Integreer Windows-apparaten in Microsoft Defender voor Eindpunt met groepsbeleid

  • Van toepassing op: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Je kunt Active Directory Domain Services (AD DS) Group Policy gebruiken om ondersteunde Windows-clientapparaten en Windows Server-apparaten op grote schaal te onboarden naar Microsoft Defender voor Eindpunt. Dit artikel legt uit hoe je het onboardingpakket uitrolt, monsterverzameling configureert, de implementatie verifieert en apparaten offboardt. Voordat je begint, bekijk eerst de implementatievereisten en bevestig dat Group Policy de juiste deploymentmethode is voor jouw omgeving.

Opmerking

Het Defender-implementatieprogramma kan worden gebruikt voor het implementeren van Defender-eindpuntbeveiliging op Windows- en Linux-apparaten. Het hulpprogramma is een lichtgewicht, zelf-bijwerkende toepassing die het implementatieproces stroomlijnt. Zie Microsoft Defender-eindpuntbeveiliging implementeren op Windows-apparaten met het hulpprogramma Defender-implementatie en Microsoft Defender-eindpuntbeveiliging implementeren op Linux-apparaten met het hulpprogramma Defender-implementatie (preview-versie) voor meer informatie.

Vereisten

Om Groepsbeleid te vergelijken met andere implementatieopties, raadpleegt u Architectuur en implementatiemethoden van Defender for Endpoint identificeren.

Apparaten integreren met Group Policy

Download het onboardingpakket, maak een direct geplande taak aan en deploy de taak op de Windows-apparaten die je wilt onboarden.

  1. Op de Onboarding-pagina in het Microsoft Defender-portaal op https://security.microsoft.com/securitysettings/endpoints/onboarding, configureer je het pakket:

    1. Stap 1: Selecteer een besturingssysteem om de implementatie te starten: Selecteer de versiegroep van het besturingssysteem voor de doelapparaten. Selecteer Windows niet, dat start de aparte workflow van de Defender-implementatietool.
    2. Als het type connectiviteit beschikbaar is, kies dan de connectiviteitsmethode voor jouw omgeving.
    3. Selecteer voor de Deployment-methodeGroepsbeleid.
    4. Selecteer Onboardingpakket downloaden.

  2. Pak het gedownloade .zip bestand uit naar een gedeelde, alleen-lezen locatie waar de doelapparaten toegang toe hebben. Het uitgepakte pakket bevat het WindowsDefenderATPOnboardingScript.cmd bestand.

  3. Open de GPMC, klik met de rechtermuisknop op Group Policy Objects en selecteer Nieuw. Voer een naam in voor de GPO en selecteer dan OK.

  4. Klik met de rechtermuisknop op de nieuwe GPO en selecteer Bewerken.

  5. Ga in de Groepsbeleidbeheer-editor naar Computerconfiguratievoorkeuren>>Configuratiescherm Instellingen.

  6. Klik met de rechtermuisknop op Geplande taken, selecteer Nieuw en selecteer vervolgens Directe Taak (in ieder geval Windows 7).

  7. Op het tabblad Algemeen configureer je de taak:

    1. Selecteer onder BeveiligingsoptiesGebruiker of Groep wijzigen.
    2. Voer SYSTEM in, selecteer Namen controleren en selecteer vervolgens OK. Het account wordt weergegeven als NT AUTHORITY\SYSTEM.
    3. Selecteer Uitvoeren of de gebruiker is aangemeld of niet.
    4. Selecteer Uitvoeren met de hoogste bevoegdheden.
    5. Voer een beschrijvende taaknaam in, zoals Defender for Endpoint onboarding.

    Opmerking

    Op Windows Server 2019 en later, als de groepsbeleidvoorkeur XML bevat NT AUTHORITY\Well-Known-System-Account, vervang die waarde door NT AUTHORITY\SYSTEM.

  8. Selecteer op het tabblad ActiesNieuw en configureer de actie:

    1. Selecteer voor ActieStart een programma.
    2. Voor Program/script voer je het Universal Naming Convention (UNC)-pad in naar het gedeelde WindowsDefenderATPOnboardingScript.cmd bestand. Gebruik de volledig gekwalificeerde domeinnaam (FQDN) van de bestandsserver in het pad.
    3. Kies OK.

  9. Selecteer OK en sluit de Group Policy Management Editor.

  10. Koppel in de GPMC de GPO aan de site, het domein of de OU die de doelapparaten bevat. Test de GPO met een beperkte apparaatgroep voordat je hem breed uitrolt.

Voor informatie over het koppelen en valideren van GPO's, zie Group Policy Management Console.

Configureer monsterverzameling

Defender for Endpoint kan bestanden verzamelen van onboarded apparaten wanneer een analist een bestand aanvraagt voor diepgaande analyse. Configureer het monsterverzamelbeleid om te bepalen of apparaten op deze verzoeken kunnen reageren.

  1. Kopieer op het apparaat waar je Group Policy beheert, de administratieve templatebestanden van Defender for Endpoint uit het uitgepakte onboardingpakket:

    • Voor een lokale map met beleidsdefinities:
      • Kopieer AtpConfiguration.admx naar C:\Windows\PolicyDefinitions.
      • Kopieer AtpConfiguration.adml naar de betreffende taalmap, zoals C:\Windows\PolicyDefinitions\en-US.
    • Voor een centrale winkel:
      • Kopieer AtpConfiguration.admx naar \\<forest-root>\SYSVOL\<forest-root>\Policies\PolicyDefinitions.
      • Kopieer AtpConfiguration.adml naar de betreffende taalmap, zoals \\<forest-root>\SYSVOL\<forest-root>\Policies\PolicyDefinitions\en-US.

  2. Klik in de GPMC met de rechtermuisknop op de GPO die je gebruikt voor de instellingen van Defender for Endpoint en selecteer Bewerken.

  3. In de Group Policy Management Editor gaat u naar Computer Configuration>Policies>Administrative Templates>Windows Components>Windows Defender ATP.

    Opmerking

    Windows Defender ATP is de oude naam die in dit administratieve sjabloon voorkomt.

  4. Open Inschakelen of uitschakelen Monsterverzameling, selecteer Ingeschakeld, selecteer Inschakelen van monsterverzameling op machines en selecteer vervolgens OK.

Als je dit beleid niet configureert, staat monsterverzameling standaard in.

Onboarding verbindt apparaten met Defender for Endpoint, maar het configureert geen Microsoft Defender Antivirus of andere endpoint-beschermingsfuncties. Gebruik dezelfde GPO of aparte GPO's om de beveiligingsmaatregelen die je organisatie vereist te configureren.

Eindpuntbeveiligingsconfiguratie bijwerken

In Microsoft Defender Antivirus platform versie 4.18.2208.0 en later schakelt het Turn off Windows Defender-beleid Defender Antivirus niet langer volledig uit op onboarded apparaten die Windows Server 2012 R2 en later draaien. In plaats daarvan plaatst het beleid Defender Antivirus in passieve modus. Als het beleid al is ingeschakeld voordat je de server aan boord neemt, blijft Defender Antivirus uitgeschakeld. Dit gedrag geldt alleen voor servers die aan Defender for Endpoint zijn gekoppeld.

Als je een niet-Microsoft antivirusoplossing gebruikt, bekijk dan de compatibiliteit van Microsoft Defender Antivirus voordat je de antivirusmodus instelt. Anders ga je in de Group Policy Management Editor naar Computer Configuration>Policies>Administrative TemplatesWindows>ComponentsMicrosoft>Defender Antivirus en zet Turn Off Microsoft Defender Antivirus op Uitgeschakeld of Niet geconfigureerd. Voor Windows Server-modus en richtlijnenForceDefenderPassiveMode, zie Configureer Microsoft Defender Antivirus op Windows Server.

Configureer en test de volgende beschermingen volgens de eisen van uw organisatie:

Verifieer de onboarding van het apparaat

Group Policy rapporteert de deploymentstatus niet aan Defender for Endpoint. Gebruik Group Policy Results om te bevestigen dat de GPO is toegepast, en verifieer vervolgens het apparaat in het Defender-portaal.

  1. Op de pagina Apparaatinventaris in het Microsoft Defender-portaal op https://security.microsoft.com/machines?category=all-devices, zoek naar het apparaat.

  2. Open de apparaatpagina en controleer of het apparaat is geïnboardd en dat de gezondheidstoestand van de sensor actief is.

Nadat de GPO is toegepast en de geplande taak is uitgevoerd, verschijnt het apparaat meestal binnen enkele minuten in de inventaris. Groepsbeleidreplicatie, beleidsvernieuwing en netwerkconnectiviteit kunnen de rapportage uitstellen.

Om een testwaarschuwing te genereren en end-to-end rapportage te bevestigen, zie Voer een detectietest uit op een nieuw geïnstalleerd apparaat. Als het apparaat niet verschijnt of rapporteert zoals verwacht, raadpleeg Problemen met de onboarding van Microsoft Defender voor Eindpunt oplossen.

Apparaten uitschakelen met Groepsbeleid

Het offboardingpakket verloopt zeven dagen nadat je het hebt gedownload. Defender for Endpoint wijst verlopen pakketten af, en de vervaldatum verschijnt in de bestandsnaam van het pakket.

Belangrijk

Rol de onboarding- en offboarding-beleidsregels niet tegelijkertijd op hetzelfde apparaat uit. Verwijder of ontkoppel de onboarding-GPO van de doelapparaten voordat je de offboarding-GPO uitrolt.

Om apparaten te offboarden met behulp van Groepsbeleid, maak je een aparte GPO aan voor de offboardingtaak:

  1. Op de Offboarding-pagina in het Microsoft Defender-portaal op https://security.microsoft.com/securitysettings/endpoints/offboarding, configureer je het pakket:

    1. Selecteer de versiegroep van het besturingssysteem voor de doelapparaten. Selecteer Windows niet, dat start de aparte workflow van de Defender-implementatietool.
    2. Selecteer voor de Deployment-methodeGroepsbeleid.
    3. Selecteer Pakket downloaden en selecteer vervolgens Downloaden in het bevestigingsmenu.

  2. Pak het gedownloade .zip bestand uit naar een gedeelde, alleen-lezen locatie waar de doelapparaten toegang toe hebben. Het uitgepakte pakket bevat een bestand genaamd WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd.

  3. Maak in de GPMC een GPO aan voor offboarding en bewerk de GPO.

  4. Ga in de Groepsbeleidbeheer-editor naar Computerconfiguratievoorkeuren>>Configuratiescherm Instellingen.

  5. Klik met de rechtermuisknop op Geplande taken, selecteer Nieuw en selecteer vervolgens Directe Taak (in ieder geval Windows 7).

  6. Op het tabblad Algemeen configureer je de taak als:

    • Uitvoeren als NT AUTHORITY\SYSTEM.
    • Voer het uit, ongeacht of de gebruiker is ingelogd of niet.
    • Ren met de hoogste privileges.
    • Gebruik een beschrijvende naam, zoals Defender for Endpoint offboarding.

  7. Selecteer op het tabblad ActiesNieuw en configureer de actie:

    1. Selecteer voor ActieStart een programma.
    2. Voor Program/script voer je het UNC-pad naar het gedeelde WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd bestand in. Gebruik de FQDN van de bestandsserver in het pad.
    3. Kies OK.

  8. Klik op OK, sluit de Group Policy Management Editor en koppel de GPO voor offboarding aan de doelsite, het domein of de OU.

Offboarding voorkomt dat het apparaat nieuwe detectie-, kwetsbaarheids- en beveiligingsgegevens naar Defender for Endpoint stuurt. Historische gegevens blijven in de Defender-portal totdat de geconfigureerde bewaarperiode verloopt. Het apparaatprofiel, zonder data, blijft tot wel 180 dagen in de apparaatinventaris. Voor meer informatie, zie Offboard-apparaten.

Verwante onderwerpen

  • Laatst bijgewerkt om