Biztonsági alapkonfigurációk használata a Microsoft Intune segítségével felügyelt windowsos eszközök biztonságossá tételéhez

A Microsoft Intune biztonsági alapkonfigurációival gyorsan üzembe helyezhet egy ajánlott biztonsági helyzetet a felügyelt Windows-eszközökön a Windows biztonsági alapkonfigurációihoz, ami segít a felhasználók és az eszközök biztonságának növelésében és védelmében.

Annak ellenére, hogy a Windows és a Windows Server a beépített alkalmazások biztonságossá tételét terveztük, sok szervezet továbbra is szeretne részletesebb szabályozást a biztonsági konfigurációk felett. A nagyszámú vezérlőelem közötti navigáláshoz a szervezetek gyakran kérnek útmutatást a különböző biztonsági funkciók konfigurálásához. A Microsoft biztonsági alapértékek formájában adja meg ezt az útmutatást.

Ez a funkció az alábbiakra vonatkozik:

  • Windows 11

  • Windows 10 1809-es és újabb verziók

    Fontos

    2025. október 14-én a Windows 10 támogatása megszűnt, és nem kapja meg a minőségi és funkciófrissítéseket. A Windows 10 engedélyezett verzió az Intune-ban. Az ezt a verziót futtató eszközök továbbra is regisztrálhatók az Intune-ban, és használhatják a jogosult funkciókat, de a működés nem lesz garantált, és változhat.

Az Intune biztonsági alapkonfigurációjának áttekintése

Minden biztonsági alapkonfiguráció előre konfigurált Windows-beállítások csoportja, amelyek segítenek az érintett biztonsági csapatok által ajánlott részletes biztonsági beállítások alkalmazásában és kikényszerítésében. Az egyes telepített alapterveket testre is szabhatja, hogy csak a szükséges beállításokat és értékeket kényszerítse ki a rendszer. Amikor biztonsági alapkonfigurációs profilt hoz létre az Intune-ban, egy több eszközkonfigurációs profilból álló sablont hoz létre.

Az egyes alapkonfigurációk beállításai olyan eszközkonfigurációs beállítások, mint amilyenek a különböző Intune-szabályzatokban találhatók. Az alapkonfiguráció minden egyes beállítása együttműködik a felügyelt windowsos eszközön található adott termék konfigurációs szolgáltatójával.

Ha többet szeretne megtudni arról, hogy miért és mikor lehet szükség biztonsági alapkonfigurációk telepítésére, tekintse meg a Windows biztonsági alapkonfigurációit ismertető szakaszt a Windows biztonsági dokumentációjában.

A biztonsági alapkonfigurációkat felhasználók vagy eszközök csoportjaira telepítheti az Intune-ban, és a beállítások a Windows rendszert futtató eszközökre vonatkoznak. A Windows 10-es és újabb biztonsági alapkonfigurációk alapértelmezett konfigurációja például automatikusan engedélyezi a BitLocker szolgáltatást a cserélhető meghajtókhoz, automatikusan jelszót kér az eszköz zárolásának feloldásához, automatikusan letiltja az egyszerű hitelesítést, és így tovább. Ha egy alapértelmezett érték nem megfelelő a környezetéhez, az alapterv testreszabásával a kívánt beállításokat alkalmazhatja.

Megjegyzés:

2023 májusában az Intune megkezdte egy új biztonsági alapkonfiguráció formátumának bevezetését minden új alapkonfiguráció kiadásához vagy verziófrissítéséhez. Az új formátum frissíti az alapterv beállításait, hogy a nevüket és a konfigurációs beállításokat közvetlenül az alapbeállítás által kezelt konfigurációs szolgáltatótól (CSP) vegyék át.

Az Intune egy új eljárást is bevezetett, amely segít a meglévő biztonsági alapkonfiguráció-profilok újabb alapverzióba való áttelepítésében. Ez az új viselkedés egy egyszeri folyamat, amely felváltja a normál frissítési viselkedést, amikor egy régebbi profil legújabb verziójáról egy újabb, 2023 májusában vagy később elérhetővé vált verzióra vált.

Az alapkonfigurációk használatának előnyei: A biztonsági alapkonfigurációk segíthetnek abban, hogy teljes körű biztonságos munkafolyamatot hozzon létre a Microsoft 365 használata során. Néhány az előnyök közül:

  • Alapértelmezés szerint minden biztonsági alapkonfiguráció úgy van konfigurálva, hogy megfeleljen a biztonságot befolyásoló beállításokkal kapcsolatos ajánlott eljárásoknak és ajánlásoknak. Az Intune ugyanazzal a Windows biztonsági csapattal működik együtt, amely a csoportházirendek biztonsági alapkonfigurációit hozza létre. Ezek a javaslatok útmutatáson és széleskörű tapasztalaton alapulnak.
  • Ha még nem ismeri az Intune-t, és nem tudja, hogy hol kezdje, a biztonsági alapkonfigurációk előnyt jelentenek. Gyorsan létrehozhat és üzembe helyezhet egy biztonságos profilt, tudva, hogy ezzel hozzájárul szervezete erőforrásainak és adatainak védelméhez.
  • Ha jelenleg csoportházirendet használ, ezekkel az alapkonfigurációkkal egyszerűbben végezhet áttelepítést az Intune for Managementbe. Ezek az alapértékek natív módon be vannak építve az Intune-ba, és modern felügyeleti felületet tartalmaznak.

Alapértelmezett beállítások több alaptervhez: A különálló alapkonfigurációtípusok (például a Windowshoz és a Microsoft Defender) mobileszközhöz készült biztonsági alapkonfiguráció ugyanazokat a beállításokat tartalmazhatják, és ezekhez a beállításokhoz eltérő alapértelmezett értékeket használhatnak. Az Intune nem tudja meghatározni, hogy melyik konfiguráció a legmegfelelőbb az Ön számára, vagy azt sem, hogy melyik környezetben vagy forgatókönyvben érdemes az alapértelmezett alapkonfigurációkat egy másikkal szemben használni:

  • Fontos megérteni az alapértékeket, amelyeket az Ön által használt alapértékeknek megfelelően módosítani kell, majd módosítani azokat a szervezet igényeinek megfelelően.
  • Alapértelmezés szerint minden alapkonfiguráció az adott termékre vonatkozó ajánlások alapján van előre konfigurálva.
  • Bizonyos esetekben előfordulhat, hogy egy Microsoft Defender által javasolt konfiguráció nem az alapértelmezett konfiguráció a Windows által javasolt hasonló beállításokhoz. Ilyen esetekben fontos áttekinteni az egyes beállításokat, hogy a konfigurációs szolgáltató adatai és a két termék szélesebb körű köre alapján megértse a rendeltetését.

A biztonsági alapkonfigurációk alapértelmezett beállításai szinte minden esetben a legszigorúbbak. Győződjön meg arról, hogy ezek a beállítások nem ütköznek a környezetében lévő más házirend-beállításokkal vagy funkciókkal.

Előfordulhat például, hogy a tűzfal beállításának alapértelmezett beállításai nem egyesítik a kapcsolatbiztonsági szabályokat és a helyi házirendszabályokat a MDM-szabályokkal. Ha tehát kézbesítésoptimalizálást használ, akkor a biztonsági alapkonfiguráció hozzárendelése előtt ellenőriznie kell ezeket a konfigurációkat.

Megjegyzés:

A Microsoft nem javasolja a biztonsági alapkonfigurációk előzetes verzióinak használatát éles környezetben. Az előzetes alapkonfiguráció beállításai az előzetes verzió során módosulhatnak.

Rendelkezésre álló biztonsági alapkonfigurációk

Az alábbi biztonsági alapkonfiguráció példányai érhetők el az Intune-nal való használatra. A hivatkozások segítségével megtekintheti az egyes alapkonfigurációk legutóbbi példányainak beállításait.

Amikor egy profilhoz új verzió válik elérhetővé, a régebbi verziókon alapuló profilok beállításai írásvédetté válnak. A régebbi profilokat továbbra is használhatja. Szerkesztheti a profilneveket, a leírást és a feladatokat is, de ezek nem támogatják a beállítások konfigurációjának módosítását, és a régebbi verziókon alapuló új profilok sem hozhatók létre.

Amikor készen áll a újabb alapkonfigurációs verzió használatára, létrehozhat új profilokat, vagy frissítheti a meglévőket az új verzióra. A Biztonsági alapkonfiguráció profilok kezelése című cikk Az Alaptervi profil frissítése a legújabb verzióra szakaszát lásd

Az alapterv-verziók és -példányok

Az alapterv minden új verziópéldánya hozzáadhat vagy eltávolíthat beállításokat, illetve egyéb módosításokat vezethet be. Például amikor új Windows-beállítások válnak elérhetővé a Windows új verzióiban, a Security Baseline for Windows 10 and újabb verzió példánya új példányt kaphat, amely tartalmazza a legújabb beállításokat.

Az elérhető alapkonfigurációk listáját a Microsoft Intune Felügyeleti központVégpontbiztonsági>biztonsági alapkonfigurációk területén tekintheti meg. A lista a következőket tartalmazza:

  • Az egyes biztonsági alapterv sablonok neve.
  • Hány profilja van, amely ezt a típusú alaptervet használja.
  • Az alapkonfiguráció típusának hány különálló példánya (verziója) érhető el.
  • A legutóbbi közzététel dátuma, amely azt jelzi, hogy mikor vált elérhetővé az alaptervsablon legújabb verziója.

Ha többet szeretne megtudni a használt alapkonfiguráció-verziókról, válasszon ki egy alapvonaltípust (például Biztonsági alapkonfiguráció Windows 10-hez és újabb verziókhoz) a Profilok panel megnyitásához, majd válassza a Verziók lehetőséget. Az Intune részleteket jelenít meg az alapkonfigurációnak a profilok által használt verzióiról. A részletek között szerepel a legújabb és a legfrissebb alapverzió. Egyetlen verziót is kiválaszthat az adott verziót használó profilok részletesebb adatainak megtekintéséhez.

Módosíthatja egy adott profillal használt alapterv verzióját . A verzió módosításakor nem kell új alaptervi profilt létrehoznia ahhoz, hogy kihasználhassa a frissített verziók előnyeit. Ehelyett kiválaszthat egy alaptervi profilt, és a beépített beállítással módosíthatja a profil példányverzióját egy újra.

Ütközések elkerülése

Az Intune-környezetben egyidejűleg használhatja az egy vagy több elérhető alaptervet. Használhatja ugyanazon biztonsági alapkonfigurációk több példányát is, amelyek különböző testreszabásokkal rendelkeznek.

Több biztonsági alapterv használata esetén ellenőrizze az egyes beállítások beállításait, hogy megállapítsa, előfordulhat-e a különböző alapkonfigurációkban ütköző értékek ugyanahhoz a beállításhoz. Mivel telepíthet különböző célokra tervezett biztonsági alapkonfigurációkat, és ugyanannak az alapvonalnak több példányát is telepítheti, amely testre szabott beállításokat is tartalmaz, konfigurációs ütközések jöhetnek létre az eszközök esetében, amelyeket meg kell vizsgálni és fel kell oldani.

Emellett a biztonsági alapkonfigurációk gyakran ugyanazokat a beállításokat kezelik, amelyeket az eszközkonfigurációs profilok vagy más típusú házirendek esetén adhat meg. Ezért az ütközések elkerülése vagy feloldása során érdemes figyelembe venni és figyelembe venni a többi házirendet és profilt is.

Az ütközések azonosítását és feloldását segítő információkat lásd:

Q & A

Miért ezek a beállítások?

A Microsoft biztonsági csapata több éves tapasztalattal rendelkezik a Windows-fejlesztőkkel és a biztonsági közösséggel való közvetlen együttműködésben a javaslatok megalkotásában. Az alapkonfiguráció beállításai a biztonsággal kapcsolatos legrelevánsabb konfigurációs beállítások. A csapat minden új Windows-buildben az újonnan kiadott funkciók alapján módosítja ajánlásait.

Van különbség a Windows biztonsági alapkonfigurációira vonatkozó javaslatok között a Csoportházirend és az Intune esetében?

Ugyanaz a Microsoft biztonsági csapat választotta ki és rendezte az egyes alapkonfigurációk beállításait. Az Intune az összes vonatkozó beállítást tartalmazza az Intune biztonsági alapkonfigurációjában. A csoportházirend alapkonfigurációjában vannak olyan, helyszíni tartományvezérlőkre vonatkozó beállítások, amelyek kifejezetten a helyszíni tartományvezérlőkre vonatkoznak. Ezek a beállítások ki vannak zárva az Intune javaslataiból. Minden más beállítás ugyanaz.

Az Intune biztonsági alapkonfigurációi CIS- vagy NIST-kompatibilisek?

Szigorúan véve nem. A Microsoft biztonsági csapata szervezetekkel, például a CIS-szel konzultál a javaslatok összeállítása során. Ugyanakkor nincs egy-az-egyhez leképezés a CIS-kompatibilis és a Microsoft alapkonfigurációi között.

Milyen tanúsítványokkal rendelkeznek a Microsoft biztonsági alapkonfigurációi?

A Microsoft évek óta továbbra is közzéteszi a csoportházirendek (GPO-k) és a biztonsági megfelelőségi eszközkészlet biztonsági alapértékeit. Ezeket az alapértékeket számos szervezet használja. Az alapértékekben szereplő javaslatok a Microsoft biztonsági csapatának vállalati ügyfelekkel és külső ügynökségekkel (többek között a Védelmi Minisztériummal (DoD) és a Nemzeti Szabványügyi és Technológiai Intézettel (NIST) folytatott együttműködéséből származnak. Ajánlásainkat és alapterveinket ezekkel a szervezetekkel is megosztjuk. Ezek a szervezetek saját ajánlásokkal is rendelkeznek, amelyek szorosan tükrözik a Microsoft ajánlásait. Mivel a mobileszköz-felügyelet (MDM) egyre inkább a felhőbe terjeszkedik, a Microsoft egyenértékű MDM-ajánlásokat hozott létre ezekhez a csoportházirend-alapkonfigurációkhoz. Ezen alapértékek közül sok be van építve a Microsoft Intune-ba, és megfelelőségi jelentéseket tartalmaznak azokról a felhasználókról, csoportokról és eszközökről, amelyek követik (vagy nem követik) az alapkonfigurációt.

Sok ügyfél az Intune alapkonfiguráció-javaslatait használja kiindulási pontként, majd testre szabja azokat az informatikai és biztonsági igényeinek megfelelően. A Microsoft Windows 10-es és újabb alaptervi sablonja volt az első megjelent alapterv. Ez az alapkonfiguráció olyan általános infrastruktúraként épül fel, amely lehetővé teszi az ügyfelek számára, hogy végül más biztonsági alapértékeket importáljanak a CIS, a NIST és más szabványok alapján.

A helyszíni Active Directory csoportházirendekről a Microsoft Entra ID és a Microsoft Intune használatával egy tisztán felhőbeli megoldásra való áttérés egy utazás. Segítségként használja a Security Compliance eszközkészlet különféle eszközeit, amelyek segítségével azonosíthatja a helyszíni csoportházirend-objektum konfigurációit lecserélő felhőalapú lehetőségeket a biztonsági alapkonfigurációkból.

Hol találok részleteket a biztonsági alapkonfigurációkban elérhető beállítások használatáról és konfigurálásáról?

Az egyes biztonsági alapkonfigurációk az eszközön található konfigurációs szolgáltatónál található beállítások alkalmazásával kezelik az eszközkonfigurációkat. A Microsoft Defender szolgáltatásra vonatkozó beállítások például a Microsoft Defender CSP-ből származnak. Mivel az Intune ezeknek a lehetőségeknek a konfigurációs eszköze, és nem határozza meg a működésüket vagy a hatókörüket, a CSP dokumentációja birtokolja az egyes beállítások konfigurálására vonatkozó tartalmat.

Az Intune biztonsági alapházirendjének felhasználói felületén belül az Intune információs szöveget biztosít, amely a forrás CSP-ből származik, és hivatkozást biztosít a felhőszolgáltatóra. Bizonyos esetekben a CSP egy nagyobb tartalomkészlet része lehet, amely olyan proaktív útmutatást tartalmaz, amely az Intune hatókörén kívül esik a tartalomba való belefoglaláshoz vagy duplikáláshoz. Az Intune azonban dokumentálja a beállítások listáját az egyes biztonsági alapverziókban és azok alapértelmezett konfigurációjában.

További információ

  • Utolsó frissítés időpontja: