Data/Locales/checks/ja/IntuneChecks.json
|
{ "_family": "IntuneChecks.json", "INTUNE-001": { "name": { "value": "デバイスコンプライアンスポリシーのインベントリ", "status": "machine-draft" }, "description": { "value": "デバイスコンプライアンスポリシーは、登録済みデバイスが満たすべきセキュリティベースライン要件 (OS バージョン、暗号化、パスワードの複雑さなど) を定義します。これらのポリシーを網羅したインベントリがなければ、組織はすべてのデバイスプラットフォームとユーザーグループが適切なコンプライアンス要件を持っていることを検証できません。欠落した、または不完全なポリシーは、デバイスを統制されず、コンプライアンスに準拠しない状態のまま放置します。", "status": "machine-draft" }, "recommendedValue": { "value": "サポートされる各プラットフォーム (Windows、iOS、Android、macOS) につき少なくとも 1 つのコンプライアンスポリシー", "status": "machine-draft" }, "remediationSteps": { "value": "Intune 管理センターで現在のデバイスコンプライアンスポリシーのインベントリを確認し、サポートされる各プラットフォームに少なくとも 1 つのポリシーが割り当てられていることを確認します。カバレッジが欠けているプラットフォームについてコンプライアンスポリシーを作成し、OS バージョン、暗号化、デバイスの正常性について適切な要件を定義します。ポリシーを適切なユーザーグループまたはデバイスグループに割り当て、ポリシーの範囲外に置かれるデバイスがないようにします。", "status": "machine-draft" } }, "INTUNE-002": { "name": { "value": "デバイスコンプライアンス状態の概要", "status": "machine-draft" }, "description": { "value": "全体的なデバイスコンプライアンス状態は、登録済みデバイスが割り当てられたコンプライアンスポリシー要件を満たしているかどうかを示します。準拠していない、または評価されていないデバイスの割合が高い場合、セキュアでないデバイスが企業リソースにアクセスできてしまう強制のギャップを示します。デバイス群のセキュリティ体制を維持するには、コンプライアンス状態の継続的な監視が不可欠です。", "status": "machine-draft" }, "recommendedValue": { "value": "登録済みのすべてのデバイスにわたって 95% 以上のデバイスコンプライアンス率", "status": "machine-draft" }, "remediationSteps": { "value": "デバイスコンプライアンス概要ダッシュボードを確認し、準拠、非準拠、未評価のデバイスの分布を特定します。未評価状態のデバイスを調査し、割り当てられたポリシーがないか、評価を妨げる同期の問題があるかを判断します。コンプライアンス状態の通知を設定し、条件付きアクセスと統合して、非準拠デバイスが企業リソースにアクセスするのをブロックします。", "status": "machine-draft" } }, "INTUNE-003": { "name": { "value": "非準拠デバイスの列挙", "status": "machine-draft" }, "description": { "value": "コンプライアンスポリシーの評価に失敗するデバイスは、暗号化を欠いていたり、古いオペレーティングシステムを実行していたり、セキュリティ機能が無効化されていたりする可能性があり、組織に直接的なリスクをもたらします。非準拠デバイスを列挙し、具体的なコンプライアンス違反を理解することで、的を絞った修復が可能になります。この可視性がなければ、セキュアでないデバイスが検出されないまま企業データにアクセスし続ける可能性があります。", "status": "machine-draft" }, "recommendedValue": { "value": "企業リソースにアクセスできる非準拠デバイスがゼロである。すべての非準拠デバイスはブロックされるか修復中であるべき", "status": "machine-draft" }, "remediationSteps": { "value": "各デバイスについて失敗している具体的なコンプライアンス設定を含む、非準拠デバイスの詳細なレポートを生成します。暗号化やウイルス対策の要件など重要なコンプライアンスチェックに失敗しているデバイスの修復を優先し、デバイス所有者と連携して問題を解決します。各コンプライアンスポリシーで非準拠時のアクションを構成して猶予期間後にデバイスを非準拠としてマークし、条件付きアクセスと統合してリソースアクセスを制限します。", "status": "machine-draft" } }, "INTUNE-004": { "name": { "value": "構成プロファイルのインベントリ", "status": "machine-draft" }, "description": { "value": "構成プロファイルは、セキュリティ設定、制限、機能構成を登録済みデバイスにプッシュします。構成プロファイルのインベントリが不完全だと、画面ロック、Wi-Fi セキュリティ、証明書のデプロイなどの重要な設定が適用されないセキュリティのギャップを招く可能性があります。デバイス群全体のカバレッジのギャップを特定するには、構成プロファイルの全体像を把握することが必要です。", "status": "machine-draft" }, "recommendedValue": { "value": "すべての構成プロファイルが、明確な命名規則と割り当てのドキュメントとともにインベントリ化されている", "status": "machine-draft" }, "remediationSteps": { "value": "Intune から構成プロファイルの完全な一覧をエクスポートし、各プロファイルの目的、対象プラットフォーム、現在の割り当て状態を確認します。未割り当て、競合、または冗長なプロファイルを特定し、適切な場合は統合します。継続的な管理と監査を容易にするため、すべてのプロファイルの命名規則とドキュメント標準を確立します。", "status": "machine-draft" } }, "INTUNE-005": { "name": { "value": "構成プロファイルの割り当て分析", "status": "machine-draft" }, "description": { "value": "構成プロファイルは、正しいデバイスグループまたはユーザーグループに適切に割り当てられて初めて有効になります。過度に広いグループに割り当てられたプロファイルは競合を引き起こしたり、不適切なデバイスに設定を適用したりする一方、狭く割り当てられたプロファイルはデバイスを未構成のまま残す可能性があります。割り当てのカバレッジを分析することで、セキュリティ構成が競合なく意図したすべてのエンドポイントに到達することを確実にします。", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのセキュリティ上重要なプロファイルが適切なグループに割り当てられ、未割り当ての重要なプロファイルや競合する割り当てが存在しない", "status": "machine-draft" }, "remediationSteps": { "value": "各構成プロファイルの割り当て状態と対象グループを確認し、エラーや競合のあるプロファイルに注意を払います。割り当てを調整したり、類似したプロファイルを統合したり、フィルターを使用して特定のデバイス特性を対象にしたりして、プロファイルの競合を解決します。BitLocker、ファイアウォール、ウイルス対策設定などのセキュリティ上重要なプロファイルが、包括的なグループメンバーシップを通じてすべての該当デバイスに割り当てられていることを確認します。", "status": "machine-draft" } }, "INTUNE-006": { "name": { "value": "Windows Update for Business リングの構成", "status": "machine-draft" }, "description": { "value": "Windows Update for Business リングは、管理対象 Windows デバイスの品質更新プログラムと機能更新プログラムの適用頻度と延期期間を制御します。更新リングの構成ミスは、既知の脆弱性を持つ古いビルドをデバイスが長期間実行する結果を招く可能性があります。適切に段階化された更新リングは、運用の安定性とタイムリーなセキュリティパッチ適用のバランスをとります。", "status": "machine-draft" }, "recommendedValue": { "value": "品質更新プログラムの延期は 7 日以内、機能更新プログラムの延期は 60 日以内。すべてのリングが割り当てられ、能動的に更新プログラムを配信している", "status": "machine-draft" }, "remediationSteps": { "value": "すべての Windows Update for Business リング構成を確認し、セキュリティ上重要なリングについて品質更新プログラムの延期期間が 7 日を超えないことを確認します。適切な延期の段階化を伴うパイロットリングと広範なデプロイリングが少なくとも存在することを確認します。更新プログラムのコンプライアンスレポートを監視して最近の更新プログラムをインストールしていないデバイスを特定し、更新の失敗や停止したインストールを調査します。", "status": "machine-draft" } }, "INTUNE-007": { "name": { "value": "BitLocker 暗号化ポリシーの監査", "status": "machine-draft" }, "description": { "value": "BitLocker ドライブ暗号化は、Windows デバイス上の保存データを保護し、デバイスの紛失や盗難時にハードドライブの内容への不正アクセスを防ぎます。適切に構成された BitLocker ポリシーがなければ、デバイスは企業データを暗号化されていない状態で保存し、機密情報を露出させる可能性があります。ポリシーは、安全なキー回復オプションとともに、OS ドライブおよび固定データドライブでの暗号化を強制する必要があります。", "status": "machine-draft" }, "recommendedValue": { "value": "すべての OS ドライブおよび固定データドライブで、XTS-AES 256 ビット暗号化と Azure AD キーエスクローを伴う BitLocker が有効化されている", "status": "machine-draft" }, "remediationSteps": { "value": "オペレーティングシステムドライブおよび固定データドライブに対して XTS-AES 256 ビット暗号化を使用した BitLocker 暗号化を要求するよう、Intune のエンドポイント保護プロファイルを作成または更新します。キー回復を可能にするため回復キーのエスクローを Azure AD に構成し、ユーザーの操作なしに暗号化をサイレントに有効化するようポリシーを設定します。暗号化状態レポートを監視して暗号化が完了していないデバイスを特定し、失敗を修復します。", "status": "machine-draft" } }, "INTUNE-008": { "name": { "value": "Windows Defender/ウイルス対策ポリシーの監査", "status": "machine-draft" }, "description": { "value": "Windows Defender ウイルス対策は Windows デバイスの主要なエンドポイント保護エージェントであり、リアルタイム保護、クラウド提供の保護、サンプル送信を提供するよう適切に構成する必要があります。無効化または弱体化されたウイルス対策設定は、データ窃取、ランサムウェア、ラテラルムーブメントにつながるマルウェア感染に対してデバイスを脆弱なままにします。攻撃者は、攻撃チェーンの最初のステップとしてウイルス対策の改ざんや無効化を頻繁に試みます。", "status": "machine-draft" }, "recommendedValue": { "value": "リアルタイム保護が有効、クラウド提供の保護が有効、自動サンプル送信が有効、改ざん防止が有効", "status": "machine-draft" }, "remediationSteps": { "value": "すべての管理対象 Windows デバイスで、リアルタイム保護、クラウド提供の保護、自動サンプル送信、改ざん防止を強制する Intune ウイルス対策ポリシーをデプロイします。PUA (望ましくない可能性のあるアプリケーション) 保護が有効であり、少なくとも週次のフルスキャンとしてスケジュールされたスキャンが構成されていることを確認します。デバイス群全体で Defender ウイルス対策エージェントの状態を監視し、保護が無効または定義が古いと報告するデバイスを調査します。", "status": "machine-draft" } }, "INTUNE-009": { "name": { "value": "攻撃面の減少ルールの構成", "status": "machine-draft" }, "description": { "value": "Microsoft Defender の攻撃面の減少 (ASR) ルールは、難読化されたスクリプト、Office マクロの悪用、LSASS からの資格情報窃取など、一般的な攻撃手法をブロックします。ASR ルールが構成および強制されていなければ、エンドポイントは、コモディティマルウェアや攻撃者が日常的に悪用する既知の攻撃パターンに対して脆弱なままです。適切に構成された ASR ルールは、Windows エンドポイントの攻撃対象領域を大幅に削減します。", "status": "machine-draft" }, "recommendedValue": { "value": "推奨されるすべての ASR ルールがブロックモードで有効化されている。新しくデプロイされたルールはテスト中は監査モードにする", "status": "machine-draft" }, "remediationSteps": { "value": "Intune のエンドポイントセキュリティで現在の ASR ルール構成を確認し、Microsoft が推奨するすべてのルールを少なくとも監査モードで有効にします。誤検知を特定するための監視期間の後、Office アプリケーションが子プロセスを作成するのをブロックする、LSASS からの資格情報窃取をブロックするといった影響の大きいルールから順に、ルールをブロックモードへ移行します。ASR ルールの除外は、文書化された業務上重要なアプリケーションについてのみ控えめに構成し、継続的な有効性のため ASR イベントレポートを監視します。", "status": "machine-draft" } }, "INTUNE-010": { "name": { "value": "エンドポイントの検出と対応の構成", "status": "machine-draft" }, "description": { "value": "Microsoft Defender for Endpoint が提供するエンドポイントの検出と対応 (EDR) 機能は、管理対象デバイスでの高度な脅威の検出、調査、自動対応を可能にします。EDR のオンボーディングと適切なセンサー構成がなければ、セキュリティチームは従来のウイルス対策を回避する高度な攻撃への可視性を欠きます。EDR は、ファイルレスマルウェア、環境寄生型 (living-off-the-land) の手法、高度な持続的脅威を検出するうえで重要です。", "status": "machine-draft" }, "recommendedValue": { "value": "すべての管理対象デバイスが EDR をブロックモードにして Defender for Endpoint にオンボードされている。サンプル共有とクラウド保護が有効になっている", "status": "machine-draft" }, "remediationSteps": { "value": "すべての管理対象 Windows デバイスが Intune の EDR ポリシーを通じて Microsoft Defender for Endpoint にオンボードされ、センサーの正常性状態がアクティブと表示されていることを確認します。サードパーティのウイルス対策が主要エンジンである場合でも追加のブロック機能を提供するため、EDR をブロックモードで有効にします。Defender ポータルでデバイスインベントリを確認してセンサーの正常性に問題のあるデバイスを特定し、正常なオンボーディングを妨げる接続または構成の問題を修復します。", "status": "machine-draft" } }, "INTUNE-011": { "name": { "value": "アプリ保護ポリシー (MAM)", "status": "machine-draft" }, "description": { "value": "アプリ保護ポリシー (モバイルアプリケーション管理) は、登録済みおよび未登録の両方のデバイスで、管理対象アプリケーション内で企業データがどのように扱われるかを制御します。これらのポリシーがなければ、ユーザーは企業データを個人用アプリケーションにコピーしたり、管理されていないチャネルを通じてファイルを共有したり、企業データを個人用クラウドストレージにバックアップしたりできます。MAM ポリシーは、モバイルデバイスでのデータ漏洩を防ぐうえで不可欠です。", "status": "machine-draft" }, "recommendedValue": { "value": "iOS および Android のすべての管理対象アプリにアプリ保護ポリシーが適用されている。切り取り/コピー/貼り付けが管理対象アプリに制限され、管理されていないサービスへのバックアップがブロックされている", "status": "machine-draft" }, "remediationSteps": { "value": "企業データを扱うすべての Microsoft 365 および業務アプリケーションを対象として、iOS と Android の両プラットフォーム向けのアプリ保護ポリシーを作成します。管理されていないアプリケーションへの切り取り/コピー/貼り付けを防ぎ、個人用クラウドサービスへのバックアップをブロックし、アプリレベルの PIN または生体認証を要求するよう、データ保護設定を構成します。モバイルデバイスで企業データにアクセスするすべてのユーザーにポリシーを割り当て、非準拠のアプリケーションについてアプリ保護状態レポートを監視します。", "status": "machine-draft" } }, "INTUNE-012": { "name": { "value": "条件付き起動の設定", "status": "machine-draft" }, "description": { "value": "アプリ保護ポリシー内の条件付き起動の設定は、最小 OS バージョン、許可される最大の脅威レベル、ジェイルブレイク/ルート化の検出など、管理対象アプリケーションを起動できる条件を定義します。これらの設定がなければ、デバイス自体がセキュアでない場合でも、侵害された、または古いデバイスが管理対象アプリケーションを通じて企業データにアクセスできます。これらのコントロールは、データ保護の重要な最後の防御線を提供します。", "status": "machine-draft" }, "recommendedValue": { "value": "ジェイルブレイク/ルート化されたデバイスでのアクセスをブロックし、最小 OS バージョンを要求し、デバイスの脅威レベルが高い場合にアクセスをブロックする", "status": "machine-draft" }, "remediationSteps": { "value": "各アプリ保護ポリシーの条件付き起動の設定を確認および更新し、ジェイルブレイクまたはルート化されたデバイスでのアプリアクセスをブロックします。ベンダーがサポートするバージョンに沿った最小 OS バージョン要件を構成し、モバイル脅威防御ソリューションと統合するデバイスの脅威レベルの最大しきい値を設定します。正当なユーザーが誤ってブロックされないよう、広範なデプロイの前にパイロットグループで条件付き起動の設定をテストします。", "status": "machine-draft" } }, "INTUNE-013": { "name": { "value": "デバイス登録の制限", "status": "machine-draft" }, "description": { "value": "デバイス登録の制限は、どのデバイスタイプ、プラットフォーム、OS バージョンが Intune 管理に登録できるかを制御します。適切な制限がなければ、ユーザーはサポートされていない、または脆弱なオペレーティングシステムバージョンを実行する個人用デバイスを登録でき、攻撃対象領域を拡大する可能性があります。登録の制限は、不正なデバイスタイプがデバイス管理を通じて企業リソースへのアクセスを得るのも防ぎます。", "status": "machine-draft" }, "recommendedValue": { "value": "個人所有デバイスをブロックするか特定のプラットフォームに限定する。最小 OS バージョン要件を強制する。ユーザーごとのデバイス登録数を制限する", "status": "machine-draft" }, "remediationSteps": { "value": "Intune のデバイス登録の制限を確認し、組織のサポート対象デバイスポリシーに沿ったプラットフォーム固有の制限を構成します。各プラットフォームの最小オペレーティングシステムバージョン要件を設定し、悪用を防ぐため単一のユーザーが登録できるデバイスの最大数を構成します。企業所有デバイスの登録が望ましい場合は、個人所有デバイスの登録をブロックし、BYOD シナリオではアプリ保護ポリシーを使用するようユーザーを誘導します。", "status": "machine-draft" } }, "INTUNE-014": { "name": { "value": "Autopilot の構成", "status": "machine-draft" }, "description": { "value": "Windows Autopilot は、新しいデバイスが最初の起動から正しいセキュリティベースラインで構成されることを保証する、ゼロタッチのデプロイ体験を提供します。構成が不十分な、または欠落した Autopilot デプロイプロファイルは、新しいデバイスが重要なセキュリティ設定なしでプロビジョニングされ、脆弱性の窓を生み出すことを意味します。Autopilot 構成を確認することで、一貫した安全なデバイスプロビジョニングを確実にします。", "status": "machine-draft" }, "recommendedValue": { "value": "すべての企業デバイスについて、ユーザー主導または自己デプロイモードと Azure AD 参加で Autopilot デプロイプロファイルが構成されている", "status": "machine-draft" }, "remediationSteps": { "value": "既存の Autopilot デプロイプロファイルを確認し、適切なユーザー主導または自己デプロイモード設定で Azure AD 参加向けに構成されていることを確認します。すべての重要なポリシーとアプリケーションがインストールされる前にユーザーがデスクトップにアクセスするのを防ぐため、登録状態ページが有効になっていることを確認します。すべての企業デバイスのハードウェアハッシュが Autopilot サービスに登録され、適切なデプロイプロファイルに割り当てられていることを確認します。", "status": "machine-draft" } }, "INTUNE-015": { "name": { "value": "ディスク暗号化の状態", "status": "machine-draft" }, "description": { "value": "フルディスク暗号化は、物理デバイスの紛失、盗難、廃棄の際に、デバイスドライブに保存されたデータが保護されることを保証します。暗号化が有効になっていないデバイスは、キャッシュされた資格情報、ドキュメント、メールを含む企業データを物理的な盗難攻撃にさらします。デバイス群全体で暗号化の状態を監視することで、暗号化に失敗した、またはまだ暗号化されていないデバイスを特定します。", "status": "machine-draft" }, "recommendedValue": { "value": "管理対象デバイスの 100% がすべてのドライブで暗号化有効を報告している", "status": "machine-draft" }, "remediationSteps": { "value": "Intune の暗号化レポートを確認し、フルディスク暗号化が有効と報告していないすべてのデバイスを特定します。サポートされていないハードウェア、TPM の問題、ポリシーの競合によって引き起こされる可能性のある暗号化の失敗を調査し、根本原因を解決します。暗号化をサポートできないデバイスについては、企業リソースへのアクセスを許可すべきかを評価し、条件付きアクセスポリシーを通じてブロックすることを検討します。", "status": "machine-draft" } }, "INTUNE-016": { "name": { "value": "ファイアウォールポリシーの構成", "status": "machine-draft" }, "description": { "value": "Windows Defender ファイアウォールは、不正な受信および送信接続をブロックするホストベースのネットワーク保護を提供します。Intune を通じて一元管理されたファイアウォールポリシーがなければ、個々のデバイスのファイアウォール設定が一貫しなかったり無効化されたりして、ネットワークベースの攻撃に対して脆弱なままになる可能性があります。ファイアウォールの一元管理は、ネットワークの場所に関係なく、すべての管理対象エンドポイントで一貫した保護を確実にします。", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのプロファイル (ドメイン、プライベート、パブリック) で Windows Defender ファイアウォールが有効化されている。既定で受信接続をブロックし、破棄されたパケットをログに記録する", "status": "machine-draft" }, "remediationSteps": { "value": "受信接続を既定でブロックした状態で、ドメイン、プライベート、パブリックのネットワークプロファイルについて Windows Defender ファイアウォールを有効にする Intune エンドポイントセキュリティのファイアウォールポリシーをデプロイします。必要なアプリケーションの例外についてファイアウォールルールを構成し、破棄された接続と成功した接続のログ記録を有効にします。ファイアウォールポリシーのデプロイ状態を監視し、ポリシー適用エラーやファイアウォール無効の状態を報告するデバイスを調査します。", "status": "machine-draft" } }, "INTUNE-017": { "name": { "value": "セキュリティベースラインのコンプライアンス", "status": "machine-draft" }, "description": { "value": "Intune の Microsoft セキュリティベースラインは、資格情報保護、ブラウザーセキュリティ、攻撃面の減少などの領域を網羅した、Microsoft のセキュリティチームが推奨する事前構成済みの Windows 設定グループを提供します。セキュリティベースラインから逸脱するデバイスは、セキュリティ体制が弱体化し、既知の攻撃経路に対して脆弱になる可能性があります。ベースラインのコンプライアンスを監視することで、構成のドリフトを特定し、一貫したセキュリティ体制の維持に役立ちます。", "status": "machine-draft" }, "recommendedValue": { "value": "割り当てられたセキュリティベースラインへの 90% 以上のコンプライアンス。すべての競合およびエラー状態が解決されている", "status": "machine-draft" }, "remediationSteps": { "value": "Windows および Defender for Endpoint 向けの最新の Microsoft セキュリティベースラインプロファイルをすべての管理対象デバイスにデプロイし、設定ごとのコンプライアンス状態を監視します。競合またはエラー状態を報告する設定は、多くの場合、調整が必要な競合するポリシーを示すため調査します。非準拠の設定については、逸脱が文書化された例外を正当化する正当な業務要件によるものか、修正すべき構成上の問題かを評価して対処します。", "status": "machine-draft" } }, "INTUNE-018": { "name": { "value": "PowerShell スクリプトのデプロイ監査", "status": "machine-draft" }, "description": { "value": "Intune では、管理者が管理対象 Windows デバイスに PowerShell スクリプトをデプロイでき、既定では SYSTEM レベルの特権で実行されます。このチャネルを通じてデプロイされた悪意のある、または不適切に書かれたスクリプトは、デバイスのセキュリティを侵害したり、データを流出させたり、デバイス群全体に不正なソフトウェアをインストールしたりする可能性があります。デプロイされるすべてのスクリプトは、セキュリティへの影響についてレビューし、承認されたデプロイとして追跡する必要があります。", "status": "machine-draft" }, "recommendedValue": { "value": "デプロイされるすべてのスクリプトが変更管理を通じてレビューおよび承認されている。スクリプトは可能な場合はユーザーコンテキストで実行され、スクリプトの内容が文書化されている", "status": "machine-draft" }, "remediationSteps": { "value": "現在 Intune を通じてデプロイされているすべての PowerShell スクリプトを監査し、ハードコードされた資格情報、無制限のリモートダウンロード、過剰な権限変更などのセキュリティリスクについて内容をレビューします。可能な限りスクリプトが SYSTEM コンテキストではなくユーザーコンテキストで実行され、スクリプトの実行が必要最小限のデバイス範囲に限定されていることを確認します。スクリプト内容のピアレビューと本番デプロイ前の正式な承認を含む、スクリプトデプロイの変更管理プロセスを実装します。", "status": "machine-draft" } }, "INTUNE-019": { "name": { "value": "Win32 アプリのデプロイセキュリティレビュー", "status": "machine-draft" }, "description": { "value": "Intune を通じた Win32 アプリケーションのデプロイは、従来のデスクトップアプリケーションをパッケージ化して管理対象デバイスに配布します。適切に検証されていないアプリケーションには、脆弱性、同梱されたマルウェア、デバイスセキュリティを弱める過剰なシステム変更が含まれる可能性があります。Win32 アプリのデプロイカタログをレビューすることで、承認された安全なアプリケーションのみが管理対象デバイス群に配布されることを確実にします。", "status": "machine-draft" }, "recommendedValue": { "value": "すべての Win32 アプリが信頼できるベンダーから調達され、文書化された承認を得ている。インストールコマンドがセキュリティへの影響についてレビューされている", "status": "machine-draft" }, "remediationSteps": { "value": "Intune を通じてデプロイされたすべての Win32 アプリケーションを確認し、各アプリケーションが信頼できるベンダーから調達され、ソフトウェア承認プロセスを通じて承認されていることを確認します。セキュリティを弱める可能性のある疑わしいパラメーター、スクリプト実行、レジストリ変更がないか、インストールおよびアンインストールのコマンドラインを精査します。本番デバイスグループへのデプロイ前に、新しい Win32 アプリパッケージのセキュリティリスクを評価するアプリケーションレビュープロセスを実装します。", "status": "machine-draft" } }, "INTUNE-020": { "name": { "value": "デバイスのカテゴリとグループ化", "status": "machine-draft" }, "description": { "value": "Intune のデバイスカテゴリと動的グループは、的を絞ったポリシーおよびアプリケーションのデプロイのために管理対象デバイスを整理します。構造化された分類スキームがなければ、ポリシーが一貫せずに適用され、重要なセキュリティ構成がデバイス群のセグメント全体を見落とす可能性があります。適切なデバイスのグループ化は、異なるデバイスの役割とユーザー集団に対して差別化されたセキュリティ体制を可能にします。", "status": "machine-draft" }, "recommendedValue": { "value": "組織のニーズに沿って定義されたデバイスカテゴリ。自動的なポリシーターゲティングのためデバイスプロパティに基づく動的グループ", "status": "machine-draft" }, "remediationSteps": { "value": "役員、標準ユーザー、キオスク、共有デバイスなど、組織のデバイスの役割に沿ったデバイスカテゴリを確認して確立します。カテゴリ、OS、所有形態、コンプライアンス状態などのデバイスプロパティに基づいて動的デバイスグループを作成し、自動的なポリシーおよびアプリケーションのターゲティングに使用します。すべてのポリシー割り当てが適切なグループを参照し、グループ化構造の範囲外に置かれるデバイスがないことを確認します。", "status": "machine-draft" } }, "INTUNE-021": { "name": { "value": "リモートアクションの監査 (ワイプ、リタイア、ロック)", "status": "machine-draft" }, "description": { "value": "ワイプ、リタイア、リモートロックなどの Intune リモートアクションは強力なデバイス管理機能であり、悪用されるとデータ損失や正当なユーザーへのサービス拒否を招く可能性があります。不正または誤ったリモートワイプはデバイス上の業務上重要なデータを破壊する可能性があり、監査されないリモートロックアクションはアカウント侵害を示している可能性があります。すべてのリモートアクションは、承認された使用についてログに記録し、レビューする必要があります。", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのリモートアクションが操作者の ID とともにログに記録されている。ワイプアクションには文書化された承認が必要。監査ログが週次でレビューされている", "status": "machine-draft" }, "remediationSteps": { "value": "ワイプ、リタイア、リモートロック、パスコードリセットを含むすべてのリモートアクションイベントについて Intune の監査ログを確認し、不正または異常なアクティビティを特定します。フルワイプなどの破壊的なリモートアクションについて、文書化された正当性と二次承認を要求する承認ワークフローを実装します。デバイスがワイプされる際にセキュリティチームが直ちに把握できるよう、リモートワイプアクションのアラート通知を構成します。", "status": "machine-draft" } }, "INTUNE-022": { "name": { "value": "OneDrive 同期の制限", "status": "machine-draft" }, "description": { "value": "OneDrive 同期クライアントの設定は、クラウドストレージと管理対象デバイスの間で企業ファイルがどのように同期されるかを制御し、無制限の同期は企業データが管理されていない、または非準拠のデバイスに保存される結果を招く可能性があります。同期クライアントにドメイン制限がなければ、ユーザーは企業の SharePoint および OneDrive コンテンツを IT の管理外にある個人用デバイスに同期できます。適切な同期の制限は、管理されていないファイル同期を通じたデータ漏洩を防ぎます。", "status": "machine-draft" }, "recommendedValue": { "value": "OneDrive 同期がドメイン参加済みまたは Intune 管理対象デバイスに制限されている。バックアップのため既知のフォルダーの移動が有効化され、ファイルオンデマンドが有効化されている", "status": "machine-draft" }, "remediationSteps": { "value": "テナントの許可リストを使用して、Azure AD 参加済みまたは Intune 管理対象のデバイスに同期を制限するよう、Intune を通じて OneDrive 同期クライアントを構成します。データ保護のためデスクトップ、ドキュメント、ピクチャを OneDrive に自動的にリダイレクトする既知のフォルダーの移動を有効にし、ローカルのデータストレージを最小化するファイルオンデマンドを有効にします。組織のポリシーで許可されている場合は、データの混在を防ぐため企業デバイスでの個人用 OneDrive アカウントの同期をブロックします。", "status": "machine-draft" } }, "INTUNE-023": { "name": { "value": "破壊的なデバイスアクションに対する複数管理者承認", "status": "machine-draft" }, "description": { "value": "Microsoft Intune は、一括デバイスワイプ、一括デバイスリタイア、スクリプトデプロイなどの影響の大きい操作の実行前に、2 人目の管理者による承認を要求する複数管理者承認ポリシーをサポートします。複数管理者承認がなければ、侵害された単一の管理者アカウントが組織全体で大規模なデバイスワイプをトリガーできます。このチェックは、侵害された、または不正な管理者アカウントによって実行される破壊的なアクションから保護するため、操作承認ポリシーが構成されていることを検証します。", "status": "machine-draft" }, "recommendedValue": { "value": "一括デバイスワイプ、一括デバイスリタイア、スクリプトデプロイのアクションを含む破壊的な操作について複数管理者承認が有効化されている", "status": "machine-draft" }, "remediationSteps": { "value": "Microsoft Intune 管理センター > テナント管理 > 複数管理者承認に移動します。破壊的な操作について 2 人目の管理者による承認を要求する承認ポリシーを作成します。少なくとも、一括デバイスアクション (ワイプ、リタイア、削除)、大規模グループへのアプリのデプロイ、スクリプトデプロイについて承認を有効にします。これらの要求をレビューして承認する、信頼できる上級管理者を含む承認グループを割り当てます。緊急シナリオのための迅速な承認プロセスの実装を検討します。", "status": "machine-draft" } } } |