本文档中的安全建议旨在帮助你使用 Microsoft Intune 改善组织的安全态势。 这些建议受公认的行业标准（例如 NIST 制定的标准）、我们在 Microsoft 内部使用的配置基线以及我们与客户的体验的影响。 本文中针对 Intune 的建议侧重于设备，但受到以下 Microsoft 安全未来计划支柱的指导：
- 保护标识和机密
- 保护租户并隔离生产系统
- 保护网络
- 保护工程系统
- 监视和检测网络威胁
- 加快响应和修复
提示
一些组织可能会完全按照书面内容接受这些建议，而其他组织可能会选择根据自己的业务需求进行修改。
我们建议在许可证可用的位置实施以下所有控件。 这些模式和做法有助于为基于此解决方案构建的其他资源提供安全的基础。 随着时间的推移，将向本文档添加更多控件。
自动评估
根据租户的配置手动检查本指南可能非常耗时且容易出错。 零信任评估通过自动化转换此过程，以测试这些安全配置项等。 在什么是零信任评估中了解更多信息？
安全租户
确保租户级别治理、标识和配置的一致性。
| 支票 | 最低许可证要求 |
|---|---|
| 强制执行范围标记配置，以支持委派管理和最低特权访问 | Microsoft Intune 计划 1 |
| 强制实施设备注册通知以确保用户意识和安全载入 | Microsoft Intune 计划 1 |
| 强制实施 Windows 自动设备注册，以消除来自非托管终结点的风险 | Microsoft Intune 计划 1 条件访问) 的 Microsoft Entra ID P1 ( |
| 合规性策略保护 Windows 设备 | Microsoft Intune 计划 1 |
| 合规性策略保护 macOS 设备 | Microsoft Intune 计划 1 |
| 合规性策略可保护完全托管和公司拥有的 Android 设备 | Microsoft Intune 计划 1 |
| 合规性策略保护个人拥有的 Android 设备 | Microsoft Intune 计划 1 |
| 合规性策略保护 iOS/iPadOS 设备 | Microsoft Intune 计划 1 |
| 平台 SSO 配置为加强 macOS 设备上的身份验证 | Microsoft Intune 计划 1 条件访问) 的 Microsoft Entra ID P1 ( |
| 强制实施 Defender for Endpoint 自动注册，以降低非托管 Android 威胁的风险 | Microsoft Intune 计划 1 Defender for Endpoint 计划 1 |
| 设备清理规则通过隐藏非活动设备来维护租户卫生 | Microsoft Intune 计划 1 |
| 条款和条件策略保护对敏感数据的访问 | Microsoft Intune 计划 1 |
| 公司门户品牌和支持设置增强用户体验和信任 | Microsoft Intune 计划 1 |
| 启用终结点分析以帮助识别 Windows 设备上的风险 | Microsoft Intune 计划 1 |
有关许可证详细信息，请参阅：
保护设备
通过设备配置和安全策略保护终结点。
| 支票 | 最低许可证要求 |
|---|---|
| Windows 上的本地管理员凭据受 Windows LAPS 保护 | Microsoft Intune 计划 |
| macOS 上的本地管理员凭据在注册期间受到 macOS LAPS 的保护 | Microsoft Intune 计划 1 |
| 限制 Windows 上的本地帐户使用，以减少未经授权的访问 | Microsoft Intune 计划 1 |
| Windows 上的数据受 BitLocker 加密保护 | Microsoft Intune 计划 1 |
| 文件保管库加密可保护 macOS 设备上的数据 | Microsoft Intune 计划 1 |
| Windows 上的身份验证使用 Windows Hello 企业版 | Microsoft Intune 计划 1 |
| 攻击面减少规则应用于 Windows 设备，以防止易受攻击的系统组件被利用 | Microsoft Intune 计划 1 Defender for Endpoint 计划 1 |
| Defender 防病毒策略可保护 Windows 设备免受恶意软件的侵害 | Microsoft Intune 计划 1 Defender for Endpoint 计划 1 |
| Defender 防病毒策略可保护 macOS 设备免受恶意软件的侵害 | Microsoft Intune 计划 1 Defender for Endpoint 计划 1 |
| Windows 防火墙策略可防止未经授权的网络访问 | Microsoft Intune 计划 1 |
| macOS 防火墙策略可防止未经授权的网络访问 | Microsoft Intune 计划 1 |
| 强制实施 Windows 更新策略以降低未修补漏洞的风险 | Microsoft Intune 计划 1 |
| 安全基线应用于 Windows 设备以加强安全态势 | Microsoft Intune 计划 1 |
| 强制执行 macOS 的更新策略，以降低未修补漏洞的风险 | Microsoft Intune 计划 1 |
| 强制执行 iOS/iPadOS 的更新策略，以降低未修补漏洞的风险 | Microsoft Intune 计划 1 |
有关许可证详细信息，请参阅：
安全数据
保护设备上和传输中的数据，并强制执行对组织数据的安全访问。
| 支票 | 最低许可证要求 |
|---|---|
| Android 上的数据受应用保护策略保护 | Microsoft Intune 计划 1 |
| iOS/iPadOS 上的数据受应用保护策略保护 | Microsoft Intune 计划 1 |
| 条件访问策略阻止来自非托管应用的访问 | Microsoft Intune 计划 1 条件访问) 的 Microsoft Entra ID P1 ( |
| 条件访问策略阻止来自不合规设备的访问 | Microsoft Intune 计划 1 条件访问) 的 Microsoft Entra ID P1 ( |
| 安全 Wi-Fi 配置文件可保护 iOS 设备免受未经授权的网络访问 | Microsoft Intune 计划 1 |
| 安全 Wi-Fi 配置文件可保护 macOS 设备免受未经授权的网络访问 | Microsoft Intune 计划 1 |
| 安全 Wi-Fi 配置文件可保护 Android 设备免受未经授权的网络访问 | Microsoft Intune 计划 1 |
有关许可证详细信息，请参阅：