Steuern von ermittelten Apps mithilfe von Microsoft Defender for Endpoint

Microsoft Defender for Cloud Apps Defender for Cloud Apps in Microsoft Defender for Endpoint integrieren bietet eine nahtlose Lösung für Transparenz und Kontrolle über Schatten-IT. Unsere Integration ermöglicht es Defender for Cloud Apps Administratoren, den Zugriff von Endbenutzern auf Cloud-Apps zu blockieren, indem Defender for Cloud Apps App-Governance-Steuerelemente nativ in den Netzwerkschutz von Microsoft Defender for Endpoint integriert werden. Alternativ können Administratoren benutzer schonender warnen, wenn sie auf riskante Cloud-Apps zugreifen.

Defender for Cloud Apps verwendet das integrierte Nichtanktionierte App-Tag, um Cloud-Apps als unzulässig zu kennzeichnen, die sowohl auf den Seiten Cloud Discovery als auch im Cloud App-Katalog verfügbar sind. Weitere Informationen finden Sie unter "Sanktionieren oder Aufheben einer App". Indem Sie die Integration in Defender für Endpunkt aktivieren, können Sie den Zugriff auf nicht sanktionierte Apps mit einem einzigen Klick in Defender for Cloud Apps nahtlos blockieren.

Apps, die in Defender for Cloud Apps als nicht sanktioniert gekennzeichnet sind, werden automatisch mit Defender für Endpunkt synchronisiert. Genauer gesagt werden die Domänen, die von diesen nicht sanktionierten Apps verwendet werden, an Endpunktgeräte weitergegeben, um von Microsoft Defender Antivirus im Rahmen der Netzwerkschutz-SLA blockiert zu werden.

Voraussetzungen

• Eine der folgenden Lizenzen:

  • Defender for Cloud Apps + Endpunkt
  • Microsoft 365 E5

• Microsoft Defender Antivirus. Weitere Informationen finden Sie unter:

  • Echtzeitschutz aktiviert
  • In der Cloud bereitgestellter Schutz aktiviert
  • Netzwerkschutz aktiviert und für den Blockierungsmodus konfiguriert

• Eines der folgenden unterstützten Betriebssysteme:

  • Windows: Windows-Versionen 10 18.09 (RS5) BS Build 1776.3, 11 und höher
  • Android: Mindestversion 8.0: Weitere Informationen finden Sie unter: Microsoft Defender for Endpoint unter Android
  • iOS: Mindestversion 14.0: Weitere Informationen finden Sie unter: Microsoft Defender for Endpoint unter iOS
  • macOS: Mindestversion 11: Weitere Informationen finden Sie unter Netzwerkschutz für macOS.
  • Linux Systemanforderungen: Weitere Informationen finden Sie unter Netzwerkschutz für Linux

• Microsoft Defender for Endpoint eingebunden. Weitere Informationen finden Sie unter Defender for Cloud Apps mit Defender for Endpoint einbinden.

• Administratorzugriff zum Vornehmen von Änderungen an Defender for Cloud Apps. Weitere Informationen finden Sie unter Verwalten des Administratorzugriffs.

Aktivieren der Cloud-App-Blockierung mit Defender für Endpunkt

Führen Sie die folgenden Schritte aus, um die Zugriffssteuerung für Cloud-Apps zu aktivieren:

1. Wählen Sie im Microsoft Defender Portal die Option Einstellungen aus. Wählen Sie dann Cloud-Apps aus. Wählen Sie unter Cloud Discoverydie Option Microsoft Defender for Endpoint und dann App-Zugriff erzwingen aus.

   

   Hinweis

   Es kann bis zu 30 Minuten dauern, bis diese Einstellung wirksam wird.

2. Wechseln Sie Microsoft Defender XDR zu Einstellungen>Endpunkte>Erweiterte Features, und wählen Sie dann Benutzerdefinierte Netzwerkindikatoren aus. Informationen zu Netzwerkindikatoren finden Sie unter Erstellen von Indikatoren für IP-Adressen und URLs/Domänen.

   Wenn Sie benutzerdefinierte Netzwerkindikatoren aktivieren, können Sie Microsoft Defender Antivirus-Netzwerkschutzfunktionen nutzen, um den Zugriff auf einen vordefinierten Satz von URLs mithilfe von Defender for Cloud Apps zu blockieren, indem Sie Apps manuell sanktionieren oder deaktivieren, indem Sie App-Tags verwenden oder automatisch eine App-Ermittlungsrichtlinie erstellen.

   

Benutzer beim Zugriff auf blockierte Apps informieren und die Sperrseite anpassen

Administratoren können jetzt eine Support-/Hilfe-URL für Blockseiten konfigurieren und einbetten. Mit dieser Konfiguration können Administratoren Benutzer schulen, wenn sie auf blockierte Apps zugreifen. Benutzern wird auf Sperrseiten ein benutzerdefinierter Weiterleitungslink zu einer Unternehmensseite angezeigt, auf der Apps aufgeführt sind, deren Verwendung blockiert ist, sowie die erforderlichen Schritte, um eine Ausnahmegenehmigung zu erhalten. Endbenutzer werden zu dieser URL weitergeleitet, die vom Administrator konfiguriert wird, wenn sie auf der Blockseite auf "Supportseite besuchen" klicken.

Defender for Cloud Apps verwendet das integrierte Nicht sanktionierte App-Tag, um Cloud-Apps als für die Verwendung blockiert zu markieren. Das Tag ist auf den Seiten Cloud Discovery und Cloud-App-Katalog verfügbar. Durch Aktivieren der Integration in Defender für Endpunkt können Sie Benutzer nahtlos über Apps informieren, die für die Verwendung blockiert sind, und Schritte zum Schützen einer Ausnahme mit einem einzigen Klick in Defender for Cloud Apps.

Apps, die als Nicht sanktioniert gekennzeichnet sind, werden in der Regel innerhalb weniger Minuten automatisch mit den benutzerdefinierten URL-Indikatoren von Defender für Endpunkt synchronisiert. Genauer gesagt werden die von blockierten Apps verwendeten Domänen an Endpunktgeräte weitergegeben, um eine Nachricht von Microsoft Defender Antivirus innerhalb der SLA für den Netzwerkschutz bereitzustellen.

Einrichten der benutzerdefinierten Umleitungs-URL für die Blockseite

Verwenden Sie die folgenden Schritte, um eine benutzerdefinierte Hilfe-/Support-URL zu konfigurieren, die auf eine Unternehmenswebseite verweist, oder einen SharePoint-Link, in dem Sie Mitarbeiter darüber informieren können, warum sie am Zugriff auf die Anwendung gehindert wurden, und eine Liste der Schritte zum Sichern einer Ausnahme oder zum Freigeben der Unternehmenszugriffsrichtlinie bereitstellen können, um die Risikoakzeptanz Ihrer organization einzuhalten.

1. Wählen Sie im Microsoft Defender-Portal Einstellungen>Cloud Apps>Cloud Discovery>Microsoft Defender for Endpoint aus.

2. Wählen Sie in der Dropdownliste Warnungendie Option Information aus.

3. Geben Sie unter Benutzerwarnungen-Benachrichtigungs-URL>für blockierte Apps Ihre URL ein. Zum Beispiel:

   

Deaktivieren von Informationswarnungen für nicht sanktionierten App-Zugriff (Vorschau)

Wenn Benutzer auf eine nicht genehmigte App zugreifen, generiert Defender for Cloud Apps standardmäßig eine Informationswarnung. Um Warnungsgeräusche zu reduzieren und den SOC-Fokus in Microsoft Defender XDR zu verbessern, können Sie diese Warnungen mithilfe der Umschaltfläche Warnung für blockierten App-Zugriff generieren deaktivieren.

Wenn die Umschaltfläche deaktiviert ist:

• Defender for Cloud Apps beendet das Generieren von Warnungen für nicht genehmigten oder blockierten App-Zugriff.
• Vorhandene Warnungen werden nicht rückwirkend entfernt.
• Andere Cloud Discovery- oder Defender-Warnungen bleiben davon unberührt.
• Die Erzwingung der Sperrung funktioniert weiterhin wie erwartet.

So deaktivieren Sie Informationswarnungen:

1. Wählen Sie im Microsoft Defender-Portal Setup & Konfiguration>Einstellungen>Cloud Apps>Cloud Discovery>Microsoft Defender for Endpoint aus.
2. Suchen Sie den Schalter Warnung bei blockiertem App-Zugriff generieren.
3. Deaktivieren Sie die Umschaltfläche, um Informationswarnungen für blockierten App-Zugriff zu deaktivieren.

Blockieren von Apps für bestimmte Gerätegruppen

Führen Sie die folgenden Schritte aus, um die Nutzung für bestimmte Gerätegruppen zu blockieren:

1. Wählen Sie im Microsoft Defender Portal die Option Einstellungen aus. Wählen Sie dann Cloud-Apps aus. Wählen Sie dann unter Cloud-Ermittlungdie Option App-Tags aus, und wechseln Sie zur Registerkarte Bereichsbezogene Profile.

2. Wählen Sie Profil hinzufügen aus. Das Profil legt die Entitäten fest, die für das Blockieren/Aufheben der Blockierung von Apps vorgesehen sind.

3. Geben Sie einen beschreibenden Profilnamen und eine Beschreibung an.

4. Wählen Sie aus, ob es sich bei dem Profil um ein Include- oder Exclude-Profil handelt.

   • Einschließen: Nur der enthaltene Satz von Entitäten ist von der Zugriffserzwingung betroffen. Das Profil myContoso hat beispielsweise Include für die Gerätegruppen A und B. Das Blockieren von App Y mit dem Profil myContoso blockiert den App-Zugriff nur für die Gruppen A und B.

   • Ausschließen: Der ausgeschlossene Satz von Entitäten ist von der Zugriffserzwingung nicht betroffen. Beispielsweise ist für die Gerätegruppen A und B im Profil myContosoExclude festgelegt. Wenn App Y mit dem Profil myContoso blockiert wird, ist der App-Zugriff für die gesamte Organisation mit Ausnahme der Gruppen A und B blockiert.

5. Wählen Sie die relevanten Gerätegruppen für das Profil aus. Die aufgeführten Gerätegruppen werden aus Microsoft Defender for Endpoint abgerufen. Weitere Informationen finden Sie unter Erstellen einer Gerätegruppe.

6. Klicken Sie auf Speichern.

   

Führen Sie die folgenden Schritte aus, um eine App zu blockieren:

1. Navigieren Sie im Microsoft Defender-Portal unter Cloud-Apps zu Cloud Discovery, und wechseln Sie zur Registerkarte Ermittelte Apps.

2. Wählen Sie die App aus, die blockiert werden soll.

3. Markieren Sie die App als Nicht sanktioniert.

   

4. Um alle Geräte in Ihrem organization zu blockieren, wählen Sie im Dialogfeld Als nicht sanktioniert markieren?die Option Speichern aus. Um bestimmte Gerätegruppen für Ihre Organisationen zu blockieren, wählen Sie Ein Profil auswählen, um Gruppen in die Blockierung einzubeziehen oder von ihr auszuschließen. Wählen Sie dann das Profil aus, für das die App blockiert wird, und wählen Sie Speichern aus.

   

   Das Dialogfeld Als nicht sanktioniert markieren? wird nur angezeigt, wenn für Ihren Mandanten cloud-App-Blockierungen mit aktiviertem Defender für Endpunkt und Administratorzugriff zum Vornehmen von Änderungen vorhanden sind.

Benutzer beim Zugriff auf riskante Anwendungen informieren

Administratoren haben die Möglichkeit, Benutzer zu warnen, wenn sie auf riskante Apps zugreifen. Anstatt Benutzer zu blockieren, werden sie mit einer Meldung aufgefordert, die einen benutzerdefinierten Umleitungslink zu einer Unternehmensseite enthält, auf der Apps aufgeführt sind, die für die Verwendung genehmigt wurden. Die Warnaufforderung bietet Optionen für Benutzer, die Warnung zu umgehen und mit der App fortzufahren. Administratoren können auch die Anzahl der Benutzer überwachen, die die Warnmeldung umgehen.

Defender for Cloud Apps verwendet das integrierte Überwachungs-App-Tag, um Cloud-Apps als riskant zu kennzeichnen. Das Tag ist auf den Seiten Cloud Discovery und Cloud-App-Katalog verfügbar. Indem Sie die Integration in Defender für Endpunkt aktivieren, können Sie Benutzer nahtlos mit nur einem Klick auf Defender for Cloud Apps beim Zugriff auf überwachte Apps warnen.

Apps, die als Überwacht gekennzeichnet sind, werden in der Regel innerhalb weniger Minuten automatisch mit den benutzerdefinierten URL-Indikatoren von Defender für Endpunkt synchronisiert. Genauer gesagt werden die von überwachten Apps verwendeten Domänen an Endpunktgeräte weitergegeben, um eine Warnmeldung durch Microsoft Defender Antivirus innerhalb der SLA für den Netzwerkschutz bereitzustellen.

Einrichten der benutzerdefinierten Umleitungs-URL für die Warnmeldung

Verwenden Sie die folgenden Schritte, um eine benutzerdefinierte URL zu konfigurieren, die auf eine Unternehmenswebseite verweist, auf der Sie Mitarbeiter darüber informieren können, warum sie gewarnt wurden, und eine Liste mit alternativen genehmigten Apps bereitstellen können, die der Risikoakzeptanz Ihrer organization entsprechen oder bereits vom organization verwaltet werden.

1. Wählen Sie im Microsoft Defender Portal die Option Einstellungen aus. Wählen Sie dann Cloud-Apps aus. Wählen Sie unter Cloud Discoverydie Option Microsoft Defender for Endpoint aus.

2. Geben Sie im Feld Benachrichtigungs-URL Ihre URL ein.

   

Einrichten der Dauer für die Benutzerumgehung

Da Benutzer die Warnmeldung umgehen können, können Sie die folgenden Schritte ausführen, um zu konfigurieren, wie lange die Umgehung wirksam bleibt. Sobald die Dauer abgelaufen ist, werden Benutzer beim nächsten Zugriff auf die überwachte App mit der Warnmeldung aufgefordert.

1. Wählen Sie im Microsoft Defender Portal die Option Einstellungen aus. Wählen Sie dann Cloud-Apps aus. Wählen Sie unter Cloud Discoverydie Option Microsoft Defender for Endpoint aus.

2. Geben Sie im Feld Umgehungsdauer die Dauer (Stunden) der Benutzerumgehung ein.

   

Überwachen angewendeter App-Steuerelemente

Sobald Zugriffs-, Block- oder Umgehungssteuerelemente angewendet wurden, können Sie App-Nutzungsmuster für diese Steuerelemente mithilfe der folgenden Schritte überwachen.

1. Wechseln Sie im Microsoft Defender-Portal unter "Cloud Apps" zu "Cloud Discovery", und wechseln Sie dann zur Registerkarte "Ermittelte Apps". Verwenden Sie die ermittelten App-Abfragefilter, um die relevante überwachte App zu finden.
2. Wählen Sie den Namen der App aus, um die angewendeten App-Steuerelemente auf der Übersichtsseite der App anzuzeigen.

Nächste Schritte

Verwandte Videos

Wenn Probleme auftreten, helfen wir Ihnen gerne weiter. Um Unterstützung oder Support für Ihr Produktproblem zu erhalten, öffnen Sie ein Supportticket.