Konfigurieren des bedingten Zugriffs in Microsoft Defender for Endpoint

Dieser Abschnitt führt Sie durch alle Schritte, die Sie ausführen müssen, um den bedingten Zugriff ordnungsgemäß zu implementieren.

Bevor Sie beginnen

Sie müssen sicherstellen, dass alle Ihre Geräte bei Intune registriert sind. Sie können eine der folgenden Optionen verwenden, um Geräte bei Intune zu registrieren:

• IT-Admin: Weitere Informationen zum Aktivieren der automatischen Registrierung finden Sie unter Aktivieren der automatischen Windows-Registrierung.
• Endbenutzer: Weitere Informationen zum Registrieren Ihres Windows 10 und Windows 11 Geräts in Intune finden Sie unter Registrieren Ihres Windows-Geräts bei Intune.
• Endbenutzeralternative: Weitere Informationen zum Beitreten zu einer Microsoft Entra Domäne finden Sie unter Vorgehensweise: Planen Der Implementierung von Microsoft Entra Join.

Es gibt Schritte, die Sie im Microsoft Defender-Portal, im Intune-Portal und Microsoft Entra Admin Center ausführen müssen.

Es ist wichtig, die erforderlichen Rollen für den Zugriff auf diese Portale und die Implementierung des bedingten Zugriffs zu beachten:

• Microsoft Defender Portal: Sie müssen sich beim Portal mit einer geeigneten Rolle anmelden, um die Integration zu aktivieren. Weitere Informationen finden Sie unter Berechtigungsoptionen.
• Intune : Sie müssen sich beim Portal mit Sicherheitsadministratorrechten mit Verwaltungsberechtigungen anmelden.
• Microsoft Entra Admin Center: Sie müssen sich als Sicherheitsadministrator oder Administrator für bedingten Zugriff anmelden.

Sie benötigen eine Microsoft Intune-Umgebung mit verwalteten und Microsoft Entra in Intune eingebundenen Windows 10- und Windows 11-Geräten.

Führen Sie die folgenden Schritte aus, um den bedingten Zugriff zu aktivieren:

• Schritt 1: Aktivieren der Microsoft Intune-Verbindung über Microsoft Defender XDR
• Schritt 2: Aktivieren der Integration von Defender für Endpunkt in Intune
• Schritt 3: Erstellen der Konformitätsrichtlinie in Intune
• Schritt 4: Zuweisen der Richtlinie
• Schritt 5: Erstellen einer Microsoft Entra Richtlinie für bedingten Zugriff

Schritt 1: Aktivieren der Microsoft Intune-Verbindung

1. Wählen Sie im Navigationsbereich Einstellungen>Endpunkte>Allgemein>Erweiterte Features>Microsoft Intune-Verbindung aus.

2. Schalten Sie die Microsoft Intune-Einstellung auf Ein um.

3. Klicken Sie auf Einstellungen speichern.

Schritt 2: Aktivieren der Integration von Defender für Endpunkt in Intune

1. Anmelden beim Intune-Portal

2. Wählen Sie Endpunktsicherheit>Microsoft Defender for Endpoint aus.

3. Legen Sie Connect Windows 10.0.15063+ devices (Geräte verbinden) auf Microsoft Defender Advanced Threat Protection auf Ein fest.

4. Klicken Sie auf Speichern.

Schritt 3: Erstellen der Konformitätsrichtlinie in Intune

1. Wählen Sie im Azure-PortalAlle Dienste aus, filtern Sie nach Intune, und wählen Sie Microsoft Intune aus.

2. Wählen Sie Gerätekonformitätsrichtlinien>>Richtlinie erstellen aus.

3. Geben Sie einen Namen und eine Beschreibung ein.

4. Wählen Sie unter Plattformdie Option Windows 10 und höher aus.

5. Legen Sie in den Einstellungen für die Geräteintegritätdie Option Gerät muss sich auf der gerätegedrohten Ebene befinden oder darunter sein auf Ihre bevorzugte Ebene fest:

   • Geschützt: Diese Stufe ist die sicherste Einstellung. Das Gerät kann keine vorhandenen Bedrohungen aufweisen und weiterhin auf Unternehmensressourcen zugreifen. Wenn Bedrohungen gefunden werden, wird das Gerät als nicht kompatibel bewertet.
   • Niedrig: Das Gerät ist konform, wenn nur Bedrohungen auf niedriger Stufe vorliegen. Geräte mit mittleren oder hohen Bedrohungsstufen sind nicht konform.
   • Mittel: Das Gerät ist konform, wenn auf dem Gerät Bedrohungen niedriger oder mittlerer Stufe gefunden werden. Wenn auf dem Gerät Bedrohungen hoher Stufen erkannt werden, wird es als nicht kompatibel bewertet.
   • Hoch: Diese Stufe ist am wenigsten sicher und lässt alle Bedrohungsstufen zu. Geräte mit hohen, mittleren oder niedrigen Bedrohungsstufen gelten also als konform.

6. Wählen Sie OK und Erstellen aus, um Ihre Änderungen zu speichern (und die Richtlinie zu erstellen).

Schritt 4: Zuweisen der Richtlinie

1. Wählen Sie im Azure-PortalAlle Dienste aus, filtern Sie nach Intune, und wählen Sie Microsoft Intune aus.

2. Wählen Sie Gerätekonformitätsrichtlinien>> aus, wählen Sie Ihre Microsoft Defender for Endpoint Konformitätsrichtlinie aus.

3. Wählen Sie Zuweisungen aus.

4. Schließen Sie Ihre Microsoft Entra-Gruppen ein, um ihnen die Richtlinie zuzuweisen.

5. Wählen Sie Speichern aus, um die Richtlinie für die Gruppen bereitzustellen. Die Von der Richtlinie betroffenen Benutzergeräte werden auf Konformität ausgewertet.

Schritt 5: Erstellen einer Microsoft Entra Richtlinie für bedingten Zugriff

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.
2. Navigieren Sie zu Entra ID>Bedingte Zugriffsrichtlinien>.
3. Wählen Sie Neue Richtlinie aus.
4. Benennen Sie Ihre Richtlinie. Es wird empfohlen, dass Organisationen einen aussagekräftigen Standard für die Namen ihrer Richtlinien erstellen.
5. Wählen Sie unter Zuweisungen die Option Benutzer oder Workloadidentitäten aus.
   1. Wählen Sie unter Einschließen die Option Alle Benutzer aus.
   2. Unter Ausschließen:
      1. Auswählen von Benutzern und Gruppen
         1. Wählen Sie die Notfallzugriffs- oder Break-Glass-Konten Ihrer organization aus.
         2. Wenn Sie Hybrididentitätslösungen wie Microsoft Entra Connect oder Microsoft Entra Cloudsynchronisierung verwenden, wählen Sie Verzeichnisrollen und dann Verzeichnissynchronisierungskonten aus.
6. Wählen Sie unter Zielressourcen>Ressourcen (früher Cloud-Apps)>Einschließen die Option Alle Ressourcen (früher "Alle Cloud-Apps") aus.
7. Klicken Sie unterZugriffssteuerungserteilung>.
   1. Klicken Sie auf Markieren des Geräts als konform erforderlich.
   2. Wählen Sie Auswählen aus.
8. Bestätigen Sie Ihre Einstellungen, und legen Sie Richtlinie aktivieren auf Nur Bericht fest.
9. Wählen Sie Erstellen aus, um ihre Richtlinie zu aktivieren.

Nachdem Sie Ihre Einstellungen mithilfe des Richtlinieneffekts oder des Modus nur für Berichte bestätigt haben, verschieben Sie den Umschalter Richtlinie aktivieren von Nur Bericht auf Ein.

Weitere Informationen finden Sie unter Erzwingen der Konformität für Microsoft Defender für Endpunkt mit bedingtem Zugriff in Intune.