Incorporar dispositivos VDI no persistentes a Microsoft Defender para punto de conexión

  • Se aplica a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Puedes usar el paquete de incorporación de infraestructura virtual de escritorio (VDI) para incorporar escritorios virtuales de Windows no persistentes a Microsoft Defender para punto de conexión a medida que los escritorios se aprovisionan. Antes de empezar, revisa los requisitos previos y elige un modelo de entrada al dispositivo. Luego, añade los scripts de incorporación a una imagen primaria, verifica la incorporación y prepara una imagen incorporada para su reutilización.

Nota:

Incorpora un dispositivo VDI persistente de la misma manera que un dispositivo físico de Windows. Para los métodos de despliegue compatibles, consulte Dispositivos cliente de Windows a bordo.

Nota:

La herramienta de implementación de Defender se puede usar para implementar la seguridad del punto de conexión de Defender en dispositivos Windows y Linux. La herramienta es una aplicación ligera y de actualización automática que simplifica el proceso de implementación. Para obtener más información, vea Implementar Microsoft Defender seguridad del punto de conexión en dispositivos Windows mediante la herramienta de implementación de Defender e Implementar Microsoft Defender seguridad del punto de conexión en dispositivos Linux mediante la herramienta de implementación de Defender (versión preliminar).

Prerequisites

Planifica la incorporación no persistente de VDI

Los escritorios no persistentes son de corta duración y sus nombres de dispositivos suelen reutilizarse. Elige uno de los siguientes modelos de entrada de dispositivo antes de configurar la imagen:

  • Una única entrada por dispositivo: Los escritorios recreados que usan el mismo nombre final del dispositivo comparten una única entrada de dispositivo en el portal de Defender. Este modelo utiliza Onboard-NonPersistentMachine.ps1 y WindowsDefenderATPOnboardingScript.cmd.
  • Múltiples entradas para cada dispositivo: Cada instancia VDI provisionada crea una entrada separada del dispositivo. Este modelo utiliza WindowsDefenderATPOnboardingScript.cmd.

La primera vez que un dispositivo VDI se integra, el informe del cliente puede retrasarse aproximadamente tres o cuatro horas.

Importante

No incorpores la imagen principal, las máquinas virtuales de plantilla internas ni las máquinas virtuales de réplica. Clonar una imagen incorporada puede duplicar su senseGuid, lo que puede impedir que las máquinas virtuales aprovisionadas aparezcan como entradas de nuevos dispositivos en el portal de Defender.

Advertencia

En dispositivos VDI con recursos limitados, el proceso de arranque puede retrasar la incorporación de sensores de Defender para Endpoint.

Dispositivos VDI no persistentes a bordo

Descarga el paquete de incorporación VDI, añade los scripts aplicables a la imagen principal y configura los scripts para ejecutarse cuando cada dispositivo provisionado se inicie.

Nota:

Antes de configurar la incorporación VDI para Windows Server 2012 R2 o Windows Server 2016, instala la solución unificada actual de Defender para Endpoint, tal como se describe en Onboard Windows Server 2012 R2 y Windows Server 2016.

  1. En la página de Incorporación del portal de Microsoft Defender en https://security.microsoft.com/securitysettings/endpoints/onboarding, configura el paquete. Si el enlace directo no se abre, inicia sesión en el portal de Microsoft Defender y luego abre la página de Incorporación.

    1. Paso 1: Seleccione un sistema operativo para iniciar el despliegue: Seleccione el grupo de versiones del sistema operativo para los dispositivos VDI. No selecciones Windows, que inicia el flujo de trabajo separado de la herramienta de despliegue de Defender.
    2. Si hay un tipo de conectividad disponible, selecciona Estándar o Simplificado para tu entorno. Para los requisitos de conectividad simplificada, véase Dispositivos a bordo que utilizan conectividad simplificada.
    3. Para el método de despliegue, selecciona scripts de incorporación VDI para endpoints no persistentes.
    4. Seleccione Descargar paquete de incorporación para descargar WindowsDefenderATPOnboardingPackage.zip.

  2. Extraiga el paquete. Copia los archivos correspondientes desde la carpeta extraída WindowsDefenderATPOnboardingPackage a C:\Windows\System32\GroupPolicy\Machine\Scripts\Startup en la imagen principal:

    • Para una sola entrada para cada dispositivo, copie Onboard-NonPersistentMachine.ps1 y WindowsDefenderATPOnboardingScript.cmd.
    • Para múltiples entradas de cada dispositivo, copie WindowsDefenderATPOnboardingScript.cmd.

    Nota:

    Si la C:\Windows\System32\GroupPolicy\Machine\Scripts\Startup carpeta está oculta, activa Elementos ocultos en el Explorador de archivos.

  3. Abre el Editor de directivas de grupo local y ve a Configuración del equipo>Configuración de Windows>Scripts (Inicio/Apagado)>Inicio.

    Nota:

    También puedes usar la Directiva de Grupo de Dominio para ejecutar los scripts de incorporación.

  4. Configura el script de inicio para el modelo de entrada de dispositivos:

    • Entrada única para cada dispositivo: En la pestaña de scripts de PowerShell , selecciona Añadir y selecciona Onboard-NonPersistentMachine.ps1. El script de PowerShell ejecuta WindowsDefenderATPOnboardingScript.cmd; no añadas el archivo .cmd por separado.
    • Múltiples entradas para cada dispositivo: En la pestaña de Scripts , selecciona Añadir y selecciona WindowsDefenderATPOnboardingScript.cmd.

    Nota:

    Para el modelo de una sola entrada, ejecute Onboard-NonPersistentMachine.ps1 solo después de que la VM tenga su nombre de dispositivo definitivo y complete el reinicio final del aprovisionamiento. Ejecutar el script antes puede crear entradas duplicadas en el dispositivo o incorporaciones inconsistentes. El guion no está firmado. Si tu organización restringe la ejecución de scripts en PowerShell, utiliza un método aprobado por la organización para ejecutar el script.

  5. Cree un grupo de prueba que contenga un dispositivo. Inicia sesión en el dispositivo, cierra sesión y luego inicia sesión con otra cuenta.

  6. En la página de inventario de dispositivos en el portal de Microsoft Defender en https://security.microsoft.com/machines?category=all-devices, busca el nombre del dispositivo.

    • Para el modelo de entrada única, comprueba que solo aparezca una entrada de dispositivo.
    • Para el modelo de entradas múltiples, verifica que las entradas separadas esperadas aparezcan para las instancias VDI provisionadas.

Configurar dispositivos VDI basados en MMA heredados

Nota:

Windows Server 2008 R2 SP1 ahora utiliza la herramienta de despliegue Defender. Si los dispositivos Windows Server 2008 R2 SP1, Windows Server 2012 R2 o Windows Server 2016 siguen utilizando el agente de monitorización Microsoft (MMA) heredado, Microsoft recomienda actualizar al agente actual de Defender for Endpoint. Para orientación sobre actualizaciones, consulta Actualizar MMA en dispositivos Windows y escenarios de migración de servidores en Microsoft Defender para punto de conexión.

Para una implementación existente de VDI heredada basada en MMA que usa el modelo de entrada única, configure la etiqueta del dispositivo VDI:

  1. Crea el valor del registro importando los siguientes datos del registro:

    [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection\DeviceTagging]
 "VDI"="NonPersistent"

    Alternativamente, cree el mismo valor de registro desde el Símbolo del sistema:

    reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection\DeviceTagging" /v VDI /t REG_SZ /d "NonPersistent" /f

  2. Para Windows Server 2012 R2 y posteriores, sigue el proceso de incorporación del servidor.

Actualizar imágenes VDI

Aplica actualizaciones de inteligencia del sistema operativo, la app, la plataforma Defender, el motor y la seguridad a las imágenes VDI a través de tu proceso habitual de mantenimiento de imágenes. Si se ha incorporado la imagen principal y el servicio SENSE está en ejecución, retire la imagen y borre sus datos de registro locales de Defender for Endpoint antes de utilizarla para aprovisionar dispositivos.

Nota:

Para actualizar las imágenes de la infraestructura de escritorio virtual (VDI), necesitas permisos de administrador local y la herramienta PsExec .

Para eliminar los datos de registro de Defender para Endpoint de una imagen incorporada:

  1. Da de baja la máquina, y confirma que el proceso de dar de baja ha finalizado.

  2. Asegúrate PsExec.exe de que esté disponible en la ruta del símbolo de comandos. PsExec inicia un shell de comandos bajo la cuenta SYSTEM para que puedas eliminar los datos de registro.

  3. Abra la consola de comandos como administrador.

  4. Comprueba el estado del servicio SENSE para confirmar que el sensor no está funcionando:

    sc query sense

  5. Inicia un intérprete de comandos con nivel SYSTEM y elimina los datos de registro local de Defender for Endpoint:

    PsExec.exe -s cmd.exe

del "C:\ProgramData\Microsoft\Windows Defender Advanced Threat Protection\Cyber\*.*" /f /s /q

REG DELETE "HKLM\SOFTWARE\Microsoft\Windows Advanced Threat Protection" /v senseGuid /f

REG DELETE "HKLM\SOFTWARE\Microsoft\Windows Advanced Threat Protection" /v senseId /f

REG DELETE "HKLM\SOFTWARE\Microsoft\Windows Advanced Threat Protection" /v 2567E824-34AB-4A74-90E9-BC0F8BDFAA4A /f

REG DELETE "HKLM\SOFTWARE\Microsoft\Windows Advanced Threat Protection" /v 7DC0B629-D7F6-4DB3-9BF7-64D5AAF50F1A /f

REG DELETE "HKLM\SOFTWARE\Microsoft\Windows Advanced Threat Protection" /v C9D38BBB-E9DD-4B27-8E6F-7DE97E68DAB9 /f

REG DELETE "HKLM\SOFTWARE\Microsoft\Windows Advanced Threat Protection\48A68F11-7A16-4180-B32C-7F974C7BD783" /f

exit

Nota:

Un comando de eliminación del registro puede devolver que el sistema no pudo encontrar la clave o valor especificado cuando la ruta del registro no existe. Puedes ignorar este mensaje esperado.

Prepara imágenes para plataformas VDI de terceros

Para la clonación instantánea de VMware y tecnologías similares, asegúrese de que la imagen principal, las máquinas virtuales de plantilla internas y las máquinas virtuales de réplica no estén incorporadas a Defender for Endpoint. Con el modelo de entrada única, los clones provisionados desde una máquina virtual integrada pueden heredar el mismo senseGuid. El identificador duplicado puede impedir que aparezcan nuevos dispositivos VDI no persistentes en el portal Microsoft Defender.

Para la preparación de imágenes específicas de la plataforma, contacta con el proveedor de la plataforma VDI.

La incorporación conecta dispositivos VDI a Defender para Endpoint, pero no configura la protección y la configuración de rendimiento contra Microsoft Defender Antivirus.

Configurar el antivirus Microsoft Defender

Para la protección recomendada, actualización, escaneo y ajustes de rendimiento, consulte Configurar Microsoft Defender Antivirus en un entorno de escritorio remoto o infraestructura de escritorio virtual.

Contenido relacionado

  • Se actualizó por última vez el