Étape 1 : Configurez la connectivité réseau à Microsoft Defender for Endpoint

  • S’applique à: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Importante

Certaines informations contenues dans cet article concernent un produit en préversion, qui peut être considérablement modifié avant sa commercialisation. Microsoft n’offre aucune garantie, explicite ou implicite, concernant les informations fournies ici.

Avant d’intégrer vos appareils à Microsoft Defender for Endpoint, configurez l’accès au pare-feu ou proxy aux URL de service requises. Autoriser les connexions sortantes et contourner l’inspection HTTPS pour une connectivité simplifiée. Cet article identifie les listes d’URL à utiliser et inclut les exigences de proxy et de pare-feu pour les anciens appareils Windows utilisant Microsoft Monitoring Agent (MMA).

Pour une connectivité fluide, excluez de l’inspection SSL/TLS, de l’interception HTTPS et du proxy man-in-the-middle (MITM) le trafic à destination de *.endpoint.security.microsoft.com. Si vous activez l’inspection SSL, les capteurs Defender for Endpoint risquent de ne pas parvenir à communiquer avec les services back-end, ce qui entraîne des échecs d’intégration ou de connectivité.

Remarque

  • À partir du 8 mai 2024, la connectivité simplifiée est la méthode d’intégration par défaut. Sur la page Fonctionnalités facultatives du portail Microsoft Defender à l’adresse https://security.microsoft.com/securitysettings/endpoints/integration, utilisez le paramètre Utiliser par défaut la connectivité simplifiée lors de l’intégration des appareils dans le portail Defender pour choisir si l’intégration utilise une connectivité simplifiée ou standard. Pour l’intégration via Microsoft Intune ou Microsoft Defender for Cloud, définissez le paramètre Appliquer les paramètres de connectivité simplifiée aux appareils gérés par Intune et Defender for Cloud sur Activé. Ce paramètre s’applique aux appareils nouvellement intégrés. Les appareils existants ne sont pas réintégrés automatiquement. Pour migrer des appareils existants, voir Migrer les appareils pour utiliser la méthode de connectivité simplifiée.

  • Pour les fonctionnalités actuelles et futures, les appareils doivent pouvoir accéder au domaine consolidé de leur environnement cloud, même s’ils utilisent la connectivité standard :

    • *.endpoint.security.microsoft.com pour les environnements commerciaux.
    • *.endpoint.security.microsoft.us pour les environnements gouvernementaux américains (Aperçu).

  • Les nouvelles régions adoptent par défaut une connectivité simplifiée et ne peuvent pas passer à une connectivité standard. Pour plus d’informations, consultez Intégration d’appareils à l’aide d’une connectivité simplifiée pour Microsoft Defender pour point de terminaison.

Activer l’accès aux URL de service Microsoft Defender pour point de terminaison dans le serveur proxy

Les sections suivantes spécifient les services et les URL associées auxquelles les appareils de votre réseau doivent pouvoir se connecter. Assurez-vous qu’aucun pare-feu ou règle de filtrage réseau n’empêche l’accès à ces URL. Vous devrez peut-être créer une règle de permis spécifiquement pour eux.

La connectivité rationalisée consolide le trafic des services principaux de Defender for Endpoint, mais elle ne remplace pas les dépendances des services de prise en charge. Examinez les points d’accès courants dans la liste d’URL simplifiée applicable, y compris le système d’exploitation, la mise à jour, la validation des certificats et les points de terminaison spécifiques à chaque scénario. Par exemple, l’outil de déploiement Defender pour Linux nécessite un point de déploiement séparé.

Listes d’URL de connectivité simplifiées

Pour la liste complète des exigences du système d’exploitation en matière de connectivité simplifiée, voir Prérequis de connectivité simplifiée. Les systèmes d’exploitation et versions suivants sont pris en charge :

  • Windows 11.
  • Windows 10, version 1809 (octobre 2018) ou ultérieure.
  • Windows Server 2019 ou version ultérieure.
  • Windows Server 2016 et Windows Server 2012 R2 exécutant la solution unifiée moderne Defender for Endpoint, qui nécessite une installation via un package MSI.
  • Versions de macOS prises en charge exécutant Defender for Endpoint version 101.24022.* (mars 2024) ou une version ultérieure.
  • Versions de Linux prises en charge exécutant Defender for Endpoint version 101.24022.* (mars 2024) ou ultérieure.
  • Azure Stack HCI OS, version 23H2 ou ultérieure.

La connectivité simplifiée nécessite les versions minimales de composants suivantes :

  • Client antimalware : 4.18.2211.5 (novembre 2022) ou plus tard.
  • Moteur : 1.1.19900.2 (novembre 2022) ou plus tard.
  • Renseignement de sécurité : 1.391.345.0 (juin 2023) ou plus tard.
  • Client multiplateforme : 101.24022.* (mars 2024) ou plus tard.
  • Capteur Defender for Endpoint (SENSE) : 10.8040.* (mars 2022) ou version ultérieure.

Si vous déplacez les appareils précédemment embarqués vers une connectivité simplifiée, consultez Migrer la connectivité des appareils.

Les versions de Windows 10 1607 (août 2016) à 1803 (avril 2018) sont prises en charge via le package d’intégration simplifiée mais nécessitent la liste d’URL plus longue dans l’article concerné. Ces versions ne prennent pas en charge la réintégration. Vous devez d’abord les retirer complètement.

Les appareils fonctionnant sous Windows 7, Windows 8.1, Windows Server 2008 R2 avec Microsoft Monitoring Agent (MMA), ou les serveurs qui n'ont pas été mis à jour vers la solution unifiée, doivent continuer à utiliser la méthode d'intégration MMA.

Listes d’URL de connectivité standard

Importante

  • Les connexions proviennent du système d'exploitation ou des services clients Defender, donc les proxys ne devraient pas nécessiter d'authentification pour ces destinations. Pour une connectivité fluide, configurez votre proxy et vos stratégies de sécurité réseau pour exclure de l’inspection le trafic *.endpoint.security.microsoft.com ou *.endpoint.security.microsoft.us. N'analysez pas, n’inspectez pas, n’interceptez pas, n’utilisez pas de proxy d'interception (MITM) pour ce trafic.
  • Microsoft ne fournit pas de serveur proxy. Ces URL sont accessibles via le serveur proxy que vous configurez.
  • Defender for Endpoint traite les données en fonction de la zone géographique identifiée lors du provisionnement de votre locataire. En fonction de la localisation du client, le trafic peut circuler dans n’importe quelle région IP associée, qui correspond à une région de centre de données Azure. Pour plus d’informations, consultez Stockage et confidentialité des données.

Configurez les exigences de proxy et de pare-feu pour les dispositifs MMA commerciaux

Dans les environnements commerciaux, autorisez les destinations suivantes afin que Defender for Endpoint puisse communiquer via MMA sur Windows 7 SP1, Windows 8.1 et Windows Server 2008 R2. Pour les environnements du gouvernement américain, utilisez les destinations MMA figurant dans les URL de connectivité standard de Microsoft Defender pour point de terminaison pour le gouvernement américain.

Destination de l’agent Port Direction Contournement de l’inspection HTTPS
*.ods.opinsights.azure.com 443 Sortant Oui
*.oms.opinsights.azure.com 443 Sortant Oui
*.blob.core.windows.net 443 Sortant Oui
*.agentsvc.azure-automation.net 443 Sortant Oui

Pour déterminer les destinations exactes utilisées pour votre abonnement au sein des domaines de l’agent Log Analytics répertoriés dans le tableau précédent, consultez Microsoft Monitoring Agent (MMA) Service URL connections.

Remarque

Les solutions basées sur les MMA ne prennent pas en charge la connectivité simplifiée via des URL consolidées ou des adresses IP statiques. Pour Windows Server 2016 et Windows Server 2012 R2, passez à la solution unifiée. Pour intégrer ces systèmes d’exploitation à l’aide de la solution unifiée, consultez Intégrer des serveurs Windows. Pour migrer des appareils déjà intégrés via MMA, voir les scénarios de migration de serveurs dans Microsoft Defender for Endpoint.

Connectez des appareils sans accès direct à Internet

Pour les appareils sans connexion internet directe, utilisez un proxy. Si votre réseau ne permet que des règles basées sur IP au lieu de règles basées sur le domaine, configurez les périphériques de pare-feu ou de passerelle pour permettre les plages IP requises. Pour plus d’informations, voir Connectivité simplifiée des appareils.

Importante

  • Microsoft Defender for Endpoint est une solution de sécurité cloud. Les appareils doivent se connecter directement ou via un proxy ou un autre dispositif réseau aux services cloud Defender, et la résolution du Domain Name System (DNS) est toujours requise. Une configuration proxy à l’échelle du système est recommandée.
  • Les clients Windows et les appareils Windows Server dans des environnements déconnectés doivent pouvoir mettre à jour les listes de confiance des certificats (CTL) hors ligne via un fichier interne ou un serveur web.
  • Pour les instructions, voir Configurer un fichier ou un serveur web pour télécharger les fichiers CTL.

Étape suivante

Configurez vos appareils pour qu’ils se connectent au service Defender pour point de terminaison à l’aide d’un proxy.

  • Dernière mise à jour :