Beleidsinstellingen voor endpointbeveiliging in Intune om kwetsbaarheid voor aanvallen te verminderen

Bekijk de instellingen die u in profielen kunt configureren voor het beleid voor het verminderen van kwetsbaarheid voor aanvallen in het eindpuntbeveiligingsknooppunt van Intune als onderdeel van een eindpuntbeveiligingsbeleid.

Van toepassing op:

  • Windows

    Belangrijk

    Op 14 oktober 2025 heeft Windows 10 het einde van de ondersteuning bereikt en ontvangt het geen kwaliteits- en functie-updates. Windows 10 is een toegestane versie in Intune. Apparaten met deze versie kunnen nog steeds worden ingeschreven bij Intune en functies gebruiken die daarvoor in aanmerking komen, maar de functionaliteit is niet gegarandeerd en kan variëren.

Ondersteunde platformen en profielen:

  • Windows: gebruik dit platform voor beleid dat u implementeert op apparaten die worden beheerd met Intune.

    • Profiel: App- en browserisolatie
    • Profiel: toepassingsbeheer
    • Profiel: Regels voor het verminderen van kwetsbaarheid voor aanvallen
    • Profiel: Apparaatbesturing
    • Profiel: Exploit Protection
    • Profiel: Webbeveiliging (oudere versie van Microsoft Edge (oudere versie))

  • Windows (ConfigMgr): gebruik dit platform voor beleid dat u implementeert op apparaten die worden beheerd door Configuration Manager.

    • Profiel: Exploit Protection (ConfigMgr)(preview)
    • Profiel: Webbeveiliging (ConfigMgr)(preview)

  • Windows: gebruik dit platform voor beleid dat u implementeert op apparaten die worden beheerd via Beveiligingsbeheer voor Microsoft Defender voor Eindpunt.

    • Profiel: Regels voor het verminderen van kwetsbaarheid voor aanvallen

Kwetsbaarheid voor aanvallen verminderen (MDM)

Profiel voor app- en browserisolatie

Opmerking

In deze sectie vindt u meer informatie over de instellingen in profielen voor app- en browserisolatie die vóór 18 april 2023 zijn gemaakt. Profielen die na deze datum zijn gemaakt, gebruiken een nieuwe instellingenindeling die te vinden is in de Instellingencatalogus. Met deze wijziging kunt u geen nieuwe versies meer maken van het oude profiel en deze worden niet meer ontwikkeld. Hoewel u geen nieuwe exemplaren meer kunt maken van het oudere profiel, kunt u doorgaan met het bewerken en gebruiken van exemplaren van het profiel dat u eerder hebt gemaakt.

Voor profielen die de nieuwe instellingenindeling gebruiken, houdt Intune geen lijst meer bij van elke instelling op naam. In plaats daarvan worden de naam van elke instelling, de configuratieopties en de bijbehorende verklarende tekst die u in het Microsoft Intune-beheercentrum ziet, rechtstreeks overgenomen uit de gezaghebbende inhoud van de instellingen. Deze inhoud kan meer informatie verschaffen over het gebruik van de instelling in de juiste context. Wanneer u een tekst met instellingsinformatie bekijkt, kunt u de koppeling Meer informatie gebruiken om die inhoud te openen.

App- en browserisolatie

  • Application Guard inschakelen
    CSP: AllowWindowsDefenderApplicationGuard

    • Niet geconfigureerd (standaard) - Microsoft Defender Application Guard is niet geconfigureerd voor Microsoft Edge of geïsoleerde Windows-omgevingen.
    • Ingeschakeld voor Edge - Application Guard opent niet-goedgekeurde sites in een Hyper-V gevirtualiseerde browsingcontainer.
    • Ingeschakeld voor geïsoleerde Windows-omgevingen : Application Guard is ingeschakeld voor alle toepassingen die zijn ingeschakeld voor App Guard in Windows.
    • Ingeschakeld voor Edge EN geïsoleerde Windows-omgevingen - Application Guard is geconfigureerd voor beide scenario's.

    Opmerking

    Als u Application Guard voor Microsoft Edge implementeert via Intune, moet Windows-netwerkisolatiebeleid als vereiste worden geconfigureerd. Netwerkisolatie kan worden geconfigureerd via verschillende profielen, waaronder app- en browserisolatie onder de Windows-netwerkisolatie-instelling .

    Wanneer deze optie is ingesteld op Ingeschakeld voor Edge of Ingeschakeld voor Edge EN geïsoleerde Windows-omgevingen, zijn de volgende instellingen beschikbaar die van toepassing zijn op Edge:

    • Klembordgedrag
      CSP: Klembordinstellingen

      Kies welke kopieer- en plakacties zijn toegestaan vanaf de lokale pc en een virtuele Application Guard-browser.

      • Niet geconfigureerd (standaard)
      • Kopiëren en plakken tussen pc en browser blokkeren
      • Kopiëren en plakken van browser naar pc alleen toestaan
      • Kopiëren en plakken van pc naar browser alleen toestaan
      • Kopiëren en plakken tussen pc en browser toestaan

    • Externe inhoud blokkeren van sites die niet door een onderneming zijn goedgekeurd
      CSP: BlockNonEnterpriseContent

      • Niet geconfigureerd (standaard)
      • Ja , inhoud van niet-goedgekeurde websites blokkeren zodat deze niet kunnen worden geladen.

    • Logboeken verzamelen voor gebeurtenissen die optreden tijdens een Application Guard-browsersessie
      CSP: AuditApplicationGuard

      • Niet geconfigureerd (standaard)
      • Ja , verzamel logboeken voor gebeurtenissen die plaatsvinden in een virtuele Application Guard-browsersessie.

    • Toestaan dat door de gebruiker gegenereerde browsergegevens worden opgeslagen
      CSP: AllowPersistence

      • Niet geconfigureerd (standaard)
      • Ja : sta toe dat gebruikersgegevens die tijdens een virtuele Application Guard-browsersessie worden gemaakt, worden opgeslagen. Voorbeelden van gebruikersgegevens zijn wachtwoorden, favorieten en cookies.

    • Hardwareversnelling inschakelen voor afbeeldingen
      CSP: AllowVirtualGPU

      • Niet geconfigureerd (standaard)
      • Ja , in de virtuele browsersessie van Application Guard kunt u een virtuele grafische verwerkingseenheid gebruiken om websites met veel grafische elementen sneller te laden.

    • Gebruikers toestaan bestanden te downloaden naar de host
      CSP: SaveFilesToHost

      • Niet geconfigureerd (standaard)
      • Ja : sta gebruikers toe om bestanden van de gevirtualiseerde browser te downloaden naar het hostbesturingssysteem.

    • Application Guard toegang tot camera en microfoon toestaan
      CSP: AllowCameraMicrophoneRedirection

      • Niet geconfigureerd (standaard): toepassingen in Microsoft Defender Application Guard hebben geen toegang tot de camera en microfoon op het apparaat van de gebruiker.
      • Ja: toepassingen in Microsoft Defender Application Guard hebben toegang tot de camera en microfoon op het apparaat van de gebruiker.
      • Nee, toepassingen in Microsoft Defender Application Guard hebben geen toegang tot de camera en microfoon op het apparaat van de gebruiker. Dit is hetzelfde gedrag als Niet geconfigureerd.

  • Application Guard maakt afdrukken op lokale printers mogelijk

    • Niet geconfigureerd (standaard)
    • Ja . Sta afdrukken op lokale printers toe.

  • Application Guard staat afdrukken naar netwerkprinters toe

    • Niet geconfigureerd (standaard)
    • Ja . Sta afdrukken op netwerkprinters toe.

  • Application Guard Afdrukken naar PDF toestaan

    • Niet geconfigureerd (standaard)
    • Ja, afdrukken naar PDF toestaan.

  • Application Guard staat afdrukken naar XPS toe

    • Niet geconfigureerd (standaard)
    • Ja - - Afdrukken naar XPS toestaan.

  • Met Application Guard kunt u basiscertificeringsinstanties gebruiken vanaf het apparaat van de gebruiker
    CSP: CertificateThumbprints

    Configureer certificaatvingerafdrukken om automatisch het overeenkomende basiscertificaat over te brengen naar de Microsoft Defender Application Guard-container.

    Als u vingerafdrukken een voor een wilt toevoegen, selecteert u Toevoegen. U kunt Importeren gebruiken om een .CSV bestand op te geven dat meerdere vingerafdrukvermeldingen bevat die allemaal tegelijkertijd aan het profiel worden toegevoegd. Wanneer u een .CSV-bestand gebruikt, moet elke vingerafdruk worden gescheiden door een komma. Bijvoorbeeld:b4e72779a8a362c860c36a6461f31e3aa7e58c14,1b1d49f06d2a697a544a1059bd59a7b058cda924

    Alle vermeldingen in het profiel zijn actief. U hoeft geen selectievakje in te schakelen om een vingerafdrukvermelding te activeren. Gebruik in plaats daarvan de selectievakjes om de vermeldingen te beheren die aan het profiel zijn toegevoegd. U kunt bijvoorbeeld het selectievakje van een of meer vingerafdrukvermeldingen van certificaten inschakelen en deze vermeldingen vervolgens met één handeling uit het profiel verwijderen .

  • Windows-beleid voor netwerkisolatie

    • Niet geconfigureerd (standaard)
    • Ja , het Windows-beleid voor netwerkisolatie configureren.

    Indien ingesteld op Ja, kunt u de volgende instellingen configureren:

    • IP-bereiken Vouw de vervolgkeuzelijst uit, selecteer Toevoegen en geef vervolgens een lager adres en vervolgens een hoofdadres op.

    • Cloudbronnen Vouw de vervolgkeuzelijst uit, selecteer Toevoegen en geef vervolgens een IP-adres of FQDN en een proxy op.

    • Netwerkdomeinen Vouw de vervolgkeuzelijst uit, selecteer Toevoegen en geef vervolgens netwerkdomeinen op.

    • Proxyservers Vouw de vervolgkeuzelijst uit, selecteer Toevoegen en geef vervolgens Proxyservers op.

    • Interne proxyservers Vouw de vervolgkeuzelijst uit, selecteer Toevoegen en geef vervolgens Interne proxyservers op.

    • Neutrale bronnen Vouw de vervolgkeuzelijst uit, selecteer Toevoegen en geef vervolgens Neutrale bronnen op.

    • Automatische detectie van andere bedrijfsproxyservers uitschakelen

      • Niet geconfigureerd (standaard)
      • Ja , automatische detectie van andere bedrijfsproxyservers uitschakelen.

    • Automatische detectie van andere IP-bereiken voor ondernemingen uitschakelen

      • Niet geconfigureerd (standaard)
      • Ja , automatische detectie van andere zakelijke IP-bereiken uitschakelen.

    Opmerking

    Nadat het profiel is gemaakt, is Microsoft Defender Application Guard ingeschakeld op alle apparaten waarop het beleid van toepassing moet zijn. Mogelijk moeten gebruikers hun apparaat opnieuw opstarten om de beveiliging in werking te stellen.

Toepassingsbeheerprofiel

Toepassingsbeheer voor Microsoft Defender

  • App-locker-toepassingsbeheer
    CSP: AppLocker

    • Niet geconfigureerd (standaard)
    • Onderdelen afdwingen en Store-apps opslaan
    • Onderdelen en Store-apps controleren
    • Onderdelen, Store-apps en SmartLocker afdwingen
    • Onderdelen controleren, Store-apps en SmartLocker

  • Voorkomen dat gebruikers SmartScreen-waarschuwingen negeren
    CSP: SmartScreen/PreventOverrideForFilesInShell

    • Niet geconfigureerd (standaard) - Gebruikers kunnen SmartScreen-waarschuwingen voor bestanden en schadelijke apps negeren.
    • Ja , SmartScreen is ingeschakeld en gebruikers kunnen waarschuwingen voor bestanden of schadelijke apps niet negeren.

  • Windows SmartScreen inschakelen
    CSP: SmartScreen/EnableSmartScreenInShell

    • Niet geconfigureerd (standaard): stel SmartScreen weer in op de standaardinstelling van Windows. Gebruikers kunnen deze instelling echter wijzigen. Gebruik een aangepaste URI om SmartScreen uit te schakelen.
    • Ja , forceer het gebruik van SmartScreen voor alle gebruikers.

Profiel voor het verminderen van kwetsbaarheid voor aanvallen

Regels voor het verminderen van kwetsbaarheid voor aanvallen

Zie de naslaginformatie over regels voor het verminderen van kwetsbaarheid voor aanvallen in de Microsoft 365-documentatie voor meer informatie over regels voor het verminderen van kwetsbaarheid voor aanvallen.

Opmerking

In deze sectie worden de instellingen beschreven in profielen voor het verminderen van kwetsbaarheid voor aanvallen die vóór 5 april 2022 zijn gemaakt. Profielen die na deze datum zijn gemaakt, gebruiken een nieuwe instellingenindeling die te vinden is in de Instellingencatalogus. Met deze wijziging kunt u geen nieuwe versies meer maken van het oude profiel en deze worden niet meer ontwikkeld. Hoewel u geen nieuwe exemplaren meer kunt maken van het oudere profiel, kunt u doorgaan met het bewerken en gebruiken van exemplaren van het profiel dat u eerder hebt gemaakt.

Voor profielen die de nieuwe instellingenindeling gebruiken, houdt Intune geen lijst meer bij van elke instelling op naam. In plaats daarvan worden de naam van elke instelling, de configuratieopties en de bijbehorende verklarende tekst die u in het Microsoft Intune-beheercentrum ziet, rechtstreeks overgenomen uit de gezaghebbende inhoud van de instellingen. Deze inhoud kan meer informatie verschaffen over het gebruik van de instelling in de juiste context. Wanneer u een tekst met instellingsinformatie bekijkt, kunt u de koppeling Meer informatie gebruiken om die inhoud te openen.

  • Persistentie blokkeren via WMI-gebeurtenisabonnement
    Verminder kwetsbaarheid voor aanvallen met regels voor het verminderen van kwetsbaarheid voor aanvallen

    Deze ASR-regel (Attack Surfaces Reduction) wordt beheerd via de volgende GUID: e6db77e5-3df2-4cf1-b95a-636979351e5b

    Deze regel voorkomt dat malware WMI misbruikt om persistentie op een apparaat te bereiken. Bestandsloze bedreigingen gebruiken verschillende tactieken om verborgen te blijven, om te voorkomen dat ze in het bestandssysteem worden gezien en om periodieke uitvoeringscontrole te krijgen. Sommige bedreigingen kunnen misbruik maken van de WMI-opslagplaats en het gebeurtenismodel om verborgen te blijven.

    • Niet geconfigureerd (standaard): de instelling keert terug naar de standaardinstelling van Windows, die is uitgeschakeld en persistentie wordt niet geblokkeerd.
    • Blokkeren : persistentie via WMI wordt geblokkeerd.
    • Controle: evalueer hoe deze regel van invloed is op uw organisatie als deze is ingeschakeld (ingesteld op Blokkeren).
    • Uitschakelen : schakel deze regel uit. Persistentie wordt niet geblokkeerd.

    Zie Persistentie blokkeren via WMI-gebeurtenisabonnement voor meer informatie over deze instelling.

  • Stelen van referenties uit het Windows-subsysteem voor lokale beveiligingsautoriteit (lsass.exe) blokkeren
    Apparaten beschermen tegen misbruik

    Deze ASR-regel (Attack Surfaces Reduction) wordt beheerd via de volgende GUID: 9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2

    • Niet geconfigureerd (standaard) - De instelling keert terug naar de standaardinstelling van Windows, die is uitgeschakeld.
    • Door gebruiker gedefinieerd
    • Inschakelen : pogingen om referenties te stelen via lsass.exe worden geblokkeerd.
    • Controlemodus : gebruikers worden niet geblokkeerd in gevaarlijke domeinen en in plaats daarvan worden Windows-gebeurtenissen gegenereerd.
    • Waarschuwen - Voor Windows 10 versie 1809 of hoger en Windows 11 ontvangt de gebruiker van het apparaat een bericht dat hij de blokkering van de instelling kan omzeilen. Op apparaten waarop een eerdere versie van Windows 10 wordt uitgevoerd, dwingt de regel het gedrag Inschakelen af.

  • Voorkomen dat Adobe Reader onderliggende processen maakt
    Verminder kwetsbaarheid voor aanvallen met regels voor het verminderen van kwetsbaarheid voor aanvallen

    Deze ASR-regel wordt beheerd via de volgende GUID: 7674ba52-37eb-4a4f-a9a1-f0f9a1619a2c

    • Niet geconfigureerd (standaard) - De standaardinstelling van Windows wordt hersteld, is om het maken van onderliggende processen niet te blokkeren.
    • Door gebruiker gedefinieerd
    • Inschakelen - Adobe Reader is geblokkeerd voor het maken van onderliggende processen.
    • Controlemodus : Windows-gebeurtenissen worden verhoogd in plaats van onderliggende processen te blokkeren.
    • Waarschuwen - Voor Windows 10 versie 1809 of hoger en Windows 11 ontvangt de gebruiker van het apparaat een bericht dat hij de blokkering van de instelling kan omzeilen. Op apparaten waarop een eerdere versie van Windows 10 wordt uitgevoerd, dwingt de regel het gedrag Inschakelen af.

  • Voorkomen dat Office-toepassingen code injecteren in andere processen
    Apparaten beschermen tegen misbruik

    Deze ASR-regel wordt beheerd via de volgende GUID: 75668C1F-73B5-4CF0-BB93-3ECF5CB7CC84

    • Niet geconfigureerd (standaard) - De instelling keert terug naar de standaardinstelling van Windows, die is uitgeschakeld.
    • Blokkeren : Office-toepassingen kunnen geen code injecteren in andere processen.
    • Controlemodus : Windows-gebeurtenissen worden verhoogd in plaats van geblokkeerd.
    • Waarschuwen - Voor Windows 10 versie 1809 of hoger en Windows 11 ontvangt de gebruiker van het apparaat een bericht dat hij de blokkering van de instelling kan omzeilen. Op apparaten waarop een eerdere versie van Windows 10 wordt uitgevoerd, dwingt de regel het gedrag Inschakelen af.
    • Disable (Uitschakelen ): deze instelling is uitgeschakeld.

  • Voorkomen dat Office-toepassingen uitvoerbare inhoud maken
    Apparaten beschermen tegen misbruik

    Deze ASR-regel wordt beheerd via de volgende GUID: 3B576869-A4EC-4529-8536-B80A7769E899

    • Niet geconfigureerd (standaard) - De instelling keert terug naar de standaardinstelling van Windows, die is uitgeschakeld.
    • Blokkeren : het maken van uitvoerbare inhoud door Office-toepassingen wordt geblokkeerd.
    • Controlemodus : Windows-gebeurtenissen worden verhoogd in plaats van geblokkeerd.
    • Waarschuwen - Voor Windows 10 versie 1809 of hoger en Windows 11 ontvangt de gebruiker van het apparaat een bericht dat hij de blokkering van de instelling kan omzeilen. Op apparaten waarop een eerdere versie van Windows 10 wordt uitgevoerd, dwingt de regel het gedrag Inschakelen af.
    • Disable (Uitschakelen ): deze instelling is uitgeschakeld.

  • Voorkomen dat alle Office-toepassingen onderliggende processen maken
    Apparaten beschermen tegen misbruik

    Deze ASR-regel wordt beheerd via de volgende GUID: D4F940AB-401B-4EFC-AADC-AD5F3C50688A

    • Niet geconfigureerd (standaard) - De instelling keert terug naar de standaardinstelling van Windows, die is uitgeschakeld.
    • Blokkeren : het maken van onderliggende processen in Office-toepassingen is geblokkeerd.
    • Controlemodus : Windows-gebeurtenissen worden verhoogd in plaats van geblokkeerd.
    • Waarschuwen - Voor Windows 10 versie 1809 of hoger en Windows 11 ontvangt de gebruiker van het apparaat een bericht dat hij de blokkering van de instelling kan omzeilen. Op apparaten waarop een eerdere versie van Windows 10 wordt uitgevoerd, dwingt de regel het gedrag Inschakelen af.
    • Disable (Uitschakelen ): deze instelling is uitgeschakeld.

  • Win32 API-aanroepen vanuit Office-macro blokkeren
    Apparaten beschermen tegen misbruik

    Deze ASR-regel wordt beheerd via de volgende GUID: 92E97FA1-2EDF-4476-BDD6-9DD0B4DDDC7B

    • Niet geconfigureerd (standaard) - De instelling keert terug naar de standaardinstelling van Windows, die is uitgeschakeld.
    • Blok - Office-macro's worden geblokkeerd voor het gebruik van Win32 API-aanroepen.
    • Controlemodus : Windows-gebeurtenissen worden verhoogd in plaats van geblokkeerd.
    • Waarschuwen - Voor Windows 10 versie 1809 of hoger en Windows 11 ontvangt de gebruiker van het apparaat een bericht dat hij de blokkering van de instelling kan omzeilen. Op apparaten waarop een eerdere versie van Windows 10 wordt uitgevoerd, dwingt de regel het gedrag Inschakelen af.
    • Disable (Uitschakelen ): deze instelling is uitgeschakeld.

  • Voorkomen dat ondergeschikte processen door Office-communicatie-apps worden gemaakt
    Apparaten beschermen tegen misbruik

    Deze ASR-regel wordt beheerd via de volgende GUID: 26190899-1602-49e8-8b27-eb1d0a1ce869.

    • Niet geconfigureerd (standaard): de standaardinstelling van Windows wordt hersteld. Dit houdt in dat het maken van onderliggende processen niet wordt geblokkeerd.
    • Door gebruiker gedefinieerd
    • Inschakelen - Office-communicatietoepassingen kunnen geen onderliggende processen maken.
    • Controlemodus : Windows-gebeurtenissen worden verhoogd in plaats van onderliggende processen te blokkeren.
    • Waarschuwen - Voor Windows 10 versie 1809 of hoger en Windows 11 ontvangt de gebruiker van het apparaat een bericht dat hij de blokkering van de instelling kan omzeilen. Op apparaten waarop een eerdere versie van Windows 10 wordt uitgevoerd, dwingt de regel het gedrag Inschakelen af.

  • Uitvoering van mogelijk verborgen scripts (js/vbs/ps) blokkeren
    Apparaten beschermen tegen misbruik

    Deze ASR-regel wordt beheerd via de volgende GUID: 5BEB7EFE-FD9A-4556-801D-275E5FFC04CC

    • Niet geconfigureerd (standaard) - De instelling keert terug naar de standaardinstelling van Windows, die is uitgeschakeld.
    • Block - Defender blokkeert de uitvoering van verborgen scripts.
    • Controlemodus : Windows-gebeurtenissen worden verhoogd in plaats van geblokkeerd.
    • Waarschuwen - Voor Windows 10 versie 1809 of hoger en Windows 11 ontvangt de gebruiker van het apparaat een bericht dat hij de blokkering van de instelling kan omzeilen. Op apparaten waarop een eerdere versie van Windows 10 wordt uitgevoerd, dwingt de regel het gedrag Inschakelen af.
    • Disable (Uitschakelen ): deze instelling is uitgeschakeld.

  • Voorkomen dat JavaScript of VBScript gedownloade uitvoerbare inhoud opent
    Apparaten beschermen tegen misbruik

    Deze ASR-regel wordt beheerd via de volgende GUID: D3E037E1-3EB8-44C8-A917-57927947596D

    • Niet geconfigureerd (standaard) - De instelling keert terug naar de standaardinstelling van Windows, die is uitgeschakeld.
    • Blokkeren : Defender voorkomt dat JavaScript- of VBScript-bestanden die van internet zijn gedownload, worden uitgevoerd.
    • Controlemodus : Windows-gebeurtenissen worden verhoogd in plaats van geblokkeerd.
    • Disable (Uitschakelen ): deze instelling is uitgeschakeld.

  • Blokprocescreaties die afkomstig zijn van PSExec- en WMI-opdrachten
    Apparaten beschermen tegen misbruik

    Deze ASR-regel wordt beheerd via de volgende GUID: d1e49aac-8f56-4280-b9ba-993a6d77406c

    • Niet geconfigureerd (standaard) - De instelling keert terug naar de standaardinstelling van Windows, die is uitgeschakeld.
    • Blok : het maken van processen door PSExec- of WMI-opdrachten wordt geblokkeerd.
    • Controlemodus : Windows-gebeurtenissen worden verhoogd in plaats van geblokkeerd.
    • Waarschuwen - Voor Windows 10 versie 1809 of hoger en Windows 11 ontvangt de gebruiker van het apparaat een bericht dat hij de blokkering van de instelling kan omzeilen. Op apparaten waarop een eerdere versie van Windows 10 wordt uitgevoerd, dwingt de regel het gedrag Inschakelen af.
    • Disable (Uitschakelen ): deze instelling is uitgeschakeld.

  • Niet-vertrouwde en niet-ondertekende processen blokkeren die worden uitgevoerd vanaf USB
    Apparaten beschermen tegen misbruik

    Deze ASR-regel wordt beheerd via de volgende GUID: b2b3f03d-6a65-4f7b-a9c7-1c7ef74a9ba4

    • Niet geconfigureerd (standaard) - De instelling keert terug naar de standaardinstelling van Windows, die is uitgeschakeld.
    • Blokkeren : niet-vertrouwde en niet-ondertekende processen die worden uitgevoerd vanaf een USB-station, worden geblokkeerd.
    • Controlemodus : Windows-gebeurtenissen worden verhoogd in plaats van geblokkeerd.
    • Waarschuwen - Voor Windows 10 versie 1809 of hoger en Windows 11 ontvangt de gebruiker van het apparaat een bericht dat hij de blokkering van de instelling kan omzeilen. Op apparaten waarop een eerdere versie van Windows 10 wordt uitgevoerd, dwingt de regel het gedrag Inschakelen af.
    • Disable (Uitschakelen ): deze instelling is uitgeschakeld.

  • Uitvoering van uitvoerbare bestanden blokkeren tenzij ze voldoen aan een van de criteria voor prevalentie, ouderdom of vertrouwde lijst
    Apparaten beschermen tegen misbruik

    Deze ASR-regel wordt beheerd via de volgende GUID: 01443614-cd74-433a-b99e-2ecdc07bfc25e

    • Niet geconfigureerd (standaard) - De instelling keert terug naar de standaardinstelling van Windows, die is uitgeschakeld.
    • Blokkeren
    • Controlemodus : Windows-gebeurtenissen worden verhoogd in plaats van geblokkeerd.
    • Waarschuwen - Voor Windows 10 versie 1809 of hoger en Windows 11 ontvangt de gebruiker van het apparaat een bericht dat hij de blokkering van de instelling kan omzeilen. Op apparaten waarop een eerdere versie van Windows 10 wordt uitgevoerd, dwingt de regel het gedrag Inschakelen af.
    • Disable (Uitschakelen ): deze instelling is uitgeschakeld.

  • Het downloaden van uitvoerbare inhoud vanuit e-mail- en webmailclients blokkeren
    Apparaten beschermen tegen misbruik

    • Niet geconfigureerd (standaard) - De instelling keert terug naar de standaardinstelling van Windows, die is uitgeschakeld.
    • Blokkeren : uitvoerbare inhoud die is gedownload van e-mail- en webmailclients wordt geblokkeerd.
    • Controlemodus : Windows-gebeurtenissen worden verhoogd in plaats van geblokkeerd.
    • Waarschuwen - Voor Windows 10 versie 1809 of hoger en Windows 11 ontvangt de gebruiker van het apparaat een bericht dat hij de blokkering van de instelling kan omzeilen. Op apparaten waarop een eerdere versie van Windows 10 wordt uitgevoerd, dwingt de regel het gedrag Inschakelen af.
    • Disable (Uitschakelen ): deze instelling is uitgeschakeld.

  • Gebruik geavanceerde bescherming tegen ransomwareApparaten beschermen tegen misbruik

    Deze ASR-regel wordt beheerd via de volgende GUID: c1db55ab-c21a-4637-bb3f-a12568109d35

    • Niet geconfigureerd (standaard) - De instelling keert terug naar de standaardinstelling van Windows, die is uitgeschakeld.
    • Door gebruiker gedefinieerd
    • Inschakelen
    • Controlemodus - - Windows-gebeurtenissen worden verhoogd in plaats van geblokkeerd.

  • Mapbeveiliging inschakelen
    CSP: EnableControlledFolderAccess

    • Niet geconfigureerd (standaard): met deze instelling wordt de standaardwaarde hersteld, namelijk dat er geen lezen of schrijven wordt geblokkeerd.
    • Inschakelen : voor niet-vertrouwde apps blokkeert Defender pogingen om bestanden in beveiligde mappen of schijfsectoren te wijzigen of te verwijderen. Defender bepaalt automatisch welke toepassingen kunnen worden vertrouwd. Je kunt ook je eigen lijst met vertrouwde toepassingen definiëren.
    • Controlemodus : Windows-gebeurtenissen treden op wanneer niet-vertrouwde toepassingen toegang krijgen tot beheerde mappen, maar geen blokkeringen worden afgedwongen.
    • Wijziging van blokkeringsschijf: alleen pogingen om naar schijfsectoren te schrijven worden geblokkeerd.
    • Schijfwijziging controleren : Windows-gebeurtenissen worden gestart in plaats van pogingen om naar schijfsectoren te schrijven te blokkeren.

  • Lijst met extra mappen die moeten worden beveiligd
    CSP: ControlledFolderAccessProtectedFolders

    Definieer een lijst met schijflocaties die worden beveiligd tegen niet-vertrouwde toepassingen.

  • Lijst met apps die toegang hebben tot beveiligde mappen
    CSP: ControlledFolderAccessAllowedApplications

    Definieer een lijst met apps die toegang hebben tot lezen/schrijven naar gecontroleerde locaties.

  • Bestanden en paden uitsluiten van regels voor het verminderen van kwetsbaarheid voor aanvallen
    CSP: AttackSurfaceReductionOnlyExclusions

    Vouw de vervolgkeuzelijst uit en selecteer vervolgens Toevoegen om een pad te definiëren naar een bestand of map die je wilt uitsluiten van je regels voor het verminderen van kwetsbaarheid voor aanvallen.

Apparaatbeheerprofiel

Apparaatbesturing

Opmerking

In deze sectie vindt u details over de instellingen die u vindt in Apparaatbeheerprofielen die vóór 23 mei 2022 zijn gemaakt. Profielen die na deze datum zijn gemaakt, gebruiken een nieuwe instellingenindeling die te vinden is in de Instellingencatalogus. Hoewel u geen nieuwe exemplaren van het oorspronkelijke profiel meer kunt maken, kunt u uw bestaande profielen blijven bewerken en gebruiken.

Voor profielen die de nieuwe instellingenindeling gebruiken, houdt Intune geen lijst meer bij van elke instelling op naam. In plaats daarvan worden de naam van elke instelling, de configuratieopties en de bijbehorende verklarende tekst die u in het Microsoft Intune-beheercentrum ziet, rechtstreeks overgenomen uit de gezaghebbende inhoud van de instellingen. Deze inhoud kan meer informatie verschaffen over het gebruik van de instelling in de juiste context. Wanneer u een tekst met instellingsinformatie bekijkt, kunt u de koppeling Meer informatie gebruiken om die inhoud te openen.

  • Installatie van hardwareapparaten toestaan op basis van apparaat-id's

    • Niet geconfigureerd(standaard)
    • Ja, Windows kan elk apparaat installeren of bijwerken waarvan de Plug en Play-hardware-id of compatibele id wordt weergegeven in de lijst die u maakt, tenzij een andere beleidsinstelling deze installatie specifiek verhindert. Als u deze beleidsinstelling inschakelt op een extern-bureaubladserver, is de beleidsinstelling van invloed op de omleiding van de opgegeven apparaten van een extern-bureaubladclient naar de extern-bureaubladserver.
    • Nee

    Wanneer deze optie is ingesteld op Ja , kunt u de volgende opties configureren:

    • Lijst toestaan - Gebruik Toevoegen, Importeren en Exporteren om een lijst met apparaat-id's te beheren.

  • Installatie van hardwareapparaten blokkeren op basis van apparaat-id's
    CSP: AllowInstallationOfMatchingDeviceIDs

    • Niet geconfigureerd(standaard)
    • Ja, geef een lijst op met Plug en Play-hardware-id's en compatibele id's voor apparaten die niet door Windows kunnen worden geïnstalleerd. Dit beleid heeft voorrang op elke andere beleidsinstelling die Windows toestaat een apparaat te installeren. Als u deze beleidsinstelling inschakelt op een extern-bureaubladserver, is de beleidsinstelling van invloed op de omleiding van de opgegeven apparaten van een extern-bureaubladclient naar de extern-bureaubladserver.
    • Nee

    Wanneer deze optie is ingesteld op Ja , kunt u de volgende opties configureren:

    • Bijpassende hardwareapparaten verwijderen

      • Ja
      • Niet geconfigureerd(standaard)

    • Blokkeerlijst : gebruik Toevoegen, Importeren en Exporteren om een lijst met apparaat-id's te beheren.

  • Installatie van hardwareapparaten toestaan per installatieklasse

    • Niet geconfigureerd(standaard)
    • Ja , Windows kan apparaatstuurprogramma's installeren of bijwerken waarvan de GUID's van de apparaatinstallatieklasse worden weergegeven in de lijst die u maakt, tenzij een andere beleidsinstelling deze installatie specifiek voorkomt. Als u deze beleidsinstelling inschakelt op een extern-bureaubladserver, is de beleidsinstelling van invloed op de omleiding van de opgegeven apparaten van een extern-bureaubladclient naar de extern-bureaubladserver.
    • Nee

    Wanneer deze optie is ingesteld op Ja , kunt u de volgende opties configureren:

    • Lijst toestaan - Gebruik Toevoegen, Importeren en Exporteren om een lijst met apparaat-id's te beheren.

  • Installatie van hardwareapparaten blokkeren op installatieklassen
    CSP: AllowInstallationOfMatchingDeviceSetupClasses

    • Niet geconfigureerd(standaard)
    • Ja , geef een lijst op met GUID's (Globally Unique Identifiers) voor apparaatinstallatieklasse voor apparaatstuurprogramma's die niet door Windows kunnen worden geïnstalleerd. Deze beleidsinstelling heeft voorrang op andere beleidsinstellingen waarmee Windows een apparaat kan installeren. Als u deze beleidsinstelling inschakelt op een extern-bureaubladserver, is de beleidsinstelling van invloed op de omleiding van de opgegeven apparaten van een extern-bureaubladclient naar de extern-bureaubladserver.
    • Nee

    Wanneer deze optie is ingesteld op Ja , kunt u de volgende opties configureren:

    • Bijpassende hardwareapparaten verwijderen

      • Ja
      • Niet geconfigureerd(standaard)

    • Blokkeerlijst : gebruik Toevoegen, Importeren en Exporteren om een lijst met apparaat-id's te beheren.

  • Installatie van hardwareapparaten toestaan op apparaatinstantie-id's

    • Niet geconfigureerd(standaard)
    • Ja, Windows mag elk apparaat waarvan de Plug en Play-apparaatinstantie-id wordt weergegeven in de lijst die u maakt, installeren of bijwerken, tenzij een andere beleidsinstelling die installatie specifiek verhindert. Als u deze beleidsinstelling inschakelt op een extern-bureaubladserver, is de beleidsinstelling van invloed op de omleiding van de opgegeven apparaten van een extern-bureaubladclient naar de extern-bureaubladserver.
    • Nee

    Wanneer deze optie is ingesteld op Ja , kunt u de volgende opties configureren:

    • Lijst toestaan - Gebruik Toevoegen, Importeren en Exporteren om een lijst met apparaat-id's te beheren.

  • Installatie van hardwareapparaten blokkeren op apparaatexemplaar-id's
    Als u deze beleidsinstelling inschakelt op een extern-bureaubladserver, is de beleidsinstelling van invloed op de omleiding van de opgegeven apparaten van een extern-bureaubladclient naar de extern-bureaubladserver.

    • Niet geconfigureerd(standaard)
    • Ja, geef een lijst op met Plug en Play-hardware-id's en compatibele id's voor apparaten die niet door Windows kunnen worden geïnstalleerd. Dit beleid heeft voorrang op elke andere beleidsinstelling die Windows toestaat een apparaat te installeren. Als u deze beleidsinstelling inschakelt op een extern-bureaubladserver, is de beleidsinstelling van invloed op de omleiding van de opgegeven apparaten van een extern-bureaubladclient naar de extern-bureaubladserver.
    • Nee

    Wanneer deze optie is ingesteld op Ja , kunt u de volgende opties configureren:

    • Bijpassende hardwareapparaten verwijderen

      • Ja
      • Niet geconfigureerd(standaard)

    • Blokkeerlijst : gebruik Toevoegen, Importeren en Exporteren om een lijst met apparaat-id's te beheren.

  • Schrijftoegang tot verwisselbare opslag blokkeren
    CSP: RemovableDiskDenyWriteAccess

    • Niet geconfigureerd(standaard)
    • Ja - schrijftoegang wordt geweigerd tot verwisselbare opslag.
    • Nee , schrijftoegang is toegestaan.

  • Verwisselbare stations scannen tijdens volledige scan
    CSP: Defender/AllowFullScanRemovableDriveScanning

    • Niet geconfigureerd (standaard) - De instelling keert terug naar de standaardinstelling van de client, waarmee verwisselbare stations worden gescand, maar de gebruiker kan deze scan uitschakelen.
    • Ja , tijdens een volledige scan worden verwisselbare stations (zoals USB-flashstations) gescand.

  • Directe geheugentoegang blokkeren
    CSP: DataProtection/AllowDirectMemoryAccess

    Deze beleidsinstelling wordt alleen afgedwongen wanneer BitLocker of apparaatversleuteling is ingeschakeld.

    • Niet geconfigureerd (standaard)
    • Ja - blokkeer directe geheugentoegang (DMA) voor alle hot pluggable PCI downstream-poorten totdat een gebruiker zich aanmeldt bij Windows. Nadat een gebruiker zich heeft aangemeld, somt Windows de PCI-apparaten op die zijn verbonden met de PCI-poorten van de hostplug. Elke keer dat de gebruiker de machine vergrendelt, wordt DMA geblokkeerd op hot-plug PCI-poorten zonder kinderapparaten totdat de gebruiker zich weer aanmeldt. Apparaten die al zijn geïnventariseerd toen de computer werd ontgrendeld, blijven werken totdat ze worden losgekoppeld.

  • Opsomming van externe apparaten die niet compatibel zijn met Kernel DMA Protection
    CSP: DmaGuard/DeviceEnumerationPolicy

    Dit beleid kan extra beveiliging bieden tegen externe DMA-apparaten. Het biedt meer controle over de inventarisatie van externe DMA-compatibele apparaten die niet compatibel zijn met DMA-hertoewijzing/apparaatgeheugenisolatie en sandboxing.

    Dit beleid wordt alleen van kracht wanneer Kernel DMA-beveiliging wordt ondersteund en ingeschakeld door de systeemfirmware. Kernel DMA-bescherming is een platformfunctie die door het systeem moet worden ondersteund op het moment van productie. Als u wilt controleren of het systeem Kernel DMA-beveiliging ondersteunt, controleert u het veld Kernel DMA-bescherming op de overzichtspagina van MSINFO32.exe.

    • Niet geconfigureerd - (standaard)
    • Alles blokkeren
    • Alles toestaan

  • Bluetooth-verbindingen blokkeren
    CSP: Bluetooth/AllowDiscoverableMode

    • Niet geconfigureerd (standaard)
    • Ja , Bluetooth-verbindingen van en naar het apparaat blokkeren.

  • Detectie via Bluetooth blokkeren
    CSP: Bluetooth/AllowDiscoverableMode

    • Niet geconfigureerd (standaard)
    • Ja - voorkomt dat het apparaat kan worden gedetecteerd door andere Bluetooth-apparaten.

  • Vooraf koppelen via Bluetooth blokkeren
    CSP: Bluetooth/AllowPrepairing

    • Niet geconfigureerd (standaard)
    • Ja - voorkomt dat specifieke Bluetooth-apparaten automatisch worden gekoppeld met het hostapparaat.

  • Bluetooth-reclame blokkeren
    CSP : Bluetooth/AllowAdvertising

    • Niet geconfigureerd (standaard)
    • Ja - voorkomt dat het apparaat Bluetooth-advertenties verzendt.

  • Proximale Bluetooth-verbindingen blokkeren
    CSP: Bluetooth/AllowPromptedProximalConnections Gebruikers blokkeren voor het gebruik van Snel koppelen en andere op nabijheid gebaseerde scenario's

    • Niet geconfigureerd (standaard)
    • Ja - voorkomt dat een gebruiker van een apparaat Snel koppelen en andere nabijheidsscenario's gebruikt.

    Bluetooth/AllowPromptedProximalConnections CSP

  • Toegestane Bluetooth-services
    CSP: Bluetooth/ServicesAllowedList. Zie de gebruikshandleiding voor ServicesAllowedList voor meer informatie over de servicelijst

    • Toevoegen : geef toegestane Bluetooth-services en -profielen op als hexadecimale tekenreeksen, zoals {782AFCFC-7CAA-436C-8BF0-78CD0FFBD4AF}.
    • Importeren : importeer een .csv bestand dat een lijst met Bluetooth-services en -profielen bevat, als hexadecimale tekenreeksen, zoals {782AFCFC-7CAA-436C-8BF0-78CD0FFBD4AF}

  • Verwisselbare opslag
    CSP: Storage/RemovableDiskDenyWriteAccess

    • Blokkeren (standaard): voorkom dat gebruikers externe opslagapparaten, zoals SD-kaarten, bij het apparaat gebruiken.
    • Niet geconfigureerd

  • USB-aansluitingen (alleen HoloLens)
    CSP: Connectivity/AllowUSBConnection

    • Blokkeren : voorkomen dat een USB-verbinding tussen het apparaat en een computer wordt gebruikt om bestanden te synchroniseren of om ontwikkelhulpprogramma's te gebruiken voor het implementeren of opsporen van fouten in toepassingen. Opladen via USB wordt niet beïnvloed.
    • Niet geconfigureerd (standaard)

Exploit Protection profile

Bescherming tegen misbruik

Opmerking

In deze sectie worden de instellingen beschreven die u kunt vinden in profielen voor Exploit Protection die vóór 5 april 2022 zijn gemaakt. Profielen die na deze datum zijn gemaakt, gebruiken een nieuwe instellingenindeling die te vinden is in de Instellingencatalogus. Met deze wijziging kunt u geen nieuwe versies meer maken van het oude profiel en deze worden niet meer ontwikkeld. Hoewel u geen nieuwe exemplaren meer kunt maken van het oudere profiel, kunt u doorgaan met het bewerken en gebruiken van exemplaren van het profiel dat u eerder hebt gemaakt.

Voor profielen die de nieuwe instellingenindeling gebruiken, houdt Intune geen lijst meer bij van elke instelling op naam. In plaats daarvan worden de naam van elke instelling, de configuratieopties en de bijbehorende verklarende tekst die u in het Microsoft Intune-beheercentrum ziet, rechtstreeks overgenomen uit de gezaghebbende inhoud van de instellingen. Deze inhoud kan meer informatie verschaffen over het gebruik van de instelling in de juiste context. Wanneer u een tekst met instellingsinformatie bekijkt, kunt u de koppeling Meer informatie gebruiken om die inhoud te openen.

  • XML uploaden
    CSP: ExploitProtectionSettings

    Hiermee kan de IT-beheerder een configuratie met de gewenste opties voor systeem- en toepassingsbeperking implementeren op alle apparaten in de organisatie. De configuratie wordt voorgesteld door een XML-bestand. Exploit Protection kan helpen apparaten te beschermen tegen malware die misbruik maakt van het verspreiden en infecteren. U gebruikt de app voor Windows-beveiliging of PowerShell om een set risicobeperkingen te maken (ook wel een configuratie genoemd). U kunt deze configuratie vervolgens exporteren als een XML-bestand en delen met meerdere computers in uw netwerk, zodat ze allemaal dezelfde instellingen hebben voor risicobeperking. U kunt ook een bestaand XML-bestand van de EMET-configuratie converteren en importeren in een XML-configuratie van de configuratie Exploit Protection.

    Kies XML-bestand selecteren, geef het uploaden van het XML-bestand op en klik op Selecteren.

    • Niet geconfigureerd (standaard)
    • Ja

  • Voorkomen dat gebruikers de beveiligingsinterface van Exploit Guard kunnen bewerken
    CSP: DisallowExploitProtectionOverride

    • Niet geconfigureerd (standaard) - Lokale gebruikers kunnen wijzigingen aanbrengen in het gebied met instellingen voor Exploit Protection.
    • Ja - Voorkomen dat gebruikers wijzigingen aanbrengen in het gebied met instellingen voor Exploit Protection in het Microsoft Defender-beveiligingscentrum.

Webbeveiligingsprofiel (oudere versie van Microsoft Edge (oudere versie)

Webbeveiliging (oudere versie van Microsoft Edge (oudere versie))

  • Netwerkbeveiliging inschakelen
    CSP: EnableNetworkProtection

    • Niet geconfigureerd (standaard) - De instelling keert terug naar de standaardinstelling van Windows, die is uitgeschakeld.
    • Door gebruiker gedefinieerd
    • Inschakelen - Netwerkbeveiliging wordt ingeschakeld voor alle gebruikers op het systeem.
    • Controlemodus : gebruikers worden niet geblokkeerd in gevaarlijke domeinen en in plaats daarvan worden Windows-gebeurtenissen gegenereerd.

  • SmartScreen vereisen voor Microsoft Edge
    CSP: Browser/AllowSmartScreen

    • Ja , gebruik SmartScreen om gebruikers te beschermen tegen mogelijke phishing-praktijken en schadelijke software.
    • Niet geconfigureerd (standaard)

  • Toegang tot schadelijke sites blokkeren
    CSP: Browser/PreventSmartScreenPromptOverride

    • Ja - voorkom dat gebruikers waarschuwingen van het Microsoft Defender SmartScreen-filter negeren en blokkeer ze de toegang tot de site.
    • Niet geconfigureerd (standaard)

  • Niet-geverifieerd downloaden van bestanden blokkeren
    CSP: Browser/PreventSmartScreenPromptOverrideForFiles

    • Ja - voorkom dat gebruikers waarschuwingen van het Microsoft Defender SmartScreen-filter negeren en blokkeer ze zodat ze geen niet-geverifieerde bestanden kunnen downloaden.
    • Niet geconfigureerd (standaard)

Kwetsbaarheid voor aanvallen verminderen (ConfigMgr)

Exploit Protection (ConfigMgr)(Preview) profile

Exploit Protection

  • XML uploaden
    CSP: ExploitProtectionSettings

    Hiermee kan de IT-beheerder een configuratie met de gewenste opties voor systeem- en toepassingsbeperking implementeren op alle apparaten in de organisatie. De configuratie wordt voorgesteld door een XML-bestand. Exploit Protection kan helpen apparaten te beschermen tegen malware die misbruik maakt van het verspreiden en infecteren. U gebruikt de app voor Windows-beveiliging of PowerShell om een set risicobeperkingen te maken (ook wel een configuratie genoemd). U kunt deze configuratie vervolgens exporteren als een XML-bestand en delen met meerdere computers in uw netwerk, zodat ze allemaal dezelfde instellingen hebben voor risicobeperking. U kunt ook een bestaand XML-bestand van de EMET-configuratie converteren en importeren in een XML-configuratie van de configuratie Exploit Protection.

    Kies XML-bestand selecteren, geef het uploaden van het XML-bestand op en klik op Selecteren.

  • Misbruik niet toestaan Protection Override
    CSP: DisallowExploitProtectionOverride

    • Niet geconfigureerd (standaard)
    • (Uitschakelen) Lokale gebruikers mogen wijzigingen aanbrengen in het gebied met instellingen voor Exploit Protection.
    • (Inschakelen) Lokale gebruikers kunnen geen wijzigingen aanbrengen in het gebied met instellingen voor Exploit Protection

Web Protection (ConfigMgr)(Preview)-profiel

Webbeveiliging

Volgende stappen

Eindpuntbeveiligingsbeleid voor ASR

  • Last updated on