MEM Tour Teil 3: Endpoint Security in Intune

Willkommen zum dritten Teil meiner Blog-Serie. In dieser Blog-Serie nehme ich dich mit auf eine Tour durch die Funktionen, die uns Microsoft Intune bietet. In den letzten beiden Blogs haben wir uns die Themen Geräte- und Anwendungsverwaltung angesehen. Heute möchten wir einen Blick auf die Gerätesicherheit werfen. Das größte Ziel, das Unternehmen haben, ist es, ihre Geräte und Daten vor Außenstehenden zu schützen. Jeden Tag gibt es neue Angriffsmethoden oder Bedrohungen, vor denen sich Unternehmen schützen müssen. Microsoft Intune bietet viele Funktionen, die die Leistungsfähigkeit der Cloud nutzen, um dieses Ziel zu erreichen. Im Mittelpunkt steht dabei Microsoft Defender for Endpoint.

Weitere Blogs aus dieser Serie:

• Teil 1 - Devices
• Teil 2 - Applications
• Teil 3 - Endpoint Security - dieser Blog
• Teil 4 - Reports
• Teil 5 - User and Groups

Wo finde ich die Sicherheitsfunktionen im Intune Admin Center?

Diese Funktionen findest du im Menü Endpoint Security auf der linken Seite des Intune Admin Centers. Im Mittelpunkt steht dabei Microsoft Defender for Endpoint.

Wenn du dieses Menü öffnest, landest du auf einer Übersichtsseite. Hier erhältst du Tipps für die ersten Schritte und eine kurze Erklärung, was Endpoint Security ist. Die Beschreibung von Microsoft lautet wie folgt:
Enable, configure, and deploy Microsoft Defender for Endpoint to help prevent security breaches and gain visibility into your organization’s security posture.

All devices

Ein ähnliches Menü kennen wir bereits aus den vorherigen Blogs. Hier erhältst du einen Überblick über alle Geräte und deren Sicherheitsstatus. Du kannst den Compliance-Status der Geräte sehen, welchen OS-Build sie ausführen und wann der letzte Check-in bei Intune erfolgt ist.

Security baselines

Security Baselines sind vordefinierte Sicherheitseinstellungen, die den Einstieg in das moderne Management unter Windows 10 einfacher und sicherer machen. Diese Richtlinien wurden von Sicherheitsexperten aus der Branche erstellt. Diese Baselines werden von Microsoft mit jedem Release einer neuen Windows-Version aktualisiert. Du kannst die vordefinierten Einstellungen bei der Erstellung weiterhin anpassen.

Security tasks

Mit Microsoft Defender for Endpoint kannst du die gesamte Umgebung auf aktuelle Bedrohungen scannen. Wird im Microsoft Defender Portal ein Sicherheitsereignis erkannt, das in Intune behoben werden muss, kann ein Security-Kollege eine Aufgabe erstellen, damit ein Intune-Kollege sie sich ansieht. Wenn die Aufgabe erledigt ist, kann sie auch als erledigt markiert werden.

Antivirus

In diesem Bereich hast du zum einen mehrere Reports und zum anderen kannst du Antivirus-Richtlinien erstellen. Auf der Startseite siehst du den Health-Status der Endpunkte und eine Zählung der aktiven Malware.

Mit dem Report “Unhealthy endpoints” erhältst du eine Liste von Clients, bei denen der Sicherheitsstatus nicht gegeben ist, z. B.
Signaturupdate überfällig. Im Report “Active malware” erhältst du eine Liste der aktiven Malware in deinem Unternehmen.

Du hast außerdem die Möglichkeit, Antivirus-Konfigurationen für Server-Betriebssysteme zu verteilen. Diese müssen in den Configuration Manager integriert werden.

Es gibt 4 Arten von Richtlinien, die erstellt werden können:

• Microsoft Defender Antivirus exclusions (Windows 10)
• Windows Defender Antivirus (Windows 10)
• Windows Security experience (Windows 10)
• Antivirus (macOS)

Disk encryption

In diesem Bereich kannst du BitLocker unter Windows oder FileVault unter Mac konfigurieren. Disk Encryption hilft dir, deine Daten auf dem Gerät zu schützen, falls das Gerät verloren geht oder gestohlen wird.
Hier kannst du sowohl die Sicherheit als auch die Benutzerfreundlichkeit beider Dienste konfigurieren. Die Verschlüsselungsschlüssel werden in Intune gesichert.

Firewall

Hier hast du 2 Arten der Konfiguration. Über “Microsoft Defender Firewall” kannst du das allgemeine Verhalten der Firewall konfigurieren und über “Microsoft Defender Firewall rules” kannst du einzelne Verbindungen zulassen oder blockieren.

Endpoint detection and response

Diese Funktion bietet eine erweiterte Angriffserkennung, indem Cyber-Telemetriedaten gesammelt werden, die nahezu in Echtzeit angewendet werden. Diese Daten werden bis zu 6 Monate aufbewahrt und geben Analysten die Möglichkeit, zu bestimmten Zeitpunkten zurückzugehen, an denen ein Angriff stattgefunden hat. Diese Daten können auch für forensische Zwecke verwendet werden. Hier können die Optionen “Sample sharing for all files” und “Expedite telemetry reporting frequency” konfiguriert werden.

Attack surface reduction

ASR-Richtlinien sind Maßnahmen zur Eindämmung bekannter Angriffsflächen. Derzeit gibt es 6 verschiedene Arten von Richtlinien, die erstellt werden können.

Device control

Hier kannst du konfigurieren, wie mit externen Geräten umgegangen wird. Zum Beispiel können ganze Bluetooth-Geräte deaktiviert werden.

Attack surface reduction rules

Hier kann die Erstellung von Subprozessen für einige Tools blockiert oder das Verhalten von Skriptausführungen angepasst oder vollständig blockiert werden.

App and browser isolation

Hier kann der Application Guard aktiviert werden. Diese Funktion ermöglicht es dir, Browser-Sitzungen in einer temporären Sandbox auszuführen und so den Zugriff auf das Host-System zu verhindern.

Exploit protection

Hier kannst du eine XML mit einem Set an Exploit Protection hochladen. Dies kann auf einzelne Apps oder auf das OS angewendet werden. Wie du diese XML erstellen kannst, wird in der Microsoft-Dokumentation erklärt.

Web protection

Mit dieser Funktion kannst du den Microsoft Defender Web Content Filter aktivieren oder zum Beispiel das Herunterladen nicht verifizierter Dateien blockieren. Du kannst auch SmartScreen aktivieren, das über eine Blocklist mit bösartigen URLs verfügt, die du vor dem Zugriff auf die Seite bestätigen musst.

Application control

Hier kannst du die AppLocker-Anwendungssteuerung konfigurieren. Mit AppLocker kannst du z. B. nur die Ausführung bestimmter Software blockieren. Du kannst hier auch den Windows SmartScreen konfigurieren.

Account protection

Diese Funktion ist eine Preview-Funktion. Hier gibt es eine zweite Stelle, an der du Windows Hello for Business konfigurieren kannst. Auch die Anmeldung mit Security Keys und Credential Guard kann in diesem Menü aktiviert werden. Mit Windows Defender Credential Guard können Anmeldeinformationen unter Windows 10 zusätzlich abgesichert und vor Angriffen geschützt werden.

Device compliance

Compliance-Richtlinien können die Sicherheit von Geräten und den Schutz von Unternehmensdaten gewährleisten. Mithilfe dieser Richtlinie können Geräte als compliant oder nicht compliant markiert werden. Dabei handelt es sich um Regeln, die festlegen, was ein Gerät erfüllen muss, wie zum Beispiel BitLocker-Verschlüsselung, eine Mindest-OS-Version usw.

 Dieser Gerätestatus kann für Conditional Access verwendet werden.

Für den Bereich der Compliance-Richtlinien gibt es die folgenden Untermenüs:

Policies

• Definiere neue Compliance-Richtlinien und erhalte einen Überblick über bestehende. Hier siehst du auch, welche Richtlinien zugewiesen sind und welche nicht.

Notifications

• Hier kannst du Mail-Benachrichtigungen definieren, wenn ein Gerät nicht compliant ist. Mail-Vorlagen können in verschiedenen Sprachen erstellt werden.

Retire Noncompliant Devices

• Außerbetriebnahme von Geräten, nachdem sie für eine gewisse Zeit nicht compliant waren. Diese Aktion entfernt das Gerät aus der Intune-Verwaltung und entfernt alle Unternehmensdaten vom Gerät.

Locations

• In diesem Menü können Standorte auf Basis von Netzwerkinformationen definiert werden.

Compliance policy settings

• Weitere Optionen für Compliance-Richtlinien findest du hier, wie den Standardstatus, falls keine Richtlinie definiert ist, eine erweiterte Jailbreak-Erkennung kann aktiviert werden und die Tage der Gültigkeitsdauer des Compliance-Status können definiert werden.

Conditional access

Zugriffsrichtlinien sind Definitionen/Anweisungen, die ein Benutzer oder Gerät erfüllen muss, um auf bestimmte Ressourcen zugreifen zu können. Wenn du zum Beispiel auf bestimmte Daten zugreifen musst, kann eine Voraussetzung sein, dass dein Gerät compliant sein muss.

Ein weiteres Beispiel: Wenn sich ein Benutzer außerhalb des Unternehmensnetzwerks befindet, ist eine Multi-Faktor-Authentifizierung erforderlich.

Policies

• In diesem Bereich können die Conditional-Access-Richtlinien definiert werden. Es gibt die Möglichkeit, Richtlinien als Report Only zu erstellen, um nur einen Überblick zu erhalten, oder die Richtlinien aktiv zu aktivieren. Wie man einen Conditional Access konfiguriert, wird im Blog von Peter van der Woude sehr gut erklärt.

Insights and reporting

• Hier können CA-Daten an einen Azure Log Analytics Workspace gesendet werden, um ein erweitertes Reporting-Dashboard zu erhalten.

Diagnose and solve problems

• Hilfe- und Troubleshooting-Anleitungen.

Named locations

• Hier können vertrauenswürdige Standorte / Unternehmensnetzwerke auf Basis von IP-Informationen definiert werden. Diese Daten können dann für CA-Richtlinien verwendet werden.

Custom controls (Preview)

• Custom-CA-Controls können hier auf Basis eines JSON definiert werden. Um dieses Control zu erfüllen, wird der Browser eines Benutzers zum externen Dienst umgeleitet, führt die erforderliche Authentifizierung durch und wird dann zurück zu Microsoft Entra ID umgeleitet. Microsoft Entra ID prüft die Antwort, und wenn der Benutzer erfolgreich authentifiziert oder validiert wurde, setzt der Benutzer den Conditional-Access-Flow fort.

Terms of use

• Hier können die Nutzungsbedingungen in verschiedenen Sprachen definiert werden. Wenn die Nutzungsbedingungen definiert und über CA erzwungen werden, öffnet sich eine Seite, auf der du sie akzeptieren musst.

VPN connectivity

• In dieser Option kann ein Zertifikat für eine Always-on-VPN-Verbindung erstellt werden. Weitere Informationen zum Always-on-VPN mit CA findest du in der Microsoft-Dokumentation.

Authentication context (Preview)

• Mit Authentication Context können Anwendungen die Durchsetzung von Richtlinien auslösen, wenn ein Benutzer auf sensible Daten oder Aktionen zugreift. Wie du dies konfigurierst, findest du in dieser Anleitung.

Classic policies

• Tool zur Migration alter CA-Richtlinien, die nicht im Azure-Portal erstellt wurden, in das neue Framework.

Virtual assistant (Preview)

• Chatbot für Microsoft Entra ID Themen.

New support request

• Assistent zum Öffnen von Microsoft Entra ID Tickets oder zum Abrufen bestehender Lösungen.

Assignment failures

Hier werden Richtlinien angezeigt, deren Zuweisung fehlgeschlagen ist. Dies kann ein Sicherheitsrisiko darstellen, wenn bestimmte Richtlinien auf Geräten nicht wirksam werden.

Microsoft Defender for Endpoint

In diesem Menü kannst du Microsoft Defender for Endpoint aktivieren und mit Intune verbinden. Zusätzlich hast du hier die Möglichkeit, den Machine Risk Score für Compliance-Richtlinien bereitzustellen. Außerdem findest du ein Reporting darüber, auf wie vielen Geräten Defender installiert ist.

Help and support

Dieses Menü findest du an mehreren Stellen im Intune Admin Center. Hier hast du die Möglichkeit, Hilfe zu erhalten, Tickets zu öffnen oder auf bereits geöffnete Tickets zuzugreifen.

Microsoft hat ein starkes Wachstum in seinem Sicherheitsgeschäft verzeichnet und investiert weiterhin stark in diesen Bereich. Das zeigt sich auch in Intune. Es gibt außerdem unzählige Funktionen, um die Sicherheit in deinem Unternehmen zu erhöhen. Hier können wir auch in Zukunft viele neue Funktionen erwarten.

Vielen Dank, dass du diesen Blog gelesen hast. Wenn dir dieser Blog gefällt, würde ich mich sehr über einen Like oder ein Teilen freuen.

Wir sehen uns im nächsten Teil dieser Serie.
Bis dahin:

Bleib gesund, Cheers
Jannik