Beleid van Microsoft Intune gebruiken om regels te beheren om de kwetsbaarheid voor aanvallen te beperken

Wanneer Defender Antivirus in gebruik is op uw Windows-apparaten, kunt u Microsoft Intune beveiligingsbeleid voor eindpunten gebruiken om de kwetsbaarheid voor aanvallen te verminderen om deze instellingen op uw apparaten te beheren.

U kunt ASR-beleid (Attack Vulnerable Reduction) gebruiken om het aanvalsoppervlak van apparaten te verminderen door de plaatsen te minimaliseren waar uw organisatie kwetsbaar is voor cyberdreigingen en -aanvallen. Het Intune ASR-beleid ondersteunt de volgende profielen:

• Regels voor het verminderen van kwetsbaarheid voor aanvallen: Gebruik dit profiel om gedrag aan te pakken dat malware en kwaadaardige apps doorgaans gebruiken om computers te infecteren. Voorbeelden van dit gedrag zijn het gebruik van uitvoerbare bestanden en scripts in Office-apps, webmail die probeert bestanden te downloaden of uit te voeren en gedrag van verborgen of anderszins verdachte scripts die meestal niet door apps worden geïnitieerd tijdens normale dagelijkse werkzaamheden.

• Apparaatbesturing: gebruik dit profiel om verwisselbare media toe te staan, te blokkeren en anderszins te beveiligen via besturingselementen waarmee bedreigingen van onbevoegde randapparatuur uw apparaten in gevaar kunnen brengen en kunnen helpen voorkomen.

Zie voor meer informatie [Overview of attack vulnerable reduction](/ /windows/security/threat-protection/microsoft-defender-atp/overview-attack-surface-reduction) in de documentatie van Windows Threat Protection.

Beleidsregels voor het verminderen van kwetsbaarheid voor aanvallen vindt u in het knooppunt Eindpuntbeveiliging van het Microsoft Intune-beheercentrum.

Van toepassing op:

• Windows
• Windows Server (via het scenario voor het beheer van instellingen van Microsoft Defender voor Eindpunt-beveiliging)

Vereisten voor profielen voor het verminderen van kwetsbaarheid voor aanvallen

• Op apparaten moet Windows worden uitgevoerd
• Defender-antivirussoftware moet de primaire antivirus op het apparaat zijn

Ondersteuning voor beveiligingsbeheer voor Microsoft Defender voor Eindpunt:

Wanneer u beveiligingsbeheer voor Microsoft Defender voor Eindpunt gebruikt ter ondersteuning van apparaten die u hebt toegevoegd aan Defender zonder registratie bij Intune, is het verminderen van de kwetsbaarheid voor aanvallen van toepassing op apparaten met Windows en Windows Server. Raadpleeg voor meer informatie de door ASR-regels ondersteunde besturingssystemen in de documentatie voor Windows Bedreigingsbeveiliging.

Ondersteuning voor Configuration Manager-clients:

Dit scenario is nog in preview en vereist het gebruik van de huidige vertakkingsversie 2006 of hoger van Configuration Manager.

• Tenantkoppeling instellen voor Configuration Manager-apparaten: Configureer tenantkoppeling ter ondersteuning van het implementeren van beleid voor het verminderen van kwetsbaarheid voor aanvallen op apparaten die worden beheerd door Configuration Manager. Het instellen van tenantkoppeling omvat het configureren van Configuration Manager-apparaatverzamelingen ter ondersteuning van het beveiligingsbeleid voor eindpunten van Intune.

  Zie Tenantkoppeling configureren ter ondersteuning van eindpuntbeveiligingsbeleid als u tenantkoppeling wilt instellen.

Op rollen gebaseerd toegangsbeheer (RBAC)

Zie Role-based access control for endpoint security (Toegangsbeheer op basis van rollen voor endpointbeveiliging) voor meer informatie over het toewijzen van het juiste machtigingsniveau en rechten voor het beheren van Intune beleid voor het verminderen van de kwetsbaarheid voor aanvallen.

Profielen voor het verminderen van kwetsbaarheid voor aanvallen

De beschikbare profielen voor het beleid voor het verminderen van kwetsbaarheid voor aanvallen zijn afhankelijk van het platform dat u selecteert.

Zie Een beveiligingsbeleid voor eindpunten maken voor informatie over het maken van een beleid voor het verminderen van de kwetsbaarheid voor aanvallen. Wanneer u hierom tijdens het maken van beleid wordt gevraagd, selecteert u het Windows-platform en selecteert u vervolgens het profiel dat u wilt configureren.

Opmerking

De meeste profielen voor het verminderen van kwetsbaarheid voor aanvallen gebruiken de indeling Instellingencatalogus. Het toepassingsbeheerprofiel vormt een uitzondering. Het blijft in de oudere, op sjablonen gebaseerde indeling. Zie de vermelding Toepassingsbesturingselementprofiel in de lijst met volgende profielen voor meer informatie.

Apparaten beheerd door Intune

Platform: Windows:

Profielen voor dit platform worden ondersteund op Windows-apparaten die zijn geregistreerd bij Intune.

• Regels voor het verminderen van kwetsbaarheid voor aanvallen

Beschikbare profielen voor dit platform zijn onder meer:

• Regels voor het verminderen van kwetsbaarheid voor aanvallen - Configureer instellingen voor regels voor het verminderen van kwetsbaarheid voor aanvallen die gericht zijn op gedrag dat malware en kwaadaardige apps doorgaans gebruiken om computers te infecteren, waaronder:

  • Uitvoerbare bestanden en scripts die worden gebruikt in Office-apps of webmail waarmee wordt geprobeerd bestanden te downloaden of uit te voeren
  • Verborgen of anderszins verdachte scripts
  • Gedrag dat apps meestal niet starten tijdens normale dagelijkse werkzaamheden

  Het verkleinen van je kwetsbaarheid voor aanvallen betekent dat je aanvallers minder manieren biedt om aanvallen uit te voeren.

  Samenvoeggedrag voor regels voor het verminderen van kwetsbaarheid voor aanvallen in Intune:

  Regels voor het verminderen van kwetsbaarheid voor aanvallen ondersteunen het samenvoegen van instellingen uit verschillende beleidsregels, om een superset van beleid voor elk apparaat te maken. Instellingen die geen conflict opleveren, worden samengevoegd, terwijl instellingen die een conflict opleveren niet worden toegevoegd aan de superset regels. Als voorheen twee beleidsregels conflicten bevatten voor één instelling, werden beide beleidsregels gemarkeerd als zijnde conflicterend en werden er geen instellingen van beide profielen geïmplementeerd.

  Het samenvoeggedrag van regels voor het verminderen van kwetsbaarheid voor aanvallen is als volgt:

  • Regels voor het verminderen van kwetsbaarheid voor aanvallen van de volgende profielen worden geëvalueerd voor elk apparaat waarop de regels van toepassing zijn:
    • Beleid voor apparaatconfiguratie >> Eindpuntbeveiligingsprofiel >Kwetsbaarheid voor aanvallen van Microsoft Defender Defender Exploit Guard > verminderen
    • Beveiliging > van eindpunten Beleid > voor het verminderen van kwetsbaarheid voor aanvallen Regels voor het verminderen van kwetsbaarheid voor aanvallen
    • Beveiliging van eindpuntbeveiliging > Basislijnen > voor beveiliging Regels voor het verminderen van kwetsbaarheid voor aanvallen van Microsoft Defender voor Eindpunt>.
  • Instellingen die geen conflicten hebben, worden toegevoegd aan een superset met beleid voor het apparaat.
  • Wanneer twee of meer beleidsregels conflicterende instellingen hebben, worden de conflicterende instellingen niet toegevoegd aan het gecombineerde beleid, terwijl instellingen die niet conflicteren worden toegevoegd aan het supersetbeleid dat van toepassing is op een apparaat.
  • Alleen de configuraties voor conflicterende instellingen worden tegengehouden.

• Apparaatbesturing – Met instellingen voor apparaatbesturing kunt u apparaten configureren voor een gelaagde aanpak om verwisselbare media te beveiligen. Microsoft Defender voor Eindpunt biedt meerdere bewakings- en beheerfuncties om te voorkomen dat bedreigingen in niet-geautoriseerde randapparatuur uw apparaten in gevaar brengen.

  Intune-profielen voor ondersteuning voor apparaatbeheer:

  • Beleid samenvoegen voor USB-apparaat-id's.
  • Herbruikbare instellingen

  Zie de volgende artikelen in de Defender-documentatie voor meer informatie over Microsoft Defender voor Eindpunt-apparaatbeheer:

  • Overzicht van apparaatbesturing
  • Apparaatbesturing implementeren en beheren met Microsoft Intune
  • Scenario's voor apparaatbesturing

• App- en browserisolatie : beheer instellingen voor Windows Defender Application Guard (Application Guard), als onderdeel van Defender voor Eindpunt. Application Guard helpt bij het voorkomen van oude en nieuwe aanvallen en kan door ondernemingen gedefinieerde sites als niet-vertrouwd isoleren terwijl wordt gedefinieerd welke sites, cloudresources en interne netwerken worden vertrouwd.

  Zie Application Guard in de documentatie van Microsoft Defender voor Eindpunt voor meer informatie.

• Toepassingsbeheer: instellingen voor toepassingsbeheer kunnen beveiligingsrisico's helpen beperken door beperkingen in te stellen voor de toepassingen die gebruikers kunnen uitvoeren en voor de code die in de System Core (kernel) wordt uitgevoerd. Instellingen beheren die niet-ondertekende scripts en MSI's kunnen blokkeren en ervoor zorgen dat Windows PowerShell wordt uitgevoerd in de modus voor beperkte taal.

  Opmerking

  In tegenstelling tot andere ASR-profielen zijn instellingen in het toepassingsbesturingsprofiel niet bijgewerkt naar de indeling Instellingencatalogus. Bestaande beleidsregels blijven volledig functioneel, maar het profiel gebruikt de oudere, op sjablonen gebaseerde indeling in het beheercentrum. Bovendien vraagt AppLocker CSP-gedrag de eindgebruiker momenteel om de computer opnieuw op te starten wanneer een beleid wordt geïmplementeerd.

  Zie Toepassingsbeheer in de documentatie van Microsoft Defender voor Eindpunt voor meer informatie.

• Exploit Protection - Instellingen voor Exploit Protection kunnen helpen beschermen tegen malware die gebruikmaakt van exploits om apparaten te infecteren en te verspreiden. Exploitbeveiliging bestaat uit een groot aantal maatregelen die van toepassing kunnen zijn op het besturingssysteem of op afzonderlijke apps.

• Webbeveiliging (eerdere versie van Microsoft Edge (oudere versie)): instellingen die u kunt beheren voor webbeveiliging in Microsoft Defender voor Eindpunt netwerkbeveiliging configureren om uw computers te beveiligen tegen webbedreigingen. Wanneer u Microsoft Edge of browsers van derden, zoals Chrome en Firefox, integreert, stopt webbeveiliging webbedreigingen zonder een webproxy en kan het machines beschermen terwijl ze afwezig of on-premises zijn. Webbeveiliging stopt de toegang tot:

  • Phishing-sites
  • Vectoren voor malware
  • Exploit sites
  • Niet-vertrouwde sites of sites met een slechte reputatie
  • Sites die u hebt geblokkeerd via een aangepaste indicatorenlijst.

  Zie Webbeveiliging in de documentatie van Microsoft Defender voor Eindpunt voor meer informatie.

Apparaten die worden beheerd door Defender voor beheer van beveiligingsinstellingen voor eindpunten

Wanneer u het scenario Beveiligingsbeheer voor Microsoft Defender voor Eindpunt gebruikt ter ondersteuning van apparaten die worden beheerd door Defender en die niet zijn geregistreerd bij Intune, kunt u het Windows-platform gebruiken om instellingen te beheren op apparaten met Windows en Windows Server. Raadpleeg voor meer informatie de door ASR-regels ondersteunde besturingssystemen in de documentatie voor Windows Bedreigingsbeveiliging.

In dit scenario worden de volgende profielen ondersteund:

• Regels voor het verminderen van kwetsbaarheid voor aanvallen - Configureer instellingen voor regels voor het verminderen van kwetsbaarheid voor aanvallen die gericht zijn op gedrag dat malware en kwaadaardige apps doorgaans gebruiken om computers te infecteren, waaronder:
  • Deze items worden gebruikt door uitvoerbare bestanden en scripts die worden gebruikt in Office-apps of webmail, waarmee wordt geprobeerd bestanden te downloaden of uit te voeren.
  • Verborgen of anderszins verdachte scripts.
  • Gedrag dat apps meestal niet starten tijdens normale dagelijkse werkzaamheden Het verkleinen van uw kwetsbaarheid voor aanvallen betekent dat u aanvallers minder manieren biedt om aanvallen uit te voeren.

Belangrijk

Alleen het profiel voor het verminderen van kwetsbaarheid voor aanvallen wordt ondersteund door het beveiligingsbeheer voor Microsoft Defender voor Eindpunt. Alle andere profielen voor het verminderen van kwetsbaarheid voor aanvallen worden niet ondersteund.

Apparaten beheerd door Configuration Manager

Kwetsbaarheid voor aanvallen verminderen

Ondersteuning voor apparaten die worden beheerd door Configuration Manager is beschikbaar als preview-versie.

Beheer de instellingen voor het verminderen van kwetsbaarheid voor aanvallen voor Configuration Manager-apparaten wanneer u tenant attach gebruikt.

Beleidspad:

• Eindpuntbeveiliging > Kwetsbaarheid voor aanvallen verkleinen > Windows (ConfigMgr)

Profielen:

• App- en browserisolatie (ConfigMgr)
• Regels voor het verminderen van kwetsbaarheid voor aanvallen (ConfigMgr)
• Exploit Protection (ConfigMgr) (preview)
• Web Protection (ConfigMgr) (preview)

Vereiste versie van Configuration Manager:

• Huidige vertakking van Configuration Manager, versie 2006 of hoger

Ondersteunde Configuration Manager-apparaatplatforms:

• Windows (x86, x64, ARM64)

Belangrijk

Op 14 oktober 2025 heeft Windows 10 het einde van de ondersteuning bereikt en ontvangt het geen kwaliteits- en functie-updates. Windows 10 is een toegestane versie in Intune. Apparaten met deze versie kunnen nog steeds worden ingeschreven bij Intune en functies gebruiken die daarvoor in aanmerking komen, maar de functionaliteit is niet gegarandeerd en kan variëren.

Groepen met herbruikbare instellingen voor profielen voor apparaatbesturing

In openbare preview ondersteunen profielen voor apparaatbeheer het gebruik van groepen voor herbruikbare instellingen voor het beheren van instellingen voor de volgende groepen instellingen op apparaten voor het Windows-platform :

• Printerapparaat: De volgende instellingen voor apparaatbesturingsprofielen zijn beschikbaar voor printerapparaten:

  • Primaire-id
  • PrinterConnectionID
  • VID_PID

  Zie Overzicht van printerbeveiliging in de documentatie van Microsoft Defender voor Eindpunt voor meer informatie over printerapparaatopties.

• Verwisselbare opslag: de volgende profielinstellingen voor apparaatbesturing zijn beschikbaar voor verwisselbare opslag:

  • Apparaatklasse
  • Apparaat-id
  • Hardware-id
  • Exemplaar-id
  • Primaire id
  • Product-ID
  • Serienummer
  • Leverancier-id
  • Leveranciers- en product-id

  Zie Microsoft Defender voor Eindpunt Verwisselbare opslag Access Control in de documentatie van Microsoft Defender voor Eindpunt voor informatie over opties voor verwisselbare opslag.

Wanneer u een groep met herbruikbare instellingen gebruikt met een apparaatbeheerprofiel, configureert u Acties om te definiëren hoe de instellingen in deze groepen worden gebruikt.

Elke regel die u aan het profiel toevoegt, kan zowel groepen herbruikbare instellingen bevatten als afzonderlijke instellingen die rechtstreeks aan de regel worden toegevoegd. U kunt echter overwegen elke regel te gebruiken voor groepen met herbruikbare instellingen of voor het beheren van instellingen die u rechtstreeks aan de regel toevoegt. Deze scheiding kan helpen bij het vereenvoudigen van toekomstige configuraties of wijzigingen die u mogelijk aanbrengt.

Zie Herbruikbare groepen instellingen gebruiken met Intune-beleid voor hulp bij het configureren van herbruikbare groepen en het toevoegen ervan aan dit profiel.

Uitsluitingen voor regels voor het verminderen van kwetsbaarheid voor aanvallen

Intune ondersteunt de volgende twee instellingen om specifieke bestands- en mappaden uit te sluiten van evaluatie door regels voor het verminderen van kwetsbaarheid voor aanvallen:

• Algemeen: Alleen uitsluitingen voor het verminderen van kwetsbaarheid voor aanvallen.

  

  Wanneer aan een apparaat ten minste één beleid wordt toegewezen dat uitsluitingen voor het verminderen van kwetsbaarheid voor aanvallen configureert, zijn de geconfigureerde uitsluitingen van toepassing op alle regels voor het verminderen van kwetsbaarheid voor aanvallen die op dat apparaat zijn gericht. Dit gedrag treedt op omdat apparaten een superset van regelinstellingen voor het verminderen van kwetsbaarheid voor aanvallen ontvangen van alle toepasselijke beleidsregels en de uitsluitingen van instellingen niet kunnen worden beheerd voor afzonderlijke instellingen. Gebruik deze instelling niet om te voorkomen dat uitsluitingen op alle instellingen op een apparaat worden toegepast. Configureer in plaats daarvan ASR alleen per regeluitsluitingen voor individuele instellingen.

  Zie de documentatie voor de Defender CSP: Defender/AttackSurfaceReductionOnlyExclusions voor meer informatie.

• Individuele instellingen: gebruik ASR alleen per regeluitsluitingen

  

  Wanneer u een toepasselijke instelling in een regelprofiel voor het verminderen van kwetsbaarheid voor aanvallen instelt op iets anders dan Niet geconfigureerd, biedt Intune de optie om ASR Only Per Rule Exclusions te gebruiken voor die afzonderlijke instelling. Met deze optie kunt u een uitsluiting van bestanden en mappen configureren die geïsoleerd zijn tot afzonderlijke instellingen, in tegenstelling tot het gebruik van de algemene instelling Alleen uitsluitingen voor kwetsbaarheid voor aanvallen verminderen, die de uitsluitingen toepast op alle instellingen op het apparaat.

  ASR Alleen per regel uitsluitingen is standaard ingesteld op Niet geconfigureerd.

Beleid samenvoegen voor instellingen

Met het samenvoegen van beleid kunt u conflicten voorkomen wanneer meerdere profielen die van toepassing zijn op hetzelfde apparaat dezelfde instelling configureren met verschillende waarden, waardoor een conflict ontstaat. Om conflicten te voorkomen, evalueert Intune de toepasselijke instellingen van elk profiel dat van toepassing is op het apparaat. Deze instellingen worden vervolgens samengevoegd tot één superset instellingen.

Voor beleid voor het verminderen van kwetsbaarheid voor aanvallen worden beleidsregels samengevoegd voor de volgende profielen:

• Apparaatbesturing

Beleid samenvoegen voor apparaatbeheerprofielen

Profielen voor apparaatbeheer ondersteunen het samenvoegen van beleid voor USB-apparaat-id's. De profielinstellingen voor het beheren van apparaat-id's en die ondersteuning bieden voor beleidssamenvoeging zijn:

• Installatie van hardwareapparaten toestaan op basis van apparaat-id's
• Installatie van hardwareapparaten blokkeren op basis van apparaat-id's
• Installatie van hardwareapparaten toestaan op installatieklassen
• Installatie van hardwareapparaten blokkeren op installatieklassen
• Installatie van hardwareapparaten toestaan op apparaatinstantie-id's
• Installatie van hardwareapparaten blokkeren op apparaatexemplaar-id's

Beleidssamenvoeging is van toepassing op de configuratie van elke instelling voor de verschillende profielen die die specifieke instelling toepassen op een apparaat. Het resultaat is één lijst voor elk van de ondersteunde instellingen die op een apparaat worden toegepast. Bijvoorbeeld:

• Met Beleid samenvoegen worden de lijsten met setup-klassen geëvalueerd die zijn geconfigureerd in elk exemplaar van Installatie van hardwareapparaten toestaan door setup-klassen die van toepassing zijn op een apparaat. De lijsten worden samengevoegd tot één allowlist, waarbij alle dubbele setup-klassen worden verwijderd.

  Dubbele waarden worden verwijderd uit de lijst om de gemeenschappelijke bron van conflicten te verwijderen. De gecombineerde acceptatielijst wordt vervolgens aan het apparaat bezorgd.

Met Beleid samenvoegen worden de configuraties van verschillende instellingen niet vergeleken of samengevoegd. Bijvoorbeeld:

• Voortbordurend op het eerste voorbeeld, waarin meerdere lijsten van Installatie van hardwareapparaten toestaan door setup-klassen zijn samengevoegd tot één lijst, ziet u verschillende exemplaren van Block-hardwareapparaatinstallatie door setup-klassen die van toepassing zijn op hetzelfde apparaat. Alle gerelateerde blokkeringslijsten worden samengevoegd tot één blokkeringslijst voor het apparaat, dat vervolgens op het apparaat wordt geïmplementeerd.

  • De toelatingslijst voor setup-klassen wordt niet vergeleken of samengevoegd met de blokkeringslijst voor setup-klassen.
  • In plaats daarvan ontvangt het apparaat beide lijsten, omdat ze van twee verschillende instellingen zijn. Het apparaat dwingt vervolgens de meest beperkende instelling voor installatie af op basis van setup-klassen.

  Met dit voorbeeld overschrijft een setup-klasse die is gedefinieerd in de blokkeringslijst dezelfde setup-klasse als deze op de allowlist wordt gevonden. Het resultaat zou zijn dat de setup-klasse op het apparaat wordt geblokkeerd.

Volgende stappen

Beveiligingsbeleid voor eindpunten configureren.

Bekijk details voor de instellingen in profielen voor profielen voor het verminderen van kwetsbaarheid voor aanvallen.