Habilitar a integração com o Defender for Endpoint no Microsoft Defender para Nuvem

O Microsoft Defender para Nuvem integra-se nativamente ao Microsoft Defender para Ponto de Extremidade para fornecer recursos do Defender para Ponto de Extremidade e do Gerenciamento de Vulnerabilidades do Microsoft Defender no Defender para Nuvem.

Quando você habilita o plano do Defender para Servidores no Defender para Cloud, a integração com o Defender para Endpoint é ativada por padrão.
A integração implanta ou utiliza uma instalação existente do Defender for Endpoint em máquinas suportadas quando os pré-requisitos são atendidos.

Este artigo explica como ativar manualmente o Defender para integração com o Endpoint caso ele já estivesse desligado ou se você tiver uma assinatura legada que exige inscrição manual.

Pré-requisitos

Antes de habilitar a integração com o Defender for Endpoint, examine estes requisitos.

Requisito	Detalhes
Suporte do Windows	Confirme que cada máquina Windows executa uma versão do sistema operacional suportada pelo Defender for Endpoint.
Suporte para Linux	Para servidores Linux, instale Python 3. Python 3 é necessário para Red Hat Enterprise Linux (RHEL) 8.x e Ubuntu 20.04 ou versões posteriores. Algumas soluções de monitoramento de segurança Linux que utilizam fanotify podem afetar a implantação automática do Defender for Endpoint.
Máquinas Virtuais do Azure	Verifique se as VMs podem se conectar ao serviço do Defender para Ponto de Extremidade. Se as máquinas não tiverem acesso direto, as configurações de proxy ou as regras de firewall precisarão permitir o acesso às URLs do Defender para Ponto de Extremidade. Revise a configuração de proxy e internet do Windows e a configuração de proxy estático do Linux.
VMs locais	Recomendamos que você integre as máquinas locais como VMs habilitadas para o Azure Arc. Se você integrar VMs on-premises diretamente, os recursos do Defender for Servers Plan 1 estarão disponíveis, mas algumas funcionalidades do Defender for Servers Plan 2 não estarão disponíveis sem o Azure Arc.
Locatário do Azure	Se você tiver movido sua assinatura entre locatários do Azure, algumas etapas preparatórias manuais também serão necessárias. Entre em contato com o Suporte da Microsoft para obter os detalhes.
Instalação existente do Defender for Endpoint	O Defender para Nuvem pode usar um sensor Defender for Endpoint existente quando o dispositivo está associado à mesma organização Defender for Endpoint (tenant). O Defender para Nuvem não reatribui automaticamente um dispositivo que está integrado a uma organização diferente. Remova o dispositivo da organização anterior antes de integrá-lo à organização associada ao Defender para Nuvem.
Windows Server 2016, 2012 R2	Ao contrário das versões posteriores do Windows Server, que vêm com o sensor do Defender para Ponto de Extremidade pré-instalado, o Defender para Nuvem instala o sensor nos computadores que executam o Windows Server 2016/2012 R2 usando a solução unificada do Defender para Ponto de Extremidade.

Validação pré-implantação

Complete essas verificações antes de ativar a integração com o Defender for Endpoint:

Confirme que a máquina está ligada e roda um sistema operacional suportado.
Para máquinas habilitadas pelo Azure Arc, confirme que o Azure Connected Machine agent reporta uma conexão saudável.
Confirme que a máquina pode alcançar as URLs dos serviços do Defender para Endpoint. Não use um teste contra uma única URL como prova de que todos os endpoints de serviço necessários são acessíveis.
Confirme que seu proxy não requer autenticação interativa do usuário. O sensor Defender for Endpoint se conecta no contexto do sistema.
No Linux, confirme se a distribuição é suportada, o Python está instalado e o sistema de arquivos que contém /opt/microsoft/mdatp não está montado com noexec.
Revise a Política de Grupo e a configuração antimalware de terceiros para confirmar que o Microsoft Defender Antivirus e o driver Early Launch Antimalware (ELAM) não estão desativados.

Para uma avaliação completa de conectividade e prontidão dos sensores, execute o Microsoft Defender para Ponto de Extremidade Client Analyzer. O analisador testa os endpoints de serviço e coleta diagnósticos no mesmo contexto de segurança usado pelo sensor.

Colete informações de prontidão do Windows

O script PowerShell a seguir, somente leitura, coleta informações que são comumente necessárias quando você investiga uma falha de implantação. Ele não modifica o servidor e não substitui a verificação do sistema operacional suportada nem o Analisador de Clientes.

$os = Get-CimInstance Win32_OperatingSystem
$disk = Get-CimInstance Win32_LogicalDisk -Filter "DeviceID='$($env:SystemDrive)'"
$himds = Get-Service -Name himds -ErrorAction SilentlyContinue
$senseService = Get-Service -Name Sense -ErrorAction SilentlyContinue
$defenderService = Get-Service -Name WinDefend -ErrorAction SilentlyContinue

[pscustomobject]@{
    ComputerName             = $env:COMPUTERNAME
    OperatingSystem          = $os.Caption
    OSVersion                = $os.Version
    SystemDriveFreeGB        = [math]::Round($disk.FreeSpace / 1GB, 2)
    AzureArcAgent            = if ($himds) { $himds.Status } else { 'Not installed' }
    SenseService             = if ($senseService) { $senseService.Status } else { 'Not present' }
    DefenderAntivirusService = if ($defenderService) { $defenderService.Status } else { 'Not present' }
    PowerShellVersion        = $PSVersionTable.PSVersion.ToString()
}

Interprete a saída em relação aos requisitos da plataforma vinculada. Um serviço parado ou ausente não é, por si só, prova da causa raiz porque o estado esperado do serviço depende do sistema operacional e da fase de implantação.

Colete informações sobre prontidão Linux

Execute estes comandos para coletar pré-requisitos e informações de saúde do Linux:

cat /etc/os-release
python3 --version
findmnt -no TARGET,OPTIONS /
findmnt -T /opt -o TARGET,OPTIONS
azcmagent show
mdatp health

Se o Defender for Endpoint ainda não estiver instalado, o mdatp health comando não está disponível. Valide a distribuição e a versão com pré-requisitos do Defender for Endpoint no Linux e use o Client Analyzer após a instalação para validar a conectividade e coletar diagnósticos.

Implantação e verificação por plataforma

Windows Server 2019 e posterior

Ative o Defender para Servidores no Plano 1 ou no Plano 2.
Verifique se a proteção de endpoint está ativada em Configurações do ambiente>Proteção de endpoint.
Verifique o estado da extensão no portal Azure: VM>Extensões>MDE.Windows>O provisionamento foi bem-sucedido.
Verifique a integração no portal do Microsoft Defender: Dispositivos> nome do servidor.

Windows Server 2016 e Windows Server 2012 R2

Note

Para assinaturas legadas criadas antes da primavera de 2022, siga os passos em Assinaturas Legadas (criadas antes da primavera de 2022): Habilitar a solução unificada Defender for Endpoint no Windows Server 2016/2012 R2.

Ative o Defender para servidores.
Mantenha o sistema operacional e o Microsoft Defender Antivirus totalmente atualizados.
Após a instalação do agente unificado, certifique-se de que a Atualização KB5005292 do Antivírus do Defender seja aprovada e aplicada para que o sensor EDR continue recebendo atualizações.
Verifique a MDE.Windows extensão e o registro do dispositivo no portal do Microsoft Defender.

Servidores Linux

Valide a distribuição suportada, o requisito de Python, as opções de montagem do sistema de arquivos e a conectividade de saída antes da implantação.
Verificar o estado da extensão no portal do Azure: VM>Extensões>MDE.Linux>Provisionamento bem-sucedido.
Execute mdatp health e confirme que healthy e licensed são verdadeiros.
Se a instalação falhar, siga Solucionar problemas de instalação do Defender for Endpoint no Linux e aplique uma correção para um erro com formulação semelhante somente depois de confirmar a falha real nos logs de instalação ou extensão.

Habilitar o Defender para integração com o Endpoint em uma assinatura

Quando você ativa um plano Defender para Servidores, a integração com o Defender para Endpoint é ativada por padrão. Se você desativar a integração em uma assinatura, poderá ativá-la manualmente novamente.

Para habilitar a integração do Defender for Endpoint em uma assinatura:

Entre no portal do Azure.
Vá para Microsoft Defender para Nuvem>Environment settings.
Selecione a assinatura que contém as máquinas nas quais você quer implantar a integração com o Defender for Endpoint.
Vá para Configurações e monitoramento>Proteção de endpoint.
Defina Status como Ligado.
Selecione Continuar.
Selecione Salvar.
O sensor Defender for Endpoint é implantado em máquinas Windows e Linux suportadas que atendem aos pré-requisitos.
O Defender para Nuvem detecta uma instalação existente do Defender for Endpoint e a utiliza quando o dispositivo está associado à mesma organização Defender for Endpoint (tenant). Um dispositivo adicionado a outra organização não é automaticamente reatribuído.

Importante

Se esta for a primeira assinatura que você configura para integração do Defender for Endpoint no tenant, o onboarding pode levar até 12 horas. Após a integração ser ativada pela primeira vez, a adição de novas máquinas e assinaturas pode levar até uma hora.

Note

Para VMs do Azure criadas a partir de imagens generalizadas do sistema operacional, o Microsoft Defender para Ponto de Extremidade (MDE) não é provisionado automaticamente pela configuração de proteção de endpoint. Você pode habilitar manualmente o agente e a extensão do MDE usando CLI do Azure, API REST ou Azure Policy.

Verificar a instalação em computadores Linux

Para verificar a instalação do sensor do Defender for Endpoint em uma máquina Linux:

Execute o seguinte comando do shell em cada computador: mdatp health. Se o Microsoft Defender para Endpoint estiver instalado, você poderá ver seu status de integridade:

healthy : true

licensed: true
Além disso, no portal do Azure, você pode verificar se as máquinas Linux têm uma nova extensão do Azure chamada MDE.Linux.

Note

Em novas assinaturas, a integração do Defender para Endpoint é habilitada automaticamente e abrange computadores que executam um sistema operacional Windows Server ou Linux compatível. As seções Habilitar a solução unificada do Defender for Endpoint no Windows Server 2016/2012 R2 e Habilitar em máquinas Linux abordam procedimentos de ativação pontuais que podem ser necessários para assinaturas legadas.

Assinaturas legadas (criadas antes de spring-2022): Habilitar a solução unificada Defender for Endpoint no Windows Server 2016/2012 R2

Se você ativou o Defender para Servidores e ativou a integração com o Defender para Endpoint em uma assinatura criada antes da primavera de 2022, talvez precise ativar manualmente a integração da solução unificada para máquinas rodando Windows Server 2016 ou Windows Server 2012 R2 na assinatura.

Entre no portal do Azure.
Vá para Microsoft Defender para Nuvem>Environment settings.
Selecione a assinatura com as máquinas Windows para as quais você deseja receber o Defender for Endpoint.

O status do componente de proteção de endpoint é Parcial, o que significa que nem todas as partes do componente estão habilitadas.
Selecione Corrigir para ver os componentes que não estão habilitados.
Acesse Componentes ausentes>Solução unificada.
Na Componentes ausentes>Solução unificada, selecione Habilitar para instalar o agente do Defender para Ponto de Extremidade automaticamente nos computadores com Windows Server 2012 R2 e 2016 conectados ao Microsoft Defender para Nuvem.
Selecione Salvar.
Em Configurações e monitoramento, selecione Continuar.

O Defender para Nuvem integra computadores existentes e novos ao Defender para Ponto de Extremidade.

Se você estiver configurando o Defender para o Endpoint na primeira assinatura do seu tenant, a integração pode levar até 12 horas. Para novas máquinas e assinaturas que você cria após ativar a integração, a integração leva até uma hora.

Note

Habilitar a integração do Defender para Endpoint nos computadores Windows Server 2012 R2 e Windows Server 2016 é uma ação única. Se você desativar o plano Defender para Servidores e depois reativar, a integração permanece ativada.

Assinaturas herdadas (criadas antes do segundo semestre de 2021): habilite em computadores Linux (plano/integração habilitados)

Se o Defender para Servidores já estiver habilitado e a integração do Defender para Endpoint estiver ativada em uma assinatura existente antes do verão de 2021, talvez seja necessário habilitar manualmente a integração para máquinas Linux.

Entre no portal do Azure.
Vá para Microsoft Defender para Nuvem>Environment settings.
Selecione a assinatura com as máquinas Linux para a qual você deseja receber o Defender for Endpoint.

O status do componente de proteção de endpoint é Parcial, o que significa que nem todas as partes do componente estão habilitadas.
Selecione Corrigir para ver os componentes que não estão habilitados.
Em Componentes ausentes>Computadores Linux, selecione Habilitar.
Selecione Salvar para salvar suas configurações.
Em Configurações e monitoramento, selecione Continuar.
- O Defender para Nuvem integra os computadores Linux ao Defender para Ponto de Extremidade.
- O Defender para Nuvem detecta quaisquer instalações anteriores do Defender para Endpoint em computadores Linux e as reconfigura para integração com o Defender para Nuvem.
- Se você estiver configurando o Defender para o Endpoint na primeira assinatura do seu tenant, a integração pode levar até 12 horas. Para computadores criados após a integração ter sido habilitada, a integração leva até uma hora.
Para verificar a instalação do sensor do Defender para Ponto de Extremidade em um computador Linux, execute o seguinte comando do shell em cada computador.

mdatp health

Se o Microsoft Defender para Endpoint estiver instalado, você poderá ver seu status de integridade:

healthy : true

licensed: true
No portal do Azure, você pode verificar se os computadores Linux têm uma nova extensão do Azure chamada MDE.Linux.

Note

Você só precisa habilitar a integração do Defender para Ponto de Extremidade em computadores Linux uma única vez. Se você desabilitar o plano Defender para Servidores e habilitá-lo novamente, a integração permanecerá habilitada.

Habilitar a integração com o PowerShell em várias assinaturas

Para habilitar a integração do Defender para Servidores para máquinas Linux ou Windows Server 2012 R2 ou 2016 com a solução unificada do Microsoft Defender para Ponto de Extremidade (MDE) em várias assinaturas, use um dos scripts do PowerShell no repositório do GitHub do Defender para Nuvem.

Use o script Habilitar a solução unificada do MDE para habilitar a integração com a solução unificada moderna do Defender para Ponto de Extremidade no Windows Server 2012 R2 ou Windows Server 2016.
Use o script Habilitar a integração do MDE para Linux a fim de habilitar a integração do Defender para Ponto de Extremidade em computadores Linux.

Gerenciar atualizações automáticas para Linux

No Windows, atualizações de versão do Defender for Endpoint são fornecidas por meio de atualizações contínuas da base de conhecimento. No sistema Linux, você precisa atualizar o pacote do Defender para Endpoint.

Quando você usa o Defender para Servidores com a extensão MDE.Linux, as atualizações automáticas do Microsoft Defender para Ponto de Extremidade são habilitadas por padrão.
Se quiser gerenciar as atualizações de versão manualmente, você poderá desabilitar atualizações automáticas nos seus computadores. Para fazê-lo, adicione a seguinte tag aos computadores integrados com a extensão MDE.Linux.
- Nome da marca: ExcludeMdeAutoUpdate
- Valor da tag: true

Essa configuração tem suporte para VMs do Azure e máquinas do Azure Arc, em que a MDE.Linux extensão inicia a atualização automática.

Habilitar a integração em grande escala

Você pode habilitar a integração do Defender para Ponto de Extremidade em grande escala por meio da versão 2022-05-01 da API REST fornecida. Para ver os detalhes completes, confira a documentação da API.

O exemplo a seguir mostra o corpo da solicitação PUT que permite a integração do Defender para o Endpoint. Essa Microsoft.Security/settings configuração de recurso define a configuração WDATP como habilitada, o que ativa a integração com o Defender for Endpoint de forma programática para a assinatura especificada.

URI: https://management.azure.com/subscriptions/<subscriptionId>/providers/Microsoft.Security/settings/WDATP?api-version=2022-05-01

{
    "name": "WDATP",
    "type": "Microsoft.Security/settings",
    "kind": "DataExportSettings",
    "properties": {
        "enabled": true
    }
}

Note

Tanto a Solução Unificada Defender for Endpoint quanto o Defender for Endpoint para Linux são automaticamente incluídos em novas assinaturas quando você habilita a integração do Defender for Endpoint usando microsoft.security/settings/WDATP.

As configurações WDATP_UNIFIED_SOLUTION e WDATP_EXCLUDE_LINUX_PUBLIC_PREVIEW são relevantes para assinaturas herdadas. Essas configurações se aplicam às assinaturas que já tinham a integração do Defender para Ponto de Extremidade habilitada quando esses recursos foram introduzidos em agosto de 2021 e na primavera de 2022.

Solucionar problemas na implantação da extensão

Use a sequência a seguir em vez de tentar novamente a implantação sem antes identificar o estágio de falha.

Sintoma	O que verificar	Próxima ação
A extensão `MDE.Windows` ou `MDE.Linux` não aparece	Confirme que o Defender for Servers e a proteção de endpoints estão ativados, a máquina está ligada e o sistema operacional é suportado. Se a máquina estiver conectada via Azure Arc, verifique se o agente Azure Connected Machine está saudável.	Resolva o pré-requisito ausente e aguarde a conclusão do período normal de provisionamento.
A extensão permanece em Criando ou mostra Falha no provisionamento	Abra a extensão no portal do Azure e selecione Ver status detalhado. Revise os logs da plataforma listados mais adiante nesta seção.	Execute o Client Analyzer e resolva o problema de conectividade, política, pacote ou serviço reportado antes de tentar novamente.
A extensão foi executada com êxito, mas o dispositivo não aparece no portal do Microsoft Defender	Verifique o status de onboarding, conectividade e se o dispositivo está associado à organização pretendida do Defender for Endpoint (tenant).	Aguarde até 12 horas para a primeira assinatura em um locatário ou até uma hora para computadores posteriores. Se o dispositivo pertencer a outro locatário, retire-o desse locatário antes de integrá-lo ao locatário pretendido.
O dispositivo aparece, mas informa que está com problema ou não licenciado	Revise a integridade do sensor e a saída do licenciamento em vez de reinstalar a extensão imediatamente.	Use as orientações de solução de problemas do Defender for Endpoint específicas da plataforma e colete diagnósticos caso o problema continue.

Diagnósticos do Windows

Portal Azure: VM>Extensões>MDE.Windows>Veja o status detalhado
Visualizador de Eventos: Logs de Aplicativos e Serviços>>>
Registros da extensão: C:\WindowsAzure\Logs\Plugins\Microsoft.Azure.AzureDefenderForServers.MDE.Windows
Execute o Defender for Endpoint Client Analyzer no Windows.
Para erros de integração e de sensor, use Solucionar problemas de integração do Defender para Ponto de Extremidade.

Diagnóstico do Linux

Portal do Azure: VM>Extensões>MDE.Linux>Exibir status detalhado
Registros da extensão: /var/log/azure/Microsoft.Azure.AzureDefenderForServers.MDE.Linux/
Registro de instalação: /var/log/microsoft/mdatp/install.log
Diário de instalação: sudo journalctl --no-pager | grep 'microsoft-mdatp'
Saúde do sensor: mdatp health
Se a máquina for habilitada para Azure Arc:azcmagent show
Pacote de diagnóstico: sudo mdatp diagnostic create
Siga Solucionar problemas de instalação do Defender para Ponto de Extremidade no Linux para problemas de dependência, conta de serviço, systemd, SELinux e noexec.

Importante

Não desative a Política de Grupo, o SELinux, proteções de montagem ou outro controle de segurança como uma primeira ação genérica. Confirme a causa raiz e siga o processo de controle de mudanças da sua organização. Se um procedimento de solução de problemas alterar temporariamente um controle de segurança, restaure o controle imediatamente após o teste.

Acompanhar o status de implantação do Defender para Ponto de Extremidade

Você pode usar a pasta de trabalho do status de implantação do Defender para Ponto de Extremidade para acompanhar o status de implantação do Defender para Ponto de Extremidade em suas VMs do Azure e VMs habilitadas para o Azure Arc. O livro de exercícios interativo oferece uma visão geral das máquinas no seu ambiente mostrando o status de implantação da extensão Defender for Endpoint.

Acessar o portal do Microsoft Defender

Para acessar o portal Microsoft Defender do Defender para Nuvem, conclua as seguintes etapas:

Certifique-se de que você tem as permissões corretas para o acesso ao portal.
Verifique se você tem um proxy ou firewall que bloqueie tráfego anônimo.
- O sensor Defender for Endpoint se conecta a partir do contexto do sistema, então você deve permitir tráfego anônimo.
- Para garantir o acesso sem obstáculos ao portal do Microsoft Defender, habilite o acesso às URLs de serviço no servidor proxy.
Abra o portal Microsoft Defender. Saiba mais sobre incidentes e alertas no portal do Microsoft Defender.

Executar um teste de detecção

Para executar um teste de detecção, consulte Teste de detecção de EDR para verificar os serviços de integração e de relatório do dispositivo..

Remover o Defender para Ponto de Extremidade de um computador

Para remover a solução Defender para Ponto de Extremidade de seus computadores:

Entre no portal do Azure.
Vá para Microsoft Defender para Nuvem> e selecione a assinatura correspondente.
Vá para Configurações e monitoramento>Proteção de endpoint.
Alterne a Proteção de ponto de extremidade para Desativado.
Selecione Continuar.
Selecione Salvar.
Remova a extensão MDE.Windows ou MDE.Linux do computador.
Desative o dispositivo no serviço do Microsoft Defender para Ponto de Extremidade.

Remover tags de integração do Defender para Endpoint

Quando você integra um dispositivo Windows pelo Defender para Nuvem, o Defender for Endpoint cria valores de registro relacionados ao Defender para Nuvem. Essas marcas do Registro permanecem no dispositivo após o descarregamento e não afetam a funcionalidade.

Para remover essas marcas completamente, siga estas etapas. No Linux, o sistema armazena essas informações internamente e não as mostra no registro.

Selecione Iniciar, insira regedit e selecione Enter para abrir o Editor do Registro.
No painel esquerdo, vá para:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Advanced Threat Protection\DeviceTags
Exclua esses nomes de valor se eles existirem:
- AzureResourceId
- SecurityWorkspaceId
- SecurityAgentId

Importante

Editar o registro incorretamente pode causar problemas em seu dispositivo.

Próximas Etapas

Saiba mais sobre a integração do Microsoft Defender para Ponto de Extremidade no Defender para Nuvem

Última atualização em 2026-10-04

Habilitar a integração com o Defender for Endpoint no Microsoft Defender para Nuvem

Pré-requisitos

Validação pré-implantação

Colete informações de prontidão do Windows

Colete informações sobre prontidão Linux

Implantação e verificação por plataforma

Windows Server 2019 e posterior

Windows Server 2016 e Windows Server 2012 R2

Servidores Linux

Habilitar o Defender para integração com o Endpoint em uma assinatura

Verificar a instalação em computadores Linux

Assinaturas legadas (criadas antes de spring-2022): Habilitar a solução unificada Defender for Endpoint no Windows Server 2016/2012 R2

Assinaturas herdadas (criadas antes do segundo semestre de 2021): habilite em computadores Linux (plano/integração habilitados)

Habilitar a integração com o PowerShell em várias assinaturas

Gerenciar atualizações automáticas para Linux

Habilitar a integração em grande escala

Solucionar problemas na implantação da extensão

Diagnósticos do Windows

Diagnóstico do Linux

Acompanhar o status de implantação do Defender para Ponto de Extremidade

Acessar o portal do Microsoft Defender

Executar um teste de detecção

Remover o Defender para Ponto de Extremidade de um computador

Remover tags de integração do Defender para Endpoint

Próximas Etapas

Recursos adicionais