iOS beveiligen met Defender for Endpoint: zero-touch onboarding

Een medewerker opent op zijn iPhone een link uit een sms, of verbindt in de trein met een open wifi-netwerk. Dat apparaat heeft toegang tot zakelijke mail en bestanden, maar zonder extra bescherming weet je als beheerder niet of het risico loopt.

Microsoft Defender for Endpoint is de Mobile Threat Defense (MTD)-oplossing van Microsoft voor iOS en Android, en werkt samen met Microsoft Intune. In deze blogpost lees je hoe je iOS-apparaten met zo weinig mogelijk handwerk van de gebruiker in Defender for Endpoint onboardt, zowel supervised als unsupervised met Device Enrollment, en hoe je het risiconiveau van een apparaat gebruikt in compliance en App Protection Policies.

Wat is Mobile Threat Defense met Defender for Endpoint?

Defender for Endpoint op iOS en Android beschermt mobiele apparaten met onder andere:

• Web Protection: anti-phishing en custom indicators voor URL’s en domeinen. IP-indicators worden op iOS niet ondersteund.
• Network Protection: herkenning van onveilige wifi-netwerken en verdachte certificaten.
• Jailbreak Detection: een gejailbreakt apparaat levert een melding met hoog risico op in de Microsoft Defender portal.
• Vulnerability management: kwetsbaarheden in iOS en, op ingeschreven apparaten, in apps.

Op een unsupervised apparaat gebruikt Web Protection een lokale VPN. Die stuurt geen verkeer buiten het apparaat. Op een supervised apparaat kan een Control Filter-profiel die rol overnemen, zodat er geen VPN nodig is.

Wat heb je nodig?

• Een Defender for Endpoint-licentie per gebruiker en een abonnement met Microsoft Intune.
• iOS-apparaten die in Intune zijn ingeschreven. Zero-touch onboarding werkt op supervised apparaten (Automated Device Enrollment of Apple Configurator) en op unsupervised apparaten met Device Enrollment.
• In Intune: de rollen Application Manager en Policy and Profile Manager voor de app en de profielen, en Endpoint Security Manager voor de koppeling met Defender for Endpoint.
• Om de koppeling in de Defender portal aan te zetten: de rol Security Administrator in Microsoft Entra ID, of in Defender for Endpoint de permissie Manage security settings in Windows Security Center.
• Om de apparaten in de Defender portal te bekijken: in Microsoft Defender XDR Unified RBAC de permissie Security operations \ Security data \ Security data basics (read), of View data als je organisatie nog de oudere RBAC van Defender for Endpoint gebruikt.
• Voor het Conditional Access-beleid: rechten gelijk aan de rol Conditional Access Administrator.

💡 Let op: zero-touch onboarding werkt niet op apparaten die zonder gebruikersaffiniteit zijn ingeschreven, zoals gedeelde apparaten, en ook niet bij Apple User Enrollment.

Verbind Defender for Endpoint met Intune

De koppeling tussen beide diensten stel je één keer per tenant in. Zie Configure Microsoft Defender for Endpoint with Intune.

1. Open de Microsoft Defender portal en navigeer naar Settings > Endpoints > General > Advanced features.
2. Zet Microsoft Intune connection op On en klik op Save preferences.

3. Open het Microsoft Intune admin center en navigeer naar Endpoint security > Microsoft Defender for Endpoint. Na maximaal 15 minuten staat Connection status op Enabled.
4. Zet onder Compliance policy evaluation de optie Connect iOS/iPadOS devices to Defender for Endpoint op On.
5. Zet onder App protection policy evaluation dezelfde optie voor iOS/iPadOS op On als je het risico ook in App Protection Policies wilt gebruiken.
6. Klik op Save.

Voeg de Microsoft Defender-app toe aan Intune

Sla deze stap over als je de app al als volume-purchased app (VPP) uitrolt.

1. Navigeer naar Apps > All apps en klik op Create.
2. Kies als platform iOS/iPadOS en als app type iOS store app.
3. Klik op Search the App Store, zoek op “Defender” en selecteer Microsoft Defender: Security.
4. Zet Minimum operating system op iOS 17.0, zoals Microsoft in de installatiehandleiding aangeeft.
5. Wijs de app als Required toe aan je gebruikers, zodat Intune hem installeert. Met Available for enrolled devices moet de gebruiker de app zelf uit de Company Portal installeren (apps toewijzen in Intune). Klik op Create.

Stel zero-touch onboarding in voor unsupervised apparaten

Met zero-touch onboarding zet Intune een VPN-profiel op het apparaat waardoor Defender for Endpoint zich op de achtergrond activeert. Voor supervised apparaten gebruik je de volgende sectie.

1. Navigeer naar Devices > Configuration, tabblad Policies, en klik op Create > New policy.
2. Kies Platform iOS/iPadOS, Profile type Templates en Template name VPN. Geef het profiel een naam, bijvoorbeeld “iOS – Defender for Endpoint – Zero Touch”.
3. Zet Connection type op Custom VPN.
4. Vul onder Base VPN in:
   • Connection name: “Microsoft Defender for Endpoint”
   • VPN server address: 127.0.0.1
   • Authentication method: Username and password
   • Split tunneling: Disable
   • VPN identifier: com.microsoft.scmx
5. Voeg bij de key-value pairs de key SilentOnboard toe met de waarde True. Mogen gebruikers de VPN in de app aan- en uitzetten, voeg dan ook EnableVPNToggleInApp met True toe.
6. Zet onder Automatic VPN de optie Type of automatic VPN op On-demand VPN. Klik bij de on-demand rules op Add, kies bij I want to do the following Establish VPN en bij I want to restrict to All domains.
7. Zet Block users from disabling automatic VPN op Yes als gebruikers de VPN niet in Settings mogen uitzetten.
8. Wijs het profiel toe aan je gebruikers en klik op Create.

De schermafbeelding hieronder is een voorbeeldconfiguratie. Er staan instellingen in die de stappen hierboven niet aanraden, zoals de extra key SingleSignOn en Block users from disabling automatic VPN op Not configured. De on-demand rule heet daarin nog Connect VPN; Microsoft noemt die actie nu Establish VPN.

Zodra het apparaat het profiel heeft, wordt Defender for Endpoint op de achtergrond geactiveerd. Microsoft noemt tot vijf minuten voor die stap.

Stel de Control Filter in voor supervised apparaten

Op een supervised apparaat levert een Control Filter-profiel Web Protection zonder lokale VPN. Daarvoor heb je twee onderdelen nodig: een app configuration policy en een custom profiel.

Laat de app weten dat het apparaat supervised is

1. Navigeer naar Apps > Configuration en klik op Create > Managed devices.
2. Kies Platform iOS/iPadOS en selecteer bij Targeted app de app Microsoft Defender: Security.
3. Kies bij Configuration settings format Use configuration designer en voeg toe:
   • Configuration key: issupervised
   • Value type: String
   • Configuration value: {{issupervised}}
4. Wijs de policy toe aan All Devices, zoals Microsoft aanraadt, en klik op Create.

Rol het Control Filter-profiel uit

1. Download het profiel Zero touch (Silent) Control Filter via de link in de installatiehandleiding van Microsoft. Deze variant onboardt de gebruiker zonder handeling.
2. Navigeer naar Devices > Configuration, tabblad Policies, en klik op Create > New policy.
3. Kies Platform iOS/iPadOS, Profile type Templates en Template name Custom. Geef het profiel een naam, bijvoorbeeld “iOS Supervised – Defender – Control Filter”.
4. Selecteer bij Configuration profile file het gedownloade .mobileconfig-bestand.
5. Wijs het profiel toe aan al je managed iOS-apparaten, zoals Microsoft aanraadt, en klik op Create.

💡 Let op: het Control Filter-profiel werkt niet samen met Always-On VPN. iOS laat bovendien maar één apparaatbrede VPN tegelijk actief zijn. Gebruikt je organisatie Always-On VPN, dan moet je dus kiezen.

Configureer de functies van de app

Met een app configuration policy voor managed devices stuur je de instellingen van Defender for Endpoint aan. Gebruik dezelfde stappen als hierboven (Apps > Configuration > Create > Managed devices, app Microsoft Defender: Security) en voeg de sleutels toe die je nodig hebt. Een paar voorbeelden uit de documentatie van de iOS-functies:

De schermafbeelding hieronder is een voorbeeldconfiguratie met meer sleutels en andere waarden dan de tabel aanraadt. Zo staat DefenderOpenNetworkDetection op 1 (audit), en SuppressOSUpdateNotification heeft sinds eind juli 2026 geen effect meer, omdat Defender die meldingen niet meer stuurt.

Neem de schermafbeelding dus niet één op één over: DefenderExcludeURLInReport staat daar bijvoorbeeld als String, terwijl Microsoft Boolean voorschrijft.

Op supervised apparaten met het Control Filter heeft WebProtection geen effect. Daar zet je Web Protection uit door het Control Filter-profiel te verwijderen.

Maak een compliance policy op basis van het risico

Met een compliance policy markeer je een apparaat met te veel risico als niet-compliant. De toegang wordt pas geblokkeerd als een Conditional Access-beleid een compliant apparaat vereist. Microsoft raadt aan zo’n beleid eerst in Report-only te zetten en de resultaten te bekijken voordat je het aanzet. Hoe je dat beleid opzet, lees je in Sterkere security met Conditional Access: MDM en compliance vereist.

1. Navigeer naar Devices > Compliance, tabblad Policies, en klik op Create policy.
2. Kies Platform iOS/iPadOS en geef het beleid een naam, bijvoorbeeld “iOS – Defender risico”.
3. Open op Compliance settings de sectie Microsoft Defender for Endpoint en stel Require the device to be at or under the machine risk score in. De opties zijn Clear (strengst), Low, Medium en High. Microsoft raadt Low aan voor de meeste organisaties.
4. Zet onder Device Health eventueel ook Jailbroken devices op Block. Microsoft raadt dat aan als extra laag naast de jailbreakdetectie van de app.
5. Kies bij Actions for noncompliance wat er gebeurt. Mark device noncompliant staat standaard op nul dagen; met een later tijdstip geef je de gebruiker een respijtperiode. Je kunt ook Send email to end user of Add device to retire list toevoegen. Dat laatste zet het apparaat alleen op een lijst; een beheerder moet de retire zelf starten.
6. Wijs het beleid toe aan dezelfde groepen als de profielen hierboven en klik op Create.

Onder Device Health staat ook Require the device to be at or under the Device Threat Level. Die instelling gebruikt het oordeel van een gekoppelde Mobile Threat Defense-dienst. Microsofts Intune-handleiding voor Defender for Endpoint gebruikt de instelling machine risk score; die volgt deze blogpost.

Gebruik het risico in een App Protection Policy

Een App Protection Policy werkt op apparaten die wel en niet in Intune zijn ingeschreven. Ook voor apparaten die niet in Intune zijn ingeschreven kun je zo het risico van Defender for Endpoint gebruiken. Zulke apparaten krijgen Defender via een aparte procedure, Defender for Endpoint op iOS met MAM; de stappen voor zero-touch, het VPN-profiel en het Control Filter gelden daar niet. De gebruiker registreert het apparaat in Microsoft Authenticator met hetzelfde werk- of schoolaccount als in de Defender-app, en installeert Defender zelf uit de App Store als een beschermde app daarom vraagt.

1. Navigeer naar Apps > Protection en klik op Create policy > iOS/iPadOS.
2. Kies op Apps welke apps het beleid beschermt.
3. Voeg op Conditional launch de instelling Max allowed device threat level toe, kies een niveau (Secured, Low, Medium of High) en kies als actie Block access of Wipe data.
4. Wijs het beleid toe aan groepen gebruikers en klik op Create.

Gebruikerservaring

Op een unsupervised apparaat met zero-touch installeert Intune de app en het VPN-profiel, en krijgt de gebruiker een melding van Microsoft Defender. Volgens Microsoft moet de gebruiker soms toch zelf inloggen in de app, bijvoorbeeld na een wachtwoordwijziging of een MFA-prompt. In Settings > General > VPN staat daarna een VPN met de naam Microsoft Defender for Endpoint.

Op een supervised apparaat met het Zero touch Control Filter komt er geen VPN-profiel op het apparaat. Privacy-instellingen in de app zijn daar niet zichtbaar voor de gebruiker; die bepaal je als beheerder.

Network Protection start pas nadat de gebruiker de Defender-app één keer heeft geopend, ook bij zero-touch.

Wil je controleren of Web Protection werkt, open dan op een onboard apparaat https://smartscreentestratings2.net. Microsoft gebruikt die testpagina om te laten zien dat een phishingsite wordt geblokkeerd. Leg gebruikers uit wat een melding van Defender betekent, zodat ze die niet wegklikken.

📚 Meer lezen: Deploy Microsoft Defender for Endpoint on iOS with Microsoft Intune.

Tot slot

Met de koppeling tussen Intune en Defender for Endpoint en een VPN- of Control Filter-profiel onboard je iOS-apparaten grotendeels zonder handwerk van de gebruiker; soms moet die nog zelf inloggen in de app, en voor Network Protection moet de app één keer geopend zijn. Een compliance policy op de machine risk score markeert apparaten met te veel risico, en een Conditional Access-beleid dat een compliant apparaat vereist, blokkeert vervolgens de toegang. Kies per type apparaat de juiste methode: zero-touch met VPN voor unsupervised apparaten met Device Enrollment, het Control Filter voor supervised. Gedeelde apparaten en Apple User Enrollment vallen buiten zero-touch.