Schritt 3. Integrieren von Mobile Threat Defense

Der Microsoft Mobile Threat Defense (MTD)-Connector ist ein Feature in Microsoft Intune, das einen Kommunikationskanal zwischen Intune und dem von Ihnen ausgewählten MTD-Anbieter erstellt, unabhängig vom Betriebssystem des Geräts. Es gibt viele unterstützte MTD-Partner sowohl für Windows als auch für mobile Geräte. Intune integriert Daten von einem MTD-Anbieter als Informationsquelle für Gerätekonformitätsrichtlinien. Regeln für bedingten Gerätezugriff können auf diese Informationen reagieren, um Unternehmensressourcen wie Exchange- und SharePoint Online-Daten zu schützen, indem der Zugriff von kompromittierten Geräten blockiert wird.

Die Bedrohungserkennung für Mobile Application Management (MAM) kann mit verschiedenen MTD-Partnern integriert werden, einschließlich dem Windows-Sicherheit Center. Diese Integration ermöglicht eine Bewertung der Integrität von Clientgeräten für Intune-App-Schutzrichtlinien über einen Dienst-zu-Dienst-Connector. Diese Bewertung unterstützt das Gating des Flusses und den Zugriff auf Organisationsdaten auf persönlichen, nicht verwalteten Geräten.

Die Gesundheitsbewertung und der Zustand umfassen die folgenden Details:

  • Benutzer-, App- und Gerätebezeichner
  • Ein vordefinierter Integritätszustand
  • Der Zeitpunkt der letzten Aktualisierung des Integritätsstatus

Nur bei MAM registrierte Benutzer senden Integritätsstatusdaten. Wenn Endbenutzer das Senden von Daten beenden möchten, können sie sich bei geschützten Anwendungen von ihrem organization-Konto abmelden. Ebenso können Administratoren die Datenübertragung beenden, indem sie den MTD-Connector aus Microsoft Intune entfernen.

Intune-App-Schutzrichtlinien

Intune-App-Schutzrichtlinien tragen zum Schutz von Organisationsdaten bei und sorgen dafür, dass Clientgeräte fehlerfrei sind. Es kann auch andere Überprüfungen der Clientintegrität über Windows-Sicherheit Center durchführen. Dazu muss die Risikostufe für das Windows-Sicherheit Center festgelegt werden, um Endbenutzern den Zugriff auf Unternehmensressourcen zu ermöglichen. Darüber hinaus umfasst es auch das Einrichten mandantenbasierter Connectors zu Microsoft Intune für Windows-Sicherheit Center.

  • Apps: Wählen Sie die Apps aus, die Sie aus den App-Schutzrichtlinien als Ziel verwenden möchten. Für diese Featuregruppe werden diese Apps blockiert oder basierend auf der Geräterisikobewertung des Mobile Threat Defense-Anbieters selektiv zurückgesetzt.
  • Integritätsprüfungen: Unter "Gerätebedingungen " können Sie die maximal zulässige Gerätebedrohungsstufe auswählen.

Wichtig

Konfigurieren Sie Ihre Mobile Threat Defense-Connectors , bevor Sie Benutzer in diese Richtlinien integrieren. Wenn Ihr Mandant sowohl Microsoft Defender for Endpoint als auch einen anderen MTD-Partner verwendet und Sie keinen primären Connector festlegen, wird Intune standardmäßig auf Microsoft Defender for Endpoint festgelegt. Anleitungen zum Schutz von nicht registrierten Geräten finden Sie unter Mobile Threat Defense für nicht registrierte Geräte.

Optionen für die Bedrohungsstufe

Sie können einen der folgenden Werte für die Bedrohungsstufe auswählen:

  • Geschützt: Diese Stufe ist die sicherste Einstellung. Solange auf einem Gerät Bedrohungen vorhanden sind, ist kein Zugriff auf Unternehmensressourcen möglich. Wenn Bedrohungen gefunden werden, wird das Gerät als nicht kompatibel bewertet.
  • Niedrig: Das Gerät ist kompatibel, wenn nur Bedrohungen auf niedriger Stufe vorliegen. Durch Bedrohungen höherer Stufen wird das Gerät in einen nicht kompatiblen Status versetzt.
  • Mittel: Das Gerät gilt als konform, wenn die auf dem Gerät gefundenen Bedrohungen niedrig oder mittel sind. Wenn hochrangige Bedrohungen erkannt werden, wird das Gerät als nicht kompatibel markiert.
  • Hoch: Diese Stufe bietet die geringste Sicherheit. Es werden alle Bedrohungsstufen zugelassen, und Mobile Threat Defense wird nur zu Berichtszwecken verwendet. Auf Geräten muss mit dieser Einstellung die MTD-App aktiviert sein.

Optionen für Aktion

Sie können eine der folgenden Aktionsoptionen auswählen:

  • Zugriff blockieren: Verhindert, dass die Benutzer Aktivitäten ausführen, bis sie wieder konform sind.
  • Daten löschen: Dadurch werden alle in der Anwendung gespeicherten Informationen entfernt, die sich auf die Unternehmensdaten beziehen. Die personenbezogenen Daten im persönlichen Profil sind davon nicht betroffen.

Aufgaben

Weisen Sie die Richtlinie Benutzergruppen zu. Die von den Gruppenmitgliedern verwendeten Geräte werden für den Zugriff auf Unternehmensdaten in Ziel-Apps über den Intune-App-Schutz ausgewertet.

Verwenden Sie die Einstellungen für den bedingten Start, um die Sicherheit auf allen Secure Enterprise Browser-Ebenen schrittweise zu gewährleisten. Konfigurieren Sie die folgenden Werte, wenn die Plattform die Einstellung unterstützt.

Stufe 1 – Grundstufe

  • Offlinekarenzzeitraum (Zugriff blockieren): Auf 10080 Minuten festlegen.
  • Offlinekarenzzeitraum (Daten zurücksetzen): Auf 90 Tage festgelegt.
  • Maximal zulässige Gerätebedrohungsstufe: Wählen Sie "Hoch" mit der Aktion "Zugriff blockieren " aus.

Stufe 2 – Erweitert

  • Deaktiviertes Konto: Auf "Zugriff blockieren" festlegen.
  • Minimale Betriebssystemversion: Geben Sie 10.0.22621.2506 ein, und wählen Sie Zugriff blockieren aus.
  • Max. Bedrohungsstufe für Geräte: Wählen Sie "Niedrig" mit der Aktion "Zugriff blockieren ".
  • Offlinekarenzzeitraum (Daten zurücksetzen): Auf 30 Tage festgelegt.

Stufe 3 – Hoch

App-Bedingungen:

  • Offlinekarenzzeitraum (Zugriff blockieren): Auf 1440 Minuten festlegen.
  • Offlinekarenzzeitraum (Daten zurücksetzen): Auf 30 Tage festgelegt.

Bedingungen des Geräts:

  • Minimale Betriebssystemversion: Geben Sie 10.0.22621.2506 ein, und wählen Sie Zugriff blockieren aus.
  • Maximale Betriebssystemversion: Geben Sie 10.0.22641 ein, und wählen Sie "Warnen" aus.
  • Maximal zulässige Gerätebedrohungsstufe: Wählen Sie "Gesichert" mit der Aktion "Zugriff blockieren " aus.
  • Bedrohungsstufe für Geräte: Wählen Sie "Hoch" mit der Aktion "Zugriff blockieren " aus.
  • Mobile Threat Defense-Apps: Auf "Aktiviert/Erforderlich" festgelegt, mit der Aktion "Zugriff blockieren ", um die Brokeraktivierung zu erzwingen.
  • SafetyNet-Gerätenachweis: Mit der Aktion "Zugriff blockieren" auf "Pass" festgelegt. Diese Option wird für Android-Geräte angezeigt.
  • Wartungsmaßnahmen für Gerätesperren erforderlich: Mit der Aktion "Zugriff blockieren" auf "Aktiviert" festlegen.

Tipp

Diese Schwellenwerte entsprechen der Stufe 3 (Hoch) des Secure Enterprise Browser-Frameworks. Verwenden Sie Bereichstags und Zuweisungen, um die richtigen Entra-ID-Gruppen für jede Ebene als Ziel zu verwenden.

Wichtig

Wenn Sie eine App-Schutzrichtlinie für eine beliebige geschützte App erstellen, wird die Bedrohungsstufe des Geräts bewertet. Je nach Konfiguration werden Geräte, die die konfigurierte Bedrohungsstufe nicht erfüllen, entweder blockiert oder Unternehmensdaten werden durch bedingten Start selektiv gelöscht. Wenn sie blockiert werden, werden sie so lange daran gehindert, auf Unternehmensressourcen zuzugreifen, bis die Bedrohung auf dem Gerät aufgelöst und vom ausgewählten MTD-Anbieter an Intune gemeldet wird.

Konfigurieren des MTD-Connectors

Führen Sie die folgenden Schritte aus, um den MTD-Connector zu konfigurieren.

  1. Navigieren Sie zum Microsoft Intune Admin Center.

  2. Mandantenadministrator> auswählenConnectors und Token>Mobile Threat Defense.

  3. Wählen Sie "Erstellen " aus, um den Bereich "Connector hinzufügen" anzuzeigen.

  4. Wählen Sie im Dropdownfeld Wählen Sie den Mobile Threat Defense-Connector zur Einrichtung aus, das Windows-Sicherheit-Center.

    Hinweis

    In diesem Beispiel wählen Sie Windows-Sicherheit Center aus. Eine vollständige Liste der MTD-Partner finden Sie unter Mobile Threat Defense-Partner.

  5. Wählen Sie "Erstellen" aus, um den Connector zu erstellen.

  6. Wählen Sie in der Connectorliste den Windows-Sicherheit Center-Connector aus, um dessen Bearbeitungsansicht zu öffnen, aktivieren Sie die Umschaltfläche "Windows-Geräte für MAM verbinden", und speichern Sie Ihre Änderungen.

Hinweis

Die Verbindungs status des Connectors ist nach der Erstellung verfügbar und ändert sich in "Aktiviert", wenn Sie die Umschaltfläche "Windows-Geräte für MAM verbinden" aktivieren. Weitere Informationen zu den einzelnen Zuständen finden Sie unter Connector-Status.

Nächster Schritt

Fahren Sie mit Schritt 4 fort, um App-Konfigurationsrichtlinien für Microsoft Edge for Business zu erstellen.

  • Last updated on