Microsoft Defender for Servers e onboarding ibrido

Microsoft Defender for Servers è il piano di Microsoft Defender for Cloud che porta protezione avanzata (EDR, vulnerability assessment, threat detection) su Windows Server e Linux, on-premises, Azure e altri cloud. Esistono due piani. Plan 1 integra Microsoft Defender for Endpoint (MDE) con capacità EDR, è fatturato per server/ora e senza vincoli di ingestion. Plan 2 aggiunge, oltre a tutto il Plan 1, funzioni come vulnerability management premium, File Integrity Monitoring, agentless scanning, just-in-time VM access, adaptive network hardening, la franchigia di 500 MB/giorno di dati in Log Analytics e la regulatory compliance. Criterio d’esame: se lo scenario chiede solo EDR/antimalware, orienta su Plan 1; se chiede FIM, JIT o compliance, serve Plan 2.

Per i server ibridi l’onboarding passa da Azure Arc: installi il Connected Machine agent, la macchina diventa una risorsa Arc-enabled e da lì Defender for Cloud può abilitare il piano ed effettuare il provisioning dell’estensione Defender for Endpoint. Senza Arc, un server on-premises non è governabile da Defender for Cloud. Il piano si abilita a livello di subscription (copre tutte le risorse) oppure per singola risorsa quando serve granularità.

Defender Antivirus e tamper protection

Microsoft Defender Antivirus è integrato in Windows Server come componente next-generation protection: real-time protection, cloud-delivered protection (MAPS), behavior monitoring e PUA protection. Attenzione al comportamento su Server: a differenza del client Windows, quando installi un antivirus di terze parti Defender Antivirus non passa automaticamente in passive mode; va forzato tramite chiave di registro dedicata, altrimenti restano attivi due motori in conflitto. In passive mode l’EDR di MDE continua comunque a funzionare (EDR in block mode) anche se la scansione real-time è demandata all’AV di terze parti.

La tamper protection blocca le modifiche non autorizzate alle impostazioni di Defender (disattivazione di real-time o cloud protection, stop agli update delle firme, disinstallazione). L’aspetto d’esame chiave è la gestione: va configurata centralmente da Microsoft Intune o dal Microsoft Defender portal (per i server, tramite security settings management), non con GPO o registro locale, perché con tamper protection attiva proprio quelle modifiche locali vengono rifiutate. È il tipico distrattore: “l’admin non riesce a cambiare un setting via registry” indica quasi sempre tamper protection.

Gestione degli update con Azure Update Manager

Azure Update Manager è il servizio nativo per assessment e deployment degli aggiornamenti, che sostituisce la vecchia Update Management basata su Automation Account e Log Analytics. Funziona sia su Azure VM sia su server Arc-enabled, quindi copre gli scenari ibridi senza dipendenze da workspace. Offre periodic assessment, deployment on-demand (one-time) e patching pianificato.

Il patching schedulato si costruisce con le maintenance configurations: definisci finestra temporale, ricorrenza, classi di update (Critical, Security…), reboot setting e liste KB include/exclude. Perché una schedule agisca sulla VM, la macchina deve avere il patch orchestration su Customer Managed Schedules (patch mode AutomaticByPlatform con il flag che bypassa i controlli di sicurezza sulla schedule utente); con OS-orchestrated o Image Default la schedule non si applica. Ricorda i patch mode: Image Default (gestisci tu nell’OS), AutomaticByOS (Automatic Updates), AutomaticByPlatform (orchestrazione Azure).

Per ridurre i reboot, hotpatch applica gli aggiornamenti di sicurezza a caldo su Windows Server Azure Edition (ed esteso a Server 2025 come subscription): restano i baseline months trimestrali che richiedono comunque riavvio. È la scelta giusta quando lo scenario chiede il minor downtime possibile.

Trappole tipiche d’esame

  • Server on-premises da proteggere con Defender for Cloud → soluzione: onboarding tramite Azure Arc (Connected Machine agent); senza Arc il server non è visibile né gestibile dai piani Defender.
  • Serve File Integrity Monitoring o Just-in-Time VM access → soluzione: Defender for Servers Plan 2; il Plan 1 offre solo EDR/MDE e non basta.
  • Admin non può disattivare o modificare Defender Antivirus via registro o PowerShell → soluzione: tamper protection attiva; va gestita da Intune o Defender portal, non localmente.
  • AV di terze parti installato ma Defender resta attivo su Windows Server → soluzione: su Server il passive mode non è automatico, va impostato con la chiave di registro dedicata (ForceDefenderPassiveMode).
  • La maintenance configuration non aggiorna la VM → soluzione: il patch orchestration deve essere Customer Managed Schedules (AutomaticByPlatform); con Image Default o AutomaticByOS la schedule viene ignorata.
  • Aggiornamenti di sicurezza con downtime minimo → soluzione: hotpatching su Windows Server Azure Edition; ricorda i baseline months trimestrali che impongono comunque il reboot.