Microsoft Defender voor Eindpunt Abonnement 1 instellen en configureren

In dit artikel wordt beschreven hoe u Defender voor Eindpuntplan 1 instelt en configureert. Of u nu hulp hebt of het zelf doet, u kunt dit artikel gebruiken als richtlijn tijdens uw implementatie.

Het installatie- en configuratieproces

Het algemene installatie- en configuratieproces voor Defender for Endpoint Plan 1 is als volgt:

Bekijk de vereisten

De volgende tabel geeft de basisvereisten voor Defender for Endpoint Plan 1 weer:

Uw implementatie plannen

Wanneer u uw implementatie plant, kunt u kiezen uit verschillende architecturen en implementatiemethoden. Elke organisatie is uniek, dus u hebt verschillende opties om te overwegen, zoals vermeld in de volgende tabel:

Zie Uw Defender for Endpoint-implementatie plannen voor meer informatie over uw implementatieopties. En download de volgende poster:

De implementatieposter ophalen

Uw tenantomgeving instellen

Het instellen van uw tenantomgeving omvat taken, zoals:

• Uw licenties verifiëren
• Uw tenant configureren
• Uw proxy-instellingen configureren (alleen indien nodig)
• Ervoor zorgen dat sensoren correct werken en gegevens rapporteren aan Defender voor Eindpunt

Deze taken zijn opgenomen in de installatiefase voor Defender voor Eindpunt. Zie Defender voor eindpunt instellen.

Rollen en machtigingen toewijzen

Als u toegang wilt krijgen tot de Microsoft Defender portal, instellingen voor Defender voor Eindpunt wilt configureren of taken wilt uitvoeren, zoals het uitvoeren van reactieacties op gedetecteerde bedreigingen, moeten de juiste machtigingen worden toegewezen. Defender voor Eindpunt maakt gebruik van ingebouwde rollen binnen Microsoft Entra ID.

Microsoft raadt aan gebruikers alleen het machtigingsniveau toe te wijzen dat ze nodig hebben om hun taken uit te voeren. U kunt machtigingen toewijzen met behulp van basismachtigingsbeheer of met op rollen gebaseerd toegangsbeheer (RBAC).

• Met basismachtigingenbeheer hebben globale beheerders en beveiligingsbeheerders volledige toegang, terwijl beveiligingslezers alleen-lezentoegang hebben.
• Met RBAC kunt u gedetailleerdere machtigingen instellen via meer rollen. U kunt bijvoorbeeld beveiligingslezers, beveiligingsoperators, beveiligingsbeheerders, eindpuntbeheerders en meer hebben.

In de volgende tabel worden belangrijke rollen beschreven die u kunt overwegen voor Defender voor Eindpunt in uw organisatie:

Integreren met Defender voor Eindpunten

Wanneer u klaar bent om de eindpunten van uw organisatie te onboarden, kunt u kiezen uit verschillende methoden, zoals vermeld in de volgende tabel:

Configureer vervolgens uw mogelijkheden voor next-generation-beveiliging en aanvalsoppervlakvermindering.

Beveiliging van de volgende generatie configureren

U wordt aangeraden Intune te gebruiken om de apparaten en beveiligingsinstellingen van uw organisatie te beheren, zoals wordt weergegeven in de volgende afbeelding:

Als u de beveiliging van de volgende generatie in Intune wilt configureren, raadpleegt u Bestaande beleidsregels wijzigen (wordt geopend op een nieuw tabblad in de Intune-documentatie). Kies de volgende opties:

1. Stel de instellingen voor uw antivirusconfiguratie in of wijzig deze. Hulp nodig? Raadpleeg de volgende resources:

   • Instellingen voor Windows 10 Microsoft Defender antivirusbeleid in Microsoft Intune
   • Functies van Defender for Endpoint op iOS configureren

2. Wanneer u klaar bent met het opgeven van uw instellingen, kiest u Controleren en opslaan.

Uw mogelijkheden voor aanvalsoppervlakvermindering configureren

Het verminderen van kwetsbaarheid voor aanvallen heeft alles te maken met het verminderen van de plaatsen en manieren waarop uw organisatie openstaat voor aanvallen. Defender voor Eindpunt-abonnement 1 bevat verschillende functies en mogelijkheden om uw kwetsbaarheid voor aanvallen op uw eindpunten te verminderen. Deze functies en mogelijkheden worden vermeld in de volgende tabel:

Regels voor het verminderen van kwetsbaarheid voor aanvallen (ASR)

ASR-regels (Attack Surface Reduction) zijn beschikbaar in Microsoft Defender Antivirus op Windows-apparaten. Zie Implementatie- en configuratiemethoden voor ASR-regels voor de beschikbare implementatiemethoden.

Normaal gesproken kunt u de standaardbeveiligingsregels inschakelen in de modus Blokkeren of Waarschuwen zonder te testen. U moet andere ASR-regels testen in de controlemodus voordat u deze overschakelt naar de modus Blokkeren of Waarschuwen . Zie de implementatiehandleiding voor ASR-regels voor meer informatie.

Beperking van ransomware

U kunt ransomware beperken via gecontroleerde maptoegang, waardoor alleen vertrouwde apps toegang hebben tot beveiligde mappen op uw eindpunten.

Zie ASR-regels en -uitsluitingen configureren in Intune met behulp van eindpuntbeveiligingsbeleid om beheerde maptoegang in Intune te configureren. Gebruik de instellingen gecontroleerde maptoegang inschakelen, Beveiligde mappen beheerde mappen en Gecontroleerde maptoegang toegestane toepassingen in het beleid.

Zie Overzicht van Toegang tot gecontroleerde mappen (CFA) voor meer informatie.

Apparaatbeheer

U kunt Defender voor Eindpunt zo configureren dat verwisselbare apparaten en bestanden op verwisselbare apparaten worden geblokkeerd of toegestaan. Als u Intune wilt gebruiken om de instellingen voor apparaatbeheer te configureren, raadpleegt u Een eindpuntbeveiligingsbeleid maken (wordt geopend op een nieuw tabblad in de Intune-documentatie). Gebruik deze instellingen bij het maken van het beleid:

• Platform: Windows 10 of hoger
• Profieltype: Sjablonen
• Sjabloonnaam Beheersjablonen
• Configuratie-instellingen: Alle instellingen en typ Removable vervolgens in het zoekvak om alle instellingen te zien die betrekking hebben op verwisselbare apparaten. Selecteer een item in de lijst, zoals Alle verwisselbare opslagklassen, Alle toegang weigeren, om het flyoutvenster te openen. In de flyout voor elke instelling wordt uitgelegd wat er gebeurt wanneer deze is ingeschakeld, uitgeschakeld of niet is geconfigureerd. Selecteer een instelling en kies OK.
• Bereiktags: + Bereiktags selecteren en vervolgens de tags selecteren die u wilt gebruiken.
• Toewijzingen: Alle gebruikers toevoegen en + Alle apparaten toevoegen.

Controleer op het tabblad Controleren en maken de instellingen voor uw beleid en kies vervolgens Maken. Het beleid wordt toegepast op alle eindpunten die binnenkort zijn toegevoegd aan Defender voor Eindpunt.

Netwerkbeveiliging

Met netwerkbeveiliging kunt u uw organisatie helpen beschermen tegen gevaarlijke domeinen die phishing-oplichting, exploits en andere schadelijke inhoud op internet kunnen hosten. Als u Intune wilt gebruiken om netwerkbeveiliging in te schakelen, raadpleegt u Een eindpuntbeveiligingsbeleid maken (wordt geopend op een nieuw tabblad in de Intune-documentatie). Gebruik deze instellingen bij het maken van het beleid:

• Platform: Windows 10 en hoger
• Profieltype: Sjablonen
• Sjabloonnaam: Endpoint Protection
• Configuratie-instellingen: vouw Microsoft Defender Exploit Guard uit en vouw vervolgens Netwerkfiltering uit
  • Stel Netwerkbeveiliging in op Inschakelen. (U kunt ook Controleren kiezen om te zien hoe netwerkbeveiliging in uw omgeving in eerste instantie werkt.)
• Toewijzingen: Alle gebruikers en+ Alle apparaten toevoegen (u kunt ook specifieke groepen gebruikers of apparaten opgeven.)
• Regels voor toepasselijkheid : een regel instellen. Het profiel dat u configureert, wordt alleen toegepast op apparaten die voldoen aan de gecombineerde criteria die u opgeeft. U kunt er bijvoorbeeld voor kiezen om het beleid toe te wijzen aan eindpunten waarop alleen een bepaalde editie van het besturingssysteem wordt uitgevoerd.

Controleer op het tabblad Controleren en maken de instellingen voor uw beleid en kies vervolgens Maken. Het beleid wordt toegepast op alle eindpunten die binnenkort zijn toegevoegd aan Defender voor Eindpunt.

Webbeveiliging

Met webbeveiliging kunt u de apparaten van uw organisatie beschermen tegen webbedreigingen en ongewenste inhoud. Uw webbeveiliging omvat beveiliging tegen webdreigingen en filteren van webinhoud. Configureer beide sets mogelijkheden. U wordt aangeraden Intune te gebruiken om uw instellingen voor webbeveiliging te configureren.

Beveiliging tegen webdreigingen configureren

1. Ga naar het Intune-beheercentrum en meld u aan.

2. Kies Eindpuntbeveiliging>Kwetsbaarheid voor aanvallen verminderen en kies vervolgens + Beleid maken.

3. Selecteer een platform, zoals Windows 10 en hoger, selecteer het webbeveiligingsprofiel en kies vervolgens Maken.

4. Geef op het tabblad Basis een naam en beschrijving op en kies volgende.

5. Vouw op het tabblad Configuratie-instellingenwebbeveiliging uit, geef de instellingen in de volgende tabel op en kies volgende.
   
   

   Instelling	Aanbeveling
   Netwerkbeveiliging inschakelen	Stel dit in op Ingeschakeld. Hiermee voorkomt u dat gebruikers schadelijke sites of domeinen bezoeken. U kunt netwerkbeveiliging ook instellen op de controlemodus om te zien hoe deze werkt in uw omgeving. In de auditmodus voorkomt netwerkbeveiliging niet dat gebruikers sites of domeinen bezoeken, maar registreert het wel detecties als gebeurtenissen.
   SmartScreen vereisen voor Microsoft Edge (verouderde versie)	Stel in op Ja. Helpt gebruikers te beschermen tegen mogelijke phishing-oplichting en schadelijke software.
   Toegang tot schadelijke sites blokkeren	Stel in op Ja. Hiermee voorkomt u dat gebruikers waarschuwingen over mogelijk schadelijke sites omzeilen.
   Het downloaden van niet-geverifieerde bestanden blokkeren	Stel in op Ja. Hiermee voorkomt u dat gebruikers de waarschuwingen omzeilen en niet-geverifieerde bestanden downloaden.

6. Als uw organisatie bereiktags gebruikt op het tabblad Bereiktags , kiest u + Bereiktags selecteren en selecteert u vervolgens de tags die u wilt gebruiken. Kies vervolgens Volgende.

7. Zie Op rollen gebaseerd toegangsbeheer (RBAC) en bereiktags gebruiken voor gedistribueerde IT voor meer informatie over bereiktags.

8. Geef op het tabblad Toewijzingen de gebruikers en apparaten op die het webbeveiligingsbeleid moeten ontvangen en kies vervolgens Volgende.

9. Controleer op het tabblad Controleren en maken uw beleidsinstellingen en kies vervolgens Maken.

Filteren van webinhoud configureren

1. Ga naar de Microsoft Defender-portal en meld u aan.

2. Kies Instellingen>Eindpunten.

3. Kies onder Regelsde optie Webinhoud filteren en kies vervolgens + Beleid toevoegen.

4. Geef in de flyout Beleid toevoegen op het tabblad Algemeen een naam op voor uw beleid en kies volgende.

5. Selecteer in geblokkeerde categorieën een of meer categorieën die u wilt blokkeren en kies vervolgens Volgende.

6. Selecteer op het tabblad Bereik de apparaatgroepen die u dit beleid wilt ontvangen en kies vervolgens Volgende.

7. Controleer op het tabblad Samenvatting uw beleidsinstellingen en kies vervolgens Opslaan.

Netwerkfirewall

Netwerkfirewall helpt het risico van netwerkbeveiligingsbedreigingen te verminderen. Uw beveiligingsteam kan regels instellen die bepalen welk verkeer van of naar de apparaten van uw organisatie mag stromen. U wordt aangeraden Microsoft Intune te gebruiken om uw netwerkfirewall te configureren.

Als u een netwerkfirewall wilt configureren met behulp van een Microsoft Intune Endpoint Security Firewall-beleid, raadpleegt u Een eindpuntbeveiligingsbeleid maken (wordt geopend op een nieuw tabblad in de documentatie Intune). Gebruik deze instellingen bij het maken van het beleid:

• Beleidstype: Firewall
• Platform: Windows
• Profiel: Windows Firewall
• Configuratie-instellingen: stel elk van de volgende instellingen in op Waar (standaard)::
  • Firewall voor domeinnetwerk inschakelen
  • Privénetwerkfirewall inschakelen
  • Openbare netwerkfirewall inschakelen

Zie Firewallbeleid voor eindpuntbeveiliging in Intune voor meer informatie over netwerkfirewallprofielen die beschikbaar zijn in Microsoft Intune.

Toepassingsbeheer

Windows Defender Application Control (WDAC) helpt uw Windows-eindpunten te beveiligen door alleen vertrouwde toepassingen en processen uit te voeren. De meeste organisaties hebben een gefaseerde implementatie van WDAC gebruikt. Dat wil dus dat de meeste organisaties WDAC in eerste instantie niet implementeren voor alle Windows-eindpunten. Afhankelijk van of de Windows-eindpunten van uw organisatie volledig beheerde, licht beheerde of Bring Your Own Device-eindpunten zijn, kunt u WDAC implementeren op alle of sommige eindpunten.

Zie de volgende resources voor hulp bij het plannen van uw WDAC-implementatie:

• Toepassingsbeheer voor Windows

• Beleidsontwerpbeslissingen voor Windows Defender-toepassingsbeheer

• Implementatie van Windows Defender Application Control in verschillende scenario's: typen apparaten

Volgende stappen

Nu u het installatie- en configuratieproces hebt voltooid, is de volgende stap om aan de slag te gaan met Defender voor Eindpunt.

• Aan de slag met Defender for Endpoint Plan 1