Onboarding de dispositivos en Intune y Defender for Endpoint (tutorial paso a paso)

Una vez tenemos claras las licencias que queremos comprar, toca pasar por caja. Bienvenidos a otro vídeo más, pero antes de empezar, lo primero que quiero aclarar es una pregunta que seguramente tendréis, y es: ¿qué ha pasado con el vídeo 3? Porque pasamos del 2 al 3. Pues un segundo y os lo enseño. Como veis aquí, este es el blog. Como podréis ver, el último vídeo era el que estaba relacionado con el número 2 y hoy vamos a hacer el número 4. El 3 no lo he hecho porque básicamente explica lo que es XDR. Me interesa un poco pasar del tema de las licencias a comprarlas directamente y no hacer una hacer otro vídeo entremedio, porque si no creo que sería un poco más lioso. Por lo tanto, igual después de este vídeo paso a hacer el 3, que creo que para una persona que no entiende o que no sabe mucho quizá es menos lioso. Entonces, una vez zarcemos el asunto de las licencias, ya explicaré un poco por encima lo que es XDAD. Pues una vez hayamos aclarado el tema del salto del vídeo, vamos a empezar haciendo un un poco de resumen de lo que vamos a hacer hoy. Vamos a empezar comprando las licencias, las que acordamos comprar en el último vídeo o en el post número 2, y las vamos a asignar a 2 usuarios que ya tenemos creados en nuestro tenant. Luego vamos a coger, vamos a crear una máquina virtual que yo ya la tengo instalada, y vamos a asignar las licencias a nuestro usuario víctima y a la máquina virtual. Entonces, si tenéis alguna duda de algún paso, no dudéis en contactarme aquí en la sección de contacto. Todo está en el blog, todo está en el post, como podéis ver, paso a paso explicado. De todas formas, cualquier cosa, caja de comentarios, lo que necesitéis. Dejaré los links del, tanto del post como del blog, aquí abajo, y toda la documentación. Pues empezamos, pues empezamos por los usuarios. Es relativamente sencillo crear usuarios en Entra ID, pero bueno, por si alguien no sabe, es en este botón de New User, le dais y le dais a crear un nuevo usuario o invitar un usuario externo a vuestro tenant, y si lo invitáis tendrá que aceptar la invitación, etcétera. Yo he creado los dos siguientes usuarios, el de Security Operations, que va a ser nuestro administrador, y el de víctima, ambos relacionados con la compañía AliOps. No os esforcéis en enviar mails aquí porque nuestro usuario de SecOps no va a tener cuenta de mail y lo único que va a tener son permisos en Azure y es una cuenta bien protegida. Entonces no intentéis nada. La cuenta víctima es la que tendrá el correo, la que tendrá las licencias, porque en principio necesitamos que abajo. Entonces es la que tendrá toda la suite de Office, es la que tendrá OneDrive, etcétera. Para ello dejo aquí un momento los permisos que le hemos asignado a la cuenta de SecOps, que como veis es Security Administrator, es Global Admin. Esta es la importante en sí, el resto son test que he hecho yo antes, pero esta va a ser la importante para el onboarding, la de Global Admin. Luego tenemos Security Reader y Security Operator. Todo el tema este de los permisos, qué permisos asignar, etcétera, ya llegará en otro vídeo. No os preocupéis, todo esto no hace falta ahora. Con que tenga global admin nos sirve. De hecho, ¿cómo se asignan? Pues le damos a Add Assignments y aquí podremos añadirlo. Pues una vez tenemos las cuentas creadas, ahora nos dedicaremos a comprar las licencias, bueno, la licencia para la víctima. Para ello podéis clicar en probar gratis o podéis clicar en comprar ahora. Yo, como ya agoté la prueba para el blog número 2, no, para el post número 4, pues ya no me queda más remedio que comprarla. Vosotros, si podéis usar un mes gratis, pues oye, es lo que debáis. Entonces le damos a comprar ahora, se nos abrirá esta pestañita. Aquí yo voy a elegir hacer toda la gestión a través de SecOps. ¿Por qué? Porque tengo una cuenta que gestiona todo lo que es el Tenant, una cuenta personal, pero a mí me interesa que todo lo que está relacionado con AliOps lo lleve una cuenta administradora. No es una buena práctica para una empresa que la misma cuenta de SecOps sea la que gestione los pagos, pero al final, como esto es un test Tenant, cuanto menos cuentas tengas relacionadas con esto, mejor. Por lo tanto, la cuenta de SecOps va a ser, entre comillas, la cuenta que se dedique como a mandar, que gestione, que analice incidentes de seguridad. Y la cuenta víctima va a ser simplemente una cuenta para aprovecharnos de ella. Le damos a continuar y se nos abrirá esta ventana de aquí donde tendremos que meter pues todos los datos de tarjeta, de dirección, más que nada para la factura. Una vez lo tengamos lleno pues a realizar pedido. Yo, por razones de seguridad, voy a tapar esto y voy a realizar el pedido. Luego, para la Defender Suite for Business Premium, igual, le damos a comprar ahora, seleccionamos la cuenta que queremos. Si no es esta, pues iniciamos sesión con la que queramos. Y lo mismo, venimos aquí y realizamos, bueno, rellenamos todo y hacemos el pedido. Vale, pues ya he comprado las dos licencias. La primera, la de Microsoft 365 for Business Premium, es esta de aquí. Y luego aquí tengo la Defender Suite for Business Premium. Una vez las tenemos compradas, os debería redirigir al portal de M365 de administración. En este caso, a mí pues simplemente me ha mostrado que ya las he comprado, por lo tanto procedo a ir yo manualmente. Como veis, la URL es admin.cloud.microsoft y si vamos a la sección de licenses, aquí tendréis todas las licencias que habéis comprado. En mi caso yo tengo las 300 de la prueba más las 25 de la Defender Suite for Business Premium de la prueba más una cada una que es la compra que he hecho. Entonces ahora vamos a proceder a asignarle la licencia a nuestro usuario víctima. Para ello, clicamos en la licencia. A por cierto, una cosa importante, nos dejará comprar la Defender Suite for Business Premium a no ser que ya tengáis licencias activas de Microsoft 365 for Business Premium. Os aviso, primero Microsoft 365 for Business Premium y después la Defender Suite, en ese orden siempre. Entonces vamos aquí, asignamos licencia, buscamos el usuario que queremos, que en este caso es Víctim, y ya está. Y le damos a asignar licencia. La primera ya está asignada. Volvemos atrás, vamos a la Defender Suite. Como veis, ya tengo una asignada de 301, y aquí seguimos el mismo proceso. Venimos aquí buscamos víctima y ya la tenemos asignada. Es realmente fácil, como podéis ver. Pues como ya tenemos asignada la licencia, ahora ya Avast SecOps se nos va a desplegar todo lo que es la suite de seguridad para proteger al usuario víctima. Entonces ya tendremos acceso a Explorer, ya tendremos acceso a Defender for Endpoint, para monitorizar precisamente al usuario víctima desde SecOps, porque SecOps tiene los permisos para acceder global admin, sobre todo ahora mismo. No quiero entrar en permisos hasta que no haga el post. Entonces, como veis, aquí tengo virtualizada una máquina que va a ser la máquina que simule el ordenador de la víctima. En este caso, pues, es, ya os digo, me he bajado la imagen de Windows 11 desde la página oficial de Microsoft. Y nada, VirtualBox, open software, y nada, a instalar. Simplemente hay que tener un poco de paciencia con estas cosas. Ahora estará comprobando si hay actualizaciones. Bueno, hay que ir lo típico de siguiente, siguiente, siguiente, siguiente. Pero en este caso sí que es verdad que vamos a inicializar el sistema como si fuera de la empresa, entonces Yo simularé ser el service desk que está configurándole el ordenador a nuestro nuevo empleado, que es el usuario víctima, que de momento no he pensado en ponerle nombre. De momento se llama víctima. Igual llegado el día pues le cambiamos el nombre. A ver si ha acabado de configuraciones. Muy bien. ¿Qué nombre de dispositivo le vamos a poner? Esto va a ser importante porque para la empresa hay que tener los dispositivos tageados, identificables. En este caso yo había pensado en ponerle pues algo tal que victim host, para tener claro que es el ordenador de la víctima. Todo esto cuando lo abordemos en Defender lo veremos con el nombre de máquina victim host. Entonces es importante saber el nombre de la máquina, obviamente. A ver si acaba y seguimos. Pues no ha tardado tanto. Al final, ¿qué vamos a hacer ahora? Pues configurar para uso personal, no, vamos a configurarlo para uso profesional o educativo. En este caso vamos a tener que iniciar sesión pues con nuestra cuenta corporativa que va a ser el usuario víctima. Entonces escribimos admin victim, victim@aliops.net. Vamos a poner la contraseña, que si no recuerdo mal Era esta de aquí. No, te voy a decir, no sé si me va a pedir el multifactor porque lo tengo puesto. Vale, no me lo pide. En este caso vamos a darle aquí a todo que no, porque total, en un test en A no nos interesa Tardar 2. No queremos output, no queremos sugerencias, y seguimos. A ver si tarda poco. Muy bien, en cuanto acabe, en cuanto acabe de configurarse, volvemos. Pues seguimos con la configuración. Nos pide el PIN, típico PIN de Windows. Nos va a pedir el MFA, ya decía yo, digo, qué raro que no lo pida. Vale, en este caso el MFA es este de aquí. Se verifica, perfecto, ya ha cambiado el MFA. No os engordéis. De PIN vamos a ponerle el mismo, vamos a ponerle la misma contraseña para no liarnos y tenerlo todo igual. Y ya está todo listo. Muy bien, pues ya tenemos Windows activo. Y ahora pues lo que hay que hacer es onboardear la máquina dentro de Defender a través de Intune. Pues para conectar el dispositivo, el endpoint, a Defender, ahora lo que tendremos que hacer es ir a configuración. Dentro de configuración iremos a cuentas. Dentro de cuentas iremos a obtener acceso a trabajo o escuela. Y aunque ponga que ya está conectado, nos vamos a volver a conectar. Un segundo, vale, que tengo un teclado para los sistemas operativos. Aquí lo que haremos será pues volver a iniciar sesión con nuestra cuenta, que será el propietario de la máquina, y aquí nos pide la URL del servidor MDM. Esto, sin entrar en muchos detalles, ¿de dónde lo podemos sacar? Pues muy sencillo, si nos venimos a Intune Si vamos a dispositivos, enrollment, que es para hacer onboarding de dispositivos y el enrollment automático, aquí nos da la URL. Todo esto está en el blog, de todas formas, no hace falta que saquéis capturas ni nada. Entonces simplemente voy a copiar esta URL, la tendré que copiar a mano porque no tengo el clipboard activado en la máquina virtual. Entonces es enrollment manage.microsoft.com/enrollmentserver/discovery.svc. Una vez lo tengamos, le damos a siguiente y estará buscando nuestra organización, estará buscando pues añadir el dispositivo. Nos va a pedir la contraseña del usuario, ningún problema, la ponemos, introducimos la contraseña, si no me he equivocado, ahora que sí, nos está pidiendo el MFA, pero en este caso está aplicando ahora todas las directivas, que en verdad son ninguna porque no tenemos directivas. Está registrando el dispositivo y dentro de poco deberíamos poder verlo. A ver un momento si acaba, y cuando acabe volvemos. Una vez acabemos pues de hacer la instalación en la máquina virtual, yo la dejaré actualizándose y nos vamos a Intune. Hay que hacer un par de cosillas. Como veis, si vamos a dispositivos, esto puede tardar un poco, puede tardar minutos, pero si vamos a los dispositivos ya vemos que la máquina pues es compliant porque no hay ninguna regla que dice lo contrario, por así decir. Vemos que el last check-in es ahora, vemos que el usuario asociado es el usuario víctima, y por lo tanto todo correcto. Nos faltará hacer lo siguiente, nos faltará vincular o sincronizar Intune con Defender for Endpoint. ¿Cómo se hace esto? Vamos a Endpoint Security, vamos a Microsoft Defender for Endpoint, y tenemos que tener esto seleccionado en on. Y si está en off, pues seleccionamos on y guardar. Esto puede tardar bastante en hacerse, puede tardar, de hecho puede tardar días. A mí me tardó, cuando hice esto en el tenor, me tardó un día. Si no me equivoco, lo hice por la noche cuando hice el post, y al día siguiente a la mañana ya lo tenía. ¿Cuándo sabréis que esto ha funcionado? Muy sencillo, cuando vayáis al Defender, al portal de Defender, y aquí os salga endpoints. Si os sale endpoints, ya ha acabado la sincronización. Entonces ahora mismo lo que nos faltará es onboardear la máquina a Defender for Endpoint también. Esto se puede hacer a través de unas políticas en Intune. No voy a crear las políticas de momento porque como es un test en un día de una máquina, vamos a hacerlo manual. ¿Cómo se hace esto? Pues vamos a System, si no me equivoco, Settings, Dentro de settings tendremos Defender for Endpoints, si no me equivoco, en algún sitio, endpoints, y dentro de endpoints deberíamos encontrar onboarding. A partir de aquí podemos hacerlo con un onboarding package. Yo, ¿cómo lo voy a hacer? Es un script que se pasa a la máquina virtual y funciona súper bien. Ya lo veis. Entonces nos lo descargamos y ahora lo paso a la máquina virtual y volvemos. Muy bien, pues ya me he pasado el archivo. Entonces es básicamente abrirlo, clic derecho. Bueno, este caso habrá que descomprimirlo. Clic derecho y ejecutar como administrador. Lo ejecutamos, en este caso pues el permiso le decimos que sí, y en este caso confirmamos y empieza a instalarse este script. Lo que va a hacer es homorear la máquina en Defender for Endpoint. Lo dicho, lo hacemos manual porque para una máquina tampoco hay que matarse. A ver si acaba rápido. Cuando acabe os digo. Pues justo ha sido para la grabación y ha acabado. Como veis, successfully onboarded machine to Microsoft Defender for Endpoint. Por lo tanto, esto ya lo podemos cerrar, esto lo podemos borrar. Y podemos mirar de ir a Defender for Endpoint a ver si encontramos la máquina. Entonces, para encontrar la máquina, vamos a Assets, Devices, y deberíamos, bueno, igual tarda un poco en replicar, por eso esta máquina es la anterior, la que tenía para el post, no es la máquina que acabamos de crear, porque si os fijáis están minúsculas. Y aparte, bueno, la última vez que se conectó fue el 19 de abril. Por lo tanto, esta no es la máquina. Debería tardar un poco. De todas formas, ya está bordeado. Simplemente hay que esperar y quizá en media hora, una horita, habrá que darle un poco de paciencia y acaba bordeado. Esperaremos. Mientras esperamos a que se sincronice con Defender for Endpoint, ha pasado algo y es que en el post, durante el cambio del post al vídeo, han cambiado una cosa. En el post digo que para descargar Office hay que venir a esta URL. Ahora, si entráis aquí, os accede solo a Copilot. Para descargar la suite de Office tenéis que descargarlo a través de la tienda de Microsoft y es Microsoft 365 Copilot ahora el nombre. Microsoft siempre cambiando, enviando nombres y licencias. Pues nada, después de llevar un rato esperando, como podéis ver, ya son las 9 y media. He configurado OneDrive. Ahora me faltará correr un scan, seguramente, ¿no? A control de aplicaciones y navegador. Esto ya está. He configurado OneDrive, ya lo tenemos configurado y funcionando. He instalado pues las típicas aplicaciones de Office: Word, Excel, Outlook. Entonces nada, a nivel de actualizaciones me falta reiniciar el dispositivo para acabar de reiniciar. Y cuando nos vamos a dispositivos vemos el mismo victim host, pero esta vez cuando entramos se actualiza automáticamente. Y como podéis ver, la primera vez que se ha visto es a día de hoy, abril, mayo. Que la fuerza os acompañe. Y nada, y como veis, la última vez que se ha sincronizado es a las 9, hace media horita. Entonces esto tarda siempre un poco. Así que nada, ya tenemos todo montado. Este va a ser nuestra víctima. Ya tenemos las cuentas de usuarios de tanto SecOps como de la víctima. Tenemos la máquina, tenemos la máquina sincronizada con Intune y con Defender. Y nada, hasta el próximo vídeo, que vaya muy bien. Yo me voy a cenar. Arogo!