Integrieren Sie Windows-Geräte mit einem lokalen Skript in Microsoft Defender for Endpoint

  • Gilt für:: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Du kannst ein lokales Skript verwenden, um bis zu 10 unterstützte Windows-Client- oder Windows Server-Geräte an Microsoft Defender for Endpoint zu integrieren. Diese Methode ist nützlich, um den Service zu bewerten, bevor Sie eine Bereitstellungsmethode für eine größere Umgebung auswählen. Bevor Sie beginnen, überprüfen Sie die Voraussetzungen, und laden Sie dann das Skript herunter. Führen Sie es aus, konfigurieren Sie die Beispielsammlung, überprüfen Sie das Onboarding, oder führen Sie ein Offboarding von Geräten durch.

Wichtig

Verwende das lokale Skript auf 10 oder weniger Geräten. Für eine Produktionsbereitstellung wählen Sie eine skalierbare Methode wie Group Policy, Microsoft Configuration Manager, Microsoft Intune oder das Defender-Deployment-Tool. Um die verfügbaren Methoden zu vergleichen, siehe Identify Defender for Endpoint Architecture sowie Bereitstellungsmethoden und andere Bereitstellungsoptionen für Windows-Client-Geräte.

Hinweis

Das Defender-Bereitstellungstool kann zum Bereitstellen der Defender-Endpunktsicherheit auf Windows- und Linux-Geräten verwendet werden. Das Tool ist eine einfache, sich selbst aktualisierende Anwendung, die den Bereitstellungsprozess optimiert. Weitere Informationen finden Sie unter Bereitstellen Microsoft Defender Endpunktsicherheit auf Windows-Geräten mithilfe des Defender-Bereitstellungstools und Bereitstellen Microsoft Defender Endpunktsicherheit auf Linux Geräten mithilfe des Defender-Bereitstellungstools (Vorschau).

Voraussetzungen

Bordgeräte mit lokalem Skript

Laden Sie das Onboarding-Paket vom Microsoft Defender-Portal herunter und führen Sie dann das enthaltene Skript auf jedem Gerät aus.

  1. Auf der Seite Onboarding im Microsoft Defender-Portal unter https://security.microsoft.com/securitysettings/endpoints/onboarding konfigurieren Sie das Paket:

    1. Schritt 1: Wählen Sie ein Betriebssystem aus, um die Bereitstellung zu starten: Wählen Sie die Betriebssystemversionsgruppe für das Gerät aus. Wählen Sie nicht Windows, das startet den separaten Workflow für das Defender-Bereitstellungstool.
    2. Wenn der Konnektivitätstyp verfügbar ist, wählen Sie die Konnektivitätsmethode für Ihre Umgebung aus:
    3. Für die Bereitstellungsmethode wählen Sie Lokales Skript (für bis zu 10 Geräte).
    4. Wählen Sie Onboarding-Paket herunterladen aus, um GatewayWindowsDefenderATPOnboardingPackage.zip herunterzuladen.

  2. Entpacken Sie den Inhalt der .zip Datei auf dem Gerät an einen leicht zu findenden Ort, wie zum Beispiel den Desktop. Das Paket enthält WindowsDefenderATPLocalOnboardingScript.cmd.

  3. Öffnen Sie die Eingabeaufforderung als Administrator.

  4. Gehe zu dem Ordner, der enthält WindowsDefenderATPLocalOnboardingScript.cmd. Zum Beispiel geht der folgende Befehl in den Desktop-Ordner:

    if exist "%OneDrive%\Desktop" (cd /d "%OneDrive%\Desktop") else if exist "%USERPROFILE%\Desktop" cd /d "%USERPROFILE%\Desktop"

  5. Führen Sie das Onboarding-Skript aus:

    WindowsDefenderATPLocalOnboardingScript.cmd

  6. Wenn das Skript angezeigt wird: Drücken Sie eine beliebige Taste, um fortzufahren..., drücken Sie eine beliebige Taste, um zu beenden.

Konfigurieren von Beispielsammlungseinstellungen

Defender for Endpoint kann Dateien von einem integrierten Gerät sammeln, wenn ein Analyst eine Datei für eine tiefgehende Analyse anfordert. Der AllowSampleCollection Registrierungswert steuert, ob das Gerät auf diese Anfragen reagieren kann:

  • 0 (00000000): Kein Sample-Sharing vom Gerät zulassen.
  • 1 (00000001): Erlauben Sie das Teilen aller Dateitypen vom Gerät aus. Diese Einstellung ist die Standardeinstellung, wenn der Registry-Wert nicht existiert.

Um die Einstellung manuell zu konfigurieren, kopieren Sie den folgenden Text in Notepad, setzen Sie den AllowSampleCollection Wert, speichern Sie die Datei mit einer Erweiterung .reg und führen Sie die Datei auf dem Gerät aus:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection]
"AllowSampleCollection"=dword:00000000

Überprüfen des Geräte-Onboardings

Nachdem das Skript ausgeführt ist, überprüfen Sie, dass das Gerät an Defender for Endpoint berichtet:

  1. Auf der Geräte-Inventar-Seite im Microsoft Defender-Portal unter https://security.microsoft.com/machines?category=all-devices, suchen Sie nach dem Gerät.

  2. Öffnen Sie die Geräteseite und überprüfen Sie, ob das Gerät integriert ist und der Gesundheitszustand des Sensors aktiv ist.

Das Gerät erscheint typischerweise innerhalb weniger Minuten im Inventar. Netzwerkverbindung und Gerätezustand können die Meldung verzögern.

Um einen Testalarm zu generieren und die End-to-End-Berichterstattung zu bestätigen, siehe Führen Sie einen Erkennungstest auf einem neu integrierten Gerät durch. Wenn das Gerät nicht wie erwartet angezeigt wird oder Meldung erstattet, finden Sie unter Problembehandlung bei Onboardingproblemen von Microsoft Defender for Endpoint weitere Informationen.

Offboarding von Geräten mit einem lokalen Skript

Das Offboardingpaket läuft sieben Tage nach dem Download ab. Defender for Endpoint lehnt abgelaufene Pakete ab, und das Ablaufdatum erscheint im Dateinamen des Pakets.

Wichtig

Führe die Onboarding- und Offboarding-Skripte nicht gleichzeitig auf demselben Gerät aus. Schließen Sie das Onboarding oder Offboarding ab, bevor Sie das andere Skript ausführen.

Um ein Gerät mit einem lokalen Skript zu offboarden, laden Sie das Offboarding-Paket herunter und starten Sie:

  1. Auf der Offboarding-Seite im Microsoft Defender-Portal unter https://security.microsoft.com/securitysettings/endpoints/offboarding, konfigurieren Sie das Paket:

    1. Wählen Sie die Betriebssystem-Versionsgruppe für das Gerät aus. Wählen Sie nicht Windows, das startet den separaten Workflow für das Defender-Bereitstellungstool.
    2. Für die Bereitstellungsmethode wählen Sie Lokales Skript (für bis zu 10 Geräte).
    3. Wählen Sie Paket herunterladen und dann im Bestätigungsdialog Download aus.

  2. Extrahieren Sie WindowsDefenderATPOffboardingPackage_valid_until_YYYY-MM-DD.zip auf Ihrem Gerät an einen leicht auffindbaren Ort, z. B. auf den Desktop. Das Paket enthält WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd.

  3. Öffnen Sie die Eingabeaufforderung als Administrator.

  4. Gehe zu dem Ordner, der das Offboarding-Skript enthält. Zum Beispiel geht der folgende Befehl in den Desktop-Ordner:

    if exist "%OneDrive%\Desktop" (cd /d "%OneDrive%\Desktop") else if exist "%USERPROFILE%\Desktop" cd /d "%USERPROFILE%\Desktop"

  5. Führe das Offboarding-Skript aus:

    WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd

Wichtig

Das Offboarding verhindert, dass das Gerät neue Erkennungs-, Schwachstellen- und Sicherheitsdaten an Defender for Endpoint sendet. Verlaufsdaten verbleiben im Defender-Portal, bis der konfigurierte Aufbewahrungszeitraum abläuft. Das Geräteprofil bleibt ohne Daten bis zu 180 Tage im Geräteinventar. Weitere Informationen finden Sie unter Offboard-Geräte.

Verwandte Inhalte

  • Zuletzt aktualisiert um