Microsoft Defender for Endpoint: o que é e como funciona

O Microsoft Defender for Endpoint é a plataforma de segurança de endpoints da Microsoft para empresas. Ele junta antivírus de nova geração, redução de superfície de ataque e EDR (detecção e resposta) em um único console, o portal Microsoft Defender. Protege Windows, macOS, Linux, iOS e Android.

Muita empresa já paga por ele sem saber. Ele vem dentro do Microsoft 365 E3 (Plano 1) e do E5 (Plano 2), e uma versão adaptada está no Business Premium.

O difícil não é ter a licença. É fazer funcionar de verdade.

O que é EDR e por que sua empresa precisa

Antivírus tradicional compara arquivos com uma lista de ameaças conhecidas. Funciona contra o que já foi catalogado e falha contra o resto.

EDR olha comportamento. Um PowerShell que baixa um script codificado em Base64, um processo do Word abrindo o cmd.exe, uma conta de serviço acessando 400 compartilhamentos em dez minutos. Nada disso é um “vírus” com assinatura, mas tudo isso é padrão de ataque. O EDR registra a telemetria do dispositivo, correlaciona os eventos e transforma em alerta com linha do tempo.

Em ransomware isso faz diferença real. O criptografador é a última etapa. Antes dele vêm dias, às vezes semanas, de reconhecimento e movimentação lateral. É nessa janela que o EDR pega o atacante, como explicamos no guia sobre como prevenir ransomware em empresas.

Principais recursos do Defender for Endpoint

Detecção e resposta automatizada

Quando um alerta dispara, a investigação automatizada (AIR) analisa o dispositivo, identifica arquivos, processos e chaves de registro envolvidos e pode remediar sozinha. Você define o nível de automação por grupo de dispositivos: aprovação manual, semiautomático ou totalmente automático.

Para resposta manual, o analista pode isolar a máquina da rede com um clique (ela continua falando só com o Defender), coletar um pacote de investigação ou abrir uma sessão de live response, um shell remoto para rodar comandos e scripts no dispositivo comprometido.

Análise de vulnerabilidades

O Defender inventaria software e versões em cada endpoint e cruza com CVEs conhecidas. O resultado é uma lista priorizada de recomendações, com nível de exposição por dispositivo e por aplicativo. Ver que 180 máquinas ainda rodam uma versão vulnerável do 7-Zip ajuda bem mais do que um relatório genérico de “patches pendentes”.

Um detalhe de licenciamento: o núcleo dessa análise está no Plano 2. Recursos estendidos, como avaliação de baseline de segurança e bloqueio de aplicativos vulneráveis, fazem parte do add-on Defender Vulnerability Management, vendido à parte.

Investigação e caça a ameaças (threat hunting)

A busca avançada (advanced hunting) permite consultar a telemetria bruta dos endpoints com KQL, a mesma linguagem do Microsoft Sentinel. Um exemplo simples, que lista execuções de PowerShell com comando codificado na última semana:

DeviceProcessEvents
| where Timestamp > ago(7d)
| where FileName =~ "powershell.exe"
| where ProcessCommandLine has_any ("-enc", "-EncodedCommand")
| project Timestamp, DeviceName, AccountName, ProcessCommandLine

É um recurso para quem tem time de segurança ou um parceiro de SOC. Sem ninguém olhando, vira só um console bonito.

Onde a implantação costuma falhar

O erro mais comum que encontramos em campo tem a ver com o antivírus antigo.

A empresa compra o Defender, faz o onboarding de todas as máquinas pelo Intune, cria as regras de redução de superfície de ataque (ASR) e mantém o antivírus de terceiros “só por garantia”, até o contrato vencer. O portal mostra os dispositivos como protegidos. Só que, com outro antivírus ativo, o Microsoft Defender Antivirus entra em modo passivo. E várias proteções dependem dele em modo ativo, incluindo as regras ASR. As regras aparecem como configuradas, e na prática não bloqueiam nada.

Confira em qualquer máquina:

Get-MpComputerStatus | Select-Object AMRunningMode, RealTimeProtectionEnabled

Se AMRunningMode retornar Passive Mode, suas regras ASR estão decorativas. A recomendação é planejar a remoção do antivírus legado com data marcada, e não deixar a convivência se arrastar.

O segundo ponto de atrito é o sensor. O dispositivo aparece no Intune como “integrado”, mas não manda telemetria ao portal. Em geral é proxy corporativo bloqueando os endpoints do serviço ou o serviço Sense parado. Um sc query sense no prompt resolve a dúvida rápido.

Defender for Endpoint x Defender for Business: diferenças

O Defender for Business é a versão para empresas com até 300 usuários. Ele vem incluído no Microsoft 365 Business Premium e também pode ser comprado avulso.

Ele traz EDR, investigação e remediação automatizada, análise de ameaças e o núcleo da gestão de vulnerabilidades, com configuração simplificada para quem não tem time de segurança dedicado. O que fica de fora em relação ao Plano 2 é, principalmente, a busca avançada com KQL e alguns recursos de nível empresarial. Para a maioria das PMEs, isso não faz falta.

Acima de 300 usuários, o caminho é o Defender for Endpoint Plano 1 ou Plano 2. Detalhamos a versão para pequenas empresas no artigo sobre o Microsoft Defender for Business.

Como integrar o Defender com Intune e Entra ID

A integração é o que transforma o Defender de ferramenta isolada em peça de uma arquitetura Zero Trust.

1. Ative o conector entre o Microsoft Defender e o Intune (no portal Defender, em Configurações > Endpoints > Recursos avançados, e no Intune, em Segurança de endpoint > Microsoft Defender for Endpoint).
2. Faça o onboarding pela política de EDR do Intune. Máquinas gerenciadas recebem o pacote automaticamente, sem script.
3. Crie uma política de conformidade que exija o nível de risco do dispositivo em “Baixo” ou “Livre”.
4. Use o Acesso Condicional no Microsoft Entra ID para bloquear o acesso a e-mail, Teams e SharePoint de dispositivos fora de conformidade.

O efeito prático: se o Defender detecta uma ameaça ativa em um notebook, ele eleva o risco, o Intune marca o dispositivo como não conforme e o Entra ID corta o acesso aos dados corporativos até a máquina ser limpa. Tudo sem intervenção manual.

Planos e licenciamento

Cada licença por usuário cobre até cinco dispositivos. Servidores Windows e Linux não entram nessa conta e precisam de licenciamento próprio, pelo Defender for Servers (no Microsoft Defender for Cloud). Esse detalhe pega muita empresa de surpresa na hora de proteger o servidor de arquivos, justamente o alvo preferido do ransomware.

Como os valores mudam com câmbio, contrato e pacote, vale fazer a conta com uma revenda antes de decidir entre o Plano 1 com add-ons ou um salto direto para o E5.

Perguntas frequentes

O que é o Microsoft Defender for Endpoint? É a plataforma corporativa de segurança de endpoints da Microsoft. Combina antivírus de nova geração, redução de superfície de ataque, EDR e investigação automatizada em um console único, para Windows, macOS, Linux, iOS e Android.

Qual a diferença entre Defender for Endpoint Plano 1 e Plano 2? O Plano 1 foca em prevenção: antivírus, regras ASR e controle de dispositivos. O Plano 2 adiciona EDR, investigação automatizada, gestão de vulnerabilidades e busca avançada de ameaças.

O Microsoft Defender Antivirus do Windows é a mesma coisa que o Defender for Endpoint? Não. O antivírus vem gratuito no Windows. O Defender for Endpoint é um serviço licenciado que usa esse antivírus como base e adiciona gestão centralizada, EDR, telemetria e resposta a incidentes.

Posso usar o Defender for Endpoint junto com outro antivírus? Pode, mas o Microsoft Defender Antivirus fica em modo passivo, e recursos como as regras ASR deixam de funcionar. Para proteção completa, o Defender precisa ser o antivírus principal.

O Defender for Endpoint protege servidores? Protege, mas servidores exigem licenciamento separado pelo Defender for Servers. As licenças por usuário cobrem apenas dispositivos cliente.

Proteja seus endpoints com quem já implantou

Ter a licença do Defender e ter os endpoints protegidos são coisas bem diferentes. Nossa equipe avalia o estado atual do seu ambiente, identifica as máquinas em modo passivo ou sem telemetria e entrega o Defender integrado ao Intune e ao Entra ID, funcionando de ponta a ponta. Solicite uma demonstração de segurança de endpoints para sua empresa.