Beveiligingsbeleid voor eindpunten beheren in Microsoft Defender voor Eindpunt

Als beveiligingsbeheerder kunt u beleid voor eindpuntbeveiliging rechtstreeks in de Microsoft Defender-portal maken en beheren zonder over te schakelen naar het Microsoft Intune-beheercentrum. Deze aanpak heeft de volgende voordelen:

• Werk vanuit één console.
• Pas één beleid toe op zowel door Intune ingeschreven apparaten als apparaten die worden beheerd via Defender voor beheer van eindpuntbeveiligingsinstellingen (apparaten die zijn toegevoegd aan Defender voor Eindpunt, maar niet zijn ingeschreven bij Intune).
• Beveiligingsinstellingen beheren met behulp van Defender voor eindpuntmachtigingen in plaats van een volledige Intune-beheerdersrol.

Als u instellingen wilt beheren op apparaten die niet zijn ingeschreven bij Intune, schakelt u eerst het beheer van beveiligingsinstellingen in. Zie Microsoft Defender voor Eindpunt beheren op apparaten die niet zijn ingeschreven bij Intune voor meer informatie over waarom u het zou gebruiken en hoe u deze inschakelt, inclusief het afdwingingsbereik en de vereisten.

De pagina Eindpuntbeveiligingsbeleid is beschikbaar in de Microsoft Defender-portal op Endpoints>Configuration Management>Endpoint-beveiligingsbeleid, of rechtstreeks op https://security.microsoft.com/policy-inventory.

De volgende tabel bevat de typen eindpuntbeveiligingsbeleid die u kunt beheren en de platforms die elk type ondersteunt:

Note

Je kunt geen Endpoint Security Policy Management gebruiken op apparaten die een sensor gebruiken die wordt geleverd door de Microsoft Monitoring Agent (MMA). Voor meer informatie over hoe u deze apparaten kunt upgraden, zie Gebruik de Defender deployment tool om de beveiliging van Defender endpoints uit te rollen.

Ook wordt alleen het Microsoft Defender Antivirus-beleid ondersteund op Windows 7 SP1 en Windows Server 2008 R2 SP1.

Policy	Windows	macOS	Linux
Regels voor het verminderen van kwetsbaarheid voor aanvallen (ASR)	Ja
Opties voor Defender-updates	Ja
Apparaatbesturing	Ja¹
Eindpuntdetectie en -respons (EDR)	Ja	Ja	Ja
Microsoft Defender Antivirus	Yes	Yes	Yes
Microsoft Defender Antivirus-uitsluitingen	Yes	Yes	Yes
Microsoft Defender Firewall	Ja
Microsoft Defender-firewallregels	Ja
Microsoft Defender globale uitsluitingen (antivirus en EDR)			Ja
Windows-beveiliging	Ja

¹ Beleidsregels voor apparaatbeheer zijn beschikbaar in de Defender-portal, maar het beleid is alleen van toepassing op apparaten die zijn ingeschreven in Microsoft Intune. Dit geldt niet voor apparaten die worden beheerd via Defender voor beheer van eindpuntbeveiligingsinstellingen (apparaten die zijn toegevoegd aan Defender voor Eindpunt, maar niet zijn ingeschreven bij Intune).

Prerequisites

Aan u moeten machtigingen zijn toegewezen voordat u de procedures in dit artikel kunt uitvoeren.

• Uw machtigingen moeten van toepassing zijn op alle apparaten. Als uw rol is afgestemd op specifieke apparaatgroepen, kunt u de pagina Eindpuntbeveiligingsbeleid niet openen.
• Ongeacht welke van de volgende opties u toegang geeft, wordt de lijst met beleidsregels die worden weergegeven in de Microsoft Defender-portal, bepaald door uw RBAC-toewijzingen (op rollen gebaseerd toegangsbeheer) van Intune.

U hebt de volgende opties om de vereiste machtigingen toe te wijzen:

• Microsoft Defender XDR Geïntegreerd op rollen gebaseerd toegangsbeheer (RBAC):

  • Beleid maken en beheren: Autorisatie en instellingen/Beveiligingsinstellingen/Kernbeveiligingsinstellingen (beheren)
  • Alleen-lezentoegang tot beleid: Autorisatie en instellingen/Beveiligingsinstellingen/Kernbeveiligingsinstellingen (lezen)

• Microsoft Intune op rollen gebaseerd toegangsbeheer (RBAC): Microsoft raadt de ingebouwde rol van Intune Endpoint Security Manager aan om het machtigingsniveau tussen Intune en de Microsoft Defender-portal uit te lijnen.

• Microsoft Entra machtigingen: lidmaatschap van de rollen Globale beheerder^*, Beveiligingsbeheerder of Intune-beheerder geeft gebruikers de vereiste machtigingen en machtigingen voor andere functies in Microsoft 365.

  Important

  ^* Microsoft is sterk voorstander van het principe van minimale bevoegdheden. Als u accounts alleen de minimale machtigingen toewijst die nodig zijn om hun taken uit te voeren, vermindert u beveiligingsrisico's en wordt de algehele beveiliging van uw organisatie versterkt. Globale beheerder is een zeer bevoorrechte rol die u moet beperken tot scenario's voor noodgevallen of wanneer u geen andere rol kunt gebruiken.

Een eindpuntbeveiligingsbeleid maken

Voer de volgende stappen uit om een eindpuntbeveiligingsbeleid te maken:

1. Selecteer op de pagina Beleid voor eindpuntbeveiliging in de Microsoft Defender-portal op https://security.microsoft.com/policy-inventory, Nieuw beleid maken.

   Het tabblad waarop u begint, maakt niet uit. U kunt beleidsregels maken voor elk besturingssysteem op elk tabblad.

2. Kies in de flyout Een nieuw beleid maken dat wordt geopend uit de volgende opties:

   • Platform selecteren: kies een van de volgende waarden:

     • Windows
     • macOS
     • Linux

   • Nadat u het platform hebt geselecteerd, wordt de sjabloon Selecteren weergegeven. De beschikbare sjablonen die u per platform kunt selecteren, worden eerder in dit artikel beschreven in de tabel.

     Nadat u een sjabloon hebt geselecteerd, selecteert u Beleid maken.

3. De wizard voor nieuw beleid wordt geopend. Configureer op de pagina Basisbeginselen de volgende instellingen:

   • Naam: een unieke beschrijvende naam voor het beleid.
   • Beschrijving: voer een optionele beschrijving in voor het beleid.

   Wanneer u klaar bent op de pagina Basisbeginselen , selecteert u Volgende.

4. Wat u ziet op de pagina Configuratie-instellingen , is afhankelijk van het beleidsplatform en de sjabloon.

   U kunt het zoekvak gebruiken om instellingen te zoeken.

   Wanneer u klaar bent op de pagina Configuratie-instellingen , selecteert u Volgende.

5. Gebruik op de pagina Toewijzingen het zoekvak om een groep te zoeken en te selecteren waaraan u het beleid wilt toewijzen.

   Important

   Voor apparaten die worden beheerd via Defender voor beheer van eindpuntbeveiligingsinstellingen (apparaten die zijn toegevoegd aan Defender voor Eindpunt, maar niet zijn ingeschreven bij Intune), ondersteunen toewijzingen alleen apparaatobjecten. Wijs het beleid toe aan Microsoft Entra apparaatgroepen, niet aan gebruikersgroepen, omdat gebruikersdoelgroepen niet worden ondersteund voor deze apparaten. Voor apparaten die zijn ingeschreven bij Intune, kunt u het beleid toewijzen aan gebruikersgroepen of apparaatgroepen.

   Nadat u een groep hebt geselecteerd, wordt de volgende informatie weergegeven op de pagina:

   • Groep: de groepsnaam.
   • Groepsleden: het aantal betrokken apparaten en gebruikers.
   • Doeltype: U kunt Opnemen (standaard) of Uitsluiten selecteren om de leden van de groep op te nemen of uit te sluiten van het beleid.

   Herhaal deze stap zo vaak als nodig is.

   Wanneer u klaar bent op de pagina Toewijzingen , selecteert u Volgende.

6. Controleer uw instellingen op de pagina Beoordelen en maken . Gebruik de knop Vorige om de instellingen te wijzigen.

   Wanneer u klaar bent op de pagina Beoordelen en maken , selecteert u Opslaan.

Nadat het maken van het beleid is voltooid, gaat u naar de gedetailleerde instellingen van het beleid alsof u het hebt geselecteerd op de pagina Eindpuntbeveiligingsbeleid .

Note

Als u bereiktags in het beleid wilt gebruiken, moet u het beleid maken in het Microsoft Intune-beheercentrum.

Een eindpuntbeveiligingsbeleid bewerken

Voer de volgende stappen uit om een eindpuntbeveiligingsbeleid te wijzigen:

1. Selecteer op de pagina Eindpuntbeveiligingsbeleid in de Defender-portal een beschikbaar tabblad:

   • Windows-beleidsregels: https://security.microsoft.com/policy-inventory of https://security.microsoft.com/policy-inventory?osPlatform=Windows.
   • macOS-beleid: https://security.microsoft.com/policy-inventory?osPlatform=Mac.
   • Linux-beleid: https://security.microsoft.com/policy-inventory?osPlatform=Linux.

2. Selecteer op het juiste tabblad het beleid met behulp van een van de volgende methoden:

   • Schakel het selectievakje naast het beleid in en selecteer vervolgens de actie Bewerken die wordt weergegeven.
   • Selecteer de beleidsnaam (koppeling). Selecteer Bewerken op de beleidspagina die wordt geopend.
   • Klik ergens in de andere rij dan het selectievakje of de beleidsnaam. Selecteer Bewerken in de flyout met beleidsdetails die wordt geopend.

3. De beleidswizard wordt geopend zoals beschreven in stap 3 in Een eindpuntbeveiligingsbeleid maken.

De stappen voor het bewerken van het beleid zijn hetzelfde als wanneer u een beleid maakt.

Beveiligingsbeleid voor eindpunten verifiëren

Als u wilt bevestigen dat u een beleid hebt gemaakt, controleert u of het beleid wordt weergegeven op het juiste tabblad van de pagina Eindpuntbeveiligingsbeleid in de Defender-portal op https://security.microsoft.com/policy-inventory.

Selecteer de beleidsnaam (koppeling) om de beleidspagina te openen. De beleidspagina geeft een overzicht van de status van het beleid. U kunt de status van het beleid bekijken, op welke apparaten het van toepassing is en op de toegewezen groepen.

Het kan tot 90 minuten duren voordat een beleid een apparaat bereikt. Als u het proces voor apparaten wilt versnellen die worden beheerd door Defender voor Eindpunt, gebruikt u de actie Beleidssynchronisatie op de pagina apparaatentiteit:

1. Selecteer op het juiste tabblad van de pagina Apparaatinventaris in de Defender-portal op https://security.microsoft.com/machines de waarde Naam van het apparaat.
2. Selecteer op de pagina met de apparaatentiteit die wordt geopend de optie Meer acties>beleidssynchronisatie.

Het beleid moet ongeveer 10 minuten worden toegepast.

Tijdens een onderzoek kunt u ook het tabblad Beveiligingsbeleid van het tabblad Configuratiebeheer op de pagina apparaatentiteit bekijken om de lijst met beleidsregels weer te geven die op een apparaat zijn toegepast. Zie Apparaten onderzoeken voor meer informatie.