Antivirusbeleid voor eindpuntbeveiliging in Microsoft Intune

Beveiliging van het Intune-eindpunt Antivirusbeleid helpt beveiligingsbeheerders zich te concentreren op het beheren van de afzonderlijke groep antivirusinstellingen voor beheerde apparaten.

Het antivirusbeleid omvat verschillende profielen. Elk profiel bevat alleen de instellingen die relevant zijn voor Microsoft Defender voor Eindpunt antivirus voor macOS en Windows-apparaten, of voor de gebruikerservaring in de app Windows-beveiliging op Windows-apparaten.

Zoek het antivirusbeleid onder Beheren in het knooppunt Eindpuntbeveiliging van het Microsoft Intune-beheercentrum.

Antivirusbeleid bevat dezelfde instellingen als gevonden sjablonen voor eindpuntbeveiliging of apparaatbeperking voor apparaatconfiguratiebeleid . Tot deze beleidstypen behoren echter andere categorieën instellingen die geen verband houden met Antivirus. De extra instellingen kunnen de taak van het configureren van de antivirusbelasting bemoeilijken. Bovendien zijn de instellingen in het antivirusbeleid voor macOS niet beschikbaar via de andere beleidstypen. Het macOS Antivirus-profiel vervangt de noodzaak om de instellingen te configureren met behulp van .plist bestanden.

Van toepassing op:

• Linux
• macOS
• Windows
• Windows Server (via het scenario voor het beheer van instellingen van Microsoft Defender voor Eindpunt-beveiliging)

Vereisten voor antivirusbeleid

Ondersteuning voor apparaten die zijn ingeschreven voor Intune (MDM):

• macOS

  • Elke ondersteunde versie van macOS
  • Als u wilt dat Intune antivirusinstellingen op een apparaat beheert, moet Defender voor Eindpunt op dat apparaat zijn geïnstalleerd. Zie Microsoft Defender voor Eindpunt voor macOS (in de documentatie van Defender voor Eindpunt).

• Windows

  • Er zijn geen aanvullende vereisten vereist.

Ondersteuning voor clients van Microsoft Configuration Manager:

Dit scenario is nog in preview en vereist het gebruik van de huidige vertakkingsversie 2006 of hoger van Configuration Manager.

• Tenantkoppeling instellen voor Configuration Manager-apparaten: tenantkoppeling configureren ter ondersteuning van de implementatie van antivirusbeleid op apparaten die worden beheerd door Configuration Manager. Het instellen van tenantkoppeling omvat het configureren van Configuration Manager-apparaatverzamelingen ter ondersteuning van het beveiligingsbeleid voor eindpunten van Intune.

  Zie Tenantkoppeling configureren ter ondersteuning van eindpuntbeveiligingsbeleid als u tenantkoppeling wilt instellen.

Ondersteuning voor Defender voor Eindpunt-clients:

• Defender for Endpoint security settings management - Zie Beheer van Microsoft Defender voor Eindpunt op apparaten met Microsoft Intune om ondersteuning te configureren voor het implementeren van antivirusbeleid op apparaten die worden beheerd door Defender for Endpoint, maar niet zijn geregistreerd bij Intune. Dit artikel bevat ook informatie over platforms die door deze mogelijkheid worden ondersteund, en het beleid en de profielen die door deze platforms worden ondersteund.

Op rollen gebaseerd toegangsbeheer (RBAC)

Zie Toegangsbeheer op basis van rollen voor eindpuntbeveiliging voor hulp bij het toewijzen van het juiste niveau van machtigingen en rechten voor het beheren van het Intune-antivirusbeleid.

Vereisten voor manipulatiebeveiliging

Intune ondersteunt het beheer van manipulatiebeveiliging op apparaten met een van de volgende besturingssystemen:

• macOS (elke ondersteunde versie)
• Windows 10 en 11 (inclusief Enterprise multi-sessie)
• Windows Server 2016 en hoger
• Windows Server versie 1803 of hoger
• Windows Server 2012 R2 (met de moderne, geïntegreerde oplossing)

Defender voor Eindpunt ondersteunt manipulatiebeveiliging op andere platforms dan die beheerd kunnen worden via het beleid van Intune. Zie Vereisten voor manipulatiebeveiliging voor de volledige lijst.

Zie Wat is manipulatiebeveiliging? in de Defender for Endpoint-documentatie.

U kunt Intune gebruiken om de manipulatiebeveiliging op Windows-apparaten te beheren als onderdeel van Windows-beveiliging Experience-profiel (een antivirusbeleid). Dit omvat zowel apparaten die u met Intune beheert, als apparaten die u met Configuration Manager beheert via het tenantbijlagescenario. Manipulatiebeveiliging is nu ook beschikbaar voor Azure virtuele bureaublad.

Intune beheerde apparaten

Vereisten voor het ondersteunen van manipulatiebeveiliging voor apparaten die worden beheerd door Intune:

• Uw omgeving moet voldoen aan de vereisten voor het beheer van de manipulatiebeveiliging in Intune
• Apparaten worden toegevoegd aan Microsoft Defender voor Eindpunt (P1 of P2)

Profielen voor antivirusbeleid dat manipulatiebeveiliging ondersteunt voor apparaten die worden beheerd door Microsoft Intune:

• Platform: Windows

  • Profiel: ervaring met Windows-beveiliging

  Opmerking

  Op 5 april 2022 is het platform van Windows 10 en hoger vervangen door het Windows-platform.

  Het Windows-platform ondersteunt apparaten die communiceren met Intune via Microsoft Intune of Microsoft Defender voor Eindpunt. Deze profielen voegen ook ondersteuning toe voor het Windows Server-platform, dat niet native wordt ondersteund via Microsoft Intune.

  Profielen voor dit nieuwe platform gebruiken de instellingenindeling zoals te vinden in de Instellingencatalogus. Elke nieuwe profielsjabloon voor dit nieuwe platform bevat dezelfde instellingen als de oudere profielsjabloon die erdoor wordt vervangen. Door deze wijziging kunt u geen nieuwe versies van de oude profielen meer maken. Uw bestaande exemplaren van het oude profiel blijven beschikbaar voor gebruik en bewerking.

U kunt ook het eindpuntbeveiligingsprofiel voor apparaatconfiguratiebeleid gebruiken om manipulatiebeveiliging te configureren voor apparaten die worden beheerd door Intune.

Configuration Manager-clients die worden beheerd via het tenantkoppelingsscenario

Vereisten voor het beheer van manipulatiebeveiliging met deze profielen:

• Uw omgeving moet voldoen aan de vereisten voor het beheren van manipulatiebeveiliging in Intune, zoals wordt beschreven in de Defender for Endpoint-documentatie.
• U moet de Current Branch 2006 of hoger van Configuration Manager gebruiken.
• U moet tenantkoppeling configureren om beleid voor eindpuntbeveiliging te ondersteunen. Dit omvat het configureren van Configuration Manager-apparaatverzamelingen voor synchronisatie met Intune.
• Apparaten worden toegevoegd aan Microsoft Defender voor Eindpunt (P1 of P2)

Profielen voor antivirusbeleid dat manipulatiebeveiliging ondersteunt voor apparaten die worden beheerd door Configuration Manager:

• Platform: Windows (ConfigMgr)
  • Profiel: ervaring met Windows-beveiliging (preview)

Beheerde configuratie voor instellingen voor Microsoft Defender (preview)

Gecontroleerde configuratie breidt de bescherming tegen manipulatie uit door Microsoft Intune de enige gezaghebbende bron te maken voor Microsoft Defender-beveiligingsinstellingen op een apparaat. Terwijl manipulatiebeveiliging bepaalde beveiligingsinstellingen vergrendelt op hun veilige standaardwaarden, gaat de beheerde configuratie verder door alle toepasselijke instellingen te vergrendelen op de waarden die zijn geconfigureerd in Intune. Niet-geconfigureerde instellingen vallen terug op de standaardwaarden van het beveiligde platform.

Organisaties die Microsoft Defender voor Eindpunt implementeren, kunnen te maken krijgen met onbepaalde apparaatstatussen wanneer meerdere beheerkanalen, waaronder groepsbeleid, Configuration Manager, hulpprogramma's van derden en lokale beheerderscripts, instellingen in de cloud overschrijven. Deze conflicten maken Defender-configuraties onvoorspelbaar en moeilijk op te lossen.

Gecontroleerde configuratie zorgt voor een duidelijke prioriteit van autoriteit. Wanneer beheerde configuratie is ingeschakeld op een apparaat, hebben de instellingen die worden geleverd door Intune of Microsoft Defender voor Eindpunt het beheer van beveiligingsinstellingen exclusieve voorrang. Instellingen van alle andere kanalen, waaronder groepsbeleid, Configuration Manager en lokale wijzigingen, worden overschreven. Andere kanalen kunnen nog steeds instellingen leveren, maar de door Intune geconfigureerde waarden hebben altijd prioriteit.

Deze mogelijkheid is handig in twee veelvoorkomende scenario's:

• Proof-of-concept-implementaties: organisaties kunnen hun Defender-configuratie snel implementeren en valideren zonder eerst verouderde GPO- of hulpprogrammaconflicten van derden te hoeven identificeren en herstellen.
• Steady-state management - beheerders kunnen deterministische, controleerbare Defender-configuraties onderhouden zonder dat ze elk ander beheerkanaal hoeven te bewaken of te bewaken.

Gecontroleerde configuratie inschakelen

Beheerde configuratie is beschikbaar als een speciale instelling in het ervaringsprofiel voor Windows-beveiliging voor antivirusbeleid. Onder de sectie Defender ondersteunt de instelling Gecontroleerde configuratie (apparaat) de volgende waarden:

Als u gecontroleerde configuratie wilt inschakelen, maakt of bewerkt u een antivirusbeleid dat gebruikmaakt van het ervaringsprofiel voor Windows-beveiliging. Stel Gecontroleerde configuratie (apparaat) in op Gecontroleerde configuratie (aan) en implementeer vervolgens het beleid op de apparaten die u wilt beveiligen.

• CSP:Defender CSP > Configuration/TamperProtection

Bereik en beperkingen

Tijdens de preview worden met gecontroleerde configuratie instellingen afgedwongen die zijn geconfigureerd via de volgende sjablonen voor eindpuntbeveiligingsbeleid:

• Antivirus
• Kwetsbaarheid voor aanvallen verminderen (ASR)

Wanneer een apparaat zich in de gecontroleerde configuratiestatus bevindt, zijn de Defender-instellingen die via deze sjablonen worden geleverd gezaghebbend. Instellingen voor dezelfde Defender-onderdelen die via andere kanalen worden geleverd, worden overschreven.

Instellingen die niet expliciet zijn geconfigureerd in een gecontroleerde configuratie, worden teruggezet naar hun standaardwaarden. Lokale gebruikers kunnen deze instellingen nog steeds wijzigen omdat met gecontroleerde configuratie alleen de instellingen worden vergrendeld die door het beleid zijn gedefinieerd.

Gecontroleerde configuratie is niet van toepassing op:

• Eindpuntdetectie en -respons (EDR)
• Firewall-instellingen
• Beleid dat is opgesteld buiten de Endpoint Security-ervaring, zoals beleid voor de catalogus met instellingen
• Typen eindpuntbeveiligingsbeleid die niet worden gebruikt door Defender-onderdelen, zoals Accountbeveiliging

Rapportage met gecontroleerde configuratie

Wanneer een apparaat de gecontroleerde configuratiestatus heeft, wordt het rapportagegedrag voor dat apparaat gewijzigd:

• Voor beleid dat is geconfigureerd via een sjabloon die gecontroleerde configuratie ondersteunt (antivirus, ASR), weerspiegelen statusrapporten per instelling de afgedwongen configuratie zoals verwacht.
• Voor niet-beheerde configuratiebeleidsregels, zoals Instellingencatalogusbeleid, die instellingen bevatten die overlappen met een gecontroleerd configuratiebeleid, rapporteren de overlappende instellingen als Niet van toepassing op dat apparaat. Het beleid voor beheerde configuratie heeft prioriteit voor deze instellingen, ongeacht de geconfigureerde waarde in het andere beleid.
• In de rapporten Beschadigde eindpunten (Endpoint Security>, Antivirus>,Firewall, Unable endpoints) en Antivirus agent status (Reports>,Antivirus>,Agent status), wordt de kolom Manipulatiebeveiliging hernoemd naar Gecontroleerde configuratie. De waarden geven aan of gecontroleerde configuratie is in- of uitgeschakeld voor apparaten die zijn ingeschreven voor MDM. Apparaten die zijn ingeschreven bij Defender worden niet opgenomen in deze rapporten.
• Als een apparaat conflicterend Intune-beleid ontvangt, bijvoorbeeld een apparaat waarmee gecontroleerde configuratie wordt ingeschakeld en een apparaat dat manipulatiebeveiliging in- of uitschakelt, heeft het gecontroleerde configuratiebeleid voorrang.

Zie Beveiligingsinstellingen beveiligen met manipulatiebeveiliging voor meer informatie over manipulatiebeveiliging en hoe beheerde configuratie deze uitbreidt.

Antivirusprofielen

Zie Beveiligingsbeleid voor eindpunten maken voor richtlijnen voor het maken van beveiligingsprofielen.

Apparaten die worden beheerd door Microsoft Intune

De volgende profielen worden ondersteund voor apparaten die u met Intune beheert:

Linux

• Platform: Linux

  • Profiel: Microsoft Defender Antivirus - Antivirusinstellingen beheren op Linux-apparaten.
  • Profiel: uitsluitingen van Microsoft Defender Antivirus - Instellingen voor Microsoft Defender Antivirus beheren waarmee antivirusuitsluitingen voor paden, uitbreidingen en processen worden gedefinieerd.

  Antivirusuitsluitingen worden ook beheerd door het Microsoft Defender Antivirus-beleid, dat identieke instellingen voor uitsluitingen bevat, en door andere beleidsregels, zoals het eindpuntdetectie- en responsprofiel van Intune voor Microsoft Defender Global Exclusions (AV+EDR) voor Linux, dat zowel EDR- als antivirusuitsluitingen omvat. Instellingen uit meerdere bronnen kunnen worden samengevoegd en een superset uitsluitingen maken voor toepasselijke apparaten en gebruikers.

  Belangrijk

  Het profiel voor globale uitsluitingen van Microsoft Defender (AV+EDR) wordt alleen ondersteund voor Linux-apparaten die worden beheerd door Defender via het beheerscenario voor beveiligingsinstellingen van Microsoft Defender voor Eindpunt.

  Zie Uitsluitingen voor Microsoft Defender voor Eindpunt configureren en valideren voor Linux in de documentatie van Microsoft Defender voor meer informatie over uitsluitingen voor Linux.

macOS

• Platform: macOS

  • Profiel: Antivirus - Beheer de instellingen voor het antivirusbeleid voor macOS.

    Wanneer u Microsoft Defender voor Eindpunt voor Mac gebruikt, kunt u antivirusinstellingen configureren en implementeren op uw beheerde macOS-apparaten via Intune in plaats van die instellingen te configureren met behulp van .plist bestanden.

Windows

• Platform: Windows
  Profielen voor dit platform kunnen worden gebruikt met apparaten die zijn geregistreerd bij Intune en apparaten die worden beheerd via beveiligingsbeheer voor Microsoft Defender voor Eindpunt.

  Opmerking

  Op 5 april 2022 is het platform van Windows 10 en hoger vervangen door het Windows-platform.

  Het Windows-platform ondersteunt apparaten die communiceren met Intune via Microsoft Intune of Microsoft Defender voor Eindpunt. Deze profielen voegen ook ondersteuning toe voor het Windows Server-platform, dat niet native wordt ondersteund via Microsoft Intune.

  Profielen voor dit nieuwe platform gebruiken de instellingenindeling zoals te vinden in de Instellingencatalogus. Elke nieuwe profielsjabloon voor dit nieuwe platform bevat dezelfde instellingen als de oudere profielsjabloon die erdoor wordt vervangen. Door deze wijziging kunt u geen nieuwe versies van de oude profielen meer maken. Uw bestaande exemplaren van het oude profiel blijven beschikbaar voor gebruik en bewerking.

  • Profiel: Microsoft Defender Antivirus - Beheer de instellingen van het antivirusbeleid voor Windows-apparaten.

    Defender Antivirus is het beveiligingsonderdeel van de volgende generatie van Microsoft Defender voor Eindpunt. Beveiliging van de volgende generatie brengt technologieën zoals machine learning en cloudinfrastructuur samen om apparaten in uw bedrijfsorganisatie te beschermen.

    Het Microsoft Defender Antivirus-profiel is een afzonderlijke instantie van de antivirusinstellingen die te vinden zijn in het profiel Apparaatbeperking voor het beleid Apparaatconfiguratie.

    In tegenstelling tot de antivirusinstellingen in een profiel voor apparaatbeperking kunt u deze instellingen gebruiken met apparaten die samen worden beheerd. Als u deze instellingen wilt gebruiken, moet de schuifregelaar voor de werkbelasting voor gezamenlijk beheer voor Endpoint Protection zijn ingesteld op Intune.

  • Profiel: uitsluitingen - van Microsoft Defender AntivirusBeleidsinstellingen beheren voor alleen antivirusuitsluiting.

    Met dit beleid kunt u instellingen beheren voor de volgende Microsoft Defender Antivirus Configuration Service Providers (CSP's) die antivirusuitsluitingen definiëren:

    • Defender/ExcludedPaths
    • Defender/ExcludedExtensions
    • Defender/ExcludedProcesses

    Deze CSP's voor antivirusuitsluiting worden ook beheerd door het Microsoft Defender Antivirus-beleid, dat identieke instellingen voor uitsluitingen bevat. Instellingen van beide beleidstypen (antivirus - en antivirusuitsluitingen) worden onderworpen aan beleidssamenvoeging en maken een superset uitsluitingen voor toepasselijke apparaten en gebruikers.

    Waarschuwing

    Het definiëren van uitsluitingen verlaagt de bescherming die wordt geboden door Microsoft Defender Antivirus. Evalueer altijd de risico's die gepaard gaan met het implementeren van uitsluitingen. Sluit alleen bestanden uit waarvan u weet dat ze niet schadelijk zijn.

    Zie Overzicht van uitsluitingen in de documentatie van Microsoft Defender voor meer informatie.

  • Profiel: ervaring met Windows-beveiliging - de instellingen van de app voor Windows-beveiliging beheren die eindgebruikers kunnen bekijken in het Microsoft Defender-beveiligingscentrum en de meldingen die ze ontvangen.

    De Windows-beveiligingsapp wordt door veel Windows-beveiligingsfuncties gebruikt om meldingen te geven over de status en beveiliging van de machine. Meldingen van beveiligingsapps zijn firewalls, antivirusproducten, Windows Defender SmartScreen en andere.

  • Profiel: Defender Update-besturingselementen - Update-instellingen voor Microsoft Defender beheren, inclusief de volgende instellingen die rechtstreeks van de Defender CSP worden overgenomen:

    • Motor Updates Channel
    • Platform Updates Channel
    • Security Intelligence Updates Channel

Apparaten beheerd door Configuration Manager

Antivirus

Beheer antivirusinstellingen voor Configuration Manager-apparaten wanneer u tenant attach gebruikt.

Beleidspad:

• Eindpuntbeveiliging > Antivirus > Windows (ConfigMgr)

Profielen:

• Microsoft Defender Antivirus (preview)
• Ervaring met Windows-beveiliging (preview)

Vereiste versie van Configuration Manager:

• Huidige vertakking van Configuration Manager, versie 2006 of hoger

Ondersteunde Configuration Manager-apparaatplatforms:

• Windows 8.1 (x86, x64), vanaf Configuration Manager versie 2010
• Windows
• Windows Server 2012 R2 (x64), vanaf Configuration Manager versie 2010
• Windows Server 2016 en hoger (x64)

Beleid samenvoegen voor instellingen

Sommige instellingen van het antivirusbeleid ondersteunen het samenvoegen van beleid. Met het samenvoegen van beleid kunt u conflicten voorkomen wanneer meerdere beleidsregels van toepassing zijn op dezelfde apparaten en dezelfde instelling wordt geconfigureerd. Intune evalueert de instellingen die door het samenvoegen van beleid worden ondersteund voor elke gebruiker of elk apparaat, zoals overgenomen uit alle toepasselijke beleidsregels. Deze instellingen worden vervolgens samengevoegd tot één superset van beleid.

U maakt bijvoorbeeld drie afzonderlijke antivirusbeleidsregels waarmee verschillende uitzonderingen voor antivirusbestandspaden worden gedefinieerd. Uiteindelijk worden alle drie de beleidsregels toegewezen aan dezelfde gebruiker. Omdat de Microsoft Defender-CSP voor het uitsluiten van bestandspaden het samenvoegen van beleid ondersteunt, evalueert en combineert Intune de bestandsuitsluitingen uit alle toepasselijke beleidsregels voor de gebruiker. De uitsluitingen worden toegevoegd aan een superset en de enkele lijst met uitzonderingen wordt verzonden naar het apparaat van de gebruiker.

Wanneer het samenvoegen van beleid voor een instelling niet wordt ondersteund, kan er een conflict optreden. Conflicten kunnen ertoe leiden dat de gebruiker of het apparaat geen beleid ontvangt voor de instelling. Beleidssamenvoeging biedt bijvoorbeeld geen ondersteuning voor de CSP om de installatie van overeenkomende apparaat-id's (PreventInstallationOfMatchingDeviceID's) te voorkomen. Configuraties voor deze CSP worden niet samengevoegd en worden afzonderlijk verwerkt.

Wanneer beleidsconflicten afzonderlijk worden verwerkt, worden ze als volgt opgelost:

1. Het best beveiligde beleid is van toepassing.
2. Als twee beleidsregels even veilig zijn, is het beleid laatst gewijzigd van toepassing.
3. Als het conflict niet kan worden opgelost met het laatst gewijzigde beleid, wordt er geen beleid aan het apparaat geleverd.

Instellingen en CSP's die ondersteuning bieden voor het samenvoegen van beleid

De volgende instellingen ondersteunen beleidssamenvoeging:

• Uitgesloten processen - CSP: Defender/ExcludedProcesses
• Uitgesloten extensies - CSP: Defender/ExcludedExtensions
• Uitgesloten paden - CSP: Defender/ExcludedPaths

Rapporten over antivirusbeleid

Antivirusbeleidsrapporten geven statusgegevens weer over uw eindpuntbeveiliging, antivirusbeleid en apparaatstatus. Deze rapporten zijn beschikbaar in het knooppunt Eindpuntbeveiliging van het Microsoft Intune-beheercentrum.

Als u de rapporten wilt weergeven, gaat u in het Microsoft Intune-beheercentrum naar Eindpuntbeveiliging en selecteert u Antivirus. Als u Antivirus selecteert, wordt de pagina Overzicht geopend. Aanvullende rapport- en statusweergaven zijn beschikbaar als extra pagina's.

Naast de rapporten die in de volgende secties worden beschreven, zijn aanvullende rapporten voor Microsoft Defender Antivirus te vinden in het knooppunt Rapporten van het Microsoft Intune-beheercentrum, zoals wordt beschreven in het artikel over Intune-rapporten:

• Statusrapport antivirusagent (organisatie)
• Rapport Gedetecteerde malware (organisatie)

Samenvatting

Op de pagina Overzicht kunt u nieuw beleid maken en een lijst bekijken met het beleid dat eerder is gemaakt. De lijst bevat uitgebreide informatie over het profiel dat in het beleid is opgenomen (beleidstype) en of het beleid is toegewezen.

Wanneer u een beleid in de lijst selecteert, wordt de overzichtspagina voor dat beleidsexemplaar geopend met meer informatie. Na het selecteren van een tegel in deze weergave, geeft Intune aanvullende details voor dat profiel weer, indien beschikbaar.

Niet-goede eindpunten

Op de pagina Beschadigde eindpunten kunt u informatie bekijken over de antivirusstatus van uw Windows-apparaten met MDM-beheer. Deze informatie wordt geretourneerd door Windows Defender Antivirus dat op het apparaat wordt uitgevoerd, als de status van bedreigingsagent. Selecteer op deze pagina Kolommen om de volledige lijst met gegevens weer te geven die beschikbaar zijn in het rapport.

Alleen apparaten met gedetecteerde problemen worden in deze weergave weergegeven. In deze weergave worden geen details weergegeven voor apparaten die zijn geïdentificeerd als schoon.

De informatie voor dit rapport is gebaseerd op de gegevens van de volgende CSP's, die zijn gedocumenteerd in de documentatie voor Windows-clientbeheer:

• Defender CSP
• CSP van WindowsAdvancedThreatProtection.

Volgende stappen

Beveiligingsbeleid voor eindpunten configureren

Bekijk details voor de Windows-instellingen in de afgeschafte profielen voor het afgeschafte platform van Windows 10 en hoger:

• Instellingen voor antivirusbeleid
• Uitsluitingen van antivirussoftware
• Windows-beveiliging app-instellingen