在 Microsoft Defender for Endpoint 中管理终结点安全策略
重要
本文中的某些信息与预发行的产品有关，该产品在商业发布之前可能有重大修改。 Microsoft 对此处所提供的信息不作任何明示或默示的保证。
适用于：
使用安全策略管理设备上的安全设置。 安全管理员可在 Microsoft Defender 门户中配置安全策略设置。
重要
Microsoft 建议使用权限最少的角色。 这有助于提高组织的安全性。 全局管理员是一个权限很高的角色，应仅限于在无法使用现有角色的紧急情况下使用。
可以在“终结点配置管理>”“终结点安全策略”>下找到终结点安全策略。
注意
Microsoft Defender 门户中的 “终结点安全策略 ”页 (https://security.microsoft.com) 仅适用于有权访问所有设备并拥有 Core security settings (manage) 权限的用户。 任何没有这些权限的用户角色（例如 Security Reader）都无法访问门户。 如果用户具有在 Microsoft Defender 门户中查看策略所需的权限，则会根据 Intune 权限显示数据。 如果用户在 Intune 基于角色的访问控制范围内，则它将应用于 Microsoft Defender 门户中显示的策略列表。 建议向具有 Intune 内置角色“Endpoint Security Manager” 的安全管理员授予安全管理员，以有效协调 Intune 与 Microsoft Defender 门户之间的权限级别。
以下列表简要介绍了每种终结点安全策略类型：
防病毒 - 防病毒策略可帮助安全管理员专注于管理托管设备的防病毒设置的离散组。
磁盘加密 - 终结点安全磁盘加密配置文件仅关注与设备内置加密方法（如 FileVault 或 BitLocker）相关的设置。 此焦点使安全管理员能够轻松管理磁盘加密设置，而无需导航大量不相关的设置。
防火墙 - 使用 Intune 中的终结点安全防火墙策略为运行 macOS 和 Windows 10/11 的设备配置设备内置防火墙。
终结点检测和响应 - 将 Microsoft Defender for Endpoint 与 Intune 集成时，请使用终结点检测和响应的终结点安全策略 (EDR) 管理 EDR 设置并将设备载入到 Microsoft Defender for Endpoint。
攻击面减少 - 在 Windows 10/11 设备上使用 Microsoft Defender 防病毒时，请使用 Intune 终结点安全策略减少攻击面来管理设备的这些设置。
创建终结点安全策略
至少使用安全管理员角色登录到 Microsoft Defender 门户 。
选择“ 终结点 > 配置管理 > 终结点安全策略 ”，然后选择“ 创建新策略”。
从下拉列表中选择一个平台。
选择模板，然后选择“ 创建策略”。
在“基本信息”页上，输入配置文件的名称和说明，然后选择“下一步”。
在 “设置” 页上，展开每组设置，并配置要使用此配置文件管理的设置。
完成配置设置后，选择“下一步”。
在“分配”页上，选择将接收此配置文件的组。
选择 下一步。
在“ 查看 + 创建 ”页上，完成后，选择“ 保存”。 为创建的配置文件选择策略类型时，新配置文件将显示在列表中。
注意
若要编辑范围标记，需要转到 Microsoft Intune 管理中心。
编辑终结点安全策略
选择新策略，然后选择 “编辑”。
选择设置展开策略中的配置设置列表。 无法从此视图中修改设置，但可以查看这些设置的配置方式。
若要修改策略，请为要进行更改的每个类别选择“编辑”：
- 基本信息
- 设置
- 作业
进行更改后，选择“ 保存” 以保存编辑内容。 必须先保存对一个类别的编辑，然后才能对其他类别进行编辑。
验证终结点安全策略
若要验证是否已成功创建策略，请从终结点安全策略列表中选择策略名称。
注意
策略可能需要长达 90 分钟才能到达设备。 若要加快此过程，对于由 Defender for Endpoint 托管的设备，可以从操作菜单中选择 “策略同步 ”，以便在大约 10 分钟内应用它。
策略页显示汇总策略状态的详细信息。 可以查看策略的状态、策略已应用于哪些设备以及分配的组。
在调查期间，还可以查看设备页中的“ 安全策略 ”选项卡，以查看要应用于特定设备的策略列表。 有关详细信息，请参阅 调查设备。
提示
想要了解更多信息？ 在技术社区中与 Microsoft 安全社区互动： Microsoft Defender for Endpoint 技术社区。