Android 和 iOS 上的Microsoft Defender for Endpoint是我们的移动威胁防御 (MTD) 解决方案。 公司通常主动保护计算机免受漏洞和攻击，但移动设备通常不受监视且不受保护。 尽管移动平台具有一些内置保护 (例如，应用隔离和经过审查的消费者应用商店) ，但这些平台仍然容易受到基于 Web 或其他复杂攻击的攻击。 随着越来越多的人使用设备访问敏感工作信息，公司必须部署 MTD 解决方案来保护设备和资源。
注意
本概述介绍Microsoft Defender for Endpoint移动威胁防御解决方案。 不要将其与 Android 移动威胁防御 (MTD) 角色混淆，它是 Android Enterprise 的一个平台角色，你可以将其分配给 Defender for Endpoint 以获得额外的平台级保护。 有关详细信息，请参阅 适用于 Microsoft Defender for Endpoint 的 Android 移动威胁防御 (MTD) 角色。
Android 和 iOS 上的Microsoft Defender for Endpoint提供以下关键功能：
| 能力 | 说明 |
|---|---|
| Web 防护 | 防钓鱼、阻止不安全的网络连接，并支持针对 URL 和域的自定义指示器。 （当前不支持文件和 IP 指示器。） |
| 恶意软件防护 (仅限 Android) | 扫描恶意应用、APK 文件和非 APK 文件，例如文档、存档和脚本。 有关详细信息，请参阅 配置非 APK 文件扫描。 |
| 越狱检测（仅限 iOS） | 检测越狱设备。 |
| Root 检测（Android - 预览） | 检测已获取 root 权限的设备。 |
| Microsoft Defender 漏洞管理 (MDVM) | 已载入移动设备的漏洞评估。 包括 Android 和 iOS 的 OS 和应用漏洞评估。 有关详细信息，请参阅什么是Microsoft Defender 漏洞管理。 |
| 网络保护 | 防止流氓 Wi-Fi 相关威胁和流氓证书;在Intune中将根 CA 和专用根 CA 证书添加到“允许”列表的功能;与终结点建立信任。 |
| 统一警报 | 来自统一Microsoft Defender门户中所有平台的警报。 |
| 条件访问、条件启动 | 阻止有风险的设备访问公司资源。 还可以将 Defender for Endpoint 风险信号添加到应用保护策略 (MAM) 。 |
| 隐私控件 | 通过控制Microsoft Defender for Endpoint发送的数据，在威胁报告中配置隐私。 隐私控制适用于管理员和最终用户。 它也适用于已注册和未注册的设备。 |
| 与 Microsoft Tunnel 集成 | 与 Microsoft Tunnel 集成，这是一种 VPN 网关解决方案，用于在单个应用中实现安全性和连接性。 在 Android 和 iOS 上均可用。 |
这些功能适用于Microsoft Defender for Endpoint许可证持有者。 有关详细信息，请参阅 许可要求。
有关最新功能和优势的信息，请阅读我们的 公告。
概述和部署
如果订阅包含Microsoft Intune，则可以使用 Intune 在移动设备上部署Microsoft Defender for Endpoint。 观看此视频，快速了解 MTD 功能和部署：
将已注册到 Intune 的设备加入系统
已在 Microsoft Intune 中注册的设备可以载入到Microsoft Defender for Endpoint，而无需重新注册。 安装 Defender 应用并分配所需的配置文件后，设备将自动完成载入。
Android（已通过 Intune 注册的设备）
确保设备已根据受支持的 Android Enterprise 方案之一在 Intune 中注册。
通过 Intune 部署 Microsoft Defender for Endpoint 应用。
分配 Microsoft Defender for Endpoint 配置文件：
- 网页保护
- 网络保护
- 应用保护 (（如果适用）)
当 Defender 应用收到配置时，设备会自动加入。
使用条件访问功能，按要求强制执行用户加入。
iOS/iPadOS（已通过 Intune 注册的设备）
- 请确保已通过 ADE*、Apple Configurator*、设备注册或用户注册对设备进行了注册。
- 通过 Intune 部署Microsoft Defender for Endpoint。
- 为以下项分配 Defender for Endpoint 配置策略：
- 网页保护
- 网络保护
- 零接触式注册（针对受监督设备）
* 交付策略后，应用会自动配置和载入设备，而无需用户交互。
注意
无需重新注册已注册到 Intune 的现有设备。 在将 Defender 应用和 MTD 配置策略传递到设备后，自动进行载入。
部署
下表总结了如何在 Android 和 iOS 上部署Microsoft Defender for Endpoint。 有关详细文档，请参阅以下文章：
支持的 Android 注册场景
| 应用场景 | 设备上需要公司门户应用？ | 保护概要/前提条件 | 如何部署 |
|---|---|---|---|
| 使用工作配置文件的 Android Enterprise 个人拥有的设备 | 是 | 仅保护工作资料部分。 详细了解工作资料 | Microsoft Intune：在 Android 上部署和配置Microsoft Defender for Endpoint |
| 使用个人配置文件的 Android Enterprise 个人拥有的设备 | 是 | 保护个人资料。 当用户也有工作资料时，整个设备都会受到保护。
|
Microsoft Intune：在 Android 上部署和配置Microsoft Defender for Endpoint |
| Android Enterprise 公司拥有的工作配置文件 (COPE) | 是 | 仅保护工作资料部分。 公司门户应用和Microsoft Intune应用都将自动安装。 | Microsoft Intune：在 Android 上部署和配置Microsoft Defender for Endpoint |
| Android Enterprise 公司自有的完全托管 - 无工作配置文件 (COBO) | 是 | 保护整个设备。 公司门户应用和Microsoft Intune应用都将自动安装。 | Microsoft Intune：在 Android 上部署和配置Microsoft Defender for Endpoint |
| MAM | 安装 (是;不需要安装程序) | 仅保护已注册的应用。 MAM 支持使用/不使用设备注册或使用非 Microsoft 企业移动性管理进行注册。 | 使用应用保护策略 (MAM) 在 Android 风险信号上配置Microsoft Defender for Endpoint |
| 设备管理员 (已于 2024 年 12 月 31 日弃用) | 是 | Intune 和 Defender for Endpoint 于 2024 年 12 月终止了对有权访问 Google 移动服务 (GMS) 的设备上的 Android 设备管理员管理的支持。 | Microsoft Intune：在 Android 上部署和配置Microsoft Defender for Endpoint |
不受支持的 Android 注册场景
目前不支持以下方案：
- Android Enterprise 公司所有的个人配置文件
- Android Enterprise 企业拥有的专用设备 (COSU)（自助终端/共享）
- Android Open-Source Project (AOSP)
Android 低接触式注册支持的场景
- 使用工作配置文件的 Android Enterprise 个人拥有的设备。
- Android Enterprise 公司拥有的工作配置文件 (COPE)。
- Android Enterprise 公司自有的完全托管 - 无工作配置文件 (COBO)。
支持的 iOS 注册场景
| 应用场景 | 设备上需要公司门户应用？ | 保护概要/前提条件 | 如何部署 |
|---|---|---|---|
| 受监管设备（ADE 和 Apple Configurator 注册） | 是 | 保护整个设备。 对于 ADE 而言，如果用户使用实时 (JIT) 注册，则不需要公司门户应用，因为该应用会通过连接到 Intune 服务器自动注册设备 | 使用 Microsoft Intune 在 iOS 上部署Microsoft Defender for Endpoint |
| 非监督设备 (设备注册) | 是 | 保护整个设备。 对于基于 Web 的设备注册，不需要公司门户应用，因为在托管应用登录后，应用会直接下载配置策略，而不是公司门户应用 | 使用 Microsoft Intune 在 iOS 上部署Microsoft Defender for Endpoint |
| 非监督设备 (用户注册) | 是 | 保护整个设备。 例外情况是 TVM 功能，在这种情况下，仅管理员推送的工作应用会受到保护。 Web 保护在设备级别工作，并扫描来自所有应用的网络流量。 | 使用 Microsoft Intune 在 iOS 上部署Microsoft Defender for Endpoint |
| MAM | 否 | 仅保护已注册的应用。 VPN 可以访问整个设备，并且可以扫描所有应用流量 | 使用移动应用程序管理在 iOS 上部署Microsoft Defender for Endpoint |
不支持的 iOS 注册情形
不支持 iOS 专用/共享/Kiosk 设备的注册。
iOS 零接触注册支持的场景
- 受监管设备（ADE 和 Apple Configurator 注册）
- 非受监督设备（设备注册）
终端用户引导
为 iOS 注册设备配置零接触载入：管理员可以配置零接触安装，以在已注册的 iOS 设备上静默载入Microsoft Defender for Endpoint，而无需用户打开应用。
配置条件访问以强制实施用户加入：可以应用条件访问，确保用户在部署后加入到 Microsoft Defender for Endpoint 应用。 观看此视频，获取有关使用 Defender for Endpoint 风险信号配置条件访问的快速演示。
简化上手流程
试点评估
使用 Microsoft Defender for Endpoint 评估移动威胁防御时，可以在继续将服务部署到更大的设备集之前验证是否满足某些条件。 可以定义退出条件，并确保在广泛部署之前满足这些条件。
此方法有助于减少在推出服务时可能出现的潜在问题。 下面是一些可能有所帮助的测试和退出条件：
- 设备显示在设备清单列表中：在移动设备上成功载入 Defender for Endpoint 后，验证设备是否已在Microsoft Defender门户中的“设备清单”中列出。
运行网络钓鱼测试：浏览到
https://smartscreentestratings2.net并验证它是否被Microsoft Defender for Endpoint阻止。 对于带有工作配置文件的 Android Enterprise，只有工作配置文件受支持。警报显示在仪表板中：验证前面提到的检测测试的警报是否显示在Microsoft Defender门户中。
需要有关在 Android & iOS 上部署或配置 Defender for Endpoint 的帮助？ 如果您拥有该产品至少 150 个许可证，请享受 FastTrack 权益。 若要详细了解 FastTrack，请参阅 Microsoft FastTrack。