Configurar Microsoft Defender para punto de conexión en iOS usando la gestión de aplicaciones móviles

Microsoft Defender para punto de conexión en iOS soporta la gestión de aplicaciones móviles (MAM) de Microsoft Intune en dispositivos que están inscritos o no están inscritos en la gestión de dispositivos móviles Intune (MDM). Las organizaciones que utilizan otra solución de gestión de movilidad empresarial también pueden utilizar Intune MAM para proteger los datos organizativos en aplicaciones gestionadas.

Las políticas de protección de aplicaciones de Intune utilizan señales de riesgo del dispositivo de Defender para Endpoint para aplicar acciones de inicio condicional a las aplicaciones administradas. Este artículo explica cómo conectar Defender para Endpoint con Intune, configurar una política de protección de aplicaciones para iOS y preparar a los usuarios para incorporar Defender para Endpoint.

Microsoft Intune es necesario para los procedimientos de este artículo. Intune es un producto separado que no forma parte de Defender para Endpoint, y no está incluido en todas las suscripciones. Para usar Intune, necesita una suscripción que la incluya o puede comprarla por separado como una suscripción independiente o un complemento. Para obtener más información, consulte Licencias de Microsoft Intune.

Defender for Endpoint en iOS soporta las siguientes configuraciones de MAM:

• Intune MDM con MAM: Intune gestiona el dispositivo y aplica políticas de protección de aplicaciones a las aplicaciones gestionadas.
• MAM sin inscripción de dispositivos: Intune aplica políticas de protección de aplicaciones a aplicaciones gestionadas en dispositivos que no están inscritos en Intune. Esta configuración, también conocida como MAM-WE, puede proteger aplicaciones en dispositivos inscritos en un proveedor externo de gestión de movilidad empresarial.

Utiliza el centro de administración de Microsoft Intune para gestionar aplicaciones en ambas configuraciones.

Requisitos previos

Antes de que los usuarios puedan integrar Defender para Endpoint en modo MAM, conecta Defender for Endpoint a Intune, activa el conector para las políticas de protección de apps de iOS y crea una política de protección de apps.

Para configurar la integración y la política, necesitas los siguientes permisos:

• En Intune, el rol de Gestor de Seguridad de Endpoints o permisos equivalentes para rol personalizado:
  • Para configurar la conexión de servicio y la evaluación de la directiva de protección de aplicaciones, se requieren permisos de Leer y Modificar para Mobile Threat Defense.
  • Para crear y asignar políticas de protección de aplicaciones, Asignar, Crear, Eliminar, Leer, Actualizar y Borrar permisos para las aplicaciones gestionadas.
• En Microsoft Entra ID, el rol Administrador de seguridad o el permiso Administrar la configuración de seguridad en el Centro de seguridad de Windows en Defender for Endpoint.

Conectar Defender para punto de conexión con Intune

Para el procedimiento completo de conexión, consulte Configurar Microsoft Defender para punto de conexión con Intune y dispositivos integrados.

Compruebe la siguiente configuración:

• En la página de Otras opciones del portal de Microsoft Defender en https://security.microsoft.com/securitysettings/endpoints/integration, la conexión Microsoft Intune está activada.
• En la página Seguridad de punto de conexión | Microsoft Defender para punto de conexión del centro de administración de Microsoft Intune en https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/atp, comprueba las siguientes opciones:
  • En la parte superior de la página, el estado de la conexión está Habilitado.
  • En la sección Evaluación de la directiva de protección de aplicaciones, Conectar dispositivos iOS/iPadOS a Defender for Endpoint está Activado.

Configurar señales de riesgo de Defender en una política de protección de aplicaciones

Las políticas de Protección de aplicaciones protegen los datos de la organización en aplicaciones gestionadas. Una aplicación integrada con el SDK de la app Intune o envuelta por la herramienta de envolvimiento de aplicaciones Intune puede ser gestionada por Intune. Para aplicaciones públicas compatibles, consulta aplicaciones protegidas por Microsoft Intune.

Para el procedimiento completo de creación y asignación de una política de protección de apps para iOS/iPadOS, consulte Crear y asignar políticas de protección de aplicaciones.

Cuando crees la política en la página de Apps | Protection en el centro de administración de Microsoft Intune en https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/AppsMenu/~/protection, configura estos ajustes específicos de Defender:

• Tipo de política: Seleccionar Crear>iOS/iPadOS.
• Pestaña de aplicaciones : Añade al menos una aplicación gestionada. Dirige la política a aplicaciones en dispositivos gestionados, no gestionados o dispositivos en cualquier estado de gestión, según lo requiera tu organización.
• Pestaña Inicio condicional: En la sección Condiciones del dispositivo, selecciona Nivel máximo de amenaza del dispositivo permitido y, a continuación, configura los siguientes ajustes:
  • Valor: Selecciona el nivel máximo de amenaza que permite tu organización: Seguro, Bajo, Medio o Alto. Garantizado es el valor más restrictivo. Alto permite todos los niveles de amenaza y requiere una conexión activa al servicio de Defensa Móvil contra Amenazas.
  • Acción: Selecciona Bloquear acceso o Borrar datos.
• Servicio principal de MTD: Si tu organización configuró varios conectores de Mobile Threat Defense, selecciona Microsoft Defender para punto de conexión. Esta configuración requiere el nivel máximo de amenaza permitido del dispositivo.
• Pestaña de Asignaciones : Asigna la política a los grupos de usuarios correspondientes.

Defender para Endpoint comparte el nivel de amenaza del dispositivo con Intune. Cuando los usuarios inician sesión en una aplicación gestionada dirigida, Intune evalúa la señal de riesgo del dispositivo Defender. Si el riesgo supera el nivel de amenaza permitido, Intune bloquea el acceso o borra los datos organizativos de la app, dependiendo de la acción que hayas seleccionado.

Incorporar usuarios

Para dispositivos iOS, Microsoft Authenticator registra el dispositivo y verifica la identidad del usuario con Microsoft Entra ID. El usuario debe registrar el dispositivo en Authenticator con la misma cuenta de trabajo o escuela que se utilizó para activar Defender for Endpoint.

Cuando una aplicación gestionada específica detecta que Defender para Endpoint no está activado, Intune guía al usuario para que instale e inicie sesión en Microsoft Authenticator y Defender para Endpoint. Los usuarios también pueden instalar la última versión de Microsoft Defender desde la Apple App Store.

Para más información sobre cómo preparar las aplicaciones requeridas para dispositivos no inscritos, consulte Añadir aplicaciones de Defensa de Amenazas Móviles a dispositivos no inscritos.