15. Оновлення конфігурації Intune (Config Refresh)

Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.

Рекомендацій: 2

Windows 11 Intune v5.0.0

15.1 Переконайтеся, що для параметра «Оновлення конфігурації» встановлено значення «Увімкнено»

Рівень 1 (L1)Автоматизовано

            Оригінал:
        

Цей параметр політики визначає, чи оновлюватимуться політики MDM на система. Рекомендований стан для цього параметра: увімкнено.

💡 Обґрунтування безпеки:

Налаштування політики CSP слід налаштувати на регулярне оновлення, щоб забезпечити постійність відповідності та зменшити дрейф політики. Це допомагає забезпечити відповідність систем.

⚠️ Вплив на робочий процес (Impact):

Блог технічної спільноти Microsoft підтверджує, що тестування продуктивності проводилося до випуск функції, що демонструє мінімальний вплив на процесор, оперативну пам’ять і батарею, навіть якщо частоту оновлення встановлено на 30 хвилин.

🔍 Аудит (перевірка налаштувань)

Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.

HKLM\SOFTWARE\Microsoft\Enrollments\{ProviderGUID}\ConfigRefresh:EnabledThe ProviderGUID can be determined manually or programmatically by inspecting

кожного підрозділу в HKLM\SOFTWARE\Microsoft\Enrollments\. Постачальник Intune буде мають значення ValueName ProviderID зі значенням MS DM Server. GUID батьківського ключа це ProviderGUID, необхідний для розділу аудиту вище.

⚙️ Виправлення (Remediation / Налаштування)

Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: Config Refresh\Config refresh
Рекомендований стан: Enabled

Значення за замовчуванням: Вимкнено.

ℹ️ Додаткова інженерна інформація (Additional Information):

Застосовується лише до Windows 11.

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/dmclient- csp#deviceproviderprovideridconfigrefresh 2. https://techcommunity.microsoft.com/blog/windows-itpro-blog/intro-to-config- refresh-%E2%80%93-a-refreshingly-new-mdm-feature/4176921 3. Minimum OS CSP: Windows 11, Version 22H2 with KB5034848 and later 4. Minimum OS CSP: Windows 11, Version 21H2 with KB5035854 and later 5. GRID: MS-00000617 `

CIS Controls: `




                    CIS Controls V8: 4.1

                    IG 1, 2, 3
                
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.



                    CIS Controls V7: 5.4

                    IG 1, 2
                
Deploy System Configuration Management Tools Deploy system configuration management tools that will automatically enforce and redeploy configuration settings to systems at regularly scheduled intervals.




15.2 Переконайтеся, що для параметра «Частота оновлення» встановлено значення «90» (або менше)
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр політики визначає частоту оновлення політик MDM у системі. Рекомендований стан для цього параметра: 90 (або менше).




                💡 Обґрунтування безпеки:
            
Налаштування політики CSP слід налаштувати на регулярне оновлення, щоб забезпечити постійність відповідності та зменшити дрейф політики. Це допомагає забезпечити відповідність систем.




                ⚠️ Вплив на робочий процес (Impact):
            
Блог технічної спільноти Microsoft підтверджує, що тестування продуктивності проводилося до випуск функції, що демонструє мінімальний вплив на процесор, оперативну пам’ять і батарею, навіть якщо частоту оновлення встановлено на 30 хвилин.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 90 (або менше).
HKLM\SOFTWARE\Microsoft\Enrollments\{ProviderGUID}\ConfigRefresh:CadenceThe ProviderGUID can be determined manually or programmatically by inspecting
кожного підрозділу в HKLM\SOFTWARE\Microsoft\Enrollments\. Постачальник Intune буде мають значення ValueName ProviderID зі значенням MS DM Server. GUID батьківського ключа це ProviderGUID, необхідний для розділу аудиту вище. Примітка: Cadence ValueName може не відображатися в реєстрі під час встановлення значення до 90 у каталозі налаштувань.




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: Config Refresh\Refresh cadence Note: The shortest configurable refresh interval is 30 minutes.
Рекомендований стан: 90 (or less)


Значення за замовчуванням: 90.


            ℹ️ Додаткова інженерна інформація (Additional Information):
        

Застосовується лише до Windows 11.



📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/dmclient- csp#deviceproviderprovideridconfigrefresh 2. https://techcommunity.microsoft.com/blog/windows-itpro-blog/intro-to-config- refresh-%E2%80%93-a-refreshingly-new-mdm-feature/4176921 3. Minimum OS CSP: Windows 11, Version 22H2 with KB5034848 and later 4. Minimum OS CSP: Windows 11, Version 21H2 with KB5035854 and later 5. GRID: MS-00000618 `

CIS Controls: ` 



                    CIS Controls V8: 4.1

                    IG 1, 2, 3
                
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.



                    CIS Controls V7: 5.4

                    IG 1, 2
                
Deploy System Configuration Management Tools Deploy system configuration management tools that will automatically enforce and redeploy configuration settings to systems at regularly scheduled intervals.


        


Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.
            

                До повного змісту CIS Microsoft Intune Benchmark →