Использование базовых параметров безопасности для защиты устройств Windows, которыми вы управляете с помощью Microsoft Intune

С помощью базовых параметров безопасности Microsoft Intune можно быстро развернуть рекомендуемое состояние безопасности на управляемых устройствах Windows для базовых параметров безопасности Windows, чтобы обеспечить безопасность пользователей и устройства.

Хотя Windows и Windows Server обеспечивают защиту по умолчанию, многие организации по-прежнему предпочитают более детальное управление своими конфигурациями безопасности. Чтобы ориентироваться в большом количестве элементов управления, организации часто ищут рекомендации по настройке различных функций безопасности. Корпорация Майкрософт предоставляет эти рекомендации в виде базовых конфигураций безопасности.

Данная функция применяется к:

  • Windows 11

  • Windows 10 версии 1809 и более поздних версий

    Важно!

    14 октября 2025 г. для Windows 10 наступил срок поддержки, и она больше не будет получать исправления и обновления компонентов. Windows 10 является разрешенной версией в Intune. Устройства, работающие под управлением этой версии, все еще могут зарегистрироваться в Intune и использовать соответствующие функции, но функциональность не будет гарантирована и может отличаться.

Обзор базовых параметров безопасности Intune

Каждый базовый уровень безопасности — это группа предварительно настроенных параметров Windows, которые помогают применять и обеспечивать соблюдение детализированных параметров безопасности, рекомендуемых соответствующими группами безопасности. Вы также можете настроить каждую базовую конфигурацию для развертывания, чтобы применять только необходимые вам параметры и значения. При создании профиля базовой конфигурации безопасности в Intune создается шаблон, состоящий из нескольких профилей конфигурации устройства.

Параметры в каждом базовом плане — это параметры конфигурации устройства, аналогичные параметрам, которые можно найти в различных политиках Intune. Каждый параметр в базовом плане работает с поставщиком службы конфигурации для соответствующего продукта, который присутствует на управляемом устройстве с Windows.

Чтобы узнать больше о том, зачем и когда вы можете развернуть базовые конфигурации безопасности, см. статью Базовые конфигурации безопасности Windows в документации по безопасности Windows.

Базовые параметры безопасности развертываются для групп пользователей или устройств в Intune, и эти параметры применяются к устройствам под управлением Windows. Например, конфигурация по умолчанию базовой конфигурации безопасности для Windows 10 и более поздних версий автоматически включает BitLocker для съемных дисков, автоматически запрашивает пароль для разблокировки устройства, автоматически отключает базовую проверку подлинности и т. д. Если значение по умолчанию не подходит для вашей среды, выполните настройку базовой конфигурации, чтобы применить нужные параметры.

Примечание.

В мае 2023 года в Intune началось развертывание нового формата базовых параметров безопасности для каждого нового базового выпуска или обновления версии. Новый формат обновляет параметры базовых параметров и получает их имя и параметры конфигурации напрямую от поставщика службы конфигурации (CSP), которым управляет параметр базового плана.

Кроме того, в Intune появился новый процесс, позволяющий перенести существующий профиль базовых параметров безопасности в более новую базовую версию. Это новое поведение является одноразовым процессом, который заменяет обычное поведение обновления при переходе от последней версии старого профиля к более новой версии, ставшей доступной в мае 2023 года или позже.

Преимущества использования базовых параметров: базовые параметры безопасности помогут вам обеспечить сквозной безопасный рабочий процесс при работе с Microsoft 365. Ниже перечислены некоторые преимущества.

  • По умолчанию каждая базовая линия безопасности настраивается в соответствии с лучшими методиками и рекомендациями в отношении параметров, влияющих на безопасность. Intune сотрудничает с той же группой безопасности Windows, которая создает базовые показатели безопасности групповой политики. Эти рекомендации основаны на руководстве и обширном опыте.
  • Если вы новичок в Intune и не знаете, с чего начать, базовые параметры безопасности дают вам преимущество. Вы можете быстро создавать и развертывать профиль безопасности, зная, что ресурсы и данные вашей организации защищены.
  • Если в настоящее время вы используете групповую политику, переход на Intune для управления будет проще с этими базовыми параметрами. Эти базовые показатели изначально встроены в Intune и включают современный интерфейс управления.

Параметры по умолчанию для нескольких базовых параметров. Отдельные типы базовых параметров, например базовый план безопасности MDM для Windows и базовый план для Microsoft Defender, могут включать одинаковые параметры и использовать разные значения по умолчанию для этих параметров. Intune не может определить, какая конфигурация лучше всего подходит для вас, или даже в какой среде или сценарии вы можете захотеть использовать одну рекомендацию по умолчанию из другой:

  • Важно понять значения по умолчанию в используемых базовых планах, а затем изменить каждый базовый план в соответствии с потребностями вашей организации.
  • По умолчанию каждый базовый план предварительно настраивается с учетом рекомендаций, специфичных для продукта, к которому он применяется.
  • В некоторых случаях конфигурация, которую рекомендует Microsoft Defender, может не являться конфигурацией по умолчанию для аналогичных параметров, если она рекомендована Windows. В таких ситуациях важно проверить каждый параметр, чтобы можно было понять его назначение на основе сведений поставщика службы конфигурации и более широкой области двух продуктов.

Почти во всех сценариях параметры по умолчанию в базовых параметрах безопасности являются самыми строгими. Убедитесь, что эти параметры не конфликтуют с другими параметрами или функциями политики в вашей среде.

Например, в параметрах по умолчанию для конфигурации брандмауэра могут не объединяться правила безопасности подключений и локальные правила политики с правилами MDM. Поэтому, если вы используете оптимизацию доставки, следует проверить эти конфигурации, прежде чем назначать базовые параметры безопасности.

Примечание.

Майкрософт не рекомендует использовать предварительные версии базовых конфигураций безопасности в рабочей среде. Параметры предварительной версии базовой конфигурации могут меняться в ходе жизненного цикла этой версии.

Доступные базовые показатели безопасности

В Intune доступны следующие экземпляры базовых конфигураций безопасности. Перейдя по ссылкам, можно ознакомится с параметрами последних экземпляров каждой базовой конфигурации.

Когда становится доступна новая версия профиля, параметры в профилях на основе старых версий становятся доступными только для чтения. Вы можете продолжать использовать эти старые профили. Вы также можете редактировать имена профилей, описание и назначения, но они не поддерживают изменение конфигурации их параметров, и вы не можете создавать новые профили на основе старых версий.

Когда вы будете готовы использовать более новую базовую версию, вы можете создать новые профили или обновить существующие профили до новой версии. См. раздел "Обновление базового профиля до последней версии" в статье "Управление профилями базовых параметров безопасности ".

Сведения о версиях и экземплярах базовых показателей

В каждом новом экземпляре версии могут добавляться или удаляться параметры или присутствовать другие изменения. Например, по мере появления новых параметров Windows в новых версиях Windows базовый план безопасности для Windows 10 и более поздних версий может получать новый экземпляр версии, включающий новейшие параметры.

Список доступных базовых параметров можно просмотреть в Центре администрирования Microsoft Intune в разделе"Базовые параметры безопасности>конечной точки". В список включены:

  • Имя каждого шаблона базовых параметров безопасности.
  • число профилей, использующих этот тип базовой конфигурации;
  • число доступных отдельных экземпляров (версий) типа базовых показателей;
  • дата последней публикации, которая определяет выход последней версии шаблона базовых показателей.

Чтобы просмотреть дополнительные сведения об используемых базовых версиях, выберите тип базового плана, например базовый план безопасности для Windows 10 и более поздних версий, чтобы открыть панель "Профили", а затем выберите "Версии". В Intune отобразятся сведения об используемых в ваших профилях версиях базовых показателей. Сведения включают последнюю и текущую версии базовых показателей. Выберите версию, чтобы получить подробные сведения о профилях, в которых используется эта версия.

Вы можете изменить версию базового плана, которая используется с данным профилем. При изменении версии вам не нужно создавать профиль базового показателя, чтобы использовать эту обновленную версию. Достаточно выбрать профиль базового показателя и воспользоваться встроенной функцией для замены версии экземпляра для профиля на новую.

Устранение конфликтов

Вы можете одновременно использовать один или несколько доступных базовых показателей в среде Intune. Можно также использовать несколько экземпляров одних и тех же базовых показателей безопасности с различными настройками.

При использовании нескольких базовых показателей безопасности проверьте параметры в каждом из них, чтобы определить, в каких базовых конфигурациях присутствуют конфликтующие значения для одного и того же параметра. Так как можно развернуть базовые показатели безопасности, предназначенные для разных целей, и несколько экземпляров одного и того же базового показателя, которые включают в себя настраиваемые параметры, существует вероятность возникновения конфликтов конфигурации для устройств, которые необходимо исследовать и устранить.

Кроме того, базовые показатели безопасности часто управляют теми же параметрами, которые можно задать с помощью профилей конфигурации устройств или политик других типов. Поэтому учитывайте и учитывайте другие политики и профили для параметров, когда стремитесь избежать или разрешить конфликты.

Сведения, которые помогут в выявлении и разрешении конфликтов, см. в следующих статьях:

Вопросы и ответы

Почему именно эти параметры?

Группа безопасности Майкрософт имеет многолетний опыт работы с разработчиками Windows и сообществом по безопасности для создания этих рекомендаций. Параметры этих базовых показателей считаются наиболее важными параметрами конфигурации, связанными с безопасностью. В каждой новой сборке Windows команда корректирует свои рекомендации на основе новых функций.

Есть ли разница в рекомендациях для базовых показателей системы безопасности Windows для групповой политики и Intune?

Та же группа безопасности Майкрософт выбрала и настроила параметры для каждого базового показателя. Intune включает все соответствующие параметры в базовых показателях системы безопасности Intune. В базовых показателях групповой политики есть некоторые параметры, характерные для локального контроллера домена. Эти параметры исключены из рекомендаций Intune. Все остальные параметры одинаковы.

Соответствуют ли базовые конфигурации безопасности Intune требованиям CIS или NIST?

Строго говоря, нет. Чтобы составить свои рекомендации, группа безопасности Майкрософт консультируется с организациями, например с CIS. Однако однозначного сопоставления между базовыми параметрами "Соответствие требованиям СНГ" и базовыми параметрами Майкрософт не существует.

Какие сертификаты имеют базовые параметры безопасности Майкрософт?

Корпорация Майкрософт продолжает публиковать базовые показатели безопасности для объектов групповой политики и средств соответствия безопасности на протяжении уже многих лет. Эти базовые показатели используются многими организациями. Рекомендации в этих базовых показателях основаны на взаимодействии группы безопасности Майкрософт с корпоративными клиентами и внешними агентствами, включая Министерство обороны (DoD), Национальный институт стандартов и технологий (NIST) и другие. Мы делимся нашими рекомендациями и базовыми показателями с этими организациями. Эти организации также имеют свои собственные рекомендации, которые очень похожи на рекомендации Майкрософт. Поскольку управление мобильными устройствами продолжает расти в облаке, корпорация Майкрософт разработала эквивалентные рекомендации MDM этих базовых показателей групповой политики. Многие из этих базовых параметров встроены в Microsoft Intune и включают отчеты о соответствии требованиям для пользователей, групп и устройств, которые следуют (или не следуют) базовому плану.

Многие клиенты используют базовые рекомендации Intune в качестве отправной точки, а затем настраивают их в соответствии со своими требованиями в области ИТ и безопасности. Первый базовый шаблон Microsoft для Windows 10 и более поздних версий был выпущен первым базовым планом. Эти базовые показатели созданы в качестве общей инфраструктуры, которая позволяет клиентам в конечном итоге импортировать другие базовые показатели безопасности на основе CIS, NIST и других стандартов.

Переход от групповых политик локальной службы Active Directory к чисто облачному решению с использованием Microsoft Entra ID с Microsoft Intune — это путешествие. Различные средства из набора средств для обеспечения соответствия требованиям безопасности могут помочь определить облачные параметры на основе базовых показателей безопасности, которые могут заменять локальные конфигурации объектов групповой политики.

Где находятся сведения об использовании или настройке параметров, доступных в базовой конфигурации безопасности?

Каждый базовый план безопасности управляет конфигурациями устройства путем применения параметров поставщика служб конфигурации на устройстве. Например, параметры, которые применяются к Microsoft Defender, берутся из CSP Microsoft Defender. Так как Intune является средством настройки для этих параметров и не определяет их функциональность или область применения, документации CSP принадлежит содержимое для настройки каждого параметра.

В пользовательском интерфейсе базовой политики безопасности Intune Intune предоставляет текст сведений, взятый из исходного CSP, и содержит ссылку на этот CSP. В некоторых случаях CSP может быть частью большего набора содержимого, включающего упреждающие инструкции, которые остаются за пределами области Intune, чтобы включить или дублировать в наше содержимое. Тем не менее, Intune документирует список параметров в каждой версии базового плана безопасности и ее конфигурацию по умолчанию.

Дополнительные сведения

  • Last updated on