Verwenden von STIG-Überwachungsbaselines zum Bewerten der Windows-Gerätekonformität in Microsoft Intune

Intune unterstützt eine Sicherheitsbaseline für die Überwachung von Windows-Geräten anhand der empfohlenen Konfigurationen, die in den von der Defense Information Systems Agency (DISA) veröffentlichten Security Technical Implementation Guides (STIGs) definiert sind. Im Gegensatz zu anderen Intune Sicherheitsbaselines, die Einstellungen auf Geräten konfigurieren und erzwingen, ist die STIG-Überwachungsbaseline schreibgeschützt. Es bewertet den aktuellen Zustand der Gerätekonfiguration und generiert detaillierte Überwachungsberichte, ohne einstellungen zu ändern.

Diese Baseline ist für Organisationen konzipiert, die die Einhaltung von STIGs im Rahmen ihrer Sicherheitsanforderungen des Verteidigungsministeriums (Department of Defense, DoD) nachweisen müssen.

Gilt für:

  • Windows 10
  • Windows 11

Übersicht

Security Technical Implementation Guides (STIGs) sind Konfigurationsstandards, die von DISA für das DoD entwickelt wurden. In diesen Leitfäden wird definiert, wie Software-, Hardware- und Netzwerksysteme konfiguriert werden sollten, um Sicherheitsrisiken zu reduzieren. Bundesbehörden und DoD-Auftragnehmer müssen STIGs befolgen und nachweisen, dass Geräte die erforderlichen Konfigurationen erfüllen.

Verfügbare STIG-Baselines

Die folgenden STIG-Überwachungsbaselines sind in Intune verfügbar:

Baseline STIG-Version Regeln Benchmarkdatum
Microsoft Windows 11 STIG SCAP Benchmark Version 2, Release 7 197 5. Januar 2026

DISA aktualisiert STIGs in der Regel vierteljährlich. Wenn Intune eine neuere Version verfügbar macht, können Sie ein neues Überwachungsprofil erstellen oder ein vorhandenes Profil aktualisieren, um die neueste Version zu verwenden. Ausführliche Informationen zu den Regeln in den einzelnen STIG-Dateien finden Sie in der DISA-STIG-Bibliothek.

Funktionsweise der STIG-Überwachungsbaseline

Die STIG-Überwachungsbaseline von Intune unterstützt Organisationen bei dieser Bewertung wie folgt:

  • Überwachen der Gerätekonfiguration – Die Überwachung wertet die aktuellen Einstellungen jedes Geräts anhand der STIG-Überwachungsregeln aus, die im DISA-veröffentlichten Schema definiert sind.
  • Generieren detaillierter Überwachungsberichte – Intune erzeugt Überwachungsberichte pro Einstellung und pro Gerät, die Sie im Admin Center anzeigen, über die Microsoft Graph-API abrufen oder in CSV exportieren können.
  • Unterstützung der XCCDF-Konformitätsberichterstattung – Überwachungsergebnisse werden NIST-XCCDF-Ergebniskategorien (Extensible Configuration Checklist Description Format) zugeordnet und unterstützen die formalen Berichtsformate, die DISA- und DoD-Prüfer benötigen.

Hinweis

Obwohl die Microsoft Windows 11 STIG SCAP Benchmark-Baseline sowohl Windows 10 als auch Windows 11 Geräten zugewiesen werden kann, werden Regeln, die nicht für die Betriebssystemversion eines Geräts gelten, als Nicht zutreffend gemeldet.

Wichtig

Die STIG-Überwachungsbaseline ist ein reines Überwachungstool . Es werden keine Einstellungen auf Geräten konfiguriert oder erzwungen. Um gerätekonform zu machen, verwenden Sie die Überwachungsergebnisse, um Lücken zu identifizieren und dann die entsprechende Konfiguration über Einstellungskatalogprofile , Konformitätsrichtlinien oder andere Sicherheitsbaselines anzuwenden.

Voraussetzungen

Vergewissern Sie sich vor der Verwendung der STIG-Überwachungsbaseline, dass Ihre Umgebung die folgenden Anforderungen erfüllt:

Cloudanforderungen

Ihr organization muss einen US Government Community Cloud High(GCC High)-Mandanten verwenden. Die STIG-Überwachungsbaseline ist in kommerziellen Cloud- oder GCC-Umgebungen nicht verfügbar.

Lizenzanforderungen

Die STIG-Überwachungsbaseline erfordert Intune Advanced Analytics.

Dieses Feature erfordert zusätzlich zu Microsoft Intune Plan 1 oder Plan 2 ein Abonnement. Lizenzierungsoptionen finden Sie unter Microsoft Intune-Pläne und -Preise und Microsoft 365 Security Enterprise-Pläne.

Geräteplattformanforderungen

Dieses Feature unterstützt die folgenden Plattformen:

  • Windows 10
  • Windows 11

Registrierungsmethoden

Geräte müssen in Intune registriert werden. Bei gemeinsam verwalteten Geräten muss der Workloadschieberegler Gerätekonfiguration auf Pilot-Intune oder Intune festgelegt werden. Die STIG-Überwachungsbaseline wird über die Gerätekonfigurationspipeline von Intune bereitgestellt, sodass diese Workload im Besitz Intune sein muss, damit die Überwachungsrichtlinie angewendet werden kann.

Rollenanforderungen

Verwenden Sie zum Erstellen und Verwalten von STIG-Überwachungsbaselineprofilen ein Konto mit einer Intune Rolle, die die folgenden Berechtigungen umfasst:

  • Organisation: Lesen
  • Sicherheitsbaselines: Zuweisen, Erstellen, Löschen, Lesen, Aktualisieren

Die integrierte Rolle Endpoint Security Manager enthält diese Berechtigungen. Sie können sie auch einer benutzerdefinierten Rolle hinzufügen.

Außerdem benötigen Sie Bereichstagberechtigungen für die Gerätegruppen, die Sie überwachen möchten.

Erstellen eines STIG-Überwachungsbaselineprofils

Führen Sie die folgenden Schritte aus, um ein STIG-Überwachungsbaselineprofil zu erstellen:

  1. Melden Sie sich beim Microsoft Intune Admin Center an.

  2. Wechseln Sie zu Endpunktsicherheit>Sicherheitsbaselines , um die Liste der verfügbaren Baselines anzuzeigen.

  3. Wählen Sie microsoft Windows 11 STIG SCAP Benchmark aus der Liste der verfügbaren Baselinetypen aus.

    Hinweis

    Wenn die STIG-Baseline nicht in der Liste angezeigt wird, vergewissern Sie sich, dass Ihr Mandant die Voraussetzungen für Mandantentyp und Lizenzierung erfüllt.

  4. Wählen Sie Profil erstellen aus.

  5. Auf der Registerkarte Grundlagen:

    • Geben Sie einen beschreibenden Namen für das Profil ein, z. B. STIG-Überwachung – Windows-Clients.
    • Fügen Sie optional eine Beschreibung hinzu, um den Zweck und den Umfang dieses Überwachungsprofils zu verdeutlichen.

  6. Auf der Registerkarte Konfigurationseinstellungen ist keine Konfiguration erforderlich. Diese Registerkarte bestätigt, dass das Profil empfohlene Einstellungen aus der aktuellen STIG-Version enthält und dass die Zuweisung des Profils die Überwachung dieser Einstellungen auf Zielgeräten ermöglicht.

    Hinweis

    Die STIG-Überwachungsbaseline überwacht alle Einstellungen in der Baseline als einzelnes Profil. Sie können einzelne Einstellungen nicht auswählen oder ändern. Die Überwachungsregeln und ihre erwarteten Werte werden von DISA in den öffentlich verfügbaren SCAP-Benchmarkdateien definiert, nicht durch Intune.

  7. Fügen Sie auf der Registerkarte Bereichstags optional Bereichstags hinzu, um zu steuern, welche Administratoren dieses Profil sehen können.

  8. Wählen Sie auf der Registerkarte Zuweisungen die Gerätegruppen aus, die Sie anhand der STIG-Baseline überwachen möchten. Sie können alle Geräte oder bestimmte Gruppen als Ziel festlegen.

  9. Überprüfen Sie Ihre Einstellungen auf der Registerkarte Überprüfen + erstellen , und wählen Sie dann Erstellen aus.

Nachdem Sie das Profil erstellt und Gruppen zugewiesen haben, wertet Intune die Zielgeräte anhand der STIG-Baseline aus, wenn Geräte eingecheckt werden. Überwachungsberichtdaten werden aufgefüllt, wenn Geräte ihre Bewertungsergebnisse melden. Es kann bis zu 24 Stunden dauern, bis die ersten Ergebnisse für neu ausgerichtete Geräte angezeigt werden.

Überprüfen der STIG-Überwachungsergebnisse

Nach dem Einchecken der Geräte können Sie die Überwachungsergebnisse über die Ansicht Überwachungsbericht im Intune Admin Center überprüfen.

Screenshot: Übersicht über das STIG-Überwachungsbaselineprofil mit status für Geräte und Benutzer, Gerätezuweisung status Bericht und Überwachungsberichtsoptionen im Intune Admin Center

  1. Wechseln Sie zuEndpunktsicherheitsbaselines>, und wählen Sie Microsoft Windows 11 STIG SCAP Benchmark aus.

  2. Wählen Sie das Überwachungsprofil aus, das Sie überprüfen möchten.

  3. Wählen Sie Überwachungsbericht aus, um die Berichtsansicht zu laden. Möglicherweise müssen Sie generieren auswählen, wenn Sie mit dem Auffüllen von Daten beginnen möchten.

status für die Gerätezuweisung

Der Bericht Gerätezuweisung status zeigt alle Geräte an, auf die die Richtlinie abzielt, einschließlich Geräten mit dem Status "Ausstehende Richtlinienzuweisung". Verwenden Sie diesen Bericht, um zu bestätigen, welche Geräte das Überwachungsprofil erhalten haben, und um den Zuweisungsfortschritt nachzuverfolgen.

Spalte Beschreibung
Gerätename Der Anzeigename des In Intune registrierten Geräts.
Letzter aktiver Benutzer Der letzte Benutzer, der sich beim Gerät angemeldet hat.
Zuweisungs-status Der aktuelle Richtlinienzuweisungsstatus für das Gerät.
Zeitpunkt der letzten Änderung des Berichts Das letzte Mal, wenn das Gerät seine Zuweisung status gemeldet hat.
Intune-Geräte-ID Der eindeutige Gerätebezeichner in Intune.
ID des Microsoft Entra-Geräts Der Gerätebezeichner in Microsoft Entra ID.
Model Das Hardwaremodell des Geräts.
Plattform Die Betriebssystemplattform des Geräts.
Entra-Benutzer-ID Der Bezeichner des zugeordneten Benutzers in Entra ID.

Überwachungsbericht

Der Überwachungsbericht zeigt, ob Gerätewerte den empfohlenen Werten für Einstellungen in der Baselineversion entsprechen. Dieser Bericht enthält eine Einstellungszusammenfassung für alle Zielgeräte, sodass Sie schnell ermitteln können, welche STIG-Regeln die höchsten Fehlerraten aufweisen und Wiederherstellungsmaßnahmen priorisieren können. Jede Zeile stellt eine einzelne STIG-Regel dar und zeigt an, wie viele Geräte diese Regel übergeben, fehlgeschlagen oder andere Status gemeldet haben.

Der Bericht enthält die folgenden Spalten:

Spalte Beschreibung
Einstellungsname Der Anzeigename der STIG-Regel.
Referenz-ID Die STIG-Gruppen-ID für die Regel.
Schweregrad Der Schweregrad der STIG-Regel: CAT I (hoch), CAT II (mittel) oder CAT III (niedrig).
Erfolgreiche Geräte Die Anzahl der Zielgeräte, die die Überprüfung für diese Regel bestanden haben.

Sie können den Bericht nach Schweregrad filtern, um sich auf bestimmte Bereiche zu konzentrieren. Verwenden Sie das Suchfeld , um bestimmte Einstellungen anhand des Namens oder der Referenz-ID zu suchen.

Drilldown pro Gerät

Wählen Sie die Geräteanzahl für eine Regel aus, z. B. die Nummer unter Erfolgreiche Geräte, um eine Detailansicht für diese Regel zu öffnen. Die Drilldownansicht umfasst Folgendes:

  • Eine Zusammenfassungsleiste, die die Anzahl der Geräte in den einzelnen status anzeigt: Ausstehend, Nicht zutreffend, Erfolg, Fehler, Konflikt und Gesamt.
  • Eine Geräteliste , die das Überwachungsergebnis für jedes Zielgerät anzeigt. Sie können die Liste nach status filtern, nach bestimmten Geräten suchen und die Ergebnisse exportieren.

Die Geräteliste enthält die folgenden Spalten:

Spalte Beschreibung
Gerätename Der Anzeigename des In Intune registrierten Geräts.
Status Das Überwachungsergebnis für diese spezifische Einstellung auf dem Gerät: Unbekannt, Nicht zutreffend, Bestanden, Fehler, Fehler oder Konflikt.
Zeitpunkt des letzten Eincheckens Das letzte Mal, wenn das Gerät eingecheckt und seine status für diese Einstellung gemeldet hat.

Überwachen von status Werten

Jedes Gerät wird pro Einstellung ausgewertet und einem der folgenden status Werte zugewiesen:

Status Beschreibung XCCDF-Zuordnung
Unknown Das Gerät hat noch keine Ergebnisse für diese Einstellung gemeldet. unknown
Nicht zutreffend Die Einstellung gilt nicht für dieses Gerät. nicht anwendungsfähig
Bestehen Das Gerät besteht diese STIG-Überprüfung. pass
Fehler Das Gerät schlägt bei dieser STIG-Überprüfung fehl. fail
Error Fehler beim Auswerten dieser Einstellung auf dem Gerät. error
Konflikt: Für diese Einstellung wurde eine in Konflikt stehende Richtlinie erkannt. Konflikt

Die XCCDF-Zuordnungsspalte zeigt, wie die einzelnen Intune status den NIST-XCCDF-Ergebniskategorien zugeordnet werden, die in der formalen DISA-Berichterstellung an Prüfer verwendet werden.

Exportieren von Überwachungsdaten

Sie können Überwachungsergebnisse mithilfe der folgenden Methoden exportieren:

  • Graph-API Massenexport (empfohlen): Verwenden Sie die Intune Berichtsexport-API, um alle STIG-Überwachungsdaten für einen Mandanten in einem einzelnen Auftrag herunterzuladen. Dieser Ansatz ist der effizienteste für umfangreiche oder mandantenübergreifende Berichterstellung. Weitere Informationen finden Sie unter Massenexport von STIG-Überwachungsdaten.
  • CSV-Export – Verwenden Sie die Option Exportieren in der Überwachungsberichtsansicht, um gerätespezifische Ergebnisse für einzelne Regeln herunterzuladen.
  • Graph-API pro Einstellung– Verwenden Sie die Zwischenspeicherungs-Berichtsendpunkte von Microsoft Graph-API, um Überwachungsdaten einzeln abzurufen. Dieser Ansatz ist nützlich für gezielte Lookups, erfordert aber viele API-Aufrufe für vollständige Baselineexporte. Weitere Informationen finden Sie unter Verwenden des Graph-API für STIG-Überwachungsberichte.

Aktualität der Daten

Überwachungsberichtdaten sind keine Echtzeitdaten. Berichtsdaten können ein bis zwei Geräteeincheckzyklen hinter der Richtlinienbereitstellung zurückbleiben. Nach dem ersten Auswertungszeitraum für neu ausgerichtete Geräte aktualisiert das System die Überwachungsdaten basierend auf dem folgenden Zyklus:

  • Jedes Gerät wertet STIG-Regeln in regelmäßigen Abständen lokal aus.
  • Geräte checken regelmäßig beim Intune-Dienst ein, um Ergebnisse zu melden.
  • Je nach Zeitpunkt des Auswertungszyklus und des Geräte-Check-Ins kann es zwischen einer Geräteauswertung und aktualisierten Daten, die im Prüfbericht angezeigt werden, eine Verzögerung von ein bis zwei Eincheckzyklen geben.

Um den Bericht mit den neuesten verfügbaren Daten zu aktualisieren, verwenden Sie die Schaltfläche Erneut generieren im Überwachungsbericht.

Tipp

Für Geräte, die bereits über die Überwachungsrichtlinie verfügen, können Sie eine Gerätesynchronisierung über das Admin Center initiieren, um die neuesten lokal zwischengespeicherten Auswertungsergebnisse abzurufen, ohne auf den nächsten geplanten Check-In zu warten.

Verwenden des Graph-API für STIG-Überwachungsberichte

Sie können die Microsoft Graph-API verwenden, um STIG-Überwachungsdaten programmgesteuert abzurufen. Dieser Ansatz ist nützlich, um Überwachungsergebnisse in externe Bewertungstools zu integrieren, STIG-Berichterstellungsworkflows zu automatisieren oder Bewertungsdaten über mehrere Mandanten hinweg zu aggregieren.

Hinweis

Verwenden Sie den /beta/ Endpunkt für Graph-API Aufrufe der STIG-Überwachungsberichterstattung. Der /v1.0/ Endpunkt unterstützt diese Aufrufe nicht.

Massenexport von STIG-Überwachungsdaten

Für Organisationen, die alle STIG-Überwachungsdaten gleichzeitig exportieren müssen, verwenden Sie die Intune Berichtsexport-API anstelle des in den folgenden Abschnitten beschriebenen zwischengespeicherten Berichtsmusters pro Einstellung. Die Export-API unterscheidet sich in drei Punkten:

  • Keine Paginierung – Gibt das vollständige Dataset in einer einzelnen herunterladbaren Datei zurück, anstatt eine Überspringen/Top-Paginierung über mehrere Anforderungen hinweg zu erfordern.
  • Keine Iteration pro Einstellung – Ruft Ergebnisse für alle Einstellungen in einem Auftrag ab. Das zwischengespeicherte Berichtsmuster erfordert drei API-Aufrufe pro SettingId (Erstellen, Abfragen, Abrufen). Bei einer Baseline mit 197 STIG-Regeln sind dies mindestens 591 API-Aufrufe für einen einzelnen Mandanten. Die Export-API führt dies in zwei bis drei Aufrufen aus.
  • Blob Storage-Übermittlung : Die Ergebnisse werden in eine temporäre Blob-URL geschrieben und als ZIP/CSV heruntergeladen, anstatt im HTTP-Antworttext zurückgegeben zu werden. Dadurch werden große Datasets (Hunderttausende Zeilen für Geräteeinstellungen) ohne Timeouts verarbeitet.

Weitere Informationen zum Export-API-Muster, einschließlich der Anforderungsparameter und Drosselungsgrenzwerte, finden Sie unter Exportieren von Intune Berichten mithilfe von Graph-APIs.

Der Massenexport verwendet den exportJobs Endpunkt und folgt einem Muster zum Erstellen, Abfragen und Herunterladen. Alle Aufrufe verwenden den /beta/ Endpunkt.

  1. Authentifizieren Sie sich bei Microsoft Graph für den Zielmandanten.

  2. Erstellen Sie den Exportauftrag mit einer POST-Anforderung an https://graph.microsoft.com/beta/deviceManagement/reports/exportJobs. Verwenden Sie den IndustryBaselinePerSettingDeviceAuditList Berichtsnamen, und wählen Sie die benötigten Spalten aus:

    POST https://graph.microsoft.com/beta/deviceManagement/reports/exportJobs

{
    "reportName": "IndustryBaselinePerSettingDeviceAuditList",
    "filter": "(PolicyId eq '{PolicyId}')",
    "format": "csv",
    "select": [
        "PolicyId",
        "SettingId",
        "DeviceId",
        "MaxSettingStatus",
        "UserId",
        "DeviceName",
        "PspdpuLastModifiedTimeUtc"
    ]
}

    Dabei {PolicyId} ist die GUID Ihres STIG-Überwachungsprofils. Informationen zum Ermitteln der PolicyId finden Sie unter Abrufen der PolicyId. Die Antwort enthält einen id Wert für den Exportauftrag.

  3. Rufen Sie den Auftrag status mit einer GET-Anforderung ab, bis status zurückgegeben wirdcompleted:

    GET https://graph.microsoft.com/beta/deviceManagement/reports/exportJobs('{exportJobId}')

    Dabei {exportJobId} ist der Wert, der id im vorherigen Schritt zurückgegeben wurde.

  4. Nach Abschluss des Auftrags enthält die Antwort ein url Feld mit einer temporären Blobspeicherverbindung. Laden Sie die ZIP-Datei von dieser URL herunter. Die ZIP-Datei enthält eine CSV-Datei mit allen STIG-Überwachungsergebnissen für den Mandanten.

Abrufen von Baselinemetadaten

Beginnen Sie mit dem Abrufen von Metadaten zur STIG-Baselinevorlage. Sie benötigen die Vorlage id aus dieser Antwort, um die PolicyId im nächsten Schritt nachzuschlagen.

GET /beta/deviceManagement/templates?$filter=templateFamily eq 'baseline'

Die Antwort enthält die folgenden Felder für die STIG-Baselinevorlage:

Feld Beschreibung
displayName Der vollständige Benchmarkname (z. B. Microsoft Windows 11 Security Technical Implementation Guide).
displayVersion Die STIG-Version und das Release (z. B. Version 2, Release 7 Benchmark-Datum: 05. Januar 2026).
settingTemplateCount Die Anzahl der STIG-Regeln in der Baseline (z. B. 197).
baseId Der Bezeichner für die STIG-Baseline. Dieser Wert ist mandantenübergreifend für den gleichen STIG-Benchmark global konsistent.
id Der Bezeichner für die spezifische STIG-Version. Verwenden Sie diesen Wert im nächsten Schritt als .templateId Dieser Wert ist mandantenübergreifend für dieselbe Version global konsistent.

Abrufen der PolicyId

Bevor Sie die Berichts-APIs aufrufen können, benötigen Sie die PolicyId (GUID) Ihres STIG-Überwachungsprofils. Sie finden die PolicyId im Admin Center oder rufen sie programmgesteuert über die Graph-API ab.

  • Admin Center : Öffnen Sie die STIG-Überwachungsrichtlinie im Intune Admin Center, und kopieren Sie die GUID aus der URL nach /policyID/. Diese GUID ist mandantenspezifisch.

  • Graph-API – Verwenden Sie die Vorlage id aus dem vorherigen Abschnitt, um alle Richtlinien aufzulisten, die aus dieser Vorlage erstellt wurden:

    GET /beta/deviceManagement/configurationPolicies?$filter=templateReference/templateId eq '{templateId}'

    Dabei {templateId} ist die im vorherigen Abschnitt abgerufene Vorlagen-ID (z. B c64bf257-bce5-4c4d-8ad8-03222f13d84c_1. ). Das id Feld in jeder zurückgegebenen Richtlinie ist die PolicyId , die in den Berichts-API-Aufrufen verwendet werden soll.

Hinweis

Richtlinien-IDs sind mandantenspezifisch und ändern sich, wenn ein Mandant auf eine neue STIG-Version aktualisiert wird. Für Organisationen, die STIG-Überwachungsdaten über mehrere Mandanten hinweg aggregieren, z. B. für das PROGRAMM DISA Continuous Monitoring and Risk Scoring (CMRS), führen Sie diesen Ermittlungsaufruf in jedem Mandanten aus, um die aktuelle PolicyId zu ermitteln. Einstellungs-IDs sind mandantenübergreifend für eine bestimmte STIG-Vorlagenversion global konsistent, sodass Sie die Ergebnisse mandantenübergreifend mithilfe von SettingId korrelieren können.

Abrufen der Überwachungszusammenfassung pro Richtlinie

Nachdem Sie über die PolicyId verfügen, können Sie eine Zusammenfassung aller STIG-Einstellungen mit der Anzahl der Geräte abrufen, die für jede Regel übergeben wurden. Dieser Bericht zeigt die gleichen Daten wie die Überwachungsberichtsansicht im Admin Center an.

Der Bericht pro Richtlinie verwendet ein Muster aus drei Schritten: Erstellen Sie eine zwischengespeicherte Berichtskonfiguration, überwachen Sie die status, und rufen Sie dann die Ergebnisse ab.

Schritt 1 – Erstellen der zwischengespeicherten Berichtskonfiguration:

POST /beta/deviceManagement/reports/cachedReportConfigurations

{
  "id": "IndustryBaselinePerSettingDeviceAuditSummary_<PolicyId>",
  "filter": "(PolicyId eq '<PolicyId>')",
  "orderBy": [],
  "select": [
    "SettingName",
    "SettingId",
    "StigRuleId",
    "StigSeverity",
    "NumberOfCompliantDevices"
  ]
}

Schritt 2 – Überwachen des Berichts status (wiederholen Sie dies, bis die status abgeschlossen ist):

GET /beta/deviceManagement/reports/cachedReportConfigurations('IndustryBaselinePerSettingDeviceAuditSummary_<PolicyId>')

Schritt 3 – Abrufen der Ergebnisse:

POST /beta/deviceManagement/reports/getCachedReport

{
  "id": "IndustryBaselinePerSettingDeviceAuditSummary_<PolicyId>",
  "filter": "(PolicyId eq '<PolicyId>')",
  "orderBy": [],
  "select": [
    "SettingName",
    "SettingId",
    "StigRuleId",
    "StigSeverity",
    "NumberOfCompliantDevices"
  ],
  "skip": 0,
  "top": 50
}

Die Antwortspalten umfassen:

Spalte Beschreibung
SettingName Der Anzeigename der STIG-Regel, wie in der STIG-Dokumentation analysiert.
SettingId Ein eindeutiger Bezeichner für die Einstellung in Intune. Dieser Wert ist mandantenübergreifend für dieselbe STIG-Vorlagenversion global konsistent.
StigRuleId Die DISA-STIG-Regel-ID (z. B. SV-253275r828909), die dem ursprünglichen STIG-Benchmark zugeordnet ist.
StigSeverity Der Schweregrad der STIG-Regel: hoch (CAT I), mittel (CAT II) oder niedrig (CAT III).
NumberOfCompliantDevices Die Anzahl der Zielgeräte, die diese spezifische STIG-Überprüfung bestanden haben.

Abrufen von Gerätedetails pro Einstellung

Verwenden Sie den Bericht pro Einstellung, um zu ermitteln, welche Geräte eine bestimmte STIG-Regel bestanden oder nicht bestanden haben. Dieser Bericht folgt dem gleichen dreistufigen Muster. Sie benötigen sowohl die PolicyId als auch die SettingId (abgerufen aus den Ergebnissen des Berichts pro Richtlinie).

Schritt 1 – Erstellen der zwischengespeicherten Berichtskonfiguration:

POST /beta/deviceManagement/reports/cachedReportConfigurations

{
  "id": "IndustryBaselinePerSettingDeviceAuditList_<PolicyId>",
  "filter": "(PolicyId eq '<PolicyId>') and (SettingId eq '<SettingId>')",
  "orderBy": [],
  "select": [
    "DeviceName",
    "MaxSettingStatus",
    "PspdpuLastModifiedTimeUtc"
  ]
}

Schritt 2 – Überwachen des Berichts status:

GET /beta/deviceManagement/reports/cachedReportConfigurations('IndustryBaselinePerSettingDeviceAuditList_<PolicyId>')

Schritt 3 – Abrufen der Ergebnisse:

POST /beta/deviceManagement/reports/getCachedReport

{
  "id": "IndustryBaselinePerSettingDeviceAuditList_<PolicyId>",
  "filter": "(PolicyId eq '<PolicyId>') and (SettingId eq '<SettingId>')",
  "orderBy": [],
  "select": [
    "DeviceName",
    "MaxSettingStatus",
    "PspdpuLastModifiedTimeUtc"
  ],
  "skip": 0,
  "top": 50
}

Die Antwortspalten umfassen:

Spalte Beschreibung
DeviceName Der Anzeigename des In Intune registrierten Geräts.
MaxSettingStatus Eine ganze Zahl, die die Überwachungs-status der Einstellung auf dem Gerät darstellt. Die vollständige Zuordnung finden Sie unter Überwachen von status Werten.
PspdpuLastModifiedTimeUtc Das letzte Mal, wenn das Gerät beim Intune-Dienst eingecheckt und status für diese Einstellung im UTC-Format gemeldet hat. Verwenden Sie diesen Zeitstempel, um veraltete Daten zu identifizieren oder strategien für die inkrementelle Synchronisierung zu entwerfen.

Grundlegendes zum Reinüberwachungsverhalten

Die STIG-Überwachungsbaseline funktioniert anders als andere Intune Sicherheitsbaselines:

Funktion Konfigurationsbaselines STIG-Überwachungsbaseline
Pushen von Einstellungen auf Geräte Ja Nein
Ändert die Gerätekonfiguration Ja Nein
Berichte zur Bewertung status Ja (Zustellung der Richtlinie) Ja (Bewertung des Gerätewerts)
Anpassbare Einstellungen Ja Nein (alle Regeln werden überwacht)
Kann mit anderen Richtlinien in Konflikt treten Ja Nein
Verfügbar in der kommerziellen Cloud Ja Nein (nur GCC High)
Unterstützt CSV-Export und -Graph-API Ja Ja
XCCDF-Ergebniszuordnung Nicht zutreffend Ja

Da die STIG-Überwachungsbaseline keine Konfiguration per Push an Geräte sendet, kommt es nicht zu Konflikten mit anderen Intune Richtlinien oder Baselines. Sie können es sicher zusammen mit Ihren vorhandenen Konfigurationsbaselines, Konformitätsrichtlinien und Gerätekonfigurationsprofilen bereitstellen.

Korrigieren von STIG-Überwachungsergebnissen

Die STIG-Überwachungsbaseline identifiziert Konfigurationslücken, behebt sie jedoch nicht. Verwenden Sie die folgenden Ansätze, um gerätekonform zu machen:

  • Einstellungen Katalogprofile – Erstellen oder Aktualisieren von Einstellungen Katalogprofile in Intune, um bestimmte Von der STIG-Überwachung identifizierte Einstellungen zu erzwingen. Dieser Ansatz wird für die STIG-Wartung empfohlen.
  • Intune Sicherheitsbaselines – Die Windows MDM-Sicherheitsbaseline erzwingt viele Einstellungen, die sich mit den STIG-Anforderungen überschneiden.
  • Konformitätsrichtlinien – Verwenden Sie Konformitätsrichtlinien , um Anforderungen zu definieren und Maßnahmen zu ergreifen, wenn Geräte nicht mehr konform sind.
  • Gruppenrichtlinie (Hybridumgebungen): Verwenden Sie für gemeinsam verwaltete Umgebungen Gruppenrichtlinie für Einstellungen, die noch nicht über Intune verfügbar sind.

STIG-Regeln, die eine manuelle Überprüfung erfordern

Sie können einige STIG-Regeln nicht automatisch auswerten, da sie eine physische Überprüfung, verwaltungsrechtliche Beurteilung oder Überprüfung von Bedingungen erfordern, die die Konfigurationsdienstanbieter des Geräts nicht erkennen können. Der Überwachungsbericht schließt diese Regeln aus. Bewerten Sie sie durch separate manuelle Verfahren. Ihre organization sollte einen Prozess einrichten, um die Einhaltung dieser Regeln zu bewerten und zu dokumentieren.

Die folgenden STIG-Regeln erfordern eine manuelle Überprüfung:

Regel-ID Beschreibung
V-253256 Windows 11 Systeme müssen über UEFI-Firmware verfügen und für die Ausführung im UEFI-Modus und nicht im Legacy-BIOS konfiguriert sein.
V-253258 Windows 11 müssen automatisierte Mechanismen einsetzen, um den Zustand von Systemkomponenten im Hinblick auf die Fehlerbehebung zu bestimmen.
V-253262 Das Betriebssystem muss eine Richtlinie zum Verweigern aller Ausnahmen verwenden, um die Ausführung autorisierter Softwareprogramme zu ermöglichen.
V-253269 Nur Konten, die für die Verwaltung eines Systems verantwortlich sind, müssen über Administratorrechte auf dem System verfügen.
V-253276 SNMP darf nicht auf dem System installiert werden.
V-253280 Softwarezertifikatinstallationsdateien müssen aus Windows 11 entfernt werden.
V-253281 Auf dem System muss eine hostbasierte Firewall installiert und aktiviert sein.
V-253282 Eingehende Ausnahmen von der Firewall auf Domänenarbeitsstationen dürfen nur autorisierte Remoteverwaltungshosts zulassen.
V-253290 Verwaiste SIDs müssen auf Windows 11 aus den Benutzerrechten entfernt werden.
V-253291 Bluetooth muss deaktiviert werden, es sei denn, dies wird vom organization genehmigt.
V-253292 Bluetooth muss deaktiviert werden, wenn es nicht verwendet wird.
V-253293 Das System muss den Benutzer benachrichtigen, wenn ein Bluetooth-Gerät versucht, eine Verbindung herzustellen.
V-253294 Administratorkonten dürfen nicht mit Anwendungen verwendet werden, die auf das Internet zugreifen.
V-253296 Der Windows 11 Zeitdienst muss mit einer geeigneten DOD-Zeitquelle synchronisiert werden.
V-253340 Berechtigungen für das Anwendungsereignisprotokoll müssen den Zugriff durch nicht privilegierte Konten verhindern.
V-253341 Berechtigungen für das Sicherheitsereignisprotokoll müssen den Zugriff durch nicht privilegierte Konten verhindern.
V-253342 Berechtigungen für das Systemereignisprotokoll müssen den Zugriff durch nicht privilegierte Konten verhindern.
V-253430 Die übergreifenden Zertifikate der US DOD CCEB Interoperability Stammzertifizierungsstelle müssen im Speicher für nicht vertrauenswürdige Zertifikate installiert werden.
V-253431 Standardberechtigungen für die HKEY_LOCAL_MACHINE Registrierungsstruktur müssen beibehalten werden.
V-253452 Anonyme SID/Namensübersetzung darf nicht zulässig sein.
V-268318 Windows 11 Systeme müssen entweder Gruppenrichtlinie oder ein genehmigtes MDM-Produkt verwenden, um die STIG-Konformität zu erzwingen.

Bekannte Einschränkungen

  • Nur Überwachung : Die STIG-Überwachungsbaseline erzwingt oder korrigiert keine Einstellungen. Verwenden Sie Einstellungen Katalogprofile für die Konfiguration.
  • Keine benutzerdefinierten Baselines – Sie können keine benutzerdefinierten STIG-Profile hochladen. Die Baseline enthält den vollständigen Satz von STIG-Regeln für den unterstützten Benchmark.
  • Keine tatsächlichen Gerätewerte – Der Überwachungsbericht zeigt das Ergebnis der einzelnen Regelprüfungen an, zeigt jedoch nicht den tatsächlichen Konfigurationswert auf dem Gerät an.
  • Einzelne Baselineversion – Sie können nur die neueste unterstützte Baselineversion verwenden, um neue Überwachungsprofile zu erstellen. Sie können keine Profile für ältere Baselineversionen erstellen. Profile, die Sie zuvor mit einer älteren Version erstellt haben, können jedoch weiterhin ausgeführt werden.
  • Nur GCC High – Die STIG-Überwachungsbaseline ist in kommerziellen, GCC- oder DoD-Cloudumgebungen nicht verfügbar.
  • Reine UX-Profilerstellung: Sie müssen STIG-Überwachungsprofile über das Intune Admin Center erstellen. Die API-basierte Profilerstellung wird nicht unterstützt.
  • Datenlatenz : Überwachungsdaten sind keine Echtzeitdaten. Zwischen einer Geräteauswertung und den im Bericht angezeigten Daten kann eine Verzögerung von mehreren Stunden auftreten. Weitere Informationen finden Sie unter Aktualität von Daten.

Häufig gestellte Fragen

Erzwingt die Baseline für die STIG-Überwachung Einstellungen auf Geräten?

Nein Die STIG-Überwachungsbaseline ist nur Audit. Es wertet die aktuelle Gerätekonfiguration aus und meldet, ob jedes Gerät die empfohlenen STIG-Werte erfüllt. Einstellungen werden nicht geändert oder erzwungen. Um Ergebnisse zu beheben, konfigurieren Sie die entsprechenden Richtlinien mithilfe des Einstellungskatalogs oder anderer Intune Richtlinientypen.

Welche STIG-Version verwendet die Baseline?

Die anfängliche Baseline überwacht den Microsoft Windows 11 STIG SCAP Benchmark, Version 2, Release 7 (Benchmarkdatum: 5. Januar 2026). Sobald Intune eine neuere Version verfügbar macht, müssen Sie ein neues Überwachungsprofil erstellen oder Ihr vorhandenes Profil aktualisieren, um diese neuere Version zu verwenden.

Kann ich die STIG-Überwachungsbaseline in einem kommerziellen Cloudmandanten verwenden?

Nein Die STIG-Überwachungsbaseline ist nur für GCC High-Mandanten verfügbar.

Kann ich anpassen, welche STIG-Regeln überwacht werden?

Nein Die STIG-Überwachungsbaseline wertet alle Regeln im unterstützten Benchmark als einzelnes Profil aus. Sie können keine Teilmenge der Regeln für die Überwachung auswählen. CAT I-, CAT II- und CAT III-Regeln sind alle in einer einzigen Baseline enthalten. Es gibt keine separaten Profile nach Schweregrad.

Steht die STIG-Überwachungsbaseline in Konflikt mit anderen Baselines oder Richtlinien?

Nein Da die STIG-Überwachungsbaseline schreibgeschützt ist und keine Konfiguration per Push an Geräte sendet, steht sie nicht in Konflikt mit anderen Intune Baselines, Konformitätsrichtlinien oder Gerätekonfigurationsprofilen.

Gewusst wie die PolicyId für Graph-API Aufrufe finden?

Öffnen Sie die STIG-Überwachungsrichtlinie im Intune Admin Center, und kopieren Sie die GUID aus der URL nach /policyID/. Sie können die PolicyId auch programmgesteuert über die Graph-API abrufen. Informationen zu beiden Methoden finden Sie unter Abrufen der PolicyId.

Kann ich STIG-Überwachungsdaten über mehrere Mandanten hinweg aggregieren?

Ja. Verwenden Sie die Graph-API, um Überwachungsrichtlinien programmgesteuert zu ermitteln und Mandantenübergreifende Überwachungsdaten abzurufen. Einstellungs-IDs sind mandantenübergreifend für dieselbe STIG-Vorlagenversion global konsistent, sodass Sie ergebnisse durch Festlegen korrelieren können. Richtlinien-IDs sind mandantenspezifisch und müssen pro Mandant ermittelt werden. Weitere Informationen finden Sie unter Abrufen der PolicyId.

Verwandte Inhalte

  • Last updated on