用途：MDE 是企业终端安全平台，提供预防（下一代 AV、ASR）、检测与响应（EDR）、威胁与漏洞管理（Defender Vulnerability Management）以及自动调查与修复（AIR），也是 Defender XDR 的终端支柱。适用于保护 Windows、macOS、Linux、iOS、Android 终端，用于入网决策、策略设计、ASR 推广、EDR 调优与响应范围划定。跨工作负载调查、Azure 加固、身份侧检测不在本技能范围。
主要能力与方案：MDE Plan 1 含下一代 AV、ASR、Web/网络保护与手动响应，随 M365 E3 提供；Plan 2 增加 EDR、AIR、高级搜寻、自定义检测与威胁漏洞管理，随 M365 E5/MDE P2 提供；漏洞修复工作流与浏览器扩展评估需 Defender Vulnerability Management 加载项；服务器通过 Defender for Cloud 使用 MDE for Servers（按服务器计费，含 P2）。
使用方式（入网路径）：Intune 管理的云 Windows 用 Intune + 安全管理；共同管理（MECM + Intune）先调 Configuration Manager 工作负载滑块再迁至 Intune；仅 AD 加入无 MDM 用 GPO 脚本；服务器用 Defender for Cloud 自动预配；macOS/Linux 工作站用 Intune MDM 注册；隔离环境用本地脚本（90 天到期）。原则：设备在 Intune 中即用安全管理入网，GPO 为旧式回退。
关键步骤：先确认方案与资产清单（如 Get-MpComputerStatus 验证 AMServiceEnabled=True）；优先全局启用篡改保护；分波入网（100 台试点 7 天，再代表性批次，最后其余）；配置下一代 AV 策略；ASR 规则先审核 14 天再阻断；启用 EDR 阻断模式；按风险层级建设备组与 RBAC；按暴露分数与威胁情报排漏洞优先级；按设备组配置 AIR 修复级别。
限制与注意：篡改保护须先于其他一切；ASR 必须先在审核模式试点；第三方 AV 场景下 EDR 阻断模式为强制；Live Response 权限不可广泛授予；不要双活 AV；服务器勿通过 MDE 与 DfC 双重入网；服务器不要启用受控文件夹访问。具体命令、计费与价格细节以官方资料为准。