Migrieren von Geräten zur Verwendung der optimierten Konnektivitätsmethode

  • Gilt für:: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

In diesem Artikel wird beschrieben, wie Geräte, die zuvor in Defender für Endpunkt integriert wurden, migriert (neu eingebunden) werden, um die optimierte Gerätekonnektivitätsmethode zu verwenden. Weitere Informationen zur vereinfachten Konnektivität finden Sie unter Einbinden von Geräten mit vereinfachter Konnektivität. Geräte müssen die unter Optimierte Konnektivität aufgeführten Voraussetzungen erfüllen.

In den meisten Fällen ist beim Reonboarding keine vollständige Außerbetriebnahme des Geräts erforderlich. Sie können das aktualisierte Onboardingpaket ausführen und Ihr Gerät neu starten, um die Konnektivität zu wechseln. Weitere Informationen zu den einzelnen Betriebssystemen finden Sie in den folgenden Informationen.

Wichtig

Einschränkungen und bekannte Probleme:

  • Für Gerätemigrationen (erneutes Onboarding): Ein Offboarding ist nicht erforderlich, um zur optimierten Konnektivitätsmethode zu wechseln. Nachdem das aktualisierte Onboardingpaket ausgeführt wurde, ist ein vollständiger Geräteneustart für Windows-Geräte und ein Dienstneustart für macOS und Linux erforderlich. Weitere Informationen finden Sie in den Details in diesem Artikel.
  • Windows 10 Versionen 1607, 1703, 1709 und 1803 unterstützen das Reonboarding nicht. Führen Sie zunächst das Offboarding durch und anschließend das Onboarding mit dem aktualisierten Paket. Diese Versionen erfordern auch eine längere URL-Liste.
  • Geräte, auf denen der MMA-Agent läuft, werden nicht unterstützt und müssen weiterhin die MMA-Onboarding-Methode verwenden.

Hinweis

Das Defender-Bereitstellungstool kann zum Bereitstellen der Defender-Endpunktsicherheit auf Windows- und Linux-Geräten verwendet werden. Das Tool ist eine einfache, sich selbst aktualisierende Anwendung, die den Bereitstellungsprozess optimiert. Weitere Informationen finden Sie unter Bereitstellen Microsoft Defender Endpunktsicherheit auf Windows-Geräten mithilfe des Defender-Bereitstellungstools und Bereitstellen Microsoft Defender Endpunktsicherheit auf Linux Geräten mithilfe des Defender-Bereitstellungstools (Vorschau).

Migrieren von Geräten mit der optimierten Methode

Verwenden Sie die folgenden Anleitungen, um zuvor integrierte Geräte zur optimierten Konnektivitätsmethode für jedes unterstützte Betriebssystem und bereitstellungstool zu migrieren.

Überprüfen von Migrationsempfehlungen vor dem Wechseln von Konnektivitätsmethoden

Verwenden Sie die folgenden Empfehlungen, um Ihren Migrationsrollout zu planen:

  • Beginnen Sie klein. Es wird empfohlen, zuerst mit einer kleinen Gruppe von Geräten zu beginnen. Wenden Sie das Onboardingblob mit einem der unterstützten Bereitstellungstools an, und überwachen Sie dann die Konnektivität. Wenn Sie eine neue Onboardingrichtlinie verwenden, stellen Sie zur Vermeidung von Konflikten sicher, dass Sie das Gerät von allen anderen vorhandenen Onboardingrichtlinien ausschließen.

  • Überprüfen und überwachen. Überprüfen Sie nach dem Onboarding der kleinen Geräte, ob geräte erfolgreich integriert wurden und mit dem Dienst kommunizieren.

  • Schließen Sie die Migration ab. In diesem Stadium können Sie die Migration schrittweise auf eine größere Gruppe von Geräten ausführen. Um die Migration abzuschließen, können Sie vorherige Onboardingrichtlinien ersetzen und die alten URLs von Ihrem Netzwerkgerät entfernen.

Überprüfen Sie die Gerätevoraussetzungen , bevor Sie mit Migrationen fortfahren. Dieser Migrationsleitfaden baut auf Einbinden von Geräten mithilfe optimierter Konnektivität auf, indem er sich auf die Migration vorhandener Geräte konzentriert.

Zum erneuten Onboarding von Geräten müssen Sie das vereinfachte Onboarding-Paket verwenden. Weitere Informationen zum Zugriff auf das Paket finden Sie unter Optimierte Konnektivität.

Abhängig vom Betriebssystem erfordern Migrationen möglicherweise einen Geräteneustart oder einen Dienstneustart, nachdem das Onboardingpaket angewendet wurde:

  • Windows: Starten Sie das Gerät neu.

  • macOS: Starten Sie das Gerät neu, oder starten Sie den Defender für Endpunkt-Dienst neu, indem Sie Folgendes ausführen:

    1. sudo launchctl unload /Library/LaunchDaemons/com.microsoft.fresno.plist
    2. sudo launchctl load /Library/LaunchDaemons/com.microsoft.fresno.plist

  • Linux: Starten Sie den Defender für Endpunkt-Dienst neu, indem Sie Folgendes ausführen:sudo systemctl restart mdatp

In der folgenden Tabelle sind die Migrationsanweisungen für die verfügbaren Onboarding-Tools je nach Betriebssystem des Geräts aufgeführt.

Verwenden Sie die folgenden Optionen, um Windows 10 und Windows 11 Geräte zur optimierten Konnektivitätsmethode zu migrieren.

Migrieren von Windows 10- und Windows 11-Geräten

Wichtig

Windows 10 Versionen 1607, 1703, 1709 und 1803 unterstützen das Reonboarding nicht. Um vorhandene Geräte zu migrieren, müssen Sie sie mithilfe des Pakets für optimiertes Onboarding vollständig offboarden und erneut onboarden.

Allgemeine Informationen zum Onboarding von Windows-Clientgeräten finden Sie unter Onboarding Windows Client.

Vergewissern Sie sich, dass die Voraussetzungen erfüllt sind: Voraussetzungen für die Verwendung einer optimierten Methode.

Migrieren von Geräten mit einem lokalen Skript

Befolgen Sie die Anleitung unter Lokales Skript (bis zu 10 Geräte) mithilfe des optimierten Onboardingpakets. Nachdem Sie die Schritte zur Einrichtung des lokalen Skripts abgeschlossen haben, müssen Sie das Gerät neu starten, damit die Geräteverbindung umgestellt wird.

Migrieren von Geräten mithilfe von Gruppenrichtlinien

Befolgen Sie die Anleitung unter Gruppenrichtlinie mithilfe des optimierten Onboardingpakets. Nachdem Sie die Schritte zum Onboarding von Gruppenrichtlinien abgeschlossen haben, müssen Sie das Gerät neu starten, damit die Geräteverbindung wechselt.

Migrieren von Geräten mit Microsoft Intune

Befolgen Sie die Anweisungen in Intune unter Verwendung des optimierten Onboardingpakets. Sie können die Option „automatisch vom Konnektor“ verwenden; die Option „automatisch vom Konnektor“ wendet das Onboarding-Paket jedoch nicht automatisch erneut an. Erstellen Sie eine neue Onboardingrichtlinie, und richten Sie zuerst eine Testgruppe ein. Nach Abschluss der Intune-Onboardingschritte müssen Sie das Gerät neu starten, damit die Gerätekonnektivität umgeschaltet wird.

Migrieren von Geräten mit Microsoft Configuration Manager

Befolgen Sie die Anweisungen in Konfigurations-Manager.

Migrieren von VDI-Geräten mithilfe der optimierten Methode

Verwenden Sie die Anleitung unter Onboarding von nicht persistenten VDI-Geräten (Virtual Desktop Infrastructure). Nach Abschluss der VDI-Onboardingschritte müssen Sie das Gerät neu starten, damit die Gerätekonnektivität umgeschaltet werden kann.

Überprüfen der Gerätekonnektivität mit optimierter Methode für migrierte Geräte

Sie können die folgenden Methoden verwenden, um zu überprüfen, ob Sie Windows-Geräte erfolgreich verbunden haben:

Für macOS und Linux können Sie die folgenden Methoden verwenden:

  • MDATP-Konnektivitätstests
  • Nachverfolgen mit erweiterter Suche in Microsoft Defender
  • Ausführen von Tests zum Bestätigen der Konnektivität mit Defender für Endpunkt-Diensten

Verwenden Sie Defender für Endpunkt-Client Analyzer (Windows), um die Konnektivität nach dem Onboarding für migrierte Endpunkte zu überprüfen.

Führen Sie nach dem Onboarding die MDE Client Analyzer aus, um zu bestätigen, dass Ihr Gerät eine Verbindung mit den entsprechenden aktualisierten URLs herstellt.

Laden Sie das Microsoft Defender for Endpoint Client Analyzer-Tool dort herunter, wo der Defender for Endpoint-Sensor ausgeführt wird.

Befolgen Sie die Überprüfungsschritte für die Clientkonnektivität unter "Überprüfen der Clientkonnektivität mit Microsoft Defender for Endpoint Dienst". Das Skript verwendet automatisch das onboarding-Paket, das auf dem Gerät konfiguriert ist (die Version sollte optimiert werden), um die Konnektivität zu testen.

Stellen Sie sicher, dass die Verbindung mit den entsprechenden URLs hergestellt wird.

Nachverfolgen mit erweiterter Suche in Microsoft Defender

Sie können die erweiterte Suche im Microsoft Defender-Portal verwenden, um den Status des Konnektivitätstyps anzuzeigen.

Der Verbindungstypstatus befindet sich in der DeviceInfo-Tabelle unter der Spalte "ConnectivityType":

  • Spaltenname: ConnectivityType
  • Mögliche Werte: <blank>, Vereinfacht, Standard
  • Datentyp: String
  • Beschreibung: Art der Konnektivität vom Gerät zur Cloud

Sobald ein Gerät zur Verwendung der vereinfachten Methode migriert wurde und erfolgreich eine Verbindung mit dem EDR-Befehls- & Steuerkanal herstellt, wird der Wert als "Streamlined" angezeigt.

Wenn Sie das Gerät zurück zur regulären Methode verschieben, lautet der Wert "standard".

Für Geräte, die nicht versucht haben, das ErneuteInboarden durchzuführen, bleibt der Wert leer.

Lokale Nachverfolgung auf einem Gerät über Windows Ereignisanzeige

Sie können das SENSE-Betriebsprotokoll von Windows Ereignisanzeige verwenden, um Verbindungen mit dem neuen optimierten Ansatz lokal zu überprüfen. SENSE-Ereignis-ID 4 verfolgt erfolgreiche EDR-Verbindungen nach.

Öffnen Sie das Ereignisprotokoll des Defender für Endpunkt-Diensts mit den folgenden Schritten:

  1. Wählen Sie im Windows-Menü Start aus, und geben Sie dann Ereignisanzeige ein. Wählen Sie dann Ereignisanzeige aus.

  2. Scrollen Sie in der Protokollliste unter Protokollzusammenfassung nach unten, bis Microsoft-Windows-SENSE/Operational angezeigt wird. Doppelklicken Sie auf das Element, um das Protokoll zu öffnen.

    Screenshot der Ereignisanzeige mit dem Abschnitt „Protokollzusammenfassung“

    Sie können das Protokoll auch aufrufen, indem Sie Anwendungs- und Dienstprotokolle>Microsoft>Windows>SENSE erweitern und In Betrieb auswählen.

  3. Event ID 4 erfasst erfolgreiche Verbindungen über den Befehls- & Steuerungskanal von Defender for Endpoint. Überprüfen Sie erfolgreiche Verbindungen mit der aktualisierten URL. Zum Beispiel:

    Contacted server 6 times, all succeeded, URI: <region>.<geo>.endpoint.security.microsoft.com.
<EventData>
 <Data Name="UInt1">6</Data>
 <Data Name="Message1">https://<region>.<geo>.endpoint.security.microsoft.com>
</EventData>

  4. Nachricht 1 enthält die URL für die Kontaktaufnahme. Vergewissern Sie sich, dass das Ereignis die optimierte URL (endpoint.security.microsoft.com) enthält.

  5. Ereignis-ID 5 erfasst gegebenenfalls Fehler.

Hinweis

SENSE ist der interne Name, mit dem auf den Verhaltenssensor verwiesen wird, der Microsoft Defender for Endpoint antreibt.
Vom Dienst aufgezeichnete Ereignisse werden im Protokoll angezeigt.
Weitere Informationen finden Sie unter Überprüfen von Ereignissen und Fehlern mithilfe von Ereignisanzeige.

Ausführen von Tests zum Bestätigen der Konnektivität mit Defender für Endpunkt-Diensten

Nachdem das Gerät in Defender für Endpunkt integriert wurde, überprüfen Sie, ob es weiterhin im Gerätebestand angezeigt wird. Die DeviceID sollte unverändert bleiben.

Überprüfen Sie die Registerkarte „Zeitachse“ auf der Geräteseite, um zu überprüfen, dass Ereignisse vom Gerät eingehen.

Testen der Live Response-Konnektivität

Stellen Sie sicher , dass Live Response auf Ihrem Testgerät funktioniert. Befolgen Sie die Anweisungen unter Untersuchen von Entitäten auf Geräten mithilfe von Liveantworten.

Stellen Sie sicher, dass Sie nach der Verbindung einige grundlegende Befehle ausführen, um die Konnektivität zu bestätigen (z. B. CD, Aufträge, Verbinden).

Konnektivität für automatisierte Untersuchungen und Reaktionen testen

Stellen Sie sicher, dass die automatisierte Untersuchung und Reaktion auf Ihrem Testgerät funktioniert: Konfigurieren Sie automatisierte Untersuchungs- und Antwortfunktionen.

Navigieren Sie für Auto-IR-Testlabore zu Microsoft Defender XDR>Bewertungen & Tutorials>Tutorials & Simulationen>Tutorials>Tutorials zur automatisierten Untersuchung.

Testen der über die Cloud bereitgestellten Schutzkonnektivität

Überprüfen Sie, ob die Cloud Protection-Netzwerkkonnektivität funktioniert:

Führen Sie in einer Eingabeaufforderung mit erhöhten Rechten (ein Eingabeaufforderungsfenster, das Sie geöffnet haben, indem Sie Als Administrator ausführen ausgewählt haben) die folgenden Befehle aus:

Tipp

Der erste Befehl ändert das Verzeichnis in die neueste Version von <antimalware platform version> in %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Wenn dieser Pfad nicht vorhanden ist, wechselt er zu %ProgramFiles%\Windows Defender.

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -ValidateMapsConnection

Weitere Informationen zu MpCmdRun finden Sie unter Konfigurieren und Verwalten Microsoft Defender Antivirus mit dem MpCmdRun-Befehlszeilentool.

Testblock auf den ersten Blick

Befolgen Sie die Anweisungen für die Block at First Sight (BAFS)-Demonstration in Microsoft Defender for Endpoint Block at First Sight (BAFS)-Demonstration.

SmartScreen testen

Folgen Sie den Anweisungen zur SmartScreen-Demonstration auf der Seite Microsoft Defender SmartScreen Demo (msft.net).

PowerShell-Erkennungstest

  1. Erstellen Sie auf dem Windows Gerät einen Ordner: C:\test-MDATP-test.

  2. Öffnen Sie die Eingabeaufforderung als Administrator.

  3. Führen Sie im Eingabeaufforderungsfenster den folgenden PowerShell-Befehl aus:

    powershell.exe -NoExit -ExecutionPolicy Bypass -WindowStyle Hidden $ErrorActionPreference = 'silentlycontinue';(New-Object System.Net.WebClient).DownloadFile('http://127.0.0.1/1.exe', 'C:\\test-MDATP-test\\invoice.exe');Start-Process 'C:\\test-MDATP-test\\invoice.exe'

Nachdem der Befehl ausgeführt wurde, wird das Eingabeaufforderungsfenster automatisch geschlossen. Bei erfolgreicher Ausführung wird der Erkennungstest als abgeschlossen markiert.

Für macOS und Linux können Sie die folgenden Methoden verwenden:

  • MDATP-Konnektivitätstests
  • Nachverfolgen mit erweiterter Suche in Microsoft Defender
  • Ausführen von Tests zum Bestätigen der Konnektivität mit Defender für Endpunkt-Diensten

MDATP-Konnektivitätstest (macOS und Linux)

Führen Sie aus mdatp health --details edr , um zu bestätigen, dass edr_partner_geo_location verfügbar ist. Der Wert sollte sein GW_<geo> , wobei "geo" der geografische Standort Ihres Mandanten ist.

Führen Sie einen mdatp-Konnektivitätstest aus. Stellen Sie sicher, dass das vereinfachte URL-Muster vorhanden ist. Sie sollten zwei für "\storage", eine für "\mdav", eine für "\xplat" und eine für "/packages" erwarten.

Beispiel: https://mdav.us.endpoint.security.microsoft.com/storage

Nachverfolgen mit erweiterter Suche in Microsoft Defender

Führen Sie die folgende Abfrage aus, um integrierte Geräte auflisten und den neuesten Verbindungstyp anzuzeigen, der für jedes Gerät gemeldet wurde (Grenzwert 30k):

DeviceInfo
| where OnboardingStatus == "Onboarded"
| summarize arg_max(ConnectivityType, Timestamp) by DeviceName

Führen Sie die folgende Abfrage aus, um die Anzahl der integrierten Geräte anzuzeigen, die nach Betriebssystemplattform und Verbindungstyp gruppiert sind und als Balkendiagramm gerendert werden:

DeviceInfo
| where OnboardingStatus == "Onboarded"
| summarize arg_max(ConnectivityType, Timestamp, OSPlatform) by DeviceName
| summarize count() by OSPlatform, ConnectivityType
| render columnchart

Verwenden Sie Defender for Endpoint Client Analyzer (plattformübergreifend), um die Konnektivität für neu migrierte Endpunkte zu validieren.

Laden Sie die Clientanalyse für macOS oder Linux herunter, und führen Sie es aus. Weitere Informationen finden Sie unter Herunterladen und Ausführen des Clientanalysetools.

  1. Führen Sie mdeclientanalyzer.cmd -o <path to cmd file> im Ordner MDEClientAnalyzer aus. Der Befehl verwendet Parameter aus dem Onboardingpaket, um die Konnektivität zu testen.

  2. Führen Sie mdeclientanalyzer.cmd -g <GW_US, GW_UK, GW_EU> aus (wobei der Parameter einer der Werte GW_US, GW_EU oder GW_UK ist). GW bezieht sich auf die optimierte Option. Mit der entsprechenden Mandantenregion ausführen.

  • Last updated on