Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Important
De functies die in dit artikel worden beschreven, zijn momenteel beschikbaar in preview, zijn niet beschikbaar in alle organisaties en kunnen worden gewijzigd.
Configuratiebescherming is een model voor het handhaven van configuraties dat cloudbeheerd beleid de enige bron van waarheid maakt voor Microsoft Defender Antivirus-instellingen. Wanneer configuratiebescherming is ingeschakeld, krijgen Intune en Microsoft Defender voor Eindpunt-beleidsregels voorrang. Het apparaat negeert instellingen uit Groepsbeleid, scripts, Microsoft Configuration Manager en lokale beheerderswijzigingen.
Configuratiebescherming elimineert configuratieafwijkingen en beleidsconflicten door de handhaving in de stijl van tamper-protection uit te breiden naar het gehele configuratieoppervlak van Defender Antivirus.
Tamperbescherming en configuratiebeveiliging zijn complementaire maar verschillende mogelijkheden:
| Feature | Manipulatiebeveiliging | Configuratiebescherming |
|---|---|---|
| Scope | Kleine vaste set beveiligingsinstellingen (~10-13 instellingen) | Volledige configuratie-surface van Defender Antivirus |
| Configuratiebron | Alleen door Microsoft gedefinieerde standaardwaarden | Organisatie-gedefinieerd cloudbeleid (Intune/Defender for Endpoint) |
| Aanpassingsmogelijkheden | Geen aanpassing | Volledige beleidsgestuurde controle |
| Handhaving | Voorkomt het uitschakelen van kritieke beschermingen | Overschrijft alle configuratiekanalen buiten de cloud |
Configuratiebescherming is een superset van manipulatiebeveiliging die beleidsgestuurde controle biedt over de volledige configuratie van Microsoft Defender Antivirus.
Note
Hoewel manipulatiebeveiliging en configuratiebeveiliging technisch gezien tegelijk kunnen worden ingeschakeld, raden wij aan dat uw organisatie één van beide kiest.
Prerequisites
- Apparaten moeten worden geïntegreerd in Microsoft Defender voor Eindpunt.
- Apparaten moeten worden beheerd via Microsoft Intune of via beveiligingsinstellingenbeheer van Defender for Endpoint.
- Apparaten moeten draaien op Windows 10, Windows 11, Windows Server 2019, Windows Server 2022 of Windows Server 2025.
- Apparaten moeten Microsoft Defender voor Eindpunt EDR Sensor versie hoger dan 10.8804 (september 2025) uitvoeren.
- Apparaten moeten Microsoft Defender Antivirus platform versie 4.18.26060.3004 of later draaien (juni 2026).
Configuratiebeveiliging ondersteunt momenteel niet:
- Co-beheer (Configuration Manager + Intune) omgevingen.
- GCC High-omgevingen.
Wat voor configuratiebescherming geldt
Momenteel biedt configuratiebescherming bescherming en handhaving voor Microsoft Defender Antivirus-instellingen, waaronder:
- Antivirusconfiguratie (scaninstellingen, uitsluitingen, updates)
- Beleidsmaatregelen voor het verminderen van aanvalsoppervlakken (ASR)
- Defender Configuration Service Provider (CSP) en Policy CSP-oppervlak (brede set antivirusgerelateerde controles)
- Samenvoegingsgedrag van lokale beheerder
Momenteel dekt configuratiebescherming niet:
- Microsoft Defender Apparaatbeheer
- Instellingen voor eindpuntdetectie en -reactie (EDR)
- Instellingen van het Windows-besturingssysteem (zoals Firewall)
Hoe de handhaving van configuratiebescherming werkt
Configuratiebescherming handhaaft cloudbeheerd beleid via drie mechanismen:
Handhaving van één bron: Wanneer configuratiebeveiliging is ingeschakeld, gelden de volgende handhavingsregels:
- Alleen Intune- en Defender for Endpoint-beleidsregels worden gerespecteerd voor Defender Antivirus-instellingen.
- Wijzigingen in Group Policy Object (GPO), scripts, Configuration Manager en lokale beheerders worden genegeerd.
- Microsoft Defender Antivirus houdt standaard geen rekening met lokale uitsluitingen. Organisaties kunnen lokale door beheerders gedefinieerde antivirusuitsluitingen toestaan door lokale beheerderssamenvoeging via Defender of Intune-beleid in te schakelen. Wanneer lokale beheerderssamenvoeging is ingeschakeld, kunnen lokaal gedefinieerde antivirusuitsluitingen worden samengevoegd met centraal beheerde uitsluitingen. Lokaal gedefinieerde uitsluitingen voor het verminderen van aanvalsoppervlakken (ASR) worden momenteel niet gerespecteerd, zelfs niet wanneer lokale beheerderssamenvoeging is ingeschakeld.
Veilige standaardinstellingen: Als een instelling niet expliciet is geconfigureerd in een beleid, past configuratiebescherming Microsoft-gedefinieerde standaardinstellingen toe. Dit gedrag zorgt ervoor dat apparaten een sterke beveiligingspositie behouden, zelfs wanneer beheerders niet alle beschikbare instellingen hebben geconfigureerd.
Conflictoplossing: Configuratiebescherming gebruikt een waardegebaseerd precedentmodel in plaats van een last-write-wins-model:
- Aan gaat voor Uit. Als het ene beleid de configuratiebescherming op Aan zet en een ander op Uit, blijft de functie ingeschakeld op het apparaat.
- Als meerdere beleidsregels verschillende waarden toewijzen, wordt een conflict gemeld, maar de On-waarde blijft nog steeds gehandhaafd.
- Als meerdere beleidsregels dezelfde waarde toekennen, is het resultaat succes zonder conflict.
Important
Niet geconfigureerd betekent niet Uit. Om de functie uit te schakelen, implementeer expliciet een beleid dat configuratiebescherming op Uit zet.
Schakel configuratiebescherming in
Je kunt configuratiebescherming inschakelen via Microsoft Intune of via Microsoft Defender voor Eindpunt-beheer van beveiligingsinstellingen.
Microsoft Intune is het aanbevolen hulpprogramma voor het configureren en distribueren van Defender voor eindpuntfuncties naar apparaten. Intune is echter een afzonderlijk product dat geen deel uitmaakt van Defender voor Eindpunt en niet is opgenomen in alle abonnementen. Als u Intune wilt gebruiken, hebt u een abonnement nodig dat het bevat of kunt u het afzonderlijk kopen als een zelfstandig abonnement of invoegtoepassing. Als u geen Intune hebt, kunt u een van de andere methoden in dit artikel gebruiken. Zie Microsoft Intune licenties voor meer informatie.
Configuratiebeveiliging wordt geconfigureerd via hetzelfde beleidsoppervlak als manipulatiebeveiliging. In het Windows-beveiliging Experience-profiel hernoemt Intune de manipulatiebeveiligingsinstelling naar Configuratiebeveiliging (Apparaat) wanneer configuratiebeveiliging beschikbaar is. Je kunt configuratiebescherming niet inschakelen via de Settings Catalog of de Device Control v1 (DCv1) template.
Omdat configuratiebeveiliging en manipulatiebeveiliging dezelfde beleidsinstelling gebruiken, gaat het instellen van Configuratiebescherming (aan) boven de manipulatiebeveiligingswaarde op dat apparaat. Je implementeert geen aparte manipulatiebeschermings- en configuratiebeschermingsbeleid voor dezelfde setting. Om bestaande tamper protection (DCv1) beleidsregels te migreren naar configuratiebeveiliging, maak je een Windows-beveiliging Experience-beleid met Configuration Protection (aan) aan, en verwijder vervolgens de tamper protection-instelling uit je DCv1-beleidsregels om conflicten te voorkomen.
- Maak op de Endpoint-beveiligingspagina in het Microsoft Intune beheercentrum een https://intune.microsoft.comnieuw Windows-beveiliging Experience-profiel aan of bewerk een bestaand profiel.
- Zoek de instelling Configuratiebeveiliging (Apparaat) (voorheen Tamper Protection).
- Stel de waarde in op Configuration protection (On) om configuratiebeveiliging in te schakelen.
- Wijs het beleid toe aan de juiste apparaatgroepen.
Minimale clientversie en rollback
Voordat je Configuration Protection (Aan) toewijst, update je apparaten naar Microsoft Defender Antivirus platform versie 4.18.26060.3004 of later, en valideer je de implementatie met een pilotgroep.
Op apparaten met eerdere platformversies kan Intune Configuration protection (On) en Tamper Protection (Off) sturen, maar het apparaat kan alleen de tamper protection-instelling toepassen. Dit gedrag zorgt ervoor dat zowel configuratiebeveiliging als tamperbescherming uitgeschakeld zijn.
Om terug te rollen, verander je het Windows-beveiliging Experience-beleid van Configuration protection (On) naar Tamper Protection (On), deploy je het beleid opnieuw, synchroniseer je de getroffen apparaten en controleer je of de tamper protection is ingeschakeld. De normale vertraging voor beleidslevering is van toepassing.
Verslaglegging en toezicht
De status van configuratiebescherming is zichtbaar in zowel het Intune admin center als het Microsoft Defender-portaal, afhankelijk van hoe apparaten worden beheerd.
Intune: Voor apparaten die direct via Intune zijn ingeschreven via Mobile Apparaatbeheer (MDM), kun je het volgende bekijken:
- Beleidsstatus (succes, conflict of fout)
- Configuratiebeschermingsstatus op apparaatniveau
Microsoft Defender-portaal: Voor apparaten die via Defender for Endpoint-beveiligingsinstellingen worden beheerd, controleer het Microsoft Defender-portaal voor een effectieve configuratiestatus.
Note
Deze apparaten zijn niet zichtbaar in Intune-rapporten. Gebruik het Microsoft Defender-portaal om de effectieve configuratiebeschermingsstatus te verifiëren.
Controleer configuratiebescherming op een apparaat
Om de configuratiebeschermingsstatus direct op een apparaat te bevestigen, voer je de volgende PowerShell-cmdlet uit:
Get-MpComputerStatus
Bekijk de volgende eigenschappen in de output:
- ControlledConfigurationState: De huidige configuratiebeschermingshandhavingsstatus op het apparaat.
- IsTamperProtected: Geeft aan of tamperbescherming (de basis van configuratiebeveiliging) actief is.
- TamperProtectionSource: De bron die de huidige staat handhaaft.
Je kunt het ook gebruiken Get-MpComputerStatus om te bevestigen dat de versie van het Microsoft Defender Antivirus-platform aan de vereisten voldoet, en om de configuratiestatus te valideren na een beleidswijziging of een reset van de configuratiebescherming.
Levenscyclusgedrag
Het configuratiebeschermingsgedrag varieert afhankelijk van veranderingen in de levenscyclus van het apparaat:
- Beleidsontwijzing: Configuratiebeveiliging wordt van het apparaat verwijderd tenzij er nog een ander configuratiebeveiligingsbeleid van toepassing is.
- Defender for Endpoint ontmelding: Configuratiebescherming blijft aan (niet automatisch opgeschoond).
- Apparaat ontmantelen: Configuratiebeveiliging wordt verwijderd en teruggezet naar Uit.
Configuratiebeveiliging resetten op een apparaat
Om de configuratiebeschermingsstatus op een apparaat te wissen, voer je de volgende commando's uit in een verhoogde opdrachtprompt (een venster dat je opende door 'Run as administrator' te selecteren):
Tip
Het apparaat moet tamper-beveiliging hebben ingeschakeld en in probleemoplossingsmodus staan.
Met de eerste opdracht gaat u naar de map met de nieuwste versie van <het antimalwareplatform> in %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Als dat pad niet bestaat, gaat het naar %ProgramFiles%\Windows Defender.
(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1
MpCmdRun.exe -Config -ResetControlledConfiguration
Voor meer informatie, zie Inschakelen en gebruik probleemoplossing modus in Microsoft Defender voor Eindpunt.
Bekende beperkingen
Momenteel gelden de volgende beperkingen voor configuratiebeveiliging:
- Je kunt valse conflicten zien in Intune wanneer zowel tamper protection als configuratiebeveiliging hetzelfde apparaat targeten.
- Je kunt meldingsinconsistenties zien tussen het Intune admin center en het Microsoft Defender-portaal.
- De dekking is beperkt tot Microsoft Defender Antivirus-instellingen (apparaatbeheer, EDR en firewall zijn nog niet onder de dekking).
- Wanneer je configuratiebeveiliging inschakelt via Microsoft Defender voor Eindpunt security settings management of Intune, wordt manipulatiebeveiliging uitgeschakeld, tenzij een ander manipulatiebeveiligingsbeleid expliciet manipulatiebeveiliging aanzet. Wanneer configuratiebeveiliging aan staat en tamper protection uit, is de tamper protection secure score lager. We werken eraan om deze kloof te dichten.