Data/Locales/checks/it/IntuneChecks.json
|
{ "_family": "IntuneChecks.json", "INTUNE-001": { "name": { "value": "Inventario dei criteri di conformita dei dispositivi", "status": "machine-draft" }, "description": { "value": "I criteri di conformita dei dispositivi definiscono i requisiti di baseline di sicurezza che i dispositivi registrati devono soddisfare, quali versione del sistema operativo, crittografia e complessità della password. Senza un inventario completo di questi criteri, le organizzazioni non possono verificare che tutte le piattaforme dei dispositivi e i gruppi di utenti abbiano requisiti di conformita adeguati. Criteri mancanti o incompleti lasciano i dispositivi non governati e potenzialmente non conformi.", "status": "machine-draft" }, "recommendedValue": { "value": "Almeno un criterio di conformita per ciascuna piattaforma supportata (Windows, iOS, Android, macOS)", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina l'inventario attuale dei criteri di conformita dei dispositivi nell'interfaccia di amministrazione di Intune e verifica che ciascuna piattaforma supportata abbia almeno un criterio assegnato. Crea criteri di conformita per le piattaforme prive di copertura, definendo requisiti appropriati per versione del sistema operativo, crittografia e integrità del dispositivo. Assegna i criteri ai gruppi di utenti o dispositivi appropriati e assicurati che nessun dispositivo resti al di fuori dell'ambito dei criteri.", "status": "machine-draft" } }, "INTUNE-002": { "name": { "value": "Panoramica dello stato di conformita dei dispositivi", "status": "machine-draft" }, "description": { "value": "Lo stato complessivo di conformita dei dispositivi indica se i dispositivi registrati soddisfano i requisiti del criterio di conformita assegnato. Una percentuale elevata di dispositivi non conformi o non valutati segnala lacune di applicazione che potrebbero consentire a dispositivi non sicuri di accedere alle risorse aziendali. Il monitoraggio continuo dello stato di conformita è essenziale per mantenere la postura di sicurezza del parco dispositivi.", "status": "machine-draft" }, "recommendedValue": { "value": "Tasso di conformita dei dispositivi pari o superiore al 95% su tutti i dispositivi registrati", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina il dashboard di panoramica della conformita dei dispositivi per identificare la distribuzione dei dispositivi conformi, non conformi e non valutati. Indaga sui dispositivi in stato non valutato per determinare se sono privi di criteri assegnati o se presentano problemi di sincronizzazione che ne impediscono la valutazione. Configura notifiche sullo stato di conformita e integra con l'accesso condizionale per bloccare l'accesso dei dispositivi non conformi alle risorse aziendali.", "status": "machine-draft" } }, "INTUNE-003": { "name": { "value": "Enumerazione dei dispositivi non conformi", "status": "machine-draft" }, "description": { "value": "I dispositivi che non superano la valutazione del criterio di conformita rappresentano un rischio diretto per l'organizzazione, poiché potrebbero essere privi di crittografia, eseguire sistemi operativi obsoleti o avere funzionalità di sicurezza disabilitate. L'enumerazione dei dispositivi non conformi e la comprensione degli specifici errori di conformita consentono una correzione mirata. Senza questa visibilità, i dispositivi non sicuri possono continuare ad accedere ai dati aziendali senza essere rilevati.", "status": "machine-draft" }, "recommendedValue": { "value": "Zero dispositivi non conformi con accesso alle risorse aziendali; tutti i dispositivi non conformi dovrebbero essere bloccati o in fase di correzione", "status": "machine-draft" }, "remediationSteps": { "value": "Genera un report dettagliato dei dispositivi non conformi che includa le specifiche impostazioni di conformita che risultano non soddisfatte per ciascun dispositivo. Dai priorità alla correzione dei dispositivi che non superano i controlli di conformita critici quali i requisiti di crittografia o antivirus, e collabora con i proprietari dei dispositivi per risolvere i problemi. Configura le azioni per la non conformita in ciascun criterio di conformita in modo da contrassegnare i dispositivi come non conformi dopo un periodo di tolleranza e integra con l'accesso condizionale per limitare l'accesso alle risorse.", "status": "machine-draft" } }, "INTUNE-004": { "name": { "value": "Inventario dei profili di configurazione", "status": "machine-draft" }, "description": { "value": "I profili di configurazione applicano impostazioni di sicurezza, restrizioni e configurazioni delle funzionalità ai dispositivi registrati. Un inventario incompleto dei profili di configurazione può portare a lacune di sicurezza in cui impostazioni critiche quali il blocco schermo, la sicurezza Wi-Fi o la distribuzione dei certificati non vengono applicate. Comprendere l'intero ambito dei profili di configurazione è necessario per identificare le lacune di copertura nell'intero parco dispositivi.", "status": "machine-draft" }, "recommendedValue": { "value": "Inventario documentato di tutti i profili di configurazione con convenzioni di denominazione chiare e documentazione delle assegnazioni", "status": "machine-draft" }, "remediationSteps": { "value": "Esporta da Intune l'elenco completo dei profili di configurazione ed esamina la finalità, la piattaforma di destinazione e lo stato di assegnazione attuale di ciascun profilo. Identifica eventuali profili non assegnati, in conflitto o ridondanti e consolidali dove appropriato. Stabilisci una convenzione di denominazione e uno standard di documentazione per tutti i profili al fine di facilitarne la gestione e l'audit continuativi.", "status": "machine-draft" } }, "INTUNE-005": { "name": { "value": "Analisi delle assegnazioni dei profili di configurazione", "status": "machine-draft" }, "description": { "value": "I profili di configurazione sono efficaci solo se assegnati correttamente ai gruppi di dispositivi o utenti corretti. I profili assegnati a gruppi eccessivamente ampi possono causare conflitti o applicare impostazioni a dispositivi inappropriati, mentre i profili assegnati in modo troppo restrittivo possono lasciare dispositivi non configurati. L'analisi della copertura delle assegnazioni garantisce che le configurazioni di sicurezza raggiungano tutti gli endpoint previsti senza conflitti.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutti i profili critici per la sicurezza assegnati ai gruppi appropriati, senza profili critici non assegnati e senza assegnazioni in conflitto", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina lo stato di assegnazione e i gruppi di destinazione di ciascun profilo di configurazione, prestando attenzione ai profili con errori o conflitti. Risolvi eventuali conflitti tra profili regolando le assegnazioni, unendo profili simili o usando filtri per destinare a caratteristiche specifiche dei dispositivi. Assicurati che i profili critici per la sicurezza quali le impostazioni di BitLocker, firewall e antivirus siano assegnati a tutti i dispositivi applicabili tramite un'appartenenza ai gruppi completa.", "status": "machine-draft" } }, "INTUNE-006": { "name": { "value": "Configurazione degli anelli di Windows Update for Business", "status": "machine-draft" }, "description": { "value": "Gli anelli di Windows Update for Business controllano la cadenza e i periodi di rinvio per gli aggiornamenti qualitativi e delle funzionalità sui dispositivi Windows gestiti. Anelli di aggiornamento configurati in modo errato possono far sì che i dispositivi eseguano build obsolete con vulnerabilità note per periodi prolungati. Anelli di aggiornamento a fasi configurati correttamente bilanciano la stabilità operativa con l'applicazione tempestiva delle patch di sicurezza.", "status": "machine-draft" }, "recommendedValue": { "value": "Aggiornamenti qualitativi rinviati non oltre 7 giorni; aggiornamenti delle funzionalità rinviati non oltre 60 giorni; tutti gli anelli assegnati e attivamente in erogazione di aggiornamenti", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina tutte le configurazioni degli anelli di Windows Update for Business e verifica che i periodi di rinvio degli aggiornamenti qualitativi non superino 7 giorni per gli anelli critici per la sicurezza. Assicurati che esistano almeno un anello pilota e un anello di distribuzione ampia con una fasatura di rinvio appropriata. Monitora i report di conformita degli aggiornamenti per identificare i dispositivi che non hanno installato gli aggiornamenti recenti e indaga su eventuali errori o installazioni bloccate.", "status": "machine-draft" } }, "INTUNE-007": { "name": { "value": "Audit del criterio di crittografia BitLocker", "status": "machine-draft" }, "description": { "value": "La crittografia dell'unità BitLocker protegge i dati inattivi sui dispositivi Windows, impedendo l'accesso non autorizzato al contenuto del disco rigido in caso di smarrimento o furto di un dispositivo. Senza un criterio BitLocker configurato correttamente, i dispositivi possono archiviare dati aziendali non crittografati, esponendo informazioni sensibili. Il criterio deve imporre la crittografia sulle unità del sistema operativo e sulle unità dati fisse con opzioni sicure di ripristino delle chiavi.", "status": "machine-draft" }, "recommendedValue": { "value": "BitLocker abilitato su tutte le unità del sistema operativo e dati fisse con crittografia XTS-AES a 256 bit ed escrow delle chiavi in Azure AD", "status": "machine-draft" }, "remediationSteps": { "value": "Crea o aggiorna il profilo di protezione degli endpoint di Intune per richiedere la crittografia BitLocker sulle unità del sistema operativo e dati fisse usando la crittografia XTS-AES a 256 bit. Configura l'escrow delle chiavi di ripristino in Azure AD per garantire la possibilità di ripristino delle chiavi e imposta il criterio in modo da abilitare silenziosamente la crittografia senza interazione dell'utente. Monitora il report sullo stato della crittografia per identificare i dispositivi che non hanno completato la crittografia e correggi eventuali errori.", "status": "machine-draft" } }, "INTUNE-008": { "name": { "value": "Audit del criterio di Windows Defender/Antivirus", "status": "machine-draft" }, "description": { "value": "Windows Defender Antivirus è l'agente di protezione degli endpoint primario sui dispositivi Windows e deve essere configurato correttamente per fornire protezione in tempo reale, protezione erogata dal cloud e invio di campioni. Impostazioni antivirus disabilitate o indebolite lasciano i dispositivi vulnerabili a infezioni malware che possono portare a furto di dati, ransomware e movimento laterale. Gli aggressori tentano frequentemente di manomettere o disabilitare l'antivirus come primo passo di una catena di attacco.", "status": "machine-draft" }, "recommendedValue": { "value": "Protezione in tempo reale abilitata, protezione erogata dal cloud abilitata, invio automatico dei campioni abilitato, protezione dalle manomissioni abilitata", "status": "machine-draft" }, "remediationSteps": { "value": "Distribuisci un criterio antivirus di Intune che imponga la protezione in tempo reale, la protezione erogata dal cloud, l'invio automatico dei campioni e la protezione dalle manomissioni su tutti i dispositivi Windows gestiti. Verifica che la protezione dalle applicazioni potenzialmente indesiderate (PUA) sia abilitata e che siano configurate scansioni pianificate con almeno una scansione completa settimanale. Monitora lo stato dell'agente antivirus Defender nell'intero parco dispositivi e indaga su qualsiasi dispositivo che segnali protezione disabilitata o definizioni obsolete.", "status": "machine-draft" } }, "INTUNE-009": { "name": { "value": "Configurazione delle regole di riduzione della superficie di attacco", "status": "machine-draft" }, "description": { "value": "Le regole di riduzione della superficie di attacco (ASR) in Microsoft Defender bloccano tecniche di attacco comuni quali script offuscati, sfruttamento delle macro di Office e furto di credenziali da LSASS. Senza regole ASR configurate e imposte, gli endpoint restano vulnerabili a schemi di attacco ben noti che il malware di massa e gli avversari sfruttano abitualmente. Regole ASR configurate correttamente riducono in modo significativo la superficie di attacco degli endpoint Windows.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutte le regole ASR consigliate abilitate in modalità blocco; modalità audit per le regole appena distribuite durante il test", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina la configurazione attuale delle regole ASR nella sicurezza degli endpoint di Intune e abilita tutte le regole consigliate da Microsoft almeno in modalità audit. Dopo un periodo di monitoraggio per identificare i falsi positivi, porta le regole in modalità blocco iniziando dalle regole ad alto impatto quali il blocco della creazione di processi figlio da parte delle applicazioni di Office e il blocco del furto di credenziali da LSASS. Configura con parsimonia le esclusioni delle regole ASR e solo per applicazioni documentate e critiche per l'attività, monitorando il report degli eventi ASR per l'efficacia continuativa.", "status": "machine-draft" } }, "INTUNE-010": { "name": { "value": "Configurazione di Endpoint Detection and Response", "status": "machine-draft" }, "description": { "value": "Le funzionalità di Endpoint Detection and Response (EDR) fornite da Microsoft Defender for Endpoint abilitano il rilevamento avanzato delle minacce, l'indagine e la risposta automatizzata sui dispositivi gestiti. Senza l'onboarding EDR e una corretta configurazione del sensore, i team di sicurezza non hanno visibilità sugli attacchi sofisticati che aggirano l'antivirus tradizionale. L'EDR è fondamentale per rilevare malware fileless, tecniche living-off-the-land e minacce persistenti avanzate.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutti i dispositivi gestiti sottoposti a onboarding in Defender for Endpoint con EDR in modalità blocco; condivisione dei campioni e protezione cloud abilitate", "status": "machine-draft" }, "remediationSteps": { "value": "Verifica che tutti i dispositivi Windows gestiti siano sottoposti a onboarding in Microsoft Defender for Endpoint tramite il criterio EDR di Intune e che lo stato di integrità del sensore risulti attivo. Abilita l'EDR in modalità blocco per fornire funzionalità di blocco aggiuntive anche quando un antivirus di terze parti è il motore primario. Esamina l'inventario dei dispositivi nel portale Defender per identificare i dispositivi con problemi di integrità del sensore e correggi i problemi di connettività o configurazione che impediscono un onboarding riuscito.", "status": "machine-draft" } }, "INTUNE-011": { "name": { "value": "Criteri di protezione delle applicazioni (MAM)", "status": "machine-draft" }, "description": { "value": "I criteri di protezione delle applicazioni (Mobile Application Management) controllano come i dati aziendali vengono gestiti all'interno delle applicazioni gestite, sia sui dispositivi registrati sia su quelli non registrati. Senza questi criteri, gli utenti possono copiare dati aziendali in applicazioni personali, condividere file tramite canali non gestiti o eseguire il backup dei dati aziendali su archiviazione cloud personale. I criteri MAM sono essenziali per prevenire la fuga di dati sui dispositivi mobili.", "status": "machine-draft" }, "recommendedValue": { "value": "Criteri di protezione delle app applicati a tutte le app gestite su iOS e Android; taglia/copia/incolla limitato alle app gestite; backup verso servizi non gestiti bloccato", "status": "machine-draft" }, "remediationSteps": { "value": "Crea criteri di protezione delle applicazioni per le piattaforme iOS e Android destinati a tutte le applicazioni di Microsoft 365 e line-of-business che gestiscono dati aziendali. Configura le impostazioni di protezione dei dati per impedire il taglia/copia/incolla verso applicazioni non gestite, bloccare il backup verso servizi cloud personali e richiedere un PIN a livello di app o l'autenticazione biometrica. Assegna i criteri a tutti gli utenti che accedono ai dati aziendali sui dispositivi mobili e monitora il report sullo stato di protezione delle app per individuare le applicazioni non conformi.", "status": "machine-draft" } }, "INTUNE-012": { "name": { "value": "Impostazioni di avvio condizionale", "status": "machine-draft" }, "description": { "value": "Le impostazioni di avvio condizionale all'interno dei criteri di protezione delle applicazioni definiscono le condizioni in cui un'applicazione gestita può essere avviata, quali la versione minima del sistema operativo, il livello massimo di minaccia consentito o il rilevamento di jailbreak/root. Senza queste impostazioni, dispositivi compromessi o obsoleti possono accedere ai dati aziendali tramite le applicazioni gestite anche quando il dispositivo stesso è non sicuro. Questi controlli forniscono una linea di difesa critica di ultima istanza per la protezione dei dati.", "status": "machine-draft" }, "recommendedValue": { "value": "Blocca l'accesso sui dispositivi jailbroken/rooted; richiedi la versione minima del sistema operativo; blocca l'accesso quando il livello di minaccia del dispositivo è alto", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina e aggiorna le impostazioni di avvio condizionale in ciascun criterio di protezione delle applicazioni per bloccare l'accesso alle app sui dispositivi jailbroken o rooted. Configura i requisiti di versione minima del sistema operativo allineati alle versioni supportate dal fornitore e imposta soglie di livello massimo di minaccia del dispositivo che si integrino con la tua soluzione di Mobile Threat Defense. Testa le impostazioni di avvio condizionale con un gruppo pilota prima della distribuzione ampia per assicurarti che gli utenti legittimi non vengano inavvertitamente bloccati.", "status": "machine-draft" } }, "INTUNE-013": { "name": { "value": "Restrizioni di registrazione dei dispositivi", "status": "machine-draft" }, "description": { "value": "Le restrizioni di registrazione dei dispositivi controllano quali tipi di dispositivo, piattaforme e versioni del sistema operativo sono autorizzati a registrarsi nella gestione di Intune. Senza restrizioni adeguate, gli utenti potrebbero registrare dispositivi personali che eseguono versioni del sistema operativo non supportate o vulnerabili, ampliando la superficie di attacco. Le restrizioni di registrazione impediscono inoltre ai tipi di dispositivo non autorizzati di ottenere l'accesso alle risorse aziendali tramite la gestione dei dispositivi.", "status": "machine-draft" }, "recommendedValue": { "value": "Blocca i dispositivi di proprietà personale o limita a piattaforme specifiche; imponi i requisiti di versione minima del sistema operativo; limita il numero di registrazioni di dispositivi per utente", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina le restrizioni di registrazione dei dispositivi in Intune e configura restrizioni specifiche per piattaforma allineate al criterio dei dispositivi supportati dalla tua organizzazione. Imposta i requisiti di versione minima del sistema operativo per ciascuna piattaforma e configura il numero massimo di dispositivi che un singolo utente può registrare per prevenire abusi. Se si preferisce la registrazione di dispositivi di proprietà aziendale, blocca la registrazione dei dispositivi di proprietà personale e indirizza gli utenti a usare i criteri di protezione delle applicazioni per gli scenari BYOD.", "status": "machine-draft" } }, "INTUNE-014": { "name": { "value": "Configurazione di Autopilot", "status": "machine-draft" }, "description": { "value": "Windows Autopilot fornisce un'esperienza di distribuzione senza intervento che garantisce che i nuovi dispositivi siano configurati con le baseline di sicurezza corrette fin dal primo avvio. Un profilo di distribuzione Autopilot configurato male o assente significa che i nuovi dispositivi potrebbero essere provisionati senza impostazioni di sicurezza critiche, creando una finestra di vulnerabilità. La revisione delle configurazioni di Autopilot garantisce un provisioning dei dispositivi coerente e sicuro.", "status": "machine-draft" }, "recommendedValue": { "value": "Profilo di distribuzione Autopilot configurato per tutti i dispositivi aziendali con modalità user-driven o self-deploying e aggiunta ad Azure AD", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina i profili di distribuzione Autopilot esistenti e verifica che siano configurati per l'aggiunta ad Azure AD con impostazioni appropriate di modalità user-driven o self-deploying. Assicurati che la pagina di stato della registrazione sia abilitata per impedire agli utenti di accedere al desktop prima che tutti i criteri e le applicazioni critici siano installati. Verifica che tutti gli hash hardware dei dispositivi aziendali siano registrati con il servizio Autopilot e assegnati al profilo di distribuzione appropriato.", "status": "machine-draft" } }, "INTUNE-015": { "name": { "value": "Stato della crittografia del disco", "status": "machine-draft" }, "description": { "value": "La crittografia dell'intero disco garantisce che i dati archiviati sulle unità del dispositivo siano protetti in caso di smarrimento, furto o dismissione del dispositivo fisico. I dispositivi senza crittografia abilitata espongono i dati aziendali, incluse credenziali memorizzate nella cache, documenti ed email, ad attacchi di furto fisico. Il monitoraggio dello stato della crittografia nell'intero parco dispositivi identifica i dispositivi che non hanno completato la crittografia o che non sono ancora stati crittografati.", "status": "machine-draft" }, "recommendedValue": { "value": "Il 100% dei dispositivi gestiti segnala la crittografia abilitata su tutte le unità", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina il report sulla crittografia di Intune per identificare tutti i dispositivi che non segnalano la crittografia dell'intero disco come abilitata. Indaga sugli errori di crittografia, che possono essere causati da hardware non supportato, problemi del TPM o conflitti tra criteri, e risolvi le cause sottostanti. Per i dispositivi che non possono supportare la crittografia, valuta se debbano essere autorizzati ad accedere alle risorse aziendali e considera di bloccarli tramite criteri di accesso condizionale.", "status": "machine-draft" } }, "INTUNE-016": { "name": { "value": "Configurazione del criterio del firewall", "status": "machine-draft" }, "description": { "value": "Windows Defender Firewall fornisce una protezione di rete basata sull'host che blocca le connessioni in entrata e in uscita non autorizzate. Senza un criterio del firewall gestito centralmente tramite Intune, i singoli dispositivi possono avere impostazioni del firewall incoerenti o disabilitate, restando vulnerabili agli attacchi basati sulla rete. La gestione centralizzata del firewall garantisce una protezione coerente su tutti gli endpoint gestiti indipendentemente dalla posizione di rete.", "status": "machine-draft" }, "recommendedValue": { "value": "Windows Defender Firewall abilitato per tutti i profili (Dominio, Privato, Pubblico); blocca le connessioni in entrata per impostazione predefinita; registra i pacchetti scartati", "status": "machine-draft" }, "remediationSteps": { "value": "Distribuisci un criterio del firewall di sicurezza degli endpoint di Intune che abiliti Windows Defender Firewall per i profili di rete Dominio, Privato e Pubblico con le connessioni in entrata bloccate per impostazione predefinita. Configura regole del firewall per eventuali eccezioni applicative necessarie e abilita la registrazione per le connessioni scartate e riuscite. Monitora lo stato di distribuzione del criterio del firewall e indaga su qualsiasi dispositivo che segnali errori di applicazione del criterio o stati di firewall disabilitato.", "status": "machine-draft" } }, "INTUNE-017": { "name": { "value": "Conformita alle baseline di sicurezza", "status": "machine-draft" }, "description": { "value": "Le baseline di sicurezza Microsoft in Intune forniscono gruppi preconfigurati di impostazioni di Windows consigliate dai team di sicurezza Microsoft, che coprono aree quali la protezione delle credenziali, la sicurezza del browser e la riduzione della superficie di attacco. I dispositivi che si discostano dalla baseline di sicurezza hanno posture di sicurezza indebolite e possono essere vulnerabili a vettori di attacco noti. Il monitoraggio della conformita alle baseline identifica le deviazioni di configurazione e aiuta a mantenere una postura di sicurezza coerente.", "status": "machine-draft" }, "recommendedValue": { "value": "Conformita pari o superiore al 90% con le baseline di sicurezza assegnate; tutti gli stati di conflitto ed errore risolti", "status": "machine-draft" }, "remediationSteps": { "value": "Distribuisci l'ultimo profilo di baseline di sicurezza Microsoft per Windows e Defender for Endpoint a tutti i dispositivi gestiti e monitora lo stato di conformita per singola impostazione. Indaga sulle impostazioni che segnalano stati di conflitto o errore, poiché spesso indicano criteri concorrenti che devono essere riconciliati. Affronta le impostazioni non conformi valutando se la deviazione sia dovuta a un legittimo requisito aziendale che giustifica un'eccezione documentata o a un problema di configurazione da correggere.", "status": "machine-draft" } }, "INTUNE-018": { "name": { "value": "Audit della distribuzione di script PowerShell", "status": "machine-draft" }, "description": { "value": "Intune consente agli amministratori di distribuire script PowerShell ai dispositivi Windows gestiti, che vengono eseguiti con privilegi di livello SYSTEM per impostazione predefinita. Script dannosi o scritti male distribuiti tramite questo canale possono compromettere la sicurezza del dispositivo, esfiltrare dati o installare software non autorizzato nell'intero parco dispositivi. Ogni script distribuito deve essere esaminato per le implicazioni di sicurezza e tracciato per una distribuzione autorizzata.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutti gli script distribuiti esaminati e approvati tramite la gestione delle modifiche; gli script vengono eseguiti nel contesto utente dove possibile; contenuto degli script documentato", "status": "machine-draft" }, "remediationSteps": { "value": "Sottoponi ad audit tutti gli script PowerShell attualmente distribuiti tramite Intune ed esamina il loro contenuto per individuare rischi di sicurezza quali credenziali hardcoded, download remoti senza restrizioni o modifiche eccessive delle autorizzazioni. Assicurati che gli script vengano eseguiti nel contesto utente anziché nel contesto SYSTEM ovunque possibile e che l'esecuzione degli script sia limitata all'ambito di dispositivi minimo necessario. Implementa un processo di gestione delle modifiche per la distribuzione degli script che includa la revisione tra pari del contenuto degli script e un'approvazione formale prima della distribuzione in produzione.", "status": "machine-draft" } }, "INTUNE-019": { "name": { "value": "Revisione di sicurezza della distribuzione di app Win32", "status": "machine-draft" }, "description": { "value": "Le distribuzioni di applicazioni Win32 tramite Intune impacchettano e distribuiscono le tradizionali applicazioni desktop ai dispositivi gestiti. Applicazioni non adeguatamente verificate possono contenere vulnerabilità, malware incorporato o modifiche eccessive al sistema che indeboliscono la sicurezza del dispositivo. La revisione del catalogo di distribuzione delle app Win32 garantisce che solo applicazioni approvate e sicure vengano distribuite al parco dispositivi gestiti.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutte le app Win32 provenienti da fornitori fidati con approvazione documentata; comandi di installazione esaminati per le implicazioni di sicurezza", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina tutte le applicazioni Win32 distribuite tramite Intune e verifica che ciascuna applicazione provenga da un fornitore fidato e sia stata approvata tramite il tuo processo di approvazione del software. Esamina le righe di comando di installazione e disinstallazione per individuare parametri sospetti, esecuzione di script o modifiche al Registro di sistema che potrebbero indebolire la sicurezza. Implementa un processo di revisione delle applicazioni che valuti i nuovi pacchetti di app Win32 per i rischi di sicurezza prima della distribuzione ai gruppi di dispositivi di produzione.", "status": "machine-draft" } }, "INTUNE-020": { "name": { "value": "Categorie e raggruppamento dei dispositivi", "status": "machine-draft" }, "description": { "value": "Le categorie di dispositivi e i gruppi dinamici in Intune organizzano i dispositivi gestiti per una distribuzione mirata di criteri e applicazioni. Senza uno schema di categorizzazione strutturato, i criteri possono essere applicati in modo incoerente e configurazioni di sicurezza critiche potrebbero mancare interi segmenti della popolazione di dispositivi. Un corretto raggruppamento dei dispositivi consente posture di sicurezza differenziate per diversi ruoli dei dispositivi e popolazioni di utenti.", "status": "machine-draft" }, "recommendedValue": { "value": "Categorie di dispositivi definite e allineate alle esigenze organizzative; gruppi dinamici basati sulle proprietà dei dispositivi per la destinazione automatizzata dei criteri", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina e stabilisci categorie di dispositivi allineate ai ruoli organizzativi dei dispositivi quali dirigente, utente standard, chiosco o dispositivo condiviso. Crea gruppi di dispositivi dinamici basati sulle proprietà dei dispositivi, tra cui categoria, sistema operativo, tipo di proprietà e stato di conformita, per la destinazione automatizzata di criteri e applicazioni. Verifica che tutte le assegnazioni dei criteri facciano riferimento a gruppi appropriati e che nessun dispositivo resti al di fuori della struttura di raggruppamento.", "status": "machine-draft" } }, "INTUNE-021": { "name": { "value": "Audit delle azioni remote (cancellazione, ritiro, blocco)", "status": "machine-draft" }, "description": { "value": "Le azioni remote di Intune quali cancellazione, ritiro e blocco remoto sono potenti funzionalità di gestione dei dispositivi che, se usate in modo improprio, possono causare perdita di dati o negazione del servizio agli utenti legittimi. Cancellazioni remote non autorizzate o accidentali possono distruggere dati critici per l'attività sui dispositivi, mentre azioni di blocco remoto non sottoposte ad audit potrebbero indicare una compromissione dell'account. Tutte le azioni remote devono essere registrate ed esaminate per un uso autorizzato.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutte le azioni remote registrate con l'identita dell'operatore; le azioni di cancellazione richiedono un'approvazione documentata; log di controllo esaminati settimanalmente", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina i log di controllo di Intune per tutti gli eventi di azione remota, inclusi cancellazione, ritiro, blocco remoto e reimpostazione del passcode, per identificare eventuali attività non autorizzate o insolite. Implementa un flusso di approvazione per le azioni remote distruttive quali la cancellazione completa, che richieda una giustificazione documentata e un'approvazione secondaria. Configura notifiche di avviso per le azioni di cancellazione remota per garantire che i team di sicurezza siano immediatamente consapevoli quando i dispositivi vengono cancellati.", "status": "machine-draft" } }, "INTUNE-022": { "name": { "value": "Restrizioni di sincronizzazione di OneDrive", "status": "machine-draft" }, "description": { "value": "Le impostazioni del client di sincronizzazione di OneDrive controllano come i file aziendali vengono sincronizzati tra l'archiviazione cloud e i dispositivi gestiti, e una sincronizzazione senza restrizioni può portare all'archiviazione di dati aziendali su dispositivi non gestiti o non conformi. Senza restrizioni sui domini per il client di sincronizzazione, gli utenti possono sincronizzare contenuti aziendali di SharePoint e OneDrive su dispositivi personali al di fuori del controllo dell'IT. Restrizioni di sincronizzazione adeguate prevengono la fuga di dati attraverso la sincronizzazione di file non gestita.", "status": "machine-draft" }, "recommendedValue": { "value": "Sincronizzazione di OneDrive limitata ai dispositivi aggiunti al dominio o gestiti da Intune; Known Folder Move abilitato per il backup; File su richiesta abilitato", "status": "machine-draft" }, "remediationSteps": { "value": "Configura il client di sincronizzazione di OneDrive tramite Intune per limitare la sincronizzazione ai dispositivi aggiunti ad Azure AD o gestiti da Intune usando l'elenco dei tenant consentiti. Abilita Known Folder Move per reindirizzare automaticamente Desktop, Documenti e Immagini a OneDrive per la protezione dei dati e abilita File su richiesta per ridurre al minimo l'archiviazione locale dei dati. Blocca la sincronizzazione degli account OneDrive personali sui dispositivi aziendali se consentito dal criterio dell'organizzazione, per prevenire la commistione dei dati.", "status": "machine-draft" } }, "INTUNE-023": { "name": { "value": "Approvazione multi-amministratore per le azioni distruttive sui dispositivi", "status": "machine-draft" }, "description": { "value": "Microsoft Intune supporta criteri di approvazione multi-amministratore che richiedono l'approvazione di un secondo amministratore per operazioni ad alto impatto quali cancellazione massiva dei dispositivi, ritiro massivo dei dispositivi e distribuzioni di script prima che vengano eseguite. Senza l'approvazione multi-amministratore, un singolo account amministratore compromesso può attivare cancellazioni di massa dei dispositivi nell'intera organizzazione. Questo controllo verifica che i criteri di approvazione delle operazioni siano configurati per proteggere dalle azioni distruttive eseguite da un account amministratore compromesso o malintenzionato.", "status": "machine-draft" }, "recommendedValue": { "value": "Approvazione multi-amministratore abilitata per le operazioni distruttive, inclusi cancellazione massiva dei dispositivi, ritiro massivo dei dispositivi e azioni di distribuzione di script", "status": "machine-draft" }, "remediationSteps": { "value": "Vai all'interfaccia di amministrazione di Microsoft Intune > Amministrazione tenant > Approvazione multi-amministratore. Crea un criterio di approvazione che richieda a un secondo amministratore di approvare le operazioni distruttive. Come minimo, abilita l'approvazione per: azioni massive sui dispositivi (Cancellazione, Ritiro, Eliminazione), distribuzione di app a gruppi numerosi e distribuzioni di script. Assegna un gruppo di approvazione contenente amministratori senior fidati che esamineranno e approveranno queste richieste. Valuta l'implementazione di un processo di approvazione accelerato per gli scenari di emergenza.", "status": "machine-draft" } } } |