Управление устройствами с помощью Intune: общие сведения

Основным компонентом обеспечения безопасности на уровне предприятия является управление устройствами и их защита. Независимо от того, создаете ли вы архитектуру безопасности "Никому не доверяй", защищаете среду от программ-шантажистов или создаете защиту для поддержки удаленных работников, управление устройствами является частью стратегии. Хотя Microsoft 365 включает в себя несколько инструментов и методологий для управления устройствами и их защиты, в этом руководстве рассматриваются рекомендации Майкрософт с помощью Microsoft Intune. Вам пригодится это руководство, если вы планируете выполнить указанные ниже действия.

• Запланируйте регистрацию устройств в Intune через присоединение Microsoft Entra (включая гибридное присоединение Microsoft Entra).
• Планируйте вручную зарегистрировать устройства в Intune.
• Разрешите переносить собственные устройства (BYOD) с планами реализации защиты приложений и данных и (или) зарегистрировать эти устройства в Intune.

С другой стороны, если среда включает планы совместного управления, включая Microsoft Configuration Manager, ознакомьтесь с документацией по co-management для разработки оптимального пути для вашей организации. Если среда включает планы Windows 365 Cloud PC, ознакомьтесь с документацией Windows 365 Корпоративная для разработки оптимального пути для вашей организации.

Обзор процесса развертывания показан в приведенном ниже видео.

Зачем управлять конечными точками?

Современное предприятие имеет невероятное разнообразие конечных точек, обращаюющихся к данным. Эта настройка создает массивную область атаки, и в результате конечные точки могут легко стать самым слабым звеном в вашей стратегии безопасности "Никому не доверяй".

В основном из-за необходимости, когда мир перешел на удаленную или гибридную рабочую модель, пользователи работают из любого места, с любого устройства, больше, чем когда-либо в истории. Злоумышленники быстро приспосабливают свою тактику к новым изменениям, чтобы воспользоваться возможностями, которые они открывают. При решении новых бизнес-задач многие организации сталкиваются с проблемой нехватки ресурсов. Практически в одночасье организации ускорили переход на цифровые технологии. Проще говоря, то, как люди работают, изменилось. Мы больше не ожидаем получать доступ к бесчисленным корпоративным ресурсам только из офиса и на корпоративных устройствах.

Получение видимости конечных точек, обращающихся к корпоративным ресурсам, является первым шагом в стратегии "Никому не доверяй" для устройств. Как правило, компании активно защищают компьютеры от уязвимостей и атак, в то время как мобильные устройства часто не используют защиту. Чтобы убедиться, что данные организации не подвержены риску, необходимо проверять каждую конечную точку на наличие рисков и использовать средства управления многоуровневым доступом, чтобы настроить соответствующий уровень доступа на основе политики организации. Например, если личное устройство взломано, его доступ можно заблокировать, чтобы корпоративные приложения не подвергались воздействию известных уязвимостей.

В этой серии статей описываются рекомендации по управлению устройствами, через которые пользователи получают доступ к ресурсам организации. Если выполнить рекомендуемые действия, ваша организация обеспечит современную защиту своих ресурсов и устройств, через которые пользователи получают доступ.

Внедрение слоев защиты на и для устройств

Защита данных и приложений на устройствах и самих устройств — это многоуровневый процесс. На неуправляемых устройствах пользователи могут получить несколько средств обеспечения защиты. Чтобы реализовать более сложные средства контроля, необходимо зарегистрировать устройства для управления. Если защита от угроз развернута на конечных точках, организация получит больше аналитических данных и возможность автоматически реагировать на некоторые атаки. Наконец, если ваша организация включила работу по выявлению конфиденциальных данных, применению классификации и меток и настройке политик Защита от потери данных Microsoft Purview, вы можете получить еще более подробную защиту данных на конечных точках.

На следующей схеме показаны строительные блоки для обеспечения безопасности модели "Никому не доверяй" для Microsoft 365 и других приложений SaaS, которые вы вводите в эту среду. Элементы, относящиеся к устройствам, пронумерованы с 1 по 7. Администраторы устройств будут координировать работу с другими администраторами для выполнения этих уровней защиты.

На этой иллюстрации:

Координация управления конечными точками с помощью политик доступа к удостоверениям и устройствам "Никому не доверяй"

Это руководство тесно координируется с рекомендуемыми политиками "Никому не доверяй" для удостоверений и доступа к устройствам. Вы будете работать с вашей командой по управлению идентификацией, чтобы перенести средства защиты, которые вы настраиваете в Intune, в политики условного доступа в Microsoft Entra ID.

Ниже приведена иллюстрация рекомендуемого набора политик с пошаговыми указаниями для работы, которую вы будете выполнять в Intune, и связанных политик условного доступа, которые помогут вам координировать работу в Microsoft Entra ID.

На этой иллюстрации:

• На шаге 1 политики защиты приложений уровня 2 настраиваются в качестве рекомендуемого уровня защиты данных с помощью политик защиты приложений Intune. Затем вы работаете с командой по управлению идентификацией, чтобы настроить связанное правило условного доступа, чтобы обеспечить использование этой защиты.
• На этапах 2, 3 и 4 необходимо зарегистрировать устройства для управления с помощью Intune, определить политики соответствия требованиям, а затем совместно с командой управления удостоверениями настроить соответствующее правило условного доступа, чтобы разрешать доступ только устройствам, которые соответствуют требованиям.

Регистрация и подключение устройств

Если вы будете следовать этому руководству, то зарегистрируете устройства для управления с помощью Intune, а затем подготовите устройства для следующих возможностей Microsoft 365:

• Microsoft Defender для конечной точки
• Microsoft Purview (для защиты от потери данных конечной точки (DLP))

Далее описан принцип работы при использовании Intune.

На рисунке:

1. Регистрация устройств в системе управления с использованием Intune.
2. Используйте Intune для подключения устройств к Defender для конечной точки.
3. Устройства, интегрированные в Defender для конечной точки, также интегрированы для функций Microsoft Purview, включая защиту от утечки данных на конечной точке.

Обратите внимание, что управляет устройствами только Intune. Под подключением подразумевается возможность устройства обмениваться информацией с определенной службой. В следующей таблице приведена сводка различий между регистрацией устройств для управления и подключением устройств к определенной службе.

Обучающие ресурсы для администраторов

Следующие ресурсы помогают администраторам ознакомиться с основными понятиями об использовании Intune:

• Упрощение управления устройствами с помощью учебного модуля Microsoft Intune

  Узнайте, как решения для управления бизнесом с помощью Microsoft 365 предоставляют пользователям безопасный персонализированный рабочий стол и помогают организациям легко управлять обновлениями для всех устройств с упрощенным интерфейсом администратора.

• Evaluate Microsoft Intune

  Microsoft Intune помогает защитить устройства, приложения и данные, которые люди в вашей организации используют для продуктивной работы. В этой статье рассказывается, как настроить Microsoft Intune. Настройка включает проверку поддерживаемых конфигураций, регистрацию в Intune, добавление пользователей и групп, назначение лицензий пользователям, предоставление разрешений администратора и установку управления мобильными устройствами (MDM).

Следующий шаг

Перейдите к шагу 1. Реализуйте политики защиты приложений.