使用群組原則將 Windows 裝置上線

適用於: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

注意事項

Defender 部署工具現已進入公開預覽 () 可用於在 Windows 和 Linux 裝置上部署 Defender 端點安全。此工具是一款輕量級、自我更新的應用程式，簡化了部署流程。欲了解更多資訊，請參閱使用 Defender 部署工具將Microsoft Defender端點安全部署至 Windows 裝置 (預覽) 及使用 Defender 部署工具Microsoft Defender (預覽) 將端點安全部署至 Linux 裝置。

必要條件

若要使用群組原則 (GP) 更新來部署套件，您必須使用 Windows Server 2008 R2 或更新版本。
對於 Windows Server 2019 及更新版本，您可能需要將 XML 檔案替換NT AUTHORITY\Well-Known-System-Account為 NT AUTHORITY\SYSTEM 群組原則偏好設定所建立的 XML 檔案。
如果你正在使用 R2 和 Windows Server 2016 Windows Server 2012 的統一適用於端點的 Microsoft Defender 解決方案，請務必在中央儲存庫中使用最新的 ADMX 檔案，才能存取正確的適用於端點的 Microsoft Defender政策選項。請參閱如何在 Windows 中建立和管理群組原則管理範本的中央儲存庫，並下載最新檔案以支援 Windows 10。

請參考《識別端點版 Defender 架構與部署方法》，了解部署端點版的各種路徑。

打開你從服務入門嚮導下載的 GP 設定套件檔案 () WindowsDefenderATPOnboardingPackage.zip 。你也可以從 Microsoft Defender 入口網站取得該套件：
1. 在導覽窗格中，選擇系統>設定>端點>裝置管理>啟動。
2. 選擇作業系統。
3. 在 [部署方法] 欄位中，選取 [群組原則]。
4. 選擇 下載套件 並儲存 .zip 檔案。
將 .zip 檔案的內容解壓縮到裝置可存取的共用唯讀位置。你應該有一個叫 做 OptionalParamsPolicy 的資料夾，檔案 WindowsDefenderATPOnboardingScript.cmd。
要建立新的 GPO，請開啟 GPMC) (群組原則管理主控台，右鍵點擊你想設定的群組原則物件，然後點擊「新建」。在顯示的對話框中輸入新 GPO 名稱並點擊確定。
開啟群組原則管理主控台 (GPMC)，以滑鼠右鍵按一下您要設定的群組原則物件 (GPO)，然後按一下 [編輯]。
在群組原則管理編輯器中，依序前往 [電腦組態]、[喜好設定]、[控制台設定]。
以滑鼠右鍵按一下 [排程工作]，指向 [新增]，然後按一下 [立即工作 (至少 Windows 7)]。
在 [工作] 視窗中，移至 [一般] 索引標籤。在 [安全性選項] 底下按一下 [變更使用者或群組] 並且輸入 SYSTEM，然後依序按一下 [檢查名稱]、[確定]。 NT AUTHORITY\SYSTEM 會顯示為執行工作的使用者帳戶身分。
選取 [不論使用者登入與否均執行]，然後勾選 [以最高權限執行] 核取方塊。
在名稱欄位中，輸入排程任務的適當名稱，例如 (Defender for Endpoint Deployment) 。
到動作標籤，選擇「新...請確保在動作欄位中選擇「啟動程式」。輸入共享 WindowsDefenderATPOnboardingScript.cmd 檔案的 UNC 路徑，並使用檔案伺服器的完整限定網域名稱 (FQDN) 。
選擇確定並關閉所有開啟的 GPMC 視窗。
若要將 GPO 連結到 OU) (組織單位，請右鍵點擊並選擇 「連結現有 GPO」。在顯示的對話框中，選擇你想要連結的群組原則物件。按一下確定。

提示

裝置上線後，您可以選擇執行偵測測試，以確認該裝置是否已正確接入服務。欲了解更多資訊，請參閱「對新上線的Defender for Endpoint裝置執行偵測測試」。

額外的 Defender for Endpoint 設定

對於每個裝置，你可以說明當透過 Microsoft Defender 全面偵測回應提交檔案進行深度分析時，是否能從該裝置收集樣本。

你可以使用群組原則 (GP) 來設定，例如深度分析功能中使用的樣本分享設定。

設定範例集合設定

在您的 GP 管理裝置上，從設定套件複製以下檔案：
- 複製 AtpConfiguration.admx 到 C:\Windows\PolicyDefinitions。
- 複製 AtpConfiguration.adml 到 C:\Windows\PolicyDefinitions\en-US。
如果你使用的是中央儲存庫的群組原則管理範本，請從設定套件複製以下檔案：
- 複製 AtpConfiguration.admx 到 \\<forest.root>\SysVol\<forest.root>\Policies\PolicyDefinitions。
- 複製 AtpConfiguration.adml 到 \\<forest.root>\SysVol\<forest.root>\Policies\PolicyDefinitions\en-US。
打開群組原則管理主控台，右鍵點擊你想設定的 GPO，然後點選編輯。
在群組原則管理編輯器中，前往電腦設定。
點選政策，然後 選管理範本。
點選 Windows 元件 ，然後點選 Windows Defender ATP。
選擇啟用或關閉裝置中的樣本分享。

注意事項

如果你沒有設定值，預設值就是啟用樣本收集。

其他建議的組態設定

更新端點保護設定

設定完入職腳本後，繼續編輯相同的群組政策以新增端點防護設定。請從運行 Windows 10、Windows 11 或 Windows Server 2019 及更新版本的系統執行群組政策編輯，以確保你擁有所有必要的 Microsoft Defender 防毒功能。您可能需要關閉並重新開啟群組政策物件，以註冊 Defender ATP 設定。

所有保單均位於 Computer Configuration\Policies\Administrative Templates。

政策位置：\Windows Components\Windows Defender ATP

原則	設定
啟用/停用取樣收集	啟用 - 勾選「在機器上啟用樣本收集」

政策位置：\Windows Components\Microsoft Defender Antivirus

原則	設定
設定偵測潛在不受歡迎的應用程式	啟用，封鎖

政策位置：\Windows Components\Microsoft Defender Antivirus\MAPS

原則	設定
加入 Microsoft MAPS	啟用，進階 MAPS
需要進一步分析時，請傳送檔案樣本	啟用，傳送安全樣本

政策位置：\Windows Components\Microsoft Defender Antivirus\Real-time Protection

原則	設定
關閉即時保護	已停用
開啟行為監控	Enabled
掃描所有下載的檔案和附件	Enabled
監控電腦上的檔案和程式活動	Enabled

政策位置：\Windows Components\Microsoft Defender Antivirus\Scan

這些設定會定期掃描端點。我們建議每週快速掃描一次，視表現允許而定。

原則	設定
在執行預定掃描前，請檢查最新的病毒與間諜軟體安全情報	Enabled

政策位置：\Windows Components\Microsoft Defender Antivirus\Microsoft Defender Exploit Guard\Attack Surface Reduction

從攻擊面減少規則部署步驟 3：實作 ASR 規則，取得目前攻擊面減少規則 GUID 清單。如需更多規則細節，請參閱攻擊面縮減規則參考

開啟 「配置攻擊面減少 政策」。
選取 已啟用。
選擇 「顯示 」按鈕。
在 值名稱 欄位中，將每個 GUID 加總值為 2。這樣每一項都只適合審核。

原則	位置	設定
設定受控資料夾存取權限	\Windows Components\Microsoft Defender 防毒\Microsoft Defender Exploit Guard 受控資料夾存取	啟用，稽核模式

執行偵測測試以驗證入職情況

將裝置上線之後，您可以選擇執行偵測測試，以驗證裝置已正確上線到服務。如需詳細資訊，請參閱在新上線的適用於端點的 Microsoft Defender 裝置上執行偵測測試

使用群組原則將裝置下架

出於安全考量，用於離線裝置的套件會在下載日期後7天內到期。傳送到裝置的已過期下架套件將會遭到拒絕。下載離職套件時，你會收到該套件的有效期限通知，且包裹名稱中也會包含該日期。

注意事項

上線和下架原則不能同時部署在相同裝置上，否則會造成無法預期的衝突。

從 Microsoft Defender 入口網站取得離職套件：
1. 在導覽面板中，選擇系統>設定>端點>裝置管理>離職。
2. 選擇作業系統。
3. 在 [部署方法] 欄位中，選取 [群組原則]。
4. 按一下 [下載套件]，然後儲存 .zip 檔案。
將 .zip 檔案的內容解壓縮到裝置可存取的共用唯讀位置。你應該有一個名為 WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd 的檔案。
開啟群組原則管理主控台 (GPMC)，以滑鼠右鍵按一下您要設定的群組原則物件 (GPO)，然後按一下 [編輯]。
在群組原則管理編輯器中，依序前往 [電腦組態]、[喜好設定]、[控制台設定]。
以滑鼠右鍵按一下 [排程工作]，指向 [新增]，然後按一下 [立即工作]。
在開啟的任務視窗中，進入安全選項下的「一般」標籤，選擇「變更使用者」或「群組」，輸入 SYSTEM，然後選擇「檢查名稱」，最後選擇確定。 NT AUTHORITY\SYSTEM 會顯示為該任務執行的使用者帳號。
選取 [不論使用者登入與否均執行]，然後勾選 [以最高權限執行] 核取方塊。
在名稱欄位中，輸入排程任務的適當名稱，例如 (Defender for Endpoint Deployment) 。
到動作標籤，選擇「新......」。請確保在動作欄位中選擇「啟動程式」。輸入共享檔案的 UNC 路徑，並使用檔案伺服器的完整限定網域名稱 (FQDN) WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd 。
選擇確定並關閉所有開啟的 GPMC 視窗。

重要事項

下線會導致裝置停止將感應器資料傳送至入口網站，但來自裝置的資料 (包括任何警示的參考資料) 最多會保留 6 個月。

監視裝置設定

在群組原則中，沒有監控裝置政策部署的選項。監視可以直接在入口網站上完成，或使用不同的部署工具。

使用入口網站監視裝置

請前往 Microsoft Defender 入口網站。
選擇 裝置庫存。
確認裝置已顯示。

注意事項

裝置可能需要數天的時間，才能開始顯示在 [裝置清單] 上。這包括將原則發佈至裝置所花的時間、使用者登入前所花的時間，以及端點開始報告所花的時間。

設定 Defender 防毒政策

建立新的群組原則，或將這些設定與其他政策合併。這取決於客戶的環境，以及他們希望如何透過針對不同組織單位 (組織單位) 來推廣服務。

選擇GP或建立新GP後，再編輯GP。
瀏覽至電腦設定>政策>、管理範本、>Windows 元件、>Microsoft Defender 防毒>軟體、即時防護。
在隔離資料夾中，設定從隔離資料夾移除物品。
在掃描資料夾裡，設定掃描設定。

即時監控所有檔案

瀏覽至電腦設定>政策>、管理範本、>Windows 元件、>Microsoft Defender 防毒>軟體、即時防護。

設定 Windows Defender 智慧螢幕設定

瀏覽至 電腦設定>政策>、管理範本、>Windows 元件、>Windows Defender SmartScreen>Explorer。
瀏覽至 電腦設定>政策>管理範本>Windows 元件>Windows Defender SmartScreen>Microsoft Edge。