Configura Microsoft Defender per endpoint su iOS utilizzando la gestione delle applicazioni mobili

Microsoft Defender per endpoint su iOS supporta la gestione delle applicazioni mobili Microsoft Intune (MAM) su dispositivi che sono registrati o non sono registrati nella gestione dei dispositivi mobili Intune (MDM). Le organizzazioni che utilizzano un'altra soluzione di gestione della mobilità aziendale possono anche utilizzare Intune MAM per proteggere i dati organizzativi nelle app gestite.

Le politiche di protezione delle app Intune utilizzano i segnali di rischio dei dispositivi Defender for Endpoint per applicare azioni di lancio condizionato alle app gestite. Questo articolo spiega come collegare Defender for Endpoint a Intune, configurare una policy di protezione dell'app iOS e preparare gli utenti all'inserimento di Defender for Endpoint.

Microsoft Intune è necessario per le procedure descritte in questo articolo. Intune è un prodotto separato che non fa parte di Defender for Endpoint, e non è incluso in tutti gli abbonamenti. Per usare Intune, è necessaria una sottoscrizione che la include oppure è possibile acquistarla separatamente come sottoscrizione autonoma o componente aggiuntivo. Per altre informazioni, vedere Microsoft Intune licenze.

Nota

Defender for Endpoint su iOS utilizza una rete privata virtuale (VPN) a loopback locale per la protezione web. La VPN non instrada il traffico fuori dal dispositivo.

Defender for Endpoint su iOS supporta le seguenti configurazioni MAM:

• Intune MDM con MAM: Intune gestisce il dispositivo e applica le politiche di protezione delle app gestite.
• MAM senza registrazione dei dispositivi: Intune applica politiche di protezione delle app alle app gestite su dispositivi che non sono registrati in Intune. Questa configurazione, nota anche come MAM-WE, può proteggere le app sui dispositivi registrati presso un fornitore terzo di gestione della mobilità aziendale.

Usa il centro amministrativo Microsoft Intune per gestire le app in entrambe le configurazioni.

Prerequisiti

Prima che gli utenti possano integrare Defender for Endpoint in modalità MAM, collegare Defender for Endpoint a Intune, abilitare il connettore per le politiche di protezione delle app iOS e creare una policy di protezione dell'app.

Per configurare l'integrazione e la policy, sono necessari i seguenti permessi:

• In Intune, il ruolo Gestore della sicurezza degli endpoint o autorizzazioni equivalenti di ruolo personalizzato:
  • Per configurare la connessione al servizio e la valutazione dei criteri di protezione dell'app, sono necessarie le autorizzazioni Lettura e Modifica per Mobile Threat Defense.
  • Per creare e assegnare politiche di protezione delle app, assegna, crea, elimina, leggi, aggiorna e cancella i permessi per le app gestite.
• In Microsoft Entra ID, il ruolo Amministratore della sicurezza oppure l'autorizzazione Gestire le impostazioni di sicurezza in protezione di Windows Center in Defender for Endpoint.

Connettere Defender per endpoint a Intune

Per la procedura completa di connessione, vedi Configura Microsoft Defender per endpoint con Intune e dispositivi integrati.

Verificare le impostazioni seguenti:

• Nella pagina Altre opzioni nel portale Microsoft Defender su https://security.microsoft.com/securitysettings/endpoints/integration, la connessione Microsoft Intune è attiva.
• Nella pagina Sicurezza endpoint | Microsoft Defender per endpoint nell'interfaccia di amministrazione di Microsoft Intune all'indirizzo https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/atp, verifica le impostazioni seguenti:
  • In cima alla pagina, lo stato della connessione è Abilitato.
  • Nella sezione valutazione dei criteri di protezione delle app, Connetti i dispositivi iOS/iPadOS a Defender for Endpoint è attivato.

Configura i segnali di rischio di Defender in una policy di protezione di un'app

Le Protezione di app policy proteggono i dati organizzativi nelle app gestite. Un'app integrata con l'SDK dell'app Intune o incapsulata dallo strumento Intune App Wrapping può essere gestita da Intune. Per le app pubbliche supportate, vedi Microsoft Intune protected apps.

Per la procedura completa di creazione e assegnazione di una policy di protezione di app iOS/iPadOS, vedi Crea e assegna politiche di protezione dell'app.

Quando crei la policy sulla pagina Apps | Protection nel centro amministrativi Microsoft Intune su https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/AppsMenu/~/protection, configura queste impostazioni specifiche per Defender:

• Tipo di policy: Seleziona Crea>iOS/iPadOS.
• Scheda Apps : Aggiungi almeno un'app gestita. Indirizza la policy ad app su dispositivi gestiti, dispositivi non gestiti o dispositivi in qualsiasi stato di gestione, come richiesto dalla tua organizzazione.
• Scheda Lancio condizionale : nella sezione Condizioni del dispositivo , seleziona il livello massimo di minaccia consentito del dispositivo, poi configura le seguenti impostazioni:
  • Valore: Seleziona il livello massimo di minaccia consentito dalla tua organizzazione: Sicuro, Basso, Medio o Alto. Il valore garantito è il più restrittivo. Alto consente tutti i livelli di minaccia e richiede una connessione attiva al servizio Mobile Threat Defense.
  • Azione: Seleziona Blocca accesso o Cancella dati.
• Servizio MTD primario: Se la tua organizzazione ha configurato più connettori Mobile Threat Defense, seleziona Microsoft Defender per endpoint. Questa impostazione richiede il livello massimo di minaccia consentito del dispositivo.
• Scheda Assegnazioni : Assegna la policy ai gruppi di utenti applicabili.

Defender for Endpoint condivide il livello di minaccia del dispositivo con Intune. Quando gli utenti accedono a un'app gestita mirata, Intune valuta il segnale di rischio del dispositivo Defender. Se il rischio supera il livello di minaccia consentito, Intune blocca l'accesso o cancella i dati organizzativi dall'app, a seconda dell'azione selezionata.

Aggiungere utenti

Per i dispositivi iOS, Microsoft Authenticator registra il dispositivo e verifica l'identità dell'utente con Microsoft Entra ID. L'utente deve registrare il dispositivo in Authenticator con lo stesso account lavorativo o scolastico usato per attivare Defender for Endpoint.

Quando un'app gestita mirata rileva che Defender for Endpoint non è attivato, Intune guida l'utente a installare e accedere a Microsoft Authenticator e Defender for Endpoint. Gli utenti possono anche installare l'ultima versione di Microsoft Defender dall'Apple App Store.

Per maggiori informazioni sulla preparazione delle app richieste per dispositivi non registrati, vedi Aggiungi app Mobile Threat Defense ai dispositivi non registrati.