Configuración del acceso condicional en Microsoft Defender para punto de conexión

Esta sección le guía por todos los pasos que debe seguir para implementar correctamente el acceso condicional.

Antes de empezar

Debe asegurarse de que todos los dispositivos están inscritos en Intune. Puede usar cualquiera de las siguientes opciones para inscribir dispositivos en Intune:

• Administración de TI: para obtener más información sobre cómo habilitar la inscripción automática, vea Habilitar la inscripción automática de Windows.
• Usuario final: para obtener más información sobre cómo inscribir el dispositivo Windows 10 y Windows 11 en Intune, consulte Inscripción del dispositivo Windows en Intune.
• Alternativa para el usuario final: para obtener más información sobre cómo unirse a un dominio de Microsoft Entra, vea How to: Plan your Microsoft Entra join implementation (Cómo: Planear la implementación de la combinación de Microsoft Entra).

Hay pasos que debe seguir en el portal de Microsoft Defender, el portal de Intune y Microsoft Entra centro de administración.

Es importante tener en cuenta los roles necesarios para acceder a estos portales e implementar el acceso condicional:

• Microsoft Defender portal: tendrá que iniciar sesión en el portal con un rol adecuado para activar la integración. Consulte Opciones de permisos.
• Intune : tendrá que iniciar sesión en el portal con derechos de administrador de seguridad con permisos de administración.
• Microsoft Entra centro de administración: deberá iniciar sesión como administrador de seguridad o administrador de acceso condicional.

Necesitará un entorno de Microsoft Intune, con dispositivos Windows 10 y Windows 11 administrados por Intune y unidos Microsoft Entra.

Siga estos pasos para habilitar el acceso condicional:

• Paso 1: Activar la conexión de Microsoft Intune desde Microsoft Defender XDR
• Paso 2: Activar la integración de Defender para punto de conexión en Intune
• Paso 3: Creación de la directiva de cumplimiento en Intune
• Paso 4: Asignar la directiva
• Paso 5: Creación de una directiva de acceso condicional de Microsoft Entra

Paso 1: Activar la conexión de Microsoft Intune

1. En el panel de navegación, seleccione Configuración>Puntos de conexiónCaracterísticas avanzadas> generales >Conexión> deMicrosoft Intune.

2. Cambie la configuración de Microsoft Intune a Activado.

3. Haga clic en Guardar preferencias.

Paso 2: Activar la integración de Defender para punto de conexión en Intune

1. Inicio de sesión en el portal de Intune

2. Seleccione Seguridad> del punto de conexión Microsoft Defender para punto de conexión.

3. Establezca Conectar dispositivos Windows 10.0.15063+ en Microsoft Defender Advanced Threat Protectionen Activado.

4. Haga clic en Guardar.

Paso 3: Creación de la directiva de cumplimiento en Intune

1. En el Azure Portal, seleccione Todos los servicios, filtre por Intune y seleccione Microsoft Intune.

2. Seleccione Directivas de cumplimiento>de>dispositivos Crear directiva.

3. Escriba un nombre y una descripción.

4. En Plataforma, seleccione Windows 10 y versiones posteriores.

5. En la configuración de Estado del dispositivo, establezca Requerir que el dispositivo esté en el nivel de amenaza del dispositivo o en el nivel de amenaza del dispositivo en el nivel que prefiera:

   • Protegido: este nivel es el más seguro. El dispositivo no puede tener ninguna amenaza existente y seguir teniendo acceso a los recursos de la empresa. Si se encuentra alguna amenaza, el dispositivo se clasificará como no conforme.
   • Bajo: el dispositivo se evalúa como compatible solo si hay amenazas de nivel bajo. Los dispositivos con niveles de amenaza medio o alto no son compatibles.
   • Medio: el dispositivo se evalúa como compatible si las amenazas que se encuentran en él son de nivel bajo o medio. Si se detectan amenazas de nivel alto, se determinará que el dispositivo no es compatible.
   • Alto: este nivel es el menos seguro y permite todos los niveles de amenaza. Por lo tanto, los dispositivos que tienen niveles de amenaza altos, medios o bajos se consideran compatibles.

6. Seleccione Aceptar y Crear para guardar los cambios (y crear la directiva).

Paso 4: Asignar la directiva

1. En el Azure Portal, seleccione Todos los servicios, filtre por Intune y seleccione Microsoft Intune.

2. Seleccione Directivas de cumplimiento>de> dispositivos y seleccione la directiva de cumplimiento de Microsoft Defender para punto de conexión.

3. Seleccione Asignaciones.

4. Incluya o excluya los grupos de Microsoft Entra para asignarles la directiva.

5. Para implementar la directiva en los grupos, seleccione Guardar. Los dispositivos de usuario de destino de la directiva se evalúan para el cumplimiento.

Paso 5: Creación de una directiva de acceso condicional de Microsoft Entra

1. Inicie sesión en el centro de administración de Microsoft Entra como al menos un administrador de acceso condicional.
2. Vaya a Entra ID>Directivas de acceso>condicional.
3. Seleccione Nueva directiva.
4. Asigne un nombre a la directiva. Se recomienda que las organizaciones creen un estándar significativo para los nombres de sus directivas.
5. En Asignaciones, seleccione Usuarios o identidades de carga de trabajo.
   1. En Incluir, seleccione Todos los usuarios.
   2. En Excluir:
      1. Seleccione Usuarios y grupos
         1. Elija las cuentas de acceso de emergencia o de emergencia de su organización.
         2. Si usa soluciones de identidad híbrida como Microsoft Entra Connect o Microsoft Entra Connect Cloud Sync, seleccione Roles de directorio y, a continuación, seleccione Cuentas de sincronización de directorios.
6. En Recursos de destino>Recursos (anteriormente aplicaciones en la nube)>Incluir, seleccione Todos los recursos (anteriormente "Todas las aplicaciones en la nube").
7. En Controles> de acceso, conceda.
   1. Seleccione Requerir que el dispositivo esté marcado como compatible.
   2. Seleccione Seleccionar.
8. Confirme la configuración y establezca Habilitar directiva en Solo informe.
9. Seleccione Crear para crear para habilitar la directiva.

Después de confirmar la configuración mediante el impacto de la directiva o el modo de solo informe, mueva el botón de alternancia Habilitar directiva de Solo informe a Activado.

Para obtener más información, consulte Exigencia del cumplimiento de Microsoft Defender para punto de conexión con acceso condicional en Intune.