Windows-instellingen die u kunt beheren via een Intune Endpoint Protection-profiel

Opmerking

Intune ondersteunt mogelijk meer instellingen dan de instellingen die in dit artikel worden vermeld. Niet alle instellingen zijn gedocumenteerd en worden ook niet gedocumenteerd. Als u wilt zien welke instellingen u kunt configureren, maakt u een apparaatconfiguratiebeleid en selecteert u Instellingencatalogus. Ga voor meer informatie naar de instellingencatalogus.

Microsoft Intune bevat veel instellingen om uw apparaten te beveiligen. In dit artikel worden de instellingen beschreven in de sjabloon Endpoint Protection voor apparaatconfiguratie. Voor het beheren van apparaatbeveiliging kunt u ook beveiligingsbeleid voor eindpunten gebruiken, dat rechtstreeks is gericht op subsets van apparaatbeveiliging. Als u Microsoft Defender Antivirus wilt configureren, raadpleegt u Windows-apparaatbeperkingen of gebruikt u antivirusbeleid voor eindpuntbeveiliging.

Voordat u begint

Maak een configuratieprofiel voor het eindpuntbeveiligingsapparaat.

Zie Naslaginformatie over Configuration Service Providers (CSP's) voor meer informatie over Configuration Service Providers (CSP's).

Microsoft Defender Application Guard

Voor Microsoft Edge beveiligt Microsoft Defender Application Guard uw omgeving tegen sites die niet worden vertrouwd door uw organisatie. Met Application Guard worden sites die zich niet in de geïsoleerde netwerkgrens bevinden, geopend in een virtuele Hyper-V-browsersessie. Vertrouwde websites worden gedefinieerd door een netwerkgrens, die wordt geconfigureerd in Apparaatconfiguratie. Zie Een netwerkgrens maken op Windows-apparaten voor meer informatie.

Application Guard is alleen beschikbaar voor 64-bits Windows-apparaten. Met dit profiel installeert u een Win32-onderdeel om Application Guard te activeren.

  • Application Guard
    Standaard: niet geconfigureerd
    CSP van Application Guard: Settings/AllowWindowsDefenderApplicationGuard

    • Ingeschakeld voor Edge - Hiermee wordt deze functie ingeschakeld, waarmee niet-vertrouwde sites worden geopend in een gevirtualiseerde Hyper-V-browsercontainer.
    • Niet geconfigureerd - Elke site (vertrouwd en niet-vertrouwd) kan op het apparaat worden geopend.

  • Klembordgedrag
    Standaard: niet geconfigureerd
    Application Guard CSP: Instellingen/Klembordinstellingen

    Kies welke kopieer- en plakacties zijn toegestaan tussen de lokale pc en de virtuele Application Guard-browser.

    • Niet geconfigureerd
    • Kopiëren en plakken van pc naar browser alleen toestaan
    • Kopiëren en plakken van browser naar pc alleen toestaan
    • Kopiëren en plakken tussen pc en browser toestaan
    • Kopiëren en plakken tussen pc en browser blokkeren

  • Klembordinhoud
    Deze instelling is alleen beschikbaar wanneer klembordgedrag is ingesteld op een van de toegestane instellingen. Standaard: niet geconfigureerd
    CSP van Application Guard: Settings/ClipboardFileType

    Selecteer het toegestane klembord.

    • Niet geconfigureerd
    • Tekst
    • Afbeeldingen
    • Tekst en afbeeldingen

  • Externe inhoud op ondernemingssites
    Standaard: niet geconfigureerd
    Application Guard CSP: Instellingen/BlockNonEnterpriseContent

    • Blokkeren : inhoud van niet-goedgekeurde websites blokkeren zodat deze niet kunnen worden geladen.
    • Niet geconfigureerd - niet-ondernemingssites kunnen op het apparaat worden geopend.

  • Afdrukken vanuit virtuele browser
    Standaard: niet geconfigureerd
    Application Guard CSP: Instellingen/Afdrukinstellingen

    • Toestaan - Hiermee kunt u geselecteerde inhoud afdrukken vanuit de virtuele browser.
    • Niet geconfigureerd Alle afdrukfuncties uitschakelen.

    Wanneer u afdrukken toestaat , kunt u vervolgens de volgende instelling configureren:

    • Afdruktype(n)
      Selecteer een of meer van de volgende opties:
      • PDF
      • XPS
      • Lokale printers
      • Netwerkprinters

  • Logboeken verzamelen
    Standaard: niet geconfigureerd
    CSP van Application Guard: Audit/AuditApplicationGuard

    • Toestaan - Verzamel logboeken voor gebeurtenissen die plaatsvinden in een Application Guard-browsersessie.
    • Niet geconfigureerd - Verzamel geen logboeken tijdens de browsersessie.

  • Door gebruikers gegenereerde browsergegevens behouden
    Standaard: niet geconfigureerd
    CSP van Application Guard: Settings/AllowPersistence

    • Toestaan Gebruikersgegevens opslaan (zoals wachtwoorden, favorieten en cookies) die zijn gemaakt tijdens een virtuele Application Guard-browsersessie.
    • Niet geconfigureerd Verwijder door de gebruiker gedownloade bestanden en gegevens wanneer het apparaat opnieuw wordt opgestart of wanneer een gebruiker zich afmeldt.

  • Grafische versnellingStandaard: Niet geconfigureerd
    Application Guard CSP: Settings/AllowVirtualGPU

    • Inschakelen - Grafisch intensieve websites en video's sneller laden door toegang te krijgen tot een virtuele grafische verwerkingseenheid.
    • Niet geconfigureerd Gebruik de CPU van het apparaat voor afbeeldingen; Gebruik de virtuele grafische verwerkingseenheid niet.

  • Download bestanden naar het bestandssysteem van de host
    Standaard: niet geconfigureerd
    Application Guard CSP: Settings/SaveFilesToHost

    • Inschakelen : gebruikers kunnen bestanden van de gevirtualiseerde browser downloaden naar het hostbesturingssysteem.
    • Niet geconfigureerd: de bestanden blijven lokaal op het apparaat staan en er worden geen bestanden gedownload naar het bestandssysteem van de host.

Windows Firewall

Algemene instellingen

Deze instellingen zijn van toepassing op alle netwerktypen.

  • File Transfer Protocol
    Standaard: niet geconfigureerd
    Firewall CSP: MdmStore/Global/DisableStatefulFtp

    • Block - Schakel stateful FTP uit.
    • Niet geconfigureerd - De firewall voert stateful FTP-filtering uit om secundaire verbindingen toe te staan.

  • Inactieve tijd van beveiligingskoppeling vóór verwijdering
    Standaard: niet geconfigureerd
    Firewall CSP: MdmStore/Global/SaIdleTime

    Geef een niet-actieve tijd in seconden op, waarna beveiligingskoppelingen worden verwijderd.

  • Vooraf gedeelde sleutelcodering
    Standaard: niet geconfigureerd
    Firewall CSP: MdmStore/Global/PresharedKeyEncoding

    • Inschakelen - Codeer presheared toetsen met UTF-8.
    • Niet geconfigureerd - Codeer presheared sleutels met behulp van de lokale winkelwaarde.

  • IPsec-vrijstellingen
    Standaard: 0 geselecteerd
    Firewall CSP: MdmStore/Global/IPsecExempt

    Selecteer een of meer van de volgende verkeerstypen die moeten worden vrijgesteld van IPsec:

    • Buurman ontdekt IPv6 ICMP-typecodes
    • ICMP
    • Router detecteert IPv6 ICMP-typecodes
    • Zowel IPv4- als IPv6 DHCP-netwerkverkeer

  • Verificatie van certificaatintrekkingslijst
    Standaard: niet geconfigureerd
    Firewall CSP: MdmStore/Global/CRLcheck

    Kies hoe het apparaat de certificaatintrekkingslijst verifieert. De opties omvatten:

    • CRL-verificatie uitschakelen
    • CRL-verificatie mislukt bij ingetrokken certificaat.
    • De CRL-verificatie mislukt voor elke fout die is opgetreden.

  • Opportunistisch overeenkomen met verificatiesets per sleutelmodule
    Standaard: niet geconfigureerd
    Firewall CSP: MdmStore/Global/OpportunisticallyMatchAuthSetPerKM

    • Inschakelen Keying-modules mogen alleen de verificatiesuites negeren die ze niet ondersteunen.
    • Niet geconfigureerd, moeten Keying-modules de volledige authenticatieset negeren als ze niet alle authenticatiesuites ondersteunen die in de set zijn gespecificeerd.

  • Pakketwachtrij
    Standaard: niet geconfigureerd
    Firewall-CSP: MdmStore/Global/EnablePacketQueue

    Geef op hoe softwarematige schaalaanpassing aan de ontvangstzijde is ingeschakeld voor de versleutelde ontvangst en duidelijke tekst voor het scenario IPsec-tunnelgateway. Met deze instelling wordt bevestigd dat de pakketvolgorde behouden blijft. De opties omvatten:

    • Niet geconfigureerd
    • Alle pakketwachtrijen uitschakelen
    • Alleen inkomende versleutelde pakketten in wachtrij plaatsen
    • Pakketten in de wachtrij plaatsen nadat ontsleuteling is uitgevoerd voor alleen doorsturen
    • Binnenkomende en uitgaande pakketten configureren

Netwerkinstellingen

De volgende instellingen worden in dit artikel afzonderlijk beschreven, maar zijn allemaal van toepassing op de drie specifieke netwerktypen:

  • Domeinnetwerk (werkplek)
  • Privénetwerk (detecteerbaar)
  • Openbaar (niet-detecteerbaar) netwerk

Algemeen

  • Windows Firewall
    Standaard: niet geconfigureerd
    Firewall-CSP: EnableFirewall

    • Inschakelen : schakel de firewall en geavanceerde beveiliging in.
    • Niet geconfigureerd Staat al het netwerkverkeer toe, ongeacht eventuele andere beleidsinstellingen.

  • Stealth-modus
    Standaard: niet geconfigureerd
    Firewall-CSP: DisableStealthMode

    • Niet geconfigureerd
    • Block - De firewall wordt geblokkeerd zodat deze niet in stealth-modus werkt. Door de stealth-modus te blokkeren kunt u ook IPsec beveiligde pakketvrijstelling blokkeren.
    • Toestaan - De firewall werkt in de stealth-modus, waardoor er niet op testaanvragen kan worden gereageerd.

  • IPsec secured packet exemption with Stealth Mode
    Standaard: niet geconfigureerd
    Firewall-CSP: DisableStealthModeIpsecSecuredPacketExemption

    Deze optie wordt genegeerd als de stealth-modus is ingesteld op Blokkeren.

    • Niet geconfigureerd
    • Block - Voor IPSec-beveiligde pakketten gelden geen vrijstellingen.
    • Toestaan - Vrijstellingen inschakelen. De stealth-modus van de firewall MAG NIET voorkomen dat de hostcomputer reageert op ongevraagd netwerkverkeer dat wordt beveiligd door IPsec.

  • Afgeschermd
    Standaard: niet geconfigureerd
    Firewall-CSP: afgeschermd

    • Niet geconfigureerd
    • Blokkeren - Wanneer Windows Firewall is ingeschakeld en deze instelling is ingesteld op Blokkeren, wordt al het inkomende verkeer geblokkeerd, ongeacht andere beleidsinstellingen.
    • Toestaan - wanneer deze instelling is ingesteld op Toestaan, is uitgeschakeld en binnenkomend verkeer is toegestaan op basis van andere beleidsinstellingen.

  • Unicast-antwoorden op multicast-uitzendingen
    Standaard: niet geconfigureerd
    Firewall CSP: DisableUnicastResponsesToMulticastBroadcast

    Meestal wilt u geen unicast-antwoorden ontvangen op multicast- of broadcast-berichten. Deze reacties kunnen duiden op een denial of service (DOS)-aanval, of een aanvaller die probeert een bekende live computer te onderzoeken.

    • Niet geconfigureerd
    • Block - Schakel unicast-antwoorden op multicast-uitzendingen uit.
    • Toestaan - Unicast-antwoorden op multicast-uitzendingen toestaan.

  • Meldingen voor binnenkomende e-mail
    Standaard: niet geconfigureerd
    Firewall CSP: DisableInboundNotifications

    • Niet geconfigureerd
    • Blokkeren - Verberg meldingen om te gebruiken wanneer een app is geblokkeerd voor luisteren op een poort.
    • Toestaan : hiermee schakelt u deze instelling in en wordt mogelijk een melding weergegeven aan gebruikers wanneer een app wordt geblokkeerd voor luisteren op een poort.

  • Standaardactie voor uitgaande verbindingen
    Standaard: niet geconfigureerd
    Firewall CSP: DefaultOutboundAction

    Configureer de standaardactie die de firewall uitvoert op uitgaande verbindingen. Deze instelling wordt toegepast op Windows-versie 1809 en hoger.

    • Niet geconfigureerd
    • Blokkeren : de standaard firewallactie wordt niet uitgevoerd op uitgaand verkeer, tenzij expliciet is opgegeven dat dit niet het geval is.
    • Toestaan - Standaard firewallacties worden uitgevoerd op uitgaande verbindingen.

  • Standaardactie voor binnenkomende verbindingen
    Standaard: niet geconfigureerd
    Firewall CSP: DefaultInboundAction

    • Niet geconfigureerd
    • Blokkeren : de standaard firewallactie wordt niet uitgevoerd op binnenkomende verbindingen.
    • Toestaan - Standaard firewallacties worden uitgevoerd op binnenkomende verbindingen.

Regels samenvoegen

  • Geautoriseerde toepassing Windows Firewall-regels uit de lokale winkel
    Standaard: niet geconfigureerd
    Firewall CSP: AuthAppsAllowUserPrefMerge

    • Niet geconfigureerd
    • Blokkeren : de geautoriseerde regels van de toepassingsfirewall in het lokale archief worden genegeerd en niet afgedwongen.
    • Toestaan - Inschakelen kiezen Hiermee worden firewallregels toegepast in het lokale archief, zodat ze worden herkend en gehandhaafd.

  • Globale poort Windows Firewall-regels uit de lokale winkel
    Standaard: niet geconfigureerd
    Firewall-CSP: GlobalPortsAllowUserPrefMerge

    • Niet geconfigureerd
    • Blokkeren : de firewallregels van de globale poort in het lokale archief worden genegeerd en niet afgedwongen.
    • Toestaan - Pas de firewallregels van de globale poort toe in het lokale archief om te worden herkend en afgedwongen.

  • Windows Firewall-regels van de lokale winkel
    Standaard: niet geconfigureerd
    Firewall-CSP: AllowLocalPolicyMerge

    • Niet geconfigureerd
    • Blokkeren : firewallregels van de lokale winkel worden genegeerd en niet afgedwongen.
    • Toestaan - Pas firewallregels toe in het lokale archief om te worden herkend en afgedwongen.

  • IPsec-regels van de lokale winkel
    Standaard: niet geconfigureerd
    Firewall-CSP: AllowLocalIpsecPolicyMerge

    • Niet geconfigureerd
    • Blokkeren : de verbindingsbeveiligingsregels van het lokale archief worden genegeerd en niet afgedwongen, ongeacht de schemaversie en de versie van de verbindingsbeveiligingsregel.
    • Toestaan : pas verbindingsbeveiligingsregels toe vanuit het lokale archief, ongeacht de versies van de schema- of verbindingsbeveiligingsregel.

Firewallregels

U kunt een of meer aangepaste firewallregels toevoegen . Zie Aangepaste firewallregels voor Windows-apparaten toevoegen voor meer informatie.

Aangepaste firewallregels ondersteunen de volgende opties:

Algemene instellingen

  • Naam
    Standaard: geen naam

    Geef een beschrijvende naam voor de regel op. Deze naam wordt weergegeven in de lijst met regels zodat u deze kunt identificeren.

  • Beschrijving
    Standaardinstelling: geen beschrijving

    Geef een beschrijving van de regel.

  • Richting
    Standaard: niet geconfigureerd
    Firewall CSP: FirewallRules/FirewallRuleName/Direction

    Geef aan of deze regel van toepassing is op binnenkomend of uitgaand verkeer. Wanneer de regel is ingesteld als Niet geconfigureerd, wordt deze automatisch toegepast op uitgaand verkeer.

  • Actie
    Standaard: niet geconfigureerd
    Firewall CSP: FirewallRules/FirewallRuleName/Action en FirewallRules/FirewallRuleName/Action/Type

    Selecteer uit Toestaan of Blokkeren. Als deze optie is ingesteld als Niet geconfigureerd, staat de regel standaard verkeer toe.

  • Netwerktype
    Standaard: 0 geselecteerd
    Firewall CSP: FirewallRules/FirewallRuleName/Profiles

    Selecteer maximaal drie typen netwerktypen waartoe deze regel behoort. Opties zijn Domein, Privé en Openbaar. Als er geen netwerktypen zijn geselecteerd, is de regel van toepassing op alle drie de netwerktypen.

Instellingen voor toepassingen

  • Toepassing(en)
    Standaard: Alles

    Verbindingen voor een app of programma beheren. Apps en programma's kunnen worden opgegeven via een bestandspad, de naam van de pakketfamilie of de naam van de service:

    • Package family name : geef de naam van een pakketfamilie op. U kunt de naam van de pakketfamilie zoeken met de PowerShell-opdracht Get-AppxPackage.
      Firewall CSP: FirewallRules/FirewallRuleName/App/PackageFamilyName

    • Bestandspad : u moet een bestandspad naar een app op het clientapparaat opgeven. Dit kan een absoluut of een relatief pad zijn. Bijvoorbeeld: C:\Windows\System\Notepad.exe of %WINDIR%\Notepad.exe.
      Firewall-CSP: FirewallRules/FirewallRuleName/App/FilePath

    • Windows-service : geef de korte naam van de Windows-service op als het een service is en geen toepassing waarmee verkeer wordt verzonden of ontvangen. U kunt de korte servicenaam vinden met de PowerShell-opdracht Get-Service.
      Firewall CSP: FirewallRules/FirewallRuleName/App/ServiceName

    • Alle– Er zijn geen configuraties vereist

Instellingen voor IP-adres

Geef de lokale en externe adressen op waarop deze regel van toepassing is.

  • Lokale adressen
    Standaardinstelling: elk adres
    Firewall-CSP: FirewallRules/FirewallRuleName/LocalPortRanges

    Selecteer een adres of opgegeven adres.

    Wanneer u Opgegeven adres gebruikt, voegt u een of meer adressen toe als een door komma's gescheiden lijst met lokale adressen die onder de regel vallen. Geldige tokens zijn:

    • Gebruik een sterretje * voor een lokaal adres. Als u een sterretje gebruikt, moet dit het enige token zijn dat u gebruikt.
    • Geef een subnet op met de subnetmaskernotatie of de netwerkvoorvoegselnotatie. Als u geen subnetmasker of netwerkvoorvoegsel opgeeft, wordt het subnetmasker standaard ingesteld op 255.255.255.255.
    • Een geldig IPv6-adres.
    • Een IPv4-adresbereik in de indeling 'startadres - eindadres' zonder spaties.
    • Een IPv6-adresbereik in de indeling "startadres - eindadres" zonder spaties.

  • Externe adressen
    Standaardinstelling: elk adres
    Firewall CSP: FirewallRules/FirewallRuleName/RemoteAddressRanges

    Selecteer een adres of opgegeven adres.

    Wanneer u Opgegeven adres gebruikt, voegt u een of meer adressen toe als een door komma's gescheiden lijst met externe adressen die onder de regel vallen. Tokens zijn niet hoofdlettergevoelig. Geldige tokens zijn:

    • Gebruik een sterretje (*) voor een extern adres. Als u een sterretje gebruikt, moet dit het enige token zijn dat u gebruikt.
    • Defaultgateway
    • DHCP
    • DNS
    • WINS
    • Intranet (ondersteund op Windows-versies 1809 en hoger)
    • RmtIntranet (ondersteund op Windows-versies 1809 en hoger)
    • Internet (ondersteund op Windows-versies 1809 en hoger)
    • Ply2Renders (ondersteund op Windows-versies 1809 en hoger)
    • LocalSubnet Geeft een lokaal adres in het lokale subnet aan.
    • Geef een subnet op met de subnetmaskernotatie of de netwerkvoorvoegselnotatie. Als u geen subnetmasker of netwerkvoorvoegsel opgeeft, wordt het subnetmasker standaard ingesteld op 255.255.255.255.
    • Een geldig IPv6-adres.
    • Een IPv4-adresbereik in de indeling 'startadres - eindadres' zonder spaties.
    • Een IPv6-adresbereik in de indeling "startadres - eindadres" zonder spaties.

Poort- en protocolinstellingen

Geef de lokale en externe poorten op waarop deze regel van toepassing is.

Geavanceerde configuratie

  • Interfacetypen
    Standaard: 0 geselecteerd
    Firewall-CSP: FirewallRules/FirewallRuleName/InterfaceTypes

    Selecteer een van de volgende opties:

    • Externe toegang
    • Draadloos
    • Local Area Network

  • Alleen verbindingen van deze gebruikers toestaan
    Standaardinstelling: Alle gebruikers (standaard voor alle toepassingen als er geen lijst is opgegeven)
    Firewall-CSP: FirewallRules/FirewallRuleName/LocalUserAuthorizationList

    Geef een lijst op met geautoriseerde lokale gebruikers voor deze regel. Een lijst met geautoriseerde gebruikers kan niet worden opgegeven als deze regel van toepassing is op een Windows-service.

Instellingen voor Microsoft Defender SmartScreen

Microsoft Edge moet op het apparaat zijn geïnstalleerd.

  • SmartScreen voor apps en bestanden
    Standaard: niet geconfigureerd
    SmartScreen CSP: SmartScreen/EnableSmartScreenInShell

    • Niet geconfigureerd - Schakelt het gebruik van SmartScreen uit.
    • Inschakelen : schakel Windows SmartScreen in voor het uitvoeren van bestanden en actieve apps. SmartScreen is een cloudgebaseerd antiphishing- en antimalwareonderdeel.

  • Niet-geverifieerde uitvoering van bestanden
    Standaard: niet geconfigureerd
    SmartScreen CSP: SmartScreen/PreventOverrideForFilesInShell

    • Niet geconfigureerd : schakelt deze functie uit en stelt eindgebruikers in staat bestanden uit te voeren die nog niet zijn geverifieerd.
    • Blokkeren : voorkom dat eindgebruikers bestanden uitvoeren die niet zijn geverifieerd door Windows SmartScreen.

Windows-versleuteling

Windows-instellingen

  • Apparaten versleutelen
    Standaard: niet geconfigureerd
    BitLocker CSP: RequireDeviceEncryption

    • Vereisen : vraag gebruikers om apparaatversleuteling in te schakelen. Afhankelijk van de Windows-editie en systeemconfiguratie kunnen gebruikers worden gevraagd:
      • U controleert of versleuteling van een andere provider niet is ingeschakeld.
      • Vereist om BitLocker-stationsversleuteling uit te schakelen en vervolgens BitLocker weer in te schakelen.
    • Niet geconfigureerd

    Als Windows-versleuteling is ingeschakeld terwijl een andere versleutelingsmethode actief is, kan het apparaat instabiel worden.

Basisinstellingen voor BitLocker

Basisinstellingen zijn universele BitLocker-instellingen voor alle typen gegevensstations. Met deze instellingen wordt bepaald welke stationsversleutelingstaken of configuratieopties de eindgebruiker kan wijzigen voor alle typen gegevensstations.

  • Waarschuwing voor andere schijfversleuteling
    Standaard: niet geconfigureerd
    BitLocker CSP: AllowWarningForOtherDiskEncryption

    • Blokkeren : schakel de waarschuwingsprompt uit als er een andere service voor schijfversleuteling op het apparaat staat.
    • Niet geconfigureerd : hiermee kan de waarschuwing voor andere schijfversleuteling worden weergegeven.

    Tip

    Als u BitLocker automatisch en op de achtergrond wilt installeren op een apparaat dat Microsoft Entra lid is geworden en waarop Windows 1809 of hoger wordt uitgevoerd, moet deze instelling zijn ingesteld op Blokkeren. Zie BitLocker op de achtergrond inschakelen op apparaten voor meer informatie.

    Als deze optie is ingesteld op Blokkeren, kun je vervolgens de volgende instelling configureren:

    • Standaardgebruikers toestaan versleuteling in te schakelen tijdens deelname aan Microsoft Entra
      Deze instelling is alleen van toepassing op Microsoft Entra gekoppelde (Azure ADJ-)apparaten en is afhankelijk van de vorige instelling. Warning for other disk encryption
      Standaard: niet geconfigureerd
      BitLocker CSP: AllowStandardUserEncryption

      • Toestaan - Standaardgebruikers (niet-beheerders) kunnen BitLocker-versleuteling inschakelen wanneer ze zijn aangemeld.
      • Als deze niet is geconfigureerd , kunnen alleen beheerders BitLocker-versleuteling inschakelen op het apparaat.

    Tip

    Als u BitLocker automatisch en op de achtergrond wilt installeren op een apparaat dat lid is van Microsoft Entra en waarop Windows 1809 of hoger wordt uitgevoerd, moet deze instelling zijn ingesteld op Toestaan. Zie BitLocker op de achtergrond inschakelen op apparaten voor meer informatie.

  • Versleutelingsmethoden configureren
    Standaard: niet geconfigureerd
    BitLocker CSP: EncryptionMethodByDriveType

    • Inschakelen : coderingsalgoritmen configureren voor besturingssysteem, gegevens en verwisselbare stations.
    • Niet geconfigureerd - BitLocker gebruikt XTS-AES 128-bits als de standaardversleutelingsmethode of gebruikt de versleutelingsmethode die is opgegeven door een installatiescript.

    Wanneer deze optie is ingesteld op Inschakelen, kunt u de volgende instellingen configureren:

    • Versleuteling voor besturingssysteemstations
      Standaard: XTS-AES 128-bits

      Kies de versleutelingsmethode voor stations met het besturingssysteem. We raden u aan het XTS-AES-algoritme te gebruiken.

      • AES-CBC, 128-bits
      • AES-CBC 256-bits
      • XTS-AES 128-bit
      • XTS-AES 256-bit

    • Encryptie voor vaste datastations
      Standaard: AES-CBC 128-bits

      Kies de versleutelingsmethode voor vaste (ingebouwde) datastations. We raden u aan het XTS-AES-algoritme te gebruiken.

      • AES-CBC, 128-bits
      • AES-CBC 256-bits
      • XTS-AES 128-bit
      • XTS-AES 256-bit

    • Versleuteling voor verwisselbare gegevensstations
      Standaard: AES-CBC 128-bits

      Kies de versleutelingsmethode voor verwisselbare gegevensstations. Als het verwisselbare station wordt gebruikt met apparaten zonder Windows, raden we u aan het AES-CBC-algoritme te gebruiken.

      • AES-CBC, 128-bits
      • AES-CBC 256-bits
      • XTS-AES 128-bit
      • XTS-AES 256-bit

Stationsinstellingen BitLocker-besturingssysteem

Deze instellingen zijn specifiek van toepassing op gegevensstations van het besturingssysteem.

  • Extra authenticatie bij opstarten
    Standaard: niet geconfigureerd
    BitLocker CSP: SystemDrivesRequireStartupAuthentication

    • Vereisen - Configureer de verificatievereisten voor het opstarten van de computer, inclusief het gebruik van Trusted Platform Module (TPM).
    • Niet geconfigureerd - Configureer alleen basisopties op apparaten met een TPM.

    Als deze optie is ingesteld op Vereisen, kunt u de volgende instellingen configureren:

    • BitLocker met niet-compatibele TPM-chip
      Standaard: niet geconfigureerd

      • Blokkeren : schakel het gebruik van BitLocker uit wanneer een apparaat geen compatibele TPM-chip heeft.
      • Niet geconfigureerd: gebruikers kunnen BitLocker gebruiken zonder een compatibele TPM-chip. BitLocker vereist mogelijk een wachtwoord of een opstartsleutel.

    • Compatibel TPM-opstarten
      Standaard: TPM toestaan

      Configureer of TPM is toegestaan, vereist of niet toegestaan.

      • TPM toestaan
      • TPM niet toestaan
      • TPM vereisen

    • Compatibele TPM-opstartpincode
      Standaardinstelling: opstartpincode met TPM toestaan

      Kies of u het gebruik van een opstartpincode met de TPM-chip wilt toestaan, niet toestaan of vereisen. Voor het inschakelen van een pincode voor opstarten is interactie van de eindgebruiker vereist.

      • Pincode voor opstarten met TPM toestaan
      • Pincode voor opstarten met TPM niet toestaan
      • Pincode voor opstarten met TPM vereisen

      Tip

      Als u BitLocker automatisch en op de achtergrond wilt installeren op een apparaat dat Microsoft Entra lid is geworden en waarop Windows 1809 of hoger wordt uitgevoerd, mag deze instelling niet zijn ingesteld op Pincode voor opstarten met TPM vereisen. Zie BitLocker op de achtergrond inschakelen op apparaten voor meer informatie.

    • Compatibele TPM-opstartsleutel
      Standaardinstelling: opstartsleutel met TPM toestaan

      Kies of u het gebruik van een opstartsleutel met de TPM-chip wilt toestaan, niet toestaan of vereisen. Voor het inschakelen van een opstartsleutel is interactie van de eindgebruiker vereist.

      • Opstartsleutel met TPM toestaan
      • Opstartsleutel met TPM niet toestaan
      • Opstartsleutel met TPM vereisen

      Tip

      Als u BitLocker automatisch en ongemerkt wilt installeren op een apparaat dat Microsoft Entra lid is en waarop Windows 1809 of hoger wordt uitgevoerd, mag deze instelling niet zijn ingesteld op Opstartsleutel met TPM vereisen. Zie BitLocker op de achtergrond inschakelen op apparaten voor meer informatie.

    • Compatibele TPM-opstartsleutel en pincode
      Standaardinstelling: opstartsleutel en pincode met TPM toestaan

      Kies of u het gebruik van een opstartsleutel en pincode met de TPM-chip wilt toestaan, niet toestaan of vereisen. Voor het inschakelen van de opstartsleutel en pincode is interactie van de eindgebruiker vereist.

      • Opstartsleutel en pincode met TPM toestaan
      • Opstartsleutel en pincode met TPM niet toestaan
      • Opstartsleutel en pincode vereisen met TPM

      Tip

      Als u BitLocker automatisch en op de achtergrond wilt installeren op een apparaat dat Microsoft Entra lid is geworden en waarop Windows 1809 of hoger wordt uitgevoerd, mag deze instelling niet zijn ingesteld op Opstartsleutel en pincode vereisen met TPM. Zie BitLocker op de achtergrond inschakelen op apparaten voor meer informatie.

  • Minimale lengte pincode
    Standaard: niet geconfigureerd
    BitLocker CSP: SystemDrivesMinimumPINLength

    • Inschakelen Configureer een minimale lengte voor de TPM-opstartpincode.
    • Niet geconfigureerd - Gebruikers kunnen een opstartpincode configureren met een lengte tussen 6 en 20 cijfers.

    Wanneer deze optie is ingesteld op Inschakelen, kunt u de volgende instelling configureren:

    • Minimumaantal tekens
      Standaard: Niet geconfigureerd BitLocker CSP: SystemDrivesMinimumPINLength

      Voer het aantal tekens in dat nodig is voor de pincode voor opstarten van 4-20.

  • Herstel van besturingssysteemstation
    Standaard: niet geconfigureerd
    BitLocker CSP: SystemDrivesRecoveryOptions

    • Enable - Bepalen hoe schijven met BitLocker-beveiliging worden hersteld wanneer de vereiste opstartgegevens niet beschikbaar zijn.
    • Niet geconfigureerd - Standaardherstelopties worden ondersteund, waaronder DRA. De eindgebruiker kan herstelopties opgeven. Er wordt geen back-up van de herstelgegevens gemaakt in AD DS.

    Wanneer deze optie is ingesteld op Inschakelen, kunt u de volgende instellingen configureren:

    • Gegevensherstelagent op basis van certificaten
      Standaard: niet geconfigureerd

      • Blokkeren : voorkom het gebruik van de agent voor gegevensherstel met met BitLocker beveiligde besturingssysteemstations.
      • Niet geconfigureerd: sta toe dat gegevensherstelagents worden gebruikt met met BitLocker beveiligde besturingssysteemstations.

    • Herstelwachtwoord door gebruiker maken
      Standaardinstelling: 48-cijferig herstelwachtwoord toestaan

      Kies of gebruikers een herstelwachtwoord van 48 cijfers mogen genereren, al dan niet mogen genereren.

      • 48-cijferig herstelwachtwoord toestaan
      • Geen herstelwachtwoord van 48 cijfers toestaan
      • Een herstelwachtwoord van 48 cijfers vereisen

    • Herstelsleutel maken door gebruiker
      Standaardinstelling: 256-bits herstelsleutel toestaan

      Kies of gebruikers een 256-bits herstelsleutel mogen, moeten en niet mogen genereren.

      • 256-bits herstelsleutel toestaan
      • Geen 256-bits herstelsleutel toestaan
      • 256-bits herstelsleutel vereisen

    • Herstelopties in de installatiewizard van BitLocker
      Standaard: niet geconfigureerd

      • Blokkeren : gebruikers kunnen de herstelopties niet zien en wijzigen. Als deze optie is ingesteld op
      • Niet geconfigureerd - Gebruikers kunnen de herstelopties bekijken en wijzigen wanneer ze BitLocker inschakelen.

    • BitLocker-herstelgegevens opslaan in Microsoft Entra ID
      Standaard: niet geconfigureerd

      • Inschakelen: sla de BitLocker-herstelgegevens op in Microsoft Entra ID.
      • Niet geconfigureerd: BitLocker-herstelgegevens worden niet opgeslagen in Microsoft Entra ID.

    • BitLocker-herstelgegevens opgeslagen in Microsoft Entra ID
      Standaardinstelling: back-up, herstelwachtwoorden en sleutelpakketten

      Configureer welke onderdelen van BitLocker-herstelgegevens worden opgeslagen in Microsoft Entra ID. U hebt de keuze uit:

      • Back-up, herstelwachtwoorden en sleutelpakketten
      • Alleen wachtwoorden voor back-upherstel

    • Clientgestuurde draaiing van herstelwachtwoorden
      Standaard: niet geconfigureerd
      BitLocker CSP: ConfigureRecoveryPasswordRotation

      Met deze instelling wordt een clientgestuurde wachtwoordrotatie voor herstel geïnitieerd na een herstel van een besturingssysteemstation (met behulp van bootmgr of WinRE).

      • Niet geconfigureerd
      • Sleutelrotatie uitgeschakeld
      • Sleutelrotatie ingeschakeld voor aan Microsoft Entra gekoppelde deices
      • Sleutelrotatie ingeschakeld voor Microsoft Entra ID en hybride apparaten

    • Herstelgegevens opslaan in Microsoft Entra ID voordat BitLocker wordt ingeschakeld
      Standaard: niet geconfigureerd

      Voorkom dat gebruikers BitLocker inschakelen tenzij de computer een back-up van de BitLocker-herstelgegevens heeft gemaakt naar Microsoft Entra ID.

      • Vereisen: voorkom dat gebruikers BitLocker inschakelen, tenzij de BitLocker-herstelgegevens zijn opgeslagen in Microsoft Entra ID.
      • Niet geconfigureerd: gebruikers kunnen BitLocker inschakelen, zelfs als herstelgegevens niet zijn opgeslagen in Microsoft Entra ID.

  • Herstelbericht en URL voor opstarten
    Standaard: niet geconfigureerd
    BitLocker CSP: SystemDrivesRecoveryMessage

    • Enable - Configureer het bericht en de URL die worden weergegeven op het pre-boot sleutelherstelscherm.
    • Niet geconfigureerd : deze functie uitschakelen.

    Wanneer deze optie is ingesteld op Inschakelen, kunt u de volgende instelling configureren:

    • Herstelbericht vóór opstarten
      Standaardinstelling: standaardherstelbericht en URL gebruiken

      Configureren hoe het bericht Herstel vóór opstarten wordt weergegeven aan gebruikers. U hebt de keuze uit:

      • Standaardherstelbericht en -URL gebruiken
      • Een leeg herstelbericht en een lege URL gebruiken
      • Aangepast herstelbericht gebruiken
      • Aangepaste herstel-URL gebruiken

Vaste BitLocker-instellingen voor gegevensstation

Deze instellingen zijn specifiek van toepassing op vaste gegevensstations.

  • Schrijftoegang tot vast station niet beveiligd door BitLocker
    Standaard: niet geconfigureerd
    BitLocker CSP: FixedDrivesRequireEncryption

    • Blokkeren : geef alleen-lezen toegang tot gegevensstations die niet met BitLocker zijn beveiligd.
    • Niet geconfigureerd - Standaard lees- en schrijftoegang tot niet-versleutelde gegevensstations.

  • Herstel van vaste schijf
    Standaard: niet geconfigureerd
    BitLocker CSP: FixedDrivesRecoveryOptions

    • Inschakelen : bepaal hoe met BitLocker beveiligde vaste schijven worden hersteld wanneer de vereiste opstartgegevens niet beschikbaar zijn.
    • Niet geconfigureerd : deze functie uitschakelen.

    Wanneer deze optie is ingesteld op Inschakelen, kunt u de volgende instellingen configureren:

    • Agent voor gegevensherstel
      Standaard: niet geconfigureerd

      • Blokkeren : voorkom het gebruik van de agent voor gegevensherstel met door BitLocker beveiligde beleidseditor voor vaste stations.
      • Niet geconfigureerd: hiermee kunt u agents voor gegevensherstel gebruiken met met BitLocker beveiligde vaste stations.

    • Herstelwachtwoord door gebruiker maken
      Standaardinstelling: 48-cijferig herstelwachtwoord toestaan

      Kies of gebruikers een herstelwachtwoord van 48 cijfers mogen genereren, al dan niet mogen genereren.

      • 48-cijferig herstelwachtwoord toestaan
      • Geen herstelwachtwoord van 48 cijfers toestaan
      • Een herstelwachtwoord van 48 cijfers vereisen

    • Herstelsleutel maken door gebruiker
      Standaardinstelling: 256-bits herstelsleutel toestaan

      Kies of gebruikers een 256-bits herstelsleutel mogen, moeten en niet mogen genereren.

      • 256-bits herstelsleutel toestaan
      • Geen 256-bits herstelsleutel toestaan
      • 256-bits herstelsleutel vereisen

    • Herstelopties in de installatiewizard van BitLocker
      Standaard: niet geconfigureerd

      • Blokkeren : gebruikers kunnen de herstelopties niet zien en wijzigen. Als deze optie is ingesteld op
      • Niet geconfigureerd - Gebruikers kunnen de herstelopties bekijken en wijzigen wanneer ze BitLocker inschakelen.

    • BitLocker-herstelgegevens opslaan in Microsoft Entra ID
      Standaard: niet geconfigureerd

      • Inschakelen: sla de BitLocker-herstelgegevens op in Microsoft Entra ID.
      • Niet geconfigureerd: BitLocker-herstelgegevens worden niet opgeslagen in Microsoft Entra ID.

    • BitLocker-herstelgegevens opgeslagen in Microsoft Entra ID
      Standaardinstelling: back-up, herstelwachtwoorden en sleutelpakketten

      Configureer welke onderdelen van BitLocker-herstelgegevens worden opgeslagen in Microsoft Entra ID. U hebt de keuze uit:

      • Back-up, herstelwachtwoorden en sleutelpakketten
      • Alleen wachtwoorden voor back-upherstel

    • Herstelgegevens opslaan in Microsoft Entra ID voordat BitLocker wordt ingeschakeld
      Standaard: niet geconfigureerd

      Voorkom dat gebruikers BitLocker inschakelen tenzij de computer een back-up van de BitLocker-herstelgegevens heeft gemaakt naar Microsoft Entra ID.

      • Vereisen: voorkom dat gebruikers BitLocker inschakelen, tenzij de BitLocker-herstelgegevens zijn opgeslagen in Microsoft Entra ID.
      • Niet geconfigureerd: gebruikers kunnen BitLocker inschakelen, zelfs als herstelgegevens niet zijn opgeslagen in Microsoft Entra ID.

Instellingen verwisselbaar BitLocker-gegevensstation

Deze instellingen zijn specifiek van toepassing op verwisselbare gegevensstations.

  • Schrijftoegang tot verwisselbaar station niet beveiligd door BitLocker
    Standaard: niet geconfigureerd
    BitLocker CSP: RemovableDrivesRequireEncryption

    • Blokkeren : geef alleen-lezen toegang tot gegevensstations die niet met BitLocker zijn beveiligd.
    • Niet geconfigureerd - Standaard lees- en schrijftoegang tot niet-versleutelde gegevensstations.

    Wanneer deze optie is ingesteld op Inschakelen, kunt u de volgende instelling configureren:

    • Schrijftoegang tot apparaten die in een andere organisatie zijn geconfigureerd
      Standaard: niet geconfigureerd

      • Blokkeren : schrijftoegang blokkeren voor apparaten die in een andere organisatie zijn geconfigureerd.
      • Niet geconfigureerd: schrijftoegang weigeren.

Microsoft Defender Exploit Guard

Gebruik Exploit Protection om het aanvalsoppervlak van apps die door uw werknemers worden gebruikt, te beheren en te beperken.

Kwetsbaarheid voor aanvallen verminderen

Regels voor het verminderen van kwetsbaarheid voor aanvallen helpen gedrag te voorkomen dat malware vaak gebruikt om computers te infecteren met kwaadaardige code.

Regels voor het verminderen van kwetsbaarheid voor aanvallen

Zie Regels voor het verminderen van kwetsbaarheid voor aanvallen in de documentatie van Microsoft Defender voor Eindpunt voor meer informatie.

Samenvoeggedrag voor regels voor het verminderen van kwetsbaarheid voor aanvallen in Intune:

Regels voor het verminderen van kwetsbaarheid voor aanvallen ondersteunen het samenvoegen van instellingen uit verschillende beleidsregels, om een superset van beleid voor elk apparaat te maken. Alleen de instellingen die geen conflict opleveren, worden samengevoegd, terwijl instellingen die wel een conflict opleveren, niet worden toegevoegd aan de superset regels. Als voorheen twee beleidsregels conflicten bevatten voor één instelling, werden beide beleidsregels gemarkeerd als zijnde conflicterend en werden er geen instellingen van beide profielen geïmplementeerd.

Het samenvoeggedrag van regels voor het verminderen van kwetsbaarheid voor aanvallen is als volgt:

  • Regels voor het verminderen van kwetsbaarheid voor aanvallen van de volgende profielen worden geëvalueerd voor elk apparaat waarop de regels van toepassing zijn:
    • Beleid voor apparaatconfiguratie >> Eindpuntbeveiligingsprofiel >Kwetsbaarheid voor aanvallen van Microsoft Defender Defender Exploit Guard > verminderen
    • Beveiliging > van eindpunten Beleid > voor het verminderen van kwetsbaarheid voor aanvallen Regels voor het verminderen van kwetsbaarheid voor aanvallen
    • Beveiliging van eindpuntbeveiliging > Basislijnen > voor beveiliging Regels voor het verminderen van kwetsbaarheid voor aanvallen van Microsoft Defender voor Eindpunt>.
  • Instellingen die geen conflicten hebben, worden toegevoegd aan een superset met beleid voor het apparaat.
  • Wanneer twee of meer beleidsregels conflicterende instellingen hebben, worden de conflicterende instellingen niet toegevoegd aan het gecombineerde beleid. Instellingen die niet conflicteren, worden toegevoegd aan het supersetbeleid dat van toepassing is op een apparaat.
  • Alleen de configuraties voor conflicterende instellingen worden tegengehouden.

Instellingen in dit profiel:

Regels om Office-macrodreigingen te voorkomen

Verhinder dat de volgende acties worden uitgevoerd door Office-apps:

Regels om scriptbedreigingen te voorkomen

Blokkeer het volgende om scriptbedreigingen te voorkomen:

Regels om e-mailbedreigingen te voorkomen

Blokkeer het volgende om e-mailbedreigingen te voorkomen:

  • Uitvoering van uitvoerbare inhoud (exe, dll, ps, js, vbs, enz.) verwijderd uit e-mail (webmail/mailclient) (geen uitzonderingen)
    Standaard: niet geconfigureerd
    Regel: uitvoerbare inhoud uit e-mailclient en webmail blokkeren

    • Niet geconfigureerd
    • Blok - Blokkeer de uitvoering van uitvoerbare inhoud (exe, dll, ps, js, vbs, enz.) die uit e-mail (webmail/mail-client) is verwijderd.
    • Alleen audit

Regels ter bescherming tegen ransomware

Uitzonderingen voor het verminderen van kwetsbaarheid voor aanvallen

  • Files and map die moeten worden uitgesloten van de regels voor het verminderen van de kwetsbaarheid voor aanvallen
    Defender CSP: AttackSurfaceReductionOnlyExclusions

    • Importeer een .csv bestand dat bestanden en mappen bevat die moeten worden uitgesloten van de regels voor het verminderen van de kwetsbaarheid voor aanvallen.
    • Lokale bestanden of mappen handmatig toevoegen.

Belangrijk

Voor een juiste installatie en uitvoering van LOB Win32-apps moeten de volgende mappen worden uitgesloten van scannen in antimalware-instellingen: Op x64-clientcomputers: C:\Program Files (x86)\Microsoft Intune Management Extension\ContentC:\windows\C.ACache

Op x86-clientcomputers: C:\Program Files\Microsoft Intune Management Extension\InhoudC:\windows\C.RENTE

Zie Aanbevelingen voor virusscans voor bedrijfscomputers waarop momenteel ondersteunde versies van Windows worden uitgevoerd voor meer informatie.

Gecontroleerde mappentoegang

Bescherm waardevolle gegevens tegen schadelijke apps en bedreigingen, zoals ransomware.

  • Mapbeveiliging
    Standaard: niet geconfigureerd
    Defender CSP: EnableControlledFolderAccess

    Bescherm bestanden en mappen tegen ongeoorloofde wijzigingen door ongebruiksvriendelijke apps.

    • Niet geconfigureerd
    • Inschakelen
    • Alleen audit
    • Wijziging van blokschijf
    • Schijfwijziging controleren

    Als u een andere configuratie selecteert dan Niet geconfigureerd, kunt u vervolgens het volgende configureren:

    • Lijst met apps die toegang hebben tot beveiligde mappen
      Defender CSP: ControlledFolderAccessAllowedApplications

      • Importeer een .csv bestand dat een lijst met apps bevat.
      • Voeg apps handmatig aan deze lijst toe.

    • Lijst met extra mappen die moeten worden beveiligd
      Defender CSP: ControlledFolderAccessProtectedFolders

      • Importeer een .csv bestand dat een mappenlijst bevat.
      • Mappen handmatig aan deze lijst toevoegen.

Netwerkfiltering

Blokkeer uitgaande verbindingen van welke app dan ook naar IP-adressen of domeinen met een lage reputatie. Netwerkfiltering wordt ondersteund in zowel de controle- als de blokmodus.

  • Netwerkbeveiliging
    Standaard: niet geconfigureerd
    Defender CSP: EnableNetworkProtection

    De bedoeling van deze instelling is om eindgebruikers te beschermen tegen apps die toegang hebben tot phishing-praktijken, sites die misbruik maken en schadelijke inhoud op internet. Het voorkomt ook dat browsers van derden verbinding maken met gevaarlijke sites.

    • Niet geconfigureerd : deze functie uitschakelen. Gebruikers en apps worden niet geblokkeerd zodat ze geen verbinding kunnen maken met gevaarlijke domeinen. Beheerders kunnen deze activiteit niet zien in het Microsoft Defender-beveiligingscentrum.
    • Inschakelen : schakel netwerkbeveiliging in en voorkom dat gebruikers en apps verbinding maken met gevaarlijke domeinen. Beheerders kunnen deze activiteit zien in het Microsoft Defender-beveiligingscentrum.
    • Alleen audit: - Gebruikers en apps worden niet geblokkeerd om verbinding te maken met gevaarlijke domeinen. Beheerders kunnen deze activiteit zien in het Microsoft Defender-beveiligingscentrum.

Bescherming tegen misbruik

  • XML uploaden
    Standaard: niet geconfigureerd

    Als u Exploit Protection wilt gebruiken om apparaten te beschermen tegen misbruik, maakt u een XML-bestand dat de gewenste instellingen voor systeem- en toepassingsbeperking bevat. Er zijn twee methoden om het XML-bestand te maken:

    • PowerShell - Gebruik een of meer PowerShell-cmdlets Get-ProcessMitigation, Set-ProcessMitigation en ConvertTo-ProcessMitigationPolicy . Met de cmdlets worden instellingen voor risicobeperking geconfigureerd en wordt een XML-weergave hiervan geëxporteerd.

    • Microsoft Defender-beveiligingscentrum UI - Selecteer in de Microsoft Defender-beveiligingscentrum App- & browserbesturingselement en blader vervolgens naar de onderkant van het resulterende scherm om Exploit Protection te vinden. Gebruik eerst de tabbladen Systeeminstellingen en Programma-instellingen om instellingen voor risicobeperking te configureren. Zoek vervolgens de koppeling Instellingen exporteren onder aan het scherm om een XML-weergave ervan te exporteren.

  • Bewerking door gebruiker van de interface voor exploit protection
    Standaard: niet geconfigureerd
    ExploitGuard CSP: ExploitProtectionSettings

    • Block - Upload een XML-bestand waarmee u het geheugen, de stroom en beleidsbeperkingen kunt configureren. De instellingen in het XML-bestand kunnen worden gebruikt om te voorkomen dat een toepassing misbruik maakt.
    • Niet geconfigureerd: er wordt geen aangepaste configuratie gebruikt.

Toepassingsbeheer voor Microsoft Defender

Kies apps die moeten worden gecontroleerd door of die worden vertrouwd om te worden uitgevoerd door Microsoft Defender Application Control. Windows-onderdelen en alle apps uit de Windows Store worden automatisch vertrouwd om te worden uitgevoerd.

  • Code-integriteitsbeleid voor toepassingsbeheer
    Standaard: niet geconfigureerd
    CSP: AppLocker CSP

    • Afdwingen : kies het code-integriteitsbeleid voor toepassingsbeheer voor de apparaten van uw gebruikers.

      Nadat Toepassingsbeheer is ingeschakeld op een apparaat, kan het alleen worden uitgeschakeld door de modus te wijzigen van Afdwingen in Alleen controle. Als de modus wordt gewijzigd van Afdwingen in Niet geconfigureerd, blijft toepassingsbeheer worden afgedwongen op toegewezen apparaten.

    • Niet geconfigureerd - toepassingsbeheer wordt niet toegevoegd aan apparaten. Instellingen die eerder zijn toegevoegd, worden echter nog steeds afgedwongen op toegewezen apparaten.

    • Alleen controle : toepassingen worden niet geblokkeerd. Alle gebeurtenissen worden vastgelegd in de logboeken van de lokale client.

      Opmerking

      Als u deze instelling gebruikt, vraagt AppLocker CSP-gedrag momenteel aan eindgebruikers om hun computer opnieuw op te starten wanneer een beleid wordt geïmplementeerd.

Microsoft Defender Credential Guard

Microsoft Defender Credential Guard beschermt tegen aanvallen door diefstal van inloggegevens. Het isoleert geheimen zodat alleen geprivilegieerde systeemsoftware er toegang toe heeft.

  • Credential Guard
    Standaard: Uitschakelen
    DeviceGuard CSP

    • Uitschakelen : schakel Credential Guard op afstand uit, als deze eerder was ingeschakeld met de optie Ingeschakeld zonder UEFI-vergrendeling .

    • Inschakelen met UEFI-vergrendeling : Credential Guard kan niet op afstand worden uitgeschakeld met behulp van een registersleutel of groepsbeleid.

      Opmerking

      Als u deze instelling gebruikt en later Credential Guard wilt uitschakelen, moet u het groepsbeleid instellen op Uitgeschakeld. En wis fysiek de UEFI-configuratiegegevens van elke computer. Zolang de UEFI-configuratie behouden blijft, is Credential Guard ingeschakeld.

    • Inschakelen zonder UEFI-vergrendeling: hiermee kan Credential Guard op afstand worden uitgeschakeld met behulp van groepsbeleid. Op de apparaten die deze instelling gebruiken, moet Windows 10 versie 1511 en hoger of Windows 11 worden uitgevoerd.

      Belangrijk

      Op 14 oktober 2025 heeft Windows 10 het einde van de ondersteuning bereikt en ontvangt het geen kwaliteits- en functie-updates. Windows 10 is een toegestane versie in Intune. Apparaten met deze versie kunnen nog steeds worden ingeschreven bij Intune en functies gebruiken die daarvoor in aanmerking komen, maar de functionaliteit is niet gegarandeerd en kan variëren.

    Wanneer u Credential Guard inschakelt , worden ook de volgende vereiste functies ingeschakeld:

    • Virtualization-based Security (VBS)
      Wordt ingeschakeld tijdens de volgende herstart. Virtualisatiegebaseerde beveiliging gebruikt de Windows Hypervisor om ondersteuning te bieden voor beveiligingsservices.
    • Beveiligd opstarten met toegang tot mapgeheugen
      Hiermee schakelt u VBS in met bescherming van Secure Boot en DMA (Direct Memory Access). DMA-beveiligingen vereisen hardwareondersteuning en worden alleen ingeschakeld op correct geconfigureerde apparaten.

Microsoft Defender-beveiligingscentrum

Microsoft Defender-beveiligingscentrum werkt als een afzonderlijke app of proces voor elk van de afzonderlijke functies. Meldingen worden weergegeven via het Actiecentrum. Het fungeert als verzamelprogramma of als verzamelprogramma om de status te bekijken en een configuratie uit te voeren voor elk van de functies. Meer informatie vindt u in de documentatie van Microsoft Defender.

App en meldingen van het Microsoft Defender-beveiligingscentrum

De toegang van eindgebruikers tot de verschillende gebieden van de app Microsoft Defender-beveiligingscentrum blokkeren. Als u een sectie verbergt, worden ook gerelateerde meldingen geblokkeerd.

  • Virus- en bedreigingsbeveiliging
    Standaard: niet geconfigureerd
    CSP van WindowsDefenderSecurityCenter: DisableVirusUI

    Configureer of eindgebruikers het gebied Virus- en bedreigingsbeveiliging in het Microsoft Defender-beveiligingscentrum kunnen bekijken. Als u dit gedeelte verbergt, worden ook alle meldingen met betrekking tot virus- en bedreigingsbeveiliging geblokkeerd.

    • Niet geconfigureerd
    • Verbergen

  • Bescherming tegen ransomware
    Standaard: niet geconfigureerd
    CSP van WindowsDefenderSecurityCenter: HideRansomwareDataRecovery

    Configureer of eindgebruikers het gebied Ransomware-beveiliging in het Microsoft Defender-beveiligingscentrum kunnen bekijken. Als u deze sectie verbergt, worden ook alle meldingen met betrekking tot ransomwarebeveiliging geblokkeerd.

    • Niet geconfigureerd
    • Verbergen

  • Accountbeveiliging
    Standaard: niet geconfigureerd
    CSP van WindowsDefenderSecurityCenter: DisableAccountProtectionUI

    Configureer of eindgebruikers het Accountbeveiligingsgebied in het Microsoft Defender-beveiligingscentrum kunnen bekijken. Als u dit gedeelte verbergt, worden ook alle meldingen met betrekking tot accountbeveiliging geblokkeerd.

    • Niet geconfigureerd
    • Verbergen

  • Firewall- en netwerkbeveiliging
    Standaard: niet geconfigureerd
    CSP van WindowsDefenderSecurityCenter: DisableNetworkUI

    Configureer of eindgebruikers de firewall en het netwerkbeveiligingsgebied kunnen zien in het Microsoft Defender-beveiligingscentrum. Als u dit gedeelte verbergt, worden ook alle meldingen met betrekking tot firewall- en netwerkbeveiliging geblokkeerd.

    • Niet geconfigureerd
    • Verbergen

  • App- en browserbeheer
    Standaard: niet geconfigureerd
    CSP van WindowsDefenderSecurityCenter: DisableAppBrowserUI

    Configureer of eindgebruikers het gebied met app- en browserbesturingselementen in het Microsoft Defender-beveiligingscentrum kunnen weergeven. Als u dit gedeelte verbergt, worden ook alle meldingen met betrekking tot app- en browserbeheer geblokkeerd.

    • Niet geconfigureerd
    • Verbergen

  • Hardwarebeveiliging
    Standaard: niet geconfigureerd
    CSP van WindowsDefenderSecurityCenter: DisableDeviceSecurityUI

    Configureer of eindgebruikers het gebied Hardwarebeveiliging in het Microsoft Defender-beveiligingscentrum kunnen zien. Als u dit gedeelte verbergt, worden ook alle meldingen met betrekking tot hardwarebeveiliging geblokkeerd.

    • Niet geconfigureerd
    • Verbergen

  • Prestaties en status van apparaat
    Standaard: niet geconfigureerd
    CSP van WindowsDefenderSecurityCenter: DisableHealthUI

    Configureer of eindgebruikers het gebied Prestaties en status van apparaten kunnen bekijken in het Microsoft Defender-beveiligingscentrum. Als u deze sectie verbergt, worden ook alle meldingen met betrekking tot de prestaties en status van het apparaat geblokkeerd.

    • Niet geconfigureerd
    • Verbergen

  • Gezinsopties
    Standaard: niet geconfigureerd
    CSP van WindowsDefenderSecurityCenter: DisableFamilyUI

    Configureer of eindgebruikers het gebied Gezinsopties in het Microsoft Defender-beveiligingscentrum kunnen bekijken. Als u dit gedeelte verbergt, worden ook alle meldingen met betrekking tot gezinsopties geblokkeerd.

    • Niet geconfigureerd
    • Verbergen

  • Meldingen van de weergegeven app-gebieden
    Standaard: niet geconfigureerd
    CSP van WindowsDefenderSecurityCenter: DisableNotifications

    Kies welke meldingen aan eindgebruikers moeten worden weergegeven. Niet-kritieke meldingen omvatten samenvattingen van Microsoft Defender Antivirus-activiteit, inclusief meldingen wanneer scans zijn voltooid. Alle andere meldingen worden als kritiek beschouwd.

    • Niet geconfigureerd
    • Niet-kritieke meldingen blokkeren
    • Alle meldingen blokkeren

  • Pictogram van het Windows-beveiligingscentrum in het systeemvak
    Standaard: niet geconfigureerd
    CSP van WindowsDefenderSecurityCenter: HideWindowsSecurityNotificationAreaControl

    Configureer de weergave van het systeemvakbesturingselement. Deze instelling wordt pas van kracht nadat de gebruiker zich heeft afgemeld of de computer opnieuw moet opstarten.

    • Niet geconfigureerd
    • Verbergen

  • Knop TPM wissen
    Standaard: niet geconfigureerd
    CSP van WindowsDefenderSecurityCenter: DisableClearTpmButton

    Configureer de weergave van de knop TPM wissen.

    • Niet geconfigureerd
    • Uitschakelen

  • Waarschuwing TPM-firmware-update
    Standaard: niet geconfigureerd
    CSP van WindowsDefenderSecurityCenter: DisableTpmFirmwareUpdateWarning

    Configureer de weergave van update TPM-firmware wanneer een kwetsbare firmware wordt gedetecteerd.

    • Niet geconfigureerd
    • Verbergen

  • Manipulatiebeveiliging
    Standaard: niet geconfigureerd

    Schakel Manipulatiebeveiliging in of uit op apparaten. Als u Manipulatiebeveiliging wilt gebruiken, moet u Microsoft Defender voor Eindpunt integreren met Intune en beschikken over Enterprise Mobility + Security E5-licenties.

    • Niet geconfigureerd - Er worden geen wijzigingen aangebracht in de apparaatinstellingen.
    • Ingeschakeld - Manipulatiebeveiliging wordt ingeschakeld en beperkingen worden afgedwongen op apparaten.
    • Uitgeschakeld - Manipulatiebeveiliging is uitgeschakeld en beperkingen worden niet afgedwongen.

Informatie over IT-contactpersonen

Geef contactgegevens van IT op die moeten worden weergegeven in de app Microsoft Defender-beveiligingscentrum en de app-meldingen.

Je kunt kiezen voor Weergeven in de app en in meldingen, Alleen weergeven in app, Alleen weergeven in meldingen of Niet weergeven. Voer de naam van de IT-organisatie in en ten minste een van de volgende contactopties:

  • Contactgegevens voor IT
    Standaardinstelling: niet weergeven
    CSP van WindowsDefenderSecurityCenter: EnableCustomizedToasts

    Configureren waar contactgegevens van IT moeten worden weergegeven aan eindgebruikers.

    • Weergave in app en in meldingen
    • Alleen weergeven in app
    • Alleen weergeven in meldingen
    • Niet weergeven

    Wanneer deze zijn geconfigureerd voor weergave, kunt u de volgende instellingen configureren:

    • Naam van IT-organisatie
      Standaard: niet geconfigureerd
      CSP van WindowsDefenderSecurityCenter: Bedrijfsnaam

    • Telefoonnummer of Skype-id van de IT-afdeling
      Standaard: niet geconfigureerd
      CSP van WindowsDefenderSecurityCenter: Telefoon

    • E-mailadres van IT-afdeling
      Standaard: niet geconfigureerd
      CSP van WindowsDefenderSecurityCenter: Email

    • URL van website voor IT-ondersteuning
      Standaard: niet geconfigureerd
      CSP van WindowsDefenderSecurityCenter: URL

Beveiligingsopties voor lokale apparaten

Gebruik deze opties om de lokale beveiligingsinstellingen op Windows-apparaten te configureren.

Accounts

  • Nieuwe Microsoft-accounts toevoegen
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: Accounts_BlockMicrosoftAccounts

    • Blokkeren Voorkom dat gebruikers nieuwe Microsoft-accounts aan het apparaat toevoegen.
    • Niet geconfigureerd - gebruikers kunnen Microsoft-accounts op het apparaat gebruiken.

  • Extern aanmelden zonder wachtwoord
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: Accounts_LimitLocalAccountUseOfBlankPasswordsToConsoleLogonOnly

    • Blokkeren - Alleen lokale accounts met lege wachtwoorden toestaan zich aan te melden met het toetsenbord van het apparaat.
    • Niet geconfigureerd - Sta toe dat lokale accounts met lege wachtwoorden zich aanmelden vanaf andere locaties dan het fysieke apparaat.

Beheerder

  • Lokale beheerdersaccount
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: Accounts_LimitLocalAccountUseOfBlankPasswordsToConsoleLogonOnly

    • Blokkeren Het gebruik van een lokaal beheerdersaccount voorkomen.
    • Niet geconfigureerd

  • Naam van beheerdersaccount wijzigen
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: Accounts_RenameAdministratorAccount

    Definieer een andere accountnaam die moet worden gekoppeld aan de beveiligings-id (SID) voor het account 'Administrator'.

Guest (Gast)

  • Gastaccount
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: LocalPoliciesSecurityOptions

    • Block - Het gebruik van een gastaccount voorkomen.
    • Niet geconfigureerd

  • Naam gastaccount wijzigen
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: Accounts_RenameGuestAccount

    Definieer een andere accountnaam die moet worden gekoppeld aan de beveiligings-id (SID) voor het account 'Gast'.

Apparaten

  • Apparaat loskoppelen zonder aanmelding
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: Devices_AllowUndockWithoutHavingToLogon

    • Blokkeren : een gebruiker moet zich aanmelden bij het apparaat en toestemming krijgen om het apparaat los te koppelen.
    • Niet geconfigureerd - Gebruikers kunnen op de fysieke eject-knop van een gedokt draagbaar apparaat drukken om het apparaat veilig los te koppelen.

  • Printerstuurprogramma's installeren voor gedeelde printers
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: Devices_PreventUsersFromInstallingPrinterDriversWhenConnectingToSharedPrinters

    • Enabled : elke gebruiker kan een printerstuurprogramma installeren als onderdeel van de verbinding met een gedeelde printer.
    • Niet geconfigureerd - Alleen beheerders kunnen een printerstuurprogramma installeren als onderdeel van de verbinding met een gedeelde printer.

  • Toegang tot cd-rom beperken tot lokale actieve gebruiker
    Standaard: niet geconfigureerd
    CSP: Devices_RestrictCDROMAccessToLocallyLoggedOnUserOnly

    • Enabled : alleen de interactief aangemelde gebruiker kan de cd-rom-media gebruiken. Als dit beleid is ingeschakeld en niemand interactief wordt aangemeld, wordt de cd-rom via het netwerk geopend.
    • Niet geconfigureerd - Iedereen heeft toegang tot de cd-rom.

  • Verwisselbare media formatteren en uitwerpen
    Standaardinstelling: beheerders
    CSP: Devices_AllowedToFormatAndEjectRemovableMedia

    Definieer wie verwisselbare NTFS-media mag formatteren en uitwerpen:

    • Niet geconfigureerd
    • Beheerders
    • Beheerders en hoofdgebruikers
    • Beheerders en interactieve gebruikers

Interactieve aanmelding

  • Minuten inactiviteit op het vergrendelingsscherm totdat de schermbeveiliging wordt geactiveerd
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: InteractiveLogon_MachineInactivityLimit

    Voer het maximum aantal minuten in van inactiviteit totdat de schermbeveiliging wordt geactiveerd. (0 - 99999)

  • Aanmelden met CTRL+ALT+DEL vereisen
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: InteractiveLogon_DoNotRequireCTRLALTDEL

    • Inschakelen : gebruikers moeten op CTRL+ALT+DEL drukken voordat ze zich aanmelden bij Windows.
    • Niet geconfigureerd - Gebruikers hoeven zich niet aan te melden door op CTRL+ALT+DEL te drukken.

  • Gedrag van verwijderen van smartcard
    Standaardinstelling: geen actie
    LocalPoliciesSecurityOptions CSP: InteractiveLogon_SmartCardRemovalBehavior

    Hiermee bepaalt u wat er gebeurt wanneer de smartcard voor een aangemelde gebruiker uit de smartcardlezer wordt verwijderd. Uw opties:

    • Werkstation vergrendelen - Het werkstation is vergrendeld wanneer de smartcard wordt verwijderd. Met deze optie kunnen gebruikers het gebied verlaten, hun smartcard meenemen en toch een beveiligde sessie onderhouden.
    • Geen actie
    • Afmelden forceren : de gebruiker wordt automatisch afgemeld wanneer de smartcard wordt verwijderd.
    • Verbreek de verbinding als een Extern bureaublad-servicesessie : door de verbinding met de smartcard te verbreken, wordt de sessie verbroken zonder dat de gebruiker zich afmeldt. Met deze optie kan de gebruiker de smartcard plaatsen en de sessie later hervatten of op een andere computer met een smartcardlezer, zonder zich opnieuw aan te melden. Als het een lokale sessie betreft, werkt dit beleid op dezelfde manier als Werkstation vergrendelen.

Weergeven

  • Gebruikersinformatie op vergrendelingsscherm
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: InteractiveLogon_DisplayUserInformationWhenTheSessionIsLocked

    Configureer de gebruikersgegevens die worden weergegeven wanneer de sessie is vergrendeld. Als deze optie niet is geconfigureerd, worden de weergavenaam, het domein en de gebruikersnaam weergegeven.

    • Niet geconfigureerd
    • Weergavenaam, domein en gebruikersnaam van de gebruiker
    • Alleen weergavenaam van gebruiker
    • Geen gebruikersgegevens weergeven

  • De laatst aangemelde gebruiker verbergen
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: InteractiveLogon_DoNotDisplayLastSignedIn

    • Inschakelen : verberg de gebruikersnaam.
    • Niet geconfigureerd: de laatste gebruikersnaam weergeven.

  • Gebruikersnaam verbergen bij aanmelden
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: InteractiveLogon_DoNotDisplayUsernameAtSignIn

    • Inschakelen : verberg de gebruikersnaam.
    • Niet geconfigureerd: de laatste gebruikersnaam weergeven.

  • Titel van aanmeldingsbericht
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: InteractiveLogon_MessageTitleForUsersAttemptingToLogOn

    Stel de berichttitel in voor gebruikers die zich aanmelden.

  • Tekst aanmeldingsbericht
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: InteractiveLogon_MessageTextForUsersAttemptingToLogOn

    Stel de berichttekst in voor gebruikers die zich aanmelden.

Netwerktoegang en -beveiliging

  • Anonieme toegang tot Named Pipes en Shares
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: NetworkAccess_RestrictAnonymousAccessToNamedPipesAndShares

    • Niet geconfigureerd: anonieme toegang tot instellingen voor delen en named pipes beperken Van toepassing op de instellingen die anoniem kunnen worden geopend.
    • Blokkeren : schakel dit beleid uit door anonieme toegang beschikbaar te maken.

  • Anonieme opsomming van SAM-accounts
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: NetworkAccess_DoNotAllowAnonymousEnumerationOfSAMAccounts

    • Niet geconfigureerd - Anonieme gebruikers kunnen SAM-accounts opsommen.
    • Block - Anonieme inventarisatie van SAM-accounts voorkomen.

  • Anonieme opsomming van SAM-accounts en -shares
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: NetworkAccess_DoNotAllowAnonymousEnumerationOfSamAccountsAndShares

    • Niet geconfigureerd - Anonieme gebruikers kunnen de namen van domeinaccounts en netwerkshares opsommen.
    • Blokkeren : anonieme inventarisatie van SAM-accounts en -shares voorkomen.

  • LAN Manager-hashwaarde opgeslagen bij wachtwoordwijziging
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: NetworkSecurity_DoNotStoreLANManagerHashValueOnNextPasswordChange

    Bepaal of de hashwaarde voor wachtwoorden is opgeslagen wanneer het wachtwoord de volgende keer wordt gewijzigd.

    • Niet geconfigureerd - de waarde van de hash wordt niet opgeslagen
    • Block - De LAN Manager (LM) slaat de hashwaarde voor het nieuwe wachtwoord op.

  • PKU2U-verificatieaanvragen
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: NetworkSecurity_AllowPKU2UAuthenticationRequests

    • Niet geconfigureerd: PU2U-aanvragen toestaan.
    • Blokkeren : blokkeer PKU2U-verificatieaanvragen voor het apparaat.

  • Externe RPC-verbindingen beperken tot SAM
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: NetworkAccess_RestrictClientsAllowedToMakeRemoteCallsToSAM

    • Niet geconfigureerd: gebruik de standaard security descriptor, waarmee gebruikers en groepen externe RPC-oproepen naar de SAM kunnen doen.

    • Toestaan - Gebruikers en groepen verbieden externe RPC-oproepen te plaatsen naar SAM (Security Accounts Manager), die gebruikersaccounts en wachtwoorden opslaat. Met Toestaan kunt u ook de standaardtekenreeks voor SDDL (Security Descriptor Definition Language) wijzigen om gebruikers en groepen expliciet toe te staan of te weigeren deze externe oproepen te plaatsen.

      • Beveiligingsdescriptor
        Standaard: niet geconfigureerd

  • Minimale sessiebeveiliging voor NTLM SSP-clients
    Standaardwaarde: Geen
    LocalPoliciesSecurityOptions CSP: NetworkSecurity_MinimumSessionSecurityForNTLMSSPBasedClients

    Met deze beveiligingsinstelling kan een server vereisen dat er wordt onderhandeld over 128-bits versleuteling en/of NTLMv2-sessiebeveiliging.

    • Geen
    • NTLMv2-sessiebeveiliging vereisen
    • 128-bits versleuteling vereisen
    • NTLMv2- en 128-bits versleuteling

  • Minimale sessiebeveiliging voor op NTLM SSP gebaseerde server
    Standaardwaarde: Geen
    LocalPoliciesSecurityOptions CSP: NetworkSecurity_MinimumSessionSecurityForNTLMSSPBasedServers

    Met deze beveiligingsinstelling wordt bepaald welk protocol voor challenge/response-verificatie wordt gebruikt voor netwerkaanmeldingen.

    • Geen
    • NTLMv2-sessiebeveiliging vereisen
    • 128-bits versleuteling vereisen
    • NTLMv2- en 128-bits versleuteling

  • Verificatieniveau LAN Manager
    Standaard: LM en NTLM
    LocalPoliciesSecurityOptions CSP: NetworkSecurity_LANManagerAuthenticationLevel

    • LM en NTLM
    • LM, NTLM en NTLMv2
    • NTLM
    • NTLMv2
    • NTLMv2 en niet LM
    • NTLMv2 en niet LM of NTLM

  • Onveilige gastaanmeldingen
    Standaard: niet geconfigureerd
    LanmanWorkstation CSP: LanmanWorkstation

    Als u deze instelling inschakelt, zal de SMB-client onveilige gastaanmeldingen weigeren.

    • Niet geconfigureerd
    • Block - De SMB-client weigert onveilige gastaanmeldingen.

Herstelconsole en afsluiten

  • Virtueel geheugen wissen pagefile bij afsluiten
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: Shutdown_ClearVirtualMemoryPageFile

    • Enable - Wis het virtuele geheugen pagefile wanneer het apparaat is uitgeschakeld.
    • Niet geconfigureerd - Het virtuele geheugen wordt niet gewist.

  • Afsluiten zonder aanmelding
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: Shutdown_AllowSystemToBeShutDownWithoutHavingToLogOn

    • Block - Verberg de afsluitoptie op het Windows-aanmeldingsscherm. Gebruikers moeten zich aanmelden bij het apparaat en vervolgens afsluiten.
    • Niet geconfigureerd: sta gebruikers toe het apparaat af te sluiten vanuit het Windows-aanmeldingsscherm.

Gebruikersaccountbeheer

  • UIA-integriteit zonder veilige locatie
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: UserAccountControl_OnlyElevateUIAccessApplicationsThatAreInstalledInSecureLocations

    • Blokkeren : apps die zich op een veilige locatie in het bestandssysteem bevinden, kunnen alleen worden uitgevoerd met UIAccess-integriteit.
    • Niet geconfigureerd : hiermee kunnen apps worden uitgevoerd met UIAccess-integriteit, zelfs als de apps zich niet op een veilige locatie in het bestandssysteem bevinden.

  • Virtualiseer schrijffouten voor bestanden en registers op locaties per gebruiker
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: UserAccountControl_VirtualizeFileAndRegistryWriteFailuresToPerUserLocations

    • Enabled : toepassingen die gegevens schrijven naar beveiligde locaties, mislukken.
    • Niet geconfigureerd - schrijffouten van toepassingen worden tijdens runtime omgeleid naar gedefinieerde gebruikerslocaties voor het bestandssysteem en het register.

  • Alleen uitvoerbare bestanden uitbreiden die zijn ondertekend en gevalideerd
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: UserAccountControl_OnlyElevateUIAccessApplicationsThatAreInstalledInSecureLocations

    • Enabled : dwing de PKI-certificaatpadvalidatie voor een uitvoerbaar bestand af voordat het kan worden uitgevoerd.
    • Niet geconfigureerd - Dwing geen PKI-certificeringspadvalidatie af voordat een uitvoerbaar bestand kan worden uitgevoerd.

Gedrag van UIA-uitbreidingsprompt

  • Uitbreidingsvraag voor beheerders
    Standaardinstelling: vragen om toestemming voor niet-Windows-binaire bestanden
    LocalPoliciesSecurityOptions CSP: UserAccountControl_BehaviorOfTheElevationPromptForAdministrators

    Definieer het gedrag van de uitbreidingsvraag voor beheerders in Beheer goedkeuringsmodus.

    • Niet geconfigureerd
    • Uitbreiden zonder te vragen
    • Vragen om referenties op het beveiligde bureaublad
    • Vragen om referenties
    • Vragen om toestemming
    • Vragen om toestemming voor niet-Windows-binaire bestanden

  • Uitbreidingsvraag voor standaardgebruikers
    Standaardinstelling: vragen om referenties
    LocalPoliciesSecurityOptions CSP: UserAccountControl_BehaviorOfTheElevationPromptForStandardUsers

    Definieer het gedrag van de uitbreidingsvraag voor standaardgebruikers.

    • Niet geconfigureerd
    • Uitbreidingsaanvragen automatisch weigeren
    • Vragen om referenties op het beveiligde bureaublad
    • Vragen om referenties

  • Aanwijzingen voor hoogte doorsturen naar het interactieve bureaublad van de gebruiker
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: UserAccountControl_SwitchToTheSecureDesktopWhenPromptingForElevation

    • Enabled : alle uitbreidingsaanvragen moeten naar het bureaublad van de interactieve gebruiker gaan in plaats van naar het beveiligde bureaublad. Alle beleidsinstellingen voor promptgedrag voor beheerders en standaardgebruikers worden gebruikt.
    • Niet geconfigureerd - Alle uitbreidingsaanvragen moeten naar het beveiligde bureaublad gaan, ongeacht eventuele beleidsinstellingen voor promptgedrag voor beheerders en standaardgebruikers.

  • Verhoogde prompt voor app-installaties
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: UserAccountControl_DetectApplicationInstallationsAndPromptForElevation

    • Enabled : installatiepakketten voor toepassingen worden niet gedetecteerd of er wordt niet om uitbreiding gevraagd.
    • Niet geconfigureerd - Gebruikers wordt gevraagd om een beheerdersnaam en een wachtwoord wanneer voor een toepassingsinstallatiepakket verhoogde bevoegdheden zijn vereist.

  • UIA-uitbreidingsprompt zonder beveiligd bureaublad
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: UserAccountControl_AllowUIAccessApplicationsToPromptForElevation

  • Inschakelen : sta UIAccess-apps toe om uitbreiding te vragen, zonder het beveiligde bureaublad te gebruiken.

  • Niet geconfigureerd - uitbreidingsprompts gebruiken een beveiligd bureaublad.

Modus Goedkeuring door Beheer

  • Beheer Goedkeuringsmodus voor ingebouwde beheerder
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: UserAccountControl_UseAdminApprovalMode

    • Enabled: het ingebouwde Administrator-account mag Beheer goedkeuringsmodus gebruiken. Voor elke bewerking waarvoor uitbreiding van toegangsrechten is vereist, wordt de gebruiker gevraagd om de bewerking goed te keuren.
    • Niet geconfigureerd: hiermee worden alle apps uitgevoerd met volledige beheerdersbevoegdheden.

  • Alle beheerders uitvoeren in de modus Goedkeuring door Beheer
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: UserAccountControl_RunAllAdministratorsInAdminApprovalMode

    • Enabled: schakel Beheer goedkeuringsmodus in.
    • Niet geconfigureerd: de modus Goedkeuring door Beheer en alle gerelateerde UAC-beleidsinstellingen uitschakelen.

Microsoft Network Client

  • Communicatie digitaal ondertekenen (als de server daarmee akkoord gaat)
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: MicrosoftNetworkClient_DigitallySignCommunicationsIfServerAgrees

    Bepaalt of de SMB-client onderhandelt over SMB-pakketondertekening.

    • Block - De SMB-client onderhandelt nooit over SMB-pakketondertekening.
    • Niet geconfigureerd - De Microsoft-netwerkclient vraagt de server om SMB-pakketondertekening uit te voeren bij de installatie van de sessie. Als pakketondertekening op de server is ingeschakeld, wordt over pakketondertekening onderhandeld.

  • Stuur een niet-versleuteld wachtwoord naar SMB-servers van derden
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: MicrosoftNetworkClient_SendUnencryptedPasswordToThirdPartySMBServers

    • Block - De SMB-redirector (Server Message Block) kan wachtwoorden in platte tekst verzenden naar SMB-servers die geen ondersteuning bieden voor wachtwoordversleuteling tijdens verificatie.
    • Niet geconfigureerd : het verzenden van wachtwoorden in platte tekst blokkeren. De wachtwoorden zijn versleuteld.

  • Communicatie digitaal ondertekenen (altijd)
    Standaard: niet geconfigureerd
    LocalPoliciesSecurityOptions CSP: MicrosoftNetworkClient_DigitallySignCommunicationsAlways

    • Inschakelen : de Microsoft-netwerkclient communiceert niet met een Microsoft-netwerkserver, tenzij die server akkoord gaat met SMB-pakketondertekening.
    • Niet geconfigureerd : SMB-pakketondertekening wordt onderhandeld tussen de client en de server.

Microsoft Network Server

  • Communicatie digitaal ondertekenen (als de klant hiermee akkoord gaat)
    Standaard: niet geconfigureerd
    CSP: MicrosoftNetworkServer_DigitallySignCommunicationsIfClientAgrees

    • Enable - De Microsoft-netwerkserver onderhandelt over SMB-pakketondertekening zoals gevraagd door de client. Dat wil zeggen dat als pakketondertekening is ingeschakeld op de client, pakketondertekening wordt onderhandeld.
    • Niet geconfigureerd - De SMB-client onderhandelt nooit over SMB-pakketondertekening.

  • Communicatie digitaal ondertekenen (altijd)
    Standaard: niet geconfigureerd
    CSP: MicrosoftNetworkServer_DigitallySignCommunicationsAlways

    • Inschakelen : de Microsoft-netwerkserver communiceert niet met een Microsoft-netwerkclient, tenzij die client akkoord gaat met SMB-pakketondertekening.
    • Niet geconfigureerd : SMB-pakketondertekening wordt onderhandeld tussen de client en de server.

Xbox-services

Volgende stappen

Het profiel is gemaakt, maar het doet nog niets. Wijs vervolgens het profiel toe en controleer de status.

Instellingen voor eindpuntbeveiliging configureren op macOS-apparaten .

  • Last updated on