Distribuire i criteri di rilevamento e risposta degli endpoint con Intune

Quando si integra Microsoft Defender per endpoint con Intune, è possibile usare i criteri di sicurezza degli endpoint per il rilevamento e la risposta degli endpoint (EDR) per gestire le impostazioni EDR ed eseguire l'onboarding dei dispositivi in Microsoft Defender per endpoint.

I criteri di Intune per EDR includono profili specifici della piattaforma che gestiscono l'onboarding (installazione) di Microsoft Defender per endpoint. L'uso dei pacchetti di onboarding è il modo in cui i dispositivi sono configurati per funzionare con Microsoft Defender per endpoint. L'onboarding in Defender tramite i criteri EDR di Intune configura i dispositivi per inviare dati di telemetria di sicurezza a Microsoft Defender per endpoint, abilitando funzionalità avanzate di rilevamento, analisi e risposta alle minacce.

Questo articolo illustra gli scenari di distribuzione EDR, dalla distribuzione automatica basata su connettore alla configurazione manuale per ambienti specializzati.

Informazioni sull'onboarding EDR

L'onboarding EDR configura i dispositivi in modo che possano inviare dati di telemetria di sicurezza al tenant di Defender per endpoint. Il pacchetto di onboarding è un file di configurazione specifico della piattaforma contenente:

• Configurazione del tenant: identifica la specifica organizzazione di Defender per endpoint.
• Endpoint di servizio: URL per comunicare con i servizi Defender.
• Materiale di autenticazione: certificati e token per comunicazioni sicure da dispositivo a servizio.
• Configurazione di base: impostazioni di registrazione del dispositivo e parametri di comunicazione iniziali.

Concetti chiave:

• I dispositivi vengono visualizzati nel portale di Defender poco dopo l'onboarding e l'invio iniziale della telemetria.
• L'onboarding abilita il flusso di telemetria, ma non configura le impostazioni avanzate come la riduzione della superficie di attacco, il firewall o i criteri antivirus.
• I criteri EDR non gestiscono le regole di ricerca delle minacce, la logica di rilevamento personalizzata, l'automazione delle risposte o i flussi di lavoro di indagine.

Per informazioni dettagliate, vedere Eseguire l'onboarding dei dispositivi in Microsoft Defender per endpoint.

Si applica a:

• Linux
• macOS
• Windows
• Windows Server 2012 R2 e versioni successive sono supportati quando i dispositivi vengono gestiti tramite:
  • Gestione configurazione (collegamento tenant)
  • Gestione delle impostazioni di sicurezza di Microsoft Defender per endpoint

Prerequisiti

Prima di distribuire i criteri EDR, verificare che l'organizzazione soddisfi i requisiti di licenza e autorizzazione.

License

• Microsoft Intune (piano 1)

Sono necessarie licenze per Microsoft Defender:

• Licenza di Defender per endpoint Piano 1 per utente
• Microsoft 365 E5/A5/G5 (include Defender per endpoint piano 2)
• Microsoft Defender XDR (autonomo)

Per informazioni dettagliate sulle licenze, vedere:

• Licenze di Microsoft Intune
• Licenza di Microsoft Defender per endpoint

Controllo dell'accesso basato sui ruoli

Per configurare i criteri EDR, è necessario assegnare all'account un ruolo di Intune con autorizzazioni di controllo degli accessi in base ai ruoli (RBAC) sufficienti:

• Endpoint Security Manager: il ruolo Endpoint Security Manager include le autorizzazioni per creare e gestire i criteri di sicurezza degli endpoint.
• Ruolo personalizzato: creare almeno autorizzazioni dilettura/,/aggiornamento/ed eliminazione per la sicurezza degli endpoint.

Sono necessarie autorizzazioni in Microsoft Defender per endpoint anche per stabilire la connessione al servizio:

• Ruolo di amministratore della sicurezza in Microsoft Entra ID, oppure
• Ruolo personalizzato con autorizzazioni equivalenti: microsoft.directory/applications/create, microsoft.directory/applications/delete, microsoft.directory/servicePrincipals/create

Per indicazioni dettagliate sulle autorizzazioni, vedere Controllo degli accessi in base ai ruoli per la sicurezza degli endpoint.

Piattaforme e profili supportati

Windows:

• Profilo: Rilevamento e reazione dagli endpoint
  • Condivisione di esempi: scegliere il modo in cui i dispositivi inviano campioni di file a Defender per endpoint.
  • Opzioni di onboarding: Automatico dal connettore (disponibile quando la connessione al servizio è configurata) oppure aggiungere manualmente un pacchetto Onboarding o Offboarding .
    • Automatico dal connettore (consigliato quando è configurata la connessione da servizio a servizio).
    • Onboarding manuale usando un pacchetto Onboarding o Offboarding dal portale di Defender.
  • Gestione: dispositivi registrati in Intune o dispositivi non registrati tramite la gestione delle impostazioni di sicurezza di Defender per endpoint.

macOS:

• Profilo: Rilevamento e reazione dagli endpoint
  • Tag dei dispositivi: I tag dei dispositivi includono una coppia nome-valore usata per organizzare i dispositivi in Defender per endpoint.
  • Metodi di gestione:
    • Registrato da Intune
    • Gestione delle impostazioni di sicurezza di Defender per endpoint

Linux:

• Profili:
  • Rilevamento e risposta di endpoint
    • Tag dei dispositivi: I tag dei dispositivi includono una coppia nome-valore usata per organizzare i dispositivi in Defender per endpoint.
    • Metodi di gestione:
      • Registrato da Intune
      • Gestione delle impostazioni di sicurezza di Defender per endpoint
  • Esclusioni globali di Microsoft Defender (AV+EDR): vedere il profilo delle esclusioni globali di Linux più avanti in questo articolo.

Windows Server 2012 R2+:

• Profilo: Rilevamento e risposta dagli endpoint (ConfigMgr)
  • Gestione:
    • Collegamento tenant di Gestione configurazione
    • Gestione delle impostazioni di sicurezza di Defender per endpoint.
  • Destinazione raccolta: assegnare alle raccolte di Gestione configurazione invece che ai gruppi di ID Entra.
  • Requisiti:
    • KB4563473 hotfix
    • Raccolte sincronizzate con Intune per le assegnazioni
    • Le assegnazioni vengono applicate alle raccolte di Gestione configurazione, non ai gruppi di ID Entra

Configurare la connessione Intune-Defender per endpoint

Intune richiede una connessione a Microsoft Defender per endpoint per recuperare automaticamente i pacchetti di onboarding e supportare la distribuzione dei criteri EDR.

Quando la connessione è abilitata:

• Intune recupera il pacchetto di onboarding più recente da Defender per endpoint.
• La creazione dei criteri usa la configurazione di onboarding più recente.
• È possibile usare Auto da connettore nei profili EDR.

Per configurare la connessione:

1. Nell'interfaccia di amministrazione di Microsoft Intune, passare a Amministrazione tenant>Connettori e tokenMicrosoft>Defender per endpoint.
2. Selezionare Connetti Microsoft Defender per endpoint a Intune.
3. Abilitare la connessione e configurare le preferenze di condivisione dei dati.
4. Verificare che lo stato della connessione mostri Connesso.

Per istruzioni dettagliate sulla configurazione, vedere Connettere Microsoft Defender per endpoint a Intune.

Distribuire i criteri EDR

Informazioni sul nodo di rilevamento e risposta degli endpoint:

Nell'interfaccia di amministrazione di Intune, il nodo di rilevamento e risposta degli endpoint include le schede seguenti:

• Riepilogo : elenca tutti i criteri EDR, lo stato del connettore e include il grafico "Dispositivi Windows caricati in Defender per endpoint" e l'opzione Crea criterio .
• Stato onboarding EDR : mostra il grafico di riepilogo dell'onboarding, l'elenco dei dispositivi con lo stato dettagliato e include l'opzione Distribuisci criteri preconfigurati . Per indicazioni dettagliate sull'utilizzo di questa scheda, vedere Report sullo stato di onboarding EDR.

Ogni dispositivo che segnala dati di telemetria di sicurezza a Microsoft Defender per endpoint deve essere integrato con un pacchetto di configurazione (chiamato "BLOB" di onboarding). Per informazioni dettagliate sul contenuto di un pacchetto di onboarding, consulta Informazioni sull'onboarding EDR.

Indipendentemente dal fatto che usi la distribuzione automatica o manuale, Intune applica la stessa configurazione di onboarding ai dispositivi. La differenza consiste nel modo in cui Intune ottiene tale configurazione:

• Automatico (scelta consigliata): Intune recupera il pacchetto di onboarding da Defender per endpoint tramite la connessione al servizio configurata.
• Manuale : usare un pacchetto di onboarding scaricato dal portale di Defender quando il recupero automatico non è disponibile.

Scelta del metodo di distribuzione:

Creare un criterio EDR automatico

Ideale per ambienti con integrazione standard di Intune + Defender e un singolo tenant Defender per endpoint.

Prerequisiti:Connessione attiva da servizio a servizio tra Intune e Defender per endpoint.

Distribuire i criteri di Windows EDR preconfigurati

Il modo più rapido per distribuire l'onboarding EDR in tutti i dispositivi Windows consiste nell'usare l'opzione dei criteri preconfigurati disponibile nella scheda Stato onboarding EDR. Questo metodo usa automaticamente il pacchetto di onboarding più recente dal tenant di Defender per endpoint e lo distribuisce con le impostazioni consigliate.

Per istruzioni dettagliate, vedere Distribuzione rapida con criteri preconfigurati nella sezione del report sullo stato di onboarding EDR.

Creare criteri EDR personalizzati (tutte le piattaforme)

Quando è necessario distribuire i criteri EDR a gruppi o piattaforme specifici con impostazioni personalizzate, utilizzare l'opzione Crea criterio dalla scheda Riepilogo. Questo approccio consente di avere il controllo completo sulla selezione della piattaforma, sulle impostazioni di configurazione e sulle assegnazioni di gruppo.

Le principali opzioni di configurazione includono:

• Tipo di pacchetto di configurazione client Microsoft Defender per endpoint: selezionare Auto dal connettore quando disponibile
• Condivisione di esempio: scegliere in base ai requisiti di riservatezza dei dati
• Tag dei dispositivi (macOS e Linux): Configura per il filtraggio e il raggruppamento dei dispositivi

Per indicazioni dettagliate sulla creazione dei criteri, vedere Correzione mirata nella sezione del report sullo stato di onboarding EDR.

Creazione manuale di criteri EDR

Utilizzate questo metodo quando l'organizzazione non può utilizzare la connessione del servizio (più tenant, ambienti air-gapped o controllo rigoroso delle modifiche).

Scarica il pacchetto di onboarding:

1. Nel portale di Microsoft Defender, passare a Impostazioni>Endpoint>Gestione> dispositiviOnboarding.
2. Selezionare il sistema operativo e scegliere Mobile Gestione dispositivi / Microsoft Intune.
3. Seleziona Scarica pacchetto.

Creare il criterio:

1. In Intune, andare a Sicurezza degli endpoint>Rilevamento e risposta> degli endpointCreare i criteri.
2. Seleziona la piattaforma e il profilo.
3. Per Tipo di pacchetto, scegliere Onboarding o Offboard.
4. Incollare il contenuto del file di onboarding scaricato.
5. Configurare le impostazioni rimanenti, quindi assegnare e creare i criteri.

Profili aggiuntivi per dispositivi Linux

Dopo aver creato i criteri EDR di base, è possibile distribuire profili specializzati aggiuntivi per una gestione avanzata della sicurezza.

Creare un criterio di esclusioni globali di Linux

1. Andare a: Sicurezza> endpoint: rilevamento e risposta> degli endpointCreare i criteri.
2. Selezionare Linux per la piattaforma e le esclusioni globali di Microsoft Defender (AV+EDR) per il profilo.
3. Configura le esclusioni aggiungendo voci con:
   • Percorso: percorso di file o directory da escludere (nessun carattere jolly supportato).
   • Nome processo: Nome del processo da escludere dal monitoraggio EDR (nessun carattere jolly supportato).
4. Assegnare a gruppi di dispositivi Linux gestiti tramite la gestione delle impostazioni di sicurezza MDE.

Distribuzione di Gestione configurazione

Connessione tenant

Il collegamento di tenant consente a Intune di distribuire i criteri EDR ai dispositivi Windows gestiti da Gestione configurazione.

Requisiti di Gestione configurazione:

• Current Branch 2002 o versione successiva
• Per la versione 2002, installa KB4563473 (hotfix)

Configurazione del collegamento tenant:

• Sincronizzare le raccolte di dispositivi con Intune (sincronizzazione cloud).
• Verificare che tutti i client desktop e server siano abilitati e sincronizzati (richiesto per i criteri Windows EDR preconfigurati).

Autorizzazioni:

• Amministratore del servizio Intune Ruolo predefinito dell'ID Entra o ruolo equivalente per la gestione dei criteri di sicurezza del collegamento di tenant e degli endpoint.

Configurare Gestione configurazione per EDR

1. Installa Gestione configurazione aggiornamento: applica KB4563473 aggiornamento rapido per Gestione configurazione 2002.
2. Configurare il collegamento tenant: sincronizzare le raccolte di Gestione configurazione con Intune.
3. Verifica la connettività: conferma che le raccolte siano visualizzate nelle interfacce di amministrazione di Gestione configurazione e Intune.

Distribuire i criteri EDR alle raccolte di Gestione configurazione

1. Nell'interfaccia di amministrazione di Intune passare a Sicurezza degli endpoint>Rilevamento e risposta> degli endpointCreare criteri.
2. Selezionare il profilo della piattaforma Windows (ConfigMgr) e rilevamento e risposta degli endpoint (ConfigMgr).
3. Configurare le stesse impostazioni dei criteri disponibili per i dispositivi gestiti da Intune.
4. In Assegnazioni selezionare le raccolte di Gestione configurazione anziché i gruppi di ID Entra.
5. Creare e distribuire il criterio.

Dopo aver distribuito il criterio, attendere il tempo necessario per la sincronizzazione di Intune-ConfigMgr e la valutazione dei criteri client di Gestione configurazione prima che i dispositivi vengano visualizzati come onboarding.

Per la configurazione dettagliata del collegamento di tenant, vedere Configurare il collegamento di tenant per supportare i criteri di Endpoint Protection.

Report sullo stato di onboarding EDR

Il report sullo stato di onboarding EDR offre agli amministratori una panoramica completa dello stato di onboarding dei dispositivi nell'intera organizzazione. Questo report consente di tenere traccia dei dispositivi che sono stati caricati correttamente in Microsoft Defender per endpoint e identificare i dispositivi che potrebbero richiedere attenzione.

Accesso al report sullo stato di onboarding EDR

1. Nell'interfaccia di amministrazione di Microsoft Intune, vai a Sicurezza degli endpoint>Rilevamento e risposta agli endpoint.
2. Selezionare la scheda Stato onboarding EDR .

Informazioni sul report

La scheda Stato onboarding EDR include quanto segue:

• Grafico di riepilogo dell'onboarding: dispositivi Windows caricati in Defender per endpoint - Questo grafico mostra il numero di dispositivi di cui è stato eseguito l'onboarding e di quelli che non lo sono stati.

• Elenco dei dispositivi con informazioni dettagliate: Questo elenco dei dispositivi include le seguenti colonne di dettagli:

  • Nome dispositivo: il nome di ogni dispositivo nell'organizzazione
  • Gestito da: Modalità di gestione del dispositivo (Intune, Gestione configurazione tramite collegamento tenant o Gestione impostazioni di sicurezza MDE)
  • Stato sensore Defender: stato di integrità corrente del sensore Defender per endpoint.
    • Attivo: il sensore funziona e comunica normalmente
    • Inattivo: il sensore non ha segnalato di recente
    • Compromesso: il sensore presenta problemi
  • Stato di onboarding: stato di onboarding corrente per ogni dispositivo.
    • Onboarding: il dispositivo invia correttamente la telemetria a Defender per endpoint
    • Non è stato eseguito l'onboarding: il dispositivo non ha completato il processo di onboarding
    • In sospeso: il dispositivo è in fase di onboarding
    • Ultimo check-in: data e ora dell'ultima comunicazione dal dispositivo a Intune
    • UPN primario: il nome dell'entità utente principale associato al dispositivo

Uso del report per la distribuzione EDR

Distribuzione rapida con criteri preconfigurati

Per una distribuzione rapida in tutti i dispositivi Windows idonei direttamente dalla scheda EDR Onboarding Status:

1. Nella scheda Stato onboarding EDR , selezionare Distribuisci criterio preconfigurato.

   

2. Scegliere l'ambito della distribuzione:

   • Rilevamento e risposta di Windows + Endpoint: per dispositivi gestiti da Intune
   • Windows (ConfigMgr) + rilevamento e risposta degli endpoint (ConfigMgr): Per le raccolte di Gestione configurazione

3. Specificare un nome criterio e una descrizione facoltativa.

4. Selezionare Crea per distribuire immediatamente.

Questo criterio preconfigurato automaticamente:

• Usa il pacchetto di onboarding più recente dal tenant di Defender per endpoint
• Distribuisce in tutti i dispositivi applicabili nell'organizzazione
• Applica le impostazioni di sicurezza consigliate

Uso del report per la correzione mirata

Il report sullo stato di onboarding EDR consente di identificare i dispositivi che richiedono attenzione, che è quindi possibile risolvere con la distribuzione mirata dei criteri:

Identifica i dispositivi problematici

Utilizzare l'elenco dei dispositivi nella scheda Stato onboarding EDR per identificare dispositivi specifici che richiedono attenzione:

1. Filtrare i dispositivi in base allo stato: focus sui dispositivi "Non caricato" o "In sospeso"
2. Metodi di gestione delle revisioni: Verificare che i dispositivi vengano gestiti tramite il canale appropriato
3. Controllare l'integrità del sensore: identificare i dispositivi con sensori inattivi o compromessi

Creare criteri mirati

Una volta identificati i dispositivi problematici, creare criteri EDR specifici utilizzando l'opzione Crea criterio dalla scheda Riepilogo:

Monitoraggio di scenari

Il report sullo stato di onboarding EDR supporta diversi scenari amministrativi chiave:

Convalida iniziale della distribuzione

Dopo la distribuzione dei criteri EDR:

• Monitorare il grafico di riepilogo onboarding per aumentare i conteggi di "onboarding"
• Esaminare lo stato di avanzamento di un singolo dispositivo nell'elenco dei dispositivi
• Identifica i dispositivi che non eseguono l'onboarding entro gli intervalli di tempo previsti

Monitoraggio continuo della conformità

Per la gestione continua del comportamento di sicurezza:

• Configurare revisioni regolari dello stato di onboarding.
• Tieni traccia dell'integrità dei sensori in tutto il parco dispositivi.
• Identifica i dispositivi che diventano inattivi o danneggiati nel tempo.

Risoluzione dei problemi di distribuzione

Quando l'onboarding dei dispositivi non riesce:

• Usa l'elenco dei dispositivi per identificare i dispositivi problematici.
• Esaminare i metodi di gestione per garantire una corretta definizione dei criteri di destinazione.
• Controllare lo stato del sensore per i dispositivi che mostrano lo stato "Non onboarded".
• Riferimento incrociato con i report di conformità dei criteri EDR.

Procedure consigliate per l'uso del report

• Monitoraggio regolare: rivedere settimanalmente il report sullo stato di onboarding di EDR per garantire una copertura di protezione continua.
• Correzione proattiva: risolvere tempestivamente i problemi relativi ai dispositivi "non onboarding" per mantenere il livello di sicurezza.
• Correlazione con altri report: da utilizzare insieme ai singoli report di conformità dei criteri EDR per una visibilità completa della distribuzione.
• Metriche di base dei documenti: tieni traccia delle percentuali di successo dell'onboarding nel tempo per identificare le tendenze.

Visibilità aggiuntiva sull'onboarding

Oltre al report dedicato sullo stato di onboarding di EDR, è anche possibile visualizzare lo stato di onboarding dei dispositivi tramite i report di Microsoft Defender Antivirus Microsoft Defender di Intune. Questi report includono informazioni sullo stato di onboarding per i dispositivi Windows MDM e forniscono un altro modo per monitorare la distribuzione di Defender per endpoint dell'organizzazione:

• Report sullo stato dell'agente antivirus: mostra lo stato completo del dispositivo, incluso lo stato di onboarding di Defender per endpoint
• Report endpoint non integri: visualizza i dispositivi con problemi rilevati, inclusi i problemi di onboarding

Questi report sono disponibili nell'interfaccia di amministrazione nelle seguenti posizioni:

• Passare a Report>sicurezza> endpoint Microsoft DefenderReport>antivirus>,riquadro Stato agente antivirus.
• Passare alla scheda Endpoint nonintegridell'Antivirus>di sicurezza> degli endpoint.

Monitorare e convalidare la distribuzione EDR

Report di Intune:

È possibile esaminare i risultati della distribuzione e dell'onboarding nell'interfaccia di amministrazione di Intune in Sicurezza degli endpoint>Rilevamento e risposta agli endpoint:

• Conformità dei criteri: nella scheda Riepilogo è possibile selezionare il criterio per visualizzarne lo stato di distribuzione.
• Dettagli dispositivo: nella scheda Stato onboarding EDR è possibile visualizzare un semplice report che mostra il numero di dispositivi, esaminare un elenco di dispositivi con dettagli sullo stato di onboarding e sull'integrità del sensore e quindi selezionare i dispositivi da approfondire ulteriormente per ulteriori informazioni.

Per una supervisione completa dell'onboarding dei dispositivi, usare il report sullo stato di onboarding EDR.

Convalida del portale di Microsoft Defender:

Nel portale di Defender:

1. L'inventario dei dispositivi (Asset>,Dispositivi) elenca i dispositivi di cui è stato eseguito l'onboarding poco dopo la ricezione dei dati di telemetria.

2. Integrità del sensore mostra l'ora dell'ultimo accesso, la versione del sensore e lo stato della comunicazione.

3. La valutazione dei rischi inizia dopo che i dispositivi inviano i dati di telemetria iniziali.

Monitoraggio continuo

Esaminare quanto segue per garantire il successo continuo dell'onboarding:

• Percentuali di successo della distribuzione dei criteri
• Stato di onboarding del dispositivo
• Integrità e comunicazione dei sensori
• Distribuzioni non riuscite che richiedono correzione

Risoluzione dei problemi

I dispositivi non vengono visualizzati nel portale di Defender

• Verificare che il dispositivo possa raggiungere gli endpoint necessari (ad esempio, *.securitycenter.windows.com e *.protection.outlook.com).
• Controllare lo stato di conformità dei criteri EDR in Intune ed esaminare i dettagli specifici del dispositivo nel report sullo stato di onboarding EDR.
• Assicurarsi che il servizio Microsoft Defender per endpoint sia in esecuzione nel dispositivo.

L'opzione "Auto da connettore" non è disponibile

• Verificare che la connessione Defender mostri Connesso sotto Amministrazione> tenant,Connettori e token.
• Attendi fino a 15 minuti dopo l'abilitazione della connessione perché l'opzione venga visualizzata.
• Assicurarsi che l'account disponga delle autorizzazioni amministrative appropriate.

Per altre informazioni, vedere Risolvere i problemi di onboarding di Microsoft Defender per endpoint.

Dispositivi di offboarding

I criteri EDR di Intune supportano l'opzione per usare un BLOB di offboarding per eseguire l'offboarding dei dispositivi. L'offboarding dei dispositivi da Defender per endpoint è in genere un processo non comune ma pianificato. Alcune situazioni che richiedono l'offboarding includono, a titolo esemplificativo, lo spostamento di un dispositivo da un ambiente di test specifico, parte della gestione del ciclo di vita del dispositivo o necessario durante il consolidamento del tenant.

Per creare un criterio di offboarding:

1. Scaricare un nuovo pacchetto di offboarding dal portale di Microsoft Defender passando a Impostazioni>,> EndpointGestione> dei dispositivi, Offboarding.
2. Selezionare il sistema operativo e scegliere Mobile Gestione dispositivi / Microsoft Intune.
3. Seleziona Scarica pacchetto.
4. Creare un nuovo criterio EDR con Tipo di pacchetto impostato su Offboarding e incollare il contenuto del BLOB di offboarding oppure aggiornare un criterio di offboarding esistente sostituendo il contenuto del BLOB.

Quando si distribuisce un criterio EDR di offboarding in Intune:

• Per motivi di sicurezza, il BLOB o il pacchetto di offboarding da Defender scadrà sette giorni dopo il download. I pacchetti di offboarding scaduti inviati ai dispositivi vengono rifiutati.
• Quando viene distribuito in un dispositivo, il BLOB di offboarding disabilita il sensore Defender per endpoint ma non rimuove il client Defender per endpoint.
• I dispositivi smettono di inviare dati di telemetria al portale di Defender per endpoint.
• I dispositivi vengono visualizzati come "inattivi" in Defender dopo sette giorni.
• Lo stato di conformità dei criteri di Intune EDR dovrebbe mostrare la distribuzione riuscita.
• I dati cronologici rimangono in Defender finché i criteri di conservazione non li rimuovono.

Dopo l'offboarding, il dispositivo interrompe l'invio dei dati di telemetria e il relativo stato diventa inattivo dopo sette giorni. I dati cronologici rimangono nel portale di Defender fino alla scadenza del periodo di conservazione configurato. Per informazioni dettagliate su ciò che accade dopo l'offboarding, consulta Offboarding dei dispositivi.

Per altre informazioni, vedere gli argomenti seguenti nella documentazione di Microsoft Defender per endpoint:

• Offboarding dei dispositivi con gli strumenti di Gestione dispositivi mobili
• Offboarding dei dispositivi

Contenuto correlato

Dopo l'onboarding dei dispositivi con i criteri EDR, prendere in considerazione la distribuzione di ulteriori controlli di sicurezza degli endpoint:

• Regole per la riduzione della superficie di attacco
• Criteri antimalware
• Criteri del firewall
• Criteri di conformità dei dispositivi