Häufig gestellte Fragen zu Defender for Servers

Ja. Es ist jetzt möglich, Defender for Servers auf bestimmten Ressourcen in Ihrem Abonnement zu verwalten, sodass Sie die vollständige Kontrolle über Ihre Schutzstrategie erhalten. Mit dieser Funktion können Sie bestimmte Ressourcen mit benutzerdefinierten Konfigurationen konfigurieren, die sich von den auf Abonnementebene konfigurierten Einstellungen unterscheiden. Erfahren Sie mehr über Aktivieren von Defender für Server auf Ressourcenebene. Wenn Sie Microsoft Defender for Servers jedoch für ein verbundenes AWS-Konto oder GCP-Projekt aktivieren, werden alle verbundenen Computer durch Defender for Servers geschützt.

Wenn Sie bereits über eine Lizenz für Microsoft Defender for Endpoint for Servers verfügen, müssen Sie für diesen Teil Ihrer Lizenz für Microsoft Defender for Servers-Plan 1 oder 2 nicht zahlen.

Um Ihren Rabatt anzufordern, wenden Sie sich über die Azure-Portal an das Supportteam von Defender for Cloud, indem Sie eine neue Supportanfrage im Hilfe- und Supportcenter erstellen.

1. Melden Sie sich beim Azure-Portal an.

2. Wählen Sie Support und Problembehandlung aus.

   

3. Wählen Sie Hilfe und Support.

4. Klicken Sie auf Supportanfrage erstellen.

5. Geben Sie Folgendes ein:

   

6. Wählen Sie Weiter aus.

7. Wählen Sie Weiter aus.

8. Geben Sie auf der Registerkarte Zusätzliche Details den Namen Ihrer Kunden-Organisation, die Mandanten-ID, die Anzahl der erworbenen Microsoft Defender for Endpoint for Servers-Lizenzen sowie das Ablaufdatum der erworbenen Microsoft Defender for Endpoint for Servers-Lizenzen ein und füllen Sie alle weiteren erforderlichen Felder aus.

9. Klicken Sie auf Weiter.

10. Klicken Sie auf Erstellen.

Wenn Sie Defender for Servers in einem Abonnement aktivieren, werden Ihnen alle Computer entsprechend ihrem Energiestatus in Rechnung gestellt.

Virtuelle Azure-Computer:

Azure Arc-Computer:

Der Defender for Servers-Plan 1 ist nicht von Log Analytics abhängig. Wenn Sie Defender for Servers-Plan 2 auf Abonnementebene aktivieren, aktiviert Defender for Cloud den Plan automatisch für Ihre Log Analytics-Standardarbeitsbereiche. Wenn Sie einen benutzerdefinierten Arbeitsbereich verwenden, aktivieren Sie den Plan unbedingt für den Arbeitsbereich. Weitere Informationen finden Sie hier:

• Wenn Sie Defender for Servers für ein Abonnement und einen verbundenen benutzerdefinierten Arbeitsbereich aktivieren, wird Ihnen nicht beides in Rechnung gestellt. Das System identifiziert eindeutige VMs.
• Wenn Sie Defender for Servers in abonnementübergreifenden Arbeitsbereichen aktivieren:
  • Für den Log Analytics-Agent werden verbundene Computer aus allen Abonnements abgerechnet, einschließlich Abonnements, für die der Defender for Servers-Plan nicht aktiviert ist.
  • Für den Azure Monitor-Agent hängen Abrechnung und Featureabdeckung für Defender for Servers nur davon ab, ob der Plan im Abonnement aktiviert ist.

Sie können Microsoft Defender for Servers auf Ebene des Log Analytics-Arbeitsbereichs aktivieren. Dabei werden aber nur Server, die Meldungen diesen Arbeitsbereich senden, geschützt und abgerechnet, und für diese Server gelten einige Vorteile nicht, wie z. B. Microsoft Defender for Endpoint, Sicherheitsrisikobewertung und Just-In-Time-VM-Zugriff.

Wenn Sie den Defender for Servers-Plan 2 aktiviert haben, erhalten Sie 500 MB kostenlose Datenerfassung pro Tag. Diese Bewilligung gilt speziell für die Sicherheitsdatentypen, die von Defender for Cloud direkt erfasst werden.

Bei dieser Bewilligung handelt es sich um eine tägliche Durchschnittsrate für alle Knoten. Ihr tägliches kostenloses Gesamtkontingent entspricht [Anzahl von Computern] × 500 MB. Ihnen werden keine zusätzlichen Kosten in Rechnung gestellt, solange die Summe nicht über das tägliche kostenlose Gesamtkontingent hinausgeht (selbst wenn einige Computer 100 MB und andere 800 MB senden).

Die Abrechnung von Defender for Cloud ist eng mit der Abrechnung von Log Analytics verbunden. Microsoft Defender for Servers bietet für die folgende Untergruppe von Sicherheitsdatentypen eine Zuteilung von 500 MB pro Knoten und Tag für Computer:

• SecurityAlert
• SecurityBaseline
• SecurityBaselineSummary
• SecurityDetection
• SecurityEvent
• WindowsFirewall
• SysmonEvent
• ProtectionStatus
• Update und UpdateSummary, wenn im Arbeitsbereich die Lösung für die Updateverwaltung nicht ausgeführt wird oder die Zielgruppenadressierung aktiviert ist.

Wenn der Arbeitsbereich der alten Preisstufe „Pro Knoten“ zugeordnet ist, werden die Zuweisungen für Defender for Cloud und Log Analytics kombiniert und gemeinsam auf alle abrechenbaren erfassten Daten angewendet.

Ja. Ihnen werden Kosten für alle Computer in Rechnung gestellt, die durch Defender for Servers in Azure-Abonnements, in verbundenen AWS-Konten oder in verbundenen GCP-Projekten geschützt werden. Der Begriff Computer umfasst virtuelle Azure-Computer, Azure-VM-Skalierungsgruppeninstanzen und Server mit Azure Arc-Unterstützung. Computer, auf denen Log Analytics nicht installiert ist, werden von Schutzmaßnahmen abgedeckt, die nicht vom Log Analytics-Agent abhängen.

In der Vergangenheit wurde Microsoft Defender für Endpunkt vom Log Analytics-Agent bereitgestellt. Als wir die Unterstützung um Windows Server 2019 und Linux erweitert haben, haben wir auch eine Erweiterung zum Ausführen des automatischen Onboardings hinzugefügt.

Die Erweiterung wird vom Security Center auf Computern mit folgenden Betriebssystemen automatisch bereitgestellt:

• Windows Server 2019 und Windows Server 2022
• Windows Server 2012 R2 und 2016, wenn die Integration der einheitlichen MDE-Lösung aktiviert ist
• Windows 10 in Azure Virtual Desktop.
• Andere Versionen von Windows Server, wenn das Security Center das Betriebssystem nicht erkennt (z. B. wenn ein benutzerdefiniertes VM-Image verwendet wird). In diesem Fall wird Microsoft Defender für Endpunkt weiterhin vom Log Analytics-Agent bereitgestellt.
• Linux.

Wenn Sie die Integration aktiviert haben, die Erweiterung aber weiterhin nicht auf Ihren Computern ausgeführt wird, gehen Sie folgendermaßen vor:

1. Sie müssen mindestens zwölf Stunden warten, um sicherzustellen, dass ein Problem zu untersuchen ist.
2. Wenn die Erweiterung nach zwölf Stunden noch immer nicht auf Ihren Computern ausgeführt wird, überprüfen Sie, ob die Voraussetzungen für die Integration erfüllt sind.
3. Stellen Sie sicher, dass Sie den Plan Microsoft Defender für Server für die Abonnements für die Computer aktiviert haben, die Sie untersuchen.
4. Wenn Sie Ihr Azure-Abonnement zwischen Azure-Mandanten verschoben haben, sind ein paar manuelle Vorbereitungsschritte erforderlich, bevor Defender for Cloud Defender for Endpoint bereitstellt. Ausführliche Informationen erhalten Sie vom Microsoft-Support.

Lizenzen für Defender for Endpunkt für Server sind in Microsoft Defender for Servers enthalten.

Nein. Mit der Defender for Endpoint-Integration in Defender for Servers erhalten Sie auch Schadsoftwareschutz für Ihre Computer.

• Auf Windows Server 2012 R2 mit aktivierter Integration der einheitlichen Defender for Endpoint-Lösung stellt Defender for Servers Microsoft Defender Antivirus im aktiven Modus bereit.
• Auf neueren Windows Server-Betriebssystemen ist Microsoft Defender Antivirus Teil des Betriebssystems und wird im aktiven Modus aktiviert.
• Defender for Servers unter Linux stellt Defender for Endpoint einschließlich der Antischadsoftwarekomponente bereit und aktiviert den passiven Modus für die Komponente.

Vollständige Anweisungen zum Wechseln von einer Nicht-Microsoft-Endpunktlösung finden Sie in der Dokumentation zu Microsoft Defender für den Endpunkt: Übersicht über die Migration.

Defender für Server Plan 1 und Plan 2 bietet die Funktionen von Microsoft Defender für Endpunkt Plan 2.

Derzeit sind keine Erzwingungsoptionen verfügbar. Adaptive Anwendungssteuerungen sollen Sicherheitswarnungen ausgeben, wenn eine andere als die von Ihnen als sicher definierte Anwendung ausgeführt wird. Sie bieten eine Reihe von Vorteilen (Was sind die Vorteile adaptiver Anwendungssteuerungen?) und lassen sich, wie auf dieser Seite gezeigt, anpassen.

Microsoft Defender für Server enthält eine Überprüfung auf Sicherheitsrisiken für Ihre Computer. Sie benötigen weder eine Qualys-Lizenz noch ein Qualys-Konto – die Abwicklung erfolgt nahtlos in Defender für Cloud. Ausführliche Informationen zu diesem Scanner und Anweisungen zu seiner Bereitstellung finden Sie in der integrierten Qualys-Lösung zur Sicherheitsrisikobewertung für Defender für Cloud.

Um sicherzustellen, dass keine Warnungen generiert werden, wenn Defender für Cloud den Scanner bereitstellt, enthält die empfohlene Zulassungsliste der adaptiven Anwendungssteuerung den Scanner für alle Computer.

In der Bestandsansicht werden Ihre mit Defender für Cloud verknüpften Ressourcen aus der Perspektive von Cloud Security Posture Management (CSPM) aufgelistet. Die Filter zeigen nur die Ressourcen mit aktiven Empfehlungen an.

Wenn Sie z. B. über Zugriff auf acht Abonnements verfügen, aber nur für sieben derzeit Empfehlungen vorliegen, werden beim Filtern nach Ressourcentyp = Abonnements nur die sieben Abonnements mit aktiven Empfehlungen angezeigt:

Nicht alle von Defender for Cloud überwachten Ressourcen erfordern Agents. Beispielsweise müssen Azure Storage-Konten oder PaaS-Ressourcen wie Datenträger, Logic Apps, Data Lake Analysis und Event Hubs nicht von Defender for Cloud überwacht werden.

Wenn Preise oder Agent-Überwachung für eine Ressource nicht relevant sind, wird in diesen Bestandspalten nichts angezeigt.

Empfehlungen der adaptiven Netzwerkhärtung werden nur an den folgenden Ports unterstützt (sowohl für UDP als auch für TCP):

13, 17, 19, 22, 23, 53, 69, 81, 111, 119, 123, 135, 137, 138, 139, 161, 162, 389, 445, 512, 514, 593, 636, 873, 1433, 1434, 1900, 2049, 2301, 2323, 2381, 3268, 3306, 3389, 4333, 5353, 5432, 5555, 5800, 5900, 5900, 5985, 5986, 6379, 6379, 7000, 7001, 7199, 8081, 8089, 8545, 9042, 9160, 9300, 11211, 16379, 26379, 27017, 37215

Die adaptive Netzwerkhärtung ist ein Feature ohne Agent von Microsoft Defender für Cloud. Sie müssen nichts auf Ihren Computern installieren, um dieses Netzwerkhärtungstool nutzen zu können.

Eine Gesamten Datenverkehr ablehnen-Regel wird empfohlen, wenn Defender for Cloud beim Ausführen des Algorithmus basierend auf der bestehenden NSG-Konfiguration keinen Datenverkehr erkannt hat, der zugelassen werden sollte. Aus diesem Grund ist die empfohlene Regel, jeglichen Datenverkehr für den angegebenen Port zu verweigern. Der Name dieser Art von Regel wird als Vom System generiert angezeigt. Nach Erzwingung dieser Regel ist ihr tatsächlicher Name in der NSG eine Zeichenfolge, die sich aus dem Protokoll, der Datenverkehrsrichtung, „DENY“ und einer Zufallszahl zusammensetzt.

So stellen Sie die Gastkonfigurationserweiterung mit den entsprechenden Voraussetzungen bereit:

• Befolgen Sie für ausgewählte Maschinen die Sicherheitsempfehlung Die Gastkonfigurationserweiterung sollte auf Ihren Maschinen installiert werden aus der Sicherheitskontrolle Implementieren Sie bewährte Sicherheitsverfahren.

• Weisen Sie bei der Skalierung die Richtlinieninitiative Voraussetzungen für die Aktivierung von Gastkonfigurationsrichtlinien auf virtuellen Maschinen ein.

Die Liste der Ressourcen auf der Registerkarte Nicht anwendbar enthält eine Spalte Grund. Einige der häufigsten Gründe sind:

Wenn Sie den Serverplan auf Abonnementebene aktivieren, aktiviert Defender for Cloud den Serverplan automatisch für Ihre Standardarbeitsbereiche. Stellen Sie eine Verbindung mit dem Standardarbeitsbereich her, indem Sie die Option Azure-VMs mit den von Defender for Cloud erstellten Standardarbeitsbereichen verbinden und anschließend Anwenden auswählen.

Falls Sie jedoch anstelle eines Standardarbeitsbereichs einen benutzerdefinierten Arbeitsbereich verwenden, müssen Sie den Serverplan für alle benutzerdefinierten Arbeitsbereiche aktivieren, für die er nicht aktiviert ist.

Wenn Sie einen benutzerdefinierten Arbeitsbereich verwenden und den Plan nur auf Abonnementebene aktivieren, wird auf der Seite „Empfehlungen“ die Empfehlung Microsoft Defender for servers should be enabled on workspaces angezeigt. Diese Empfehlung gibt Ihnen die Möglichkeit, den Serverplan über die Schaltfläche „Korrigieren“ auf Arbeitsbereichsebene zu aktivieren. Ihnen werden auch dann alle virtuellen Computer im Abonnement in Rechnung gestellt, wenn der Serverplan nicht für den Arbeitsbereich aktiviert ist. Die VMs profitieren nicht von Features wie Microsoft Defender for Endpoint, VA-Lösung (MDVM/Qualys) und Just-in-Time-VM-Zugriff, die vom Log Analytics-Arbeitsbereich abhängen.

Durch Aktivieren des Serverplans für das Abonnement und die verbundenen Arbeitsbereiche fallen keine doppelten Gebühren an. Das System identifiziert jeden individuellen virtuellen Computer.

Wenn Sie den Serverplan für abonnementübergreifende Arbeitsbereiche aktivieren, werden verbundene VMs aus allen Abonnements abgerechnet, einschließlich Abonnements, die den Serverplan nicht aktiviert haben.

Ja. Wenn Sie Microsoft Defender für Server für ein Azure-Abonnement oder ein verbundenes AWS-Konto aktivieren, werden Kosten für alle Computer berechnet, die mit Ihrem Azure-Abonnement oder AWS-Konto verbunden sind. Der Begriff „Computer“ umfasst Azure-VMs, Azure-VM-Skalierungsgruppeninstanzen und Server mit Azure Arc-Unterstützung. Computer, auf denen Log Analytics nicht installiert ist, werden von Schutzmaßnahmen abgedeckt, die nicht vom Log Analytics-Agent abhängen.

Wenn ein Computer an mehrere Arbeitsbereiche berichtet, und in allen Defender für Server aktiviert ist, werden die Computer für jeden angeschlossenen Arbeitsbereich abgerechnet.

Ja. Wenn Sie Ihren Log Analytics-Agent so konfiguriert haben, dass Daten an zwei oder mehr unterschiedliche Log Analytics-Arbeitsbereiche (Multi-Homing) gesendet werden, können Sie in jedem Arbeitsbereich 500 MB für die Datenerfassung kostenlos nutzen. Dieser Wert wird pro Knoten, pro Meldungsarbeitsbereich und pro Tag berechnet und ist für jeden Arbeitsbereich verfügbar, für den Lösungen vom Typ „Sicherheit“ oder „Antischadsoftware“ installiert sind. Ihnen werden Kosten für alle Daten berechnet, die über die maximal 500 MB hinaus erfasst werden.

Sie erhalten eine tägliche 500 MB kostenlose Datenerfassung für jeden virtuellen Computer (VM), der mit dem Arbeitsbereich verbunden ist. Diese Zuordnung gilt insbesondere für die Sicherheitsdatentypen, die direkt von Microsoft Defender für Cloud erfasst werden.

Die Datenzuteilung ist ein Tagessatz, der für alle verbundenen Computer berechnet wird. Ihr tägliches kostenloses Gesamtkontingent entspricht [Anzahl von Computern] × 500 MB. Selbst wenn also an einem beliebigen Tag einige Computer 100 MB und andere 800 MB senden, werden Ihnen keine zusätzlichen Kosten in Rechnung gestellt, solange die Summe der Daten von allen Computern nicht über das tägliche kostenlose Gesamtkontingent hinausgeht.

Die Abrechnung von Defender für Cloud ist eng mit der Abrechnung von Log Analytics verbunden. Microsoft Defender für Server bietet für die folgende Untergruppe von Sicherheitsdatentypen eine Zuteilung von 500 MB pro Knoten und Tag für Computer:

• SecurityAlert
• SecurityBaseline
• SecurityBaselineSummary
• SecurityDetection
• SecurityEvent
• WindowsFirewall
• SysmonEvent
• ProtectionStatus
• Update und UpdateSummary, wenn im Arbeitsbereich die Lösung für die Updateverwaltung nicht ausgeführt wird oder die Zielgruppenadressierung aktiviert ist.

Wenn sich der Arbeitsbereich in der alten Preisstufe "Pro Knoten" befindet, werden die Zuweisungen für Defender für Cloud und Log Analytics kombiniert und gemeinsam auf alle abrechenbaren erfassten Daten angewendet. Weitere Informationen dazu, wie Microsoft Sentinel-Kund*innen profitieren können, finden Sie auf der Preisgestaltungsseite für Microsoft Sentinel.

Sie können Ihre Datennutzung auf zwei verschiedene Arten anzeigen: im Azure-Portal oder durch Ausführen eines Skripts.

So zeigen Sie Ihre Nutzung im Azure-Portal an

1. Melden Sie sich beim Azure-Portal an.

2. Navigieren Sie zu Log Analytics-Arbeitsbereiche.

3. Wählen Sie Ihren Arbeitsbereich aus.

4. Wählen Sie Nutzungs- und geschätzte Kosten aus.

   

Sie können auch geschätzte Kosten unter verschiedenen Preisstufen anzeigen, indem Sie für die einzelnen Preisstufen auswählen.

So zeigen Sie Ihre Nutzung mithilfe eines Skripts an

1. Melden Sie sich beim Azure-Portal an.

2. Navigieren Sie zu Log Analytics-Arbeitsbereiche>Protokolle.

3. Wählen Sie den gewünschten Zeitbereich aus. Informationen zu Zeitbereichen finden Sie hier.

4. Kopieren Sie die folgende Abfrage, und fügen Sie sie in den Abschnitt Hier Abfrage eingeben ein:

   let Unit= 'GB';
   Usage
   | where IsBillable == 'TRUE'
   | where DataType in ('SecurityAlert', 'SecurityBaseline', 'SecurityBaselineSummary', 'SecurityDetection', 'SecurityEvent', 'WindowsFirewall', 'MaliciousIPCommunication', 'SysmonEvent', 'ProtectionStatus', 'Update', 'UpdateSummary')
   | project TimeGenerated, DataType, Solution, Quantity, QuantityUnit
   | summarize DataConsumedPerDataType = sum(Quantity)/1024 by  DataType, DataUnit = Unit
   | sort by DataConsumedPerDataType desc
   

5. Ausführen auswählen.

   

Informationen zum Analysieren der Nutzung im Log Analytics-Arbeitsbereich finden Sie hier.

Basierend auf Ihrer Nutzung werden Ihnen erst Gebühren in Rechnung gestellt, wenn Sie Ihr Tageskontingent aufgebraucht haben. Wenn Sie eine Rechnung erhalten, dann nur für die Daten, die das 500-MB-Limit überschreiten, oder für einen anderen Dienst, der nicht durch Defender für Cloud abgedeckt ist.

Sie sollten Ihre Kosten verwalten und den Umfang der für eine Lösung gesammelten Daten begrenzen, indem Sie sie auf bestimmte Agents beschränken. Mit der Zielgruppenadressierung für Lösungen können Sie einen Bereich auf die Lösung anwenden und eine Teilmenge von Computern im Arbeitsbereich als Ziel angeben. Wenn Sie Solution Targeting verwenden, listet Defender für Cloud den Arbeitsbereich als nicht lösungsorientiert auf.

Nächste Schritte

Planen der Bereitstellung von Defender for Servers