> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/help/help-nl/mdr/deploy/microsoft-defender.md).
# Microsoft Defender
Verbind je Microsoft Defender XDR / Defender for Endpoint-tenant met Stoïk zodat het Stoïk CERT-team deze kan monitoren en erop kan reageren, als onderdeel van het MDR (Managed Detection and Response)-aanbod. In tegenstelling tot CrowdStrike of SentinelOne verkoopt Stoïk geen Microsoft Defender-licenties: de licenties blijven van jou en jij behoudt de controle over je Microsoft-tenant.
{% hint style="warning" %}
Het beheer van MS Defender EDR bevindt zich momenteel in bèta. Laat het ons weten als je feedback hebt of tegen problemen aanloopt.
{% endhint %}
Je tenant is op twee manieren met Stoïk verbonden, en beide zijn vereist:
* **De Stoïk-applicatie** ([Deel A](#part-a-authorise-the-stoik-application)): stuurt je waarschuwingen en de lijst met beveiligde apparaten naar Stoïk Protect.
* **Het Stoïk MDR-gastaccount** ([Deel B](#part-b-give-the-stoik-cert-team-access-to-your-defender-portal)): stelt het Stoïk CERT-team in staat om te onderzoeken en te reageren in je Defender-portaal (tijdlijn van het apparaat, isolatie, live response).
De configuratie is pas compleet wanneer Stoïk al je beveiligde apparaten in het Defender-portaal kan zien: zie [Controleer de configuratie en breng Stoïk op de hoogte](#check-the-setup-and-notify-stoik).
## Vereisten
* De licentiescope wordt met je Stoïk-vertegenwoordiger overeengekomen als onderdeel van de aankoop van Stoïk MDR. Stoïk schaft geen Microsoft-licenties namens jou aan.
* Werkstations hebben Defender for Endpoint Plan 2 (inbegrepen in Microsoft 365 E5 / A5 en in Defender for Business voor mkb's).
* Een **Global Administrator** account van de tenant waarin je Defender-apparaten zich bevinden. Voor [B.3](#b.3-create-the-stoik-role-in-defender), een **Beveiligingsbeheerder** account werkt ook.
## Implementeer Defender op je apparaten
Het toewijzen van een licentie is niet hetzelfde als het uitrollen van de Defender for Endpoint-agent. Elk apparaat moet worden aangemeld.
* **Werkstations:** meld ze aan via Intune, Groepsbeleid of het lokale script. Zie Microsofts [Apparaten aanmelden](https://learn.microsoft.com/en-us/defender-endpoint/onboarding) documentatie voor de beschikbare methoden.
* **Servers**, een van de twee opties:
* Een Defender for Endpoint-serverlicentie: sluit die eerst af als onderdeel van je licentiescope, zie [Vereisten](#prerequisites)en meld de servers vervolgens aan met Microsofts onboardingpakket.
* **Microsoft Defender for Servers** (Defender for Cloud): in `Defender for Cloud` > `Omgevingsinstellingen` > je abonnement > `Defender-abonnementen` > `Servers` > `Instellingen`, stel **Endpointbeveiliging** naar **Aan**. Verbind on-premises servers via **Azure Arc** eerst. Het Azure-abonnement moet behoren tot de **zelfde Microsoft-tenant** die je met Stoïk verbindt, anders verschijnen de servers in de console van een andere tenant.
* **Windows Server 2012 R2 / 2016:** gebruik de moderne uniforme agent. Apparaten die nog steeds via de Microsoft Monitoring Agent (MMA) zijn aangemeld, moeten worden gemigreerd: MMA stopt met werken op 26 februari 2027. Zie Microsofts [migratiehandleiding](https://learn.microsoft.com/en-us/defender-endpoint/update-agent-mma-windows).
{% hint style="warning" %}
Een apparaat dat verschijnt onder `MDR` > `Bewaakte assets` in Stoïk Protect betekent niet dat Defender for Endpoint erop is geïnstalleerd en actief is. De daar getoonde assets komen uit Entra ID, niet uit Defender zelf, dus een apparaat kan verschijnen voordat de agent daadwerkelijk is uitgerold, en servers die niet aan Entra zijn gekoppeld kunnen ontbreken. De referentielijst is `Assets` > `Apparaten` in het Defender-portaal.
{% endhint %}
## Deel A: Autoriseer de Stoïk-applicatie
Autoriseer de Stoïk-applicatie met één klik vanuit Stoïk Protect.
{% hint style="warning" %}
Voer Deel A en Deel B uit in de **zelfde Microsoft-tenant**: de tenant waarin je apparaten verschijnen onder `Assets` > `Apparaten` in het Defender-portaal.
{% endhint %}
1. Meld u aan bij [Stoïk Protect](https://app.stoik.io) met je Stoïk-account.
2. Ga naar `MDR` > `Instellingen`.
3. Klik op **Verbind je Microsoft-account**.
4. Je wordt doorgestuurd naar Microsoft. Controleer de machtigingen die door de Stoïk MDR-applicatie worden aangevraagd en klik op **Accepteren**.
5. Je wordt teruggestuurd naar Stoïk Protect. De **Instellingen** pagina toont de verbinding als **Verbonden**, samen met de gedetecteerde **Microsoft-tenant-id**. Noteer deze: het moet dezelfde tenant-id zijn als die je kopieert in stap [B.1](#b.1-invite-the-stoik-mdr-user). Als deze afwijkt, heb je een andere tenant gekoppeld: neem contact op met voordat je verdergaat.
## Deel B: Geef het Stoïk CERT-team toegang tot je Defender-portaal
Voer alle vier stappen uit, B.1 tot B.4, ongeacht je Defender-configuratie. Microsoft-tenants gebruiken verschillende machtigingsmodellen: standaard, oude Defender for Endpoint-rollen of Defender XDR Unified RBAC (de standaard voor tenants die sinds 2025 nieuw zijn voor Defender for Endpoint). Deze stappen werken in al deze modellen, en een stap die in jouw tenant niet nodig is, doet geen kwaad.
### B.1: Nodig de Stoïk MDR-gebruiker uit
{% stepper %}
{% step %}
Ga naar [portal.azure.com](https://portal.azure.com) (of [entra.microsoft.com](https://entra.microsoft.com)) met een **Global Administrator** account.
{% endstep %}
{% step %}
Ga naar `Gebruikers` > `Alle gebruikers`, klik vervolgens **Externe gebruiker uitnodigen**.
{% endstep %}
{% step %}
Vul in:
* **E-mailadres:** `mdr_api@stoikcert.onmicrosoft.com`
* **Weergavenaam:** `Stoik_Mdr_Api`
Kopieer je **tenant-id** (weergegeven bij stap 3 van het uitnodigingsformulier). Deze moet overeenkomen met de tenant-id die in Deel A in Stoïk Protect wordt getoond.
{% endstep %}
{% step %}
Ga naar de **Toewijzingen** tab, klik op **Rol toevoegen**, zoek naar en selecteer **Beveiligingsoperator**, klik vervolgens **Selecteren**.
{% hint style="info" %}
Als de rol daarna niet in de toewijzingslijst verschijnt, is dit een bekende weergavefout van Microsoft. Vernieuw de pagina; de rol wordt meestal correct toegepast.
{% endhint %}
{% endstep %}
{% step %}
Klik op **Beoordelen + uitnodigen**, daarna **Uitnodigen** om af te ronden.
{% endstep %}
{% endstepper %}
{% hint style="info" %}
In jouw tenant wordt de gebruikersnaam van de gast `mdr_api_stoikcert.onmicrosoft.com#EXT#@.onmicrosoft.com`. Zoek er in de volgende stappen naar op de weergavenaam **Stoik\_Mdr\_Api**, niet op e-mailadres.
{% endhint %}
Een Conditional Access-beleid blokkeert de uitgenodigde gebruiker
Als je tenant Conditional Access-beleidsregels heeft, kunnen deze het Stoïk MDR-gastaccount blokkeren. Sluit de `Stoik-MDR` groep, aangemaakt in [B.2](#b.2-create-the-stoik-mdr-group), uit van het blokkeringsbeleid:
1. Ga naar `Beveiliging` > `Voorwaardelijke toegang` > `Beleid`.
2. Klik op het beleid dat de toegang blokkeert.
3. Onder het `Gebruikers` gedeelte, klik op het `Uitsluiten` tabblad, vink `Gebruikers en groepen`, zoek vervolgens naar en selecteer de `Stoik-MDR` groep.
4. Klik op **Opslaan**.
Je tenant verplicht MFA
Als je tenant MFA verplicht, wordt de Stoïk MDR-gebruiker daarom gevraagd, en dat kan het Stoïk CERT-team niet afronden. Stel in plaats van het account vrij te stellen van MFA een cross-tenant trust in, zodat de MFA die al in Stoïks tenant is uitgevoerd door jouw tenant wordt geaccepteerd:
1. Meld u aan bij het [Microsoft Entra-beheercentrum](https://entra.microsoft.com).
2. Ga naar `Identity` > `Externe identiteiten` > `Cross-tenant-toegangsinstellingen`.
3. Onder het `Organisatie-instellingen` tab, klik op **Organisatie toevoegen**.
4. Typ de tenant-id van Stoïk `8100d7bd-172a-492e-bb96-e3f923731bd9` (of `stoikcert.onmicrosoft.com`), selecteer deze en klik vervolgens op **Toevoegen**.
5. Zodra de organisatie in de lijst verschijnt, klik je op de koppeling onder de `Inkomende toegang` kolom (meestal `Overgenomen van standaard`).
6. Ga naar de `Vertrouwensinstellingen` tabblad.
7. Selecteren **Instellingen aanpassen**.
8. Vink `MFA van Microsoft Entra-tenants vertrouwen`.
9. Klik op **Opslaan**.
### B.2: Maak de Stoik-MDR-groep aan
Defender-apparaatgroepen en oude Defender-rollen accepteren alleen groepen, nooit individuele gebruikers. Gebruik in alle volgende stappen deze groep, niet de gebruiker.
1. In [entra.microsoft.com](https://entra.microsoft.com), ga naar `Groepen` > `Alle groepen` > **Nieuwe groep**.
2. Vul in:
* **Groeptype:** `Beveiliging`
* **Groepsnaam:** `Stoik-MDR`
* **Lidmaatschapstype:** `Toegewezen`
3. Volgens **Leden**, klik **Geen leden geselecteerd**, voeg toe **Stoik\_Mdr\_Api**, klik vervolgens **Maken**.
### B.3: Maak de Stoïk-rol aan in Defender
Deze stap is verplicht, zelfs als je niet weet welk Defender-machtigingenmodel jouw tenant gebruikt.
{% stepper %}
{% step %}
Ga naar [security.microsoft.com](https://security.microsoft.com) met een **Global Administrator** of **Beveiligingsbeheerder** account.
{% endstep %}
{% step %}
Uitvouwen `Systeem`, klik `Machtigingen`, en vervolgens onder `Microsoft Defender XDR (Unified RBAC)`, selecteer `Rollen`.
{% endstep %}
{% step %}
Klik op **Aangepaste rol maken** en vul **Rolnaam** met `stoik_mdr_role`.
{% endstep %}
{% step %}
Verleen machtigingen: voor elk van de drie machtigingsgroepen (**Beveiligingsbewerkingen**, **Beveiligingsstatus**, **Autorisatie en instellingen**), selecteer **Alle machtigingen voor lezen en beheren**, klik **Toepassen**, daarna **Volgende**.
{% endstep %}
{% step %}
Voeg de toewijzing toe:
* Klik op **Toewijzing toevoegen**.
* Naam: `stoik_mdr_assignment`.
* Toewijzen aan: de **`Stoik-MDR`** groep.
* Selecteren **Alle gegevensbronnen**.
* Vink **Toekomstige gegevensbronnen automatisch opnemen**.
* Klik op **Toevoegen**, daarna **Volgende**.
{% endstep %}
{% step %}
Klik op **Indienen** om af te ronden.
{% endstep %}
{% step %}
Nog steeds in `Systeem` > `Machtigingen` > `Microsoft Defender XDR (Unified RBAC)`, open **Workloadinstellingen** (of **Workloads activeren**) en controleer of **Microsoft Defender for Endpoint** is **geactiveerd**. Zo niet, dan wordt de bovenstaande rol voor apparaten genegeerd.
{% endstep %}
{% endstepper %}
Je wilt de oude Defender for Endpoint-rollen behouden
In plaats van de Defender for Endpoint-workload in Unified RBAC te activeren:
1. Ga naar `Instellingen` > `Eindpunten` > `Machtigingen` > `Rollen`.
2. Klik op **Item toevoegen** en geef het de naam `stoik_mdr_role`.
3. Vink **alle machtigingen**, inclusief **Geavanceerde live response**.
4. In **Toegewezen gebruikersgroepen**, voeg toe `Stoik-MDR`.
5. Klik op **Opslaan**.
### B.4: Geef toegang tot al je apparaatgroepen
Sla deze stap alleen over als je nog nooit een apparaatgroep hebt gemaakt. Een apparaatgroep waarvan de toegang is beperkt tot andere groepen verbergt al zijn apparaten voor Stoïk, inclusief servers.
1. Ga naar `Instellingen` > `Eindpunten` > `Machtigingen` > `Apparaatgroepen`.
2. Voor **elke** apparaatgroep, **inclusief `Niet-gegroepeerde apparaten (standaard)`**: open deze, ga naar het **Gebruikerstoegang** tabblad, voeg toe `Stoik-MDR`, klik vervolgens **Opslaan**.
Het kan enkele uren duren voordat wijzigingen worden toegepast.
## Controleer de configuratie en breng Stoïk op de hoogte
1. In [security.microsoft.com](https://security.microsoft.com), ga naar `Assets` > `Apparaten` en noteer het aantal apparaten en servers (filter `OS-platform` op Windows Server en Linux).
2. Ga in Entra naar `Bedrijfsapplicaties` > de Stoïk-applicatie > `Machtigingen`, en controleer dat alle machtigingen tonen **Verleend voor \**.
3. Stuur een e-mail naar met je **Microsoft-tenant-id** en de aantallen apparaten en servers uit punt 1.
Het Stoïk CERT-team logt vervolgens in met het gastaccount en valideert de onboarding alleen wanneer het ziet `Assets` > `Apparaten` met dezelfde aantallen. Als het menu ontbreekt of de lijst leeg is, zie [Problemen oplossen](#troubleshooting).
De Stoïk-applicatie opnieuw goedkeuren
Wanneer Stoïk een machtiging aan zijn applicatie toevoegt (bijvoorbeeld om je echte Defender-apparatenlijst in Stoïk Protect te tonen of een apparaat te isoleren), moet een globale beheerder van je tenant deze opnieuw goedkeuren: open de link die door je Stoïk CSM is verzonden en klik op **Accepteren**.
Dit heeft alleen invloed op de Stoïk-applicatie (Deel A). Het verandert niets aan de toegang van het gastaccount tot je Defender-portaal (Deel B).
## Problemen oplossen
Stoïk ziet waarschuwingen maar geen menu Assets > Devices, of een lege apparatenlijst
Unified RBAC of oude rollen zijn actief en de gast heeft geen Defender-rol, of een apparaatgroep beperkt de toegang. Voltooi stappen [B.2](#b.2-create-the-stoik-mdr-group) naar [B.4](#b.4-give-access-to-all-your-device-groups): rol toegewezen aan `Stoik-MDR`, Defender for Endpoint-workload geactiveerd, groep toegevoegd aan elke apparaatgroep.
Werkstations zijn zichtbaar, servers ontbreken
De servers bevinden zich in een beperkte apparaatgroep, de integratie van Defender for Servers is uitgeschakeld, of het Azure-abonnement bevindt zich in een andere tenant. Zie [B.4](#b.4-give-access-to-all-your-device-groups) voor hun apparaatgroep, en het gedeelte servers van [Implementeer Defender op je apparaten](#deploy-defender-on-your-devices).
Het gastaccount kan niet aanmelden
Een Conditional Access-beleid of een MFA-vereiste blokkeert dit. Zie de twee vervolgkeuzelijsten onder [B.1](#b.1-invite-the-stoik-mdr-user).
De gast wordt niet gevonden bij het toewijzen van de rol
De gebruikersnaam van een gast bevat `#EXT#`, dus zoeken op e-mail mislukt. Zoek naar **Stoik\_Mdr\_Api**, of wijs de `Stoik-MDR` groep.
De tenant-id in Stoïk Protect verschilt van die in de Defender-console
Deel A is in een andere tenant goedgekeurd. Neem contact op met , en voer vervolgens opnieuw uit [Deel A](#part-a-authorise-the-stoik-application) in de tenant waarin je apparaten zich bevinden.
De apparaten in Stoïk Protect verschillen van Defender
De lijst in Stoïk Protect komt nog steeds uit Entra ID, of de applicatiemachtigingen zijn niet opnieuw goedgekeurd. Zie `De Stoïk-applicatie opnieuw goedkeuren` in [Controleer de configuratie en breng Stoïk op de hoogte](#check-the-setup-and-notify-stoik).
De knop 'Verbind je Microsoft-account' in Stoïk Protect geeft een fout
Zorg ervoor dat je bent aangemeld bij Microsoft met een **Global Administrator** account.
De verbinding wordt in Stoïk Protect weergegeven als 'Verbonden', maar er verschijnt geen host of waarschuwing
De eerste datasynchronisatie kan tot enkele uren duren.
Een banner vermeldt apparaten die via MMA draaien
Oudere servers gebruiken nog steeds de verouderde agent, die op 26 februari 2027 stopt met werken. Migreer ze naar de uniforme agent: zie [Implementeer Defender op je apparaten](#deploy-defender-on-your-devices).
Neem voor elk onopgelost probleem of om de toegang van Stoïk tot je Microsoft Defender-tenant in te trekken contact op met .
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.stoik.io/help/help-nl/mdr/deploy/microsoft-defender.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
