將非持續性虛擬桌面基礎結構 (VDI) 裝置上線 Microsoft Defender 全面偵測回應

適用於：

• 適用於端點的 Microsoft Defender 方案 1
• 適用於端點的 Microsoft Defender 方案 2
• Microsoft Defender XDR
• 虛擬桌面基礎結構 (VDI) 裝置
• Windows 10、Windows 11、Windows Server 2019、Windows Server 2022、Windows Server 2008R2/2012R2/2016

想要體驗適用於端點的 Microsoft Defender 嗎? 注册免費試用版。

虛擬桌面基礎結構 (VDI) 是 IT 基礎結構概念，可讓使用者從幾乎任何裝置 (存取企業虛擬桌面實例，例如您的個人計算機、智慧型手機或平板電腦) ，而不需要組織為使用者提供實體機器。 使用 VDI 裝置可降低成本，因為 IT 部門不再負責管理、修復和取代實體端點。 授權的使用者可以透過安全的桌面用戶端或瀏覽器，從任何核准的裝置存取相同的公司伺服器、檔案、應用程式和服務。

如同 IT 環境中的任何其他系統，VDI 裝置應該具有端點偵測和回應 (EDR) 和防病毒軟體解決方案，以防止進階威脅和攻擊。

注意事項

持續性 VDI 的 - 將持續性 VDI 機器上線至 適用於端點的 Microsoft Defender 的處理方式，與您將實體計算機上線的方式相同，例如桌面電腦或膝上型電腦。 組策略、Microsoft Configuration Manager 和其他方法可用來將永續性計算機上線。 在 Microsoft Defender 入口網站中， (https://security.microsoft.com) 上線下，選取您慣用的上線方法，然後遵循該類型的指示。 如需詳細資訊，請 參閱將 Windows 用戶端上線。

將非持續性虛擬桌面基礎結構上線 (VDI) 裝置

適用於端點的Defender支援非持續性 VDI 會話上線。 將 VDI 實例上線時，可能會有相關聯的挑戰。 以下是此案例的一般挑戰：

• 短期會話的立即提早上線，必須在實際布建之前上線至適用於端點的 Defender。

• 裝置名稱通常會重複用於新的工作階段。

• 在 VDI 環境中，VDI 實例的存留期可能很短。 VDI 裝置可以在 Microsoft Defender 入口網站中顯示為每個 VDI 實例的單一專案或每個裝置的多個專案。

  • 每個 VDI 實例的單一專案。 如果 VDI 實例已上線至 適用於端點的 Microsoft Defender，並在某個時間點刪除，然後使用相同的主機名重新建立，則不會在入口網站中建立代表此 VDI 實例的新物件。 在此情況下，必須在建立會話時設定 相同的 裝置名稱，例如使用自動響應檔案。

  • 每個裝置有多個專案 -每個 VDI 實例各一個。

重要事項

如果您要透過複製技術部署非持續性 VDI，請確定您的內部範本 VM 未上線至適用於端點的 Defender。 此建議是為了避免複製的 VM 以與範本 VM 相同的 senseGuid 上線，這可防止 VM 在 [裝置] 清單中顯示為新專案。

下列步驟會引導您將 VDI 裝置上線，並醒目提示單一和多個專案的步驟。

警告

針對資源設定不足的環境，VDI 開機程式可能會使適用於端點的 Defender 感測器上線速度變慢。

上線步驟

注意事項

Windows Server 2016 和 Windows Server 2012 R2 必須先套用安裝套件，並使用上架 Windows 伺服器中的指示來準備 R2，此功能才能運作。

1. 開啟您從服務上線精靈下載 (WindowsDefenderATPOnboardingPackage.zip) VDI 組態套件檔案。 您也可以從 Microsoft Defender 入口網站取得套件。

   1. 在瀏覽窗格中，選取 [ 設定>端點>裝置管理>上線]。

   2. 選取作業系統。

   3. 在 [部署方法] 欄位中，選取 [非持續性端點的 VDI 上線指令碼]。

   4. 選 取 [下載套件 ] 並儲存盤案。

2. 將從 WindowsDefenderATPOnboardingPackage 壓縮資料夾擷取的資料夾中的檔案複製到路徑 C:\WINDOWS\System32\GroupPolicy\Machine\Scripts\Startup底下的黃金/主要映像。

   • 如果您要為每個裝置實作多個專案 - 每個工作階段各一個專案， 請複製 WindowsDefenderATPOnboardingScript.cmd。

   • 如果您要為每個裝置實作單一專案，請複製 和 WindowsDefenderATPOnboardingScript.cmd。Onboard-NonPersistentMachine.ps1

   注意事項

   如果您看不到 C:\WINDOWS\System32\GroupPolicy\Machine\Scripts\Startup 資料夾，該資料夾可能隱藏起來。 您必須從檔案總管選擇 [顯示隱藏的檔案及資料夾] 選項。

3. 開啟 [本機群組原則編輯器] 視窗，並瀏覽至 [設定]>[Windows 設定]>[指令碼]>[啟動]。

   注意事項

   網域群組原則也可以用來將非持續性 VDI 裝置上線。

4. 根據要實作的方法，請遵循適當的步驟：

   方法	步驟
   每個裝置的單一專案	1.選取 [PowerShell 腳本] 索引卷標，然後選取 [ 新增 (Windows 檔案總管會直接在您稍早複製上線腳本的路徑中開啟) 。 2.瀏覽至上線 PowerShell 腳稿 Onboard-NonPersistentMachine.ps1。 不需要指定另一個檔案，因為它會自動觸發。
   每個裝置有多個專案	1.選取 [腳本] 索引標籤，然後選取 [ 新增 (Windows 檔案總管會直接在您稍早複製上線腳本的路徑中開啟) 。 2.瀏覽至上線 Bash 腳稿 WindowsDefenderATPOnboardingScript.cmd。

5. 遵循下列步驟來測試您的解決方案：

   1. 使用一個裝置建立一個集區。

   2. 登入裝置。

   3. 在裝置上註銷。

   4. 使用另一個帳戶登入裝置。

   5. 根據要實作的方法，請遵循適當的步驟：

      • 針對每個裝置的單一專案：在 Microsoft Defender 入口網站中只檢查一個專案。
      • 針對每個裝置的多個專案：檢查 Microsoft Defender 入口網站中的多個專案。

6. 在瀏覽窗格中，選取 [ 裝置清單]。

7. 藉由輸入裝置名稱並選取 [裝置] 作為搜尋類型，來使用搜尋功能。

針對舊版 SKU (Windows Server 2008 R2)

注意事項

如果您針對需要 MMA 的 Windows Server 2016 和 Windows Server 2012 R2 執行先前的 適用於端點的 Microsoft Defender，其他 Windows 伺服器版本的這些指示也適用。 移轉至新整合解決方案的指示位於 適用於端點的 Microsoft Defender 中的伺服器移轉案例。

只有當目標是要為每個裝置達到單一專案時，下列登錄才會相關。

1. 設定登錄值，如下所示：

   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection\DeviceTagging]
    "VDI"="NonPersistent"
   
   

   或者，您可以使用命令行，如下所示：

   
   reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection\DeviceTagging" /v VDI /t REG_SZ /d "NonPersistent" /f
   
   

2. 遵循 伺服器上線程式。

更新虛擬桌面基礎結構 (VDI) 映像 (持續性或非持續性)

由於能夠輕鬆地將更新部署到在 VPI 中執行的 VM，我們縮短了本指南，將焦點放在如何快速且輕鬆地取得電腦上的更新。 您不再需要定期建立和密封黃金映射，因為更新會擴充到主機伺服器上的元件位，然後在 VM 開啟時直接下載到該 VM。

如果您已將 VDI 環境的主要映射上線， (SENSE 服務正在執行) ，則必須先離線並清除一些數據，才能將映像放回生產環境。

1. 將計算機下線。

2. 在 CMD 視窗中執行下列命令，確定感測器已停止：

   
   sc query sense
   
   

3. 在 CMD 視窗中執行下列命令：

   
   del "C:\ProgramData\Microsoft\Windows Defender Advanced Threat Protection\Cyber\*.*" /f /s /q
   REG DELETE "HKLM\SOFTWARE\Microsoft\Windows Advanced Threat Protection" /v senseGuid /f
   REG DELETE "HKLM\SOFTWARE\Microsoft\Windows Advanced Threat Protection" /v 7DC0B629-D7F6-4DB3-9BF7-64D5AAF50F1A /f
   REG DELETE "HKLM\SOFTWARE\Microsoft\Windows Advanced Threat Protection\48A68F11-7A16-4180-B32C-7F974C7BD783" /f
   exit
   
   

您是否針對 VDI 使用第三方？

如果您要透過 VMware 立即複製或類似技術部署非持續性 VDI，請確定內部範本 VM 和復本 VM 未上線至適用於端點的 Defender。 如果您使用單一輸入方法將裝置上線，從已上線 VM 布建的立即複製可能會有相同的 senseGuid，而且可以阻止新的專案列在 Microsoft Defender 入口網站的 [裝置清查] 檢視 ( 中，請選擇 [資產>裝置) ]。

如果主要映像、範本 VM 或復本 VM 使用單一輸入方法上線至適用於端點的 Defender，它會阻止適用於端點的 Defender 在 Microsoft Defender 入口網站中建立新的非持續性 VDI 專案。

請連絡您的第三方廠商以取得進一步的協助。

其他建議的組態設定

將裝置上線到服務之後，使用下列建議的組態設來以啟用裝置，以善用包含的威脅防護功能非常重要。

新一代保護設定

建議使用此連結中的組態設定：在遠端桌面或虛擬桌面基礎結構環境中設定 Microsoft Defender 防病毒軟體。

相關文章

• 使用群組原則將 Windows 裝置上線
• 使用 Microsoft Configuration Manager 將 Windows 裝置上線
• 使用行動裝置管理工具將 Windows 裝置上線
• 使用本機指令碼將 Windows 裝置上線
• 針對 適用於端點的 Microsoft Defender 上線問題進行疑難解答

提示

想要深入了解? 在我們的技術社群中 Engage Microsoft安全性社群：適用於端點的 Microsoft Defender 技術社群。