Zero Trust-implementatieaanpak met Microsoft Intune

Microsoft Intune is een oplossing voor het beheer van mobiele apparaten die het Zero Trust-traject van uw organisatie ondersteunt.

Zero Trust is geen product of service. In plaats daarvan is het een moderne cyberbeveiligingsstrategie die uitgaat van geen impliciet vertrouwen, zelfs niet binnen het bedrijfsnetwerk. In plaats van gebruikers, apparaten of applicaties standaard te vertrouwen, verifieert een Zero Trust-benadering expliciet elke toegangsaanvraag, beoordeelt continu risico's en dwingt toegang met minimale privileges af in de hele digitale omgeving.

De kernprincipes van Zero Trust zijn onder meer:

Expliciet controleren Toegang met minimale machtigingen gebruiken Ga ervan uit dat de inbreuk niet klopt
Verifieer en autoriseer altijd op basis van alle beschikbare datapunten. Beperk gebruikerstoegang met Just-In-Time en Just-Enough-Access (JIT/JEA), op risico's gebaseerd adaptief beleid en gegevensbescherming. Minimaliseer de straal en de toegang tot het segment. Controleer end-to-endversleuteling en gebruik analyses om zichtbaarheid te krijgen, bedreigingsdetectie te stimuleren en de verdediging te verbeteren.

Waarom eindpunten beheren voor Zero Trust?

De moderne onderneming kent een ongelooflijk grote diversiteit aan eindpunten die toegang hebben tot organisatiegegevens. Gebruikers werken vanaf elke locatie, vanaf elk apparaat, meer dan ooit tevoren. Dit creëert een enorm aanvalsoppervlak en endpoints kunnen gemakkelijk de zwakste schakel in je Zero Trust-beveiligingsstrategie worden.

Hoewel organisaties doorgaans proactief zijn in het beschermen van pc's tegen kwetsbaarheden en aanvallen, worden mobiele apparaten vaak niet bewaakt en zonder bescherming. Inzicht krijgen in eindpunten die toegang hebben tot uw bedrijfsbronnen is de eerste stap in uw strategie voor Zero Trust-apparaten.

Als u wilt voorkomen dat uw gegevens worden blootgesteld aan risico's, moet u elk eindpunt controleren op risico's en gedetailleerde toegangscontroles toepassen om het juiste toegangsniveau te bieden op basis van het organisatiebeleid. Als bijvoorbeeld een persoonlijk apparaat is gekraakt kunt u de toegang blokkeren om te voorkomen dat bedrijfstoepassingen worden blootgesteld aan bekende beveiligingsproblemen.

Voor een overzicht van de manier waarop Intune de principes van Zero Trust ondersteunt (expliciet controleren, toegang met minimale bevoegdheden gebruiken en schending veronderstellen), raadpleegt u Zero Trust met Microsoft Intune.

Voortgang van de implementatie van Zero Trust met zeven lagen

Voor het opbouwen van een uitgebreide Zero Trust-beveiligingshouding voor apparaten moet geleidelijk beveiligingslagen worden geïmplementeerd. Elke laag bouwt voort op de vorige, te beginnen met basisgegevensbescherming en geavanceerde bedreigingsdetectie en preventie van gegevensverlies.

De volgende tabel toont de aanbevolen implementatievoortgang voor Zero Trust-apparaatbeveiliging:

Laag Beschermingsvermogen Wat je bereikt Vereisten Licentievereisten
1 Beleid voor app-beveiliging Beveilig organisatiegegevens in apps zonder dat het apparaat hoeft te worden ingeschreven. Legt de basis voor BYOD-scenario's (Bring-Your-Own-Device). Ondersteunde apps (Microsoft 365-apps, apps met ingeschakelde beleidsregels) Microsoft 365 E3, E5, F1, F3, F5
2 Apparaten registreren Een relatie tot stand brengen tussen gebruiker, apparaat en Intune. Schakel apparaatbeheer en inzicht in eindpunten in die toegang hebben tot bronnen. Platformspecifieke vereisten (MDM-autoriteit, certificaten) Microsoft 365 E3, E5, F1, F3, F5
3 Nalevingsbeleidsregels Definieer de minimumvereisten waaraan apparaten moeten voldoen (wachtwoordbeveiliging, versie van besturingssysteem, versleuteling). Markeer apparaten als compatibel of niet-compatibel. Apparaten die zijn geregistreerd bij laag 2 Microsoft 365 E3, E5, F3, F5
4 Gezonde en compatibele apparaten vereisen Implementeer bedrijfsbeleid voor Zero Trust-identiteit en apparaattoegang. Werk samen met het identiteitsteam om naleving af te dwingen via voorwaardelijke toegang, waarbij toegang wordt geblokkeerd vanaf apparaten die niet aan de beveiligingsvereisten voldoen. Nalevingsbeleid uit laag 3, coördinatie met identiteitsbeheerders Microsoft 365 E3, E5, F3, F5
5 Configuratieprofielen Configureer apparaatinstellingen om de beveiliging te verbeteren. Beveiligingsbasislijnen implementeren. Verplaats de beveiligingsfuncties van groepsbeleid naar cloudbeleid. Geregistreerde apparaten uit laag 2 Microsoft 365 E3, E5, F3, F5
6 Bewaking van apparaatrisico's Integreer met Microsoft Defender voor Eindpunt om apparaatrisico's te bewaken, bedreigingen te detecteren en toegang te blokkeren op basis van risiconiveau. Beveiligingsbasislijnen implementeren. Installatie van Microsoft Defender voor Eindpunt, coördinatie met het team voor bedreigingsbeveiliging Microsoft 365 E5 E5, F5
7 Eindpunt-DLP Bescherm gevoelige gegevens op eindpunten met Microsoft Purview-preventie van gegevensverlies. Bewaak en beheer bestandsbewerkingen op basis van gevoeligheidslabels. Microsoft Purview-configuratie, apparaten die zijn toegevoegd aan MDE in laag 6 Microsoft 365 E5, E5-nalevingsinvoegtoepassing, F5-nalevingsinvoegtoepassing

De zeven implementatielagen begrijpen

In deze sectie worden elke laag in de voortgang van de Zero Trust-implementatie uitgelegd. De tabel met zeven lagen laat zien wat elke laag bereikt, maar deze beschrijvingen bieden context, voorbeelden en verduidelijking van belangrijke concepten.

App-beveiliging zonder registratie (Laag 1)

App-beveiligingsbeleid beschermt organisatiegegevens binnen apps en bepaalt hoe gebruikers werkgegevens openen en delen. Laag 1 is gericht op het beschermen van gegevens op onbeheerde persoonlijke apparaten zonder dat registratie is vereist, maar app-beveiligingsbeleid kan ook worden toegepast op geregistreerde apparaten voor uitgebreide verdediging.

Gebruikers installeren apps zoals Outlook of Teams vanuit de Store, melden zich aan met hun werkaccount en het beleid voor gegevensbescherming is automatisch van toepassing. Deze benadering wordt gewoonlijk MAM zonder inschrijving of BYOD (Bring-Your-Own-Device) genoemd.

Voorbeeld: Op de persoonlijke iPhone van een gebruiker is Outlook geïnstalleerd. Uw app-beveiligingsbeleid vereist een pincode voor toegang tot werk-e-mail, voorkomt het kopiëren van werkgegevens naar persoonlijke apps en blokkeert het opslaan van e-mailbijlagen in persoonlijke cloudopslag. De gebruiker behoudt de volledige controle over zijn apparaat terwijl de bedrijfsgegevens beschermd blijven.

Tip

App-beveiliging beleid kan worden geïmplementeerd op zowel niet-ingeschreven apparaten (laag 1) als geregistreerde apparaten (laag 2+) voor extra beveiliging op app-niveau buiten apparaatbeheer.

Zie Implementatierichtlijnen: beleid App-beveiliging voor meer informatie.

Apparaatinschrijving (laag 2)

Inschrijving registreert apparaten bij Intune, waardoor uitgebreid apparaatbeheer mogelijk is. Intune implementeert apps, configureert instellingen, dwingt nalevingsbeleid af en biedt volledig inzicht in de status van het apparaat.

Voorbeeld: Een bedrijfslaptop wordt geregistreerd bij Intune tijdens de installatie van Windows Autopilot. In Intune wordt Wi-Fi geconfigureerd, worden certificaten geïmplementeerd, worden beveiligingsbasislijnen geïnstalleerd, wordt BitLocker-versleuteling afgedwongen en wordt de naleving van uw wachtwoordbeleid gecontroleerd.

Zie Implementatierichtlijnen: Apparaten inschrijven voor meer informatie.

Nalevingsbeleid (laag 3)

In compliance-beleidsregels zijn beveiligingsvereisten gedefinieerd waaraan apparaten moeten voldoen om toegang te krijgen tot organisatieresources. Dit beleid evalueert de status van apparaten en markeert apparaten als compatibel of niet-compatibel op basis van instellingen die u configureert, zoals wachtwoordvereisten, besturingssysteemversies, versleutelingsstatus en jailbreakdetectie.

Voorbeeld: Uw nalevingsbeleid vereist dat BitLocker op Windows-apparaten is ingeschakeld, een minimale versie van het besturingssysteem wordt uitgevoerd en een wachtwoord van ten minste acht tekens gebruiken. De laptop van een gebruiker die BitLocker mist, is gemarkeerd als niet-compatibel. De gebruiker ontvangt meldingen over de vereiste en heeft tijd om te herstellen voordat de toegang wordt geblokkeerd (als u laag 4 afdwingt).

Tip

Met nalevingsbeleid wordt de status van het apparaat beoordeeld, maar wordt de toegang niet automatisch geblokkeerd. Ze werken met voorwaardelijke toegang (laag 4) om nalevingsvereisten af te dwingen.

Zie Implementatierichtlijnen: Nalevingsbeleid voor meer informatie.

Gezonde en compatibele apparaten vereisen (Laag 4)

Deze laag implementeert Zero Trust-identiteits- en apparaattoegangsbeleid op ondernemingsniveau door te vereisen dat apparaten gezond en compatibel zijn voordat toegang wordt verleend tot organisatiebronnen. U werkt samen met uw identiteitsteam aan beleidsregels voor voorwaardelijke toegang in Microsoft Entra ID waarmee de nalevingsbeslissingen van laag 3 worden afgedwongen.

Deze laag vertegenwoordigt de verschuiving van beoordeling naar handhaving. Nadat apparaten met nalevingsbeleid zijn gemarkeerd als compatibel of niet-compatibel, wordt dat signaal door het beleid voor voorwaardelijke toegang gebruikt om toegang tot e-mail, SharePoint, Teams en andere beveiligde bronnen te verlenen of te blokkeren.

Voorbeeld: Uw identiteitsteam configureert een beleid voor voorwaardelijke toegang dat vereist dat apparaten worden gemarkeerd als compatibel voordat gebruikers toegang krijgen tot Microsoft 365-apps. Een gebruiker probeert Outlook te openen vanaf een Windows-apparaat dat wordt beheerd door Intune. Het apparaat voldoet niet aan een compatibiliteitsvereiste van Intune. Schijfversleuteling (BitLocker) is niet ingeschakeld. Omdat het apparaat niet is gemarkeerd als compatibel, blokkeert Voorwaardelijke toegang de toegang tot Outlook en wordt de gebruiker gevraagd het probleem op te lossen. Nadat de gebruiker BitLocker heeft ingeschakeld, rapporteert het apparaat de bijgewerkte compliantiestatus aan Intune. Zodra het apparaat is beoordeeld als compatibel, wordt de aanmelding opnieuw geëvalueerd door voorwaardelijke toegang en wordt de toegang tot Outlook hersteld.

Opmerking

Deze laag vereist afstemming met uw identiteitsteam. Terwijl het Intune-beheercentrum het knooppunt voor voorwaardelijke toegang van Microsoft Entra ID presenteert, wordt beleid voor voorwaardelijke toegang gemaakt in Entra ID, niet in Intune. Zie het gedeelte Coördinatie van identiteitsteam voor de werkstroom.

Zie Beheerde apparaten met voorwaardelijke toegang vereisen voor meer informatie.

Configuratieprofielen (laag 5)

Configuratieprofielen configureren apparaatinstellingen om de beveiliging te verbeteren, functies in te schakelen en consistente configuraties te creëren voor uw machinepark. Terwijl met nalevingsbeleid (laag 3) wordt beoordeeld of apparaten aan de vereisten voldoen, implementeren configuratieprofielen proactief instellingen om ervoor te zorgen dat apparaten correct worden geconfigureerd.

U kunt instellingen implementeren via apparaatconfiguratieprofielen of eindpuntbeveiligingsbeleid. Apparaatconfiguratieprofielen ondersteunen uitgebreide scenario's, waaronder Wi-Fi- en VPN-profielen, certificaatimplementatie, wachtwoordbeleid, instellingen voor schijfversleuteling en groepsbeleid equivalenten. Eindpuntbeveiligingsbeleid biedt gestroomlijnde ervaringen die specifiek zijn gericht op beveiligingsinstellingen zoals antivirus, schijfversleuteling, firewall, kwetsbaarheid voor aanvallen verminderen en eindpuntdetectie en -respons.

Voorbeeld: U implementeert een Windows-beveiligingsbasislijn op bedrijfslaptops. Met de basislijn wordt Windows Firewall ingeschakeld, wordt BitLocker-versleuteling geconfigureerd, worden oudere protocollen uitgeschakeld, worden regels voor het verminderen van kwetsbaarheid voor aanvallen ingeschakeld en worden tientallen andere beveiligingsinstellingen geconfigureerd. Gebruikers hoeven deze instellingen niet handmatig te configureren Intune ze automatisch worden toegepast.

Tip

Beveiligingsbasislijnen zijn vooraf geconfigureerde profielen die de door Microsoft aanbevolen beveiligingsinstellingen bevatten. Gebruik ze als uitgangspunt en pas ze vervolgens aan op basis van de behoeften van uw organisatie.

Zie Configuratieprofielen implementeren voor meer informatie.

Bewaking van apparaatrisico's (Laag 6)

Apparaatrisicobewaking integreert Microsoft Defender voor Eindpunt met Intune om continue bedreigingsdetectie, risicobeoordeling van apparaten en op risico's gebaseerde toegangscontroles toe te voegen. Deze laag verschuift van statische nalevingscontroles naar dynamische beveiligingsmonitoring die in realtime reageert op actieve bedreigingen.

Wanneer u apparaten aan boord van Microsoft Defender voor Eindpunt brengt, beginnen ze beveiligingstelemetrie en bedreigingsinformatie te rapporteren. Defender wijst aan elk apparaat een risiconiveau toe (beveiligd, laag, gemiddeld, hoog of niet beschikbaar) op basis van gedetecteerde bedreigingen, kwetsbaarheden en beveiligingsstatus. U kunt dit risiconiveau gebruiken in compliancebeleid om toegang vanaf apparaten met een hoog risico te blokkeren of herstelacties te activeren.

Voorbeeld: De laptop van een gebruiker is geïnfecteerd met malware. Microsoft Defender voor Eindpunt detecteert de bedreiging en markeert het apparaat als hoog risico. Uw nalevingsbeleid waarin apparaatrisico's worden geëvalueerd, markeert het apparaat onmiddellijk als niet-compatibel. Voorwaardelijke toegang blokkeert de toegang van gebruikers tot organisatieresources totdat de dreiging is verholpen en het apparaatrisico terugkeert naar een acceptabel niveau.

Tip

Door Defender for Endpoint te integreren met Intune kunt u ook diepere beveiligingsconfiguraties implementeren, waaronder de beveiligingsbaseline van Microsoft Defender voor Eindpunt en geavanceerde instellingen voor bedreigingsbeveiliging, zoals regels voor het verminderen van kwetsbaarheid voor aanvallen, gecontroleerde mappentoegang en netwerkbeveiliging.

Zie Microsoft Defender voor Eindpunt-integratie voor meer informatie.

Preventie van gegevensverlies op eindpunten (laag 7)

Preventie van gegevensverlies van eindpunten maakt gebruik van Microsoft Purview om te voorkomen dat gevoelige gegevens beheerde eindpunten verlaten via kopieer-, afdruk-, upload- of overdrachtsbewerkingen. Terwijl eerdere lagen de toegang tot bronnen beveiligen, beschermt deze laag de gegevens zelf door te bewaken en te controleren hoe gebruikers met gevoelige bestanden omgaan.

Apparaten die zijn toegevoegd aan Microsoft Defender voor Eindpunt in Laag 6, worden automatisch toegevoegd voor Eindpunt-DLP zonder extra Intune-configuratie. Uw complianceteam maakt DLP-beleid in de Microsoft Purview-portal waarin wordt gedefinieerd welke gevoeligheidslabels, bestandstypen of inhoudspatronen beschermende acties activeren.

Voorbeeld: Uw complianceteam maakt een DLP-beleid om te voorkomen dat bestanden met het label 'Vertrouwelijk' worden gekopieerd naar USB-stations of worden geüpload naar persoonlijke cloudopslag. Een gebruiker probeert een vertrouwelijk financieel rapport naar een USB-station te kopiëren. Eindpunt-DLP blokkeert de bewerking en er wordt een melding weergegeven waarin de beperking wordt uitgelegd. Afhankelijk van hoe het complianceteam het beleid heeft geconfigureerd, kan de blokkering absoluut zijn of de gebruiker in staat stellen een zakelijke reden op te geven en verder te gaan. Alle activiteiten worden geregistreerd voor compliantierapportage.

Opmerking

Als Intune-beheerder is uw rol voor Endpoint DLP beperkt tot het verzekeren dat apparaten worden toegevoegd aan Microsoft Defender voor Eindpunt (laag 6). Het DLP-beleid wordt volledig gemaakt en beheerd in de Microsoft Purview-portal door uw nalevingsteam.

Zie Meer informatie over Endpoint DLP en Aan de slag met Endpoint DLP voor meer informatie.

Inschrijving versus onboarding

Bij het implementeren van deze lagen werkt u met twee verwante, maar verschillende concepten: inschrijving en onboarding. Als u het verschil begrijpt, wordt het duidelijk wat er op elke laag gebeurt.

Inschrijving (Laag 2) registreert apparaten bij Intune voor uitgebreid apparaatbeheer. Met onboarding (lagen 6-7) worden apparaten geconfigureerd om informatie te rapporteren aan specifieke services, zoals Microsoft Defender voor Eindpunt of Microsoft Purview.

Inschrijving Onboarding
Functie Hiermee registreert u apparaten voor beheer met Intune. Intune beheert het volledige apparaat, inclusief apps, instellingen en beleid. Configureert apparaten om informatie te delen met specifieke Microsoft 365-services (momenteel Microsoft Defender voor Eindpunt en Microsoft Purview).
Bereik Volledig apparaatbeheer: instellingen configureren, apps implementeren, naleving afdwingen, apparaatstatus controleren. Alleen servicespecifieke mogelijkheden. Onboarding bij MDE maakt bijvoorbeeld bedreigingsdetectie mogelijk; onboarding bij Purview maakt DLP mogelijk.
In deze implementatie Laag 2: U registreert apparaten bij Intune-beheer. Laag 6: U brengt apparaten aan boord van Microsoft Defender voor Eindpunt met behulp van Intune.
Laag 7: Apparaten die zijn toegevoegd aan MDE, worden automatisch toegevoegd voor Microsoft Purview Endpoint DLP.
Hoe u dat kunt doen Platformspecifieke inschrijvingsmethoden: deelnemen aan Microsoft Entra (automatische inschrijving), Windows Autopilot, automatische apparaatinschrijving van Apple, handmatige inschrijving. Gebruik Intune om de onboardingconfiguratie te implementeren op geregistreerde apparaten. Apparaten moeten worden ingeschreven bij Intune voordat u ze kunt onboarden naar MDE of Purview.

Opmerking

Onboarding bij Microsoft Defender voor Eindpunt brengt apparaten automatisch aan boord voor Microsoft Purview-mogelijkheden, waaronder Endpoint DLP. Er is geen extra Intune configuratie vereist.

Coördineren met Microsoft 365-teams

Het implementeren van Zero Trust-apparaatbeveiliging vereist coördinatie tussen meerdere teams in uw organisatie. Terwijl u het beleid van Intune beheert, beheren andere teams aanvullende services die samenwerken om beveiliging af te dwingen.

Identiteitsteam (Microsoft Entra ID)

Hun verantwoordelijkheid: Beheer beleid voor voorwaardelijke toegang, configureer verificatievereisten en beheer de Microsoft Entra ID-tenant.

Uw coördinatie:

  • Nadat u app-beveiligingsbeleid (laag 1) hebt gemaakt, werkt u samen met het identiteitsteam aan een beleid voor voorwaardelijke toegang waarvoor goedgekeurde apps zijn vereist.
  • Nadat u een compliancebeleid (laag 3) hebt gemaakt, coördineert u het beleid voor voorwaardelijke toegang waarvoor compatibele apparaten zijn vereist:
    1. U maakt nalevingsbeleid in Intune en wijst dit toe om apparaatvereisten te definiëren.
    2. Identiteitsteam maakt beleid voor voorwaardelijke toegang in het Microsoft Entra-beheercentrum.
    3. In het beleid voor voorwaardelijke toegang wordt gebruikgemaakt van 'Vereisen dat apparaat als compatibel wordt gemarkeerd'.
    4. Zorg ervoor dat beide beleidsregels op dezelfde gebruikersgroepen zijn gericht.
    5. Test samen met het hulpprogramma Voorwaardelijke toegang wat als voordat u handhaving inschakelt.
  • Zie Veelgebruikte manieren om voorwaardelijke toegang te gebruiken voor een gedetailleerde werkstroom.
  • Zie Beheerde apparaten met voorwaardelijke toegang vereisen voor het maken van beleid.

Verwante richtlijnen:Voorwaardelijke toegang met Intune

Bedreigingsbeveiligingsteam (Microsoft Microsoft Defender)

Hun verantwoordelijkheid: Stel de Microsoft Defender voor Eindpunt-service in en beheer deze, onderzoek bedreigingen en beheer SOC-werkstromen (Security Operations Center).

Uw coördinatie:

  • Gebruik Intune om apparaten te onboarden om te Microsoft Defender voor Eindpunt (laag 6)
  • Implementeer zowel de basisbeveiligingsrichtlijn van Windows als de beveiligingsbasislijn van Defender voor eindpunt op beheerde apparaten
  • Apparaatrisicosignalen ontvangen van Defender die worden meegenomen in het nalevingsbeleid
  • Actie ondernemen op Intune-beveiligingstaken die worden gemaakt door Defender-beveiligingsbeheerders voor het herstellen van ontdekte beveiligingsproblemen en onjuiste configuraties
  • Coördineer de reactie op incidenten wanneer bedreigingen worden gedetecteerd op beheerde apparaten

Verwante richtlijnen:

Team voor gegevensbeveiliging en privacy (Microsoft Purview)

Hun verantwoordelijkheid: Definieer een schema voor gegevensgevoeligheid, maak DLP-beleid en beheer nalevingsvereisten in Microsoft Purview.

Uw coördinatie:

  • Zorg ervoor dat apparaten zijn ingebouwd om Endpoint DLP te ondersteunen (automatisch met MDE-onboarding in laag 6)
  • Bepalen welke gebruikersgroepen moeten worden opgenomen in/uitgesloten van DLP-beleid
  • Controleer de zichtbaarheid van het apparaat in de Microsoft Purview-portal
  • Ondersteun gebruikerseducatie wanneer DLP-beleid gegevensbewerkingen blokkeert of ervoor waarschuwt

Opmerking

Als Intune-beheerder is uw rol voor Endpoint DLP beperkt tot het verzekeren dat apparaten worden toegevoegd aan Microsoft Defender voor Eindpunt. Apparaten die zijn toegevoegd aan MDE, worden automatisch geschikt voor DLP zonder extra Intune-configuratie. Het DLP-beleid wordt volledig gemaakt en beheerd in de Microsoft Purview-portal door uw nalevingsteam.

Verwante richtlijnen:

Best practices voor teamoverschrijdende coördinatie

  • Stel regelmatige coördinatievergaderingen in tijdens de eerste implementatie van elke laag.
  • Eigendom van documenten : geef aan welk team welk beleid beheert.
  • Samen testen : gebruik de controlemodus en wat als-hulpprogramma's voordat u besluit dit af te dwingen.
  • Uitlijnen op gebruikersgroepen : zorg voor consistente groepstoewijzingen voor alle services.
  • Plan communicatie: coördineer gebruikersmeldingen wanneer beleid van invloed kan zijn op de gebruikerservaring.
  • Deel controleverantwoordelijkheden - Elk team bewaakt zijn service, maar deelt inzichten over de impact op gebruikers.

Volgende stappen

Aan de slag met Zero Trust-apparaatbeveiliging:

Meer informatie over Zero Trust:

Verken geavanceerde beschermingslagen:

  • Last updated on