Security Baseline und Compliance-Richtlinien mit Intune verwalten

Die Security Baseline umfasst Einstellungen für Gruppen­richt­linien oder MDM, die Micro­soft als Best Practice empfiehlt. Compliance-Richtlinien kon­fi­gurieren da­gegen Regeln und Ein­stellungen, die Benutzer und Geräte er­füllen müssen. Mit Microsoft Intune können Firmen Compliance- und Sicher­heits­richtlinien auf ihren End­geräten durch­setzen.

Security Baselines sollen die Konfiguration sicherheits­relevanter Einstellungen für Windows oder Edge vereinfachen. Microsoft bietet sie als Paket für Gruppenrichtlinien, alternativ lassen sie sich über die Schnittstellen für das Mobile Device Management konfigurieren. Davon macht Intune Gebrauch.

Dort können Sie die Baselines anzeigen, indem Sie zu Endpoint security => Security Baselines navigieren. Klicken Sie auf die Baseline, für die Sie ein Profil erstellen und anwenden möchten.

Hier klickt man auf die Schaltfläche Create profile, so dass man mittels Profil eine bestimmte Baseline anpassen kann.

Nun startet der Assistent zum Erzeugen eines Profils. Diesem gibt man im ersten Schritt einen Namen.

Auf der Seite Configuration settings können Sie die in der Baseline enthaltenen Einstellungen anzeigen und diese nach Bedarf für Ihr Unternehmen anpassen.

Wie beim Import der GPOs wird man auch hier meistens nicht alle Vorgaben unbesehen übernehmen, weil dies unerwünschte Auswirkungen zum Beispiel auf ältere Anwendungen oder System haben könnte.

Vergeben Sie im Anschluss daran die gewünschten Scope Tags, die sie für eine granulare Eingrenzung des Management-Bereichs mittels rollenbasierter Zugriffskontrolle (RBAC) verwenden möchten. Fügen Sie danach auf dem Bildschirm Assignments die Gruppe(n) aus dem Azure AD hinzu, so dass  die Baseline auf die darin enthaltenen Geräte angewandt wird.

Zum Abschluss zeigt der Wizard eine Übersicht über die vorgenommenen Änderungen. Wenn diese korrekt sind, erzeugt man das Profil mit Klick auf Create.

Insgesamt lassen sich Security Baselines in Intune sehr schnell und einfach konfigurieren. Sie bieten daher eine gute Möglichkeit, die Best Practices für registrierte Endgeräte umzusetzen.

Compliance-Richtlinie erstellen

Mit Intune-Compliance-Richtlinien können Unternehmen:

• Regeln und Einstellungen konfigurieren, die Benutzer und Geräte erfüllen müssen
• Aktionen für Geräte festlegen, die nicht konform sind
• Diese mit der Conditional Access kombinieren, die Benutzer und Geräte sperrt, wenn sie nicht konform sind

Navigieren Sie zu Devices => Compliance policies. Auch hier bietet Intune einen Wizard-geführten Workflow, den man über die Schaltfläche Create Policy startet.

Wählen Sie die Plattform aus, für die die Compliance-Richtlinie gelten soll. Klicken Sie auf Create.

Der erste Schritt besteht wieder darin, die neue Richtlinie zu benennen.

Auf der Seite Compliance settings können Sie die in Intune enthaltenen Einstellungen anzeigen oder anpassen. Dazu gehört zum Beispiel, dass BitLocker, Secure Boot oder HVCI auf dem Gerät aktiviert sein müssen.

Anschließend muss man festlegen, was mit Geräte oder Benutzern passiert, die nicht den Richtlinien entsprechen. Dies erfolgt auf der Seite Actions for noncompliance.

Standardmäßig wird das Gerät als nicht konform eingestuft. Zusätzlich können Administratoren die Optionen Send email to end user und Retire the noncompliant device wählen.

Anschließend verknüpft man die Policy mit einer Gruppe, welche die gewünschten User oder Computer enthält.

Überprüfen und erstellen Sie im abschließenden Dialog die neue Compliance-Richtlinie.

Nach der Erstellung sehen Sie im Dashboard für die Compliance-Richtlinie, wie viele Geräte konform sind oder welche davon abweichen.

Fazit

Microsoft Intune Endpoint Security macht es sehr einfach, Compliance-Richtlinien zu definieren und an Rechner zuzuweisen, die im Azure AD direkt oder über eine hybride Konfiguration registriert sind.

Die Integration mit Conditional Access erlaubt es zudem, Geräte aus dem Netzwerk fernzuhalten, wenn sie die nötigen Sicherheits­standards nicht erfüllen.