Configurez Microsoft Defender for Endpoint sur Android en utilisant la gestion des applications mobiles

Microsoft Defender for Endpoint sur Android prend en charge la gestion des applications mobiles (MAM) Microsoft Intune sur les appareils inscrits ou non dans la gestion des appareils mobiles Intune (MDM). Les organisations qui utilisent une autre solution de gestion de la mobilité d’entreprise peuvent également utiliser Intune MAM pour protéger les données organisationnelles dans les applications gérées.

Les politiques de protection des applications Intune utilisent les signaux de risque des appareils de Defender for Endpoint pour appliquer des actions de lancement conditionnel aux applications gérées. Les politiques de configuration des applications contrôlent des fonctionnalités de Defender telles que la protection web, la protection réseau, la confidentialité, le scan de fichiers, les permissions optionnelles, les contrôles de déconnexion et les tags de périphérique.

Cet article décrit les prérequis pour l’administrateur et l’utilisateur final, les paramètres Defender à utiliser dans les politiques Intune, ainsi que l’expérience d’intégration des utilisateurs finaux.

Microsoft Intune est l’outil recommandé pour configurer et distribuer les fonctionnalités de Defender for Endpoint sur les appareils. Intune est un produit distinct qui ne fait pas partie de Defender for Endpoint. Ce n’est pas inclus dans tous les abonnements. Pour utiliser Intune, vous avez besoin d’un abonnement qui l’inclut, ou vous pouvez l’acheter séparément en tant qu’abonnement ou module complémentaire autonome. Pour plus d’informations, consultez Gestion des licences Microsoft Intune.

Defender for Endpoint sur Android prend en charge les configurations MAM suivantes :

• Intune MDM avec MAM : Intune gère l’appareil et applique les politiques de protection des applications gérées.
• MAM sans inscription d’appareil : Intune applique des politiques de protection des applications gérées sur les appareils qui ne sont pas inscrits dans Intune. Cette configuration, également appelée MAM-WE, peut protéger les applications sur les appareils inscrits chez un fournisseur tiers de gestion de mobilité d’entreprise.

Utilisez le centre d’administration Microsoft Intune pour gérer les applications dans les deux configurations.

Prerequisites

Conditions préalables de l’administrateur

Avant que les utilisateurs puissent intégrer Defender for Endpoint en mode MAM, connectez Defender for Endpoint à Intune, activez le connecteur pour les politiques de protection des applications Android, et créez une politique de protection des applications.

Pour configurer l’intégration, vous avez besoin des autorisations suivantes :

• Dans Intune, le rôle Endpoint Security Manager ou des autorisations équivalentes sont requis pour gérer les paramètres de Mobile Threat Defense.
• Dans Microsoft Entra ID, le rôle d’administrateur de sécurité, ou la permission de gérer les paramètres de sécurité dans Defender for Endpoint.

Connecter Defender pour point de terminaison à Intune

Pour la procédure complète de connexion, voir Connect Microsoft Defender for Endpoint to Intune.

Vérifiez les paramètres suivants :

• Dans le portail Microsoft Defender, sur la page Autres options, vérifiez que la connexion Microsoft Intune est activée.

• Dans le centre d’administration Microsoft Intune, sur la page Sécurité des terminaux | Microsoft Defender for Endpoint, vérifiez les paramètres suivants :

  • En haut de la page, le statut de la connexion est Activé.
  • Dans la section Évaluation de la stratégie de protection des applications, Connecter les appareils Android à Defender for Endpoint est Activé.

Créer une stratégie de protection des applications

Les stratégies de protection des applications sont des règles qui protègent les données organisationnelles dans les applications gérées. Une application intégrée au SDK de l’application Intune ou encapsulée par l’outil d’enveloppement d’applications Intune peut être gérée par Intune. Pour les applications publiques prises en charge, voir applications protégées par Microsoft Intune.

Pour obtenir la procédure complète de création et d’attribution d’une stratégie de protection des applications Android, consultez Vue d’ensemble des stratégies de protection des applications. Cette page s’ouvre dans un nouvel onglet de la documentation Intune.

Lorsque vous créez la politique, configurez ces paramètres spécifiques à Defender :

• Type de politique : Dans le centre d’administration Microsoft Intune, sur la page Apps | Protection, sélectionnez Créer>Android.

• Onglet Applications : Ajoutez au moins une application gérée. Vous pouvez cibler des applications sur des appareils gérés, non gérés, ou dans n’importe quel état de gestion.

• Onglet Lancement conditionnel : Dans la section Conditions de l’appareil, sélectionnez Niveau de menace maximal autorisé de l’appareil, puis configurez les paramètres suivants :

  • Valeur : Sélectionnez le niveau de menace maximal permis par votre organisation : sécurisé, faible, moyen ou élevé.
  • Action : Sélectionnez Bloquer l’accès ou Effacer les données.

Defender for Endpoint partage le niveau de menace de l’appareil avec Intune. Lorsque les utilisateurs se connectent à une application gérée ciblée, Intune évalue le signal de risque de l’appareil Defender et applique l’action configurée.

Remarque

Pour les appareils non enregistrés, déployez les paramètres généraux de configuration des applications en utilisant les politiques Applications gérées au lieu des politiques Appareils gérés .

Intune ne résout pas les conflits lorsque plusieurs politiques de configuration d’applications attribuent des valeurs différentes pour la même clé au même utilisateur et à la même application. Pour éviter les conflits, attribuez une seule valeur à chaque clé de configuration à la même application et au même utilisateur.

Prérequis pour l’utilisateur final

Avant que les utilisateurs ne commencent l’intégration, assurez-vous que les exigences suivantes sont remplies :

• L’appareil fonctionne sous Android 10.0 ou une version ultérieure.
• L’application Intune Portail d'entreprise Broker est installée.
• Les utilisateurs disposent des licences requises pour l’application gérée.
• L’application gérée est installée.

Intégration des utilisateurs finaux

Remarque

Les utilisateurs peuvent commencer l’intégration en téléchargeant ou en ouvrant l’application Defender. L’intégration est activée par défaut lorsqu’aucune politique ne modifie explicitement ce comportement.

Lorsqu'une application gérée ciblée détecte que Defender for Endpoint n'est pas activé, Intune guide l'utilisateur pour installer et activer l'application Defender. Pour les instructions générales d’installation et d’activation d’Android, consultez Installer l’application Mobile Threat Defense sur votre appareil mobile. Après l’activation, l’utilisateur retourne dans l’application gérée et sélectionne Continuer pour se connecter.

Créer une stratégie de configuration d’application pour les applications gérées

Les paramètres de Defender dans les sections restantes utilisent une stratégie de configuration des applications Intune Applications gérées. Vous pouvez ajouter plusieurs clés de configuration Defender à une même politique lorsque les clés s’appliquent aux mêmes attributions. Créez des politiques séparées lorsque vous avez besoin de différents paramètres ou attributions.

Pour la procédure complète, voir Ajouter une politique de configuration d’application pour les applications gérées. Cette page s’ouvre dans un nouvel onglet dans la documentation Intune.

Lorsque vous créez la stratégie, utilisez ces paramètres :

• Type de politique : Dans le centre d’administration Microsoft Intune, sur la page Applications | Configuration, sélectionnez Créer>Applications gérées.

• Onglet Général : Configurez les paramètres suivants :

  • Stratégie cible pour : vérifier que les applications sélectionnées sont sélectionnées.
  • Applications publiques : Sélectionnez + Sélectionnez applications publiques, trouvez et sélectionnez Microsoft Defender Endpoint Android, puis sélectionnez Sélectionner.

• Onglet Paramètres : Dans la section Paramètres de configuration générale, suivez les étapes suivantes :

  • Ajoutez les noms et valeurs spécifiés dans les sections concernées de cet article.
  • Ajoutez DefenderMAMConfigs avec la valeur 1 à chaque stratégie d’applications gérées configurant Defender for Endpoint. L’exception est une politique qui désactive l’intégration des utilisateurs finaux, où la valeur est 0. N’ajoutez pas cette clé à une stratégie Appareils gérés.

Configurer la protection web

La protection du web aide à sécuriser les appareils contre les menaces et les attaques de phishing. Les indicateurs anti-phishing et personnalisés pour les URL et les domaines sont pris en charge. Le filtrage de contenu web n’est actuellement pas pris en charge sur les plateformes mobiles.

Utilisez la procédure Managed apps app configuration policy. Ajoutez les clés de configuration suivantes dans la section Paramètres généraux de l’onglet Paramètres :

• Nom : antiphishing

• Valeur :

  • 1: Activez la protection anti-phishing.
  • 0: Désactivez la protection anti-phishing.

• Nom : vpn

• Valeur :

  • 1: Activez le réseau privé virtuel local (VPN) utilisé par la protection web.
  • 0: Désactivez le VPN.

Pour désactiver toute protection web, réglez les deux clés sur 0. Pour maintenir la protection anti-phishing activée sans VPN, réglez antiphishing sur 1 et vpn sur 0.

Configurer la protection réseau

La protection réseau détecte les menaces provenant de réseaux Wi-Fi et certificats malveillants. Pour un aperçu du comportement des fonctionnalités, des modes de détection supportés, des contrôles de confidentialité et de l’expérience des événements actuels, voir Configurer la protection réseau.

Utilisez la procédure de stratégie de configuration d’application Applications gérées. Ajoutez les clés de configuration applicables dans la section Paramètres généraux de l’onglet Paramètres :

• Nom : DefenderNetworkProtectionEnable. Activez ou désactivez la protection réseau. Les autres clés de protection réseau n’entrent en vigueur que lorsque cette clé est réglée sur 1.

• Valeur :

  • 0: Désactivé.
  • 1: Activer (par défaut).

• Nom : DefenderAllowlistedCACertificates. Établit la confiance pour les autorités de certification racine (CA) et les certificats auto-signés.

• Valeur : Saisissez une chaîne contenant les empreintes digitales du certificat, ou n’entrez aucune valeur (par défaut).

• Nom : DefenderCertificateDetection. Contrôle la détection des certificats malveillants. En mode audit, les événements sont envoyés à la timeline de l’appareil sans prévenir les utilisateurs. Une fois activé, les utilisateurs reçoivent des notifications et les événements sont envoyés à la timeline de l’appareil.

• Valeur :

  • 0: Désactiver (par défaut).
  • 1: Audit.
  • 2: Permettre.

• Nom : DefenderOpenNetworkDetection. Contrôle la détection du réseau ouvert. En mode audit, les événements sont envoyés à la timeline de l’appareil sans prévenir les utilisateurs. Une fois activé, les utilisateurs reçoivent des notifications et les événements sont envoyés à la timeline de l’appareil.

• Valeur :

  • 0: Désactivé.
  • 1: Audit.
  • 2: Activer (par défaut).

• Nom : DefenderEndUserTrustFlowEnable. Contrôle l’expérience intégrée à l’application pour faire confiance ou retirer la confiance des réseaux non sécurisés et des certificats malveillants.

• Valeur :

  • 0: Désactiver (par défaut).
  • 1: Permettre.

• Nom : DefenderNetworkProtectionAutoRemediation. Contrôle les alertes de remédiation lorsque les utilisateurs prennent des mesures telles que passer à un point d’accès Wi-Fi plus sûr ou supprimer un certificat suspect.

• Valeur :

  • 0: Désactivé.
  • 1: Activer (par défaut).

• Nom : DefenderNetworkProtectionPrivacy. Contrôle la collecte des données de protection du réseau. Lorsque la confidentialité est désactivée, les utilisateurs sont invités à donner leur consentement pour partager des données de Wi-Fi ou de certificats malveillants. Lorsque la confidentialité est activée, les utilisateurs ne sont pas sollicités et les données de l’application ne sont pas collectées.

• Valeur :

  • 0: Désactivé.
  • 1: Activer (par défaut).

Remarque

Pour une protection complète contre les menaces Wi-Fi, les utilisateurs doivent accorder la permission de localisation et sélectionner Permettre en permanence. Si les utilisateurs choisissent Pendant l'utilisation de l'application ou refusent la permission de localisation, Defender pour Endpoint protège contre les certificats malveillants mais ne détecte pas les menaces sur les réseaux Wi-Fi ouverts ou suspects.

Configurer les contrôles de confidentialité

Les contrôles de confidentialité peuvent empêcher Defender for Endpoint de collecter des informations de domaine dans les rapports de phishing et les détails des applications dans les rapports de malware. Les informations réseau sont contrôlées séparément par DefenderNetworkProtectionPrivacydans Configurer la protection réseau.

Utilisez la procédure de stratégie de configuration d’application pour applications gérées. Ajoutez une ou les deux clés de configuration suivantes dans la section Paramètres généraux de l’onglet Paramètres :

• Nom : DefenderExcludeURLInReport

• Valeur :

  • 1: Ne collectez pas de noms de domaine ni de détails de sites web dangereux dans les rapports de phishing.
  • 0: Collecter les noms de domaine et les détails de sites web dangereux (par défaut).

• Nom : DefenderExcludeAppInReport

• Valeur :

  • 1: Ne collectez pas les noms d’applications ni les informations de paquets dans les rapports de malwares.
  • 0: Collecter les noms d’applications et les informations de paquet (par défaut).

Configurer l’analyse des fichiers non-APK

En plus de scanner les packages d’applications Android (fichiers APK), Defender for Endpoint sur Android peut scanner des fichiers non-APK, tels que des documents, des archives compressées et des scripts. Defender pour point de terminaison respecte les limites du profil Android et ne peut pas accéder aux fichiers dans le profil personnel de l'utilisateur.

Utilisez la procédure de politique de configuration des applications gérées. Ajoutez la clé de configuration suivante dans la section Paramètres généraux de l’onglet Paramètres :

• Nom : EnableNonAPKFileScan

• Valeur :

  • 1: Activez la numérisation de fichiers non-APK.
  • 0: Désactiver l’analyse de fichiers non-APK (par défaut).

Autorisations facultatives

Les permissions optionnelles permettent aux utilisateurs de terminer l’intégration sans accorder de VPN ou d’accès autorisé. Les utilisateurs peuvent consulter et accorder ces autorisations ultérieurement.

Configurer les permissions optionnelles

Utilisez la procédure de stratégie de configuration des applications managées. Ajoutez une ou les deux clés de configuration suivantes dans la section Paramètres généraux de l’onglet Paramètres :

• Nom : DefenderOptionalVPN

• Valeur :

  • 1: Permettre aux utilisateurs de sauter les permissions VPN lors de l’intégration.
  • 0: Besoin d’une autorisation VPN lors de l’intégration (par défaut).

• Nom : DefenderOptionalAccessibility

• Valeur :

  • 1: Permettre aux utilisateurs d’ignorer les autorisations d’accessibilité lors de la configuration initiale.
  • 0: Autorisation d’accessibilité lors de l’intégration (par défaut).

Flux utilisateur pour les autorisations facultatives lors de l’intégration

Lorsque les autorisations optionnelles sont activées, les utilisateurs rencontrent le comportement suivant :

1. Les utilisateurs peuvent sauter la permission VPN, l’autorisation d’accessibilité, ou les deux, et effectuer l’intégration.
2. L’appareil est intégré et envoie une pulsation même lorsque l’utilisateur ignore les autorisations.
3. La protection web n’est pas active lorsque les deux permissions sont désactivées. La protection web est partiellement active lorsque l’utilisateur accorde l’une des permissions.
4. Les utilisateurs peuvent ensuite activer la protection web depuis l’application Defender. Activer la protection web installe la configuration VPN sur l’appareil.

Remarque

Les permissions optionnelles et la désactivation de la protection web ont des effets différents. Les permissions optionnelles permettent aux utilisateurs de sauter les permissions lors de l’intégration et de les accorder plus tard. Désactiver la protection web permet aux utilisateurs d’embarquer sans protection web, mais ils ne peuvent pas l’activer plus tard.

Désactiver la possibilité de se déconnecter

Masquer le bouton de déconnexion aide à empêcher les utilisateurs de se déconnecter de l’application Defender afin que Defender for Endpoint continue de fonctionner.

Utilisez la procédure de politique de configuration des applications gérées. Ajoutez la clé de configuration suivante dans la section Paramètres généraux de l’onglet Paramètres :

• Nom : DisableSignOut

• Valeur :

  • 1: Cache le bouton de déconnexion.
  • 0: Afficher le bouton de déconnexion (par défaut).

Configurer l’étiquetage des appareils

Defender for Endpoint sur Android prend en charge le marquage en masse des appareils mobiles lors de l’intégration. Après que les utilisateurs ont installé et activé Defender, l’application cliente envoie les tags de l’appareil au portail Microsoft Defender. Les tags apparaissent avec les appareils dans l’inventaire des appareils.

Utilisez la procédure de politique de configuration des applications gérées. Ajoutez la clé de configuration suivante dans la section Paramètres généraux de l’onglet Paramètres :

• Nom : DefenderDeviceTag

• Valeur :

  • Pour attribuer un nouveau tag, entrez une valeur de chaîne pour le tag de l’appareil.
  • Pour modifier une étiquette existante, modifiez la valeur.
  • Pour supprimer une balise existante, retirez la clé de la politique.

Remarque

Les utilisateurs doivent ouvrir l’application Defender avant que les tags puissent se synchroniser avec Intune et passer au portail Microsoft Defender. Les balises peuvent mettre jusqu’à 18 heures à apparaître dans le portail.

Désactiver l’intégration des utilisateurs finaux

Defender pour point de terminaison sur Android est activé par défaut en mode GAM. Pour empêcher les utilisateurs de télécharger et installer Defender sur des appareils non inscrits, utilisez la procédure de politique de configuration de l’application Applications gérées pour ajouter la clé de configuration suivante dans la section Paramètres généraux de l’onglet Paramètres :

• Nom : DefenderMAMConfigs

• Valeur :

  • 0: Désactivez l’intégration des utilisateurs finaux.
  • 1: Activer l’intégration des utilisateurs finaux (par défaut).

Contenu connexe

• Aperçu de la défense mobile contre les menaces
• Configurer des anneaux d’aperçu dynamique pour Microsoft Defender sur mobile
• Microsoft Intune : Déployer et configurer Microsoft Defender pour point de terminaison sur Android