Distribuire la sicurezza degli endpoint di Microsoft Defender sui dispositivi Windows utilizzando lo strumento di distribuzione Defender

Lo strumento di distribuzione Defender è un'applicazione leggera e auto-aggiornante progettata per semplificare l'onboarding per tutte le versioni di Windows supportate dalla soluzione di sicurezza degli endpoint di Defender. Lo strumento gestisce i prerequisiti, automatizza le migrazioni da soluzioni meno recenti e rimuove la necessità di script di onboarding complessi, download separati e installazioni manuali, fornendo al tempo stesso visibilità, personalizzazione e guardrail di onboarding.

Usando l'interfaccia utente dello strumento, gli amministratori possono fare doppio clic sullo strumento e seguire una sequenza interattiva di installazione e onboarding. Per distribuzioni di dimensioni maggiori, lo strumento fornisce opzioni di automazione con parametri avanzati della riga di comando, in modo da poter essere integrato con piattaforme di orchestrazione o strumenti di distribuzione personalizzati, ad esempio Criteri di gruppo, lasciando in vigore le esperienze fornite tramite altre integrazioni di soluzioni Microsoft, ad esempio Intune e Defender per cloud. Attualmente, lo strumento è una metodologia di onboarding personalizzata e non si integra con altri metodi di onboarding.

Nella tabella seguente vengono descritte alcune delle funzionalità principali supportate dallo strumento.

Quando si utilizza la procedura interattiva con doppio clic, lo strumento avvia automaticamente il processo di onboarding e chiede di inserire la chiave dello strumento di distribuzione Defender generata nel portale quando si crea il pacchetto dello strumento di distribuzione Defender in System>Settings>Endpoints>Onboarding. Gestisce l'installazione della maggior parte degli aggiornamenti dei prerequisiti e dei componenti di Defender più recenti e connette il dispositivo ai servizi Defender. Se necessario, lo strumento chiede di riavviare il dispositivo per completare l'installazione dopo aver eseguito di nuovo l'accesso.

Per distribuzioni più avanzate e su larga scala, lo strumento offre funzionalità per eseguire passaggi aggiuntivi e orchestrati tramite parametri della riga di comando o un file di configurazione.

Per visualizzare il riferimento completo al comando dopo aver scaricato lo strumento, eseguire: DefenderDT.exe -?.

Sistemi operativi supportati

Lo strumento di distribuzione Defender supporta i sistemi operativi seguenti:

• Windows 7 SP1
• Windows Server 2008 R2 SP1
• Windows Server 2012 R2, 2016, 2019, 2022, 2025
• Windows 10 (versione 1809 e successive)
• Windows 11 (tutte le versioni)

Prerequisiti

Esistono prerequisiti che riguardano tutti i dispositivi Windows e Windows Server supportati, nonché i prerequisiti specifici per i dispositivi Windows 7 SP1 e Windows Server 2008 R2 SP1.

Prerequisiti generali

• I privilegi amministrativi sono necessari per la maggior parte delle operazioni.

• Accesso al dominio definitionupdates.microsoft.com. Lo strumento viene scaricato e aggiornato da questo dominio. Poiché i file scaricati sono ospitati in una piattaforma di distribuzione del contenuto, non vi saranno intervalli IP statici o prevedibili associati, a differenza di altri servizi cloud Defender.

• Mentre lo strumento verifica la connettività con il tenant specifico prima di procedere, altri requisiti di connettività, ad esempio l'accesso alla *.endpoint.security.microsoft.com/* consolidata, si applicano alla funzionalità (aggiuntiva) che si potrebbe voler usare con il prodotto. Consulta Configurare l'ambiente di rete per garantire la connettività con il servizio Defender for Endpoint.

Prerequisiti aggiuntivi per Windows 7 SP1 e Windows Server 2008 R2 SP1

• I dispositivi devono eseguire una versione x64 di Windows 7 SP1 o Windows Server 2008 R2 SP1. È consigliabile installare gli aggiornamenti più recenti per evitare riavvii e ridurre significativamente i tempi di installazione necessari.

• Affinché lo strumento di distribuzione di Defender venga eseguito in Windows 7 SP1 o Windows Server 2008 R2 SP1, è necessario installare almeno l'aggiornamento KB4474419 per la firma del codice SHA2.

  • Aggiornamento dello stack di manutenzione (SSU) (KB4490628). Se si usa Windows Update, la SSU richiesta viene offerta automaticamente.

  • Aggiornamento SHA-2 (KB4474419) rilasciato il 10 settembre 2019. Se si usa Windows Update, l'aggiornamento SHA-2 richiesto viene offerto automaticamente.

• Nei dispositivi Server 2008 R2 SP1 è necessario installare anche .NET 3.5 o una versione successiva di .NET Framework.

Generare e scaricare un nuovo pacchetto di onboarding

I passaggi seguenti illustrano come generare e scaricare un nuovo pacchetto di onboarding.

1. Nel portale di Microsoft Defender (security.microsoft.com), vai a Sistema>Impostazioni>Endpoint>Onboarding.

2. Nel menu a discesa Passaggio 1 scegliere Windows.

3. In Distribuisci scaricando e applicando pacchetti o file, seleziona il pulsante Onboard.

   

4. Viene visualizzata la pagina Genera lo strumento di distribuzione Defender con una chiave di accesso .

   

   • Specificare un nome per il pacchetto. Assicurarsi di creare un nome univoco e descrittivo.

   • Impostare una data di scadenza per il pacchetto. È possibile impostare la data di scadenza per qualsiasi periodo fino a un anno. È consigliabile ridurre il più possibile il periodo di validità dei pacchetti per ridurre il rischio di utilizzo di pacchetti di distribuzione non autorizzati.

   • Al termine della configurazione del pacchetto, selezionare Genera.

5. Quando il pacchetto è pronto, verrà visualizzata una pagina con la chiave di accesso al pacchetto e un pulsante di download, simile all'immagine seguente.

   

   Copiare la chiave e salvarla, perché sarà necessaria con lo strumento di distribuzione.

   Dopo aver copiato e salvato la chiave, selezionare Scarica strumento di distribuzione. Verrà scaricato un file.zip o .exe del file eseguibile dello strumento di distribuzione Defender, a seconda della scelta di download effettuata.

Distribuisci la protezione degli endpoint di Defender sui dispositivi

Lo strumento di distribuzione Defender può essere usato in modo interattivo o non interattivo.

Uso interattivo

Lo strumento supporta due esperienze interattive adatte per la distribuzione in uno o in un numero limitato di dispositivi: un'esperienza di onboarding rapido a macchina singola con doppio clic senza modifiche al comportamento predefinito e un'esperienza manuale da riga di comando che offre maggiore flessibilità.

Per usare l'installazione predefinita con doppio clic:

1. Fare doppio clic sul file eseguibile per avviarlo.

2. Una finestra di dialogo informa che la configurazione iniziale sul dispositivo inizierà. Selezionare Continua.

   

3. Immettere la chiave dello strumento di distribuzione defender copiata dal portale e quindi selezionare Continua.

   

4. Attendere il completamento dell'installazione e quindi selezionare OK. Non è necessario riavviare il dispositivo.

   

Uso non interattivo

È anche possibile eseguire manualmente tutte le operazioni di installazione e onboarding tramite l'interfaccia della riga di comando. Inoltre, l'interfaccia della riga di comando supporta diverse altre operazioni, ad esempio l'esecuzione di controlli dei prerequisiti:

Per visualizzare il riferimento al comando completo, eseguire: DefenderDT.exe -?.

Distribuzioni avanzate e su larga scala

Lo strumento di distribuzione Defender può essere usato in modo non interattivo come parte di una sequenza orchestrata eseguita da uno strumento di gestione, ad esempio Criteri di gruppo, Microsoft Configuration Manager o altro strumento usato dall'organizzazione per le distribuzioni software.

A questo scopo, lo strumento fornisce parametri facoltativi della riga di comando che consentono di personalizzare le operazioni di onboarding per supportare un'ampia gamma di scenari.

Per gli scenari di distribuzione ripetitivi nell'ambiente, è possibile usare un file di configurazione anziché la riga di comando per passare i parametri. Per generare il file di configurazione, eseguire lo strumento con il -makeconfig parametro . Dopo aver creato il file, aprirlo in un editor di testo per configurare le opzioni in base allo scenario di distribuzione. Vedere l'esempio di utilizzo.

Esempi di utilizzo

Gli esempi seguenti illustrano come usare lo strumento.

• Eseguire lo strumento di distribuzione di Defender senza modificare le impostazioni e senza interagire con esso:

  DefenderDT.exe -Quiet
  

• Usare un file WindowsDefenderATP.onboarding nella stessa directory dello strumento per eseguire la sequenza di onboarding predefinita, connettersi e configurare un proxy da usare e, se è necessario un riavvio, avviarlo senza chiedere. Non visualizzare la finestra della console.

  DefenderDT.exe -Proxy:192.168.0.255:8080 -AllowReboot -Quiet
  

• Usare un file .onboarding archiviato in un percorso di rete per eseguire la sequenza di onboarding. Non visualizzare la finestra della console.

  DefenderDT.exe -File:\\server\share\Defender.onboarding -Quiet
  

• Esegui un'operazione di offboarding. Non chiedere l'approvazione. Non visualizzare la finestra della console.

  DefenderDT.exe -Offboard -File:c:"\Defender deployment tooltest\WindowsDefenderATPOffboardingScript_valid_until_2025-04-02.offboarding" -YES -Quiet
  

• Eseguire un controllo dei prerequisiti e visualizzare l'output verboso senza mostrare una finestra di dialogo.

  DefenderDT.exe -PreCheck -Verbose -Quiet
  

• Scarica gli aggiornamenti e i file di installazione da utilizzare per la preparazione nella directory corrente.

  DefenderDT.exe -Stage
  

• Creare e modificare un file di configurazione e quindi usarlo per passare più parametri allo strumento per eseguire un'installazione usando file di installazione a fasi.

  1. Generare un file di configurazione:

     DefenderDT.exe -MakeConfig
     

  2. Usare il Blocco note per aprire il file MdeConfig.txt creato nella directory. Specificare i parametri da usare.

     Ad esempio:

     # Only absolute paths can be used for the parameters accepting paths
     
     # Configures the tool to perform offboarding.
     
     # Add the parameter "YES" to proceed with offboarding without user approval. 
     # Offboard: False 
     
     # Used with "Offboard" and "Uninstall" parameters. 
     # Yes: False 
     
     # Downloads the installation files for all Windows versions supported by the tool to a specific location for staging purposes. 
     # Stage: 
     
     # Specifies the path to the folder containing the installation files. To stage installation files, use the "Stage" parameter. 
     # Source: 
     
     # Specifies the full path to the .onboarding or .offboarding file if it is not placed in the current folder. 
     # File: 
     
     # Proxy to use during and after installation. Empty string by default. 
      Proxy: 
     
     # Prevents any dialogs from displaying. False by default. 
      Quiet: False 
     
     # Allows device reboots if needed. False by default 
      AllowReboot: False 
     
     # Prevents the tool from resuming activities after a reboot. False by default. 
      NoResumeAfterReboot: False 
     
     # Windows Server only. Sets Defender antivirus to run in passive mode. 
      Passive: False 
     
     # Installs updates but does not perform onboarding, even if an onboarding file is present. False by default. 
      UpdateOnly: False 
     
     # Displays detailed information. False by default. 
      Verbose: False 
     
     # Checks for prerequisites and logs results but does not proceed with installation or onboarding. False by default. 
      Precheck: False 
     
     # Offboards the device and uninstalls any components that were added during onboarding. 
     # Will use the .offboarding file in the current folder if no path was specified. 
     # Add the parameter "YES" to proceed without user approval. 
      Uninstall: False 
     
     # Optionally removes the specified workspace connection used by Microsoft Monitoring Agent (MMA). Empty string by default. 
      RemoveMMA: 
     
     # Allows offboarding to proceed even if there is no connectivity. False by default. 
      Offline: False 
     

  3. Eseguire lo strumento con il file di configurazione.

     DefenderDT.exe -File:\\server\DDT\Defenderconfig.txt
     

     Se il file MdeConfig.txt viene archiviato nella stessa directory dello strumento, non è necessario specificare un percorso.

Uso di Criteri di gruppo per la distribuzione

La procedura seguente illustra come creare un'attività pianificata per eseguire lo strumento usando Criteri di gruppo:

1. Posizionare i file DefenderDT.exe e WindowsDefenderATP.onboarding in un percorso condiviso accessibile dal dispositivo. Se in precedenza è stato creato un file di configurazione MDEConfig.txt , inserirlo nello stesso percorso.

2. Per creare un nuovo oggetto Criteri di gruppo (GPO), aprire la Console Gestione Criteri di gruppo (GPMC), fare clic con il pulsante destro del mouse su Oggetti Criteri di gruppo da configurare e selezionare Nuovo. Immettere il nome del nuovo GPO nella finestra di dialogo visualizzata e selezionare OK.

3. Aprire la console Gestione Criteri di gruppo, fare clic con il pulsante destro del mouse sull'Oggetto Criteri di gruppo (GPO) che si desidera configurare e selezionare Modifica.

4. Nell'Editor Gestione Criteri di gruppo, vai a Configurazione computer>Preferenze>Impostazioni del Pannello di controllo.

5. Fare clic con il pulsante destro del mouse su Attività pianificate, scegliere Nuovo e quindi selezionare Attività immediata (almeno Windows 7).

6. Nella finestra Attività visualizzata passare alla scheda Generale .

7. In Opzioni di sicurezza selezionare Modifica utente o gruppo, digitare SISTEMA, quindi selezionare Controlla nomi e selezionare OK. NT AUTHORITY\SYSTEM viene visualizzato come account utente con cui verrà eseguita l'attività.

8. Selezionare Esegui se l'utente è connesso o meno e selezionare la casella di controllo Esegui con i privilegi più elevati .

9. Nel campo Nome digitare un nome appropriato per l'attività pianificata.

10. Passare alla scheda Azioni e selezionare Nuovo. Assicurarsi che l'opzione Avvia un programma sia selezionata nel campo Azione. Immettere il percorso UNC completo, usando il nome di dominio completo (FQDN) del file server dell'applicazione DefenderDT.exe condivisa.

11. Nel campo Aggiungi argomenti (facoltativo) immettere i parametri da usare. Ad esempio, per usare un file di onboarding non presente nella directory di lavoro dello strumento, specificare il parametro -file: con il percorso UNC completo del file di onboarding, ad esempio -file: \\server\share\WindowsDefenderATP.onboarding.

12. Selezionare OK e chiudere tutte le finestre di Console Gestione Criteri di gruppo aperte.

13. Per collegare l'oggetto Criteri di gruppo a un'unità organizzativa (OU), fare clic con il pulsante destro del mouse e scegliere Collega un oggetto Criteri di gruppo esistente. Nella finestra di dialogo visualizzata selezionare l'oggetto Criteri di gruppo da collegare e selezionare OK.

Rimuovi un dispositivo

Per eseguire l'offboarding di un dispositivo usando lo strumento di distribuzione Defender, scaricare il pacchetto offboarding dal portale, trasferirlo nel dispositivo di destinazione ed eseguire il comando offboarding.

Passaggio 1: Scarica il pacchetto di disattivazione

1. Nel portale di Defender, vai a Sistema>Impostazioni>Endpoint>Gestione dispositivi>Offboarding.

2. In Seleziona sistema operativo scegliere Windows.

3. In Strumento di distribuzione di Defender, selezionare Scarica pacchetto per scaricare il file .zip che contiene lo script di offboarding.

   

Passaggio 2: Esegui il comando di disattivazione

1. Copiare il file .zip nel computer di destinazione ed estrarlo per accedere allo .offboarding script.

2. Aprire il prompt dei comandi come amministratore e passare alla cartella estratta.

3. Esegui questo comando:

   <PackageExecutable>.exe -offboard -file:<PathToOffboardingFile>
   

   Ad esempio:

   C:\Packages>Disable_Live_Response.exe -offboard -file:WindowsDefenderATP_valid_until_2025-11-12.offboarding
   

4. Quando viene Are you sure you want to offboard? Yes(Y)/No(N)?richiesto , digitare Y per continuare.

5. Attendere il completamento del processo. Se l'offboarding viene completato correttamente, viene visualizzato il messaggio seguente:

   Microsoft Defender deployment tool completed, exit code: 0 [Success]
   

Considerazioni e limitazioni

Di seguito sono descritte considerazioni e limitazioni generali e considerazioni e limitazioni aggiuntive specifiche per i dispositivi Windows 7 SP1 e Windows Server 2008 R2 SP1.

Considerazioni generali e limitazioni

• Quando si usa l'esperienza interattiva ed è necessario un riavvio per completare la sequenza, è necessario accedere di nuovo dopo il riavvio per riprendere. In caso contrario, il dispositivo non verrà completamente caricato.

• In Windows Server 2016 e versioni successive, quando la funzionalità Antivirus Defender è stata disinstallata o rimossa, potrebbe verificarsi un errore durante il passaggio Abilitazione della funzionalità "Windows-Defender". Questa operazione può essere osservata nell'interfaccia utente, nel log locale, in Completamento sequenza con codice di uscita 710 e descrizione dell'errore EnableFeatureFailed. Nel log locale sarà anche possibile trovare l'errore 14081 con la descrizione 0x3701 Impossibile trovare l'assembly a cui si fa riferimento. Questo errore non è indicativo di un problema con la funzionalità di Antivirus Defender o i file di origine, perché in genere vengono risolti dallo strumento di onboarding. Se si verifica questo problema, aprire una richiesta di supporto per Windows Server.

Problemi noti e limitazioni per Windows 7 SP1 e Windows Server 2008 R2 SP1

• È possibile ricevere avvisi su mpclient.dll, mpcommu.dll, mpsvc.dll, msmplics.dlle sense1ds.dll caricati da MpCmdRun.exe o MsSense.exe. Questi problemi dovrebbero risolversi con il tempo.

• In Windows 7 SP1 e in Windows Server 2008 R2 SP1 con il Desktop Experience Pack installato, è possibile che venga visualizzata una notifica da Windows Action Center che non ha trovato il software antivirus in questo computer. Questo non è indicativo di un problema.

• La versione di anteprima ("beta") dello strumento analizzatore client può essere usata per raccogliere i log ed eseguire la risoluzione dei problemi di connettività in Windows 7 SP1 e Windows Server 2008 R2 SP1. È necessario installare PowerShell 5.1 o versione successiva.

• Non esiste un'interfaccia utente locale per Antivirus. Se si desidera gestire le impostazioni antivirus in locale tramite PowerShell, è necessaria la versione 5.1 o successiva.

• La configurazione tramite Criteri di gruppo è supportata tramite un archivio centrale con modelli di Criteri di gruppo aggiornati in un controller di dominio. Per la configurazione dei criteri di gruppo locali, i modelli (WindowsDefender.admx/WindowsDefender.adml) dovranno essere aggiornati manualmente a una versione più recente (Windows 11) se si vuole usare l'editor criteri di gruppo locale per applicare le impostazioni.

• La soluzione di sicurezza degli endpoint di Defender verrà installata in C:\Program Files\Microsoft Defender per endpoint

• È possibile impostare Antivirus Defender in modalità passiva in Windows 7 passando il parametro -passive allo strumento di distribuzione defender. Tuttavia, attualmente non è possibile passare alla modalità attiva in seguito usando la chiave del Registro di sistema ForceDefenderPassiveMode come in Windows Server. Per passare alla modalità attiva, è necessario eseguire l'offboarding e la disinstallazione e quindi eseguire di nuovo lo strumento di distribuzione di Defender senza il parametro della modalità passiva.

Risoluzione dei problemi

È possibile fare riferimento al log degli strumenti di distribuzione di Defender per comprendere se si sono verificati problemi durante l'installazione e l'onboarding. Il log degli strumenti di distribuzione si trova all'indirizzo:

C:\ProgramData\Microsoft\DefenderDeploymentTool\DefenderDeploymentTool-<COMPUTERNAME>.log

Gli eventi verranno scritti anche nei registri eventi di Windows seguenti:

• Onboarding: Registri di Windows > Applicazione > Origine: WDATPOnboarding
• Offboarding: Registri di Windows > Applicazione > Origine: WDATPOffboarding

Per verificare se l'installazione è riuscita correttamente, eseguire i controlli seguenti:

1. Verificare che i servizi siano in esecuzione con i comandi seguenti:

   Sc.exe query sense
   
   Sc.exe query windefend
   

   Verrà visualizzato l'output seguente:

   SERVICE_NAME: sense
           TYPE               : 10  WIN32_OWN_PROCESS
           STATE              : 4  RUNNING
                                   (STOPPABLE, NOT_PAUSABLE, ACCEPTS_PRESHUTDOWN)
           WIN32_EXIT_CODE    : 0  (0x0)
           SERVICE_EXIT_CODE  : 0  (0x0)
           CHECKPOINT         : 0x0
           WAIT_HINT          : 0x0
   
   SERVICE_NAME: windefend
           TYPE               : 10  WIN32_OWN_PROCESS
           STATE              : 4  RUNNING
                                   (STOPPABLE, NOT_PAUSABLE, ACCEPTS_SHUTDOWN)
           WIN32_EXIT_CODE    : 0  (0x0)
           SERVICE_EXIT_CODE  : 0  (0x0)
           CHECKPOINT         : 0x0
           WAIT_HINT          : 0x0
   

2. Per una raccolta dettagliata dei log per Antivirus Defender, incluse le impostazioni e altre informazioni, vedere Raccogliere Microsoft Defender dati di diagnostica antivirus.

3. È possibile usare lo strumento analizzatore client per raccogliere i log ed eseguire la risoluzione dei problemi di connettività in Windows.

Codici di uscita

Quando si esegue lo strumento come parte di una distribuzione su larga scala, ad esempio tramite una soluzione di distribuzione software, è possibile monitorare i codici di uscita per monitorare i risultati. Potrebbero essere generati i codici di uscita seguenti:

Contenuto correlato

• Distribuire la soluzione di sicurezza degli endpoint di Defender per i dispositivi Windows 7 SP1 e Windows Server 2008 R2 SP1
• Limitare le azioni di risposta su asset di valore elevato