安全基线评估

注意

Microsoft Defender 门户中的 “漏洞管理 ”部分现在位于 “公开管理”下。 通过此更改，现在可以在统一的位置使用和管理安全暴露数据和漏洞数据，以增强现有的漏洞管理功能。 了解详细信息。

这些更改与 预览版客户 (Microsoft Defender XDR + Microsoft Defender for Identity 预览版选项) 相关。

注意

若要使用此功能，您需要 Microsoft Defender 漏洞管理独立版；如果您已是 Microsoft Defender for Endpoint Plan 2 客户，则需要 Defender 漏洞管理附加组件。

安全基线评估有助于持续轻松地监视组织的安全基线符合性并实时识别更改，而无需运行永无止境的合规性扫描。

安全基线配置文件是一种您可以创建的自定义配置文件，用于对照行业安全基准评估和监视组织中的终端。 创建安全基线配置文件时，将创建一个模板，其中包含多个设备配置设置和要与之进行比较的基本基准。

安全基线提供对互联网安全中心 (CIS) 针对 Windows 10、Windows 11 以及 Windows Server 2008 R2 及以上版本的基准的支持，以及对 Windows 10 和 Windows Server 2019 的安全技术实施指南 (STIG) 基准的支持。

注意

• 基准目前仅支持组策略对象 (GPO) 配置，不支持 Microsoft Configuration Manager (Intune)。
  
• 安全基线评估不支持在非英语 Windows 系统区域设置下使用。
  
• 在 Windows Server 2012 R2 上启用 DFSS (动态公平共享计划) 时，不支持安全基线评估。
  
• 若要成功进行安全基线评估，必须在设备上将 PowerShell 约束语言模式 设置为 off 。 如果使用 WDAC 脚本强制实施，则可以配置允许规则以允许 MDE 脚本在 FullLanguage 模式下运行。 有关详细信息，请参阅通过强制执行 WDAC 脚本允许 Microsoft Defender for Endpoint 脚本。

提示

你知道可以免费试用 Microsoft Defender 漏洞管理中的所有功能吗？ 了解如何 注册免费试用版。

安全基线评估入门

1. 在 Microsoft Defender 门户中，执行以下操作之一：

   • 如果你是 Microsoft Defender XDR + Microsoft Defender for Identity 预览版客户，请选择“ 公开管理>漏洞管理>基线评估”。
   • 如果你是现有客户，请选择“ 漏洞管理>基线评估”。

2. 选择顶部的“ 配置文件 ”选项卡，然后选择“ 创建配置文件” 按钮。

3. 输入安全基线配置文件的名称和说明，然后选择“ 下一步”。

4. 在 “基线配置文件范围 ”页上，设置配置文件设置，例如软件、基本基准 (CIS 或 STIG) ，以及符合性级别，然后选择“ 下一步”。

5. 选择要包含在配置文件中的配置。

   

   注意

   由于手动检查要求或不支持配置，某些配置可能未包含在基线评估中。 这些配置在列表中标记为需要 手动检查 ，并且不会自动评估这些配置是否符合性。

   如果要更改组织的阈值配置值，请选择 “自定义 ”。

   

6. 选择“ 下一步 ”，选择要包含在基线配置文件中的设备组和设备标记。 该配置文件将自动应用于将来添加到这些组的设备。

7. 选择“下一步”以查看配置文件。

8. 选择“ 提交 ”以创建个人资料。

9. 在最后一页，选择查看个人资料页以查看评估结果。

提示

您可以根据不同的自定义设置，为同一操作系统创建多个配置文件。

自定义配置时，其旁边将显示一个图标，指示该配置已自定义且不再使用建议的值。 选择 重置 按钮以还原到建议的值。

需要注意的有用图标：

- 此配置以前已自定义。 如果选择“ 自定义”，则创建新配置文件时，将看到可供选择的可用变体。

- 此配置已自定义，未使用默认值。

安全基线评估概述

在安全基线评估概述页上，可以查看设备符合性、配置文件符合性、故障排名靠前的设备和配置错误的顶级设备。

查看安全基线配置文件评估结果

1. 在 “配置文件” 页中，选择任意配置文件以打开包含其他信息的浮出控件。

   

2. 选择“打开个人资料页”。 配置文件页包含两个选项卡“配置和设备”。

按配置查看

在“ 配置 ”选项卡中，可以查看配置列表并评估其报告的符合性状态。

在列表中选择某个配置后，你将看到一个浮出面板，其中包含该策略设置的详细信息，包括建议值（即设备被视为合规时的预期值范围）以及用于确定当前设备设置的来源。

“ 设备 ”选项卡显示针对此特定配置的所有适用设备及其符合性状态的列表。 对于每个设备，可以使用检测到的当前值来了解它符合或不合规的原因。

按设备查看

在主“ 设备 ”选项卡中，可以查看设备列表并评估其报告的符合性状态。

通过选择列表中的设备，你将看到一个包含其他详细信息的浮出控件。

选择“ 配置 ”选项卡，查看所有配置文件配置中此特定设备的符合性。

在设备侧面板顶部，选择“ 打开设备页” ，转到设备清单中的设备页面。 设备页显示“ 基线符合性 ”选项卡，该选项卡提供设备符合性的精细可见性。

通过选择列表中的配置，你将看到一个浮出控件，其中包含此设备上策略设置的符合性详细信息。

创建和管理异常

你可能不希望评估某些设备上的特定配置。 例如，设备可能受第三方控制，或者它可能已有备用缓解措施。 在这些情况下，可以添加例外以排除对设备上特定配置的评估。

例外项中包含的设备不会针对基线配置文件中的指定配置进行评估。 这意味着它不会影响组织的指标和分数，并且可以帮助组织更清楚地了解其合规性。

若要查看异常：：

1. 在 Microsoft Defender 门户中，执行以下操作之一：

   • 如果你是 Microsoft Defender XDR + Microsoft Defender for Identity 预览版客户，请选择“ 公开管理>漏洞管理>基线评估”。
   • 如果你是现有客户，请选择“ 终结点>漏洞管理>基线评估”。

2. 选择顶部的“ 例外 ”选项卡。

   

若要添加新异常，请：

1. 在“ 异常 ”选项卡上，选择“ 创建 ”按钮。

2. 填写请求的详细信息，包括理由原因和持续时间。

3. 选择 下一步。

4. 在 “配置范围 ”页上，选择软件、基本基准和符合性级别，然后选择“ 下一步”。

5. 选择要添加到例外中的配置。

   

6. 选择“ 下一步 ”以选择要包含在异常中的设备。 此异常将自动应用于设备。

7. 选择“ 下一步 ”查看异常。

8. 选择“ 提交 ”以创建异常。

9. 在最后一页上，选择“ 查看所有异常” 以返回到“异常”页。

在 “异常 ”页中，选择任何异常以打开浮出控件窗格，可在其中查看状态、编辑或删除异常：

使用高级搜寻

可以对下表运行高级搜寻查询，以获取组织中安全基线的可见性：

• DeviceBaselineComplianceProfiles：提供有关已创建配置文件的详细信息。
• DeviceBaselineComplianceAssessment：设备符合性相关信息。
• DeviceBaselineComplianceAssessmentKB：CIS 和 STIG 基准测试的常规设置 (与任何设备) 无关。

数据收集的已知问题

我们知道已知问题会影响特定版本的 CIS、STIG 和Microsoft基准的数据收集。 在这些版本中运行测试时，这些问题可能会导致结果不准确或不完整。 这些问题正在积极处理中，并将在未来的更新中得到解决。

建议在运行评估时从基准配置文件中排除受影响的测试，以避免这些问题的影响。

如果你的基准版本未在下面列出，并且你遇到问题，请联系 Microsoft 支持 人员，帮助我们进一步调查并帮助你解决问题。

以下 CIS、Microsoft 和 STIG 基准将受到影响：

• Cis

  • CIS 17.1.1 到 17.1.3
  • CIS 17.2.1 到 17.2.6
  • CIS 17.3.1 到 17.3.2
  • CIS 17.4.1 到 17.4.2
  • CIS 17.5.1 到 17.5.6
  • CIS 17.6.1 到 17.6.4
  • CIS 17.7.1 到 17.7.5
  • CIS 17.8.1
  • CIS 17.9.1 到 17.9.5

• CIS 检查新增项

  • CIS 2.3.2.2
  • CIS 2.3.7.3 到 2.3.7.5
  • CIS 2.3.10.1
  • CIS 1.1.5

• Microsoft 检查

  • Microsoft 2.1 到 2.9
  • Microsoft 2.10
  • Microsoft 2.12 到 2.21
  • Microsoft 2.23 到 2.30
  • Microsoft 2.33 到 2.52
  • Microsoft 3.55
  • Microsoft 3.57
  • Microsoft 3.60
  • Microsoft 3.72

• 适用于 Windows 和 Windows Server 的 Microsoft 证书存储检查

  • 适用于 Windows 10 1909 的 MCS 1.1 (临时) 1.1.5
  • MCS 2.0 for Windows 10 1909 (临时) 1.1.5
  • 适用于 Windows 10 20H2 的 MCS 1.1 (临时) 1.1.5
  • 适用于 Windows 10 20H2 的 MCS 2.0 (临时) 1.1.5
  • 适用于 Windows 10 v21H2 1.1.5 的 MCS 2.0
  • MCS 2.0 for Windows 10 v22H2 1.1.5
  • 适用于 Windows 11 1.1.5 的 MCS 2.0
  • 适用于 Windows 11 23H2 1.1.5 的 MCS 2.0
  • MCS 2.0 for Windows Server 2022 1.1.5
  • MCS 2.0 for Windows Server 2022 域控制器 1.1.5
  • MCS 2.0 for Windows Server 2019 1.1.5
  • MCS 2.0 for Windows Server 2019 域控制器 1.1.5
  • MCS 2.0 for Windows Server 2016 1.1.5
  • MCS 2.0 for Windows Server 2016 域控制器 1.1.5
  • MCS 2.0 for Windows Server 2012_R2 1.1.5
  • MCS 1.1 for Windows Server 2008_R2 (临时) 1.1.5
  • MCS 2.0 for Windows Server 2022 域控制器 2.3.10.1
  • MCS 2.0 for Windows Server 2019 域控制器 2.3.10.1
  • MCS 2.0 for Windows Server 2016 域控制器 2.3.10.1

• STIG 列表

  • STIG SV-220746r569187
  • STIG SV-220750r569187
  • STIG SV-220750r851970
  • STIG SV-220754r569187
  • STIG SV-220755r569187
  • STIG SV-220757r569187
  • STIG SV-220760r569187
  • STIG SV-220767r569187
  • STIG SV-220768r569187
  • STIG SV-220768r851975
  • STIG SV-220769r569187
  • STIG SV-220775r569187
  • STIG SV-220775r851978
  • STIG SV-220776r569187
  • STIG SV-220776r851979
  • STIG SV-220786r569187
  • STIG SV-220789r569187
  • STIG SV-220789r819664
  • STIG SV-224873r569186
  • STIG SV-225273r569185
  • STIG SV-225277r569185
  • STIG SV-225277r852184
  • STIG SV-225278r569185
  • STIG SV-225278r852185
  • STIG SV-225281r569185
  • STIG SV-225284r569185
  • STIG SV-225287r569185
  • STIG SV-225292r569185
  • STIG SV-225294r569185
  • STIG SV-225294r852189
  • STIG SV-225295r569185
  • STIG SV-225302r569185
  • STIG SV-225302r852194
  • STIG SV-225303r569185
  • STIG SV-225303r852195
  • STIG SV-226063r569184
  • STIG SV-226063r794292
  • STIG SV-226087r569184
  • STIG SV-226087r794341
  • STIG SV-226087r852064
  • STIG SV-226088r569184
  • STIG SV-226088r794342
  • STIG SV-226088r852065
  • STIG SV-226089r569184
  • STIG SV-226089r794274
  • STIG SV-226089r852066
  • STIG SV-226092r569184
  • STIG SV-226092r794343
  • STIG SV-226096r569184
  • STIG SV-226096r794784
  • STIG SV-226096r852070
  • STIG SV-226097r569184
  • STIG SV-226097r794786
  • STIG SV-226097r852071
  • STIG SV-226099r569184
  • STIG SV-226099r794279
  • STIG SV-226102r569184
  • STIG SV-226102r794335
  • STIG SV-226107r569184
  • STIG SV-226107r794336
  • STIG SV-226109r569184
  • STIG SV-226109r794353
  • STIG SV-226109r852074
  • STIG SV-226110r569184
  • STIG SV-226110r794366
  • STIG SV-226117r569184
  • STIG SV-226117r794356
  • STIG SV-226117r852079
  • STIG SV-226118r569184
  • STIG SV-226118r794357
  • STIG SV-226118r852080
  • STIG SV-254269r848623
  • STIG SV-254271r848629
  • STIG SV-254386r848974
  • STIG SV-254388r848980
  • STIG SV-254416r916422
  • STIG SV-254417r849067

相关文章

• 我组织中的漏洞
• 高级搜寻架构参考