Uitsluitingen voor netwerkisolatie

Met isolatieuitsluitingen kunt u specifieke processen, IP-adressen of services uitsluiten van netwerkisolatie door de actie voor selectieve isolatie op apparaten toe te passen.

Netwerkisolatie in Microsoft Defender voor Eindpunt beperkt de communicatie van een gecompromitteerd apparaat om bedreigingsspreiding te voorkomen. Bepaalde essentiële services, zoals beheerhulpprogramma's of beveiligingsoplossingen, moeten echter mogelijk operationeel blijven.

Met uitsluitingen van isolatie kunnen aangewezen processen of eindpunten de beperkingen van netwerkisolatie omzeilen, zodat essentiële functies (bijvoorbeeld herstel op afstand of bewaking) blijven doorgaan en een bredere netwerkblootstelling wordt beperkt.

Prerequisites

Voordat u isolatie-uitsluitingen gebruikt, moet u ervoor zorgen dat aan de volgende vereisten wordt voldaan:

• Uitsluiting van isolatie moet zijn ingeschakeld.
• Als u uitsluiting van isolatie wilt inschakelen, hebt u machtigingen voor beveiliging Beheer of Beveiligingsinstellingen beheren of hoger nodig.

Ondersteunde besturingssystemen

Uitsluiting van isolatie wordt ondersteund op de volgende besturingssystemen:

• Isolatieuitsluiting is beschikbaar op Windows 11, Windows 10 versie 1703 of hoger, Windows Server 2016 en hoger, Windows Server 2012 R2, macOS en Azure Stack HCI OS, versie 23H2 en hoger.

Controleer en werk uitsluitingen regelmatig bij om af te stemmen op beveiligingsbeleid.

Isolatiemodi

Er zijn twee isolatiemodi: volledige isolatie en selectieve isolatie.

• Volledige isolatie: In de modus volledige isolatie is het apparaat volledig geïsoleerd van het netwerk en zijn er geen uitzonderingen toegestaan. Al het verkeer wordt geblokkeerd, met uitzondering van essentiële communicatie met de Defender-agent. Uitsluitingen worden niet toegepast in de modus voor volledige isolatie.

  Volledige isolatiemodus is de veiligste optie, geschikt voor scenario's waarin een hoge mate van insluiting nodig is. Zie Apparaten isoleren van het netwerk voor meer informatie over de modus voor volledige isolatie.

• Selectieve isolatie: met de modus Voor selectieve isolatie kunnen beheerders uitsluitingen toepassen om ervoor te zorgen dat kritieke hulpprogramma's en netwerkcommunicatie nog steeds kunnen functioneren, terwijl de geïsoleerde status van het apparaat behouden blijft.

Zo gebruikt u uitsluiting voor isolatie

Er zijn twee stappen voor het gebruik van uitsluiting van isolatie: het definiëren van regels voor uitsluiting van isolatie en het toepassen van isolatieuitsluiting op een apparaat.

Stap 1: globale uitsluitingen definiëren in de instellingen

Voer de volgende stappen uit om algemene uitsluitingsregels voor isolatie te definiëren:

1. Navigeer in de Microsoft Defender-portal naar Instellingen>Eindpunten>Geavanceerde functies>Uitsluitingsregels voor isolatie.

2. Selecteer het relevante tabblad Besturingssysteem (Windows-regels of Mac-regels).

3. Selecteer + Uitsluitingsregel toevoegen

   

4. Het dialoogvenster Nieuwe uitsluitingsregel toevoegen wordt weergegeven:

   

   Vul de uitsluitingsparameters voor isolatie in. Rode sterretjes geven de vereiste parameters aan. De parameters en de geldige waarden zijn:

   • Regelnaam: Geef een naam op voor de regel.

   • Beschrijving van regel: beschrijf het doel van de regel.

   • Procespad (alleen Windows): het bestandspad van een uitvoerbaar bestand is de locatie op het eindpunt. U kunt één uitvoerbaar bestand definiëren dat in elke regel moet worden gebruikt.

     Voorbeelden:

     • C:\Windows\System\Notepad.exe
     • %WINDIR%\Notepad.exe

     Notes:

     • Het uitvoerbare bestand moet bestaan wanneer isolatie wordt toegepast, anders wordt de uitsluitingsregel genegeerd.
     • De uitsluiting is niet van toepassing op onderliggende processen die door het opgegeven proces zijn aangemaakt.

   • Servicenaam (alleen Windows): Windows korte namen van services kunnen worden gebruikt in gevallen waarin u een service (niet een toepassing) wilt uitsluiten die verkeer verzendt of ontvangt. Korte servicenamen kunnen worden opgehaald door de opdracht Get-Service uit te voeren vanuit PowerShell. U kunt één service definiëren die in elke regel moet worden gebruikt.

     Voorbeeld: termservice

   • Familienaam van pakket (alleen Windows): PFN (Package Family Name) is een unieke id die is toegewezen aan Windows app-pakketten. De PFN-indeling volgt deze structuur: <Name>_<PublisherId>.

     Pakketfamilienamen kunnen worden opgehaald door de opdracht Get-AppxPackage uit te voeren vanuit PowerShell. Als u bijvoorbeeld de nieuwe Microsoft Teams PFN wilt ophalen, voert u uit Get-AppxPackage MSTeamsen zoekt u naar de waarde van de eigenschap PackageFamilyName .

     Ondersteund op:

     • Windows 11 versie 22H2 of hoger (versie 23H2 vereist KB5050092)
     • Windows 10 versie 22H2 of hoger (vereist KB5050081)
     • Windows Server 2025 of hoger
     • Windows Server versie 23H2 of hoger
     • Azure Stack HCI-besturingssysteem, versie 23H2 of hoger

   • Richting: De verbindingsrichting (inkomend/uitgaand). Voorbeelden:

     • Uitgaande verbinding: als het apparaat een verbinding initieert, bijvoorbeeld een HTTPS-verbinding met een externe back-endserver, definieert u alleen een uitgaande regel. Voorbeeld: Het apparaat verzendt een aanvraag naar 1.1.1.1 (uitgaand). In dit geval is geen binnenkomende regel nodig, omdat het antwoord van de server automatisch wordt geaccepteerd als onderdeel van de verbinding.
     • Binnenkomende verbinding: als het apparaat luistert naar binnenkomende verbindingen, definieert u een regel voor binnenkomend verkeer.

   • Extern IP: het IP-adres (of IP-adressen) waarmee communicatie is toegestaan terwijl het apparaat is geïsoleerd van het netwerk.

     Ondersteunde IP-indelingen:

     • IPv4/IPv6, met optionele CIDR-notatie
     • Een door komma's gescheiden lijst met geldige IP-adressen

     Per regel kunnen maximaal 20 IP-adressen worden gedefinieerd.

     Geldige invoervoorbeelden:

     • Eén IP-adres: 1.1.1.1
     • IPV6-adres: 2001:db8:85a3::8a2e:370:7334
     • IP-adres met CIDR-notatie (IPv4 of IPv6): 1.1.1.1/24. In dit voorbeeld wordt een bereik van IP-adressen gedefinieerd. In dit geval omvat het alle IP-adressen van 1.1.1.0 tot 1.1.1.255. De /24 vertegenwoordigt het subnetmasker, dat aangeeft dat de eerste 24 bits van het adres vast zijn en de resterende 8 bits het adresbereik definiëren.

5. Sla de wijzigingen op en pas ze toe.

De globale uitsluitingsregels voor isolatie die u in de portal definieert, worden toegepast wanneer selectieve isolatie is ingeschakeld voor een apparaat.

Stap 2: Selectieve isolatie toepassen op een specifiek apparaat

1. Navigeer naar de apparaatpagina in de portal.

2. Selecteer Apparaat isoleren en kies Selectieve isolatie.

3. Schakel Uitsluitingen voor isolatie gebruiken in om specifieke communicatie toe te staan terwijl het apparaat is geïsoleerd en voer een opmerking in.

   

4. Klik op Bevestigen.

Uitsluitingen die zijn toegepast op een specifiek apparaat kunnen worden bekeken in de geschiedenis van het Actiecentrum.

Selectieve isolatie toepassen via API

U kunt ook selectieve isolatie toepassen via API. Stel hiervoor de parameter IsolationType in op Selectief. Zie Machine-API isoleren voor meer informatie.

Uitsluitingslogica

Isolatieuitsluitingen worden geëvalueerd volgens de volgende logica:

• Alle regels die overeenkomen, worden toegepast.
• Binnen één regel gebruiken voorwaarden AND-logica (alle moeten overeenkomen).
• Niet-gedefinieerde voorwaarden in een regel worden behandeld als 'elke' (dat wil gezegd, onbeperkt voor die parameter).

Bijvoorbeeld als de volgende regels zijn gedefinieerd:

Rule 1:

   Process path = c:\example.exe
   Remote IP = 1.1.1.1
   Direction = Outbound

Rule 2:

   Process path = c:\example_2.exe
   Direction = Outbound

Rule 3:

   Remote IP = 18.18.18.18
   Direction = Inbound

• example.exe kan alleen netwerkverbindingen met extern IP 1.1.1.1.1 initiëren.
• example_2.exe kunt netwerkverbindingen met elk IP-adres initiëren.
• Het apparaat kan binnenkomende verbinding ontvangen van IP-adres 18.18.18.18.

Overwegingen en beperkingen

Wijzigingen in uitsluitingsregels zijn alleen van invloed op nieuwe isolatieaanvragen. Apparaten die al geïsoleerd waren, blijven behouden met de uitsluitingen die zijn gedefinieerd toen ze werden toegepast. Als u bijgewerkte uitsluitingsregels wilt toepassen op geïsoleerde apparaten, haalt u deze apparaten uit isolatie en isoleert u ze vervolgens opnieuw.

Het behouden van bestaande uitsluitingen voor al geïsoleerde apparaten zorgt ervoor dat isolatieregels consistent blijven gedurende de duur van een actieve isolatiesessie.

Verwante onderwerpen

• Responsacties uitvoeren op een apparaat
• Bestanden onderzoeken
• Handmatige antwoordacties in Microsoft Defender voor Eindpunt Plan 1