Microsoft Defender voor Eindpunt-risicosignalen op Android configureren met behulp van beleid voor app-beveiliging (MAM)

Microsoft Defender voor Eindpunt op Android, waarmee enterprise-gebruikers al worden beschermd in MDM-scenario's (Mobile Apparaatbeheer), wordt de ondersteuning nu uitgebreid naar Mobile App Management (MAM) voor apparaten die niet zijn ingeschreven met behulp van Intune MDM (Mobile Apparaatbeheer). Het breidt ook MAM-ondersteuning uit naar klanten die andere oplossingen voor enterprise Mobility Management gebruiken, terwijl ze nog steeds Intune gebruiken voor Mam (Mobile Application Management). Met Microsoft Defender voor Eindpunt-ondersteuning voor MAM kunt u de gegevens van uw organisatie binnen een toepassing beheren en beveiligen.

Bedreigingsinformatie van Microsoft Defender voor Eindpunt op Android wordt door Intune-appbeveiligingsbeleid gebruikt om deze apps te beveiligen. App-beveiliging beleid (APP) zijn regels die ervoor zorgen dat de gegevens van een organisatie veilig blijven of in een beheerde app zijn opgenomen. Op een beheerde toepassing is app-beveiligingsbeleid toegepast en kan worden beheerd door Intune.

Microsoft Defender voor Eindpunt op Android ondersteunt zowel MAM-configuraties: Intune MDM + MAM en MAM zonder apparaatinschrijving.

• Intune MDM + MAM: IT-beheerders kunnen alleen apps beheren met app-beveiligingsbeleid op apparaten die zijn ingeschreven bij Intune Mobile Device Management (MDM).
• MAM zonder apparaatinschrijving: MET MAM zonder apparaatinschrijving of MAM-WE kunnen IT-beheerders apps beheren met app-beveiligingsbeleid op apparaten die niet zijn ingeschreven bij Intune MDM. MAM zonder apparaatinschrijving betekent dat apps kunnen worden beheerd door Intune op apparaten die zijn ingeschreven bij EMM-providers van derden. Om apps te beheren in zowel Intune MDM + MAM als MAM zonder apparaatinschrijving, moeten klanten Intune gebruiken in het Microsoft Intune-beheercentrum.

Als u Microsoft Defender voor Eindpunt ondersteuning voor Android MAM wilt inschakelen, moet een beheerder de verbinding tussen Microsoft Defender voor Eindpunt en Intune configureren, het app-beveiligingsbeleid maken en het beleid toepassen op doelapparaten en toepassingen.

Eindgebruikers moeten ook stappen uitvoeren om Microsoft Defender voor Eindpunt op hun apparaat te installeren en de onboardingstroom te activeren.

Beheerdersvereisten

Voordat u begint, voert u de volgende configuratiestappen uit om Microsoft Defender voor Eindpunt te verbinden met Intune en app-beveiligingsbeleid te maken.

• Controleer of de Microsoft Defender voor Endpoint-Intune connector is ingeschakeld.

  1. Ga naar security.microsoft.com.

  2. SelecteerInstellingeneindpunten>>Geavanceerde functies>Microsoft Intune Verbinding is ingeschakeld.

  3. Als de verbinding niet is ingeschakeld, selecteert u de wisselknop om deze in te schakelen en selecteert u vervolgens Voorkeuren opslaan.

     

  4. Ga naar het Microsoft Intune-beheercentrum en controleer of Microsoft Defender voor Endpoint-Intune connector is ingeschakeld.

     

• Schakel Microsoft Defender voor Eindpunt op Android Connector in voor beleid voor app-beveiliging (APP).

  Connector in Microsoft Intune configureren voor app-beveiligingsbeleid:

  1. Ga naar tenantbeheerconnectors > en -tokens > Microsoft Defender voor Eindpunt.

  2. Schakel de wisselknop in voor het app-beveiligingsbeleid voor Android.

  3. Klik op Opslaan.

     

• Een app-beveiligingsbeleid maken.

  Toegang tot een beheerde app blokkeren of gegevens wissen op basis van Microsoft Defender voor Eindpunt risicosignalen door een app-beveiligingsbeleid te maken.

  Microsoft Defender voor Eindpunt kan worden geconfigureerd om bedreigingssignalen te verzenden die moeten worden gebruikt in app-beveiligingsbeleid (APP, ook wel MAM genoemd). Met Microsoft Defender voor Eindpunt bedreigingssignalen in app-beveiligingsbeleid kunt u Microsoft Defender voor Eindpunt gebruiken om beheerde apps te beveiligen.

  1. Een beleid maken.

     App-beveiliging beleid (APP) zijn regels die ervoor zorgen dat de gegevens van een organisatie veilig blijven of in een beheerde app zijn opgenomen. Een beleid kan een regel zijn die wordt afgedwongen wanneer de gebruiker probeert 'zakelijke' gegevens te openen of te verplaatsen, of een set acties die zijn verboden of bewaakt wanneer de gebruiker zich in de app bevindt.

     

  2. Apps toevoegen.

     1. Kies hoe u dit beleid wilt toepassen op apps op verschillende apparaten. Voeg vervolgens ten minste één app toe.

        Gebruik deze optie om op te geven of dit beleid van toepassing is op niet-beheerde apparaten. In Android kunt u het beleid opgeven dat van toepassing is op Android Enterprise-, Apparaat- Beheer- of Niet-beheerde apparaten. U kunt er ook voor kiezen om uw beleid te richten op apps op apparaten met elke beheerstatus.

        Omdat MAM zonder apparaatinschrijving geen apparaatbeheer vereist, kunnen organisaties bedrijfsgegevens beveiligen op zowel beheerde als onbeheerde apparaten. Het beheer is gecentreerd op de gebruikersidentiteit, waardoor de vereiste voor apparaatbeheer wordt verwijderd. Bedrijven kunnen tegelijkertijd app-beveiligingsbeleid met of zonder MDM gebruiken. Denk bijvoorbeeld aan een werknemer die zowel een telefoon van het bedrijf als een eigen persoonlijke tablet gebruikt. De bedrijfstelefoon wordt ingeschreven bij MDM en beveiligd door app-beveiligingsbeleid, terwijl het persoonlijke apparaat alleen wordt beveiligd door app-beveiligingsbeleid.

     2. Selecteer Apps.

        Een beheerde app is een app waarop app-beveiligingsbeleid is toegepast en die kan worden beheerd door Intune. Elke app die is geïntegreerd met de Intune SDK of die door de Intune App Wrapping Tool is verpakt, kan worden beheerd met behulp van Intune app-beveiligingsbeleid. Zie de officiële lijst met Microsoft Intune beveiligde apps die zijn gebouwd met behulp van de Intune SDK of de Intune App Wrapping Tool en die beschikbaar zijn voor openbaar gebruik.

        Voorbeeld: Outlook als beheerde app

        

  3. Stel aanmeldingsbeveiligingsvereisten in voor uw beveiligingsbeleid.

     Selecteer Instellen > Maximaal toegestaan bedreigingsniveau voor apparaten in Apparaatvoorwaarden en voer een waarde in. Selecteer vervolgens Actie: 'Toegang blokkeren'. Microsoft Defender voor Eindpunt op Android deelt dit bedreigingsniveau van het apparaat.

     

• Gebruikersgroepen toewijzen voor wie het beleid moet worden toegepast.

  Selecteer Opgenomen groepen. Voeg vervolgens de relevante groepen toe.

  

Vereisten voor eindgebruikers

Voordat gebruikers aan de onboarding beginnen, moet u ervoor zorgen dat aan de volgende vereisten wordt voldaan:

• De broker-app moet zijn geïnstalleerd.

  • Intune-bedrijfsportal

• Gebruikers hebben de vereiste licenties voor de beheerde app en hebben de app geïnstalleerd.

Introductie voor eindgebruikers

1. Meld u aan bij een beheerde toepassing, bijvoorbeeld Outlook. Het apparaat is geregistreerd en het toepassingsbeveiligingsbeleid wordt gesynchroniseerd met het apparaat. Het toepassingsbeveiligingsbeleid herkent de status van het apparaat.

2. Kies Doorgaan. Er wordt een scherm weergegeven waarin het downloaden en instellen van de app Microsoft Defender: Antivirus (mobiel) wordt aanbevolen.

3. Selecteer Downloaden. U wordt omgeleid naar de App Store (Google Play).

4. Installeer de app Microsoft Defender: Antivirus (mobiel) en ga terug naar het onboardingscherm van de beheerde app.

   a.

5. Klik op Lancering > voortzetten. Het onboarding-/activeringsproces van de app Microsoft Defender voor Eindpunt wordt geïnitieerd. Volg de stappen om de onboarding te voltooien. U wordt automatisch teruggeleid naar het onboardingscherm van beheerde apps, dat nu aangeeft dat het apparaat in orde is.

6. Selecteer Doorgaan om u aan te melden bij de beheerde toepassing.

Webbeveiliging configureren

Met Defender voor Eindpunt op Android kunnen IT-beheerders webbeveiliging configureren. Webbeveiliging is beschikbaar in het Microsoft Intune-beheercentrum.

Webbeveiliging helpt apparaten te beveiligen tegen webbedreigingen en gebruikers te beschermen tegen phishing-aanvallen. Houd er rekening mee dat antiphishing en aangepaste indicatoren (URL en IP-adressen) worden ondersteund als onderdeel van webbeveiliging. Filteren van webinhoud wordt momenteel niet ondersteund op mobiele platforms.

1. Ga in het Microsoft Intune-beheercentrum naar App-configuratiebeleid > voor apps > Beheerde apps toevoegen>.

2. Geef het beleid een naam.

3. Kies onder Openbare apps selecterenMicrosoft Defender voor Eindpunt als de doel-app.

4. Voeg op de pagina Instellingen onder Algemene configuratie-instellingen de volgende sleutels toe en stel de gewenste waarde in.

   • Antiphishing
   • Vpn

   Als u webbeveiliging wilt uitschakelen, voert u 0 in voor de antiphishing- en VPN-waarden.

   Als u alleen het gebruik van VPN door webbeveiliging wilt uitschakelen, voert u deze waarden in:

   • 0 voor vpn
   • 1 voor antiphishing

   Voeg de DefenderMAMConfigs-sleutel toe en stel de waarde in op 1. Deze sleutel is standaard niet ingesteld. in dit geval past het systeem de standaardwaarden toe voor alle mogelijkheidsconfiguraties.

5. Wijs dit beleid toe aan gebruikers.

6. Controleer en stel het beleid op.

Netwerkbeveiliging configureren

Gebruik de volgende stappen om Netwerkbeveiliging in Intune te configureren:

1. Navigeer in het Microsoft Intune-beheercentrum naar Apps>App-configuratiebeleid. Maak een nieuw app-configuratiebeleid. Klik op Beheerde apps.

2. Geef een naam en beschrijving op om het beleid uniek te identificeren. Richt het beleid op Geselecteerde apps en zoek naar 'Microsoft Defender Eindpunt voor Android'. Klik op de vermelding en klik vervolgens op Selecteren en vervolgens op Volgende.

3. Voeg de sleutel en waarde uit de volgende tabel toe. Zorg ervoor dat de sleutel DefenderMAMConfigs aanwezig is in elk beleid dat u maakt met de beheerde apps-route. Voor beheerde apparaten-route mag deze sleutel niet bestaan. Wanneer u klaar bent, klikt u op Volgende.

   Sleutel	Waardetype:	Standaard (1 inschakelen, 0 uitschakelen)	Beschrijving
   DefenderNetworkProtectionEnable	geheel getal	1	0 - Uitschakelen 1 - Inschakelen De instelling DefenderNetworkProtectionEnable wordt gebruikt door IT-beheerders om netwerkbeveiligingsmogelijkheden in of uit te schakelen in de Defender-app.
   DefenderAllowlistedCACertificates	Tekenreeks	Geen	Geen - Uitschakelen De instelling DefenderAllowlistedCACertificates wordt gebruikt door IT-beheerders om een vertrouwensrelatie tot stand te brengen voor basis-CA en zelfondertekende certificaten.
   DefenderCertificateDetection	geheel getal	0	0 - Uitschakelen 1 - Auditmodus 2 - Inschakelen Wanneer deze functie is ingeschakeld met de waarde 2, worden eindgebruikersmeldingen naar de gebruiker verzonden wanneer Defender een ongeldig certificaat detecteert. Waarschuwingen worden ook verzonden naar SOC-beheerders. In de controlemodus (1) worden meldingen verzonden naar SOC-beheerders, maar er worden geen meldingen van eindgebruikers weergegeven aan de gebruiker wanneer Defender een ongeldig certificaat detecteert. Beheerders kunnen deze detectie uitschakelen met 0 als waarde en volledige functionaliteit inschakelen door 2 in te stellen als de waarde.
   DefenderOpenNetworkDetection	geheel getal	2	0 - Uitschakelen 1 - Auditmodus 2 - Inschakelen De instelling DefenderOpenNetworkDetection wordt gebruikt door IT-beheerders om open netwerkdetectie in of uit te schakelen. Als u overschakelt naar de controlemodus met waarde 1, wordt er een meldingswaarschuwing verzonden naar de SOC-beheerder, maar wordt er geen melding van de eindgebruiker weergegeven aan de gebruiker wanneer Defender een geopend netwerk detecteert. Als deze is ingeschakeld met waarde 2, wordt de melding van de eindgebruiker weergegeven en worden er ook waarschuwingen naar SOC-beheerders verzonden.
   DefenderEndUserTrustFlowEnable	geheel getal	0	0 - Uitschakelen 1 - Inschakelen De instelling DefenderEndUserTrustFlowEnable wordt door IT-beheerders gebruikt om de in-app-ervaring voor eindgebruikers in of uit te schakelen voor het vertrouwen of niet meer vertrouwen van onbeveiligde netwerken en schadelijke certificaten.
   DefenderNetworkProtectionAutoRemediation	geheel getal	1	0 - Uitschakelen 1 - Inschakelen De instelling DefenderNetworkProtectionAutoRemediation wordt gebruikt door IT-beheerders om herstelwaarschuwingen in of uit te schakelen die worden verzonden wanneer een gebruiker herstelactiviteiten uitvoert, zoals overschakelen naar veiligere Wi-Fi toegangspunten of het verwijderen van verdachte certificaten die door Defender zijn gedetecteerd.
   DefenderNetworkProtectionPrivacy	geheel getal	1	0 - Uitschakelen 1 - Inschakelen De instelling DefenderNetworkProtectionPrivacy wordt gebruikt door IT-beheerders om privacy in of uit te schakelen in netwerkbeveiliging. Als privacy is uitgeschakeld met de waarde 0, wordt gebruikerstoestemming weergegeven om de schadelijke wifi- of certificaatgegevens te delen. Als de status is ingeschakeld met waarde 1, wordt er geen gebruikerstoestemming weergegeven en worden er geen app-gegevens verzameld.

4. De groepen opnemen of uitsluiten waarop u het beleid wilt toepassen. Ga verder met het controleren en verzenden van het beleid.

Privacyinstellingen configureren

Beheerders kunnen de volgende stappen gebruiken om privacy in te schakelen en niet de domeinnaam, app-details en netwerkgegevens te verzamelen als onderdeel van het waarschuwingsrapport voor bijbehorende bedreigingen.

1. Ga in Microsoft Intune beheercentrum naar Apps > App-configuratiebeleid > Beheerde apps toevoegen>.
2. Geef het beleid een naam.
3. Onder Openbare apps selecteren kiest u Microsoft Defender voor Eindpunt als doel-app.
4. Voeg op de pagina Instellingen onder Algemene configuratie-instellingen DefenderExcludeURLInReport en DefenderExcludeAppInReport toe als de sleutels en waarde als 1.
5. Voeg de DefenderMAMConfigs-sleutel toe en stel de waarde in op 1.
6. Wijs dit beleid toe aan gebruikers.
7. Voeg op de pagina Instellingen onder Algemene configuratie-instellingenDefenderExcludeURLInReport, DefenderExcludeAppInReport toe als de sleutels en de waarde als true.
8. Voeg de DefenderMAMConfigs-sleutel toe en stel de waarde in op 1.
9. Wijs dit beleid toe aan gebruikers. Deze waarde is standaard ingesteld op false.
10. Controleer en stel het beleid op.

Scannen van niet-APK-bestanden configureren

Naast het scannen van Android-toepassingspakketten (APK-bestanden), kan Defender voor Eindpunt op Android niet-APK-bestanden scannen, zoals documenten, gecomprimeerde archieven en scripts. Defender voor Eindpunt respecteert de grenzen van android-profielen en heeft geen toegang tot bestanden in het persoonlijke profiel van de gebruiker.

Als u het scannen van niet-APK-bestanden wilt inschakelen, maakt u een app-configuratiebeleid voor beheerde apps . Zie Een app-configuratiebeleid voor beheerde apps toevoegen (wordt geopend op een nieuw tabblad in de Intune-documentatie) voor de volledige procedure. Wanneer u het beleid maakt, gebruikt u deze instellingen:

• Tabblad Basisbeginselen : De volgende instellingen configureren
  • Doelbeleid voor: Controleer of geselecteerde apps zijn geselecteerd.
  • Openbare apps: selecteer openbare apps, zoek en selecteer Microsoft Defender Eindpunt Android en selecteer vervolgens Selecteren.
• Tabblad Instellingen : Configureer de volgende instellingen in de sectie Algemene configuratie-instellingen :
  • Naam: voer in EnableNonAPKFileScan. Waarde: Voer 1in.
  • Naam: voer in DefenderMAMConfigs. Waarde: Voer 1in.

Optionele machtigingen

Microsoft Defender voor Eindpunt op Android maakt optionele machtigingen mogelijk in het onboardingproces. Momenteel zijn de voor MDE vereiste machtigingen verplicht in het onboardingproces. Met deze functie kan de beheerder MDE implementeren op Android-apparaten met MAM-beleid zonder de verplichte VPN- en toegankelijkheidsmachtigingen af te dwingen tijdens het onboarden. Eindgebruikers kunnen de app onboarden zonder de verplichte machtigingen en kunnen deze machtigingen later controleren.

Optionele machtiging configureren

Gebruik de volgende stappen om Optionele machtigingen voor apparaten in te schakelen.

1. Ga in Microsoft Intune beheercentrum naar Apps > App-configuratiebeleid > Beheerde apps toevoegen>.

2. Geef het beleid een naam.

3. Selecteer Microsoft Defender voor Eindpunt in openbare apps.

4. Selecteer op de pagina Instellingen Gebruik configuratieontwerper en DefenderOptionalVPN of DefenderOptionalAccessibility of beide als sleutel.

5. Voeg de DefenderMAMConfigs-sleutel toe en stel de waarde in op 1.

6. Als u optionele machtigingen wilt inschakelen, voert u de waarde in als 1 en wijst u dit beleid toe aan gebruikers.

   Gebruikers met een sleutel die zijn ingesteld op 1, kunnen de app onboarden zonder deze machtigingen te verlenen.

7. Selecteer op de pagina Instellingen Configuratieontwerper gebruiken en DefenderOptionalVPN of DefenderOptionalAccessibility of beide als sleutel en stel het waardetype in op Booleaans.

8. Voeg de DefenderMAMConfigs-sleutel toe en stel de waarde in op 1.

9. Als u optionele machtigingen wilt inschakelen, voert u de waarde true in en wijst u dit beleid toe aan gebruikers.

   Voor gebruikers met een sleutel die is ingesteld als true, kunnen de gebruikers de app onboarden zonder deze machtigingen te verlenen.

10. Selecteer Volgende en wijs dit profiel toe aan doelapparaten/gebruikers.

Gebruikersstroom voor optionele machtigingen tijdens onboarding

Gebruikers kunnen de app installeren en openen om het onboardingproces te starten.

1. Als een beheerder optionele machtigingen heeft ingesteld, kunnen gebruikers ervoor kiezen om de VPN- of toegankelijkheidsmachtiging of beide over te slaan en de onboarding te voltooien.

2. Zelfs als de gebruiker deze machtigingen heeft overgeslagen, kan het apparaat onboarden en wordt er een heartbeat verzonden.

3. Omdat machtigingen zijn uitgeschakeld, is webbeveiliging niet actief. Deze is gedeeltelijk actief als een van de machtigingen wordt gegeven.

4. Later kunnen gebruikers webbeveiliging inschakelen vanuit de app. Hiermee wordt de VPN-configuratie op het apparaat geïnstalleerd.

Afmelden uitschakelen

Met Defender voor Eindpunt kunt u de app implementeren en de knop Afmelden uitschakelen. Door de knop Afmelden te verbergen, kunnen gebruikers zich niet afmelden bij de Defender-app. Als u de afmeldingsknop verbergt, voorkomt u manipulatie met het apparaat wanneer Defender voor Eindpunt niet wordt uitgevoerd.

Gebruik de volgende stappen om Afmelden uitschakelen in te stellen:

1. Ga in het Microsoft Intune-beheercentrum naar App-configuratiebeleid > voor apps > Beheerde apps toevoegen>.
2. Geef het beleid een naam.
3. Kies onder Openbare apps selecterenMicrosoft Defender voor Eindpunt als de doel-app.
4. Voeg op de pagina Instellingen onder Algemene configuratie-instellingenDisableSignOut toe als sleutel en stel de waarde in op 1.
   • Afmelden uitschakelen is standaard 0.
   • Beheer moet Afmelden uitschakelen = 1 instellen om de afmeldingsknop in de app uit te schakelen. Gebruikers zien de afmeldingsknop niet zodra het beleid naar het apparaat is gepusht.
5. Selecteer Volgende en wijs dit profiel toe aan doelapparaten en gebruikers.

Apparaattags configureren

Defender voor Eindpunt op Android maakt het bulksgewijs taggen van de mobiele apparaten mogelijk tijdens de onboarding door de beheerders toe te staan tags in te stellen via Intune. De beheerder kan de apparaattags configureren via configuratiebeleid in Intune en deze naar de apparaten van gebruikers distribueren. Zodra de gebruiker Defender heeft geïnstalleerd en geactiveerd, geeft de client-app de apparaattags door aan de beveiligingsportal. De apparaattags worden weergegeven bij de apparaten in de Apparateninventaris.

Gebruik de volgende stappen om de apparaattags te configureren:

1. Ga in het Microsoft Intune-beheercentrum naar App-configuratiebeleid > voor apps > Beheerde apps toevoegen>.

2. Geef het beleid een naam.

3. Kies onder Openbare apps selecterenMicrosoft Defender voor Eindpunt als de doel-app.

4. Selecteer op de pagina Instellingen de optie Configuration Designer gebruiken en voeg DefenderDeviceTag toe als sleutel en waardetype als Tekenreeks.

   • De beheerder kan een nieuwe tag toewijzen door de sleutel DefenderDeviceTag toe te voegen en een waarde voor de apparaattag in te stellen.
   • Beheer kunt een bestaande tag bewerken door de waarde van de sleutel DefenderDeviceTag te wijzigen.
   • Beheer kunt een bestaande tag verwijderen door de sleutel DefenderDeviceTag te verwijderen.

5. Klik op Volgende en wijs dit beleid toe aan doelapparaten en gebruikers.

Onboarding van eindgebruikers uitschakelen

Defender voor Eindpunt op Android is standaard ingeschakeld in de MAM-modus. Om te voorkomen dat eindgebruikers Defender downloaden en instellen op niet-ingeschreven apparaten, kan de DefenderMAMConfigs-sleutel worden ingesteld op 0 om onboarding te blokkeren. Gebruik de volgende stappen om onboarding uit te schakelen:

1. Ga in het Microsoft Intune-beheercentrum naar Apps>App-configuratiebeleid>Beheerde apps>.
2. Geef het beleid een naam.
3. Selecteer Microsoft Defender voor Eindpunt in openbare apps.
4. Selecteer op de pagina Instellingen de optie Configuration Designer gebruiken, voeg de defenderMAMConfigs-sleutel toe en stel de waarde in op 0.
5. Klik op Volgende en wijs dit beleid toe aan doelapparaten en gebruikers.

Verwante onderwerpen

• Overzicht van Microsoft Defender voor Eindpunt op Android

• Dynamische preview-ringen configureren voor Microsoft Defender op mobiele apparaten

• Microsoft Intune: Microsoft Defender voor Eindpunt implementeren en configureren op Android