Zjistěte, jak pomocí zásad zabezpečení koncových bodů Intune spravovat Microsoft Defender for Endpoint na zařízeních, která nejsou zaregistrovaná v Intune.

Když integrujete Microsoft Intune se službou Microsoft Defender for Endpoint, můžete pomocí zásad zabezpečení koncových bodů Intune spravovat nastavení zabezpečení v programu Defender na zařízeních, která nejsou zaregistrovaná v Intune. Tato funkce se označuje jako správa nastavení zabezpečení Defender for Endpoint.

Při správě zařízení prostřednictvím správy nastavení zabezpečení:

• Pomocí centra pro správu Microsoft Intune nebo portálu Microsoft 365 Defender můžete spravovat zásady zabezpečení koncových bodů Intune pro Defender for Endpoint a přiřazovat tyto zásady skupinám Microsoft Entra ID. Portál Defender obsahuje uživatelské rozhraní pro zobrazení zařízení, správu zásad a sestavy pro správu nastavení zabezpečení.

  Pokud chcete spravovat zásady z portálu Defender, přečtěte si téma Správa zásad zabezpečení koncových bodů v programu Microsoft Defender for Endpoint v obsahu Defenderu.

• Zařízení získají přiřazené zásady na základě objektu zařízení Microsoft Entra ID. Zařízení, které ještě není zaregistrované v Microsoft Entra, je připojené jako součást tohoto řešení.

• Když zařízení přijme zásadu, komponenty Defender for Endpoint na zařízení vynutí zásadu a hlásí stav zařízení. Stav zařízení je k dispozici v Centru pro správu Microsoft Intune a na portálu Microsoft Defender.

Tento scénář rozšiřuje plochu Microsoft Intune Endpoint Security na zařízení, která se nemůžou registrovat v Intune. Když je zařízení spravované pomocí Intune (zaregistrované v Intune), nezpracovává zásady pro správu nastavení zabezpečení Defender for Endpoint. Místo toho použijte Intune k nasazení zásad pro Defender for Endpoint na vaše zařízení.

Platí pro:

• Windows
• Windows Server 2012 R2 a novější
• Linux
• macOS

Požadavky

V následujících částech najdete požadavky na scénář správy nastavení zabezpečení v programu Defender for Endpoint.

Prostředí

Když se podporované zařízení připojí k Microsoft Defender for Endpoint:

• Zařízení se dotazuje na existující stav Microsoft Intune, což je registrace správy mobilních zařízení (MDM) do Intune.
• Zařízení bez přítomnosti Intune umožňují funkci správy nastavení zabezpečení.
• U zařízení, která nejsou plně zaregistrovaná v Microsoft Entra, se v Microsoft Entra ID vytvoří syntetická identita zařízení, která umožňuje zařízení načíst zásady. Plně registrovaná zařízení používají svou aktuální registraci.
• Na zařízení Microsoft Defender for Endpoint vynucuje zásady, které se načítají z Microsoft Intune.

Podpora cloudu pro veřejnou správu

Scénář správy nastavení zabezpečení Defender for Endpoint je podporovaný v následujících tenantech státní správy:

• US Government Community Cloud (GCC)
• US Government Community High (GCC High)
• Ministerstvo obrany (DoD)

Další informace najdete tady:

• Popis služby Intune US Government
• Microsoft Defender for Endpoint pro klienty z řad americké vlády
• Parita funkcí s komerčními funkcemi v aplikaci Microsoft Defender for Endpoint pro zákazníky z řad vládních institucí USA.

Požadavky na připojení

Zařízení musí mít přístup k následujícímu koncovému bodu:

• *.dm.microsoft.com – Použití zástupného znaku podporuje koncové body cloudové služby, které se používají pro registraci, ohlášení a vytváření sestav a které se můžou při škálování služby měnit.

Poznámka

Koncové body pro zákazníky ze státní správy se nacházejí na stránce Koncové body sítě pro nasazení ve státní správě USA

Podporované platformy

Zásady pro správu zabezpečení v programu Microsoft Defender for Endpoint jsou podporované pro následující platformy zařízení:

Linux:

S agentem Microsoft Defender for Endpoint for Linux verze 101.23052.0009 nebo novější se správa nastavení zabezpečení podporuje ve všech distribucích Linuxu uvedených v podporovaných distribucích Linuxu.

Verzi agentů Defenderu, kteří používají tyto metody, najdete na portálu Microsoft Defender:

• Jedno zařízení můžete prozkoumat tak, že přejdete na Přehled prostředků > a zařízení > a zkontrolujete pole Verze modulu Defenderu.

• Můžete zobrazit souhrnnou sestavu a exportovat úplný inventář zobrazující verze platformy na stránkách Sestavy>, Koncové body, > Stav > zařízení Microsoft Defender Stav antiviru.

• Při pokročilém proaktivním vyhledávání > můžete použít následující dotaz a zkontrolovat data SoftwareVersion:

  DeviceTvmSoftwareInventory
  | where SoftwareName == "defender_for_linux"
  

Pokyny k aktualizaci verze agenta najdete v tématu Nasazení aktualizací pro Microsoft Defender for Endpoint v Linuxu.

Známé problémy:

• S agentem Defenderu verze 101.23052.0009 se zařízení s Linuxem nezaregistrují, pokud chybí následující cesta k souboru: /sys/class/dmi/id/board_vendor.

• Když zařízení s Linuxem provádí syntetickou registraci, ID zařízení Entra (dříve označované jako ID AAD zařízení ) se na portálu Defender nezobrazuje. Tyto informace si můžete zobrazit na portálech Intune nebo Microsoft Entra. Správci můžou dál spravovat zařízení se zásadami tímto způsobem.

macOS:

S agentem Microsoft Defender for Endpoint pro macOS verze 101.23052.0004 nebo novější se správa nastavení zabezpečení podporuje ve verzích macOS uvedených v Požadavcích na systém

Verze agentů Defenderu, které používají tyto metody, najdete na portálu Microsoft Defender:

• Jedno zařízení můžete prozkoumat tak, že přejdete na Přehled prostředků > a zařízení > a zkontrolujete pole Verze modulu Defenderu.

• Můžete zobrazit souhrnnou sestavu a exportovat úplný inventář zobrazující verze platformy na stránkách Sestavy>, Koncové body, > Stav > zařízení Microsoft Defender Stav antiviru.

• Při pokročilém proaktivním vyhledávání > můžete použít následující dotaz a zkontrolovat data SoftwareVersion:

  DeviceTvmSoftwareInventory
  | where SoftwareName == "defender_for_mac"
  

Pokyny k aktualizaci verze agenta najdete v tématu Nasazení aktualizací pro Microsoft Defender for Endpoint v macOS.

Známé problémy:

• Když zařízení s macOS provádí syntetickou registraci, ID Device Entra ID (dříve označované jako Device AAD ID) se na portálu Defender nezobrazuje. Tyto informace si můžete zobrazit na portálech Intune nebo Microsoft Entra. Správci můžou dál spravovat zařízení se zásadami tímto způsobem.

Windows:

• Windows 10 Professional/Enterprise (s KB5023773)

  Důležité

  14. října 2025 dosáhl systém Windows 10 konce podpory a nebude dostávat aktualizace pro zvýšení kvality a funkcí. Windows 10 je povolená verze v aplikaci Intune. Zařízení s touto verzí se budou moct dál registrovat do aplikace Intune a používat funkce, které na ni mají nárok, ale funkčnost nebude zaručena a může se lišit.

• Windows 11 Professional/Enterprise (s KB5023778)

• Windows Server 2012 R2 s Microsoft Defenderem pro Down-Level zařízení

• Windows Server 2016 s Microsoft Defenderem pro Down-Level zařízení

• Windows Server 2019 (s KB5025229)

• Windows Server 2019 Core (s nainstalovanou funkcí kompatibility aplikací jádra serveru na vyžádání)

• Windows Server 2022, včetně jádra serveru (s KB5025230)

• Windows Server 2025

• Řadiče domény: Důležité informace najdete v tématu Použití správy nastavení zabezpečení v řadičích domény (v tomto článku).

Správa nastavení zabezpečení nefunguje a nepodporuje se na následujících zařízeních:

• Windows Server Core 2016 a starší
• Trvalé plochy, jako jsou klienti infrastruktury virtuálních klientských počítačů (VDI)
• Azure Virtual Desktop (AVD a dříve Windows Virtual Desktop, WVD)
• 32bitové verze systému Windows

Licencování a předplatná

Pokud chcete používat správu nastavení zabezpečení, potřebujete:

• Předplatné, které uděluje licence pro Microsoft Defender for Endpoint, jako je Microsoft 365, nebo samostatnou licenci jenom pro Microsoft Defender for Endpoint. Předplatné, které uděluje licence Microsoft Defenderu for Endpoint, také uděluje vašemu tenantovi přístup k uzlu zabezpečení koncového bodu v Centru pro správu Microsoft Intune.

  Poznámka

  Výjimka: Pokud máte přístup k Microsoft Defenderu for Endpoint jenom prostřednictvím Microsoft Defenderu pro servery (součást Microsoft Defenderu pro cloud, dříve Azure Security Center), funkce správy nastavení zabezpečení nejsou dostupné. Musíte mít aktivní alespoň jednu licenci na Microsoft Defender for Endpoint (uživatelské) předplatné.

  Uzel zabezpečení koncového bodu je místo, kde konfigurujete a nasazujete zásady pro správu Microsoft Defenderu for Endpoint pro vaše zařízení a monitorování stavu zařízení.

  Aktuální informace o možnostech najdete v tématu Minimální požadavky pro Microsoft Defender for Endpoint.

Řízení přístupu na základě role (RBAC)

Pokyny k přiřazení správné úrovně oprávnění a práv správcům, kteří spravují zásady zabezpečení koncových bodů Intune v Centru pro správu Intune, najdete dále v tomto článku v části Řízení přístupu na základě role pro zabezpečení koncových bodů.

Architecture

Následující diagram představuje koncepční znázornění řešení pro správu konfigurace zabezpečení v programu Microsoft Defender for Endpoint.

1. Zařízení se připojte k Microsoft Defenderu for Endpoint.
2. Zařízení komunikují s Intune. Tato komunikace umožňuje Microsoft Intune distribuovat zásady, které jsou cílené na zařízení při jejich ohlášení.
3. Registrace se vytvoří pro každé zařízení v Microsoft Entra ID:
   • Pokud bylo zařízení dříve plně zaregistrované, například zařízení Hybrid Join, použije se stávající registrace.
   • Pro zařízení, která nejsou zaregistrovaná, se v Microsoft Entra ID vytvoří syntetická identita zařízení, která umožní zařízení načíst zásady. Pokud má zařízení se syntetickou registrací vytvořenou úplnou registraci Microsoft Entra, syntetická registrace se odebere a správa zařízení pokračuje bez přerušení pomocí úplné registrace.
4. Defender for Endpoint hlásí stav zásad zpět do Microsoft Intune.

Důležité

Správa nastavení zabezpečení používá syntetickou registraci pro zařízení, která se plně neregistrují v Microsoft Entra ID, a zahodí požadavek na hybridní připojení Microsoft Entra. Díky této změně se zařízení s Windows, u kterých dříve docházelo k chybám registrace, začnou onboardovat do Defenderu a pak obdrží a zpracují zásady správy nastavení zabezpečení.

Pokud chcete vyfiltrovat zařízení, která se nemohla zaregistrovat, protože nesplníte předpoklad hybridního připojení k Microsoft Entra, přejděte na seznam Zařízení na portálu Microsoft Defender a vyfiltrujte podle stavu registrace. Vzhledem k tomu, že tato zařízení nejsou plně zaregistrovaná, jejich atributy zařízení zobrazují MDMIntune = a Join Type = Blank. Tato zařízení se teď zaregistrují se správou nastavení zabezpečení pomocí syntetické registrace.

Po registraci se tato zařízení zobrazí v seznamech zařízení pro portály Microsoft Defender, Microsoft Intune a Microsoft Entra. I když se zařízení plně nezaregistrují v aplikaci Microsoft Entra, jejich syntetická registrace se počítá jako jeden objekt zařízení.

Co očekávat na portálu Microsoft Defender

Inventář zařízení služby Microsoft Defender for Endpoint můžete použít k potvrzení, že zařízení používá funkci správy nastavení zabezpečení v Defenderu for Endpoint, a to tak, že zkontrolujete stav zařízení ve sloupci Spravuje. Informace Spravováno jsou k dispozici také na bočním panelu zařízení nebo na stránce zařízení. Spravovaná měla konzistentně znamenat, že je spravovaná pomocí MDE.

Můžete také ověřit, že je zařízení zaregistrované ve správě nastavení zabezpečení úspěšně, a to potvrzením, že se na bočním panelu zařízení nebo na stránce zařízení zobrazuje stav registrace MDE jako Úspěch.

Pokud se ve stavu registrace MDE nezobrazuje Úspěch, ujistěte se, že se díváte na aktualizované zařízení, které je v oboru správy nastavení zabezpečení. (Obor konfigurujete na stránce Obor vynucení při konfiguraci správy nastavení zabezpečení.)

Co očekávat v Centru pro správu Microsoft Intune

V Centru pro správu Microsoft Intune přejděte na stránku Všechna zařízení. Zařízení zaregistrovaná se správou nastavení zabezpečení se tady zobrazují jako na portálu Defender. V Centru pro správu by se v poli zařízení Spravovaná měla zobrazit MDE.

Tip

V červnu 2023 začala správa nastavení zabezpečení používat syntetickou registraci pro zařízení, která se plně neregistrují v Microsoft Entra. Díky této změně se zařízení, která dříve měla chyby registrace, začnou onboardovat do Defenderu a pak obdrží a zpracují zásady správy nastavení zabezpečení.

Co očekávat na portálu Microsoft Azure

Na stránce Všechna zařízení Na portálu Microsoft Azure můžete zobrazit podrobnosti o zařízení.

Pokud chcete zajistit, aby všechna zařízení zaregistrovaná ve správě nastavení zabezpečení v programu Defender for Endpoint dostávala zásady, doporučujeme vytvořit dynamickou skupinu Microsoft Entra na základě typu operačního systému zařízení. U dynamické skupiny se zařízení spravovaná programem Defender for Endpoint automaticky přidávají do skupiny, aniž by správci museli provádět další úlohy, jako je vytvoření nové zásady.

Důležité

Od července 2023 do 25. září 2023 spustila správa nastavení zabezpečení výslovný souhlas s verzí Public Preview, která zavedla nové chování pro zařízení, která byla spravovaná a zaregistrovaná do scénáře. Od 25. září 2023 začalo být chování ve verzi Public Preview obecně dostupné a teď platí pro všechny tenanty, které používají správu nastavení zabezpečení.

Pokud jste použili správu nastavení zabezpečení před 25. zářím 2023 a nepřipojili jste se k dobrovolné verzi Public Preview, která běžela od července 2023 do 25. září 2023, zkontrolujte skupiny aplikace Microsoft Entra, které spoléhají na systémové popisky, a proveďte změny, které identifikují nová zařízení, která spravujete pomocí správy nastavení zabezpečení. Důvodem je to, že před 25. zářím 2023 by zařízení, která nejsou spravovaná prostřednictvím verze Public Preview, používala k identifikaci spravovaných zařízení následující systémové popisky (značky) MDEManaged a MDEJoined. Tyto dva systémové popisky už nejsou podporované a už se nepřidávají do zařízení, která se registrují.

Pro dynamické skupiny použijte následující pokyny:

• (Doporučeno) Při cílení na zásady použijte dynamické skupiny založené na platformě zařízení pomocí atributu deviceOSType (Windows, Windows Server, macOS, Linux), abyste zajistili, že se zásady budou dál doručovat pro zařízení, která mění typy správy, například během registrace MDM.

• V případě potřeby je možné zacílit dynamické skupiny obsahující výhradně zařízení spravovaná programem Defender for Endpoint tak, že definujete dynamickou skupinu pomocí atributu managementTypeMicrosoftSense. Použití tohoto atributu se zaměřuje na všechna zařízení spravovaná programem Defender for Endpoint prostřednictvím funkce správy nastavení zabezpečení a zařízení zůstanou v této skupině pouze v případě, že jsou spravována programem Defender for Endpoint.

Pokud chcete při konfiguraci správy nastavení zabezpečení spravovat celou infrastrukturu platformy operačního systému pomocí programu Microsoft Defender for Endpoint, výběrem všech zařízení místo označených zařízení na stránce Obor vynucení koncového bodu v programu Microsoft Defender se mějte na vědomí, že se všechny syntetické registrace započítávají do kvót Id Entra společnosti Microsoft stejně jako úplné registrace.

Jaké řešení mám použít?

Microsoft Intune obsahuje několik metod a typů zásad pro správu konfigurace Defenderu for Endpoint na zařízeních. Následující tabulka uvádí zásady a profily Intune, které podporují nasazení do zařízení spravovaných službou Defender for Endpoint, a může vám pomoct určit, jestli je toto řešení vhodné pro vaše potřeby.

Když nasadíte zásadu zabezpečení koncového bodu, která je podporovaná pro správu nastavení zabezpečení Defender for Endpoint i pro Microsoft Intune, jedna instance této zásady se zpracuje:

• Zařízení podporovaná prostřednictvím správy nastavení zabezpečení (Microsoft Defender)
• Zařízení spravovaná službou Intune nebo Správce konfiguraceem.

Profily pro platformu Windows 10 a novější nejsou podporované pro zařízení spravovaná správou nastavení zabezpečení.

Pro každý typ zařízení se podporují následující profily:

Linux

Následující typy zásad podporují platformu Linux.

Zásady zabezpečení koncového bodu	Profil	Defender for Endpoint správa nastavení zabezpečení	Microsoft Intune
Antivirus	Antivirová ochrana v Microsoft Defenderu
Antivirus	Vyloučení v aplikaci Microsoft Defender Antivirus
Detekce a reakce koncového bodu	Detekce a reakce koncového bodu
Detekce a reakce koncového bodu	Globální vyloučení programu Microsoft Defender (AV+EDR)

macOS

Následující typy zásad podporují platformu macOS.

Zásady zabezpečení koncového bodu	Profil	Defender for Endpoint správa nastavení zabezpečení	Microsoft Intune
Antivirus	Antivirová ochrana v Microsoft Defenderu
Antivirus	Vyloučení v aplikaci Microsoft Defender Antivirus
Detekce a reakce koncového bodu	Detekce a reakce koncového bodu

Windows

Pokud chcete podporovat správu nastavení zabezpečení programu Microsoft Defender, musí vaše zásady pro zařízení s Windows používat platformu Windows. Každý profil pro platformu Windows se může vztahovat na zařízení spravovaná službou Intune a na zařízení spravovaná správou nastavení zabezpečení.

Zásady zabezpečení koncového bodu	Profil	Defender for Endpoint správa nastavení zabezpečení	Microsoft Intune
Antivirus	Ovládací prvky aktualizace pro Defender
Antivirus	Antivirová ochrana v Microsoft Defenderu
Antivirus	Vyloučení v aplikaci Microsoft Defender Antivirus
Antivirus	Prostředí zabezpečení Windows
Omezení potenciální oblasti útoku	Pravidla pro omezení potenciální oblasti útoku
Omezení potenciální oblasti útoku	Řízení zařízení	Poznámka1
Detekce a reakce koncového bodu	Detekce a reakce koncového bodu
Brána firewall	Brána firewall
Brána firewall	Pravidla brány firewall

1 – Tento profil je viditelný na portálu Defender, ale není podporovaný pro zařízení spravovaná jenom programem Microsoft Defender prostřednictvím scénáře správy nastavení zabezpečení aplikace Microsoft Defender. Tento profil je podporovaný jenom pro zařízení spravovaná přes Intune.

Každý profil zabezpečení koncového bodu Intune je samostatná skupina nastavení určená pro správce zabezpečení, kteří se zaměřují na ochranu zařízení ve vaší organizaci. Následují popisy profilů, které jsou podporovány scénářem správy nastavení zabezpečení:

• Antivirové zásady spravují konfigurace zabezpečení, které najdete v Microsoft Defenderu for Endpoint.

  Poznámka

  I když koncové body nevyžadují restartování, aby bylo možné použít upravená nastavení nebo nové zásady, existuje problém, kdy nastavení AllowOnAccessProtection a DisableLocalAdminMerge můžou občas vyžadovat, aby koncoví uživatelé restartovali svá zařízení, aby se tato nastavení aktualizovala. Tento problém se prověřuje s cílem poskytnout řešení.

• Zásady omezení potenciální oblasti útoku (ASR) se zaměřují na minimalizaci míst, kde je vaše organizace zranitelná vůči kybernetickým hrozbám a útokům. Při správě nastavení zabezpečení se pravidla ASR vztahují na zařízení s Windows 10, Windows 11 a Windows Serverem.

  Důležité

  14. října 2025 dosáhl systém Windows 10 konce podpory a nebude dostávat aktualizace pro zvýšení kvality a funkcí. Windows 10 je povolená verze v aplikaci Intune. Zařízení s touto verzí se budou moct dál registrovat do aplikace Intune a používat funkce, které na ni mají nárok, ale funkčnost nebude zaručena a může se lišit.

  Aktuální pokyny k nastavení, která se vztahují na různé platformy a verze, najdete v tématu Pravidla ASR podporované operační systémy v dokumentaci k ochraně před internetovými útoky Ve Windows.

  Tip

  Pokud chcete udržovat podporované koncové body v aktualizovaném stavu, zvažte použití moderního sjednoceného řešení pro Windows Server 2012 R2 a 2016.

  Viz také:

  • Přehled omezení potenciální oblasti útoku v dokumentaci k ochraně před internetovými útoky ve Windows.

• Zásady detekce a odezvy koncových bodů (EDR) spravují funkce Defender for Endpoint, které poskytují pokročilé detekce útoků, které jsou téměř v reálném čase a dají se na ně reagovat. Na základě konfigurací EDR můžou analytici zabezpečení efektivně určit priority výstrah, získat přehled o plném rozsahu narušení zabezpečení a provádět akce reakce na nápravu hrozeb.

• Zásady brány firewall se zaměřují na bránu firewall Defenderu na vašich zařízeních.

• Pravidla brány firewall představují typ profilu pro zásady brány firewall , který se skládá z podrobných pravidel pro brány firewall, včetně konkrétních portů, protokolů, aplikací a sítí.

Konfigurace tenanta pro podporu správy nastavení zabezpečení v programu Defender for Endpoint

Pokud chcete podporovat správu nastavení zabezpečení prostřednictvím Centra pro správu Microsoft Intune, musíte mezi nimi povolit komunikaci z každé konzoly.

Postupujte způsobem popsaným v následující části.

Konfigurace Microsoft Defender for Endpoint

Na portálu Microsoft Defender jako správce zabezpečení:

1. Přihlaste se k portálu Microsoft Defender a přejděte na Nastavení>, Koncové body,Správa> konfigurace,> Rozsah vynucení a povolte platformy pro správu nastavení zabezpečení.

   

   Poznámka

   Pokud máte oprávnění Spravovat nastavení zabezpečení v Security Center na portálu Microsoft Defender a současně máte povoleno zobrazovat zařízení ze všech skupin zařízení (v uživatelských oprávněních nejsou omezení řízení přístupu na základě role), můžete tuto akci provést také.

2. Zpočátku doporučujeme funkci otestovat pro každou platformu tak, že vyberete možnost platforem pro Na označených zařízeních, a pak zařízení označíte značkou MDE-Management.

   Tip

   Pomocí správných značek zařízení otestujte a ověřte zavedení na malém počtu zařízení.

   Při nasazení do skupiny Všechna zařízení se automaticky zaregistrují všechna zařízení, která spadají do nakonfigurovaného oboru.

   Zatímco většina zařízení dokončí registraci a použije přiřazené zásady během několika minut, může někdy trvat až 24 hodin.

   Důležité

   Od 3. července 2025 se podporují dynamická pravidla prostředků pro definování zařízení ve značce MDE-Management ve verzi Public Preview.

3. Nakonfigurujte funkci onboardovaných zařízení Microsoft Defender for Cloud a nastavení autority Správce konfiguraceu tak, aby vyhovovala potřebám vaší organizace:

   

   Tip

   Pokud chcete zajistit, aby uživatelé vašeho Microsoft Defender portálu měli konzistentní oprávnění na všech portálech, pokud ještě nejsou zadaná, požádejte správce IT, aby jim udělil předdefinovanou roli RBAC Microsoft Intune Endpoint Security Manager.

Konfigurace Intune

V centru pro správu Microsoft Intune váš účet potřebuje oprávnění, která se rovnají integrované roli řízení přístupu na základě role (RBAC) Endpoint Security Manageru.

1. Přihlaste se k Centru pro správu Microsoft 365.

2. Vyberte Endpoint security>Microsoft Defenderu pro koncový bod a nastavte Povolit službě Microsoft Defender for Endpoint vynucovat konfigurace zabezpečení koncových bodů na Zapnuto.

   

   Když nastavíte tuto možnost na Zapnuto, všechna zařízení v oboru platformy pro Microsoft Defender for Endpoint, která nejsou spravovaná Službou Microsoft Intune, mají nárok na onboarding do Microsoft Defender for Endpoint.

Onboarding zařízení a konfigurace možností aplikace Microsoft Defender for Endpoint

Microsoft Defender for Endpoint podporuje několik možností onboardingu zařízení. Aktuální doprovodné materiály najdete v tématu Onboarding do Microsoft Defender for Endpoint v dokumentaci k programu Defender for Endpoint.

Koexistence s Microsoft Configuration Managerem

V některých prostředích může být žádoucí použít správu nastavení zabezpečení se zařízeními spravovanými nástrojem Správce konfigurace. Pokud používáte obojí, musíte zásady řídit prostřednictvím jednoho kanálu. Použití více než jednoho kanálu vytváří příležitost ke konfliktům a nežádoucím výsledkům.

Pokud to chcete podporovat, nakonfigurujte přepínač Spravovat nastavení zabezpečení pomocí nástroje Správce konfigurace na Vypnuto. Přihlaste se k portálu Microsoft Defender a přejděte na Nastavení>Koncové body>Správa konfigurace>Rozsah vynucení:

Vytvoření skupin Microsoft Entra

Po připojení zařízení k Defender for Endpoint budete muset vytvořit skupiny zařízení pro podporu nasazení zásad pro Microsoft Defender for Endpoint. Identifikace zařízení, která se zaregistrovala pomocí Microsoft Defender for Endpoint, ale nespravuje je Intune nebo Správce konfigurace:

1. Přihlaste se k Centru pro správu Microsoft 365.

2. Přejděte na Zařízení>Všechna zařízení a pak výběrem sloupce Spravováno seřaďte zobrazení zařízení.

   Zařízení, která se připojí k Microsoft Defender for Endpoint a jsou zaregistrovaná, ale nejsou spravována společností Intune zobrazí Microsoft Defender for Endpoint ve sloupci Spravuje. Toto jsou zařízení, která můžou přijímat zásady správy zabezpečení pro Microsoft Defender for Endpoint.

   Od 25. září 2023 už nejde zařízení, která používají správu zabezpečení pro Microsoft Defender for Endpoint, identifikovat pomocí následujících systémových popisků:

   • MDEJoined – zastaralá značka, která byla dříve přidána do zařízení připojených k adresáři v rámci tohoto scénáře.
   • MDEManaged – nyní zastaralá značka, která byla dříve přidána do zařízení, která aktivně používala scénář správy zabezpečení. Tato značka se ze zařízení odebere, pokud Defender for Endpoint přestane spravovat konfiguraci zabezpečení.

   Místo použití systémových popisků můžete použít atribut typu správy a nakonfigurovat ho na MicrosoftSense.

Skupiny pro tato zařízení můžete vytvořit v Microsoft Entra nebo v Centru pro správu Microsoft Intune. Při vytváření skupin můžete použít hodnotu operačního systému pro zařízení, pokud nasazujete zásady do zařízení s Windows Serverem a zařízení s klientskou verzí Windows:

• Windows 10 a Windows 11 – deviceOSType nebo OS se zobrazí jako Windows
• Windows Server – deviceOSType nebo OS se zobrazí jako Windows Server.
• Zařízení s Linuxem – deviceOSType nebo OS se zobrazí jako Linux.

Ukázkové dynamické skupiny Intune se syntaxí pravidla

Pracovní stanice Windows:

Windows Servery:

Zařízení s Linuxem:

Důležité

V květnu 2023 se zařízení deviceOSType aktualizovalo, aby rozlišovalo mezi klienty Windows a Servery Windows.

Vlastní skripty a dynamické skupiny zařízení Microsoft Entra vytvořené před touto změnou, které určují pravidla, která odkazují pouze na Systém Windows, můžou při použití se správou zabezpečení pro Microsoft Defender for Endpoint vyloučit servery Windows. Příklady:

• Pokud máte pravidlo, které používá equals operátor or not equals k identifikaci oken, ovlivní tato změna vaše pravidlo. Je to proto, že Windowsa Windows Server byly dříve hlášeny jako Windows. Chcete-li pokračovat v zahrnutí obou, je nutné aktualizovat pravidlo tak, aby odkazovat také na Windows Server.
• Pokud máte pravidlo, které používá contains operátor or like k určení oken, nebude mít tato změna vliv na vaše pravidlo. Tito operátoři můžou najít Windows a Windows Server.

Tip

Uživatelé, kterým je delegována možnost spravovat nastavení zabezpečení koncových bodů, nemusí mít možnost implementovat konfigurace pro všechny klienty v aplikaci Microsoft Intune. Další informace o rolích a oprávněních ve vaší organizaci vám poskytne správce Intune.

Nasazení zásad

Po vytvoření jedné nebo více skupin Microsoft Entra, které obsahují zařízení spravovaná programem Microsoft Defender for Endpoint, můžete do těchto skupin vytvořit a nasadit následující zásady pro správu nastavení zabezpečení. Dostupné zásady a profily se liší podle platformy.

Seznam kombinací zásad a profilů podporovaných pro správu nastavení zabezpečení najdete v grafu v části Které řešení mám použít v tomto článku.

Tip

Vyhněte se nasazování více zásad, které spravují stejné nastavení na zařízení.

Microsoft Intune podporuje nasazení více instancí každého typu zásad zabezpečení koncového bodu do stejného zařízení, přičemž každou instanci zásad přijímá zařízení samostatně. Proto může zařízení přijímat samostatné konfigurace pro stejné nastavení od různých zásad, což vede ke konfliktu. Některá nastavení (například vyloučení antivirového programu) se na klientovi sloučí a úspěšně se použijí.

1. Přihlaste se k Centru pro správu Microsoft 365.

2. Přejděte na Zabezpečení koncového bodu, vyberte typ zásady, kterou chcete nakonfigurovat, a pak vyberte Vytvořit zásadu.

3. Jako zásadu vyberte platformu a profil, které chcete nasadit. Seznam platforem a profilů, které podporují správu nastavení zabezpečení, najdete v grafu v části Které řešení mám použít? dříve v tomto článku.

   Poznámka

   Podporované profily se vztahují na zařízení, která komunikují pomocí správy mobilních zařízení (MDM) s Microsoft Intune, a zařízení, která komunikují pomocí klienta Microsoft Defender for Endpoint.

   Podle potřeby zkontrolujte cílení a skupiny.

4. Vyberte Vytvořit.

5. Na stránce Základy zadejte název a popis profilu a pak zvolte Další.

6. Na stránce Nastavení konfigurace nakonfigurujte nastavení, která chcete spravovat pomocí tohoto profilu.

   Další informace o nastavení získáte tak, že rozbalíte dialogové okno s informacemi o nastavení a vyberete odkaz Další informace a zobrazí se online dokumentace ke zprostředkovateli konfiguračních služeb (CSP) nebo související podrobnosti o daném nastavení.

   Po dokončení konfigurace nastavení vyberte Další.

7. Na stránce Přiřazení vyberte skupiny Microsoft Entra, které tento profil obdrží. Další informace o přiřazování profilů najdete v tématu Přiřazení profilů uživatelů a zařízení.

   Pokračujte výběrem možnosti Další.

   Tip

   • Filtry přiřazení nejsou podporovány u zařízení spravovaných správou nastavení zabezpečení.
   • Pro správu Microsoft Defender for Endpoint se vztahují pouze objekty zařízení. Cílení na uživatele není podporováno.
   • Zásady platí pro Microsoft Intune i Microsoft Defender for Endpoint klienty.

8. Dokončete proces vytváření zásad a pak na stránce Zkontrolovat a vytvořit vyberte Vytvořit. Nový profil se zobrazí v seznamu, když vyberete typ zásady pro profil, který jste vytvořili.

9. Počkejte, až se zásada přiřadí, a zobrazí se indikátor úspěšnosti použití zásady.

10. Pomocí příkazového nástroje Get-MpPreference můžete ověřit, že se nastavení použila místně na klientovi.

Stav monitorování

Intune:

Stav a sestavy zásad, které cílí na zařízení v tomto kanálu, jsou dostupné z uzlu zásad v části Zabezpečení koncových bodů v Centru pro správu Microsoft Intune.

Přejděte k podrobnostem o typu zásady a výběrem zásady zobrazte její stav. Seznam platforem, typů zásad a profilů, které podporují správu nastavení zabezpečení, si můžete prohlédnout v tabulce v části Které řešení mám použít dříve v tomto článku.

Když vyberete zásadu, můžete zobrazit informace o stavu ohlášení zařízení a vybrat:

• Zobrazit sestavu – Zobrazí seznam zařízení, která zásadu přijala. Můžete vybrat zařízení, které chcete přejít k podrobnostem, a zobrazit jeho stav podle nastavení. Pak můžete vybrat nastavení a zobrazit o něm další informace, včetně dalších zásad, které spravují stejné nastavení, což může být zdrojem konfliktů.
• Stav nastavení – Zobrazí nastavení spravovaná zásadami a počet úspěšných, chyb nebo konfliktů pro jednotlivá nastavení.

Defender Portal:

Můžete také monitorovat zásady Intune, které se používají na portálu Microsoft Defender. Na portálu přejděte na Koncové body, rozbalte správu konfigurace a vyberte Zásady zabezpečení koncových bodů. Vyberte zásadu, jejíž stav chcete zobrazit, a pak vyberte:

• Přehled – Prohlédněte si přehled skupin, na které se zásady vztahují, nastavení zásad, které se používají, a stav přihlášení zařízení.
• Hodnoty nastavení zásad – zobrazení nastavení nakonfigurovaných zásadami.
• Stav nastavení zásad – Zobrazte nastavení, která jsou spravovaná zásadami, a počet úspěchů, chyb nebo konfliktů pro každé nastavení.
• Použitá zařízení – zobrazení zařízení, na která se zásada vztahuje.
• Přiřazené skupiny – zobrazení skupin, ke kterým je zásada přiřazená.

Další informace najdete v tématu Správa zásad zabezpečení koncových bodů v programu Microsoft Defender for Endpoint v obsahu Defenderu.

Nejčastější dotazy a důležité informace

Frekvence ohlášení zařízení

Zařízení spravovaná touto funkcí se každých 90 minut přihlašují k aktualizaci zásad v Microsoft Intune.

Zařízení můžete ručně synchronizovat na vyžádání z portálu Microsoft Defender. Přihlaste se k portálu a přejděte na Zařízení. Vyberte zařízení spravované programem Microsoft Defender for Endpoint a pak vyberte tlačítko Synchronizace zásad:

Tlačítko synchronizace zásad se zobrazí jenom u zařízení, která jsou úspěšně spravovaná pomocí Microsoft Defender for Endpoint.

Zařízení chráněná řízenou konfigurací

Nastavení Řízená konfigurace (zařízení) v profilu prostředí Zabezpečení Windows pro zásady Antivirová ochrana nahrazuje předchozí samostatné nastavení ochrany před falšováním. Toto nastavení podporuje jak ochranu před falšováním, tak režim širší řízené konfigurace:

• Při nastavení na Ochranu před falšováním (Zapnuto) je chování stejné jako předchozí nastavení ochrany před falšováním. Nastavení chráněná před neoprávněnou manipulací jsou uzamčena na zabezpečené výchozí hodnoty. Hodnoty nastavení chráněných proti neoprávněné manipulaci není možné upravit bez předchozí změny tohoto nastavení.
• Při nastavení na řízenou konfiguraci (zapnuto) mají nastavení poskytovaná službou Intune výhradní přednost před jinými zdroji správy, jako jsou Zásady skupiny nebo Správce konfigurace.

Řízená konfigurace se také podporuje pro zařízení spravovaná prostřednictvím správy nastavení zabezpečení Microsoft Defender for Endpoint. Podrobnosti o tom, jak nakonfigurovat řízenou konfiguraci a její rozsah, najdete v tématu Řízená konfigurace pro nastavení Microsoft Defender.

Filtry přiřazení a správa nastavení zabezpečení

Filtry přiřazení nejsou podporované pro zařízení komunikující prostřednictvím kanálu Microsoft Defender pro koncový bod. Filtry přiřazení se dají přidat do zásad, které by mohly cílit na tato zařízení, ale zařízení filtry přiřazení ignorují. Pro podporu filtru přiřazení musí být zařízení zaregistrované v Microsoft Intune.

Odstraňování a odebírání zařízení

Zařízení, která používají tento tok, můžete odstranit pomocí jedné ze dvou metod:

• V Centru pro správu Microsoft Intune přejděte na Zařízení>Všechna zařízení, vyberte zařízení, které se zobrazuje MDEJoined nebo MDEManaged ve sloupci Spravováno, a pak vyberte Odstranit.
• Zařízení můžete také odebrat z oboru Správa konfigurace ve službě Security Center.

Po odebrání zařízení z libovolného umístění se tato změna rozšíří do jiné služby.

Nejde povolit úlohu Správa zabezpečení pro Microsoft Defender for Endpoint v zabezpečení koncového bodu

I když správce s oprávněními v obou službách může provádět počáteční zřizovací toky, k dokončení konfigurací v každé samostatné službě postačují následující role:

• Pro Microsoft Defender použijte roli Správce zabezpečení.
• Pro Microsoft Intune použijte roli Endpoint Security Manager.

Připojená k Microsoft Entra (AADJ)

Zařízení, která jsou připojená ke službě služba Active Directory, používají k dokončení procesu hybridního připojení Microsoft Entra svoji stávající infrastrukturu.

Nepodporovaná nastavení zabezpečení

Následující nastavení zabezpečení čekají na vyřazení. Tok správy nastavení zabezpečení Defenderu pro koncový bod nepodporuje tato nastavení:

• Urychlíte frekvenci generování sestav telemetrie (v části Detekce a odezva koncového bodu)

• AllowIntrusionPreventionSystem (v části Antivirus)

• AllowLocalPolicyMerge

Použití správy nastavení zabezpečení na řadičích domény

Správa nastavení zabezpečení je podporována na řadičích domény. Pokud chcete spravovat nastavení zabezpečení na řadičích domény, musíte ho povolit na stránce Obor vynucení nastavení (přejděte na Nastavení>Rozsahvynucení koncových bodů). Zařízení se systémem Windows Server je nutné povolit dříve, než povolíte konfiguraci řadičů domény. Pokud je navíc pro Windows Servery vybraná možnost Na označených zařízeních , je konfigurace řadičů domény omezená i na označená zařízení.

Upozornění

• Nesprávná konfigurace řadičů domény může mít negativní dopad jak na stav zabezpečení, tak na provozní kontinuitu.
• Pokud je ve vašem tenantovi povolená konfigurace řadičů domény, projděte si všechny zásady Windows, abyste se ujistili, že nechtěně necílíte na skupiny zařízení s aplikací Microsoft Entra, které obsahují řadiče domény. Aby se minimalizovalo riziko pro produktivitu, nejsou zásady brány firewall podporované na řadičích domény.
• Před zrušením registrace těchto zařízení doporučujeme zkontrolovat všechny zásady zaměřené na řadiče domény. Nejprve proveďte všechny požadované konfigurace a pak zrušte zápis řadičů domény. Konfigurace Defenderu for Endpoint se po zrušení registrace zařízení zachová na každém zařízení.

Microsoft Defender for Endpoint a PowerShell

Některé funkce klienta Microsoft Defender for Endpoint používají PowerShell. Live Response může například spouštět vlastní skripty ze schválené knihovny. Tyto funkce běží v instanci PowerShellu spuštěné klientem Defenderu for Endpoint.

Řešení potíží se zařízením je obtížnější, pokud mají správci zablokované spuštění PowerShellu. Problémy s výkonem a komunikací je možné snadněji diagnostikovat pomocí skriptů PowerShellu.

Správa nastavení zabezpečení služby Microsoft Defender for Endpoint nebude fungovat u zařízení s PowerShellem nakonfigurovaným tak, aby běžel v omezeném jazykovém režimu. Další informace naleznete v dokumentaci životního cyklu PowerShell.

Správa zabezpečení prostřednictvím Defenderu for Endpoint, pokud jste dříve používali nástroj zabezpečení třetí strany

Pokud jste dříve měli na počítači nástroj zabezpečení třetí strany a teď ho spravujete pomocí Defenderu for Endpoint, můžete ve výjimečných případech zaznamenat určitý dopad na schopnost Defenderu for Endpoint spravovat nastavení zabezpečení. V takových případech v rámci řešení potíží odinstalujte a znovu nainstalujte nejnovější verzi Defenderu for Endpoint na vašem počítači.

Související obsah

• Monitorování Defender for Endpoint v Intune

• Správa zásad zabezpečení koncových bodů v programu Microsoft Defender for Endpoint v dokumentaci k programu Defender.