Configureer proxy-connectiviteit voor Microsoft Defender voor Eindpunt op Windows

  • Van toepassing op: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Microsoft Defender voor Eindpunt op Windows gebruikt aparte proxy-instellingen voor de endpoint detection and response (EDR)-sensor en Microsoft Defender Antivirus. Wanneer apparaten een proxy moeten gebruiken om hun respectievelijke clouddiensten te bereiken, gebruik deze richtlijn om automatische ontdekking, componentspecifieke statische proxy-instellingen of een systeembrede WinHTTP-proxy te configureren. De richtlijnen behandelen ook proxyconfiguratie voor apparaten die gebruikmaken van de Microsoft Monitoring Agent (MMA).

Belangrijk

Defender for Endpoint vereist IPv4-connectiviteit. Voor een IPv6-only netwerk gebruik een overgangsmechanisme zoals DNS64/NAT64 om end-to-end IPv4-connectiviteit te bieden. Zie Minimumvereisten voor Microsoft Defender voor Eindpunt voor meer informatie.

Configureer aparte proxy-instellingen voor de volgende componenten:

Gebruik de proxy-richtlijnen voor het besturingssysteem dat je beheert:

Kies een Windows proxy-configuratiemethode

De Defender for Endpoint-sensor draait in de LocalSystem context en gebruikt Windows HTTP Services (WinHTTP) om sensorgegevens te rapporteren en te communiceren met Defender for Endpoint. De WinHTTP-configuratie is onafhankelijk van de Windows Internet (WinINet) proxy-instellingen. Voor meer informatie, zie WinINet versus WinHTTP.

Tip

Als je forward proxies gebruikt als gateway naar het internet, kun je netwerkbeveiliging gebruiken om verbindingsgebeurtenissen achter forward proxies te onderzoeken.

Gebruik een van de volgende proxyconfiguratiemethoden:

  • Automatische ontdekking:

    • Transparante proxy.
    • Web Proxy Auto-Discovery Protocol (WPAD).

    Als je netwerk een transparante proxy of WPAD gebruikt, heeft de sensor geen component-specifieke statische proxy-instelling nodig.

  • EDR-sensor statische proxy: Configureer TelemetryProxyServer via groepsbeleid wanneer de sensor geen automatische ontdekking of de systeembrede WinHTTP-proxy kan gebruiken.

  • Systeembrede WinHTTP-proxy: Configureer een statische proxy door gebruik te maken van netsh winhttp. Deze instelling beïnvloedt alle applicaties en diensten die de standaard WinHTTP-proxyconfiguratie gebruiken. Een systeembrede statische proxy is het beste geschikt voor apparaten in een stabiele netwerktopologie.

Microsoft Defender Antivirus gebruikt aparte proxy-beleidsregels voor cloud-geleverde bescherming. Configureer deze beleidsregels in Een statische proxy configureren voor Microsoft Defender Antivirus.

Configureer een statische proxy voor EDR-sensoren door gebruik te maken van Group Policy

Configureer een registry-gebaseerde statische proxy wanneer de EDR-sensor niet direct kan verbinden of gebruik proxy-discovery. Voer alleen de proxyhost en poort in TelemetryProxyServer. Laat geen spaties toe.

Opmerking

Installeer de nieuwste Defender for Endpoint-updates voordat je de statische proxy configureert.

Configureer beide instellingen in het Group Policy-object (GPO) dat van toepassing is op de doelapparaten.

  1. Op uw computer voor groepsbeleidsbeheer opent u de Group Policy Management Console (GPMC).

  2. Vouw in de GPMC-consoleboom Groepsbeleidsobjecten uit in het forest en domein dat de GPO bevat die je wilt bewerken.

  3. Klik met de rechtermuisknop op het groepsbeleidsobject en selecteer Bewerken.

  4. In de Groepsbeleidbeheer-editor gaat u naar Computerconfiguratiebeleiden>>,Administratieve sjablonen>, Windows Componenten>,Dataverzameling en Voorbeeldbouw.

  5. Open het gebruik van geauthenticeerde proxy's configureren voor de Connected User Experience and Telemetry Service, selecteer Ingeschakeld en selecteer vervolgens Uitschakelen van geauthenticeerd proxygebruik.

    Screenshot van de groepsbeleid-instelling die het gebruik van geauthenticeerde proxy's voor telemetrie uitschakelt.

  6. Open Configureer verbonden gebruikerservaringen en telemetrie, voer de proxy in als <server-name-or-ip>:<port>, en selecteer vervolgens OK.

    Screenshot van de groepsbeleid-instelling voor het adres en de poort van de telemetrie-proxyserver.

De beleidsregels configureren de volgende registerwaarden:

Groepsbeleid Registerpad Registerwaarde Waardegegevens
Configureer geauthenticeerd proxygebruik voor de Connected User Experience and Telemetry service HKLM\Software\Policies\Microsoft\Windows\DataCollection DisableEnterpriseAuthProxy 1 (REG_DWORD)
Verbonden gebruikerservaringen en telemetrie configureren HKLM\Software\Policies\Microsoft\Windows\DataCollection TelemetryProxyServer <server-name-or-ip>:<port> (REG_SZ), bijvoorbeeld, 10.0.0.6:8080

Opmerking

Implementeer TelemetryProxyServer niet via beheer van mobiele apparaten (MDM). De EDR-sensor leest TelemetryProxyServer uit de locatie van het Group Policy-register.

Op apparaten die de standaard WinHTTP-proxy niet kunnen gebruiken voor certificaatintrekkingslijsten of Windows Update, stel PreferStaticProxyForHttpRequest in op 1 om een compatibele EDR-sensor te laten prefererenTelemetryProxyServer. Creëer de waarde onder HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection.

Het volgende commando creëert de registerwaarde:

reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection" /v PreferStaticProxyForHttpRequest /t REG_DWORD /d 1 /f

PreferStaticProxyForHttpRequest geldt voor ondersteunde sensortakken beginnend met MsSense.exe versie 10.8210.* of 10.8049.*. Het geldt niet voor de vorige MMA-gebaseerde oplossing.

Configureer de proxy-instellingen van Microsoft Defender Antivirus

Microsoft Defender Antivirus-cloudbeveiliging biedt bijna directe, geautomatiseerde bescherming tegen nieuwe en opkomende bedreigingen. Cloudconnectiviteit is vereist voor aangepaste indicatoren wanneer Microsoft Defender Antivirus je actieve anti-malwareoplossing is. Het is ook vereist voor endpoint detection and response (EDR) in blockmodus, wat een vangnet biedt wanneer een niet-Microsoft-oplossing een dreiging niet blokkeert.

Opmerking

Ik geef de voorkeur aan een systeembrede WinHTTP-proxy waarmee Windows lijsten met certificaatintrekkingen kan ophalen. Als die configuratie niet mogelijk is, worden controles op certificaatintrekking voor cloudbeveiliging van Microsoft Defender Antivirus uitgeschakeld door SSLOptions onder HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Spynet in te stellen op 2. Het uitschakelen van intrekkingscontroles vermindert de bescherming tegen certificaatvalidatie en is geen best practice. Voor de beschikbare waarden en risico's, zie Configureren en valideren Microsoft Defender Antivirus netwerkverbindingen.

Microsoft Defender Antivirus cachet de laatst bekende werkende proxy. Gebruik geen TLS-inspectie voor Defender-cloudverbindingen, want inspectie breekt de beveiligde verbinding.

Microsoft Defender Antivirus gebruikt de statische proxy niet om verbinding te maken met Windows Update of Microsoft Update voor het downloaden van updates. In plaats daarvan gebruikt het een systeembrede proxy wanneer het is geconfigureerd om Windows Update te gebruiken, of het gebruikt de geconfigureerde interne updatebron volgens de Microsoft Defender Antivirus beveiligingsupdate-updatevolgorde.

Configureer proxy-instellingen door gebruik te maken van groepsbeleid

Gebruik de procedure in Configure Microsoft Defender Antivirus met Group Policy om een GPO te openen en te bewerken die van toepassing is op de doelapparaten. Configureer vervolgens het proxy-specifieke beleid:

  1. In de Group Policy Management Editor gaat u naar Computer Configuration>Policies>Administrative TemplatesWindows>ComponentsMicrosoft>Defender Antivirus.

  2. Open Define proxyserver voor verbinding met het netwerk, selecteer Ingeschakeld en definieer de proxyserver. Voeg http:// of https:// toe. Houd het Defender Antivirus-platform up-to-date zoals beschreven in Microsoft Defender Antivirus-updates beheren.

    Screenshot van het Microsoft Defender Antivirus-beleid voor het definiëren van een proxyserver.

Het beleid creëert de ProxyServer stringwaarde onder HKLM\Software\Policies\Microsoft\Windows Defender. Gebruik de volgende indeling:

<protocol>://<server-name-or-ip>:<port>

Bijvoorbeeld: http://10.0.0.6:8080.

Om een proxy auto-configuratiebestand (PAC) te gebruiken, configureer je Define proxy auto-config (.pac) voor verbinding met het netwerk. Om de proxy voor specifieke bestemmingen te omzeilen, configureer je Define addresses om de proxyserver te omzeilen.

Configureer proxy-instellingen met PowerShell

Gebruik Microsoft Defender Antivirus-cmdlets in een verhoogde PowerShell-sessie op het lokale apparaat (een PowerShell-venster dat je opende door Run as administrator te selecteren).

  • Configureer een statische proxyserver of een PAC-bestand:

    • Configureer een statische proxyserver: Gebruik de volgende syntaxis:

      Set-MpPreference -ProxyServer "<protocol>://<server-name-or-ip>:<port>"

      Voorbeeld:

      Set-MpPreference -ProxyServer "http://10.0.0.6:8080"

    • Configureer een PAC-bestand: Gebruik de volgende syntaxis**:

      Set-MpPreference -ProxyPacUrl "<pac-file-url>"

      Voorbeeld:

      Set-MpPreference -ProxyPacUrl "https://proxy.contoso.com/proxy.pac"

  • Omzeil de proxy voor specifieke bestemmingen: Gebruik de volgende syntaxis:

    Set-MpPreference -ProxyBypass "<address-1>","<address-2>"

    Voorbeeld:

    Set-MpPreference -ProxyBypass "intranet.contoso.com","updates.fabrikam.com"

  • De configuratie controleren:

    Get-MpPreference | Select-Object ProxyServer, ProxyPacUrl, ProxyBypass

Voor meer informatie, zie Gebruik PowerShell-cmdlets om Microsoft Defender Antivirus en Set-MpPreferens te configureren en uit te voeren.

Configureer een systeembrede statische proxy door gebruik te maken van netsh

Op apparaten in een stabiele netwerktopologie open je de opdrachtprompt door 'Run as administrator' te selecteren en gebruik netsh winhttp je deze om een systeembrede statische proxy te configureren.

Opmerking

De configuratie heeft invloed op alle applicaties en Windows-diensten die de standaard WinHTTP-proxyconfiguratie gebruiken.

Gebruik de volgende syntaxis:

netsh winhttp set proxy <proxy>:<port>

Het volgende voorbeeld configureert de proxyserver op 10.0.0.6 om poort 8080 te gebruiken:

netsh winhttp set proxy 10.0.0.6:8080

Om de huidige WinHTTP-proxyconfiguratie te verwijderen en terug te keren naar directe connectiviteit, voer je het volgende commando uit:

netsh winhttp reset proxy

Om de huidige configuratie weer te geven, bypassadressen te configureren of geavanceerde WinHTTP-proxy-instellingen te gebruiken, zie netsh winhttp. Voor algemene netsh conventies, zie Netsh-commandosyntaxis, contexten en opmaak.

Stel proxy-instellingen in voor apparaten die MMA gebruiken

Windows 8.1-apparaten blijven afhankelijk van MMA for Defender for Endpoint. Windows 7 SP1, Windows Server 2008 R2 SP1, Windows Server 2012 R2 en Windows Server 2016-apparaten zouden de nieuwere Defender for Endpoint-agent moeten gebruiken. Voor migratierichtlijnen, zie Update MMA op Windows-apparaten.

Voor Windows 8.1 en andere apparaten die tijdelijk MMA blijven gebruiken, configureer een systeembrede proxy, of stel MMA in om via een proxy of Log Analytics-gateway te verbinden:

Voor onboardingrichtlijnen, zie Onboard eerdere versies van Windows.

Verwante onderwerpen

De volgende artikelen geven meer informatie over proxyconfiguratie, connectiviteit, onboarding en probleemoplossing voor Defender for Endpoint:

  • Laatst bijgewerkt om