Sıfır Güven için Microsoft Intune yapılandırma: Güvenli cihazlar (Önizleme)

Uç noktaların güvenliğini sağlamak, Sıfır Güven stratejisinin kritik bir parçasıdır. Bu Intune önerileri şifrelemeyi zorunlu kılan, yetkisiz erişimi kısıtlayan ve güvenlik açığı riskini azaltan ilke temelli denetimler aracılığıyla ağ çevrenizi ve cihazlarınızı korumaya yardımcı olur. Bu denetimler, platformlar arasında yapılandırma ve güvenlik ilkeleri uygulayarak Microsoft'un Güvenli Gelecek Girişimi ile uyumlu hale gelir ve kuruluşunuzun genel güvenlik duruşunun güçlendirilmesini sağlar.

Sıfır Güven güvenlik önerileri

Windows'ta yerel yönetici kimlik bilgileri Windows LAPS tarafından korunur

Yerel Yönetici Parola Çözümü (LAPS) ilkelerini zorlamadan, uç noktalara erişim elde eden tehdit aktörleri ayrıcalıkları yükseltme, ek olarak taşıma ve kalıcılık oluşturma amacıyla statik veya zayıf yerel yönetici parolalarından yararlanabilir. Saldırı zinciri genellikle kimlik avı, kötü amaçlı yazılım veya fiziksel erişim yoluyla cihaz güvenliğinin aşılmasıyla başlar ve ardından yerel yönetici kimlik bilgilerini toplama girişimleriyle başlar. LAPS olmadan, saldırganlar güvenliği aşılmış kimlik bilgilerini birden çok cihazda yeniden kullanabilir ve ayrıcalık yükseltme ve etki alanı genelinde güvenliğin aşılması riskini artırır.

Tüm kurumsal Windows cihazlarında Windows LAPS'nin zorunlu olması, benzersiz, düzenli olarak döndürülen yerel yönetici parolaları sağlar. Bu, kimlik bilgisi erişimi ve yanal hareket aşamalarında saldırı zincirini kesintiye uğratarak geniş çapta risk riskini önemli ölçüde azaltır.

Düzeltme eylemi

Güçlü ve benzersiz yerel yönetici parolalarını döndüren ve bunları güvenli bir şekilde yedekleyen Windows LAPS ilkelerini zorunlu kılmak için Intune kullanın:

Daha fazla bilgi için bkz.:

macOS'ta yerel yönetici kimlik bilgileri macOS LAPS tarafından kayıt sırasında korunur

Otomatik Cihaz Kaydı (ADE) sırasında macOS LAPS ilkelerini zorunlu tutmadan, tehdit aktörleri ayrıcalıkları yükseltme, ek olarak taşıma ve kalıcılık oluşturma amacıyla statik veya yeniden kullanılan yerel yönetici parolalarından yararlanabilir. Rastgele kimlik bilgileri olmadan sağlanan cihazlar, kimlik bilgilerinin toplanmasına ve birden çok uç noktada yeniden kullanılmasına karşı savunmasızdır ve bu da etki alanı genelinde risk riskini artırır.

macOS LAPS'nin zorunlu olması, her cihazın Intune tarafından yönetilen benzersiz, şifrelenmiş bir yerel yönetici parolası ile sağlanmasını sağlar. Bu durum, kimlik bilgisi erişimi ve yanal hareket aşamalarında saldırı zincirini kesintiye uğratarak, yaygın olarak tehlikeye girme riskini önemli ölçüde azaltır ve en az ayrıcalık ve kimlik bilgisi hijyenine sahip Sıfır Güven ilkelerle uyum sağlar.

Düzeltme eylemi

Rastgele ve şifrelenmiş bir parolayla yerel yönetici hesabı sağlayan ve güvenli döndürmeyi sağlayan macOS ADE profillerini yapılandırmak için Intune kullanın:

Daha fazla bilgi için bkz.:

Windows'ta yerel hesap kullanımı yetkisiz erişimi azaltmak için kısıtlanmıştır

Intune'da düzgün yapılandırılmış ve atanmış bir Yerel Kullanıcılar ve Gruplar ilkesi olmadan, tehdit aktörleri Windows cihazlarında yönetilmeyen veya yanlış yapılandırılmış yerel hesaplardan yararlanabilir. Bu, yetkisiz ayrıcalıkların yükseltilmesine, kalıcılığa ve ortamda yanal harekete yol açabilir. Yerel yönetici hesapları denetlenmezse, saldırganlar uyumluluk ve güvenlik denetimlerini atlayarak gizli hesaplar oluşturabilir veya ayrıcalıkları yükseltebilir. Bu boşluk veri sızdırma, fidye yazılımı dağıtımı ve mevzuata uymama riskini artırır.

Hesap koruma profilleri kullanılarak yönetilen Windows cihazlarında Yerel Kullanıcılar ve Gruplar ilkelerinin uygulanmasını sağlamak, güvenli ve uyumlu bir cihaz filosunun korunması açısından kritik öneme sahiptir.

Düzeltme eylemi

Windows cihazlarında yerel hesap kullanımını kısıtlamak ve yönetmek için Intune hesap koruma ilkesinden bir Yerel kullanıcı grubu üyelik profili yapılandırın ve dağıtın:

Windows'ta veriler BitLocker şifrelemesi ile korunuyor

Intune'da düzgün yapılandırılmış ve atanmış bir BitLocker ilkesi olmadan, tehdit aktörleri gizli şirket verilerine yetkisiz erişim elde etmek için şifrelenmemiş Windows cihazlarından yararlanabilir. Zorunlu şifrelemesi olmayan cihazlar, disk kaldırma veya dış medyadan önyükleme gibi fiziksel saldırılara karşı savunmasızdır ve saldırganların işletim sistemi güvenlik denetimlerini atlamasına olanak tanır. Bu saldırılar, ortamda veri sızdırma, kimlik bilgisi hırsızlığı ve daha fazla yanal hareketle sonuçlanabilir.

BitLocker'ı yönetilen Windows cihazlarında zorunlu tutma, veri koruma düzenlemeleriyle uyumluluk ve veri ihlali riskini azaltmak için kritik öneme sahiptir.

Düzeltme eylemi

Tüm yönetilen Windows cihazlarında BitLocker şifrelemesini zorunlu kılmak ve uyumluluğu izlemek için Intune kullanın:

FileVault şifrelemesi macOS cihazlarında verileri korur

Intune'da düzgün yapılandırılmış ve atanmış FileVault şifreleme ilkeleri olmadan, tehdit aktörleri hassas kurumsal verileri ayıklamak için yönetilmeyen veya yanlış yapılandırılmış macOS cihazlarına fiziksel erişimden yararlanabilir. Şifrelenmemiş cihazlar, saldırganların dış medyadan önyükleme yaparak veya depolama sürücüsünü kaldırarak işletim sistemi düzeyinde güvenliği atlamasına olanak tanır. Bu saldırılar kimlik bilgilerini, sertifikaları ve önbelleğe alınmış kimlik doğrulama belirteçlerini kullanıma sunarak ayrıcalık yükseltme ve yanal hareketi etkinleştirebilir. Ayrıca şifrelenmemiş cihazlar, veri koruma düzenlemelerine uyumu baltalar ve bir ihlal durumunda saygınlık zararları ve finansal cezalar riskini artırır.

FileVault şifrelemesini zorunlu tutma, kayıp veya çalınmış olsa bile macOS cihazlarında bekleyen verileri korur. Kimlik bilgisi toplama ve yanal hareketi kesintiye uğratır, mevzuat uyumluluğunu destekler ve cihaz güveninin Sıfır Güven ilkeleriyle uyumlu hale gelir.

Düzeltme eylemi

Tüm yönetilen macOS cihazlarında FileVault şifrelemesini zorunlu kılmak ve uyumluluğu izlemek için Intune kullanın:

Windows'ta kimlik doğrulaması İş İçin Windows Hello kullanır

İş İçin Windows Hello (WHfB) ilkeleri yapılandırılmaz ve tüm kullanıcılara ve cihazlara atanmazsa, tehdit aktörleri yetkisiz erişim elde etmek için parolalar gibi zayıf kimlik doğrulama mekanizmalarından yararlanabilir. Bu, kimlik bilgisi hırsızlığına, ayrıcalık yükseltmesine ve ortamda yanal harekete yol açabilir. WHfB gibi güçlü ve ilke temelli kimlik doğrulaması olmadan saldırganlar cihazları ve hesapları tehlikeye atarak yaygın etki riskini artırır.

WHfB'yi zorlamak, kimlik bilgileri tabanlı saldırı ve yetkisiz erişim riskini azaltmaya yardımcı olan güçlü, çok faktörlü kimlik doğrulaması gerektirerek bu saldırı zincirini kesintiye uğratır.

Düzeltme eylemi

Güçlü, çok faktörlü kimlik doğrulamasını zorunlu kılmak için İş İçin Windows Hello Intune dağıtın:

Saldırı Yüzeyi Azaltma kuralları, güvenlik açığı bulunan sistem bileşenlerinin kötüye kullanılmasını önlemek için Windows cihazlarına uygulanır

Saldırı Yüzeyi Azaltma (ASR) kuralları için Intune profilleri düzgün yapılandırılmamış ve Windows cihazlarına atanmamışsa, tehdit aktörleri belirsiz betikleri yürütmek ve Office makrolarından Win32 API çağrılarını çağırmak için korumasız uç noktalardan yararlanabilir. Bu teknikler genellikle kimlik avı kampanyalarında ve kötü amaçlı yazılım tesliminde kullanılır ve saldırganların geleneksel virüsten koruma savunmalarını atlamasına ve ilk erişim elde etmelerine olanak sağlar. İçeri girdikten sonra saldırganlar ayrıcalıkları yükseltebilir, kalıcılık sağlar ve ağ üzerinde yandaki hareket eder. ASR zorlaması olmadan, cihazlar betik tabanlı saldırılara ve makro kötüye kullanımına karşı savunmasız kalır ve Microsoft Defender etkinliğini azaltır ve hassas veri sızdırmaya maruz kalır. Uç nokta korumasındaki bu boşluk, başarılı bir güvenlik açığı olasılığını artırır ve kuruluşun tehditleri kapsama ve bunlara yanıt verme becerisini azaltır.

ASR kurallarının zorunlu bırakılması, betik tabanlı yürütme ve makro kötüye kullanımı gibi yaygın saldırı tekniklerini engellemeye yardımcı olur ve uç nokta savunmalarını güçlendirerek ilk risk riskini azaltır ve Sıfır Güven destekler.

Düzeltme eylemi

Yüksek riskli davranışları engellemek ve uç nokta korumasını güçlendirmek amacıyla Windows cihazları için Saldırı Yüzeyi Azaltma Kuralları profillerini dağıtmak için Intune kullanın:

Daha fazla bilgi için bkz.:

Defender Virüsten Koruma ilkeleri Windows cihazlarını kötü amaçlı yazılımlardan korur

Microsoft Defender Virüsten Koruma ilkeleri Intune düzgün yapılandırılmamış ve atanmamışsa, tehdit aktörleri kötü amaçlı yazılımları yürütmek, virüsten koruma korumalarını devre dışı bırakmak ve ortamda kalıcı hale getirmek için korumasız uç noktalardan yararlanabilir. Zorunlu virüsten koruma ilkeleri olmadan cihazlar eski tanımlarla, devre dışı bırakılmış gerçek zamanlı korumayla veya yanlış yapılandırılmış tarama zamanlamalarıyla çalışır. Bu boşluklar, saldırganların algılamayı atlamasına, ayrıcalıkları yükseltmesine ve ağ üzerinde yanlamasına hareket etmesini sağlar. Virüsten koruma uygulamasının olmaması cihaz uyumluluğunu baltalar, sıfır gün tehditlerine maruz kalma durumunu artırır ve mevzuata uymama ile sonuçlanabilir. Saldırganlar, özellikle merkezi ilke uygulaması olmayan ortamlarda kalıcılığı korumak ve algılamadan kaçmak için bu zayıflıklardan yararlanıyor.

Defender Virüsten Koruma ilkelerini zorunlu tutmak kötü amaçlı yazılımlara karşı tutarlı koruma sağlar, gerçek zamanlı tehdit algılamayı destekler ve güvenli ve uyumlu bir uç nokta duruşu koruyarak Sıfır Güven ile uyumludur.

Düzeltme eylemi

Gerçek zamanlı korumayı zorunlu tutmak, güncel tanımları korumak ve kötü amaçlı yazılımlara maruz kalma riskini azaltmak için Microsoft Defender Virüsten Koruma için Intune ilkeleri yapılandırın ve atayın:

Defender Virüsten Koruma ilkeleri macOS cihazlarını kötü amaçlı yazılımlardan korur

Microsoft Defender Virüsten Koruma ilkeleri düzgün yapılandırılmamış ve Intune macOS cihazlarına atanmamışsa, saldırganlar kötü amaçlı yazılım yürütmek, virüsten koruma korumalarını devre dışı bırakmak ve ortamda kalıcı hale getirmek için korumasız uç noktalardan yararlanabilir. Zorunlu ilkeler olmadan, cihazlar güncel olmayan tanımlara sahip olur, gerçek zamanlı korumadan yoksun olur veya yanlış yapılandırılmış tarama zamanlamalarına sahip olur ve algılanmayan tehditler ve ayrıcalık yükseltme riskini artırır. Bu, ağ genelinde yanal hareket, kimlik bilgisi toplama ve veri sızdırmaya olanak tanır. Virüsten koruma uygulamasının olmaması cihaz uyumluluğunu baltalar, uç noktaların sıfır gün tehditlerine maruz kalmasını artırır ve mevzuata uymama ile sonuçlanabilir. Saldırganlar, özellikle merkezi ilke uygulaması olmayan ortamlarda kalıcılığı korumak ve algılamadan kaçmak için bu boşlukları kullanır.

Defender Virüsten Koruma ilkelerini zorunlu tutmak, macOS cihazlarının kötü amaçlı yazılımlara karşı tutarlı bir şekilde korunmasını, gerçek zamanlı tehdit algılamayı desteklemesini ve güvenli ve uyumlu bir uç nokta duruşu koruyarak Sıfır Güven uyumlu olmasını sağlar.

Düzeltme eylemi

Gerçek zamanlı korumayı zorlamak, güncel tanımları korumak ve kötü amaçlı yazılımlara maruz kalma riskini azaltmak amacıyla macOS cihazları için Microsoft Defender Virüsten Koruma ilkelerini yapılandırmak ve atamak için Intune kullanın:

Windows Güvenlik Duvarı ilkeleri yetkisiz ağ erişimine karşı koruma sağlar

Windows Güvenlik Duvarı ilkeleri yapılandırılmaz ve atanmazsa, tehdit aktörleri korumasız uç noktalardan yararlanarak yetkisiz erişim elde edebilir, ek olarak taşıyabilir ve ortam içindeki ayrıcalıkları yükseltebilir. Zorlamalı güvenlik duvarı kuralları olmadan saldırganlar ağ segmentasyonunu atlayabilir, verileri çıkarabilir veya kötü amaçlı yazılım dağıtabilir ve bu da yaygın risk riskini artırır.

Windows Güvenlik Duvarı ilkelerini zorunlu tutma, gelen ve giden trafik denetimlerinin tutarlı bir şekilde uygulanmasını sağlayarak yetkisiz erişime maruz kalma riskini azaltır ve ağ segmentasyonu ve cihaz düzeyinde koruma aracılığıyla Sıfır Güven destekler.

Düzeltme eylemi

Yetkisiz trafiği engellemek ve tüm yönetilen cihazlarda tutarlı ağ korumaları uygulamak için Intune'de Windows için güvenlik duvarı ilkelerini yapılandırın ve atayın:

  • Windows cihazları için güvenlik duvarı ilkelerini yapılandırın. Intune, güvenlik duvarı ayarlarını yönetmek için iki tamamlayıcı profil kullanır:
    • Windows Güvenlik Duvarı - Ağ türüne göre genel güvenlik duvarı davranışını yapılandırmak için bu profili kullanın.
    • Windows Güvenlik Duvarı kuralları - Belirli gruplara veya iş yüklerine göre uyarlanmış uygulamalar, bağlantı noktaları veya IP'ler için trafik kuralları tanımlamak için bu profili kullanın. Bu Intune profili, farklı profil örnekleri için kullandığınız yaygın ayarların yönetimini basitleştirmeye yardımcı olmak için yeniden kullanılabilir ayarlar gruplarının kullanımını da destekler.
  • Intune'de ilke atama

Daha fazla bilgi için bkz.:

macOS Güvenlik Duvarı ilkeleri yetkisiz ağ erişimine karşı koruma sağlar

Merkezi olarak yönetilen bir güvenlik duvarı ilkesi olmadan, macOS cihazları varsayılan veya kullanıcı tarafından değiştirilmiş ayarları kullanır ve bu ayarlar genellikle kurumsal güvenlik standartlarını karşılayamaz. Bu, cihazları istenmeyen gelen bağlantılara maruz bırakır ve tehdit aktörlerinin güvenlik açıklarından yararlanmasına, veri sızdırma için giden komut ve denetim (C2) trafiği oluşturmasına ve ağ içinde yaya olarak hareket etmesini sağlayarak bir ihlalin kapsamını ve etkisini önemli ölçüde yükseltebilir.

macOS Güvenlik Duvarı ilkelerini zorunlu tutma, gelen ve giden trafik üzerinde tutarlı denetim sağlayarak yetkisiz erişime maruz kalma riskini azaltır ve cihaz düzeyinde koruma ve ağ segmentasyonu aracılığıyla Sıfır Güven destekler.

Düzeltme eylemi

yetkisiz trafiği engellemek ve tüm yönetilen macOS cihazlarında tutarlı ağ korumaları uygulamak için Intune'de macOS Güvenlik Duvarı profillerini yapılandırın ve atayın:

Daha fazla bilgi için bkz.:

Windows Update ilkeleri, eşleşmeyen güvenlik açıklarından kaynaklanan riski azaltmak için uygulanır

Windows Update ilkeleri tüm kurumsal Windows cihazlarında uygulanmazsa, tehdit aktörleri yetkisiz erişim elde etmek, ayrıcalıkları yükseltmek ve ortamda yanlı olarak hareket etmek için eşleşmeyen güvenlik açıklarından yararlanabilir. Saldırı zinciri genellikle kimlik avı, kötü amaçlı yazılım veya bilinen güvenlik açıklarından yararlanma yoluyla cihaz güvenliğinin aşılmasıyla başlar ve ardından güvenlik denetimlerini atlama girişimleri gelir. Zorlamalı güncelleştirme ilkeleri olmadan saldırganlar, güncel olmayan yazılımlardan yararlanarak ortamda kalıcı hale gelip ayrıcalık yükseltme ve etki alanı genelinde güvenliğin aşılması riskini artırır.

Windows Update ilkelerini zorunlu tutma, güvenlik açıklarına zamanında düzeltme eki uygulama, saldırganın kalıcılığını kesintiye uğratma ve yaygın risk riskini azaltmayı sağlar.

Düzeltme eylemi

Kullanılabilir Windows Update ilke türlerini ve bunların nasıl yapılandırileceğini anlamak için Intune'de Windows yazılım güncelleştirmelerini yönetme ile başlayın.

Intune aşağıdaki Windows update ilke türünü içerir:

Güvenlik duruşu güçlendirmek için Windows cihazlarına güvenlik temelleri uygulanır

Windows için Intune güvenlik temelleri düzgün yapılandırılmadan ve atanmadan, cihazlar kalıcılık kazanmak ve ayrıcalıkları yükseltme amacıyla tehdit aktörlerinin yararlandığı çok çeşitli saldırı vektörlerine karşı savunmasız kalır. Saldırganlar, kimlik bilgileri dökümü, eşleşmeyen güvenlik açıkları aracılığıyla ayrıcalık yükseltme ve zayıf kimlik doğrulama mekanizmalarının kötüye kullanılması gibi teknikleri kullanarak yanal hareket gerçekleştirmek için sağlamlaştırılmış güvenlik ayarları olmayan varsayılan Windows yapılandırmalarından yararlanır. Zorunlu güvenlik temelleri olmadığında, tehdit aktörleri kritik güvenlik denetimlerini atlayabilir, kayıt defteri değişiklikleri aracılığıyla kalıcılığı koruyabilir ve izlenmeyen kanallar aracılığıyla hassas veri yok edebilir. Derinlemesine savunma stratejisinin uygulanamaması, saldırganlar saldırı zincirinde ilerledikçe (ilk erişimden veri sızdırmaya kadar) cihazların kötüye kullanılmasını kolaylaştırır ve sonuçta kuruluşun güvenlik duruşunu tehlikeye atabilir ve uyumluluk ihlali riskini artırır.

Güvenlik temellerinin uygulanması, Windows cihazlarının sağlamlaştırılmış ayarlarla yapılandırılmasını sağlar, saldırı yüzeyini azaltır, derinlemesine savunma uygular ve ortam genelinde güvenlik denetimlerini standartlaştırarak Sıfır Güven destekler.

Düzeltme eylemi

Standart güvenlik ayarlarını zorunlu kılmak ve uyumluluğu izlemek için Windows cihazlarına Intune güvenlik temelleri yapılandırın ve atayın:

MacOS için güncelleştirme ilkeleri, eşleşmeyen güvenlik açıklarından kaynaklanan riski azaltmak için zorunlu kılındı

macOS güncelleştirme ilkeleri düzgün yapılandırılmaz ve atanmazsa, tehdit aktörleri kuruluş içindeki macOS cihazlarında eşleşmeyen güvenlik açıklarından yararlanabilir. Zorunlu güncelleştirme ilkeleri olmadan cihazlar eski yazılım sürümlerinde kalır ve ayrıcalık yükseltme, uzaktan kod yürütme veya kalıcılık teknikleri için saldırı yüzeyini artırır. Tehdit aktörleri bu zayıflıklardan yararlanarak ilk erişim elde edebilir, ayrıcalıkları yükseltebilir ve ortamda yanlı olarak hareket edebilir. İlkeler varsa ancak cihaz gruplarına atanmamışsa, uç noktalar korumasız kalır ve uyumluluk boşlukları algılanmamış olur. Bu, geniş çapta güvenliğin aşılmasına, veri sızdırmaya ve operasyonel kesintiye neden olabilir.

macOS güncelleştirme ilkelerinin zorunlu tutulması, cihazların zamanında düzeltme ekleri almasını sağlayarak güvenli ve uyumlu bir cihaz filosu koruyarak Sıfır Güven yararlanma ve destekleme riskini azaltır.

Düzeltme eylemi

Intune'de macOS güncelleştirme ilkelerini yapılandırıp atayın ve düzeltme eki uygulanmayan güvenlik açıklarına karşı zamanında düzeltme eki uygulama ve riski azaltma:

Eşleşmeyen güvenlik açıklarından kaynaklanan riski azaltmak için iOS/iPadOS için güncelleştirme ilkeleri zorunlu kılındı

iOS güncelleştirme ilkeleri yapılandırılmaz ve atanmazsa, tehdit aktörleri yönetilen cihazlardaki eski işletim sistemlerindeki eşleşmeyen güvenlik açıklarından yararlanabilir. Zorunlu güncelleştirme ilkelerinin olmaması, saldırganların bilinen açıklardan yararlanarak ilk erişim elde etmesine, ayrıcalıkları yükseltmesine ve ortamda yaya olarak hareket etmesine olanak tanır. Zamanında güncelleştirmeler olmadan, cihazlar Apple tarafından zaten ele alınmış olan açıklara karşı savunmasız kalır ve tehdit aktörlerinin güvenlik denetimlerini atlamasına, kötü amaçlı yazılım dağıtmasına veya hassas veri sızdırmasına olanak tanır. Bu saldırı zinciri, eşleşmeyen bir güvenlik açığı aracılığıyla cihaz güvenliğinin aşılmasına ve ardından hem kurumsal güvenliği hem de uyumluluk duruşu etkileyen kalıcılık ve olası veri ihlaliyle başlar.

Güncelleştirme ilkelerini zorunlu tutma, cihazların bilinen tehditlere karşı tutarlı bir şekilde korunmasını sağlayarak bu zinciri kesintiye uğratır.

Düzeltme eylemi

Düzeltme ekini zamanında uygulamak ve eşleşmeyen güvenlik açıklarından kaynaklanan riski azaltmak için Intune'da iOS/iPadOS güncelleştirme ilkelerini yapılandırın ve atayın:

İlgili içerik

  • Last updated on