Microsoft MD-102: Eindpuntbeveiliging en Microsoft Defender — Studiegids

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Endpoint Administrator Associate MD-102 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Endpointbeveiliging op Windows met Microsoft Intune is gecentreerd rond Microsoft Defender-technologieën die samenwerken: Defender Antivirus voor malwarepreventie, Defender Firewall voor hostgebaseerde netwerkcontrole, Attack Surface Reduction (ASR)-regels en Gecontroleerde mappentoegang om veelvoorkomende exploit- en ransomwaretechnieken te stoppen, en Microsoft Defender for Endpoint (MDE) voor detectie van en respons op bedreigingen op bedrijfsniveau. Intune biedt beleidscreatie, -toewijzing en -rapportage voor deze mogelijkheden, plus native controles voor BitLocker-schijfversleuteling en Windows Hello for Business (WHfB) om gegevens en identiteiten te beschermen. Deze sectie legt uit hoe u deze lagen end-to-end configureert, met precieze richtlijnen voor onboarding, beleidsontwerp en operationele best practices.

Microsoft Defender Antivirus, Attack Surface Reduction en Gecontroleerde mappentoegang

Defender Antivirus is de basis-antimalware-engine. Gebruik in Intune Endpoint security > Antivirus (voor Windows 10 en later) om het volgende te configureren:

Realtimebeveiliging: Houd realtimebeveiliging, gedragsmonitoring en cloudgebaseerde beveiliging ingeschakeld. Cloudbeveiliging met automatische sample-inzending verhoogt de detectiesnelheid en -dekking. Gebruik de MAPS/Cloud Protection level-instelling op “High” voor de snelste blokkeerbeslissingen.
Uitsluitingen: Voeg alleen gerichte uitsluitingen toe na het valideren van een false positive of een aantoonbare prestatie-impact. Ondersteunde uitsluitingstypen zijn bestands-/mappaden, bestandsextensies en processen. Geef de voorkeur aan uitsluitingen op procesniveau voor vertrouwde updaters om te voorkomen dat detecties op gedropte payloads worden omzeild. Vermijd brede extensies (bijvoorbeeld het recursief uitsluiten van .log) en netwerkshares, tenzij absoluut noodzakelijk; voer eerst een audit uit en verklein vervolgens de scope.
Scanschema’s: Configureer een dagelijkse snelle scan tijdens daluren en een wekelijkse volledige scan. Schakel “Inhaalscans” (Catch-up scans) in om gemiste scans uit te voeren. Beperk indien nodig de CPU-belasting van scans en schakel het scannen van archief- en e-mailbestanden in, in overeenstemming met de prestatiecapaciteit. Snelle scans moeten volledige scans aanvullen, niet vervangen.

Attack Surface Reduction-regels voorkomen veelvoorkomende acties van aanvallers, zelfs als de malware onbekend is:

Modi: Elke regel ondersteunt Block, Audit of Not configured. Begin in de Audit-modus om legitieme treffers te ontdekken, bekijk gebeurtenissen in Microsoft Defender XDR (Advanced Hunting: DeviceEvents met ActionType “Asr” of “AsrExecution”) en verplaats vervolgens geselecteerde regels naar Block. Sommige regels ondersteunen ook Warn; indien beschikbaar, gebruik Warn tijdelijk om verstoring te verminderen tijdens de overgang naar Block.
Kernregels om prioriteit aan te geven: Blokkeer het aanmaken van onderliggende processen door Office, blokkeer dat Office injecteert in andere processen, blokkeer uitvoerbare content uit e-mail/webmail, blokkeer diefstal van referenties uit LSASS, blokkeer het aanmaken van processen afkomstig van PSExec/WMI, en blokkeer persistentie via WMI-gebeurtenisabonnement.
Uitsluitingen: Gebruik waar nodig ASR-specifieke uitsluitingen (bestand, map of proces). Vertrouw niet op Defender AV-uitsluitingen voor ASR; configureer regelspecifieke of ASR-brede uitsluitingen in het Intune Attack surface reduction-beleid. Houd uitsluitingen beperkt en controleer ze regelmatig.

Gecontroleerde mappentoegang (CFA) beperkt ransomware door schrijfacties van niet-vertrouwde processen naar beveiligde mappen te beperken:

Statussen: Off, Audit of Block (Enabled). Gebruik Audit om een baseline vast te stellen en schakel vervolgens over naar Block wanneer de ruis onder controle is.
Beveiligde mappen: Systeembibliotheken (Documenten, Afbeeldingen, Bureaublad, etc.) zijn standaard beveiligd; voeg gegevenspaden van line-of-business-applicaties toe. Vermijd het beveiligen van tijdelijke of cachemappen met veel wijzigingen om false positives te minimaliseren.
Toegestane apps: Definieer toegestane apps expliciet met het volledige pad voor vertrouwde updaters en line-of-business-applicaties die legitiem naar beveiligde mappen schrijven. Houd deze lijst minimaal; geef de voorkeur aan consistentie van de uitgever in app-packaging om padafwijking te voorkomen.
Monitoring: Controleer CFA-blokkades in de Defender-portal en Intune-rapporten om de acceptatielijst (allow list) te finetunen.

Microsoft Defender Firewall: Profielen en Regels

Defender Firewall is een stateful hostfirewall met drie profielen—Domain, Private en Public—die worden geselecteerd op basis van netwerklocatiebewustzijn:

Profielen: Domain is van toepassing wanneer het apparaat zich authenticeert bij een domeincontroller; Private is voor vertrouwde, door de gebruiker aangewezen netwerken; Public is de standaard voor niet-vertrouwde netwerken. Houd alle drie de profielen ingeschakeld en geconfigureerd; apparaten zwerven (roamen).
Basisconfiguratie: Blokkeer inkomend verkeer standaard. Sta alleen vereiste inkomende services toe via expliciete regels (op basis van programma, service, poort/protocol en interfacetype). Uitgaand verkeer kan standaard worden toegestaan met gerichte blokkeerregels, of u kunt toewerken naar het regelen van uitgaand verkeer via een acceptatielijst (allow list) voor hoogbeveiligde segmenten.
Intune-beleid: Gebruik Endpoint security > Firewall om instellingen op profielniveau te configureren (aan/uit, standaard voor inkomend/uitgaand, logging, stealth-modus, meldingen) en om inkomende/uitgaande regels te implementeren. Schakel het samenvoegen van lokale regels uit waar u een strikt beleid moet afdwingen; schakel anders het samenvoegen in om tools voor probleemoplossing toe te staan tijdens overgangsfasen.
Regelhygiëne: Veranker regels waar mogelijk aan het pad van een programmabestand of een service-SID in plaats van aan kale poorten. Beperk de scope van regels tot specifieke externe IP’s/subnetten en schakel edge traversal uit, tenzij vereist. Gebruik afzonderlijke regels per profiel voor het minste privilege. Log gedropte pakketten en succesvolle verbindingen om te helpen bij incidentrespons en tuning.

Microsoft Defender for Endpoint onboarding en EDR-integratie met Intune

Het onboarden van Windows 10/11-apparaten bij MDE wordt gestroomlijnd met Intune:

Connector: Schakel in het Intune admin center de Microsoft Defender for Endpoint-connector in. Deze integratie maakt compliance mogelijk op basis van apparaatrisico, stelt beveiligingstaken beschikbaar en maakt het beheer van beveiligingsinstellingen mogelijk.
Beleid: Maak een ‘Endpoint security > Endpoint detection and response (EDR)’-beleid aan voor Windows 10 en later. Schakel de sensor in, stel telemetrie/sample-inzending in als vereist en wijs dit toe aan Azure AD-apparaatgroepen. Deze onboarding-actie registreert het apparaat bij MDE en start het streamen van telemetrie naar Defender XDR.
EDR in blokkeermodus: Schakel EDR in blokkeermodus in via ‘Endpoint security > Antivirus’ voor apparaten die een niet-Microsoft primaire AV gebruiken (of zelfs met Defender actief om de beveiliging na een inbreuk te versterken). De blokkeermodus stopt kwaadaardige artefacten die door EDR zijn ontdekt, zelfs na de initiële compromittering.
Integratiepunten:
- Compliance en Conditional Access: Maak een apparaatcompliancebeleid aan dat een MDE-apparaatrisiconiveau van “Clear or Low” vereist. Koppel dit met Conditional Access om apparaten met een risico de toegang tot cloudresources te blokkeren.
- Beleid voor aanvalsoppervlakken: Configureer ASR, Network Protection en CFA vanuit Intune onder ‘Endpoint security > Attack surface reduction’. Als u MDE Security settings management gebruikt, zorg dan voor de juiste prioriteit en vermijd conflicterende beleidsregels.
- Respons: Start vanuit Defender XDR een live response, isolatie, onderzoek en herstel. Intune en MDE delen de apparaatidentiteit voor gecoördineerde acties zoals het vrijgeven uit quarantaine en beleidsverificatie.

Voor macOS, implementeer Microsoft Defender for Endpoint met behulp van Intune-configuratieprofielen en app-implementatie (PKG-installatie), en pas vervolgens de Defender-instellingen toe via voorkeursprofielen of de MDE-instellingencatalogus. Volg voor Linux en mobiele platforms platformspecifieke onboardingscripts of app-gebaseerde inschrijving, beheerd door Intune waar dit wordt ondersteund.

Schijf- en Identiteitsbeveiliging: BitLocker en Windows Hello for Business

BitLocker met Intune beschermt data-at-rest zonder frictie voor de gebruiker:

Stille activering: Gebruik Endpoint security > Disk encryption > BitLocker. Vereis encryptie van het OS-station met een TPM-only opstart om pre-boot prompts te vermijden, stel XTS-AES (128 of 256) in volgens uw standaard, verberg waarschuwingen van encryptie door derden en activeer stille encryptie voor vaste datastations indien nodig. Apparaten moeten voldoen aan hardware/firmware-vereisten (TPM, moderne BIOS/UEFI). Wijs toe aan Azure AD-gekoppelde apparaten vroeg in de levenscyclus (bijvoorbeeld via Autopilot) zodat de encryptie onmiddellijk start.
Key escrow: Configureer de back-up van herstelsleutels naar Azure AD. Verifieer de escrow door het apparaatobject in Entra ID (Azure AD) te controleren of via de “Mijn account”-portal van de gebruiker voor selfservice voor het ophalen van sleutels. Gebruik de Intune remote actie “BitLocker-sleutels roteren” na openbaarmaking van de sleutel of een vermoedelijke compromittering. Voor verwisselbare schijven, dwing BitLocker To Go af met een beleid voor herstelwachtwoorden.
Beheer: Monitor de encryptie- en compliancestatus in Intune-rapporten. Vermijd het inschakelen van een pre-boot pincode voor stille scenario’s; als een opstartpincode vereist is door beleid, communiceer en plan dan de gebruikersinteractie tijdens de enrollment.

Windows Hello for Business vervangt wachtwoorden door asymmetrische sleutels of certificaten die aan het apparaat zijn gekoppeld, ondersteund door een pincode of biometrie:

Implementatiebeheer: Configureer activering voor de hele tenant onder Windows enrollment > Windows Hello for Business en fijngranulaire instellingen via een apparaatconfiguratieprofiel (Identity protection) of een security baseline. Dwing het gebruik van biometrie af waar de hardware dit ondersteunt en vereis een TPM.
Vertrouwensmodellen:
- Cloud Kerberos trust: Aanbevolen voor hybride scenario’s die on-premise Kerberos SSO vereisen zonder PKI. Het gebruikt Azure AD als vertrouwensanker om Kerberos-tickets uit te geven voor on-prem resources. Vereist ondersteunde Windows-versies en domeincontrollers die geconfigureerd zijn voor Azure AD Kerberos. Minimale infrastructuur, snelste uitrol.
- Certificaatvertrouwen: Gebruikt gebruikers- of apparaatauthenticatiecertificaten van een enterprise CA (on-prem AD CS of cloud-uitgegeven) om SSO mogelijk te maken. Vereist PKI en certificaatdistributie (doorgaans via Intune SCEP/PKCS) en heeft de voorkeur wanneer smartcard-equivalentie en op certificaten gebaseerde toegangscontroles verplicht zijn.
PIN-complexiteit: Configureer minimale/maximale lengte, geschiedenis, vervaldatum en verhoogde complexiteit (alfanumeriek en speciale tekens). In tegenstelling tot wachtwoorden is de WHfB-pincode lokaal op het apparaat en wordt deze beschermd door TPM anti-hammering, waardoor kortere pincodes robuust kunnen blijven; zorg er wel voor dat u voldoet aan het organisatiebeleid en wettelijke vereisten.

Praktijkscenario

Starbucks moet 15.000 Windows 11-eindpunten in winkels en hoofdkantoren beveiligen (hardenen) tegen ransomware, wachtwoordloos aanmelden mogelijk maken en enterprise-grade detectie en respons verkrijgen, terwijl de verstoring voor gebruikers tijdens de uitrol wordt geminimaliseerd.

Verbind Intune met Microsoft Defender for Endpoint

Actie: Activeer in Intune de Microsoft Defender for Endpoint-connector en schakel de integratie van apparaatrisico’s in.
Waarom: Creëert een uniforme apparaatidentiteit, maakt compliance op basis van MDE-risico mogelijk en maakt het beheer van beveiligingsinstellingen mogelijk, wat de wildgroei van configuraties vermindert.

Onboard apparaten naar MDE met een EDR-beleid

Actie: Maak een Endpoint security > Endpoint detection and response-beleid, activeer de sensor, het delen van samples en stel een hoge telemetriefrequentie in voor pilotgroepen, gevolgd door een brede toewijzing.
Waarom: Start telemetrie en geavanceerde detectie snel zonder scripts te hoeven verpakken; sluit aan bij de op rollen gebaseerde toewijzing van Intune.

Stel antivirus-baselines en EDR in blokkeermodus in

Actie: Maak een Endpoint security > Antivirus-beleid met real-time protection, cloud protection op ‘High’, dagelijkse snelle/wekelijkse volledige scans, gerichte uitsluitingen en activeer EDR in blokkeermodus.
Waarom: Defender AV en EDR werken samen om bedreigingen te voorkomen en in te dammen; cloudbescherming versnelt het blokkeren van zero-day aanvallen; uitsluitingen blijven minimaal om hiaten in de dekking te voorkomen.

Implementeer Attack Surface Reduction en Controlled Folder Access

Actie: Implementeer het Attack surface reduction-beleid gedurende twee weken in Audit-modus (belangrijke ASR-regels en CFA Audit), bekijk de hits in Defender XDR, schakel vervolgens kritieke regels en CFA over naar Block-modus terwijl u naar behoefte precieze ASR- en CFA-toestemmingsregels toevoegt.
Waarom: Eerst auditen vermindert de verstoring van de bedrijfsvoering; de Block-modus blokkeert veelvoorkomende ransomware en living-off-the-land-technieken die traditionele AV omzeilen.

Vergrendel de host-firewall met profielbewuste regels

Actie: Gebruik Endpoint security > Firewall om alle profielen in te schakelen, blokkeer inkomend verkeer standaard, implementeer op rollen gebaseerde inkomende regels (gericht op programma/service), beperk uitgaand verkeer voor betalingssystemen en schakel het samenvoegen van lokale regels uit voor groepen met een hoog risico.
Waarom: Vermindert laterale beweging en verkleint aanvalspaden via openbare wifi en in-store netwerken; voorkomt lokale overschrijvingen waar het risico het hoogst is.

Activeer stille BitLocker met Azure AD key escrow

Actie: Implementeer Endpoint security > Disk encryption met TPM-only OS-drive encryptie, XTS-AES 256, stille encryptie van vaste stations en verplichte back-up van sleutels naar Azure AD; voeg een runbook voor de helpdesk toe om sleutels vanuit Intune te roteren na het ophalen.
Waarom: Realiseert at-rest-bescherming zonder prompts voor de gebruiker; garandeert herstelbaarheid en ondersteunt selfservice-toegang tot sleutels voor buitendienstmedewerkers.

Rol Windows Hello for Business (cloud Kerberos trust) uit

Actie: Activeer WHfB voor de hele tenant, configureer een Identity protection-profiel voor PIN-complexiteit en biometrie, en implementeer Cloud Kerberos trust voor hybride SSO; reserveer certificaatvertrouwen alleen voor teams die smartcard-equivalentie vereisen.
Waarom: Elimineert wachtwoorden op grote schaal, levert naadloze SSO voor on-prem resources zonder de complexiteit van PKI en voldoet aan de compliance voor gevoelige rollen wanneer certificaatvertrouwen vereist is.

Dwing toegang af met Conditional Access op basis van apparaatrisico

Actie: Maak een compliancebeleid dat een MDE-apparaatrisico van “Clear or Low” vereist, en een Conditional Access-beleid dat die vereiste afdwingt voor Microsoft 365 en back-endportals voor betalingen.
Waarom: Isoleert automatisch gecompromitteerde of risicovolle apparaten, waarbij de beveiligingsstatus wordt afgestemd op de toegang tot kritieke diensten.

Operationaliseer met rapportage en respons

Actie: Gebruik Intune-rapporten voor apparaatcompliance en encryptie, Defender XDR-meldingen en Advanced Hunting voor ASR/CFA-telemetrie; definieer playbooks voor isolatie, onderzoek en herstel.
Waarom: Zorgt voor continue zichtbaarheid en snelle respons, en sluit zo de cirkel tussen preventie, detectie en governance.

← Applicatiebeheer en implementatie · Alle domeinen · Identiteit →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →