Gerenciar a segurança do ponto de extremidade no Microsoft Intune

A segurança do ponto de extremidade no Intune fornece ferramentas focadas para proteger dispositivos e dados no ambiente de trabalho híbrido de hoje. O nó de segurança do Ponto de extremidade no centro de administração agrupa esses recursos em um só lugar, fornecendo aos administradores de segurança um local central para aplicar os princípios de Confiança Zero, proteger contra ransomware e malware, impor requisitos de conformidade e responder a ameaças de segurança em todos os dispositivos gerenciados.

No nó de segurança do Ponto de extremidade, você pode configurar políticas, implantar linhas de base de segurança, integrar-se ao Microsoft Defender para Ponto de Extremidade e gerenciar tarefas de segurança. Essa abordagem consolidada ajuda você a estabelecer rapidamente a proteção, identificar dispositivos em risco, corrigir vulnerabilidades e manter a conformidade sem navegar em perfis de configuração complexos.

Cenários comuns de segurança

Use o nó de segurança do Ponto de extremidade para enfrentar desafios comuns de segurança:

• Proteja-se contra ransomware e malware - Implante políticas antivírus com proteção em tempo real, configure regras de redução de superfície de ataque, habilite o acesso controlado a pastas e aplique linhas de base de segurança. Para obter mais informações, consulte Gerenciar a segurança do dispositivo com políticas de segurança de ponto de extremidade.

• Aplicar princípios de confiança zero – exigir conformidade do dispositivo para acesso ao recurso, integrar com o Acesso Condicional para verificar a postura de segurança, usar sinais de risco do dispositivo do Defender para Ponto de Extremidade, implantar criptografia de disco e impor o acesso com privilégios mínimos com o Gerenciamento de Privilégios de Ponto de Extremidade (EPM). Para obter mais informações, consulte Confiança Zero com o Microsoft Intune.

• Trabalho remoto e híbrido seguro - Monitore a conformidade de dispositivos remotos, integre dispositivos ao Defender para Ponto de Extremidade por meio de políticas EDR, configure políticas de firewall e use o Acesso Condicional para bloquear o acesso de dispositivos não compatíveis. Para obter mais informações, consulte Proteger dados e dispositivos com o Microsoft Intune.

• Atenda aos requisitos de conformidade - Implante configurações de segurança padronizadas usando linhas de base alinhadas às estruturas do setor, monitore o status de conformidade por meio de relatórios e configure ações automatizadas para dispositivos não compatíveis. Para obter mais informações, confira Usar linhas de base de segurança para configurar dispositivos com Windows no Intune.

• Responder a ameaças de segurança – examine as tarefas de segurança da equipe do Defender para Ponto de Extremidade, use ações remotas para corrigir dispositivos em risco, alterne as chaves de criptografia e monitore a detecção de ameaças por meio de painéis. Para obter mais informações, consulte Usar o Intune para corrigir vulnerabilidades identificadas pelo Microsoft Defender para Ponto de Extremidade.

Dashboard de segurança do ponto de extremidade

O dashboard de segurança do ponto de extremidade fornece uma visão consolidada de sua postura de segurança.

Para acessar o dashboard, entre no centro de administração do Microsoft Intune e acesseVisão geralda segurança> do ponto de extremidade.

O dashboard ajuda você a avaliar rapidamente o status de segurança do dispositivo e identificar áreas que exigem atenção. Ele exibe informações de várias áreas de segurança de ponto de extremidade, incluindo antivírus, detecção e resposta de ponto de extremidade e Defender para Ponto de Extremidade:

• Status do conector do Defender para Ponto de Extremidade – exibe o status da conexão entre o Intune e o Defender para Ponto de Extremidade. Se não estiver conectado, confira Conectar o Microsoft Defender para Ponto de Extremidade ao Intune para configurar a integração. O rótulo de status também está vinculado ao portal do Microsoft Defender.

• Dispositivos Windows integrados ao Defender para Ponto de Extremidade – Exibe contagens de dispositivos integrados e não integrados para EDR (detecção e resposta de ponto de extremidade). Selecione Implantar política pré-configurada para integrar dispositivos por meio do Intune ou Integrar dispositivos ao Defender para Ponto de Extremidade para usar o fluxo de trabalho do portal do Defender.

• status do agente antivírus - Exibir detalhes do resumo do relatório de status do Microsoft Defender Antivirus, que também está disponível em Relatórios>(phrasefix)Resumo do Microsoft Defender Antivírus>.

• Outros relatórios de monitoramento – acesse relatórios adicionais do Microsoft Defender Antivírus, incluindo malware detectado e status do firewall. Também há um link para o portal do Defender para dados de integridade de sensores e antivírus.

Recursos de segurança de ponto de extremidade

As seções a seguir fornecem detalhes sobre como cada recurso funciona e links para artigos dedicados para obter diretrizes de configuração. A maioria dos recursos está disponível sem pré-requisitos adicionais. As tarefas de segurança exigem integração com o Defender para Ponto de Extremidade, que é abordado em Configurar integração com o Microsoft Defender para Ponto de Extremidade.

Gerenciamento de dispositivos

A exibição Todos os dispositivos em Segurança do ponto de extremidade exibe todos os dispositivos do seu Microsoft Entra ID que estão disponíveis no Intune. Nessa exibição centralizada, você pode monitorar o status de conformidade do dispositivo em toda a sua organização, fazer uma busca em dispositivos específicos para identificar violações de política e executar ações de correção imediatas, como reiniciar dispositivos, iniciar verificações de malware ou girar chaves de criptografia.

Essa exibição consolidada do dispositivo fornece aos administradores de segurança um único local para avaliar e corrigir problemas de segurança em toda a frota, independentemente da plataforma ou do método de registro. Para obter mais informações, consulte Gerenciar dispositivos com segurança de ponto de extremidade no Microsoft Intune.

Linhas de base de segurança

As linhas de base de segurança fornecem grupos pré-configurados de configurações do Windows com padrões recomendados pelas equipes de segurança da Microsoft. Essas linhas de base permitem que você estabeleça rapidamente uma postura de segurança abrangente alinhada com as melhores práticas do setor e as estruturas de segurança. O Intune dá suporte a várias linhas de base de segurança, incluindo dispositivos Windows, Defender para Ponto de Extremidade, Microsoft Edge e muito mais.

Cada linha de base contém configurações recomendadas pela Microsoft organizadas por área funcional. Você pode implantar linhas de base com configurações padrão ou personalizá-las para atender aos requisitos da sua organização. Para obter mais informações, confira Usar linhas de base de segurança para configurar dispositivos com Windows no Intune.

Tarefas de segurança

As tarefas de segurança permitem a colaboração entre as equipes do Defender para Ponto de Extremidade e do Intune. Quando o Defender para Ponto de Extremidade identifica vulnerabilidades, os administradores de segurança do Defender para Ponto de Extremidade criam tarefas no portal do Defender para Ponto de Extremidade especificando os dispositivos afetados, a vulnerabilidade e as diretrizes de correção. Essas tarefas aparecem no Intune, onde os administradores do Intune as aceitam, implantam políticas ou configurações apropriadas e marcam como concluídas após a verificação da correção. O status de conclusão é sincronizado com o portal do Defender para Ponto de Extremidade para validação.

Esse fluxo de trabalho garante que ambas as equipes permaneçam alinhadas sobre quais dispositivos estão em risco e fornece responsabilidade clara para correção. As tarefas de segurança exigem integração com o Defender para Ponto de Extremidade. Consulte Configurar a integração com o Microsoft Defender para Ponto de Extremidade. Para obter mais informações sobre o fluxo de trabalho, consulte Usar o Intune para corrigir vulnerabilidades identificadas pelo Microsoft Defender para Ponto de Extremidade.

Políticas de segurança de ponto de extremidade

As políticas de segurança do ponto de extremidade fornecem opções de configuração simplificadas para recursos de segurança específicos sem a necessidade de navegação por meio de definições de configuração extensas do dispositivo. Use essas políticas para configurar aspectos de segurança do dispositivo, como antivírus, criptografia de disco, firewall e muito mais. Eles simplificam o gerenciamento de segurança, revelando apenas as configurações relevantes para cada recurso de segurança.

O nó de segurança do Ponto de extremidade também inclui políticas de conformidade do dispositivo e Acesso Condicional. Embora essas políticas não sejam políticas de segurança focadas na configuração de pontos de extremidade, elas são ferramentas essenciais para gerenciar a postura de segurança do dispositivo e controlar o acesso aos recursos corporativos. A segurança do ponto de extremidade também inclui políticas de Gerenciamento de privilégios de ponto de extremidade que permitem impor o acesso com privilégios mínimos em dispositivos Windows.

As políticas de segurança do ponto de extremidade funcionam junto com perfis de configuração de dispositivo e linhas de base de segurança, portanto, entender qual método usar para cada cenário ajuda a evitar conflitos de configuração. Para obter mais informações, consulte Gerenciar a segurança do dispositivo com políticas de segurança de ponto de extremidade.

Políticas de conformidade do dispositivo

As políticas de conformidade de dispositivos estabelecem as condições que os dispositivos e usuários devem atender para acessar recursos corporativos. Essas políticas definem regras de conformidade e avaliam se os dispositivos atendem a esses requisitos. Eles relatam o status de conformidade para o Intune e a ID de Entra.

As regras de conformidade comuns incluem requisitos de versão do sistema operacional, requisitos de senha, condições de integridade do dispositivo (criptografia, detecção de jailbreak), limites de nível de ameaça do Defender para Ponto de Extremidade ou parceiros de Defesa contra Ameaças Móveis e recursos de segurança necessários. As políticas de conformidade também dão suporte a ações de não conformidade executadas em um agendamento, incluindo notificações do usuário, marcação de dispositivos não compatíveis após um período de cortesia, bloqueio remoto ou adição de dispositivos a uma lista de desativação para revisão do administrador.

Quando integrado ao Acesso Condicional do Microsoft Entra, o status de conformidade controla o acesso aos recursos corporativos. O acesso condicional pode usar dados de conformidade para bloquear o acesso para dispositivos gerenciados e dispositivos não gerenciados. Para obter mais informações, consulte Definir regras em dispositivos para permitir o acesso a recursos em sua organização usando o Intune.

Acesso Condicional

As políticas de Acesso Condicional funcionam com o Intune para controlar quais dispositivos e aplicativos podem acessar recursos corporativos. O Intune passa o status de conformidade do dispositivo para o Entra ID, que usa políticas de Acesso Condicional para impor requisitos de acesso. As políticas de Acesso Condicional também podem bloquear o acesso de dispositivos que não são gerenciados usando o Intune e podem usar detalhes de conformidade de parceiros de Defesa contra Ameaças Móveis que você integra ao Intune.

Veja a seguir dois métodos comuns para usar o Acesso Condicional com o Intune:

• Acesso condicional baseado em dispositivo – certifique-se de que somente dispositivos gerenciados e em conformidade possam acessar os recursos de rede.
• Acesso Condicional baseado em aplicativo – use políticas de proteção de aplicativo para gerenciar o acesso aos recursos de rede por usuários em dispositivos que não são gerenciados usando o Intune.

Para obter mais informações, confira Saiba mais sobre o Acesso Condicional e o Intune.

Gerenciamento de privilégios de ponto de extremidade

O Gerenciamento de privilégios de ponto de extremidade impõe o acesso a privilégios mínimos, permitindo que os usuários sejam executados como contas padrão e, ao mesmo tempo, permitindo a elevação temporária para aplicativos aprovados pela TI. Esse recurso de privilégio mínimo reduz a superfície de ataque, impedindo o acesso administrativo geral, mantendo a produtividade do usuário para tarefas que exigem permissões elevadas, como instalar aplicativos, atualizar drivers ou executar diagnósticos do Windows.

Você implanta o Gerenciamento de privilégios de ponto de extremidade criando regras de elevação que definem quais aplicativos podem ser executados com privilégios administrativos e sob quais condições. As regras de elevação dão suporte a vários métodos de validação, incluindo hashes de arquivo, certificados de editor e caminhos de arquivo. Você pode configurar a elevação automática para aplicativos confiáveis, elevação confirmada pelo usuário com requisitos de autenticação opcionais, elevação aprovada por suporte em que os administradores examinam solicitações ou negam regras para bloquear arquivos específicos. O EPM inclui relatórios detalhados para elevações gerenciadas e não gerenciadas, ajudando a identificar padrões de elevação, refinar regras e planejar a transição de usuários de administrador para contas de usuário padrão.

Para obter mais informações, consulte Gerenciamento de privilégios de ponto de extremidade.

Configurar a integração com o Microsoft Defender para Ponto de Extremidade

A integração da Proteção Avançada contra Ameaças do Ponto de extremidade com o Intune desbloqueia recursos adicionais no nó de segurança do Ponto de extremidade que, de outra forma, não estariam disponíveis. Embora o Intune dê suporte à integração com vários parceiros de Defesa contra Ameaças Móveis, o Defender para Ponto de Extremidade oferece a mais ampla integração com o Intune nas plataformas Windows, macOS, iOS e Android.

Os benefícios da integração incluem:

• Tarefas de segurança – colabore entre as equipes do Defender e do Intune para identificar e corrigir vulnerabilidades do dispositivo.
• Integração simplificada de dispositivos – implante políticas EDR do Intune para integrar dispositivos ao Defender para Ponto de Extremidade.
• Sinais de risco do dispositivo – use níveis de ameaça do Defender em políticas de conformidade e políticas de proteção de aplicativo.
• Configuração controlada (versão prévia) – imponha as configurações de segurança do Defender do Intune, substituindo as configurações de outros canais de gerenciamento. A definição de configuração controlada também dá suporte ao comportamento de proteção contra adulterações existente.

Para obter mais informações, consulte Integrar o Microsoft Defender para Ponto de Extremidade ao Intune para Conformidade do Dispositivo.

Requisitos de controle de acesso baseado em função

Para gerenciar tarefas no nó de segurança do ponto de extremidade do centro de administração do Intune, uma conta deve:

• Receber uma licença para o Intune.
• Ter permissões de RBAC (controle de acesso baseado em função) iguais à função interna do Intune do Endpoint Security Manager. Essa função concede acesso ao centro de administração do Intune para gerenciar recursos de segurança e conformidade, incluindo linhas de base de segurança, conformidade do dispositivo, Acesso Condicional e Defender para Ponto de Extremidade.

Para obter mais informações, consulte RBAC (controle de acesso baseado em função) com Microsoft Intune e a referência de função do Endpoint Security Manager.

Escolha o tipo de política certo

O Intune oferece várias maneiras de configurar a segurança do dispositivo. Entender quando usar cada abordagem ajuda a gerenciar as configurações com eficiência e evitar conflitos.

Comparação de políticas

Diretrizes de decisão: quando usar cada tipo de política

Use as políticas de segurança do ponto de extremidade quando:

• Você precisa configurar rapidamente recursos de segurança específicos, como antivírus ou firewall.
• Você deseja gerenciar as configurações de segurança separadamente da configuração geral do dispositivo.
• Você está respondendo a uma ameaça ou vulnerabilidade de segurança específica.
• Você precisa de uma exibição simplificada sem navegar por opções de configuração extensas.

Use as linhas de base de segurança quando:

• Você está configurando dispositivos recém-gerenciados e deseja configurações recomendadas pela Microsoft.
• Você precisa se alinhar a estruturas de segurança como CIS ou NIST.
• Você deseja estabelecer rapidamente uma postura de segurança abrangente.
• Você prefere aceitar os padrões de práticas recomendadas da Microsoft e personalizar minimamente.

Use perfis de configuração de dispositivo quando:

• Você precisa definir configurações não disponíveis nas políticas de segurança do ponto de extremidade.
• Você está gerenciando recursos gerais do dispositivo além da segurança (como Wi-Fi, email, certificados).
• Você tem requisitos de configuração específicos que diferem das recomendações de linha de base.

Use as políticas de Conformidade quando:

• Você precisa definir requisitos mínimos de segurança para acessar recursos corporativos.
• Você está implementando o acesso condicional com base no estado do dispositivo.
• Você deseja monitorar e relatar a postura de segurança do dispositivo.
• Você precisa de ações automatizadas para dispositivos não compatíveis.

É possível usar vários tipos de política juntos?

Sim, mas planeje cuidadosamente para evitar conflitos:

• Melhor prática. Use políticas de segurança de ponto de extremidade OU linhas de base de segurança para as mesmas configurações, não ambas.
• As políticas de conformidade funcionam junto com qualquer método de configuração. Eles avaliam o estado resultante.
• As políticas de Proteção de aplicativos complementam as políticas de dispositivo para defesa aprofundada.
• Use as ferramentas de detecção de conflitos do Intune para identificar e resolver conflitos de configuração.

A seção a seguir fornece orientações detalhadas sobre como evitar e resolver conflitos de políticas.

Evitar conflitos de política

Diferentes recursos do Intune podem gerenciar configurações de segurança do ponto de extremidade. Esses recursos incluem políticas de segurança de ponto de extremidade, linhas de base de segurança, políticas de configuração de dispositivo e políticas de registro do Windows. Conflitos acontecem quando várias políticas definem a mesma configuração com valores diferentes no mesmo dispositivo.

Como o Intune resolve conflitos

Quando duas ou mais políticas são atribuídas ao mesmo dispositivo, a configuração aplicável depende dos tipos de política envolvidos:

• As políticas de conformidade têm precedência sobre as políticas de configuração. Quando a mesma configuração aparece em uma política de conformidade e em uma política de configuração (incluindo políticas de segurança de ponto de extremidade, linhas de base de segurança ou configuração de dispositivo), o Intune usa o valor da política de conformidade.

• Várias políticas de conformidade usam a configuração mais restritiva. Quando várias políticas de conformidade definem a mesma configuração, o Intune aplica o valor mais restritivo.

• Os conflitos de política de configuração exigem resolução manual. Quando várias políticas de configuração (segurança do ponto de extremidade, linhas de base de segurança, configuração do dispositivo, catálogo de configurações) definem valores diferentes para a mesma configuração, você deve identificar e resolver o conflito manualmente. A configuração pode não se aplicar e ser sinalizada como conflituosa.

Evitar conflitos

Para evitar conflitos:

• Planeje quais tipos de política você usará para gerenciar configurações específicas antes da implantação.
• Quando vários métodos estiverem em uso (como linhas de base e políticas de segurança de ponto de extremidade), verifique se eles não definem as mesmas configurações com valores diferentes ou se os atribua a grupos de dispositivos diferentes.
• Use as ferramentas internas do Intune para identificar e resolver conflitos quando eles ocorrerem.

Para obter informações detalhadas sobre como identificar e resolver conflitos, consulte:

• Solucionar problemas de políticas e perfis no Intune
• Monitorar suas linhas de base de segurança
• Evite conflitos na documentação das linhas de base de segurança.

Perguntas frequentes

Qual é a diferença entre políticas de segurança de ponto de extremidade e perfis de configuração de dispositivo?

As políticas de segurança de ponto de extremidade (como antivírus, firewall e criptografia de disco) fornecem exibições simplificadas apenas com configurações de segurança relevantes, tornando-as mais fáceis de configurar e gerenciar do que os perfis de configuração do dispositivo. Os perfis de configuração de dispositivo incluem todas as configurações do dispositivo (Wi-Fi, email, navegador e muito mais) e exigem a navegação por mais opções. Quando ambos existirem, considere o uso de políticas de segurança de ponto de extremidade para configurações de segurança.

Preciso do Defender para Ponto de Extremidade para usar a segurança do ponto de extremidade no Intune?

Não. Você pode usar políticas de segurança de ponto de extremidade, linhas de base de segurança e políticas de conformidade sem o Defender para Ponto de Extremidade. No entanto, a integração do Defender oferece benefícios significativos, incluindo detecção de ameaças, tarefas de segurança, sinais de risco do dispositivo para conformidade e proteção contra adulterações. Para uma proteção abrangente do ponto de extremidade, a integração do Defender é recomendada.

Posso usar linhas de base de segurança e políticas de segurança de ponto de extremidade juntas?

Sim, mas tenha cuidado para evitar definir as mesmas configurações em ambos. As linhas de base de segurança fornecem configurações abrangentes recomendadas pela Microsoft. Use políticas de segurança de ponto de extremidade (como antivírus, firewall ou criptografia de disco) para configurações específicas que você precisa gerenciar separadamente ou configurações não incluídas nas linhas de base. Consulte Evitar conflitos de política para obter diretrizes.

Qual é a diferença entre as políticas de conformidade e as políticas de configuração?

Políticas de configuração (políticas de segurança de ponto de extremidade, linhas de base de segurança, perfis de configuração de dispositivo) definir configurações de dispositivo. As políticas de conformidade avaliam principalmente se os dispositivos atendem aos seus requisitos e relatam o status de conformidade. Em algumas plataformas, as políticas de conformidade também podem impor determinadas configurações de segurança, como requisitos de PIN ou senha, solicitando que os usuários corrijam as configurações não compatíveis. Use-os juntos: defina configurações com políticas de segurança de ponto de extremidade ou linhas de base de segurança e, em seguida, valide se os dispositivos atendem aos requisitos com políticas de conformidade.

Quais dispositivos posso proteger com a segurança do ponto de extremidade?

A segurança do ponto de extremidade dá suporte a:

• Windows - Todos os tipos de política de segurança de ponto de extremidade: antivírus, criptografia de disco, firewall, detecção e resposta de ponto de extremidade, redução de superfície de ataque, Controle de Aplicativos para Empresas e proteção de contas.
• macOS - Antivírus, criptografia de disco (FileVault), firewall e detecção e resposta de ponto de extremidade.
• Linux - Detecção e resposta antivírus e de ponto de extremidade.
• iOS/iPadOS - Políticas de conformidade, políticas de proteção de aplicativo. O Defender para Ponto de Extremidade pode ser implantado como um aplicativo para detecção de ameaças.
• Android - Políticas de conformidade, políticas de proteção de aplicativos. O Defender para Ponto de Extremidade pode ser implantado como um aplicativo para detecção de ameaças.

Os recursos variam de acordo com a plataforma. Para obter recursos detalhados específicos da plataforma, consulte Gerenciar a segurança do dispositivo com políticas de segurança de ponto de extremidade.

Quanto tempo leva para que as políticas se apliquem aos dispositivos?

Os dispositivos marcam se há atualizações de política a cada oito horas por padrão (Windows) ou periodicamente com base na plataforma. Você pode disparar a sincronização imediata do dispositivo ou por meio do centro de administração do Intune. As políticas críticas de segurança geralmente se aplicam minutos após a sincronização, mas a aplicação completa depende da complexidade da configuração e do estado do dispositivo.

O que acontece se um dispositivo não estiver em conformidade?

As ações dependem da configuração da política de conformidade:

1. O Intune marca o dispositivo como não compatível.
2. Ações agendadas para não conformidade se aplicam, como notificações do usuário, bloqueio remoto ou adição do dispositivo a uma lista de retirada para revisão do administrador.
3. Se integrado ao Acesso Condicional, o acesso aos recursos corporativos pode ser bloqueado.
4. Os usuários recebem notificações com instruções para corrigir problemas.
5. Depois que os problemas forem resolvidos e o dispositivo sincronizar, o status de conformidade será atualizado.

Conteúdo relacionado

Configurar:

• Linhas de base de segurança
• Políticas de conformidade
• Integração de Acesso Condicional
• Integração com o Microsoft Defender para Ponto de Extremidade