Configurare Microsoft Defender per endpoint per i segnali di rischio in Android tramite i criteri di protezione delle app (MAM)

Microsoft Defender per endpoint su Android, che protegge già gli utenti aziendali negli scenari di gestione dei dispositivi mobili (MDM), estende ora il supporto alla gestione delle app mobili (MAM) per i dispositivi che non sono iscritti tramite la gestione dei dispositivi mobili (MDM) di Intune. Estende anche il supporto MAM ai clienti che usano altre soluzioni di gestione della mobilità aziendale, mentre usano ancora Intune per la gestione delle applicazioni mobili (MAM). Il supporto di Microsoft Defender per Endpoint per MAM consente di gestire e proteggere i dati dell'organizzazione all'interno di un'app.

Le informazioni sulle minacce di Microsoft Defender per endpoint in Android vengono applicate dai criteri di protezione delle app di Intune per proteggere queste app. I criteri di protezione delle app (APP) sono regole che garantiscono che i dati di un'organizzazione rimangano al sicuro o all'interno di un'app gestita. A un'applicazione gestita sono applicati criteri di protezione delle app e possono essere gestiti da Intune.

Microsoft Defender per endpoint in Android supporta entrambe le configurazioni MAM: Intune MDM + MAM e MAM senza registrazione del dispositivo.

• Intune MDM + MAM: gli amministratori IT possono gestire le app solo usando i criteri di protezione delle app nei dispositivi registrati con Intune gestione dei dispositivi mobili (MDM).
• MAM senza registrazione del dispositivo: MAM senza registrazione del dispositivo o MAM-WE consente agli amministratori IT di gestire le app usando i criteri di protezione delle app nei dispositivi non registrati con Intune MDM. MAM senza registrazione del dispositivo significa che le app possono essere gestite da Intune nei dispositivi registrati con provider EMM di terze parti. Per gestire le app in Intune MDM + MAM e MAM senza registrazione del dispositivo, i clienti devono usare Intune nell'interfaccia di amministrazione di Microsoft Intune.

Per abilitare Microsoft Defender per endpoint supporto per Android MAM, un amministratore deve configurare la connessione tra Microsoft Defender per endpoint e Intune, creare i criteri di protezione delle app e applicare i criteri nei dispositivi e nelle applicazioni di destinazione.

Gli utenti finali devono anche eseguire operazioni per installare Microsoft Defender per endpoint nel dispositivo e attivare il flusso di onboarding.

Prerequisiti dell'amministratore

Prima di iniziare, completare i passaggi di configurazione seguenti per connettersi Microsoft Defender per endpoint con Intune e creare criteri di protezione delle app.

• Verificare che il connettore Microsoft Defender per endpoint-Intune sia abilitato.

  1. Vai a security.microsoft.com.

  2. Verificare che Impostazioni>Endpoint>Funzionalità avanzate>Connessione a Microsoft Intune sia attivata.

  3. Se la connessione non è attivata, selezionare l'interruttore per attivarla e quindi selezionare Salva preferenze.

     

  4. Vai all'interfaccia di amministrazione di Microsoft Intune e verifica se il connettore Microsoft Defender per Endpoint-Intune è abilitato.

     

• Abilitare Microsoft Defender per endpoint su Android Connector per i criteri di protezione delle app (APP).

  Configurare il connettore in Microsoft Intune per i criteri di protezione delle app:

  1. Vai a Amministrazione del tenant > Connettori e token > Microsoft Defender per Endpoint.

  2. Attiva l'interruttore per il criterio di protezione delle app per Android.

  3. Seleziona Salva.

     

• Creare criteri di protezione delle app.

  Bloccare l'accesso o cancellare i dati di un'app gestita in base ai segnali di rischio Microsoft Defender per endpoint creando criteri di protezione delle app.

  Microsoft Defender per endpoint può essere configurato per inviare segnali di minaccia da usare nei criteri di protezione delle app (APP, noto anche come MAM). Con i segnali di minaccia di Microsoft Defender per Endpoint nei criteri di protezione delle app, è possibile usare Microsoft Defender per Endpoint per proteggere le app gestite.

  1. Crea un criterio.

     I criteri di protezione delle app (APP) sono regole che garantiscono che i dati di un'organizzazione rimangano al sicuro o all'interno di un'app gestita. Un criterio può essere una regola applicata quando l'utente tenta di accedere o spostare dati "aziendali" o un set di azioni non consentite o monitorate quando l'utente si trova all'interno dell'app.

     

  2. Aggiungere app.

     1. Scegliere come applicare questo criterio alle app in dispositivi diversi. Aggiungere quindi almeno un'app.

        Utilizzare questa opzione per specificare se questo criterio si applica ai dispositivi non gestiti. In Android, è possibile specificare che il criterio si applica ai dispositivi Android Enterprise, ad Amministrazione dispositivo o non gestiti. È anche possibile scegliere di indirizzare i criteri alle app nei dispositivi con qualsiasi stato di gestione.

        Poiché MAM senza registrazione del dispositivo non richiede la gestione dei dispositivi, le organizzazioni possono proteggere i dati aziendali sia nei dispositivi gestiti che non gestiti. La gestione è incentrata sull'identità utente, che elimina il requisito per la gestione dei dispositivi. Le aziende possono usare contemporaneamente i criteri di protezione delle app con o senza MDM. Si consideri, ad esempio, un dipendente che usa sia un telefono emesso dall'azienda che il proprio tablet personale. Il telefono aziendale viene registrato in MDM e protetto dai criteri di protezione delle app, mentre il dispositivo personale è protetto solo dai criteri di protezione delle app.

     2. Selezionare App.

        Un'app gestita è un'app a cui sono applicati criteri di protezione delle app e può essere gestita da Intune. Qualsiasi app integrata con l'SDK Intune o di cui è stato eseguito il wrapping dal Intune App Wrapping Tool può essere gestita usando Intune criteri di protezione delle app. Vedere l'elenco ufficiale delle app protette Microsoft Intune compilate con Intune SDK o lo strumento di wrapping delle app di Intune e sono disponibili per l'uso pubblico.

        Esempio: Outlook come app gestita

        

  3. Impostare i requisiti di sicurezza di accesso per i criteri di protezione.

     Selezionare Impostazione > livello di minaccia massimo consentito del dispositivo in Condizioni del dispositivo e immettere un valore. Selezionare quindi Azione: "Blocca accesso". Microsoft Defender per endpoint su Android condivide questo livello di minaccia del dispositivo.

     

• Assegnare gruppi di utenti a cui devono essere applicati i criteri.

  Selezionare Gruppi inclusi. Aggiungere quindi i gruppi pertinenti.

  

Nota

Se un criterio di configurazione deve essere destinato ai dispositivi non registrati (MAM), è consigliabile distribuire le impostazioni generali di configurazione dell'app in App gestite invece di usare Dispositivi gestiti.

Quando si distribuiscono i criteri di configurazione delle app nei dispositivi, possono verificarsi problemi quando più criteri hanno valori diversi per la stessa chiave di configurazione e sono destinati alla stessa app e allo stesso utente. Questi problemi sono dovuti alla mancanza di un meccanismo di risoluzione dei conflitti per la risoluzione dei diversi valori. È possibile evitare questi problemi assicurando che solo un singolo criterio di configurazione dell'app per i dispositivi sia definito e destinato alla stessa app e allo stesso utente.

Prerequisiti dell'utente finale

Prima che gli utenti inizino la procedura di onboarding, assicurati che siano soddisfatti i seguenti prerequisiti:

• L'app broker deve essere installata.

  • Portale aziendale di Intune

• Gli utenti hanno le licenze necessarie per l'app gestita e l'app è installata.

Onboarding dell'utente finale

Nota

L'onboarding dell'utente finale può essere eseguito direttamente scaricando o avviando l'app Defender. La procedura di onboarding è abilitata per impostazione predefinita se non viene definito esplicitamente alcun criterio.

1. Accedere a un'applicazione gestita, ad esempio Outlook. Il dispositivo viene registrato e i criteri di protezione dell'applicazione sono sincronizzati con il dispositivo. I criteri di protezione delle applicazioni riconoscono lo stato di integrità del dispositivo.

2. Selezionare Continua. Viene visualizzata una schermata che consiglia di scaricare e configurare l'app Microsoft Defender: Antivirus (Mobile).

3. Selezionare Scarica. Sarai reindirizzato all'app store (Google Play).

4. Installare l'app Microsoft Defender: Antivirus (mobile) e tornare alla schermata di onboarding dell'app gestita.

   a.

5. Fare clic su Continua > avvio. Viene avviato il flusso di onboarding/attivazione dell'app Microsoft Defender per endpoint. Segui i passaggi per completare la procedura di configurazione iniziale. Si verrà reindirizzati automaticamente alla schermata di onboarding dell'app gestita, che ora indica che il dispositivo è integro.

6. Selezionare Continua per accedere all'applicazione gestita.

Configurare la protezione Web

Defender per endpoint in Android consente agli amministratori IT di configurare la protezione Web. La protezione Web è disponibile all'interno dell'interfaccia di amministrazione Microsoft Intune.

La protezione Web consente di proteggere i dispositivi dalle minacce Web e proteggere gli utenti dagli attacchi di phishing. Si noti che gli indicatori personalizzati e anti-phishing (URL e indirizzi IP) sono supportati come parte della protezione Web. Il filtro dei contenuti Web non è attualmente supportato nelle piattaforme per dispositivi mobili.

1. Nell'interfaccia di amministrazione Microsoft Intune passare a Criteri > di configurazione app > Aggiungere > app gestite.

2. Assegna un nome al criterio.

3. In Seleziona app pubbliche scegliere Microsoft Defender per endpoint come app di destinazione.

4. Nella pagina Impostazioni , in Impostazioni di configurazione generale, aggiungere le chiavi seguenti e impostarne il valore in base alle esigenze.

   • Antiphishing
   • Vpn

   Per disabilitare la protezione Web, immettere 0 per i valori di antiphishing e VPN.

   Per disabilitare solo l'uso della VPN da parte della protezione Web, immettere questi valori:

   • 0 per VPN
   • 1 per antiphishing

   Aggiungere la chiave DefenderMAMConfigs e impostare il valore su 1. Per impostazione predefinita, questa chiave non è impostata; in questo caso, il sistema applica i valori predefiniti per tutte le configurazioni delle funzionalità.

5. Assegna questo criterio agli utenti.

6. Esaminare e creare i criteri.

Configurare protezione di rete

Usare la procedura seguente per configurare Protezione di rete in Intune:

1. Nel centro di amministrazione di Microsoft Intune, passare a Apps>Criteri di configurazione delle app. Creare un nuovo criterio di configurazione dell'app. Fare clic su App gestite.

2. Specificare un nome e una descrizione per identificare in modo univoco i criteri. Assegnare il criterio a 'App selezionate' e cercare 'Microsoft Defender Endpoint per Android'. Fare clic sulla voce, quindi su Seleziona e quindi su Avanti.

3. Aggiungere la chiave e il valore dalla tabella seguente. Verificare che la chiave "DefenderMAMConfigs" sia presente in ogni criterio creato tramite il percorso App gestite. Per il percorso Dispositivi gestiti, questa chiave non dovrebbe esistere. Al termine, fare clic su Avanti.

   Chiave	Tipo di valore	Impostazione predefinita (1 abilitazione, 0-disabilitazione)	Descrizione
   DefenderNetworkProtectionEnable	Numero intero	1	0 - Disabilitato 1 - Abilita L'impostazione DefenderNetworkProtectionEnable viene usata dagli amministratori IT per abilitare o disabilitare le funzionalità di protezione di rete nell'app Defender.
   DefenderAllowlistedCACertificates	Stringa	Nessuno	Nessuno - Disattivato L'impostazione DefenderAllowlistedCACertificates viene usata dagli amministratori IT per stabilire un trust per la CA radice e i certificati autofirmati.
   DefenderCertificateDetection	Numero intero	0	0 - Disabilitato 1 - Modalità di controllo 2 - Abilita Quando questa funzionalità è abilitata con valore 2, le notifiche dell'utente finale vengono inviate all'utente quando Defender rileva un certificato non valido. Gli avvisi vengono inviati anche agli amministratori del SOC. In modalità di audit (1), gli avvisi vengono inviati agli amministratori SOC, ma non viene mostrata all'utente alcuna notifica destinata all'utente finale quando Defender rileva un certificato non valido. Gli amministratori possono disabilitare questo rilevamento con 0 come valore e abilitare la funzionalità completa impostando 2 come valore.
   DefenderOpenNetworkDetection	Numero intero	2	0 - Disabilitato 1 - Modalità di controllo 2 - Abilita L'impostazione DefenderOpenNetworkDetection viene usata dagli amministratori IT per abilitare o disabilitare il rilevamento della rete aperta. Se si passa alla modalità di audit impostata sul valore 1, viene inviata una notifica all'amministratore SOC, ma non viene visualizzata alcuna notifica all'utente finale quando Defender rileva una rete non protetta. Se è abilitato con il valore 2, viene visualizzata la notifica dell'utente finale e vengono inviati avvisi anche agli amministratori soc.
   DefenderEndUserTrustFlowEnable	Numero intero	0	0 - Disabilitato 1 - Abilita L'impostazione DefenderEndUserTrustFlowEnable viene usata dagli amministratori IT per abilitare o disabilitare l'esperienza in-app dell'utente finale per l'attendibilità o l'impossibilità di considerare attendibili le reti non protette e i certificati dannosi.
   DefenderNetworkProtectionAutoRemediation	Numero intero	1	0 - Disabilitato 1 - Abilita L'impostazione DefenderNetworkProtectionAutoRemediation viene usata dagli amministratori IT per abilitare o disabilitare gli avvisi di correzione inviati quando un utente esegue attività di correzione, ad esempio il passaggio a punti di accesso più sicuri Wi-Fi o l'eliminazione di certificati sospetti rilevati da Defender.
   DefenderNetworkProtectionPrivacy	Numero intero	1	0 - Disabilitato 1 - Abilita L'impostazione DefenderNetworkProtectionPrivacy viene usata dagli amministratori IT per abilitare o disabilitare la privacy nella protezione di rete. Se la privacy è disabilitata con il valore 0, viene visualizzato il consenso dell'utente per condividere i dati di wi-fi o certificati dannosi. Se lo stato è abilitato con valore 1, non viene visualizzato alcun consenso utente e non vengono raccolti dati dell'app.

4. Includere o escludere i gruppi a cui si vuole applicare il criterio. Procedere con la revisione e l'invio dei criteri.

Nota

• Le altre chiavi di configurazione di Protezione rete funzionano solo se è abilitata la chiave padre 'DefenderNetworkProtectionEnable'.
• Gli utenti devono abilitare l'autorizzazione alla posizione, che è facoltativa, e concedere l'autorizzazione "Consenti sempre" per garantire la protezione dalle minacce Wi‑Fi, anche quando l'app non è in uso attivo. Se l'autorizzazione per la posizione viene negata dall'utente, Defender per endpoint sarà in grado di fornire solo una protezione limitata dalle minacce di rete e proteggerà gli utenti solo da certificati non autorizzati.

Configurare i controlli della privacy

Gli amministratori possono usare la procedura seguente per abilitare la privacy e non raccogliere il nome di dominio, i dettagli dell'app e le informazioni di rete come parte del report di avviso per le minacce corrispondenti.

1. Nel centro di amministrazione di Microsoft Intune passare a App > Criteri di configurazione delle app > Aggiungi > App gestite.
2. Assegna un nome al criterio.
3. In Seleziona app pubbliche scegliere Microsoft Defender per endpoint come app di destinazione.
4. Nella pagina Impostazioni, in Impostazioni di configurazione generale, aggiungere DefenderExcludeURLInReport e DefenderExcludeAppInReport come chiavi e valore 1.
5. Aggiungere la chiave DefenderMAMConfigs e impostare il valore su 1.
6. Assegna questo criterio agli utenti.
7. Nella pagina Impostazioni, in Impostazioni di configurazione generale, aggiungere DefenderExcludeURLInReport, DefenderExcludeAppInReport come chiavi e il valore true.
8. Aggiungere la chiave DefenderMAMConfigs e impostare il valore su 1.
9. Assegna questo criterio agli utenti. Per impostazione predefinita, questo valore è impostato su false.
10. Esaminare e creare i criteri.

Configurare l'analisi dei file non APK

Oltre all'analisi dei pacchetti di applicazioni Android (file APK), Defender per endpoint in Android può analizzare file non APK, ad esempio documenti, archivi compressi e script. Defender per Endpoint rispetta i limiti del profilo Android e non può accedere ai file nel profilo personale dell'utente.

Per abilitare l'analisi dei file non APK, creare un criterio di configurazione delle App gestite. Per la procedura completa, vedere Aggiungere un criterio di configurazione dell'app per le app gestite (si apre in una nuova scheda nella documentazione di Intune). Quando si crea il criterio, usare queste impostazioni:

• Scheda Informazioni di base : Configurare le impostazioni seguenti
  • Criterio di destinazione: verificare che sia selezionato App selezionate.
  • App pubbliche: selezionare Seleziona app pubbliche, trovare e selezionare Microsoft Defender Endpoint Android e quindi selezionare Seleziona.
• Scheda Impostazioni : Configurare le impostazioni seguenti nella sezione Impostazioni di configurazione generali :
  • Nome: immettere EnableNonAPKFileScan. Valore: immettere 1.
  • Nome: immettere DefenderMAMConfigs. Valore: immettere 1.

Autorizzazioni facoltative

Microsoft Defender per endpoint su Android abilita le autorizzazioni opzionali nel flusso di onboarding. Attualmente le autorizzazioni necessarie per MDE sono obbligatorie durante il processo di onboarding. Con questa funzionalità, l'amministratore può distribuire MDE nei dispositivi Android con criteri MAM senza applicare le autorizzazioni di accesso facilitato e VPN obbligatorie durante l'onboarding. Gli utenti finali possono eseguire l'onboarding dell'app senza le autorizzazioni obbligatorie e successivamente esaminarle.

Configurare l'autorizzazione facoltativa

Usare la procedura seguente per abilitare autorizzazioni facoltative per i dispositivi.

1. Nel centro di amministrazione di Microsoft Intune passare a App > Criteri di configurazione delle app > Aggiungi > App gestite.

2. Assegna un nome al criterio.

3. Selezionare Microsoft Defender per endpoint tra le app pubbliche.

4. Nella pagina Impostazioni, selezionare Usa la progettazione della configurazione e DefenderOptionalVPN o DefenderOptionalAccessibility o entrambi come chiave.

5. Aggiungere la chiave DefenderMAMConfigs e impostare il valore su 1.

6. Per abilitare le autorizzazioni facoltative, immettere il valore 1 e assegnare questo criterio agli utenti.

   Per gli utenti con chiave impostata su 1, saranno in grado di eseguire l'onboarding dell'app senza concedere queste autorizzazioni.

7. Nella pagina delle impostazioni selezionare Usa la finestra di progettazione della configurazione e DefenderOptionalVPN o DefenderOptionalAccessibility oppure entrambi come chiave e il tipo di valore su Booleano.

8. Aggiungere la chiave DefenderMAMConfigs e impostare il valore su 1.

9. Per abilitare le autorizzazioni facoltative, immettere il valore true e assegnare questo criterio agli utenti.

   Per gli utenti con chiave impostata su true, gli utenti possono eseguire l'onboarding dell'app senza concedere queste autorizzazioni.

10. Selezionare Avanti e assegnare questo profilo a dispositivi/utenti di destinazione.

Percorso utente per le autorizzazioni opzionali durante l'onboarding

Gli utenti possono installare e aprire l'app per avviare il processo di onboarding.

1. Se un amministratore dispone di autorizzazioni facoltative di configurazione, gli utenti possono scegliere di ignorare l'autorizzazione VPN o accessibilità oppure entrambi e completare l'onboarding.

2. Anche se l'utente ha ignorato queste autorizzazioni, il dispositivo è in grado di eseguire l'onboarding e verrà inviato un heartbeat.

3. Poiché le autorizzazioni sono disabilitate, la protezione Web non sarà attiva. Sarà parzialmente attiva se viene assegnata una delle autorizzazioni.

4. In seguito, gli utenti possono abilitare la protezione Web dall'interno dell'app. Verrà installata la configurazione VPN nel dispositivo.

Nota

L'impostazione Autorizzazioni facoltative è diversa dall'impostazione Disabilita protezione Web. Le autorizzazioni facoltative consentono solo di ignorare le autorizzazioni durante l'onboarding, ma è possibile che l'utente finale rivedi e abiliti in un secondo momento, mentre Disabilita la protezione Web consente agli utenti di eseguire l'onboarding dell'app Microsoft Defender per endpoint senza protezione Web. Non può essere abilitato in un secondo momento.

Disabilita la disconnessione dall'account

Defender per endpoint consente di distribuire l'app e disabilitare il pulsante di disconnessione. Nascondendo il pulsante di disconnessione, agli utenti viene impedito di disconnettersi dall'app Defender. Nascondere il pulsante di disconnessione consente di evitare manomissioni del dispositivo quando Defender per endpoint non è in esecuzione.

Seguire questa procedura per configurare l'opzione Disabilita disconnessione:

1. Nell'interfaccia di amministrazione Microsoft Intune passare a Criteri > di configurazione app > Aggiungere > app gestite.
2. Specificare un nome per il criterio.
3. In Seleziona app pubbliche scegliere Microsoft Defender per endpoint come app di destinazione.
4. Nella pagina Impostazioni , in Impostazioni di configurazione generale, aggiungere DisableSignOut come chiave e impostare il valore su 1.
   • Per impostazione predefinita, Disabilita disconnessione = 0.
   • L'amministratore deve impostare Disable Sign Out su 1 per disabilitare il pulsante di disconnessione nell'app. Gli utenti non vedranno il pulsante Disconnetti una volta applicati i criteri al dispositivo.
5. Selezionare Avanti e assegnare questo profilo a utenti e dispositivi di destinazione.

Configurare l'assegnazione di tag ai dispositivi

Defender per endpoint in Android consente di contrassegnare in blocco i dispositivi mobili durante l'onboarding consentendo agli amministratori di configurare i tag tramite Intune. L'amministratore può configurare i tag del dispositivo tramite Intune mediante criteri di configurazione e distribuirli ai dispositivi degli utenti. Dopo che l'utente installa e attiva Defender, l'app client passa i tag del dispositivo al portale di sicurezza. I tag dei dispositivi vengono visualizzati accanto ai dispositivi nell'Inventario dispositivi.

Per configurare i tag dispositivo, seguire questa procedura:

1. Nell'interfaccia di amministrazione Microsoft Intune passare a Criteri > di configurazione app > Aggiungere > app gestite.

2. Specificare un nome per il criterio.

3. In Seleziona app pubbliche scegliere Microsoft Defender per endpoint come app di destinazione.

4. Nella pagina Impostazioni, selezionare Usa Configuration Designer e aggiungere DefenderDeviceTag come chiave e String come tipo di valore.

   • L'amministratore può assegnare un nuovo tag aggiungendo la chiave DefenderDeviceTag e impostando un valore per il tag del dispositivo.
   • L'amministratore può modificare un tag esistente modificando il valore della chiave DefenderDeviceTag.
   • L'amministratore può eliminare un tag esistente rimuovendo la chiave DefenderDeviceTag.

5. Fare clic su Avanti e assegnare questo criterio a utenti e dispositivi di destinazione.

Nota

L'app Defender deve essere aperta affinché i tag vengano sincronizzati con Intune e passati al portale di sicurezza. Potrebbero essere necessarie fino a 18 ore prima che i tag siano visualizzati nel portale.

Disabilita l'introduzione guidata per l'utente finale

Defender for Endpoint su Android è abilitato per impostazione predefinita in modalità MAM. Per impedire agli utenti finali di scaricare e configurare Defender nei dispositivi non registrazione, la chiave DefenderMAMConfigs può essere impostata su 0 per bloccare l'onboarding. Per disabilitare l'onboarding, seguire questa procedura:

1. Nell'interfaccia di amministrazione Microsoft Intune passare aCriteri> di configurazione app>Aggiungere>app gestite.
2. Assegna un nome al criterio.
3. Selezionare Microsoft Defender per endpoint tra le app pubbliche.
4. Nella pagina Impostazioni, seleziona Usa il designer di configurazione, aggiungi la chiave DefenderMAMConfigs e imposta il valore su 0.
5. Fare clic su Avanti e assegnare questo criterio a utenti e dispositivi di destinazione.

Contenuti correlati

• Panoramica di Microsoft Defender per Endpoint su Android

• Configurare anelli di anteprima dinamica per Microsoft Defender per dispositivi mobili

• Microsoft Intune: Distribuire e configurare Microsoft Defender per endpoint su Android