Microsoft Defender AntiVirus mit Intune verwalten

Aber zumindest hinsichtlich der zentralen Administration kommt man in den Genuss vieler MDfE-Funktionen, wenn man die mit Windows ausgelieferte AntiVirus-Engine einfach in Intune verwaltet. Dies gilt insbesondere für die Aktivierung von Defender-Funktionen und die Überwachung des Virenschutzes.

Überwachung und Reports für Defender Antivirus

Unternehmen, die in Windows durchgängig Microsoft Defender Antivirus verwenden, benötigen eine effektive Möglichkeit zur Überwachung von wichtigen Ereignissen und zur Bericht­erstellung. PowerShell eignet sich für einfache Statusprüfungen mit dem Cmdlet Get-MpComputerStatus.

Es kann verschiedene Informationen abfragen, etwa zur Engine- und Produktversion, zu aktivierten Diensten und zu Anti-Spyware, den Zeitpunkt der letzten vollständigen Überprüfung oder zum Status der Verhaltens­überwachung.

Der Einsatz von PowerShell ist etwas umständlich und nicht skalierbar, wenn Sie zahlreiche Endpunkte innerhalb und außerhalb Ihres Netzwerks haben.

Überwachung mit Microsoft Endpoint Manager

Für Geräte, die in Microsoft Endpoint Manager mit Intune verbunden sind, erhalten Sie umfangreiche Überwachungs- und Berichts­funktionen für Defender Antivirus. Das Dashboard für Endpunkt­sicherheit bietet einen Überblick über den Gerätebestand und den Status von des Antivirus-Programms.

Es zeigt zum Beispiel Clients mit ausstehenden Aufgaben wie Update der Signaturen, vollständigen Scans, Neustarts, manuellen Schritte oder Offline-Scans. Darüber hinaus informiert es über kritische Fehler, inaktive Agenten und den unbekannten Status.

Weitere Dashboards zeigen infizierte Endpunkte sowie aktive Malware an und erlauben so IT-Administratoren, Geräte mit kritischen Sicherheits­problemen schnell zu identifizieren. Über AV-Richtlinien kann man Einstellungen für die allgemeine Konfiguration von Defender Antivirus definieren.

Intune-Reports

Intune bietet auch Berichte für Compliance, SecOps und mehrere andere Zwecke. Wenn Sie im Admin Center von Microsoft Endpoint Manager zu Reports => Microsoft Defender Antivirus navigieren, dann finden sie in der Registerkarte Summary ähnliche Informationen wie im oben gezeigten Dashboard Endpoint Security => Antivirus.

Wenn Sie auf die Registerkarte Reports klicken, dann sehen Sie den Bericht zum Status des Antiviren-Agenten und den zu entdeckter Malware.

• Antiviren-Agentenstatus: Dieser Report zeigt unter anderem, welche Geräte über Echtzeit- oder Netzwerkschutz verfügen.
• Erkannte Malware: Dieser Bericht informiert über den Status von Geräten mit erkannter Malware und enthält Details zur Schad-Software.

In der folgenden Abbildung sehen wir den Statusbericht für den Antivirus-Agenten.

Sie können auch den Bericht über erkannte Malware ausführen, der alle gefundenen Schadprogramme und die Details der bösartigen Software anzeigt.

Beide Berichte verschaffen IT-Administratoren einen Überblick über den Security-Status der Endgeräte sowie über die in der Umgebung entdeckte Malware. Damit verfügen Sicherheits-Teams über die nötige Transparenz und die erforderlichen Tools zur Reaktion auf entsprechende Bedrohungen.

Defender-Engine und andere Einstellungen konfigurieren

Zusätzlich zu den Dashboards für die Überwachung von Defender Antivirus erlaubt Intune auch die Steuerung verschiedener Einstellungen der Scan-Engine. Admins können mithilfe von Konfigurations­profilen viele Aspekte des Scan-Verhaltens anpassen.

Um ein Konfigurations­profil anzulegen, wechselt man zu Endpoint Security => Antivirus und startet dort den entsprechenden Wizard. Dieser enthält zahlreiche Einstellungen, die man auch in den Gruppen­richtlinien findet, unter anderem diese:

• Archive scanning (Scannen von Archivdateien)
• Behavior monitoring (Aktivieren der Verhaltensüberwachung)
• Cloud protection (Erweiterte Cloudüberprüfung konfigurieren)
• Email scanning  (Aktivieren von E-Mail-Scans)
• Attachment scanning (Scannen aller heruntergeladenen Dateien und Anlagen)
• Potentially Unwanted Programs (Erkennung für potenziell unerwünschte Anwendungen)
• Real-time scanning (Deaktivieren von Echtzeitschutz)
• Allow full scan on mapped network drives (Ausführen eines vollständigen Scans auf zugeordneten Netzwerklaufwerken)

In der folgenden Abbildung konfigurieren wir den PUA-Schutz ("Erkennung für potenziell unerwünschte Anwendungen"), die Richtung für den Echtzeit-Scan und den On-Access-Schutz.

Zusammenfassung

Microsoft Defender Antivirus ist eine leistungsstarke Antiviren-Lösung, die in aktuellen Versionen von Windows integriert ist. Die Bordmittel bieten jedoch nur limitierte Möglichkeiten für das zentrale Management des Virenschutzes. Das gilt besonders für das Monitoring und das Berichtswesen.

Microsoft füllt diese Lücke mit Microsoft Defender for Endpoint, wobei dieser Cloud-Service noch weitere Features bietet. Wer diesen nicht buchen möchte, der findet viele seiner Management-Funktionen in Microsoft Intune.

Admins erhalten damit mehrere Monitore für den Agentenstatus, gefundene Malware und andere Metriken sowie vorkonfigurierte Berichte. Darüber hinaus können sie mit Intune viele Einstellungen und das Verhaltens der Scan-Engine steuern.