要如何透過INTUNE或MDE來限制訪問特定的網站

你好

使用Microsoft Defender for Endpoint的URL或域指示器来屏蔽这些网站，并确保通过Intune在屏蔽模式下 ** 强制执行网络保护**，使屏蔽作用适用于Windows上的所有应用和浏览器。

首先确认设备的前提条件。 他们必须已接入Microsoft Defender for Endpoint。 * 设备必须安装*Microsoft Defender杀毒active mode软件，并开启云端保护。

在 Intune 管理中心，进入 Windows > 配置配置文件>设备。使用终端保护模板创建Windows 10及更高版本的配置文件 **** 。在Microsoft Defender Exploit Guard >网络过滤 > 网络保护 Block。把配置文件分配给你截图显示的同一个设备组。

*如果你的界面显示 Enable 或 Audit，选择明确显示 **“屏蔽”*的选项。等策略报告每个设备成功后，或者在Intune中打开设备并选择 同步 以加快速度。

接下来，将你想屏蔽的网站添加为防御者指示器。 在 Defender 门户中，进入设置>端点>指示器>URL/域名>添加项目。比如输入域tool.lu，把动作设置为阻止执行，范围是所有设备或特定设备组，如果你 ** 想永久使用，就把到期设置为永不，然后保存**。更倾向于进入裸域，而不是完整的路径。这确保了HTTPS及所有子域名的覆盖。

例如，阻挡 example.com 也会阻挡 www.example.com 和 a.example.com。单一条HTTPS路径 https://example.com/page 在端点层面无法被可靠地阻挡，所以要使用域。

在策略同步后，在设备上进行验证。 试着在Edge或Chrome浏览器中浏览被封锁的域名。连接应该会被网络保护阻止。在设备上的事件查看器中，应用与服务日志> **** Microsoft> > Windows Defender >作，你应该会在尝试后不久看到一个阻塞事件。你也可以用PowerShell验证强制状态。以管理员身份运行PowerShell并使用：

Get-MpPreference | Select-Object EnableNetworkProtection

值 表示 1 Block 。如果显示 2为 ，那就是审计，不会被阻挡。你还可以查看：

Get-MpComputerStatus | Select-Object AMRunningMode, RealTimeProtectionEnabled, CloudDeliveredProtectionEnabled

确认Defender处于激活状态并全力保护。

如果没有阻碍，就解决最常导致这种情况的两个问题。首先确保设备里的 Intune 策略实际上处于阻挡模式。其次，确保Defender Antivirus是主动的反恶意软件引擎。如果第三方杀毒软件让Defender处于被动模式，网络保护就不会强制封锁。移除或重新配置第三方防毒软件，使Defender处于激活状态，然后再试一次。

这就是你需要的全部。 Intune将网络保护设置为屏蔽，Defender指示器显示你想限制的域名，Windows会在你托管设备上的所有浏览器和应用中屏蔽这些网站。