在 iOS 功能上配置 Microsoft Defender for Endpoint

项目
04/26/2024

适用于：

希望体验 Defender for Endpoint？注册免费试用版。

注意

iOS 上的 Defender for Endpoint 将使用 VPN 来提供 Web 保护功能。这不是常规 VPN，是本地/自循环 VPN，不会将流量带到设备外部。

在 iOS 上使用 Defender for Endpoint 进行条件访问

iOS 上的Microsoft Defender for Endpoint以及Microsoft Intune和Microsoft Entra ID支持基于设备风险评分强制实施设备合规性和条件访问策略。 Defender for Endpoint 是一种移动威胁防御 (MTD) 解决方案，你可以通过Intune部署以使用此功能。

有关如何在 iOS 上使用 Defender for Endpoint 设置条件访问的详细信息，请参阅 Defender for Endpoint 和 Intune。

Web 保护和 VPN

默认情况下，iOS 上的 Defender for Endpoint 包括并启用 Web 保护功能。 Web 保护有助于保护设备免受 Web 威胁，并保护用户免受钓鱼网站攻击。 Web 保护支持反钓鱼和自定义指示器 (URL 和域) 。 iOS 目前不支持基于 IP 的自定义指示器。 Android 和 iOS) (移动平台当前不支持 Web 内容筛选。

iOS 上的 Defender for Endpoint 使用 VPN 来提供此功能。请注意，VPN 是本地的，与传统 VPN 不同，网络流量不会发送到设备外部。

在默认情况下启用时，在某些情况下可能需要禁用 VPN。例如，你希望运行一些在配置 VPN 时不起作用的应用。在这种情况下，你可以选择通过以下步骤从设备上的应用禁用 VPN：

在 iOS 设备上，打开 “设置” 应用，依次选择“ 常规 ”和“ VPN”。
选择“i”按钮进行Microsoft Defender for Endpoint。
关闭 “按需连接” 以禁用 VPN。

注意

禁用 VPN 时，Web 保护不可用。若要重新启用 Web 保护，请在设备上打开Microsoft Defender for Endpoint应用，然后单击或点击“启动 VPN”。

禁用 Web 保护

Web 保护是 Defender for Endpoint 的主要功能之一，它需要 VPN 才能提供该功能。使用的 VPN 是本地/环回 VPN，而不是传统 VPN，但有几个原因可能会导致客户不喜欢 VPN。不想设置 VPN 的客户可以选择禁用 Web 保护 ，并在不使用此功能的情况下部署 Defender for Endpoint。其他 Defender for Endpoint 功能将继续工作。

此配置适用于已注册的 (MDM) 设备和未注册的 (MAM) 设备。对于使用 MDM 的客户，管理员可以在应用配置中通过托管设备配置 Web 保护 。对于未注册的客户，使用 MAM，管理员可以在应用配置中通过托管应用配置 Web 保护 。

配置 Web 保护

禁用 Web 保护 (MDM) 使用以下步骤对已注册的设备禁用 Web 保护 。
- 在Microsoft Intune管理中心，转到“应用”>“应用配置策略>”“添加>托管设备”。
- 为策略指定一个名称 ，即平台 > iOS/iPadOS。
- 选择“Microsoft Defender for Endpoint”作为目标应用。
- 在“设置”页中，选择“使用配置设计器”，并将 “WebProtection ”添加为“ 字符串”作为键和值类型。
  - 默认情况下， WebProtection= true。
  - 管理员需要将 WebProtection 设置为 false 才能关闭 Web 保护。
  - 每当用户打开应用时，Defender 就会将检测信号发送到Microsoft Defender门户。
  - 选择“ 下一步 ”，并将此配置文件分配给目标设备/用户。
禁用 Web 保护 (MAM) 使用以下步骤对未注册的设备禁用 Web 保护 。
- 在Microsoft Intune管理中心，转到“应用”“应用>配置策略>”“添加>托管应用”。
- 为策略指定名称。
- 在“选择公共应用”下，选择“Microsoft Defender for Endpoint”作为目标应用。
- 在“设置”页的“常规配置设置”下，将 WebProtection 添加为键，将值添加为 false。
  - 默认情况下， WebProtection= true。
  - 管理员需要将 WebProtection 设置为 false 才能关闭 Web 保护。
  - 每当用户打开应用时，Defender 就会将检测信号发送到Microsoft Defender门户。
  - 选择“ 下一步 ”，并将此配置文件分配给目标设备/用户。

配置网络保护

默认情况下，终结点Microsoft Defender中的网络保护处于禁用状态。管理员可以使用以下步骤配置网络保护。此配置可用于通过 MDM 配置注册的设备，以及通过 MAM 配置取消注册的设备。

注意

只应为网络保护创建一个策略，即 MDM 或 MAM。

对于已注册的设备， (MDM)

请按照以下步骤为已注册设备设置 MDM 配置，以便进行网络保护。

在Microsoft Intune管理中心，导航到“应用”>“应用配置策略>”“添加>托管设备”。
提供策略的名称和说明。在 “平台”下，选择“ iOS/iPad”。
在目标应用中，选择“Microsoft Defender for Endpoint”。
在“设置”页中，选择“配置设置格式 ”“使用配置设计器”。
添加“DefenderNetworkProtectionEnable”作为配置键，将值类型添加为“String”，将值类型添加为“true”以启用网络保护。默认情况下， (网络保护处于禁用状态。)

对于与网络保护相关的其他配置，请添加以下密钥，选择相应的值类型和值。

键	值类型	默认 (true-enable、false-disable)	说明
`DefenderOpenNetworkDetection`	整数	0	1 - Audit，0 - 禁用 (默认) ,2 - 启用。此设置由 IT 管理员管理，用于分别审核、禁用或启用开放网络检测。在“审核”模式下，警报仅发送到 ATP 门户，没有最终用户体验。对于最终用户体验，请将配置设置为“启用”模式。
`DefenderEndUserTrustFlowEnable`	String	false	true - enable，false - disable;IT 管理员使用此设置启用或禁用最终用户应用内体验，以信任和不信任不安全的可疑网络。
`DefenderNetworkProtectionAutoRemediation`	String	true	true - enable，false - disable;IT 管理员使用此设置启用或禁用当用户执行修正活动（例如切换到更安全的 WIFI 接入点或删除 Defender 检测到的可疑证书）时发送的修正警报。
`DefenderNetworkProtectionPrivacy`	String	true	true - enable，false - disable;此设置由 IT 管理员管理，以启用或禁用网络保护中的隐私。

在“分配”部分中，管理员可以选择要从策略中包括和排除的用户组。
查看并创建配置策略。

对于未注册的设备， (MAM)

请按照以下步骤为未注册的设备设置 MAM 配置，以便进行网络保护 (验证器设备注册对于 iOS 设备中的 MAM 配置) 是必需的。网络保护初始化要求最终用户打开应用一次。

在Microsoft Intune管理中心，导航到“应用”“应用>配置策略>”“添加>托管应用>”Create新的“应用配置策略”。
提供用于唯一标识策略的名称和说明。然后选择“选择公共应用”，并为平台 iOS/iPadOS 选择“Microsoft Defender”。
在“设置”页上，添加 DefenderNetworkProtectionEnable 作为键，将值添加为 true 以启用网络保护。默认情况下， (网络保护处于禁用状态。)

对于与网络保护相关的其他配置，请添加以下密钥和相应的相应值。

键	默认 (true - enable，false - 禁用)	说明
`DefenderOpenNetworkDetection`	0	1 - Audit，0 - 禁用 (默认) ,2 - 启用。此设置由 IT 管理员管理，用于启用、审核或禁用开放网络检测。在审核模式下，警报仅发送到 ATP 门户，没有用户端体验。为了获得用户体验，请将配置设置为“启用”模式。
`DefenderEndUserTrustFlowEnable`	false	true - enable，false - disable;IT 管理员使用此设置启用或禁用最终用户应用内体验，以信任和不信任不安全的可疑网络。
`DefenderNetworkProtectionAutoRemediation`	true	true - enable，false - disable;IT 管理员使用此设置启用或禁用当用户执行修正活动（例如切换到更安全的 WIFI 接入点或删除 Defender 检测到的可疑证书）时发送的修正警报。
`DefenderNetworkProtectionPrivacy`	true	true - enable，false - disable;此设置由 IT 管理员管理，以启用或禁用网络保护中的隐私。

在 “分配” 部分中，管理员可以选择要从策略中包括和排除的用户组。
查看并创建配置策略。

多个 VPN 配置文件共存

Apple iOS 不支持多个设备范围的 VPN 同时处于活动状态。虽然设备上可以存在多个 VPN 配置文件，但一次只能有一个 VPN 处于活动状态。

在应用保护策略中配置Microsoft Defender for Endpoint风险信号 (MAM)

iOS 上的Microsoft Defender for Endpoint启用应用保护策略方案。最终用户可以直接从 Apple 应用商店安装最新版本的应用。确保设备使用用于在 Defender 中加入的同一帐户注册到 Authenticator，以便成功注册 MAM。

可以将Microsoft Defender for Endpoint配置为发送威胁信号，以在应用保护策略 (应用（也称为 iOS/iPadOS 上的 MAM) ）中使用。借助此功能，还可以使用 Microsoft Defender for Endpoint 来保护未注册设备对公司数据的访问。

按照以下链接中的步骤设置应用保护策略，Microsoft Defender for Endpoint在应用保护策略中配置 Defender 风险信号 (MAM)

有关 MAM 或应用保护策略的更多详细信息，请参阅 iOS 应用保护策略设置。

隐私控件

iOS 上的Microsoft Defender for Endpoint为管理员和最终用户启用隐私控制。这包括对已注册 (MDM) 和未注册 (MAM) 设备的控制。

对于使用 MDM 的客户，管理员可以在应用配置中通过托管设备配置隐私控制。对于未注册的客户，使用 MAM，管理员可以通过应用配置中的托管应用配置隐私控制。最终用户还可以通过 Defender 应用设置配置隐私设置。

在网络钓鱼警报报告中配置隐私

客户现在可以对Microsoft Defender for Endpoint在 iOS 上发送的网络钓鱼报告启用隐私控制，以便在检测到网络钓鱼网站并被Microsoft Defender for Endpoint阻止时，域名不会作为网络钓鱼警报的一部分包括在内。

管理员隐私控制 (MDM) 使用以下步骤启用隐私，而不是将域名作为已注册设备的钓鱼警报报告的一部分收集。
1. 在Microsoft Intune管理中心，转到“应用”>“应用配置策略>”“添加>托管设备”。
2. 为策略命名 平台 > iOS/iPadOS，选择配置文件类型。
3. 选择“Microsoft Defender for Endpoint”作为目标应用。
4. 在“设置”页上，选择“ 使用配置设计器 ”，并将 DefenderExcludeURLInReport 添加为 Boolean 类型的键和值类型。
  - 若要启用隐私而不收集域名，请输入值， true 并将此策略分配给用户。默认情况下，此值设置为 false。
  - 对于密钥设置为 true的用户，每当 Defender for Endpoint 检测到并阻止恶意站点时，网络钓鱼警报都不会包含域名信息。
5. 选择“ 下一步 ”，并将此配置文件分配给目标设备/用户。
管理员隐私控制 (MAM) 使用以下步骤启用隐私，而不是收集未注册设备的网络钓鱼警报报告的一部分。
1. 在Microsoft Intune管理中心，转到“应用”“应用>配置策略>”“添加>托管应用”。
2. 为策略指定名称。
3. 在“选择公共应用”下，选择“Microsoft Defender for Endpoint”作为目标应用。
4. 在“设置”页上的 “常规配置设置”下，添加 DefenderExcludeURLInReport 作为键，将值添加为 true。
  - 若要启用隐私而不收集域名，请输入值， true 并将此策略分配给用户。默认情况下，此值设置为 false。
  - 对于密钥设置为 true的用户，每当 Defender for Endpoint 检测到并阻止恶意站点时，网络钓鱼警报都不会包含域名信息。
5. 选择“ 下一步 ”，并将此配置文件分配给目标设备/用户。
最终用户隐私控制 这些控件可帮助最终用户配置共享给组织的信息。

对于受监督设备，最终用户控件不可见。管理员决定和控制设置。但是，对于非监督设备，控件显示在“设置隐私”>下。
- 用户会看到 “不安全站点信息”的切换。
- 仅当管理员设置了 DefenderExcludeURLInReport = true 时，此切换才可见。
- 如果由管理员启用，用户可以决定是否要将不安全的网站信息发送到其组织。
- 默认情况下，它设置为 false。不会发送不安全的站点信息。
- 如果用户将其切换为 true，则会发送不安全的网站详细信息。

打开或关闭上述隐私控制不会影响设备符合性检查或条件访问。

注意

在具有配置文件的受监督设备上，Microsoft Defender for Endpoint可以访问整个 URL，如果发现它是钓鱼，则会阻止它。在非监督设备上，Microsoft Defender for Endpoint只能访问域名，如果域不是钓鱼 URL，则不会阻止它。

可选权限

iOS 上的Microsoft Defender for Endpoint在载入流中启用可选权限。目前，在载入流程中，Defender for Endpoint 所需的权限是必需的。借助此功能，管理员可以在 BYOD 设备上部署 Defender for Endpoint，而无需在载入期间强制实施强制 VPN 权限 。最终用户可以在没有强制权限的情况下加入应用，以后可以查看这些权限。此功能目前仅适用于已注册 (MDM) 的设备。

配置可选权限

管理员流 (MDM) 使用以下步骤为已注册的设备启用可选 VPN 权限。
- 在Microsoft Intune管理中心，转到“应用”>“应用配置策略>”“添加>托管设备”。
- 为策略命名，选择“ 平台 > iOS/iPadOS”。
- 选择“Microsoft Defender for Endpoint”作为目标应用。
- 在“设置”页上，选择“ 使用配置设计器 ”，并将 DefenderOptionalVPN 添加为“ 布尔值”作为键和值类型。
  - 若要启用可选的 VPN 权限，请输入值作为 true 并将此策略分配给用户。默认情况下，此值设置为 false。
  - 对于将密钥设置为 true的用户，用户无需授予 VPN 权限即可加入应用。
- 选择“ 下一步 ”，并将此配置文件分配给目标设备/用户。
最终用户流 - 用户安装并打开应用以开始载入。
- 如果管理员已设置可选权限，则用户可以跳过 VPN 权限并完成载入。
- 即使用户已跳过 VPN，设备也能够载入，并发送检测信号。
- 如果禁用 VPN，则 Web 保护不处于活动状态。
- 稍后，用户可以从应用内启用 Web 保护，这将在设备上安装 VPN 配置。

注意

可选权限 不同于 禁用 Web 保护。可选 VPN 权限仅有助于在载入期间跳过权限，但最终用户可以稍后查看和启用该权限。禁用 Web 保护允许用户在没有 Web 保护 的情况下加入 Defender for Endpoint 应用。以后无法启用它。

越狱检测

Microsoft Defender for Endpoint能够检测越狱的非托管和托管设备。这些越狱检查是定期进行的。如果检测到设备已越狱，则会发生以下事件：

高风险警报将报告给Microsoft Defender门户。如果设备合规性和条件访问是基于设备风险评分设置的，则设备将阻止访问公司数据。
清除应用上的用户数据。当用户越狱后打开应用时，也会删除 VPN 配置文件，并且不提供 Web 保护。

针对越狱设备配置符合性策略

为了防止在已越狱的 iOS 设备上访问公司数据，我们建议你针对Intune设置以下合规性策略。

注意

越狱检测是 iOS 上的 Microsoft Defender for Endpoint 提供的一项功能。但是，建议将此策略设置为针对越狱方案的额外防御层。

按照以下步骤创建针对越狱设备的合规性策略。

在Microsoft Intune管理中心中，转到“设备>符合性策略>Create策略”。选择“iOS/iPadOS”作为平台，然后选择Create。
指定策略的名称，例如 越狱的合规性策略。
在“符合性设置”页中，选择以展开“设备运行状况”部分，然后选择“阻止越狱设备”字段。
在 “针对不符合的操作” 部分中，根据要求选择操作，然后选择“ 下一步”。
在 “分配” 部分中，选择要为此策略包含的用户组，然后选择“ 下一步”。
在“审阅+Create”部分中，验证输入的所有信息是否正确，然后选择“Create”。

配置自定义指示器

iOS 上的 Defender for Endpoint 使管理员能够在 iOS 设备上配置自定义指示器。有关如何配置自定义指示器的详细信息，请参阅管理指示器。

注意

iOS 上的 Defender for Endpoint 仅支持为 URL 和域创建自定义指示器。 iOS 不支持基于 IP 的自定义指示器。

对于 iOS，访问指示器中设置的 URL 或域时，Microsoft Defender XDR不会生成警报。

配置应用的漏洞评估

降低网络风险需要全面的基于风险的漏洞管理，以识别、评估、修正和跟踪最关键资产中的所有最大漏洞，所有这些漏洞都是在单个解决方案中实现的。请访问此页，详细了解Microsoft Defender for Endpoint中的Microsoft Defender 漏洞管理。

iOS 上的 Defender for Endpoint 支持 OS 和应用的漏洞评估。 iOS 版本的漏洞评估适用于已注册 (MDM) 和未注册 (MAM) 设备。应用的漏洞评估仅适用于已注册 (MDM) 设备。管理员可以使用以下步骤来配置应用的漏洞评估。

在受监督的设备上

确保设备在 “监督”模式下配置。
若要在 Microsoft Intune 管理中心启用此功能，请转到 Endpoint Security>Microsoft Defender for Endpoint>Enable App sync for iOS/iPadOS 设备。

注意

若要获取所有应用（包括非托管应用）的列表，管理员必须为标记为“个人”的受监督设备启用在Intune 管理员门户中在个人拥有的 iOS/iPadOS 设备上发送完整的应用程序清单数据。对于在Intune 管理员门户中标记为“公司”的受监督设备，管理员无需在个人拥有的 iOS/iPadOS 设备上启用“发送完整的应用程序清单数据”。

在非监督设备上

若要在 Microsoft Intune 管理中心启用此功能，请转到 Endpoint Security>Microsoft Defender for Endpoint>Enable App sync for iOS/iPadOS 设备。
若要获取包括非托管应用在内的所有应用的列表，请启用切换“ 在个人拥有的 iOS/iPadOS 设备上发送完整应用程序清单数据”。
使用以下步骤配置隐私设置。
- 转到 “应用”>“应用配置策略>”“添加>托管设备”。
- 为策略指定一个名称 ，即平台>iOS/iPadOS。
- 选择“Microsoft Defender for Endpoint”作为目标应用。
- 在“设置”页中，选择“使用配置设计器”，并将 DefenderTVMPrivacyMode 添加为“ 字符串”作为键和值类型。
  - 若要禁用隐私并收集已安装的应用列表，请输入值作为 False 并将此策略分配给用户。
  - 默认情况下，对于无监督设备，此值设置为 True 。
  - 对于密钥设置为 False的用户，Defender for Endpoint 将发送设备上安装的应用列表，以便进行漏洞评估。
- 单击“ 下一步 ”，并将此配置文件分配给目标设备/用户。
- 打开或关闭上述隐私控制不会影响设备符合性检查或条件访问。
应用配置后，最终用户需要打开应用以批准隐私设置。
- 隐私审批屏幕仅适用于未监督的设备。
- 仅当最终用户批准隐私时，应用信息才会发送到 Defender for Endpoint 控制台。

将客户端版本部署到面向 iOS 设备后，将开始处理。在这些设备上发现的漏洞将开始显示在 Defender 漏洞管理仪表板中。完成处理可能需要几个小时 (最多 24 小时) 。尤其是要显示在软件清单中的整个应用列表。

注意

如果在 iOS 设备中使用 SSL 检查解决方案，请允许在商业 环境中列出 这些域名 securitycenter.windows.com () 和 GCC 环境中的 securitycenter.windows.us () TVM 功能。

禁用注销

iOS 上的 Defender for Endpoint 支持在应用中部署“无需注销”按钮，以防止用户注销 Defender 应用。这一点对于防止用户篡改设备非常重要。

此配置适用于已注册的 (MDM) 设备，以及未注册的 (MAM) 设备。管理员可以使用以下步骤配置“禁用注销”

配置禁用注销

对于已注册的设备 (MDM)

在Microsoft Intune管理中心中，导航到“应用”>“应用配置策略>”“添加>托管设备”。
为策略命名，选择“平台 > iOS/iPadOS”
选择“Microsoft Defender for Endpoint”作为目标应用。
在“设置”页中，选择“使用配置设计器”，并将 DisableSignOut 添加为“ 字符串”作为键和值类型。
默认情况下，DisableSignOut = false。
管理员需要使 DisableSignOut = true 才能禁用应用中的注销按钮。推送策略后，用户将不会看到“注销”按钮。
单击“下一步”，并将此策略分配给目标设备/用户。

对于未注册的设备， (MAM)

在Microsoft Intune管理中心，导航到“应用”“应用>配置策略>”“添加>托管应用”。
为策略指定名称。
在“选择公共应用”下，选择“Microsoft Defender for Endpoint”作为目标应用。
在“设置”页的“常规配置设置”下，将 DisableSignOut 添加为键，并将值添加为 true。
默认情况下，DisableSignOut = false。
管理员需要使 DisableSignOut = true 才能禁用应用中的注销按钮。推送策略后，用户将不会看到“注销”按钮。
单击“下一步”，并将此策略分配给目标设备/用户。

重要

此功能以公共预览版提供。以下信息与预发布产品有关，在商业发布之前，该产品可能会进行实质性修改。 Microsoft 对此处所提供的信息不作任何明示或默示的保证。

设备标记

iOS 上的 Defender for Endpoint 允许管理员通过Intune设置标记，允许在载入期间批量标记移动设备。管理员可以通过配置策略Intune配置设备标记，并将其推送到用户的设备。用户安装并激活 Defender 后，客户端应用会将设备标记传递到安全门户。设备标记针对设备清单中的设备显示。

此配置适用于已注册的 (MDM) 设备，以及未注册的 (MAM) 设备。管理员可以使用以下步骤配置设备标记。

配置设备标记