defender-for-business

Microsoft Defender for Business

Defender for Business（MDB）是面向中小型企业（SMB）市场的终端安全产品，适用于最多 300 名员工的企业。它包含 MDE Plan 2 的大部分防护能力（下一代防病毒、EDR、ASR、自动调查、漏洞管理），并提供简化的向导式配置，让小型 IT 团队或 MSP 无需专门的 SOC 即可部署和运维。

它捆绑在 Microsoft 365 Business Premium 中，也可作为独立 SKU 使用。对于 MSP，它通过 Microsoft 365 Lighthouse 提供多租户管理功能。

适用场景

你是一家最多约 300 名员工的 SMB，或是为 SMB 客户提供安全服务的 MSP，并且需要真正的终端防护，但没有企业级 SOC 的预算。

不要将此技能用于企业级 EDR（defender-for-endpoint）、Defender XDR 跨产品调查（defender-xdr）或 Azure 服务器防护（defender-for-servers）。

MDB 包含的功能

功能	MDB	MDE P1	MDE P2
下一代防病毒	✅	✅	✅
攻击面缩减	✅	✅	✅
Web 内容筛选	✅	✅	✅
EDR	✅（简化版）	—	✅
自动调查与修正（AIR）	✅	—	✅
漏洞管理	✅（子集）	—	✅
威胁情报与高级搜寻（Defender XDR）	有限	—	✅
移动威胁防护（iOS/Android）	附加组件／通过 Intune 提供	—	是
服务器防护	MDB Servers 附加组件（≤60 台服务器）	通过 DfC 提供	通过 DfC 提供

**经验法则：**当你需要 SOC 分析师在原始表中进行高级搜寻时，MDB 就不够用了。对于约 300 名用户、多站点或受监管的环境，应规划迁移到 MDE P2 + E5。

方法

1. 许可路径。 大多数中小型企业通过 Microsoft 365 Business Premium 获取 MDB —— 其中捆绑了 Entra P1、Intune 和基础 DLP。检查席位数量：MDB 的用户数上限为 300；一旦 超出，就必须转为企业 SKU。

2. 通过简化设置向导进行入门配置：前往 security.microsoft.com → Assets → Devices。默认有三个设备组：工作站、移动设备、服务器（服务器需通过 附加组件）。向导会为 AV、ASR、EDR 预先配置合理的默认设置。

3. 默认策略开箱即用，但有两项需要调整：

   • ASR 规则 — 查看前 14 天审计模式下触发的规则；每次将一条规则改为阻止。
   • Web 内容筛选 — 启用符合使用需求的类别（阻止赌博、成人内容、非法内容）。第一天不要设置得太严格。

4. AIR 修复级别。 默认值为 Semi（需要审批）。对于工作站，在团队有信心后改为 Full。服务器保持 Semi。

5. 漏洞管理。 显示主要暴露风险并推送修补任务。与 Intune 修补管理配合使用（需拥有相应许可证）以实际部署修补。

6. 移动设备。 iOS 和 Android 上的 MDB 通过 Defender 应用提供（推荐使用 Intune 管理的部署）。提供 Web 保护、网络保护和应用风险检测。Android 上提供实时 AV。

7. 服务器附加组件。 MDB Servers 每个租户最多保护 60 台 Windows 或 Linux 服务器 — 对中小型企业足够，但不适用于企业。通过相同的简化模式进行入门配置。一旦超过 60 台，或需要 DfC 安全态势/JIT/FIM，就切换到 Defender for Servers（defender-for-servers）。

8. MSP / 多租户交付。 Microsoft 365 Lighthouse 可为 MSP 汇总多个客户租户中的 MDB：

   • 跨租户设备清单和威胁仪表板。
   • 将基线策略模板推送到多个租户。
   • 多租户警报分类处理。 配合委派管理员权限（GDAP）使用 — 绝不要使用 DAP，以确保安全访问。

9. 转向企业版的路径。 以下情况应考虑转为 MDE P2 / E5：

   • 用户数超过 300。
   • 受监管行业需要高级威胁搜寻 / KQL / 30 天以上的原始遥测数据。
   • 运行多站点 SOC。
   • 需要将 Sentinel 与丰富的 Defender XDR 数据集成。 迁移只需更改许可证/配置，无需重新部署 — 设备会继续保持入门配置状态。

防护准则

• 强制执行 300 名用户上限。 不要在规模趋向企业级的租户中规划使用 MDB；提前规划 E5 / MDE P2。
• 第一天不要将 ASR 规则设为阻止。 与企业版相同 — 先审计、调整，再阻止。
• 未经审批，不要对服务器启用 AIR Full 模式；工作站则可以 — 服务器 AIR 自动修复可能导致应用无法运行。
• 移动设备上的 MDB 需要 Intune 才能正确部署。 没有 MDM，就只能依赖用户自行安装；覆盖情况会参差不齐。
• 服务器附加组件上限为 60 台。 超出后，MDB Servers 无法满足你的规模；请进行迁移。
• MSP 使用 Lighthouse + MDB 需要 GDAP，而不是旧版 DAP — 必须迁移合作伙伴关系。
• MDB 中的高级威胁搜寻功能有限。 如果 IR 实践依赖通过 KQL 查询 Defender 原始表中的数据，就需要 MDE P2。
• Web 内容筛选不是 SWG。 它基于类别筛选，而不是全面检查。要使用真正的 SWG，请查看 entra-global-secure-access Internet Access。
• 不要同时以活动模式将 MDB 和第三方 AV 接入设备。 将第三方 AV 设为被动模式 + EDR 阻止模式（与企业版相同）。

常见反模式

• “在 350 名用户时仍使用 MDB”——违反许可协议，且缺少功能。
• “首日就阻止所有 ASR 规则”——导致 Office 宏和安装程序无法正常运行。
• “在服务器上使用 AIR Full”——误报时会自动隔离 LOB 应用服务器。
• “未使用 Intune 就推出移动设备防护”——半数设备群未受保护。
• “MSP 使用 DAP 访问租户”——应使用 GDAP；这是安全和审计问题。
• “规模超过 300 人后仍将 MDB 视为永久解决方案”——审计时才发现该 SKU 有人数上限。
• “因为‘我们在补丁星期二打补丁’，就跳过漏洞管理”——漏洞优先级排序能让补丁星期二真正聚焦于优先事项。
• “通过 Defender XDR 门户配置高级策略，并期待使用 MDE P2 功能” ——这些功能根本不可用；界面并不总能清楚地说明这一点。

示例提示词

• 通过 M365 Business Premium 将一家 120 人的专业服务公司接入 Defender for Business——包括向导、ASR 部署、AIR 和漏洞管理。
• 为一家接近 300 名用户且采用多站点运营模式的 SMB，规划从 MDB 迁移到 MDE Plan 2 + E5。
• 通过服务器附加组件将 MDB 部署到 60 台服务器；指出之后需要 Defender for Servers 的功能缺口。
• MSP 交付模式：服务 50 家 SMB 客户，采用基线 MDB 策略 + Lighthouse 多租户运营，并使用 GDAP。
• 移动设备防护部署：通过 Intune 为 200 名用户部署适用于 iOS 和 Android 的 Defender。
• Web 内容筛选类别：构建不会妨碍业务使用的初始阻止列表。
• 比较 MDB 与 MDE P1 的功能，供正在评估 Microsoft 365 Business Premium 与 Microsoft 365 E3 + MDE P1 的客户参考。

Microsoft Learn

• MDB 概述：https://learn.microsoft.com/defender-business/mdb-overview
• MDB 与 MDE 计划对比：https://learn.microsoft.com/defender-business/mdb-overview
• 设置 MDB：https://learn.microsoft.com/defender-business/mdb-setup-configuration
• 默认策略和设置：https://learn.microsoft.com/defender-business/mdb-policy-order
• 服务器附加组件：https://learn.microsoft.com/defender-business/mdb-onboard-devices
• 移动威胁防护：https://learn.microsoft.com/defender-business/mdb-mtd
• 漏洞管理：https://learn.microsoft.com/defender-business/mdb-view-tvm-dashboard
• Microsoft 365 Lighthouse：https://learn.microsoft.com/microsoft-365/lighthouse/m365-lighthouse-overview
• GDAP：https://learn.microsoft.com/partner-center/gdap-introduction
• Microsoft 365 Business Premium：https://learn.microsoft.com/microsoft-365/business-premium/