Microsoft Defender voor Eindpunt-functies op Android configureren

Beveiligingsbeheerders kunnen Microsoft Intune gebruiken om risicogebaseerde Conditional Access, aangepaste indicatoren, web- en netwerkbeveiliging, privacycontroles, kwetsbaarheidsbeoordeling, bestandsscan, uitlogcontroles en apparaattags te configureren voor Microsoft Defender voor Eindpunt op Android. Voordat je deze functies instelt, implementeer je Defender for Endpoint en meld je het aan op de Android-apparaten die je beheert.

Microsoft Intune is een apart product dat niet bij elk Defender for Endpoint-abonnement wordt meegeleverd. Je hebt een abonnement nodig dat Intune bevat, of je kunt Intune als een losstaand abonnement of add-on kopen. Zie Microsoft Intune licenties voor meer informatie.

Voorwaardelijke toegang met Defender voor Eindpunt op Android

Microsoft Defender voor Eindpunt op Android werkt samen met Microsoft Intune en Microsoft Entra ID om apparaatnaleving en Conditional Access-beleid af te dwingen op basis van het risiconiveau van het apparaat. Defender for Endpoint is een mobiele dreigingsverdedigingsoplossing (MTD) die je via Intune kunt implementeren.

Zie Defender voor Eindpunt en Intune voor meer informatie over het instellen van Defender voor Eindpunt op Android en Voorwaardelijke toegang.

Aangepaste indicatoren configureren

Defender for Endpoint op Android ondersteunt aangepaste indicatoren met enkele platformspecifieke beperkingen.

Voor informatie over het configureren van aangepaste indicatoren, zie Overzicht van indicatoren.

Webbeveiliging configureren

IT-beheerders kunnen webbeveiliging configureren in het Microsoft Intune beheercentrum.

Webbescherming helpt apparaten te beschermen tegen webdreigingen en gebruikers te beschermen tegen phishingaanvallen. Webcontentfiltering, een aparte webbeschermingsmogelijkheid, wordt momenteel niet ondersteund op mobiele platforms.

Maak een configuratiebeleid voor Managed devices app

De Defender-instellingen in de volgende secties gebruiken een configuratiebeleid voor Android Enterprise Managed devices-apps in Intune. Je kunt meerdere Defender-configuratiesleutels aan één beleid toevoegen wanneer de sleutels van toepassing zijn op hetzelfde profieltype en dezelfde toewijzingen. Maak aparte beleidsregels wanneer je verschillende profielen, gebruikers of apparaten moet targeten.

Voordat je het beleid maakt, voeg je Defender: Antivirus toe en keur je dit goed in Managed Google Play, en synchroniseer je het vervolgens met Intune. Na de synchronisatie verschijnt de app in Intune als Microsoft Defender: Antivirus. Voor implementatie-instructies, zie Deploy Microsoft Defender voor Eindpunt op Android met Microsoft Intune.

Voor de volledige procedure om een Beheerde apparaten appconfiguratiebeleid in Intune te maken, zie Create a app configuration policy (opent in een nieuw tabblad in de Intune-documentatie). Begin bij het opstellen van de polis altijd met deze instellingen:

• Tabblad Basisbeginselen : Configureer de volgende instellingen:
  • Platform: Selecteer Android Enterprise.
  • Profieltype: selecteer een van de volgende waarden:
    • Alle profieltypen: past het beleid toe op alle ondersteunde inschrijvingstypen. Je kunt een Intune-certificaatprofiel niet koppelen aan het appconfiguratiebeleid.
    • Volledig beheerd, toegewezen en alleen werkprofiel op bedrijfseigen apparaten: Dit beleid is van toepassing op apparaten in bedrijfseigendom voor persoonlijk gebruik (COPE) en apparaten in bedrijfseigendom uitsluitend voor zakelijk gebruik (COBO).
    • Alleen werkprofiel op persoonlijk apparaat: Past het beleid toe op werkprofielen op persoonlijke apparaten (BYOD).
  • Doel-app: Selecteer App selecteren, selecteer Microsoft Defender: Antivirus en selecteer vervolgens OK.
• Instellingen-tab : Selecteer Configuratieontwerper gebruiken voor configuratie-instellingenformaat en selecteer vervolgens Toevoegen.
  • Selecteer in de flyout die opent de configuratietoetsen die in de relevante secties van dit artikel zijn gespecificeerd en selecteer vervolgens OK.
  • Configureer de waarde voor elke sleutel, voltooi vervolgens de toewijzingen en maak het beleid aan zoals beschreven in de Intune-procedure.

Netwerkbeveiliging configureren

Netwerkbescherming detecteert bedreigingen van onbetrouwbare Wi-Fi netwerken en certificaten. Beveiligingsbeheerders kunnen vertrouwde root-certificeringsinstanties (CA) en zelfondertekende certificaten in het Microsoft Intune beheercentrum vermelden om vertrouwen met eindpunten op te bouwen. Netwerkbeveiliging begeleidt gebruikers om verbinding te maken met beveiligde netwerken en waarschuwt hen wanneer een gerelateerde dreiging wordt gedetecteerd.

Netwerkbescherming omvat controles voor het configureren van de functie en het toevoegen van vertrouwde certificaten in het Microsoft Intune beheercentrum. Beveiligingsbeheerders kunnen privacycontroles inschakelen om de gegevens die vanaf Android-apparaten naar Defender for Endpoint worden gestuurd, te configureren.

Netwerkbeveiliging in Defender for Endpoint is standaard ingeschakeld. Gebruik de configuratiebeleidprocedure van de Managed devices-app en voeg de volgende configuratiesleutels toe:

• Schakel Netwerkbescherming in Microsoft Defender in: Wanneer je deze sleutel toevoegt, is 0de standaard configuratiewaarde , wat netwerkbeveiliging uitschakelt. Om netwerkbescherming in te schakelen, verander je de waarde naar 1.

  Belangrijk

  De resterende netwerkbeveiligingsconfiguratiesleutels in deze sectie zijn pas van kracht wanneer Enable Network Protection in Microsoft Defender aan het beleid wordt toegevoegd en wordt ingesteld op 1.

• Lijst met vertrouwde CA-certificaten voor netwerkbescherming: Als uw organisatie gebruikmaakt van private root certification authorities (CA's), bouw dan expliciet vertrouwen op tussen Intune, de mobiele apparaatbeheer (MDM)-oplossing, en gebruikersapparaten. Het opbouwen van vertrouwen helpt voorkomen dat Defender de root CAs als rogue certificaten markeert.

  • Waardetype: Behoud de standaardwaarde-string om de certificaat-duimafdrukken direct in te voeren.

  • Configuratiewaarde: Voeg een komma-gescheiden lijst toe van Secure Hash Algorithm 1 (SHA-1) certificaatduimafdrukken in een van de volgende formaten:

    • 50 30 06 09 1d 97 d4 f5 ae 39 f7 cb e7 92 7d 7d 65 2d 34 31
    • 503006091d97d4f5ae39f7cbe7927d7d652d3431

    Bijvoorbeeld: 50 30 06 09 1d 97 d4 f5 ae 39 f7 cb e7 92 7d 7d 65 2d 34 31, 503006091d97d4f5ae39f7cbe7927d7d652d3431. Alle andere separatietekens in de certificaatduimafdruk (bijvoorbeeld :) zijn ongeldig.

• Netwerkbescherming inschakelen Privacy: Schakelt privacy in netwerkbescherming in of schakelt uit.

  • Waardetype: Geheel getal
  • Configuratiewaarden:
    • 1: Inschakelen (standaard)
    • 0: Uitschakelen

• Gebruikers toestaan netwerken en certificaten te vertrouwen: Staat toe of voorkomt dat gebruikers onbeveiligde netwerken en malafide certificaten in de app vertrouwen of het vertrouwen daarin intrekken.

  • Waardetype: Geheel getal
  • Configuratiewaarden:
    • 1: Inschakelen
    • 0: Uitschakelen (standaard)

• Automatische Sanering van Netwerkbeveiligingswaarschuwingen: Schakelt herstelwaarschuwingen in of uit wanneer gebruikers herstelacties ondernemen. Bijvoorbeeld, een gebruiker schakelt over naar een veiliger Wi-Fi toegangspunt of verwijdert een verdachte certificaat dat door Defender wordt gedetecteerd. Deze instelling geldt alleen voor meldingen en beïnvloedt geen gebeurtenissen in de tijdlijn van het apparaat. Het geldt niet voor het detecteren van open Wi-Fi-netwerken of zelfondertekende certificaten.

  • Waardetype: Geheel getal
  • Configuratiewaarden:
    • 1: Inschakelen (standaard)
    • 0: Uitschakelen

• Beheer Netwerkbeschermingsdetectie voor Open Netwerken: Schakelt open netwerkdetectie in of schakelt uit.

  • Waardetype: Geheel getal
  • Configuratiewaarden:
    • 2: Inschakelen (standaard)
    • 1: Auditmodus
    • 0: Uitschakelen

• Beheer netwerkbeschermingsdetectie voor certificaten: In auditmodus worden gebeurtenissen naar beheerders van het Security Operations Center (SOC) gestuurd, maar gebruikers ontvangen geen meldingen wanneer Defender een kwaadaardig certificaat detecteert. Stel de waarde in op 2 om volledige functionaliteit in te schakelen. Wanneer de waarde is2, ontvangen gebruikers meldingen, en worden gebeurtenissen naar SOC-beheerders gestuurd wanneer Defender een kwaadaardig certificaat detecteert.

  • Waardetype: Geheel getal
  • Configuratiewaarden:
    • 2: Inschakelen
    • 1: Auditmodus
    • 0: Uitschakelen (standaard)

Overzicht van privacycontroles

Privacycontroles stellen beveiligingsbeheerders in staat te beperken welke dreigingsdetails Defender for Endpoint vanaf Android-apparaten verzendt:

• Malwarerapporten: Wanneer privacy is ingeschakeld, stuurt Defender for Endpoint de naam van de kwaadaardige app of andere appgegevens niet in malwarewaarschuwingsrapporten. Voor configuratie-instructies, zie Privacy configureren voor malwaremeldingen.
• Phishingrapporten: Wanneer privacy is ingeschakeld, stuurt Defender for Endpoint geen domeinnaam of gegevens van onveilige websites in phishingwaarschuwingsrapporten. Voor configuratie-instructies, zie Privacy configureren voor phishingmeldingen.
• Kwetsbaarheidsbeoordeling van apps: Standaard stuurt Defender for Endpoint de lijst met geïnstalleerde apps in het werkprofiel voor kwetsbaarheidsanalyse. Beveiligingsbeheerders kunnen privacy inschakelen om te voorkomen dat deze app-inventaris wordt verzonden. Raadpleeg privacy voor app-inventaris configureren voor een Android Enterprise-werkprofiel voor configuratie-instructies.
• Netwerkbescherming: Wanneer privacy is ingeschakeld, stuurt Defender for Endpoint geen netwerkgegevens. Voor configuratie-instructies, zie Privacywaarschuwingsrapporten configureren.

Vereiste: Installeer Bedrijfsportal versie 5.0.6621.0 (juni 2025) of hoger.

Privacywaarschuwingsrapport configureren

Beveiligingsbeheerders kunnen privacycontroles inschakelen voor phishing- en malwaremeldingen die door Defender for Endpoint op Android worden verzonden. Wanneer Defender een bijbehorende dreiging detecteert, voorkomen deze controles dat domein- of appgegevens in de alert worden verzonden.

Gebruik de configuratiebeleidprocedure van de Managed devices-app en voeg één of beide van de volgende configuratiesleutels toe:

• URL’s in het rapport verbergen:

  • Waardetype: Geheel getal
  • Configuratiewaarden:
    • 1: Verberg domein- en websitegegevens in phishingwaarschuwingsrapporten.
    • 0: Vermeld domein- en websitegegevens in phishingwaarschuwingsrapporten (standaard).

• Verberg app-details in het rapport:

  • Waardetype: Geheel getal
  • Configuratiewaarden:
    • 1: Verberg app-namen en pakketinformatie in malwarewaarschuwingsrapporten.
    • 0: Voeg app-namen en pakketinformatie op in malwarewaarschuwingsrapporten (standaard).

Privacycontroles voor eindgebruikers

Eindgebruikersprivacycontroles stellen gebruikers in staat te kiezen welke dreigingsdetails Defender for Endpoint met hun organisatie deelt. De beschikbaarheid hangt af van het Android Enterprise-profiel:

• Werkprofiel: Privacycontroles voor eindgebruikers zijn niet beschikbaar. Beveiligingsbeheerders beheren de informatie die wordt gedeeld vanuit het werkprofiel.
• Persoonlijk profiel: Privacy-instellingen voor eindgebruikers verschijnen onder Instellingen>Privacy in de Defender-app. Voor informatie over ondersteunde werk- en persoonlijke profielconfiguraties, zie Ondersteunde Android-inschrijvingsscenario's.

Wanneer een beveiligingsbeheerder de bijbehorende privacy-instelling inschakelt, kunnen gebruikers de volgende bedieningselementen configureren:

• Informatie over onveilige sites: Bepaalt of Defender domein- en websitegegevens verzendt in phishingwaarschuwingsrapporten. Voor de beheerdersinstelling, zie Privacy Configureren voor phishingmeldingen.
• Kwaadaardige applicaties: Bepaalt of Defender app-namen en pakketinformatie in malwarewaarschuwingsrapporten stuurt. Voor de beheerdersinstelling, zie Privacy Configureren voor malwaremeldingen.
• Netwerkbescherming: Bepaalt of Defender netwerk- en certificaatgegevens in netwerkbeschermingsrapporten stuurt. Voor de beheerdersinstelling, zie Netwerkbescherming configureren.

Het wijzigen van deze privacycontroles heeft geen invloed op apparaatconformiteitscontroles of Conditional Access.

App-kwetsbaarheidsbeoordeling configureren voor privéapparaten

Vanaf Defender for Endpoint op Android versie 1.0.3425.0303 (oktober 2021) kan Microsoft Defender Vulnerability Management het besturingssysteem (OS) en de apps beoordelen die op ingeboorde mobiele apparaten zijn geïnstalleerd.

De apps die in de kwetsbaarheidsanalyse worden opgenomen, hangen af van hoe het persoonlijk eigendom zijnde apparaat wordt beheerd:

• Android Enterprise bezit zelf apparaten met een werkprofiel: Defender for Endpoint beoordeelt alleen apps die in het werkprofiel zijn geïnstalleerd. Er is geen toegang tot apps in het privéprofiel.
• Apparaatbeheerdermodus: Kwetsbaarheidsbeoordeling van apps is standaard niet ingeschakeld. Beveiligingsbeheerders kunnen de functie via Microsoft Intune inschakelen om de lijst met apps die op het apparaat zijn geïnstalleerd te verzamelen.

Voor meer informatie over de Android Enterprise-beheermodi die Defender for Endpoint ondersteunt, zie Ondersteunde Android-registratiescenario's.

Standaard stuurt Defender for Endpoint de lijst met apps in het werkprofiel naar Microsoft Defender Vulnerability Management voor beoordeling. Om te voorkomen dat deze app-inventaris naar beoogde gebruikers wordt verzonden, gebruik je de procedure voor het app-configuratiebeleid voor beheerde apparaten met Alleen werkprofiel op persoonlijk eigendom als het profieltype. Voeg de volgende configuratiesleutel toe:

• TVM-privacy inschakelen:
  • Waardetype: Geheel getal
  • Configuratiewaarden:
    • 0: Stuur de app-inventaris van het werkprofiel voor kwetsbaarheidsbeoordeling (standaard).
    • 1: Stuur de inventaris van de werkprofiel-app niet naar kwetsbaarheidsanalyse.

Deze privacy-instelling heeft geen invloed op apparaatcompliancecontroles of Conditional Access.

Scannen van niet-APK-bestanden configureren

Naast het scannen van Android-applicatiepakketten (APK-bestanden), kan Defender for Endpoint op Android niet-APK-bestanden scannen, zoals documenten, gecomprimeerde archieven en scripts, die gebruikers downloaden, ontvangen of opslaan op het apparaat. Deze mogelijkheid breidt malwarebescherming uit naar meer bestandstypen.

Scannen van niet-APK-bestanden wordt ondersteund op ingeschreven apparaten in de volgende beheerscenario's:

• Apparaten in persoonlijk eigendom met een werkprofiel (BYOD)
• Apparaten in bedrijfseigendom met een werkprofiel (COPE)
• Bedrijfseigendom, volledig beheerde apparaten (COBO)

Om het scannen van niet-APK-bestanden mogelijk te maken, gebruik je de procedure voor het configuratiebeleid van de app Beheerde apparaten en voeg je de volgende configuratiesleutel toe:

• [Voorbeeld] Schakel niet-APK bestandsscan in in Microsoft Defender:
  • Waardetype: geheel getal
  • Configuratiewaarden:
    • 1: Schakel het scannen van niet-APK-bestanden in.
    • 0: Schakel het scannen van niet-APK-bestanden uit (standaard).

Controleer of EnableNonAPKFileScan aanwezig is en is ingesteld 1 op het doelapparaat om te bevestigen dat het beleid is toegepast.

Wanneer Defender voor Eindpunt malware detecteert in een niet-APK-bestand, ontvangt de gebruiker een melding dat het apparaat risico loopt en wordt er een waarschuwing weergegeven in de Microsoft Defender-portal. Beveiligingsteams onderzoeken en verhelpen de bedreiging met behulp van dezelfde malwarewaarschuwingservaring als andere Defender voor eindpuntdetecties.

Privacy configureren voor phishingwaarschuwingsrapport

De privacycontrole voor phishingmeldingen kan het verzamelen van domeinnamen en website-informatie in phishingmeldingen uitschakelen. Gebruik deze instelling om te kiezen of Defender for Endpoint de domeinnaam verzamelt wanneer het een kwaadaardige of phishingwebsite detecteert en blokkeert.

Om privacy in het werkprofiel voor gerichte gebruikers in te schakelen, gebruik je de configuratiebeleidprocedure voor Beheerde apparaten, en voeg je de volgende configuratiesleutel toe:

• DefenderExcludeURLInReport:
  • Waardetype: Geheel getal
  • Configuratiewaarden:
    • 1: Schakel privacy in.
    • 0: Schakel privacy uit (standaard).

Het in- of uitschakelen van deze privacy-instelling heeft geen invloed op de nalevingscontrole van het apparaat of op Voorwaardelijke toegang.

Privacy configureren voor malware-bedreigingsrapport

De privacycontrole voor meldingen van malwaredreigingen kan het verzamelen van app-gegevens, inclusief naam- en pakketinformatie, uit malwaremeldingen uitschakelen. Gebruik deze instelling om te kiezen of Defender for Endpoint de app-naam verzamelt wanneer het een kwaadaardige app detecteert.

Om privacy in het werkprofiel voor gerichte gebruikers in te schakelen, gebruik je de configuratiebeleidprocedure voor Beheerde apparaten, en voeg je de volgende configuratiesleutel toe:

• DefenderExcludeAppInReport:
  • Waardetype: geheel getal
  • Configuratiewaarden:
    • 1: Schakel privacy in.
    • 0: Schakel privacy uit (standaard).

Het gebruik van deze privacy-instelling heeft geen invloed op de controle op apparaatcompliance of op Conditional Access. Apparaten met een kwaadaardige app hebben bijvoorbeeld altijd een risiconiveau van Medium.

Afmelden uitschakelen

Defender for Endpoint ondersteunt implementatie zonder de uitklokknop in de app. Het verbergen van de knop helpt voorkomen dat gebruikers met het apparaat knoeien. Gebruik de procedure voor het configuratiebeleid van de app Beheerde apparaten en voeg de volgende configuratiesleutel toe:

• Uitloggen uitschakelen:
  • Waardetype: Geheel getal
  • Configuratiewaarden:
    • 1: Verberg de knop Afmelden. Deze waarde is standaard voor Android Enterprise persoonlijk beheerde werkprofielen, volledig beheerde apparaten en bedrijfsbeheerde apparaten met een werkprofiel.
    • 0: Toon de uitklokknop.

Apparaattags configureren

Defender for Endpoint op Android ondersteunt bulktagging van mobiele apparaten tijdens onboarding. Beveiligingsbeheerders configureren apparaattags via Intune-appconfiguratiebeleid en deployen deze op de apparaten van gebruikers. Nadat gebruikers Defender hebben geïnstalleerd en geactiveerd, stuurt de client-app de apparaattags naar het Microsoft Defender-portaal. De tags verschijnen samen met de apparaten in de inventaris.

Om apparaattags te configureren, gebruik je de procedure voor het configuratiebeleid van de app Beheerde apparaten en voeg je de volgende configuratiesleutel toe:

• DefenderDeviceTag:
  • Waardetype: String
  • Configuratiewaarde:
    • Om een nieuwe tag toe te wijzen, voer je een waarde in voor de apparaattag.
    • Om een bestaande tag te bewerken, verander je de waarde.
    • Om een bestaande tag te verwijderen, verwijder je de configuratiesleutel uit het beleid.

Verwante onderwerpen

• Overzicht van Microsoft Defender voor Eindpunt op Android
• Dynamische preview-ringen configureren voor Microsoft Defender op mobiele apparaten
• Android Mobile Threat Defense (MTD)-rol voor Microsoft Defender voor Eindpunt
• Microsoft Intune: Microsoft Defender voor Eindpunt implementeren en configureren op Android