Configure o Microsoft Defender para Ponto de Extremidade no Android usando gerenciamento de aplicativos móveis

O Microsoft Defender para Ponto de Extremidade para Android dá suporte ao gerenciamento de aplicativos móveis (MAM) do Microsoft Intune em dispositivos que são inscritos ou não no gerenciamento de dispositivos móveis (MDM) do Microsoft Intune. Organizações que utilizam outra solução de gestão de mobilidade empresarial também podem usar o Intune MAM para proteger dados organizacionais em aplicativos gerenciados.

As políticas de proteção de aplicativos Intune usam sinais de risco de dispositivos do Defender para Endpoint para aplicar ações de lançamento condicional a aplicativos gerenciados. Políticas de configuração de aplicativos controlam recursos do Defender como proteção web, proteção de rede, privacidade, escaneamento de arquivos, permissões opcionais, controles de desconexão e tags de dispositivo.

Este artigo descreve os pré-requisitos para administrador e usuário final, as configurações do Defender para usar nas políticas do Intune e a experiência de integração do usuário final.

O Microsoft Intune é a ferramenta recomendada para configurar e distribuir os recursos do Defender para Ponto de Extremidade aos dispositivos. Intune é um produto separado que não faz parte do Defender for Endpoint. Não está incluído em todas as assinaturas. Para usar o Intune, você precisa de uma assinatura que a inclua ou pode comprá-la separadamente como uma assinatura autônoma ou complemento. Para obter mais informações, confira Licenciamento do Microsoft Intune.

Defender for Endpoint no Android suporta as seguintes configurações MAM:

• Intune MDM com MAM: O Intune gerencia o dispositivo e aplica políticas de proteção de aplicativos gerenciados.
• MAM sem registro de dispositivo: O Intune aplica políticas de proteção de aplicativos a aplicativos gerenciados em dispositivos que não estão registrados no Intune. Essa configuração, também conhecida como MAM-WE, pode proteger aplicativos em dispositivos registrados em um provedor terceirizado de gerenciamento de mobilidade empresarial.

Use o centro de administração do Microsoft Intune para gerenciar aplicativos em ambas as configurações.

Prerequisites

Pré-requisitos do administrador

Antes que os usuários possam integrar o Defender for Endpoint no modo MAM, conecte o Defender for Endpoint ao Intune, ative o conector para políticas de proteção de aplicativos Android e crie uma política de proteção de aplicativos.

Para configurar a integração, você precisa das seguintes permissões:

• No Intune, a função Gestor de Segurança de Pontos de Extremidade ou permissões equivalentes para gerenciar as configurações de Defesa contra Ameaças Móveis.
• No Microsoft Entra ID, a função de Administrador de Segurança ou permissão para gerenciar configurações de segurança no Defender for Endpoint.

Conectar o Defender for Endpoint ao Intune

Para o procedimento completo de conexão, veja Connect Microsoft Defender para Ponto de Extremidade to Intune.

Verifique as seguintes configurações:

• No portal do Microsoft Defender, na página Outras opções, verifique se a Conexão Microsoft Intune está Ativada.

• No centro de administração do Microsoft Intune, na página Endpoint Security | Microsoft Defender para Ponto de Extremidade, verifique as seguintes configurações:

  • No topo da página, o status da conexão está Ativado.
  • Na seção de avaliação da política de proteção de aplicativo, Conecte dispositivos Android ao Defender for Endpoint está Ligado.

Criar uma política de proteção de aplicativos

Políticas de proteção de aplicativos são regras que protegem dados organizacionais em aplicativos gerenciados. Um aplicativo integrado ao SDK do App Intune ou envolvido pela Ferramenta de Envolvimento do Aplicativo Intune pode ser gerenciado pelo Intune. Para aplicativos públicos suportados, veja aplicativos protegidos pelo Microsoft Intune.

Para o procedimento completo de criação e atribuição de uma política de proteção de aplicativo do Android, veja Visão geral das políticas de proteção de aplicativo. Esta página abre em uma nova aba na documentação do Intune.

Ao criar a política, configure estas configurações específicas do Defender:

• Tipo de política: No centro de administração do Microsoft Intune, na página Apps | Proteção, selecione Criar>Android.

• Aba de aplicativos : Adicione pelo menos um aplicativo gerenciado. Você pode direcionar aplicativos em dispositivos gerenciados, dispositivos não gerenciados ou dispositivos em qualquer estado de gerenciamento.

• Aba de lançamento condicional : Na seção Condições do Dispositivo , selecione o nível máximo permitido de ameaça do dispositivo e então configure as seguintes configurações para ele:

  • Valor: Selecione o nível máximo de ameaça que sua organização permite: Seguro, Baixo, Médio ou Alto.
  • Ação: Selecione Bloquear acesso ou Apagar dados.

Defender for Endpoint compartilha o nível de ameaça do dispositivo com o Intune. Quando os usuários fazem login em um aplicativo gerenciado direcionado, o Intune avalia o sinal de risco do dispositivo Defender e aplica a ação configurada.

Pré-requisitos do usuário final

Antes de iniciar o onboarding dos usuários, certifique-se de que os seguintes requisitos sejam cumpridos:

• O dispositivo roda Android 10.0 ou posterior.
• O aplicativo corretor Intune Portal da Empresa está instalado.
• Os usuários possuem as licenças necessárias para o aplicativo gerenciado.
• O aplicativo gerenciado está instalado.

Integração do usuário final

Quando um aplicativo gerenciado direcionado detecta que o Defender para Endpoint não está ativado, o Intune orienta o usuário a instalar e ativar o aplicativo Defender. Para instruções gerais de instalação e ativação do Android, veja Instalar o aplicativo Mobile Threat Defense em seu dispositivo móvel. Após a ativação, o usuário retorna ao aplicativo gerenciado e seleciona Continuar para fazer login.

Criar uma política de configuração de aplicativos gerenciados

As configurações do Defender nas seções restantes usam uma política de configuração de aplicativos gerenciados do Intune. Você pode adicionar várias chaves de configuração do Defender a uma única política quando as chaves se aplicam às mesmas atribuições. Crie políticas separadas quando precisar de configurações ou atribuições diferentes.

Para o procedimento completo, veja Adicionar uma política de configuração de aplicativo para aplicativos gerenciados. Esta página abre em uma nova aba na documentação do Intune.

Ao criar a política, use estas configurações:

• Tipo de política: No centro de administração do Microsoft Intune, na página de Aplicativos | Configuração, selecione Criar>aplicativos gerenciados.

• Aba Básico: Configure as seguintes configurações:

  • Política de destino para: verifique se a opção Aplicativos selecionados está selecionados.
  • Apps públicos: Selecione + Selecione apps públicos, encontre e selecione Microsoft Defender Endpoint Android, e então selecione Select.

• guia Configurações: Na seção de configurações gerais, siga os seguintes passos:

  • Adicione os nomes e valores especificados nas seções aplicáveis deste artigo.
  • Adicione DefenderMAMConfigs com um valor de 1 a cada política de Aplicativos gerenciados que configura o Defender para Endpoint. A exceção é uma política que desativa a integração do usuário final, em que o valor é 0. Não adicione essa chave a uma política de dispositivos gerenciados .

Configurar a proteção da Web

A proteção da web ajuda a proteger os dispositivos contra ameaças e ataques de phishing. Indicadores anti-phishing e personalizados para URLs e domínios são suportados. No momento, não há suporte para a filtragem de conteúdo da Web em plataformas móveis.

Use o procedimento da política de configuração de aplicativo para aplicativos gerenciados. Adicione as seguintes chaves de configuração na seção de configurações gerais na aba Configurações :

• Nome: antiphishing

• Valor:

  • 1: Habilitar proteção anti-phishing.
  • 0: Desative a proteção anti-phishing.

• Nome: vpn

• Valor:

  • 1: Ative a rede privada virtual local (VPN) usada pela proteção web.
  • 0: Desative a VPN.

Para desativar toda a proteção web, defina ambas as chaves para 0. Para manter a proteção anti-phishing ativada sem a VPN, defina antiphishing para 1 e vpn para 0.

Configurar a proteção de rede

A proteção de rede detecta ameaças de redes Wi-Fi e certificados desonestos. Para uma visão geral do comportamento das funcionalidades, modos de detecção suportados, controles de privacidade e experiência em eventos atuais, veja Configurar proteção de rede.

Use o procedimento de política de configuração do aplicativo Aplicativos Gerenciados. Adicione as chaves de configuração aplicáveis na seção de configurações gerais na aba Configurações :

• Nome: DefenderNetworkProtectionEnable. Ativa ou desativa a proteção de rede. As chaves de proteção de rede restantes só entram em vigor quando essa chave está definida como 1.

• Valor:

  • 0: Desativado.
  • 1: Ativar (padrão).

• Nome: DefenderAllowlistedCACertificates. Estabelece confiança em autoridade de certificação raiz (CA) e certificados autoassinados.

• Valor: Insira uma string contendo impressões digitais de certificado, ou insira nenhum valor (padrão).

• Nome: DefenderCertificateDetection. Controle a detecção de certificados maliciosos. No modo de auditoria, os eventos são enviados para a linha do tempo do dispositivo sem notificar os usuários. Quando ativado, os usuários recebem notificações e eventos são enviados para a linha do tempo do dispositivo.

• Valor:

  • 0: Desativar (padrão).
  • 1: Auditoria.
  • 2: Ativar.

• Nome: DefenderOpenNetworkDetection. Controla a detecção de rede aberta. No modo de auditoria, os eventos são enviados para a linha do tempo do dispositivo sem notificar os usuários. Quando ativado, os usuários recebem notificações e eventos são enviados para a linha do tempo do dispositivo.

• Valor:

  • 0: Desativado.
  • 1: Auditoria.
  • 2: Ativar (padrão).

• Nome: DefenderEndUserTrustFlowEnable. Controla a experiência dentro do aplicativo para confiar ou remover a confiança de redes não seguras e certificados maliciosos.

• Valor:

  • 0: Desativar (padrão).
  • 1: Ativar.

• Nome: DefenderNetworkProtectionAutoRemediation. Controla os alertas de remediação quando os usuários tomam ações, como mudar para um ponto de acesso Wi-Fi mais seguro ou excluir um certificado suspeito.

• Valor:

  • 0: Desativado.
  • 1: Ativar (padrão).

• Nome: DefenderNetworkProtectionPrivacy. Controla a coleta de dados de proteção de rede. Quando a privacidade é desativada, os usuários são solicitados a consentir para compartilhar dados maliciosos de Wi-Fi ou certificados. Quando a privacidade é ativada, os usuários não são solicitados e os dados do app não são coletados.

• Valor:

  • 0: Desativado.
  • 1: Ativar (padrão).

Configurar controles de privacidade

Os controles de privacidade podem impedir que o Defender for Endpoint colete informações de domínio em relatórios de phishing e detalhes de aplicativos em relatórios de malware. As informações de rede são controladas separadamente por DefenderNetworkProtectionPrivacyem Configurar proteção de rede.

Use o procedimento de política de configuração do aplicativo Managed apps. Adicione uma ou ambas as seguintes chaves de configuração na seção de configurações gerais na aba Configurações :

• Nome: DefenderExcludeURLInReport

• Valor:

  • 1: Não colete nomes de domínio ou detalhes inseguros de sites em denúncias de phishing.
  • 0: Colete nomes de domínio e detalhes inseguros do site (padrão).

• Nome: DefenderExcludeAppInReport

• Valor:

  • 1: Não colete nomes de aplicativos ou informações de pacotes em relatórios de malware.
  • 0: Colete nomes de aplicativos e informações de pacotes (padrão).

Configurar a verificação de arquivos não APK

Além de escanear pacotes de aplicativos Android (arquivos APK), o Defender for Endpoint no Android pode escanear arquivos não APK, como documentos, arquivos comprimidos e scripts. O Defender para Endpoint respeita os limites entre perfis no Android e não pode acessar arquivos no perfil pessoal do usuário.

Use o procedimento de política de configuração do aplicativo Aplicativos Gerenciados. Adicione a seguinte chave de configuração na seção de configurações gerais na aba Configurações :

• Nome: EnableNonAPKFileScan

• Valor:

  • 1: Ativar a verificação de arquivos não APK.
  • 0: Desative a varredura de arquivos não-APK (padrão).

Permissões opcionais

Permissões opcionais permitem que os usuários completem o onboarding sem conceder VPNs ou permissões de acessibilidade. Os usuários podem revisar e conceder essas permissões posteriormente.

Configurar permissões opcionais

Use o procedimento da política de configuração do aplicativo Aplicativos Gerenciados. Adicione uma ou ambas as seguintes chaves de configuração na seção de configurações gerais na aba Configurações :

• Nome: DefenderOptionalVPN

• Valor:

  • 1: Permitir que os usuários pulem a permissão de VPN durante a integração.
  • 0: Exigir permissão VPN durante o onboarding (padrão).

• Nome: DefenderOptionalAccessibility

• Valor:

  • 1: Permitir que os usuários pulem a permissão de acessibilidade durante a integração.
  • 0: Exigir permissão de acessibilidade durante a configuração inicial (padrão).

Fluxo do usuário para permissões opcionais durante a integração

Quando permissões opcionais são habilitadas, os usuários experimentam o seguinte comportamento:

1. Os usuários podem pular a permissão da VPN, a permissão de acessibilidade ou ambas, e completar a integração.
2. O dispositivo está integrado e envia um batimento cardíaco mesmo quando o usuário pula as permissões.
3. A proteção web não está ativa quando ambas as permissões estão desativadas. A proteção web é parcialmente ativa quando o usuário concede uma das permissões.
4. Posteriormente, os usuários podem ativar a proteção web a partir do aplicativo Defender. Ativar a proteção web instala a configuração da VPN no dispositivo.

Desativar saída

Ocultar o botão de desconexão ajuda a impedir que usuários saiam do app Defender para que o Defender para Endpoint continue rodando.

Use o procedimento da política de configuração de aplicativo Managed apps. Adicione a seguinte chave de configuração na seção de configurações gerais na aba Configurações :

• Nome: DisableSignOut

• Valor:

  • 1: Esconda o botão de desligamento.
  • 0: Mostrar o botão de desconexão (padrão).

Configurar marcação de dispositivo

O Defender for Endpoint para Android oferece suporte à marcação em massa de dispositivos móveis durante a integração. Após os usuários instalarem e ativarem o Defender, o aplicativo cliente envia as tags dos dispositivos para o portal do Microsoft Defender. As tags aparecem junto com os dispositivos no inventário de dispositivos.

Use o procedimento da política de configuração de aplicativo de Aplicativos Gerenciados. Adicione a seguinte chave de configuração na seção de configurações gerais na aba Configurações :

• Nome: DefenderDeviceTag

• Valor:

  • Para atribuir uma nova tag, insira um valor de string para a tag do dispositivo.
  • Para editar uma tag existente, mude o valor.
  • Para excluir uma tag existente, remova a chave da política.

Desabilitar a integração do usuário final

O Defender para Endpoint no Android é habilitado por padrão no modo MAM. Para evitar que usuários baixem e configurem o Defender em dispositivos não inscritos, use o procedimento da política de configuração de aplicativo Aplicativos Gerenciados para adicionar a seguinte chave de configuração na seção de Configurações Gerais na aba Configurações:

• Nome: DefenderMAMConfigs

• Valor:

  • 0: desative a integração do usuário final.
  • 1: Ativar a integração do usuário final (padrão).

Conteúdo relacionado

• Visão geral da defesa contra ameaças móveis
• Configurar anéis de visualização dinâmica para Microsoft Defender no celular
• Microsoft Intune: Implantar e configurar o Microsoft Defender para Endpoint no Android