106. Політики відповідності пристроїв Intune (Device Compliance)

Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.

Рекомендацій: 7

Windows 11 Intune v5.0.0

106.1.1 Переконайтеся, що для параметра «Справність пристрою: BitLocker» встановлено значення «Потрібно»

Рівень 1 (L1)Вручну

            Оригінал:
        

Цей параметр політики забезпечує активність BitLocker Drive Encryption у Windows пристроїв. Якщо для цієї політики встановлено обов’язкове значення, Intune використовує атестацію працездатності Windows Служба (HAS) для перевірки того, що BitLocker увімкнено та захищає операційну систему обсяг на момент реєстрації пристрою. Рекомендований стан для цього параметра: Вимагати.

💡 Обґрунтування безпеки:

Шифрування повного диска захищає дані, що зберігаються на пристроях кінцевих користувачів, від несанкціонованого доступу у разі втрати або крадіжки. Без BitLocker, загрозливий актор, який отримує фізичний доступ до пристрою можна підключити диск ззовні та зчитувати дані у вигляді відкритого тексту, минаючи всі засоби контролю доступу до операційної системи. Шифрування BitLocker забезпечує збереження даних залишається захищеним криптографічним ключем, прив’язаним до апаратної безпеки пристрою стек.

⚠️ Вплив на робочий процес (Impact):

Пристрої, на яких не ввімкнуто BitLocker, включно з пристроями, де було шифрування розпочаті, але не завершені, будуть позначені як невідповідні. Невідповідні пристрої може втратити доступ до корпоративних ресурсів, доки не буде підтверджено шифрування.

🔍 Аудит (перевірка налаштувань)

Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений.

⚙️ Виправлення (Remediation / Налаштування)

Щоб установити рекомендовану конфігурацію з Центру адміністрування Microsoft Intune: 1. Перейдіть до Безпека кінцевої точки > Політики відповідності. 2. Створіть або відредагуйте політику відповідності. 3. У розділі «Справність пристрою» встановіть для BitLocker значення «Потрібно».

Значення за замовчуванням: Не налаштовано

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/intune/device-security/compliance/overview `

CIS Controls: `




                    CIS Controls V8: 3.6

                    IG 1, 2, 3
                
Encrypt Data on End-User Devices Encrypt data on end-user devices containing sensitive data. Example implementations can include: Windows BitLocker®, Apple FileVault®, Linux® dm-crypt.




106.1.2 Переконайтеся, що для параметра «Справність пристрою: безпечне завантаження» встановлено значення «Потрібно»
Рівень 1 (L1)Вручну



            Оригінал:
        

Цей параметр політики забезпечує ввімкнення безпечного завантаження на пристроях Windows. Коли для політики налаштовано на вимогу, Intune використовує службу Windows Health Attestation Service, щоб перевірити це у мікропрограмі пристрою ввімкнено Secure Boot і ланцюжок завантаження з UEFI прошивка до завантажувача ОС до ядра не змінювалася. Рекомендований стан для цього параметра: Вимагати.




                💡 Обґрунтування безпеки:
            
Безпечне завантаження може запобігти завантаженню несанкціонованого або шкідливого коду під час завантаження процес. Без Secure Boot зловмисники можуть інсталювати буткіти або руткіти, які зберігаються нижче операційної системи, зберігаючи повторні зображення та роблячи виявлення традиційним засоби безпеки надзвичайно складні. Безпечне завантаження гарантує, що лише цифрові підписи та надійні завантажувачі, файли ОС і драйвери можуть виконуватися під час запуску.




                ⚠️ Вплив на робочий процес (Impact):
            
Пристрої, на яких не ввімкнено Secure Boot, будуть позначені як несумісні. не- сумісні пристрої можуть втратити доступ до корпоративних ресурсів, доки не буде активовано Secure Boot підтверджено.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений.




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію з Центру адміністрування Microsoft Intune: 1. Перейдіть до Безпека кінцевої точки > Політики відповідності. 2. Створіть або відредагуйте політику відповідності. 3. У розділі «Справність пристрою» встановіть для параметра «Безпечне завантаження» значення «Потрібно».


Значення за замовчуванням: Не налаштовано

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/intune/device-security/compliance/overview `

CIS Controls: ` 



                    CIS Controls V8: 10.5

                    IG 1, 2
                
Enable Anti-Exploitation Features Enable anti-exploitation features on enterprise assets and software, where possible, such as Microsoft® Data Execution Prevention (DEP), Windows® Defender Exploit Guard (WDEG), or Apple® System Integrity Protection (SIP) and Gatekeeper™.






106.1.3 Переконайтеся, що для параметра «Справність пристрою: цілісність коду» встановлено значення «Вимагати»
Рівень 1 (L1)Вручну



            Оригінал:
        

Цей параметр політики гарантує, що цілісність коду ввімкнено на пристроях Windows. Код Integrity — це функція на рівні ядра Windows, яка перевіряє цифрові підписи драйверів і системні файли кожного разу, коли вони завантажуються в пам’ять. Рекомендований стан для цього параметра: Вимагати.




                💡 Обґрунтування безпеки:
            
Code Integrity запобігає зловмисним або неавторизованим драйверам і системним файлам режиму ядра від завантаження, значно зменшуючи поверхню атаки для руткітів, буткітів і використання шкідливих драйверів. Без забезпечення цілісності коду зловмисник виграє достатні привілеї можуть завантажити непідписаний шкідливий драйвер, який непомітно працює на рівень ядра.




                ⚠️ Вплив на робочий процес (Impact):
            
Пристрої, на яких не ввімкнено цілісність коду, включно з пристроями, на яких HVCI не працює буде ввімкнено через апаратні обмеження, буде позначено як невідповідне. Невідповідний пристрої можуть втратити доступ до корпоративних ресурсів, доки безпечне завантаження не буде підтверджено.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений.




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію з Центру адміністрування Microsoft Intune: 1. Перейдіть до Безпека кінцевої точки > Політики відповідності. 2. Створіть або відредагуйте політику відповідності. 3. У розділі «Справність пристрою» встановіть «Цілісність коду» на «Вимагати».


Значення за замовчуванням: Не налаштовано

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/intune/device-security/compliance/overview `

CIS Controls: ` 



                    CIS Controls V8: 10.5

                    IG 1, 2
                
Enable Anti-Exploitation Features Enable anti-exploitation features on enterprise assets and software, where possible, such as Microsoft® Data Execution Prevention (DEP), Windows® Defender Exploit Guard (WDEG), or Apple® System Integrity Protection (SIP) and Gatekeeper™.






106.2.1.1 Переконайтеся, що для параметра «Безпека системи: Безпека пристрою: брандмауер» встановлено значення «Потрібно»
Рівень 1 (L1)Вручну



            Оригінал:
        

Цей параметр політики забезпечує активність брандмауера Windows Defender у Windows пристроїв. Якщо встановлено значення «вимагати», Intune перевіряє, чи ввімкнено брандмауер на основі хосту пристрою, незалежно від того, який мережевий профіль (доменний, приватний або публічний) активний. Рекомендований стан для цього параметра: Вимагати.




                💡 Обґрунтування безпеки:
            
Брандмауери на основі хостів забезпечують критичний рівень контролю мережевого трафіку на рівні пристрою, незалежно від засобів контролю мережі периметра. Корпоративні пристрої часто підключаються з ненадійні мережі (домашній Wi-Fi, публічні точки доступу та гостьові мережі), де мережа- захист шару відсутній або неконтрольований. Вимкнення брандмауера Windows на них пристрої надає відкриті порти та служби прослуховування безпосередньо іншим хостам на тому самому пристрої сегменті мережі, значно збільшуючи ризик бокового руху та вплив мережева експлуатація.




                ⚠️ Вплив на робочий процес (Impact):
            
Пристрої, на яких брандмауер Windows Defender вимкнено, будуть позначені як не сумісний. Невідповідні пристрої можуть втратити доступ до корпоративних ресурсів, доки брандмауер підтверджено. Якщо використовується брандмауер стороннього виробника, який вимикає брандмауер Windows Defender, an буде потрібний виняток із цієї політики. Примітка: якщо пристрій негайно синхронізується після перезавантаження або виходить із режиму сну, це означає налаштування може повідомлятися як помилка. Щоб повторно оцінити статус відповідності, синхронізуйте вручну пристрій.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений.




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію з Центру адміністрування Microsoft Intune: 1. Перейдіть до Безпека кінцевої точки > Політики відповідності. 2. Створіть або відредагуйте політику відповідності. 3. У розділі System Security\Device Security встановіть для Firewall значення Require.


Значення за замовчуванням: Не налаштовано.

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/intune/device-security/compliance/overview `

CIS Controls: ` 



                    CIS Controls V8: 4.5

                    IG 1, 2, 3
                
Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.






106.2.1.2 Переконайтеся, що для параметра «Безпека системи: Безпека пристрою: Модуль надійної платформи (TPM)» встановлено значення «Потрібно»
Рівень 1 (L1)Вручну



            Оригінал:
        

Цей параметр політики гарантує наявність і наявність надійного платформного модуля (TPM). функціональний на пристроях Windows. Якщо встановлено вимогу, Intune використовує Windows Health Служба атестації для перевірки наявності TPM. TPM — це спеціальний криптографічний модуль процесор, який забезпечує апаратні функції безпеки, включаючи безпечний ключ зберігання, атестація пристрою та вимірювання цілісності завантаження. Рекомендований стан для цього параметра: Вимагати.




                💡 Обґрунтування безпеки:
            
TPM підтримує кілька важливих функцій безпеки, включаючи захист ключа BitLocker, Ізоляція облікових даних Windows Hello для бізнесу та атестація працездатності Windows. Без функціонуючого TPM пристрої не можуть надати апаратну атестацію стан безпеки та криптографічні ключі, які використовуються для шифрування та автентифікації диска апаратно не захищений. Зловмисник, який зламав програмне забезпечення на пристрої без TPM може отримати ключі шифрування або повністю обійти автентифікацію. Вимагання a TPM встановлює корінь надійності апаратного забезпечення на кожному керованому пристрої.




                ⚠️ Вплив на робочий процес (Impact):
            
Пристрої без мікросхеми TPM 2.0 або новішої версії або на яких TPM вимкнено Параметри мікропрограми BIOS/UEFI будуть позначені як невідповідні. Невідповідні пристрої може втратити доступ до корпоративних ресурсів, доки TPM не буде підтверджено.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений.




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію з Центру адміністрування Microsoft Intune: 1. Перейдіть до Безпека кінцевої точки > Політики відповідності. 2. Створіть або відредагуйте політику відповідності. 3. У розділі System Security\Device Security встановіть Trusted Platform Module (TPM) для вимоги.


Значення за замовчуванням: Не налаштовано.

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/intune/device-security/compliance/overview `

CIS Controls: ` 



                    CIS Controls V8: 3.6

                    IG 1, 2, 3
                
Encrypt Data on End-User Devices Encrypt data on end-user devices containing sensitive data. Example implementations can include: Windows BitLocker®, Apple FileVault®, Linux® dm- crypt.



                    CIS Controls V8: 10.5

                    IG 1, 2
                
Enable Anti-Exploitation Features Enable anti-exploitation features on enterprise assets and software, where possible, such as Microsoft® Data Execution Prevention (DEP), Windows® Defender Exploit Guard (WDEG), or Apple® System Integrity Protection (SIP) and Gatekeeper™.






106.2.1.3 Переконайтеся, що для параметра «Безпека системи: Безпека пристрою: Антивірус» встановлено значення «Потрібно»
Рівень 1 (L1)Вручну



            Оригінал:
        

Цей параметр політики гарантує, що розпізнане антивірусне рішення активне та зареєстроване за допомогою Центру безпеки Windows (WSC) на пристроях Windows. Коли встановлено на вимогу, Intune перевіряє наявність, запущеність антивірусного програмного забезпечення та повідомляє про поточний стан до WSC. Ця перевірка розпізнає як Microsoft Defender Antivirus, так і кваліфікований третій сторонні антивірусні рішення, зареєстровані в Центрі безпеки Windows. Рекомендований стан для цього параметра: Вимагати.




                💡 Обґрунтування безпеки:
            
Антивірусне програмне забезпечення забезпечує базовий рівень виявлення та запобігання зловмисному програмному забезпеченню сканування файлів, процесів і пам’яті на наявність відомих шкідливих і підозрілих сигнатур поведінки. Без активного антивірусного захисту кінцеві точки вразливі до широкого діапазону зловмисного програмного забезпечення, включаючи програмне забезпечення-вимагач, трояни та викрадачі інформації, які покладаються на сигнатурні виявлені корисні навантаження. Перевірка відповідності гарантує, що антивірус не лише встановлено але активно працює під час реєстрації кожного пристрою, виявляючи сценарії, де захист вимкнено або термін його дії минув.




                ⚠️ Вплив на робочий процес (Impact):
            
Пристрої, на яких антивірусне рішення відсутнє, припинено або не повідомляє Windows Центр безпеки буде позначено як невідповідний. Повинні бути антивірусні продукти сторонніх виробників WSC-інтегрований; рішення, які не реєструються в WSC, не пройдуть цю перевірку, навіть якщо функціонально активний. Антивірус Microsoft Defender може автоматично блокуватися, коли встановлено AV стороннього виробника, це очікувано та не спричиняє збій відповідності, якщо рішення стороннього виробника реєструється правильно.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений.




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію з Центру адміністрування Microsoft Intune: 1. Перейдіть до Безпека кінцевої точки > Політики відповідності. 2. Створіть або відредагуйте політику відповідності. 3. У розділі System Security\Device Security встановіть Antivirus на Require.


Значення за замовчуванням: Не налаштовано.

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/intune/device-security/compliance/overview `

CIS Controls: ` 



                    CIS Controls V8: 10.1

                    IG 1, 2, 3
                
Deploy and Maintain Anti-Malware Software Deploy and maintain anti-malware software on all enterprise assets.






106.2.1.4 Переконайтеся, що для параметра «Безпека системи: Безпека пристрою: Антишпигунське програмне забезпечення» встановлено значення «Потрібно»
Рівень 1 (L1)Вручну



            Оригінал:
        

Цей параметр політики забезпечує активність розпізнаного антишпигунського програмного забезпечення зареєстровано в Центрі безпеки Windows (WSC) на пристроях Windows. Коли встановлено вимагає, Intune перевіряє наявність антишпигунського програмного забезпечення та повідомляє про активність статус WSC. Microsoft Defender Antivirus забезпечує вбудоване антишпигунське програмне забезпечення здібності та визнано цією перевіркою; кваліфіковані антишпигунські рішення сторонніх виробників зареєстровані в WSC також приймаються. Рекомендований стан для цього параметра: Вимагати.




                💡 Обґрунтування безпеки:
            
Шпигунське та рекламне ПЗ представляють собою клас загроз, які не завжди можна класифікувати антивірусні механізми, натомість зосереджуючись на крадіжці облікових даних, нагляді, неавторизованих даних збір і постійна присутність на кінцевій точці. Додається активний захист від шпигунського ПЗ охоплення виявлення такої поведінки, що зменшує ризик невиявленої інформації ексфільтрація, викрадення сеансу та стійкі точки опори, встановлені сталкерським програмним забезпеченням або комерційні шпигунські засоби. Перевірка відповідності гарантує, що захисний шар активний під час реєстрації кожного пристрою.




                ⚠️ Вплив на робочий процес (Impact):
            
Пристрої, на яких антишпигунське програмне забезпечення відсутнє, зупинено або не повідомляється системі безпеки Windows Центр буде позначено як невідповідний. На сучасних Windows 10 і Windows 11 системи, Microsoft Defender Antivirus задовольняє як антивірус, так і антишпигун перевірки відповідності одночасно. Примітка. Сторонні продукти, призначені лише для захисту від шпигунського ПЗ, мають бути зареєстровані у WSC. Рішення які не інтегруються з WSC, не пройдуть цю перевірку незалежно від їх функціонального статусу.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений.




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію з Центру адміністрування Microsoft Intune: 1. Перейдіть до Безпека кінцевої точки > Політики відповідності. 2. Створіть або відредагуйте політику відповідності. 3. У розділі System Security\Device Security встановіть Antispyware на Require.


Значення за замовчуванням: Не налаштовано.

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/intune/device-security/compliance/overview `

CIS Controls: ` 



                    CIS Controls V8: 10.1

                    IG 1, 2, 3
                
Deploy and Maintain Anti-Malware Software Deploy and maintain anti-malware software on all enterprise assets.


        


Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.
            

                До повного змісту CIS Microsoft Intune Benchmark →