Del via

Om bord på Windows-servere til Microsoft Defender for endepunkt-tjenesten

  • Artikkel

Gjelder for:

  • Windows Server 2016 og Windows Server 2012 R2
  • Windows Server Semi-Annual Enterprise Channel
  • Windows Server 2019 og nyere
  • Windows Server 2019 Core Edition
  • Windows Server 2022
  • Microsoft Defender for endepunkt

Vil du oppleve Defender for endepunkt? Registrer deg for en gratis prøveperiode.

Defender for Endpoint utvider støtten til også å inkludere Windows Server-operativsystemet. Denne støtten gir avansert angrepsgjenkjenning og undersøkelsesfunksjoner sømløst gjennom Microsoft Defender XDR-konsollen. Støtte for Windows Server gir dypere innsikt i serveraktiviteter, dekning for kjerne- og minneangrepsgjenkjenning, og muliggjør responshandlinger.

Denne artikkelen beskriver hvordan du tar opp bestemte Windows-servere for å Microsoft Defender for endepunkt.

Hvis du vil ha veiledning om hvordan du laster ned og bruker Windows Sikkerhet opprinnelige planer for Windows-servere, kan du se Windows Sikkerhet Opprinnelige planer.

Tips

Som en følgesvenn til denne artikkelen, kan du se vår konfigurasjonsveiledning for Sikkerhetsanalyse for å gjennomgå anbefalte fremgangsmåter og lære å styrke forsvar, forbedre overholdelse og navigere i cybersikkerhetslandskapet med selvtillit. Hvis du vil ha en tilpasset opplevelse basert på miljøet ditt, kan du få tilgang til den automatiske konfigurasjonsveiledningen for Sikkerhetsanalyse i Administrasjonssenter for Microsoft 365.

Oversikt over pålasting for Windows Server

Du må fullføre følgende generelle trinn for å kunne ta på seg servere.

En illustrasjon av pålastingsflyt for Windows-servere og Windows 10 enheter

Obs!

Windows Hyper-V Server-versjoner støttes ikke.

Integrering med Microsoft Defender for servere:

Microsoft Defender for endepunkt integreres sømløst med Microsoft Defender for servere. Du kan registrere servere automatisk, få servere som overvåkes av Microsoft Defender for Cloud, til å vises i Defender for Endpoint, og utføre detaljerte undersøkelser som en Microsoft Defender for Skykunde. Hvis du vil ha mer informasjon, kan du gå til Beskytt endepunktene med Defender for Skyens integrerte EDR-løsning: Microsoft Defender for endepunkt

Obs!

For Windows Server 2016 og Windows Server 2012 R2 kan du enten installere/oppgradere den moderne, enhetlige løsningen på disse maskinene manuelt, eller bruke integreringen til å distribuere eller oppgradere servere som dekkes av de respektive Microsoft Defender for Server-abonnementet, automatisk. Mer informasjon om hvordan du bytter på Beskytt endepunktene med Defender for Clouds integrerte EDR-løsning: Microsoft Defender for endepunkt.

  • Når du bruker Microsoft Defender for Cloud til å overvåke servere, opprettes en Defender for Endpoint-leier automatisk (i USA for amerikanske brukere, i EU for europeiske brukere og i Storbritannia for britiske brukere). Data som samles inn av Defender for Endpoint, lagres på den geografiske plasseringen til leieren som identifisert under klargjøring.
  • Hvis du bruker Defender for endepunkt før du bruker Microsoft Defender for Cloud, lagres dataene på plasseringen du angav da du opprettet leieren, selv om du integrerer med Microsoft Defender for Sky på et senere tidspunkt.
  • Når du er konfigurert, kan du ikke endre plasseringen der dataene er lagret. Hvis du må flytte dataene til et annet sted, må du kontakte Microsoft Kundestøtte for å tilbakestille leieren.
  • Overvåking av serverendepunkt som benytter denne integreringen, er deaktivert for Office 365 GCC-kunder.
  • Tidligere var bruken av Microsoft Monitoring Agent (MMA) på Windows Server 2016 og Windows Server 2012 R2 og tidligere versjoner av Windows Server tillatt for OMS / Log Analytics-gatewayen for å gi tilkobling til Defender-skytjenester. Den nye løsningen, for eksempel Microsoft Defender for endepunkt på Windows Server 2022, Windows Server 2019 og Windows 10 eller nyere, støtter ikke denne gatewayen.
  • Linux-servere som er innlastet gjennom Microsoft Defender for Cloud, har den første konfigurasjonen satt til å kjøre Defender Antivirus i passiv modus.

Windows Server 2016 og Windows Server 2012 R2:

  • Last ned installasjons- og pålastingspakker
  • Bruk installasjonspakken
  • Følg pålastingstrinnene for det tilsvarende verktøyet

Windows Server Semi-Annual Enterprise Channel og Windows Server 2019:

  • Last ned pålastingspakken
  • Følg pålastingstrinnene for det tilsvarende verktøyet

Windows Server 2016 og Windows Server 2012 R2

Funksjonalitet i den moderne enhetlige løsningen

Den forrige implementeringen (før april 2022) av pålasting av Windows Server 2016 og Windows Server 2012 R2 krevde bruk av Microsoft Monitoring Agent (MMA).

Den nye enhetlige løsningspakken gjør det enklere å pålaste servere ved å fjerne avhengigheter og installasjonstrinn. Det gir også et mye utvidet funksjonssett. Hvis du vil ha mer informasjon, kan du se Forsvare Windows Server 2012 R2 og 2016.

Avhengig av serveren du tar på deg, installeres den enhetlige løsningen Microsoft Defender Antivirus og/eller EDR-sensoren. Tabellen nedenfor angir hvilken komponent som er installert og hva som er innebygd som standard.

Serverversjon AV EDR
Windows Server 2012 R2 Ja. Ja.
Windows Server 2016 Innebygd Ja.
Windows Server 2019 eller nyere Innebygd Innebygd

Hvis du tidligere har utviklet serverne dine ved hjelp av MMA, følger du veiledningen i serveroverføringen for å overføre til den nye løsningen.

Viktig

Før du fortsetter med pålasting, kan du se delen Kjente problemer og begrensninger i den nye, enhetlige løsningspakken for Windows Server 2012 R2 og Windows Server 2016.

Forutsetninger

Forutsetninger for Windows Server 2016 og Windows Server 2012 R2

Det anbefales å installere den nyeste tilgjengelige SSU og LCU på serveren.

Forutsetninger for å kjøre med tredjeparts sikkerhetsløsninger

Hvis du har tenkt å bruke en tredjeparts løsning mot skadelig programvare, må du kjøre Microsoft Defender Antivirus i passiv modus. Du må huske å sette den til passiv modus under installasjonen og pålastingsprosessen.

Obs!

Hvis du installerer Microsoft Defender for endepunkt på servere med McAfee Endpoint Security (ENS) eller VirusScan Enterprise (VSE), må kanskje versjonen av McAfee-plattformen oppdateres for å sikre at Microsoft Defender Antivirus ikke fjernes eller deaktiveres. Hvis du vil ha mer informasjon, inkludert de bestemte versjonsnumrene som kreves, kan du se Artikkelen om McAfee Knowledge Center.

Oppdateringspakker for Microsoft Defender for endepunkt på Windows Server 2016 og Windows Server 2012 R2

Hvis du vil motta regelmessige produktforbedringer og løsninger for EDR-sensorkomponenten, må du sørge for at Windows Update KB5005292 brukes eller godkjennes. Hvis du vil holde beskyttelseskomponentene oppdatert, kan du i tillegg se Administrere Microsoft Defender Antivirus-oppdateringer og bruke opprinnelige planer.

Hvis du bruker Windows Server Update Services (WSUS) og/eller Microsoft Endpoint Configuration Manager, er denne nye «Microsoft Defender for endepunkt oppdateringen for EDR-sensoren» tilgjengelig under kategorien » Microsoft Defender for endepunkt".

Sammendrag av pålastingstrinn

TRINN 1: Last ned installasjons- og pålastingspakker

Du må laste ned både installasjons - og pålastingspakkene fra portalen.

Obs!

Installasjonspakken oppdateres månedlig. Pass på å laste ned den nyeste pakken før bruk. Hvis du vil oppdatere etter installasjonen, trenger du ikke å kjøre installasjonspakken på nytt. Hvis du gjør det, vil installasjonsprogrammet be deg om å gå av bord først, da det er et krav for avinstallasjon. Se oppdateringspakker for Microsoft Defender for endepunkt på Windows Server 2012 R2 og 2016.

Bilde av instrumentbord for pålasting

Obs!

På Windows Server 2016 og Windows Server 2012 R2 må Microsoft Defender Antivirus installeres som en funksjon (se Bytt til MDE) først og fullstendig oppdatert før du fortsetter installasjonen.

Hvis du kjører en løsning for beskyttelse mot skadelig programvare fra Microsoft, må du sørge for at du legger til utelatelser for Microsoft Defender Antivirus (fra denne listen over Microsoft Defender Prosesser på Defender-prosesser-fanen) til løsningen som ikke er fra Microsoft før installasjonen. Det anbefales også å legge til ikke-Microsoft-sikkerhetsløsninger i Defender Antivirus utelatelsesliste.

Installasjonspakken inneholder en MSI-fil som installerer Microsoft Defender for endepunkt-agenten.

Pålastingspakken inneholder følgende fil:

  • WindowsDefenderATPOnboardingScript.cmd - inneholder pålastingsskriptet

Følg disse trinnene for å laste ned pakkene:

  1. Gå til Innstillinger > endepunkt > pålasting i Microsoft Defender XDR.

  2. Velg Windows Server 2016 og Windows Server 2012 R2.

  3. Velg Last ned installasjonspakken , og lagre .msi-filen.

  4. Velg Last ned pålastingspakke , og lagre den .zip filen.

  5. Installer installasjonspakken ved hjelp av noen av alternativene for å installere Microsoft Defender Antivirus. Installasjonen krever administrative tillatelser.

Viktig

Et lokalt pålastingsskript er egnet for et konseptbevis, men bør ikke brukes til produksjonsdistribusjon. For en produksjonsdistribusjon anbefaler vi at du bruker gruppepolicy eller Microsoft Endpoint Configuration Manager.

TRINN 2: Bruke installasjons- og pålastingspakken

I dette trinnet installerer du komponentene for forebygging og gjenkjenning som kreves før du pålaster enheten til Microsoft Defender for endepunkt skymiljø, for å klargjøre maskinen for pålasting. Sørg for at alle forutsetninger er oppfylt.

Obs!

Microsoft Defender Antivirus installeres og vil være aktiv med mindre du angir passiv modus.

Alternativer for å installere Microsoft Defender for endepunkt-pakker

I forrige del lastet du ned en installasjonspakke. Installasjonspakken inneholder installasjonsprogrammet for alle Microsoft Defender for endepunkt komponenter.

Du kan bruke ett av følgende alternativer for å installere agenten:

Installere Microsoft Defender for endepunkt ved hjelp av kommandolinjen

Bruk installasjonspakken fra forrige trinn til å installere Microsoft Defender for endepunkt.

Kjør følgende kommando for å installere Microsoft Defender for endepunkt:

Msiexec /i md4ws.msi /quiet

Hvis du vil avinstallere, må du kontrollere at maskinen er avlastet først ved hjelp av riktig avlastingsskript. Bruk deretter Kontrollpanel > Programmer > og funksjoner til å utføre avinstallasjonen.

Du kan også kjøre følgende avinstalleringskommando for å avinstallere Microsoft Defender for endepunkt:

Msiexec /x md4ws.msi /quiet

Du må bruke den samme pakken du brukte til installasjon for kommandoen ovenfor for å lykkes.

Bryteren /quiet undertrykker alle varsler.

Obs!

Microsoft Defender Antivirus går ikke automatisk inn i passiv modus. Du kan velge å angi Microsoft Defender Antivirus skal kjøre i passiv modus hvis du kjører en løsning for antivirus-/beskyttelse mot skadelig programvare som ikke er fra Microsoft. For kommandolinjeinstallasjoner angir valgfritt FORCEPASSIVEMODE=1 umiddelbart Microsoft Defender Antivirus-komponenten til passiv modus for å unngå forstyrrelser. Deretter, for å sikre at Defender Antivirus forblir i passiv modus etter pålasting for å støtte funksjoner som EDR Block, angir du registernøkkelen "ForceDefenderPassiveMode".

Støtte for Windows Server gir dypere innsikt i serveraktiviteter, dekning for kjerne- og minneangrepsgjenkjenning, og muliggjør responshandlinger.

Installere Microsoft Defender for endepunkt ved hjelp av et skript

Du kan bruke hjelpeskriptet for installasjonsprogrammet til å automatisere installasjon, avinstallasjon og pålasting.

Obs!

Installasjonsskriptet er signert. Eventuelle endringer i skriptet vil gjøre signaturen ugyldig. Når du laster ned skriptet fra GitHub, er den anbefalte fremgangsmåten for å unngå utilsiktet endring å laste ned kildefilene som et ZIP-arkiv, og deretter trekke det ut for å hente install.ps1-filen (på hovedkodesiden klikker du rullegardinmenyen Kode og velger Last ned ZIP").

Dette skriptet kan brukes i ulike scenarioer, inkludert scenarioene som er beskrevet i serveroverføringsscenarioer fra den forrige MMA-baserte Microsoft Defender for endepunkt-løsningen og for distribusjon ved hjelp av gruppepolicy som beskrevet nedenfor.

Bruk Microsoft Defender for endepunkt installasjons- og pålastingspakker ved hjelp av gruppepolicy når du utfører installasjonen med et installasjonsskript

  1. Opprett en gruppepolicy:
    Åpne gruppepolicy Management Console (GPMC), høyreklikk gruppepolicy Objekter du vil konfigurere, og velg Ny. Skriv inn navnet på det nye gruppepolicyobjektet i dialogboksen som vises, og velg OK.

  2. Åpne gruppepolicy Management Console (GPMC), høyreklikk på gruppepolicy Object (GPO) du vil konfigurere, og velg Rediger.

  3. I gruppepolicy Management Redaktør går du til Datamaskinkonfigurasjon, deretter Innstillinger og deretter Innstillinger i Kontrollpanel.

  4. Høyreklikk planlagte aktiviteter, pek på Ny, og klikk deretter Umiddelbar oppgave (minst Windows 7).

  5. Gå til Generelt-fanen i Oppgave-vinduet som åpnes. Velg Endre bruker eller gruppe underSikkerhetsalternativer, og skriv inn SYSTEM, og velg deretter Kontroller navn og DERETTER OK. NT AUTHORITY\SYSTEM vises som brukerkontoen som oppgaven vil kjøre som.

  6. Velg Kjør om brukeren er logget på eller ikke , og merk av for Kjør med de høyeste rettighetene .

  7. Skriv inn et passende navn for den planlagte aktiviteten (for eksempel Defender for endepunktdistribusjon) i Navn-feltet.

  8. Gå til Handlinger-fanen , og velg Ny... Kontroller at Start et program er valgt i Handling-feltet . Installasjonsskriptet håndterer installasjonen, og utfører umiddelbart pålastingstrinnet etter at installasjonen er fullført. Velg C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe angi argumentene:

     -ExecutionPolicy RemoteSigned \\servername-or-dfs-space\share-name\install.ps1 -OnboardingScript \\servername-or-dfs-space\share-name\windowsdefenderatponboardingscript.cmd

    Obs!

    Den anbefalte innstillingen for kjøringspolicy er Allsigned. Dette krever at du importerer skriptets signeringssertifikat til lageret for klarerte utgivere for lokal datamaskin hvis skriptet kjører som SYSTEM på endepunktet.

    Erstatt \\servername-or-dfs-space\share-name med UNC-banen ved hjelp av filserverens fullstendige domenenavn (FQDN) for den delte install.ps1-filen . Installasjonspakken md4ws.msi må plasseres i samme katalog. Kontroller at tillatelsene for UNC-banen tillater skrivetilgang til datamaskinkontoen som installerer pakken, for å støtte oppretting av loggfiler. Hvis du vil deaktivere oppretting av loggfiler (anbefales ikke), kan du bruke parameterne -noETL -noMSILog.

    Legg til parameteren $Passive for å angi passiv modus under installasjonen for scenarioer der du vil at Microsoft Defender Antivirus skal eksistere sammen med løsninger som ikke er microsoft-beskyttelse mot skadelig programvare.

  9. Velg OK , og lukk alle åpne GPMC-vinduer.

  10. Hvis du vil koble gruppepolicyobjektet til en organisasjonsenhet (OU), høyreklikker du og velger Koble et eksisterende gruppepolicyobjekt. Velg gruppepolicy objektet du vil koble, i dialogboksen som vises. Velg OK.

Hvis du vil ha flere konfigurasjonsinnstillinger, kan du se Konfigurere innstillinger for eksempelsamling og Andre anbefalte konfigurasjonsinnstillinger.

TRINN 3: Fullfør trinnene for pålasting

Følgende trinn gjelder bare hvis du bruker en tredjeparts løsning for skadelig programvare. Du må bruke følgende Microsoft Defender antivirusinnstilling for passiv modus. Kontroller at den er riktig konfigurert:

  1. Angi følgende registeroppføring:

    • Sti: HKLM\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection
    • Navn: ForceDefenderPassiveMode
    • Type: REG_DWORD
    • Verdi: 1

    Bekreftelsesresultatet for passiv modus

Kjente problemer og begrensninger i den nye, enhetlige løsningspakken for Windows Server 2016 og Windows Server 2012 R2

Viktig

Last alltid ned den nyeste installasjonspakken fra Microsoft Defender portalen (https://security.microsoft.com) før du utfører en ny installasjon, og sørg for at forutsetningene er oppfylt. Etter installasjonen må du sørge for å oppdatere regelmessig ved hjelp av komponentoppdateringer som er beskrevet i delen Oppdateringspakker for Microsoft Defender for endepunkt på Windows Server 2012 R2 og 2016.

  • En operativsystemoppdatering kan introdusere et installasjonsproblem på maskiner med langsommere disker på grunn av et tidsavbrudd med tjenesteinstallasjon. Installasjonen mislykkes med meldingen «Finner ikke c:\programfiler\windows defender\mpasdesc.dll, – 310 WinDefend». Bruk den nyeste installasjonspakken og det nyeste install.ps1 skriptet for å fjerne den mislykkede installasjonen om nødvendig.

  • brukergrensesnittet på Windows Server 2016 og Windows Server 2012 R2 tillater bare grunnleggende operasjoner. Hvis du vil utføre operasjoner på en enhet lokalt, kan du se Administrere Microsoft Defender for endepunkt med PowerShell, WMI og MPCmdRun.exe. Derfor kan det hende at funksjoner som er spesielt avhengige av brukersamhandling, for eksempel hvor brukeren blir bedt om å ta en beslutning eller utføre en bestemt oppgave, ikke fungerer som forventet. Det anbefales å deaktivere eller ikke aktivere brukergrensesnittet eller kreve brukersamhandling på en administrert server, da det kan påvirke beskyttelsesfunksjonen.

  • Ikke alle regler for reduksjon av angrepsoverflaten gjelder for alle operativsystemer. Se regler for reduksjon av angrepsoverflaten.

  • Operativsystemoppgraderinger støttes ikke. Avinstaller og avinstaller før du oppgraderer. Installasjonspakken kan bare brukes til å oppgradere installasjoner som ennå ikke er oppdatert med ny plattform for beskyttelse mot skadelig programvare eller oppdateringspakker for EDR-sensor.

  • Hvis du vil distribuere den nye løsningen automatisk ved hjelp av Microsoft Endpoint Configuration Manager (MECM), må du være på versjon 2207 eller nyere. Du kan fortsatt konfigurere og distribuere ved hjelp av versjon 2107 med hurtigreparasjonsoppdatering, men dette krever flere distribusjonstrinn. Se Microsoft Endpoint Configuration Manager overføringsscenarioer for mer informasjon.

Windows Server Semi-Annual Enterprise Channel (SAC), Windows Server 2019 og Windows Server 2022

Last ned pakke

  1. Gå til Innstillinger-endepunkter >> Enhetsbehandling Pålasting i >Microsoft Defender XDR.

  2. Velg Windows Server 1803 og 2019.

  3. Velg Last ned pakke. Lagre den som WindowsDefenderATPOnboardingPackage.zip.

  4. Følg trinnene i delen Fullfør pålastingstrinnene .

Kontrollere pålasting og installasjon

Kontroller at Microsoft Defender Antivirus og Microsoft Defender for endepunkt kjører.

Kjør en gjenkjenningstest for å bekrefte pålasting

Når du har pålastet enheten, kan du velge å kjøre en gjenkjenningstest for å bekrefte at en enhet er riktig pålastet tjenesten. Hvis du vil ha mer informasjon, kan du se Kjøre en gjenkjenningstest på en nylig pålastet Microsoft Defender for endepunkt enhet.

Obs!

Det er ikke nødvendig å kjøre Microsoft Defender Antivirus, men det anbefales. Hvis et annet antivirusleverandørprodukt er den primære endepunktbeskyttelsesløsningen, kan du kjøre Defender Antivirus i passiv modus. Du kan bare bekrefte at passiv modus er på etter å ha bekreftet at Microsoft Defender for endepunkt sensor (SENSE) kjører.

  1. Kjør følgende kommando for å kontrollere at Microsoft Defender Antivirus er installert:

    Obs!

    Dette bekreftelsestrinnet er bare nødvendig hvis du bruker Microsoft Defender Antivirus som aktiv løsning for beskyttelse mot skadelig programvare.

    sc.exe query Windefend

    Hvis resultatet er «Den angitte tjenesten finnes ikke som en installert tjeneste», må du installere Microsoft Defender Antivirus.

    Hvis du vil ha informasjon om hvordan du bruker gruppepolicy til å konfigurere og administrere Microsoft Defender Antivirus på Windows-serverne, kan du se Bruke gruppepolicy-innstillingene til å konfigurere og administrere Microsoft Defender Antivirus.

  2. Kjør følgende kommando for å kontrollere at Microsoft Defender for endepunkt kjører:

    sc.exe query sense

    Resultatet skal vise at det kjører. Hvis det oppstår problemer med pålasting, kan du se Feilsøke pålasting.

Kjøre en gjenkjenningstest

Følg trinnene i Kjør en gjenkjenningstest på en nylig pålastet enhet for å bekrefte at serveren rapporterer til Defender for Endpoint-tjenesten.

Neste trinn

Når pålasting av enheter til tjenesten er fullført, må du konfigurere de individuelle komponentene i Microsoft Defender for endepunkt. Følg konfigureringsfunksjonene som skal veiledes for å aktivere de ulike komponentene.

Eksterne Windows-servere

Du kan koble fra Windows Server 2012 R2, Windows Server 2016, Windows Server (SAC), Windows Server 2019 og Windows Server 2019 Core-utgaven med samme metode som er tilgjengelig for Windows 10 klientenheter.

Etter avlasting kan du fortsette å avinstallere den enhetlige løsningspakken på Windows Server 2016 og Windows Server 2012 R2.

For andre Windows Server-versjoner har du to alternativer for å koble fra Windows-servere fra tjenesten:

  • Avinstallere MMA-agenten
  • Fjern konfigurasjonen defender for endepunktarbeidsområde

Obs!

Disse offboarding-instruksjonene for andre Windows Server-versjoner gjelder også hvis du kjører forrige Microsoft Defender for endepunkt for Windows Server 2016 og Windows Server 2012 R2 som krever MMA. Instruksjoner for å overføre til den nye enhetlige løsningen er på serveroverføringsscenarioer i Microsoft Defender for endepunkt.

Tips

Vil du lære mer? Engage med Microsoft Security-fellesskapet i teknisk fellesskap: Microsoft Defender for endepunkt teknisk fellesskap.