Включение интеграции Defender для конечной точки

Microsoft Defender для облака интегрируется изначально с Microsoft Defender для конечной точки для предоставления возможностей Defender для конечной точки и управления уязвимостями Defender в Defender для облака.

• Если включить план Defender для серверов в Defender для облака, интеграция Defender для конечной точки включена по умолчанию.
• Интеграция автоматически внедряет агент Defender для конечной точки на устройствах.

В этой статье объясняется, как при необходимости вручную включить интеграцию Microsoft Defender для конечных устройств.

Необходимые компоненты

Включение подписки

Интеграция Defender для конечной точки включена по умолчанию при включении плана Defender для серверов. Если вы отключите интеграцию Defender для конечной точки в подписке, ее можно включить вручную при необходимости, используя эти инструкции.

1. В Defender для облака выберите параметры среды и выберите подписку, содержащую компьютеры, на которых требуется развернуть интеграцию Defender для конечной точки.

2. В разделе "Параметры" и "Защита>конечных точек" переключите параметры столбца "Состояние " на "Вкл.".

   

3. Нажмите кнопку "Продолжить" и "Сохранить", чтобы сохранить параметры.

4. Датчик Defender для конечной точки развертывается на всех компьютерах Windows и Linux в выбранной подписке.

   Подключение может занять до часа. Defender для облака обнаруживает все предыдущие установки Defender для конечных точек и перенастраивает их для интеграции с Defender для облака.

Проверка установки на компьютерах Linux

Проверьте установку датчика Defender для конечной точки на компьютере Linux, выполнив следующие действия.

1. Выполните следующую команду оболочки на каждом компьютере: mdatp health Если установлен Microsoft Defender для конечной точки, отображается состояние работоспособности:

   healthy : true

   licensed: true

2. Кроме того, в портал Azure можно проверить наличие нового расширения MDE.LinuxAzure на компьютерах Linux.

Включение единого решения Defender для конечной точки в Windows Server 2016/2012 R2

Если Защитник для серверов включен и интеграция Defender для конечной точки включена в подписке, которая существовала до весны 2022 года, может потребоваться вручную включить интеграцию единого решения для компьютеров под управлением Windows Server 2016 или Windows Server 2012 R2 в подписке.

1. В Defender для облака выберите параметры среды и выберите подписку с компьютерами Windows, которые требуется получить Defender для конечной точки.

2. В столбце покрытия мониторинга плана Defender для серверов выберите "Параметры".

   Состояние компонента Endpoint Protections является частичным, что означает, что не все части компонента включены.

3. Выберите "Исправление", чтобы просмотреть компоненты, которые не включены.

   

4. В едином решении>Windows Server 2012 R2 и 2016, подключенных к Microsoft Defender для облака.

   

5. Чтобы сохранить изменения, нажмите кнопку "Сохранить " в верхней части страницы. На странице "Параметры" и "Мониторинг" нажмите кнопку "Продолжить".

   Defender для облака подключение существующих и новых компьютеров к Defender для конечной точки.

   Если вы настраиваете Defender для конечной точки в первой подписке в вашем арендаторе, внедрение может занять до 12 часов. Для новых компьютеров и подписок, созданных после включения интеграции в первый раз, подключение занимает до часа.

Включение на компьютерах Linux (включен план или интеграция)

Если Defender для серверов уже включен, а интеграция Defender для конечной точки включена в подписке, которая существовала до лета 2021 года, может потребоваться вручную включить интеграцию для компьютеров Linux.

1. В Defender для облака выберите параметры среды и выберите подписку с компьютерами Linux, которые вы хотите получить Defender для конечной точки.

2. В столбце покрытия мониторинга плана Defender для сервера выберите "Параметры".

   Состояние компонента Endpoint Protections является частичным, что означает, что не все части компонента включены.

3. Выберите "Исправление", чтобы просмотреть компоненты, которые не включены.

   

4. В отсутствующих компонентах> Linux нажмите кнопку "Включить".

   

5. Чтобы сохранить изменения, нажмите кнопку "Сохранить " в верхней части страницы. На странице "Параметры" и "Мониторинг" нажмите кнопку "Продолжить".

   • Defender для облака подключение компьютеров Linux к Defender для конечной точки.
   • Defender для облака обнаруживает все предыдущие установки Defender для конечных точек на компьютерах Linux и перенастраивает их для интеграции с Defender для облака.
   • Если вы настраиваете Defender для конечной точки в первой подписке в вашем арендаторе, внедрение может занять до 12 часов. Для новых компьютеров, созданных после включения интеграции, подключение занимает около часа.

6. Чтобы проверить установку датчика Defender для конечной точки на компьютере Linux, выполните следующую команду оболочки на каждом компьютере.

   mdatp health

   Если установлен Microsoft Defender для конечной точки, отображается состояние работоспособности:

   healthy : true

   licensed: true

7. В портал Azure можно проверить, что на компьютерах Linux есть новое расширение MDE.LinuxAzure.

Включение интеграции с PowerShell в нескольких подписках

Чтобы включить интеграцию Defender для серверов на компьютерах Linux или Windows Server 2012 R2 и 2016 с единым решением MDE на нескольких подписках, можно использовать один из сценариев PowerShell в репозитории Defender для облака GitHub.

• Используйте этот скрипт для включения интеграции с современным унифицированным решением Defender для конечной точки в Windows Server 2012 R2 или Windows Server 2016
• Используйте этот сценарий для включения интеграции Defender для конечной точки на компьютерах Linux

Управление автоматическими обновлениями для Linux

В Windows обновления версий Defender для конечной точки предоставляются с помощью непрерывных база знаний обновлений. В Linux необходимо обновить пакет Defender для конечной точки.

• При использовании Defender для серверов с MDE.Linux расширением автоматические обновления для Microsoft Defender для конечной точки включены по умолчанию.

• Если вы хотите управлять обновлениями версий вручную, вы можете отключить автоматическое обновление на компьютерах. Для этого добавьте следующий тег для компьютеров, подключенных к расширению MDE.Linux .

  • Имя тега: ExcludeMdeAutoUpdate
  • Значение тега: true

Эта конфигурация поддерживается для виртуальных машин Azure и компьютеров Azure Arc, где MDE.Linux расширение инициирует автоматическое обновление.

Включение интеграции в масштабе

Интеграцию Defender для конечной точки можно включить в масштабе с помощью предоставленного REST API версии 2022-05-01. Полные сведения см. в документации по API.

Ниже приведен пример текста запроса для запроса PUT, чтобы включить интеграцию Defender для конечной точки:

УРИ: https://management.azure.com/subscriptions/<subscriptionId>/providers/Microsoft.Security/settings/WDATP?api-version=2022-05-01

{
    "name": "WDATP",
    "type": "Microsoft.Security/settings",
    "kind": "DataExportSettings",
    "properties": {
        "enabled": true
    }
}

Отслеживание состояния развертывания Defender для конечной точки

Вы можете использовать книгу состояния развертывания Defender для конечной точки для отслеживания состояния развертывания Defender для конечной точки на виртуальных машинах Azure и виртуальных машинах с поддержкой Azure Arc. Интерактивная книга содержит обзор компьютеров в вашей среде с состоянием развертывания расширения Microsoft Defender для конечной точки.

Доступ к порталу Microsoft Defender

1. Убедитесь, что у вас есть правильные разрешения на доступ к порталу.

2. Проверьте наличие прокси-сервера или брандмауэра, блокирующего анонимный трафик.

   • Датчик Defender для конечной точки подключается из системного контекста, поэтому необходимо разрешить анонимный трафик.
   • Чтобы обеспечить неуправляемый доступ к порталу Microsoft Defender, включите доступ к URL-адресам службы на прокси-сервере.

3. Откройте портал Microsoft Defender. Сведения об инцидентах и оповещениях на портале Microsoft Defender.

Запустить проверку обнаружения

Следуйте инструкциям в тесте обнаружения EDR для проверки подключения устройств и служб отчетов.

Удаление Defender для конечной точки с компьютера

Чтобы удалить решение "Defender для конечной точки" с ваших компьютеров, выполните следующие действия.

1. Чтобы отключить интеграцию, в параметрах среды Defender для облака >выберите подписку с соответствующими компьютерами.
2. На странице планов Defender выберите "Параметры" и "Мониторинг".
3. В состоянии компонента Endpoint Protection нажмите кнопку "Отключить", чтобы отключить интеграцию с Microsoft Defender для конечной точки для подписки.
4. Нажмите кнопку "Продолжить" и "Сохранить", чтобы сохранить параметры.
5. Удалите расширение MDE.Windows или MDE.Linux с машины.
6. Отключение устройства из службы Microsoft Defender для конечной точки.