Defender for Endpoint Security Settings Management im Überblick

Einleitung

Dieser Post fasst Defender for Endpoint Security Settings Management zusammen, auch bekannt als Unified Settings Management. Er führt durch alle nötigen Schritte, um die Funktion zu verstehen, zu planen, einzurichten und zu nutzen. Zusätzlich gebe ich Empfehlungen für den Einsatz in der Praxis, Tipps und mehr. Es gibt schon einige gute Posts zu diesem Thema, aber ich wollte meine eigene Zusammenfassung schreiben, auch als Teil meines Lernprozesses.

Was ist Unified Settings Management?

Defender for Endpoint (MDE) ist ein cloudbasiertes Extended-Detection-and-Response-Produkt (XDR) im Microsoft-Cloud-Ökosystem. Security Settings Management ist eine Funktion davon.

Intune spielt für diese Funktion eine wichtige Rolle, denn Geräteverwaltung ist ursprünglich Intune vorbehalten. Geräteverwaltung heisst unter anderem Configuration Management: das Anwenden von Policies mit Einstellungen, um ein System zu konfigurieren.

Security Settings Management nutzt Intune-Konzepte, um Sicherheitseinstellungen auf Endpoints bzw. Geräte zu verteilen, ohne dass Intune nötig ist 😉 Das heisst: Mit dem Settings Management von Defender kannst du Policies auf Geräte verteilen, die nur Defender for Endpoint kennt. Kurz zusammengefasst:

1. Das Gerät ist nur in Microsoft Defender for Endpoint onboarded
2. In Defender for Endpoint konfigurierst du Security-Configuration-Policies
3. Defender for Endpoint wendet diese clientseitigen Security Policies auf diesen Systemen an

Vergleich der Verwaltungsoptionen 🧭

Es kann hilfreich sein, den Umfang der verschiedenen Verwaltungsszenarien zu verstehen.

Anwendungsfälle

Es gibt einige Szenarien, in denen Defender Security Settings Management die richtige Wahl ist, zum Beispiel:

• ☁️ Absichern rein über die Cloud: Wende Policies an und verwalte mit dem vollständig cloudbasierten Defender for Endpoint. Onboarded Geräte haben keine Abhängigkeiten.
• 🪶 Endpoints ohne Enrollment absichern: Es ist kein vollständiges Enrollment in Intune oder ein anderes MDM nötig. Jeder Endpoint kann diese Funktion erhalten, vom BYOD-Gerät bis zum Firmengerät, das (noch) nicht in Intune ist.
• 🛂 Endpoints ohne Domäne absichern: Geräte, besonders Server, können ausserhalb der Firmendomäne stehen, etwa in einer DMZ. Weil in dieser Zone kein anderes Management-System läuft, kannst du Security Settings Management nutzen und aus der Cloud konfigurieren.

Vorteile

Die Funktion bietet diese Vorteile:

• Nur das Onboarding in Defender for Endpoint ist nötig, kein Intune-Enrollment
• Vollständig cloudbasiert, keine Abhängigkeit von Netzwerk oder On-Premises-Ressourcen
• Einfache Konfiguration und Verwaltung
• Zentrales Monitoring der Einstellungen
• Plattformübergreifende Unterstützung

Voraussetzungen

• Lizenzen: Defender for Endpoint
• Rollen und RBAC: Security Administrator
• Unterstützte Plattformen: Windows 11, Windows Server, macOS, Linux
• Konnektivität: neuer Netzwerk-Endpoint *.dm.microsoft.com und idealerweise auch zu den Netzwerk-Endpoints von Intune und Defender
• Join-Status: Kein Join über Entra oder Hybrid nötig -> Synthetic Registration, mehr dazu. Geräte, die bereits gejoint sind, erfüllen die Voraussetzung.

Konzept

Schliessen

Intune und Defender for Endpoint arbeiten zusammen, um Endpoint Security Policies auf MDE-onboarded Geräten anzuwenden. Eine Besonderheit liegt in Schritt 2 und 3: Geräte erhalten in Intune einen Eintrag, damit sie mit Policies adressiert werden können. Ist ein Gerät noch nicht in Intune oder nicht vollständig in Entra ID registriert, wird automatisch ein sogenanntes Synthetic Object erzeugt. Das ist nichts anderes als eine Darstellung dieses reinen MDE-Geräts in Entra ID.

Synthetischer Endpoint in Entra

Schliessen

• Beachte die OS-Erkennung «Windows Server», die neu ist
• Beachte den Wert bei Security Settings Management: Er zeigt, dass es Defender for Endpoint ist

MDE-verwalteter Endpoint in Intune

Schliessen

• Beachte den Wert bei «Managed by»: «MDE»
• Remote-Aufgaben sind nicht möglich, das Monitoring der Policy-Zuweisung dagegen schon

Unterstützte Profile pro Plattform

Einrichtung

Tenant-Einstellungen aktivieren

Zuerst müssen wir das Tenant-Feature Unified Security Settings Management sowohl in Intune als auch in Defender for Endpoint aktivieren. An diesem Punkt sollte die grundlegende Verbindung schon bestehen, wie ich sie in diesem Post beschreibe:

The bridge from Intune to Defender for EndpointConnect Microsoft Intune and Defender for Endpoint step by step: enable the integration, onboard devices and use device risk in compliance policies.Oceanleaf · Niklas Tinner

Intune

Gehe zu «Tenant administration > Connectors and tokens > Microsoft Defender for Endpoint» und aktiviere «Allow Microsoft Defender for Endpoint to enforce Endpoint Security Configurations».

Schliessen

Defender for Endpoint

Gehe zu «Settings > Endpoints > Enforcement scope», aktiviere «Use MDE to enforce security configuration settings from Intune» und aktiviere auch die gewünschten Plattformen. Wähle entweder alle Geräte oder nur getaggte Geräte.

Schliessen

Endpoint taggen

Wenn du Endpoints in MDE manuell taggst, musst du dieses Tag hinzufügen:

MDE-Management

Schliessen

Das Tag kommt auf die Endpoints, die mit Settings Management in Entra und Intune onboarded werden sollen (siehe oben).

Policies erstellen

Navigiere in Microsoft Defender zu «Configuration management > Endpoint security policies» und erstelle eine neue Policy.

Schliessen

Je nach Plattform und Template kannst du jetzt konfigurieren:

• Policy-Name (Empfehlung: MDE-EndpointSecurity-Type-Policyname)
• Konfiguration der Einstellungen: Konfiguriere die verfügbaren Einstellungen passend zu Plattform und Template
• Assignments: Einschliessen bzw. Ausschliessen von Entra-Sicherheitsgruppen > erstelle eine neue Gruppe und nimm die Endpoints auf, die du adressieren willst

Schliessen

Konfiguration der Einstellungen

Das Ziel ist, Endpoints mit Endpoint Security Policies auszustatten. Auch wenn nicht alle Templates bzw. Policy-Typen unterstützt werden, solltest du den bestmöglichen Schutz anstreben. Orientiere dich an Frameworks und Best Practices, um die Sicherheitskonfiguration passend zur Plattform anzuwenden. Mehr dazu liest du in meinem Blog-Post zu Security Baselines

Für plattformübergreifende Sicherheit empfehle ich diese Frameworks:

• Windows & Windows Server = Security Compliance Toolkit, STIG, CIS
• macOS = Security Compliance Project
• Linux = Guide to Infrastructure Hardening

Endpoints adressieren

Die Endpoints, die du mit Policies schützen willst, adressierst du wie gewohnt über das Einschliessen von Entra-Gruppen in den Policy-Assignments.

Wenn du die per MDE Settings Management onboarded Geräte dynamisch erkennen willst, schau dir diese Regel an:

Schliessen

Die Syntax der Regel für die dynamische Mitgliedschaft:

(device.managementType -eq "MicrosoftSense")

Monitoring

Das Sync-Intervall der Policies vom Endpoint zum MDE-Service beträgt 90 Minuten. Du kannst den Sync auch manuell als Remote Action im Endpoint-Inventar auslösen. Den Deployment-Status und die Anwendung der Einstellungen der Policy auf dem Endpoint überwachst du sowohl im Intune- als auch im Defender-Portal:

Was heisst das für Schweizer Firmen?

• Für KMU ohne Intune-Rollout, aber mit Defender for Endpoint, ist dieser Weg eine schlanke Möglichkeit, Security Policies auf Geräte zu bringen, ohne ein MDM einzuführen. Prüfe vorher, ob dein Lizenzpaket Defender for Endpoint enthält
• Server in einer DMZ oder ausserhalb der Domäne lassen sich so ebenfalls erreichen, ohne zusätzliche Verwaltungsinfrastruktur. Defender for Servers aus Defender for Cloud allein reicht dafür nicht, du brauchst mindestens eine Defender-for-Endpoint-Lizenz pro Benutzer
• Für IT-Dienstleister mit mehreren Kunden-Tenants gilt: Die Einstellungen gelten pro Tenant: Trenne Gruppen und Tags pro Kunde sauber
• Kläre vor dem Rollout mit der Datenschutzverantwortlichen, in welcher Region die Daten von Defender for Endpoint liegen, falls das revDSG oder Kundenverträge einen Datenstandort fordern

OceanleafTechnology blog on Microsoft Cloud. Learn about cutting edge tech, explained simply & straightforward in quality focused blog posts.Oceanleaf · Niklas Tinner