Шаг 4. Настройка функций и параметров устройства для защиты устройств и доступа к ресурсам

  • Статья

На данный момент вы настроили подписку на Intune, создали политики защиты приложений и политики соответствия устройств.

На этом шаге вы можете настроить минимальный или базовый набор функций безопасности и устройств, которые должны иметь все устройства.

Схема, на которой показано начало работы с Microsoft Intune с помощью шага 4, в котором описана настройка функций устройств и параметров безопасности.

Эта статья относится к:

  • Android
  • iOS/iPadOS
  • macOS
  • Windows

При создании профилей конфигурации устройств доступны различные уровни и типы политик. Эти уровни являются минимальными рекомендуемыми политиками Майкрософт. Знайте, что ваша среда и бизнес-потребности могут отличаться.

  • Уровень 1. Минимальная конфигурация устройства. На этом уровне корпорация Майкрософт рекомендует создавать политики, которые:

    • Сосредоточьтесь на безопасности устройств, включая установку антивирусной программы, создание политики надежных паролей и регулярную установку обновлений программного обеспечения.
    • Предоставьте пользователям доступ к электронной почте организации и контролируемый безопасный доступ к вашей сети, где бы они ни находились.

  • Уровень 2. Расширенная конфигурация устройства. На этом уровне корпорация Майкрософт рекомендует создавать политики, которые:

    • Расширьте безопасность устройств, включая настройку шифрования дисков, включение безопасной загрузки и добавление дополнительных правил паролей.
    • Используйте встроенные функции и шаблоны для настройки дополнительных параметров, важных для вашей организации, включая анализ локальных объектов групповой политики.

  • Уровень 3 — конфигурация устройства с высоким уровнем. На этом уровне корпорация Майкрософт рекомендует создавать политики, которые:

    • Перейдите на проверку подлинности без пароля, включая использование сертификатов, настройку единого входа (SSO) в приложениях, включение многофакторной проверки подлинности (MFA) и настройку Microsoft Tunnel.
    • Добавьте дополнительные уровни безопасности с помощью режима общих критериев Android или создания политик DFCI для устройств Windows.
    • Используйте встроенные функции для настройки устройств киосков, выделенных устройств, общих устройств и других специализированных устройств.
    • Развертывание существующих скриптов оболочки.

В этой статье перечислены различные уровни политик конфигурации устройств, которые должны использовать организации. Большинство из этих политик в этой статье посвящены доступу к ресурсам организации и безопасности.

Эти функции настраиваются в профилях конфигурации устройств в Центре администрирования Microsoft Intune. Когда профили будут готовы, их можно развернуть из Intune на ваши устройства.

Совет

Ознакомьтесь с Intune и Центром администрирования Microsoft Intune.

Уровень 1. Создание базовых показателей безопасности

Чтобы обеспечить безопасность данных и устройств в организации, вы создаете различные политики, ориентированные на безопасность. Необходимо создать список функций безопасности, которые должны быть у всех пользователей и (или) всех устройств. Этот список является базовым показателем безопасности.

В базовом плане корпорация Майкрософт рекомендует как минимум следующие политики безопасности:

  • Установка антивирусной программы и регулярное сканирование на наличие вредоносных программ
  • Использование обнаружения и реагирования
  • Включение брандмауэра
  • Регулярно устанавливайте обновления программного обеспечения
  • Создание надежной политики ПИН-кодов и паролей

В этом разделе перечислены Intune и службы Майкрософт, которые можно использовать для создания этих политик безопасности.

Более подробный список параметров Windows и их рекомендуемых значений см. в статье Базовые показатели безопасности Windows.

Антивирусная программа и сканирование

✔️ Установка антивирусного программного обеспечения и регулярное сканирование на наличие вредоносных программ

На всех устройствах должно быть установлено антивирусное программное обеспечение, которое должно регулярно проверяться на наличие вредоносных программ. Intune интегрируется со сторонними партнерскими службами защиты от угроз на мобильных устройствах (MTD), которые обеспечивают проверку av и угроз. Для macOS и Windows антивирусная программа и сканирование встроены в Intune с Microsoft Defender для конечной точки.

Параметры политики:

Платформа Тип политики
Android Enterprise — Партнер
по защите от угроз для мобильных устройств — Microsoft Defender для конечной точки для Android может проверять наличие вредоносных программ.
iOS/iPadOS Партнер по защите от угроз на мобильных устройствах
macOS Профиль антивирусной программы Intune Endpoint Security (Microsoft Defender для конечной точки)
Клиент Windows — Intune базовых показателей безопасности (рекомендуется)
— Intune профиль антивирусной программы Endpoint Security (Microsoft Defender для конечной точки)
— партнер по защите от угроз на мобильных устройствах

Дополнительные сведения об этих функциях см. в следующих статьях:

Обнаружение и реагирование

✔️ Обнаружение атак и выполнение действий с этими угрозами

При быстром обнаружении угроз можно свести к минимуму влияние угрозы. При объединении этих политик с условным доступом можно запретить пользователям и устройствам доступ к ресурсам организации при обнаружении угрозы.

Параметры политики:

Платформа Тип политики
Android Enterprise — Партнер
по защите мобильных угроз — Microsoft Defender для конечной точки на Android
iOS/iPadOS — Партнер по
защите мобильных угроз — Microsoft Defender для конечной точки на iOS/iPadOS
macOS Недоступно
Клиент Windows — Intune базовые показатели безопасности (рекомендуется)
— Intune профиль обнаружения конечных точек и реагирования (Microsoft Defender для конечной точки)
— партнер по защите от угроз на мобильных устройствах

Дополнительные сведения об этих функциях см. в следующих статьях:

Брандмауэр

✔️ Включение брандмауэра на всех устройствах

Некоторые платформы поставляются со встроенным брандмауэром, а на других может потребоваться установить брандмауэр отдельно. Intune интегрируется со сторонними партнерскими службами защиты от угроз (MTD), которые могут управлять брандмауэром для устройств Android и iOS/iPadOS. В macOS и Windows встроенная защита брандмауэра позволяет Intune с Microsoft Defender для конечной точки.

Параметры политики:

Платформа Тип политики
Android Enterprise Партнер по защите от угроз на мобильных устройствах
iOS/iPadOS Партнер по защите от угроз на мобильных устройствах
macOS профиль брандмауэра Intune Endpoint Security (Microsoft Defender для конечной точки)
Клиент Windows — Intune базовые показатели безопасности (рекомендуется)
— Intune профиль брандмауэра Endpoint Security (Microsoft Defender для конечной точки)
— партнер по защите от угроз для мобильных устройств.

Дополнительные сведения об этих функциях см. в следующих статьях:

Политика паролей

✔️ Создание надежной политики паролей или ПИН-кодов и блокировка простых секретных кодов

ПИН-коды разблокировки устройств. На устройствах, которые обращаются к данным организации, включая личные устройства, для разблокировки устройств должны требоваться надежные ПИН-коды и секретные коды, а также поддержка биометрических данных. Использование биометрии является частью подхода без пароля, который рекомендуется.

Intune использует профили ограничений устройств для создания и настройки требований к паролям.

Параметры политики:

Платформа Тип политики
Android Enterprise Intune профиль ограничений устройств для управления:
— Пароль устройства
— пароль рабочего профиля
AOSP профиль ограничений устройств Intune
iOS/iPadOS профиль ограничений устройств Intune
macOS профиль ограничений устройств Intune
Клиент Windows — Intune базовые показатели безопасности (рекомендуется)
— Intune профиль ограничений устройств

Список параметров, которые можно настроить, см. по следующим причинам:

Обновления программного обеспечения

✔️ Регулярная установка обновлений программного обеспечения

Все устройства должны регулярно обновляться и создавать политики, чтобы убедиться, что эти обновления успешно установлены. Для большинства платформ Intune имеет специальные политики, ориентированные на управление обновлениями и установку обновлений.

Параметры политики:

Платформа Тип политики
Устройства, принадлежащие организации Android Enterprise Параметры обновления системы с помощью профиля ограничений устройств Intune
Личные устройства Android Enterprise Недоступно

Можно использовать политики соответствия для установки минимального уровня исправлений, минимальной или максимальной версии ОС и многого другого.
iOS/iPadOS политика обновления Intune
macOS политика обновления Intune
Клиент Windows — политика
Intune обновлений компонентов — политика ускоренного обновления Intune

Дополнительные сведения об этих функциях и (или) параметрах, которые можно настроить, см. в следующих статье:

Уровень 1. Доступ к электронной почте организации, подключение к VPN или Wi-Fi

В этом разделе основное внимание уделяется доступу к ресурсам в организации. К этим ресурсам относятся:

  • Email для рабочих или учебных учетных записей
  • VPN-подключение для удаленного подключения
  • Wi-Fi подключение для локального подключения

Схема, на которую показаны профили электронной почты, VPN и Wi-Fi, развернутые из Microsoft Intune на устройства конечных пользователей.

Email

Многие организации развертывают профили электронной почты с предварительно настроенными параметрами на пользовательских устройствах.

✔️ Автоматическое подключение к учетным записям электронной почты пользователей

Профиль содержит параметры конфигурации электронной почты, которые подключаются к серверу электронной почты.

В зависимости от настроенных параметров профиль электронной почты также может автоматически подключать пользователей к их отдельным параметрам учетной записи электронной почты.

✔️ Использование почтовых приложений корпоративного уровня

Email профили в Intune используют распространенные и популярные приложения электронной почты, такие как Outlook. Приложение электронной почты развертывается на пользовательских устройствах. После развертывания вы развернете профиль конфигурации устройства электронной почты с параметрами, которые настраивают почтовое приложение.

Профиль конфигурации устройства электронной почты содержит параметры, которые подключаются к Exchange.

✔️ Доступ к рабочей или учебной электронной почте

Создание профиля электронной почты — это общая минимальная базовая политика для организаций с пользователями, которые используют электронную почту на своих устройствах.

Intune имеет встроенные параметры электронной почты для клиентских устройств Android, iOS/iPadOS и Windows. Когда пользователи открывают свое почтовое приложение, они могут автоматически подключаться, проверять подлинность и синхронизировать учетные записи электронной почты организации на своих устройствах.

✔️ Развертывание в любое время

На новых устройствах рекомендуется развернуть почтовое приложение во время процесса регистрации. После завершения регистрации разверните политику конфигурации устройства электронной почты.

Если у вас есть существующие устройства, разверните почтовое приложение в любое время и разверните политику конфигурации устройств электронной почты.

Начало работы с профилями электронной почты

Для начала сделайте следующее:

  1. Разверните приложение электронной почты на своих устройствах. Некоторые рекомендации см. в статье Добавление параметров электронной почты на устройства с помощью Intune.

  2. Создайте профиль конфигурации устройства электронной почты в Intune. В зависимости от приложения электронной почты, используемого вашей организацией, профиль конфигурации устройства электронной почты может не потребоваться.

    Некоторые рекомендации см. в статье Добавление параметров электронной почты на устройства с помощью Intune.

  3. В профиле конфигурации устройства электронной почты настройте параметры для своей платформы:

  4. Назначьте профиль конфигурации устройства электронной почты пользователям или группам пользователей.

VPN

Многие организации развертывают профили VPN с предварительно настроенными параметрами на пользовательских устройствах. VPN подключает устройства к внутренней сети организации.

Если ваша организация использует облачные службы с современной проверкой подлинности и безопасными удостоверениями, вам, вероятно, не нужен профиль VPN. Облачным службам не требуется VPN-подключение.

Если приложения или службы не являются облачными или не являются облачными, рекомендуется развернуть профиль VPN для подключения к внутренней сети организации.

✔️ Работа из любого места

Создание профиля VPN — это общая минимальная базовая политика для организаций с удаленными и гибридными сотрудниками.

Так как пользователи работают из любого места, они могут использовать профиль VPN для безопасного подключения к сети вашей организации для доступа к ресурсам.

Intune имеет встроенные параметры VPN для клиентских устройств Android, iOS/iPadOS, macOS и Windows. На пользовательских устройствах VPN-подключение отображается как доступное подключение. Пользователи выбирают его. Кроме того, в зависимости от параметров профиля VPN пользователи могут автоматически проходить проверку подлинности и подключаться к VPN на своих устройствах.

✔️ Использование VPN-приложений корпоративного уровня

Профили VPN в Intune используют распространенные корпоративные VPN-приложения, такие как Check Point, Cisco, Microsoft Tunnel и многое другое. VPN-приложение развертывается на пользовательских устройствах. После развертывания приложения вы развернете профиль VPN-подключения с параметрами, которые настраивают VPN-приложение.

Профиль конфигурации VPN-устройства содержит параметры, которые подключаются к VPN-серверу.

✔️ Развертывание в любое время

На новых устройствах рекомендуется развернуть VPN-приложение во время процесса регистрации. После завершения регистрации разверните политику конфигурации VPN-устройств.

Если у вас есть существующие устройства, разверните VPN-приложение в любое время, а затем разверните политику конфигурации VPN-устройств.

Начало работы с профилями VPN

Для начала сделайте следующее:

  1. Разверните VPN-приложение на своих устройствах.

  2. Создайте профиль конфигурации VPN в Intune.

  3. В профиле конфигурации VPN-устройства настройте параметры для своей платформы:

  4. Назначьте профиль конфигурации VPN-устройства пользователям или группам пользователей.

Wi-Fi

Многие организации развертывают Wi-Fi профили с предварительно настроенными параметрами на пользовательских устройствах. Если в вашей организации есть удаленные сотрудники, вам не нужно развертывать Wi-Fi профили подключений. Wi-Fi профили являются необязательными и используются для локального подключения.

✔️ Беспроводное подключение

Когда пользователи работают с разных мобильных устройств, они могут использовать профиль Wi-Fi для беспроводного и безопасного подключения к сети организации.

Профиль включает параметры конфигурации Wi-Fi, которые автоматически подключаются к сети и (или) SSID (идентификатор набора служб). Пользователям не нужно вручную настраивать параметры Wi-Fi.

✔️ Поддержка мобильных устройств в локальной среде

Создание профиля Wi-Fi — это общая минимальная базовая политика для организаций с мобильными устройствами, работающими локально.

Intune имеет встроенные параметры Wi-Fi для клиентских устройств Android, iOS/iPadOS, macOS и Windows. На пользовательских устройствах подключение Wi-Fi отображается как доступное подключение. Пользователи выбирают его. В зависимости от параметров профиля Wi-Fi пользователи могут автоматически проходить проверку подлинности и подключаться к Wi-Fi на своих устройствах.

✔️ Развертывание в любое время

На новых устройствах рекомендуется развернуть политику конфигурации устройств Wi-Fi при регистрации устройств в Intune.

Если у вас есть существующие устройства, вы можете в любое время развернуть политику конфигурации устройств Wi-Fi.

Начало работы с профилями Wi-Fi

Для начала сделайте следующее:

  1. Создайте профиль конфигурации устройства Wi-Fi в Intune.

  2. Настройте параметры для своей платформы:

  3. Назначьте профиль конфигурации устройства Wi-Fi пользователям или группам пользователей.

Уровень 2. Расширенная защита и конфигурация

Этот уровень расширяет возможности, настроенные на уровне 1, и повышает безопасность устройств. В этом разделе вы создадите набор политик уровня 2, которые настраивают дополнительные параметры безопасности для устройств.

Корпорация Майкрософт рекомендует следующие политики безопасности уровня 2:

  • Intune включает сотни параметров, которые могут управлять функциями и параметрами устройств, такими как отключение встроенной камеры, управление уведомлениями, разрешение bluetooth, блокировка игр и многое другое.

    Для просмотра и настройки параметров можно использовать встроенные шаблоны или каталог параметров.

    • Шаблоны ограничений устройств имеют множество встроенных параметров, которые могут управлять различными частями устройств, включая безопасность, оборудование, общий доступ к данным и многое другое.

      Эти шаблоны можно использовать на следующих платформах:

      • Android
      • iOS/iPadOS
      • macOS
      • Windows

    • Используйте каталог параметров , чтобы просмотреть и настроить все доступные параметры. Каталог параметров можно использовать на следующих платформах:

      • iOS/iPadOS
      • macOS
      • Windows

    • Используйте встроенные административные шаблоны, аналогичные настройке шаблонов ADMX в локальной среде. Шаблоны ADMX можно использовать на следующей платформе:

      • Windows

  • Если вы используете локальные объекты групповой политики и хотите узнать, доступны ли эти же параметры в Intune, используйте групповая политика аналитику. Эта функция анализирует объекты групповой политики и, в зависимости от анализа, может импортировать их в политику каталога параметров Intune.

    Дополнительные сведения см. в статье Анализ локальных объектов групповой политики и их импорт в Intune.

Уровень 3 . Высокий уровень защиты и конфигурация

Этот уровень расширяет возможности, настроенные на уровнях 1 и 2. Он добавляет дополнительные функции безопасности, используемые в организациях корпоративного уровня.

  1. Настройка Microsoft Intune
  2. Добавление, настройка и защита приложений
  3. Планирование политик соответствия требованиям
  4. 🡺 Настройка функций устройства (вы находитесь здесь)
  5. Регистрация устройств