Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
La protezione del tenant di Intune è essenziale per applicare i principi Zero Trust e mantenere un ambiente sicuro e ben gestito. Queste raccomandazioni sono in linea con la Secure Future Initiative di Microsoft, limitando il raggio d'azione e applicando l'accesso con privilegi minimi attraverso il controllo amministrativo segmentato, l'onboarding sicuro dei dispositivi e le protezioni basate su policy. Insieme, consentono di ridurre i rischi, mantenere l'igiene degli inquilini e rafforzare la conformità tra le piattaforme.
Consigli per la sicurezza Zero Trust
La configurazione del tag dell'ambito viene applicata per supportare l'amministrazione delegata e l'accesso con privilegi minimi
Se i tag degli ambiti di Intune non sono configurati correttamente per l'amministrazione delegata, gli utenti malintenzionati che ottengono l'accesso privilegiato a Intune o Microsoft Entra ID possono aumentare i privilegi e accedere alle configurazioni sensibili dei dispositivi in tutto il tenant. Senza tag granulari dell'ambito, i confini amministrativi non sono chiari, consentendo agli utenti malintenzionati di spostarsi lateralmente, manipolare i criteri dei dispositivi, esfiltrare i dati di configurazione o distribuire impostazioni dannose a tutti gli utenti e dispositivi. Un singolo account amministratore compromesso può avere un impatto sull'intero ambiente. L'assenza di un'amministrazione delegata mina anche l'accesso con privilegi minimi, rendendo difficile contenere le violazioni e far rispettare la responsabilità. Gli utenti malintenzionati potrebbero sfruttare i ruoli di amministratore globale o le assegnazioni di controllo degli accessi in base ai ruoli (RBAC) configurate in modo errato per aggirare i criteri di conformità e ottenere un ampio controllo sulla gestione dei dispositivi.
L'applicazione dei tag degli ambiti segmenta l'accesso amministrativo e lo allinea ai limiti dell'organizzazione. Ciò limita il raggio d'azione degli account compromessi, supporta l'accesso con privilegi minimi ed è in linea con i principi Zero Trust di segmentazione, controllo basato sui ruoli e contenimento.
Azione correttiva
Usare i tag degli ambiti di Intune e i ruoli RBAC per limitare l'accesso amministratore in base al ruolo, all'area geografica o alla business unit:
- Informazioni su come creare e distribuire tag di ambito per l'IT distribuito
- Implementare il controllo degli accessi in base ai ruoli con Microsoft Intune
Le notifiche di registrazione dei dispositivi vengono applicate per garantire la consapevolezza degli utenti e l'onboarding sicuro
Senza notifiche di registrazione del dispositivo, gli utenti potrebbero non essere consapevoli del fatto che il dispositivo è stato registrato in Intune, in particolare nei casi di registrazione non autorizzata o imprevista. Questa mancanza di visibilità può ritardare la segnalazione di attività sospette da parte degli utenti e aumentare il rischio che dispositivi non gestiti o compromessi ottengano l'accesso alle risorse aziendali. Gli utenti malintenzionati che ottengono le credenziali utente o sfruttano i flussi di autoiscrizione possono eseguire l'onboarding dei dispositivi automaticamente, ignorando il controllo utente e abilitando l'esposizione dei dati o il movimento laterale.
Le notifiche di registrazione forniscono agli utenti una migliore visibilità sull'attività di onboarding dei dispositivi. Consentono di rilevare le registrazioni non autorizzate, rafforzare le procedure di provisioning sicuro e supportare i principi Zero Trust di visibilità, verifica e coinvolgimento degli utenti.
Azione correttiva
Configurare le notifiche di registrazione di Intune per avvisare gli utenti quando il dispositivo è registrato e rafforzare le procedure di onboarding sicuro:
La registrazione automatica dei dispositivi di Windows viene applicata per eliminare i rischi derivanti dagli endpoint non gestiti
Se la registrazione automatica di Windows non è abilitata, i dispositivi non gestiti possono diventare un punto di ingresso per gli utenti malintenzionati. Gli autori delle minacce potrebbero usare questi dispositivi per accedere ai dati aziendali, aggirare i criteri di conformità e introdurre vulnerabilità nell'ambiente. I dispositivi aggiunti a Microsoft Entra senza registrazione a Intune creano lacune in termini di visibilità e controllo. Questi endpoint non gestiti possono esporre punti deboli nel sistema operativo o applicazioni mal configurate che gli utenti malintenzionati possono sfruttare.
L'applicazione della registrazione automatica garantisce che i dispositivi Windows siano gestiti fin dall'inizio, consentendo l'applicazione coerente dei criteri e la visibilità sulla conformità. Ciò supporta Zero Trust assicurando che tutti i dispositivi siano verificati, monitorati e gestiti da controlli di sicurezza.
Azione correttiva
Abilita la registrazione automatica per i dispositivi Windows usando Intune e Microsoft Entra per garantire che tutti i dispositivi aggiunti a dominio o aggiunti a Entra siano gestiti:
Per altre informazioni, vedere:
I criteri di conformità proteggono i dispositivi Windows
Se i criteri di conformità per i dispositivi Windows non sono configurati e assegnati, gli attori delle minacce possono sfruttare gli endpoint non gestiti o non conformi per ottenere l'accesso non autorizzato alle risorse aziendali, aggirare i controlli di sicurezza e persistere all'interno dell'ambiente. Senza una conformità applicata, i dispositivi potrebbero non avere configurazioni di sicurezza critiche, ad esempio crittografia BitLocker, requisiti delle password, impostazioni del firewall e controlli della versione del sistema operativo. Queste lacune aumentano il rischio di perdita di dati, escalation dei privilegi e spostamento laterale. La conformità incoerente dei dispositivi indebolisce il livello di sicurezza dell'organizzazione e rende più difficile rilevare e correggere le minacce prima che si verifichino danni significativi.
L'applicazione dei criteri di conformità garantisce che i dispositivi Windows soddisfino i requisiti di sicurezza fondamentali e supporti Zero Trust convalidando l'integrità dei dispositivi e riducendo l'esposizione a endpoint configurati in modo non corretto.
Azione correttiva
Creare e assegnare criteri di conformità di Intune ai dispositivi Windows per applicare standard organizzativi per l'accesso e la gestione sicuri:
- Creare e assegnare criteri di conformità di Intune
- Rivedere le impostazioni di conformità di Windows che è possibile gestire con Intune
I criteri di conformità proteggono i dispositivi macOS
Se i criteri di conformità per i dispositivi macOS non sono configurati e assegnati, gli attori delle minacce possono sfruttare gli endpoint non gestiti o non conformi per ottenere l'accesso non autorizzato alle risorse aziendali, aggirare i controlli di sicurezza e persistere all'interno dell'ambiente. Senza una conformità applicata, i dispositivi macOS possono non disporre di configurazioni di sicurezza critiche, ad esempio la crittografia dell'archiviazione dei dati, i requisiti delle password e i controlli della versione del sistema operativo. Queste lacune aumentano il rischio di perdita di dati, escalation dei privilegi e spostamento laterale. La conformità incoerente dei dispositivi indebolisce il livello di sicurezza dell'organizzazione e rende più difficile rilevare e correggere le minacce prima che si verifichino danni significativi.
L'applicazione dei criteri di conformità garantisce che i dispositivi macOS soddisfino i requisiti di sicurezza fondamentali e supporti Zero Trust convalidando l'integrità del dispositivo e riducendo l'esposizione a endpoint configurati in modo errato.
Azioni correttive
Creare e assegnare criteri di conformità di Intune ai dispositivi macOS per applicare standard organizzativi per l'accesso e la gestione sicuri:
- Creare e assegnare criteri di conformità di Intune
- Rivedere le impostazioni di conformità macOS che è possibile gestire con Intune
I criteri di conformità proteggono i dispositivi Android completamente gestiti e di proprietà dell'azienda
Se i criteri di conformità non vengono assegnati a dispositivi Android Enterprise completamente gestiti in Intune, gli attori delle minacce possono sfruttare gli endpoint non conformi per ottenere l'accesso non autorizzato alle risorse aziendali, aggirare i controlli di sicurezza e persistere nell'ambiente. Senza una conformità applicata, i dispositivi potrebbero non avere configurazioni di sicurezza critiche, ad esempio requisiti di passcode, crittografia dell'archiviazione dei dati e controlli della versione del sistema operativo. Queste lacune aumentano il rischio di perdita di dati, escalation dei privilegi e spostamento laterale. La conformità incoerente dei dispositivi indebolisce il livello di sicurezza dell'organizzazione e rende più difficile rilevare e correggere le minacce prima che si verifichino danni significativi.
L'applicazione dei criteri di conformità garantisce che i dispositivi Android Enterprise soddisfino i requisiti di sicurezza fondamentali e supporti Zero Trust convalidando l'integrità dei dispositivi e riducendo l'esposizione a endpoint non configurati correttamente o non gestiti.
Azione correttiva
Creare e assegnare criteri di conformità di Intune a dispositivi Android Enterprise completamente gestiti e di proprietà dell'azienda per applicare standard organizzativi per l'accesso e la gestione sicuri:
- Crea criteri di conformità in Microsoft Intune
- Esaminare le impostazioni di conformità di Android Enterprise che è possibile gestire con Intune
I criteri di conformità proteggono i dispositivi Android di proprietà personale
Se i criteri di conformità non vengono assegnati ai dispositivi Android Enterprise di proprietà personale in Intune, gli attori delle minacce possono sfruttare gli endpoint non conformi per ottenere l'accesso non autorizzato alle risorse aziendali, aggirare i controlli di sicurezza e introdurre vulnerabilità. Senza una conformità applicata, i dispositivi possono non avere configurazioni di sicurezza critiche, ad esempio requisiti di passcode, crittografia dell'archiviazione dei dati e controlli della versione del sistema operativo. Queste lacune aumentano il rischio di perdita di dati e accesso non autorizzato. La conformità incoerente dei dispositivi indebolisce il livello di sicurezza dell'organizzazione e rende più difficile rilevare e correggere le minacce prima che si verifichino danni significativi.
L'applicazione dei criteri di conformità garantisce che i dispositivi Android di proprietà personale soddisfino i requisiti di sicurezza fondamentali e supporti Zero Trust convalidando l'integrità dei dispositivi e riducendo l'esposizione a endpoint non configurati correttamente o non gestiti.
Azione correttiva
Creare e assegnare criteri di conformità di Intune ai dispositivi Android Enterprise di proprietà personale per applicare standard organizzativi per l'accesso e la gestione sicuri:
- Crea criteri di conformità in Microsoft Intune
- Esaminare le impostazioni di conformità di Android Enterprise che è possibile gestire con Intune
I criteri di conformità proteggono i dispositivi iOS/iPadOS
Se i criteri di conformità non vengono assegnati ai dispositivi iOS/iPadOS in Intune, gli attori delle minacce possono sfruttare gli endpoint non conformi per ottenere l'accesso non autorizzato alle risorse aziendali, aggirare i controlli di sicurezza e persistere nell'ambiente. Senza una conformità applicata, i dispositivi potrebbero non disporre di configurazioni di sicurezza critiche, come i requisiti del passcode e i controlli della versione del sistema operativo. Queste lacune aumentano il rischio di perdita di dati, escalation dei privilegi e spostamento laterale. La conformità incoerente dei dispositivi indebolisce il livello di sicurezza dell'organizzazione e rende più difficile rilevare e correggere le minacce prima che si verifichino danni significativi.
L'applicazione dei criteri di conformità garantisce che i dispositivi iOS/iPadOS soddisfino i requisiti di sicurezza fondamentali e supporti Zero Trust convalidando l'integrità dei dispositivi e riducendo l'esposizione a endpoint non configurati correttamente o non gestiti.
Azione correttiva
Creare e assegnare criteri di conformità di Intune ai dispositivi iOS/iPadOS per applicare gli standard dell'organizzazione per l'accesso e la gestione sicuri:
- Crea criteri di conformità in Microsoft Intune
- Rivedere le impostazioni di conformità iOS/iPadOS che è possibile gestire con Intune
La piattaforma SSO è configurata per rafforzare l'autenticazione nei dispositivi macOS
Se i criteri di SSO della piattaforma non vengono applicati nei dispositivi macOS, gli endpoint potrebbero basarsi su meccanismi di autenticazione non sicuri o incoerenti, consentendo agli utenti malintenzionati di aggirare i criteri di accesso condizionale e di conformità. Ciò apre le porte allo spostamento laterale tra i servizi cloud e le risorse locali, soprattutto quando vengono usate identità federate. Gli autori delle minacce possono persistere sfruttando token rubati o credenziali memorizzate nella cache ed esfiltrare dati sensibili tramite app non gestite o sessioni del browser. L'assenza di applicazione dell'SSO compromette anche i criteri di protezione delle app e le valutazioni della postura dei dispositivi, rendendo difficile rilevare e contenere le violazioni. In definitiva, la mancata configurazione e assegnazione dei criteri SSO della piattaforma macOS compromette la sicurezza delle identità e indebolisce la postura Zero Trust dell'organizzazione.
L'applicazione dei criteri SSO della piattaforma nei dispositivi macOS garantisce un'autenticazione coerente e sicura tra app e servizi. Ciò rafforza la protezione dell'identità, supporta l'applicazione dell'accesso condizionale e si allinea con Zero Trust riducendo la dipendenza dalle credenziali locali e migliorando le valutazioni della postura.
Azione correttiva
Usa Intune per configurare e assegnare i criteri di SSO della piattaforma per i dispositivi macOS per applicare l'autenticazione sicura e rafforzare la protezione dell'identità, vedi:
- Configurare Platform SSO per macOS in Intune: istruzioni dettagliate per l'abilitazione di Platform SSO nei dispositivi macOS.
- Panoramica e opzioni Single Sign-On (SSO) per dispositivi Apple in Microsoft Intune - Panoramica delle opzioni SSO disponibili per le piattaforme Apple.
La registrazione automatica di Defender per endpoint viene applicata per ridurre il rischio di minacce Android non gestite
Se la registrazione automatica in Microsoft Defender per endpoint non è configurata per i dispositivi Android in Intune, gli endpoint gestiti potrebbero non essere protetti dalle minacce per dispositivi mobili. Senza l'onboarding di Defender, i dispositivi non dispongono di funzionalità avanzate di rilevamento e risposta alle minacce, aumentando il rischio di malware, phishing e altri attacchi basati su dispositivi mobili. I dispositivi non protetti possono aggirare i criteri di sicurezza, accedere alle risorse aziendali ed esporre i dati sensibili a compromissioni. Questa lacuna nella difesa dalle minacce mobili indebolisce la postura Zero Trust dell'organizzazione e riduce la visibilità sull'integrità degli endpoint.
L'abilitazione della registrazione automatica di Defender garantisce che i dispositivi Android siano protetti da funzionalità avanzate di rilevamento e risposta alle minacce. Questa tecnologia supporta Zero Trust applicando la protezione dalle minacce mobili, migliorando la visibilità e riducendo l'esposizione a endpoint non gestiti o compromessi.
Azione correttiva
Usare Intune per configurare la registrazione automatica in Microsoft Defender per endpoint per dispositivi Android per applicare la protezione dalle minacce mobili:
Le regole di pulizia dei dispositivi mantengono l'igiene del tenant nascondendo i dispositivi inattivi
Se le regole di pulizia dei dispositivi non sono configurate in Intune, i dispositivi obsoleti o inattivi possono rimanere visibili nel tenant a tempo indeterminato. Ciò comporta elenchi di dispositivi disordinati, report imprecisi e una visibilità ridotta nel panorama dei dispositivi attivi. I dispositivi inutilizzati potrebbero conservare le credenziali o i token di accesso, aumentando il rischio di accesso non autorizzato o di decisioni errate sui criteri.
Le regole di pulizia dei dispositivi nascondono automaticamente i dispositivi inattivi dalle visualizzazioni e dai report degli amministratori, migliorando l'igiene del tenant e riducendo il carico amministrativo. Ciò supporta Zero Trust mantenendo un inventario accurato e attendibile dei dispositivi, preservando al tempo stesso i dati cronologici per il controllo o l'indagine.
Azione correttiva
Configurare le regole di pulizia dei dispositivi di Intune per nascondere automaticamente i dispositivi inattivi dal tenant:
Per altre informazioni, vedere:
- Utilizzo delle regole di pulizia del dispositivo di Intunenel blog di Microsoft Tech Community
I criteri di termini e condizioni proteggono l'accesso ai dati sensibili
Se i criteri Termini e condizioni non sono configurati e assegnati in Intune, gli utenti possono accedere alle risorse aziendali senza accettare le condizioni legali, di sicurezza o di utilizzo richieste. Questa omissione espone l'organizzazione a rischi di conformità, responsabilità legali e potenziale uso improprio delle risorse.
L'applicazione dei termini e delle condizioni garantisce che gli utenti riconoscano e accettino i criteri aziendali prima di accedere a dati o sistemi sensibili, supportando la conformità normativa e l'uso responsabile delle risorse.
Azione correttiva
Creare e assegnare criteri di termini e condizioni in Intune per richiedere l'accettazione da parte dell'utente prima di concedere l'accesso alle risorse aziendali:
Le impostazioni di branding e supporto del Portale aziendale migliorano l'esperienza utente e la fiducia
Se la personalizzazione del Portale aziendale Intune non è configurata per rappresentare i dettagli dell'organizzazione, gli utenti possono incontrare un'interfaccia generica e non avere informazioni di supporto dirette. Ciò riduce la fiducia degli utenti, aumenta il sovraccarico del supporto e può creare confusione o ritardi nella risoluzione dei problemi.
La personalizzazione del Portale aziendale con la personalizzazione e i dettagli di contatto del supporto dell'organizzazione migliora la fiducia degli utenti, semplifica il supporto e rafforza la legittimità delle comunicazioni di gestione dei dispositivi.
Azione correttiva
Configurare il Portale aziendale Intune con la personalizzazione e le informazioni di contatto del supporto dell'organizzazione per migliorare l'esperienza utente e ridurre il sovraccarico del supporto:
Endpoint Analytics è abilitato per aiutare a identificare i rischi sui dispositivi Windows
Se l'analisi degli endpoint non è abilitata, gli attori delle minacce possono sfruttare le lacune nell'integrità, nelle prestazioni e nel livello di sicurezza del dispositivo. Senza la visibilità offerta dall'analisi degli endpoint, può essere difficile per un'organizzazione rilevare indicatori come il comportamento anomalo dei dispositivi, l'applicazione di patch ritardate o la deriva della configurazione. Queste lacune consentono agli utenti malintenzionati di stabilire la persistenza, aumentare i privilegi e spostarsi lateralmente nell'ambiente. L'assenza di dati di analisi può impedire il rilevamento e la risposta rapidi, consentendo agli utenti malintenzionati di sfruttare gli endpoint non monitorati per il comando e il controllo, l'esfiltrazione dei dati o ulteriori compromissioni.
L'abilitazione dell'analisi degli endpoint fornisce visibilità sullo stato e sul comportamento dei dispositivi, aiutando le organizzazioni a rilevare i rischi, rispondere rapidamente alle minacce e mantenere una solida postura Zero Trust.
Azione correttiva
Registrare i dispositivi Windows in Analisi endpoint in Intune per monitorare l'integrità del dispositivo e identificare i rischi:
Per altre informazioni, vedere: