什么是 Microsoft Defender for Endpoint Plan 1 / Plan 2？梳理 E3 与 E5 的设备防护
关于本文
本文是通过结合生成式 AI 的自动生成流程创建的。我们于 2026-09-18 重新确认了微软官方信息，并从实务角度梳理了 Plan 1/2、E3/E5 以及混合许可（mixed license）。验证状态：📘 已确认微软官方信息・未在实际设备上验证
Microsoft Defender for Endpoint (MDE) 是一款旨在保护 Windows、macOS、Linux、Android 和 iOS 等设备的安全终端防护（Endpoint Security）产品。Endpoint是指 PC、智能手机等用户操作的设备，EDR是指端点检测与响应（Endpoint Detection and Response），用于记录和检测入侵后的行为，以便进行调查和响应。
E3/E5 与 Plan 1/2
根据 2026 年的微软官方信息，Microsoft 365 E3 包含 Defender for Endpoint Plan 1，而 Microsoft 365 E5 包含 Plan 2。P1 主要侧重于预防和减少攻击面（Attack Surface Reduction），而 P2 则扩展到了 EDR、高级调查与响应等功能。
| 对比项 | Plan 1 | Plan 2 |
|---|---|---|
| 新一代保护 / ASR | ○ | ○ |
| 包含 EDR 的高级检测与调查 | — | ○ |
| 自动调查与修复等 P2 功能 | — | ○ |
| Microsoft 365 代表性 SKU | E3 | E5 |
由于具体功能会持续更新，请以最新的微软官方对比表为准。
flowchart LR LIC[E3=P1 / E5=P2] --> ONB[端末をOnboard] ONB --> SIG[センサー/保護信号] SIG --> PORTAL[Microsoft Defender portal] PORTAL --> OPS[監視・調査・対応]
首先尝试：在不作更改的情况下读取状态
在 Defender 门户中，依次访问 Settings > Endpoints > Licenses 确认订阅状态，然后访问 Assets > Devices 打开一台设备，读取其操作系统（OS）、上报状态（onboarding）和最后在线时间（last seen）。在首次确认时，请勿执行设备隔离或检疫操作。
微软针对 P1/P2 混合的租户提供了混合模式（mixed mode）指南。除了向用户分配许可证外，还需要确认订阅设置（subscription settings）和设备标签等条件。设置生效可能需要一些时间。
使用 PowerShell 查看本地状态
Get-MpComputerStatus |
Select-Object AntivirusEnabled, RealTimeProtectionEnabled,
AntivirusSignatureLastUpdated
检查要点包括防病毒（AV）、实时保护以及定义更新时间。成功条件是能够成功获取状态。不过，这只是对本地 Defender Antivirus 的确认，并不能单独证明已成功上报（onboarding）到 MDE。如果要更改一处，请在 Select-Object 中加入 AMRunningMode，并确认运行模式。
普通用户、行政人员和 IT 部门的视角
普通用户不应自行解除警告，而应进行上报。行政人员在业务流程中，最好包含确认设备更换或居家办公 PC 是否已纳入管理范围的环节。IT 部门则应将“许可证分配 -> 上报（onboarding） -> 策略 -> 传感器健康状况 -> 告警运维”作为独立步骤进行验证。
管理员需要确认的要点
E3=P1、E5=P2 以及附加的安全 SKU
混合许可（mixed-license）时的订阅设置（subscription settings）
已上报（onboard）的设备数量及目标操作系统
Intune 等的端点安全策略（Endpoint security policy）
EDR/ASR/防火墙/防病毒（AV）的责任分界
P2 是按用户授权的，微软官方的许可说明中指出，每个用户最多可同时上报 5 台设备
服务器与客户端的条件不同，需要单独确认 Defender for Servers 等
隔离等高权限操作的基于角色的访问控制（RBAC）与审批
微软官方一手信息
Plan 1/2 的区别并不仅仅在于“防病毒能力的强弱”，而是在于其服务所涵盖的范围——从预防到检测、调查和响应。
