Abilitare l'integrazione di Defender per endpoint

Microsoft Defender for Cloud si integra in modo nativo con Microsoft Defender per Endpoint per fornire funzionalità di Defender per Endpoint e Gestione delle vulnerabilità di Defender in Defender for Cloud.

• Quando si abilita il piano Defender per server in Defender for Cloud, l'integrazione di Defender per endpoint è abilitata per impostazione predefinita.
• L'integrazione distribuisce automaticamente l'agente defender per endpoint nei computer.

Questo articolo illustra come abilitare manualmente l'integrazione di Defender per endpoint quando necessario.

Prerequisiti

Abilitare su una sottoscrizione

L'integrazione di Defender per endpoint è abilitata per impostazione predefinita quando si abilita un piano defender per server. Se si disattiva l'integrazione di Defender per endpoint in una sottoscrizione, è possibile attivarla di nuovo manualmente quando necessario usando queste istruzioni.

1. In Defender per il cloud selezionare Impostazioni ambiente e selezionare la sottoscrizione contenente i computer in cui si vuole distribuire l'integrazione di Defender per endpoint.

2. In Impostazioni e monitoraggio>di Endpoint Protection attivare o disattivare le impostazioni della colonna Stato su Sì.

   

3. Selezionare Continua e Salva per salvare le impostazioni.

4. Il sensore Defender per endpoint viene distribuito in tutti i computer Windows e Linux nella sottoscrizione selezionata.

   L'onboarding potrebbe richiedere fino a un'ora. Defender for Cloud rileva le installazioni precedenti di Defender per endpoint e le riconfigura per l'integrazione con Defender for Cloud.

Verificare l'installazione nei computer Linux

Verificare l'installazione del sensore defender per endpoint in un computer Linux seguendo questa procedura:

1. Eseguire il comando shell seguente in ogni computer: mdatp health. Se Microsoft Defender per endpoint è installato, viene visualizzato lo stato di integrità:

   healthy : true

   licensed: true

2. Inoltre, nella portale di Azure è possibile verificare che i computer Linux abbiano una nuova estensione di Azure denominata MDE.Linux.

Abilitare la soluzione unificata defender per endpoint in Windows Server 2016/2012 R2

Se Defender per server è abilitato e l'integrazione di Defender per endpoint si trova in una sottoscrizione esistente prima della primavera 2022, potrebbe essere necessario abilitare manualmente l'integrazione della soluzione unificata per i computer che eseguono Windows Server 2016 o Windows Server 2012 R2 nella sottoscrizione.

1. In Defender per il cloud selezionare Impostazioni ambiente e selezionare la sottoscrizione con i computer Windows che si desidera ricevere Defender per endpoint.

2. Nella colonna Monitoraggio copertura del piano Defender per server selezionare Impostazioni.

   Lo stato del componente Endpoint Protections è Parziale, ovvero non tutte le parti del componente sono abilitate.

3. Selezionare Correzione per visualizzare i componenti non abilitati.

   

4. In Componenti>mancanti Soluzione unificata selezionare Abilita per installare automaticamente l'agente defender per endpoint nei computer Windows Server 2012 R2 e 2016 connessi a Microsoft Defender per il cloud.

   

5. Per salvare le modifiche, selezionare Salva nella parte superiore della pagina. Nella pagina Impostazioni e monitoraggio selezionare Continua.

   Defender per il cloud esegue l'onboarding di computer nuovi e esistenti in Defender per endpoint.

   Nel caso in cui si configuri Defender per l'Endpoint nella prima sottoscrizione del tenant, l'onboarding potrebbe richiedere fino a 12 ore. Per i nuovi computer e le sottoscrizioni create dopo l'abilitazione dell'integrazione per la prima volta, l'onboarding richiede fino a un'ora.

Abilitare nei computer Linux (piano/integrazione abilitata)

Se Defender per server è già abilitato e l'integrazione di Defender per endpoint è attiva in una sottoscrizione esistente prima dell'estate 2021, potrebbe essere necessario abilitare manualmente l'integrazione per i computer Linux.

1. In Defender per il cloud selezionare Impostazioni ambiente e selezionare la sottoscrizione con i computer Linux che si desidera ricevere Defender per endpoint.

2. Nella colonna Monitoraggio coverage del piano Defender for Server selezionare Impostazioni.

   Lo stato del componente Endpoint Protections è Parziale, ovvero non tutte le parti del componente sono abilitate.

3. Selezionare Correzione per visualizzare i componenti non abilitati.

   

4. In Componenti>mancanti computer Linux selezionare Abilita.

   

5. Per salvare le modifiche, selezionare Salva nella parte superiore della pagina. Nella pagina Impostazioni e monitoraggio selezionare Continua.

   • Defender per il cloud esegue l'onboarding di computer Linux in Defender per endpoint.
   • Defender for Cloud rileva le installazioni precedenti di Defender per endpoint nei computer Linux e le riconfigura per l'integrazione con Defender for Cloud.
   • Nel caso si stia configurando Defender per Endpoint sulla prima sottoscrizione nel proprio tenant, l'onboarding potrebbe richiedere fino a 12 ore. Per i nuovi computer creati dopo l'abilitazione dell'integrazione, l'onboarding richiede fino a un'ora.

6. Per verificare l'installazione del sensore defender per endpoint in un computer Linux, eseguire il comando shell seguente in ogni computer.

   mdatp health

   Se Microsoft Defender per endpoint è installato, viene visualizzato lo stato di integrità:

   healthy : true

   licensed: true

7. Nella portale di Azure è possibile verificare che i computer Linux abbiano una nuova estensione di Azure denominata MDE.Linux.

Abilitare l'integrazione con PowerShell in più sottoscrizioni

Per abilitare l'integrazione di Defender per server per computer Linux o Windows Server 2012 R2 e 2016 con la soluzione unificata MDE in più sottoscrizioni, è possibile usare uno degli script di PowerShell nel repository GitHub di Defender for Cloud.

• Utilizzare questo script per abilitare l'integrazione con la moderna soluzione unificata del Defender per Endpoint in Windows Server 2012 R2 o Windows Server 2016
• Usare questo script per abilitare l'integrazione di Defender per endpoint nei computer Linux

Gestire gli aggiornamenti automatici per Linux

In Windows, gli aggiornamenti delle versioni di Defender per endpoint vengono forniti tramite aggiornamenti continui della Knowledge Base. In Linux è necessario aggiornare il pacchetto Defender per endpoint.

• Quando si usa Defender per server con l'estensioneMDE.Linux, gli aggiornamenti automatici per Microsoft Defender per endpoint sono abilitati per impostazione predefinita.

• Se si desidera gestire manualmente gli aggiornamenti delle versioni, è possibile disabilitare gli aggiornamenti automatici nei computer. A tale scopo, aggiungere il tag seguente per i computer di cui è stato eseguito l'onboarding con l'estensione MDE.Linux .

  • Nome del tag: ExcludeMdeAutoUpdate
  • Valore del tag: true

Questa configurazione è supportata per le macchine virtuali di Azure e i computer Azure Arc, in cui l'estensione avvia l'aggiornamento MDE.Linux automatico.

Abilitare l'integrazione su larga scala

È possibile abilitare l'integrazione di Defender per endpoint su larga scala tramite l'API REST fornita versione 2022-05-01. Per informazioni dettagliate, vedere la documentazione dell'API.

Ecco un esempio di corpo della richiesta per la richiesta PUT per abilitare l'integrazione di Defender per endpoint:

URI: https://management.azure.com/subscriptions/<subscriptionId>/providers/Microsoft.Security/settings/WDATP?api-version=2022-05-01

{
    "name": "WDATP",
    "type": "Microsoft.Security/settings",
    "kind": "DataExportSettings",
    "properties": {
        "enabled": true
    }
}

Tenere traccia dello stato di distribuzione di Defender per endpoint

È possibile usare la cartella di lavoro stato della distribuzione di Defender per endpoint per tenere traccia dello stato di distribuzione di Defender per endpoint nelle macchine virtuali di Azure e nelle macchine virtuali abilitate per Azure Arc. La cartella di lavoro interattiva offre una panoramica dei computer nell'ambiente in cui sono visualizzati lo stato di distribuzione dell'estensione Microsoft Defender per endpoint.

Accedere al portale di Microsoft Defender

1. Assicurarsi di disporre delle autorizzazioni appropriate per l'accesso al portale.

2. Controllare se è disponibile un proxy o un firewall che blocca il traffico anonimo.

   • Il sensore defender per endpoint si connette dal contesto di sistema, quindi è necessario consentire il traffico anonimo.
   • Per garantire l'accesso senza restrizioni al portale di Microsoft Defender, abilita l'accesso agli URL del servizio nel server proxy.

3. Aprire il portale di Microsoft Defender. Informazioni su Eventi imprevisti e avvisi nel portale di Microsoft Defender.

Esegui un test di rilevamento

Seguire le istruzioni del test di rilevamento EDR per verificare l'integrazione e i servizi di reportistica del dispositivo.

Rimuovere Defender per endpoint da un computer

Per rimuovere la soluzione Defender per endpoint dai computer:

1. Per disabilitare l'integrazione, in Defender per il cloud >Impostazioni ambiente selezionare la sottoscrizione con i computer pertinenti.
2. Nella pagina Piani di Defender selezionare Impostazioni e monitoraggio.
3. Nello stato del componente Endpoint Protection selezionare No per disabilitare l'integrazione con Microsoft Defender per endpoint per la sottoscrizione.
4. Selezionare Continua e Salva per salvare le impostazioni.
5. Rimuovere l'estensione MDE.Windows o MDE.Linux dal computer.
6. Eseguire l'offboarding del dispositivo dal servizio Microsoft Defender per endpoint.