Konfigurieren Sie Microsoft Defender for Endpoint auf Android mittels Mobile Application Management

Microsoft Defender for Endpoint auf Android unterstützt Microsoft Intune Mobile Application Management (MAM) auf Geräten, die in Intune Mobile Device Management (MDM) registriert sind oder nicht. Organisationen, die eine andere Enterprise-Mobilitätsmanagement-Lösung nutzen, können auch Intune MAM nutzen, um Organisationsdaten in verwalteten Anwendungen zu schützen.

Intune-App-Schutzrichtlinien verwenden Defender for Endpoint-Geräterisikosignale, um bedingte Startaktionen auf verwaltete Anwendungen anzuwenden. App-Konfigurationsrichtlinien steuern Defender-Funktionen wie Webschutz, Netzwerkschutz, Privatsphäre, Dateiscan, optionale Berechtigungen, Abmeldekontrollen und Gerätetags.

Dieser Artikel beschreibt die Voraussetzungen für Administratoren und Endbenutzer, die Defender-Einstellungen in Intune-Richtlinien sowie den Onboardingvorgang für Endbenutzer.

Microsoft Intune ist das empfohlene Werkzeug zum Konfigurieren und Verteilen von Microsoft Defender for Endpoint-Funktionen auf Geräten. Intune ist jedoch ein separates Produkt, das nicht Teil von Defender für Endpunkt ist und nicht in allen Abonnements enthalten ist. Um Intune zu verwenden, benötigen Sie ein Abonnement, das es enthält, oder Sie können es separat als eigenständiges Abonnement oder Add-On kaufen. Weitere Informationen finden Sie unter Microsoft Intune-Lizenzierung.

Defender for Endpoint auf Android unterstützt folgende MAM-Konfigurationen:

• Intune MDM mit MAM: Intune verwaltet das Gerät und wendet App-Schutzrichtlinien auf verwaltete Apps an.
• MAM ohne Geräteregistrierung: Intune wendet App-Schutzrichtlinien auf verwaltete Apps auf Geräten an, die nicht in Intune registriert sind. Diese Konfiguration, auch bekannt als MAM-WE, kann Apps auf Geräten schützen, die bei einem Drittanbieter für Enterprise Mobility Management registriert sind.

Nutze das Microsoft Intune Admin Center, um Apps in beiden Konfigurationen zu verwalten.

Voraussetzungen

Administratorvoraussetzungen

Bevor Nutzer Defender for Endpoint im MAM-Modus integrieren können, verbinden Sie Defender for Endpoint mit Intune, aktivieren Sie den Connector für Android-App-Schutzrichtlinien und erstellen Sie eine App-Schutzrichtlinie.

Um die Integration zu konfigurieren, benötigen Sie folgende Berechtigungen:

• In Intune ist die Rolle Endpoint Security Manager oder entsprechende Berechtigungen zur Verwaltung der Mobile Threat Defense-Einstellungen erforderlich.
• In Microsoft Entra ID, die Rolle des Sicherheitsadministrators oder die Erlaubnis, Sicherheitseinstellungen in Defender for Endpoint zu verwalten.

Defender for Endpoint mit Intune verbinden

Für das vollständige Verbindungsverfahren siehe Connect Microsoft Defender for Endpoint to Intune.

Überprüfen Sie die folgenden Einstellungen:

• Auf der Seite Weitere Optionen im Microsoft Defender Portal unter https://security.microsoft.com/securitysettings/endpoints/integration, ist die Microsoft Intune Connectionaktiviert.
• Auf der Endpunkt-Sicherheitsseite | Microsoft Defender for Endpoint-Seite im Microsoft Intune-Verwaltungszentrum unter https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/atp, überprüfen Sie die folgenden Einstellungen:
  • Oben auf der Seite ist der Verbindungsstatusaktiviert.
  • Abschnitt zur Bewertung der App-Schutz-Richtlinien: Verbinden Sie Android-Geräte mit Defender für Endpoint is On.

Erstellen einer App-Schutzrichtlinie

App-Schutz policies sind Regeln, die Organisationsdaten in verwalteten Apps schützen. Eine App, die mit dem Intune App SDK integriert oder vom Intune App Wrapping Tool gewrappt ist, kann von Intune verwaltet werden. Für unterstützte öffentliche Apps siehe Microsoft Intune geschützte Apps.

Die vollständige Vorgehensweise zum Erstellen und Zuweisen einer App-Schutzrichtlinie für Android finden Sie unter App-Schutz policies overview (wird in einem neuen Tab in der Intune-Dokumentation geöffnet).

Wenn Sie die Richtlinie erstellen, konfigurieren Sie diese Defender-spezifischen Einstellungen:

• Richtlinientyp: Wählen Sie auf der Apps | Schutz-Seite im Microsoft Intune Admin Center unter https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/AppsMenu/~/protectionErstellen>Android aus.
• Apps-Reiter : Füge mindestens eine verwaltete App hinzu. Man kann Apps auf verwaltete Geräte, nicht verwaltete Geräte oder Geräte in jedem Managementzustand anvisieren.
• Registerkarte Bedingter Start: Im Bereich Gerätebedingungen wählen Sie Maximal zulässige Bedrohungsstufe des Geräts aus und konfigurieren dann die folgenden Einstellungen dafür:
  • Wert: Wählen Sie die maximale Bedrohungsstufe, die Ihre Organisation erlaubt (gesichert, niedrig, mittel oder hoch).
  • Aktion: Wählen Sie Zugriff blockieren oder Daten löschen.

Defender for Endpoint teilt sich das Bedrohungslevel des Geräts mit Intune. Wenn Nutzer sich bei einer gezielt verwalteten App anmelden, bewertet Intune das Defender-Geräterisikosignal und wendet die konfigurierte Aktion an.

Voraussetzungen für Endbenutzer

Bevor die Nutzer mit dem Onboarding beginnen, stellen Sie sicher, dass folgende Anforderungen erfüllt sind:

• Das Gerät läuft mit Android 10.0 oder neuer.
• Die Intune Unternehmensportal Broker-App ist installiert.
• Die Nutzer verfügen über die erforderlichen Lizenzen für die verwaltete App.
• Die verwaltete App ist installiert.

Endbenutzer-Einführung

Wenn eine gezielte verwaltete App erkennt, dass Defender for Endpoint nicht aktiviert ist, leitet Intune den Benutzer an, die Defender-App zu installieren und zu aktivieren. Allgemeine Anweisungen zur Installations- und Aktivierung von Android finden Sie unter Installieren der mobilen Bedrohungsschutz-App auf Ihrem mobilen Gerät. Nach der Aktivierung kehrt der Nutzer zur verwalteten App zurück und wählt "Weitermachen , um sich anzumelden".

Erstellen Sie eine Richtlinie für die App-Konfiguration verwalteter Apps

Die Defender-Einstellungen in den übrigen Bereichen verwenden eine Intune Managed Apps App-Konfigurationsrichtlinie. Du kannst mehrere Defender-Konfigurationsschlüssel zu einer Policy hinzufügen, wenn die Schlüssel auf dieselben Zuweisungen angewendet werden. Erstellen Sie separate Richtlinien, wenn Sie unterschiedliche Einstellungen oder Zuweisungen benötigen.

Für das vollständige Verfahren siehe Hinzufügen einer App-Konfigurationsrichtlinie für verwaltete Apps (öffnet sich in einem neuen Tab in der Intune-Dokumentation).

Wenn Sie die Richtlinie erstellen, verwenden Sie diese spezifischen Einstellungen:

• Richtlinientyp: Wählen Sie auf der Seite Apps | Konfiguration im Microsoft Intune Admin Center unter https://intune.microsoft.com/#view/Microsoft_Intune_Apps/ConfigPoliciesMenu/~/appConfigurationPoliciesErstellen> aus.
• Registerkarte "Grundlagen": Konfigurieren Sie die folgenden Einstellungen:
  • Ziel für die Richtlinie: Vergewissern Sie sich, dass ausgewählte Apps ausgewählt ist.
  • Öffentliche Apps: Wählen Sie + Öffentliche Apps auswählen aus, suchen und wählen Sie Microsoft Defender Endpoint Android aus, und wählen Sie dann Auswählen.
• Einstellungen : Im Abschnitt Allgemeine Konfigurationseinstellungen führen Sie folgende Schritte aus:
  • Fügen Sie die in den entsprechenden Abschnitten dieses Artikels angegebenen Namen und Werte hinzu.
  • Fügen Sie DefenderMAMConfigs mit dem Wert 1 zu jeder Richtlinie für verwaltete Apps hinzu, die Defender for Endpoint konfiguriert. Die Ausnahme ist eine Richtlinie, die das Onboarding von Endnutzern deaktiviert, wobei der Wert liegt 0. Füge diesen Schlüssel nicht in eine Richtlinie für verwaltete Geräte ein.

Konfigurieren des Webschutzes

Webschutz hilft, Geräte gegen Webbedrohungen und Phishing-Angriffe zu schützen. Anti-Phishing und benutzerdefinierte Indikatoren für URLs und Domains werden unterstützt. Die Filterung von Webinhalten wird derzeit auf mobilen Plattformen nicht unterstützt.

Verwenden Sie das Verfahren zur Konfigurationsrichtlinie für Managed Apps App und fügen Sie die folgenden Konfigurationsschlüssel im Abschnitt Allgemeine Konfigurationseinstellungen im Tabus Einstellungen hinzu:

• Name: antiphishing

• Wert:

  • 1: Anti-Phishing-Schutz aktivieren.
  • 0: Anti-Phishing-Schutz deaktivieren.

• Name: vpn

• Wert:

  • 1: Aktivieren Sie das lokale virtuelle private Netzwerk (VPN), das vom Webschutz genutzt wird.
  • 0: Deaktivieren Sie das VPN.

Um alle Webschutzmaßnahmen zu deaktivieren, setze beide Schlüssel auf 0. Um den Anti-Phishing-Schutz ohne VPN aktiviert zu lassen, setzen Sie antiphishing auf 1 und vpn auf 0.

Konfigurieren des Netzwerkschutzes

Netzwerkschutz erkennt Bedrohungen durch abtrünnige Wi-Fi Netzwerke und Zertifikate. Für einen Überblick über das Funktionsverhalten, unterstützte Erkennungsmodi, Datenschutzkontrollen und die Erfahrung mit aktuellen Ereignissen siehe Netzwerkschutz konfigurieren.

Verwenden Sie das Verfahren zur Konfigurationsrichtlinie für Managed Apps App und fügen Sie die entsprechenden Konfigurationsschlüssel im Bereich Allgemeine Konfigurationseinstellungen im Einstellungs-Tab hinzu:

• Name: DefenderNetworkProtectionEnable. Aktiviert oder deaktiviert Netzwerkschutz. Die verbleibenden Netzwerkschutzschlüssel treten nur dann in Kraft, wenn dieser Schlüssel auf 1gesetzt ist.

• Wert:

  • 0: Deaktivieren.
  • 1: Aktivieren (Standard).

• Name: DefenderAllowlistedCACertificates. Stellt Vertrauen für Root-Zertifizierungsautoritäten (CA) und selbstsignierte Zertifikate her.

• Wert: Geben Sie eine Zeichenkette mit Zertifikats-Daumenabdrücken ein oder geben Sie keinen Wert ein (Standard).

• Name: DefenderCertificateDetection. Kontrolliert die Erkennung bösartiger Zertifikate. Im Audit-Modus werden Ereignisse an die Geräte-Timeline gesendet, ohne dass die Nutzer benachrichtigt werden. Wenn aktiviert, erhalten Nutzer Benachrichtigungen, und Ereignisse werden an die Geräte-Timeline gesendet.

• Wert:

  • 0: Deaktivieren (Standard).
  • 1: Überprüfung.
  • 2: Ermöglichen.

• Name: DefenderOpenNetworkDetection. Kontrolliert die Erkennung offener Netzwerke. Im Audit-Modus werden Ereignisse an die Geräte-Timeline gesendet, ohne dass die Nutzer benachrichtigt werden. Wenn aktiviert, erhalten Nutzer Benachrichtigungen, und Ereignisse werden an die Geräte-Timeline gesendet.

• Wert:

  • 0: Deaktivieren.
  • 1: Überprüfung.
  • 2: Aktivieren (Standard).

• Name: DefenderEndUserTrustFlowEnable. Steuert die Nutzung in der App, um ungesicherten Netzwerken und schädlichen Zertifikaten zu vertrauen oder ihnen das Vertrauen zu entziehen.

• Wert:

  • 0: Deaktivieren (Standard).
  • 1: Ermöglichen.

• Name: DefenderNetworkProtectionAutoRemediation. Kontrolliert Behebungswarnungen, wenn Nutzer Maßnahmen wie den Wechsel zu einem sichereren Wi-Fi Access Point oder das Löschen eines verdächtigen Zertifikats ergreifen.

• Wert:

  • 0: Deaktivieren.
  • 1: Aktivieren (Standard).

• Name: DefenderNetworkProtectionPrivacy. Kontrolliert die Sammlung von Netzwerkschutzdaten. Wenn die Privatsphäre deaktiviert ist, werden Nutzer um Zustimmung gebeten, bösartige Wi-Fi- oder Zertifikatsdaten zu teilen. Wenn Privatsphäre aktiviert ist, werden die Nutzer nicht aufgefordert und App-Daten nicht gesammelt.

• Wert:

  • 0: Deaktivieren.
  • 1: Aktivieren (Standard).

Konfigurieren von Datenschutzsteuerelementen

Datenschutzmaßnahmen können verhindern, dass Defender for Endpoint Domaininformationen in Phishing-Berichten und App-Details in Malware-Berichten sammelt. Netzwerkinformationen werden separat durch DefenderNetworkProtectionPrivacy in "Netzwerkschutz konfigurieren" kontrolliert.

Verwenden Sie das Verfahren zur Konfigurationsrichtlinie der Managed Apps App und fügen Sie einen oder beide der folgenden Konfigurationsschlüssel im Bereich Allgemeine Konfigurationseinstellungen auf dem Einstellungsreiter hinzu:

• Name: DefenderExcludeURLInReport

• Wert:

  • 1: Sammeln Sie keine Domainnamen oder unsichere Website-Daten in Phishing-Berichten.
  • 0: Sammeln Sie Domainnamen und Daten zu unsicheren Webseiten (Standard).

• Name: DefenderExcludeAppInReport

• Wert:

  • 1: Sammeln Sie keine App-Namen oder Paketinformationen in Malware-Berichten.
  • 0: Sammeln Sie App-Namen und Paketinformationen (Standard).

Konfigurieren von Nicht-APK-Dateiüberprüfungen

Neben dem Scannen von Android-Anwendungspaketen (APK-Dateien) kann Defender for Endpoint auf Android Nicht-APK-Dateien wie Dokumente, komprimierte Archive und Skripte scannen. Defender für Endpunkt respektiert Android-Profilgrenzen und kann nicht auf Dateien im persönlichen Profil des Benutzers zugreifen.

Verwenden Sie das Verfahren zur Konfigurationsrichtlinie für Managed Apps App und fügen Sie den folgenden Konfigurationsschlüssel im Bereich Allgemeine Konfigurationseinstellungen im Einstellungstab hinzu:

• Name: EnableNonAPKFileScan
• Wert:
  • 1: Aktivieren Sie das Scannen von Nicht-APK-Dateien.
  • 0: Deaktivieren Sie das Scannen von Nicht-APK-Dateien (Standard).

Optionale Berechtigungen

Optionale Berechtigungen ermöglichen es den Nutzern, das Onboarding ohne VPN- oder Barrierefreiheitsberechtigungen abzuschließen. Nutzer können diese Berechtigungen später überprüfen und erteilen.

Konfigurieren Sie optionale Berechtigungen

Verwenden Sie das Verfahren zur Konfigurationsrichtlinie der Managed Apps App und fügen Sie einen oder beide der folgenden Konfigurationsschlüssel im Bereich Allgemeine Konfigurationseinstellungen auf dem Einstellungsreiter hinzu:

• Name: DefenderOptionalVPN

• Wert:

  • 1Erlaubt Nutzern, die VPN-Berechtigung während des Onboardings zu überspringen.
  • 0Erfordern Sie eine VPN-Berechtigung während des Onboardings (Standard).

• Name: DefenderOptionalAccessibility

• Wert:

  • 1: Erlaubt es Nutzern, die Barrierefreiheit während des Onboardings zu überspringen.
  • 0: Berechtigung für Bedienungshilfen während des Onboardings anfordern (Standard).

Benutzerflow für optionale Berechtigungen während des Onboardings

Wenn optionale Berechtigungen aktiviert sind, erleben Nutzer folgendes Verhalten:

1. Nutzer können die VPN-Berechtigung, die Barrierefreiheit oder beides überspringen und das Onboarding abschließen.
2. Das Gerät ist integriert und sendet einen Herzschlag, selbst wenn der Benutzer die Berechtigungen überspringt.
3. Webschutz ist nicht aktiv, wenn beide Berechtigungen deaktiviert sind. Webschutz ist teilweise aktiv, wenn der Nutzer eine der Berechtigungen erteilt.
4. Nutzer können später den Webschutz über die Defender-App aktivieren. Das Aktivieren des Webschutzes installiert die VPN-Konfiguration auf dem Gerät.

Deaktivieren der Abmeldung

Das Ausblenden des Abmeldebuttons verhindert, dass Nutzer sich aus der Defender-App abmelden, sodass Defender for Endpoint weiterhin läuft.

Verwenden Sie das Verfahren zur Konfigurationsrichtlinie für Managed Apps App und fügen Sie den folgenden Konfigurationsschlüssel im Bereich Allgemeine Konfigurationseinstellungen im Einstellungstab hinzu:

• Name: DisableSignOut
• Wert:
  • 1: Verstecken Sie den Abmeldeknopf.
  • 0: Zeigen Sie den Ausmeldeknopf (Standard).

Konfigurieren von Gerätetags

Defender for Endpoint auf Android unterstützt das Massentaggen mobiler Geräte während des Onboardings. Nachdem die Nutzer Defender installiert und aktiviert haben, sendet die Client-App die Gerätetags an das Microsoft Defender-Portal. Die Tags erscheinen zusammen mit den Geräten im Geräteinventar.

Verwenden Sie das Verfahren zur Konfigurationsrichtlinie für Managed Apps App und fügen Sie den folgenden Konfigurationsschlüssel im Bereich Allgemeine Konfigurationseinstellungen im Einstellungstab hinzu:

• Name: DefenderDeviceTag
• Wert:
  • Um ein neues Tag zuzuweisen, geben Sie einen String-Wert für das Geräte-Tag ein.
  • Um ein bestehendes Tag zu bearbeiten, ändern Sie den Wert.
  • Um ein bestehendes Tag zu löschen, entferne den Schlüssel aus der Policy.

Onboarding für Endbenutzer deaktivieren

Defender for Endpoint auf Android ist im MAM-Modus standardmäßig aktiviert. Um zu verhindern, dass Nutzer Defender auf nicht registrierten Geräten herunterladen und einrichten, verwenden Sie das Verfahren zur Konfigurationsrichtlinie für verwaltete Apps und fügen Sie den folgenden Konfigurationsschlüssel im Abschnitt Allgemeine Konfigurationseinstellungen auf dem Einstellungsreiter hinzu:

• Name: DefenderMAMConfigs
• Wert:
  • 0: Deaktivieren Sie das Endnutzer-Onboarding.
  • 1: Endbenutzer-Onboarding aktivieren (Standard).

Verwandte Inhalte

• Überblick zur mobilen Bedrohungsverteidigung
• Konfigurieren von dynamischen Vorschauringen für Microsoft Defender auf Mobilgeräten
• Microsoft Intune: Bereitstellen und Konfigurieren von Microsoft Defender for Endpoint unter Android