Uç Nokta için Microsoft Defender'da cihaz denetimi ilkeleri

Şunlar için geçerlidir:

• Uç Nokta için Microsoft Defender Planı 1
• Uç Nokta için Microsoft Defender Planı 2
• İş için Microsoft Defender

Bu makalede cihaz denetim ilkeleri, kurallar, girişler, gruplar ve gelişmiş koşullar açıklanmaktadır. Temel olarak, cihaz denetim ilkeleri bir cihaz kümesi için erişimi tanımlar. Kapsamdaki cihazlar, dahil edilen cihaz gruplarının listesi ve dışlanan cihaz gruplarının listesi tarafından belirlenir. İlke, cihaz dahil edilen tüm cihaz gruplarında yer alıyorsa ve dışlanan cihaz gruplarından hiçbiri değilse geçerlidir. İlke uygulanmazsa, varsayılan zorlama uygulanır.

Varsayılan olarak cihaz denetimi devre dışıdır, bu nedenle tüm cihaz türlerine erişime izin verilir. Cihaz denetimi hakkında daha fazla bilgi edinmek için bkz. Uç Nokta için Microsoft Defender'de cihaz denetimi.

Varsayılan davranışı denetleme

Cihaz denetimi etkinleştirildiğinde, varsayılan olarak tüm cihaz türleri için etkinleştirilir. Varsayılan zorlama , İzin Ver'denReddet olarak da değiştirilebilir. Güvenlik ekibiniz, cihaz denetiminin koruduğu cihaz türlerini de yapılandırabilir. Aşağıdaki tabloda, çeşitli ayar bileşimlerinin erişim denetimi kararını nasıl değiştireceği gösterilmektedir.

Cihaz türleri yapılandırıldığında, Uç Nokta için Defender'daki cihaz denetimi diğer cihaz ailelerine yönelik istekleri yoksayar.

Daha fazla bilgi için aşağıdaki makalelere bakın:

• Intune ile cihaz denetimini dağıtma ve yönetme
• grup ilkesi ile cihaz denetimini dağıtma ve yönetme

İlkeler

Cihaz denetimi, cihazlara erişimi daha da geliştirmek için ilkeleri kullanır. İlke, bir dizi kural ve gruptır. Kuralların ve grupların tanımlanma şekli, aşağıdaki tabloda açıklandığı gibi yönetim deneyimleri ve işletim sistemleri arasında biraz değişiklik gösterir.

Kurallar ve gruplar Genel Benzersiz Kimlik (GUID) ile tanımlanır. Cihaz denetimi ilkeleri Intune dışında bir yönetim aracı kullanılarak dağıtılıyorsa GUID'lerin oluşturulması gerekir. Guid'leri PowerShell kullanarak oluşturabilirsiniz.

Şema ayrıntıları için bkz. Mac için JSON şeması.

Kullanıcılar

Cihaz denetimi ilkeleri kullanıcılara ve/veya kullanıcı gruplarına uygulanabilir.

Mac ve Windows'da Intune kullanılarak cihaz denetim ilkeleri, Entra Id'de tanımlanan kullanıcı gruplarına hedeflenebilir.

Windows'da bir kullanıcı veya kullanıcı grubu, ilkedeki bir girdinin koşulu olabilir.

Kullanıcı veya kullanıcı gruplarına sahip girişler, Entra Kimliği'nden veya yerel bir Active Directory'den nesnelere başvurabilir.

Kullanıcılar ve kullanıcı gruplarıyla cihaz denetimini kullanmak için en iyi yöntemler

• Windows'da tek bir kullanıcıya kural oluşturmak için, kuralda foreach kullanıcı koşuluna sahip Sidbir giriş oluşturun

• Windows'da ve Intune bir kullanıcı grubu için kural oluşturmak için, [rule] içindeki her kullanıcı grubu için bir Sid koşul içeren bir girdi oluşturun ve ilkeyi Intune bir makine grubuna hedefleyin ya da koşulsuz bir kural oluşturun ve ilkeyi kullanıcı grubuna Intune ile hedefleyin.

• Mac'te Intune kullanın ve ilkeyi Entra Id'deki bir kullanıcı grubuna hedefle.

Kurallar

Kural, dahil edilen grupların listesini ve dışlanan grupların listesini tanımlar. Kuralın uygulanabilmesi için cihazın dahil edilen tüm gruplarda olması ve dışlanan gruplardan hiçbirinin olmaması gerekir. Cihaz kuralla eşleşiyorsa, bu kuralın girişleri değerlendirilir. Giriş, istek koşullarla eşleşiyorsa uygulanan eylem ve bildirim seçeneklerini tanımlar. Kural uygulanmazsa veya istekle eşleşen giriş yoksa, varsayılan zorlama uygulanır.

Örneğin, bazı USB cihazları için yazma erişimine ve diğer tüm USB cihazları için okuma erişimine izin vermek için, aşağıdaki ilkeleri, grupları ve girişleri varsayılan zorlamayı reddedecek şekilde ayarlayın.

Kuralın adı portalda raporlama için ve kullanıcılara bildirimde görünür, bu nedenle kurallara açıklayıcı adlar verdiğinizden emin olun.

Intune'da ilkeleri düzenleyerek, Windows'da XML dosyası kullanarak veya Mac'te JSON dosyası kullanarak kuralları yapılandırabilirsiniz. Daha fazla ayrıntı için her sekmeyi seçin.

<PolicyRule Id="{75a4e33a-5268-4552-bef2-e34dd0c39cb1}">
  <Name>Read Only Access for USBs</Name>
  <IncludedIdList>
      <GroupId>{3f5253e4-0e73-4587-bb9e-bb29a2171694}</GroupId>
  </IncludedIdList>
  <ExcludedIdList>
      <GroupId>{3f5253e4-0e73-4587-bb9e-bb29a2171695}</GroupId>
  </ExcludedIdList>
  <Entry Id="{e3837e60-5e56-43ce-8095-043ccd793eac}">
   ...
  </Entry>
  <Entry Id="{34413b98-8198-4e16-accf-c95c3c775ba3}">
    ...
  </Entry>
</PolicyRule> 

{
      "id": "75a4e33a-5268-4552-bef2-e34dd0c39cb1",
      "name": "Read Only Access for USBs",
      "includeGroups": [
        "3f5253e4-0e73-4587-bb9e-bb29a2171694"
      ],
      "includedGroups":[
         "3f5253e4-0e73-4587-bb9e-bb29a2171695"
      ]
      "entries": [
        ...
      ]
    } 

Giriş

Cihaz denetimi ilkeleri, bir cihaz kümesi için erişimi (giriş olarak adlandırılır) tanımlar. Girdiler, ilkeyle ve girdide tanımlanan koşullarla eşleşen cihazlar için eylem ve bildirim seçeneklerini tanımlar.

Giriş değerlendirmesi

İki tür girdi vardır: zorlama girdileri (İzin Ver/Reddet) ve denetim girdileri (AuditAllow/AuditDeny).

Bir kural için zorlama girişleri, istenen tüm izinler eşleştirilene kadar sırayla değerlendirilir. Bir kuralla eşleşen girdi yoksa, sonraki kural değerlendirilir. Hiçbir kural eşleşmiyorsa varsayılan değer uygulanır.

Denetim girdileri

Denetim olayları, cihaz denetimi bir kuralı (izin ver/reddet) zorladığında davranışı denetler. Cihaz denetimi son kullanıcıya bir bildirim görüntüleyebilir. Kullanıcı, cihaz denetim ilkesinin adını ve cihazın adını içeren bir bildirim alır. İlk erişim reddedildikten sonra bildirim saatte bir görüntülenir.

Cihaz denetimi, Gelişmiş Avcılık'ta kullanılabilen bir olay da oluşturabilir.

Koşul -ları

Giriş aşağıdaki isteğe bağlı koşulları destekler:

• Kullanıcı/Kullanıcı Grubu Koşulu: Eylemi yalnızca SID tarafından tanımlanan kullanıcı/kullanıcı grubuna uygular

• Makine Koşulu: Eylemi yalnızca SID tarafından tanımlanan cihaza/gruba uygular
• Parametre Koşulu: Eylemi yalnızca parametreler eşleşiyorsa uygular (Bkz. Gelişmiş Koşullar)

Girdilerin kapsamı belirli kullanıcılar ve cihazlar için daha ayrıntılı olabilir. Örneğin, yalnızca bu cihazda bu kullanıcı için bu USB'lere okuma erişimine izin verin.

Eylemin uygulanabilmesi için girişteki tüm koşulların doğru olması gerekir.

Intune, Windows'da xml dosyası veya Mac'teki bir JSON dosyası kullanarak girdileri yapılandırabilirsiniz. Daha fazla ayrıntı için her sekmeyi seçin.

  <Entry Id="{e3837e60-5e56-43ce-8095-043ccd793eac}">
    <Type>Allow</Type>
    <Options>0</Options>
    <AccessMask>1</AccessMask>
  </Entry> 

{
          "$type": "generic",
          "id": "e3837e60-5e56-43ce-8095-043ccd793eac",
          "enforcement": {
            "$type": "allow"
          },
          "access": [
            "generic_read"
          ]
} 

Gruplar

Gruplar nesneleri özelliklerine göre filtreleme ölçütleri tanımlayın. Özellikleri grup için tanımlanan özelliklerle eşleşiyorsa, nesne gruba atanır.

Örneğin:

• İzin verilen USB'ler, bu üreticilerin herhangi biriyle eşleşen tüm cihazlardır
• Kayıp USB'ler bu seri numaralarından herhangi biriyle eşleşen tüm cihazlardır
• İzin verilen yazıcılar, bu VID/PID'lerden herhangi biriyle eşleşen tüm cihazlardır

Özellikler dört yolla eşleştirilebilir: MatchAll, MatchAny, MatchExcludeAllve MatchExcludeAny

• MatchAll: Özellikler bir "Ve" ilişkisidir; örneğin, yönetici bağlı her USB için ve InstancePathIDeklerse DeviceID sistem USB'nin her iki değeri de karşılayıp karşılamadığını denetler.
• MatchAny: Özellikler bir "Or" ilişkisidir; örneğin, yönetici bağlı her USB için DeviceID ve InstancePathID'yi koyarsa, USB'nin özdeş DeviceID veya InstanceID değere sahip olduğu sürece sistem zorlar.
• MatchExcludeAll: Özellikler bir "Ve" ilişkisidir, UYMAYAN tüm öğeler kapsanmıştır. Örneğin, yönetici DeviceIDInstancePathID bağlı her USB için ve kullanırsa MatchExcludeAll, USB'nin hem özdeş DeviceIDInstanceID hem de değere sahip olmadığı sürece sistem zorlar.
• MatchExcludeAny: Özellikler bir "Veya" ilişkisidir, uymayan tüm öğeler kapsanmıştır. Örneğin, yönetici bağlı her USB için öğesini koyar DeviceID ve kullanırsaMatchExcludeAny, USB'nin özdeş DeviceID veya InstanceID değere sahip olmadığı sürece InstancePathID sistem zorlar.

Gruplar iki şekilde kullanılır: kuralları dahil etmek/dışlamak için cihazları seçmek ve gelişmiş koşullar için erişimi filtrelemek. Bu tabloda grup türleri ve bunların nasıl kullanıldığı özetlenmiştir.

dahil edilen grupların listesi ve dışlanan grupların listesi tarafından belirlenen ilke kapsamındaki cihazlar. Cihaz tüm dahil edilen gruplarda yer alıyorsa ve dışlanan gruplardan hiçbiri değilse bir kural geçerlidir. Gruplar, cihazların özelliklerinden oluşturulabilir. Aşağıdaki özellikler kullanılabilir:

Cihaz özelliklerini belirlemek için Windows Aygıt Yöneticisi kullanma

Windows cihazları için Aygıt Yöneticisi kullanarak cihazların özelliklerini anlayabilirsiniz.

1. Aygıt Yöneticisi açın, cihazı bulun, Özellikler'e sağ tıklayın ve ayrıntılar sekmesini seçin.

2. Özellik listesinde Cihaz örneği yolu'nu seçin.

   Cihaz örneği yolu için gösterilen değer değeridir InstancePathId, ancak diğer özellikleri de içerir:

   • USB\VID_090C&PID_1000\FBH1111183300721
   • {BusId}\{DeviceId}\{SerialNumberId}

   Cihaz yöneticisindeki özellikler, aşağıdaki tabloda gösterildiği gibi cihaz denetimiyle eşleniyor:

   Aygıt Yöneticisi	Cihaz Denetimi
   Donanım Kimlikleri	HardwareId
   Kolay ad	FriendlyNameId
   Ebeveyn	VID_PID
   DeviceInstancePath	InstancePathId

Cihazların özelliklerini belirlemek için raporları ve gelişmiş avcılığı kullanma

Cihaz özellikleri, gelişmiş avcılıkta biraz farklı etiketlere sahiptir. Aşağıdaki tablo portaldaki etiketleri bir cihaz denetimi ilkesindeki ile propertyId eşler.

Intune, Windows'da XML veya Mac'te JSON'da grupları yapılandırma

Intune'da, Windows için XML dosyası kullanarak veya Mac'te JSON dosyası kullanarak grupları yapılandırabilirsiniz. Daha fazla ayrıntı için her sekmeyi seçin.

<Group Id="{3f5253e4-0e73-4587-bb9e-bb29a2171694}">
  <MatchType>MatchAny</MatchType>
  <DescriptorIdList>
   ...
  </DescriptorIdList>
</Group> 

    {
      "$type": "device",
      "id": "3f5253e4-0e73-4587-bb9e-bb29a2171694",
      "query": {
        "$type": "or",
        "clauses": [
    ...
        ]
      }
    } 

"query": {
        "$type": "or",
        "clauses": [
          {
            "$type": "serialNumber",
            "value": "FBH1111183300731"
          }
        ]
      } 

"query": {
    "$type":"not",
        "query": {
                    "$type": "or",
                    "clauses": [
                          {
                            "$type": "serialNumber",
                            "value": "FBH1111183300731"
                          }
                    ]
              }

} 

Gelişmiş koşullar

Girişler parametrelere göre daha da kısıtlanabilir. Parametreler, cihazın ötesine giden gelişmiş koşullar uygular. Gelişmiş koşullar, değerlendirilen Ağ, VPN Bağlantısı, Dosya veya Yazdırma İşi temelinde ayrıntılı denetime olanak tanır.

Ağ Koşulları

Aşağıdaki tabloda ağ grubu özellikleri açıklanmaktadır:

Bu özellikler, Ağ türündeki bir grubun DescriptorIdList öğesine eklenir. İşte örnek bir kod parçacığı:

<Group Id="{e5f619a7-5c58-4927-90cd-75da2348a30a}" Type="Network" MatchType="MatchAll">
    <DescriptorIdList>
        <NetworkCategoryId>Public</PathId>
        <NetworkDomainId>NonDomain</PathId>
    </DescriptorIdList>
</Group>

Ardından aşağıdaki kod parçacığında gösterildiği gibi gruba girişte parametre olarak başvurulur:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <Network MatchType="MatchAny">
                   <GroupId>{ e5f619a7-5c58-4927-90cd-75da2348a30a }</GroupId>
            </Network>
      </Parameters>
   </Entry>

VPN Bağlantı Koşulları

Aşağıdaki tabloda VPN bağlantı koşulları açıklanmaktadır:

Bu özellikler, aşağıdaki kod parçacığında gösterildiği gibi VPNConnection türünde bir grubun DescriptorIdList öğesine eklenir:

    <Group Id="{d633d17d-d1d1-4c73-aa27-c545c343b6d7}" Type="VPNConnection">
        <Name>Corporate VPN</Name>
        <MatchType>MatchAll</MatchType>
        <DescriptorIdList>
            <NameId>ContosoVPN</NameId>
            <VPNServerAddressId>contosovpn.*.contoso.com</VPNServerAddressId>
            <VPNDnsSuffixId>corp.contoso.com</VPNDnsSuffixId>
            <VPNConnectionStatusId>Connected</VPNConnectionStatusId>
        </DescriptorIdList>
    </Group>

Ardından aşağıdaki kod parçacığında gösterildiği gibi gruba bir girdide parametre olarak başvurulur:

       <Entry Id="{27c79875-25d2-4765-aec2-cb2d1000613f}">
          <Type>Allow</Type>
          <Options>0</Options>
          <AccessMask>64</AccessMask>
          <Parameters MatchType="MatchAny">
            <VPNConnection>
                    <GroupId>{d633d17d-d1d1-4c73-aa27-c545c343b6d7}</GroupId>
            </VPNConnection>
        </Parameters>
       </Entry>

Ardından aşağıdaki kod parçacığında gösterildiği gibi gruba bir girdide parametre olarak başvurulur:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <File MatchType="MatchAny">
                   <GroupId>{ e5f619a7-5c58-4927-90cd-75da2348a30f }</GroupId>
            </File>
      </Parameters>
   </Entry>

Yazdırma İşi Koşulları

Aşağıdaki tabloda grup özellikleri açıklanmaktadır PrintJob :

Bu özellikler, aşağıdaki kod parçacığında DescriptorIdList gösterildiği gibi türündeki PrintJobbir gruba eklenir:

<Group Id="{e5f619a7-5c58-4927-90cd-75da2348a30b}" Type="PrintJob" MatchType="MatchAny">
    <DescriptorIdList>
        <PrintOutputFileNameId>C:\Documents\*.pdf</PrintOutputFileNameId >
        <PrintDocumentNameId>*.xlsx</PrintDocumentNameId>
<PrintDocumentNameId>*.docx</PrintDocumentNameId>
    </DescriptorIdList>
</Group>

Ardından aşağıdaki kod parçacığında gösterildiği gibi gruba bir girdide parametre olarak başvurulur:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <PrintJob MatchType="MatchAny">
                   <GroupId>{e5f619a7-5c58-4927-90cd-75da2348a30b}</GroupId>
            </PrintJob>
      </Parameters>
   </Entry>

Sonraki adımlar

• cihaz denetimi olaylarını ve bilgilerini Uç Nokta için Microsoft Defender
• Microsoft Intune ile Uç Nokta için Microsoft Defender'de cihaz denetimini dağıtma ve yönetme
• grup ilkesi kullanarak Uç Nokta için Microsoft Defender'de cihaz denetimini dağıtma ve yönetme
• macOS için Cihaz Denetimi