Gebruik Microsoft Defender voor Eindpunt netwerkbeveiliging op macOS

Netwerkbescherming in Microsoft Defender voor Eindpunt helpt voorkomen dat applicaties en niet-browserprocessen op macOS-apparaten verbinding maken met gevaarlijke domeinen. Het breidt webbescherming uit voorbij Microsoft Defender SmartScreen in Microsoft Edge naar ondersteunde browsers en andere processen.

Gebruik dit artikel om de vereisten te bekijken, een handhavingsniveau te kiezen, netwerkbeveiliging uit te rollen en de ondersteunde webbeveiliging en Microsoft Defender for Cloud Apps-scenario's te begrijpen.

Vereisten

Voordat je netwerkbeveiliging configureert, zorg ervoor dat je omgeving aan de volgende eisen voldoet:

• Een Microsoft Defender voor Eindpunt Plan 1, Microsoft Defender voor Eindpunt Plan 2, proefversie of Microsoft Defender voor Bedrijven-licentie.
• Een apparaat dat is onboarded en waarop een ondersteunde macOS-versie en een Defender for Endpoint-versie 101.94.13 (januari 2023) of hoger worden uitgevoerd.
• Een ondersteunde browser:
  • Een niet-Microsoft-browser, zoals Brave, Chrome, Firefox, Opera of Safari.
  • Microsoft Edge voor macOS.

Browserconfiguratie-eisen

In processen anders dan Microsoft Edge bepaalt netwerkbescherming de volledig gekwalificeerde domeinnaam voor elke HTTPS-verbinding door de Transport Layer Security (TLS) handshake te onderzoeken die plaatsvindt na een TCP/IP-handshake. De HTTPS-verbinding moet TCP/IP gebruiken in plaats van User Datagram Protocol (UDP) of Quick UDP Internet Connections (QUIC), en het ClientHello-bericht mag niet versleuteld zijn. Om QUIC en Encrypted Client Hello uit te schakelen, zie de volgende artikelen:

• Google Chrome: QuicAllowed en EncryptedClientHalloIngeschakeld.
• Mozilla Firefox: Schakel EncryptedClientHello uit en network.http.http3.enable.

Uw implementatie plannen

Netwerkbescherming voor macOS is beschikbaar voor alle onboarded Defender for Endpoint-apparaten die aan de minimale eisen voldoen. Netwerkbeveiliging op macOS ondersteunt de volgende beveiligings-, onderzoeks- en applicatiebeheermogelijkheden:

• Aangepaste indicatoren van compromittering voor domeinen en IP-adressen.
• Webcontentfilterbeleid dat websitecategorieën blokkeert voor apparaatgroepen in ondersteunde browsers, waaronder Microsoft Edge voor macOS.
• Advanced hunting en de apparaattijdlijn, die netwerkgebeurtenisgegevens leveren voor beveiligingsonderzoeken.
• Microsoft Defender for Cloud Apps controles die het gebruik van cloudapps detecteren, gebruikers waarschuwen voor Monitored apps en niet-goedgekeurde apps blokkeren. Deze scenario's hebben meer licentie- en productvereisten.
• Gebruik van een bedrijfsvirtueel privénetwerk (VPN). Er worden momenteel geen VPN-conflicten geïdentificeerd. Als je conflicten ervaart, neem dan contact op met Microsoft Ondersteuning via het Microsoft 365-beheercentrum.

Alle geconfigureerde netwerkbeveiligings- en webdreigingsbeschermingsbeleid worden gehandhaafd op macOS-apparaten waar netwerkbeveiliging in blokmodus staat. Om het risico van de inzet te verminderen:

• Maak een apparaatgroep aan met een kleine groep apparaten om netwerkbeveiliging te testen.
• Evalueer hoe webdreigingsbescherming, aangepaste indicatoren, webcontentfiltering en handhavingsbeleid van Defender for Cloud Apps macOS-apparaten in blokmodus beïnvloeden.
• Rol een auditmodus- of blokmodusbeleid in naar de apparaatgroep en controleer dat het beleid de workflows niet verstoort.
• Verspreid netwerkbeveiliging geleidelijk naar grotere apparaatgroepen.

Netwerkbeveiliging configureren

Installeer de meest recente productversie via Microsoft AutoUpdate. Om Microsoft AutoUpdate te openen, voer je het volgende commando uit in Terminal:

open /Library/Application\ Support/Microsoft/MAU2.0/Microsoft\ AutoUpdate.app

Netwerkbeveiliging is standaard uitgeschakeld. Je kunt een van de volgende handhavingsniveaus configureren:

• Audit: Evalueer hoe netwerkbeveiliging line-of-business applicaties beïnvloedt en hoe vaak blokkades optreden.
• Blokkeren: Voorkom verbindingen met kwaadaardige websites.
• Uitgeschakeld: Schakel alle netwerkbeveiligingscomponenten uit.

Zet netwerkbeveiliging handmatig uit, met Jamf Pro, met Microsoft Intune, of met een .mobileconfig bestand.

Configureer netwerkbeveiliging handmatig

Om het handhavingsniveau te configureren, voer je het volgende commando uit in Terminal:

mdatp config network-protection enforcement-level --value <disabled | audit | block>

Bijvoorbeeld, het volgende commando configureert netwerkbescherming in blokmodus:

mdatp config network-protection enforcement-level --value block

Om te bevestigen dat netwerkbeveiliging succesvol is gestart, voer je het volgende commando uit in Terminal en controleer je of het terugkomt started:

mdatp health --field network_protection_status

Configureer netwerkbescherming met Jamf Pro

Jamf Pro is een apart product van derden dat geen deel uitmaakt van Defender for Endpoint en niet is inbegrepen bij Defender for Endpoint-abonnementen. Om Jamf Pro te gebruiken, heeft uw organisatie een apart Jamf Pro-abonnement nodig. Voor product- en abonnementsinformatie, zie Jamf Pro. Als uw organisatie geen Jamf Pro gebruikt, gebruik dan een andere configuratiemethode in dit artikel, indien beschikbaar.

Een Jamf Pro-implementatie vereist een configuratieprofiel dat het handhavingsniveau voor netwerkbeveiliging bepaalt.

Nadat u dit configuratieprofiel hebt gemaakt, wijst u het toe aan de apparaten waarop u netwerkbeveiliging wilt inschakelen.

Volg de Jamf-instructies om een aangepast computerconfiguratieprofiel te implementeren. Stel het voorkeursdomein in op com.microsoft.wdav, en upload de volgende eigenschapslijst om netwerkbeveiliging in blokmodus te configureren:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>networkProtection</key>
    <dict>
        <key>enforcementLevel</key>
        <string>block</string>
    </dict>
</dict>
</plist>

Configureer netwerkbeveiliging in Microsoft Intune

Microsoft Intune is het aanbevolen hulpprogramma voor het configureren en distribueren van Defender voor eindpuntfuncties naar apparaten. Intune is echter een afzonderlijk product dat geen deel uitmaakt van Defender voor Eindpunt en niet is opgenomen in alle abonnementen. Als u Intune wilt gebruiken, hebt u een abonnement nodig dat het bevat of kunt u het afzonderlijk kopen als een zelfstandig abonnement of invoegtoepassing. Als u geen Intune hebt, kunt u een van de andere methoden in dit artikel gebruiken. Zie Microsoft Intune licenties voor meer informatie.

Om netwerkbeveiliging in Microsoft Intune te configureren, maak of wijzig een instellingencatalogusbeleid. Voor gedetailleerde instructies, zie Een beleid maken met behulp van de instellingen-catalogus in Microsoft Intune.

Op de Apparaten | Configuratiepagina in het Microsoft Intune admincentrum op https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration, selecteer het tabblad Beleid, en selecteer vervolgens Aanmaken. Selecteer Nieuw beleid en gebruik deze instellingen:

• Platform: selecteer macOS.
• Profieltype: selecteer Instellingencatalogus.

Wanneer je het beleid aanmaakt of aanpast, configureer dan deze specifieke instellingen op het tabblad Configuratie-instellingen :

• Microsoft Defender>Netwerkbescherming>Handhavingsniveau: Selecteer Blokkeren.

Zet een mobiel configuratieprofiel uit

Om de configuratie met een .mobileconfig bestand te implementeren, gebruik je een niet-Microsoft mobiele apparaatbeheer (MDM)-oplossing of verspreid je het bestand direct naar apparaten:

1. Sla de volgende payload op als com.microsoft.wdav.mobileconfig.

   <?xml version="1.0" encoding="utf-8"?>
   <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
   <plist version="1">
       <dict>
           <key>PayloadUUID</key>
           <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
           <key>PayloadType</key>
           <string>Configuration</string>
           <key>PayloadOrganization</key>
           <string>Microsoft</string>
           <key>PayloadIdentifier</key>
           <string>com.microsoft.wdav</string>
           <key>PayloadDisplayName</key>
           <string>Microsoft Defender ATP settings</string>
           <key>PayloadDescription</key>
           <string>Microsoft Defender ATP configuration settings</string>
           <key>PayloadVersion</key>
           <integer>1</integer>
           <key>PayloadEnabled</key>
           <true/>
           <key>PayloadRemovalDisallowed</key>
           <true/>
           <key>PayloadScope</key>
           <string>System</string>
           <key>PayloadContent</key>
           <array>
               <dict>
                   <key>PayloadUUID</key>
                   <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                   <key>PayloadType</key>
                   <string>com.microsoft.wdav</string>
                   <key>PayloadOrganization</key>
                   <string>Microsoft</string>
                   <key>PayloadIdentifier</key>
                   <string>com.microsoft.wdav</string>
                   <key>PayloadDisplayName</key>
                   <string>Microsoft Defender ATP configuration settings</string>
                   <key>PayloadDescription</key>
                   <string/>
                   <key>PayloadVersion</key>
                   <integer>1</integer>
                   <key>PayloadEnabled</key>
                   <true/>
                   <key>networkProtection</key>
                   <dict>
                       <key>enforcementLevel</key>
                       <string>block</string>
                   </dict>
               </dict>
           </array>
       </dict>
   </plist>
   

2. Controleer of het bestand correct is gekopieerd. Voer in Terminal het volgende commando uit en controleer of het teruggeeft OK:

   plutil -lint com.microsoft.wdav.mobileconfig
   

Netwerkbeschermingsscenario's

De volgende scenario's worden ondersteund.

Webbedreigingsbeveiliging

Webdreigingsbescherming maakt deel uit van webbescherming in Defender for Endpoint. Het gebruikt netwerkbeveiliging om apparaten te beschermen tegen webdreigingen in Microsoft Edge voor macOS- en niet-Microsoft-browsers, zoals Brave, Chrome, Firefox, Opera en Safari. Het vereist geen webproxy en beschermt apparaten op locatie en buiten de organisatie. Voor browservereisten, zie Vereisten.

Beveiliging tegen webdreigingen stopt de toegang tot de volgende typen sites:

• Phishingsites.
• Malware-aanvalsvectoren.
• Misbruiksites.
• Onbetrouwbare sites of sites met een lage reputatie.
• Sites worden geblokkeerd door een aangepaste indicator.

Voor meer informatie, zie Bescherm uw organisatie tegen webdreigingen.

Aangepaste compromisindicatoren

Met overeenkomsten met compromise-indicatoren kunnen security operations-teams (SecOps) een lijst met indicatoren opstellen voor detectie of blokkering.

Indicatoren maken die de detectie, preventie en uitsluiting van entiteiten definiëren. Definieer voor elke indicator de actie, hoe lang de actie moet worden toegepast en de reikwijdte van de apparaatgroep.

Momenteel worden ondersteunde bronnen de clouddetectie-engine van Defender for Endpoint, de engine voor geautomatiseerd onderzoek en herstel en de eindpuntpreventie-engine (Microsoft Defender Antivirus).

Voor meer informatie raadpleegt u Indicatoren voor IP-adressen, URL's of domeinen maken.

Filteren van webinhoud

Webcontentfiltering maakt deel uit van webbescherming in Defender for Endpoint en Microsoft Defender voor Bedrijven. Het helpt uw organisatie om de toegang tot websites te volgen en te controleren op basis van inhoudscategorieën. Zelfs websites die niet kwaadaardig zijn, kunnen problematisch zijn vanwege compliance-eisen, bandbreedtegebruik of andere zorgen.

Stel beleidsregels in voor apparaatgroepen om specifieke categorieën te blokkeren. Het blokkeren van een categorie voorkomt dat gebruikers in die groepen toegang krijgen tot bijbehorende URL's. URL's in categorieën die niet geblokkeerd zijn, worden automatisch gecontroleerd. Gebruikers kunnen de URL's zonder onderbreking raadplegen, en je kunt de toegangsstatistieken gebruiken om je beleid te verfijnen. Gebruikers ontvangen een melding wanneer een webpagina-element een geblokkeerde bron oproept.

Webcontentfiltering ondersteunt grote webbrowsers, waaronder Brave, Chrome, Firefox, Opera en Safari. Netwerkbescherming handhaaft de blokkades.

Zie Vereisten voor meer informatie over browserondersteuning.

Zie Webinhoud filteren voor meer informatie over rapportage.

Microsoft Defender voor Cloud-apps

Microsoft Defender for Cloud Apps kan gebruikers waarschuwen wanneer ze apps openen die als Monitoring zijn getagd en apps blokkeren die als Niet-gesanctioneerd zijn getagd. Deze sectie richt zich op de waarschuwingservaring voor gemonitorde apps. Raadpleeg Gedetecteerde apps beheren met Microsoft Defender voor Eindpunt voor meer informatie over beide maatregelen.

In de Cloud App Catalog identificeer je apps die een waarschuwing moeten tonen wanneer gebruikers ze openen, en markeer je de apps als Monitored. De domeinen voor gemonitorde apps worden vervolgens gesynchroniseerd met Defender for Endpoint.

Meestal verschijnen de domeinen binnen enkele minuten op de Indicatoren-pagina in het Microsoft Defender-portaal op https://security.microsoft.com/securitysettings/endpoints/custom_ti_indicators. Op het tabblad URLs/Domeinen is de actiewaardeWaarschuwen. Binnen de handhavingsservice-level agreement (SLA) ontvangen gebruikers waarschuwingen wanneer ze proberen toegang te krijgen tot de domeinen.

Wanneer een gebruiker probeert toegang te krijgen tot een gemonitord domein, blokkeert Defender for Endpoint tijdelijk de toegangspoging en toont een waarschuwing. De melding van het besturingssysteem bevat de naam van de getroffen applicatie. Zo kan de melding Blogger.com identificeren.

De gebruiker kan de waarschuwing omzeilen of een educatieve webpagina openen.

Gebruikersomzeiling

Selecteer in de melding ' Ontblokeren' en laad vervolgens de webpagina opnieuw. De gebruiker kan de cloud-app gebruiken voor de omzeilingsduur die in Defender for Cloud Apps is geconfigureerd. Nadat de duur is verstreken, verschijnt de waarschuwing de volgende keer dat de gebruiker de app opent.

Gebruikerseducatie

Selecteer de melding om de aangepaste redirect-URL te openen die globaal is geconfigureerd in Defender for Cloud Apps.

Creëer een eindgebruikerseducatiecentrum

Gebruik de cloudbesturing in Defender for Cloud Apps om beperkingen in te stellen wanneer nodig en om gebruikers te informeren over:

• Het specifieke incident.
• Waarom het incident plaatsvond.
• De reden voor de beslissing.
• Hoe gebruikers geblokkeerde sites kunnen vermijden.

Geef gebruikers genoeg informatie om te begrijpen wat er is gebeurd en maak weloverwogen keuzes de volgende keer dat ze een cloud-app kiezen. Neem bijvoorbeeld:

• De beveiligings- en compliancebeleid van uw organisatie voor internet- en cloudgebruik.
• Goedgekeurde of aanbevolen cloudapps.
• Beperkte of geblokkeerde cloudapps.

Begrijp de timing en beperkingen van de implementatie

• Het kan tot twee uur duren voordat app-domeinen naar eindapparaten worden verspreid nadat je een app als Monitored hebt gemarkeerd.

• Tenzij je een scoped profiel toepast, geldt deze actie voor alle apps en domeinen die als Gemonitord zijn gemarkeerd voor alle onboarded endpoints in de organisatie.

• Volledige URL's worden momenteel niet ondersteund en worden niet verzonden van Defender for Cloud Apps naar Defender for Endpoint. Als gemonitorde apps volledige URL's bevatten, worden gebruikers niet gewaarschuwd wanneer ze proberen toegang te krijgen tot de sites. Bijvoorbeeld, google.com/drive wordt niet ondersteund, maar drive.google.com wel ondersteund.

• Schakel bij het testen Encrypted Client Hello en QUIC uit zodat sites correct worden geblokkeerd. Voor browserconfiguratie-instructies, zie Browserconfiguratievereisten.

Verwante onderwerpen

• Microsoft Defender voor Eindpunt op macOS
• Microsoft Defender voor Eindpunt integreren met Microsoft Defender for Cloud Apps
• Maak kennis met de innovatieve functies in Microsoft Edge
• Beveilig uw netwerk
• Netwerkbeveiliging inschakelen
• Webbeveiliging
• Indicatoren maken
• Filteren van webinhoud