Configure o Microsoft Defender para Ponto de Extremidade no iOS usando gerenciamento de aplicativos móveis

Microsoft Defender para Ponto de Extremidade no iOS suporta o gerenciamento de aplicativos móveis (MAM) do Microsoft Intune em dispositivos que estão registrados ou não estão registrados no gerenciamento de dispositivos móveis (MDM) do Intune. Organizações que utilizam outra solução de gestão de mobilidade empresarial também podem usar o Intune MAM para proteger dados organizacionais em aplicativos gerenciados.

As políticas de proteção de aplicativos Intune usam sinais de risco de dispositivos do Defender para Endpoint para aplicar ações de lançamento condicional a aplicativos gerenciados. Este artigo explica como conectar o Defender for Endpoint ao Intune, configurar uma política de proteção de aplicativos iOS e preparar os usuários para incorporar o Defender for Endpoint.

Microsoft Intune é necessário para os procedimentos mencionados neste artigo. O Intune é um produto separado que não faz parte do Defender for Endpoint, e não está incluído em todas as assinaturas. Para usar o Intune, você precisa de uma assinatura que a inclua ou pode comprá-la separadamente como uma assinatura autônoma ou complemento. Para obter mais informações, confira Licenciamento do Microsoft Intune.

Defender for Endpoint no iOS suporta as seguintes configurações de MAM:

• Intune MDM com MAM: O Intune gerencia o dispositivo e aplica políticas de proteção de aplicativos gerenciados.
• MAM sem registro de dispositivo: O Intune aplica políticas de proteção de aplicativos a aplicativos gerenciados em dispositivos que não estão registrados no Intune. Essa configuração, também conhecida como MAM-WE, pode proteger aplicativos em dispositivos registrados em um provedor terceirizado de gerenciamento de mobilidade empresarial.

Use o centro de administração do Microsoft Intune para gerenciar aplicativos em ambas as configurações.

Pré-requisitos

Antes que os usuários possam integrar o Defender for Endpoint no modo MAM, conecte o Defender for Endpoint ao Intune, ative o conector para políticas de proteção de aplicativos iOS e crie uma política de proteção de aplicativos.

Para configurar a integração e a política, você precisa das seguintes permissões:

• No Intune, a função Endpoint Security Manager ou permissões equivalentes de função personalizada:
  • Para configurar a avaliação da política de conexão de serviço e proteção de aplicativos, Leia e Modifique permissões para Defesa de Ameaças Móveis.
  • Para criar e atribuir políticas de proteção de aplicativos, Atribuir, Criar, Excluir, Ler, Atualizar e Apagar permissões para aplicativos Gerenciados.
• No Microsoft Entra ID, a função Administrador de Segurança ou a permissão Gerenciar configurações de segurança na Central de Segurança do Windows no Defender for Endpoint.

Conectar o Defender for Endpoint ao Intune

Para o procedimento completo de conexão, veja Configurar Microsoft Defender para Ponto de Extremidade com Intune e dispositivos integrados.

Verifique as seguintes configurações:

• Na página Outras opções do portal do Microsoft Defender em https://security.microsoft.com/securitysettings/endpoints/integration, a conexão Microsoft Intune está ativada.
• Na página Segurança de ponto de extremidade | Microsoft Defender para Ponto de Extremidade no centro de administração do Microsoft Intune em https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/atp, verifique as seguintes configurações:
  • No topo da página, o status da conexão está Ativado.
  • Na seção avaliação da política de proteção de aplicativos, Conectar dispositivos iOS/iPadOS ao Defender para Endpoint está Ativado.

Configure sinais de risco do Defender em uma política de proteção de aplicativos

As políticas de Proteção de aplicativos protegem dados organizacionais em aplicativos gerenciados. Um aplicativo integrado ao SDK do App Intune ou envolvido pela Ferramenta de Envolvimento do Aplicativo Intune pode ser gerenciado pelo Intune. Para aplicativos públicos suportados, veja aplicativos protegidos pelo Microsoft Intune.

Para o procedimento completo de criação e atribuição de uma política de proteção de aplicativos iOS/iPadOS, veja Criar e atribuir políticas de proteção de aplicativos.

Quando você cria a política na página de Apps | Proteção no centro de administração do Microsoft Intune em https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/AppsMenu/~/protection, configure estas configurações específicas do Defender:

• Tipo de política: Selecione Criar>iOS/iPadOS.
• Aba de aplicativos : Adicione pelo menos um aplicativo gerenciado. Direcione a política para aplicativos em dispositivos gerenciados, dispositivos não gerenciados ou dispositivos em qualquer estado de gerenciamento, conforme exigido pela sua organização.
• Aba de lançamento condicional : Na seção Condições do Dispositivo , selecione o nível máximo permitido de ameaça do dispositivo e então configure as seguintes configurações:
  • Valor: Selecione o nível máximo de ameaça que sua organização permite: Seguro, Baixo, Médio ou Alto. Garantido é o valor mais restritivo. Alta permite todos os níveis de ameaça e requer uma conexão ativa com o serviço Mobile Threat Defense.
  • Ação: Selecione Bloquear acesso ou Apagar dados.
• Serviço MTD primário: Se sua organização configurou múltiplos conectores Mobile Threat Defense, selecione Microsoft Defender para Ponto de Extremidade. Essa configuração exige o nível máximo permitido de ameaça do dispositivo.
• Aba de Atribuições : Atribua a política aos grupos de usuários aplicáveis.

Defender for Endpoint compartilha o nível de ameaça do dispositivo com o Intune. Quando os usuários fazem login em um aplicativo gerenciado direcionado, o Intune avalia o sinal de risco do dispositivo Defender. Se o risco exceder o nível de ameaça permitido, o Intune bloqueia o acesso ou apaga os dados organizacionais do app, dependendo da ação que você selecionou.

Adicionar usuários

Para dispositivos iOS, o Microsoft Authenticator registra o dispositivo e verifica a identidade do usuário com o Microsoft Entra ID. O usuário deve registrar o dispositivo no Authenticator com a mesma conta de trabalho ou escola usada para ativar o Defender for Endpoint.

Quando um aplicativo gerenciado direcionado detecta que o Defender para Endpoint não está ativado, o Intune orienta o usuário para instalar e fazer login no Microsoft Authenticator e no Defender for Endpoint. Os usuários também podem instalar a versão mais recente do Microsoft Defender a partir da Apple App Store.

Para mais informações sobre como preparar os aplicativos necessários para dispositivos não registrados, veja Adicionar aplicativos de Defesa contra Ameaças Móveis em dispositivos não registrados.