Sdílet prostřednictvím

Onboarding serverů Windows do služby Microsoft Defender for Endpoint

  • Článek

Platí pro:

  • Windows Server 2016 a Windows Server 2012 R2
  • Kanál Windows Server Semi-Annual Enterprise
  • Windows Server 2019 a novější
  • Windows Server 2019 Core Edition
  • Windows Server 2022
  • Microsoft Defender for Endpoint

Chcete používat Defender pro Endpoint? Zaregistrujte se a získejte bezplatnou zkušební verzi,

Defender for Endpoint rozšiřuje podporu tak, aby zahrnoval i operační systém Windows Server. Tato podpora poskytuje pokročilé možnosti detekce a vyšetřování útoků bez problémů prostřednictvím konzoly XDR v programu Microsoft Defender. Podpora pro Windows Server poskytuje hlubší přehled o serverových aktivitách, pokrytí detekce útoků na jádro a paměť a umožňuje akce odpovědi.

Tento článek popisuje, jak připojit konkrétní servery Windows do programu Microsoft Defender for Endpoint.

Pokyny ke stažení a používání standardních hodnot zabezpečení Windows pro servery s Windows najdete v článku Standardní hodnoty zabezpečení Windows.

Tip

Jako doplněk k tomuto článku si projděte našeho průvodce nastavením analyzátoru zabezpečení , kde si projděte osvědčené postupy a naučte se posílit ochranu, zlepšit dodržování předpisů a s důvěrou se pohybovat v oblasti kybernetické bezpečnosti. Pokud chcete mít přizpůsobené prostředí založené na vašem prostředí, můžete získat přístup k průvodci automatizovaným nastavením analyzátoru zabezpečení v Centru pro správu Microsoftu 365.

Přehled onboardingu Windows Serveru

K úspěšnému nasazení serverů budete muset provést následující obecné kroky.

Obrázek postupu onboardingu pro windows servery a zařízení s Windows 10

Poznámka

Edice Windows Hyper-V Serveru nejsou podporovány.

Integrace s Microsoft Defenderem pro servery:

Microsoft Defender for Endpoint se bezproblémově integruje s Microsoft Defenderem pro servery. Servery můžete automaticky onboardovat, nechat servery monitorované microsoft defenderem for Cloud zobrazovat v Programu Defender for Endpoint a provádět podrobná šetření jako zákazník Microsoft Defenderu for Cloud. Další informace najdete v tématu Ochrana koncových bodů pomocí integrovaného řešení EDR služby Defender for Cloud: Microsoft Defender for Endpoint

Poznámka

Pro Windows Server 2016 a Windows Server 2012 R2 můžete buď ručně nainstalovat nebo upgradovat moderní sjednocené řešení na těchto počítačích, nebo pomocí integrace automaticky nasadit nebo upgradovat servery, na které se vztahuje váš příslušný plán Microsoft Defenderu for Server. Další informace o přechodu najdete v tématu Ochrana koncových bodů pomocí integrovaného řešení EDR v Defenderu for Cloud: Microsoft Defender for Endpoint.

  • Když k monitorování serverů použijete Microsoft Defender for Cloud, vytvoří se automaticky tenant Defender for Endpoint (v USA pro uživatele v USA, v EU pro evropské uživatele a ve Spojeném království pro uživatele ve Spojeném království). Data shromažďovaná službou Defender for Endpoint se ukládají v geografickém umístění tenanta, jak je identifikováno během zřizování.
  • Pokud před použitím Microsoft Defenderu for Cloud používáte Defender for Endpoint, ukládají se vaše data do umístění, které jste zadali při vytváření tenanta, i když se později integrujete s Microsoft Defenderem for Cloud.
  • Po nakonfigurování nemůžete změnit umístění, ve kterém jsou vaše data uložena. Pokud potřebujete přesunout data do jiného umístění, musíte kontaktovat podporu Microsoftu a resetovat tenanta.
  • Monitorování koncových bodů serveru využívající tuto integraci je pro zákazníky Office 365 GCC zakázané.
  • Dříve používání agenta Microsoft Monitoring Agent (MMA) ve Windows Serveru 2016 a Windows Serveru 2012 R2 a předchozích verzích Windows Serveru umožňovalo bráně OMS nebo Log Analytics poskytovat připojení ke cloudovým službám Defenderu. Nové řešení, jako je Microsoft Defender for Endpoint ve Windows Serveru 2022, Windows Serveru 2019 a Windows 10 nebo novějším, tuto bránu nepodporuje.
  • Servery s Linuxem nasazené prostřednictvím Microsoft Defenderu for Cloud mají počáteční konfiguraci nastavenou tak, aby běžela Antivirová ochrana v programu Defender v pasivním režimu.

Windows Server 2016 a Windows Server 2012 R2:

  • Stažení instalačních a onboardingových balíčků
  • Použití instalačního balíčku
  • Postupujte podle kroků pro onboarding odpovídajícího nástroje.

Windows Server Semi-Annual Enterprise Channel a Windows Server 2019:

  • Stažení balíčku pro onboarding
  • Postupujte podle kroků pro onboarding odpovídajícího nástroje.

Windows Server 2016 a Windows Server 2012 R2

Funkce v moderním sjednocené řešení

Předchozí implementace (před dubnem 2022) při onboardingu Windows Serveru 2016 a Windows Serveru 2012 R2 vyžadovala použití agenta Microsoft Monitoring Agent (MMA).

Nový balíček sjednoceného řešení usnadňuje onboarding serverů tím, že odstraňuje závislosti a kroky instalace. Poskytuje také mnohem rozšířenou sadu funkcí. Další informace najdete v článku Obrana Windows Serveru 2012 R2 a 2016.

V závislosti na serveru, který nasazujete, jednotné řešení nainstaluje Antivirovou ochranu v programu Microsoft Defender nebo senzor EDR. Následující tabulka uvádí, která komponenta je nainstalovaná a co je ve výchozím nastavení integrované.

Verze serveru AV EDR
Windows Server 2012 R2 Ano. Ano.
Windows Server 2016 Vestavěný Ano.
Windows Server 2019 nebo novější Vestavěný Vestavěný

Pokud jste už dříve nasadili servery pomocí MMA, postupujte podle pokynů v tématu Migrace serverů a migrujte na nové řešení.

Důležité

Než budete pokračovat v onboardingu, přečtěte si část Známé problémy a omezení v novém balíčku sjednoceného řešení pro Windows Server 2012 R2 a Windows Server 2016.

Požadavky

Požadavky pro Windows Server 2016 a Windows Server 2012 R2

Doporučujeme na server nainstalovat nejnovější dostupnou aktualizaci SSU a LCU.

Předpoklady pro spuštění s řešeními zabezpečení třetích stran

Pokud máte v úmyslu použít antimalwarové řešení jiného výrobce, budete muset spustit Antivirovou ochranu v programu Microsoft Defender v pasivním režimu. Nezapomeňte nastavit pasivní režim během procesu instalace a onboardingu.

Poznámka

Pokud instalujete Microsoft Defender for Endpoint na servery se službou McAfee Endpoint Security (ENS) nebo VirusScan Enterprise (VSE), možná bude potřeba aktualizovat verzi platformy McAfee, aby se zajistilo, že antivirová ochrana v programu Microsoft Defender nebude odebrána nebo zakázána. Další informace včetně konkrétních požadovaných čísel verzí naleznete v článku Centrum znalostí společnosti McAfee.

Aktualizace balíčků pro Microsoft Defender for Endpoint ve Windows Serveru 2016 a Windows Serveru 2012 R2

Pokud chcete dostávat pravidelná vylepšení produktů a opravy pro komponentu senzoru EDR, ujistěte se, že se používá nebo schválila KB5005292 služba Windows Update. Pokud chcete udržovat součásti ochrany aktualizované, přečtěte si téma Správa aktualizací antivirové ochrany v programu Microsoft Defender a použití standardních hodnot.

Pokud používáte službu Windows Server Update Services (WSUS) nebo Microsoft Endpoint Configuration Manager, je tato nová aktualizace microsoft defenderu pro koncový bod pro senzor EDR k dispozici v kategorii Microsoft Defender for Endpoint.

Souhrn kroků připojování

KROK 1: Stažení instalačních a onboardingových balíčků

Instalační ionboardingové balíčky budete muset stáhnout z portálu.

Poznámka

Instalační balíček se aktualizuje každý měsíc. Před použitím si nezapomeňte stáhnout nejnovější balíček. Pokud chcete aktualizaci provést po instalaci, nemusíte instalační balíček spouštět znovu. Pokud to uděláte, instalační program vás nejprve vyzve k offboardingu, protože se jedná o požadavek pro odinstalaci. Viz Aktualizace balíčků pro Microsoft Defender for Endpoint ve Windows Serveru 2012 R2 a 2016.

Obrázek řídicího panelu onboardingu

Poznámka

V systémech Windows Server 2016 a Windows Server 2012 R2 musí být antivirová ochrana v programu Microsoft Defender nainstalovaná jako funkce (viz Přechod na MDE) a před pokračováním v instalaci musí být plně aktualizovaná.

Pokud používáte antimalwarové řešení jiné společnosti než Microsoft, ujistěte se, že před instalací přidáte do řešení od jiných společností vyloučení pro Antivirovou ochranu v programu Microsoft Defender (z tohoto seznamu procesů programu Microsoft Defender na kartě Procesy programu Defender). Doporučujeme také přidat řešení zabezpečení od jiných společností než Microsoft do seznamu vyloučení Antivirové ochrany v programu Defender.

Instalační balíček obsahuje soubor MSI, který nainstaluje agenta Microsoft Defender for Endpoint.

Balíček onboardingu obsahuje následující soubor:

  • WindowsDefenderATPOnboardingScript.cmd – obsahuje skript onboardingu.

Balíčky stáhnete takto:

  1. V Microsoft Defenderu XDR přejděte na Onboarding koncového bodu > nastavení>.

  2. Vyberte Windows Server 2016 a Windows Server 2012 R2.

  3. Vyberte Stáhnout instalační balíček a uložte soubor .msi.

  4. Vyberte Stáhnout onboardingový balíček a uložte soubor .zip.

  5. Nainstalujte instalační balíček pomocí některé z možností instalace Antivirové ochrany v programu Microsoft Defender. Instalace vyžaduje oprávnění správce.

Důležité

Místní skript onboardingu je vhodný pro testování konceptu, ale neměl by se používat pro produkční nasazení. Pro produkční nasazení doporučujeme použít zásady skupiny nebo Microsoft Endpoint Configuration Manager.

KROK 2: Použití instalačního a onboardingového balíčku

V tomto kroku nainstalujete součásti pro prevenci a detekci potřebné před onboardingem zařízení do cloudového prostředí Microsoft Defenderu for Endpoint a připravíte počítač na onboarding. Ujistěte se, že jsou splněné všechny požadavky .

Poznámka

Antivirová ochrana v programu Microsoft Defender se nainstaluje a bude aktivní, pokud ji nenastavíte do pasivního režimu.

Možnosti instalace balíčků Microsoft Defenderu for Endpoint

V předchozí části jste stáhli instalační balíček. Instalační balíček obsahuje instalační program pro všechny součásti Microsoft Defenderu for Endpoint.

K instalaci agenta můžete použít některou z následujících možností:

Instalace Microsoft Defenderu for Endpoint pomocí příkazového řádku

K instalaci Microsoft Defenderu for Endpoint použijte instalační balíček z předchozího kroku.

Spuštěním následujícího příkazu nainstalujte Microsoft Defender for Endpoint:

Msiexec /i md4ws.msi /quiet

Pokud chcete provést odinstalaci, ujistěte se, že je počítač nejprve offboardován pomocí příslušného skriptu pro offboarding. Potom pomocí ovládacích panelů > Programy > a funkce proveďte odinstalaci.

Případně můžete spuštěním následujícího příkazu odinstalovat Microsoft Defender for Endpoint:

Msiexec /x md4ws.msi /quiet

Aby byl výše uvedený příkaz úspěšný, musíte použít stejný balíček, který jste použili k instalaci.

Přepínač /quiet potlačí všechna oznámení.

Poznámka

Antivirová ochrana v programu Microsoft Defender nepřechází automaticky do pasivního režimu. Antivirová ochrana v programu Microsoft Defender můžete nastavit tak, aby běžela v pasivním režimu, pokud používáte jiné antivirové nebo antimalwarové řešení než Microsoft. U instalací na příkazovém řádku volitelná FORCEPASSIVEMODE=1 možnost okamžitě nastaví součást Antivirová ochrana v programu Microsoft Defender na pasivní režim, aby nedocházelo k rušení. Pokud pak chcete zajistit, aby Antivirová ochrana v programu Defender po onboardingu zůstala v pasivním režimu a podporovala funkce, jako je EDR Block, nastavte klíč registru ForceDefenderPassiveMode.

Podpora pro Windows Server poskytuje hlubší přehled o serverových aktivitách, pokrytí detekce útoků na jádro a paměť a umožňuje akce odpovědi.

Instalace Microsoft Defenderu for Endpoint pomocí skriptu

Pomocí pomocného skriptu instalačního programu můžete automatizovat instalaci, odinstalaci a onboarding.

Poznámka

Instalační skript je podepsaný. Jakékoli změny skriptu zruší platnost podpisu. Pokud si skript stáhnete z GitHubu, doporučeným postupem, jak se vyhnout neúmyslným úpravám, je stáhnout zdrojové soubory jako archiv ZIP a pak ho extrahovat, abyste získali install.ps1 soubor (na hlavní stránce Kód klikněte na rozevírací nabídku Kód a vyberte Stáhnout ZIP).

Tento skript se dá použít v různých scénářích, včetně scénářů popsaných v tématu Scénáře migrace serverů z předchozího řešení Microsoft Defender for Endpoint založeného na MMA a pro nasazení pomocí zásad skupiny, jak je popsáno níže.

Při provádění instalace pomocí instalačního skriptu použijte instalační a onboardingové balíčky Microsoft Defenderu for Endpoint pomocí zásad skupiny.

  1. Vytvořte zásadu skupiny:
    Otevřete Konzolu pro správu zásad skupiny (GPMC), klikněte pravým tlačítkem na Objekty zásad skupiny , které chcete nakonfigurovat, a vyberte Nový. Do zobrazeného dialogového okna zadejte název nového objektu zásad skupiny a vyberte OK.

  2. Otevřete Konzolu pro správu zásad skupiny (GPMC), klikněte pravým tlačítkem na objekt zásad skupiny, který chcete nakonfigurovat, a vyberte Upravit.

  3. V Editoru pro správu zásad skupinypřejděte na Konfigurace počítače, předvolby a nastavení Ovládacích panelů.

  4. Klikněte pravým tlačítkem na Naplánované úkoly, přejděte na Nový a potom klikněte na Okamžitý úkol (alespoň Windows 7)..

  5. V okně Úkol , které se otevře, přejděte na kartu Obecné . V části Možnosti zabezpečení vyberte Změnit uživatele nebo skupinu , zadejte SYSTEM a pak vyberte Zkontrolovat jména a pak OK. NT AUTHORITY\SYSTEM se zobrazí jako uživatelský účet, jako který bude úloha spuštěna.

  6. Vyberte Spustit bez ohledu na to, jestli je uživatel přihlášený nebo ne , a zaškrtněte políčko Spustit s nejvyššími oprávněními .

  7. Do pole Název zadejte odpovídající název naplánované úlohy (například Defender for Endpoint Deployment).

  8. Přejděte na kartu Akce a vyberte Nový... Ujistěte se, že je v poli Akce vybraná možnost Spustit program. Instalační skript zpracuje instalaci a po dokončení instalace okamžitě provede krok onboardingu. Vyberte C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe zadejte argumenty:

     -ExecutionPolicy RemoteSigned \\servername-or-dfs-space\share-name\install.ps1 -OnboardingScript \\servername-or-dfs-space\share-name\windowsdefenderatponboardingscript.cmd

    Poznámka

    Doporučené nastavení zásad spouštění je Allsigned. To vyžaduje import podpisového certifikátu skriptu do úložiště důvěryhodných vydavatelů místního počítače, pokud skript běží v koncovém bodu jako SYSTEM.

    Nahraďte \\servername-or-dfs-space\share-name cestou UNC pomocí plně kvalifikovaného názvu domény (FQDN) soubor sdíleného install.ps1 . Instalační balíček md4ws.msi musí být umístěn ve stejném adresáři. Ujistěte se, že oprávnění cesty UNC umožňují přístup k zápisu do účtu počítače, který balíček instaluje, a podporovat tak vytváření souborů protokolu. Pokud chcete zakázat vytváření souborů protokolu (nedoporučuje se), můžete použít parametry -noETL -noMSILog.

    V případě scénářů, ve kterých chcete, aby antivirová ochrana v programu Microsoft Defender existovaly společně s antimalwarovými řešeními jiných společností než Microsoft, přidejte parametr $Passive, který během instalace nastaví pasivní režim.

  9. Vyberte OK a zavřete všechna otevřená okna Konzoly pro správu zásad skupiny.

  10. Pokud chcete objekt zásad sítě propojit s organizační jednotkou, klikněte pravým tlačítkem myši a vyberte Propojit existující objekt zásad_ V zobrazeném dialogovém okně vyberte objekt zásad skupiny, který chcete propojit. Vyberte OK.

Další nastavení konfigurace najdete v tématech Konfigurace nastavení ukázkové kolekce a Další doporučená nastavení konfigurace.

KROK 3: Dokončení kroků pro onboarding

Následující kroky platí jenom v případě, že používáte antimalwarové řešení jiného výrobce. Budete muset použít následující nastavení pasivního režimu Antivirové ochrany v programu Microsoft Defender. Ověřte, že je správně nakonfigurovaný:

  1. Nastavte následující položku registru:

    • Cestu: HKLM\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection
    • Název: ForceDefenderPassiveMode
    • Typ: REG_DWORD
    • Hodnotu: 1

    Výsledek ověření pasivního režimu

Známé problémy a omezení v novém balíčku sjednoceného řešení pro Windows Server 2016 a Windows Server 2012 R2

Důležité

Před provedením nové instalace vždy stáhněte nejnovější instalační balíček z portálu Microsoft Defender (https://security.microsoft.com) a ujistěte se, že jsou splněné požadavky. Po instalaci nezapomeňte pravidelně aktualizovat pomocí aktualizací komponent popsaných v části Aktualizace balíčků pro Microsoft Defender for Endpoint ve Windows Serveru 2012 R2 a 2016.

  • Aktualizace operačního systému může způsobovat problém s instalací na počítačích s pomalejšími disky kvůli vypršení časového limitu instalace služby. Instalace selže se zprávou "Nepodařilo se najít c:\program files\windows defender\mpasdesc.dll, - 310 WinDefend". Pokud je to potřeba, použijte nejnovější instalační balíček a nejnovější install.ps1 skript, který vám pomůže vymazat neúspěšnou instalaci.

  • Uživatelské rozhraní ve Windows Serveru 2016 a Windows Serveru 2012 R2 umožňuje pouze základní operace. Pokud chcete provádět operace na zařízení místně, přečtěte si téma Správa Microsoft Defenderu for Endpoint pomocí PowerShellu, rozhraní WMI a MPCmdRun.exe. V důsledku toho nemusí funkce, které se konkrétně spoléhají na interakci uživatele, například když je uživatel vyzván k rozhodnutí nebo provedení konkrétní úlohy, fungovat podle očekávání. Doporučuje se zakázat nebo nepovolit uživatelské rozhraní ani vyžadovat interakci uživatele na spravovaném serveru, protože to může mít vliv na možnosti ochrany.

  • Ne všechna pravidla omezení potenciální oblasti útoku platí pro všechny operační systémy. Viz Pravidla omezení potenciální oblasti útoku.

  • Upgrady operačního systému se nepodporují. Offboarding a před upgradem ho odinstalujte. Instalační balíček lze použít pouze k upgradu instalací, které ještě nebyly aktualizovány o novou antimalwarovou platformu nebo balíčky aktualizace senzoru EDR.

  • Pokud chcete automaticky nasadit a nasadit nové řešení pomocí nástroje Microsoft Endpoint Configuration Manager (MECM), musíte mít verzi 2207 nebo novější. I nadále můžete konfigurovat a nasazovat pomocí verze 2107 s kumulativní opravou hotfix, ale to vyžaduje další kroky nasazení. Další informace najdete v tématu Scénáře migrace nástroje Microsoft Endpoint Configuration Manager .

Windows Server Semi-Annual Enterprise Channel (SAC), Windows Server 2019 a Windows Server 2022

Stáhnout balíček

  1. V Microsoft Defenderu XDR přejděte na Nastavení > Onboarding správy zařízení koncových > bodů>.

  2. Vyberte Windows Server 1803 a 2019.

  3. Vyberte Stáhnout balíček. Uložte ho jako WindowsDefenderATPOnboardingPackage.zip.

  4. Postupujte podle kroků uvedených v části Dokončení kroků při zprovoznění .

Ověření onboardingu a instalace

Ověřte, že je spuštěná antivirová ochrana v programu Microsoft Defender a Microsoft Defender for Endpoint.

Spuštění testu detekce pro ověření onboardingu

Po onboardingu zařízení můžete spustit test detekce a ověřit, jestli je zařízení správně nasazené do služby. Další informace najdete v tématu Spuštění testu detekce na nově nasazených zařízeních Microsoft Defender for Endpoint.

Poznámka

Antivirovou ochranu v programu Microsoft Defender není nutné používat, ale doporučuje se to. Pokud je primárním řešením ochrany koncových bodů jiný dodavatel antivirového softwaru, můžete antivirovou ochranu v programu Defender spustit v pasivním režimu. Jestli je pasivní režim zapnutý, můžete ověřit až po ověření, že je spuštěný senzor Microsoft Defenderu for Endpoint (SENSE).

  1. Spuštěním následujícího příkazu ověřte, že je nainstalovaná Antivirová ochrana v programu Microsoft Defender:

    Poznámka

    Tento krok ověření se vyžaduje jenom v případě, že jako aktivní antimalwarové řešení používáte Antivirovou ochranu v programu Microsoft Defender.

    sc.exe query Windefend

    Pokud je výsledek "Zadaná služba neexistuje jako nainstalovaná služba", budete muset nainstalovat Antivirovou ochranu v programu Microsoft Defender.

    Informace o použití zásad skupiny ke konfiguraci a správě Antivirové ochrany v programu Microsoft Defender na serverech Windows najdete v tématu Použití nastavení zásad skupiny ke konfiguraci a správě antivirové ochrany v programu Microsoft Defender.

  2. Spuštěním následujícího příkazu ověřte, že je spuštěný Microsoft Defender for Endpoint:

    sc.exe query sense

    Výsledek by měl ukázat, že běží. Pokud narazíte na problémy s onboardingem, přečtěte si téma Řešení potíží s onboardingem.

Spuštění testu detekce

Postupujte podle kroků v tématu Spuštění testu detekce na nově nasazených zařízeních a ověřte, že se server hlásí službě Defender pro službu Endpoint.

Další kroky

Po úspěšném onboardingu zařízení do služby budete muset nakonfigurovat jednotlivé komponenty Microsoft Defenderu for Endpoint. Postupujte podle pokynů v tématu Konfigurace možností , abyste se mohli řídit povolením různých komponent.

Offboarding serverů s Windows

Edici Windows Server 2012 R2, Windows Server 2016, Windows Server (SAC), Windows Server 2019 a Windows Server 2019 Core můžete offboardovat stejným způsobem, který je k dispozici pro klientská zařízení s Windows 10.

Po zprovoznění můžete pokračovat odinstalací balíčku sjednoceného řešení ve Windows Serveru 2016 a Windows Serveru 2012 R2.

U ostatních verzí windows serveru máte dvě možnosti, jak ze služby přesunout servery Windows:

  • Odinstalace agenta MMA
  • Odebrání konfigurace pracovního prostoru Defenderu for Endpoint

Poznámka

Tyto pokyny k odpojování pro ostatní verze Windows Serveru platí také v případě, že používáte předchozí microsoft defender for Endpoint pro Windows Server 2016 a Windows Server 2012 R2, který vyžaduje MMA. Pokyny k migraci na nové sjednocené řešení najdete v tématu Scénáře migrace serverů v Microsoft Defenderu for Endpoint.

Tip

Chcete se dozvědět více? Spojte se s komunitou zabezpečení Microsoftu v naší technické komunitě: Technická komunita Microsoft Defenderu for Endpoint.