← До повного змісту CIS Microsoft 365 Foundations Benchmark

CIS Benchmark

CIS Benchmark • Microsoft 365 v7.0.0

4. Центр адміністрування Microsoft Intune

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Центр адміністрування Microsoft Intune».


Рекомендацій: 2


Microsoft 365 v7.0.0

4.1 Переконайтеся, що пристрої без політики відповідності позначені як “несумісні” (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure devices without a compliance policy are marked ‘not compliant’ (Automated)

Політика відповідності – це набори правил і умов, які використовуються для оцінки конфігурація керованих пристроїв. Ці політики можуть допомогти захистити дані організації і ресурси з пристроїв, які не відповідають вимогам конфігурації. Керований пристрої повинні відповідати умовам, які ви встановили у своїх політиках, щоб вважатися сумісними від Intune. У поєднанні з умовним доступом це дає змогу краще контролювати спосіб невідповідні пристрої обробляються. Рекомендований стан: Позначити пристрої, яким не призначено політику відповідності як як Не відповідає

💡 Обґрунтування безпеки:

Запровадження цього параметра є першим кроком у прийнятті політики відповідності для пристроїв. При використанні разом із політиками умовного доступу площа атаки може бути зменшена шляхом примусового виконання дії для невідповідних пристроїв. Примітка. Цей розділ не зосереджується на тому, які політики відповідності використовувати, а лише на тому Організація повинна прийняти та застосувати їх відповідно до своїх потреб.

⚠️ Вплив на робочий процес (Impact):

Усі пристрої без політики відповідності буде позначено як несумісні. Обережність повинна бути спочатку розгорнути будь-яку нову політику відповідності з політикою умовного доступу (CA). що знаходиться в стані лише звіт. Після навколишнього середовища відповідність пристрою краща зрозуміло, що тоді доцільно остаточно узгодити пристрої Mark з № політику відповідності, призначену як, і ввімкніть будь-які політики ЦС, які забезпечують виконання дій на основі відповідності пристрою. Якщо зріле середовище вже має існуючу політику сертифікації сумісності пристрою та a велика кількість пристроїв без призначеної політики відповідності, це може спричинити збій, оскільки тоді ці пристрої раптово вважатимуться невідповідними.

Сторінка 185

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / Admin Center)

Перевірте налаштування в графічному веб-інтерфейсі:

  1. Перейдіть до центру адміністрування Microsoft Intune https://intune.microsoft.com/
  2. Виберіть Пристрої, а потім у розділі Керування пристроями натисніть Відповідність
  3. Натисніть Параметри відповідності.
  4. Переконайтеся, що для параметра «Позначити пристрої, яким не призначено політику відповідності» встановлено значення «Не сумісно».
💻 PowerShell консоль (CLI)
  1. Підключіться до Microsoft Graph:
    Connect-MgGraph -Scopes "DeviceManagementConfiguration.Read.All"
  2. Виконайте такі команди:
    $Uri = 'https://graph.microsoft.com/v1.0/deviceManagement/settings'
Invoke-MgGraphRequest -Uri $Uri -Method GET
  3. Переконайтеся, що для параметра secureByDefault встановлено значення True.

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / Admin Center)

Виконайте такі дії в графічному інтерфейсі:

  1. Перейдіть до центру адміністрування Microsoft Intune https://intune.microsoft.com/
  2. Виберіть Пристрої, а потім у розділі Керування пристроями натисніть Відповідність
  3. Натисніть Параметри відповідності.
  4. Установіть для пристроїв, яким не призначено політику відповідності, значення Несумісні.
💻 PowerShell консоль (CLI)
  1. Підключіться до Microsoft Graph:
    Connect-MgGraph -Scopes "DeviceManagementConfiguration.ReadWrite.All"
  2. Виконайте такі команди:
    $Uri = 'https://graph.microsoft.com/v1.0/deviceManagement'
$Body = @{
    settings = @{
        secureByDefault = $true
    }
} | ConvertTo-Json
Invoke-MgGraphRequest -Uri $Uri -Method PATCH -Body $Body

Значення за замовчуванням: Інтерфейс користувача: «Відповідає» Графік: secureByDefault = $false
📋 CIS Controls & Нормативні посилання
  1. https://learn.microsoft.com/en-us/mem/intune/protect/device-compliance-get-started

CIS Controls V8: 13.5
IG 1
Manage Access Control for Remote Assets Manage access control for assets remotely connecting to enterprise resources. Determine amount of access to enterprise resources based on

4.2 Переконайтеся, що реєстрація пристроїв для особистих пристроїв заблокована за умовчанням (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure device enrollment for personally owned devices is blocked by default (Automated)

Обмеження реєстрації пристроїв дають змогу обмежити реєстрацію пристроїв в Intune на основі певні атрибути пристрою, такі як ліміт пристрою, платформа пристрою, версія ОС, виробник або права власності на пристрій (особисті пристрої). Рекомендований стан – заблокувати реєстрацію особистих пристроїв.

💡 Обґрунтування безпеки:

Обмеження реєстрації особистих пристроїв запобігає зловмисникам, які мають обійшли інші елементи керування від реєстрації нового пристрою, щоб отримати додаткову опору, подальше приховування чи приховування своєї діяльності. Шлях атаки може бути: 1. Злам облікового запису через фішинг і AiTM 2. Обхід умовного доступу 3. Розвідка з використанням напр. ROADrecon, GraphRunner або AADInternals 4. Бічний рух, ескалація привілеїв або стійкість через новий зареєстрований пристрій, зареєстрований в Intune

Сторінка 188

⚠️ Вплив на робочий процес (Impact):

Нижче наведено вплив реєстрації особистого пристрою для кожної платформи. Це так Важливо протестувати зміни до налаштувань за замовчуванням, перш ніж перейти до виробництва здійснення цього контролю. Пристрої Windows Наведені нижче методи реєстрації дозволені для корпоративної реєстрації для Windows пристроїв, будь-який інший спосіб реєстрації вважатиметься «Особистим» і блокуватиметься: • Пристрій реєструється через Windows Autopilot. • Пристрій реєструється через GPO або автоматичну реєстрацію з конфігурації Менеджер по спільному управлінню. • Пристрій реєструється через пакет масової підготовки. • Користувач, який реєструється, використовує обліковий запис менеджера реєстрації пристрою. MacOS За замовчуванням Intune класифікує пристрої macOS як особисті. Класифікувати як є корпоративним, комп’ютер Mac повинен відповідати одній із таких умов: • Зареєстрований з серійним номером. • Зареєстровано за допомогою Apple Automated Device Enrollment (ADE). Пристрої iOS/IPadOS За замовчуванням Intune класифікує пристрої iOS/iPadOS як особисті. Підлягає класифікації будучи корпоративним, пристрій iOS/iPadOS має відповідати одній із таких умов: • Зареєстровано з серійним номером або IMEI. • Зареєстровано за допомогою автоматичної реєстрації пристрою (раніше – Реєстрація пристрою програма). пристрої Android За замовчуванням, поки ви вручну не внесете зміни в центр адміністрування, ваш Android Налаштування пристрою робочого профілю підприємства та налаштування пристрою адміністратора пристрою Android однакові. Якщо ви заблокуєте реєстрацію робочого профілю Android Enterprise лише на персональних пристроях корпоративні пристрої можна зареєструвати з особистими робочими профілями.

Сторінка 189

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / Admin Center)

Перевірте налаштування в графічному веб-інтерфейсі:

  1. Перейдіть до центру адміністрування Microsoft Intune https://intune.microsoft.com/
  2. Виберіть «Пристрої», а потім у розділі «Включення пристрою» натисніть «Реєстрація».
  3. У розділі Параметри реєстрації виберіть Обмеження платформи пристрою.
  4. Ознайомтеся з політиками, переліченими в розділі «Обмеження типу пристрою» o Для політики пріоритету за замовчуванням клацніть «Усі користувачі». o Виберіть Властивості.
  5. Переконайтеся, що для всіх платформ у стовпці «Особисті» встановлено значення «Блокувати».
  6. Якщо сама платформа налаштована на блокування для будь-якої з показаних платформ, це також є перехідним станом для цієї платформи.
💻 PowerShell консоль (CLI)
  1. Підключіться до Microsoft Graph:
    Connect-MgGraph -Scopes "DeviceManagementConfiguration.Read.All"
  2. Запустіть такий сценарій:
    $Uri =
'https://graph.microsoft.com/beta/deviceManagement/deviceEnrollmentConfigurat
ions'
$Config = (Invoke-MgGraphRequest -Uri $Uri -Method GET).value |
Where-Object { $_.id -match 'DefaultPlatformRestrictions' -and $_.priority -
eq 0 }
$Result = [PSCustomObject]@{
    WindowsPersonalDeviceEnrollmentBlocked        =
$Config.windowsRestriction.personalDeviceEnrollmentBlocked
    iOSPersonalDeviceEnrollmentBlocked            =
$Config.iosRestriction.personalDeviceEnrollmentBlocked
    AndroidForWorkPersonalDeviceEnrollmentBlocked =
$Config.androidForWorkRestriction.personalDeviceEnrollmentBlocked
    MacOPersonalDeviceEnrollmentBlocked           =
$Config.macOSRestriction.personalDeviceEnrollmentBlocked
    AndroidPersonalDeviceEnrollmentBlocked        =
$Config.androidRestriction.personalDeviceEnrollmentBlocked
}
$Result
  3. Перевірте вихідні дані та переконайтеся, що кожна платформа відображає значення True поруч із властивістю. Результат проходження виглядатиме так:
    Очікувані параметри в консолі:
    WindowsPersonalDeviceEnrollmentBlocked        : True
iOSPersonalDeviceEnrollmentBlocked            : True
AndroidForWorkPersonalDeviceEnrollmentBlocked : True
MacOPersonalDeviceEnrollmentBlocked           : True
AndroidPersonalDeviceEnrollmentBlocked        : True
ℹ️ Примітка: Якщо platformBlocked має значення true, ця платформа також відповідає вимогам
платформу повністю заблоковано для реєстрації. Наразі це не відображено в аудиті
сценарію, але його можна запитати з того самого виклику API.

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / Admin Center)

Виконайте такі дії в графічному інтерфейсі:

  1. Перейдіть до центру адміністрування Microsoft Intune https://intune.microsoft.com/
  2. Виберіть «Пристрої», а потім у розділі «Включення пристрою» натисніть «Реєстрація».
  3. У розділі Параметри реєстрації виберіть Обмеження платформи пристрою.
  4. Ознайомтеся з політиками, переліченими в розділі «Обмеження типу пристрою» o Для політики пріоритету за замовчуванням клацніть «Усі користувачі». o Виберіть Властивості.
  5. Натисніть Редагувати, щоб змінити налаштування платформи.
  6. У стовпці Особиста власність установіть для кожної платформи значення Блокувати.
ℹ️ Примітка: Найкраще блокувати платформи, які не використовуються в організації
практики, а також ефективно блокуватиме реєстрацію особистих пристроїв для
вибраної платформи, гарантуючи відповідність цій рекомендації.

Значення за замовчуванням: Дозволити
📋 CIS Controls & Нормативні посилання
  1. https://learn.microsoft.com/en-us/mem/intune/enrollment/enrollment-restrictions-set
  2. https://www.glueckkanja.com/blog/security/2025/01/compliant-device-bypass-en/

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

Page 191 5 Microsoft Entra admin center Microsoft Entra, also known as Identity, contains settings related to identity, conditional access, and was formerly named Azure AD. Direct link

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


До повного змісту CIS Microsoft 365 Foundations Benchmark →