使用 Intune 和上線裝置設定適用於端點的 Microsoft Defender

本文提供逐步指示，以將適用於端點的 Microsoft Defender 連線至 Microsoft Intune、按平台將裝置上線至適用於端點的 Defender，以及設定使用裝置風險層級來控制公司資源存取的合規性和條件式存取原則。

本文會列出工作特定的需求。 同時檢閱 一般整合必要條件。

您將完成什麼

完成本指南之後，您將完成下列整合工作流程：

✅Intune 與 適用於端點的 Microsoft Defender 之間的服務對服務連線
✅上線至 適用於端點的 Microsoft Defender (Windows、macOS、Android、iOS/iPadOS) 的裝置
✅ 合規性原則 已設定為自動將風險裝置標記為不符合規範
✅封鎖來自公司資源之不相容裝置的條件式存取原則

快速瀏覽

• 連線服務
• 設定整合設定
• 將裝置上線
• 設定合規性原則
• 設定應用程式防護原則
• 設定條件式存取

針對行動環境： 本指南也涵蓋適用於 Android 和 iOS/iPadOS 裝置的 應用程式保護原則 。 這些原則會設定裝置風險層級，並同時使用已註冊和未註冊的裝置，根據適用於端點的 Microsoft Defender威脅評定為行動裝置應用程式提供額外保護。

其他功能：除了已註冊的裝置之外，您也可以在未註冊 Intune (的裝置上管理適用於端點的 Defender 安全性設定，包括) Linux裝置。 此案例稱為適用於端點的 Microsoft Defender 的安全性管理，適用於端點的 Microsoft Defender。 若要啟用此功能，請將 [允許適用於端點的 Microsoft Defender 強制執行端點安全性設定] 切換設為 [開啟]。 如需詳細資訊，請參閱適用於端點的 適用於端點的 Microsoft Defender 安全性設定管理。

將適用於端點的 Defender 連線至 Intune

為每個租用戶完成此一次性設定，以建立啟用整合功能的服務對服務連線。

必要條件：

• 管理員具有 Endpoint Security Manager 角色或行動裝置威脅防禦設定的同等權限，存取 Microsoft Intune 系統管理中心。 自訂角色需要行動威脅防禦權限的讀取和修改權限。 如需詳細資訊，請參閱 建立自訂角色。
• 具有 Microsoft Entra ID 中的安全性系統管理員角色對 Microsoft Defender 入口網站的管理員存取權，或在適用於端點的 Defender 中管理 Windows 安全性中心的安全性設定權限。

啟用 Intune 和適用於端點的 Defender 整合

1. 請先檢查連線狀態：登入 Microsoft Intune 系統管理中心，然後選取 [適用於端點的端點安全性>]。

   • 如果連線狀態顯示 [已啟用]，表示服務已連線。 跳至 上線裝置。
   • 如果 連線狀態顯示 無法 使用，請繼續進行下一個步驟。

2. 開啟 Microsoft Defender 入口網站： 從 Intune 系統管理中心，捲動至適用於端點的 Defender 頁面底部，然後選取 [開啟 Defender 資訊安全中心] (或直接瀏覽至 security.microsoft.com) 。

   提示

   如果已連線，連結會顯示為： 開啟適用於端點的 Defender 系統管理主控台。

   

3. 在 Defender 入口網站中啟用連線：在 Microsoft Defender 入口網站中，移至 [系統>設定>] 端點>[一般>] 進階功能。

   

   找出 [Intune] 連線，將其切換為 [開啟]，然後選取 [儲存喜好設定]。

   

   如需有關此設定的詳細資訊，請參閱適用於端點的 Defender 文件中的 Microsoft Intune 連線。

4. 驗證：返回 Intune 系統管理中心。 連線狀態現在應顯示為已啟用 ( 更新) 最多可能需要 15 分鐘。 如有需要，您可以在適用於端點的 [端點安全性> Defender] 底下查看和調整監視設定。

服務對服務連線現已建立。 繼續設定哪些平台和功能使用此整合。

設定整合設定

建立服務連線之後，請設定哪些平台會連線到適用於端點的 Defender，以進行合規性和應用程式保護原則評估。

必要條件：具有 Microsoft Intune 系統管理中心的管理員存取權，具有 Endpoint Security Manager 角色或行動裝置威脅防禦設定的同等權限。 自訂角色需要行動威脅防禦權限的讀取和修改權限。 如需詳細資訊，請參閱 建立自訂角色。

設定合規性和應用程式保護設定

1. 移至整合設定：在 Intune 系統管理中心，移至適用於端點的端點安全性> Defender。 連線狀態現在應顯示 為已啟用。

2. 設定合規性原則評估： 在支援平台的 合規性原則評估 下啟用這些選項：

   • 將 Android 裝置連線至適用於端點的 Defender： 開啟
   • 將 iOS/iPadOS 裝置連線至適用於端點的 Defender： 開啟
   • 將 Windows 裝置連線至適用於端點的 Defender： 開啟

   注意事項

   啟用這些設定時，您目前使用 Intune 管理的所有適用裝置，加上未來的註冊，都會連線到適用於端點的 Defender 以進行合規性評估。

   提示

   其他 iOS 設定： 針對 iOS 裝置，適用於端點的 Defender 也支援可協助提供應用程式弱點評定的設定。 您可以啟用適用於 iOS 裝置的 App Sync ，以允許在需要 MDM 註冊) (威脅分析的中繼資料共用，並設定 [在個人擁有的 iOS/iPadOS 裝置上傳送完整應用程式清查資料] ，以控制與適用於端點的 Defender 共用的應用程式資料。 如需詳細資料，請參閱 設定應用程式的弱點評定。

   如需詳細資訊，請參閱 行動威脅防禦切換選項。

3. 設定應用程式防護原則評估：在行動平台的應用程式防護原則評估下啟用這些選項：

   • 將 Android 裝置連線至適用於端點的 Defender： 開啟
   • 將 iOS/iPadOS 裝置連線至適用於端點的 Defender： 開啟

   提示

   應用程式防護原則可與已註冊和未註冊的裝置搭配使用。 如需詳細資訊，請參閱 行動裝置威脅防禦切換選項。

4. 設定行動裝置威脅防禦角色 (Android) ： 在 行動裝置威脅防禦角色底下，您可以選擇在已註冊的 Android 企業版完全受控和公司擁有的工作設定檔裝置上，授予適用於端點的 Defender 增強的安全性權限。 您也可以在這些裝置上進行裝置設定期間啟用適用於端點的 Defender 自動啟動。 如需這些切換及其授予權限的詳細資訊，請參閱 行動威脅防禦角色。

5. 儲存您的設定： 選取 [儲存] 以套用所有設定。

您啟用的平台會將裝置連線到適用於端點的 Defender，以進行威脅評定和合規性評估。

將裝置上線

裝置上線會設定受管理的裝置與適用於端點的 Defender 通訊，進而啟用威脅偵測和風險評定。

必要條件：管理員具有端點安全管理員角色或端點偵測和回應原則的同等權限存取 Microsoft Intune 系統管理中心 (自訂角色需要端點偵測和回應權限) 的指派、建立、刪除、讀取、更新及檢視報告權限。

特定平台上線：

• Windows： 自動上線套件 (建議)
• macOS、Android、iOS/iPadOS：需要手動設定

將 Windows 裝置上線

建立服務連線時，Intune 會自動從適用於端點的 Microsoft Defender 接收適用於端點的 Microsoft Defender 的上線設定套件。 此套件可以啟用：

• 與適用於端點的 Microsoft Defender服務的通訊
• 檔案掃描和威脅偵測
• 合規性原則的風險層級報告

選擇您的部署方法：

• 快速設定：預先設定的原則 (部署到所有裝置)
• 自訂設定： 手動建立原則 (精細控制)

選項 1：快速設定 (預先設定的原則)

使用此選項可快速、廣泛地部署到所有 Windows 裝置，而不需要額外設定。

包含的內容：

• 自動上線套件設定
• 預設範圍標籤
• 指派給所有裝置群組
• 不需要額外設定

快速設定步驟

1. 在 Microsoft Intune 系統管理中心，移至 [端點安全性>] [端點偵測及回應>]EDR [上線狀態] 索引標籤。

2. 選取 [部署預先設定的原則]。

   

3. 設定原則：

   • 平台：針對 Intune 受管理的) 選取 Windows (，或針對租用戶連結) 選取 Windows (ConfigMgr) (
   • 設定檔：選取 [ 端點偵測及回應]
   • 名稱：輸入描述性名稱 (例如，「MDE EDR 上線 - 所有 Windows 裝置」)

4. 檢閱並建立：驗證設定，然後選取 [儲存]。 原則會立即開始部署至所有 Windows 裝置。

   注意事項

   您可以稍後編輯原則詳細資料，但無法在建立期間變更初始部署設定。

選項 2：自訂設定 (手動建立原則)

使用此選項以進行精細控制、特定裝置群組或自訂範圍標記。

自訂設定步驟

1. 在 Microsoft Intune 系統管理中心選取 [端點安全性>] [端點偵測及回應>][摘要] 索引標籤 >[建立原則]。

2. 平台和設定檔：

   • 平台： Windows
   • 設定檔： 端點偵測及回應
   • 選取 [建立]

3. 基本功能： 輸入描述性名稱和選擇性描述，然後選取 [下一步]。

4. 組態設定： 根據您的需求設定這些選項：

   • 適用於端點的 Defender 用戶端設定套件類型：

     • 自動來自連接器 (建議) ：使用來自 適用於端點的 Microsoft Defender 的自動上線套件。
     • Onboard： 針對中斷連線的環境 - 貼上 WindowsDefenderATP.onboarding blob 內容。

   • 範例共用：設定裝置是否與 Microsoft 共用可疑的檔案範例以進行分析。

     • 全部：啟用自動樣本共用以增強威脅偵測
     • 無：停用樣本共用 (降低偵測功能)

   注意事項

   遙測報告頻率 已過時，且不會影響新裝置。 對於較舊的原則相容性，該設定仍然可見。

   

   注意事項

   上面的螢幕捕捉畫面顯示設定 Intune 與適用於端點的 Defender 之間的連線之後的設定選項。 連線時，系統會自動產生上線和離線 Blob 的詳細資料，並將其傳輸到 Intune。

   如果未成功設定此連線，則設定 適用於端點的 Defender 用戶端設定套件類型 只會包含指定上線和離線 blob 的選項。

5. 範圍標籤 ( 選擇性) ：如果需要，請新增範圍標籤，然後選取 [下一步]。

6. 指派： 選取接收此設定檔的裝置群組。

   重要事項

   • 裝置群組：建議用於立即部署。
   • 使用者群組：需要使用者先登入，原則才會套用。

   如需指派指導方針，請參閱 指派使用者和裝置設定檔。

7. 檢閱 + 建立：驗證所有設定，然後選取 [建立]。

驗證步驟

1. 檢查原則部署： 瀏覽至 [端點安全性>] 端點偵測及回應> 選取您的原則 >裝置狀態。
2. 驗證裝置上線：15-30 分鐘後，裝置應該會出現在 [端點>] 底下的 Microsoft Defender 入口網站中裝置詳細目錄。

將 macOS 裝置上線

不同於 Windows 裝置，macOS 需要手動設定，因為 Intune 不提供 macOS 的自動上線套件。

macOS 上線快速入門

1. 部署應用程式：請遵循適用於 macOS 的適用於端點的 Microsoft Defender 部署指南。
2. 設定設定：使用 Intune 應用程式組態原則。
3. 驗證上線： 檢查裝置是否顯示在 Defender 入口網站中。

其他資源：

• 適用於端點的 適用於端點的 Microsoft Defender for Mac - 完整的功能文件和版本資訊。

上線 Android 裝置

Android 上線快速入門

1. 部署應用程式：請遵循部署和設定 Android 版適用於端點的 Microsoft Defender 部署指南。
2. 設定 Web 保護：使用適用於端點的 Microsoft Defender Web 保護原則以提升安全性。
3. 驗證上線： 在 Defender 入口網站中確認裝置註冊。

可用的設定：

• Web 防護設定
• VPN 型掃描
• 隱私權控制
• 威脅偵測喜好設定

上線 iOS/iPadOS 裝置

iOS 上線快速入門

1. 部署應用程式：請遵循適用於 iOS 的適用於端點的 Microsoft Defender 必要條件和上線指示。
2. 設定監督偵測： 為增強功能設定受監督模式偵測。
3. 驗證上線：檢查 Defender 入口網站中的裝置註冊。

受監督模式設定： 對於受監督的 iOS/iPadOS 裝置，請設定監督偵測以啟用進階管理功能。 請參閱 受監督裝置的完整部署。

受監督裝置的設定步驟

1. 建立應用程式設定原則：在 Microsoft Intune 系統管理中心選取 [應用程式>] [應用程式設定原則>] [新增>受管理的裝置]。

2. 設定基本概念：

   • 名稱：輸入描述性名稱，例如「MDE 監督偵測 - iOS」。
   • 平台： iOS/iPadOS
   • 目標應用程式：適用於端點的 Microsoft Defender

3. 組態設定：

   • 組態機碼： issupervised
   • 數值類型： 字串
   • 設定值： {{issupervised}}

4. 指派：鎖定 [所有裝置 ] 或特定的受監督裝置群組。

5. 檢閱 + 建立：完成原則建立。

監視裝置上線狀態

使用下列步驟來監視哪些裝置成功上線至適用於端點的 Defender。

若要檢視上線狀態：

1. 在 Intune 系統管理中心，移至 [端點安全性>] [端點偵測及回應>]EDR [上線狀態] 索引標籤。
2. 檢閱所有平台的上線狀態。

必要權限：您的帳戶需要 Intune RBAC 中 Microsoft Defender 進階威脅防護的讀取權限。

成功指標：

• 裝置會顯示在 [端點]> 底下的 Defender 入口網站中 [裝置詳細目錄]。
• EDR 上線狀態顯示「已成功上線」。
• 風險層級會顯示在裝置合規性報告中。

建立並指派合規性原則以設定裝置風險層級

超過設定風險閾值的裝置會自動標示為不符合規範，條件式存取原則可封鎖它們來自公司資源。

支援的平台： Android、iOS/iPadOS 和 Windows 裝置。

必要條件：

• 管理員具有 Endpoint Security Manager 角色或裝置合規性原則的同等權限存取 Microsoft Intune 系統管理中心 (自訂角色需要裝置合規性原則權限) 的指派、建立、刪除、讀取和更新權限。

建立原則的步驟

1. 移至 [合規性原則]：在 Microsoft Intune 系統管理中心，選取 [裝置]>，展開 [管理裝置]，然後選取 [合規性>原則] 索引標籤 >[建立原則]。

2. 選取平台： 選擇您的目標平台：

   • Android 裝置系統管理員 (有限的支援)
   • Android 企業版 (建議用於 Android)
   • iOS/iPadOS
   • Windows 10 和更新版本

   重要事項

   Windows 10 於 2025 年 10 月 14 日終止支援，且不會收到品質和功能更新。 Windows 10 是 Intune 中允許使用的版本。 執行此版本的裝置仍然可以在 Intune 中註冊並使用符合資格的功能，但功能無法保證，而且可能會有所不同。

   如有需要，請選取設定檔類型，例如 Windows 平台的 Windows 10/11 合規性原則。

3. 設定基本概念：

   • 名稱：輸入描述性名稱 (例如「MDE 風險層級 - Windows 裝置」)
   • 描述：有關原則用途的選擇性詳細資料

4. 設定風險閾值：在 [合規性設定] 索引標籤上，展開 [適用於端點的 Microsoft Defender並設定 [要求裝置達到或低於電腦風險評分]：

   風險等級選項 ( 由適用於端點的 Microsoft Defender) 決定：

   • 清除 (最安全的) ：

     • 允許：無威脅
     • 封鎖：任何偵測到的威脅
     • 使用時機：需要最高安全性

   • 低度：

     • 允許：僅限低層級威脅
     • 封鎖：中度和高度威脅
     • 使用時機：平衡安全性與生產力

   • 中型：

     • 允許：低度和中度威脅
     • 封鎖：僅限高層級威脅
     • 使用時機：中等安全性需求

   • 高 (最不安全的)

     • 允許：所有威脅層級
     • 封鎖：無 (僅回報)
     • 使用時機：將生產力最大化，封鎖最小化

   重要事項

   建議的設定： [低] 為大多數組織提供了安全性和使用者生產力的最佳平衡。

5. 完整配置：

   • 不合規動作： 設定通知和寬限期
   • 指派： 選取要接收此原則的裝置或使用者群組
   • 檢閱 + 建立：驗證設定並建立原則

6. 驗證：

   • 超過風險臨界值的裝置在 [裝置>合規性>] 中顯示為「不符合規範」 裝置合規性
   • 檢查報告> 合規性趨勢的裝置合規性

建立和指派應用程式保護原則以設定裝置風險層級。

應用程式防護原則獨立於裝置註冊運作，為行動應用程式提供額外的安全層。

平台： 僅限 iOS/iPadOS 和 Android

必要條件：

• 管理員具有 Endpoint Security Manager 角色或安全性相關行動裝置應用程式原則的同等權限，存取 Microsoft Intune 系統管理中心。 自訂角色需要受管理應用程式權限的指派、建立、刪除、讀取、更新及抹除權限。

請遵循 應用程式保護原則建立指南 ，並設定這些適用於端點的 Defender 特定設定：

• 應用程式：選取要透過威脅型原則保護的應用程式

• 有條件的啟動： 設定威脅等級和回應動作：

  • 允許的最大裝置威脅等級：
    • 安全：不允許任何威脅 (最安全的)
    • 低度：只允許低層級威脅
    • 中：允許低度和中度威脅
    • 高：允許所有威脅層級， (僅) 報告
  • 超過閾值時的動作：
    • 封鎖存取： 禁止應用程式存取
    • 抹除資料：從應用程式移除公司資料

• 指派： 指派給使用者群組。 此原則會評估其裝置是否提供應用程式層級保護。

建立條件式存取原則

條件式存取原則會封鎖標示為不相容的裝置存取像是 SharePoint 和 Exchange Online 等公司資源。

必要條件：

• Microsoft Intune 系統管理中心的管理員存取權。
• 權限相當於 Entra ID 中的條件式存取系統管理員角色，用於管理條件式存取原則。

建立原則的步驟

1. 移至條件式存取：在 Microsoft Intune 系統管理中心選取 [端點安全性>] [條件式存取>] [建立新原則]。

2. 基本設定：

   • 名稱：輸入描述性名稱，例如「封鎖不相容裝置 - MDE 整合」。

3. 使用者指派：

   • 包含： 選取應受此原則約束的使用者群組。
   • 排除： 排除貴組織的 緊急緊急系統管理員帳戶 ，以防止鎖定。 如果您使用 Microsoft Entra Connect 或 Microsoft Entra Connect 雲端同步，也請排除目錄同步處理帳戶目錄角色。

4. 資源保護：

   • 目標資源：選取 [雲端應用程式]。
   • 包含： 選擇 選取應用程式並新增：
     • Office 365 SharePoint Online
     • Office 365 Exchange Online
     • 視需要執行其他公司應用程式

5. 用戶端應用程式條件：

   • 條件>用戶端應用程式>設定： 是
   • 選取： 瀏覽器 和 行動裝置應用程式和桌面用戶端
   • 選取 [完成]

6. 存取控制項：

   • 授與>授與存取權
   • 選取： 要求將裝置標示為符合規範
   • 針對多個控制項： 需要所有選取的控制項
   • 選取 [選取]

7. 啟用原則： 將 [啟用原則] 設定為 [僅報告]，然後選取 [建立]。 原則已儲存，但尚未封鎖存取。

8. 檢閱僅限報表的結果： 等候 24 小時讓登入資料累積，然後檢閱結果：

   • 在Microsoft Entra 系統管理中心中，移至 [身分識別>監視] & 健康情況>登入記錄。
   • 依您的原則名稱篩選，然後檢閱 [僅限報告] 欄。 確認只有預期的裝置和使用者會顯示為不符合規範。
   • 如果範圍正確，請回到 [條件式存取>原則]，選取您的原則，然後將 [啟用原則] 變更為 [開啟]。

9. 驗證： 使用不符合規範的裝置進行測試，以確認存取已正確封鎖。 檢查 Microsoft EntraIDSign-ins> 以取得原則強制記錄。

後續步驟

立即的後續步驟

1. 監視部署： 檢查 裝置上線狀態 和合規性報告。
2. 驗證保護： 使用受控案例進行測試，以確保原則如預期般運作。
3. 擴充保護：考慮進行 弱點管理 以進行主動威脅補救。

平台特定的增強功能

• Android： 設定網頁保護設定。
• 所有平台： 監控風險等級的合規性。

進階功能

Intune 整合：

• 使用弱點管理的安全性工作 - 修復裝置弱點。
• 裝置合規性原則 - 全面合規性管理。
• 應用程式防護原則 - 行動裝置應用程式資料保護。
• 行動裝置應用程式防護原則 - 針對 Android 和 iOS/iPadOS 裝置，這些原則會設定裝置風險層級，並同時適用於已註冊和未註冊的裝置。
• 未註冊裝置的安全性管理 - 在未註冊 Intune (的裝置上管理適用於端點的 Defender 安全性設定，包括 Linux 裝置) 。

適用於端點的 適用於端點的 Microsoft Defender：

• 條件式存取整合 - 進階存取控制案例。
• 適用於端點的 Microsoft Defender 報告 - 威脅監視和回應。

支援資源

• 整合問題： 查看 疑難排解指南。
• 原則衝突：請參閱原則 衝突解決。