Verwalten der Endpunktsicherheit in Microsoft Intune

Die Endpunktsicherheit in Intune bietet fokussierte Tools zum Schutz von Geräten und Daten in der heutigen hybriden Arbeitsumgebung. Der Knoten Endpunktsicherheit im Admin Center gruppiert diese Funktionen an einem Ort, sodass Sicherheitsadministratoren einen zentralen Ort haben, an dem sie Zero Trust-Prinzipien anwenden, sich vor Ransomware und Schadsoftware schützen, Compliance-Anforderungen durchsetzen und auf Sicherheitsbedrohungen auf allen verwalteten Geräten reagieren können.

Über den Knoten Endpunktsicherheit können Sie Richtlinien konfigurieren, Sicherheitsbaselines bereitstellen, Microsoft Defender for Endpoint integrieren und Sicherheitsaufgaben verwalten. Dieser konsolidierte Ansatz hilft Ihnen, schnell Schutz einzurichten, gefährdete Geräte zu identifizieren, Schwachstellen zu beheben und die Compliance aufrechtzuerhalten, ohne durch komplexe Konfigurationsprofile navigieren zu müssen.

Häufige Sicherheitsszenarien

Verwenden Sie den Knoten Endpunktsicherheit, um allgemeine Sicherheitsherausforderungen zu bewältigen:

• Schutz vor Ransomware und Schadsoftware : Stellen Sie Antivirenrichtlinien mit Echtzeitschutz bereit, konfigurieren Sie Regeln zur Verringerung der Angriffsfläche, aktivieren Sie den überwachten Ordnerzugriff und wenden Sie Sicherheitsbaselines an. Weitere Informationen finden Sie unter Verwalten der Gerätesicherheit mit Endpunktsicherheitsrichtlinien.

• Anwenden von Zero Trust-Prinzipien: Gerätekonformität für Ressourcenzugriff anfordern, Integration mit bedingtem Zugriff zur Überprüfung des Sicherheitsstatus verwenden, Geräterisikosignale von Defender für Endpunkt verwenden, Datenträgerverschlüsselung bereitstellen und Zugriff mit den geringsten Rechten mit Endpoint Privilege Management (EPM) erzwingen. Weitere Informationen finden Sie unter Zero Trust mit Microsoft Intune.

• Sichere Remote- und Hybridarbeit : Überwachen Sie die Compliance für Remotegeräte, binden Sie Geräte über EDR-Richtlinien in Defender für Endpunkt ein, konfigurieren Sie Firewallrichtlinien, und blockieren Sie mithilfe des bedingten Zugriffs den Zugriff von nicht konformen Geräten. Weitere Informationen finden Sie unter Schützen von Daten und Geräten mit Microsoft Intune.

• Erfüllen von Compliance-Anforderungen - Stellen Sie standardisierte Sicherheitskonfigurationen mit Baselines bereit, die an Branchen-Frameworks ausgerichtet sind, überwachen Sie den Compliance-Status durch Berichterstellung und konfigurieren Sie automatisierte Aktionen für nicht konforme Geräte. Weitere Informationen finden Sie unter Verwenden von Sicherheitsbaselines zum Konfigurieren von Windows-Geräten in Intune.

• Reagieren auf Sicherheitsbedrohungen : Überprüfen Sie die Sicherheitsaufgaben Ihres Defender für Endpunkt-Teams, verwenden Sie Remoteaktionen, um gefährdete Geräte zu beheben, rotieren Sie Verschlüsselungsschlüssel, und überwachen Sie die Bedrohungserkennung über Dashboards. Weitere Informationen finden Sie unter Verwenden von Intune zum Beheben von Sicherheitsrisiken, die von Microsoft Defender for Endpoint identifiziert wurden.

Dashboard für Endpunktsicherheit

Das Endpunktsicherheits-Dashboard bietet eine konsolidierte Ansicht Ihres Sicherheitsstatus.

Um auf das Dashboard zuzugreifen, melden Sie sich beim Microsoft Intune Admin Center an, und wechseln Sie zurÜbersicht über die Endpunktsicherheit>.

Die Dashboard hilft Ihnen, schnell die Gerätesicherheit status zu bewerten und Bereiche zu identifizieren, die Aufmerksamkeit erfordern. Es werden Informationen aus mehreren Endpunktsicherheitsbereichen angezeigt, einschließlich Antivirus, Endpunkterkennung und -reaktion und Defender für Endpunkt:

• Defender für Endpunkt-Connector-Status: Zeigen Sie den Verbindungsstatus zwischen Intune und Defender für Endpunkt an. Wenn keine Verbindung besteht, lesen Sie Verbinden von Microsoft Defender für Endpunkt mit Intune, um die Integration einzurichten. Die Bezeichnung "Status" verweist auch auf das Microsoft Defender-Portal.

• Windows-Geräte, die in Defender für Endpunkt integriert sind – Zeigen Sie die Anzahl der Geräte an, die für Endpoint Detection and Response (EDR) eingebunden und nicht integriert wurden. Wählen Sie "Vorkonfigurierte Richtlinie bereitstellen" aus, um Geräte über Intune zu integrieren, oder Onboarding von Geräten in Defender für Endpunkt, um den Defender-Portalworkflow zu verwenden.

• Antivirus-Agent-status: Zeigen Sie zusammenfassende Details aus dem Microsoft Defender Antivirus-status-Bericht an, der auch unter Berichte> verfügbar ist Microsoft Defender Antivirus-Zusammenfassung>.

• Andere Überwachungsberichte - Greifen Sie auf zusätzliche Microsoft Defender Antivirus-Berichte zu, einschließlich erkannter Schadsoftware und Firewall-Status. Es gibt auch einen Link zum Defender-Portal für Sensor- und Antivirus-Integritätsdaten.

Endpunktsicherheitsfeatures

In den folgenden Abschnitten finden Sie Details zur Funktionsweise der einzelnen Funktionen sowie Links zu speziellen Artikeln für Konfigurationsanleitungen. Die meisten Features sind ohne zusätzliche Voraussetzungen verfügbar. Sicherheitsaufgaben erfordern eine Integration in Defender für Endpunkt. Dies wird unter Einrichten der Integration mit Microsoft Defender für Endpunkt behandelt.

Geräteverwaltung

In der Ansicht Alle Geräte in Endpunktsicherheit werden alle Geräte aus Ihrer Microsoft Entra ID angezeigt, die in Intune verfügbar sind. In dieser zentralen Ansicht können Sie den Compliance-Status von Geräten in Ihrer gesamten Organization überwachen, bestimmte Geräte aufschlüsseln, um Richtlinienverstöße zu identifizieren, und sofortige Abhilfemaßnahmen wie den Neustart von Geräten, das Initiieren von Schadsoftware-Scans oder das Rotieren von Verschlüsselungsschlüsseln ergreifen.

Diese konsolidierte Geräteansicht bietet Sicherheitsadministratoren einen einzigen Ort, um Sicherheitsprobleme in der gesamten Flotte zu bewerten und zu beheben, unabhängig von Plattform oder Registrierungsmethode. Weitere Informationen finden Sie unter Verwalten von Geräten mit Endpunktsicherheit in Microsoft Intune.

Sicherheitsbasispläne

Sicherheitsbaselines stellen vorkonfigurierte Gruppen von Windows-Einstellungen mit Standardeinstellungen bereit, die von Microsoft-Sicherheitsteams empfohlen werden. Mit diesen Baselines können Sie schnell einen umfassenden Sicherheitsstatus erstellen, der den bewährten Methoden und Sicherheitsframeworks der Branche entspricht. Intune unterstützt mehrere Sicherheitsbaselines, einschließlich Windows-Geräte, Defender für Endpunkt, Microsoft Edge und mehr.

Jede Baseline enthält von Microsoft empfohlene Einstellungen, die nach Funktionsbereichen geordnet sind. Sie können Baselines mit Standardeinstellungen bereitstellen oder sie an die Anforderungen Ihrer Organization anpassen. Weitere Informationen finden Sie unter Verwenden von Sicherheitsbaselines zum Konfigurieren von Windows-Geräten in Intune.

Sicherheitsaufgaben

Sicherheitsaufgaben ermöglichen die Zusammenarbeit zwischen Defender für Endpunkt- und Intune-Teams. Wenn Defender für Endpunkt Sicherheitsrisiken identifiziert, erstellen Defender für Endpunkt-Sicherheitsadministratoren Aufgaben im Defender für Endpunkt-Portal, in denen die betroffenen Geräte, die Sicherheitsrisiken und Abhilfemaßnahmen angegeben sind. Diese Aufgaben werden in Intune angezeigt, wo Intune-Administratoren sie akzeptieren, entsprechende Richtlinien oder Konfigurationen bereitstellen und dann nach Überprüfung der Wiederherstellung als abgeschlossen markieren. Der Abschluss status wird zur Überprüfung mit dem Defender für Endpunkt-Portal synchronisiert.

Dieser Workflow stellt sicher, dass beide Teams sich darüber einig sind, welche Geräte gefährdet sind, und bietet eine klare Verantwortlichkeit für die Behebung. Sicherheitsaufgaben erfordern eine Integration in Defender für Endpunkt. Weitere Informationen finden Sie unter Einrichten der Integration mit Microsoft Defender für Endpunkt. Weitere Informationen zum Workflow finden Sie unter Verwenden von Intune zum Beheben von Sicherheitsrisiken, die von Microsoft Defender for Endpoint identifiziert wurden.

Endpunktsicherheitsrichtlinien

Endpunktsicherheitsrichtlinien bieten optimierte Konfigurationsoptionen für bestimmte Sicherheitsfeatures, ohne dass die Navigation durch umfangreiche Gerätekonfigurationseinstellungen erforderlich ist. Verwenden Sie diese Richtlinien, um Sicherheitsaspekte von Geräten wie Antivirensoftware, Datenträgerverschlüsselung, Firewall usw. zu konfigurieren. Sie vereinfachen die Sicherheitsverwaltung, indem nur die Einstellungen angezeigt werden, die für die jeweilige Sicherheitsfunktion relevant sind.

Der Knoten Endpunktsicherheit enthält auch Richtlinien für Gerätecompliance und bedingten Zugriff. Diese Richtlinien sind zwar keine fokussierten Sicherheitsrichtlinien zum Konfigurieren von Endpunkten, aber sie sind wichtige Tools für die Verwaltung des Sicherheitsstatus von Geräten und die Kontrolle des Zugriffs auf Unternehmensressourcen. Endpoint Security umfasst auch Richtlinien für die Endpoint Privilege Management, mit denen Sie den Zugriff mit den geringsten Rechten auf Windows-Geräten erzwingen können.

Endpunktsicherheitsrichtlinien arbeiten mit Gerätekonfigurationsprofilen und Sicherheitsbaselines zusammen, sodass das Verständnis, welche Methode für das jeweilige Szenario verwendet werden soll, dazu beiträgt, Konfigurationskonflikte zu vermeiden. Weitere Informationen finden Sie unter Verwalten der Gerätesicherheit mit Endpunktsicherheitsrichtlinien.

Gerätekompatibilitätsrichtlinien

Gerätekonformitätsrichtlinien legen die Bedingungen fest, die Geräte und Benutzer erfüllen müssen, um auf Unternehmensressourcen zugreifen zu können. Diese Richtlinien definieren Konformitätsregeln und bewerten, ob Geräte diese Anforderungen erfüllen. Sie melden den Compliance-Status an Intune und Entra ID.

Zu den gängigen Konformitätsregeln gehören Anforderungen an die Betriebssystemversion, Kennwortanforderungen, Integritätsbedingungen für Geräte (Verschlüsselung, Jailbreak-Erkennung), Grenzwerte der Bedrohungsstufe von Defender für Endpunkt- oder Mobile Threat Defense-Partnern sowie erforderliche Sicherheitsfunktionen. Konformitätsrichtlinien unterstützen auch Aktionen für Nichtkompatibilität , die nach einem Zeitplan ausgeführt werden, einschließlich Benutzerbenachrichtigungen, Markieren von nicht konformen Geräten nach einem Aktivierungszeitraum, Remotesperre oder Hinzufügen von Geräten zu einer Außerbetriebnahmeliste zur Überprüfung durch Administratoren.

Bei der Integration in Microsoft Entra Conditional Access steuert der Compliance-Status den Zugriff auf Unternehmensressourcen. Der bedingte Zugriff kann Konformitätsdaten verwenden, um den Zugriff sowohl für verwaltete Geräte als auch für Geräte, die nicht verwaltet werden, zu sperren. Weitere Informationen finden Sie unter Festlegen von Regeln für Geräte, die den Zugriff auf Ressourcen in Ihrer Organization mithilfe von Intune ermöglichen.

Bedingter Zugriff

Richtlinien für bedingten Zugriff steuern in Kombination mit Intune, welche Geräte und Apps auf Unternehmensressourcen zugreifen können. Intune übergibt die Gerätekonformitäts-status an Entra-ID, die dann Richtlinien für bedingten Zugriff verwendet, um die Zugriffsanforderungen durchzusetzen. Richtlinien für bedingten Zugriff können auch den Zugriff für Geräte sperren, die nicht mithilfe von Intune verwaltet werden, und sie können Konformitätsdetails von Mobile Threat Defense-Partnern verwenden, die Sie in Intune integrieren.

Im Folgenden finden Sie zwei gängige Methoden zur Verwendung des bedingten Zugriffs mit Intune:

• Gerätebasierter bedingter Zugriff : Stellen Sie sicher, dass nur verwaltete und konforme Geräte auf Netzwerkressourcen zugreifen können.
• App-basierter bedingter Zugriff: Verwenden Sie App-Schutzrichtlinien, um den Zugriff auf Netzwerkressourcen durch Benutzer auf Geräten zu verwalten, die nicht mithilfe von Intune verwaltet werden.

Weitere Informationen finden Sie unter Informationen zum bedingten Zugriff und Intune.

Endpoint Privilege Management

Endpoint Privilege Management erzwingt den Zugriff mit den geringsten Berechtigungen, indem Benutzer als Standardkonten ausgeführt werden können, während gleichzeitig temporäre erhöhte Rechte für IT-genehmigte Anwendungen ermöglicht werden. Diese Funktion mit den geringsten Rechten reduziert die Angriffsfläche, indem sie pauschalen Administratorzugriff verhindert und gleichzeitig die Benutzerproduktivität für Aufgaben aufrechterhält, die erhöhte Berechtigungen erfordern, wie das Installieren von Anwendungen, Aktualisieren von Treibern oder das Ausführen von Windows-Diagnosen.

Sie stellen Endpoint Privilege Management bereit, indem Sie Rechteerweiterungsregeln erstellen, die definieren, welche Anwendungen unter welchen Bedingungen mit Administratorrechten ausgeführt werden können. Regeln für erhöhte Rechte unterstützen mehrere Überprüfungsmethoden, darunter Dateihashes, Herausgeberzertifikate und Dateipfade. Sie können automatische erhöhte Rechte für vertrauenswürdige Anwendungen, benutzerbestätigte erhöhte Rechte mit optionalen Authentifizierungsanforderungen, supportgenehmigte erhöhte Rechte konfigurieren, bei denen Administratoren Anforderungen überprüfen, oder Regeln zum Blockieren bestimmter Dateien verweigern. EPM enthält detaillierte Berichte für verwaltete und nicht verwaltete Rechte, die Ihnen helfen, erhöhte Rechte zu identifizieren, Regeln zu verfeinern und den Übergang von Benutzern von Administrator- zu Standardbenutzerkonten zu planen.

Weitere Informationen finden Sie unter Endpoint Privilege Management.

Einrichten der Integration mit Microsoft Defender für Endpunkt

Durch die Integration von Defender für Endpunkt in Intune werden zusätzliche Funktionen im Endpunktsicherheitsknoten freigeschaltet, die sonst nicht verfügbar sind. Während Intune die Integration mehrerer Mobile Threat Defense-Partner unterstützt, bietet Defender für Endpunkt die umfassendste Integration mit Intune auf Windows-, macOS-, iOS- und Android-Plattformen.

Zu den Vorteilen der Integration gehören:

• Sicherheitsaufgaben – Zusammenarbeit zwischen Defender- und Intune-Teams, um Geräteschwachstellen zu identifizieren und zu beheben.
• Optimiertes Geräteonboarding: Bereitstellen von EDR-Richtlinien aus Intune zum Onboarding von Geräten in Defender für Endpunkt.
• Geräterisikosignale : Verwenden Sie Defender-Bedrohungsstufen in Konformitätsrichtlinien und App-Schutzrichtlinien.
• Gesteuerte Konfiguration (Vorschau) – Erzwingen der Defender-Sicherheitseinstellungen aus Intune, ersetzen der Einstellungen aus anderen Verwaltungskanälen. Die kontrollierte Konfigurationseinstellung unterstützt auch das vorhandene Manipulationsschutzverhalten.

Weitere Informationen finden Sie unter Integrieren von Microsoft Defender für Endpunkt in Intune für Gerätekonformität.

Anforderungen für die rollenbasierte Zugriffssteuerung

Um Aufgaben im Knoten Endpunktsicherheit des Intune Admin Center zu verwalten, muss ein Konto:

• Ihnen wird eine Lizenz für Intune zugewiesen.
• Über RBAC-Berechtigungen (rollenbasierte Zugriffssteuerung) verfügen, die der integrierten Intune-Rolle von Endpoint Security Manager entsprechen. Diese Rolle gewährt Zugriff auf das Intune Admin Center, um Sicherheits- und Compliancefeatures zu verwalten, einschließlich Sicherheitsbaselines, Gerätekonformität, bedingter Zugriff und Defender für Endpunkt.

Weitere Informationen finden Sie unter Rollenbasierte Zugriffssteuerung (Role-based Access Control, RBAC) mit Microsoft Intune und in der Rollenreferenz für Endpoint Security Manager.

Auswählen des richtigen Richtlinientyps

Intune bietet mehrere Möglichkeiten zum Konfigurieren der Gerätesicherheit. Wenn Sie wissen, wann die einzelnen Ansätze verwendet werden sollten, können Sie Einstellungen effizient verwalten und Konflikte vermeiden.

Richtlinienvergleich

Entscheidungshilfe: Wann die einzelnen Richtlinientypen verwendet werden sollten

Verwenden Sie Endpunktsicherheitsrichtlinien in folgenden Fällen:

• Sie müssen schnell bestimmte Sicherheitsfeatures wie Antivirus oder Firewall konfigurieren.
• Sie möchten Sicherheitseinstellungen getrennt von der allgemeinen Gerätekonfiguration verwalten.
• Sie reagieren auf eine bestimmte Sicherheitsbedrohung oder Sicherheitslücke.
• Sie benötigen eine optimierte Ansicht, ohne durch umfangreiche Konfigurationsoptionen navigieren zu müssen.

Verwenden Sie Sicherheitsbaselines, wenn:

• Sie richten neu verwaltete Geräte ein und möchten von Microsoft empfohlene Konfigurationen.
• Sie müssen sich an Sicherheitsframeworks wie CIS oder NIST anpassen.
• Sie möchten schnell einen umfassenden Sicherheitsstatus einrichten.
• Sie ziehen es vor, die bewährten Standardeinstellungen von Microsoft zu akzeptieren und minimale Anpassungen vorzunehmen.

Verwenden Sie Gerätekonfigurationsprofile in folgenden Fällen:

• Sie müssen Einstellungen konfigurieren, die in Endpunktsicherheitsrichtlinien nicht verfügbar sind.
• Sie verwalten allgemeine Gerätefunktionen über die Sicherheit hinaus (z. B. WLAN, E-Mail, Zertifikate).
• Sie haben spezifische Konfigurationsanforderungen, die sich von den Basisempfehlungen unterscheiden.

Verwenden Sie Konformitätsrichtlinien in folgenden Fällen:

• Sie müssen Mindestsicherheitsanforderungen für den Zugriff auf Unternehmensressourcen definieren.
• Sie implementieren den bedingten Zugriff basierend auf dem Gerätestatus.
• Sie möchten den Sicherheitsstatus Ihres Geräts überwachen und Berichte dazu erstellen.
• Für nicht konforme Geräte sind automatisierte Aktionen erforderlich.

Kann man mehrere Richtlinientypen zusammen verwenden?

Ja, aber planen Sie sorgfältig, um Konflikte zu vermeiden:

• Bewährte Methode. Verwenden Sie Endpunktsicherheitsrichtlinien ODER Sicherheitsbaselines für dieselben Einstellungen, nicht beides.
• Konformitätsrichtlinien funktionieren zusammen mit jeder Konfigurationsmethode. Sie werten den resultierenden Zustand aus.
• Richtlinien zum App-Schutz ergänzen Geräterichtlinien für einen umfassenden Schutz.
• Verwenden Sie die Konflikterkennungstools von Intune, um Einstellungskonflikte zu identifizieren und zu lösen.

Der folgende Abschnitt enthält detaillierte Anleitungen zum Verhindern und Lösen von Richtlinienkonflikten.

Vermeiden von Richtlinienkonflikten

Verschiedene Intune-Features können Endpunktsicherheitseinstellungen verwalten. Zu diesen Features gehören Endpunktsicherheitsrichtlinien, Sicherheitsbaselines, Gerätekonfigurationsrichtlinien und Windows-Registrierungsrichtlinien. Konflikte treten auf, wenn mehrere Richtlinien dieselbe Einstellung mit unterschiedlichen Werten auf demselben Gerät festlegen.

Konflikte durch Intune lösen

Wenn demselben Gerät zwei oder mehr Richtlinien zugewiesen sind, hängt die zutreffende Einstellung von den beteiligten Richtlinientypen ab:

• Konformitätsrichtlinien haben Vorrang vor Konfigurationsrichtlinien. Wenn dieselbe Einstellung sowohl in einer Konformitätsrichtlinie als auch in einer Konfigurationsrichtlinie (einschließlich Endpunktsicherheitsrichtlinien, Sicherheitsbaselines oder Gerätekonfiguration) angezeigt wird, verwendet Intune den Konformitätsrichtlinienwert.

• Mehrere Konformitätsrichtlinien verwenden die restriktivste Einstellung. Wenn mehrere Konformitätsrichtlinien dieselbe Einstellung konfigurieren, wendet Intune den restriktivsten Wert an.

• Konflikte mit Konfigurationsrichtlinien müssen manuell gelöst werden. Wenn mehrere Konfigurationsrichtlinien (Endpunktsicherheit, Sicherheitsbaselines, Gerätekonfiguration, Einstellungskatalog) unterschiedliche Werte für dieselbe Einstellung festlegen, müssen Sie den Konflikt manuell identifizieren und beheben. Die Einstellung kann möglicherweise nicht angewendet werden und als in Konflikt stehend gekennzeichnet werden.

Vermeiden von Konflikten

So vermeiden Sie Konflikte:

• Planen Sie, welche Richtlinientypen Sie zum Verwalten bestimmter Einstellungen vor der Bereitstellung verwenden.
• Wenn mehrere Methoden verwendet werden (z. B. Baselines und Endpunktsicherheitsrichtlinien), stellen Sie sicher, dass sie nicht dieselben Einstellungen mit unterschiedlichen Werten konfigurieren oder unterschiedlichen Gerätegruppen zuweisen.
• Verwenden Sie die integrierten Tools von Intune, um Konflikte zu identifizieren und zu lösen, wenn sie auftreten.

Ausführliche Informationen zum Identifizieren und Lösen von Konflikten finden Sie unter:

• Problembehandlung von Richtlinien und Profilen in Intune
• Überwachen Ihrer Sicherheitsbaselines
• Vermeiden Sie Konflikte in der Dokumentation zu Sicherheitsbaselines.

Häufig gestellte Fragen

Was ist der Unterschied zwischen Endpunktsicherheitsrichtlinien und Gerätekonfigurationsprofilen?

Endpunktsicherheitsrichtlinien (z. B. Antivirensoftware, Firewall und Datenträgerverschlüsselung) bieten optimierte Ansichten mit nur relevanten Sicherheitseinstellungen, wodurch sie einfacher zu konfigurieren und zu verwalten sind als Gerätekonfigurationsprofile. Gerätekonfigurationsprofile umfassen alle Geräteeinstellungen (WLAN, E-Mail, Browser und mehr) und erfordern das Navigieren durch weitere Optionen. Wenn beide vorhanden sind, sollten Sie Endpunktsicherheitsrichtlinien für Sicherheitskonfigurationen verwenden.

Benötige ich Defender für Endpunkt, um Endpunktsicherheit in Intune verwenden zu können?

Nein Sie können Endpunktsicherheitsrichtlinien, Sicherheitsbaselines und Konformitätsrichtlinien ohne Defender für Endpunkt verwenden. Die Defender-Integration bietet jedoch erhebliche Vorteile, darunter Bedrohungserkennung, Sicherheitsaufgaben, Geräterisikosignale für Compliance und Manipulationsschutz. Für einen umfassenden Endpunktschutz wird die Defender-Integration empfohlen.

Kann ich Sicherheitsbaselines und Endpunktsicherheitsrichtlinien zusammen verwenden?

Ja, aber achten Sie darauf, dass nicht in beiden die gleichen Einstellungen konfiguriert werden. Sicherheitsbaselines bieten umfassende, von Microsoft empfohlene Konfigurationen. Verwenden Sie Endpunktsicherheitsrichtlinien (z. B. Antivirensoftware, Firewall oder Datenträgerverschlüsselung) für bestimmte Einstellungen, die Sie separat verwalten müssen, oder für Einstellungen, die nicht in Baselines enthalten sind. Anleitungen finden Sie unter Vermeiden von Richtlinienkonflikten .

Wie unterscheiden sich Konformitätsrichtlinien von Konfigurationsrichtlinien?

Konfigurationsrichtlinien (Endpunktsicherheitsrichtlinien, Sicherheitsbaselines, Gerätekonfigurationsprofile) legen Geräteeinstellungen fest. Konformitätsrichtlinien bewerten in erster Linie, ob Geräte Ihre Anforderungen erfüllen, und melden den Status der Konformität. Auf einigen Plattformen können Konformitätsrichtlinien auch bestimmte Sicherheitseinstellungen wie PIN- oder Kennwortanforderungen erzwingen, indem Benutzer aufgefordert werden, nicht konforme Konfigurationen zu korrigieren. Verwenden Sie sie gemeinsam: Konfigurieren Sie Einstellungen mit Endpunktsicherheitsrichtlinien oder Sicherheitsbaselines, und überprüfen Sie dann, ob Geräte die Anforderungen mit Konformitätsrichtlinien erfüllen.

Welche Geräte kann ich mit Endpoint Security schützen?

Endpunktsicherheit unterstützt:

• Windows – Alle Endpunktsicherheitsrichtlinientypen: Antivirus, Datenträgerverschlüsselung, Firewall, Endpunkterkennung und -reaktion, Reduzierung der Angriffsfläche, App Control for Business und Kontoschutz.
• macOS – Antivirus, Datenträgerverschlüsselung (FileVault), Firewall und Endpunkterkennung und -reaktion.
• Linux – Antivirus und Endpunkterkennung und -reaktion.
• iOS/iPadOS – Konformitätsrichtlinien, Richtlinien zum Schutz von Apps. Defender für Endpunkt kann als App zur Erkennung von Bedrohungen bereitgestellt werden.
• Android – Konformitätsrichtlinien, Richtlinien zum Schutz von Apps. Defender für Endpunkt kann als App zur Erkennung von Bedrohungen bereitgestellt werden.

Die Funktionen variieren je nach Plattform. Ausführliche plattformspezifische Features finden Sie unter Verwalten der Gerätesicherheit mit Endpunktsicherheitsrichtlinien.

Wie lange dauert es, bis Richtlinien auf Geräte angewendet werden?

Die Geräte suchen standardmäßig alle acht Stunden (Windows) oder in regelmäßigen Abständen basierend auf der Plattform nach Richtlinienupdates. Sie können die sofortige Synchronisierung über das Gerät oder über das Intune Admin Center auslösen. Sicherheitskritische Richtlinien werden in der Regel innerhalb von Minuten nach der Synchronisierung wirksam, aber die vollständige Anwendung hängt von der Komplexität der Einstellung und dem Gerätestatus ab.

Was geschieht, wenn ein Gerät nicht mehr kompatibel ist?

Die Aktionen hängen von Ihrer Konformitätsrichtlinienkonfiguration ab:

1. Intune markiert das Gerät als nicht kompatibel.
2. Es gelten geplante Aktionen für Verstöße gegen die Kompatibilität, z. B. Benutzerbenachrichtigungen, Remotesperre oder das Hinzufügen des Geräts zu einer Außerbetriebliste zur Überprüfung durch den Administrator.
3. Wenn der bedingte Zugriff integriert ist, wird der Zugriff auf Unternehmensressourcen möglicherweise blockiert.
4. Benutzer erhalten Benachrichtigungen mit Anweisungen zur Problembehebung.
5. Sobald die Probleme behoben sind und das Gerät synchronisiert wird, wird der Status der Compliance aktualisiert.

Verwandte Inhalte

Konfigurieren:

• Sicherheitsbasispläne
• Compliancerichtlinien
• Integration des bedingten Zugriffs
• Integration in Microsoft Defender für Endpunkt