defender-for-endpoint

Microsoft Defender for Endpoint

Microsoft Defender for Endpoint（MDE）是企业终端安全平台，提供防护（新一代 AV、ASR）、检测和响应（EDR）、威胁与漏洞管理（Defender Vulnerability Management），以及自动调查和修复（AIR）。它构成 Defender XDR 的终端安全支柱。

适用场景

保护 Windows、macOS、Linux、iOS 和 Android 终端。此技能适用于确定设备接入方案、策略设计、ASR 推广、EDR 调优以及响应操作范围。

不要将此技能用于跨工作负载调查（defender-xdr）、Azure 资源强化（defender-for-cloud-hardening）或身份侧检测（defender-for-identity）。

选择计划和接入路径

如果你需要……	计划 / SKU	说明
新一代 AV、ASR、Web / 网络保护、手动响应	MDE Plan 1	自 2022 年起捆绑于 M365 E3
EDR、AIR、高级搜寻、自定义检测、Threat & Vuln Management	MDE Plan 2	捆绑于 M365 E5 / MDE P2
完整的漏洞修复工作流、浏览器扩展评估	Defender Vulnerability Management add-on	为 P2 增添功能
服务器终端（Windows / Linux）	通过 Defender for Cloud 使用 MDE for Servers	按服务器计费，包含 MDE P2

设备环境	首选接入路径
云托管 Windows（由 Intune 管理）	Intune + Security Settings Management
共同管理（MECM + Intune）	使用 Configuration Manager 工作负载滑块，然后转移到 Intune
仅加入 AD，未使用 MDM	GPO 接入脚本
服务器（Windows / Linux）	Defender for Cloud 自动预配
macOS / Linux 工作站	使用 MDM 注册的 Intune
隔离网络 / 一次性接入	本地脚本（90 天后过期）

**经验法则：**如果设备已存在于 Intune 中，就通过 Intune Security Settings Management 接入——在同一处管理 AV + ASR + EDR。对于新设备，GPO 是旧式备用方案，而非默认选择。

方法

1. 确认计划和资产清单 — 按操作系统、管理状态和当前 AV 清点设备。对照上文的计划/引导路径表。 验证：在一台 Win11 样本设备上运行 Get-MpComputerStatus，显示 AMServiceEnabled = True； Intune 显示该设备符合要求。

2. 首先在所有设备上启用防篡改保护 — 先于任何其他策略。没有这项保护， 攻击者（以及好心办坏事的管理员）就能禁用其他所有功能。 验证：在 security.microsoft.com → Settings → Endpoints → Advanced features 中，设备显示防篡改保护为 On。

3. 分批引导接入 — 先接入 100 台试点设备，运行 7 天，然后接入具有代表性的一批设备（1,000 台或 全部设备的 10%），最后接入其余设备。查看设备清单，留意卡住的设备（引导接入后 Last seen > 24h）。 验证：MDE 中的设备数量与 Intune 中的设备数量相差不超过 5%。

4. 新一代 AV 策略 — 开启实时保护、云交付保护（对高风险组使用高 阻止级别）、先审核再阻止 PUA、开启防篡改保护、以阻止模式启用网络保护、以审核模式启用受控文件夹访问（随后仅在用户 工作站上切换为阻止模式——服务器会出问题）。 验证：Defender 配置管理报告显示试点组的这些开关均为绿色。

5. ASR 规则——审核、衡量、阻止 — 以审核模式启用所有规则，持续 14 天。使用 ASR 规则报告查看哪些规则原本会阻止哪些操作。将干扰较多的规则缩小适用范围（例如排除业务应用），然后将其余规则切换为阻止模式。 验证：ASR 规则报告显示审核模式下已知正常应用没有被阻止；每周将一条规则升级为阻止模式。

6. EDR 阻止模式 — 即使 Defender AV 是主防病毒软件，也要启用此模式。如果主防病毒软件不是 Microsoft 的 AV，则必须启用 EDR 阻止模式——这是让 EDR 检测结果触发自动修复的唯一方式。 验证：设备运行状况页面显示 EDR 阻止模式 = On。

7. 设备组和 RBAC — 按风险级别建立设备组（工作站、服务器、Tier-0 管理工作站、自助服务终端）。按组限定响应操作（隔离、实时响应）。 Tier-0 管理设备采用最严格的策略，授予响应权限的分析师人数也最少。

8. 漏洞管理 — 根据暴露评分和威胁洞察确定优先级，而非单看 CVE 数量。通过集成将修复任务推送到 Intune。

9. AIR — 按设备组配置修复级别。工作站 = 完全修复，服务器 = 半自动修复（需要分析师批准）。每天在“操作中心”查看待处理操作。

防护措施

• 任何其他操作之前，先启用防篡改保护。 没有这项保护，其他每项控制都形同建议。
• 始终先在审核模式下试点 ASR 规则。 有些规则（例如阻止 Office 创建子进程）会破坏正常的宏工作流。至少审核 14 天。
• 使用第三方 AV 时，必须启用 EDR 阻止模式。 否则 EDR 警报会触发，但不会自动修复。
• 不要广泛授予实时响应权限。 它可以在终结点上执行任意命令。通过 RBAC 将权限限定给小型响应团队，并审计每次会话。
• 设备组决定策略和响应方式。 按风险级别而非部门建立设备组。
• 不要同时运行两款处于活动状态的 AV。 要么将 Defender 设为主防病毒软件（推荐），要么将 Defender 设为被动模式并启用 EDR 阻止模式。
• 服务器通过 Defender for Cloud 引导接入。 不要同时通过 MDE 直接接入和 DfC 接入服务器，否则会导致遥测数据重复。

常见反模式

• “关闭防篡改保护，因为管理员需要在本地管理 AV”——本地管理正是威胁模型的一部分。通过 Intune 集中管理；开启防篡改保护。
• “第一天就将所有 ASR 规则设为阻止”——这会导致 Office 宏、合法脚本和安装程序无法运行。先审核 14 天，进行调整后再阻止。
• “我们使用第三方 AV，因此跳过了 EDR 阻止模式”——会触发检测，但不会采取任何措施。启用 EDR 阻止模式。
• “向所有 SOC 分析师开放实时响应”——实时响应 = 远程 Shell。仅限第 3 级人员使用，并进行审计审查。
• “通过 Intune 脚本而非 Defender for Cloud 加入服务器”——这会失去 Defender for Servers 计费和管理集成。服务器加入始终使用 DfC。
• “按 CVE 数量排列漏洞管理优先级”——5,000 个提示性 CVE 会掩盖 3 个已被利用的 CVE。按暴露评分和活跃威胁活动排序。
• “在服务器上启用受控文件夹访问”——这会导致应用程序无法写入文件。CFA 仅适用于用户工作站。

示例提示词

• 为拥有 10,000 名用户的 M365 E3 租户规划 MDE Plan 1 与 Plan 2——没有 P2 会失去什么？
• 使用安全设置管理，将 5,000 台由 Intune 管理的 Windows 11 设备加入 MDE。
• 安全地推出 ASR 规则——先审核，再阻止。哪些规则可以立即安全地设为阻止？
• 在以 CrowdStrike 为主要 AV 的情况下启用 EDR 阻止模式。
• 为包含 3 个层级的设备环境设计 MDE 设备组：工作站、服务器和第 0 层管理设备。
• 配置 AIR 修正级别——区分工作站和服务器。
• 使用暴露评分和威胁情报确定漏洞修复优先级。
• 将实时响应限定为 5 人的响应团队，并启用审计日志记录。

Microsoft Learn

• 概述：https://learn.microsoft.com/defender-endpoint/microsoft-defender-endpoint
• MDE Plan 1 概述：https://learn.microsoft.com/defender-endpoint/defender-endpoint-plan-1
• 加入设备：https://learn.microsoft.com/defender-endpoint/onboarding
• ASR 规则：https://learn.microsoft.com/defender-endpoint/attack-surface-reduction
• ASR 规则参考：https://learn.microsoft.com/defender-endpoint/attack-surface-reduction-rules-reference
• EDR 阻止模式：https://learn.microsoft.com/defender-endpoint/edr-in-block-mode
• 防篡改保护：https://learn.microsoft.com/defender-endpoint/prevent-changes-to-security-settings-with-tamper-protection
• 设备组：https://learn.microsoft.com/defender-endpoint/machine-groups
• 漏洞管理：https://learn.microsoft.com/defender-vulnerability-management/defender-vulnerability-management
• 实时响应：https://learn.microsoft.com/defender-endpoint/live-response