SIG-controlebasislijnen gebruiken om de naleving van Windows-apparaten te beoordelen in Microsoft Intune

Intune ondersteunt een basislijn voor beveiliging voor het controleren van Windows-apparaten op basis van de aanbevolen configuraties die zijn gedefinieerd in de Security Technical Implementation Guides (STIG's) die zijn gepubliceerd door de Defense Information Systems Agency (DISA). In tegenstelling tot andere beveiligingsbasislijnen van Intune, die instellingen op apparaten configureren en afdwingen, is de controlebasislijn van STIG alleen-lezen. Het beoordeelt de huidige status van de configuratie van een apparaat en genereert gedetailleerde auditrapporten zonder instellingen te wijzigen.

Deze basislijn is bedoeld voor organisaties die moeten aantonen dat ze voldoen aan STIG's als onderdeel van hun beveiligingsvereisten van het Ministerie van Defensie (DoD).

Overzicht

Security Technical Implementation Guides (STIG's) zijn configuratiestandaarden die door DISA zijn ontwikkeld voor het DoD. In deze handleidingen wordt beschreven hoe software, hardware en netwerksystemen moeten worden geconfigureerd om beveiligingsproblemen te beperken. Federale agentschappen en DoD-aannemers moeten STIG's volgen en aantonen dat apparaten voldoen aan de vereiste configuraties.

Beschikbare STIG-basislijnen

De volgende STIG-controlebasislijnen zijn beschikbaar in Intune:

DISA werkt STIG's doorgaans elk kwartaal bij. Wanneer door Intune een nieuwere versie beschikbaar wordt gesteld, kunt u een nieuw controleprofiel maken of een bestaand profiel bijwerken om de nieuwste versie te gebruiken. Zie de DISA STIG-bibliotheek voor meer informatie over de regels in elke STIG.

Wat de SIG-auditbaseline doet

Intune's STIG audit baseline helpt organisaties bij deze beoordeling door:

• Apparaatconfiguratie controleren — De audit evalueert de huidige instellingen van elk apparaat aan de hand van de STIG-auditregels die zijn gedefinieerd in het door DISA gepubliceerde schema.
• Het genereren van gedetailleerde auditrapporten: Intune produceert auditrapporten per instelling en per apparaat die u kunt bekijken in het beheercentrum, kunt ophalen via de Microsoft-Graph API of kunt exporteren naar een CSV-bestand.
• Ondersteuning van XCCDF-nalevingsrapportage — Controleresultaten worden toegewezen aan NIST XCCDF-resultaatcategorieën (Extensible Configuration Checklist Description Format), ter ondersteuning van de formele rapportageformaten die DISA- en DoD-auditors vereisen.

Vereisten

Voordat u de controlebasislijn van STIG gebruikt, controleert u of uw omgeving aan de volgende vereisten voldoet:

Een SIG-auditbasislijnprofiel maken

Gebruik de volgende stappen om een SIG-auditbasislijnprofiel te maken:

1. Meld je aan bij het Microsoft Intune-beheercentrum.

2. Ga naarBasislijnen voor eindpuntbeveiliging> om de lijst met beschikbare basislijnen weer te geven.

3. Selecteer Microsoft Windows 11 STIG SCAP-benchmark in de lijst met beschikbare basislijntypen.

   Opmerking

   Als u de SIG-basislijn niet in de lijst ziet, controleert u of uw tenant voldoet aan de vereisten voor tenanttype en licenties.

4. Selecteer Profiel maken.

5. Op het tabblad Basisfuncties :

   • Voer een beschrijvende naam in voor het profiel, zoals STIG-audit - Windows-clients.
   • Voeg desgewenst een beschrijving toe om het doel en de reikwijdte van dit auditprofiel te verduidelijken.

6. Op het tabblad Configuratie-instellingen is geen configuratie vereist. Op dit tabblad wordt bevestigd dat het profiel aanbevolen instellingen bevat van de huidige SIG-versie en dat door het toewijzen van het profiel controle van deze instellingen op doelapparaten mogelijk is.

   Opmerking

   Met de controlebasislijn van STIG worden alle instellingen in de basislijn als één profiel gecontroleerd. U kunt geen afzonderlijke instellingen selecteren of wijzigen. De controleregels en de bijbehorende verwachte waarden worden gedefinieerd door DISA in de openbaar beschikbare SCAP-benchmarkbestanden, niet door Intune.

7. Optioneel kunt u op het tabblad Bereiktags bereiktags toevoegen om te bepalen welke beheerders dit profiel kunnen zien.

8. Selecteer op het tabblad Opdrachten de apparaatgroepen die u wilt controleren op basis van de STIG-basislijn. Je kunt je richten op alle apparaten of op specifieke groepen.

9. Controleer uw instellingen op het tabblad Controleren + maken en selecteer vervolgens Maken.

Nadat u het profiel hebt gemaakt en aan groepen hebt toegewezen, evalueert Intune de beoogde apparaten op basis van de SIG-basislijn wanneer apparaten worden ingecheckt. De gegevens van het controlerapport worden ingevuld naarmate de apparaten de beoordelingsresultaten rapporteren. Het kan tot 24 uur duren voordat de eerste resultaten voor nieuwe doelapparaten worden weergegeven.

Controleresultaten van STIG beoordelen

Nadat apparaten zijn ingecheckt, kunt u controleresultaten bekijken via de weergave Controlerapport in het Intune-beheercentrum.

1. Ga naarBasislijnen voor eindpuntbeveiliging> en selecteer Microsoft Windows 11 STIG SCAP-benchmark.

2. Selecteer het controleprofiel dat u wilt controleren.

3. Selecteer Controlerapport om de rapportweergave te laden. Mogelijk moet u de eerste keer Genereren selecteren om te beginnen met het invullen van gegevens.

Status van apparaattoewijzing

In het statusrapport Apparaattoewijzing worden alle apparaten weergegeven waarop het beleid is gericht, inclusief apparaten met een beleidstoewijzingsstatus in behandeling. Gebruik dit rapport om te controleren welke apparaten het auditprofiel hebben ontvangen en om de voortgang van de opdracht bij te houden.

Auditrapport

Het controlerapport laat zien of apparaatwaarden voldoen aan de aanbevolen waarden voor instellingen in de basislijnversie. Dit rapport biedt een overzicht per instelling voor alle beoogde apparaten, zodat je snel kunt bepalen welke STIG-regels de hoogste foutpercentages hebben en prioriteit kunt geven aan herstelinspanningen. Elke rij vertegenwoordigt een enkele STIG-regel en laat zien hoeveel apparaten zijn geslaagd, mislukt of andere statussen voor die regel hebben gerapporteerd.

Het rapport bevat de volgende kolommen:

U kunt het rapport filteren op ernst om u op specifieke gebieden te richten. Gebruik het zoekveld om specifieke instellingen te vinden op naam of verwijzings-id.

Inzoomen per apparaat

Selecteer het aantal apparaten voor een regel, zoals het aantal onder Succesvolle apparaten, om een gedetailleerde weergave voor die regel te openen. De weergave voor inzoomen bevat:

• Een overzichtsbalk met het aantal apparaten met elke status: In behandeling, Niet van toepassing, Geslaagd, Fout, Conflict en Totaal
• Een apparatenlijst waarin het auditresultaat voor elk doelapparaat wordt weergegeven. U kunt de lijst filteren op status, zoeken naar specifieke apparaten en de resultaten exporteren.

De apparatenlijst bevat de volgende kolommen:

Waarden controlestatus

Elk apparaat wordt per instelling geëvalueerd en krijgt een van de volgende statuswaarden toegewezen:

De XCCDF-toewijzingskolom laat zien hoe elke Intune-status wordt toegewezen aan de NIST XCCDF-resultaatcategorieën die worden gebruikt in formele DISA-rapportage aan auditors.

Auditgegevens exporteren

U kunt controleresultaten exporteren met behulp van de volgende methoden:

• Graph API-bulkexport (aanbevolen): gebruik de Intune-rapportexport-API om alle STIG-auditgegevens voor een tenant in één taak te downloaden. Deze methode is het meest efficiënt voor grootschalige rapportage of rapportage over tenants heen. Zie voor meer informatie SIG-controlegegevens bulksgewijs exporteren.
• CSV-export: gebruik de optie Exporteren in de weergave Controlerapport om resultaten per apparaat te downloaden voor afzonderlijke regels.
• Graph API per instelling — Gebruik de Microsoft Graph API-rapporteindpunten in cache om controlegegevens per instelling op te halen. Deze benadering is handig voor gerichte zoekacties, maar vereist veel API-aanroepen voor volledige basislijnexports. Zie De Graph API voor STIG-auditrapporten gebruiken voor meer informatie.

Actualiteit van de gegevens

De gegevens van het controlerapport zijn niet in realtime. Het rapporteren van gegevens kan één tot twee incheckcycli van apparaten achter de implementatie van het beleid achterblijven. Na de eerste evaluatieperiode voor nieuwe beoogde apparaten vernieuwt het systeem de auditgegevens op basis van de volgende cyclus:

• Elk apparaat evalueert STIG-regels lokaal met regelmatige tussenpozen.
• Apparaten controleren regelmatig de Intune service om resultaten te rapporteren.
• Afhankelijk van het tijdstip van de evaluatiecyclus en het inchecken van het apparaat, kan er een vertraging van één tot twee incheckcycli zitten tussen de evaluatie van het apparaat en de bijgewerkte gegevens die in het auditrapport worden weergegeven.

Als u het rapport wilt vernieuwen met de meest recente beschikbare gegevens, gebruikt u de knop Opnieuw genereren in het controlerapport.

De Graph API gebruiken voor SIG-controlerapporten

U kunt de Microsoft Graph API gebruiken om via programmacode SIG-controlegegevens op te halen. Deze aanpak is handig voor het integreren van auditresultaten met externe beoordelingstools, het automatiseren van STIG-rapportageworkflows of het aggregeren van beoordelingsgegevens over meerdere tenants.

STIG-auditgegevens bulksgewijs exporteren

Voor organisaties die alle STIG-auditgegevens in één keer moeten exporteren, gebruikt u de Intune-rapportexport-API in plaats van het per instelling in de cache opgeslagen rapportpatroon dat in de volgende secties wordt beschreven. De export-API verschilt op drie manieren:

• Geen paginering — Retourneert de volledige gegevensset in één downloadbaar bestand in plaats van overslaan/boven paging te vereisen voor meerdere aanvragen.
• Geen iteratie per instelling : haalt resultaten op voor alle instellingen in één taak. Voor het in de cache opgeslagen rapportpatroon zijn drie API-aanroepen per SettingId vereist (maken, peilen, ophalen). Voor een basislijn met 197 STIG-regels is dat ten minste 591 API-aanroepen voor één tenant. De export-API doet dit in totaal in twee tot drie aanroepen.
• Levering van blobopslag: resultaten worden weggeschreven naar een tijdelijke blob-URL en gedownload als een ZIP/CSV, in plaats van geretourneerd in de HTTP-antwoordtekst. Hiermee kunnen grote gegevenssets (honderdduizenden rijen voor apparaatinstellingen) zonder time-outs worden verwerkt.

Zie Rapporten exporteren Intune met behulp van Graph API's voor meer informatie over het export-API-patroon, waaronder de aanvraagparameters en beperkingslimieten.

Bij het bulksgewijs exporteren wordt het exportJobs eindpunt gebruikt en wordt een patroon gevolgd. Alle oproepen gebruiken het /beta/ eindpunt.

1. Verifieer met Microsoft Graph voor de doeltenant.

2. Maak de exporttaak met een POST-verzoek om .https://graph.microsoft.com/beta/deviceManagement/reports/exportJobs Gebruik de IndustryBaselinePerSettingDeviceAuditList rapportnaam en selecteer de kolommen die u nodig hebt:

   POST https://graph.microsoft.com/beta/deviceManagement/reports/exportJobs
   
   {
       "reportName": "IndustryBaselinePerSettingDeviceAuditList",
       "filter": "(PolicyId eq '{PolicyId}')",
       "format": "csv",
       "select": [
           "PolicyId",
           "SettingId",
           "DeviceId",
           "MaxSettingStatus",
           "UserId",
           "DeviceName",
           "PspdpuLastModifiedTimeUtc"
       ]
   }
   

   Waar {PolicyId} is de GUID van uw STIG Audit-profiel. Als u de PolicyId wilt vinden, raadpleegt u De PolicyId ophalen. Het antwoord bevat een id waarde voor de exporttaak.

3. Poll de taakstatus met een GET-verzoek totdat status het resultaat is completed:

   GET https://graph.microsoft.com/beta/deviceManagement/reports/exportJobs('{exportJobId}')
   

   De locatie {exportJobId} van de id waarde die is geretourneerd in de vorige stap.

4. Wanneer de taak is voltooid, bevat het antwoord een url veld met een tijdelijke blobopslagkoppeling. Download het ZIP-bestand vanaf die URL. Het ZIP-bestand bevat een CSV-bestand met alle STIG-auditresultaten voor de tenant.

Metagegevens van de basislijn ophalen

Begin met het ophalen van metagegevens over de SIG-basislijnsjabloon. U hebt de sjabloon id in dit antwoord nodig om de PolicyId in de volgende stap op te zoeken.

GET /beta/deviceManagement/templates?$filter=templateFamily eq 'baseline'

Het antwoord bevat de volgende velden voor de STIG-basislijnsjabloon:

De PolicyId ophalen

Voordat u de rapport-API's kunt aanroepen, hebt u de beleids-id (GUID) van uw STIG Audit-profiel nodig. U kunt de PolicyId vinden in het beheercentrum of programmatisch ophalen via de Graph API.

• Beheer centrum: open het controlebeleid STIG in het Intune-beheercentrum en kopieer de GUID van de URL na /policyID/. Deze GUID is tenantspecifiek.

• Graph API: gebruik de sjabloon id uit de vorige sectie om alle beleidsregels weer te geven die op basis van die sjabloon zijn gemaakt:

  GET /beta/deviceManagement/configurationPolicies?$filter=templateReference/templateId eq '{templateId}'
  

  Waar {templateId} wordt de sjabloon-id opgehaald in de vorige sectie (bijvoorbeeld c64bf257-bce5-4c4d-8ad8-03222f13d84c_1). Het id veld in elk geretourneerd beleid is de PolicyId die moet worden gebruikt in de API-aanroepen van het rapport.

Het auditoverzicht per beleid ophalen

Nadat u de beleids-id hebt, kunt u een overzicht ophalen van alle SIG-instellingen met het aantal apparaten dat voor elke regel is goedgekeurd. In dit rapport worden dezelfde gegevens weergegeven als in de weergave Controlerapport in het beheercentrum.

Voor het rapport per beleid wordt een patroon in drie stappen gebruikt: maak een rapportconfiguratie in cache, controleer de status ervan en haal de resultaten op.

Stap 1: De rapportconfiguratie voor de cache maken:

POST /beta/deviceManagement/reports/cachedReportConfigurations

{
  "id": "IndustryBaselinePerSettingDeviceAuditSummary_<PolicyId>",
  "filter": "(PolicyId eq '<PolicyId>')",
  "orderBy": [],
  "select": [
    "SettingName",
    "SettingId",
    "StigRuleId",
    "StigSeverity",
    "NumberOfCompliantDevices"
  ]
}

Stap 2: De rapportstatus controleren (herhaal dit totdat de status is voltooid):

GET /beta/deviceManagement/reports/cachedReportConfigurations('IndustryBaselinePerSettingDeviceAuditSummary_<PolicyId>')

Stap 3: De resultaten ophalen:

POST /beta/deviceManagement/reports/getCachedReport

{
  "id": "IndustryBaselinePerSettingDeviceAuditSummary_<PolicyId>",
  "filter": "(PolicyId eq '<PolicyId>')",
  "orderBy": [],
  "select": [
    "SettingName",
    "SettingId",
    "StigRuleId",
    "StigSeverity",
    "NumberOfCompliantDevices"
  ],
  "skip": 0,
  "top": 50
}

De antwoordkolommen bevatten:

Apparaatgegevens per instelling ophalen

Gebruik het rapport per instelling om te bepalen welke apparaten al dan niet slagen voor een specifieke STIG-regel. In dit rapport wordt hetzelfde patroon met drie stappen gevolgd. U hebt zowel de PolicyId als de SettingId nodig (opgehaald uit de rapportresultaten per beleid).

Stap 1: De rapportconfiguratie voor de cache maken:

POST /beta/deviceManagement/reports/cachedReportConfigurations

{
  "id": "IndustryBaselinePerSettingDeviceAuditList_<PolicyId>",
  "filter": "(PolicyId eq '<PolicyId>') and (SettingId eq '<SettingId>')",
  "orderBy": [],
  "select": [
    "DeviceName",
    "MaxSettingStatus",
    "PspdpuLastModifiedTimeUtc"
  ]
}

Stap 2: controleer de rapportstatus:

GET /beta/deviceManagement/reports/cachedReportConfigurations('IndustryBaselinePerSettingDeviceAuditList_<PolicyId>')

Stap 3: De resultaten ophalen:

POST /beta/deviceManagement/reports/getCachedReport

{
  "id": "IndustryBaselinePerSettingDeviceAuditList_<PolicyId>",
  "filter": "(PolicyId eq '<PolicyId>') and (SettingId eq '<SettingId>')",
  "orderBy": [],
  "select": [
    "DeviceName",
    "MaxSettingStatus",
    "PspdpuLastModifiedTimeUtc"
  ],
  "skip": 0,
  "top": 50
}

De antwoordkolommen bevatten:

Inzicht krijgen in alleen auditgedrag

De controlebasislijn van STIG werkt anders dan andere beveiligingsbasislijnen van Intune:

Omdat de STIG-auditbasislijn geen configuratie naar apparaten pusht, is deze niet in strijd met ander beleid of andere basislijnen van Intune. U kunt het veilig implementeren naast uw bestaande configuratiebasislijnen, nalevingsbeleid en apparaatconfiguratieprofielen.

Controlebevindingen van STIG herstellen

De STIG-auditbasislijn identificeert hiaten in de configuratie, maar lost deze niet op. Gebruik de volgende methoden om apparaten compatibel te maken:

• Instellingencatalogusprofielen — Catalogusprofielen voor instellingen maken of bijwerken in Intune om specifieke instellingen af te dwingen die door de STIG-audit zijn geïdentificeerd. Deze methode wordt aanbevolen voor STIG-herstel.
• Basislijnen voor Intune-beveiliging: de beveiligingsbasislijn van Windows MDM dwingt veel instellingen af die overlappen met de STIG-vereisten.
• Nalevingsbeleid : gebruik nalevingsbeleid om vereisten te definiëren en actie te ondernemen wanneer apparaten niet aan de vereisten voldoen.
• Groepsbeleid (hybride omgevingen): gebruik voor gezamenlijk beheerde omgevingen groepsbeleid voor instellingen die nog niet beschikbaar zijn via Intune.

STIG-regels die handmatige verificatie vereisen

Sommige STIG-regels kun je niet automatisch evalueren omdat ze fysieke inspectie, administratieve beoordeling of verificatie van voorwaarden vereisen die de configuratieserviceproviders van het apparaat niet kunnen detecteren. Het controleverslag sluit deze regels uit. Beoordeel ze via afzonderlijke handmatige procedures. Uw organisatie moet een proces instellen om de naleving van deze regels te evalueren en te documenteren.

Voor de volgende STIG-regels is handmatige verificatie vereist:

Bekende beperkingen

• Alleen audit: de basislijn van de STIG-audit dwingt geen instellingen af en herstelt deze niet. Gebruik Instellingencatalogusprofielen voor configuratie.
• Geen aangepaste basislijnen — U kunt geen aangepaste STIG-profielen uploaden. De basislijn omvat de volledige set STIG-regels voor de ondersteunde benchmark.
• Geen werkelijke apparaatwaarden : in het controlerapport wordt het resultaat van elke regelcontrole weergegeven wanneer deze is geslaagd of afgekeurd, maar niet de werkelijke configuratiewaarde op het apparaat.
• Eén basislijnversie : u kunt alleen de nieuwste ondersteunde basislijnversie gebruiken om nieuwe controleprofielen te maken. U kunt geen profielen maken op basis van oudere basislijnversies. Profielen die u eerder hebt gemaakt met een oudere versie, kunnen echter nog steeds worden uitgevoerd.
• Alleen GCC High - De STIG Audit-basislijn is niet beschikbaar in commerciële, GCC- of DoD-cloudomgevingen.
• Profiel maken met alleen UX: u moet STIG-controleprofielen maken via het Intune-beheercentrum. API-gebaseerde profielen maken wordt niet ondersteund.
• Gegevenslatentie — Auditgegevens zijn niet realtime. Er kan een vertraging van enkele uren zitten tussen een apparaatevaluatie en de gegevens die in het rapport worden weergegeven. Zie Actualiteit van gegevens voor meer informatie.

Veelgestelde vragen

Dwingt de STIG Audit-basislijn instellingen af op apparaten?

Nee. De STIG-auditbasislijn is alleen audit. Het evalueert de huidige apparaatconfiguratie en rapporteert of elk apparaat voldoet aan de aanbevolen STIG-waarden. Instellingen worden niet gewijzigd of afgedwongen. Als u bevindingen wilt herstellen, configureert u de juiste beleidsregels met behulp van de Instellingencatalogus of andere Intune beleidstypen.

Welke SIG-versie gebruikt de basislijn?

De eerste basislijncontroles ten opzichte van de Microsoft Windows 11 STIG SCAP-benchmark, versie 2, release 7 (benchmarkdatum: 5 januari 2026). Wanneer Intune een nieuwere versie beschikbaar maakt, moet u een nieuw controleprofiel maken of uw bestaande profiel bijwerken om die nieuwe versie te gebruiken.

Kan ik de STIG Audit-basislijn gebruiken in een commerciële cloudtenant?

Nee. De STIG Audit-basislijn is alleen beschikbaar voor GCC High-tenants .

Kan ik aanpassen welke STIG-regels worden gecontroleerd?

Nee. De STIG Audit baseline evalueert alle regels in de ondersteunde benchmark als één profiel. Het is niet mogelijk om een subset van regels voor controle te selecteren. CAT I-, CAT II- en CAT III-regels zijn allemaal opgenomen in één basislijn - er zijn geen afzonderlijke profielen per ernstcategorie.

Is de SIG-auditbaseline in strijd met andere uitgangswaarden of beleidslijnen?

Nee. Omdat de STIG-auditbasislijn alleen-lezen is en de configuratie niet naar apparaten wordt gepusht, is deze niet in strijd met andere Intune-basislijnen, nalevingsbeleid of apparaatconfiguratieprofielen.

Hoe kan ik de PolicyId vinden voor Graph API-aanroepen?

Open het controlebeleid STIG in het Intune-beheercentrum en kopieer de GUID van de URL na /policyID/. U kunt de PolicyId ook programmatisch ophalen via de Graph API. Zie De PolicyId ophalen voor beide methoden.

Kan ik SIG-auditgegevens van meerdere tenants samenvoegen?

Ja. Gebruik de Graph API om auditbeleidsregels programmatisch te ontdekken en auditgegevens op te halen voor tenants. Instellings-id's zijn globaal consistent in alle tenants voor dezelfde STIG-sjabloonversie, zodat u de resultaten kunt afstemmen op de instelling. Beleids-id's zijn tenantspecifiek en u moet deze per tenant vinden. Zie De PolicyId ophalen voor meer informatie.

Verwante onderwerpen

• Overzicht van beveiligingsbasislijnen: meer informatie over alle beschikbare Intune-beveiligingsbasislijnen.
• Basislijnprofielen voor beveiliging maken: informatie over het implementeren van basislijnen voor configuraties in Intune.
• Controleer uw basislijnen : controleer de nalevingsstatus volgens de basislijn.
• Microsoft Intune voor US Government GCC High en DoD - Meer informatie over de GCC High-service van Intune.
• DISA STIGs - Toegang tot de volledige STIG bibliotheek vanuit DISA.
• DISA SCAP-benchmarks - Download de SCAP-benchmarkbestanden die worden gebruikt om STIG-auditprofielen te genereren.