在 Microsoft Intune 中管理端點安全性

Intune 中的端點安全性提供專注的工具，可在現今的混合式工作環境中保護裝置和資料。 系統管理中心的端點安全性節點會將這些功能分組在單一位置，為安全性系統管理員提供一個中央位置，以套用零信任原則、防範勒索軟體和惡意程式碼、強制執行合規性需求，以及回應所有受管理裝置上的安全性威脅。

從 [端點安全性] 節點，您可以設定原則、部署安全性基準、與適用於端點的 適用於端點的 Microsoft Defender 整合，以及管理安全性工作。 這種整合方法可協助您快速建立保護、識別有風險的裝置、修復漏洞並維護合規性，而無需瀏覽複雜的組態設定檔。

常見的安全性案例

使用 [端點安全性] 節點來解決常見的安全性挑戰：

• 防範勒索軟體和惡意程式碼 - 使用即時保護部署防毒原則、設定受攻擊面縮小規則、啟用受控資料夾存取權，並套用安全性基準。 如需詳細資訊，請參閱 使用端點安全性原則管理裝置安全性。

• 套用零信任原則 - 要求資源存取的裝置合規性、與條件式存取整合以驗證安全性狀態、使用來自適用於端點的 Defender 的裝置風險訊號、部署磁碟加密，以及使用 端點權限管理 (EPM) 強制執行最低權限存取。 如需詳細資訊，請參閱 Microsoft Intune 的零信任。

• 保護遠端和混合式工作 - 監視 遠端裝置的合規性、透過 EDR 原則將裝置上線至適用於端點的 Defender、設定防火牆原則，以及使用條件式存取來封鎖來自不相容裝置的存取。 如需詳細資訊，請參閱使用 Microsoft Intune 保護資料和裝置。

• 符合合規性需求 - 使用符合產業架構的基準來部署標準化安全性設定、透過報告監視合規性狀態，以及設定不相容裝置的自動化動作。 如需詳細資訊，請參閱 在 Intune 中使用安全性基準來設定 Windows 裝置。

• 回應安全性威脅 - 檢閱適用於端點的 Defender 小組的安全性工作、使用遠端動作來補救有風險的裝置、輪換加密金鑰，以及透過儀表板監視威脅偵測。 如需詳細資訊，請參閱 使用 Intune 補救適用於端點的 適用於端點的 Microsoft Defender 識別的弱點。

端點安全性儀表板

端點安全儀表板提供安全狀態的綜合視圖。

若要存取儀表板，請登入 Microsoft Intune 系統管理中心，然後移至 [端點安全性>概觀]。

儀表板可協助您快速評估裝置安全狀態並識別需要注意的區域。 它會顯示來自多個端點安全性區域的資訊，包括 防毒軟體、 端點偵測和回應，以及 適用於端點的 Defender：

• 適用於端點的 Defender 連接器狀態 - 檢視 Intune 與適用於端點的 Defender 之間的連線狀態。 如果未連線，請參閱將適用於端點的 Microsoft Defender 連線到 Intune 以設定整合。 狀態標籤也會連結到 Microsoft Defender 入口網站。

• 上線至適用於端點的 Defender 的 Windows 裝置 - 檢視已上線和未上線以進行端點偵測和回應的裝置計數 (EDR) 。 選取 [部署預先設定的原則] 以透過 Intune 將裝置上線，或將裝置上線至適用於端點的 Defender，以使用 Defender 入口網站工作流程。

• 防毒軟體代理程式狀態 - 從 Microsoft Defender 防毒軟體狀態報告中檢視摘要詳細資料，該報告也可在 [報表>Microsoft Defender 防毒軟體>摘要] 取得。

• 其他監視報告 - 存取其他 Microsoft Defender 防毒軟體報告，包括偵測到的惡意程式碼和防火牆狀態。 另外還有一個 Defender 入口網站的連結，用於取得感應器和防毒軟體健康情況資料。

端點安全性功能

下列各節提供每個功能運作方式的詳細資訊，以及設定指導的專用文章連結。 大部分功能都無需其他先決條件即可使用。 安全性工作需要與適用於端點的 Defender 整合，如設定與適用於端點的 Microsoft Defender 整合中所述，適用於端點的 Microsoft Defender。

裝置管理

端點安全性中的 [所有裝置] 檢視會顯示您 Microsoft Entra ID 中可在 Intune 中使用的所有裝置。 從這個集中式檢視中，您可以監視整個組織的裝置合規性狀態、深入了解特定裝置以識別原則違規，並立即採取補救動作，例如重新啟動裝置、啟動惡意程式碼掃描或輪換加密金鑰。

此整合的裝置檢視為安全管理員提供了一個單一位置，以評估和修復整個機群中的安全問題，無論平台或註冊方法如何。 如需詳細資訊，請參閱在 Microsoft Intune 中使用端點安全性管理裝置。

安全性基準

安全性基準提供預先設定的 Windows 設定群組，其中包含 Microsoft 安全性小組建議的預設值。 這些基準可讓您快速建立符合業界最佳實務和安全架構的全面安全態勢。 Intune 支援多個安全性基準，包括 Windows 裝置、適用於端點的 Defender、Microsoft Edge 等。

每個比較基準都包含依功能區域組織的 Microsoft 建議設定。 您可以使用預設設定部署基準，或自訂基準以符合組織的需求。 如需詳細資訊，請參閱 在 Intune 中使用安全性基準來設定 Windows 裝置。

安全性工作

安全性工作可讓適用於端點的 Defender 與 Intune 小組之間的共同作業成為可能。 當適用於端點的 Defender 識別弱點時，適用於端點的 Defender 安全性系統管理員會在適用於端點的 Defender 入口網站中建立工作，指定受影響的裝置、弱點和補救指導方針。 這些工作會顯示在 Intune 中，Intune 系統管理員會接受這些工作、部署適當的原則或設定，然後在修正完成之後標示為完成。 完成狀態會同步到適用於端點的 Defender 入口網站進行驗證。

此工作流程可確保兩個團隊在哪些裝置面臨風險方面保持一致，並提供明確的補救責任。 安全性工作需要與適用於端點的 Defender 整合。 請參閱設定與適用於端點的 Microsoft Defender 的整合適用於端點的 Microsoft Defender。 有關工作流程的詳細資訊，請參閱 使用 Intune 補救適用於端點的 Microsoft Defender 識別的弱點，適用於端點的 Microsoft Defender。

端點安全性原則

端點安全策略為特定安全功能提供簡化的配置選項，而無需瀏覽廣泛的設備配置設置。 使用這些原則來設定裝置安全性方面，例如防毒軟體、磁碟加密、防火牆等。 它們透過僅顯示與每個安全功能相關的設定來簡化安全管理。

端點安全性節點也包含裝置合規性和條件式存取原則。 雖然這些原則不是設定端點的焦點安全性原則，但它們是管理裝置安全性狀態和控制公司資源存取權的重要工具。 端點安全性也包含端點權限管理原則，可讓您在 Windows 裝置上強制執行最低權限存取。

端點安全性原則與裝置組態設定檔和安全性基準一起運作，因此瞭解針對每個案例使用哪種方法有助於防止組態衝突。 如需詳細資訊，請參閱 使用端點安全性原則管理裝置安全性。

裝置合規性原則

裝置合規性原則會建立裝置和使用者必須符合才能存取公司資源的條件。 這些原則定義合規性規則，並評估裝置是否符合這些需求。 他們會向 Intune 和 Entra ID 報告合規性狀態。

常見的合規性規則包括作業系統版本需求、密碼需求、裝置健康情況 (加密、越獄偵測) 、適用於端點的 Defender 或行動裝置威脅防禦合作夥伴的威脅等級限制，以及所需的安全性功能。 合規性原則也支援依排程執行的 不合規動作 ，包括使用者通知、在寬限期後將裝置標示為不合規、遠端鎖定，或將裝置新增至淘汰清單以供系統管理員檢閱。

與 Microsoft Entra 條件式存取整合時，合規性狀態會控制公司資源的存取權。 條件式存取可以使用合規性資料來限制受管理裝置與未受管理裝置的存取權。 如需詳細資訊，請參閱 在裝置上設定規則，以允許使用 Intune 存取組織中的資源。

條件式存取

條件式存取原則可與 Intune 搭配使用，以控制哪些裝置和應用程式可以存取公司資源。 Intune 會將裝置合規性狀態傳遞給 Entra ID，然後使用條件式存取原則來強制執行存取需求。 條件式存取原則也可以限制未使用 Intune 管理的裝置存取，而且它們可以使用您與 Intune 整合的行動威脅防禦合作夥伴的合規性詳細資料。

以下是搭配 Intune 使用條件式存取的兩種常見方法：

• 以裝置為基礎的條件式存取 - 確保只有受管理且符合規範的裝置才能存取網路資源。
• 以應用程式為基礎的條件式存取 - 使用應用程式保護原則來管理未使用 Intune 管理之裝置上使用者對網路資源的存取權。

如需詳細資訊，請參閱 瞭解條件式存取和 Intune。

端點權限管理

端點權限管理會允許使用者以標準帳戶身分執行，同時為 IT 核准的應用程式啟用暫時提高權限，以強制執行最低權限存取權。 此最低權限功能可防止一攬子系統管理存取，藉此減少攻擊面，同時讓使用者對於需要提高權限的工作（例如安裝應用程式、更新驅動程式或執行 Windows 診斷）的工作保持生產力。

您可以建立提高權限規則來部署端點權限管理，這些規則定義哪些應用程式可以使用系統管理權限以及在何種條件下執行。 提高權限規則支援多種驗證方法，包括檔案雜湊、發行者憑證和檔案路徑。 您可以設定受信任應用程式的自動提高權限、具有選擇性驗證需求的使用者確認提高權限、系統管理員檢閱要求的支援核准提高權限，或拒絕規則以封鎖特定檔案。 EPM 包含受管理高程和非受管理高程的詳細報告，可協助您識別高程模式、精簡規則，以及規劃使用者從管理員帳戶到標準使用者帳戶的轉換。

如需詳細資訊，請參閱 端點權限管理。

設定與適用於端點的 Microsoft Defender 的整合，適用於端點的 Microsoft Defender

整合適用於端點的 Defender 與 Intune，可解除鎖定端點安全性節點中其他無法使用的功能。 雖然 Intune 支援與數個行動威脅防禦合作夥伴整合，但適用於端點的 Defender 提供跨 Windows、macOS、iOS 和 Android 平台與 Intune 最廣泛的整合。

整合的優點包括：

• 安全性工作 - 在 Defender 和 Intune 小組之間共同作業，以識別和修復裝置弱點。
• 簡化裝置上線 - 從 Intune 部署 EDR 原則，將裝置上線至適用於端點的 Defender。
• 裝置風險訊號 - 在合規性原則和應用程式保護原則中使用 Defender 威脅等級。
• 受控設定 (預覽) - 強制執行來自 Intune 的 Defender 安全性設定，取代來自其他管理通道的設定。 受控組態設定也支援現有的竄改防護行為。

如需詳細資訊，請參閱整合適用於端點的 Microsoft Defender 與 Intune 以達成裝置合規性。

角色型存取控制需求

若要在 Intune 系統管理中心的端點安全性節點中管理工作，帳戶必須：

• 獲指派 Intune 授權。
• 具有角色型存取控制 (RBAC) 權限等於 Endpoint Security Manager 的內建Intune角色。 此角色授與 Intune 系統管理中心的存取權，以管理安全性與合規性功能，包括安全性基準、裝置合規性、條件式存取和適用於端點的 Defender。

如需詳細資訊，請參閱角色型存取控制 (RBAC) 與 Microsoft Intune 和 Endpoint Security Manager 角色參考。

選擇適當的原則類型

Intune 提供多種設定裝置安全性的方法。 了解何時使用每種方法有助於您有效管理設定並避免衝突。

原則比較

決策指引：何時使用每種原則類型

端點安全性原則的使用時機：

• 您需要快速設定特定的安全性功能，例如防毒軟體或防火牆。
• 您想要與一般裝置設定分開管理安全性設定。
• 您正在回應特定的安全性威脅或弱點。
• 您需要簡化的視圖，而無需瀏覽廣泛的配置選項。

使用安全性基準的時機：

• 您正在設定新受管理的裝置，並需要 Microsoft 建議的設定。
• 您必須與 CIS 或 NIST 等安全性架構保持一致。
• 您想要快速建立完整的安全性狀態。
• 您比較喜歡接受 Microsoft 的最佳作法預設值，並進行最低限度的自訂。

裝置組態設定檔的使用時機：

• 您需要設定端點安全性原則中未提供的設定。
• 您同時管理安全性 (以外的一般裝置功能，例如 Wi-Fi、電子郵件、憑證) 。
• 您的特定組態需求與基準建議不同。

合規性原則的使用時機：

• 您需要定義存取公司資源的最低安全性需求。
• 您正在根據裝置狀態實作條件式存取。
• 您想要監視和報告裝置安全性狀態。
• 您需要針對不相容裝置自動化動作。

是否可以同時使用多種原則類型？

可以，但請仔細規劃以避免衝突：

• 最佳作法。 針對相同的設定使用端點安全性原則或安全性基準，而不是兩者。
• 合規性原則可與任何設定方法搭配使用。 他們會評估結果狀態。
• 應用程式防護原則可補充裝置原則以進行深度防禦。
• 使用 Intune 的衝突偵測工具來識別並解決設定衝突。

以下章節提供有關防止和解決原則衝突的詳細指南。

避免原則衝突

不同的 Intune 功能可以管理端點安全性設定。 這些功能包括端點安全性原則、安全性基準、裝置設定原則和 Windows 註冊原則。 當多個原則在同一台裝置上使用不同的值設定相同的設定時，就會發生衝突。

Intune 如何解決衝突

將兩個或多個原則指派給同一裝置時，套用的設定取決於涉及的原則類型：

• 合規性原則優先於設定原則。 當相同設定同時出現在合規性原則和設定原則 (，包括端點安全性原則、安全性基準或裝置設定) 時，Intune 會使用合規性原則值。

• 多個合規性原則使用最嚴格的設定。 當多個合規性原則設定相同的設定時，Intune 會套用最嚴格的值。

• 設定原則衝突需要手動解決。 當端點安全性、安全性基準、裝置設定、設定目錄 (多個設定原則) 為相同的設定設定不同的值時，您必須手動識別並解決衝突。 該設定可能無法套用，並被標幟為衝突。

避免衝突

若要避免衝突：

• 規劃在部署之前，您將用來管理特定設定的原則類型。
• 當使用多個方法時 (例如基準和端點安全性原則) ，請確定它們並未使用不同的值設定相同的設定，或將它們指派給不同的裝置群組。
• 使用 Intune 的內建工具，在衝突發生時識別並解決衝突。

如需有關識別和解決衝突的詳細資訊，請參閱：

• 疑難排解 Intune 中的原則和設定檔
• 監控您的安全性基準
• 避免安全性基準文件中的衝突。

常見問題集

端點安全性原則和裝置組態設定檔之間有什麼不同？

防毒軟體、防火牆和磁碟加密等端點安全性原則 () 僅使用相關安全性設定提供簡化的視圖，使其比裝置組態設定檔更容易設定和管理。 裝置組態設定檔包含所有裝置設定 (Wi-Fi、電子郵件、瀏覽器等) ，且需要瀏覽更多選項。 如果兩者都存在，請考慮對安全性設定使用端點安全性原則。

我是否需要適用於端點的 Defender 才能在 Intune 中使用端點安全性？

不能。 您可以在不適用於端點的 Defender 的情況下使用端點安全性原則、安全性基準和合規性原則。 不過，Defender 整合提供顯著的好處，包括威脅偵測、安全性工作、合規性裝置風險訊號和竄改防護。 若要全面端點保護，建議整合 Defender。

我可以同時使用安全性基準和端點安全性原則嗎？

可以，但請小心避免在兩者中設定相同的設定。 安全性基準提供完整的 Microsoft 建議設定。 針對需要個別管理的特定設定或未包含在基準中的設定，) 使用防毒軟體、防火牆或磁碟加密等端點安全性原則 (。 請參閱 避免原則衝突以 取得指引。

合規性原則與設定原則有何不同？

設定原則 (端點安全性原則、安全性基準、裝置設定設定檔) 設定 裝置設定。 合規性原則主要 評估 裝置是否符合您的需求，並報告合規性狀態。 在某些平臺上，合規性原則也可以提示使用者補救不符合規範的設定，以強制執行某些安全性設定，例如 PIN 或密碼需求。 一起使用它們： 使用端點安全性原則或安全性基準進行設定，然後使用合規性原則驗證裝置是否符合需求。

我可以使用端點安全性保護哪些裝置？

端點安全性支援：

• Windows - 所有端點安全性原則類型： 防毒軟體、磁碟加密、防火牆、端點偵測及回應、受攻擊面縮小、商務用應用程式控制，以及帳戶保護。
• macOS - 防毒軟體、磁碟加密 (FileVault) 、防火牆及端點偵測及回應。
• Linux - 防毒軟體與端點偵測及回應。
• iOS/iPadOS - 合規性原則、應用程式保護原則。 適用於端點的 Defender 可以部署為威脅偵測應用程式。
• Android - 合規性原則、應用程式保護原則。 適用於端點的 Defender 可以部署為威脅偵測應用程式。

功能會因平台而異。 如需詳細的平台特定功能，請參閱 使用端點安全性原則管理裝置安全性。

原則套用至裝置需要多久時間？

裝置預設 (Windows) 每八小時檢查一次原則更新，或根據平台定期檢查一次。 您可以從裝置或透過 Intune 系統管理中心觸發立即同步處理。 安全性關鍵原則通常會在同步處理後的幾分鐘內套用，但完整套用取決於設定複雜性和裝置狀態。

如果裝置變得不符合規範，會發生什麼情況？

動作取決於您的合規性原則設定：

1. Intune 會將裝置標示為不相容。
2. 適用不合規的排程動作，例如使用者通知、遠端鎖定或將裝置新增至淘汰清單以供系統管理員檢閱。
3. 如果與條件式存取整合，可能會封鎖對公司資源的存取。
4. 使用者會收到含有補救指示的通知。
5. 一旦問題解決且裝置同步處理，合規性狀態就會更新。

相關內容

設定：

• 安全性基準
• 合規性原則
• 條件式存取整合
• 與適用於端點的 Microsoft Defender 整合