Usare le baseline di controllo STIG per valutare la conformità dei dispositivi Windows in Microsoft Intune

Intune supporta una baseline di sicurezza per il controllo dei dispositivi Windows rispetto alle configurazioni consigliate definite nelle Security Technical Implementation Guides (STIGs) pubblicate dalla Defense Information Systems Agency (DISA). A differenza di altre baseline di sicurezza di Intune che configurano e applicano impostazioni ai dispositivi, la baseline di controllo STIG è di sola lettura. Valuta lo stato corrente della configurazione di un dispositivo e genera report di controllo dettagliati senza modificare alcuna impostazione.

Questa linea di base è progettata per le organizzazioni che devono dimostrare la conformità agli STTIG come parte dei requisiti di sicurezza del Dipartimento della difesa (DoD).

Panoramica

Le Security Technical Implementation Guides (STIGs) sono standard di configurazione sviluppati dalla DISA per il DoD. Queste guide definiscono come configurare i sistemi software, hardware e di rete per ridurre le vulnerabilità. Le agenzie federali e gli appaltatori del Dipartimento della Difesa devono seguire gli STTIG e dimostrare che i dispositivi soddisfano le configurazioni richieste.

Valori di base STIG disponibili

Le seguenti linee di base di controllo STIG sono disponibili in Intune:

La DISA in genere aggiorna gli STIG con cadenza trimestrale. Quando Intune rende disponibile una versione più recente, è possibile creare un nuovo profilo di controllo o aggiornare un profilo esistente per usare la versione più recente. Per informazioni dettagliate sulle regole di ogni STIG, vedere la libreria DISA STIG.

Funzionamento della baseline di controllo STIG

La baseline di controllo STIG di Intune aiuta le organizzazioni con questa valutazione:

• Controllo della configurazione del dispositivo : l'audit valuta le impostazioni correnti di ciascun dispositivo rispetto alle regole di controllo STIG definite nello schema pubblicato da DISA.
• Generazione di report di controllo dettagliati — Intune produce report di controllo per impostazione e per dispositivo che è possibile visualizzare nell'interfaccia di amministrazione, recuperare tramite l'API Graph di Microsoft o esportare in formato CSV.
• Supporto della reportistica di conformità XCCDF — I risultati dell'audit sono mappati alle categorie di risultati NIST XCCDF (Extensible Configuration Checklist Description Format), supportando i formati di reporting formali richiesti dai revisori DISA e DoD.

Prerequisiti

Prima di usare la linea di base di controllo STIG, verificare che l'ambiente soddisfi i requisiti seguenti:

Creare un profilo di base di controllo STIG

Per creare un profilo di base di controllo STIG, attenersi alla seguente procedura:

1. Accedere all'Interfaccia di amministrazione di Microsoft Intune.

2. Passare a Baseline di sicurezza> degli endpoint per visualizzare l'elenco delle baseline disponibili.

3. Seleziona Microsoft Windows 11 STIG SCAP Benchmark dall'elenco dei tipi di base disponibili.

   Nota

   Se nell'elenco non è presente la linea di base STIG, verificare che il tenant soddisfi i prerequisiti per il tipo di tenant e le licenze.

4. Seleziona Crea profilo.

5. Nella scheda Informazioni di base :

   • Immettere un nome descrittivo per il profilo, ad esempio Controllo STIG - Client Windows.
   • Facoltativamente, aggiungere una descrizione per chiarire lo scopo e l'ambito di questo profilo di controllo.

6. Nella scheda Impostazioni di configurazione non è richiesta alcuna configurazione. Questa scheda conferma che il profilo contiene le impostazioni consigliate della versione corrente di STIG e che l'assegnazione del profilo consente il controllo di tali impostazioni nei dispositivi di destinazione.

   Nota

   La linea di base di controllo STIG controlla tutte le impostazioni della linea di base come un singolo profilo. Non è possibile selezionare o modificare singole impostazioni. Le regole di controllo e i relativi valori previsti sono definiti da DISA nei file di benchmark SCAP disponibili pubblicamente, non da Intune.

7. Nella scheda Tag degli ambiti , facoltativamente, aggiungere tag degli ambiti per controllare quali amministratori possono visualizzare questo profilo.

8. Nella scheda Assegnazioni , selezionare i gruppi di dispositivi che si desidera controllare rispetto alla baseline STIG. È possibile scegliere come destinazione tutti i dispositivi o gruppi specifici.

9. Rivedi le impostazioni nella scheda Rivedi + Crea e quindi seleziona Crea.

Dopo aver creato il profilo e averlo assegnato ai gruppi, Intune valuta i dispositivi di destinazione rispetto alla baseline STIG durante il check in dei dispositivi. I dati del report di controllo iniziano a popolarsi man mano che i dispositivi segnalano i risultati della valutazione. La visualizzazione dei risultati iniziali per i nuovi dispositivi di destinazione può richiedere fino a 24 ore.

Esaminare i risultati dell'audit STIG

Dopo l'archiviazione dei dispositivi, è possibile esaminare i risultati del controllo tramite la visualizzazione Report di controllo nell'interfaccia di amministrazione di Intune.

1. Passare a Baselinedi sicurezza della sicurezza>degli endpointe selezionare Microsoft Windows 11 STIG SCAP Benchmark.

2. Selezionare il profilo di controllo che si desidera esaminare.

3. Selezionare Report di audit per caricare la visualizzazione del report. Potrebbe essere necessario selezionare Genera la prima volta per iniziare a popolare i dati.

Stato assegnazione dispositivo

Il report Stato assegnazione dispositivo mostra tutti i dispositivi selezionati come destinazione dai criteri, inclusi i dispositivi in uno stato di assegnazione dei criteri in sospeso. Usare questo report per confermare quali dispositivi hanno ricevuto il profilo di controllo e tenere traccia dello stato di avanzamento dell'assegnazione.

Report di audit

Il report di audit mostra se i valori dei dispositivi soddisfano i valori consigliati per le impostazioni nella versione di base. Questo report fornisce un riepilogo per impostazione in tutti i dispositivi di destinazione, in modo da poter identificare rapidamente le regole STIG con i più alti tassi di errore e dare priorità alle attività di correzione. Ogni riga rappresenta una singola regola STIG e mostra quanti dispositivi hanno superato, non sono riusciti o segnalato altri stati per tale regola.

Il report include le colonne seguenti:

È possibile filtrare il report in base alla gravità per concentrarsi su aree specifiche. Utilizzare il campo di ricerca per trovare impostazioni specifiche in base al nome o all'ID di riferimento.

Drill-down per dispositivo

Selezionare il numero di dispositivi per una regola, ad esempio il numero in Dispositivi di esito positivo, per aprire una visualizzazione dettagliata per la regola. La visualizzazione drill-down include:

• Barra di riepilogo che mostra il numero di dispositivi in ogni stato: In sospeso, Non applicabile, Operazione riuscita, Errore, Conflitto e Totale.
• Elenco di dispositivi che mostra il risultato dell'audit per ogni dispositivo di destinazione. Puoi filtrare l'elenco in base allo stato, cercare dispositivi specifici ed esportare i risultati.

L'elenco dei dispositivi include le colonne seguenti:

Controlla i valori di stato

Ogni dispositivo viene valutato in base all'impostazione e gli viene assegnato uno dei valori di stato seguenti:

La colonna di mappatura XCCDF mostra come ogni stato di Intune esegue il mapping alle categorie di risultati NIST XCCDF utilizzate nella rendicontazione formale della DISA ai revisori.

Esportare i dati di controllo

È possibile esportare i risultati del controllo usando i metodi seguenti:

• Esportazione in blocco dell'API Graph (consigliata): usare l'API di esportazione dei report di Intune per scaricare tutti i dati di controllo STIG per un tenant in un singolo processo. Questo approccio è il più efficiente per il reporting su larga scala o tra tenant. Per informazioni dettagliate, vedere Esportare i dati di controllo STIG in blocco.
• Esportazione CSV : utilizzare l'opzione Esporta nella visualizzazione del report di audit per scaricare i risultati per dispositivo per le singole regole.
• API Graph per impostazione : usare gli endpoint dei report memorizzati nella cache dell'API Graph Microsoft Graph per recuperare i dati di controllo un'impostazione alla volta. Questo approccio è utile per le ricerche mirate, ma richiede molte chiamate API per le esportazioni di linea di base. Per informazioni dettagliate, vedere Usare l'API Graph per i report di controllo STIG.

Aggiornamento dei dati

I dati del report di audit non sono in tempo reale. La creazione di report sui dati può richiedere da uno a due cicli di archiviazione del dispositivo rispetto alla distribuzione dei criteri. Dopo il periodo di valutazione iniziale per i nuovi dispositivi di destinazione, il sistema aggiorna i dati di controllo in base al ciclo seguente:

• Ogni dispositivo valuta le regole STIG localmente a intervalli regolari.
• I dispositivi si registrano periodicamente con il servizio Intune per segnalare i risultati.
• A seconda della tempistica del ciclo di valutazione e del check-in del dispositivo, può verificarsi un ritardo di uno o due cicli di check-in tra una valutazione del dispositivo e la visualizzazione dei dati aggiornati nel report di audit.

Per aggiornare il report con i dati più recenti disponibili, utilizzare il pulsante Genera di nuovo nel report di audit.

Usare l'API Graph per i report di controllo STIG

È possibile usare l'API Graph Microsoft per recuperare a livello di programmazione i dati di controllo STIG. Questo approccio è utile per integrare i risultati di audit con strumenti di valutazione esterni, automatizzare i flussi di lavoro di creazione di report STIG o aggregare i dati di valutazione tra più tenant.

Esportare i dati di controllo STIG in blocco

Per le organizzazioni che devono esportare tutti i dati di controllo di STIG contemporaneamente, usare l'API di esportazione dei report di Intune anziché il modello di report memorizzato nella cache per impostazione descritto nelle sezioni seguenti. L'API di esportazione differisce in tre modi:

• Nessuna impaginazione : restituisce l'intero set di dati in un unico file scaricabile anziché richiedere il paging skip/top in più richieste.
• Nessuna iterazione per impostazione : recupera i risultati per tutte le impostazioni in un processo. Il modello di report memorizzato nella cache richiede tre chiamate API per ogni SettingId (creazione, polling, recupero). Per una linea di base con 197 regole STIG, si tratta di almeno 591 chiamate API per un singolo tenant. L'API di esportazione lo fa in due o tre chiamate in totale.
• Recapito dell'archiviazione BLOB : i risultati vengono scritti in un URL BLOB temporaneo e scaricati come ZIP/CSV, anziché restituiti nel corpo della risposta HTTP. In questo modo vengono gestiti set di dati di grandi dimensioni (centinaia di migliaia di righe di impostazione del dispositivo) senza timeout.

Per altre informazioni sul modello delle API di esportazione, inclusi i parametri di richiesta e i limiti di limitazione, vedere Esportare i report di Intune usando le API di Graph.

L'esportazione in blocco usa l'endpoint exportJobs e segue un modello di creazione, polling e download. Tutte le chiamate usano l'endpoint /beta/ .

1. Eseguire l'autenticazione con Microsoft Graph per il tenant di destinazione.

2. Creare il processo di esportazione con una richiesta POST a https://graph.microsoft.com/beta/deviceManagement/reports/exportJobs. Usare il nome del IndustryBaselinePerSettingDeviceAuditList report e selezionare le colonne necessarie:

   POST https://graph.microsoft.com/beta/deviceManagement/reports/exportJobs
   
   {
       "reportName": "IndustryBaselinePerSettingDeviceAuditList",
       "filter": "(PolicyId eq '{PolicyId}')",
       "format": "csv",
       "select": [
           "PolicyId",
           "SettingId",
           "DeviceId",
           "MaxSettingStatus",
           "UserId",
           "DeviceName",
           "PspdpuLastModifiedTimeUtc"
       ]
   }
   

   Dov'è {PolicyId} il GUID del profilo di controllo STIG. Per trovare il PolicyId, vedere Recuperare il PolicyId. La risposta include un id valore per il processo di esportazione.

3. Eseguire il polling dello stato del processo con una richiesta GET fino a quando non status viene restituito completed:

   GET https://graph.microsoft.com/beta/deviceManagement/reports/exportJobs('{exportJobId}')
   

   Dove {exportJobId} viene restituito il id valore nel passaggio precedente.

4. Al termine del processo, la risposta include un url campo con un collegamento di archiviazione BLOB temporaneo. Scarica il file ZIP da questo URL. Lo ZIP contiene un CSV con tutti i risultati del controllo STIG per il tenant.

Recuperare i metadati della linea di base

Inizia recuperando i metadati sul modello di base STIG. Il modello id di questa risposta è necessario per cercare PolicyId nel passaggio successivo.

GET /beta/deviceManagement/templates?$filter=templateFamily eq 'baseline'

La risposta include i campi seguenti per il modello di previsione STIG:

Recuperare PolicyId

Prima di poter chiamare le API dei report, è necessario il PolicyId (GUID) del profilo di controllo STIG. È possibile trovare PolicyId nell'interfaccia di amministrazione o recuperarlo a livello di codice tramite l'API Graph.

• Interfaccia di amministrazione: aprire il criterio di controllo STIG nell'interfaccia di amministrazione di Intune e copiare il GUID dall'URL dopo /policyID/. Questo GUID è specifico del tenant.

• API Graph: usare il modello id della sezione precedente per elencare tutti i criteri creati da quel modello:

  GET /beta/deviceManagement/configurationPolicies?$filter=templateReference/templateId eq '{templateId}'
  

  Dove {templateId} è l'ID modello recuperato nella sezione precedente (ad esempio, c64bf257-bce5-4c4d-8ad8-03222f13d84c_1). Il id campo in ogni criterio restituito è il PolicyId da usare nelle chiamate API del report.

Recuperare il riepilogo di controllo per criterio

Dopo aver ottenuto il PolicyId, è possibile recuperare un riepilogo di tutte le impostazioni STIG con il numero di dispositivi passati per ogni regola. Questo report mostra gli stessi dati della visualizzazione Report di controllo nell'interfaccia di amministrazione.

Il report per criterio usa uno schema in tre passaggi: creare una configurazione di report memorizzata nella cache, monitorarne lo stato e quindi recuperare i risultati.

Passaggio 1 - Creare la configurazione del report memorizzato nella cache:

POST /beta/deviceManagement/reports/cachedReportConfigurations

{
  "id": "IndustryBaselinePerSettingDeviceAuditSummary_<PolicyId>",
  "filter": "(PolicyId eq '<PolicyId>')",
  "orderBy": [],
  "select": [
    "SettingName",
    "SettingId",
    "StigRuleId",
    "StigSeverity",
    "NumberOfCompliantDevices"
  ]
}

Passaggio 2 - Monitorare lo stato del rapporto (ripetere fino al completamento dello stato):

GET /beta/deviceManagement/reports/cachedReportConfigurations('IndustryBaselinePerSettingDeviceAuditSummary_<PolicyId>')

Passaggio 3 - Recuperare i risultati:

POST /beta/deviceManagement/reports/getCachedReport

{
  "id": "IndustryBaselinePerSettingDeviceAuditSummary_<PolicyId>",
  "filter": "(PolicyId eq '<PolicyId>')",
  "orderBy": [],
  "select": [
    "SettingName",
    "SettingId",
    "StigRuleId",
    "StigSeverity",
    "NumberOfCompliantDevices"
  ],
  "skip": 0,
  "top": 50
}

Le colonne delle risposte includono:

Recuperare i dettagli del dispositivo per impostazione

Per identificare i dispositivi che hanno superato o non hanno superato una regola STIG specifica, utilizzare il report per impostazione. Questo rapporto segue lo stesso schema in tre fasi. Sono necessari sia PolicyId che SettingId (recuperati dai risultati del report per criterio).

Passaggio 1 - Creare la configurazione del report memorizzato nella cache:

POST /beta/deviceManagement/reports/cachedReportConfigurations

{
  "id": "IndustryBaselinePerSettingDeviceAuditList_<PolicyId>",
  "filter": "(PolicyId eq '<PolicyId>') and (SettingId eq '<SettingId>')",
  "orderBy": [],
  "select": [
    "DeviceName",
    "MaxSettingStatus",
    "PspdpuLastModifiedTimeUtc"
  ]
}

Passaggio 2 - Monitorare lo stato del report:

GET /beta/deviceManagement/reports/cachedReportConfigurations('IndustryBaselinePerSettingDeviceAuditList_<PolicyId>')

Passaggio 3 - Recuperare i risultati:

POST /beta/deviceManagement/reports/getCachedReport

{
  "id": "IndustryBaselinePerSettingDeviceAuditList_<PolicyId>",
  "filter": "(PolicyId eq '<PolicyId>') and (SettingId eq '<SettingId>')",
  "orderBy": [],
  "select": [
    "DeviceName",
    "MaxSettingStatus",
    "PspdpuLastModifiedTimeUtc"
  ],
  "skip": 0,
  "top": 50
}

Le colonne delle risposte includono:

Informazioni sul comportamento di solo controllo

La linea di base di controllo STIG funziona in modo diverso rispetto alle altre baseline di sicurezza di Intune:

Poiché la linea di base di controllo STIG non esegue il push della configurazione ai dispositivi, non è in conflitto con altri criteri o linee di base di Intune. È possibile distribuirlo in modo sicuro insieme alle baseline di configurazione, ai criteri di conformità e ai profili di configurazione dei dispositivi esistenti.

Correggere i risultati dell'audit STIG

La linea di base di controllo STIG identifica le lacune di configurazione ma non le corregge. Usare gli approcci seguenti per rendere i dispositivi conformi:

• Profili del catalogo delle impostazioni: creare o aggiornare i profili del catalogo delle impostazioni in Intune per applicare impostazioni specifiche identificate dal controllo STIG. Questo approccio è raccomandato per la correzione di STIG.
• Linee di base della sicurezza di Intune: la baseline di sicurezza MDM di Windows applica molte impostazioni che si sovrappongono ai requisiti STIG.
• Criteri di conformità — Usare i criteri di conformità per definire i requisiti e intervenire quando i dispositivi non sono conformi.
• Criteri di gruppo (ambienti ibridi): per gli ambienti co-gestiti, usare i criteri di gruppo per le impostazioni non ancora disponibili tramite Intune.

Regole STIG che richiedono la verifica manuale

Non è possibile valutare automaticamente alcune regole STIG perché richiedono un'ispezione fisica, un giudizio amministrativo o la verifica di condizioni che i provider di servizi di configurazione del dispositivo non sono in grado di rilevare. Il report di audit esclude queste regole. Valutarli attraverso procedure manuali separate. L'organizzazione deve stabilire un processo per valutare e documentare la conformità a queste regole.

Le seguenti regole STIG richiedono la verifica manuale:

Limitazioni note

• Solo controllo : la linea di base di controllo STIG non applica o corregge le impostazioni. Usa i profili del catalogo impostazioni per la configurazione.
• Nessuna linea di base personalizzata : non è possibile caricare profili STIG personalizzati. Lo scenario di riferimento include l'insieme completo di regole STIG per il benchmark supportato.
• Nessun valore effettivo del dispositivo : il report di audit mostra il risultato positivo o negativo di ogni controllo delle regole, ma non visualizza il valore di configurazione effettivo sul dispositivo.
• Versione di base singola : è possibile utilizzare solo la versione di base supportata più recente per creare nuovi profili di controllo. Non è possibile creare profili rispetto alle versioni di base precedenti. Tuttavia, i profili creati in precedenza con una versione precedente rimangono disponibili per l'esecuzione.
• Solo GCC alto : la linea di base di controllo STIG non è disponibile negli ambienti cloud commerciali, GCC o DoD.
• Creazione di profili solo UX: è necessario creare profili di controllo STIG tramite l'interfaccia di amministrazione di Intune. La creazione di profili basata su API non è supportata.
• Latenza dei dati : i dati di controllo non sono in tempo reale. Potrebbe verificarsi un ritardo di diverse ore tra una valutazione del dispositivo e la visualizzazione dei dati nel report. Per informazioni dettagliate, vedi Aggiornamento dei dati.

Domande frequenti

La linea di base di controllo STIG applica le impostazioni ai dispositivi?

No. La baseline di controllo di STIG è solo di controllo. Valuta la configurazione corrente del dispositivo e segnala se ogni dispositivo soddisfa i valori STIG consigliati. Non modifica né applica alcuna impostazione. Per correggere i risultati, configurare i criteri appropriati usando Catalogo impostazioni o altri tipi di criteri di Intune.

Quale versione di STIG usa la linea di base?

Controlli di base iniziali rispetto al benchmark Microsoft Windows 11 STIG SCAP, versione 2, versione 7 (data benchmark: 5 gennaio 2026). Una volta che Intune rende disponibile una versione più recente, è necessario creare un nuovo profilo di controllo o aggiornare il profilo esistente per usare la versione più recente.

È possibile usare la baseline di controllo STIG in un tenant cloud commerciale?

No. La baseline di controllo STIG è disponibile solo per i tenant GCC High .

È possibile personalizzare le regole STIG controllate?

No. La baseline di controllo STIG valuta tutte le regole nel benchmark supportato come un unico profilo. Non è possibile selezionare un subset di regole per il controllo. Le regole CAT I, CAT II e CAT III sono tutte incluse in un'unica linea di base: non esistono profili separati per categoria di gravità.

La baseline di controllo STIG è in conflitto con altre baseline o criteri?

No. Poiché la linea di base di controllo STIG è di sola lettura e non esegue il push della configurazione ai dispositivi, non è in conflitto con altre linee di base di Intune, criteri di conformità o profili di configurazione dei dispositivi.

Ricerca per categorie trovare il PolicyId per le chiamate all'API Graph?

Aprire i criteri di controllo STIG nell'interfaccia di amministrazione di Intune e copiare il GUID dall'URL dopo /policyID/. È anche possibile recuperare PolicyId a livello di codice tramite l'API Graph. Per entrambi i metodi, vedere Recuperare PolicyId.

È possibile aggregare i dati di controllo STIG tra più tenant?

Sì. Usare l'API Graph per individuare a livello di codice i criteri di controllo e recuperare i dati di controllo tra i tenant. Gli ID delle impostazioni sono coerenti a livello globale tra i tenant per la stessa versione del modello STIG, quindi è possibile correlare i risultati in base all'impostazione. Gli ID criteri sono specifici del tenant e devono essere individuati per ogni tenant. Per informazioni dettagliate, vedere Recuperare PolicyId.

Contenuto correlato

• Panoramica delle baseline di sicurezza: informazioni su tutte le baseline di sicurezza di Intune disponibili.
• Creare profili di baseline di sicurezza: informazioni su come distribuire le baseline di configurazione in Intune.
• Monitorare le baseline - Monitorare lo stato di conformità della linea di base.
• Microsoft Intune per il governo degli Stati Uniti GCC High e DoD - Informazioni sul servizio GCC High di Intune.
• DISA STIGs - Accedi alla libreria STIG completa di DISA.
• Parametri di riferimento DISA SCAD - Scarica i file di benchmark SCAP usati per generare i profili di audit STIG.