Share via

Gestire le impostazioni della sottoscrizione Microsoft Defender per endpoint nei dispositivi client

  • Articolo

In Defender per endpoint uno scenario di licenza mista è una situazione in cui un'organizzazione usa una combinazione di licenze di Defender per endpoint piano 1 e piano 2. La tabella seguente descrive esempi di scenari di licenza mista:

Scenario Descrizione
Tenant misto Usare diversi set di funzionalità per gruppi di utenti e i relativi dispositivi. Alcuni esempi:
- Defender per Endpoint Piano 1 e Defender per Endpoint Piano 2
- Microsoft 365 E3 e Microsoft 365 E5
Versione di valutazione mista Provare una sottoscrizione di livello Premium per alcuni utenti. Alcuni esempi:
- Defender per Endpoint Piano 1 (acquistato per tutti gli utenti) e Defender per Endpoint Piano 2 (è stata avviata una sottoscrizione di valutazione per alcuni utenti)
- Microsoft 365 E3 (acquistato per tutti gli utenti) e Microsoft 365 E5 (è stata avviata una sottoscrizione di valutazione per alcuni utenti)
Aggiornamenti in più fasi Aggiornare le licenze utente in fasi. Alcuni esempi:
- Spostamento di gruppi di utenti da Defender per endpoint Piano 1 a Piano 2
- Spostamento di gruppi di utenti da Microsoft 365 E3 a E5

Fino a poco tempo fa, gli scenari di licenza mista non erano supportati; in caso di più sottoscrizioni, la sottoscrizione funzionale più elevata avrà la precedenza per il tenant. È ora possibile gestire le impostazioni della sottoscrizione per supportare scenari di licenza mista tra dispositivi client. Queste funzionalità consentono di:

  • Impostare il tenant su modalità mista e contrassegnare i dispositivi per determinare quali dispositivi client riceveranno funzionalità e funzionalità da ogni piano (questa opzione viene chiamata modalità mista); OPPURE,
  • Usare le funzionalità e le funzionalità di un piano in tutti i dispositivi client.

È anche possibile usare un report sull'utilizzo delle licenze appena aggiunto per tenere traccia dello stato.

Nota

Se si usa Microsoft Defender for Business e si vuole passare a Defender per Endpoint Piano 2, vedere Modificare la sottoscrizione di sicurezza degli endpoint.

Impostare il tenant su modalità mista e contrassegnare i dispositivi

Importante

  • Le impostazioni in modalità mista si applicano solo agli endpoint client. L'assegnazione di tag ai dispositivi server non modifica lo stato della sottoscrizione. Tutti i dispositivi server che eseguono Windows Server o Linux devono avere licenze appropriate, ad esempio Defender per server. Vedere Opzioni per l'onboarding dei server.
  • Assicurarsi di seguire le procedure descritte in questo articolo per provare gli scenari con licenza mista nell'ambiente. L'assegnazione di licenze utente nel interfaccia di amministrazione di Microsoft 365 (https://admin.microsoft.com) non imposta il tenant sulla modalità mista.
  • È necessario disporre di licenze di valutazione attive o a pagamento sia per Defender per endpoint piano 1 che per piano 2.
  • Per accedere alle informazioni sulla licenza, è necessario avere uno dei ruoli seguenti assegnati in Microsoft Entra ID:
    • Amministratore globale
    • Amministratore della sicurezza
    • Licenza Amministrazione + MDE Amministrazione

  1. Come amministratore, passare al portale di Microsoft Defender (https://security.microsoft.com) e accedere.

  2. Passare a Impostazioni> Licenzeendpoint>. Viene aperto il report sull'utilizzo e vengono visualizzate informazioni sulle licenze di Defender per endpoint dell'organizzazione.

  3. In Stato sottoscrizione selezionare Gestisci impostazioni sottoscrizione.

    Nota

    Se le impostazioni di Gestione sottoscrizione non sono visualizzate, si verifica almeno una delle condizioni seguenti:

    • Si dispone di Defender per endpoint piano 1 o piano 2 (ma non entrambi); O
    • Le funzionalità di licenza mista non sono ancora implementate nel tenant.

  4. Verrà aperto un riquadro a comparsa Impostazioni sottoscrizione . Scegliere l'opzione per usare Defender per endpoint Piano 1 e Piano 2. (Nessuna modifica verrà apportata fino a quando i dispositivi non vengono contrassegnati come indicato nel passaggio successivo).

  5. Contrassegnare i dispositivi che devono ricevere le funzionalità di Defender per endpoint Piano 1 o Piano 2. È possibile scegliere di contrassegnare i dispositivi manualmente o usando una regola dinamica. Altre informazioni sull'assegnazione di tag ai dispositivi.

    Metodo Dettagli
    Contrassegnare manualmente i dispositivi Per contrassegnare manualmente i dispositivi, creare un tag denominato License MDE P1 e applicarlo ai dispositivi. Per informazioni su questo passaggio, vedere Create e gestire i tag del dispositivo.

    Si noti che i dispositivi contrassegnati con il License MDE P1 tag tramite il metodo della chiave del Registro di sistema non riceveranno la funzionalità declassata. Se si desidera contrassegnare i dispositivi usando il metodo della chiave del Registro di sistema, usare una regola dinamica anziché l'assegnazione manuale di tag.
    Contrassegnare automaticamente i dispositivi usando una regola dinamica La funzionalità delle regole dinamiche è una novità per gli scenari con licenza mista. Consente di applicare un livello di controllo dinamico e granulare sulla gestione dei dispositivi.

    Per usare una regola dinamica, è necessario specificare un set di criteri in base al nome del dispositivo, al dominio, alla piattaforma del sistema operativo e/o ai tag del dispositivo. I dispositivi che soddisfano i criteri specificati riceveranno le funzionalità di Defender per Endpoint Piano 1 o Piano 2 in base alla regola.

    Quando si definiscono i criteri, è possibile usare gli operatori di condizione seguenti:
    - Equals / Not equals
    - Starts with
    - Contains / Does not contain

    Per Nome dispositivo è possibile usare il testo a mano libera.

    Per Dominio selezionare da un elenco di domini.

    Per piattaforma del sistema operativo, selezionare da un elenco di sistemi operativi.

    Per Tag usare l'opzione testo a mano libera. Digitare il valore del tag che corrisponde ai dispositivi che devono ricevere le funzionalità di Defender per endpoint piano 1 o piano 2. Vedere l'esempio in Altri dettagli sull'assegnazione di tag ai dispositivi.

    I tag del dispositivo sono visibili nella visualizzazione Inventario dispositivi e nelle API di Defender per endpoint.

    Nota

    I tag defender per endpoint P1 aggiunti dinamicamente non sono attualmente filtrabili nella visualizzazione Inventario dispositivi.

  6. Salvare la regola e attendere fino a tre (3) ore per l'applicazione dei tag. Passare quindi a Convalidare che un dispositivo riceva solo le funzionalità di Defender per Endpoint Piano 1.

Altri dettagli sull'assegnazione di tag ai dispositivi

Come descritto nel blog tech community: come usare l'assegnazione di tag in modo efficace, l'assegnazione di tag ai dispositivi offre un controllo granulare sui dispositivi. Con i tag del dispositivo, è possibile:

  • Visualizzare determinati dispositivi ai singoli utenti nel portale di Microsoft Defender in modo che visualizzino solo i dispositivi di cui sono responsabili.
  • Includere o escludere dispositivi da criteri di sicurezza specifici.
  • Determinare quali dispositivi devono ricevere le funzionalità di Defender per endpoint Piano 1 o Piano 2.

Si supponga, ad esempio, di voler usare un tag denominato VIP per tutti i dispositivi che devono ricevere le funzionalità di Defender per endpoint piano 2. Ecco cosa faresti:

  1. Create un tag di dispositivo denominato VIPe applicarlo a tutti i dispositivi che devono ricevere le funzionalità di Defender per endpoint piano 2. Usare uno dei metodi seguenti per creare il tag del dispositivo:

  2. Configurare una regola dinamica usando l'operatore Tag Does not contain VIPcondition . In questo caso, tutti i dispositivi che non hanno il VIP tag riceveranno il License MDE P1 tag e le funzionalità di Defender per endpoint piano 1.

Verificare che un dispositivo riceva solo le funzionalità di Defender per Endpoint Piano 1

Dopo aver assegnato le funzionalità di Defender per endpoint piano 1 ad alcuni o a tutti i dispositivi, è possibile verificare che un singolo dispositivo stia ricevendo tali funzionalità.

  1. Nel portale di Microsoft Defender (https://security.microsoft.com), passare a Dispositivi asset>.

  2. Selezionare un dispositivo contrassegnato con License MDE P1. Verrà visualizzato che Defender per Endpoint Piano 1 è assegnato al dispositivo.

Nota

I dispositivi a cui sono assegnate le funzionalità di Defender per endpoint piano 1 non hanno vulnerabilità o raccomandazioni sulla sicurezza elencate.

Esaminare l'utilizzo delle licenze

Il report sull'utilizzo delle licenze viene stimato in base alle attività di accesso nel dispositivo. Le licenze di Defender per Endpoint Piano 2 sono per utente e ogni utente può avere fino a cinque dispositivi con onboarding simultanei. Per altre informazioni sulle condizioni di licenza, vedere Licenze Microsoft.

Per ridurre il sovraccarico di gestione, non è necessario eseguire il mapping e l'assegnazione da dispositivo a utente. Al contrario, il report sulle licenze fornisce una stima dell'utilizzo calcolata in base all'utilizzo del dispositivo visualizzato nell'intera organizzazione. Il report sull'utilizzo potrebbe richiedere fino a un giorno per riflettere l'utilizzo attivo dei dispositivi.

Importante

Per accedere alle informazioni sulla licenza, è necessario avere uno dei ruoli seguenti assegnati in Microsoft Entra ID:

  • Amministratore della sicurezza
  • Amministratore globale
  • Licenza Amministrazione + MDE Amministrazione

  1. Passare al portale di Microsoft Defender (https://security.microsoft.com) e accedere.

  2. Scegliere Impostazioni>Licenze endpoint>.

  3. Esaminare le licenze disponibili e assegnate. Il calcolo si basa sugli utenti rilevati che hanno eseguito l'accesso ai dispositivi di cui è stato eseguito l'onboarding in Defender per endpoint.

Altre risorse

Consiglio

Per saperne di più, Engage con la community Microsoft Security nella community tech: Microsoft Defender per endpoint Tech Community.