Microsoft Defender voor Eindpunt implementeren en configureren op Android

Gebruik Microsoft Intune om Defender for Endpoint te implementeren en configureren op Android-apparaten. Intune zorgt voor de implementatie van apps en de levering van beleid. Zodra het apparaat is geïnstalleerd, biedt Microsoft Defender bescherming tegen mobiele bedreigingen op het apparaat. Op Android is onboarding app-gestuurd: een apparaat wordt beschouwd als onboard wanneer de gebruiker de Defender-app opent en de installatie voltooit. Dit artikel behandelt het toevoegen van de app van beheerde Google Play, het toewijzen en verifiëren van de implementatie, het maken van app-configuratiebeleid, het instellen van always-on VPN en het optioneel inschakelen van low-touch onboarding.

Vereisten

• Licenties: Wijs gebruikers zowel een Intune-licentie als een Defender for Endpoint-licentie toe. Zie de licentievereisten voor Microsoft Defender voor Eindpunt voor meer informatie over licenties.

• Inschrijving: Registreer apparaten bij Intune met een van de volgende Android Enterprise-inschrijvingstypen:

  • Apparaten in persoonlijk bezit met een werkprofiel
  • Apparaten in bedrijfseigendom met een werkprofiel
  • Volledig beheerde gebruikersapparaten die eigendom zijn van het bedrijf

  Belangrijk

  Beheer van Android-apparaatbeheerder (DA) is afgeschaft en niet meer beschikbaar voor apparaten met toegang tot Google Mobile Services (GMS). Als u momenteel DA-beheer gebruikt, raden we u aan over te schakelen naar een andere Android-beheeroptie. Ondersteunings- en Help-documentatie blijft beschikbaar voor sommige Android 15- en eerdere apparaten zonder GMS. Zie Ondersteuning voor Android-apparaatbeheerder op GMS-apparaten beëindigen voor meer informatie.

• Android OS-versie: Zie Systeemvereisten voor Defender voor Eindpunt op Android voor ondersteunde besturingssysteemversies.

• Beheerde Google Play: Voordat u apps voor Android Enterprise-apparaten kunt toevoegen en toewijzen, moet u de Intune tenant verbinden met beheerde Google Play.

• Verbinding tussen Intune en Defender: Schakel de service-naar-serviceverbinding van Intune met Defender voor Eindpunt in. Zonder dit beleid zijn de onboardingstatus, apparaatrisicosignalen en EDR-zichtbaarheid in Intune niet beschikbaar. Zie Microsoft Defender voor Eindpunt configureren met Intune en ingebouwde apparaten voor meer informatie.

Defender voor Eindpunt implementeren op Android

De app toevoegen vanuit beheerde Google Play

De Defender for Endpoint-app toevoegen aan uw beheerde Google Play Store en deze beschikbaar maken in Intune:

1. Ga in het Microsoft Intune-beheercentrum naar Apps (1) en selecteer vervolgens de Android-tegel om de pagina Android-apps te openen (2). Selecteer Maken (3) en selecteer bij App-type Beheerde Google Play-app (4) en selecteer vervolgens Selecteren.

   

   1. Zoek op de beheerde Google Play-pagina naar Microsoft Defender. Selecteer Defender: Antivirus in de zoekresultaten. Dit is de naam van de Defender for Endpoint-app in de beheerde Google Play Store.

   2. Controleer de app-details op de pagina met apps en selecteer vervolgens Selecteren (1), gevolgd door Synchroniseren (2) om de app te synchroniseren met Intune.

      

      De synchronisatie is binnen enkele minuten voltooid.

2. Nadat de synchronisatie is voltooid, gaat u terug naar het Intune-beheercentrum en selecteert u Vernieuwen op het scherm met Android-apps. Microsoft Defender: Antivirus wordt nu weergegeven in de lijst met apps.

   

Blijf op de pagina met Android-apps voor de volgende procedure.

De app toewijzen

Wijs de app toe als een vereiste app, zodat deze automatisch in het werkprofiel wordt geïnstalleerd tijdens de volgende apparaatsynchronisatie via de Bedrijfsportal-app.

1. Selecteer op de pagina Android-apps van het Intune-beheercentrum de optie Microsoft Defender: Antivirus in de lijst met apps. Ga naar Eigenschappen (1) en selecteer voor OpdrachtenBewerken (2).

   

2. Ga in het deelvenster Toepassing bewerken naar de sectie Vereist (1) en selecteer Groep toevoegen om het deelvenster Groepen selecteren te openen.

   

3. Selecteer in het deelvenster Groepen selecteren de groepen die deze app moeten ontvangen en selecteer vervolgens Selecteren.

4. Selecteer in het deelvenster Toepassing bewerken onder aan het deelvenster Controleren + opslaan en selecteer vervolgens Opslaan om de opdracht door te voeren.

Implementatie controleren

Nadat u de toewijzing hebt opgeslagen, kunt u de installatiestatus voor specifieke apparaten bevestigen voordat u doorgaat met de configuratie.

1. Selecteer op de pagina Android-apps van het Intune-beheercentrum de optie Microsoft Defender: Antivirus in de lijst met apps. Op de pagina Overzicht van de standaardapp Intune grafiektegels weergegeven met een overzicht van de installatiestatus.

2. Als u wilt bepalen of een specifiek apparaat de app heeft geïnstalleerd, selecteert u Installatiestatus apparaat of selecteert u de tegel Apparaatstatus . In Intune wordt een lijst met apparaten weergegeven met meer informatie.

   

3. Controleer of de doelapparaten een geslaagde installatiestatus hebben voordat u doorgaat.

Defender voor Eindpunt configureren op Android

Nadat u de app hebt geïmplementeerd, gebruikt u Intune-beleid om Defender voor Eindpunt te configureren op Android-apparaten. Configuratie omvat het maken van een app-configuratiebeleid om app-machtigingen te verlenen en een apparaatconfiguratieprofiel om always-on VPN in te stellen voor webbeveiliging. Voor optionele functieconfiguraties die specifiek zijn voor Defender, zoals netwerkbeveiliging en privacybesturingselementen, raadpleegt u Configureren van Microsoft Defender voor Eindpunt op Android-functies in de Defender-documentatie.

App-machtigingen en onboarding-instellingen configureren

Maak een app-configuratiebeleid om Defender de machtigingen te verlenen die nodig zijn op het apparaat en, optioneel, low-touch onboarding in te schakelen om de stappen te verminderen die gebruikers tijdens de eerste lancering moeten uitvoeren.

1. Ga in het Microsoft Intune-beheercentrum naar Apps, vouw Beheerde apps uit en selecteer Configuratie>Beheerde apparatenmaken>.

2. Geef op de pagina Basisinformatie de volgende gegevens op:

   • Naam: voer een beschrijvende naam in, zoals Defender voor Eindpunt.
   • Platform: Android Enterprise
   • Profieltype: selecteer het type dat overeenkomt met de registratie van uw apparaat:
     • Alleen werkprofiel in persoonlijk eigendom
     • Alleen volledig beheerd, toegewijd en bedrijfseigen werkprofiel
   • Gerichte app: Selecteer Microsoft Defender: Antivirus, selecteer OK en selecteer vervolgens Volgende.

3. Laat op de pagina Instellingen de standaardnotatie van de configuratie-instellingen voorlopig staan. Selecteer Toevoegen voor Machtigingen. Selecteer in de lijst Machtigingen toevoegen de beschikbare app-machtigingen en selecteer vervolgens OK.

   Defender for Endpoint raadt aan om tijdens de implementatie de volgende machtigingen te verlenen:

   Machtiging	Aanbevolen status	Waarom dit belangrijk is
   Locatietoegang (prima)	Automatisch toekennen	Vereist voor web- en netwerkbeveiliging. Zonder dit kan Defender alleen beschermen tegen malafide certificaten; Wi-Fi bedreigingsdetectie is niet beschikbaar. Gebruikers moeten ook Tijdens de onboarding altijd toestaan selecteren, voor volledige dekking van Wi-Fi bedreigingen.
   POST_NOTIFICATIONS	Automatisch toekennen	Vereist om bedreigingswaarschuwingen de gebruiker te laten bereiken. Zie de opmerking voor beperkingen voor inschrijvingstypen en besturingssysteemversies.

   Nadat u de machtigingen hebt toegevoegd, gebruikt u de vervolgkeuzelijst Machtigingsstatus om het gewenste gedrag voor elke machtiging in te stellen:

   • Prompt: Prompts voor de gebruiker om te accepteren of te weigeren.
   • Automatisch verlenen: Keurt automatisch goed zonder de gebruiker hiervan op de hoogte te stellen.
   • Automatisch weigeren: Automatisch weigeren zonder de gebruiker hiervan op de hoogte te stellen.

   Opmerking

   Op Android 12 en hoger wordt Automatisch verlenen niet ondersteund voor bepaalde machtigingen voor werkprofielen die eigendom zijn van het bedrijf en specifieke apparaten. Zie App-configuratiebeleid toevoegen voor beheerde Android Enterprise-apparaten voor meer informatie.

4. (Optioneel) Schakel low-touch onboarding in.

   Low-touch onboarding is standaard uitgeschakeld. Zonder dit moeten gebruikers die Defender voor Eindpunt voor het eerst openen, hun werkaccountreferenties invoeren en de installatiewizard van de app handmatig doorlopen. In de onboarding-modus met weinig aanraakinvoer wordt de UPN (UPN) van de gebruiker vooraf ingevuld, zodat gebruikers hun aanmeldingsreferenties niet hoeven in te voeren wanneer ze de eerste keer worden gestart. In combinatie met het always-on VPN-profiel dat in de volgende sectie wordt behandeld, minimaliseert dit de prompts en stappen die gebruikers tegenkomen tijdens de onboarding.

   Low-touch onboarding kan handig zijn voor volledig beheerde implementaties die eigendom zijn van het bedrijf en waarbij u gebruikersfrictie wilt verminderen. Voor apparaten met een persoonlijk werkprofiel, waar gebruikers mogelijk een actievere deelname aan de installatie van apps verwachten, kan de standaardstroom geschikter zijn. Als u deze stap overslaat, werkt het beleid als een beleid met alleen machtigingen en voltooien gebruikers de onboarding via de standaardstroom.

   Opmerking

   In tegenstelling tot iOS (onder toezicht) en Windows biedt Android geen ondersteuning voor volledig stille of zero-touch onboarding. Het machtigingsmodel van Android vereist expliciete toestemming van de gebruiker voor bepaalde machtigingen, dus een zekere mate van gebruikersinteractie tijdens de eerste start is altijd vereist. Low-touch onboarding is de dichtstbijzijnde beschikbare optie om die interactie te minimaliseren.

   Als u low-touch onboarding wilt inschakelen, stelt u op de pagina Instellingen de vervolgkeuzelijst Configuration settings format in op Use configuration designer, select Add en configureer vervolgens de volgende toetsen:

   Sleutel	Waardetype	Configuratiewaarde
   Low touch onboarding	Geheel getal	1
   UPN voor gebruiker	Variabele	User Principal Name (UPN)

   Selecteer beide toetsen in de lijst en selecteer OK. Stel vervolgens voor elke toets het waardetype en de configuratiewaarde in, zoals wordt weergegeven in de tabel.

5. Wijs dit beleid op de pagina Toewijzingen toe aan dezelfde gebruikersgroepen die u hebt gebruikt tijdens de implementatie van de app Microsoft Defender: Antivirus.

6. Bevestig uw keuzes bij Controleren + maken en selecteer vervolgens Maken.

Altijd beschikbare VPN instellen

Gebruik een apparaatconfiguratieprofiel om de webbeveiligingstunnel van Defender te leveren aan geregistreerde apparaten via het beleid van Intune, zodat gebruikers tijdens het onboarden niet handmatig een VPN hoeven te configureren.

1. Ga in het Microsoft Intune-beheercentrum naar Apparaten (1), vouw Apparaten beheren uit en selecteer Configuratie (2). Selecteer op het tabblad Beleid (3) de optie Nieuw beleidmaken (4). > Stel in het deelvenster Een profiel maken Platform in op Android Enterprise en Profieltype op Sjablonen (5) en selecteer vervolgens Apparaatbeperkingen (6) voor een van de volgende sjabloontypen, op basis van het type inschrijving van uw apparaat:

   • Volledig beheerd, toegewijd en Corporate-Owned werkprofiel
   • Werkprofiel in persoonlijk eigendom

   Selecteer vervolgens Maken om de configuratiewerkstroom voor beleid voor apparaatbeperkingen te openen.

   

2. Geef op de pagina Basisinformatie een naamen beschrijving op om het configuratieprofiel uniek te identificeren.

   

3. Vouw Connectiviteit uit voor configuratie-instellingen en configureer vervolgens uw VPN:

   1. Schakel altijd actieve VPN in (werkprofielniveau). Stel een VPN-client in het werkprofiel in om automatisch verbinding te maken en opnieuw verbinding te maken met VPN wanneer dit mogelijk is. Er kan slechts één VPN-client worden geconfigureerd voor always-on VPN op een bepaald apparaat, dus zorg ervoor dat u niet meer dan één always-on VPN-beleid op een apparaat implementeert.

   2. Gebruik de vervolgkeuzelijst voor VPN-clients om Aangepast te selecteren. In dit geval is de aangepaste VPN de Defender for Endpoint VPN, die webbeveiliging biedt.

      Opmerking

      De Defender for Endpoint-app moet zijn geïnstalleerd op het apparaat van de gebruiker om automatische VPN-instellingen te laten plaatsvinden.

   3. Geef bij Pakket-id de id op van de app Microsoft Defender: Antivirus uit de beheerde Google Play Store. Voor de URL van de app Microsoft Defender is com.microsoft.scmxde pakket-id.

   4. Stel de vergrendelingsmodus in op Niet geconfigureerd, de standaardinstelling.

      

4. Selecteer op de pagina Toewijzingen de gebruikersgroep waaraan u dit apparaatconfiguratieprofiel wilt toewijzen. Kies Groepen selecteren die u wilt opnemen, selecteer de toepasselijke groep en selecteer vervolgens Volgende.

   De te selecteren groep is meestal dezelfde groep waaraan u de Android-app Defender voor Eindpunt toewijst.

5. Controleer de instellingen op de pagina Controleren + maken en selecteer vervolgens Maken.

Voltooi de onboarding van het apparaat

Nadat u beleid naar apparaten hebt gepusht, voltooien gebruikers de onboarding vanaf het apparaat. Op persoonlijke apparaten met een werkprofiel wordt Defender weergegeven in het werkprofiel. Op volledig beheerde apparaten die eigendom zijn van het bedrijf, wordt Defender weergegeven in het profiel voor één apparaat.

1. Gebruikers openen de Defender for Endpoint-app en accepteren de machtigingen om onboarding te voltooien.

   Tip

   Instrueer gebruikers om Altijd toestaan te selecteren wanneer daarom wordt gevraagd om locatietoegang tijdens het instellen van de app. Deze optie maakt volledige detectie van Wi-Fi bedreigingen mogelijk via netwerkbeveiliging. Als gebruikers Tijdens het gebruik van de app selecteren of de toestemming weigeren, kan Defender nog steeds bescherming bieden tegen malafide certificaten, maar kan het geen bedreigingen detecteren op open of verdachte Wi-Fi netwerken. Er is geen beheerdersconfiguratie die deze keuze afdwingt; hiervoor is toestemming van de gebruiker op het niveau van het besturingssysteem vereist.

   

De onboardingstatus verifiëren

Nadat gebruikers de onboarding hebben voltooid, controleert u of het apparaatrapport is geslaagd.

Controle vanuit het Intune-beheercentrum:

1. Ga naar Eindpuntbeveiliging>Eindpuntdetectie en -respons.
2. Selecteer het tabblad EDR-onboardingstatus en controleer de onboardingstatus voor uw Android-apparaten. Voor apparaten met een geslaagde onboarding wordt de status Succesvol onboarded weergegeven.

Controleren vanuit de Defender-portal:

1. Ga in de Microsoft Defender-portal naar Eindpunten>Apparaatinventaris en bevestig dat uw Android-apparaten daar worden weergegeven.

Zie Onboardingstatus van apparaten controleren voor meer informatie over het gebruik van Intune voor het bewaken van de onboardingstatus op verschillende platforms.

Als apparaten niet worden weergegeven zoals verwacht, controleer je op de volgende omstandigheden:

• App niet geïnstalleerd: controleer het app-configuratiebeleid en de app-toewijzing met behulp van de stappen in Implementatie controleren.
• De gebruiker heeft de onboarding niet voltooid: het apparaat wordt pas weergegeven nadat de gebruiker de app heeft geopend en de installatie heeft voltooid.
• Intune-Defender-connector is inactief: controleer of de service-naar-service-verbinding is ingeschakeld. Zie Microsoft Defender voor Eindpunt configureren met Intune.
• Aanmeldings- of toestemmingsfouten: zie Problemen oplossen in Microsoft Defender voor Eindpunt op Android voor oplossingen voor veelvoorkomende onboardingfouten.

Volgende stappen

• Webbeveiligingsinstellingen van Microsoft Defender voor Eindpunt configureren voor Android: Instellingen voor webbeveiliging beheren vanuit Intune per registratietype.
• Configureer Microsoft Defender voor Eindpunt op Android-functies: Configureer privacyinstellingen en andere Android-specifieke Defender-functies.