Approccio di distribuzione Zero Trust con Microsoft Intune

Microsoft Intune è una soluzione di gestione dei dispositivi mobili che supporta il percorso Zero Trust dell'organizzazione.

Zero Trust non è un prodotto o un servizio. Invece, è una moderna strategia di sicurezza informatica che non presuppone alcuna fiducia implicita, nemmeno all'interno della rete aziendale. Invece di considerare attendibili utenti, dispositivi o applicazioni per impostazione predefinita, un approccio Zero Trust verifica esplicitamente ogni richiesta di accesso, valuta continuamente il rischio e applica l'accesso con privilegi minimi nell'intero patrimonio digitale.

I principi fondamentali di Zero Trust includono:

Verificare esplicitamente Usare l'accesso con privilegi minimi Presupporre le violazioni
Eseguire sempre l'autenticazione e l'autorizzazione in base a tutti i punti dati disponibili. Limita l'accesso degli utenti con JIT/JEA (Just-In-Time and Just-Enough-Access), criteri adattivi basati sul rischio e protezione dei dati. Ridurre al minimo l'accesso ai segmenti e il raggio blast. Verificare la crittografia end-to-end e usare l'analisi per ottenere visibilità, guidare il rilevamento delle minacce e migliorare le difese.

Perché gestire gli endpoint per Zero Trust?

L'azienda moderna ha un'incredibile diversità negli endpoint che accedono ai dati dell'organizzazione. Gli utenti lavorano da qualsiasi luogo, da qualsiasi dispositivo, più che in qualsiasi momento della storia. Ciò crea un'enorme superficie di attacco e gli endpoint possono facilmente diventare l'anello più debole nella tua strategia di sicurezza Zero Trust.

Mentre le organizzazioni sono in genere proattive nella protezione dei PC da vulnerabilità e attacchi, i dispositivi mobili spesso non vengono monitorati e non sono protetti. Ottenere visibilità sugli endpoint che accedono alle risorse aziendali è il primo passo nella strategia per i dispositivi Zero Trust.

Per evitare di esporre i dati a rischi, è necessario monitorare ogni endpoint per rilevare eventuali rischi e impiegare controlli di accesso granulari per fornire il livello di accesso appropriato in base ai criteri dell'organizzazione. Ad esempio, se un dispositivo personale è jailbroken, è possibile bloccarne l'accesso per impedire che le applicazioni aziendali siano esposte a vulnerabilità note.

Per una panoramica di come Intune supporta i principi Zero Trust (verifica esplicita, uso dell'accesso con privilegi minimi e presunzione della violazione), vedere Zero Trust con Microsoft Intune.

Progressione della distribuzione Zero Trust su sette livelli

La creazione di un livello di sicurezza Zero Trust completo per i dispositivi implica l'implementazione progressiva di livelli di protezione. Ogni livello si basa sul precedente, a partire dalla protezione dei dati di base e avanzando verso il rilevamento sofisticato delle minacce e la prevenzione della perdita di dati.

La tabella seguente mostra i progressi della distribuzione consigliati per la sicurezza dei dispositivi Zero Trust:

Livello Funzionalità di protezione Risultati eseguiti Prerequisiti Requisiti di licenza
1 Criteri di protezione delle app Proteggere i dati dell'organizzazione nelle app senza richiedere la registrazione del dispositivo. Crea le basi per scenari BYOD (Bring-Your-Own-Device). App supportate (Microsoft 365 app, app abilitate ai criteri) Microsoft 365 E3, E5, F1, F3, F5
2 Registrare i dispositivi Stabilire una relazione tra utente, dispositivo e Intune. Abilita la gestione dei dispositivi e la visibilità sugli endpoint che accedono alle risorse. Prerequisiti specifici della piattaforma (autorità MDM, certificati) Microsoft 365 E3, E5, F1, F3, F5
3 Criteri di conformità Definisci i requisiti minimi che i dispositivi devono soddisfare (protezione tramite password, versione del sistema operativo, crittografia). Contrassegnare i dispositivi come conformi o non conformi. Dispositivi registrati nel layer 2 Microsoft 365 E3, E5, F3, F5
4 Richiedere dispositivi integri e conformi Implementare criteri aziendali di identità Zero Trust e di accesso ai dispositivi. Collabora con il team delle identità per applicare la conformità tramite l'accesso condizionale, bloccando l'accesso dai dispositivi che non soddisfano i requisiti di sicurezza. Criteri di conformità dal livello 3, coordinamento con gli amministratori delle identità Microsoft 365 E3, E5, F3, F5
5 Profili di configurazione Configurare le impostazioni del dispositivo per rafforzare la sicurezza. Distribuire le baseline di sicurezza. Spostare i controlli di sicurezza dai Criteri di gruppo ai criteri cloud. Dispositivi registrati dal livello 2 Microsoft 365 E3, E5, F3, F5
6 Monitoraggio dei rischi dei dispositivi Eseguire l'integrazione con Microsoft Defender per endpoint per monitorare i rischi dei dispositivi, rilevare le minacce e bloccare l'accesso in base al livello di rischio. Distribuire le baseline di sicurezza. Configurazione di Microsoft Defender per endpoint, coordinamento con il team di protezione delle minacce Microsoft 365 E5, F5
7 DLP endpoint Proteggi i dati sensibili negli endpoint con la Prevenzione della perdita dei dati Microsoft Purview. Monitorare e controllare le operazioni sui file in base alle etichette di riservatezza. Configurazione di Microsoft Purview, dispositivi caricati su MDE nel layer 6 Microsoft 365 E5, componente aggiuntivo per la conformità E5, componente aggiuntivo per la conformità F5

Informazioni sui sette livelli di distribuzione

In questa sezione vengono illustrati i singoli livelli della progressione della distribuzione Zero Trust. Mentre la tabella a sette livelli mostra gli obiettivi di ogni livello, queste descrizioni forniscono contesto, esempi e chiarimenti sui concetti chiave.

Protezione di app senza registrazione (livello 1)

I criteri di protezione delle app proteggono i dati dell'organizzazione all'interno delle app, controllando il modo in cui gli utenti accedono e condividono i dati di lavoro. Il livello 1 è incentrato sulla protezione dei dati nei dispositivi personali non gestiti senza richiedere la registrazione, ma i criteri di protezione delle app possono essere applicati anche ai dispositivi registrati per la difesa in profondità.

Gli utenti installano app come Outlook o Teams dallo Store, accedono con il proprio account aziendale e si applicano automaticamente i criteri di protezione dei dati. Questo approccio è comunemente chiamato MAM senza registrazione o BYOD (Bring-Your-Own-Device).

Esempio: Outlook è installato nell'iPhone personale di un utente. I criteri di protezione delle app richiedono un PIN per accedere alla posta elettronica aziendale, impediscono la copia dei dati di lavoro nelle app personali e bloccano il salvataggio degli allegati di posta elettronica nello spazio di archiviazione personale nel cloud. L'utente mantiene il controllo completo del dispositivo, mentre i dati dell'organizzazione rimangono protetti.

Consiglio

I criteri di protezione di app possono essere distribuiti sia ai dispositivi non registrati (livello 1) che ai dispositivi registrati (livello 2+) per una protezione aggiuntiva a livello di app oltre la gestione dei dispositivi.

Per informazioni dettagliate, vedere Linee guida per la distribuzione: criteri di protezione di app.

Registrazione dei dispositivi (livello 2)

La registrazione registra i dispositivi con Intune, consentendo una gestione completa dei dispositivi. Intune distribuisce le app, configura le impostazioni, applica i criteri di conformità e offre visibilità completa sullo stato del dispositivo.

Esempio: Un portatile aziendale viene registrato in Intune durante l'installazione di Windows Autopilot. Intune configura il Wi-Fi, distribuisce i certificati, installa le baseline di sicurezza, applica la crittografia BitLocker e monitora la conformità con i criteri delle password.

Per informazioni dettagliate, vedere Linee guida per la distribuzione: registrare i dispositivi.

Criteri di conformità (livello 3)

I criteri di conformità definiscono i requisiti di sicurezza che i dispositivi devono soddisfare per accedere alle risorse dell'organizzazione. Questi criteri valutano l'integrità del dispositivo e contrassegnano i dispositivi come conformi o non conformi in base alle impostazioni configurate, ad esempio i requisiti della password, le versioni del sistema operativo, lo stato di crittografia e il rilevamento del jailbreak.

Esempio: I criteri di conformità richiedono che i dispositivi Windows abbiano BitLocker abilitato, eseguano una versione minima del sistema operativo e usino una password con almeno otto caratteri. BitLocker nel portatile di un utente mancante viene contrassegnato come non conforme. L'utente riceve notifiche sul requisito e ha il tempo di correggerlo prima che l'accesso venga bloccato (se si applica il livello 4).

Consiglio

I criteri di conformità valutano lo stato del dispositivo ma non bloccano automaticamente l'accesso. Funzionano con l'accesso condizionale (livello 4) per applicare i requisiti di conformità.

Per informazioni dettagliate, vedere Linee guida per la distribuzione: criteri di conformità.

Richiedere dispositivi integri e conformi (livello 4)

Questo livello implementa criteri di identità e accesso ai dispositivi Zero Trust a livello aziendale, richiedendo che i dispositivi siano integri e conformi prima di concedere l'accesso alle risorse dell'organizzazione. Collabori con il tuo team di identità per creare criteri di accesso condizionale in Microsoft Entra ID che applicano le decisioni di conformità dal livello 3.

Questo livello rappresenta il passaggio dalla valutazione all'applicazione. Una volta che i criteri di conformità contrassegnano i dispositivi come conformi o non conformi, i criteri di accesso condizionale usano tale segnale per concedere o bloccare l'accesso a posta elettronica, SharePoint, Teams e altre risorse protette.

Esempio: Il team responsabile delle identità configura un criterio di accesso condizionale che richiede che i dispositivi siano contrassegnati come conformi prima che gli utenti possano accedere alle app di Microsoft 365. Un utente tenta di accedere a Outlook da un dispositivo Windows gestito da Intune. Il dispositivo non è conforme perché non soddisfa un requisito di conformità di Intune, la crittografia del disco (BitLocker) non è abilitata. Poiché il dispositivo non è contrassegnato come conforme, l'accesso condizionale blocca l'accesso a Outlook e chiede all'utente di risolvere il problema. Dopo che l'utente ha abilitato BitLocker, il dispositivo segnala lo stato di conformità aggiornato a Intune. Dopo che il dispositivo è stato valutato come conforme, l'Accesso condizionale rivaluta l'accesso e l'accesso a Outlook viene ripristinato.

Nota

Questo livello richiede il coordinamento con il team di identità. Mentre l'interfaccia di amministrazione di Intune presenta il nodo di accesso condizionale da Microsoft Entra ID, i criteri di accesso condizionale vengono creati in Entra ID, non in Intune. Per il flusso di lavoro, vedere la sezione Coordinamento del team di identità .

Per informazioni dettagliate, vedere Richiedere dispositivi gestiti con accesso condizionale.

Profili di configurazione (layer 5)

Profili di configurazione Configura le impostazioni dei dispositivi per rafforzare la sicurezza, abilitare le funzionalità e creare configurazioni coerenti in tutto il parco flotte. Mentre i criteri di conformità (livello 3) valutano se i dispositivi soddisfano i requisiti, i profili di configurazione distribuiscono in modo proattivo le impostazioni per garantire che i dispositivi siano configurati correttamente.

È possibile distribuire le impostazioni tramite i profili di configurazione dei dispositivi o i criteri di sicurezza degli endpoint. I profili di configurazione dei dispositivi supportano scenari generali, tra cui profili Wi-Fi e VPN, distribuzione di certificati, criteri password, impostazioni di crittografia del disco e Criteri di gruppo equivalenti. I criteri di sicurezza degli endpoint offrono esperienze semplificate incentrate in particolare sulle impostazioni di sicurezza come antivirus, crittografia del disco, firewall, riduzione della superficie di attacco e rilevamento e risposta degli endpoint.

Esempio: Distribuisci una linea di base per la sicurezza di Windows ai portatili aziendali. La linea di base abilita Windows Firewall, configura la crittografia BitLocker, disabilita i protocolli legacy, abilita le regole di riduzione della superficie di attacco e configura dozzine di altre impostazioni di sicurezza. Gli utenti non devono configurare manualmente queste impostazioni, poiché Intune le applica automaticamente.

Consiglio

Le baseline di sicurezza sono profili preconfigurati contenenti le impostazioni di sicurezza consigliate da Microsoft. Usarli come punto di partenza, quindi personalizzarli in base alle esigenze dell'organizzazione.

Per informazioni dettagliate, consulta Distribuire i profili di configurazione.

Monitoraggio dei rischi dei dispositivi (livello 6)

Il monitoraggio dei rischi dei dispositivi integra Microsoft Defender per endpoint con Intune per aggiungere il rilevamento continuo delle minacce, la valutazione dei rischi dei dispositivi e i controlli di accesso basati sui rischi. Questo livello passa dai controlli di conformità statici al monitoraggio dinamico della sicurezza che risponde alle minacce attive in tempo reale.

Quando si esegue l'onboarding dei dispositivi in Microsoft Defender per endpoint, iniziano a segnalare la telemetria di sicurezza e l'intelligence sulle minacce. Defender assegna a ogni dispositivo un livello di rischio (sicuro, basso, medio, alto o non disponibile) in base alle minacce rilevate, alle vulnerabilità e al livello di sicurezza. È possibile usare questo livello di rischio nei criteri di conformità per bloccare l'accesso dai dispositivi ad alto rischio o attivare azioni correttive.

Esempio: Il portatile di un utente viene infettato da malware. Microsoft Defender per endpoint rileva la minaccia e contrassegna il dispositivo come ad alto rischio. I criteri di conformità che valutano il rischio del dispositivo contrassegnano immediatamente il dispositivo come non conforme. L'accesso condizionale blocca l'accesso dell'utente alle risorse dell'organizzazione fino a quando la minaccia non viene risolta e il rischio del dispositivo non torna a un livello accettabile.

Consiglio

L'integrazione di Defender per endpoint con Intune consente anche di distribuire configurazioni di sicurezza più avanzate, tra cui la baseline di sicurezza di Microsoft Defender per endpoint e impostazioni avanzate di protezione dalle minacce, come le regole di riduzione della superficie di attacco, l'accesso controllato alle cartelle e la protezione della rete.

Per informazioni dettagliate, vedere Integrazione di Microsoft Defender per endpoint.

Prevenzione della perdita dei dati degli endpoint (livello 7)

La prevenzione della perdita dei dati degli endpoint usa Microsoft Purview per impedire ai dati sensibili di lasciare gli endpoint gestiti tramite operazioni di copia, stampa, caricamento o trasferimento. Mentre i livelli precedenti proteggono l'accesso alle risorse, questo livello protegge i dati stessi monitorando e controllando il modo in cui gli utenti interagiscono con i file sensibili.

I dispositivi di cui è stato eseguito l'onboarding in Microsoft Defender per endpoint nel livello 6 vengono sottoposti automaticamente a onboarding per Endpoint DLP senza ulteriori configurazioni di Intune. Il team di conformità crea criteri di prevenzione della perdita dei dati nel portale di Microsoft Purview, definendo quali etichette di riservatezza, tipi di file o modelli di contenuto attivano azioni protettive.

Esempio: Il team di conformità crea un criterio di prevenzione della perdita dei dati che impedisce che i file etichettati come "Riservato" vengano copiati in unità USB o caricati in personal cloud storage. Un utente tenta di copiare un report finanziario riservato in un'unità USB. Endpoint DLP blocca l'operazione e visualizza una notifica che spiega la restrizione. A seconda di come il team di conformità ha configurato i criteri, il blocco potrebbe essere assoluto o consentire all'utente di fornire una motivazione aziendale e procedere. Tutte le attività vengono registrate per la creazione di report di conformità.

Nota

In qualità di amministratore di Intune, il ruolo per la prevenzione della perdita dei dati degli endpoint è limitato alla verifica dell'onboarding dei dispositivi in Microsoft Defender per endpoint (livello 6). Tutte le operazioni di creazione e gestione dei criteri di prevenzione della perdita dei dati avvengono nel portale Microsoft Purview da parte del team di conformità.

Per informazioni dettagliate, vedere Informazioni sulla prevenzione della perdita dei dati degli endpoint e Introduzione alla prevenzione della perdita dei dati degli endpoint.

Registrazione e onboarding

Durante l'implementazione di questi livelli, si useranno due concetti correlati ma diversi: registrazione e onboarding. Comprendere la differenza aiuta a chiarire cosa accade a ogni livello.

La registrazione (livello 2) registra i dispositivi con Intune per una gestione completa dei dispositivi. L'onboarding (livelli 6-7) configura i dispositivi per segnalare informazioni a servizi specifici come Microsoft Defender per endpoint o Microsoft Purview.

Registrazione Onboarding
Funzione Registra i dispositivi per la gestione con Intune. Intune gestisce l'intero dispositivo, incluse app, impostazioni e criteri. Configura i dispositivi per condividere informazioni con servizi Microsoft 365 specifici (attualmente Microsoft Defender per endpoint e Microsoft Purview).
Ambito Gestione completa dei dispositivi: configurare le impostazioni, distribuire le app, applicare la conformità, monitorare l'integrità dei dispositivi. Solo funzionalità specifiche del servizio. Ad esempio, l'onboarding in MDE abilita il rilevamento delle minacce, mentre l'onboarding in Purview abilita la prevenzione della perdita dei dati.
In questa distribuzione Livello 2: registrare i dispositivi nella gestione di Intune. Livello 6: eseguire l'onboarding dei dispositivi in Microsoft Defender per endpoint usando Intune.
Layer 7: i dispositivi di cui è stato eseguito l'onboarding in MDE vengono sottoposti automaticamente a onboarding per Microsoft Purview Endpoint DLP.
Come farlo Metodi di registrazione specifici della piattaforma: aggiunta a Microsoft Entra (registrazione automatica), Windows Autopilot, registrazione automatica dei dispositivi Apple, registrazione manuale. Usare Intune per distribuire la configurazione di onboarding ai dispositivi registrati. I dispositivi devono essere registrati in Intune prima di poterli eseguire l'onboarding in MDE o Purview.

Nota

L'onboarding in Microsoft Defender per endpoint esegue automaticamente l'onboarding dei dispositivi per le funzionalità di Microsoft Purview, tra cui Endpoint DLP. Non sono necessarie altre operazioni di configurazione di Intune.

Coordinamento con Microsoft 365 Teams

L'implementazione della sicurezza dei dispositivi Zero Trust richiede il coordinamento tra più team dell'organizzazione. Mentre si gestiscono i criteri di Intune, altri team gestiscono servizi complementari che interagiscono per applicare la protezione.

Team identità (Microsoft Entra ID)

La loro responsabilità: Gestire i criteri di accesso condizionale, configurare i requisiti di autenticazione e amministrare il tenant di Microsoft Entra ID.

Il tuo coordinamento:

  • Dopo aver creato i criteri di protezione delle app (livello 1), collaborare con il team di gestione delle identità per creare criteri di accesso condizionale che richiedono app approvate.
  • Dopo aver creato i criteri di conformità (livello 3), coordinare i criteri di accesso condizionale che richiedono dispositivi conformi:
    1. È possibile creare e assegnare criteri di conformità in Intune per definire i requisiti dei dispositivi.
    2. Il team di identità crea criteri di accesso condizionale nell'interfaccia di amministrazione di Microsoft Entra.
    3. I criteri di accesso condizionale usano il controllo di concessione "Richiedi che il dispositivo sia contrassegnato come conforme".
    4. Assicurarsi che entrambi i criteri siano destinati agli stessi gruppi di utenti.
    5. Eseguire test insieme usando lo strumento Simulazione di accesso condizionale prima di abilitare l'applicazione delle norme.
  • Per il flusso di lavoro dettagliato, vedere Modalità comuni di utilizzo dell'Accesso condizionale.
  • Per la creazione di criteri, vedere Richiedere dispositivi gestiti con accesso condizionale.

Linee guida correlate:Accesso condizionale con Intune

Team di protezione dalle minacce (Microsoft Defender)

La loro responsabilità: Configurare e gestire il servizio Microsoft Defender per endpoint, analizzare le minacce e gestire i flussi di lavoro del centro operativo di sicurezza (SOC).

Il tuo coordinamento:

  • Usare Intune per eseguire l'onboarding dei dispositivi per Microsoft Defender per endpoint (livello 6)
  • Distribuire sia la linea di base per la sicurezza di Windows che la linea di base per la sicurezza di Defender per endpoint nei dispositivi gestiti
  • Ricevere segnali di rischio del dispositivo da Defender che vengono inseriti nei criteri di conformità
  • Agisci sulle attività di sicurezza di Intune create dagli amministratori della sicurezza di Defender per correggere vulnerabilità e configurazioni errate individuate
  • Coordinare la risposta agli incidenti quando vengono rilevate minacce nei dispositivi gestiti

Linee guida correlate:

Team per la sicurezza e la privacy dei dati (Microsoft Purview)

La loro responsabilità: Definire lo schema di riservatezza dei dati, creare criteri di prevenzione della perdita dei dati e gestire i requisiti di conformità in Microsoft Purview.

Il tuo coordinamento:

  • Verificare che i dispositivi siano sottoposti a onboarding per supportare la prevenzione della perdita dei dati degli endpoint (automatica con onboarding di MDE nel livello 6)
  • Identificare i gruppi di utenti da includere/escludere dai criteri di prevenzione della perdita dei dati
  • Verificare la visibilità dei dispositivi nel portale di Microsoft Purview
  • Supportare l'educazione degli utenti quando i criteri DLP bloccano o avvisano delle operazioni sui dati

Nota

In qualità di amministratore di Intune, il ruolo di Endpoint DLP è limitato a garantire che i dispositivi siano caricati in Microsoft Defender per endpoint. I dispositivi di cui è stato eseguito l'onboarding in MDE diventano automaticamente compatibili con DLP senza alcuna configurazione aggiuntiva di Intune. Tutte le operazioni di creazione e gestione dei criteri di prevenzione della perdita dei dati avvengono nel portale Microsoft Purview da parte del team di conformità.

Linee guida correlate:

Procedure consigliate per il coordinamento tra team

  • Stabilire riunioni di coordinamento regolari durante il dispiegamento iniziale di ogni livello.
  • Proprietà dei documenti : essere chiari su quale team gestisce i criteri.
  • Eseguire test insieme : usare la modalità di controllo e gli strumenti di simulazione prima dell'applicazione della normativa.
  • Allineare i gruppi di utenti - Garantire assegnazioni di gruppo coerenti tra i servizi.
  • Pianificare le comunicazioni - Coordinare le notifiche utente quando i criteri possono influire sull'esperienza utente.
  • Condividere le responsabilità di monitoraggio : ogni team monitora il servizio, ma condivide informazioni dettagliate sull'impatto utente.

Passaggi successivi

Introduzione alla sicurezza dei dispositivi Zero Trust:

Scopri di più su Zero Trust:

Esplora i livelli di protezione avanzati:

  • Last updated on