Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Gebruik deze procedure om voorwaardelijke toegang te implementeren voor Microsoft Defender voor Eindpunt met Microsoft Intune en Microsoft Entra ID.
Voordat u begint
Waarschuwing
Het is belangrijk om te weten dat Microsoft Entra geregistreerde apparaten in dit scenario niet worden ondersteund. Alleen apparaten die bij Intune zijn geregistreerd, worden ondersteund.
U moet ervoor zorgen dat al uw apparaten zijn ingeschreven bij Intune. U kunt een van de volgende opties gebruiken om apparaten in te schrijven in Intune:
- IT-Beheer: Zie Automatische inschrijving van Windows inschakelen voor meer informatie over het inschakelen van automatische inschrijving.
- Eindgebruiker: Zie Uw Windows-apparaat inschrijven in Intune voor meer informatie over het inschrijven van uw Windows 10 en Windows 11 apparaat in Intune.
- Alternatief voor eindgebruikers: Raadpleeg Procedure: Uw implementatie van Microsoft Entra-join plannen voor meer informatie over lid worden van een Microsoft Entra-domein.
Er zijn stappen die u moet uitvoeren in de Microsoft Defender portal, de Intune portal en Microsoft Entra-beheercentrum.
Het is belangrijk om de vereiste rollen te noteren voor toegang tot deze portals en het implementeren van voorwaardelijke toegang:
- Microsoft Defender portal: u moet zich aanmelden met een juiste rol om integratie in te schakelen. Zie Machtigingsopties.
- Microsoft Intune beheercentrum: u moet zich aanmelden met beveiligingsbeheerdersrechten met beheermachtigingen.
- Microsoft Entra-beheercentrum: U moet zich aanmelden als beveiligingsbeheerder of beheerder voor voorwaardelijke toegang.
Belangrijk
Microsoft raadt u aan rollen te gebruiken met de minste machtigingen. Dit helpt bij het verbeteren van de beveiliging voor uw organisatie. Globale beheerder is een zeer bevoorrechte rol die moet worden beperkt tot scenario's voor noodgevallen wanneer u een bestaande rol niet kunt gebruiken.
U hebt een Microsoft Intune-omgeving nodig met door Intune beheerde en aan Microsoft Entra gekoppelde Windows 10- en Windows 11-apparaten.
Voer de volgende stappen uit om voorwaardelijke toegang in te schakelen voor Microsoft Defender voor Eindpunt met Microsoft Intune en Microsoft Entra ID:
- Schakel de Microsoft Intune-verbinding in de Microsoft Defender-portal in.
- Schakel de integratie van Defender for Endpoint in het Microsoft Intune-beheercentrum in.
- Maak en wijs het nalevingsbeleid toe in Intune.
- Maak een Microsoft Entra beleid voor voorwaardelijke toegang.
Stap 1: de Microsoft Intune-verbinding inschakelen
Ga in de Microsoft Defender portal op https://security.microsoft.comnaar Systeeminstellingen>>Eindpunten>Algemene>geavanceerde functies. Of, om rechtstreeks naar de pagina Geavanceerde functies te gaan, gebruikt u https://security.microsoft.com/securitysettings/endpoints/integration.
Controleer op de pagina Geavanceerde functies of de instelling Microsoft Intune verbindingaan is. Schuif zo nodig de wisselknop naar Aan en selecteer voorkeuren voor opslaan.
Stap 2: Schakel de integratie van Defender for Endpoint in Intune in
Voer de volgende stappen uit om de integratie voor de evaluatie van het nalevingsbeleid van Microsoft Defender voor Eindpunt in het Microsoft Intune-beheercentrum in te schakelen.
Selecteer in het Microsoft Intune-beheercentrum op https://intune.microsoft.com, de sectie Endpoint security>Setup>Microsoft Defender voor Eindpunt. Of ga rechtstreeks naar de pagina Eindpuntbeveiliging | Microsoft Defender voor Eindpunt en gebruik https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/atp.
Op eindpuntbeveiliging | Microsoft Defender voor Eindpunt pagina schuift u in de sectie Evaluatie van nalevingsbeleid de windows-apparaten versie 10.0.15063 en hoger verbinden naar Microsoft Defender voor Eindpunt wisselknop op Aan.
Selecteer Opslaan bovenaan de pagina.
Stap 3: het nalevingsbeleid maken en toewijzen in Intune
Zie Een eindpuntbeveiligingsbeleid maken (wordt geopend op een nieuw tabblad in de Intune-documentatie) om het nalevingsbeleid in Intune te maken en toe te wijzen. Wanneer u een nieuw beleid maakt, kiest u de volgende opties:
- Platform: selecteer Windows 10 en hoger.
- Profieltype: selecteer Windows 10/11-nalevingsbeleid.
-
Basisbeginselen: Configureer de volgende instellingen:
- Naam: een unieke beschrijvende naam voor het beleid.
- Beschrijving: voer een optionele beschrijving in.
-
Instellingen voor naleving: vouw Microsoft Defender voor Eindpunt uit. Stel Vereisen dat het apparaat zich op of onder het apparaatdreigingsniveau bevindt op het niveau van uw voorkeur:
- Duidelijk: dit niveau is het veiligste. Het apparaat kan geen bestaande bedreigingen hebben en nog steeds toegang krijgen tot bedrijfsresources. Als er bedreigingen worden gevonden, wordt het apparaat geëvalueerd als niet-compatibel.
- Laag: het apparaat is compatibel als er alleen bedreigingen op laag niveau bestaan. Apparaten met een gemiddeld of hoog bedreigingsniveau zijn niet compatibel.
- Gemiddeld: het apparaat is compatibel als de bedreigingen op het apparaat laag of gemiddeld zijn. Als bedreigingen op hoog niveau worden gedetecteerd, wordt het apparaat als niet-compatibel vastgesteld.
- Hoog: dit niveau is het minst veilig en staat alle bedreigingsniveaus toe. Apparaten met een hoog, gemiddeld of laag bedreigingsniveau worden dus beschouwd als compatibel.
-
Acties voor niet-naleving: de volgende instellingen zijn al geconfigureerd (en u kunt ze niet wijzigen):
- Actie: Apparaat markeren als niet-compatibel.
- Termijn (dagen na niet-naleven): Onmiddellijk. U kunt de volgende acties toevoegen:
-
E-mail verzenden naar eindgebruiker: De volgende opties zijn beschikbaar:
- Planning (dagen na niet-naleving): de standaardwaarde is 0, maar u kunt een andere waarde invoeren tot 365.
- Berichtsjabloon: Selecteer Geen geselecteerd om een sjabloon te zoeken en te selecteren.
- Aanvullende geadresseerden (via e-mail): Selecteer Geen selectie om Microsoft Entra-groepen te zoeken en te selecteren die een melding moeten ontvangen.
- Apparaat toevoegen aan de lijst buiten gebruik stellen: De enige beschikbare optie is Plannen (dagen na niet-naleving): de standaardwaarde is 0, maar u kunt een andere waarde invoeren tot maximaal 365. Als u een actie wilt verwijderen, selecteert u ...>Verwijderen op de vermelding. Mogelijk moet u de horizontale schuifbalk gebruiken om ...te zien.
-
Toewijzingen: Configureer de volgende instellingen:
-
Sectie Opgenomen groepen : selecteer een van de volgende opties:
- Groepen toevoegen: selecteer een of meer groepen die u wilt opnemen.
- Alle gebruikers toevoegen
- Alle apparaten toevoegen
- Uitgesloten groepen: selecteer Groepen toevoegen om groepen op te geven die moeten worden uitgesloten.
-
Sectie Opgenomen groepen : selecteer een van de volgende opties:
Controleer de instellingen op het tabblad Controleren en maken en selecteer vervolgens Maken.
Stap 4: een Microsoft Entra beleid voor voorwaardelijke toegang maken
Tip
Voor de volgende procedure is de rol beheerder voor voorwaardelijke toegang in Microsoft Entra ID vereist.
Voer de volgende stappen uit om een beleid voor voorwaardelijke toegang te maken in Microsoft Entra ID.
Ga in het Microsoft Intune-beheercentrum op https://intune.microsoft.com naar de sectie Entra ID>Voorwaardelijke toegang. Of ga rechtstreeks naar de voorwaardelijke toegang | Overzichtspagina , gebruik https://entra.microsoft.com/#view/Microsoft_AAD_ConditionalAccess/ConditionalAccessBlade/~/Overview/menuId//fromNav/Identity.
Op de voorwaardelijke toegang | Overzichtspaginaselecteert u Beleid. Of ga rechtstreeks naar de pagina Voorwaardelijke toegang | Beleid met https://entra.microsoft.com/#view/Microsoft_AAD_ConditionalAccess/ConditionalAccessBlade/~/Policies/menuId//fromNav/Identity.
Op de voorwaardelijke toegang | De pagina Beleid selecteert u Nieuw beleid.
Configureer de volgende instellingen op de pagina Nieuw beleid voor voorwaardelijke toegang die wordt geopend:
Naam: voer een unieke, beschrijvende naam in.
Sectie Toewijzingen : configureer de volgende instellingen:
-
Gebruikers, agents of workload-identiteiten: selecteer de koppeling en configureer vervolgens de volgende instellingen die worden weergegeven:
- Waarop is dit beleid van toepassing?: Selecteer Gebruikers en groepen
- Tabblad Opnemen : selecteer Alle gebruikers.
- Tabblad Uitsluiten :
- Selecteer Gebruikers en groepen en zoek en selecteer vervolgens de nood-'break glass'-beheeraccounts van uw organisatie.
- Als u hybride identiteitsoplossingen gebruikt, zoals Microsoft Entra Connect of Microsoft Entra Connect Cloud Sync, selecteert u Directory-rollen en selecteert u vervolgens Directory-synchronisatieaccounts.
-
Doelresources: selecteer de koppeling en configureer vervolgens de volgende instellingen die worden weergegeven:
- Selecteer waarop dit beleid van toepassing is: Controleer of Resources (voorheen cloud-apps) is geselecteerd.
- Tabblad Opnemen : selecteer Alle resources (voorheen 'Alle cloud-apps').
-
Gebruikers, agents of workload-identiteiten: selecteer de koppeling en configureer vervolgens de volgende instellingen die worden weergegeven:
Sectie Toegangsbeheer : configureer de volgende instellingen:
-
Verlenen: selecteer de koppeling en configureer vervolgens de volgende instellingen in de flyout Verlenen die wordt geopend:
Controleer of Toegang verlenen is geselecteerd en selecteer vervolgens Vereisen dat het apparaat is gemarkeerd als compatibel.
Wanneer u klaar bent in de Grant-flyout, selecteert u Selecteren.
-
Verlenen: selecteer de koppeling en configureer vervolgens de volgende instellingen in de flyout Verlenen die wordt geopend:
Sectie Beleid inschakelen : Controleer of Alleen rapporteren is geselecteerd.
Wanneer u klaar bent op de pagina Nieuw beleid voor voorwaardelijke toegang , selecteert u Maken.
Nadat u uw instellingen hebt bevestigd met de modus Beleidsimpact of Alleen rapporteren, wijzigt u de beleidsinstelling Inschakelen in het beleid van Alleen rapporteren in Aan:
Als u het beleid wilt wijzigen, gaat u naar Voorwaardelijke toegang | De pagina Beleidsregels op https://entra.microsoft.com/#view/Microsoft_AAD_ConditionalAccess/ConditionalAccessBlade/~/Policies/menuId//fromNav/Identity, selecteer het beleid in de lijst door op de waarde Beleidsnaam te klikken. Op het tabblad Beleidsdetails van de flyout details die wordt geopend, selecteert u Bewerken.
Opmerking
U kunt de Microsoft Defender voor Eindpunt-app gebruiken in combinatie met de besturingselementen Goedgekeurde client-app, App-beveiligingsbeleid en Apparaat dat voldoet (vereisen dat het apparaat als compatibel wordt gemarkeerd) in beleidsregels voor voorwaardelijke toegang van Microsoft Entra. Er is geen uitsluiting vereist voor de Microsoft Defender voor Eindpunt-app tijdens het instellen van voorwaardelijke toegang. Hoewel Microsoft Defender voor Eindpunt op Android & iOS (App ID dd47d17a-3194-4d86-bfd5-c6ae6f5651e3) geen goedgekeurde app is, kan deze wel de beveiligingsstatus van het apparaat rapporteren voor alle drie de machtigingen.
Zie Naleving afdwingen voor Microsoft Defender voor Eindpunt met voorwaardelijke toegang in Intune voor meer informatie.