เอาเครื่องเข้าพวก! เจาะลึกวิธี Onboarding บน Microsoft Defender for Endpoint แบบ Step-by-Step

บทความนี้จะพาไปดูเบื้องหลังการ "รับน้อง" เครื่องคอมพิวเตอร์เข้าสู่ระบบความปลอดภัยระดับโลกอย่าง Microsoft Defender for Endpoint (MDE) หรือที่เราเรียกว่าการ Onboarding ครับ

การมี License Defender อยู่ในมือแต่ไม่เอาเครื่องเข้า Onboard ก็เหมือนซื้อกุญแจดิจิทัลมาแต่ไม่ยอมล็อกบ้านครับ! วันนี้ผมจะสรุปให้ฟังว่าเรามีกี่วิธีในการพาเครื่อง Windows (และผองเพื่อน) เข้ามาอยู่ภายใต้การดูแลของ MDE พร้อมตัวอย่างการใช้ Script แบบแมนนวลสำหรับสายลุยครับ

1. Onboarding มีกี่ท่า? เลือกใช้ให้ถูกงาน

Microsoft ออกแบบมาให้เราเลือกใช้ตามขนาดและความซับซ้อนขององค์กรครับ:

 * Local Script: เหมาะสำหรับเครื่องทดสอบ (Lab) หรือมีเครื่องแค่ 1-10 เครื่อง (เดี๋ยวเราจะดูตัวอย่างกัน)

 * Group Policy (GPO): ท่ายอดฮิตสำหรับองค์กรที่มี Active Directory (On-prem) เน้นสั่งการจากส่วนกลางทีเดียวหลักร้อยหลักพันเครื่อง

 * Microsoft Intune: ท่าที่ทันสมัยที่สุด (Modern Management) แค่กดคลิกไม่กี่ทีใน Cloud เครื่องที่ Join Entra ID ไว้ก็จะโดนจับ Onboard อัตโนมัติ

 * Microsoft Endpoint Configuration Manager (MECM/SCCM): สำหรับองค์กรขนาดใหญ่ที่มีการจัดการเครื่องแบบ Deep Configuration

 * VDI Onboarding: สำหรับพวกเครื่องเสมือน (Virtual Desktop) ที่มีการสร้างและทำลายบ่อยๆ

2. ตัวอย่างการ Onboard ด้วย Local Script (ฉบับมือโปร)

วิธีนี้ง่ายที่สุดสำหรับ Admin ที่ต้องการเทสระบบกับเครื่องตัวเองก่อน หรือเครื่องที่ไม่ได้ต่อ Domain ครับ

ขั้นตอนการทำ:

 * ไปที่ Microsoft Defender Portal (https://www.google.com/search?q=security.microsoft.com)

 * เลือก Settings > Endpoints > Onboarding

 * เลือกระบบปฏิบัติการ (เช่น Windows 10 or 11) และเลือก Deployment method เป็น Local Script

 * กด Download onboarding package คุณจะได้ไฟล์ .zip มา

วิธีรัน Script:

 * แตกไฟล์ .zip ออกมา คุณจะเจอไฟล์นามสกุล .cmd (เช่น WindowsDefenderATPOnboardingScript.cmd)

 * สำคัญมาก: ต้องคลิกขวาแล้วเลือก "Run as Administrator" เท่านั้น!

 * หน้าจอ Command Prompt จะเด้งขึ้นมา ให้กด Y เพื่อยืนยัน

 * รอประมาณ 1 นาที ถ้าขึ้นว่า "Successfully onboarded machine to Microsoft Defender for Endpoint" ก็เป็นอันฉลองได้ครับ!

Pro Tip: หลังจากรันเสร็จ เครื่องจะยังไม่โผล่ในหน้า Portal ทันทีนะครับ ต้องรอประมาณ 5-30 นาทีเพื่อให้ Agent ทำการคุยกับ Cloud ครั้งแรกก่อน

3. วิธีเช็คว่า Onboard สำเร็จหรือยัง? (แบบไม่ต้องรอ Portal)

ไม่อยากนั่งจ้องหน้าเว็บใช่ไหม? เปิด PowerShell ในเครื่องนั้นแล้วรันคำสั่งนี้ครับ:

Get-MpComputerStatus | select AMRunningMode

 * ถ้าขึ้นว่า Normal แสดงว่า Defender ทำงานเต็มตัวแล้ว (Active mode)

 * ถ้าขึ้นว่า Passive Mode แสดงว่าในเครื่องมี Antivirus ยี่ห้ออื่นอยู่ (MDE เลยยอมถอยให้ครึ่งก้าว)

สรุปเนื้อหา:

การ Onboarding คือจุดเริ่มต้นของการทำ XDR ครับ ไม่ว่าคุณจะใช้ท่าไหน ผลลัพธ์ที่ได้คือความอุ่นใจว่าเครื่องนั้นๆ จะมี "ตาทิพย์" คอยสอดส่องพฤติกรรมอันตรายส่งกลับมาให้ Admin ดูได้ตลอดเวลานั่นเอง

#MicrosoftDefender #MDE #Onboarding #CyberSecurity #ITAdmin #Windows11 #SystemEngineer