Erstellen und Bereitstellen einer Richtlinie für Microsoft Defender Application Guard

Gilt für: Configuration Manager (Current Branch)

Sie können Microsoft Defender Application Guard (Application Guard)-Richtlinien mithilfe des Configuration Manager-Endpunktschutzes erstellen und bereitstellen. Diese Richtlinien tragen zum Schutz Ihrer Benutzer bei, indem nicht vertrauenswürdige Websites in einem sicheren, isolierten Container geöffnet werden, auf den von anderen Teilen des Betriebssystems nicht zugegriffen werden kann.

Voraussetzungen

Zum Erstellen und Bereitstellen einer Microsoft Defender Application Guard-Richtlinie müssen Sie Windows 10 1709 oder höher verwenden. Die Geräte unter Windows 10 oder höher, auf denen Sie die Richtlinie bereitstellen, müssen mit einer Richtlinie für die Netzwerkisolierung konfiguriert sein. Weitere Informationen finden Sie in der Übersicht über Microsoft Defender Application Guard.

Erstellen Sie eine Richtlinie, und durchsuchen Sie die verfügbaren Einstellungen

  1. Wählen Sie in der Configuration Manager-Konsole Assets und Compliance aus.

  2. Wählen Sie im Arbeitsbereich "Assets and Compliance" die Option Übersicht>Endpoint Protection>Microsoft Defender Application Guard aus.

  3. Klicken Sie auf der Registerkarte Start in der Gruppe Erstellen auf Microsoft Defender Application Guard-Richtlinie erstellen.

  4. Mithilfe des Artikels als Referenz können Sie die verfügbaren Einstellungen durchsuchen und konfigurieren. Im Configuration Manager können Sie bestimmte Richtlinieneinstellungen festlegen:

  5. Geben Sie auf der Seite Netzwerkdefinition die Unternehmensidentität an, und definieren Sie die Grenze des Unternehmensnetzwerks.

    Hinweis

    PCs unter Windows 10 oder höher speichern nur eine Netzwerkisolationsliste auf dem Client. Sie können zwei verschiedene Arten von Netzwerkisolationslisten erstellen und auf dem Client bereitstellen:

    • eine von Windows Information Protection
    • einer von Microsoft Defender Application Guard

    Wenn Sie beide Richtlinien bereitstellen, müssen diese Netzwerkisolationslisten übereinstimmen. Wenn Sie Listen bereitstellen, die nicht mit demselben Client übereinstimmen, schlägt die Bereitstellung fehl. Weitere Informationen finden Sie in der Windows Information Protection-Dokumentation.

  6. Wenn Sie fertig sind, schließen Sie den Assistenten ab, und stellen Sie die Richtlinie auf einem oder mehreren Geräten unter Windows 10 1709 oder höher bereit.

Anwendungsverhalten

Konfiguriert Interaktionen zwischen Hostgeräten und dem Application Guard-Container. Vor Configuration Manager Version 1802 befanden sich sowohl das Anwendungsverhalten als auch die Hostinteraktion auf der Registerkarte Einstellungen.

  • Zwischenablage – Unter Einstellungen vor Configuration Manager 1802
    • Zulässiger Inhaltstyp
      • Text
      • Bilder
  • Drucken:
    • Drucken in XPS aktivieren
    • Drucken als PDF aktivieren
    • Drucken auf lokalen Druckern aktivieren
    • Drucken auf Netzwerkdruckern aktivieren
  • Grafik: (ab Configuration Manager Version 1802)
    • Zugriff auf virtuelle Grafikprozessoren
  • Files: (ab Configuration Manager Version 1802)
    • Speichern heruntergeladener Dateien auf dem Host
  • Richtlinien: (beginnend mit Configuration Manager Version 2207)
    • Aktivieren oder Deaktivieren von Kameras und Mikrofonen
    • Zertifikat, das die Fingerabdrücke mit dem isolierten Container abgleicht

Einstellungen für Hostinteraktionen

Konfiguriert das Anwendungsverhalten innerhalb der Application Guard-Sitzung. Vor Configuration Manager Version 1802 befanden sich sowohl das Anwendungsverhalten als auch die Hostinteraktion auf der Registerkarte Einstellungen.

  • Sonstiges:
    • Benutzergenerierte Browserdaten beibehalten
    • Sicherheitsereignisse in der isolierten Application Guard-Sitzung überwachen

Um Application Guard-Einstellungen zu bearbeiten, erweitern Sie Endpoint Protection im Arbeitsbereich "Assets and Compliance", und klicken Sie dann auf den Knoten "Microsoft Defender Application Guard". Klicken Sie mit der rechten Maustaste auf die Richtlinie, die Sie bearbeiten möchten, und wählen Sie dann Eigenschaften aus.

Bekannte Probleme

Gilt für Version 2203 oder früher

Auf Geräten, auf denen Windows 10, Version 2004, ausgeführt wird, werden Fehler in der Konformitätsberichterstellung für Microsoft Defender Application Guard-Dateivertrauenskriterien angezeigt. Dieses Problem tritt auf, weil einige Unterklassen aus der WMI-Klasse MDM_WindowsDefenderApplicationGuard_Settings01 in Windows 10, Version 2004 entfernt wurden. Alle anderen Einstellungen von Microsoft Defender Application Guard gelten weiterhin. Nur die Kriterien für die Vertrauensstellung der Datei schlagen fehl. Derzeit gibt es keine Problemumgehungen, um den Fehler zu umgehen.

Gilt für Version 2207 oder höher

Wenn Sie die Richtlinie aktivieren, wird das Feature Microsoft Defender Application Guard nicht standardmäßig installiert. Stellen Sie ein PowerShell-Skript über ConfigMgr auf allen zutreffenden Computern bereit.

Verwenden Sie die folgenden Befehle, um das Feature zu aktivieren. Enable-WindowsOptionalFeature -online -FeatureName "Windows-Defender-ApplicationGuard"

Nächste Schritte

Weitere Informationen zu Microsoft Defender Application Guard finden Sie unter

  • Last updated on