Gegevens en apparaten beveiligen met Microsoft Intune

Met Microsoft Intune kunt u beheerde apparaten veilig en up-to-date houden terwijl de gegevens van uw organisatie worden beschermd tegen gecompromitteerde apparaten. Bepaal wat gebruikers doen met organisatiegegevens op beheerde en niet-beheerde apparaten en blokkeer de toegang tot gegevens van mogelijk aangetaste apparaten.

In dit artikel worden de ingebouwde beveiligingsmogelijkheden van Intune en partnertechnologieën beschreven, die samenwerken om Zero Trust-oplossingen voor je organisatie te ondersteunen. In dit overzicht worden de belangrijkste beveiligingsmogelijkheden beschreven en vindt u koppelingen naar gedetailleerde documentatie voor configuratie- en implementatierichtlijnen.

Intune kan ook worden geïntegreerd met producten van derden die apparaatnaleving en MTD-signalen (Mobile Threat Defense) bieden.

Ondersteuning voor platforms

Vanuit het Microsoft Intune-beheercentrum ondersteunt Intune beheerde apparaten waarop het volgende wordt uitgevoerd:

  • Android
  • iOS/iPadOS
  • Linux
  • macOS
  • Windows

Wanneer u Configuration Manager gebruikt voor het beheren van on-premises apparaten, kunt u bovendien Intune-beleid uitbreiden naar deze apparaten via tenantkoppeling of co-beheer.

Beveiligingsbeleid implementeren om apparaten te beschermen

Beleid implementeren om beveiliging te configureren en af te dwingen op geregistreerde apparaten. De volgende beleidstypen werken samen om apparaten te beveiligen:

Beveiligingsbeleid voor eindpunten : gericht beveiligingsbeleid voor specifieke beschermingsgebieden:

  • Accountbeveiliging - Windows Hello voor Bedrijven, Credential Guard en Windows LAPS
  • Antivirus - Microsoft Defender Antivirus-configuratie en uitsluitingen
  • App-beheer voor bedrijven - Toepassing op de toelatingslijst zetten met Windows Defender-toepassingsbeheer
  • Kwetsbaarheid voor aanvallen verkleinen - Beperk kwetsbaarheden en aanvalsvectoren
  • Schijfversleuteling : BitLocker, Personal Data Encryption (PDE) en FileVault
  • Eindpuntdetectie en -respons - Microsoft Defender voor onboarding van eindpunten
  • Firewall - Netwerkbeveiliging en firewallregels

Beleid voor apparaatconfiguratie: bredere apparaatinstellingen, waaronder eindpuntbeveiliging, certificaten, software-updates en VPN. Gebruik deze optie wanneer u beveiligingsinstellingen wilt combineren met configuraties voor apparaatfunctionaliteit.

Beleid voor apparaatnaleving : definieer apparaatvereisten zoals besturingssysteemversies, versleutelingsstatus en bedreigingsniveaus. Niet-compatibele apparaten activeren waarschuwingen en kunnen worden geblokkeerd voor organisatieresources wanneer ze worden gecombineerd met voorwaardelijke toegang.

Belangrijkste beveiligingsmogelijkheden

De volgende beveiligingsgebieden kunnen worden beheerd via deze beleidsregels:

  • Verificatie en identiteit

    • Certificaten : implementeer certificaten met SCEP- en PKCS-profielen of gebruik Microsoft Cloud PKI voor vereenvoudigd certificaatbeheer in de cloud zonder on-premises infrastructuur. Configureer afgeleide referenties voor smartcardscenario's.
    • Moderne verificatie: schakel Windows Hello voor Bedrijven in voor aanmelden zonder wachtwoord. Configureer platform-SSO voor macOS om de verificatie tussen apps en services te versterken.
    • Meervoudige verificatie: gebruik voorwaardelijke toegang van Microsoft Entra om MFA te vereisen en gebruik Intune om de pincode/het wachtwoord van het apparaat en andere aanmeldingsinstellingen te configureren.

  • Gegevensversleuteling

  • Software-updates : bepaal wanneer en hoe apparaten updates ontvangen:

  • Toepassingsbeheer: gebruik beleid van App-beheer voor bedrijven om te bepalen welke toepassingen kunnen worden uitgevoerd op Windows-apparaten.

  • Kwetsbaarheid voor aanvallen verminderen - ASR-beleid implementeren om kwetsbaarheden te verminderen door middel van exploitbescherming, apparaatbeheer, isolatie van toepassingen en ASR-regels.

  • Basislijnen voor beveiliging : implementeer vooraf geconfigureerde beveiligingsbasislijnen voor Windows-apparaten, Microsoft Edge en Microsoft Defender voor Eindpunt die de aanbevelingen van het Microsoft-beveiligingsteam weerspiegelen.

  • Beveiliging van netwerk

    • VPN-profielen - configureer VPN-verbindingen voor veilige externe toegang tot organisatiebronnen.
    • Firewallbeleid : beheer ingebouwde firewallbeveiliging op Windows- en macOS-apparaten.

  • Privileged Access Management

    • Windows LAPS - Beheer wachtwoorden van lokale beheerders met automatische rotatie en veilige back-up naar Active Directory of Microsoft Entra.
    • Endpoint Privilege Management : voer gebruikers uit als standaardaccounts, terwijl uitbreiding wordt toegestaan voor goedgekeurde toepassingen.

Gegevens beveiligen met app-beveiligingsbeleid

Beveilig organisatiegegevens op de toepassingslaag met app-beveiligingsbeleid met door Intune beheerde apps. Deze beveiligingen werken op zowel geregistreerde als niet-ingeschreven apparaten en ondersteunen BYOD-scenario's (Bring Your Own Device).

In apps die door Intune worden beheerd , wordt de Intune App SDK geïntegreerd of wordt het Intune-hulpprogramma App Wrapping gebruikt. Zie met Intune beveiligde apps voor een lijst met ondersteunde apps.

Wanneer u beheerde apps nodig hebt (bijvoorbeeld met behulp van beleid op basis van voorwaardelijke toegang op basis van apps), hebben gebruikers alleen toegang tot organisatiegegevens via die beheerde apps, terwijl persoonlijke gegevens niet worden beïnvloed.

Belangrijkste mogelijkheden van het beveiligingsbeleid voor apps:

  • Een pincode of biometrische verificatie vereisen voor toegang tot organisatiegegevens.
  • Kopiëren/plakken, schermafbeeldingen en gegevensoverdracht naar onbeheerde apps blokkeren.
  • Voorkomen dat organisatiegegevens worden opgeslagen in persoonlijke opslag.
  • Dwing versleuteling van organisatiegegevens in rust af.
  • Wis organisatiegegevens op afstand wanneer apparaten verloren gaan of gebruikers vertrekken.

Apparaatacties gebruiken om apparaten en gegevens te beschermen

Voer apparaatacties uit om te reageren op beveiligingsincidenten of om de apparaatbeveiliging te behouden. In tegenstelling tot beleidsregels die lopende configuraties onderhouden, worden apparaatacties eenmaal uitgevoerd wanneer ze worden aangeroepen. Acties worden onmiddellijk van kracht voor onlineapparaten of bij de volgende check-in voor offlineapparaten. Grootschalige apparaatacties kunnen op meerdere apparaten tegelijk zijn gericht.

Algemene beveiligingsacties:

  • Vergrendelen op afstand - Vergrendel een apparaat op afstand om onbevoegde toegang te voorkomen.
  • Wissen - Zet de fabrieksinstellingen van een apparaat terug en verwijder alle gegevens en instellingen.
  • Buiten gebruik stellen : organisatiegegevens verwijderen met behoud van persoonlijke gegevens.
  • BitLocker-sleutel draaien (Windows) - Versleutelingssleutels draaien voor verbeterde beveiliging.
  • Antivirusscan (Windows): voer volledige of snelle malwarescans uit.
  • Defender-informatie bijwerken - Bedreigingsdefinities vernieuwen.
  • Activeringsslot uitschakelen (iOS/iPadOS): verwijder het activeringsslot voor hergebruik van het apparaat.

Deze acties zijn ook beschikbaar voor apparaten die worden beheerd via Configuration Manager wanneer co-beheer of tenantkoppeling wordt gebruikt.

Integreren met partnertechnologieën

Breid de beveiligingsmogelijkheden van Intune uit via integraties met Microsoft-technologieën en externe partners.

Nalevingspartners

Integreer apparaatnalevingsgegevens van MDM-oplossingen van derden met Microsoft Entra ID. Hierdoor kunnen organisaties met gemengde beheeromgevingen een uniform beleid voor voorwaardelijke toegang afdwingen op alle apparaten, ongeacht welke MDM-oplossing ze beheert.

Configuration Manager

Breid het cloudbeveiligingsbeleid van Intune uit naar on-premises en hybride beheerde apparaten via co-beheer of tenantkoppeling. Deze integratie biedt een uniforme beheerervaring voor organisaties die overstappen op cloudbeheer of een hybride infrastructuur onderhouden:

  • Co-beheer - Gelijktijdig Windows-apparaten beheren met zowel Configuration Manager als Intune, met werkbelastingsschuifregelaars om te bepalen met welke service specifieke mogelijkheden worden beheerd.
  • Tenant koppelen : synchroniseer Configuration Manager-apparaten met het Microsoft Intune-beheercentrum voor gecentraliseerde zichtbaarheid en beheer.

Beide benaderingen maken Intune-beveiligingsbeleid op Configuration Manager-apparaten mogelijk, inclusief eindpuntbeveiligingsbeleid, nalevingsbeleid, certificaatimplementatie (SCEP/PKCS) en beveiligingsbasislijnen. Hierdoor ontstaat een consistente beveiligingsstatus voor cloud- en on-premises beheerde apparaten.

Verdediging tegen mobiele dreigingen

Mobile Threat Defense (MTD) -partners breiden de detectie van bedreigingen uit tot buiten de ingebouwde mogelijkheden van Microsoft door te scannen op bedreigingen op apparaatniveau, netwerkbedreigingen, app-gebaseerde bedreigingen en phishingpogingen. MTD-apps beoordelen continu apparaatrisico's en rapporteren bedreigingsniveaus aan Intune, waardoor op risico's gebaseerde toegangsbeslissingen mogelijk zijn via compliancebeleid, app-beveiligingsbeleid en voorwaardelijke toegang.

Voor geregistreerde apparaten implementeert en beheert Intune MTD-apps, waarbij de bijbehorende dreigingsniveaubeoordelingen worden gebruikt in evaluaties van apparaatnaleving. Apparaten die de acceptabele risicodrempels overschrijden, kunnen worden geblokkeerd voor toegang tot organisatieresources totdat de bedreigingen zijn verholpen.

Voor niet-ingeschreven apparaten in BYOD-scenario's vormen MTD-dreigingsniveaus de basis voor beleidsbeslissingen over app-beveiliging, waardoor de toegang tot organisatiegegevens in beheerde apps wordt geblokkeerd wanneer het apparaatrisico te hoog is.

Intune ondersteunt Microsoft Defender voor Eindpunt met verbeterde integratiemogelijkheden en meerdere externe MTD-partners om te voldoen aan uiteenlopende beveiligingsvereisten.

Microsoft Defender voor Eindpunt

Microsoft Defender voor Eindpunt is nauw geïntegreerd met Intune in Windows, macOS, Linux, Android en iOS/iPadOS, waardoor een geïntegreerd beveiligingsplatform ontstaat dat apparaatbeheer combineert met geavanceerde bedreigingsbeveiliging. Deze integratie maakt het volgende mogelijk:

  • Bedreigingsinformatie en risicobeoordeling - De continue dreigingsdetectie en apparaatrisicoscores van Defender vloeien rechtstreeks samen in het Intune-nalevingsbeleid en beslissingen over voorwaardelijke toegang, waardoor dynamisch, op risico's gebaseerd toegangsbeheer mogelijk wordt
  • Verbeterd beheer van eindpuntbeveiliging - Configureer en implementeer Defender-mogelijkheden via Intune-beleid, waaronder antivirusinstellingen , EDR-onboarding, regels voor het verminderen van kwetsbaarheid voor aanvallen, gecontroleerde configuratie (die ook manipulatiebeveiliging ondersteunt), webbeveiliging en apparaatbeheer
  • Beheer - van kwetsbaarhedenBeveiligingstaken creëren een werkstroom voor samenwerking waarin het beheer van bedreigingen en kwetsbaarheden van Defender risicoapparaten identificeert en herstelrichtlijnen biedt waar Intune-beheerders rechtstreeks actie op kunnen ondernemen
  • Microsoft Tunnel - Defender voor Eindpunt fungeert als de VPN-client voor Microsoft Tunnel op Android-apparaten en biedt veilige externe toegang zonder dat hiervoor een afzonderlijke Defender-licentie nodig is

Voorwaardelijke toegang

Voorwaardelijke toegang is een Microsoft Entra-mogelijkheid die fungeert als afdwingingsengine voor Zero Trust-toegangsbeleid. Het evalueert signalen van Intune en andere bronnen om realtime toegangsbeslissingen te nemen, zodat alleen vertrouwde gebruikers op compatibele apparaten toegang hebben tot organisatieresources.

Met voorwaardelijke toegang worden meerdere signalen geëvalueerd:

  • Status van apparaatnaleving van Intune-beleid
  • Risiconiveaus voor apparaten van Microsoft Defender voor Eindpunt- en MTD-partners
  • Gebruikersrisico en aanmeldingsrisico door Microsoft Entra Id-beveiliging
  • Locatie, apparaatplatform en toepassing die wordt geopend

Met Voorwaardelijke toegang met Intune kunt u het volgende inschakelen:

  • Beleid op basis van apparaten : eis dat apparaten voldoen aan nalevingsvereisten voordat ze toegang krijgen tot organisatiebronnen.
  • App-gebaseerd beleid : zorg ervoor dat alleen apps die worden beveiligd door Intune-app-beveiligingsbeleid toegang hebben tot Microsoft 365 en andere services.
  • Op risico's gebaseerde toegang: pas toegangsvereisten dynamisch aan op basis van realtime bedreigingsinformatie van Defender- en MTD-partners.

Voorwaardelijke toegang werkt op beheerde en niet-beheerde apparaten en helpt bij het creëren van een laag voor toegangsbeheer die zich aanpast aan veranderende bedreigingsomstandigheden.

Endpoint Privilege Management toevoegen

Endpoint Privilege Management (EPM) dwingt toegang met minimale bevoegdheden af voor Windows-gebruikers door ze als standaardgebruikers uit te voeren, terwijl tijdelijke uitbreiding voor goedgekeurde toepassingen wordt toegestaan. Deze aanpak verkleint de kwetsbaarheid voor aanvallen door algemene administratieve toegang te voorkomen.

Hoe EPM werkt:

  • Gebruikers worden standaard als standaardaccount uitgevoerd.
  • Uitbreidingsregels definiëren welke toepassingen kunnen worden uitgevoerd met verhoogde bevoegdheden.
  • Toepassingen worden gevalideerd met behulp van bestandshashes, certificaten of andere criteria.
  • Veelvoorkomende verhoogde scenario's: toepassingsinstallaties, stuurprogramma-updates, diagnostische Windows-gegevens.

Opmerking

EPM is een geavanceerde functionaliteit van Microsoft Intune voor Windows-apparaten en vereist aanvullende licenties naast Microsoft Intune.

Volgende stappen

Bouw uw beveiligingsstatus met Intune:

  • Laatst bijgewerkt om