Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Ter ondersteuning van het Microsoft Zero Trust-beveiligingsmodel biedt dit artikel voorbeeldconfiguraties die u kunt gebruiken met Microsoft Intune om zowel het beleid voor apparaatnaleving als het beleid voor apparaatbeperking te configureren voor volledig beheerde mobiele gebruikers van Android Enterprise. Deze voorbeelden omvatten niveaus van configuratie van apparaatbeveiliging die zijn afgestemd op de principes van Zero Trust.
Werk wanneer u deze voorbeelden gebruikt samen met uw beveiligingsteam om de bedreigingsomgeving, risicobereidheid en het effect dat de verschillende niveaus en configuraties kunnen hebben op de bruikbaarheid te evalueren. Nadat u de voorbeelden hebt bekeken en aangepast aan de behoeften van uw organisatie, implementeert u een ringimplementatiebenadering voor de eerste tests, gevolgd door productiegebruik.
Zie voor meer informatie over de verschillende beleidsinstellingen:
- Android Enterprise-instellingen voor het markeren van apparaten als compatibel of niet-compatibel met behulp van Intune
- Android Enterprise-apparaatinstellingen om functies toe te staan of te beperken op persoonlijke apparaten met behulp van Intune
Volledig beheerde basisbeveiliging (niveau 1)
Niveau 1 is de aanbevolen minimale beveiligingsconfiguratie voor mobiele apparaten die eigendom zijn van de organisatie.
Het beleid op niveau 1 dwingt een redelijk niveau van gegevenstoegang af en minimaliseert de gevolgen voor gebruikers door:
- Wachtwoordbeleid afdwingen
- Een minimale systeemversie van het besturingssysteem vereisen
- Bepaalde apparaatfuncties uitschakelen (zoals USB-bestandsoverdrachten)
Tabellen in de volgende secties bevatten alleen de instellingen die zijn opgenomen in deze voorbeelden. Instellingen die niet in de tabellen worden weergegeven, zijn niet geconfigureerd.
Apparaat compliance (niveau 1)
| Sectie | Instelling | Waarde | Opmerkingen |
|---|---|---|---|
| Apparaatstatus | Oordeel over speelintegriteit | Basisintegriteit controleren | Deze instelling vereist dat apparaten de basisintegriteitscontrole van de Google Play Integrity API doorstaan. Hiermee wordt gecontroleerd of het apparaat zich in een redelijk veilige staat bevindt, wat betekent dat het niet is geroot of een aangepaste ROM uitvoert. |
| Apparaateigenschappen | Minimale versie van het besturingssysteem | Formaat: Major.Minor Voorbeeld: 9.0 |
Microsoft raadt aan om de minimale primaire Android-versie te configureren zodat deze overeenkomt met de ondersteunde Android-versies voor Microsoft-apps. OEM's en apparaten die voldoen aan de door Android Enterprise aanbevolen vereisten moeten de huidige release + upgrade van één letter ondersteunen. Android beveelt momenteel Android 9.0 en hoger aan voor kenniswerkers. Zie Aanbevolen vereisten voor Android Enterprise voor de meest recente Android-vereisten. |
| Apparaateigenschappen | Minimaal beveiligingspatchniveau | Niet geconfigureerd | Op Android-apparaten kunnen maandelijks beveiligingspatches worden uitgebracht, maar de release is afhankelijk van OEM's en/of providers. Organisaties moeten ervoor zorgen dat geïmplementeerde Android-apparaten beveiligingsupdates ontvangen voordat ze deze instelling implementeren. Zie de beveiligingsbulletins voor Android voor de meest recente patchreleases. |
| Systeembeveiliging | Een wachtwoord vereisen om mobiele apparaten te ontgrendelen | Vereisen | |
| Systeembeveiliging | Vereist wachtwoordtype | Numeric Complex | Organisaties moeten deze instelling mogelijk bijwerken zodat deze overeenkomt met hun wachtwoordbeleid. |
| Systeembeveiliging | Minimale wachtwoordlengte | 6 | Organisaties moeten deze instelling mogelijk bijwerken zodat deze overeenkomt met hun wachtwoordbeleid. |
| Systeembeveiliging | Maximum aantal minuten van inactiviteit voordat een wachtwoord is vereist | 5 | Organisaties moeten deze instelling mogelijk bijwerken zodat deze overeenkomt met hun wachtwoordbeleid. |
| Systeembeveiliging | Versleuteling van gegevensopslag op apparaat vereisen | Vereisen | |
| Systeembeveiliging | Intune runtime-integriteit van apps | Vereisen | |
| Acties voor niet-naleving | Apparaat markeren als niet-compatibel | Onmiddellijk | Het beleid is standaard zo geconfigureerd dat het apparaat wordt gemarkeerd als niet-compatibel. Er zijn aanvullende acties beschikbaar. Zie Acties configureren voor niet-compatibele apparaten in Intune voor meer informatie. |
Apparaatbeperkingen (niveau 1)
| Sectie | Instelling | Waarde | Opmerkingen |
|---|---|---|---|
| Algemeen | Standaardmachtigingsbeleid (werkprofielniveau) | Standaard apparaat | |
| Algemeen | USB-bestandsoverdracht | Blokkeren | |
| Algemeen | Externe media | Blokkeren | |
| Algemeen | Fabrieksinstellingen herstellen | Blokkeren | |
| Algemeen | Delen van gegevens tussen werk- en persoonlijke profielen | Standaard apparaat | |
| Beveiliging van systeem | Bedreigingsscan op apps | Vereisen | |
| Apparaatervaring | Type inschrijvingsprofiel | Volledig beheerd | |
| Apparaatervaring | Type apparaatervaring | Niet geconfigureerd | Organisaties kunnen ervoor kiezen om Microsoft Launcher te implementeren om een consistente ervaring op het startscherm te garanderen op volledig beheerde apparaten. Zie Microsoft Launcher instellen op volledig beheerde Android Enterprise-apparaten met Intune voor meer informatie. |
| Wachtwoord van apparaat | Vereist wachtwoordtype | Numeriek complex | |
| Wachtwoord van apparaat | Minimale wachtwoordlengte | 6 | |
| Wachtwoord van apparaat | Aantal mislukte aanmeldingspogingen voordat het apparaat wordt gewist | 10 | |
| Energie-instellingen | Tijd tot vergrendelingsscherm (werkprofielniveau) | 5 minuten | |
| Gebruikers en accounts | De gebruiker kan referenties configureren (werkprofielniveau) | Blokkeren | |
| Toepassingen | Automatische updates van apps (werkprofielniveau) | Wi-Fi alleen | Organisaties moeten deze instelling indien nodig aanpassen omdat er kosten in rekening kunnen worden gebracht voor data-abonnementen als app-updates via het mobiele netwerk plaatsvinden. |
| Toepassingen | Toegang tot alle apps in Google Play Store toestaan | Niet geconfigureerd | Standaard kunnen gebruikers geen persoonlijke apps uit de Google Play Store installeren op volledig beheerde apparaten. Als organisaties willen toestaan dat volledig beheerde apparaten voor persoonlijk gebruik kunnen worden gebruikt, kunt u overwegen deze instelling te wijzigen. |
| Wachtwoord voor werkprofiel | Vereist wachtwoordtype | Numeriek complex | Organisaties moeten deze instelling mogelijk bijwerken zodat deze overeenkomt met hun wachtwoordbeleid. |
| Wachtwoord voor werkprofiel | Minimale wachtwoordlengte | 6 | Organisaties moeten deze instelling mogelijk bijwerken zodat deze overeenkomt met hun wachtwoordbeleid. |
| Wachtwoord voor werkprofiel | Aantal mislukte aanmeldingspogingen voordat het apparaat wordt gewist | 10 | Organisaties moeten deze instelling mogelijk bijwerken zodat deze overeenkomt met hun wachtwoordbeleid. |
Volledig beheerde verbeterde beveiliging (niveau 2)
Niveau 2 is de aanbevolen configuratie voor apparaten die eigendom zijn van het bedrijf, waarbij gebruikers toegang hebben tot gevoeligere informatie. Deze apparaten zijn tegenwoordig een natuurlijk doelwit in ondernemingen. Deze instellingen gaan niet uit van een grote staf van hoogopgeleid beveiligingspersoneel. Daarom moeten ze toegankelijk zijn voor de meeste ondernemingen. Deze configuratie is een uitbreiding op de configuratie in niveau 1 door een sterker wachtwoordbeleid in te voeren en mogelijkheden voor gebruikers/accounts uit te schakelen.
De instellingen van niveau 2 bevatten alle beleidsinstellingen die worden aanbevolen voor niveau 1. De instellingen in de volgende secties bevatten echter alleen de instellingen die zijn toegevoegd of gewijzigd. Deze instellingen kunnen een iets grotere impact hebben op gebruikers of toepassingen. Ze dwingen een beveiligingsniveau af dat geschikter is voor risico's waarmee gebruikers worden geconfronteerd met toegang tot gevoelige informatie op mobiele apparaten.
Apparaat compliance (niveau 2)
| Sectie | Instelling | Waarde | Opmerkingen |
|---|---|---|---|
| Systeembeveiliging | Aantal dagen totdat het wachtwoord verloopt | 365 | Organisaties moeten deze instelling mogelijk bijwerken zodat deze overeenkomt met hun wachtwoordbeleid. |
| Systeembeveiliging | Aantal wachtwoorden dat nodig is voordat de gebruiker een wachtwoord opnieuw kan gebruiken | 5 | Organisaties moeten deze instelling mogelijk bijwerken zodat deze overeenkomt met hun wachtwoordbeleid. |
| Apparaatstatus | Oordeel over speelintegriteit | De basisintegriteit & de integriteit van apparaten controleren | Vereisen dat apparaten slagen voor de basisintegriteitscontrole en apparaatintegriteitscontrole van Play. |
| Apparaatstatus | Sterke integriteit controleren met behulp van beveiligingsfuncties met hardwareondersteuning | Sterke integriteit controleren | Vereist dat apparaten de sterke integriteitscontrole van Play doorstaan. Niet alle apparaten ondersteunen dit type controle. Intune markeert dergelijke apparaten als niet-compatibel. |
Apparaatbeperkingen (niveau 2)
| Sectie | Instelling | Waarde | Opmerkingen |
|---|---|---|---|
| Algemeen | E-mailberichten met bescherming tegen fabrieksinstellingen | E-mailadressen van Google-account | |
| Algemeen | Lijst met e-mailadressen (alleen optie voor e-mailadressen van Google-accounts) | example@gmail.com | Dit beleid handmatig bijwerken om de Google-e-mailadressen op te geven van apparaatbeheerders die de apparaten kunnen ontgrendelen nadat ze zijn gewist. |
| Wachtwoord van apparaat | Aantal dagen totdat het wachtwoord verloopt | 365 | Organisaties moeten deze instelling mogelijk bijwerken zodat deze overeenkomt met hun wachtwoordbeleid. |
| Wachtwoord van apparaat | Aantal wachtwoorden dat nodig is voordat de gebruiker een wachtwoord opnieuw kan gebruiken | 5 | Organisaties moeten deze instelling mogelijk bijwerken zodat deze overeenkomt met hun wachtwoordbeleid. |
| Wachtwoord van apparaat | Aantal mislukte aanmeldingspogingen voordat het apparaat wordt gewist | 5 | |
| Gebruikers en accounts | Nieuwe gebruikers toevoegen | Blokkeren | |
| Gebruikers en accounts | Gebruiker verwijderen | Blokkeren | |
| Gebruikers en accounts | Persoonlijke Google-accounts | Blokkeren | |
| Wachtwoord voor werkprofiel | Aantal wachtwoorden dat nodig is voordat de gebruiker een wachtwoord opnieuw kan gebruiken | 5 | Organisaties moeten deze instelling mogelijk bijwerken zodat deze overeenkomt met hun wachtwoordbeleid. |
Volledig beheerde hoge beveiliging (niveau 3)
Niveau 3 is de aanbevolen configuratie voor beide:
- Organisaties met grote en geavanceerde beveiligingsorganisaties.
- Specifieke gebruikers en groepen die het unieke doelwit zijn van tegenstanders.
Dergelijke organisaties zijn meestal het doelwit van goed gefinancierde en geavanceerde tegenstanders.
Deze configuratie wordt op niveau 2 uitgebreid met:
- Ervoor zorgen dat een apparaat compatibel is door het veiligste verdedigingsniveau van Microsoft Defender voor Eindpunt of mobiele bedreigingen af te dwingen.
- Verhoging van de minimale versie van het besturingssysteem.
- Het afdwingen van aanvullende apparaatbeperkingen (zoals het uitschakelen van niet-geredigeerde meldingen op het vergrendelingsscherm).
- Apps altijd up-to-date moeten zijn.
De instellingen van niveau 3 bevatten alle beleidsinstellingen die worden aanbevolen voor niveau 2. De instellingen in de volgende secties bevatten echter alleen de instellingen die zijn toegevoegd of gewijzigd. Deze instellingen kunnen van grote invloed zijn op gebruikers of toepassingen. Ze dwingen een beveiligingsniveau af dat geschikter is voor risico's waarmee organisaties worden geconfronteerd.
Apparaat compliance (niveau 3)
| Sectie | Instelling | Waarde | Opmerkingen |
|---|---|---|---|
| Microsoft Defender voor Eindpunt | Vereisen dat het apparaat de risicoscore van de computer heeft of er minder voor moet zijn | Wissen | Voor deze instelling is Microsoft Defender voor Eindpunt vereist. Zie Naleving afdwingen voor Microsoft Defender voor Eindpunt met voorwaardelijke toegang in Intune voor meer informatie. Klanten moeten overwegen om Microsoft Defender voor Eindpunt of een oplossing voor Mobile Threat Defense te implementeren. Het is niet nodig om beide te implementeren. |
| Apparaatstatus | Vereisen dat het apparaat zich op of onder het dreigingsniveau van het apparaat bevindt | Beveiligd | Voor deze instelling is een Mobile Threat Defense-product vereist. Zie Mobile Threat Defense voor geregistreerde apparaten voor meer informatie. Klanten moeten overwegen om Microsoft Defender voor Eindpunt of een oplossing voor Mobile Threat Defense te implementeren. Het is niet nodig om beide te implementeren. |
| Apparaateigenschappen | Minimale versie van het besturingssysteem | Formaat: Major.Minor Voorbeeld: 11.0 |
Microsoft raadt aan om de minimale primaire Android-versie te configureren zodat deze overeenkomt met de ondersteunde Android-versies voor Microsoft-apps. OEM's en apparaten die voldoen aan de door Android Enterprise aanbevolen vereisten moeten de huidige release + upgrade van één letter ondersteunen. Android beveelt momenteel Android 9.0 en hoger aan voor kenniswerkers. Zie Aanbevolen vereisten voor Android Enterprise voor de meest recente Android-vereisten. |
Apparaatbeperkingen (niveau 3)
| Sectie | Instelling | Waarde | Opmerkingen |
|---|---|---|---|
| Algemeen | Datum- en tijdwijzigingen | Blokkeren | |
| Algemeen | Tethering en toegang tot hotspots | Blokkeren | |
| Algemeen | Bundelgegevens met behulp van NFC (werkprofielniveau) | Blokkeren | |
| Algemeen | Zoeken naar zakelijke contactpersonen en nummerweergave van zakelijke contactpersonen weergeven in persoonlijk profiel | Blokkeren | |
| Wachtwoord van apparaat | Uitgeschakelde functies voor het vergrendelingsscherm | - Niet-geredigeerde meldingen - Vertrouwensagenten (werkprofielniveau) |
|
| Toepassingen | Automatische updates van apps (werkprofielniveau) | Altijd | Organisaties moeten deze instelling indien nodig aanpassen omdat er kosten in rekening kunnen worden gebracht voor data-abonnementen als app-updates via het mobiele netwerk plaatsvinden. |
| Wachtwoord voor werkprofiel | Aantal mislukte aanmeldingspogingen voordat het apparaat wordt gewist | 5 | Organisaties moeten deze instelling mogelijk bijwerken zodat deze overeenkomt met hun wachtwoordbeleid. |
Verwante artikelen
Beveiligingsinstellingen configureren voor apparaten in persoonlijk bezit