Configurar Microsoft Defender para punto de conexión en Android usando la gestión de aplicaciones móviles

Microsoft Defender para punto de conexión en Android soporta la gestión de aplicaciones móviles (MAM) de Microsoft Intune en dispositivos que están inscritos o no están inscritos en la gestión de dispositivos móviles Intune (MDM). Las organizaciones que utilizan otra solución de gestión de movilidad empresarial también pueden utilizar Intune MAM para proteger los datos organizativos en aplicaciones gestionadas.

Las políticas de protección de aplicaciones de Intune utilizan señales de riesgo del dispositivo de Defender para Endpoint para aplicar acciones de inicio condicional a las aplicaciones administradas. Las políticas de configuración de aplicaciones controlan funciones de Defender como protección web, protección de red, privacidad, escaneo de archivos, permisos opcionales, controles de cierre de sesión y etiquetas de dispositivos.

Este artículo describe los requisitos previos para administrador y usuario final, los ajustes de Defender a usar en las políticas de Intune y la experiencia de incorporación del usuario final.

Microsoft Intune es la herramienta recomendada para configurar y distribuir las funcionalidades de Defender for Endpoint en los dispositivos. Intune es un producto separado que no forma parte de Defender para Endpoint. No está incluido en todas las suscripciones. Para usar Intune, necesita una suscripción que la incluya o puede comprarla por separado como una suscripción independiente o un complemento. Para obtener más información, consulte Licencias de Microsoft Intune.

Defender for Endpoint en Android soporta las siguientes configuraciones de MAM:

• Intune MDM con MAM: Intune gestiona el dispositivo y aplica políticas de protección de aplicaciones a las aplicaciones gestionadas.
• MAM sin inscripción de dispositivos: Intune aplica políticas de protección de aplicaciones a aplicaciones gestionadas en dispositivos que no están inscritos en Intune. Esta configuración, también conocida como MAM-WE, puede proteger aplicaciones en dispositivos inscritos en un proveedor externo de gestión de movilidad empresarial.

Utiliza el centro de administración de Microsoft Intune para gestionar aplicaciones en ambas configuraciones.

Prerequisites

Requisitos previos del administrador

Antes de que los usuarios puedan incorporar Defender para Endpoint en modo MAM, conecta Defender para Endpoint a Intune, activa el conector para las políticas de protección de apps de Android y crea una política de protección de apps.

Para configurar la integración, necesitas los siguientes permisos:

• En Intune, el rol Administrador de seguridad de puntos de conexión o permisos equivalentes para administrar la configuración de Defensa contra amenazas móviles.
• En Microsoft Entra ID, el rol de Administrador de Seguridad o permiso para gestionar la configuración de seguridad en Defender for Endpoint.

Conectar Defender para punto de conexión con Intune

Para el procedimiento completo de conexión, consulte Connect Microsoft Defender para punto de conexión to Intune.

Compruebe la siguiente configuración:

• En el portal de Microsoft Defender, en la página Otras opciones, verifica que la conexión Microsoft Intune está activada.

• En el centro de administración de Microsoft Intune, en la página de seguridad de Endpoint | Microsoft Defender para punto de conexión, verifica las siguientes configuraciones:

  • En la parte superior de la página, el estado de la conexión está Habilitado.
  • En la sección de evaluación de políticas de Protección de aplicaciones, Conectar dispositivos Android a Defender para Endpoint está activado.

Crear una directiva de protección de aplicaciones

Las políticas de protección de aplicaciones son normas que protegen los datos de la organización en aplicaciones gestionadas. Una aplicación integrada con el SDK de la app Intune o envuelta por la herramienta de envolvimiento de aplicaciones Intune puede ser gestionada por Intune. Para aplicaciones públicas compatibles, consulta aplicaciones protegidas por Microsoft Intune.

Para obtener el procedimiento completo para crear y asignar una directiva de protección de aplicaciones de Android, consulte Resumen de las directivas de protección de aplicaciones. Esta página se abre en una nueva pestaña en la documentación de Intune.

Cuando crees la política, configura estos ajustes específicos de Defender:

• Tipo de política: En el centro de administración de Microsoft Intune, en la página de Apps | Protección, selecciona Crear>Android.

• Pestaña de aplicaciones : Añade al menos una aplicación gestionada. Puedes dirigir aplicaciones en dispositivos gestionados, no gestionados o dispositivos en cualquier estado de gestión.

• Pestaña de lanzamiento condicional : En la sección Condiciones del dispositivo , selecciona el nivel máximo permitido de amenaza del dispositivo y luego configura los siguientes ajustes para ello:

  • Valor: Selecciona el nivel máximo de amenaza que permite tu organización: Seguro, Bajo, Medio o Alto.
  • Acción: Selecciona Bloquear acceso o Borrar datos.

Defender para Endpoint comparte el nivel de amenaza del dispositivo con Intune. Cuando los usuarios inician sesión en una aplicación gestionada dirigida, Intune evalúa la señal de riesgo del dispositivo Defender y aplica la acción configurada.

Requisitos previos del usuario final

Antes de que los usuarios comiencen a incorporarse, asegúrese de que se cumplan los siguientes requisitos:

• El dispositivo funciona con Android 10.0 o posterior.
• La aplicación de brokers Intune Portal de empresa está instalada.
• Los usuarios tienen las licencias necesarias para la aplicación gestionada.
• La aplicación gestionada está instalada.

Incorporación del usuario final

Cuando una aplicación gestionada específica detecta que Defender para Endpoint no está activado, Intune guía al usuario para instalar y activar la aplicación de Defender. Para instrucciones generales de instalación y activación de Android, consulte Instalar la aplicación móvil de defensa contra amenazas en tu dispositivo móvil. Tras la activación, el usuario vuelve a la aplicación gestionada y selecciona Continuar para iniciar sesión.

Crear una política de configuración de aplicaciones gestionadas

La configuración de Defender en las secciones restantes utiliza una política de configuración de aplicaciones gestionadas en Intune. Puedes añadir varias claves de configuración de Defender a una misma política cuando las claves se aplican a las mismas asignaciones. Crea políticas separadas cuando necesites diferentes configuraciones o asignaciones.

Para el procedimiento completo, consulte Añadir una política de configuración de aplicación para aplicaciones gestionadas. Esta página se abre en una nueva pestaña en la documentación de Intune.

Al crear la directiva, use esta configuración:

• Tipo de política: En el centro de administración de Microsoft Intune, en la página de Aplicaciones | Configuración, selecciona Crear>aplicaciones gestionadas.

• Pestaña Conceptos básicos: Configura los siguientes parámetros:

  • Dirigir la directiva a: Comprueba que Aplicaciones seleccionadas esté seleccionado.
  • Aplicaciones públicas: Selecciona + Selecciona aplicaciones públicas, busca y selecciona Microsoft Defender Endpoint Android, y luego selecciona Select.

• Pestaña de Configuración: En la sección de ajustes de configuración general, realiza los siguientes pasos:

  • Añade los nombres y valores especificados en las secciones correspondientes de este artículo.
  • Agrega DefenderMAMConfigs con un valor de 1 a todas las directivas de aplicaciones administradas que configuren Defender para Endpoint. La excepción es una política que deshabilita la incorporación del usuario final, donde el valor es 0. No añadas esta clave a una política de dispositivos gestionados .

Configuración de la protección web

La protección web ayuda a proteger los dispositivos frente a amenazas y ataques de phishing. Se admiten indicadores antiphishing e indicadores personalizados para URLs y dominios. El filtrado de contenido web no se admite actualmente en plataformas móviles.

Utiliza el procedimiento de política de configuración de aplicaciones gestionadas. Añade las siguientes claves de configuración en la sección de configuración general de la pestaña Configuración :

• Nombre: antiphishing

• Valor:

  • 1: Activar la protección antiphishing.
  • 0: Desactiva la protección antiphishing.

• Nombre: vpn

• Valor:

  • 1: Habilitar la red privada virtual local (VPN) utilizada por la protección web.
  • 0: Desactiva la VPN.

Para desactivar toda la protección web, establece ambas teclas en 0. Para mantener activada la protección anti-phishing sin la VPN, se configura antiphishing en 1 y vpn en 0.

Configuración de la protección de red

La protección de red detecta amenazas provenientes de redes Wi-Fi y certificados fraudulentos. Para una visión general del comportamiento de las funcionalidades, los modos de detección compatibles, los controles de privacidad y la experiencia de eventos actuales, consulte Configurar protección de red.

Utiliza el procedimiento de directiva de configuración de aplicaciones para aplicaciones administradas. Añade las claves de configuración aplicables en la sección de configuración general de la pestaña de Configuración :

• Nombre: DefenderNetworkProtectionEnable. Activa o desactiva la protección de red. Las claves de protección de red restantes solo entran en vigor cuando esta clave está configurada en 1.

• Valor:

  • 0: Desactivado.
  • 1: Habilitar (por defecto).

• Nombre: DefenderAllowlistedCACertificates. Establece confianza para la autoridad de certificación raíz (CA) y los certificados autofirmados.

• Valor: Introduzca una cadena que contenga huellas digitales del certificado, o no introduzca ningún valor (por defecto).

• Nombre: DefenderCertificateDetection. Controla la detección de certificados maliciosos. En modo auditoría, los eventos se envían a la línea de tiempo del dispositivo sin notificar a los usuarios. Cuando está habilitado, los usuarios reciben notificaciones y los eventos se envían a la línea de tiempo del dispositivo.

• Valor:

  • 0: Desactivar (por defecto).
  • 1: Auditoría.
  • 2: Activar.

• Nombre: DefenderOpenNetworkDetection. Controla la detección de red abierta. En modo auditoría, los eventos se envían a la línea de tiempo del dispositivo sin notificar a los usuarios. Cuando está habilitado, los usuarios reciben notificaciones y los eventos se envían a la línea de tiempo del dispositivo.

• Valor:

  • 0: Desactivado.
  • 1: Auditoría.
  • 2: Habilitar (por defecto).

• Nombre: DefenderEndUserTrustFlowEnable. Controla la experiencia dentro de la app para confiar o eliminar la confianza de redes no seguras y certificados maliciosos.

• Valor:

  • 0: Desactivar (por defecto).
  • 1: Activar.

• Nombre: DefenderNetworkProtectionAutoRemediation. Controla las alertas de remediación cuando los usuarios toman medidas como cambiar a un punto de acceso Wi-Fi más seguro o eliminar un certificado sospechoso.

• Valor:

  • 0: Desactivado.
  • 1: Habilitar (por defecto).

• Nombre: DefenderNetworkProtectionPrivacy. Controla la recopilación de datos de protección de red. Cuando se desactiva la privacidad, se solicita a los usuarios su consentimiento para compartir datos de Wi-Fi o certificados maliciosos. Cuando la privacidad está activada, no se les solicita a los usuarios y no se recopilan datos de la aplicación.

• Valor:

  • 0: Desactivado.
  • 1: Habilitar (por defecto).

Configuración de controles de privacidad

Los controles de privacidad pueden impedir que Defender for Endpoint recopile información del dominio en informes de phishing y detalles de aplicaciones en informes de malware. La información de red se controla por separado por DefenderNetworkProtectionPrivacyen Configurar protección de red.

Utiliza el procedimiento Política de configuración de aplicaciones administradas. Añade una o ambas de las siguientes claves de configuración en la sección de configuración general de la pestaña Configuración :

• Nombre: DefenderExcludeURLInReport

• Valor:

  • 1: No recopiles nombres de dominio ni detalles inseguros de sitios web en informes de phishing.
  • 0: Recopilar nombres de dominio y datos web inseguros (por defecto).

• Nombre: DefenderExcludeAppInReport

• Valor:

  • 1: No recopiles nombres de aplicaciones ni información de paquetes en informes de malware.
  • 0: Recopilar nombres de aplicaciones e información de paquetes (por defecto).

Configurar el examen de archivos que no son APK

Además de escanear paquetes de aplicaciones Android (archivos APK), Defender for Endpoint en Android puede escanear archivos no APK, como documentos, archivos comprimidos y scripts. Defender para punto de conexión respeta los límites del perfil de Android y no puede acceder a los archivos del perfil personal del usuario.

Utiliza el procedimiento Política de configuración de aplicaciones administradas. Añade la siguiente clave de configuración en la sección de configuración general de la pestaña Configuración :

• Nombre: EnableNonAPKFileScan

• Valor:

  • 1: Activar el escaneo de archivos sin APK.
  • 0: Desactiva el escaneo de archivos no APK (por defecto).

Permisos opcionales

Los permisos opcionales permiten a los usuarios completar la incorporación sin conceder permisos de VPN o accesibilidad. Los usuarios pueden revisar y conceder estos permisos más adelante.

Configurar permisos opcionales

Utiliza el procedimiento de política de configuración de aplicaciones gestionadas. Añade una o ambas de las siguientes claves de configuración en la sección de configuración general de la pestaña Configuración :

• Nombre: DefenderOptionalVPN

• Valor:

  • 1: Permite a los usuarios saltarse el permiso de VPN durante la incorporación.
  • 0: Requiere permiso VPN durante la incorporación (por defecto).

• Nombre: DefenderOptionalAccessibility

• Valor:

  • 1: Permite que los usuarios omitan permisos de accesibilidad durante la incorporación.
  • 0: Requiere permiso de accesibilidad durante la incorporación (por defecto).

Flujo de usuario para permisos opcionales durante la incorporación

Cuando se activan permisos opcionales, los usuarios experimentan el siguiente comportamiento:

1. Los usuarios pueden saltarse el permiso de VPN, el permiso de accesibilidad o ambos, y completar la incorporación.
2. El dispositivo se integra y envía un latido incluso cuando el usuario omite los permisos.
3. La protección web no está activa cuando ambos permisos están desactivados. La protección web está parcialmente activa cuando el usuario concede uno de los permisos.
4. Los usuarios pueden habilitar posteriormente la protección web desde la aplicación Defender. Activar la protección web instala la configuración de VPN en el dispositivo.

Desactivar el cierre de sesión

Ocultar el botón de cerrar sesión ayuda a evitar que los usuarios desconecten la app de Defender para que Defender para Endpoint siga funcionando.

Utiliza el procedimiento de directiva de configuración de aplicaciones de aplicaciones administradas. Añade la siguiente clave de configuración en la sección de configuración general de la pestaña Configuración :

• Nombre: DisableSignOut

• Valor:

  • 1: Ocultar el botón de cerrar sesión.
  • 0: Mostrar el botón de cierre de sesión (por defecto).

Configuración del etiquetado de dispositivos

Defender for Endpoint en Android soporta etiquetado masivo de dispositivos móviles durante la incorporación. Después de que los usuarios instalan y activan Defender, la aplicación cliente envía las etiquetas de los dispositivos al portal de Microsoft Defender. Las etiquetas aparecen junto con los dispositivos en el inventario de dispositivos.

Utiliza el procedimiento Política de configuración de aplicaciones administradas. Añade la siguiente clave de configuración en la sección de configuración general de la pestaña Configuración :

• Nombre: DefenderDeviceTag

• Valor:

  • Para asignar una nueva etiqueta, introduce un valor de cadena para la etiqueta del dispositivo.
  • Para editar una etiqueta existente, cambia su valor.
  • Para eliminar una etiqueta existente, elimina la clave de la política.

Desactivar la incorporación de usuarios finales

Defender for Endpoint en Android está habilitado de forma predeterminada en modo MAM. Para evitar que los usuarios descarguen y configuren Defender en dispositivos no inscritos, utilice el procedimiento de política de configuración de aplicaciones gestionadas para añadir la siguiente clave de configuración en la sección de Configuración General de la pestaña Configuración:

• Nombre: DefenderMAMConfigs

• Valor:

  • 0: Desactivar la incorporación de usuarios finales.
  • 1: Habilitar la incorporación del usuario final (por defecto).

Contenido relacionado

• Visión general de la defensa móvil contra amenazas
• Configurar anillos de vista previa dinámica para Microsoft Defender en dispositivos móviles
• Microsoft Intune: Implementación y configuración de Microsoft Defender para punto de conexión en Android