Intégrer des appareils Windows à Microsoft Defender for Endpoint à l’aide de la stratégie de groupe

  • S’applique à: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Vous pouvez utiliser la politique de groupe d’services de domaine Active Directory (AD DS) pour embarquer les clients Windows supportés et les appareils Windows Server vers Microsoft Defender for Endpoint à grande échelle. Cet article explique comment déployer le package d’intégration, configurer la collecte d’échantillons, vérifier le déploiement et départir les appareils. Avant de commencer, examinez les prérequis de déploiement et confirmez que la Politique de Groupe est la méthode de déploiement appropriée pour votre environnement.

Remarque

L’outil de déploiement Defender peut être utilisé pour déployer la sécurité des points de terminaison Defender sur les appareils Windows et Linux. L’outil est une application légère et auto-mise à jour qui simplifie le processus de déploiement. Pour plus d’informations, consultez Déployer Microsoft Defender sécurité des points de terminaison sur des appareils Windows à l’aide de l’outil de déploiement Defender et Déployer Microsoft Defender sécurité des points de terminaison sur des appareils Linux à l’aide de l’outil de déploiement Defender (préversion).

Prérequis

Pour comparer la politique de groupe avec d’autres options de déploiement, voir Identifier Defender pour l’architecture et les méthodes de déploiement des terminaux.

Intégrer des appareils en utilisant une stratégie de groupe

Téléchargez le package d’intégration, créez une tâche planifiée immédiatement, puis déployez la tâche sur les appareils Windows que vous souhaitez embarquer.

  1. Sur la page d’intégration du portail Microsoft Defender à https://security.microsoft.com/securitysettings/endpoints/onboarding, configurez le package :

    1. Étape 1 : Sélectionnez un système d’exploitation pour commencer le déploiement : Sélectionnez le groupe de versions du système d’exploitation pour les appareils cibles. Ne sélectionnez pas Windows, ce qui lance le flux de déploiement séparé de l'outil Defender.
    2. Si le type de connectivité est disponible, sélectionnez la méthode de connectivité adaptée à votre environnement.
    3. Pour la méthode de déploiement, sélectionnez Stratégie de groupe.
    4. Sélectionnez Télécharger le package d’intégration.

  2. Extraire le fichier téléchargé .zip vers un emplacement partagé, en lecture seule, accessible aux appareils cibles. Le package extrait contient le WindowsDefenderATPOnboardingScript.cmd fichier.

  3. Ouvrez le GPMC, cliquez droit sur les objets de politique de groupe, puis sélectionnez Nouveau. Saisissez un nom pour la GPO, puis sélectionnez OK.

  4. Faites un clic droit sur la nouvelle GPO, puis sélectionnez Modifier.

  5. Dans l’éditeur de gestion des stratégies de groupe, allez dansles préférences>de configuration de l’ordinateur> dans les paramètres du Panneau de configuration.

  6. Faites un clic droit sur Tâches planifiées, sélectionnez Nouvelle, puis sélectionnez Tâche immédiate (au moins Windows 7).

  7. Dans l’onglet Général , configurez la tâche :

    1. Dans les options de sécurité, sélectionnez Modifier l’utilisateur ou le groupe.
    2. Saisissez SYSTEM, sélectionnez Cocher les noms, puis sélectionnez OK. Le compte apparaît en tant que NT AUTHORITY\SYSTEM.
    3. Sélectionnez Exécuter si l’utilisateur est connecté ou non.
    4. Sélectionnez Exécuter avec les privilèges les plus élevés.
    5. Entrez un nom descriptif de tâche, tel que Defender for Endpoint onboarding.

    Remarque

    Sur Windows Server 2019 et versions ultérieures, si la préférence de politique de groupe contient NT AUTHORITY\Well-Known-System-AccountXML , remplacez cette valeur par NT AUTHORITY\SYSTEM.

  8. Dans l’onglet Actions , sélectionnez Nouveau, et configurez l’action :

    1. Pour Action, sélectionnez Lancer un programme.
    2. Pour programme/script, entrez le chemin de la Convention de Nommage Universelle (UNC) vers le fichier partagé WindowsDefenderATPOnboardingScript.cmd . Utilisez le nom de domaine entièrement qualifié (FQDN) du serveur de fichiers dans le chemin.
    3. Cliquez sur OK.

  9. Sélectionnez OK, puis fermez l’éditeur de gestion des politiques de groupe.

  10. Dans le GPMC, liez la GPO au site, au domaine ou à l’OU qui contient les appareils ciblés. Testez la GPO avec un groupe de périphériques limité avant de la déployer largement.

Pour des informations sur la liaison et la validation des GPO, voir la console de gestion de la stratégie de groupe.

Configurer la collecte d’échantillons

Defender for Endpoint peut collecter des fichiers depuis des appareils embarqués lorsqu’un analyste demande un fichier pour une analyse approfondie. Configurez la politique de collecte d’échantillons pour contrôler si les appareils peuvent répondre à ces requêtes.

  1. Sur l’appareil où vous gérez la stratégie de groupe, copiez les fichiers de modèles d’administration de Defender for Endpoint à partir du package d’intégration extrait :

    • Pour un dossier local de Définitions de Politiques :
      • Copiez AtpConfiguration.admx à C:\Windows\PolicyDefinitions.
      • Copiez AtpConfiguration.adml dans le dossier linguistique concerné, tel que C:\Windows\PolicyDefinitions\en-US.
    • Pour un magasin central :
      • Copiez AtpConfiguration.admx à \\<forest-root>\SYSVOL\<forest-root>\Policies\PolicyDefinitions.
      • Copiez AtpConfiguration.adml dans le dossier linguistique concerné, tel que \\<forest-root>\SYSVOL\<forest-root>\Policies\PolicyDefinitions\en-US.

  2. Dans le GPMC, faites un clic droit sur le GPO que vous utilisez pour Defender pour les paramètres du point d’extrémité, puis sélectionnez Modifier.

  3. Dans l’éditeur de gestion des politiques de groupe, allez àPolitiques>de configuration informatiques>Modèles administratifs>Windows Composantes>Windows Defender ATP.

    Remarque

    Windows Defender ATP est le nom hérité qui apparaît dans ce modèle administratif.

  4. Ouvrez Activer ou désactiver la collecte d’échantillons, sélectionnez Activé, sélectionnez Activer la collecte d’échantillons sur les machines, puis sélectionnez OK.

Si vous ne configurez pas cette politique, la collecte d’échantillons est activée par défaut.

L'intégration connecte les appareils à Defender for Endpoint, mais ne configure pas Microsoft Defender Antivirus ni d'autres fonctionnalités de protection des points de terminaison. Utilisez la même GPO ou des GPO séparés pour configurer les contrôles de sécurité requis par votre organisation.

Mettre à jour la configuration de la protection des points de terminaison

Dans Microsoft Defender version 4.18.2208.0 et ultérieure, la politique Désactiver Windows Defender ne désactive plus complètement Defender antivirus sur les appareils embarqués fonctionnant Windows Server 2012 sous R2 et versions ultérieures. Au lieu de cela, la politique place Defender Antivirus en mode passif. Si la politique est déjà activée avant que vous ne puissiez embarquer le serveur, Defender Antivirus reste désactivé. Ce comportement ne s’applique qu’aux serveurs intégrés à Defender pour Endpoint.

Si vous utilisez une solution antivirus non-Microsoft, vérifiez la compatibilité avec Microsoft Defender Antivirus avant de configurer le mode antivirus. Sinon, dans l’Éditeur de gestion des stratégies de groupe, accédez à Configuration ordinateur>Stratégies>Modèles d’administration>Composants Windows>Microsoft Defender Antivirus, et définissez Désactiver Microsoft Defender Antivirus sur Désactivé ou Non configuré. Pour le mode Windows Server et ForceDefenderPassiveMode les conseils, voir Configurer l’antivirus Microsoft Defender sur Windows Server.

Configurez et testez les protections suivantes selon les exigences de votre organisation :

Vérifier la mise en service de l’appareil

La Stratégie de groupe ne signale pas l’état du déploiement à Defender pour Endpoint. Utilisez les résultats de la Stratégie de Groupe pour confirmer que la GPO s’appliquait, puis vérifiez l’appareil dans le portail Defender.

  1. Sur la page d’inventaire des appareils dans le portail Microsoft Defender, https://security.microsoft.com/machines?category=all-devicescherchez l’appareil.

  2. Ouvrez la page de l’appareil et vérifiez que l’appareil est embarqué et que l’état de santé du capteur est actif.

Après l’application du GPO et l’exécution de la tâche programmée, l’appareil apparaît généralement dans l’inventaire en quelques minutes. La réplication de la stratégie de groupe, la mise à jour des politiques et la connectivité réseau peuvent retarder le signalement.

Pour générer une alerte de test et confirmer un rapport de bout en bout, voir Exécuter un test de détection sur un appareil nouvellement embarqué. Si l’appareil n’apparaît pas ou ne signale pas l’état attendu, consultez Résoudre les problèmes d’intégration de Microsoft Defender pour Endpoint.

Retirer des appareils à l'aide d'une stratégie de groupe

Le forfait d’offboarding expire sept jours après le téléchargement. Defender for Endpoint rejette les colis expirés, et la date d’expiration apparaît dans le nom du fichier du paquet.

Important

Ne déployez pas les politiques d’intégration et de déconnexion sur le même appareil en même temps. Supprimez ou dissociez l'objet de stratégie de groupe (GPO) d’intégration des appareils cibles avant de déployer le GPO de retrait.

Pour démonter des appareils en utilisant la Stratégie de groupe, créez une GPO distincte pour la tâche de démontage :

  1. Sur la page Offboarding du portail Microsoft Defender à https://security.microsoft.com/securitysettings/endpoints/offboarding, configurez le package :

    1. Sélectionnez le groupe de versions du système d’exploitation pour les appareils cibles. Ne sélectionnez pas Windows, ce qui lance le flux de déploiement séparé de l'outil Defender.
    2. Pour la méthode de déploiement, sélectionnez Stratégie de groupe.
    3. Sélectionnez Télécharger forfait, puis Télécharger dans la boîte de dialogue de confirmation.

  2. Extraire le fichier téléchargé .zip vers un emplacement partagé, en lecture seule, accessible aux appareils cibles. Le paquet extrait contient un fichier nommé WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd.

  3. Dans le GPMC, créez un GPO pour le retrait, puis modifiez le GPO.

  4. Dans l’éditeur de gestion des stratégies de groupe, allez dansles préférences>de configuration de l’ordinateur> dans les paramètres du Panneau de configuration.

  5. Faites un clic droit sur Tâches planifiées, sélectionnez Nouvelle, puis sélectionnez Tâche immédiate (au moins Windows 7).

  6. Dans l’onglet Général , configurez la tâche pour :

    • Exécutez en tant que NT AUTHORITY\SYSTEM.
    • Exécuter si l’utilisateur a ouvert une session ou non.
    • Courez avec les plus hauts privilèges.
    • Utilisez un nom descriptif, tel que Defender for Endpoint offboarding.

  7. Dans l’onglet Actions , sélectionnez Nouveau, et configurez l’action :

    1. Pour Action, sélectionnez Lancer un programme.
    2. Pour programme/script, saisissez le chemin UNC vers le fichier partagé WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd . Utilisez le FQDN du serveur de fichiers dans le chemin.
    3. Cliquez sur OK.

  8. Sélectionnez OK, fermez l’éditeur de gestion des stratégies de groupe, et liez le GPO de déconnexion au site, au domaine ou à l’OU cible.

Le débranchement empêche l’appareil d’envoyer de nouvelles données de détection, de vulnérabilité et de sécurité à Defender for Endpoint. Les données historiques restent dans le portail Defender jusqu’à l’expiration de la période de rétention configurée. Le profil de l’appareil, sans données, reste dans l’inventaire des appareils jusqu’à 180 jours. Pour plus d’informations, voir Dispositifs hors-bord.

Contenu connexe

  • Dernière mise à jour :