Toegangsbeleid voor Microsoft Defender for Cloud Apps maken

Toegangsbeleid van Microsoft Defender for Cloud Apps maakt gebruik van Conditional Access-appbeheer om realtime bewaking en controle van de toegang tot cloud-apps te bieden. Toegangsbeleid bepaalt de toegang op basis van gebruiker, locatie, apparaat en app en wordt ondersteund voor elk apparaat. Voordat u een toegangsbeleid maakt, moet u ervoor zorgen dat u voldoet aan de vereisten, inclusief de vereiste licenties en de configuratie van app-beheer voor voorwaardelijke toegang.

Beleidsregels die voor een host-app zijn gemaakt, zijn niet verbonden met gerelateerde resource-apps. Het toegangsbeleid dat u maakt voor Teams, Exchange of Gmail is bijvoorbeeld niet verbonden met SharePoint, OneDrive of Google Drive. Als u naast de host-app een beleid voor de resource-app nodig hebt, maakt u een afzonderlijk beleid.

Vereisten

Voordat u begint, moet u ervoor zorgen dat u aan de volgende vereisten voldoet:

• Een Defender for Cloud Apps licentie, als zelfstandige licentie of als onderdeel van een andere licentie

• Een licentie voor Microsoft Entra ID P1, als zelfstandige licentie of als onderdeel van een andere licentie

• Als u een niet-Microsoft IdP gebruikt, is de licentie vereist voor uw id-provideroplossing (IdP)

• Een Microsoft Entra ID beleid voor voorwaardelijke toegang dat is geconfigureerd voor Microsoft Defender for Cloud Apps (app-beheer voor voorwaardelijke toegang). Het beleid voor voorwaardelijke toegang maakt de machtigingen aan die nodig zijn om verkeer te beheren. Zie voor meer informatie: Automatisch Microsoft Entra ID-apps onboarden voor app-beheer voor voorwaardelijke toegang (preview)

• De relevante apps die zijn toegevoegd aan app-beheer voor voorwaardelijke toegang. Microsoft Entra ID-apps worden automatisch geonboard, terwijl niet-Microsoft-IdP-apps handmatig moeten worden geonboard.

  Als u met een niet-Microsoft IdP werkt, moet u ervoor zorgen dat u uw IdP ook hebt geconfigureerd voor gebruik met Microsoft Defender for Cloud Apps. Zie voor meer informatie:

  • Niet-Microsoft IdP-catalogus-apps onboarden voor app-beheer voor voorwaardelijke toegang
  • Aangepaste apps van niet-Microsoft-identiteitsproviders integreren voor app-beheer in Voorwaardelijke toegang

Voorbeeld: Beleidsregels voor voorwaardelijke toegang in Microsoft Entra ID maken voor gebruik met Defender for Cloud Apps

Deze procedure biedt een voorbeeld op hoog niveau van het maken van een beleid voor voorwaardelijke toegang voor gebruik met Defender for Cloud Apps.

1. Meld u aan bij de Microsoft Entra-beheercentrum als ten minste een beheerder voor voorwaardelijke toegang.
2. Blader naar Entra ID>Voorwaardelijke toegang>Beleidsregels.
3. Selecteer Nieuw beleid.
4. Geef uw beleid een naam. We raden organisaties aan een zinvolle standaard te maken voor de namen van hun beleid.
5. Onder Toewijzingen selecteert u Gebruikers of workloadidentiteiten.
   1. Selecteer onder Opnemende optie Alle gebruikers
   2. Selecteer onder Uitsluitende optie Gebruikers en groepen en kies de accounts voor noodtoegang of break-glass van uw organisatie.
6. Selecteer onder Doelresources>Resources (voorheen cloud-apps) de volgende opties:
   1. Kies onder Opnemende optie Resources selecteren.
   2. Selecteer de client-apps die u wilt opnemen in uw beleid.
7. Selecteer onder Voorwaarden de voorwaarden die u in uw beleid wilt opnemen.
8. Selecteer onder Sessie toegangsbeheer>de optie App-beheer voor voorwaardelijke toegang gebruiken en selecteer vervolgens Selecteren.
9. Bevestig uw instellingen en stel Beleid inschakelen in op Alleen rapporteren.
10. Selecteer Maken om uw beleid in te schakelen.

Nadat u uw instellingen hebt bevestigd met de modus Beleidsimpact of Alleen rapporteren, verplaatst u de wisselknop Beleid inschakelen van Alleen rapporteren naar Aan.

Zie Beleid voor voorwaardelijke toegang en Een beleid voor voorwaardelijke toegang bouwen voor meer informatie.

Een Defender for Cloud Apps-toegangsbeleid maken

In deze procedure wordt beschreven hoe u een nieuw toegangsbeleid maakt in Defender for Cloud Apps.

1. Selecteer in Microsoft Defender het tabblad Cloud Apps > Beleidsregels > Beleidsbeheer > Voorwaardelijke toegang.

2. Selecteer Beleid maken>Toegangsbeleid. Bijvoorbeeld:

   

3. Voer op de pagina Toegangsbeleid maken de volgende basisinformatie in:

   Naam	Beschrijving
   Beleidsnaam	Een duidelijke naam voor uw beleid, zoals Toegang blokkeren vanaf onbeheerde apparaten
   Ernst van beleid	Selecteer de ernst die u wilt toepassen op uw beleid.
   Categorie	De standaardwaarde van Toegangsbeheer behouden
   Beschrijving	Voer een optionele, zinvolle beschrijving in voor uw beleid om uw team te helpen het doel ervan te begrijpen.

4. Selecteer in het gebied Activiteiten die overeenkomen met alle volgende activiteiten de extra activiteitsfilters die u wilt toepassen op het beleid. Filters omvatten de volgende opties:

   Naam	Beschrijving
   App	Filters voor een specifieke app die moet worden opgenomen in het beleid. Selecteer apps door eerst te selecteren of ze geautomatiseerde Azure AD onboarding, voor Microsoft Entra ID-apps of Handmatige onboarding gebruiken voor niet-Microsoft IdP-apps. Selecteer vervolgens de app die u in uw filter wilt opnemen in de lijst. Als uw niet-Microsoft IdP-app in de lijst ontbreekt, zorg er dan voor dat u deze volledig hebt geïntegreerd. Zie voor meer informatie: - Niet-Microsoft IdP-catalogus-apps onboarden voor app-beheer voor voorwaardelijke toegang - Aangepaste apps van niet-Microsoft-IdP's integreren voor app-besturing voor Voorwaardelijke toegang Als u ervoor kiest om het filter App niet te gebruiken, is het beleid van toepassing op alle toepassingen die zijn gemarkeerd als Ingeschakeld op de pagina Instellingen > cloud-apps > verbonden apps > voor voorwaardelijke toegang App-beheer-apps . Opmerking: Mogelijk ziet u overlap tussen apps die zijn toegevoegd en apps die handmatig moeten worden toegevoegd. Bij een conflict tussen apps in uw filter hebben handmatig toegevoegde apps voorrang.
   Client-app	Filter op browser- of mobiele/desktop-apps.
   Apparaat	Filter op apparaattags, zoals voor een specifieke apparaatbeheermethode of apparaattypen, zoals pc, mobiel of tablet.
   IP-adres	Filter per IP-adres of gebruik eerder toegewezen IP-adrestags.
   Locatie	Filteren op geografische locatie. Het ontbreken van een duidelijk gedefinieerde locatie kan riskante activiteiten identificeren.
   Geregistreerde internetprovider	Filter op activiteiten die afkomstig zijn van een specifieke internetprovider.
   Gebruiker	Filter op een specifieke gebruiker of groep gebruikers.
   Tekenreeks van gebruikersagent	Filter op een specifieke gebruikersagenttekenreeks.
   Tag van gebruikersagent	Filter op gebruikersagenttags, zoals voor verouderde browsers of besturingssystemen.

   Bijvoorbeeld:

   

   Selecteer Bewerken en voorbeeld van resultaten om een voorbeeld te krijgen van de typen activiteiten die met uw huidige selectie worden geretourneerd.

5. Selecteer in het gebied Acties een van de volgende opties:

   • Controle: stel deze actie in om toegang toe te staan op basis van de beleidsfilters die u expliciet instelt.

   • Blokkeren: stel deze actie in om de toegang te blokkeren volgens de beleidsfilters die u expliciet hebt ingesteld.

6. Configureer zo nodig in het gebied Waarschuwingen een van de volgende acties:

   • Een waarschuwing maken voor elke gebeurtenis die overeenkomt met de ernst van het beleid
   • Een waarschuwing verzenden als e-mail
   • Dagelijkse waarschuwingslimiet per beleid
   • Waarschuwingen verzenden naar Power Automate

7. Wanneer u klaar bent, selecteert u Maken.

Uw beleid testen

Nadat u uw toegangsbeleid hebt aangemaakt, test u dit door u opnieuw aan te melden bij elke app die in het beleid is geconfigureerd. Controleer of uw app-ervaring is zoals verwacht en controleer vervolgens uw activiteitenlogboeken.

We raden u aan het volgende te doen:

• Maak een beleid voor een gebruiker die u specifiek hebt gemaakt voor testen.
• Meld u af bij alle bestaande sessies voordat u zich opnieuw bij uw apps aanmeldt.
• Meld u aan bij mobiele en desktop-apps vanaf zowel beheerde als onbeheerde apparaten om ervoor te zorgen dat activiteiten volledig worden vastgelegd in het activiteitenlogboek.

Meld u aan met een gebruiker die overeenkomt met uw beleid.

Uw beleid in uw app testen:

• Ga naar alle pagina's in de app die deel uitmaken van het werkproces van een gebruiker en controleer of de pagina's correct worden weergegeven.
• Controleer of het gedrag en de functionaliteit van de app niet nadelig worden beïnvloed door het uitvoeren van algemene acties, zoals het downloaden en uploaden van bestanden.
• Als u met aangepaste, niet-Microsoft IdP-apps werkt, controleert u alle domeinen die u voor uw app hebt toegevoegd. Zie Domeinen toevoegen voor uw app voor meer informatie.

Activiteitenlogboeken controleren:

1. Selecteer in Microsoft Defender XDR Activiteitenlogboek cloud-apps >en controleer op de aanmeldingsactiviteiten die voor elke stap zijn vastgelegd. U kunt filteren door Geavanceerde filters te selecteren en filteren op Bron is gelijk aan toegangsbeheer.

   Aanmeldingsactiviteiten voor eenmalige aanmelding zijn gebeurtenissen van app-beheer voor voorwaardelijke toegang.

2. Selecteer een activiteit om uit te vouwen voor meer informatie. Controleer of de tag User agent correct aangeeft of het apparaat een ingebouwde client is, een mobiele of desktop-app, of dat het apparaat een beheerd apparaat is dat compatibel is en lid is van een domein.

Als u fouten of problemen ondervindt, gebruikt u de werkbalk Admin View om bronnen te verzamelen, zoals .Har-bestanden en opgenomen sessies, en dient u vervolgens een supportticket in.

Toegangsbeleid maken voor door identiteit beheerde apparaten

Gebruik clientcertificaten om de toegang te beheren voor apparaten die niet Microsoft Entra hybride gekoppeld zijn en niet worden beheerd door Microsoft Intune. Nieuwe certificaten implementeren voor beheerde apparaten of bestaande certificaten gebruiken, zoals MDM-certificaten van derden. U wilt bijvoorbeeld een clientcertificaat implementeren op beheerde apparaten en vervolgens de toegang van apparaten zonder certificaat blokkeren.

Zie Beheerde apparaten identificeren met app-beheer voor voorwaardelijke toegang voor meer informatie.

Verwante onderwerpen

Zie voor meer informatie:

• Problemen met toegangs- en sessiebesturingselementen oplossen
• Zelfstudie: Het downloaden van gevoelige informatie blokkeren met app-beheer voor voorwaardelijke toegang
• Downloads op niet-beheerde apparaten blokkeren met behulp van sessiebesturingselementen

Hulp krijgen

Als u problemen ondervindt, zijn wij er om u te helpen. Neem contact op met Microsoft Defender XDR ondersteuning voor hulp of ondersteuning voor uw productprobleem.