Configureer Microsoft Defender voor Eindpunt op Android met mobiele applicatiebeheer

Microsoft Defender voor Eindpunt op Android ondersteunt Microsoft Intune mobiele applicatiebeheer (MAM) op apparaten die wel of niet zijn ingeschreven in Intune mobiele apparaatbeheer (MDM). Organisaties die een andere enterprise mobility management-oplossing gebruiken, kunnen ook Intune MAM gebruiken om organisatiegegevens in beheerde apps te beschermen.

Intune-appbeschermingsbeleid gebruikt Defender for Endpoint-apparaatrisicosignalen om voorwaardelijke opstartacties toe te passen op beheerde apps. App-configuratiebeleid regelt functies van Defender zoals webbeveiliging, netwerkbescherming, privacy, bestandsscan, optionele permissies, uitlogcontroles en apparaattags.

Dit artikel beschrijft de vereisten voor beheerders en eindgebruikers, de Defender-instellingen die gebruikt moeten worden in Intune-beleid, en de onboarding-ervaring voor eindgebruikers.

Microsoft Intune is het aanbevolen hulpprogramma voor het configureren en distribueren van Defender voor eindpuntfuncties naar apparaten. Intune is een apart product dat geen onderdeel is van Defender for Endpoint. Het is niet inbegrepen in alle abonnementen. Als u Intune wilt gebruiken, hebt u een abonnement nodig dat het bevat of kunt u het afzonderlijk kopen als een zelfstandig abonnement of invoegtoepassing. Zie Microsoft Intune licenties voor meer informatie.

Defender for Endpoint op Android ondersteunt de volgende MAM-configuraties:

• Intune MDM met MAM: Intune beheert het apparaat en past app-beschermingsbeleid toe op beheerde apps.
• MAM zonder apparaatregistratie: Intune past app-beschermingsbeleid toe op beheerde apps op apparaten die niet in Intune zijn ingeschreven. Deze configuratie, ook bekend als MAM-WE, kan apps beschermen op apparaten die zijn aangesloten bij een externe enterprise mobility management-provider.

Gebruik het Microsoft Intune admin center om apps in beide configuraties te beheren.

Prerequisites

Beheerdersvereisten

Voordat gebruikers Defender for Endpoint in MAM-modus kunnen inboarden, verbind je Defender for Endpoint met Intune, activeer je de connector voor Android-appbeschermingsbeleid en maak je een app-beschermingsbeleid.

Om de integratie te configureren, heb je de volgende rechten nodig:

• In Intune de rol Endpoint Security Manager of vergelijkbare machtigingen om Mobile Threat Defense-instellingen te beheren.
• In Microsoft Entra ID, de rol Security Administrator, of toestemming om beveiligingsinstellingen te beheren in Defender for Endpoint.

Defender for Endpoint verbinden met Intune

Voor de volledige verbindingsprocedure, zie Connect Microsoft Defender voor Eindpunt to Intune.

Controleer de volgende instellingen:

• Controleer in het Microsoft Defender-portaal, op de pagina Andere opties, of Microsoft Intune-verbindingAan staat.

• Controleer in het Microsoft Intune beheercentrum, op de Endpoint security | Microsoft Defender voor Eindpunt-pagina, de volgende instellingen:

  • Bovenaan de pagina staat de status van de verbindingingeschakeld.
  • In de sectie App-beveiliging policy evaluation is Connect Android-apparaten met Defender for EndpointAan.

Beveiligingsbeleid voor apps maken

App-beveiliging-beleidsregels zijn regels die organisatiegegevens in beheerde apps beschermen. Een app die geïntegreerd is met de Intune App SDK of is omhuld door de Intune App Wrapping Tool , kan door Intune worden beheerd. Voor ondersteunde publieke apps, zie Microsoft Intune protected apps.

Voor de volledige procedure om een beveiligingsbeleid voor apps voor Android aan te maken en toe te wijzen, zie Overzicht van beveiligingsbeleid voor apps. Deze pagina opent in een nieuw tabblad in de Intune-documentatie.

Wanneer je het beleid aanmaakt, configureer je deze Defender-specifieke instellingen:

• Beleidstype: In het Microsoft Intune beheercentrum, op de pagina Apps | Bescherming, selecteer Aanmaken>Android.

• Apps-tabblad : Voeg minstens één beheerde app toe. Je kunt apps targeten op beheerde apparaten, niet-beheerde apparaten of apparaten in elke beheerstoestand.

• Tabblad Conditionele lancering : Selecteer in de sectie Apparaatcondities maximaal toegestaan apparaatdreigingsniveau en configureer vervolgens de volgende instellingen daarvoor:

  • Waarde: Kies het maximale dreigingsniveau dat uw organisatie toestaat: Beveiligd, Laag, Medium of Hoog.
  • Actie: Selecteer Toegang blokkeren of gegevens wissen.

Defender for Endpoint deelt het dreigingsniveau van het apparaat met Intune. Wanneer gebruikers inloggen bij een gerichte beheerde app, evalueert Intune het risicosignaal van het Defender-apparaat en past de geconfigureerde actie toe.

Vereisten voor eindgebruikers

Voordat gebruikers beginnen met onboarding, zorg ervoor dat aan de volgende vereisten is voldaan:

• Het apparaat draait op Android 10.0 of nieuwer.
• De broker-app van Intune Bedrijfsportal is geïnstalleerd.
• Gebruikers hebben de vereiste licenties voor de beheerde app.
• De beheerde app is geïnstalleerd.

Introductie voor eindgebruikers

Wanneer een gerichte beheerde app detecteert dat Defender for Endpoint niet is geactiveerd, begeleidt Intune de gebruiker om de Defender-app te installeren en te activeren. Voor algemene instructies voor Android-installatie en activatie, zie Installeer de mobiele dreigingsbeschermingsapp op je mobiele apparaat. Na activatie keert de gebruiker terug naar de beheerde app en selecteert Doorgaan om in te loggen.

Maak een configuratiebeleid voor Managed Apps app aan

De Defender-instellingen in de overige secties gebruiken een Intune Managed Apps app-configuratiebeleid. Je kunt meerdere Defender-configuratiesleutels aan één beleid toevoegen wanneer de sleutels op dezelfde toewijzingen van toepassing zijn. Maak aparte beleidsregels wanneer je andere instellingen of toewijzingen nodig hebt.

Voor de volledige procedure, zie Voeg een app-configuratiebeleid toe voor beheerde apps. Deze pagina opent in een nieuw tabblad in de Intune-documentatie.

Wanneer u het beleid maakt, gebruikt u deze instellingen:

• Beleidstype: Selecteer in het Microsoft Intune-beheercentrum op de pagina Apps | ConfiguratieMaken>Beheerde apps.

• Tabblad Basis: Stel de volgende instellingen in:

  • Doelbeleid voor: Controleer of geselecteerde apps zijn geselecteerd.
  • Publieke apps: Selecteer + Selecteer publieke apps, zoek en selecteer Microsoft Defender Endpoint Android, en selecteer vervolgens Selecteren.

• Instellingen-tab: In de sectie Algemene configuratie-instellingen voert u de volgende stappen uit:

  • Voeg de namen en waarden toe die in de toepasselijke secties van dit artikel zijn vermeld.
  • Voeg DefenderMAMConfigs met een waarde van 1 toe aan elk beleid voor beheerde apps waarmee Defender for Endpoint wordt geconfigureerd. De uitzondering is een beleid dat de onboarding van eindgebruikers uitschakelt, waarbij de waarde ligt 0. Voeg deze sleutel niet toe aan een beleid voor beheerde apparaten .

Webbeveiliging configureren

Webbescherming helpt apparaten te beschermen tegen webdreigingen en phishingaanvallen. Anti-phishing en aangepaste indicatoren voor URL's en domeinen worden ondersteund. Filteren van webinhoud wordt momenteel niet ondersteund op mobiele platforms.

Gebruik de procedure voor Beheerde apps app-configuratiebeleid. Voeg de volgende configuratiesleutels toe in het gedeelte Algemene configuratie-instellingen op het tabblad Instellingen:

• Naam: antiphishing

• Waarde:

  • 1: Activeer anti-phishingbeveiliging.
  • 0: Schakel anti-phishing bescherming uit.

• Naam: vpn

• Waarde:

  • 1: Schakel het lokale virtuele privénetwerk (VPN) in dat door webbeveiliging wordt gebruikt.
  • 0: Schakel de VPN uit.

Om alle webbescherming uit te schakelen, zet je beide sleutels op 0. Om anti-phishingbescherming ingeschakeld te houden zonder VPN, stel antiphishing in op 1 en vpn op 0.

Netwerkbeveiliging configureren

Netwerkbescherming detecteert bedreigingen van onbetrouwbare Wi-Fi netwerken en certificaten. Voor een overzicht van het functionele gedrag, ondersteunde detectiemodi, privacycontroles en de ervaring van het huidige evenement, zie Netwerkbescherming configureren.

Gebruik de procedure voor Beheerde apps app-configuratiebeleid. Voeg de toepasselijke configuratiesleutels toe in het gedeelte Algemene configuratie-instellingen op het tabblad Instellingen:

• Naam: DefenderNetworkProtectionEnable. Schakelt netwerkbescherming in of uit. De resterende netwerkbeschermingssleutels treden alleen in werking wanneer deze sleutel is ingesteld op 1.

• Waarde:

  • 0: Uitschakelen.
  • 1: Inschakelen (standaard).

• Naam: DefenderAllowlistedCACertificates. Vestigt vertrouwen voor root certification authority (CA) en zelfondertekende certificaten.

• Waarde: Voer een string in met certificaatduimafdrukken, of voer geen waarde in (standaard).

• Naam: DefenderCertificateDetection. Beheert de detectie van kwaadaardige certificaten. In auditmodus worden gebeurtenissen naar de apparaattijdlijn gestuurd zonder gebruikers te informeren. Wanneer ingeschakeld, ontvangen gebruikers meldingen en worden gebeurtenissen naar de apparaattijdlijn gestuurd.

• Waarde:

  • 0: Uitschakelen (standaard).
  • 1: Controle.
  • 2: Mogelijk maken.

• Naam: DefenderOpenNetworkDetection. Regelt de detectie van open netwerk. In auditmodus worden gebeurtenissen naar de apparaattijdlijn gestuurd zonder gebruikers te informeren. Wanneer ingeschakeld, ontvangen gebruikers meldingen en worden gebeurtenissen naar de apparaattijdlijn gestuurd.

• Waarde:

  • 0: Uitschakelen.
  • 1: Controle.
  • 2: Inschakelen (standaard).

• Naam: DefenderEndUserTrustFlowEnable. Beheert de ervaring in de app voor het vertrouwen of verwijderen van vertrouwen uit onbeveiligde netwerken en kwaadaardige certificaten.

• Waarde:

  • 0: Uitschakelen (standaard).
  • 1: Mogelijk maken.

• Naam: DefenderNetworkProtectionAutoRemediation. Beheert herstelwaarschuwingen wanneer gebruikers acties ondernemen zoals overschakelen naar een veiliger Wi-Fi toegangspunt of het verwijderen van een verdachte certificering.

• Waarde:

  • 0: Uitschakelen.
  • 1: Inschakelen (standaard).

• Naam: DefenderNetworkProtectionPrivacy. Beheert het verzamelen van netwerkbeschermingsgegevens. Wanneer privacy is uitgeschakeld, worden gebruikers gevraagd toestemming te geven om kwaadaardige Wi-Fi- of certificaatgegevens te delen. Wanneer privacy is ingeschakeld, worden gebruikers niet gevraagd en worden app-gegevens niet verzameld.

• Waarde:

  • 0: Uitschakelen.
  • 1: Inschakelen (standaard).

Privacyinstellingen configureren

Privacycontroles kunnen voorkomen dat Defender for Endpoint domeininformatie verzamelt in phishingrapporten en app-gegevens in malwarerapporten. Netwerkinformatie wordt afzonderlijk beheerd door DefenderNetworkProtectionPrivacy in Configure network protection.

Gebruik de procedure voor Beheerde apps app-configuratiebeleid. Voeg een of beide van de volgende configuratietoetsen toe in de sectie Algemene configuratie-instellingen op het tabblad Instellingen :

• Naam: DefenderExcludeURLInReport

• Waarde:

  • 1: Verzamel geen domeinnamen of onveilige websitegegevens in phishingrapporten.
  • 0: Verzamel domeinnamen en gegevens van onveilige websites (standaard).

• Naam: DefenderExcludeAppInReport

• Waarde:

  • 1: Verzamel geen app-namen of pakketinformatie in malwarerapporten.
  • 0: Verzamel app-namen en pakketinformatie (standaard).

Scannen van niet-APK-bestanden configureren

Naast het scannen van Android-applicatiepakketten (APK-bestanden) kan Defender for Endpoint op Android niet-APK-bestanden scannen, zoals documenten, gecomprimeerde archieven en scripts. Defender voor Eindpunt respecteert de grenzen van android-profielen en heeft geen toegang tot bestanden in het persoonlijke profiel van de gebruiker.

Gebruik de procedure voor app-configuratiebeleid voor Beheerde apps. Voeg de volgende configuratiesleutel toe in het gedeelte Algemene configuratie-instellingen op het tabblad Instellingen :

• Naam: EnableNonAPKFileScan

• Waarde:

  • 1: Schakel het scannen van niet-APK-bestanden in.
  • 0: Schakel het scannen van niet-APK-bestanden uit (standaard).

Optionele machtigingen

Optionele toestemmingen stellen gebruikers in staat de onboarding te voltooien zonder VPN- of toegankelijkheidsrechten te verlenen. Gebruikers kunnen deze toestemmingen later bekijken en toestaan.

Optionele machtigingen configureren

Gebruik de procedure voor het app-configuratiebeleid voor Beheerde apps. Voeg een of beide van de volgende configuratietoetsen toe in de sectie Algemene configuratie-instellingen op het tabblad Instellingen :

• Naam: DefenderOptionalVPN

• Waarde:

  • 1: Laat gebruikers VPN-toestemming overslaan tijdens onboarding.
  • 0: Vereis VPN-toestemming tijdens onboarding (standaard).

• Naam: DefenderOptionalAccessibility

• Waarde:

  • 1: Laat gebruikers de toestemming voor toegankelijkheid tijdens de onboarding overslaan.
  • 0: Vereist toegankelijkheidstoestemming tijdens de onboarding (standaard).

Gebruikersstroom voor optionele machtigingen tijdens onboarding

Wanneer optionele permissies zijn ingeschakeld, ervaren gebruikers het volgende gedrag:

1. Gebruikers kunnen de VPN-toestemming, de toegankelijkheidsrechten, of beide overslaan en de onboarding voltooien.
2. Het apparaat wordt geïnstalleerd en stuurt een hartslag, zelfs als de gebruiker de rechten overslaat.
3. Webbescherming is niet actief wanneer beide rechten zijn uitgeschakeld. Webbescherming is gedeeltelijk actief wanneer de gebruiker een van de rechten verleent.
4. Gebruikers kunnen later webbescherming inschakelen via de Defender-app. Het inschakelen van webbescherming installeert de VPN-configuratie op het apparaat.

Afmelden uitschakelen

Het verbergen van de uitlogknop helpt voorkomen dat gebruikers uitloggen uit de Defender-app, zodat Defender for Endpoint blijft draaien.

Gebruik de procedure voor Beheerde apps app-configuratiebeleid. Voeg de volgende configuratiesleutel toe in het gedeelte Algemene configuratie-instellingen op het tabblad Instellingen :

• Naam: DisableSignOut

• Waarde:

  • 1: Verberg de knop Afmelden.
  • 0: Toon de uitlogknop (standaard).

Apparaattags configureren

Defender for Endpoint op Android ondersteunt bulktagging van mobiele apparaten tijdens onboarding. Nadat gebruikers Defender hebben geïnstalleerd en geactiveerd, stuurt de client-app de apparaattags naar het Microsoft Defender-portaal. De tags verschijnen samen met de apparaten in de inventaris.

Gebruik de procedure voor Beheerde apps app-configuratiebeleid. Voeg de volgende configuratiesleutel toe in het gedeelte Algemene configuratie-instellingen op het tabblad Instellingen :

• Naam: DefenderDeviceTag

• Waarde:

  • Om een nieuwe tag toe te wijzen, voer je een stringwaarde in voor de apparaattag.
  • Om een bestaande tag te bewerken, verander je de waarde.
  • Om een bestaande tag te verwijderen, verwijder je de sleutel uit het beleid.

Onboarding van eindgebruikers uitschakelen

Defender voor Eindpunt op Android is standaard ingeschakeld in de MAM-modus. Om te voorkomen dat gebruikers Defender downloaden en instellen op niet-geregistreerde apparaten, gebruik je de procedure voor beleid voor app-configuratie van beheerde apps om de volgende configuratiesleutel toe te voegen in het gedeelte Algemene configuratie-instellingen op het tabblad Instellingen:

• Naam: DefenderMAMConfigs

• Waarde:

  • 0: Schakel de onboarding van eindgebruikers uit.
  • 1: Schakel de onboarding van eindgebruikers in (standaard).

Verwante onderwerpen

• Overzicht van mobiele dreigingsverdediging
• Dynamische preview-ringen configureren voor Microsoft Defender op mobiele apparaten
• Microsoft Intune: Microsoft Defender voor Eindpunt implementeren en configureren op Android