Incorporar dispositivos Windows ao Microsoft Defender para Endpoint com um script local

  • Aplica-se a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Pode usar um script local para integrar até 10 clientes Windows ou dispositivos Windows Server suportados no Microsoft Defender para Endpoint. Este método é útil para avaliar o serviço antes de selecionar um método de implementação para um ambiente maior. Antes de começar, reveja os pré-requisitos e, em seguida, descarregue e execute o script, configure a recolha de amostras, verifique a incorporação ou desincorpore dispositivos.

Importante

Usa o script local em 10 dispositivos ou menos. Para uma implementação em produção, selecione um método escalável como Group Policy, Microsoft Configuration Manager, Microsoft Intune ou a ferramenta de implementação Defender. Para comparar os métodos disponíveis, consulte Identificar Defender para arquitetura de endpoint e métodos de implementação e outras opções de implementação para dispositivos cliente Windows.

Nota

A ferramenta de implementação do Defender pode ser utilizada para implementar a segurança do ponto final do Defender em dispositivos Windows e Linux. A ferramenta é uma aplicação leve e de atualização automática que simplifica o processo de implementação. Para obter mais informações, veja Implementar Microsoft Defender segurança de pontos finais em dispositivos Windows com a ferramenta de implementação do Defender e Implementar Microsoft Defender segurança de pontos finais em dispositivos Linux com a ferramenta de implementação do Defender (pré-visualização).

Pré-requisitos

Dispositivos integrados com um script local

Descarregue o pacote de integração do portal Microsoft Defender e depois execute o script incluído em cada dispositivo.

  1. Na página de Onboarding no portal Microsoft Defender em https://security.microsoft.com/securitysettings/endpoints/onboarding, configure o pacote:

    1. Passo 1: Selecione um sistema operativo para iniciar a implementação: Selecione o grupo de versões do sistema operativo para o dispositivo. Não selecione o Windows, que inicia o fluxo de trabalho separado da ferramenta de implementação do Defender.
    2. Se o tipo de conectividade estiver disponível, selecione o método de conectividade para o seu ambiente:
    3. Para o método de Implementação, selecione Local script (para até 10 dispositivos).
    4. Selecione Baixar o pacote de integração para descarregar GatewayWindowsDefenderATPOnboardingPackage.zip.

  2. Extrai o conteúdo do .zip ficheiro no dispositivo para um local fácil de encontrar, como o ambiente de trabalho. A embalagem contém WindowsDefenderATPLocalOnboardingScript.cmd.

  3. Abra a Linha de Comandos como administrador.

  4. Vai à pasta que contém WindowsDefenderATPLocalOnboardingScript.cmd. Por exemplo, o seguinte comando vai para a pasta Desktop:

    if exist "%OneDrive%\Desktop" (cd /d "%OneDrive%\Desktop") else if exist "%USERPROFILE%\Desktop" cd /d "%USERPROFILE%\Desktop"

  5. Execute o script de integração:

    WindowsDefenderATPLocalOnboardingScript.cmd

  6. Quando o guião aparecer , pressione qualquer tecla para continuar..., pressione qualquer tecla para terminar.

Configurar definições de recolha de exemplo

O Defender for Endpoint pode recolher ficheiros de um dispositivo integrado quando um analista solicita um ficheiro para análise aprofundada. O valor do AllowSampleCollection registo controla se o dispositivo pode responder a estes pedidos:

  • 0 (00000000): Não permita partilha de amostras a partir do dispositivo.
  • 1 (00000001): Permitir partilha de todos os tipos de ficheiros a partir do dispositivo. Esta definição é a padrão se o valor do registo não existir.

Para configurar manualmente a definição, copie o texto seguinte para o Notepad, defina o AllowSampleCollection valor, guarde o ficheiro com uma .reg extensão e execute o ficheiro no dispositivo:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection]
"AllowSampleCollection"=dword:00000000

Verificar a integração do dispositivo

Depois de o script ser executado, verifique se o dispositivo reporta ao Defender para o Endpoint:

  1. Na página de inventário de dispositivos no portal Microsoft Defender em https://security.microsoft.com/machines?category=all-devices, pesquise o dispositivo.

  2. Abra a página do dispositivo e verifique se o dispositivo está adicionado e se o estado de saúde do sensor está ativo.

O dispositivo normalmente aparece no inventário em poucos minutos. A conectividade de rede e o estado do dispositivo podem atrasar o relatório.

Para gerar um alerta de teste e confirmar relatórios de ponta a ponta, consulte Executar um teste de deteção num dispositivo recém-incorporado. Se o dispositivo não aparecer nem comunicar como esperado, consulte Resolver problemas de integração do Microsoft Defender para Endpoint.

Exclusão de dispositivos com um script local

O pacote de desvinculação expira sete dias após a sua transferência. O Defender for Endpoint rejeita pacotes expirados, e a data de validade aparece no nome do ficheiro do pacote.

Importante

Não execute os scripts de onboarding e offboarding no mesmo dispositivo ao mesmo tempo. Conclui o processo de integração ou de saída antes de executares o outro script.

Para desligar um dispositivo usando um script local, descarregue e execute o pacote de offboarding:

  1. Na página Desativação no portal Microsoft Defender em https://security.microsoft.com/securitysettings/endpoints/offboarding, configure o pacote:

    1. Selecione o grupo de versões do sistema operativo para o dispositivo. Não selecione o Windows, que inicia o fluxo de trabalho separado da ferramenta de implementação do Defender.
    2. Para o método de Implementação, selecione Local script (para até 10 dispositivos).
    3. Selecione Download package e depois selecione Download no diálogo de confirmação.

  2. Extrai WindowsDefenderATPOffboardingPackage_valid_until_YYYY-MM-DD.zip do dispositivo para um local fácil de encontrar, como o Ambiente de Trabalho. A embalagem contém WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd.

  3. Abra a Linha de Comandos como administrador.

  4. Vá para a pasta que contém o script de desativação. Por exemplo, o seguinte comando vai para a pasta Desktop:

    if exist "%OneDrive%\Desktop" (cd /d "%OneDrive%\Desktop") else if exist "%USERPROFILE%\Desktop" cd /d "%USERPROFILE%\Desktop"

  5. Execute o script de desativação:

    WindowsDefenderATPOffboardingScript_valid_until_YYYY-MM-DD.cmd

Importante

O offboarding impede que o dispositivo envie novos dados de deteção, vulnerabilidade e segurança para o Defender for Endpoint. Os dados históricos permanecem no portal Defender até expirar o período de retenção configurado. O perfil do dispositivo, sem dados, permanece no inventário do dispositivo até 180 dias. Para mais informações, consulte Dispositivos externos.

Conteúdo relacionado

  • Última atualização a