Data/Locales/checks/de/IntuneChecks.json
|
{ "_family": "IntuneChecks.json", "INTUNE-001": { "name": { "value": "Inventar der Gerätekonformitätsrichtlinien", "status": "machine-draft" }, "description": { "value": "Gerätekonformitätsrichtlinien definieren die Sicherheitsbasisanforderungen, die registrierte Geräte erfüllen müssen, etwa Betriebssystemversion, Verschlüsselung und Kennwortkomplexität. Ohne ein umfassendes Inventar dieser Richtlinien können Organisationen nicht überprüfen, ob alle Geräteplattformen und Benutzergruppen über angemessene Konformitätsanforderungen verfügen. Fehlende oder unvollständige Richtlinien lassen Geräte ungesteuert und potenziell nicht konform.", "status": "machine-draft" }, "recommendedValue": { "value": "Mindestens eine Konformitätsrichtlinie je unterstützter Plattform (Windows, iOS, Android, macOS)", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie das aktuelle Inventar der Gerätekonformitätsrichtlinien im Intune Admin Center und stellen Sie sicher, dass jeder unterstützten Plattform mindestens eine Richtlinie zugewiesen ist. Erstellen Sie Konformitätsrichtlinien für alle Plattformen ohne Abdeckung und definieren Sie angemessene Anforderungen an Betriebssystemversion, Verschlüsselung und Gerätezustand. Weisen Sie die Richtlinien den entsprechenden Benutzer- oder Gerätegruppen zu und stellen Sie sicher, dass keine Geräte außerhalb des Geltungsbereichs der Richtlinien liegen.", "status": "machine-draft" } }, "INTUNE-002": { "name": { "value": "Übersicht über den Gerätekonformitätsstatus", "status": "machine-draft" }, "description": { "value": "Der Gesamtkonformitätsstatus der Geräte gibt an, ob registrierte Geräte die Anforderungen der ihnen zugewiesenen Konformitätsrichtlinien erfüllen. Ein hoher Anteil nicht konformer oder nicht bewerteter Geräte signalisiert Durchsetzungslücken, die unsicheren Geräten den Zugriff auf Unternehmensressourcen ermöglichen könnten. Eine kontinuierliche Überwachung des Konformitätsstatus ist entscheidend, um die Sicherheitslage des Gerätebestands aufrechtzuerhalten.", "status": "machine-draft" }, "recommendedValue": { "value": "Gerätekonformitätsrate von 95 % oder höher über alle registrierten Geräte hinweg", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie das Übersichts-Dashboard zur Gerätekonformität, um die Verteilung konformer, nicht konformer und nicht bewerteter Geräte zu ermitteln. Untersuchen Sie Geräte im Status „nicht bewertet“, um festzustellen, ob ihnen zugewiesene Richtlinien fehlen oder ob Synchronisierungsprobleme die Bewertung verhindern. Richten Sie Benachrichtigungen zum Konformitätsstatus ein und integrieren Sie den bedingten Zugriff, um nicht konformen Geräten den Zugriff auf Unternehmensressourcen zu verweigern.", "status": "machine-draft" } }, "INTUNE-003": { "name": { "value": "Aufzählung nicht konformer Geräte", "status": "machine-draft" }, "description": { "value": "Geräte, die die Bewertung durch Konformitätsrichtlinien nicht bestehen, stellen ein direktes Risiko für die Organisation dar, da ihnen möglicherweise Verschlüsselung fehlt, sie veraltete Betriebssysteme ausführen oder deaktivierte Sicherheitsfunktionen aufweisen. Die Aufzählung nicht konformer Geräte und das Verständnis der konkreten Konformitätsverstöße ermöglichen eine gezielte Behebung. Ohne diese Sichtbarkeit können unsichere Geräte unbemerkt weiterhin auf Unternehmensdaten zugreifen.", "status": "machine-draft" }, "recommendedValue": { "value": "Keine nicht konformen Geräte mit Zugriff auf Unternehmensressourcen; alle nicht konformen Geräte sollten blockiert werden oder sich in Behebung befinden", "status": "machine-draft" }, "remediationSteps": { "value": "Erstellen Sie einen detaillierten Bericht über nicht konforme Geräte, der die konkreten fehlschlagenden Konformitätseinstellungen für jedes Gerät enthält. Priorisieren Sie die Behebung von Geräten, die kritische Konformitätsprüfungen wie Verschlüsselung oder Antivirenanforderungen nicht bestehen, und arbeiten Sie mit den Gerätebesitzern an der Lösung. Konfigurieren Sie in jeder Konformitätsrichtlinie Aktionen bei Nichtkonformität, um Geräte nach einer Nachfrist als nicht konform zu markieren, und integrieren Sie den bedingten Zugriff, um den Ressourcenzugriff zu beschränken.", "status": "machine-draft" } }, "INTUNE-004": { "name": { "value": "Inventar der Konfigurationsprofile", "status": "machine-draft" }, "description": { "value": "Konfigurationsprofile übertragen Sicherheitseinstellungen, Einschränkungen und Funktionskonfigurationen an registrierte Geräte. Ein unvollständiges Inventar der Konfigurationsprofile kann zu Sicherheitslücken führen, in denen kritische Einstellungen wie Bildschirmsperre, WLAN-Sicherheit oder Zertifikatsbereitstellung nicht angewendet werden. Das Verständnis des vollen Umfangs der Konfigurationsprofile ist notwendig, um Abdeckungslücken über den Gerätebestand hinweg zu identifizieren.", "status": "machine-draft" }, "recommendedValue": { "value": "Dokumentiertes Inventar aller Konfigurationsprofile mit klaren Namenskonventionen und dokumentierter Zuweisung", "status": "machine-draft" }, "remediationSteps": { "value": "Exportieren Sie die vollständige Liste der Konfigurationsprofile aus Intune und überprüfen Sie den Zweck, die Zielplattform und den aktuellen Zuweisungsstatus jedes Profils. Identifizieren Sie alle nicht zugewiesenen, in Konflikt stehenden oder redundanten Profile und konsolidieren Sie diese, wo angebracht. Etablieren Sie eine Namenskonvention und einen Dokumentationsstandard für alle Profile, um die laufende Verwaltung und Prüfung zu erleichtern.", "status": "machine-draft" } }, "INTUNE-005": { "name": { "value": "Analyse der Zuweisung von Konfigurationsprofilen", "status": "machine-draft" }, "description": { "value": "Konfigurationsprofile sind nur wirksam, wenn sie den richtigen Geräte- oder Benutzergruppen ordnungsgemäß zugewiesen sind. Profile, die zu breit gefassten Gruppen zugewiesen sind, können Konflikte verursachen oder Einstellungen auf ungeeignete Geräte anwenden, während eng zugewiesene Profile Geräte unkonfiguriert lassen können. Die Analyse der Zuweisungsabdeckung stellt sicher, dass Sicherheitskonfigurationen alle vorgesehenen Endpunkte konfliktfrei erreichen.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle sicherheitskritischen Profile den entsprechenden Gruppen zugewiesen, ohne nicht zugewiesene kritische Profile und ohne in Konflikt stehende Zuweisungen", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie den Zuweisungsstatus und die Zielgruppen jedes Konfigurationsprofils und achten Sie dabei auf Profile mit Fehlern oder Konflikten. Lösen Sie Profilkonflikte, indem Sie Zuweisungen anpassen, ähnliche Profile zusammenführen oder Filter verwenden, um bestimmte Gerätemerkmale gezielt anzusprechen. Stellen Sie sicher, dass sicherheitskritische Profile wie BitLocker-, Firewall- und Antiviren-Einstellungen allen zutreffenden Geräten über eine umfassende Gruppenmitgliedschaft zugewiesen werden.", "status": "machine-draft" } }, "INTUNE-006": { "name": { "value": "Konfiguration der Windows Update for Business-Ringe", "status": "machine-draft" }, "description": { "value": "Windows Update for Business-Ringe steuern die Kadenz und die Aufschubzeiträume für Qualitäts- und Funktionsupdates auf verwalteten Windows-Geräten. Fehlkonfigurierte Updateringe können dazu führen, dass Geräte über längere Zeit veraltete Builds mit bekannten Schwachstellen ausführen. Ordnungsgemäß gestaffelte Updateringe bringen betriebliche Stabilität und zeitnahes Sicherheitspatching in Einklang.", "status": "machine-draft" }, "recommendedValue": { "value": "Qualitätsupdates um höchstens 7 Tage aufgeschoben; Funktionsupdates um höchstens 60 Tage aufgeschoben; alle Ringe zugewiesen und aktiv Updates ausliefernd", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie alle Konfigurationen der Windows Update for Business-Ringe und stellen Sie sicher, dass die Aufschubzeiträume für Qualitätsupdates bei sicherheitskritischen Ringen 7 Tage nicht überschreiten. Stellen Sie sicher, dass mindestens ein Pilot- und ein breiter Bereitstellungsring mit angemessener Aufschubstaffelung vorhanden sind. Überwachen Sie die Berichte zur Updatekonformität, um Geräte zu identifizieren, die aktuelle Updates nicht installiert haben, und untersuchen Sie alle Updatefehler oder ins Stocken geratenen Installationen.", "status": "machine-draft" } }, "INTUNE-007": { "name": { "value": "Audit der BitLocker-Verschlüsselungsrichtlinie", "status": "machine-draft" }, "description": { "value": "Die BitLocker-Laufwerkverschlüsselung schützt ruhende Daten auf Windows-Geräten und verhindert bei Verlust oder Diebstahl eines Geräts unbefugten Zugriff auf den Inhalt der Festplatte. Ohne eine ordnungsgemäß konfigurierte BitLocker-Richtlinie speichern Geräte Unternehmensdaten möglicherweise unverschlüsselt und legen sensible Informationen offen. Die Richtlinie muss die Verschlüsselung von Betriebssystem- und festen Datenlaufwerken mit sicheren Optionen zur Schlüsselwiederherstellung erzwingen.", "status": "machine-draft" }, "recommendedValue": { "value": "BitLocker auf allen Betriebssystem- und festen Datenlaufwerken mit XTS-AES-256-Bit-Verschlüsselung und Azure-AD-Schlüsselhinterlegung aktiviert", "status": "machine-draft" }, "remediationSteps": { "value": "Erstellen oder aktualisieren Sie das Intune-Endpunktschutzprofil, um die BitLocker-Verschlüsselung auf Betriebssystem- und festen Datenlaufwerken mit XTS-AES-256-Bit-Verschlüsselung zu erfordern. Konfigurieren Sie die Hinterlegung des Wiederherstellungsschlüssels in Azure AD, um die Schlüsselwiederherstellung sicherzustellen, und stellen Sie die Richtlinie so ein, dass die Verschlüsselung ohne Benutzerinteraktion unbemerkt aktiviert wird. Überwachen Sie den Bericht zum Verschlüsselungsstatus, um Geräte zu identifizieren, die die Verschlüsselung nicht abgeschlossen haben, und beheben Sie alle Fehler.", "status": "machine-draft" } }, "INTUNE-008": { "name": { "value": "Audit der Windows-Defender-/Antivirenrichtlinie", "status": "machine-draft" }, "description": { "value": "Windows Defender Antivirus ist der primäre Endpunktschutz-Agent auf Windows-Geräten und muss ordnungsgemäß konfiguriert sein, um Echtzeitschutz, cloudbasierten Schutz und Beispielübermittlung bereitzustellen. Deaktivierte oder abgeschwächte Antivireneinstellungen lassen Geräte anfällig für Malware-Infektionen, die zu Datendiebstahl, Ransomware und lateraler Bewegung führen können. Angreifer versuchen häufig, den Virenschutz zu manipulieren oder zu deaktivieren, als ersten Schritt einer Angriffskette.", "status": "machine-draft" }, "recommendedValue": { "value": "Echtzeitschutz aktiviert, cloudbasierter Schutz aktiviert, automatische Beispielübermittlung aktiviert, Manipulationsschutz aktiviert", "status": "machine-draft" }, "remediationSteps": { "value": "Stellen Sie eine Intune-Antivirenrichtlinie bereit, die Echtzeitschutz, cloudbasierten Schutz, automatische Beispielübermittlung und Manipulationsschutz auf allen verwalteten Windows-Geräten erzwingt. Überprüfen Sie, ob der Schutz vor potenziell unerwünschten Anwendungen (PUA) aktiviert ist und ob geplante Scans für mindestens wöchentliche vollständige Scans konfiguriert sind. Überwachen Sie den Status des Defender-Antiviren-Agents im gesamten Bestand und untersuchen Sie alle Geräte, die deaktivierten Schutz oder veraltete Definitionen melden.", "status": "machine-draft" } }, "INTUNE-009": { "name": { "value": "Konfiguration der Regeln zur Verringerung der Angriffsfläche", "status": "machine-draft" }, "description": { "value": "Regeln zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) in Microsoft Defender blockieren gängige Angriffstechniken wie verschleierte Skripte, die Ausnutzung von Office-Makros und den Diebstahl von Anmeldeinformationen aus LSASS. Ohne konfigurierte und durchgesetzte ASR-Regeln bleiben Endpunkte anfällig für gut bekannte Angriffsmuster, die Massen-Malware und Angreifer routinemäßig ausnutzen. Ordnungsgemäß konfigurierte ASR-Regeln verringern die Angriffsfläche von Windows-Endpunkten erheblich.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle empfohlenen ASR-Regeln im Blockiermodus aktiviert; Überwachungsmodus für neu bereitgestellte Regeln während der Tests", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die aktuelle ASR-Regelkonfiguration in der Intune-Endpunktsicherheit und aktivieren Sie alle von Microsoft empfohlenen Regeln mindestens im Überwachungsmodus. Überführen Sie die Regeln nach einem Überwachungszeitraum zur Identifizierung von Fehlalarmen in den Blockiermodus, beginnend mit wirkungsstarken Regeln wie dem Blockieren, dass Office-Anwendungen untergeordnete Prozesse erstellen, und dem Blockieren des Diebstahls von Anmeldeinformationen aus LSASS. Konfigurieren Sie ASR-Regelausnahmen sparsam und nur für dokumentierte geschäftskritische Anwendungen und überwachen Sie den ASR-Ereignisbericht auf fortlaufende Wirksamkeit.", "status": "machine-draft" } }, "INTUNE-010": { "name": { "value": "Konfiguration von Endpoint Detection and Response", "status": "machine-draft" }, "description": { "value": "Die von Microsoft Defender for Endpoint bereitgestellten Endpoint-Detection-and-Response-Funktionen (EDR) ermöglichen erweiterte Bedrohungserkennung, Untersuchung und automatisierte Reaktion auf verwalteten Geräten. Ohne EDR-Onboarding und eine ordnungsgemäße Sensorkonfiguration fehlt den Sicherheitsteams die Sichtbarkeit auf ausgefeilte Angriffe, die den herkömmlichen Virenschutz umgehen. EDR ist entscheidend für die Erkennung dateiloser Malware, von Living-off-the-Land-Techniken und fortgeschrittener, hartnäckiger Bedrohungen.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle verwalteten Geräte in Defender for Endpoint aufgenommen, mit EDR im Blockiermodus; Beispielfreigabe und Cloud-Schutz aktiviert", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie, ob alle verwalteten Windows-Geräte über die Intune-EDR-Richtlinie in Microsoft Defender for Endpoint aufgenommen sind und ob der Sensorzustand als aktiv angezeigt wird. Aktivieren Sie EDR im Blockiermodus, um zusätzliche Blockierfähigkeiten bereitzustellen, selbst wenn ein Drittanbieter-Virenschutz die primäre Engine ist. Überprüfen Sie das Geräteinventar im Defender-Portal, um Geräte mit Sensorzustandsproblemen zu identifizieren, und beheben Sie Verbindungs- oder Konfigurationsprobleme, die ein erfolgreiches Onboarding verhindern.", "status": "machine-draft" } }, "INTUNE-011": { "name": { "value": "Anwendungsschutzrichtlinien (MAM)", "status": "machine-draft" }, "description": { "value": "Anwendungsschutzrichtlinien (Mobile Application Management) steuern, wie Unternehmensdaten innerhalb verwalteter Anwendungen sowohl auf registrierten als auch auf nicht registrierten Geräten gehandhabt werden. Ohne diese Richtlinien können Benutzer Unternehmensdaten in persönliche Anwendungen kopieren, Dateien über nicht verwaltete Kanäle teilen oder Unternehmensdaten in persönliche Cloud-Speicher sichern. MAM-Richtlinien sind unerlässlich, um Datenabfluss auf Mobilgeräten zu verhindern.", "status": "machine-draft" }, "recommendedValue": { "value": "App-Schutzrichtlinien auf alle verwalteten Apps unter iOS und Android angewendet; Ausschneiden/Kopieren/Einfügen auf verwaltete Apps beschränkt; Sicherung in nicht verwaltete Dienste blockiert", "status": "machine-draft" }, "remediationSteps": { "value": "Erstellen Sie Anwendungsschutzrichtlinien für die Plattformen iOS und Android, die auf alle Microsoft-365- und branchenspezifischen Anwendungen abzielen, die Unternehmensdaten verarbeiten. Konfigurieren Sie die Datenschutzeinstellungen so, dass Ausschneiden/Kopieren/Einfügen in nicht verwaltete Anwendungen verhindert, die Sicherung in persönliche Cloud-Dienste blockiert und eine PIN oder biometrische Authentifizierung auf App-Ebene erfordert wird. Weisen Sie die Richtlinien allen Benutzern zu, die auf Mobilgeräten auf Unternehmensdaten zugreifen, und überwachen Sie den Bericht zum App-Schutzstatus auf nicht konforme Anwendungen.", "status": "machine-draft" } }, "INTUNE-012": { "name": { "value": "Einstellungen für bedingten Start", "status": "machine-draft" }, "description": { "value": "Einstellungen für den bedingten Start innerhalb von Anwendungsschutzrichtlinien definieren die Bedingungen, unter denen eine verwaltete Anwendung gestartet werden darf, etwa die minimale Betriebssystemversion, die maximal zulässige Bedrohungsstufe oder die Erkennung von Jailbreak/Root. Ohne diese Einstellungen können kompromittierte oder veraltete Geräte über verwaltete Anwendungen auf Unternehmensdaten zugreifen, selbst wenn das Gerät selbst unsicher ist. Diese Kontrollen bieten eine kritische letzte Verteidigungslinie für den Datenschutz.", "status": "machine-draft" }, "recommendedValue": { "value": "Zugriff auf Geräten mit Jailbreak/Root blockieren; minimale Betriebssystemversion erfordern; Zugriff blockieren, wenn die Gerätebedrohungsstufe hoch ist", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen und aktualisieren Sie die Einstellungen für den bedingten Start in jeder Anwendungsschutzrichtlinie, um den App-Zugriff auf Geräten mit Jailbreak oder Root zu blockieren. Konfigurieren Sie Anforderungen an die minimale Betriebssystemversion, die mit den vom Hersteller unterstützten Versionen übereinstimmen, und legen Sie maximale Schwellenwerte für die Gerätebedrohungsstufe fest, die sich in Ihre Mobile-Threat-Defense-Lösung integrieren. Testen Sie die Einstellungen für den bedingten Start mit einer Pilotgruppe vor der breiten Bereitstellung, um sicherzustellen, dass legitime Benutzer nicht versehentlich blockiert werden.", "status": "machine-draft" } }, "INTUNE-013": { "name": { "value": "Beschränkungen der Geräteregistrierung", "status": "machine-draft" }, "description": { "value": "Beschränkungen der Geräteregistrierung steuern, welche Gerätetypen, Plattformen und Betriebssystemversionen sich zur Verwaltung in Intune registrieren dürfen. Ohne geeignete Beschränkungen könnten Benutzer persönliche Geräte mit nicht unterstützten oder anfälligen Betriebssystemversionen registrieren und damit die Angriffsfläche vergrößern. Registrierungsbeschränkungen verhindern zudem, dass nicht autorisierte Gerätetypen über die Geräteverwaltung Zugriff auf Unternehmensressourcen erlangen.", "status": "machine-draft" }, "recommendedValue": { "value": "Privat besessene Geräte blockieren oder auf bestimmte Plattformen begrenzen; Anforderungen an die minimale Betriebssystemversion erzwingen; Anzahl der Geräteregistrierungen pro Benutzer begrenzen", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die Beschränkungen der Geräteregistrierung in Intune und konfigurieren Sie plattformspezifische Beschränkungen, die mit der Richtlinie Ihrer Organisation für unterstützte Geräte übereinstimmen. Legen Sie Anforderungen an die minimale Betriebssystemversion für jede Plattform fest und konfigurieren Sie die maximale Anzahl von Geräten, die ein einzelner Benutzer registrieren kann, um Missbrauch zu verhindern. Wird die Registrierung unternehmenseigener Geräte bevorzugt, blockieren Sie die Registrierung privat besessener Geräte und verweisen Sie Benutzer für BYOD-Szenarien auf Anwendungsschutzrichtlinien.", "status": "machine-draft" } }, "INTUNE-014": { "name": { "value": "Autopilot-Konfiguration", "status": "machine-draft" }, "description": { "value": "Windows Autopilot bietet eine Zero-Touch-Bereitstellungserfahrung, die sicherstellt, dass neue Geräte vom ersten Start an mit den richtigen Sicherheitsbaselines konfiguriert sind. Ein schlecht konfiguriertes oder fehlendes Autopilot-Bereitstellungsprofil bedeutet, dass neue Geräte möglicherweise ohne kritische Sicherheitseinstellungen bereitgestellt werden, was ein Zeitfenster der Anfälligkeit schafft. Die Überprüfung der Autopilot-Konfigurationen gewährleistet eine konsistente und sichere Gerätebereitstellung.", "status": "machine-draft" }, "recommendedValue": { "value": "Autopilot-Bereitstellungsprofil für alle Unternehmensgeräte konfiguriert, mit benutzergesteuertem oder selbstbereitstellendem Modus und Azure-AD-Beitritt", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die vorhandenen Autopilot-Bereitstellungsprofile und stellen Sie sicher, dass sie für den Azure-AD-Beitritt mit angemessenen Einstellungen für den benutzergesteuerten oder selbstbereitstellenden Modus konfiguriert sind. Stellen Sie sicher, dass die Registrierungsstatusseite aktiviert ist, um zu verhindern, dass Benutzer auf den Desktop zugreifen, bevor alle kritischen Richtlinien und Anwendungen installiert sind. Überprüfen Sie, ob alle Hardwarehashes der Unternehmensgeräte beim Autopilot-Dienst registriert und dem entsprechenden Bereitstellungsprofil zugewiesen sind.", "status": "machine-draft" } }, "INTUNE-015": { "name": { "value": "Status der Datenträgerverschlüsselung", "status": "machine-draft" }, "description": { "value": "Die vollständige Datenträgerverschlüsselung stellt sicher, dass auf Gerätelaufwerken gespeicherte Daten geschützt sind, falls das physische Gerät verloren geht, gestohlen oder außer Betrieb genommen wird. Geräte ohne aktivierte Verschlüsselung legen Unternehmensdaten einschließlich zwischengespeicherter Anmeldeinformationen, Dokumente und E-Mails physischen Diebstahlangriffen offen. Die Überwachung des Verschlüsselungsstatus im gesamten Bestand identifiziert Geräte, deren Verschlüsselung fehlgeschlagen ist oder die noch nicht verschlüsselt wurden.", "status": "machine-draft" }, "recommendedValue": { "value": "100 % der verwalteten Geräte melden aktivierte Verschlüsselung auf allen Laufwerken", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie den Intune-Verschlüsselungsbericht, um alle Geräte zu identifizieren, die keine aktivierte vollständige Datenträgerverschlüsselung melden. Untersuchen Sie Verschlüsselungsfehler, die durch nicht unterstützte Hardware, TPM-Probleme oder Richtlinienkonflikte verursacht sein können, und beheben Sie die zugrunde liegenden Ursachen. Bewerten Sie bei Geräten, die keine Verschlüsselung unterstützen können, ob ihnen der Zugriff auf Unternehmensressourcen gestattet werden sollte, und erwägen Sie, sie über Richtlinien für bedingten Zugriff zu blockieren.", "status": "machine-draft" } }, "INTUNE-016": { "name": { "value": "Konfiguration der Firewallrichtlinie", "status": "machine-draft" }, "description": { "value": "Die Windows Defender Firewall bietet hostbasierten Netzwerkschutz, der unbefugte eingehende und ausgehende Verbindungen blockiert. Ohne eine zentral über Intune verwaltete Firewallrichtlinie können einzelne Geräte inkonsistente oder deaktivierte Firewalleinstellungen aufweisen, wodurch sie anfällig für netzwerkbasierte Angriffe werden. Eine zentrale Firewallverwaltung gewährleistet einen konsistenten Schutz über alle verwalteten Endpunkte hinweg, unabhängig vom Netzwerkstandort.", "status": "machine-draft" }, "recommendedValue": { "value": "Windows Defender Firewall für alle Profile (Domäne, Privat, Öffentlich) aktiviert; eingehende Verbindungen standardmäßig blockiert; verworfene Pakete protokolliert", "status": "machine-draft" }, "remediationSteps": { "value": "Stellen Sie eine Intune-Endpunktsicherheits-Firewallrichtlinie bereit, die die Windows Defender Firewall für die Netzwerkprofile Domäne, Privat und Öffentlich mit standardmäßig blockierten eingehenden Verbindungen aktiviert. Konfigurieren Sie Firewallregeln für alle erforderlichen Anwendungsausnahmen und aktivieren Sie die Protokollierung für verworfene und erfolgreiche Verbindungen. Überwachen Sie den Bereitstellungsstatus der Firewallrichtlinie und untersuchen Sie alle Geräte, die Fehler bei der Richtlinienanwendung oder einen deaktivierten Firewallzustand melden.", "status": "machine-draft" } }, "INTUNE-017": { "name": { "value": "Konformität mit Sicherheitsbaselines", "status": "machine-draft" }, "description": { "value": "Microsoft-Sicherheitsbaselines in Intune bieten vorkonfigurierte Gruppen von Windows-Einstellungen, die von den Sicherheitsteams von Microsoft empfohlen werden und Bereiche wie Schutz von Anmeldeinformationen, Browsersicherheit und Verringerung der Angriffsfläche abdecken. Geräte, die von der Sicherheitsbaseline abweichen, weisen eine geschwächte Sicherheitslage auf und können für bekannte Angriffsvektoren anfällig sein. Die Überwachung der Baseline-Konformität identifiziert Konfigurationsabweichungen und hilft, eine konsistente Sicherheitslage aufrechtzuerhalten.", "status": "machine-draft" }, "recommendedValue": { "value": "Konformität von 90 % oder höher mit den zugewiesenen Sicherheitsbaselines; alle Konflikt- und Fehlerzustände behoben", "status": "machine-draft" }, "remediationSteps": { "value": "Stellen Sie das neueste Microsoft-Sicherheitsbaseline-Profil für Windows und Defender for Endpoint auf allen verwalteten Geräten bereit und überwachen Sie den Konformitätsstatus je Einstellung. Untersuchen Sie Einstellungen, die Konflikt- oder Fehlerzustände melden, da diese oft auf konkurrierende Richtlinien hinweisen, die abgestimmt werden müssen. Beheben Sie nicht konforme Einstellungen, indem Sie bewerten, ob die Abweichung auf eine legitime geschäftliche Anforderung zurückzuführen ist, die eine dokumentierte Ausnahme rechtfertigt, oder auf ein Konfigurationsproblem, das korrigiert werden sollte.", "status": "machine-draft" } }, "INTUNE-018": { "name": { "value": "Audit der PowerShell-Skriptbereitstellung", "status": "machine-draft" }, "description": { "value": "Intune erlaubt Administratoren, PowerShell-Skripte auf verwalteten Windows-Geräten bereitzustellen, die standardmäßig mit SYSTEM-Berechtigungen ausgeführt werden. Über diesen Kanal bereitgestellte bösartige oder schlecht geschriebene Skripte können die Gerätesicherheit im gesamten Bestand kompromittieren, Daten exfiltrieren oder nicht autorisierte Software installieren. Jedes bereitgestellte Skript muss auf Sicherheitsimplikationen überprüft und auf autorisierte Bereitstellung nachverfolgt werden.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle bereitgestellten Skripte über das Änderungsmanagement überprüft und genehmigt; Skripte nach Möglichkeit im Benutzerkontext ausgeführt; Skriptinhalt dokumentiert", "status": "machine-draft" }, "remediationSteps": { "value": "Prüfen Sie alle derzeit über Intune bereitgestellten PowerShell-Skripte und überprüfen Sie deren Inhalt auf Sicherheitsrisiken wie fest codierte Anmeldeinformationen, uneingeschränkte Remote-Downloads oder übermäßige Berechtigungsänderungen. Stellen Sie sicher, dass Skripte nach Möglichkeit im Benutzerkontext statt im SYSTEM-Kontext ausgeführt werden und dass die Skriptausführung auf den minimal erforderlichen Gerätebereich begrenzt ist. Implementieren Sie einen Änderungsmanagementprozess für die Skriptbereitstellung, der eine Peer-Review des Skriptinhalts und eine formelle Genehmigung vor der Produktionsbereitstellung umfasst.", "status": "machine-draft" } }, "INTUNE-019": { "name": { "value": "Sicherheitsüberprüfung der Win32-App-Bereitstellung", "status": "machine-draft" }, "description": { "value": "Win32-Anwendungsbereitstellungen über Intune verpacken und verteilen herkömmliche Desktopanwendungen an verwaltete Geräte. Unzureichend geprüfte Anwendungen können Schwachstellen, gebündelte Malware oder übermäßige Systemänderungen enthalten, die die Gerätesicherheit schwächen. Die Überprüfung des Katalogs der Win32-App-Bereitstellungen stellt sicher, dass nur genehmigte und sichere Anwendungen an den verwalteten Gerätebestand verteilt werden.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Win32-Apps aus vertrauenswürdigen Quellen mit dokumentierter Genehmigung bezogen; Installationsbefehle auf Sicherheitsimplikationen überprüft", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie alle über Intune bereitgestellten Win32-Anwendungen und stellen Sie sicher, dass jede Anwendung aus einer vertrauenswürdigen Quelle stammt und über Ihren Softwaregenehmigungsprozess genehmigt wurde. Prüfen Sie die Befehlszeilen zur Installation und Deinstallation auf verdächtige Parameter, Skriptausführung oder Registrierungsänderungen, die die Sicherheit schwächen könnten. Implementieren Sie einen Anwendungsüberprüfungsprozess, der neue Win32-App-Pakete vor der Bereitstellung in Produktionsgerätegruppen auf Sicherheitsrisiken bewertet.", "status": "machine-draft" } }, "INTUNE-020": { "name": { "value": "Gerätekategorien und -gruppierung", "status": "machine-draft" }, "description": { "value": "Gerätekategorien und dynamische Gruppen in Intune organisieren verwaltete Geräte für die gezielte Bereitstellung von Richtlinien und Anwendungen. Ohne ein strukturiertes Kategorisierungsschema können Richtlinien inkonsistent angewendet werden, und kritische Sicherheitskonfigurationen könnten ganze Segmente des Gerätebestands verfehlen. Eine ordnungsgemäße Gerätegruppierung ermöglicht differenzierte Sicherheitslagen für unterschiedliche Geräterollen und Benutzergruppen.", "status": "machine-draft" }, "recommendedValue": { "value": "Definierte Gerätekategorien, die mit den organisatorischen Anforderungen übereinstimmen; dynamische Gruppen auf Basis von Geräteeigenschaften für automatisierte Richtlinienzuweisung", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen und etablieren Sie Gerätekategorien, die mit organisatorischen Geräterollen wie Führungskraft, Standardbenutzer, Kiosk oder freigegebenes Gerät übereinstimmen. Erstellen Sie dynamische Gerätegruppen auf Basis von Geräteeigenschaften einschließlich Kategorie, Betriebssystem, Besitzart und Konformitätsstatus für die automatisierte Zuweisung von Richtlinien und Anwendungen. Überprüfen Sie, ob alle Richtlinienzuweisungen auf geeignete Gruppen verweisen und dass keine Geräte außerhalb der Gruppierungsstruktur liegen.", "status": "machine-draft" } }, "INTUNE-021": { "name": { "value": "Audit von Remote-Aktionen (Löschen, Außerbetriebnahme, Sperren)", "status": "machine-draft" }, "description": { "value": "Intune-Remote-Aktionen wie Löschen (Wipe), Außerbetriebnahme (Retire) und Remote-Sperre sind leistungsstarke Geräteverwaltungsfunktionen, die bei Missbrauch zu Datenverlust oder Denial-of-Service für legitime Benutzer führen können. Nicht autorisierte oder versehentliche Remote-Löschungen können geschäftskritische Daten auf Geräten zerstören, während nicht geprüfte Remote-Sperraktionen auf eine Kontokompromittierung hindeuten könnten. Alle Remote-Aktionen müssen protokolliert und auf autorisierte Nutzung überprüft werden.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Remote-Aktionen mit Identität des Bedieners protokolliert; Löschaktionen erfordern dokumentierte Genehmigung; Überwachungsprotokolle wöchentlich überprüft", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die Intune-Überwachungsprotokolle auf alle Remote-Aktionsereignisse einschließlich Löschen, Außerbetriebnahme, Remote-Sperre und Kenncode-Zurücksetzung, um nicht autorisierte oder ungewöhnliche Aktivitäten zu identifizieren. Implementieren Sie einen Genehmigungsworkflow für destruktive Remote-Aktionen wie das vollständige Löschen, der eine dokumentierte Begründung und eine sekundäre Genehmigung erfordert. Konfigurieren Sie Benachrichtigungswarnungen für Remote-Löschaktionen, damit Sicherheitsteams unmittelbar informiert sind, wenn Geräte gelöscht werden.", "status": "machine-draft" } }, "INTUNE-022": { "name": { "value": "OneDrive-Synchronisierungsbeschränkungen", "status": "machine-draft" }, "description": { "value": "Die Einstellungen des OneDrive-Synchronisierungsclients steuern, wie Unternehmensdateien zwischen Cloud-Speicher und verwalteten Geräten synchronisiert werden, und eine uneingeschränkte Synchronisierung kann dazu führen, dass Unternehmensdaten auf nicht verwalteten oder nicht konformen Geräten gespeichert werden. Ohne Domänenbeschränkungen für den Synchronisierungsclient können Benutzer Unternehmens-SharePoint- und OneDrive-Inhalte auf persönliche Geräte außerhalb der IT-Kontrolle synchronisieren. Ordnungsgemäße Synchronisierungsbeschränkungen verhindern Datenabfluss durch nicht verwaltete Dateisynchronisierung.", "status": "machine-draft" }, "recommendedValue": { "value": "OneDrive-Synchronisierung auf in eine Domäne eingebundene oder von Intune verwaltete Geräte beschränkt; Verschieben bekannter Ordner (Known Folder Move) zur Sicherung aktiviert; Dateien bei Bedarf (Files On-Demand) aktiviert", "status": "machine-draft" }, "remediationSteps": { "value": "Konfigurieren Sie den OneDrive-Synchronisierungsclient über Intune, um die Synchronisierung mithilfe der Mandanten-Zulassungsliste auf Geräte zu beschränken, die mit Azure AD verbunden oder von Intune verwaltet werden. Aktivieren Sie das Verschieben bekannter Ordner, um Desktop, Dokumente und Bilder zum Datenschutz automatisch nach OneDrive umzuleiten, und aktivieren Sie Dateien bei Bedarf, um die lokale Datenspeicherung zu minimieren. Blockieren Sie die Synchronisierung persönlicher OneDrive-Konten auf Unternehmensgeräten, sofern die Organisationsrichtlinie dies zulässt, um eine Vermischung von Daten zu verhindern.", "status": "machine-draft" } }, "INTUNE-023": { "name": { "value": "Mehrfachadministratorgenehmigung für destruktive Geräteaktionen", "status": "machine-draft" }, "description": { "value": "Microsoft Intune unterstützt Richtlinien zur Mehrfachadministratorgenehmigung, die einen zweiten Administrator erfordern, um wirkungsstarke Vorgänge wie das massenhafte Löschen von Geräten, die massenhafte Außerbetriebnahme von Geräten und Skriptbereitstellungen vor deren Ausführung zu genehmigen. Ohne Mehrfachadministratorgenehmigung kann ein einzelnes kompromittiertes Administratorkonto massenhafte Gerätelöschungen in der gesamten Organisation auslösen. Diese Prüfung überprüft, ob Richtlinien zur Vorgangsgenehmigung konfiguriert sind, um vor destruktiven Aktionen durch ein kompromittiertes oder böswilliges Administratorkonto zu schützen.", "status": "machine-draft" }, "recommendedValue": { "value": "Mehrfachadministratorgenehmigung für destruktive Vorgänge aktiviert, einschließlich massenhaftem Gerätelöschen, massenhafter Geräteaußerbetriebnahme und Skriptbereitstellungsaktionen", "status": "machine-draft" }, "remediationSteps": { "value": "Navigieren Sie zum Microsoft Intune Admin Center > Mandantenverwaltung > Mehrfachadministratorgenehmigung. Erstellen Sie eine Genehmigungsrichtlinie, die einen zweiten Administrator erfordert, um destruktive Vorgänge zu genehmigen. Aktivieren Sie mindestens die Genehmigung für: Massengeräteaktionen (Löschen, Außerbetriebnahme, Entfernen), App-Bereitstellung an große Gruppen und Skriptbereitstellungen. Weisen Sie eine Genehmigungsgruppe mit vertrauenswürdigen leitenden Administratoren zu, die diese Anfragen prüfen und genehmigen. Erwägen Sie einen beschleunigten Genehmigungsprozess für Notfallszenarien.", "status": "machine-draft" } } } |