Развертывание управления устройствами и управление ими в Microsoft Defender для конечной точки с помощью Microsoft Intune

Если вы используете Intune для управления параметрами Defender для конечной точки, вы можете использовать его для развертывания возможностей управления устройствами и управления ими. Различные аспекты управления устройствами управляются по-разному в Intune, как описано в следующих разделах.

Настройка управления устройствами и управление ими в Intune

1. В центре администрирования Microsoft Intune по адресу https://intune.microsoft.comперейдите в раздел Управление безопасностью>конечных точек, раздел >Сокращение направлений атак. Или, чтобы перейти непосредственно к безопасности конечных точек | Страница сокращения направлений атаки используйте https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/asr.

2. На вкладке Политики в области безопасность конечных точек | Страница сокращения направлений атаки выберите Создать политику.

3. Во всплывающем окне Создание профиля настройте следующие параметры:

   • Платформа: выберите Windows. В настоящее время управление устройствами не поддерживается в Windows Server, хотя эта политика применяется к его показу.
   • Профиль. Выберите Элемент управления устройствами.

   После завершения работы с безопасностью конечных точек | Страница сокращения направлений атаки выберите **Создать.

4. Откроется мастер создания политики . На вкладке Основные сведения настройте следующие параметры:

   • Имя. Укажите уникальное, описательное имя политики.
   • Описание: введите необязательное описание.

   Нажмите кнопку Далее.

5. На вкладке Параметры конфигурации настройте некоторые или все из следующих параметров:

   • Defender: см . раздел Разрешить полное сканирование съемного диска .
   • Управление устройствами. Настройка настраиваемых политик с помощью многократно используемых параметров. См . раздел Профили элементов управления устройствами далее в этой статье и Общие сведения об элементе управления устройствами: Правила.
   • Ограничения установки устройств: см. раздел Параметры установки устройства .
   • Доступ к съемным хранилищам. См. раздел Параметры доступа к съемным хранилищам .
   • Защита данных: см . раздел Разрешить прямой доступ к памяти .
   • Dma Guard: см. раздел Параметры политики перечисления устройств .
   • Хранилище: см. раздел Параметры запрета на запись на съемных дисках .
   • Подключение: см . статью Разрешить USB-подключение** и Разрешить параметры Bluetooth .
   • Bluetooth: параметры, связанные с подключениями и службами Bluetooth. См. раздел Политика CSP — Bluetooth.
   • Система: см . раздел Разрешить параметры карты хранения .

   Совет

   Вам не нужно настраивать все доступные параметры одновременно. Попробуйте начать с параметров управления устройствами , как описано в следующем разделе.

   

   Завершив работу на вкладке Параметры конфигурации , нажмите кнопку Далее.

6. На вкладке Теги области по умолчанию выбран тег область с именем Default, но его можно удалить и выбрать другие существующие теги область. По завершении нажмите кнопку Далее.

7. На вкладке Назначения укажите группы пользователей или устройств для получения политики. Дополнительные сведения см. в статье Назначение политик в Intune.

8. На вкладке Просмотр и создание просмотрите параметры и внесите необходимые изменения. Когда все будет готово, нажмите кнопку Создать , чтобы создать политику управления устройствами.

Профили элементов управления устройствами

В Intune каждая строка в разделе Управление устройствами представляет политику управления устройствами. Вы можете добавлять и удалять политики, используя + Добавить и — Удалить. Имя политики отображается в предупреждении для пользователей, а также в расширенной охоте и отчетах.

После нажатия кнопки + Добавить будут доступны следующие параметры:

• Включенные устройства: параметр для повторного использования, к которому применяется политика.
• Исключенные устройства: повторно используемый параметр, исключенный из политики.
• Доступ: разрешенные разрешения и поведение для управления устройствами, которое вступает в силу при использовании политики.

Сведения о том, как добавить многократно используемые группы параметров, включенные в строку каждой политики управления устройствами, см. в разделе Добавление повторно используемых групп в профиль управления устройствами.

Можно добавить политики аудита, а также политики разрешения и запрета. При добавлении политики аудита всегда рекомендуется добавлять политику разрешить и (или) запретить, чтобы не было непредвиденных результатов.

Определение параметров с помощью OMA-URI

В следующей таблице определите параметр, который требуется настроить, а затем используйте сведения в столбцах OMA-URI и типа данных & значений. Параметры перечислены в алфавитном порядке.

Создание политик с помощью OMA-URI

При создании политик с OMA-URI в Intune создайте один XML-файл для каждой политики. Рекомендуется использовать профиль управления устройствами или профиль правил управления устройствами для создания пользовательских политик.

В области Добавление строки укажите следующие параметры:

• В поле Имя введите Allow Read Activity.
• В поле OMA-URI введите ./Vendor/MSFT/Defender/Configuration/DeviceControl/PolicyRules/%7b[PolicyRule Id]%7d/RuleData. (Вы можете использовать команду New-Guid PowerShell для создания нового guid и замены [PolicyRule Id].)
• В поле Тип данных выберите Строка (XML-файл) и используйте Пользовательский XML-код.

Параметры можно использовать для задания условий для определенных записей. Ниже приведен пример XML-файла группы для разрешения доступа на чтение для каждого съемного хранилища.

Создание групп с OMA-URI

При создании групп с OMA-URI в Intune создайте по одному XML-файлу для каждой группы. Рекомендуется использовать повторно используемые параметры для определения групп.

В области Добавление строки укажите следующие параметры:

• В поле Имя введите Any Removable Storage Group.
• В поле OMA-URI введите ./Vendor/MSFT/Defender/Configuration/DeviceControl/PolicyGroups/%7b[GroupId]%7d/GroupData. (Чтобы получить идентификатор GroupID, в Центре администрирования Intune перейдите в раздел Группы, а затем выберите Копировать идентификатор объекта. Или вы можете использовать команду New-Guid PowerShell для создания нового guid и замены [GroupId].)
• В поле Тип данных выберите Строка (XML-файл) и используйте Пользовательский XML-код.

Настройка управления доступом к съемным хранилищам с помощью OMA-URI

1. Перейдите в Центр администрирования Microsoft Intune и войдите в систему.

2. ВыберитеПрофили конфигурацииустройств>. Откроется страница Профили конфигурации .

3. На вкладке Политики (выбрано по умолчанию) выберите + Создать, а затем в раскрывающемся списке выберите + Создать политику . Откроется страница Создание профиля .

4. В списке Платформа выберите Windows 10, Windows 11 и Windows Server в раскрывающемся списке Платформа и выберите Шаблоны в раскрывающемся списке Тип профиля.

5. После выбора шаблоны в раскрывающемся списке Тип профиля откроется область Имя шаблона вместе с полем поиска (для поиска по имени профиля).

6. Выберите Настраиваемый в области Имя шаблона и нажмите кнопку Создать.

7. Создайте строку для каждого параметра, группы или политики, выполнив шаги 1–5.

Просмотр групп управления устройствами (параметры для повторного использования)

В Intune группы управления устройствами отображаются как многократно используемые параметры.

1. Перейдите в Центр администрирования Microsoft Intune и войдите в систему.

2. Перейдите в разделСокращение направлений атак сбезопасностью> конечных точек.

3. Перейдите на вкладку Параметры многократного использования .

См. также

• Управление устройством в Defender для конечной точки
• Политики и параметры управления устройствами
• Управление устройствами для macOS