azure Portal możesz sprawdzić, czy maszyny z systemem Linux mają nowe rozszerzenie platformy Azure o nazwie MDE.Linux.

Włączanie ujednoliconego rozwiązania defender for Endpoint w systemie Windows Server 2016/2012 R2

Jeśli usługa Defender for Servers jest włączona, a integracja usługi Defender dla punktu końcowego znajduje się w subskrypcji, która istniała przed wiosną 2022 r., może być konieczne ręczne włączenie integracji ujednoliconego rozwiązania dla maszyn z systemem Windows Server 2016 lub Windows Server 2012 R2 w subskrypcji.

1. W Defender dla Chmury wybierz pozycję Ustawienia środowiska i wybierz subskrypcję z maszynami z systemem Windows, które mają otrzymać usługę Defender dla punktu końcowego.

2. W kolumnie Pokrycie monitorowania planu usługi Defender for Servers wybierz pozycję Ustawienia.

   Stan składnika Endpoint Protections jest częściowy, co oznacza, że nie wszystkie części składnika są włączone.

3. Wybierz pozycję Poprawka , aby wyświetlić składniki, które nie są włączone.

   

4. W obszarze Brakujące składniki>Ujednolicone rozwiązanie wybierz pozycję Włącz, aby automatycznie zainstalować agenta usługi Defender for Endpoint na maszynach z systemem Windows Server 2012 R2 i 2016 połączonych z Microsoft Defender dla Chmury.

   

5. Aby zapisać zmiany, wybierz pozycję Zapisz w górnej części strony. Na stronie Ustawienia i monitorowanie wybierz pozycję Kontynuuj.

   Defender dla Chmury dołącza istniejące i nowe maszyny do usługi Defender for Endpoint.

   W przypadku konfigurowania Defender for Endpoint w pierwszej subskrypcji w dzierżawie, integracja może potrwać do 12 godzin. W przypadku nowych maszyn i subskrypcji utworzonych po włączeniu integracji po raz pierwszy dołączanie trwa do godziny.

Włączanie na maszynach z systemem Linux (włączono planowanie/integrację)

Jeśli usługa Defender for Servers jest już włączona, a integracja usługi Defender dla punktu końcowego znajduje się w subskrypcji, która istniała przed latem 2021 r., może być konieczne ręczne włączenie integracji dla maszyn z systemem Linux.

1. W Defender dla Chmury wybierz pozycję Ustawienia środowiska i wybierz subskrypcję z maszynami z systemem Linux, które mają otrzymać usługę Defender for Endpoint.

2. W kolumnie Pokrycie monitorowania planu usługi Defender for Server wybierz pozycję Ustawienia.

   Stan składnika Endpoint Protections jest częściowy, co oznacza, że nie wszystkie części składnika są włączone.

3. Wybierz pozycję Poprawka , aby wyświetlić składniki, które nie są włączone.

   

4. W obszarze Brakujące składniki>maszyn z systemem Linux wybierz pozycję Włącz.

   

5. Aby zapisać zmiany, wybierz pozycję Zapisz w górnej części strony. Na stronie Ustawienia i monitorowanie wybierz pozycję Kontynuuj.

   • Defender dla Chmury dołącza maszyny z systemem Linux do usługi Defender for Endpoint.
   • Usługa Defender for Cloud wykrywa wszystkie poprzednie instalacje usługi Defender for Endpoint na maszynach z systemem Linux i konfiguruje je ponownie w celu integracji z usługą Defender for Cloud.
   • W przypadku konfigurowania Defender for Endpoint w pierwszej subskrypcji w dzierżawie, integracja może potrwać do 12 godzin. W przypadku nowych maszyn utworzonych po włączeniu integracji dołączanie trwa do godziny.

6. Aby sprawdzić instalację czujnika usługi Defender for Endpoint na maszynie z systemem Linux, uruchom następujące polecenie powłoki na każdej maszynie.

   mdatp health

   Jeśli usługa Microsoft Defender dla punktu końcowego jest zainstalowana, zobaczysz jego stan kondycji:

   healthy : true

   licensed: true

7. W witrynie Azure Portal możesz sprawdzić, czy maszyny z systemem Linux mają nowe rozszerzenie platformy Azure o nazwie MDE.Linux.

Włączanie integracji z programem PowerShell w wielu subskrypcjach

Aby włączyć integrację usługi Defender for Servers dla maszyn z systemem Linux lub Windows Server 2012 R2 i 2016 z rozwiązaniem MDE Unified w wielu subskrypcjach, możesz użyć jednego ze skryptów programu PowerShell w repozytorium GitHub usługi Defender for Cloud.

• Ten skrypt umożliwia integrację z nowoczesnym rozwiązaniem ujednoliconym usługi Defender for Endpoint w systemie Windows Server 2012 R2 lub Windows Server 2016
• Użyj tego skryptu , aby włączyć integrację usługi Defender for Endpoint na maszynach z systemem Linux

Zarządzanie aktualizacjami automatycznymi dla systemu Linux

W systemie Windows aktualizacje wersji usługi Defender dla punktu końcowego są udostępniane za pośrednictwem ciągłych aktualizacji baza wiedzy. W systemie Linux należy zaktualizować pakiet usługi Defender for Endpoint.

• W przypadku korzystania z usługi Defender dla serwerów z MDE.Linux rozszerzeniem aktualizacje automatyczne dla Ochrona punktu końcowego w usłudze Microsoft Defender są domyślnie włączone.

• Jeśli chcesz ręcznie zarządzać aktualizacjami wersji, możesz wyłączyć automatyczne aktualizacje na maszynach. W tym celu dodaj następujący tag dla maszyn dołączonych do MDE.Linux rozszerzenia .

  • Nazwa tagu: ExcludeMdeAutoUpdate
  • Wartość tagu: true

Ta konfiguracja jest obsługiwana w przypadku maszyn wirtualnych platformy Azure i maszyn usługi Azure Arc, gdzie rozszerzenie MDE.Linux inicjuje automatyczne aktualizacje.

Włączanie integracji na dużą skalę

Integrację usługi Defender for Endpoint można włączyć na dużą skalę za pomocą dostarczonego interfejsu API REST w wersji 2022-05-01. Aby uzyskać szczegółowe informacje, zobacz dokumentację interfejsu API.

Oto przykładowa treść żądania dla żądania PUT w celu włączenia integracji z usługą Defender for Endpoint:

URI: https://management.azure.com/subscriptions/<subscriptionId>/providers/Microsoft.Security/settings/WDATP?api-version=2022-05-01

{
    "name": "WDATP",
    "type": "Microsoft.Security/settings",
    "kind": "DataExportSettings",
    "properties": {
        "enabled": true
    }
}

Śledzenie stanu wdrożenia usługi Defender dla punktu końcowego

Możesz użyć skoroszytu stanu wdrożenia usługi Defender for Endpoint, aby śledzić stan wdrożenia usługi Defender for Endpoint na maszynach wirtualnych platformy Azure i maszynach wirtualnych z obsługą usługi Azure Arc. W skoroszycie interaktywnym przedstawiono przegląd maszyn w danym środowisku z Ochrona punktu końcowego w usłudze Microsoft Defender stan wdrożenia rozszerzenia.

Uzyskiwanie dostępu do portalu usługi Microsoft Defender

1. Upewnij się, że masz odpowiednie uprawnienia dostępu do portalu.

2. Sprawdź, czy masz serwer proxy lub zaporę blokującą ruch anonimowy.

   • Czujnik usługi Defender for Endpoint łączy się z kontekstu systemu, więc ruch anonimowy musi być dozwolony.
   • Aby zapewnić niezakłócony dostęp do portalu usługi Microsoft Defender, włącz dostęp do adresów URL usług na serwerze proxy.

3. Otwórz portal Microsoft Defender. Dowiedz się więcej o zdarzeniach i alertach w portalu usługi Microsoft Defender.

Uruchamianie testu wykrywania

Postępuj zgodnie z instrukcjami w teście wykrywania EDR w celu zweryfikowania przyłączania urządzenia i usług raportowania.

Usuwanie usługi Defender dla punktu końcowego z maszyny

Aby usunąć rozwiązanie Defender for Endpoint z maszyn:

1. Aby wyłączyć integrację, w obszarze Defender dla Chmury >Ustawienia środowiska wybierz subskrypcję z odpowiednimi maszynami.
2. Na stronie Plany usługi Defender wybierz pozycję Ustawienia i monitorowanie.
3. W stanie składnika Endpoint Protection wybierz pozycję Wyłączone, aby wyłączyć integrację z Ochrona punktu końcowego w usłudze Microsoft Defender dla subskrypcji.
4. Wybierz pozycję Kontynuuj i zapisz , aby zapisać ustawienia.
5. Usuń rozszerzenie MDE.Windows lub MDE.Linux z maszyny.
6. Odłącz urządzenie z usługi Ochrona punktu końcowego w usłudze Microsoft Defender.

Usuń tagi integracji usługi Defender for Endpoint

Po dołączeniu urządzenia z systemem Windows za pośrednictwem usługi Defender for Cloud usługa Defender for Endpoint tworzy wartości rejestru związane z usługą Defender for Cloud. Te tagi rejestru pozostają na urządzeniu po odłączeniu i nie mają wpływu na funkcjonalność.

Aby całkowicie usunąć te tagi, wykonaj następujące kroki. W systemie Linux system przechowuje te informacje wewnętrznie i nie wyświetla ich w rejestrze.

1. Wybierz pozycję Start, wpisz regedit i naciśnij Enter , aby otworzyć Edytor rejestru.

2. W okienku po lewej stronie przejdź do:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Advanced Threat Protection\DeviceTags

3. Usuń te nazwy wartości, jeśli istnieją:

   • AzureResourceId
   • SecurityWorkspaceId
   • SecurityAgentId