Migrer des appareils pour utiliser la méthode de connectivité simplifiée

  • S’applique à: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Utilisez cet article pour réintégrer les appareils Microsoft Defender for Endpoint existants grâce au package de connectivité simplifié. La connectivité simplifiée consolide le trafic central des services Defender for Endpoint sous un ensemble plus restreint de destinations réseau. Avant de migrer les appareils, configurez les destinations réseau requises et assurez-vous que les appareils respectent les prérequis de connectivité simplifiée.

Dans la plupart des cas, il n’est pas nécessaire de démonter les appareils avant de les réintégrer. Applique le package d’intégration simplifié, puis redémarre les appareils Windows ou redémarre le service Defender for Endpoint sur macOS et appareils Linux.

Important

Examinez les limitations suivantes avant de migrer les appareils :

  • Le retrait n’est pas nécessaire pour passer à une connectivité simplifiée. Après avoir appliqué le package d’intégration mis à jour, redémarrez les appareils Windows ou redémarrez le service Defender for Endpoint sur macOS et Linux.
  • Windows 10 versions 1607, 1703, 1709 et 1803 ne prennent pas en charge la réintégration. Désinstallez d’abord, puis réinstallez avec le package mis à jour. Ces versions nécessitent également une liste d’URL plus longue.
  • Les appareils qui utilisent le Microsoft Monitoring Agent (MMA) ne prennent pas en charge la connectivité simplifiée et doivent continuer à utiliser la connectivité standard.

Remarque

L’outil de déploiement Defender peut être utilisé pour déployer la sécurité des points de terminaison Defender sur les appareils Windows et Linux. L’outil est une application légère et auto-mise à jour qui simplifie le processus de déploiement. Pour plus d’informations, consultez Déployer Microsoft Defender sécurité des points de terminaison sur des appareils Windows à l’aide de l’outil de déploiement Defender et Déployer Microsoft Defender sécurité des points de terminaison sur des appareils Linux à l’aide de l’outil de déploiement Defender (préversion).

Migrer les appareils vers une connectivité simplifiée

Utilisez les procédures spécifiques à la plateforme dans cette section pour migrer les appareils existants de la connectivité standard vers une connectivité simplifiée.

Planifier la migration

Avant de migrer les appareils :

  • Prévoyez un déploiement progressif : commencez par un petit ensemble d’appareils. Élargissez le déploiement après avoir vérifié que les appareils de test utilisent une connectivité simplifiée.

  • Utilisez les outils de gestion pris en charge : Pour les appareils gérés, utilisez des méthodes de déploiement telles qu’Intune, Configuration Manager, Group Policy, Jamf Pro ou tout autre outil de gestion supporté.

  • Testez la connectivité cloud : Confirmez que les appareils peuvent communiquer avec les services Defender for Endpoint. Pour plus d’informations, consultez Vérifier la connectivité du client aux URL du service Microsoft Defender for Endpoint.

  • Préparez un plan de retour en arrière : Gardez les destinations de connectivité standard disponibles pendant la migration. En cas de problème, réappliquez le package d’intégration de connectivité standard.

  • Validez le succès de la migration : Vérifiez que les appareils utilisent une connectivité simplifiée avant de supprimer les destinations standard de service central de votre pare-feu ou configuration proxy. Continuez à autoriser les destinations de service de support requises pour le système d’exploitation, les mises à jour, la validation des certificats, ainsi que vos fonctionnalités de déploiement et de sécurité. Pour plus d’informations, consultez l’intégration des appareils à l’aide d’une connectivité simplifiée.

Redémarrer les appareils ou services après la réintégration

Après avoir appliqué le package d’intégration simplifié, complétez l’action pour le système d’exploitation de l’appareil :

  • Windows : Redémarrez l’appareil.

  • macOS : Redémarrez l’appareil ou redémarrez le service Defender for Endpoint :

    sudo launchctl unload /Library/LaunchDaemons/com.microsoft.fresno.plist
sudo launchctl load /Library/LaunchDaemons/com.microsoft.fresno.plist

  • Linux : Redémarrez l’appareil ou redémarrez le service Defender for Endpoint :

    sudo systemctl restart mdatp

Utilisez les options suivantes pour migrer Windows 10 et Windows 11 appareils vers la méthode de connectivité simplifiée.

Migrer des appareils Windows 10 et Windows 11

Important

Windows 10 versions 1607, 1703, 1709 et 1803 ne prennent pas en charge la réintégration. Pour migrer les appareils existants, vous devez les retirer complètement, puis les réintégrer à l’aide du package d’intégration rationalisé.

Pour des informations générales, voir Appareils clients Windows embarqués.

Confirmez que les appareils respectent les conditions de connectivité simplifiées.

Migrer des appareils à l’aide d’un script local

Suivez les instructions de Intégrer des appareils Windows à l’aide d’un script local avec le package d’intégration rationalisé. Après avoir appliqué le package, redémarrez l’appareil.

Migrer des appareils à l’aide d’une stratégie de groupe

Suivez les instructions figurant dans Intégrer des appareils Windows à l’aide de la stratégie de groupe avec le package d’intégration simplifié. Après avoir appliqué la politique, redémarrez l’appareil.

Migrer des appareils à l’aide de Microsoft Intune

Microsoft Intune est l’outil recommandé pour configurer et distribuer les fonctionnalités de Defender for Endpoint sur les appareils. Toutefois, Intune est un produit distinct qui ne fait pas partie de Defender pour point de terminaison et qui n'est pas inclus dans tous les abonnements. Pour utiliser Intune, vous avez besoin d’un abonnement qui l’inclut, ou vous pouvez l’acheter séparément en tant qu’abonnement ou module complémentaire autonome. Si vous n’avez pas Intune, vous pouvez utiliser l’une des autres méthodes de cet article. Pour plus d’informations, consultez Gestion des licences Microsoft Intune.

Suivez les instructions dans Mettre à jour l’état d’intégration d’un appareil Windows avec le package d’intégration simplifié. L’option Auto from connector ne réapplique pas automatiquement le package d’onboarding aux appareils existants. Créez une nouvelle politique d’intégration, assignez-la à un groupe de test, et confirmez que les appareils reçoivent la politique. Après avoir appliqué la politique, redémarrez les appareils.

Migrer des appareils à l’aide de Microsoft Configuration Manager

Suivez les consignes dans Mise à jour des informations d’intégration pour les appareils existants afin de déployer le package d’intégration simplifié.

Migrer des appareils VDI à l’aide de la méthode simplifiée

Suivez les conseils figurant dans Intégrer des appareils d’infrastructure de bureau virtuel (VDI) non persistants à l’aide du package d’intégration simplifié. Après avoir appliqué le package, redémarrez l’appareil.

Vérifier la connectivité des appareils migrés

Utilisez les méthodes suivantes pour confirmer que les appareils migrés utilisent une connectivité simplifiée.

Utilisez l’analyseur client sur Windows

Exécutez le Microsoft Defender for Endpoint Client Analyzer sur un appareil Windows migré pour confirmer que l’appareil est connecté aux destinations simplifiées. L’analyseur utilise automatiquement le package d’intégration configuré sur l’appareil. Pour les instructions, voir Exécuter l’analyseur client sur Windows et Vérifier la connectivité client aux URL de service Microsoft Defender for Endpoint.

Suivre le type de connectivité avec la recherche avancée

Utilisez la recherche avancée dans le portail Microsoft Defender pour voir le type de connectivité indiqué par les appareils dans le DeviceInfo tableau :

  • Nom de la colonne : ConnectivityType.
  • Valeurs possibles : Vide, Streamlined, ou Standard.
  • Type de données : Chaîne.
  • Description : Le type de connectivité entre l’appareil et le service cloud Defender for Endpoint.

Après qu’un dispositif migré établit une communication avec le canal de commande et de contrôle EDR, la valeur est Streamlined. Si vous réappliquez un forfait d’intégration standard, la valeur passe à Standard. La valeur reste vierge pour les appareils qui n’ont pas tenté de se réintégrer.

Utilisez les requêtes avancées de recherche plus loin dans cet article pour examiner les appareils individuels et les totaux de déploiement. Pour le schéma, voir la table DeviceInfo.

Suivre la connectivité localement dans l’Observateur d’événements Windows

Utilisez le journal opérationnel SENSE dans l’Observateur d’événements Windows pour vérifier qu’un appareil Windows se connecte à une destination rationalisée.

  1. Sélectionnez Démarrer, tapez observateur d'événements, puis appuyez sur Entrée.

  2. Sous Résumé de journal, double-cliquez sur Microsoft-Windows-SENSE/Opérationnel.

    Capture d’écran du journal opérationnel de SENSE dans l’Observateur d’événements.

    Vous pouvez également développer Journaux des applications et des services>Microsoft>Windows>SENSE, puis sélectionner Opérationnel.

  3. Trouvez l’ID d’événement 4, qui enregistre une connexion réussie à un serveur de traitement Defender for Endpoint. Confirmez que le serveur contacté utilise le endpoint.security.microsoft.com domaine. Par exemple :

    Contacted server 6 times, all succeeded, URI: <region>.<geo>.endpoint.security.microsoft.com.
<EventData>
 <Data Name="UInt1">6</Data>
 <Data Name="Message1">https://<region>.<geo>.endpoint.security.microsoft.com>
</EventData>

  4. Vérifiez l’ID 5 de l’événement pour détecter des erreurs de connexion.

Remarque

SENSE est le nom interne du capteur comportemental qui alimente Defender for Endpoint. Pour plus d’informations sur les événements enregistrés par le service, consultez Examiner les événements et erreurs à l’aide de observateur d'événements.

Exécutez des tests optionnels de fonctionnalités Windows

Après la migration, confirmez que l’appareil continue d’apparaître dans l’Inventaire des appareils avec le même ID d’appareil. Examinez la chronologie de l’appareil pour confirmer que les événements continuent d’arriver.

Tester la connectivité Live Response

Lancez une session de réponse en direct sur un appareil de test, et exécutez une commande basique pour confirmer que la session est réactive. Pour plus d’informations, consultez Investiguer les entités présentes sur des appareils à l’aide de Live Response.

Tester l’examen automatisé et la connectivité de réponse

Confirmez que l’appareil répond aux exigences d’enquête et de réponse automatisées. Pour plus d’informations, voir Configurer les capacités automatisées d’enquête et de réponse.

Tester la connectivité de protection fournie par le cloud

Vérifiez la connectivité de la protection fournie dans le cloud sur un appareil de test Windows.

Dans une invite de commandes avec élévation de privilèges (fenêtre d’invite de commandes que vous avez ouverte en sélectionnant Exécuter en tant qu’administrateur), exécutez les commandes suivantes :

Conseil

La première commande change le répertoire pour la version la plus récente de la <plateforme antimalware version> dans %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Si ce chemin n’existe pas, il passe à %ProgramFiles%\Windows Defender.

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -ValidateMapsConnection

Pour plus d’informations sur MpCmdRun, consultez Configurer et gérer Microsoft Defender Antivirus avec l’outil en ligne de commande MpCmdRun.

Bloc d’essai au premier regard

Suivez les instructions de la démonstration Block at First Sight (BAFS) dans Démonstrations de Defender for Endpoint.

Testez SmartScreen

Suivez les instructions de la démonstration SmartScreen sur la page Démo Microsoft Defender SmartScreen (msft.net).

Test de détection PowerShell

  1. Sur l’appareil Windows, créez un dossier : C:\test-MDATP-test.

  2. Ouvrez l’invite de commandes en tant qu’administrateur.

  3. Dans la fenêtre d’invite de commandes, exécutez la commande PowerShell suivante :

    powershell.exe -NoExit -ExecutionPolicy Bypass -WindowStyle Hidden $ErrorActionPreference = 'silentlycontinue';(New-Object System.Net.WebClient).DownloadFile('http://127.0.0.1/1.exe', 'C:\\test-MDATP-test\\invoice.exe');Start-Process 'C:\\test-MDATP-test\\invoice.exe'

Si la commande s’exécute avec succès et que le fichier de test s’exécute, le test de détection EDR de Windows est terminé et une nouvelle alerte apparaît dans le portail Microsoft Defender en quelques minutes. Pour plus d’informations, voir Effectuer un test de détection EDR.

Tester la connectivité sur macOS et Linux

Exécutez la commande suivante pour confirmer que edr_partner_geo_location est disponible. La valeur doit utiliser le format GW_<geo>, où <geo> est la localisation géographique de votre organisation :

mdatp health --details edr

Effectuez le test de connectivité, et confirmez que les résultats incluent le endpoint.security.microsoft.com domaine :

mdatp connectivity test

Attendez-vous à deux résultats pour /storage, et un résultat chacun pour /mdav, /xplat, et /packages. Par exemple : https://mdav.us.endpoint.security.microsoft.com/storage.

Type de connectivité de requête pour les appareils migrés

Effectuez la requête suivante pour lister les appareils embarqués et afficher le type de connectivité le plus récent rapporté pour chaque appareil :

DeviceInfo
| where OnboardingStatus == "Onboarded"
| summarize arg_max(Timestamp, ConnectivityType) by DeviceName

Effectuez la requête suivante pour compter les appareils embarqués par système d’exploitation et type de connectivité :

DeviceInfo
| where OnboardingStatus == "Onboarded"
| summarize arg_max(Timestamp, ConnectivityType, OSPlatform) by DeviceName
| summarize count() by OSPlatform, ConnectivityType
| render columnchart

Utilisez l’analyseur client sur macOS et Linux

Exécutez l’analyseur client XMDE pour collecter la connectivité et les diagnostics de santé. Utilisez la procédure pour le système d’exploitation de l’appareil :

  • Dernière mise à jour :