MEM Tour Teil 3: Endpoint Security in Intune

Willkommen zum dritten Teil meiner Blog-Serie. In dieser Blog-Serie nehme ich dich mit auf eine Tour durch die Funktionen, die uns Microsoft Intune bietet. In den letzten beiden Blogs haben wir uns die Themen Geräte- und Anwendungsverwaltung angesehen. Heute möchten wir einen Blick auf die Gerätesicherheit werfen. Das größte Ziel, das Unternehmen haben, ist es, ihre Geräte und Daten vor Außenstehenden zu schützen. Jeden Tag gibt es neue Angriffsmethoden oder Bedrohungen, vor denen sich Unternehmen schützen müssen. Microsoft Intune bietet viele Funktionen, die die Leistungsfähigkeit der Cloud nutzen, um dieses Ziel zu erreichen. Im Mittelpunkt steht dabei Microsoft Defender for Endpoint.

Weitere Blogs aus dieser Serie:

• Teil 1 - Devices
• Teil 2 - Applications
• Teil 3 - Endpoint Security - dieser Blog
• Teil 4 - Reports
• Teil 5 - User and Groups

Wo finde ich die Sicherheitsfunktionen im Intune Admin Center?

Diese Funktionen findest du im Menü Endpoint Security auf der linken Seite des Intune Admin Centers. Im Mittelpunkt steht dabei Microsoft Defender for Endpoint.

Wenn du dieses Menü öffnest, landest du auf einer Übersichtsseite. Hier erhältst du Tipps für die ersten Schritte und eine kurze Erklärung, was Endpoint Security ist. Die Beschreibung von Microsoft lautet wie folgt:
Enable, configure, and deploy Microsoft Defender for Endpoint to help prevent security breaches and gain visibility into your organization’s security posture.

All devices

Ein ähnliches Menü kennen wir bereits aus den vorherigen Blogs. Hier erhältst du einen Überblick über alle Geräte und deren Sicherheitsstatus. Du kannst den Compliance-Status der Geräte sehen, welchen OS-Build sie ausführen und wann der letzte Check-in bei Intune erfolgt ist.

Security baselines

Security Baselines sind vordefinierte Sicherheitseinstellungen, die den Einstieg in das moderne Management unter Windows 10 einfacher und sicherer machen. Diese Richtlinien wurden von Sicherheitsexperten aus der Branche erstellt. Diese Baselines werden von Microsoft mit jedem Release einer neuen Windows-Version aktualisiert. Du kannst die vordefinierten Einstellungen bei der Erstellung weiterhin anpassen.

Security tasks

Mit Microsoft Defender for Endpoint kannst du die gesamte Umgebung auf aktuelle Bedrohungen scannen. Wird im Microsoft Defender Portal ein Sicherheitsereignis erkannt, das in Intune behoben werden muss, kann ein Security-Kollege eine Aufgabe erstellen, damit ein Intune-Kollege sie sich ansieht. Wenn die Aufgabe erledigt ist, kann sie auch als erledigt markiert werden.

Antivirus

In diesem Bereich hast du zum einen mehrere Reports und zum anderen kannst du Antivirus-Richtlinien erstellen. Auf der Startseite siehst du den Health-Status der Endpunkte und eine Zählung der aktiven Malware.

Mit dem Report “Unhealthy endpoints” erhältst du eine Liste von Clients, bei denen der Sicherheitsstatus nicht gegeben ist, z. B.
Signaturupdate überfällig. Im Report “Active malware” erhältst du eine Liste der aktiven Malware in deinem Unternehmen.

Du hast außerdem die Möglichkeit, Antivirus-Konfigurationen für Server-Betriebssysteme zu verteilen. Diese müssen in den Configuration Manager integriert werden.

Es gibt 4 Arten von Richtlinien, die erstellt werden können:

• Microsoft Defender Antivirus exclusions (Windows 10)
• Windows Defender Antivirus (Windows 10)
• Windows Security experience (Windows 10)
• Antivirus (macOS)

Disk encryption

In diesem Bereich kannst du BitLocker unter Windows oder FileVault unter Mac konfigurieren. Disk Encryption hilft dir, deine Daten auf dem Gerät zu schützen, falls das Gerät verloren geht oder gestohlen wird.
Hier kannst du sowohl die Sicherheit als auch die Benutzerfreundlichkeit beider Dienste konfigurieren. Die Verschlüsselungsschlüssel werden in Intune gesichert.

Firewall

Hier hast du 2 Arten der Konfiguration. Über “Microsoft Defender Firewall” kannst du das allgemeine Verhalten der Firewall konfigurieren und über “Microsoft Defender Firewall rules” kannst du einzelne Verbindungen zulassen oder blockieren.

Endpoint detection and response

Diese Funktion bietet eine erweiterte Angriffserkennung, indem Cyber-Telemetriedaten gesammelt werden, die nahezu in Echtzeit angewendet werden. Diese Daten werden bis zu 6 Monate aufbewahrt und geben Analysten die Möglichkeit, zu bestimmten Zeitpunkten zurückzugehen, an denen ein Angriff stattgefunden hat. Diese Daten können auch für forensische Zwecke verwendet werden. Hier können die Optionen “Sample sharing for all files” und “Expedite telemetry reporting frequency” konfiguriert werden.

Attack surface reduction

ASR-Richtlinien sind Maßnahmen zur Eindämmung bekannter Angriffsflächen. Derzeit gibt es 6 verschiedene Arten von Richtlinien, die erstellt werden können.

Device control

Hier kannst du konfigurieren, wie mit externen Geräten umgegangen wird. Zum Beispiel können ganze Bluetooth-Geräte deaktiviert werden.

Attack surface reduction rules

Hier kann die Erstellung von Subprozessen für einige Tools blockiert oder das Verhalten von Skriptausführungen angepasst oder vollständig blockiert werden.

App and browser isolation

Hier kann der Application Guard aktiviert werden. Diese Funktion ermöglicht es dir, Browser-Sitzungen in einer temporären Sandbox auszuführen und so den Zugriff auf das Host-System zu verhindern.

Exploit protection

Hier kannst du eine XML mit einem Set an Exploit Protection hochladen. Dies kann auf einzelne Apps oder auf das OS angewendet werden. Wie du diese XML erstellen kannst, wird in der Microsoft-Dokumentation erklärt.

Web protection

Mit dieser Funktion kannst du den Microsoft Defender Web Content Filter aktivieren oder zum Beispiel das Herunterladen nicht verifizierter Dateien blockieren. Du kannst auch SmartScreen aktivieren, das über eine Blocklist mit bösartigen URLs verfügt, die du vor dem Zugriff auf die Seite bestätigen musst.

Application control

Hier kannst du die AppLocker-Anwendungssteuerung konfigurieren. Mit AppLocker kannst du z. B. nur die Ausführung bestimmter Software blockieren. Du kannst hier auch den Windows SmartScreen konfigurieren.

Account protection

Diese Funktion ist eine Preview-Funktion. Hier gibt es eine zweite Stelle, an der du Windows Hello for Business konfigurieren kannst. Auch die Anmeldung mit Security Keys und Credential Guard kann in diesem Menü aktiviert werden. Mit Windows Defender Credential Guard können Anmeldeinformationen unter Windows 10 zusätzlich abgesichert und vor Angriffen geschützt werden.

Device compliance

Compliance-Richtlinien können die Sicherheit von Geräten und den Schutz von Unternehmensdaten gewährleisten. Mithilfe dieser Richtlinie können Geräte als compliant oder nicht compliant markiert werden. Dabei handelt es sich um Regeln, die festlegen, was ein Gerät erfüllen muss, wie zum Beispiel BitLocker-Verschlüsselung, eine Mindest-OS-Version usw.

 Dieser Gerätestatus kann für Conditional Access verwendet werden.

Die Compliance-Menüs erklärt der Teil zur Geräteverwaltung.

Conditional access

Zugriffsrichtlinien sind Definitionen/Anweisungen, die ein Benutzer oder Gerät erfüllen muss, um auf bestimmte Ressourcen zugreifen zu können. Wenn du zum Beispiel auf bestimmte Daten zugreifen musst, kann eine Voraussetzung sein, dass dein Gerät compliant sein muss.

Die Conditional-Access-Menüs sind im Artikel zur Geräteverwaltung erklärt. Dort findest du Richtlinien, Reporting, Standorte, Controls und Support.

Assignment failures

Hier werden Richtlinien angezeigt, deren Zuweisung fehlgeschlagen ist. Dies kann ein Sicherheitsrisiko darstellen, wenn bestimmte Richtlinien auf Geräten nicht wirksam werden.

Microsoft Defender for Endpoint

In diesem Menü kannst du Microsoft Defender for Endpoint aktivieren und mit Intune verbinden. Zusätzlich hast du hier die Möglichkeit, den Machine Risk Score für Compliance-Richtlinien bereitzustellen. Außerdem findest du ein Reporting darüber, auf wie vielen Geräten Defender installiert ist.

Help and support

Das Erstellen von Tickets und bestehende Supportfälle beschreibt die Supportreferenz im Kapitel zur Geräteverwaltung.

Microsoft hat ein starkes Wachstum in seinem Sicherheitsgeschäft verzeichnet und investiert weiterhin stark in diesen Bereich. Das zeigt sich auch in Intune. Es gibt außerdem unzählige Funktionen, um die Sicherheit in deinem Unternehmen zu erhöhen. Hier können wir auch in Zukunft viele neue Funktionen erwarten.

Vielen Dank, dass du diesen Blog gelesen hast. Wenn dir dieser Blog gefällt, würde ich mich sehr über einen Like oder ein Teilen freuen.

Wir sehen uns im nächsten Teil dieser Serie.
Bis dahin:

Bleib gesund, Cheers
Jannik