Настройте и сконфигурируйте Microsoft Defender для конечной точки, план 1

В этой статье описывается, как настроить и сконфигурировать Microsoft Defender для конечной точки, план 1. Независимо от того, есть ли у вас помощь или вы делаете это самостоятельно, вы можете использовать эту статью в качестве руководства на протяжении всего развертывания.

Процесс установки и настройки

Общий процесс развертывания и настройки Defender for Endpoint, план 1, выглядит следующим образом:

Ознакомьтесь с требованиями.

В следующей таблице перечислены основные требования к Defender для конечной точки плана 1.

Планирование развертывания

При планировании развертывания можно выбрать несколько различных архитектур и методов развертывания. Каждая организация уникальна, поэтому вы можете рассмотреть несколько вариантов, перечисленных в следующей таблице:

Дополнительные сведения о вариантах развертывания см. в статье Планирование развертывания Defender для конечной точки. И скачайте следующий плакат:

Получите плакат по развертыванию

Настройте среду арендатора

Настройка среды клиента включает следующие задачи:

• Проверка лицензий
• Настройка арендатора
• Настройка параметров прокси-сервера (только при необходимости)
• Обеспечение правильной работы датчиков и отправки данных в Defender для конечной точки

Эти задачи включены в этап настройки Defender для конечной точки. См. Настройка Defender для конечной точки.

Назначение ролей и разрешений

Чтобы получить доступ к порталу Microsoft Defender, настроить параметры Defender для конечной точки или выполнить такие задачи, как реагирование на обнаруженные угрозы, необходимо назначить соответствующие разрешения. Defender for Endpoint использует встроенные роли Microsoft Entra ID.

Корпорация Майкрософт рекомендует назначать пользователям только уровень разрешений, необходимый для выполнения своих задач. Разрешения можно назначать с помощью базового управления разрешениями или с помощью управления доступом на основе ролей (RBAC).

• При базовом управлении разрешениями глобальные администраторы и администраторы безопасности имеют полный доступ, тогда как читатели сведений о безопасности имеют доступ только для чтения.
• С помощью RBAC можно задать более детализированные разрешения с помощью дополнительных ролей. Например, можно иметь читателей безопасности, операторов безопасности, администраторов безопасности, администраторов конечных точек и других.

В следующей таблице описаны основные роли, которые следует учитывать при использовании Defender for Endpoint в вашей организации.

Подключение к Defender for Endpoint

Когда вы будете готовы подключить конечные точки организации, вы можете выбрать один из нескольких методов, как указано в следующей таблице:

Затем перейдите к настройке возможностей защиты и сокращения направлений атак следующего поколения.

Настройка защиты нового поколения

Мы рекомендуем использовать Intune для управления устройствами и параметрами безопасности организации, как показано на следующем рисунке:

Сведения о настройке защиты следующего поколения в Intune см. в разделе "Изменение существующих политик " (открывается на новой вкладке в документации Intune). Выберите следующие параметры:

1. Настройте или измените параметры конфигурации антивирусной программы. Нужна помощь? Ознакомьтесь со следующими ресурсами:

   • Параметры политики антивирусной программы Windows 10 Microsoft Defender в Microsoft Intune
   • Настройка функций Defender для конечной точки на iOS

2. Завершив задание параметров, выберите Просмотр и сохранение.

Настройка возможностей сокращения направлений атак

Сокращение направлений атаки — это сокращение мест и способов, которыми ваша организация открыта для атак. План 1 Defender для конечной точки включает несколько функций и возможностей, которые помогают сократить поверхность атаки на всех ваших конечных точках. Эти функции и возможности перечислены в следующей таблице:

Правила сокращения поверхности атаки (ASR)

Правила уменьшения поверхности атаки (ASR) доступны в Microsoft Defender Antivirus на устройствах Windows. Доступные методы развертывания см. в статье Методы развертывания и конфигурации для правил ASR.

Как правило, стандартные правила защиты можно включить в режиме блокировать или предупреждать без тестирования. Прежде чем переключить их в режим блокировки или предупреждения, следует протестировать другие правила ASR в режиме аудита. Дополнительные сведения см. в руководстве по развертыванию правил ASR.

Защита от программ-шантажистов

Вы получаете защиту от программ-шантажистов с помощью управляемого доступа к папкам, что позволяет только доверенным приложениям получать доступ к защищенным папкам на конечных точках.

Сведения о настройке управляемого доступа к папкам в Intune см. в статье Настройка правил и исключений ASR в Intune с помощью политик безопасности конечных точек. Используйте параметры Включить управляемый доступ к папкам, Управляемый доступ к папкам, защищенные папки и Управляемый доступ к папкам разрешенных приложений в политике.

Дополнительные сведения см. в обзоре управляемого доступа к папкам (CFA).

Управление устройствами

Вы можете настроить Defender для конечной точки, чтобы блокировать или разрешать съемные устройства и файлы на съемных устройствах. Сведения об использовании Intune для настройки параметров управления устройствами см. в статье "Создание политики безопасности конечной точки " (открывается на новой вкладке в документации Intune). При создании политики используйте следующие параметры:

• Платформа: Windows 10 или более поздней версии
• Тип профиля: выберите "Шаблоны".
• Имя шаблона Административные шаблоны
• Параметры конфигурации: все параметры, а затем введите Removable в поле поиска все параметры, относящиеся к съемным устройствам. Выберите элемент в списке, например Все классы съемных носителей, Запретить доступ, чтобы открыть всплывающее окно. Во всплывающем меню для каждого параметра объясняется, что происходит, когда он включен, отключен или не настроен. Выберите параметр и нажмите кнопку "ОК".
• Теги области: + Выберите теги области, а затем выберите теги, которые вы хотите использовать.
• Назначения. Добавление всех пользователей и добавление всех устройств.

На вкладке Просмотр и создание просмотрите параметры политики и нажмите кнопку Создать. Политика применяется ко всем конечным точкам, которые были недавно подключены к Defender для конечных точек.

Защита сети

С помощью защиты сети вы можете защитить свою организацию от опасных доменов, в которых могут размещаться фишинговые аферы, эксплойты и другое вредоносное содержимое в Интернете. Сведения об использовании Intune для включения защиты сети см. в статье "Создание политики безопасности конечной точки " (открывается на новой вкладке в документации Intune). При создании политики используйте следующие параметры:

• Платформа: Windows 10 и более поздних версий
• Тип профиля: Шаблоны
• Имя шаблона: Endpoint Protection
• Параметры конфигурации: разверните Microsoft Defender Exploit Guard, а затем разверните фильтр сети
  • Задайте для защиты сети значение Включить. (Вы можете выбрать аудит , чтобы сначала узнать, как работает защита сети в вашей среде.)
• Назначения: добавление всех пользователей и добавление всех устройств (можно также указать определенные группы пользователей или устройств).
• Правила применимости : настройка правила. Настраиваемый профиль применяется только к устройствам, которые соответствуют заданным вами объединенным критериям. Например, можно назначить политику конечным точкам, на которых работает только определенный выпуск ОС.

На вкладке Просмотр и создание просмотрите параметры политики и нажмите кнопку Создать. Политика применяется ко всем устройствам, которые были недавно подключены к Defender for Endpoint.

Веб-защита

С помощью веб-защиты вы можете защитить устройства вашей организации от веб-угроз и нежелательного содержимого. Ваша веб-защита включает защиту от веб-угроз и фильтрацию веб-содержимого. Настройте оба набора возможностей. Для настройки параметров веб-защиты рекомендуется использовать Intune.

Настройка защиты от веб-угроз

1. Перейдите в Центр администрирования Intune и войдите в систему.

2. Выберите Безопасность конечных точек>Сокращение поверхности атаки, а затем выберите + Создать политику.

3. Выберите платформу, например Windows 10 и более поздних версий, выберите профиль веб-защиты, а затем нажмите кнопку Создать.

4. На вкладке Основные сведения укажите имя и описание, а затем нажмите кнопку Далее.

5. На вкладке Параметры конфигурации разверните раздел Веб-защита, укажите параметры в следующей таблице, а затем выберите Далее.
   
   

   Настройка	Рекомендация
   Включение защиты сети	Установите значение Включено. Запрещает пользователям посещать вредоносные сайты или домены. Кроме того, можно настроить защиту сети в режим аудита , чтобы увидеть, как она работает в вашей среде. В режиме аудита защита сети не запрещает пользователям посещать сайты или домены, но отслеживает обнаружение как события.
   Требовать SmartScreen для устаревшей версии Microsoft Edge	Задайте значение Да. Помогает защитить пользователей от потенциальных фишинговых атак и вредоносных программ.
   Блокировка доступа к вредоносному сайту	Задайте значение Да. Запрещает пользователям обходить предупреждения о потенциально вредоносных сайтах.
   Блокировка непроверенного скачивания файла	Задайте значение Да. Запрещает пользователям обходить предупреждения и скачивать непроверенные файлы.

6. Если ваша организация использует теги область, на вкладке Теги области выберите + Выбрать теги область, а затем выберите нужные теги. Затем нажмите кнопку Далее.

7. Дополнительные сведения о тегах области см. в статье Использование управления доступом на основе ролей (RBAC) и тегов области для распределенной ИТ-инфраструктуры.

8. На вкладке Назначения укажите пользователей и устройства, которые будут получать политику веб-защиты, а затем нажмите кнопку Далее.

9. На вкладке Просмотр и создание просмотрите параметры политики и нажмите кнопку Создать.

Настройка фильтрации веб-содержимого

1. Перейдите на портал Microsoft Defender и выполните вход.

2. Выберите Параметры>Конечные точки.

3. В разделе Правила выберите Фильтрация веб-содержимого, а затем выберите + Добавить политику.

4. Во всплывающем окне Добавление политики на вкладке Общие укажите имя политики и нажмите кнопку Далее.

5. В разделе Заблокированные категории выберите одну или несколько категорий, которые нужно заблокировать, а затем нажмите кнопку Далее.

6. На вкладке Область выберите группы устройств, которые вы хотите получить эту политику, и нажмите кнопку Далее.

7. На вкладке Сводка просмотрите параметры политики и нажмите кнопку Сохранить.

Сетевой брандмауэр

Сетевой брандмауэр помогает снизить риск угроз сетевой безопасности. Ваша группа безопасности может задать правила, определяющие, какой трафик разрешено поступать на устройства вашей организации или с нее. Для настройки брандмауэра сети рекомендуется использовать Microsoft Intune.

Сведения о настройке сетевого брандмауэра с помощью политики брандмауэра безопасности конечных точек Microsoft Intune см. в статье Создание политики безопасности конечной точки (откроется на новой вкладке в документации по Intune). При создании политики используйте следующие параметры:

• Тип политики: Брандмауэр
• Платформа: Windows
• Профиль: Брандмауэр Windows
• Параметры конфигурации. Задайте для каждого из следующих параметров значение True (по умолчанию).
  • Включение брандмауэра доменной сети
  • Включение брандмауэра частной сети
  • Включение брандмауэра общедоступной сети

Дополнительные сведения о профилях брандмауэра сети, доступных в Microsoft Intune, см. в статье Политика брандмауэра для защиты конечных точек в Intune.

Контроль приложений

Управление приложениями в Защитнике Windows (WDAC) помогает защитить конечные точки Windows, позволяя запускать только доверенные приложения и процессы. Большинство организаций использовали поэтапное развертывание WDAC. То есть большинство организаций сначала не развертывают WDAC во всех конечных точках Windows. На самом деле, в зависимости от того, относятся ли конечные точки Windows в вашей организации к полностью управляемым, частично управляемым или конечным точкам по модели «принеси своё устройство» (BYOD), вы можете развернуть WDAC на всех или только на части конечных точек.

Сведения о планировании развертывания WDAC см. в следующих ресурсах:

• Контроль приложений для Windows

• Решения по проектированию политики управления приложениями в Защитнике Windows

• Развертывание управления приложениями в Защитнике Windows в разных сценариях: типы устройств

Дальнейшие действия

Теперь, когда вы завершили процесс установки и настройки, следующий шаг — начать работу с Defender для конечных точек.

• Начало работы с Defender для конечной точки плана 1