如何安裝並且設定 Microsoft Defender for Endpoint 的解決方案

由 allen_chung · 2022 年 4 月 7 日

如何安裝並且設定 Microsoft Defender for Endpoint 的解決方案0416

授權需求:

Microsoft Defender for Endpoint 的基本需求 | Microsoft Docs

Microsoft Defender for Endpoint 跨平台支援多種OS ,並且針對不同OS 提供不同的Onboard 方式

Endpoint	Tool options
Windows	Local script (up to 10 devices) Group Policy Microsoft Endpoint Manager/ Mobile Device Manager Microsoft Endpoint Configuration Manager VDI scripts
macOS	Local scripts Microsoft Endpoint Manager JAMF Pro Mobile Device Management
Linux Server	Local script Puppet Ansible
iOS	App-based
Android	Microsoft Endpoint Manager

Topic	Description
Onboard previous versions of Windows	Onboard Windows 7 and Windows 8.1 devices to Defender for Endpoint.
Onboard Windows 10 devices	You’ll need to onboard devices for it to report to the Defender for Endpoint service. Learn about the tools and methods you can use to configure devices in your enterprise.
Onboard servers	Onboard Windows Server 2008 R2 SP1, Windows Server 2012 R2, Windows Server 2016, Windows Server (SAC) version 1803 and later, Windows Server 2019 and later, and Windows Server 2019 core edition to Defender for Endpoint.
Onboard non-Windows devices	Defender for Endpoint provides a centralized security operations experience for Windows as well as non-Windows platforms. You’ll be able to see alerts from various supported operating systems (OS) in Microsoft Defender Security Center and better protect your organization’s network. This experience leverages on a third-party security products’ sensor data.

以通過Local Script Onboard Windows 10 為例:

參考:

使用本機指令碼上線 Windows 10 裝置 | Microsoft Docs

詳細步驟:

1. 從 Microsoft Defender Security Center [服務上架] 嚮導中，開啟已下載的 GP configuration 套件 .zip 檔案 (WindowsDefenderATPOnboardingPackage.zip) ：

1. 在功能窗格中，選取 [設定] [上架]。

2. 選取 [Windows 10] 做為作業系統。

3. 在 [ 部署方法 ] 欄位中，選取 [ 本機腳本]。

4. 按一下 [ 下載套件 ] 並儲存 .zip 檔案。

5. 將設定套件的內容解壓至您要板載 (裝置上的位置（例如，桌面) ）。您應該會有一個名為 WindowsDefenderATPOnboardingScript 的檔案。

2. 在裝置上開啟已提升許可權的命令列提示字元，並執行腳本：

1. 轉至 [開始] 並鍵入「cmd」。

2. 以滑鼠右鍵按一下 [命令提示字元]，然後選取 [以系統管理員身分執行]。

3. 輸入指令檔的位置。如果您已將檔案複製到桌面，請輸入： %userprofile%\Desktop\WindowsDefenderATPOnboardingScript.cmd

4. 按 enter 鍵或按一下 [確定]。

5. 裝置Onboard 成功後，可以通過https://securitycenter.microsoft.com/machines 看到裝置

6. 嘗試裝置上管理員角色執行以下腳本，驗證警報，將在門戶看到以下警報

powershell.exe -NoExit -ExecutionPolicy Bypass -WindowStyle Hidden $ErrorActionPreference= ‘silentlycontinue’;(New-Object System.Net.WebClient).DownloadFile(‘http://127.0.0.1/1.exe’, ‘C:\\test-MDATP-test\\invoice.exe’);Start-Process ‘C:\\test-MDATP-test\\invoice.exe’

參考:

https://docs.microsoft.com/zh-tw/microsoft-365/security/defender-endpoint/run-detection-test?view=o365-worldwide

設定:

Microsoft Defender for endpoint針對各平台支援功能存在差異性。

針對IOS/Android/Mac/Linux設定請參考:

設定及驗證 Microsoft Defender ATP for Mac 的排除專案 | Microsoft Docs

在 iOS 功能上設定 Microsoft Defender for Endpoint | Microsoft Docs

為 Linux 設定及驗證 Microsoft Defender ATP 的排除專案 | Microsoft Docs

在 Android 功能上設定 Microsoft Defender for Endpoint | Microsoft Docs

l 開啟雲端保護(默認開啟):

開啟雲端保護並設定雲端保護層級以新一代保护，新一代技術提供接近即時、自動防護，以防禦新的和新興的威脅。為了能動態地識別新的威脅，這些技術會搭配使用 Microsoft Intelligent Security Graph 中的大量互連資料，以及由進階機器學習模型驅動的強大人工智慧 (AI) 系統。

參考:

在 Microsoft Defender 防毒軟體中開啟雲端提供保護 | Microsoft Docs

指定適用于 Microsoft Defender 防病毒的雲端提供保護層級 | Microsoft Docs

l 設定攻击面缩小:

支援针对硬體，應用，漏洞防護，網絡，資料夾存取，網絡防火牆等方面设定 :

啟用 Microsoft Edge 的硬體隔離	如何準備及安裝應用程式防護（包括硬體和軟體需求）
啟用應用程式控制	控制使用者執行的應用程式，並保護核心模式進程
Exploit protection	在兩種作業系統處理常式和個別應用程式上自動套用利用漏洞緩解技術
網路保護	防止使用者使用任何應用程式來存取危險網域
受控資料夾存取權	保護惡意應用程式中的重要資料
受攻擊面縮小(ASR)	防止使用漏洞搜尋惡意程式碼通常使用的動作和應用程式
網路防火牆	保護網路上的裝置和資料