Krok 1: Konfiguruj łączność sieciową z Ochrona punktu końcowego w usłudze Microsoft Defender

Ważna

Niektóre informacje zawarte w tym artykule odnoszą się do wersji wstępnej produktu, który może zostać znacznie zmodyfikowany do czasu wydania wersji komercyjnej. Firma Microsoft nie udziela żadnych gwarancji, wyrażonych ani dorozumianych, w odniesieniu do informacji podanych tutaj.

Przed wdrożeniem urządzeń w usłudze Microsoft Defender dla punktów końcowych skonfiguruj dostęp przez zaporę lub serwer proxy do wymaganych adresów URL usługi. Pozwól na połączenia wychodzące i omiń inspekcję HTTPS, aby usprawnić łączność. Ten artykuł określa listę adresów URL do użycia oraz zawiera wymagania dotyczące proxy i zapory sieciowej dla starszych urządzeń Windows korzystających z Microsoft Monitoring Agent (MMA).

Aby zapewnić sprawną łączność, wyklucz ruch do *.endpoint.security.microsoft.com z inspekcji SSL/TLS, przechwytywania ruchu HTTPS oraz pośredniczenia przez serwer proxy typu man-in-the-middle (MITM). Jeśli włączysz inspekcję SSL, czujniki Defender for Endpoint mogą nie komunikować się z usługami back-endowymi, co może skutkować niepowodzeniami podczas wdrażania lub problemami z łącznością.

Uwaga

• Od 8 maja 2024 roku domyślną metodą onboardingu jest usprawniona łączność . Na stronie Funkcje opcjonalne w portalu Microsoft Defender pod adresem https://security.microsoft.com/securitysettings/endpoints/integration użyj ustawienia Domyślnie używaj uproszczonej łączności podczas dołączania urządzeń w portalu Defender, aby wybrać, czy dołączanie urządzeń ma korzystać z uproszczonej czy standardowej łączności. Aby wdrażać za pośrednictwem usługi Microsoft Intune lub Microsoft Defender dla Chmury, ustaw opcję Zastosuj uproszczone ustawienia łączności do urządzeń zarządzanych przez usługi Intune i Defender dla Chmury na Wł.. To ustawienie dotyczy nowo wprowadzonych urządzeń. Istniejące urządzenia nie są automatycznie ponownie dołączane. Aby migrować istniejące urządzenia, zobacz Migruj urządzenia, aby skorzystać z metody usprawnionej łączności.

• Aby działać obecnie i przyszło, urządzenia muszą mieć możliwość dostępu do skonsolidowanej domeny dla swojego środowiska chmurowego, nawet jeśli korzystają ze standardowej łączności:

  • *.endpoint.security.microsoft.com dla środowisk komercyjnych.
  • *.endpoint.security.microsoft.us dla środowisk rządowych USA (wersja zapoznawcza).

• Nowe regiony domyślnie mają uproszoną łączność i nie mogą przechodzić do standardowej łączności. Aby uzyskać więcej informacji, zobacz Dołączanie urządzeń przy użyciu uproszczonej łączności dla Ochrona punktu końcowego w usłudze Microsoft Defender.

Włącz dostęp do adresów URL usługi Ochrona punktu końcowego w usłudze Microsoft Defender na serwerze proxy

Poniższe sekcje określają usługi i powiązane adresy URL, do których urządzenia w Twojej sieci muszą się łączyć. Upewnij się, że żadne reguły filtrowania sieciowego ani zapory sieciowej nie odmawiają dostępu do tych adresów URL. Możesz potrzebować stworzyć dla nich regułę zezwalającą .

Usprawniona łączność konsoliduje podstawowy ruch usługi Defender for Endpoint, ale nie zastępuje zależności od usług pomocniczych. Przejrzyj wspólne punkty końcowe w odpowiedniej, uproszczonej liście URL, w tym systemy operacyjne, aktualizacje, walidację certyfikatów oraz specyficzne dla scenariusza punkty końcowe. Na przykład narzędzie wdrożeniowe Defender dla Linuksa wymaga osobnego endpointu pobierania.

Uprościone listy adresów URL łączności

• Usprawniona łączność dla klientów komercyjnych: Korzystaj z uproszczonych adresów URL łączności dla klientów komercyjnych.
• Usprawniona łączność dla klientów rządu USA, GCC i DoD (Zapowiedź): Korzystaj z uprościonych adresów URL łączności dla klientów rządowych.

Pełną listę wymagań systemu operacyjnego dotyczącego uproszczonej łączności można znaleźć w artykule Wymagania wstępne dla uprostronionych łączności. Obsługiwane są następujące systemy operacyjne i wersje:

• Windows 11.
• Windows 10, wersja 1809 (październik 2018) lub nowsza.
• Windows Server 2019 lub nowszy.
• Windows Server 2016 oraz Windows Server 2012 R2 działające na nowoczesnym zunifikowanym rozwiązaniu Defender for Endpoint, które wymaga instalacji za pomocą pakietu MSI.
• Obsługiwane wersje systemu macOS z uruchomionym programem Defender for Endpoint w wersji 101.24022.* (z marca 2024 r.) lub nowszej.
• Obsługiwane wersje systemu Linux z uruchomioną aplikacją Defender for Endpoint w wersji 101.24022.* (marzec 2024) lub nowszej.
• Azure Stack HCI OS, wersja 23H2 lub nowsza.

Usprawniona łączność wymaga następujących minimalnych wersji komponentów:

• Klient antymalware: 4.18.2211.5 (listopad 2022) lub nowszy.
• Silnik: 1.1.19900.2 (listopad 2022) lub nowszy.
• Wywiad bezpieczeństwa: 1.391.345.0 (czerwiec 2023) lub później.
• Klient wieloplatformowy: 101.24022.* (marzec 2024) lub później.
• Czujnik Defender for Endpoint (SENSE): 10.8040.* (marzec 2022 r.) lub nowszy.

Jeśli przenosisz wcześniej wdrożone urządzenia do uproszczonego modelu łączności, zobacz Migrowanie łączności urządzeń.

Wersje Windows 10 od 1607 (sierpień 2016) do 1803 (kwiecień 2018) są obsługiwane przez uproszczony pakiet onboarding, ale wymagają dłuższej listy adresów URL w odpowiednim artykule. Te wersje nie obsługują ponownego przejścia procesu wdrożenia. Najpierw musisz je całkowicie wycofać.

Urządzenia działające na Windows 7, Windows 8.1, Windows Server 2008 R2 z agentem Microsoft Monitoring Agent (MMA) lub serwery, które nie zostały zaktualizowane do zunifikowanego rozwiązania, muszą nadal korzystać z metody onboardingu MMA.

Standardowe listy URL łączności

• Standardowa łączność dla klientów komercyjnych: Używaj standardowych adresów URL łączności dla klientów komercyjnych. Defender for Endpoint Plan 1 i Plan 2 używają tych samych adresów URL usług proxy. W zaporze sieciowej otwórz wszystkie adresy URL, dla których w kolumnie Geografia widnieje wartość WW. Dla innych wierszy otwórz adresy URL dla swojej konkretnej lokalizacji danych. Aby zweryfikować lokalizację danych, zobacz Zweryfikowaj lokalizację przechowywania danych i zaktualizuj ustawienia przechowywania danych dla Ochrona punktu końcowego w usłudze Microsoft Defender. Nie wykluczaj *.blob.core.windows.net z inspekcji sieci. Wyklucz tylko adresy URL obiektów blob usługi Defender for Endpoint wymienione na liście adresów URL.
• Standardowa łączność dla klientów rządu USA, GCC i DoD: Używaj standardowych adresów URL łączności dla klientów rządowych.

Ważna

• Połączenia pochodzą z systemu operacyjnego lub usług klienta Defender, więc proxy nie powinny wymagać uwierzytelniania dla tych miejsc. Aby usprawnić łączność, skonfiguruj zasady serwera proxy i zabezpieczeń sieciowych tak, aby pomijały inspekcję ruchu *.endpoint.security.microsoft.com lub *.endpoint.security.microsoft.us. Nie skanuj, nie analizuj, nie przechwytuj ani nie używaj serwera proxy typu man-in-the-middle (MITM) w odniesieniu do tego ruchu.
• Firma Microsoft nie udostępnia serwera proxy. Te adresy URL są dostępne za pośrednictwem skonfigurowanego serwera proxy.
• Defender for Endpoint przetwarza dane zgodnie z lokalizacją geograficzną zidentyfikowaną podczas przydzielania najemcy. W zależności od lokalizacji klienta, ruch może przepływać przez dowolny powiązany region IP, który odpowiada regionowi centrum danych Azure. Aby uzyskać więcej informacji, zobacz Przechowywanie danych i prywatność.

Skonfiguruj wymagania dotyczące serwera proxy i zapory sieciowej dla komercyjnych urządzeń MMA

W środowiskach komercyjnych zezwól na następujące lokalizacje docelowe, aby Defender for Endpoint mógł komunikować się przez MMA w systemach Windows 7 SP1, Windows 8.1 i Windows Server 2008 R2. W środowiskach rządowych USA używaj miejsc docelowych MMA w standardowych adresach URL połączeń Ochrona punktu końcowego w usłudze Microsoft Defender dla instytucji rządowych USA.

Miejsce docelowe agenta	Port	Kierunek	Pomijanie inspekcji HTTPS
*.ods.opinsights.azure.com	443	Wychodzący	Tak
*.oms.opinsights.azure.com	443	Wychodzący	Tak
*.blob.core.windows.net	443	Wychodzący	Tak
*.agentsvc.azure-automation.net	443	Wychodzący	Tak

Aby określić dokładne miejsca docelowe używane przez Twoją subskrypcję wśród domen agenta Log Analytics wymienionych w poprzedniej tabeli, zobacz Połączenia z adresami URL usługi Microsoft Monitoring Agent (MMA).

Uwaga

Rozwiązania oparte na MMA nie obsługują uproszczonej łączności poprzez skonsolidowane adresy URL ani statyczne adresy IP. Dla Windows Server 2016 i Windows Server 2012 R2 należy zaktualizować do rozwiązania zunifikowanego. Aby zintegrować te systemy operacyjne z rozwiązaniem zunifikowanym, zobacz Onboard Windows servers. Aby przeprowadzić migrację urządzeń już wdrożonych za pomocą MMA, zobacz Scenariusze migracji serwerów w usłudze Ochrona punktu końcowego w usłudze Microsoft Defender.

Podłącz urządzenia bez bezpośredniego dostępu do internetu

W przypadku urządzeń bez bezpośredniego połączenia z internetem używaj proxy. Jeśli Twoja sieć pozwala tylko na reguły oparte na IP, a nie na domenie, skonfiguruj zaporę sieciową lub bramę, aby umożliwiały wymagane zakresy IP. Więcej informacji można znaleźć w artykule Usprawniona łączność urządzeń.

Ważna

• Ochrona punktu końcowego w usłudze Microsoft Defender to rozwiązanie chmurowe do zabezpieczeń. Urządzenia muszą łączyć się bezpośrednio lub przez proxy lub inne urządzenia sieciowe z usługami chmurowymi Defender, a rozdzielczość systemu nazw domen (DNS) jest zawsze wymagana. Zaleca się konfigurację proxy obejmującą cały system.
• Klienci Windows i urządzenia Windows Server w środowiskach odłączonych muszą być w stanie aktualizować listy zaufania certyfikatów (CTL) offline, za pośrednictwem wewnętrznego pliku lub serwera WWW.
• Instrukcje można znaleźć w artykule Skonfiguruj plik lub serwer WWW do pobrania plików CTL.

Następny krok

Skonfiguruj urządzenia w celu nawiązania połączenia z usługą Defender for Endpoint przy użyciu serwera proxy.