Eseguire la migrazione dei dispositivi per usare il metodo di connettività semplificato

  • Si applica a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Usa questo articolo per reinstallare dispositivi Microsoft Defender per endpoint esistenti con il pacchetto di connettività semplificato. La connettività semplificata consolida il traffico centrale di servizio Defender for Endpoint sotto un insieme più ristretto di destinazioni di rete. Prima di migrare i dispositivi, configura le destinazioni di rete richieste e verifica che i dispositivi soddisfino i requisiti di connettività semplificata.

Nella maggior parte dei casi, non è necessario staccare i dispositivi prima di riinstallarli. Applica il pacchetto di onboarding semplificato, poi riavvia i dispositivi Windows o riavvia il servizio Defender for Endpoint su dispositivi macOS e Linux.

Importante

Esamina le seguenti limitazioni prima di migrare i dispositivi:

  • Non è necessario effettuare l'offboarding per passare a una connettività semplificata. Dopo aver applicato il pacchetto di onboarding aggiornato, riavvia i dispositivi Windows o riavvia il servizio Defender for Endpoint su dispositivi macOS e Linux.
  • Windows 10 versioni 1607, 1703, 1709 e 1803 non supportano il reonboarding. Eseguire prima l'offboarding e quindi l'onboarding utilizzando il pacchetto aggiornato. Queste versioni richiedono anche un elenco di URL più lungo.
  • I dispositivi che utilizzano il Microsoft Monitoring Agent (MMA) non supportano la connettività semplificata e devono continuare a utilizzare la connettività standard.

Nota

Lo strumento di distribuzione Defender può essere usato per distribuire la sicurezza degli endpoint di Defender nei dispositivi Windows e Linux. Lo strumento è un'applicazione leggera e ad aggiornamento automatico che semplifica il processo di distribuzione. Per altre informazioni, vedere Distribuire Microsoft Defender sicurezza degli endpoint nei dispositivi Windows usando lo strumento di distribuzione Defender e Distribuire Microsoft Defender sicurezza degli endpoint nei dispositivi Linux usando lo strumento di distribuzione Defender (anteprima).

Migra i dispositivi verso una connettività semplificata

Utilizza le procedure specifiche per piattaforma in questa sezione per migrare i dispositivi esistenti dalla connettività standard a una connettività semplificata.

Pianificare la migrazione

Prima di migrare i dispositivi:

  • Pianifica un lancio graduale: inizia con un piccolo set di dispositivi. Espandi il lancio dopo aver verificato che i dispositivi di test utilizzano una connettività semplificata.

  • Usa strumenti di gestione supportati: Per i dispositivi gestiti, utilizza metodi di distribuzione come Intune, Gestione configurazione, Group Policy, Jamf Pro o altri strumenti di gestione supportati.

  • Testa la connettività cloud: Conferma che i dispositivi possano comunicare con i servizi Defender for Endpoint. Per ulteriori informazioni, vedi Verifica la connettività client con Microsoft Defender per endpoint Service URLs.

  • Prepara un piano di rollback: Mantieni disponibili le destinazioni standard di connettività durante la migrazione. Se si verificano problemi, applica nuovamente il pacchetto standard di attivazione della connettività.

  • Valida il successo della migrazione: verifica che i dispositivi utilizzino una connettività semplificata prima di rimuovere le destinazioni standard dei servizi core dalla configurazione firewall o proxy. Continuare a consentire le destinazioni di servizio di supporto richieste per il sistema operativo, gli aggiornamenti, la validazione dei certificati e le funzionalità di distribuzione e sicurezza. Per maggiori informazioni, vedi Dispositivi di onboarding che utilizzano connettività semplificata.

Riavvia dispositivi o servizi dopo il riinserimento

Dopo aver applicato il pacchetto di onboarding semplificato, completare l'azione per il sistema operativo del dispositivo:

  • Windows: Riavvia il dispositivo.

  • macOS: Riavvia il dispositivo o riavvia il servizio Defender for Endpoint:

    sudo launchctl unload /Library/LaunchDaemons/com.microsoft.fresno.plist
sudo launchctl load /Library/LaunchDaemons/com.microsoft.fresno.plist

  • Linux: Riavvia il dispositivo o riavvia il servizio Defender for Endpoint:

    sudo systemctl restart mdatp

Usare le opzioni seguenti per eseguire la migrazione di dispositivi Windows 10 e Windows 11 al metodo di connettività semplificato.

Eseguire la migrazione di dispositivi Windows 10 e Windows 11

Importante

Windows 10 versioni 1607, 1703, 1709 e 1803 non supportano il reonboarding. Per migrare i dispositivi esistenti, è necessario completare interamente l'offboarding e l'onboarding utilizzando il pacchetto di onboarding semplificato.

Per informazioni generali, vedi Dispositivi client Windows a bordo.

Conferma che i dispositivi soddisfino i prerequisiti di connettività semplificata.

Eseguire la migrazione dei dispositivi usando uno script locale

Segui le indicazioni in Eseguire l'onboarding dei dispositivi Windows usando uno script locale con il pacchetto di onboarding semplificato. Dopo aver applicato il pacchetto, riavvia il dispositivo.

Migrare i dispositivi usando Criteri di gruppo

Segui le istruzioni in Eseguire l'onboarding dei dispositivi Windows usando i Criteri di gruppo con il pacchetto di onboarding semplificato. Dopo aver applicato la politica, riavvia il dispositivo.

Eseguire la migrazione dei dispositivi usando Microsoft Intune

Microsoft Intune è lo strumento consigliato per la configurazione e la distribuzione di Defender per le funzionalità degli endpoint nei dispositivi. Tuttavia, Intune è un prodotto separato che non fa parte di Defender per endpoint e non è incluso in tutte le sottoscrizioni. Per usare Intune, è necessaria una sottoscrizione che la include oppure è possibile acquistarla separatamente come sottoscrizione autonoma o componente aggiuntivo. Se Intune non è disponibile, è possibile usare qualsiasi altro metodo in questo articolo. Per altre informazioni, vedere Microsoft Intune licenze.

Segui le indicazioni in Aggiorna lo stato di onboarding di un dispositivo Windows con il pacchetto di onboarding semplificato. L'opzione Automatico dal connettore non applica automaticamente il pacchetto di onboarding ai dispositivi esistenti. Crea una nuova policy di onboarding, assegnala a un gruppo di test e conferma che i dispositivi ricevano la policy. Dopo aver applicato la politica, riavvia i dispositivi.

Eseguire la migrazione dei dispositivi con Microsoft Configuration Manager

Segui le indicazioni in Aggiorna le informazioni di onboarding per i dispositivi esistenti per implementare il pacchetto di onboarding semplificato.

Eseguire la migrazione di dispositivi VDI usando il metodo semplificato

Segui le indicazioni in Eseguire l'onboarding dei dispositivi dell'infrastruttura desktop virtuale (VDI) non persistente con il pacchetto di onboarding semplificato. Dopo aver applicato il pacchetto, riavvia il dispositivo.

Verifica la connettività dei dispositivi migrati

Utilizzare i seguenti metodi per confermare che i dispositivi migrati utilizzano una connettività semplificata.

Usa il Client Analyzer su Windows

Esegui il Microsoft Defender per endpoint Client Analyzer su un dispositivo Windows migrato per confermare che il dispositivo si connette alle destinazioni semplificate. L'analizzatore utilizza automaticamente il pacchetto di onboarding configurato sul dispositivo. Per le istruzioni, vedi Esegui l'analizzatore client su Windows e Verifica la connettività client con Microsoft Defender per endpoint Service URL.

Monitorare il tipo di connettività con ricerca avanzata

Usa advanced hunting nel portale Microsoft Defender per visualizzare il tipo di connettività che i dispositivi riportano nella DeviceInfo tabella:

  • Nome della colonna: ConnectivityType.
  • Valori possibili: Blank, Streamlined, o Standard.
  • Tipo di dato: Stringa.
  • Descrizione: Il tipo di connettività dal dispositivo al servizio cloud Defender for Endpoint.

Dopo che un dispositivo migrato stabilisce la comunicazione con il canale di comando e controllo EDR, il valore è Streamlined. Se riapplichi un pacchetto di onboarding standard, il valore cambia in Standard. Il valore rimane vuoto per i dispositivi che non hanno tentato di eseguire nuovamente l'onboarding.

Usa le query avanzate di ricerca più avanti in questo articolo per esaminare i singoli dispositivi e i totali di deployment. Per lo schema, consulta la tabella DeviceInfo.

Monitorare la connettività localmente nel Visualizzatore eventi di Windows

Usa il registro operativo SENSE nel Visualizzatore eventi di Windows per verificare che un dispositivo Windows si connetta a una destinazione semplificata.

  1. Seleziona Start, digita Visualizzatore eventi, e premi Invio.

  2. Sotto Riassunto Log, clicca doppio su Microsoft-Windows-SENSE/Operativo.

    Schermata del registro operativo di SENSE in Visualizzatore eventi.

    Puoi anche espandere Registri applicazioni e serviziMicrosoft>Windows>> e quindi selezionare Operativo.

  3. Trova l'ID dell'evento 4, che registra una connessione riuscita a un server di elaborazione Defender for Endpoint. Conferma che il server contattato utilizzi il endpoint.security.microsoft.com dominio. Ad esempio:

    Contacted server 6 times, all succeeded, URI: <region>.<geo>.endpoint.security.microsoft.com.
<EventData>
 <Data Name="UInt1">6</Data>
 <Data Name="Message1">https://<region>.<geo>.endpoint.security.microsoft.com>
</EventData>

  4. Controlla l'ID 5 dell'evento per errori di connessione.

Nota

SENSE è il nome interno del sensore comportamentale che alimenta Defender for Endpoint. Per ulteriori informazioni sugli eventi registrati dal servizio, vedi Revisiona eventi ed errori utilizzando Visualizzatore eventi.

Esegui test opzionali di funzionalità di Windows

Dopo la migrazione, conferma che il dispositivo continui ad apparire nell'Inventario dei dispositivi con lo stesso ID del dispositivo. Rivedi la timeline del dispositivo per confermare che gli eventi continuino ad arrivare.

Testare la connettività di Live Response

Avvia una sessione di risposta live su un dispositivo di test ed esegui un comando base per confermare che la sessione risponde. Per altre informazioni, vedere Analizzare le entità nei dispositivi usando la risposta dinamica.

Testare la connettività automatizzata di analisi e risposta

Conferma che il dispositivo soddisfi i requisiti per l'indagine e la risposta automatizzate. Per ulteriori informazioni, vedi Configurare capacità automatizzate di indagine e risposta.

Testare la connettività di protezione fornita dal cloud

Verifica la connettività della protezione fornita dal cloud su un dispositivo di test Windows.

In un prompt dei comandi con privilegi elevati (finestra del prompt dei comandi aperta selezionando Esegui come amministratore) eseguire i comandi seguenti:

Consiglio

Il primo comando passa alla directory corrispondente alla versione più recente della <piattaforma antimalware> in %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Se tale percorso non esiste, passa a %ProgramFiles%\Windows Defender.

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -ValidateMapsConnection

Per altre informazioni su MpCmdRun, vedere Configurare e gestire Microsoft Defender Antivirus con lo strumento da riga di comando MpCmdRun.

Blocco di prova a prima vista

Seguire le istruzioni per la dimostrazione di blocco al primo avvistamento (BAFS) in Dimostrazioni di Defender per endpoint.

Test di SmartScreen

Seguire le istruzioni dimostrative di SmartScreen nella pagina demo Microsoft Defender SmartScreen (msft.net).

Test di rilevamento di PowerShell

  1. Nel dispositivo Windows creare una cartella: C:\test-MDATP-test.

  2. Aprire il prompt dei comandi come amministratore.

  3. Nella finestra del prompt dei comandi eseguire il comando di PowerShell seguente:

    powershell.exe -NoExit -ExecutionPolicy Bypass -WindowStyle Hidden $ErrorActionPreference = 'silentlycontinue';(New-Object System.Net.WebClient).DownloadFile('http://127.0.0.1/1.exe', 'C:\\test-MDATP-test\\invoice.exe');Start-Process 'C:\\test-MDATP-test\\invoice.exe'

Se il comando viene eseguito con successo e il file di test viene eseguito, il test di rilevamento EDR di Windows è completato e un nuovo avviso appare nel portale Microsoft Defender entro pochi minuti. Per maggiori informazioni, vedi Esegui un test di rilevamento EDR.

Testare la connettività su macOS e Linux

Esegui il seguente comando per confermare che edr_partner_geo_location è disponibile. Il valore dovrebbe utilizzare il formato GW_<geo>, dove <geo> è la posizione geografica della tua organizzazione:

mdatp health --details edr

Esegui il test di connettività e conferma che i risultati includano il endpoint.security.microsoft.com dominio:

mdatp connectivity test

Aspettatevi due risultati per /storage, e un risultato ciascuno per /mdav, /xplat, e /packages. Ad esempio: https://mdav.us.endpoint.security.microsoft.com/storage.

Verificare il tipo di connettività dei dispositivi migrati

Esegui la seguente query per elencare i dispositivi integrati e mostrare il tipo di connettività più recente riportato per ciascun dispositivo:

DeviceInfo
| where OnboardingStatus == "Onboarded"
| summarize arg_max(Timestamp, ConnectivityType) by DeviceName

Esegui la seguente query per contare i dispositivi integrati per sistema operativo e tipo di connettività:

DeviceInfo
| where OnboardingStatus == "Onboarded"
| summarize arg_max(Timestamp, ConnectivityType, OSPlatform) by DeviceName
| summarize count() by OSPlatform, ConnectivityType
| render columnchart

Usa il Client Analyzer su macOS e Linux

Esegui l'XMDE Client Analyzer per raccogliere connettività e diagnostica della salute. Usa la procedura per il sistema operativo del dispositivo:

  • Ultimo aggiornamento: