FASE 3: Verificare la connettività del client agli URL del servizio Microsoft Defender per endpoint

Verificare che i client siano in grado di connettersi agli URL del servizio Defender per endpoint usando Defender per Endpoint Client Analyzer per assicurarsi che gli endpoint siano in grado di comunicare i dati di telemetria al servizio.

Per ulteriori informazioni su Microsoft Defender per endpoint Client Analyzer, vedere Risolvere i problemi di integrità del sensore usando Microsoft Defender per endpoint Client Analyzer.

Nota

È possibile eseguire Defender per Endpoint Client Analyzer nei dispositivi prima dell'onboarding e dopo l'onboarding.

• Quando si esegue il test in un dispositivo di cui è stato eseguito l'onboarding in Defender per endpoint, lo strumento userà i parametri di onboarding.
  
• Quando si esegue il test su un dispositivo non ancora caricato in Defender per endpoint, lo strumento userà le impostazioni predefinite di Stati Uniti, Regno Unito e UE. Per gli URL di servizio consolidati offerti dalla connettività semplificata (impostazione predefinita per i nuovi tenant), quando si eseguono test su dispositivi non ancora integrati in Defender for Endpoint, eseguire mdeclientanalyzer.cmd con -o <path to MDE onboarding package >. Il comando userà i parametri geografici dello script di onboarding per testare la connettività. In caso contrario, il test di pre-onboarding predefinito viene eseguito sull'insieme standard di URL. Per ulteriori dettagli, vedi Verifica della connettività al metodo di onboarding semplificato.

Verificare che la configurazione del proxy sia stata completata correttamente. WinHTTP può quindi rilevare e comunicare attraverso il server proxy presente nell'ambiente e il server proxy, a sua volta, consente il traffico diretto agli URL del servizio Defender for Endpoint.

1. Scarica lo strumento Client Analyzer di Microsoft Defender per endpoint sul dispositivo in cui è in esecuzione il sensore di Defender for Endpoint.

2. Estrarre il contenuto di MDEClientAnalyzer.zip nel dispositivo.

3. Aprire un prompt dei comandi con privilegi elevati:

   1. Passare a Start e digitare cmd.
   2. Fare clic con il pulsante destro del mouse su Prompt dei comandi e scegliere Esegui come amministratore.

4. Immettere il comando indicato di seguito e premere INVIO:

   HardDrivePath\MDEClientAnalyzer.cmd
   

   Sostituire HardDrivePath con il percorso in cui è stato scaricato lo strumento MDEClientAnalyzer. Ad esempio:

   C:\Work\tools\MDEClientAnalyzer\MDEClientAnalyzer.cmd
   

5. Lo strumento crea ed estrae il file MDEClientAnalyzerResult.zip nella cartella specificata da HardDrivePath.

6. Aprire MDEClientAnalyzerResult.txt e verificare di aver eseguito i passaggi di configurazione del proxy per abilitare l'individuazione del server e l'accesso agli URL del servizio.

   Lo strumento verifica la connettività degli URL di servizio di Defender for Endpoint. Verificare che il client Defender per endpoint sia configurato per interagire. Lo strumento stampa i risultati nel file MDEClientAnalyzerResult.txt per ogni URL che può essere potenzialmente utilizzato per comunicare con i servizi di Defender for Endpoint. Ad esempio:

   Testing URL : https://xxx.microsoft.com/xxx
   1 - Default proxy: Succeeded (200)
   2 - Proxy auto discovery (WPAD): Succeeded (200)
   3 - Proxy disabled: Succeeded (200)
   4 - Named proxy: Doesn't exist
   5 - Command line proxy: Doesn't exist
   

Se una delle opzioni di connettività restituisce uno stato (200), il client Defender per endpoint può comunicare correttamente con l'URL testato usando questo metodo di connettività.

Tuttavia, se i risultati del controllo di connettività indicano un errore, viene visualizzato un errore HTTP (vedere Codici di stato HTTP). È quindi possibile usare gli URL elencati in Abilitare l'accesso a Defender per gli URL del servizio endpoint nel server proxy, che fornisce gli URL di servizio necessari per consentire tramite il server proxy. Gli URL disponibili per l'utilizzo dipendono dall'area geografica selezionata nel pacchetto di onboarding di Defender for Endpoint o nello script di onboarding utilizzato per il dispositivo.

Nota

• I controlli della connettività cloud nello strumento Analizzatore connettività non sono compatibili con la regola di riduzione della superficie di attacco (ASR) Creazione di processi di blocco provenienti dai comandi PSExec e WMI. Per eseguire lo strumento di connettività, è necessario eseguire una delle operazioni seguenti:
  • Disabilitare temporaneamente la regola Blocca le creazioni di processi provenienti dalla regola dei comandi PSExec e WMI .
  • Aggiungi temporaneamente un'esclusione ASR globale o specifica per regola per l'analizzatore. Per altre informazioni, vedere Esclusioni di file e cartelle per le regole asr.
• Quando TelemetryProxyServer è configurato nel Registro di sistema o tramite Criteri di gruppo, Microsoft Defender for Endpoint passa alla connettività diretta se Microsoft Defender for Endpoint non riesce ad accedere al proxy specificato.

Verifica della connettività al metodo di onboarding semplificato

Se si sta testando la connettività su un dispositivo per il quale non è stato ancora eseguito l'onboarding in Defender for Endpoint tramite la connettività semplificata dei dispositivi (rilevante sia per i nuovi dispositivi sia per quelli in fase di migrazione):

1. Scaricare il pacchetto di onboarding semplificato per il sistema operativo pertinente.

2. Estrarre il file .cmd dal pacchetto di onboarding.

3. Scarica lo strumento di analisi del client Microsoft Defender per endpoint ed estrai il contenuto di MDEClientAnalyzer.zip sul dispositivo.

4. Eseguire mdeclientanalyzer.cmd -o <path to onboarding cmd file> dall'interno della cartella MDEClientAnalyzer. Il comando usa i parametri geografici dello script di onboarding per testare la connettività.

Se si sta testando la connettività su un dispositivo sottoposto a onboarding in Defender per Endpoint tramite il pacchetto di onboarding semplificato, eseguire Defender per Endpoint Client Analyzer come di consueto. Lo strumento usa i parametri di onboarding configurati per testare la connettività.

Per ulteriori informazioni su come accedere al pacchetto di onboarding semplificato e allo script di connessione, vedere Onboarding dei dispositivi tramite connettività semplificata.

Connessioni URL del servizio Microsoft Monitoring Agent (MMA)

Consultare le istruzioni seguenti per eliminare il requisito del carattere jolly (*) per lo specifico ambiente in uso quando si utilizza Microsoft Monitoring Agent (MMA) con le versioni precedenti di Windows.

1. Eseguire l'onboarding di una versione precedente del sistema operativo con Microsoft Monitoring Agent (MMA) in Microsoft Defender per endpoint. Per altre informazioni, vedere Eseguire l'onboarding di Windows Server 2016 e Windows Server 2012 R2.

2. Assicurarsi che la macchina stia effettuando correttamente la segnalazione al portale di Microsoft Defender.

3. Eseguire lo strumento TestCloudConnection.exe da C:\Program Files\Microsoft Monitoring Agent\Agent per convalidare la connettività e ottenere gli URL necessari per l'area di lavoro specifica.

4. Controllare l'elenco degli URL di Microsoft Defender per endpoint per l'elenco completo dei requisiti per l'area geografica (vedere il foglio di calcolo degli URL del servizio Microsoft Defender per endpoint).

I caratteri wildcard (*) usati negli endpoint URL *.ods.opinsights.azure.com, *.oms.opinsights.azure.com e *.agentsvc.azure-automation.net possono essere sostituiti con il tuo ID Workspace specifico. L'ID dell'area di lavoro è specifico del tuo ambiente e della tua area di lavoro. È disponibile nella sezione Onboarding del tenant all'interno del portale di Microsoft Defender.

L'endpoint *.blob.core.windows.net URL può essere sostituito con gli URL visualizzati nella sezione "Regola del firewall: *.blob.core.windows.net" dei risultati del test.

Nota

Nel caso dell'onboarding tramite Microsoft Defender per cloud, è possibile usare più aree di lavoro. Sarà necessario eseguire la procedura TestCloudConnection.exe nel computer sottoposto a onboarding da ogni area di lavoro (per determinare se sono presenti modifiche agli URL *.blob.core.windows.net tra le aree di lavoro).

Passaggi successivi

Dopo aver verificato la connettività, effettuate l'onboarding dei dispositivi nel servizio Defender for Endpoint:

• Eseguire l'onboarding dei dispositivi client Windows e Mac in Microsoft Defender per endpoint
• Esegui l'onboarding dei server tramite l'esperienza di onboarding di Microsoft Defender per Endpoint