Apparaten toevoegen aan Microsoft Defender voor Bedrijven

In dit artikel wordt beschreven hoe u apparaten onboardt voor Defender voor Bedrijven.

Onboard uw zakelijke apparaten om ze meteen te beschermen. U kunt kiezen uit verschillende opties om de apparaten van uw bedrijf te onboarden. In dit artikel worden uw opties beschreven en beschreven hoe onboarding werkt.

Wat moet u doen?

1. Selecteer een tabblad:

   • Windows 10 en 11
   • Mac
   • Mobiel: er zijn nieuwe mogelijkheden beschikbaar voor iOS- en Android-apparaten.
   • Servers: Windows Server of Linux Server.

2. Bekijk de opties voor onboarding en volg de richtlijnen op het geselecteerde tabblad.

3. Bekijk een lijst met geïntegreerde apparaten.

4. Voer een phishingtest uit op een apparaat.

5. Ga verder met de volgende stappen.

Windows 10 en 11

Windows 10 en 11

Opmerking

Windows-apparaten moeten een van de volgende besturingssystemen draaien:

• Windows 10 of 11 Business
• Windows 10 of 11 Professional
• Windows 10 of 11 Enterprise

Zie vereisten voor Microsoft Defender voor Bedrijven voor meer informatie.

Kies een van de volgende opties voor het onboarden van Windows-clientapparaten naar Defender voor Bedrijven:

• Lokaal script. Voor het handmatig inwerken van apparaten in het Microsoft Defender-portaal.
• groepsbeleid. Als je al groepsbeleid gebruikt in je organisatie.
• Microsoft Intune. Als je al Intune gebruikt.

Lokaal script voor Windows 10 en 11

Wanneer je het onboardingscript op een Windows-apparaat uitvoert, gebeurt het:

• Maakt een trust aan met Microsoft Entra ID, als er nog geen trust bestaat.
• Meld het apparaat in bij Microsoft Intune, als het nog niet is ingeschreven.
• Hiermee wordt het apparaat toegevoegd aan Defender voor Bedrijven.

Als u momenteel geen Intune gebruikt, raden we u aan het script te gebruiken om apparaten te onboarden voor Defender voor Bedrijven klanten.

Tip

U wordt aangeraden maximaal 10 apparaten tegelijk te onboarden wanneer u de lokale scriptmethode gebruikt.

1. Ga naar de Microsoft Defender-portal en meld u aan.

2. Kies in het navigatiedeelvenster Instellingen>Eindpuntenen kies vervolgens onder Apparaatbeheer de optie Onboarding.

3. Selecteer Windows 10 en 11.

4. Selecteer onder Connectiviteitstypede optie Gestroomlijnd.

5. Kies in de sectie Implementatiemethodede optie Lokaal script en selecteer vervolgens Onboardingpakket downloaden. We raden u aan het installatiepakket op te slaan op een verwisselbaar medium.

6. Pak op een Windows-apparaat de inhoud van het configuratiepakket uit op een locatie, zoals de map Bureaublad. U moet een bestand hebben met de naam WindowsDefenderATPLocalOnboardingScript.cmd.

7. Open een opdrachtprompt-venster als beheerder.

8. Typ de locatie van het scriptbestand. Als je bijvoorbeeld het bestand naar de Desktop-map hebt gekopieerd, typ %userprofile%\Desktop\WindowsDefenderATPLocalOnboardingScript.cmd en druk vervolgens op de Enter-toets of selecteer OK.

9. Nadat het script is uitgevoerd, voert u een detectietest uit.

groepsbeleid voor Windows 10 en 11

Als u liever groepsbeleid gebruikt om Windows-clients te onboarden, volgt u de richtlijnen in Windows-apparaten onboarden met behulp van groepsbeleid. In dit artikel worden de stappen beschreven voor onboarding naar Microsoft Defender voor Eindpunt. De stappen voor onboarding naar Defender voor Bedrijven zijn vergelijkbaar.

Intune voor Windows 10 en 11

Je kunt Windows-clients en andere apparaten in Intune onboarden door gebruik te maken van het Intune admin center. Er zijn verschillende methoden beschikbaar voor het inschrijven van apparaten in Intune. We raden u aan een van de volgende methoden te gebruiken:

• Automatische inschrijving van Windows inschakelen voor apparaten in bedrijfseigendom of door het bedrijf beheerde apparaten
• Vraag gebruikers om hun eigen Windows 10/11-apparaten in te schrijven in Intune

Automatische inschrijving inschakelen voor Windows 10 en 11

Wanneer u automatische inschrijving instelt, voegen gebruikers hun werkaccount toe aan het apparaat. Op de achtergrond wordt het apparaat geregistreerd, gekoppeld aan Microsoft Entra ID en ingeschreven bij Intune.

1. Ga naar Azure Portal en meld u aan.

2. Selecteer Microsoft Entra ID>Mobility (MDM en MAM)>Microsoft Intune.

3. Configureer het MDM-gebruikersbereik en het MAM-gebruikersbereik.

   

   • Voor MDM-gebruikersbereik wordt u aangeraden Alle te selecteren, zodat alle gebruikers hun Windows-apparaten automatisch kunnen inschrijven.

   • In de sectie MAM-gebruikersbereik raden we de volgende standaardwaarden voor de URL's aan:

     • URL voor MDM-gebruiksvoorwaarden
     • Detectie-URL voor MDM
     • URL van MDM-naleving

4. Selecteer Opslaan.

5. Nadat een apparaat is ingeschreven bij Intune, kunt u het toevoegen aan een apparaatgroep in Defender voor Bedrijven. Meer informatie over apparaatgroepen in Defender voor Bedrijven.

Tip

Zie Automatische inschrijving van Windows inschakelen voor meer informatie.

Vraag gebruikers om hun Windows 10- en 11-apparaten te registreren

1. Bekijk de volgende video om te zien hoe inschrijving werkt:
   
   

2. Deel dit artikel met gebruikers in uw organisatie: Windows 10/11 apparaten inschrijven in Intune.

3. Nadat een apparaat is ingeschreven bij Intune, kunt u het toevoegen aan een apparaatgroep in Defender voor Bedrijven. Meer informatie over apparaatgroepen in Defender voor Bedrijven.

Een detectietest uitvoeren op een Windows 10 of 11 apparaten

Nadat je Windows-apparaten hebt geïnboarded in Defender voor Bedrijven, voer je een detectietest uit op het apparaat om te controleren of alles correct werkt.

1. Maak op het Windows-apparaat een map: C:\test-MDATP-test.

2. Open een opdrachtpromptvenster als beheerder en voer vervolgens de volgende opdracht uit:

   powershell.exe -NoExit -ExecutionPolicy Bypass -WindowStyle Hidden $ErrorActionPreference = 'silentlycontinue';(New-Object System.Net.WebClient).DownloadFile('http://127.0.0.1/1.exe', 'C:\\test-MDATP-test\\invoice.exe');Start-Process 'C:\\test-MDATP-test\\invoice.exe'
   

Wanneer het commando wordt uitgevoerd, sluit het Command Prompt-venster automatisch. Als dit slaagt, wordt de detectietest als voltooid gemarkeerd en verschijnt er binnen ongeveer 10 minuten een nieuwe waarschuwing in het Microsoft Defender-portaal voor het nieuw ontmantelde apparaat.

Mac

Mac

Opmerking

We raden u aan het lokale script te gebruiken om Macs te onboarden. Hoewel u inschrijving voor Mac kunt instellen met behulp van Intune, is het lokale script de eenvoudigste methode voor het onboarden van Macs voor Defender voor Bedrijven.

Kies een van de volgende opties om Mac-apparaten te onboarden:

• Lokaal script voor Mac (aanbevolen)
• Intune voor Mac (als u al Intune gebruikt)

Lokaal script voor Mac

Wanneer je het lokale script op een Mac uitvoert, doet het:

• Maakt een trust aan met Microsoft Entra ID, als er nog geen trust bestaat.
• Schrijft de Mac in bij Microsoft Intune, als deze nog niet is aangesloten.
• Hiermee wordt de Mac bij Defender voor Bedrijven geregistreerd.

U wordt aangeraden niet meer dan 10 Macs tegelijk te onboarden met behulp van deze methode.

1. Ga naar de Microsoft Defender-portal en meld u aan.

2. Kies in het navigatiedeelvenster Instellingen>Eindpuntenen kies vervolgens onder Apparaatbeheer de optie Onboarding.

3. Selecteer macOS.

4. Selecteer onder Connectiviteitstypede optie Gestroomlijnd.

5. Kies in de sectie Implementatiemethodede optie Lokaal script en selecteer vervolgens Onboardingpakket downloaden. Sla het pakket op een verwisselbaar opslagstation op. Selecteer ook Installatiepakket downloaden en sla het op uw verwisselbare apparaat op.

6. Sla het installatiepakket op uw Mac op als wdav.pkg in een lokale map.

7. Sla het onboardingpakket op in WindowsDefenderATPOnboardingPackage.zip dezelfde map die u voor het installatiepakket hebt gebruikt.

8. Gebruik de Finder om naar het opgeslagen wdav.pkg te navigeren en open het vervolgens.

9. Selecteer Doorgaan, ga akkoord met de licentievoorwaarden en voer vervolgens je wachtwoord in wanneer daarom wordt gevraagd.

10. Je wordt gevraagd om installatie van een driver van Microsoft toe te staan, systeemextensie geblokkeerd of installatie staat in pauze, of beide. U moet de installatie van het stuurprogramma toestaan. Selecteer Open Beveiligingsvoorkeuren of Open Systeemvoorkeuren>Beveiliging en privacy en selecteer vervolgens Sta toe.

11. Gebruik de volgende Bash-opdracht om het onboardingpakket uit te voeren:

    /usr/bin/unzip WindowsDefenderATPOnboardingPackage.zip \
    && /bin/chmod +x MicrosoftDefenderATPOnboardingMacOs.sh \
    && Sudo bash -x MicrosoftDefenderATPOnboardingMacOs.sh
    

Nadat de Mac is ingeschreven in Intune, kun je hem toevoegen aan een apparaatgroep. Meer informatie over apparaatgroepen in Defender voor Bedrijven.

Intune voor Mac

Als je al Intune hebt, kun je Mac-computers registreren via het Intune admin center. Er zijn verschillende methoden beschikbaar voor het inschrijven van Mac in Intune. We raden een van de volgende methoden aan:

• Een optie kiezen voor Mac in bedrijfseigendom
• Vraag gebruikers hun eigen Mac bij Intune te registreren

Opties voor Mac in bedrijfseigendom

Kies een van de volgende opties om door het bedrijf beheerde Mac-apparaten in te schrijven in Intune:

Optie	Beschrijving
Automatische apparaatinschrijving van Apple	Gebruik deze methode om de inschrijving te automatiseren op apparaten die zijn aangeschaft via Apple Business Manager of Apple School Manager. Geautomatiseerde apparaatregistratie zet het registratieprofiel via de ether uit, dus je hoeft geen fysieke toegang tot apparaten te hebben. Zie Mac automatisch inschrijven bij Apple Business Manager of Apple School Manager voor meer informatie.
Apparaatinschrijvingsmanager (DEM)	Gebruik deze methode voor grootschalige implementaties en wanneer er meerdere personen in uw organisatie zijn die kunnen helpen bij het instellen van de inschrijving. Iemand met DEM-machtigingen (Device Enrollment Manager) kan maximaal 1000 apparaten inschrijven met één Microsoft Entra account. Deze methode maakt gebruik van de Bedrijfsportal-app of Microsoft Intune-app om apparaten in te schrijven. Je kunt geen DEM-account gebruiken om apparaten te registreren door Automated Device Enrollment te gebruiken. Zie Apparaten inschrijven in Intune met behulp van een apparaatinschrijvingsmanageraccount voor meer informatie.
Directe inschrijving	Directe inschrijving registreert apparaten zonder gebruikersaffiniteit, dus deze methode is het beste voor apparaten die niet aan één gebruiker zijn gekoppeld. Voor deze methode moet u fysieke toegang hebben tot de Macs die u wilt inschrijven. Zie Directe inschrijving voor Mac gebruiken voor meer informatie.

Vraag gebruikers om hun eigen Mac in Intune te registreren

Als uw bedrijf liever heeft dat gebruikers apparaten registreren bij Intune, wijs hen dan aan deze stappen:

1. Ga naar de website van Bedrijfsportal en log in.

2. Volg de instructies op de website van Bedrijfsportal om het apparaat toe te voegen.

3. Installeer de Bedrijfsportal-app en volg de instructies in de app.

Controleren of er onboarding voor een Mac is

1. Als u wilt controleren of het apparaat is gekoppeld aan uw bedrijf, gebruikt u de volgende Python-opdracht in Bash:

   mdatp health --field org_id.

2. Als u macOS 10.15 (Catalina) of hoger gebruikt, geeft u Defender voor Bedrijven toestemming om uw apparaat te beveiligen. Ga naar Systeemvoorkeuren>Beveiliging & Privacy>Volledige>schijftoegang. Selecteer het slotpictogram onderaan het dialoogvenster om wijzigingen aan te brengen, en selecteer dan Microsoft Defender voor Bedrijven, of Defender for Endpoint, als dat is wat je ziet.

3. Als u wilt controleren of het apparaat is toegevoegd, gebruikt u de volgende opdracht in Bash:

   mdatp health --field real_time_protection_enabled

Nadat je een apparaat in Intune hebt ingeschreven, kun je het toevoegen aan een apparaatgroep. Meer informatie over apparaatgroepen in Defender voor Bedrijven.

Mobiele apparaten

Mobiele apparaten

Gebruik de volgende methoden om mobiele apparaten te onboarden, zoals Android- en iOS-apparaten:

• De Microsoft Defender-app gebruiken
• Gebruik Microsoft Intune

De Microsoft Defender-app gebruiken

Mobile Threat Defense-mogelijkheden zijn beschikbaar in Defender voor Bedrijven. Met deze mogelijkheden kun je nu mobiele apparaten, zoals Android en iOS, onboarden door gebruik te maken van de Microsoft Defender-app. Met deze methode downloaden gebruikers de app van Google Play of de Apple-App Store, melden ze zich aan en voltooien ze de onboardingstappen.

Belangrijk

Zorg ervoor dat Defender voor Bedrijven de provisionering voltooit: Ga in het Microsoft Defender-portaal naar Assets>Devices.

• Als je het bericht ziet, wacht even! We bereiden nieuwe ruimtes voor voor je data en koppelen ze, Defender voor Bedrijven is nog niet klaar met provisionen. Dit proces vindt nu plaats en het kan tot 24 uur duren.
• Als u een lijst met apparaten ziet of als u wordt gevraagd om apparaten te onboarden, betekent dit Defender voor Bedrijven inrichting is voltooid.

Gebruikers kunnen de volgende procedures gebruiken om mobiele apparaten te onboarden met behulp van de Microsoft Defender-app:

• Androïde:

  1. Als je niet hebt ingelogd en je apparaat niet hebt geregistreerd in de Microsoft Authenticator-app, volg dan deze stappen op het apparaat:

     1. Installeer de Microsoft Authenticator-app vanuit de Google Play Store.
     2. Meld u in de Microsoft Authenticator-app aan en registreer uw apparaat met uw Werk- of schoolaccount van Microsoft 365.

  2. Installeer de Microsoft Defender: Antivirus-app uit de Google Play Store op uw apparaat.

  3. Open de Microsoft Defender-app, meld u aan en voltooi het onboardingproces.

• iOS/iPadOS:

  1. Als je niet hebt ingelogd en je apparaat niet hebt geregistreerd in de Microsoft Authenticator-app, volg dan deze stappen op het apparaat:

     1. Installeer de Microsoft Authenticator-app vanuit de Apple App Store.
     2. Meld u in de Microsoft Authenticator-app aan en registreer uw apparaat met uw Werk- of schoolaccount van Microsoft 365.

  2. Installeer de Microsoft Defender: Beveiligings-app vanuit de Apple-App Store op uw apparaat.

  3. De Microsoft Defender-app toestaan om een VPN-verbinding in te stellen en VPN-configuraties toe te voegen.

  4. Kies of je meldingen toestaat, zoals waarschuwingen.

Tip

Nadat u een mobiel apparaat hebt onboarden met behulp van de Microsoft Defender-app, gaat u naar de sectie Een phishingtest uitvoeren op een apparaat verderop in dit artikel.

Gebruik Microsoft Intune

Als je abonnement Microsoft Intune bevat, kun je het gebruiken om mobiele apparaten aan boord te nemen, zoals Android- en iOS- of iPadOS-apparaten. Raadpleeg de volgende resources voor hulp bij het inschrijven van deze apparaten bij Intune:

• Android-apparaten inschrijven
• iOS- of iPadOS-apparaten inschrijven

Nadat je een apparaat in Intune hebt ingeschreven, kun je het toevoegen aan een apparaatgroep. Meer informatie over apparaatgroepen in Defender voor Bedrijven.

Servers

Servers

Opmerking

Om een instantie van Windows Server of Linux Server te onboarden, heb je een extra licentie nodig, zoals Microsoft Defender voor Bedrijfsservers.

Kies het besturingssysteem voor uw server:

• Windows Server
• Linux-server

Windows Server

Belangrijk

Voordat je een Windows Server-endpoint inboardt, zorg ervoor dat je aan de volgende eisen voldoet:

• U hebt een Microsoft Defender voor Bedrijfsservers licentie. Voor meer informatie, zie Hoe je Microsoft Defender voor Bedrijfsservers krijgt.
• Het afdwingingsbereik voor Windows Server is ingeschakeld. Ga naar Instellingen>Eindpunten>Configuratiebeheer>Afdwingingsbereik. Selecteer MDE gebruiken om beveiligingsconfiguratie-instellingen van MEM af te dwingen, selecteer Windows Server en selecteer vervolgens Opslaan.

U kunt een exemplaar van Windows Server onboarden naar Defender voor Bedrijven met behulp van een lokaal script.

Lokaal script voor Windows Server

1. Ga naar de Microsoft Defender-portal en meld u aan.

2. Kies in het navigatiedeelvenster Instellingen>Eindpuntenen kies vervolgens onder Apparaatbeheer de optie Onboarding.

3. Selecteer een besturingssysteem, zoals Windows Server 1803, 2019 en 2022, en kies vervolgens in de sectie Implementatiemethodede optie Lokaal script.

   Als u Windows Server 2012 R2 en 2016 selecteert, moet u twee pakketten downloaden en uitvoeren: een installatiepakket en een onboardingpakket. Het installatiepakket bevat een MSI-bestand waarmee de Defender voor Bedrijven-agent wordt geïnstalleerd. Het onboarding-pakket bevat het script voor het onboarden van uw Windows Server eindpunt naar Defender voor Bedrijven.

4. Selecteer introductiepakket downloaden. We raden u aan het installatiepakket op te slaan op een verwisselbaar medium.

   Als je Windows Server 2012 R2 en 2016 selecteert, selecteer dan ook Download installatiepakket en sla het pakket op op een verwisselbare schijf.

5. Op je Windows Server-endpoint pak je de inhoud van de installatie- en onboardingpakketten uit naar een locatie zoals de Desktop-map. U moet een bestand hebben met de naam WindowsDefenderATPLocalOnboardingScript.cmd.

   Als u Windows Server 2012 R2 of Windows Server 2016 onboardt, extraheert u eerst het installatiepakket.

6. Open een opdrachtprompt als beheerder en voltooi de volgende stappen:

   • Windows Server 2012 R2 of Windows Server 2016: Voer de volgende commando's uit:

     Msiexec.exe /i md4ws.msi /quiet
     

     Voer de WindowsDefenderATPLocalOnboardingScript.cmd uit. Als u het bestand bijvoorbeeld hebt gekopieerd naar de map Bureaublad, voert u de volgende opdracht uit:

     %userprofile%\Desktop\WindowsDefenderATPLocalOnboardingScript.cmd
     

   • Windows Server 1803, 2019 of 2022: voer de WindowsDefenderATPLocalOnboardingScript.cmduit. Als u het bestand bijvoorbeeld hebt gekopieerd naar de map Bureaublad, voert u de volgende opdracht uit:

     %userprofile%\Desktop\WindowsDefenderATPLocalOnboardingScript.cmd
     

7. Ga naar de sectie Een detectietest uitvoeren op Windows Server.

Een detectietest uitvoeren op Windows Server

Nadat je je Windows Server-endpoint hebt gekoppeld aan Defender voor Bedrijven, voer je een detectietest uit om te controleren of alles correct werkt:

1. Maak op het Windows Server apparaat een map: C:\test-MDATP-test.

2. Open opdrachtprompt als beheerder en voer de volgende opdrachten uit:

   powershell.exe -NoExit -ExecutionPolicy Bypass -WindowStyle Hidden $ErrorActionPreference = 'silentlycontinue';(New-Object System.Net.WebClient).DownloadFile('http://127.0.0.1/1.exe', 'C:\\test-MDATP-test\\invoice.exe');Start-Process 'C:\\test-MDATP-test\\invoice.exe'
   

Wanneer het commando wordt uitgevoerd, sluit het Command Prompt-venster automatisch. Als dit slaagt, wordt de detectietest als voltooid gemarkeerd en verschijnt er binnen ongeveer 10 minuten een nieuwe waarschuwing in het Microsoft Defender-portaal voor het nieuw ontmantelde apparaat.

Linux-server

Belangrijk

Zorg ervoor dat je aan de volgende eisen voldoet voordat je een Linux Server-endpoint inboardt:

• U hebt een Microsoft Defender voor Bedrijfsservers licentie. Voor meer informatie, zie Hoe je Microsoft Defender voor Bedrijfsservers krijgt.
• U voldoet aan de vereisten voor Microsoft Defender voor Eindpunt op Linux.

Voeg Linux Server-eindpunten toe

Gebruik de volgende methoden om een Linux Server-instantie te onboarden in Defender voor Bedrijven:

• Defender-implementatietool: Deploy Microsoft Defender voor Eindpunt op Linux met de Defender-implementatietool.
• Lokaal script: implementeer Microsoft Defender voor Eindpunt handmatig op Linux.
• Ansible: implementeer Microsoft Defender voor Eindpunt op Linux met Ansible.
• Chef: Implementeer Defender voor Eindpunt op Linux met Chef.
• Puppet: implementeer Microsoft Defender voor Eindpunt op Linux met Puppet.

Opmerking

Het onboarden van een Linux Server-exemplaar bij Defender voor Bedrijven is hetzelfde als het onboarden bij Microsoft Defender voor Eindpunt on Linux.

De lijst met geïntegreerde apparaten weergeven

1. Ga naar de Microsoft Defender-portal en meld u aan.

2. Ga in het navigatievenster naar Assets>Apparaten. De weergave Apparaatinventaris wordt geopend.

Een phishingtest uitvoeren op een apparaat

Nadat je een apparaat hebt ontboord, voer je een snelle phishingtest uit om te controleren of het apparaat verbonden is en de waarschuwingen genereert zoals verwacht.

1. Ga op een apparaat naar https://smartscreentestratings2.net. Defender voor Bedrijven moet die URL op het apparaat van de gebruiker blokkeren.

2. Als lid van het beveiligingsteam van uw organisatie gaat u naar het Microsoft Defender-portaal en meldt u zich aan.

3. Ga in het navigatiedeelvenster naar Incidenten. U ziet een informatieve waarschuwing die aangeeft dat een apparaat toegang heeft geprobeerd te krijgen tot een phishingsite.

Volgende stap

• Stap 6: Configureer je beveiligingsinstellingen en -beleid in Defender voor Bedrijven