Incorporar dispositivos Windows a Microsoft Defender para punto de conexión con un script local

  • Se aplica a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Puedes usar un script local para incorporar hasta 10 dispositivos admitidos, ya sean clientes de Windows o Windows Server, a Microsoft Defender para punto de conexión. Este método es útil para evaluar el servicio antes de seleccionar un método de despliegue para un entorno más amplio. Antes de empezar, revisa los requisitos previos y, después, descarga y ejecuta el script, configura la recopilación de muestras, verifica la incorporación o retira dispositivos.

Importante

Usa el script local en 10 dispositivos o menos. Para un despliegue en producción, selecciona un método escalable como Group Policy, Microsoft Configuration Manager, Microsoft Intune o la herramienta de despliegue Defender. Para comparar los métodos disponibles, consulte Identificar la arquitectura de Defender for Endpoint y los métodos de implementación y otras opciones de implementación para dispositivos cliente Windows.

Nota:

La herramienta de implementación de Defender se puede usar para implementar la seguridad del punto de conexión de Defender en dispositivos Windows y Linux. La herramienta es una aplicación ligera y de actualización automática que simplifica el proceso de implementación. Para obtener más información, vea Implementar Microsoft Defender seguridad del punto de conexión en dispositivos Windows mediante la herramienta de implementación de Defender e Implementar Microsoft Defender seguridad del punto de conexión en dispositivos Linux mediante la herramienta de implementación de Defender (versión preliminar).

Prerequisites

Dispositivos a bordo con un script local

Descarga el paquete de incorporación desde el portal de Microsoft Defender y luego ejecuta el script incluido en cada dispositivo.

  1. En la página de Incorporación del portal de Microsoft Defender en https://security.microsoft.com/securitysettings/endpoints/onboarding, configura el paquete:

    1. Paso 1: Seleccione un sistema operativo para iniciar el despliegue: Seleccione el grupo de versiones del sistema operativo para el dispositivo. No selecciones Windows, que inicia el flujo de trabajo separado de la herramienta de despliegue de Defender.
    2. Si el tipo de conectividad está disponible, selecciona el método de conectividad para tu entorno:
    3. Para el método de despliegue, selecciona script local (para hasta 10 dispositivos).
    4. Seleccione Descargar paquete de incorporación para descargar GatewayWindowsDefenderATPOnboardingPackage.zip.

  2. Extrae el contenido del .zip archivo en el dispositivo a un lugar fácil de encontrar, como el escritorio. El paquete contiene WindowsDefenderATPLocalOnboardingScript.cmd.

  3. Abra la consola de comandos como administrador.

  4. Ve a la carpeta que contiene WindowsDefenderATPLocalOnboardingScript.cmd. Por ejemplo, el siguiente comando va a la carpeta Escritorio:

    if exist "%OneDrive%\Desktop" (cd /d "%OneDrive%\Desktop") else if exist "%USERPROFILE%\Desktop" cd /d "%USERPROFILE%\Desktop"

  5. Ejecuta el script de incorporación:

    WindowsDefenderATPLocalOnboardingScript.cmd

  6. Cuando el guion se muestre Presiona cualquier tecla para continuar..., pulsa cualquier tecla para terminar.

Configurar la configuración de la recopilación de ejemplos

Defender for Endpoint puede recopilar archivos de un dispositivo integrado cuando un analista solicita un archivo para un análisis profundo. El AllowSampleCollection valor del registro controla si el dispositivo puede responder a estas solicitudes:

  • 0 (00000000): No permitas compartir muestras desde el dispositivo.
  • 1 (00000001): Permitir compartir todos los tipos de archivos desde el dispositivo. Esta configuración es la predeterminada si el valor del registro no existe.

Para configurar la configuración manualmente, copia el siguiente texto en el Bloc de Notas, establece el AllowSampleCollection valor, guarda el archivo con una .reg extensión y ejecuta el archivo en el dispositivo:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection]
"AllowSampleCollection"=dword:00000000

Verificar la incorporación del dispositivo

Después de ejecutar el script, verifica que el dispositivo se notifica a Defender for Endpoint:

  1. En la página de inventario de dispositivos en el portal de Microsoft Defender en https://security.microsoft.com/machines?category=all-devices, busca el dispositivo.

  2. Abre la página del dispositivo y verifica que el dispositivo está integrado y que el estado de salud del sensor está activo.

El dispositivo suele aparecer en el inventario en cuestión de minutos. La conectividad de red y el estado del dispositivo pueden retrasar la notificación.

Para generar una alerta de prueba y confirmar el informe de extremo a extremo, consulte Ejecutar una prueba de detección en un dispositivo recién incorporado. Si el dispositivo no aparece o no genera informes como se espera, consulta Solucionar problemas de incorporación de Microsoft Defender para punto de conexión.

Dar de baja dispositivos mediante un script local

El paquete de desconexión expira siete días después de descargarlo. Defender for Endpoint rechaza los paquetes caducados y la fecha de caducidad aparece en el nombre del archivo del paquete.

Importante

No ejecutes las secuencias de comandos de incorporación y desvinculación simultáneamente en el mismo dispositivo. Completa el proceso de incorporación o de baja antes de ejecutar el otro script.

Para retirar un dispositivo mediante un script local, descarga y ejecuta el paquete de retirada:

  1. En la página Desvinculación del portal de Microsoft Defender, en https://security.microsoft.com/securitysettings/endpoints/offboarding, configura el paquete:

    1. Selecciona el grupo de versiones del sistema operativo para el dispositivo. No selecciones Windows, que inicia el flujo de trabajo separado de la herramienta de despliegue de Defender.
    2. Para el método de despliegue, selecciona script local (para hasta 10 dispositivos).
    3. Selecciona Descargar paquete y luego selecciona Descargar en el cuadro de confirmación.

  2. Extrae WindowsDefenderATPOffboardingPackage_valid_until_YYYY-MM-DD.zip en el dispositivo a un lugar fácil de encontrar, como el escritorio. El paquete contiene WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd.

  3. Abra la consola de comandos como administrador.

  4. Ve a la carpeta que contiene el script de desconexión. Por ejemplo, el siguiente comando va a la carpeta Escritorio:

    if exist "%OneDrive%\Desktop" (cd /d "%OneDrive%\Desktop") else if exist "%USERPROFILE%\Desktop" cd /d "%USERPROFILE%\Desktop"

  5. Ejecuta el script de desactivación:

    WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd

Importante

La desconexión impide que el dispositivo envíe nuevos datos de detección, vulnerabilidad y seguridad a Defender for Endpoint. Los datos históricos permanecen en el portal de Defender hasta que expira el período de retención configurado. El perfil del dispositivo, sin datos, permanece en el inventario del dispositivo hasta 180 días. Para más información, véase Dispositivos fuera de bordo.

Contenido relacionado

  • Last updated on