Passo 1: Configura la connettività di rete con Microsoft Defender per endpoint

Importante

Alcune informazioni in questo articolo fanno riferimento alle caratteristiche di un prodotto prima del rilascio, che possono essere modificate sostanzialmente prima della distribuzione al pubblico. Microsoft non fornisce alcuna garanzia, esplicita o implicita, in relazione alle informazioni contenute in questo documento.

Prima di collegare i dispositivi a Microsoft Defender per endpoint, configura l'accesso firewall o proxy agli URL del servizio richiesti. Consentire connessioni in uscita e bypassare l'ispezione HTTPS per una connettività più snella. Questo articolo identifica le liste di URL da utilizzare e include requisiti di proxy e firewall per dispositivi Windows più vecchi che utilizzano Microsoft Monitoring Agent (MMA).

Per semplificare la connettività, escludere il traffico verso *.endpoint.security.microsoft.com dall'ispezione SSL/TLS, dall'intercettazione HTTPS e dal proxying man-in-the-middle (MITM). Se si abilita l'ispezione SSL, Defender per i sensori endpoint potrebbe non riuscire a comunicare con i servizi back-end, causando errori di onboarding o connettività.

Nota

• A partire dall'8 maggio 2024, la connettività semplificata è il metodo di onboarding predefinito. Nella pagina Funzionalità facoltative del portale Microsoft Defender all'indirizzo https://security.microsoft.com/securitysettings/endpoints/integration, usa l'impostazione Usa per impostazione predefinita la connettività semplificata durante l'onboarding dei dispositivi nel portale Defender per scegliere se l'onboarding usa la connettività semplificata o standard. Per l'onboarding tramite Microsoft Intune o Microsoft Defender per il cloud, imposta l'impostazione Applica impostazioni di connettività semplificate ai dispositivi gestiti da Intune e Defender per il cloud su Attivato. Questa impostazione si applica ai dispositivi appena integrati. I dispositivi esistenti non vengono riintegrati automaticamente. Per migrare dispositivi esistenti, vedi Migra dispositivi per utilizzare il metodo di connettività semplificata.

• Per funzionalità attuali e future, i dispositivi devono essere in grado di raggiungere il dominio consolidato del loro ambiente cloud, anche se utilizzano la connettività standard:

  • *.endpoint.security.microsoft.com per ambienti commerciali.
  • *.endpoint.security.microsoft.us per ambienti del Governo degli Stati Uniti (Anteprima).

• Le nuove regioni adottano di default una connettività semplificata e non possono tornare alla connettività standard. Per altre informazioni, vedi Inserimento dei dispositivi tramite connettività semplificata per Microsoft Defender per endpoint.

Abilitare l'accesso agli URL del servizio Microsoft Defender per endpoint nel server proxy

Le sezioni seguenti specificano i servizi e gli URL associati a cui i dispositivi della tua rete devono essere in grado di connettersi. Assicurati che nessuna regola di filtraggio firewall o di rete neghi l'accesso a questi URL. Potresti dover creare una regola di permesso specifica per loro.

La connettività semplificata consolida il traffico principale del servizio Defender per Endpoint, ma non sostituisce le dipendenze dai servizi di supporto. Esaminare gli endpoint comuni nell'elenco semplificato degli URL applicabile, inclusi gli endpoint del sistema operativo, di aggiornamento, di convalida dei certificati e quelli specifici per scenario. Ad esempio, lo strumento di distribuzione Defender per Linux richiede un endpoint separato per il download.

Elenchi URL di connettività semplificati

• Connettività semplificata per clienti commerciali: Usa gli URL di connettività semplificata per i clienti commerciali.
• Connettività semplificata per i clienti del Governo degli Stati Uniti, del GCC e del DoD (Anteprima): Utilizza gli URL di connettività semplificati per i clienti governativi.

Per l'elenco completo dei requisiti del sistema operativo per una connettività semplificata, vedi Prerequisiti di connettività semplificata. Sono supportati i seguenti sistemi operativi e versioni:

• Windows 11.
• Windows 10, versione 1809 (ottobre 2018) o successiva.
• Windows Server 2019 o versioni successive.
• Windows Server 2016 e Windows Server 2012 R2 che eseguono la soluzione unificata moderna di Defender for Endpoint, che richiede l'installazione tramite un pacchetto MSI.
• Versioni supportate di macOS che eseguono Defender for Endpoint versione 101.24022.* (marzo 2024) o successiva.
• Versioni di Linux supportate che eseguono Defender for Endpoint versione 101.24022.* (marzo 2024) o successiva.
• Azure Stack HCI OS, versione 23H2 o successiva.

La connettività semplificata richiede le seguenti versioni minime dei componenti:

• Client antimalware: 4.18.2211.5 (novembre 2022) o successivamente.
• Motore: 1.1.19900.2 (novembre 2022) o successivamente.
• Intelligence di sicurezza: 1.391.345.0 (giugno 2023) o successivamente.
• Cliente multipiattaforma: 101.24022.* (marzo 2024) o successivamente.
• Sensore di Defender for Endpoint (SENSE): 10.8040.* (marzo 2022) o versione successiva.

Se stai spostando dispositivi già configurati alla connettività semplificata, consulta Migrare la connettività dei dispositivi.

Le versioni di Windows 10 1607 (agosto 2016) a 1803 (aprile 2018) sono supportate tramite il pacchetto di onboarding semplificato ma richiedono l'elenco più lungo degli URL nell'articolo pertinente. Queste versioni non supportano la ripetizione dell'onboarding. È necessario prima rimuoverle completamente.

I dispositivi che eseguono Windows 7, Windows 8.1, Windows Server 2008 R2 con Microsoft Monitoring Agent (MMA), o i server che non sono stati aggiornati alla soluzione unificata, devono continuare a utilizzare il metodo di onboarding MMA.

Liste standard di URL di connettività

• Connettività standard per clienti commerciali: Utilizzare gli URL standard di connettività per i clienti commerciali. Defender per Endpoint Plan 1 e Plan 2 utilizza gli stessi URL dei servizi proxy. Nel tuo firewall, apri tutti gli URL in cui la colonna geografica è WW. Per le altre righe, apri gli URL relativi alla tua specifica area geografica dei dati. Per verificare la posizione dei dati, consulta Verifica la posizione di archiviazione dei dati e aggiorna le impostazioni di conservazione dei dati per Microsoft Defender per endpoint. Non escludere *.blob.core.windows.net dall'ispezione di rete. Escludi solo gli URL del blob di Defender for Endpoint elencati nella lista URL.
• Connettività standard per i clienti del Governo degli Stati Uniti, GCC e DoD: Utilizzare gli URL standard di connettività per i clienti governativi.

Importante

• Le connessioni provengono dal sistema operativo o dai servizi client Defender, quindi i proxye non dovrebbero richiedere l'autenticazione per queste destinazioni. Per una connettività semplificata, configura le politiche di sicurezza del proxy e della rete per escludere dall'ispezione il traffico *.endpoint.security.microsoft.com o *.endpoint.security.microsoft.us. Non analizzare, ispezionare, intercettare o usare un proxy man-in-the-middle (MITM) per questo traffico.
• Microsoft non fornisce un server proxy. Questi URL sono accessibili tramite il server proxy configurato.
• Defender for Endpoint elabora i dati in base alla posizione geografica identificata quando il tuo tenant viene provisionato. In base alla posizione del cliente, il traffico potrebbe fluire attraverso qualsiasi regione IP associata, che corrisponde a una regione datacenter Azure. Per altre informazioni, vedere Archiviazione dei dati e privacy.

Configurare i requisiti di proxy e firewall per dispositivi MMA commerciali

Negli ambienti commerciali, consente le seguenti destinazioni affinché Defender for Endpoint possa comunicare tramite MMA su Windows 7 SP1, Windows 8.1 e Windows Server 2008 R2. Per gli ambienti del Governo degli Stati Uniti, usa le destinazioni MMA in Microsoft Defender per endpoint gli URL standard di connettività per il Governo degli Stati Uniti.

Destinazione dell'agente	Porto	Direzione	Disabilita ispezione HTTP
*.ods.opinsights.azure.com	443	In uscita	Sì
*.oms.opinsights.azure.com	443	In uscita	Sì
*.blob.core.windows.net	443	In uscita	Sì
*.agentsvc.azure-automation.net	443	In uscita	Sì

Per determinare le destinazioni esatte in uso per il tuo abbonamento nei domini dell'agente di Log Analytics nella tabella precedente, vedi Connessioni agli URL del servizio di Microsoft Monitoring Agent (MMA).

Nota

Le soluzioni basate su MMA non supportano una connettività semplificata tramite URL consolidati o indirizzi IP statici. Per Windows Server 2016 e Windows Server 2012 R2, aggiorna alla soluzione unificata. Per integrare questi sistemi operativi con la soluzione unificata, vedi Onboard Windows servers. Per migrare i dispositivi già integrati tramite MMA, consulta gli scenari di migrazione server in Microsoft Defender per endpoint.

Collega dispositivi senza accesso diretto a internet

Per dispositivi senza connessione internet diretta, usa un proxy. Se la tua rete consente solo regole basate su IP invece che su regole basate su dominio, configura dispositivi firewall o gateway per consentire le gamme IP richieste. Per ulteriori informazioni, vedi Connettività semplificata dei dispositivi.

Importante

• Microsoft Defender per endpoint è una soluzione di sicurezza cloud. I dispositivi devono connettersi direttamente o tramite un proxy o altro dispositivo di rete ai servizi cloud di Defender, e la risoluzione del Domain Name System (DNS) è sempre necessaria. Si raccomanda una configurazione proxy a livello di sistema.
• I client Windows e i dispositivi Windows Server in ambienti disconnessi devono poter aggiornare le certificate trust list (CTL) offline tramite un file o un server web interno.
• Per le istruzioni, vedi Configura un file o un server web per scaricare i file CTL.

Passo successivo

Configurare i dispositivi per la connessione al servizio Defender per endpoint usando un proxy.