Krok 4. Konfigurowanie funkcji i ustawień urządzenia w celu zabezpieczania urządzeń i uzyskiwania dostępu do zasobów

  • Artykuł

Do tej pory skonfigurowano subskrypcję Intune, utworzono zasady ochrony aplikacji i utworzono zasady zgodności urządzeń.

W tym kroku możesz skonfigurować minimalny lub bazowy zestaw funkcji zabezpieczeń i urządzeń, które muszą mieć wszystkie urządzenia.

Diagram przedstawiający wprowadzenie do Microsoft Intune z krokiem 4, który polega na konfigurowaniu funkcji urządzeń i ustawień zabezpieczeń.

Ten artykuł dotyczy:

  • Android
  • iOS/iPadOS
  • macOS
  • System Windows

Podczas tworzenia profilów konfiguracji urządzeń dostępne są różne poziomy i typy zasad. Te poziomy są minimalnymi zalecanymi zasadami firmy Microsoft. Wiedza o tym, że twoje środowisko i potrzeby biznesowe mogą być różne.

  • Poziom 1 — minimalna konfiguracja urządzenia: na tym poziomie firma Microsoft zaleca utworzenie zasad, które:

    • Skoncentruj się na zabezpieczeniach urządzeń, w tym na instalowaniu oprogramowania antywirusowego, tworzeniu silnych zasad haseł i regularnym instalowaniu aktualizacji oprogramowania.
    • Zapewnij użytkownikom dostęp do poczty e-mail organizacji i kontrolowany bezpieczny dostęp do sieci, gdziekolwiek się znajdują.

  • Poziom 2 — ulepszona konfiguracja urządzenia: na tym poziomie firma Microsoft zaleca utworzenie zasad, które:

    • Rozwiń zakres zabezpieczeń urządzeń, w tym konfigurowanie szyfrowania dysków, włączanie bezpiecznego rozruchu i dodawanie kolejnych reguł haseł.
    • Wbudowane funkcje i szablony umożliwiają skonfigurowanie większej liczby ustawień, które są ważne dla organizacji, w tym analizowanie lokalnych obiektów zasad grupy.

  • Poziom 3 — wysoka konfiguracja urządzenia: na tym poziomie firma Microsoft zaleca utworzenie zasad, które:

    • Przejdź do uwierzytelniania bez hasła, w tym korzystania z certyfikatów, konfigurowania logowania jednokrotnego (SSO) do aplikacji, włączania uwierzytelniania wieloskładnikowego (MFA) i konfigurowania aplikacji Microsoft Tunnel.
    • Dodawanie dodatkowych warstw zabezpieczeń przy użyciu trybu typowych kryteriów systemu Android lub tworzenie zasad DFCI dla urządzeń z systemem Windows.
    • Wbudowane funkcje umożliwiają konfigurowanie urządzeń kiosku, dedykowanych urządzeń, urządzeń udostępnionych i innych wyspecjalizowanych urządzeń.
    • Wdróż istniejące skrypty powłoki.

W tym artykule wymieniono różne poziomy zasad konfiguracji urządzeń, których powinny używać organizacje. Większość tych zasad w tym artykule koncentruje się na dostępie do zasobów i zabezpieczeń organizacji.

Te funkcje są konfigurowane w profilach konfiguracji urządzeń w centrum administracyjnym Microsoft Intune. Gdy profile będą gotowe, można je wdrożyć z Intune na urządzeniach.

Porada

Zapoznaj się z przewodnikiem po Intune i centrum administracyjnym Microsoft Intune.

Poziom 1 — tworzenie punktu odniesienia zabezpieczeń

Aby zapewnić bezpieczeństwo danych i urządzeń organizacji, należy utworzyć różne zasady, które koncentrują się na zabezpieczeniach. Należy utworzyć listę funkcji zabezpieczeń, które muszą mieć wszyscy użytkownicy i/lub wszystkie urządzenia. Ta lista jest punktem odniesienia zabezpieczeń.

W punkcie odniesienia firma Microsoft zaleca co najmniej następujące zasady zabezpieczeń:

  • Instalowanie oprogramowania antywirusowego (AV) i regularne skanowanie pod kątem złośliwego oprogramowania
  • Używanie wykrywania i reagowania
  • Włączanie zapory
  • Regularne instalowanie aktualizacji oprogramowania
  • Tworzenie silnych zasad numeru PIN/hasła

W tej sekcji wymieniono Intune i usługi firmy Microsoft, których można użyć do utworzenia tych zasad zabezpieczeń.

Aby uzyskać bardziej szczegółową listę ustawień systemu Windows i ich zalecanych wartości, przejdź do pozycji Punkty odniesienia zabezpieczeń systemu Windows.

Oprogramowanie antywirusowe i skanowanie

✔️ Instalowanie oprogramowania antywirusowego i regularne skanowanie pod kątem złośliwego oprogramowania

Wszystkie urządzenia powinny mieć zainstalowane oprogramowanie antywirusowe i być regularnie skanowane pod kątem złośliwego oprogramowania. Intune integruje się z usługami usługi mobile threat defense (MTD) innych partnerów, które zapewniają skanowanie av i zagrożeń. W systemach macOS i Windows oprogramowanie antywirusowe i skanowanie są wbudowane w Intune z Ochrona punktu końcowego w usłudze Microsoft Defender.

Opcje zasad:

Platforma Typ zasad
Android Enterprise - Partner w zakresie
ochrony przed zagrożeniami mobilnymi — Ochrona punktu końcowego w usłudze Microsoft Defender dla systemu Android może skanować pod kątem złośliwego oprogramowania
iOS/iPadOS Partner w zakresie ochrony przed zagrożeniami mobilnymi
macOS profil antywirusowy Intune Endpoint Security (Ochrona punktu końcowego w usłudze Microsoft Defender)
Klient systemu Windows — Intune punktów odniesienia zabezpieczeń (zalecane)
— profil antywirusowy Intune Endpoint Security (Ochrona punktu końcowego w usłudze Microsoft Defender)
— partner w zakresie ochrony przed zagrożeniami mobilnymi

Aby uzyskać więcej informacji na temat tych funkcji, przejdź do:

Wykrywanie i reagowanie

✔️ Wykrywanie ataków i reagowanie na te zagrożenia

Szybkie wykrywanie zagrożeń pozwala zminimalizować wpływ zagrożenia. Po połączeniu tych zasad z dostępem warunkowym można zablokować użytkownikom i urządzeniom dostęp do zasobów organizacji w przypadku wykrycia zagrożenia.

Opcje zasad:

Platforma Typ zasad
Android Enterprise - Mobile Threat Defense partner
- Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Android
iOS/iPadOS - Mobile Threat Defense partner
- Ochrona punktu końcowego w usłudze Microsoft Defender w systemie iOS/iPadOS
macOS Niedostępny
Klient systemu Windows - Intune punktów odniesienia zabezpieczeń (zalecane)
— Intune profil wykrywania punktów końcowych i reagowania (Ochrona punktu końcowego w usłudze Microsoft Defender)
— partner w zakresie ochrony przed zagrożeniami mobilnymi

Aby uzyskać więcej informacji na temat tych funkcji, przejdź do:

Zapory

✔️ Włączanie zapory na wszystkich urządzeniach

Niektóre platformy są wyposażone w wbudowaną zaporę, a na innych może być konieczne zainstalowanie zapory oddzielnie. Intune integruje się z usługami mtd (mobile threat defense) innych partnerów, które mogą zarządzać zaporą dla urządzeń z systemem Android i iOS/iPadOS. W systemach macOS i Windows zabezpieczenia zapory są wbudowane w celu Intune za pomocą Ochrona punktu końcowego w usłudze Microsoft Defender.

Opcje zasad:

Platforma Typ zasad
Android Enterprise Partner w zakresie ochrony przed zagrożeniami mobilnymi
iOS/iPadOS Partner w zakresie ochrony przed zagrożeniami mobilnymi
macOS profil zapory Intune Endpoint Security (Ochrona punktu końcowego w usłudze Microsoft Defender)
Klient systemu Windows — Intune punktów odniesienia zabezpieczeń (zalecane)
— profil zapory Intune Endpoint Security (Ochrona punktu końcowego w usłudze Microsoft Defender)
— partner w zakresie ochrony przed zagrożeniami mobilnymi

Aby uzyskać więcej informacji na temat tych funkcji, przejdź do:

Zasady haseł

✔️ Tworzenie silnych zasad haseł/numeru PIN i blokowanie prostych kodów dostępu

Numery PIN odblokowywania urządzeń. Na urządzeniach uzyskujących dostęp do danych organizacji, w tym na urządzeniach należących do użytkownika, należy wymagać silnych numerów PIN/kodów dostępu i obsługi danych biometrycznych w celu odblokowania urządzeń. Korzystanie z biometrii jest częścią podejścia bez hasła, które jest zalecane.

Intune używa profilów ograniczeń urządzeń do tworzenia i konfigurowania wymagań dotyczących haseł.

Opcje zasad:

Platforma Typ zasad
Android Enterprise Intune profil ograniczeń urządzenia w celu zarządzania:
— Hasło urządzenia
— Hasło profilu służbowego
AOSP profil ograniczeń urządzenia Intune
iOS/iPadOS profil ograniczeń urządzenia Intune
macOS profil ograniczeń urządzenia Intune
Klient systemu Windows — Intune punktów odniesienia zabezpieczeń (zalecane)
— profil ograniczeń urządzeń Intune

Aby uzyskać listę ustawień, które można skonfigurować, przejdź do:

Aktualizacje oprogramowania

✔️ Regularne instalowanie aktualizacji oprogramowania

Wszystkie urządzenia powinny być regularnie aktualizowane i należy tworzyć zasady, aby upewnić się, że te aktualizacje zostały pomyślnie zainstalowane. W przypadku większości platform Intune ma dedykowane zasady, które koncentrują się na zarządzaniu aktualizacjami i instalowaniu ich.

Opcje zasad:

Platforma Typ zasad
Urządzenia należące do organizacji z systemem Android Enterprise Ustawienia aktualizacji systemu przy użyciu profilu ograniczeń urządzenia Intune
Urządzenia osobiste z systemem Android Enterprise Niedostępny

Można użyć zasad zgodności, aby ustawić minimalny poziom poprawek, minimalną/maksymalną wersję systemu operacyjnego i nie tylko.
iOS/iPadOS zasady aktualizacji Intune
macOS zasady aktualizacji Intune
Klient systemu Windows — zasady
aktualizacji funkcji Intune — Intune zasad przyspieszonych aktualizacji

Aby uzyskać więcej informacji na temat tych funkcji i/lub ustawień, które można skonfigurować, przejdź do:

Poziom 1 — uzyskiwanie dostępu do poczty e-mail organizacji, nawiązywanie połączenia z siecią VPN lub Wi-Fi

Ta sekcja koncentruje się na uzyskiwaniu dostępu do zasobów w organizacji. Te zasoby obejmują:

  • Email dla kont służbowych
  • Połączenie sieci VPN na potrzeby łączności zdalnej
  • Wi-Fi połączenia dla łączności lokalnej

Diagram przedstawiający profile poczty e-mail, sieci VPN i Wi-Fi wdrożone z Microsoft Intune na urządzeniach użytkowników końcowych.

Poczta e-mail

Wiele organizacji wdraża profile poczty e-mail ze wstępnie skonfigurowanymi ustawieniami na urządzeniach użytkowników.

✔️ Automatyczne nawiązywanie połączenia z kontami e-mail użytkowników

Profil zawiera ustawienia konfiguracji poczty e-mail, które łączą się z serwerem poczty e-mail.

W zależności od skonfigurowanych ustawień profil poczty e-mail może również automatycznie łączyć użytkowników z ich ustawieniami poszczególnych kont e-mail.

✔️ Korzystanie z aplikacji poczty e-mail na poziomie przedsiębiorstwa

Email profile w Intune używają typowych i popularnych aplikacji poczty e-mail, takich jak Outlook. Aplikacja poczty e-mail jest wdrażana na urządzeniach użytkowników. Po jego wdrożeniu wdrażasz profil konfiguracji urządzenia poczty e-mail z ustawieniami, które konfigurują aplikację poczty e-mail.

Profil konfiguracji urządzenia poczty e-mail zawiera ustawienia łączące się z programem Exchange.

✔️ Uzyskiwanie dostępu do służbowych wiadomości e-mail

Tworzenie profilu poczty e-mail to typowe minimalne zasady punktu odniesienia dla organizacji z użytkownikami korzystającymi z poczty e-mail na swoich urządzeniach.

Intune ma wbudowane ustawienia poczty e-mail dla urządzeń klienckich z systemami Android, iOS/iPadOS i Windows. Gdy użytkownicy otwierają swoją aplikację poczty e-mail, mogą automatycznie łączyć się, uwierzytelniać i synchronizować konta e-mail organizacji na swoich urządzeniach.

✔️ Wdrażanie w dowolnym momencie

Na nowych urządzeniach zaleca się wdrożenie aplikacji poczty e-mail podczas procesu rejestracji. Po zakończeniu rejestracji wdróż zasady konfiguracji urządzenia poczty e-mail.

Jeśli masz istniejące urządzenia, wdróż aplikację poczty e-mail w dowolnym momencie i wdróż zasady konfiguracji urządzeń poczty e-mail.

Wprowadzenie do profilów poczty e-mail

Aby rozpocząć:

  1. Wdrażanie aplikacji poczty e-mail na urządzeniach. Aby uzyskać wskazówki, przejdź do tematu Dodawanie ustawień poczty e-mail do urządzeń przy użyciu Intune.

  2. Utwórz profil konfiguracji urządzenia poczty e-mail w Intune. W zależności od aplikacji poczty e-mail używanej przez organizację profil konfiguracji urządzenia poczty e-mail może nie być potrzebny.

    Aby uzyskać wskazówki, przejdź do tematu Dodawanie ustawień poczty e-mail do urządzeń przy użyciu Intune.

  3. W profilu konfiguracji urządzenia poczty e-mail skonfiguruj ustawienia dla platformy:

  4. Przypisz profil konfiguracji urządzenia poczty e-mail do użytkowników lub grup użytkowników.

Sieć VPN

Wiele organizacji wdraża profile sieci VPN ze wstępnie skonfigurowanymi ustawieniami na urządzeniach użytkowników. Sieć VPN łączy urządzenia z wewnętrzną siecią organizacji.

Jeśli Twoja organizacja korzysta z usług w chmurze z nowoczesnym uwierzytelnianiem i bezpiecznymi tożsamościami, prawdopodobnie nie potrzebujesz profilu sieci VPN. Usługi natywne dla chmury nie wymagają połączenia sieci VPN.

Jeśli aplikacje lub usługi nie są oparte na chmurze lub nie są natywne dla chmury, zaleca się wdrożenie profilu sieci VPN w celu nawiązania połączenia z wewnętrzną siecią organizacji.

✔️ Praca z dowolnego miejsca

Tworzenie profilu sieci VPN to typowe zasady minimalnej linii bazowej dla organizacji z pracownikami zdalnymi i hybrydowymi pracownikami.

Ponieważ użytkownicy pracują z dowolnego miejsca, mogą korzystać z profilu sieci VPN, aby bezpiecznie łączyć się z siecią organizacji w celu uzyskania dostępu do zasobów.

Intune ma wbudowane ustawienia sieci VPN dla urządzeń klienckich z systemami Android, iOS/iPadOS, macOS i Windows. Na urządzeniach użytkowników połączenie sieci VPN jest wyświetlane jako dostępne połączenie. Użytkownicy ją wybierają. W zależności od ustawień profilu sieci VPN użytkownicy mogą automatycznie uwierzytelniać się i łączyć się z siecią VPN na swoich urządzeniach.

✔️ Korzystanie z aplikacji sieci VPN na poziomie przedsiębiorstwa

Profile sieci VPN w Intune używają typowych aplikacji sieci VPN dla przedsiębiorstw, takich jak Check Point, Cisco, Microsoft Tunnel i inne. Aplikacja sieci VPN jest wdrażana na urządzeniach użytkowników. Po wdrożeniu aplikacji wdrożysz profil połączenia sieci VPN z ustawieniami, które konfigurują aplikację sieci VPN.

Profil konfiguracji urządzenia sieci VPN zawiera ustawienia łączące się z serwerem sieci VPN.

✔️ Wdrażanie w dowolnym momencie

Na nowych urządzeniach zaleca się wdrożenie aplikacji sieci VPN podczas procesu rejestracji. Po zakończeniu rejestracji wdróż zasady konfiguracji urządzenia sieci VPN.

Jeśli masz istniejące urządzenia, wdróż aplikację sieci VPN w dowolnym momencie, a następnie wdróż zasady konfiguracji urządzeń sieci VPN.

Wprowadzenie do profilów sieci VPN

Aby rozpocząć:

  1. Wdrażanie aplikacji sieci VPN na urządzeniach.

  2. Utwórz profil konfiguracji sieci VPN w Intune.

  3. W profilu konfiguracji urządzenia sieci VPN skonfiguruj ustawienia dla platformy:

  4. Przypisz profil konfiguracji urządzenia sieci VPN do użytkowników lub grup użytkowników.

Wi-Fi

Wiele organizacji wdraża profile Wi-Fi ze wstępnie skonfigurowanymi ustawieniami na urządzeniach użytkowników. Jeśli Twoja organizacja ma pracowników tylko zdalnych, nie musisz wdrażać Wi-Fi profilów połączeń. Wi-Fi profile są opcjonalne i są używane do łączności lokalnej.

✔️ Łączenie bezprzewodowe

Ponieważ użytkownicy pracują z różnych urządzeń przenośnych, mogą korzystać z profilu Wi-Fi, aby bezprzewodowo i bezpiecznie łączyć się z siecią organizacji.

Profil zawiera ustawienia konfiguracji Wi-Fi, które automatycznie łączą się z siecią i/lub identyfikatorem SSID (identyfikator zestawu usług). Użytkownicy nie muszą ręcznie konfigurować ustawień Wi-Fi.

✔️ Obsługa lokalnych urządzeń przenośnych

Tworzenie profilu Wi-Fi to typowe minimalne zasady punktu odniesienia dla organizacji z urządzeniami przenośnymi, które działają lokalnie.

Intune ma wbudowane ustawienia Wi-Fi dla urządzeń klienckich z systemami Android, iOS/iPadOS, macOS i Windows. Na urządzeniach użytkowników połączenie Wi-Fi jest wyświetlane jako dostępne połączenie. Użytkownicy ją wybierają. W zależności od ustawień profilu Wi-Fi użytkownicy mogą automatycznie uwierzytelniać się i łączyć się z Wi-Fi na swoich urządzeniach.

✔️ Wdrażanie w dowolnym momencie

Na nowych urządzeniach zaleca się wdrożenie zasad konfiguracji urządzenia Wi-Fi podczas rejestrowania urządzeń w Intune.

Jeśli masz istniejące urządzenia, możesz wdrożyć zasady konfiguracji Wi-Fi urządzenia w dowolnym momencie.

Wprowadzenie do profilów Wi-Fi

Aby rozpocząć:

  1. Utwórz profil konfiguracji urządzenia Wi-Fi w Intune.

  2. Skonfiguruj ustawienia dla platformy:

  3. Przypisz profil konfiguracji urządzenia Wi-Fi do użytkowników lub grup użytkowników.

Poziom 2 — rozszerzona ochrona i konfiguracja

Ten poziom rozszerza elementy skonfigurowane na poziomie 1 i zwiększa bezpieczeństwo urządzeń. W tej sekcji utworzysz zestaw zasad poziomu 2, które konfigurują więcej ustawień zabezpieczeń dla urządzeń.

Firma Microsoft zaleca następujące zasady zabezpieczeń poziomu 2:

  • Intune zawiera setki ustawień, które mogą zarządzać funkcjami i ustawieniami urządzeń, takimi jak wyłączanie wbudowanej kamery, kontrolowanie powiadomień, zezwalanie na bluetooth, blokowanie gier i nie tylko.

    Aby wyświetlić i skonfigurować ustawienia, możesz użyć wbudowanych szablonów lub wykazu ustawień .

    • Szablony ograniczeń urządzeń mają wiele wbudowanych ustawień, które mogą kontrolować różne części urządzeń, w tym zabezpieczenia, sprzęt, udostępnianie danych i nie tylko.

      Możesz użyć tych szablonów na następujących platformach:

      • Android
      • iOS/iPadOS
      • macOS
      • System Windows

    • Użyj wykazu ustawień, aby wyświetlić i skonfigurować wszystkie dostępne ustawienia. Wykaz ustawień można użyć na następujących platformach:

      • iOS/iPadOS
      • macOS
      • System Windows

    • Użyj wbudowanych szablonów administracyjnych, podobnie jak w przypadku konfigurowania lokalnych szablonów ADMX. Szablonów ADMX można używać na następującej platformie:

      • System Windows

  • Jeśli używasz lokalnych obiektów zasad grupy i chcesz wiedzieć, czy te same ustawienia są dostępne w Intune, użyj analizy zasady grupy. Ta funkcja analizuje obiekty zasad grupy i w zależności od analizy może zaimportować je do zasad wykazu ustawień Intune.

    Aby uzyskać więcej informacji, przejdź do pozycji Analizuj lokalne obiekty zasad grupy i zaimportuj je w Intune.

Poziom 3 — wysoka ochrona i konfiguracja

Ten poziom rozwija się w oparciu o elementy skonfigurowane na poziomach 1 i 2. Dodaje dodatkowe funkcje zabezpieczeń używane w organizacjach na poziomie przedsiębiorstwa.

  1. Konfigurowanie Microsoft Intune
  2. Dodawanie, konfigurowanie i ochrona aplikacji
  3. Planowanie zasad zgodności
  4. 🡺 Konfigurowanie funkcji urządzenia (jesteś tutaj)
  5. Rejestrowanie urządzeń