Konfigurieren von Microsoft Intune für Zero Trust: Sichere Mandanten (Vorschau)

Der Schutz Ihres Intune-Mandanten ist für die Durchsetzung von Zero Trust-Prinzipien und die Aufrechterhaltung einer sicheren, gut verwalteten Umgebung unerlässlich. Diese Empfehlungen stehen im Einklang mit der Secure Future Initiative von Microsoft, indem der Explosionsradius begrenzt und der Zugriff mit den geringsten Rechten durch segmentierte administrative Kontrolle, sicheres Geräte-Onboarding und richtliniengesteuerten Schutz erzwungen wird. Gemeinsam tragen sie dazu bei, Risiken zu reduzieren, die Mieterhygiene aufrechtzuerhalten und die Compliance plattformübergreifend zu stärken.

Zero Trust-Sicherheitsempfehlungen

Die Bereichstagkonfiguration wird erzwungen, um delegierte Administration und den Zugriff mit den geringsten Rechten zu unterstützen

Wenn Intune-Bereichstags nicht ordnungsgemäß für die delegierte Verwaltung konfiguriert sind, können Angreifer, die privilegierten Zugriff auf Intune oder Microsoft Entra ID erhalten, Berechtigungen ausweiten und auf sensible Gerätekonfigurationen im gesamten Mandanten zugreifen. Ohne granulare Bereichstags sind die administrativen Grenzen unklar, sodass sich Angreifer seitlich bewegen, Geräterichtlinien manipulieren, Konfigurationsdaten exfiltrieren oder schädliche Einstellungen für alle Benutzer und Geräte bereitstellen können. Ein einziges kompromittiertes Administratorkonto kann sich auf die gesamte Umgebung auswirken. Das Fehlen einer delegierten Verwaltung untergräbt auch den am wenigsten privilegierten Zugang, was es schwierig macht, Verstöße einzudämmen und Rechenschaftspflicht durchzusetzen. Angreifer können globale Administratorrollen oder falsch konfigurierte RBAC-Zuweisungen (rollenbasierte Zugriffssteuerung) ausnutzen, um Konformitätsrichtlinien zu umgehen und umfassende Kontrolle über die Geräteverwaltung zu erlangen.

Das Erzwingen von Bereichstags segmentiert den Administratorzugriff und richtet ihn an Organisationsgrenzen aus. Dies begrenzt den Explosionsradius kompromittierter Konten, unterstützt den Zugriff mit den geringsten Berechtigungen und entspricht den Zero Trust-Prinzipien der Segmentierung, rollenbasierten Kontrolle und Eindämmung.

Wartungsaktion

Verwenden Sie Intune-Bereichstags und RBAC-Rollen, um den Administratorzugriff basierend auf Rolle, Geografie oder Geschäftseinheit einzuschränken:

Benachrichtigungen zur Geräteregistrierung werden erzwungen, um Benutzerbewusstsein und sicheres Onboarding sicherzustellen

Ohne Benachrichtigungen zur Geräteregistrierung wissen Benutzer möglicherweise nicht, dass ihr Gerät in Intune registriert wurde, insbesondere in Fällen einer nicht autorisierten oder unerwarteten Registrierung. Dieser Mangel an Transparenz kann die Meldung verdächtiger Aktivitäten verzögern und das Risiko erhöhen, dass nicht verwaltete oder kompromittierte Geräte Zugriff auf Unternehmensressourcen erhalten. Angreifer, die Benutzeranmeldeinformationen erhalten oder Self-Enrollment-Flows ausnutzen, können Geräte im Hintergrund onboarden, die Überprüfung durch die Benutzer umgehen und die Offenlegung von Daten oder Lateral Movement-Aktionen ermöglichen.

Registrierungsbenachrichtigungen bieten Benutzern einen besseren Einblick in die Onboarding-Aktivitäten von Geräten. Sie helfen dabei, nicht autorisierte Registrierungen zu erkennen, sichere Bereitstellungspraktiken zu stärken und unterstützen Zero Trust-Prinzipien für Transparenz, Überprüfung und Benutzerbindung.

Wartungsaktion

Konfigurieren Sie die Benachrichtigungen über die Intune-Registrierung, um Benutzer zu benachrichtigen, wenn ihr Gerät registriert ist, und verstärken Sie sichere Onboarding-Praktiken:

Die automatische Geräteregistrierung unter Windows wird erzwungen, um Risiken durch nicht verwaltete Endpunkte zu eliminieren

Wenn die automatische Windows-Registrierung nicht aktiviert ist, können nicht verwaltete Geräte zu einem Einstiegspunkt für Angreifer werden. Bedrohungsakteure können diese Geräte verwenden, um auf Unternehmensdaten zuzugreifen, Konformitätsrichtlinien zu umgehen und Sicherheitsrisiken in die Umgebung einzuführen. Geräte, die ohne Intune-Registrierung in Microsoft Entra eingebunden sind, schaffen Lücken in der Transparenz und Kontrolle. Diese nicht verwalteten Endpunkte können Schwachstellen im Betriebssystem oder falsch konfigurierte Anwendungen aufdecken, die Angreifer ausnutzen können.

Durch die Erzwingung der automatischen Registrierung wird sichergestellt, dass Windows-Geräte von Anfang an verwaltet werden, was eine konsistente Durchsetzung der Richtlinien und einen Einblick in die Compliance ermöglicht. Dies unterstützt Zero Trust, indem sichergestellt wird, dass alle Geräte überprüft, überwacht und durch Sicherheitskontrollen gesteuert werden.

Wartungsaktion

Aktivieren Sie die automatische Registrierung für Windows-Geräte mit Intune und Microsoft Entra, um sicherzustellen, dass alle in die Domäne eingebundenen oder mit Entra verbundenen Geräte verwaltet werden:

Weitere Informationen finden Sie unter:

Konformitätsrichtlinien schützen Windows-Geräte

Wenn Konformitätsrichtlinien für Windows-Geräte nicht konfiguriert und zugewiesen werden, können Bedrohungsakteure nicht verwaltete oder nicht konforme Endpunkte ausnutzen, um nicht autorisierten Zugriff auf Unternehmensressourcen zu erhalten, Sicherheitskontrollen zu umgehen und in der Umgebung zu verbleiben. Ohne erzwungene Compliance können auf Geräten wichtige Sicherheitskonfigurationen wie BitLocker-Verschlüsselung, Kennwortanforderungen, Firewalleinstellungen und Betriebssystemversionskontrollen fehlen. Diese Lücken erhöhen das Risiko von Datenlecks, Privilegienausweitung und Lateral Movement. Eine inkonsistente Gerätekonformität schwächt den Sicherheitsstatus der Organization und erschwert das Erkennen und Beheben von Bedrohungen, bevor erhebliche Schäden entstehen.

Durch die Erzwingung von Konformitätsrichtlinien wird sichergestellt, dass Windows-Geräte die wichtigsten Sicherheitsanforderungen erfüllen, und Zero Trust unterstützt, indem die Geräteintegrität überprüft und die Anfälligkeit für falsch konfigurierte Endpunkte verringert wird.

Wartungsaktion

Erstellen und Zuweisen von Intune-Konformitätsrichtlinien zu Windows-Geräten, um Organisationsstandards für sicheren Zugriff und sichere Verwaltung durchzusetzen:

Konformitätsrichtlinien schützen macOS-Geräte

Wenn Konformitätsrichtlinien für macOS-Geräte nicht konfiguriert und zugewiesen werden, können Bedrohungsakteure nicht verwaltete oder nicht konforme Endpunkte ausnutzen, um nicht autorisierten Zugriff auf Unternehmensressourcen zu erhalten, Sicherheitskontrollen zu umgehen und in der Umgebung zu verbleiben. Ohne erzwungene Compliance können macOS-Geräten wichtige Sicherheitskonfigurationen wie Datenspeicherverschlüsselung, Passwortanforderungen und Betriebssystemversionskontrolle fehlen. Diese Lücken erhöhen das Risiko von Datenlecks, Privilegienausweitung und Lateral Movement. Eine inkonsistente Gerätekonformität schwächt den Sicherheitsstatus der Organization und erschwert das Erkennen und Beheben von Bedrohungen, bevor erhebliche Schäden entstehen.

Durch die Erzwingung von Konformitätsrichtlinien wird sichergestellt, dass macOS-Geräte die wichtigsten Sicherheitsanforderungen erfüllen, und Zero Trust unterstützt, indem die Geräteintegrität überprüft und die Anfälligkeit für falsch konfigurierte Endpunkte reduziert wird.

Wartungsaktionen

Erstellen und Zuweisen von Intune-Konformitätsrichtlinien zu macOS-Geräten, um Organisationsstandards für sicheren Zugriff und sichere Verwaltung durchzusetzen:

Konformitätsrichtlinien schützen vollständig verwaltete und unternehmenseigene Android-Geräte

Wenn vollständig verwalteten Android Enterprise-Geräten in Intune keine Konformitätsrichtlinien zugewiesen werden, können Bedrohungsakteure nicht konforme Endpunkte ausnutzen, um nicht konformen Zugriff auf Unternehmensressourcen zu erhalten, Sicherheitskontrollen zu umgehen und in der Umgebung zu verbleiben. Ohne erzwungene Compliance können auf Geräten wichtige Sicherheitskonfigurationen fehlen, wie z. B. Passcodeanforderungen, Datenspeicherverschlüsselung und Betriebssystemversionskontrollen. Diese Lücken erhöhen das Risiko von Datenlecks, Privilegienausweitung und Lateral Movement. Eine inkonsistente Gerätekonformität schwächt den Sicherheitsstatus der Organization und erschwert das Erkennen und Beheben von Bedrohungen, bevor erhebliche Schäden entstehen.

Durch die Erzwingung von Konformitätsrichtlinien wird sichergestellt, dass Android Enterprise-Geräte die wichtigsten Sicherheitsanforderungen erfüllen und Zero Trust unterstützen, indem die Geräteintegrität überprüft und die Anfälligkeit für falsch konfigurierte oder nicht verwaltete Endpunkte verringert wird.

Wartungsaktion

Erstellen Sie Intune-Konformitätsrichtlinien und weisen Sie vollständig verwalteten und unternehmenseigenen Android Enterprise-Geräten zu, um Organisationsstandards für sicheren Zugriff und sichere Verwaltung durchzusetzen:

Compliance-Richtlinien schützen persönliche Android-Geräte

Wenn den persönlichen Geräten von Android Enterprise in Intune keine Konformitätsrichtlinien zugewiesen sind, können Bedrohungsakteure nicht konforme Endpunkte ausnutzen, um nicht konformen Zugriff auf Unternehmensressourcen zu erhalten, Sicherheitskontrollen zu umgehen und Sicherheitsrisiken einzuführen. Ohne erzwungene Compliance können auf Geräten wichtige Sicherheitskonfigurationen wie Passcodeanforderungen, Datenspeicherverschlüsselung und Betriebssystemversionskontrollen fehlen. Diese Lücken erhöhen das Risiko von Datenlecks und unbefugtem Zugriff. Eine inkonsistente Gerätekonformität schwächt den Sicherheitsstatus der Organization und erschwert das Erkennen und Beheben von Bedrohungen, bevor erhebliche Schäden entstehen.

Durch die Erzwingung von Konformitätsrichtlinien wird sichergestellt, dass private Android-Geräte die wichtigsten Sicherheitsanforderungen erfüllen, und unterstützt Zero Trust, indem die Geräteintegrität überprüft und die Anfälligkeit für falsch konfigurierte oder nicht verwaltete Endpunkte verringert wird.

Wartungsaktion

Erstellen und Zuweisen von Intune-Konformitätsrichtlinien zu persönlichen Android Enterprise-Geräten, um Organisationsstandards für sicheren Zugriff und sichere Verwaltung durchzusetzen:

Konformitätsrichtlinien schützen iOS-/iPadOS-Geräte

Wenn iOS/iPadOS-Geräten in Intune keine Konformitätsrichtlinien zugewiesen werden, können Bedrohungsakteure nicht konforme Endpunkte ausnutzen, um nicht konformen Zugriff auf Unternehmensressourcen zu erhalten, Sicherheitskontrollen zu umgehen und in der Umgebung zu verbleiben. Ohne erzwungene Compliance können auf Geräten wichtige Sicherheitskonfigurationen wie Passcodeanforderungen und Betriebssystemversionskontrollen fehlen. Diese Lücken erhöhen das Risiko von Datenlecks, Privilegienausweitung und Lateral Movement. Eine inkonsistente Gerätekonformität schwächt den Sicherheitsstatus der Organization und erschwert das Erkennen und Beheben von Bedrohungen, bevor erhebliche Schäden entstehen.

Durch die Erzwingung von Konformitätsrichtlinien wird sichergestellt, dass iOS-/iPadOS-Geräte die wichtigsten Sicherheitsanforderungen erfüllen und Zero Trust unterstützt wird, indem die Geräteintegrität überprüft und die Anfälligkeit für falsch konfigurierte oder nicht verwaltete Endpunkte reduziert wird.

Wartungsaktion

Erstellen und Zuweisen von Intune-Konformitätsrichtlinien zu iOS/iPadOS-Geräten, um Organisationsstandards für sicheren Zugriff und sichere Verwaltung durchzusetzen:

Plattform-SSO ist so konfiguriert, dass die Authentifizierung auf macOS-Geräten verstärkt wird

Wenn die Plattform-SSO-Richtlinien auf macOS-Geräten nicht durchgesetzt werden, verlassen sich Endpunkte möglicherweise auf unsichere oder inkonsistente Authentifizierungsmechanismen, sodass Angreifer bedingten Zugriff und Compliancerichtlinien umgehen können. Dies öffnet die Tür für laterale Bewegungen über Clouddienste und lokale Ressourcen hinweg, insbesondere wenn Verbundidentitäten verwendet werden. Bedrohungsakteure können persistent bleiben, indem sie gestohlene Token oder zwischengespeicherte Anmeldeinformationen nutzen und sensible Daten über nicht verwaltete Apps oder Browsersitzungen exfiltrieren. Die fehlende SSO-Durchsetzung untergräbt auch die Richtlinien zum Schutz von Apps und die Bewertung der Geräteposition, was es schwierig macht, Verstöße zu erkennen und einzudämmen. Letztendlich gefährdet das Versäumnis, SSO-Richtlinien für die macOS-Plattform zu konfigurieren und zuzuweisen, die Identitätssicherheit und schwächt die Zero Trust-Haltung der organization.

Durch das Erzwingen von Plattform-SSO-Richtlinien auf macOS-Geräten wird eine konsistente, sichere Authentifizierung über Apps und Dienste hinweg sichergestellt. Dies stärkt den Identitätsschutz, unterstützt die Durchsetzung des bedingten Zugriffs und entspricht Zero Trust, indem die Abhängigkeit von lokalen Anmeldeinformationen verringert und die Statusbewertung verbessert wird.

Wartungsaktion

Verwenden von Intune zum Konfigurieren und Zuweisen von Plattform-SSO-Richtlinien für macOS-Geräte, um die sichere Authentifizierung zu erzwingen und den Identitätsschutz zu stärken, siehe:

Die automatische Registrierung von Defender für Endpunkt wird erzwungen, um das Risiko durch nicht verwaltete Android-Bedrohungen zu verringern

Wenn die automatische Registrierung bei Microsoft Defender for Endpoint für Android-Geräte in Intune nicht konfiguriert ist, bleiben verwaltete Endpunkte möglicherweise nicht vor mobilen Bedrohungen geschützt. Ohne Defender-Onboarding verfügen Geräte nicht über erweiterte Funktionen zur Erkennung und Reaktion auf Bedrohungen, was das Risiko von Schadsoftware, Phishing und anderen mobilen Angriffen erhöht. Ungeschützte Geräte können Sicherheitsrichtlinien umgehen, auf Unternehmensressourcen zugreifen und vertrauliche Daten der Gefährdung aussetzen. Diese Lücke in der mobilen Bedrohungsabwehr schwächt die Zero Trust-Haltung der Organization und verringert die Transparenz der Endpunktintegrität.

Durch die Aktivierung der automatischen Defender-Registrierung wird sichergestellt, dass Android-Geräte durch erweiterte Funktionen zur Erkennung und Reaktion auf Bedrohungen geschützt sind. Dies unterstützt Zero Trust, indem der Schutz vor mobilen Bedrohungen durchgesetzt, die Transparenz verbessert und die Anfälligkeit für nicht verwaltete oder kompromittierte Endpunkte verringert wird.

Wartungsaktion

Verwenden Sie Intune, um die automatische Registrierung bei Microsoft Defender für Endpunkt für Android-Geräte zu konfigurieren, um den Schutz vor mobilen Bedrohungen zu erzwingen:

Gerätebereinigungsregeln sorgen für Mandantenhygiene, indem inaktive Geräte ausgeblendet werden

Wenn in Intune keine Regeln für die Gerätebereinigung konfiguriert sind, können veraltete oder inaktive Geräte auf unbestimmte Zeit im Mandanten sichtbar bleiben. Dies führt zu unübersichtlichen Gerätelisten, ungenauer Berichterstellung und eingeschränkter Transparenz der aktiven Gerätelandschaft. Bei nicht verwendeten Geräten bleiben möglicherweise Anmeldeinformationen oder Token für den Zugriff erhalten, was das Risiko eines nicht autorisierten Zugriffs oder falsch informierter Richtlinienentscheidungen erhöht.

Gerätebereinigungsregeln verbergen inaktive Geräte automatisch vor Administratoransichten und -berichten, wodurch die Mandantenhygiene verbessert und der Verwaltungsaufwand verringert wird. Dies unterstützt Zero Trust, indem ein genaues und vertrauenswürdiges Geräteinventar verwaltet und gleichzeitig historische Daten für Audits oder Untersuchungen aufbewahrt werden.

Wartungsaktion

Konfigurieren Sie die Intune-Gerätebereinigungsregeln, um inaktive Geräte automatisch vor dem Mandanten auszublenden:

Weitere Informationen finden Sie unter:

Allgemeine Geschäftsbedingungen: Richtlinien schützen den Zugriff auf sensible Daten

Wenn Geschäftsbedingungen-Richtlinien in Intune nicht konfiguriert und zugewiesen sind, können Benutzer auf Unternehmensressourcen zugreifen, ohne den erforderlichen rechtlichen, Sicherheits- oder Nutzungsbedingungen zuzustimmen. Dieses Versäumnis setzt die organization Compliancerisiken, rechtlichen Verpflichtungen und potenziellem Missbrauch von Ressourcen aus.

Die Durchsetzung der Allgemeinen Geschäftsbedingungen stellt sicher, dass Benutzer die Unternehmensrichtlinien anerkennen und akzeptieren, bevor sie auf vertrauliche Daten oder Systeme zugreifen, was die Einhaltung gesetzlicher Vorschriften und eine verantwortungsvolle Ressourcennutzung unterstützt.

Wartungsaktion

Erstellen und Zuweisen von Nutzungsbedingungen in Intune, um vor dem Gewähren des Zugriffs auf Unternehmensressourcen die Zustimmung des Benutzers zu erfordern:

Branding und Supporteinstellungen für das Unternehmensportal verbessern Benutzerfreundlichkeit und Vertrauen

Wenn das Branding des Intune-Unternehmensportals nicht so konfiguriert ist, dass es die Details Ihrer Organization darstellt, können Benutzer auf eine generische Schnittstelle stoßen und keine direkten Supportinformationen erhalten. Dies verringert das Vertrauen der Benutzer, erhöht den Supportaufwand und kann zu Verwirrung oder Verzögerungen bei der Lösung von Problemen führen.

Das Anpassen des Unternehmensportals an das Branding und die Kontaktdaten Ihrer organization verbessert das Vertrauen der Benutzer, optimiert den Support und stärkt die Legitimität der Kommunikation mit der Geräteverwaltung.

Wartungsaktion

Konfigurieren Sie das Intune-Unternehmensportal mit den Branding- und Support-Kontaktinformationen Ihrer organization, um die Benutzererfahrung zu verbessern und den Supportaufwand zu reduzieren:

Endpoint Analytics ist aktiviert, um Risiken auf Windows-Geräten zu identifizieren

Wenn Endpunktanalysen nicht aktiviert sind, können Bedrohungsakteure Lücken in der Geräteintegrität, der Leistung und dem Sicherheitsstatus ausnutzen. Ohne die Transparenz, die Endpunktanalysen bieten, kann es für eine Organisation schwierig sein, Indikatoren wie anomales Geräteverhalten, verzögertes Patchen oder Konfigurationsabweichungen zu erkennen. Diese Lücken ermöglichen es Angreifern, Persistenz herzustellen, Berechtigungen zu eskalieren und sich seitlich durch die Umgebung zu bewegen. Das Fehlen von Analysedaten kann eine schnelle Erkennung und Reaktion behindern, sodass Angreifer nicht überwachte Endpunkte für Befehls- und Kontrollfunktionen, Datenexfiltration oder weitere Kompromittierungen ausnutzen können.

Die Aktivierung der Endpunktanalyse bietet Einblick in den Zustand und das Verhalten von Geräten und hilft Unternehmen, Risiken zu erkennen, schnell auf Bedrohungen zu reagieren und eine starke Zero Trust-Haltung aufrechtzuerhalten.

Wartungsaktion

Registrieren Sie Windows-Geräte bei Endpunktanalysen in Intune, um die Geräteintegrität zu überwachen und Risiken zu identifizieren:

Weitere Informationen finden Sie unter:

Verwandte Inhalte

  • Last updated on