Konfigurera Microsoft Defender för Endpoint på Android med hjälp av mobilapplikationshantering

Microsoft Defender för Endpoint på Android stöder Microsoft Intune Mobile Application Management (MAM) på enheter som är registrerade eller inte registrerade i Intune Mobile Device Management (MDM). Organisationer som använder en annan företagsmobilitetshanteringslösning kan också använda Intune MAM för att skydda organisationsdata i hanterade appar.

Intunes appskyddspolicyer använder Defender for Endpoint-enhetsrisksignaler för att tillämpa villkorliga startåtgärder på hanterade appar. App-konfigurationspolicys styr Defender-funktioner såsom webbskydd, nätverksskydd, integritet, filskanning, valfria behörigheter, utloggingskontroller och enhetstaggar.

Denna artikel beskriver administratörens och slutanvändarens förutsättningar, Defender-inställningarna som ska användas i Intune-policys samt slutanvändarens onboarding-upplevelse.

Microsoft Intune är det rekommenderade verktyget för att konfigurera och distribuera Defender för slutpunktsfunktioner till enheter. Intune är en separat produkt som inte ingår i Defender for Endpoint. Det ingår inte i alla prenumerationer. Om du vill använda Intune behöver du en prenumeration som innehåller den, eller så kan du köpa den separat som en fristående prenumeration eller ett tillägg. Mer information finns i Microsoft Intune licensiering.

Defender for Endpoint på Android stöder följande MAM-konfigurationer:

• Intune MDM med MAM: Intune hanterar enheten och tillämpar appskyddspolicys på hanterade appar.
• MAM utan enhetsregistrering: Intune tillämpar appskyddspolicyer på hanterade appar på enheter som inte är registrerade i Intune. Denna konfiguration, även känd som MAM-WE, kan skydda appar på enheter som är registrerade hos en tredjepartsleverantör av företagsmobilitetshantering.

Använd Microsoft Intune admincenter för att hantera appar i båda konfigurationerna.

Förutsättningar

Krav för administratör

Innan användare kan onboarda Defender for Endpoint i MAM-läge, koppla Defender for Endpoint till Intune, aktivera connectorn för Android-appskyddspolicyer och skapa en appskyddspolicy.

För att konfigurera integrationen behöver du följande behörigheter:

• I Intune finns rollen Endpoint Security Manager eller motsvarande behörigheter för att hantera inställningar för Mobile Threat Defense.
• I Microsoft Entra ID, rollen som säkerhetsadministratör, eller behörighet att hantera säkerhetsinställningar i Defender for Endpoint.

Ansluta Defender för Endpoint till Intune

För hela anslutningsproceduren, se Connect Microsoft Defender för Endpoint to Intune.

Kontrollera följande inställningar:

• I Microsoft Defender-portalen, på sidan Andra alternativ, kontrollera att Microsoft Intune Connection är På.

• I Microsoft Intune admincenter, på sidan Endpoint security | Microsoft Defender för Endpoint, verifiera följande inställningar:

  • Högst upp på sidan är anslutningsstatusaktiverad.
  • I avsnittet om utvärdering av Ochrana aplikácií-policy, Koppla Android-enheter till Defender för Endpoint är på.

Skapa en princip för appskydd

Principer för appskydd är regler som skyddar organisationsdata i hanterade appar. En app integrerad med Intune App SDK eller wrappad av Intune App Wrapping Tool kan hanteras av Intune. För stödda publika appar, se Microsoft Intune skyddade appar.

För hela processen att skapa och tilldela en Android-appskyddsprincip, se Översikt över appskyddsprinciper. Den här sidan öppnas i en ny flik i Intunes dokumentation.

När du skapar policyn, konfigurera dessa Defender-specifika inställningar:

• Policytyp: I Microsoft Intune administrationscenter, på sidan Apps | Skydd, välj Skapa>Android.

• Appflik : Lägg till minst en hanterad app. Du kan rikta in appar på hanterade enheter, ohanterade enheter eller enheter i vilket hanteringsläge som helst.

• Flik för villkorad start : I avsnittet Enhetsvillkor , välj Maximal tillåten enhetshotnivå och konfigurera sedan följande inställningar för den:

  • Värde: Välj den maximala hotnivå som din organisation tillåter: Säker,Låg, Medel eller Hög.
  • Åtgärd: Välj Blockera åtkomst eller Radera data.

Defender for Endpoint delar hotnivån på enheten med Intune. När användare loggar in på en riktad hanterad app utvärderar Intune Defender-enhetsrisksignalen och tillämpar den konfigurerade åtgärden.

Krav för slutanvändare

Innan användarna påbörjar introduktionen, se till att följande krav är uppfyllda:

• Enheten kör Android 10.0 eller senare.
• Intune Company Portal-mäklarappen är installerad.
• Användare har de nödvändiga licenserna för den hanterade appen.
• Den hanterade appen är installerad.

Slutanvändarregistrering

När en riktad hanterad app upptäcker att Defender for Endpoint inte är aktiverad, vägleder Intune användaren att installera och aktivera Defender-appen. Allmänna installations- och aktiveringsanvisningar för Android finns i Installera appen för skydd mot mobila hot på din mobila enhet. Efter aktivering återvänder användaren till den hanterade appen och väljer Fortsätt för att logga in.

Skapa en konfigurationspolicy för hanterade appar

Defender-inställningarna i de återstående sektionerna använder en Intune Managed Apps appkonfigurationspolicy. Du kan lägga till flera Defender-konfigurationsnycklar till en policy när nycklarna gäller för samma tilldelningar. Skapa separata policys när du behöver olika inställningar eller tilldelningar.

För hela proceduren, se Lägg till en appkonfigurationspolicy för hanterade appar. Den här sidan öppnas i en ny flik i Intunes dokumentation.

När du skapar principen använder du följande inställningar:

• Policytyp: I administrationscentret för Microsoft Intune, på sidan Appar | Konfiguration, välj Skapa>Hanterade appar.

• Grundläggande flik: Konfigurera följande inställningar:

  • Målprincip till: Kontrollera att valda appar har valts.
  • Publika appar: Välj + Välj publika appar, hitta och välj Microsoft Defender Endpoint Android och välj sedan Select.

• Fliken Inställningar: I avsnittet Allmänna konfigurationsinställningar gör du följande:

  • Lägg till de namn och värden som anges i de relevanta avsnitten i denna artikel.
  • Lägg till DefenderMAMConfigs med värdet 1 i varje princip för hanterade appar som konfigurerar Defender for Endpoint. Undantaget är en policy som inaktiverar slutanvändarens onboarding, där värdet är 0. Lägg inte till denna nyckel i en policy för hanterade enheter .

Konfigurera webbskydd

Webbskydd hjälper till att skydda enheter mot webbhot och nätfiskeattacker. Anti-phishing och anpassade indikatorer för URL:er och domäner stöds. Webbinnehållsfiltrering stöds för närvarande inte på mobila plattformar.

Använd proceduren för appkonfigurationspolicy för hanterade appar. Lägg till följande konfigurationsnycklar i avsnittet Allmänna konfigurationsinställningar på fliken Inställningar :

• Namn: antiphishing

• Värde:

  • 1: Aktivera anti-phishing-skydd.
  • 0: Inaktivera anti-phishing-skydd.

• Namn: vpn

• Värde:

  • 1: Aktivera det lokala virtuella privata nätverket (VPN) som används av webbskydd.
  • 0: Inaktivera VPN:n.

För att inaktivera allt webbskydd, ställ in båda nycklarna till 0. För att hålla antiphishing-skyddet aktiverat utan VPN, ställ antiphishing in på 1 och vpn på 0.

Konfigurera nätverksskydd

Nätverksskydd upptäcker hot från skurkaktiga Wi-Fi nätverk och certifikat. För en översikt över funktionsbeteendet, stödda detektionslägen, integritetskontroller och aktuell händelseupplevelse, se Konfigurera nätverksskydd.

Använd proceduren för appkonfigurationsprincipen Hanterade appar. Lägg till relevanta konfigurationsnycklar i avsnittet Allmänna konfigurationsinställningar på fliken Inställningar :

• Namn: DefenderNetworkProtectionEnable. Aktiverar eller inaktiverar nätverksskydd. De återstående nätverksskyddsnycklarna träder endast i kraft när denna nyckel sätts till 1.

• Värde:

  • 0: Inaktivera.
  • 1: Aktivera (standard).

• Namn: DefenderAllowlistedCACertificates. Etablerar förtroende för rotcertifikatutfärdare (CA) och självsignerade certifikat.

• Värde: Ange en sträng som innehåller certifikat-tumavtryck, eller ange inget värde (standard).

• Namn: DefenderCertificateDetection. Kontrollerar upptäckt av skadliga certifikat. I revisionsläge skickas händelser till enhetens tidslinje utan att användarna meddelas. När det är aktiverat får användarna notiser och händelser skickas till enhetens tidslinje.

• Värde:

  • 0: Inaktivera (standard).
  • 1: Granskning.
  • 2: Möjliggöra.

• Namn: DefenderOpenNetworkDetection. Styr öppen nätverksdetektering. I revisionsläge skickas händelser till enhetens tidslinje utan att användarna meddelas. När det är aktiverat får användarna notiser och händelser skickas till enhetens tidslinje.

• Värde:

  • 0: Inaktivera.
  • 1: Granskning.
  • 2: Aktivera (standard).

• Namn: DefenderEndUserTrustFlowEnable. Kontrollerar upplevelsen i appen för att lita på eller ta bort förtroende från osäkra nätverk och skadliga certifikat.

• Värde:

  • 0: Inaktivera (standard).
  • 1: Möjliggöra.

• Namn: DefenderNetworkProtectionAutoRemediation. Kontrollerar åtgärdsvarningar när användare agerar som att byta till en säkrare Wi-Fi åtkomstpunkt eller radera ett misstänkt certifikat.

• Värde:

  • 0: Inaktivera.
  • 1: Aktivera (standard).

• Namn: DefenderNetworkProtectionPrivacy. Kontrollerar insamlingen av nätverksskyddsdata. När integriteten är avstängd ombeds användare att ge samtycke för att dela skadliga Wi-Fi- eller certifikatdata. När integritet är aktiverad blir användarna inte tillfrågad och appdata samlas inte in.

• Värde:

  • 0: Inaktivera.
  • 1: Aktivera (standard).

Konfigurera sekretesskontroller

Integritetskontroller kan förhindra att Defender for Endpoint samlar in domäninformation i nätfiskerapporter och appdetaljer i malwarerapporter. Nätverksinformation kontrolleras separat av DefenderNetworkProtectionPrivacy i Configure network protection.

Använd proceduren för konfigurationspolicy för hanterade appar. Lägg till en eller båda av följande konfigurationsnycklar i avsnittet Allmänna konfigurationsinställningar under fliken Inställningar:

• Namn: DefenderExcludeURLInReport

• Värde:

  • 1: Samla inte in domännamn eller information om osäkra webbplatser i nätfiskerapporter.
  • 0: Samla in domännamn och osäkra webbplatsuppgifter (standard).

• Namn: DefenderExcludeAppInReport

• Värde:

  • 1: Samla inte in appnamn eller paketinformation i malwarerapporter.
  • 0: Samla in appnamn och paketinformation (standard).

Konfigurera filgenomsökning som inte är APK

Förutom att skanna Android-applikationspaket (APK-filer) kan Defender for Endpoint på Android skanna icke-APK-filer, såsom dokument, komprimerade arkiv och skript. Defender för Endpoint respekterar Android-profilgränser och kan inte komma åt filer i användarens personliga profil.

Använd proceduren för konfigurationspolicy för hanterade appar. Lägg till följande konfigurationsnyckel i avsnittet Allmänna konfigurationsinställningar under fliken Inställningar :

• Namn: EnableNonAPKFileScan

• Värde:

  • 1: Aktivera skanning av filer utan APK.
  • 0: Inaktivera skanning av filer utan APK (standard).

Valfria behörigheter

Valfria behörigheter låter användare slutföra onboarding utan att ge VPN- eller tillgänglighetsbehörigheter. Användare kan granska och ge dessa behörigheter senare.

Konfigurera valfria behörigheter

Använd proceduren för appkonfigurationspolicy för hanterade appar. Lägg till en eller båda av följande konfigurationsnycklar i avsnittet Allmänna konfigurationsinställningar under fliken Inställningar:

• Namn: DefenderOptionalVPN

• Värde:

  • 1: Låt användare hoppa över VPN-behörighet under onboarding.
  • 0: Kräv VPN-behörighet under introduktionen (standard).

• Namn: DefenderOptionalAccessibility

• Värde:

  • 1: Låt användare hoppa över tillgänglighetsbehörighet under onboarding.
  • 0: Kräv tillgänglighetsbehörighet under introduktionen (standardinställning).

Användarflöde för valfria behörigheter under registrering

När valfria behörigheter är aktiverade upplever användarna följande beteende:

1. Användare kan hoppa över VPN-behörigheten, tillgänglighetsbehörigheten eller båda, och slutföra onboarding.
2. Enheten ansluts och skickar en heartbeat-signal även när användaren hoppar över att ge behörigheter.
3. Webbskyddet är inte aktivt när båda behörigheterna är avstängda. Webbskyddet är delvis aktivt när användaren ger en av behörigheterna.
4. Användare kan senare aktivera webbskydd från Defender-appen. Att aktivera webbskydd installerar VPN-konfigurationen på enheten.

Inaktivera utloggning

Att dölja utloggningsknappen hjälper till att förhindra att användare loggar ut från Defender-appen så att Defender for Endpoint fortsätter att köras.

Använd proceduren Managed apps app configuration policy procedure. Lägg till följande konfigurationsnyckel i avsnittet Allmänna konfigurationsinställningar under fliken Inställningar :

• Namn: DisableSignOut

• Värde:

  • 1: Göm utloggningsknappen.
  • 0: Visa utloggningsknappen (standard).

Konfigurera enhetstaggning

Defender for Endpoint på Android stöder taggning i grupp av mobila enheter vid registrering. Efter att användarna installerat och aktiverat Defender skickar klientappen enhetstaggarna till Microsoft Defender-portalen. Taggarna visas tillsammans med enheterna i enhetsinventariet.

Använd proceduren för konfigurationsprincipen för appkonfiguration för hanterade appar. Lägg till följande konfigurationsnyckel i avsnittet Allmänna konfigurationsinställningar under fliken Inställningar :

• Namn: DefenderDeviceTag

• Värde:

  • För att tilldela en ny tagg, ange ett strängvärde för enhetstaggen.
  • För att redigera en befintlig tagg, ändra värdet.
  • För att ta bort en befintlig tagg, ta bort nyckeln från policyn.

Inaktivera registrering av slutanvändare

Defender för Endpoint på Android är aktiverat som standard i MAM-läge. För att förhindra att användare laddar ner och installerar och konfigurerar Defender på oregistrerade enheter, använd proceduren för appkonfigurationsprincipen Hanterade appar för att lägga till följande konfigurationsnyckel i avsnittet Allmänna konfigurationsinställningar under fliken Inställningar:

• Namn: DefenderMAMConfigs

• Värde:

  • 0: Inaktivera introduktion för slutanvändare.
  • 1: Aktivera introduktion för slutanvändare (standard).

Relaterat innehåll

• Översikt av mobilt hotförsvar
• Konfigurera dynamiska förhandsgranskningsringar för Microsoft Defender på mobilen
• Microsoft Intune: Distribuera och konfigurera Microsoft Defender för Endpoint på Android