Zero Trust implementatiebenadering met Microsoft Intune

Microsoft Intune is een oplossing voor het beheer van mobiele apparaten die het Zero Trust van uw organisatie ondersteunt.

Zero Trust is geen product of service. In plaats daarvan is het een moderne cyberbeveiligingsstrategie die geen impliciet vertrouwen veronderstelt, zelfs niet binnen het bedrijfsnetwerk. In plaats van standaard gebruikers, apparaten of toepassingen te vertrouwen, controleert een Zero Trust-benadering elke toegangsaanvraag expliciet, evalueert voortdurend risico's en dwingt minimale toegangsrechten af voor alle digitale activa.

Kernprincipes van Zero Trust zijn:

Expliciet controleren Minimale toegangsrechten gebruiken Ga ervan uit dat er sprake is van
Verifieer en autoriseer altijd op basis van alle beschikbare gegevenspunten. Beperk gebruikerstoegang met Just-In-Time en Just-Enough-Access (JIT/JEA), op risico gebaseerd adaptief beleid en gegevensbescherming. Straal van ontploffing en segmenttoegang minimaliseren. Controleer end-to-endversleuteling en gebruik analyses om zichtbaarheid te krijgen, bedreigingsdetectie te stimuleren en de verdediging te verbeteren.

Waarom eindpunten voor Zero Trust beheren?

De moderne onderneming heeft een ongelooflijke diversiteit in eindpunten die toegang hebben tot bedrijfsgegevens. Gebruikers werken vanaf elke locatie, vanaf elk apparaat, meer dan op enig moment in de geschiedenis. Hierdoor ontstaat een enorme kwetsbaarheid voor aanvallen en kunnen eindpunten gemakkelijk de zwakste schakel in uw Zero Trust beveiligingsstrategie worden.

Hoewel organisaties doorgaans proactief zijn in het beschermen van pc's tegen beveiligingsproblemen en aanvallen, worden mobiele apparaten vaak niet bewaakt en zonder beveiliging. Het verkrijgen van inzicht in eindpunten die toegang hebben tot uw bedrijfsresources is de eerste stap in uw Zero Trust apparaatstrategie.

Om te voorkomen dat uw gegevens risico lopen, moet u elk eindpunt controleren op risico's en gedetailleerde toegangsbeheer gebruiken om het juiste toegangsniveau te bieden op basis van organisatiebeleid. Als een persoonlijk apparaat bijvoorbeeld is gekraakt, kunt u de toegang ervan blokkeren om te voorkomen dat bedrijfstoepassingen worden blootgesteld aan bekende beveiligingsproblemen.

Zie Zero Trust met Microsoft Intune voor een overzicht van de wijze waarop Intune Zero Trust-principes ondersteunt (expliciet controleren, minimale toegangsrechten gebruiken en aannemen dat inbreuk wordt gebruikt).

Zevenlaagse Zero Trust implementatievoortgang

Het bouwen van een uitgebreide Zero Trust beveiligingspostuur voor apparaten omvat het geleidelijk implementeren van beveiligingslagen. Elke laag bouwt voort op de vorige laag, te beginnen met basisgegevensbescherming en geavanceerde detectie van bedreigingen en preventie van gegevensverlies.

In de volgende tabel ziet u de aanbevolen implementatievoortgang voor Zero Trust apparaatbeveiliging:

Laag Beveiligingsmogelijkheid Wat u bereikt Vereisten Licentievereisten
1 Beleid voor app-beveiliging Beveilig organisatiegegevens in apps zonder dat apparaatinschrijving is vereist. Hiermee maakt u een basis voor BYOD-scenario's (Bring-Your-Own-Device). Ondersteunde apps (Microsoft 365-apps, apps met beleid) Microsoft 365 E3, E5, F1, F3, F5
2 Apparaten registreren Een relatie tot stand brengen tussen gebruiker, apparaat en Intune. Schakel apparaatbeheer en zichtbaarheid in voor eindpunten die toegang hebben tot resources. Platformspecifieke vereisten (MDM-instantie, certificaten) Microsoft 365 E3, E5, F1, F3, F5
3 Nalevingsbeleidsregels Definieer de minimale vereisten waar apparaten aan moeten voldoen (wachtwoordbeveiliging, versie van het besturingssysteem, versleuteling). Apparaten markeren als compatibel of niet-compatibel. Apparaten die zijn ingeschreven in laag 2 Microsoft 365 E3, E5, F3, F5
4 Gezonde en compatibele apparaten vereisen Implementeer enterprise Zero Trust identiteits- en apparaattoegangsbeleid. Werk samen met het identiteitsteam om naleving af te dwingen via voorwaardelijke toegang, waardoor toegang wordt geblokkeerd vanaf apparaten die niet voldoen aan de beveiligingsvereisten. Nalevingsbeleid van laag 3, coördinatie met identiteitsbeheerders Microsoft 365 E3, E5, F3, F5
5 Configuratieprofielen Apparaatinstellingen configureren om de beveiliging te beveiligen. Beveiligingsbasislijnen implementeren. Beveiligingsbesturingselementen verplaatsen van groepsbeleid naar cloudbeleid. Ingeschreven apparaten van laag 2 Microsoft 365 E3, E5, F3, F5
6 Bewaking van apparaatrisico's Integreren met Microsoft Defender voor Eindpunt om apparaatrisico's te bewaken, bedreigingen te detecteren en toegang te blokkeren op basis van risiconiveau. Beveiligingsbasislijnen implementeren. Microsoft Defender voor Eindpunt instellen, coördinatie met het bedreigingsbeveiligingsteam Microsoft 365 E5, F5
7 Eindpunt-DLP Beveilig gevoelige gegevens op eindpunten met Microsoft Purview-preventie van gegevensverlies. Bewaak en beheer bestandsbewerkingen op basis van vertrouwelijkheidslabels. Microsoft Purview-configuratie, apparaten die zijn onboarded naar MDE in laag 6 Microsoft 365 E5, E5-nalevingsinvoegtoepassing, F5-nalevingsinvoegtoepassing

Inzicht in de zeven implementatielagen

In deze sectie wordt elke laag in de Zero Trust implementatievoortgang uitgelegd. Hoewel de tabel met zeven lagen laat zien wat elke laag bereikt, bieden deze beschrijvingen context, voorbeelden en verduidelijking van belangrijke concepten.

App-beveiliging zonder inschrijving (laag 1)

App-beveiliging beleid om organisatiegegevens in apps te beveiligen en te beheren hoe gebruikers werkgegevens openen en delen. Laag 1 is gericht op het beveiligen van gegevens op onbeheerde persoonlijke apparaten zonder inschrijving, maar app-beveiligingsbeleid kan ook worden toegepast op ingeschreven apparaten voor diepgaande verdediging.

Gebruikers installeren apps zoals Outlook of Teams vanuit de Store, melden zich aan met hun werkaccount en beleidsregels voor gegevensbeveiliging zijn automatisch van toepassing. Deze benadering wordt meestal MAM zonder inschrijving of BRING-Your-Own-Device (BYOD) genoemd.

Voorbeeld: Outlook is geïnstalleerd op de persoonlijke iPhone van een gebruiker. Uw app-beveiligingsbeleid vereist een pincode voor toegang tot zakelijke e-mail, voorkomt het kopiëren van werkgegevens naar persoonlijke apps en blokkeert het opslaan van e-mailbijlagen in de persoonlijke cloudopslag. De gebruiker behoudt de volledige controle over het apparaat terwijl de organisatiegegevens beveiligd blijven.

Tip

App-beveiliging-beleid kan worden geïmplementeerd op zowel niet-ingeschreven apparaten (laag 1) als ingeschreven apparaten (laag 2+) voor extra beveiliging op app-niveau naast apparaatbeheer.

Zie Implementatierichtlijnen: App-beveiliging-beleid voor meer informatie.

Apparaatinschrijving (laag 2)

Inschrijving registreert apparaten met Intune, waardoor uitgebreid apparaatbeheer mogelijk is. Intune implementeert apps, configureert instellingen, dwingt nalevingsbeleid af en biedt volledig inzicht in de apparaatstatus.

Voorbeeld: Een zakelijke laptop wordt ingeschreven bij Intune tijdens de installatie van Windows Autopilot. Intune configureert Wi-Fi, implementeert certificaten, installeert beveiligingsbasislijnen, dwingt BitLocker-versleuteling af en controleert de naleving van uw wachtwoordbeleid.

Zie Implementatierichtlijnen: Apparaten inschrijven voor meer informatie.

Nalevingsbeleid (laag 3)

Nalevingsbeleid definieert beveiligingsvereisten waaraan apparaten moeten voldoen om toegang te krijgen tot organisatieresources. Dit beleid evalueert de apparaatstatus en markeert apparaten als compatibel of niet-compatibel op basis van instellingen die u configureert, zoals wachtwoordvereisten, besturingssysteemversies, versleutelingsstatus en jailbreakdetectie.

Voorbeeld: Uw nalevingsbeleid vereist dat Windows-apparaten BitLocker hebben ingeschakeld, een minimale versie van het besturingssysteem uitvoeren en een wachtwoord van ten minste acht tekens gebruiken. BitLocker ontbreekt op de laptop van een gebruiker, is gemarkeerd als niet-compatibel. De gebruiker ontvangt meldingen over de vereiste en heeft tijd om te herstellen voordat de toegang wordt geblokkeerd (als u laag 4 afdwingt).

Tip

Nalevingsbeleid evalueert de status van het apparaat, maar blokkeert de toegang niet automatisch. Ze werken met voorwaardelijke toegang (laag 4) om nalevingsvereisten af te dwingen.

Zie Implementatierichtlijnen: Nalevingsbeleid voor meer informatie.

Gezonde en compatibele apparaten vereisen (laag 4)

Deze laag implementeert Zero Trust identiteits- en apparaattoegangsbeleid op bedrijfsniveau door te vereisen dat apparaten in orde zijn en compatibel zijn voordat ze toegang verlenen tot organisatieresources. U werkt samen met uw identiteitsteam om beleid voor voorwaardelijke toegang te maken in Microsoft Entra ID waarmee de nalevingsbeslissingen van laag 3 worden afgedwongen.

Deze laag vertegenwoordigt de verschuiving van evaluatie naar afdwinging. Nadat het nalevingsbeleid apparaten als compatibel of niet-compatibel heeft gemarkeerd, gebruikt beleid voor voorwaardelijke toegang dat signaal om toegang te verlenen of te blokkeren tot e-mail, SharePoint, Teams en andere beveiligde resources.

Voorbeeld: Uw identiteitsteam configureert een beleid voor voorwaardelijke toegang dat vereist dat apparaten als compatibel worden gemarkeerd voordat gebruikers toegang hebben tot Microsoft 365-apps. Een gebruiker probeert Outlook te openen vanaf een Windows-apparaat dat wordt beheerd door Intune. Het apparaat is niet compatibel omdat het niet voldoet aan een Intune nalevingsvereiste, omdat schijfversleuteling (BitLocker) niet is ingeschakeld. Omdat het apparaat niet is gemarkeerd als compatibel, blokkeert voorwaardelijke toegang de toegang tot Outlook en wordt de gebruiker gevraagd het probleem op te lossen. Nadat de gebruiker BitLocker heeft ingeschakeld, meldt het apparaat de bijgewerkte nalevingsstatus aan Intune. Zodra het apparaat is geëvalueerd als compatibel, evalueert voorwaardelijke toegang de aanmelding opnieuw en wordt de toegang tot Outlook hersteld.

Opmerking

Voor deze laag is coördinatie met uw identiteitsteam vereist. Hoewel in het Intune beheercentrum het knooppunt Voorwaardelijke toegang wordt weergegeven vanuit Microsoft Entra ID, wordt beleid voor voorwaardelijke toegang gemaakt in Entra id, niet Intune. Zie de sectie Identiteitsteamcoördinatie voor de werkstroom.

Zie Beheerde apparaten vereisen met voorwaardelijke toegang voor meer informatie.

Configuratieprofielen (laag 5)

Configuratieprofielen configureren apparaatinstellingen om beveiliging te beveiligen, functies in te schakelen en consistente configuraties in uw hele vloot te maken. Terwijl nalevingsbeleid (laag 3) beoordeelt of apparaten voldoen aan vereisten, implementeren configuratieprofielen proactief instellingen om ervoor te zorgen dat apparaten correct zijn geconfigureerd.

U kunt instellingen implementeren via apparaatconfiguratieprofielen of eindpuntbeveiligingsbeleid. Apparaatconfiguratieprofielen ondersteunen brede scenario's, waaronder Wi-Fi- en VPN-profielen, certificaatimplementatie, wachtwoordbeleid, schijfversleutelingsinstellingen en groepsbeleid equivalenten. Eindpuntbeveiligingsbeleid biedt gestroomlijnde ervaringen die specifiek zijn gericht op beveiligingsinstellingen zoals antivirus, schijfversleuteling, firewall, kwetsbaarheid voor aanvallen verminderen en eindpuntdetectie en -respons.

Voorbeeld: U implementeert een Windows-beveiligingsbasislijn op zakelijke laptops. De basislijn schakelt Windows Firewall in, configureert BitLocker-versleuteling, schakelt verouderde protocollen uit, schakelt regels voor het verminderen van kwetsbaarheid voor aanvallen in en configureert tientallen andere beveiligingsinstellingen. Gebruikers hoeven deze instellingen niet handmatig te configureren, Intune ze automatisch toepassen.

Tip

Beveiligingsbasislijnen zijn vooraf geconfigureerde profielen met de aanbevolen beveiligingsinstellingen van Microsoft. Gebruik ze als uitgangspunt en pas ze vervolgens aan op basis van de behoeften van uw organisatie.

Zie Configuratieprofielen implementeren voor meer informatie.

Bewaking van apparaatrisico's (laag 6)

Bewaking van apparaatrisico's integreert Microsoft Defender voor Eindpunt met Intune om continue bedreigingsdetectie, apparaatrisicobeoordeling en op risico gebaseerde toegangsbeheer toe te voegen. Deze laag verschuift van statische nalevingscontroles naar dynamische beveiligingsbewaking die in realtime reageert op actieve bedreigingen.

Wanneer u apparaten onboardt voor Microsoft Defender voor Eindpunt, beginnen ze met het rapporteren van beveiligingstelemetrie en bedreigingsinformatie. Defender wijst elk apparaat een risiconiveau toe (beveiligd, laag, gemiddeld, hoog of niet beschikbaar) op basis van gedetecteerde bedreigingen, beveiligingsproblemen en beveiligingspostuur. U kunt dit risiconiveau in nalevingsbeleid gebruiken om de toegang van apparaten met een hoog risico te blokkeren of herstelacties te activeren.

Voorbeeld: De laptop van een gebruiker raakt geïnfecteerd met malware. Microsoft Defender voor Eindpunt detecteert de bedreiging en markeert het apparaat als hoog risico. Uw nalevingsbeleid dat het apparaatrisico evalueert, markeert het apparaat onmiddellijk als niet-compatibel. Voorwaardelijke toegang blokkeert de toegang van de gebruiker tot organisatieresources totdat de bedreiging is hersteld en het apparaatrisico weer een acceptabel niveau heeft.

Tip

Door Defender voor Eindpunt te integreren met Intune kunt u ook diepere beveiligingsconfiguraties implementeren, waaronder de Microsoft Defender voor Eindpunt beveiligingsbasislijn en geavanceerde instellingen voor beveiliging tegen bedreigingen, zoals regels voor het verminderen van kwetsbaarheid voor aanvallen, gecontroleerde maptoegang en netwerkbeveiliging.

Zie Microsoft Defender voor Eindpunt integratie voor meer informatie.

Preventie van gegevensverlies van eindpunten (laag 7)

Preventie van gegevensverlies van eindpunten maakt gebruik van Microsoft Purview om te voorkomen dat gevoelige gegevens beheerde eindpunten verlaten via kopieer-, afdruk-, upload- of overdrachtsbewerkingen. Terwijl eerdere lagen de toegang tot resources beveiligen, beveiligt deze laag de gegevens zelf door de interactie van gebruikers met gevoelige bestanden te bewaken en te beheren.

Apparaten die zijn toegevoegd aan Microsoft Defender voor Eindpunt in laag 6, worden automatisch onboarding uitgevoerd voor eindpunt-DLP zonder extra Intune configuratie. Uw complianceteam maakt DLP-beleid in de Microsoft Purview-portal waarin wordt gedefinieerd welke vertrouwelijkheidslabels, bestandstypen of inhoudspatronen beschermende acties activeren.

Voorbeeld: Uw nalevingsteam maakt een DLP-beleid om te voorkomen dat bestanden met het label Vertrouwelijk worden gekopieerd naar USB-stations of geüpload naar persoonlijke cloudopslag. Een gebruiker probeert een vertrouwelijk financieel rapport naar een USB-station te kopiëren. Eindpunt-DLP blokkeert de bewerking en geeft een melding weer waarin de beperking wordt uitgelegd. Afhankelijk van hoe het nalevingsteam het beleid heeft geconfigureerd, kan de blokkering absoluut zijn of kan de gebruiker een zakelijke reden opgeven en doorgaan. Alle activiteiten worden geregistreerd voor nalevingsrapportage.

Opmerking

Als Intune beheerder is uw rol voor eindpunt-DLP beperkt om ervoor te zorgen dat apparaten worden toegevoegd aan Microsoft Defender voor Eindpunt (laag 6). Het maken en beheren van alle DLP-beleidsregels vindt plaats in de Microsoft Purview-portal door uw complianceteam.

Zie Meer informatie over Eindpunt-DLP en Aan de slag met Eindpunt-DLP voor meer informatie.

Inschrijving versus onboarding

Wanneer u deze lagen implementeert, werkt u met twee gerelateerde, maar verschillende concepten: inschrijving en onboarding. Als u het verschil begrijpt, wordt duidelijker wat er in elke laag gebeurt.

Inschrijving (Laag 2) registreert apparaten met Intune voor uitgebreid apparaatbeheer. Onboarding (lagen 6-7) configureert apparaten om informatie te rapporteren aan specifieke services, zoals Microsoft Defender voor Eindpunt of Microsoft Purview.

Inschrijving Onboarding
Wat het doet Registreert apparaten voor beheer met Intune. Intune beheert het hele apparaat, inclusief apps, instellingen en beleid. Configureert apparaten om informatie te delen met specifieke Microsoft 365-services (momenteel Microsoft Defender voor Eindpunt en Microsoft Purview).
Bereik Volledig apparaatbeheer: instellingen configureren, apps implementeren, naleving afdwingen, apparaatstatus bewaken. Alleen servicespecifieke mogelijkheden. Onboarding naar MDE maakt bijvoorbeeld detectie van bedreigingen mogelijk; onboarding naar Purview maakt DLP mogelijk.
In deze implementatie Laag 2: U schrijft apparaten in voor Intune-beheer. Laag 6: u onboardt apparaten naar Microsoft Defender voor Eindpunt met behulp van Intune.
Laag 7: apparaten die zijn toegevoegd aan MDE, worden automatisch onboarding uitgevoerd voor Microsoft Purview Endpoint DLP.
Hoe u dat kunt doen Platformspecifieke inschrijvingsmethoden: Microsoft Entra join (automatische inschrijving), Windows Autopilot, Automatische apparaatinschrijving van Apple, handmatige inschrijving. Gebruik Intune om de onboardingconfiguratie te implementeren op ingeschreven apparaten. Apparaten moeten zijn ingeschreven bij Intune voordat u ze kunt onboarden naar MDE of Purview.

Opmerking

Onboarding voor Microsoft Defender voor Eindpunt automatisch onboarding van apparaten voor Microsoft Purview-mogelijkheden, waaronder Eindpunt-DLP. Er is geen extra Intune configuratie vereist.

Coördineren met Microsoft 365-teams

Voor het implementeren van Zero Trust apparaatbeveiliging is coördinatie tussen meerdere teams in uw organisatie vereist. Terwijl u Intune-beleid beheert, beheren andere teams aanvullende services die samenwerken om beveiliging af te dwingen.

Identiteitsteam (Microsoft Entra ID)

Hun verantwoordelijkheid: Beleid voor voorwaardelijke toegang beheren, verificatievereisten configureren en de Microsoft Entra ID tenant beheren.

Uw coördinatie:

  • Nadat u app-beveiligingsbeleid (laag 1) hebt gemaakt, werkt u samen met het identiteitsteam om beleid voor voorwaardelijke toegang te maken waarvoor goedgekeurde apps zijn vereist.
  • Nadat u nalevingsbeleid (laag 3) hebt gemaakt, coördineert u het beleid voor voorwaardelijke toegang waarvoor compatibele apparaten zijn vereist:
    1. U maakt en wijst nalevingsbeleid toe in Intune om apparaatvereisten te definiëren.
    2. Identiteitsteam maakt beleid voor voorwaardelijke toegang in Microsoft Entra-beheercentrum.
    3. Het beleid voor voorwaardelijke toegang maakt gebruik van het toekenningsbeheer 'Vereisen dat apparaat wordt gemarkeerd als compatibel'.
    4. Zorg ervoor dat beide beleidsregels zijn gericht op dezelfde gebruikersgroepen.
    5. Test samen met het hulpprogramma What If voor voorwaardelijke toegang voordat u afdwinging inschakelt.
  • Zie Algemene manieren om voorwaardelijke toegang te gebruiken voor een gedetailleerde werkstroom.
  • Zie Beheerde apparaten vereisen met voorwaardelijke toegang voor het maken van beleid.

Gerelateerde richtlijnen:Voorwaardelijke toegang met Intune

Bedreigingsbeveiligingsteam (Microsoft Defender)

Hun verantwoordelijkheid: Stel Microsoft Defender voor Eindpunt service in en beheer deze, onderzoek bedreigingen en beheer soc-werkstromen (Security Operations Center).

Uw coördinatie:

  • Gebruik Intune om apparaten te onboarden naar Microsoft Defender voor Eindpunt (laag 6)
  • Zowel Windows-beveiligingsbasislijn als Defender voor Eindpunt-beveiligingsbasislijn implementeren op beheerde apparaten
  • Apparaatrisicosignalen ontvangen van Defender die worden ingevoerd in nalevingsbeleid
  • Reageren op Intune beveiligingstaken die zijn gemaakt door Defender-beveiligingsbeheerders voor het herstellen van gedetecteerde beveiligingsproblemen en onjuiste configuraties
  • Reactie op incidenten coördineren wanneer bedreigingen worden gedetecteerd op beheerde apparaten

Verwante richtlijnen:

Team voor gegevensbeveiliging en -privacy (Microsoft Purview)

Hun verantwoordelijkheid: Definieer het gegevensgevoeligheidsschema, maak DLP-beleid en beheer nalevingsvereisten in Microsoft Purview.

Uw coördinatie:

  • Zorg ervoor dat apparaten zijn onboarding ter ondersteuning van eindpunt-DLP (automatisch met MDE onboarding in laag 6)
  • Bepalen welke gebruikersgroepen moeten worden opgenomen/uitgesloten van DLP-beleid
  • De zichtbaarheid van het apparaat controleren in de Microsoft Purview-portal
  • Ondersteuning voor gebruikerseducatie wanneer DLP-beleid gegevensbewerkingen blokkeert of waarschuwt voor gegevensbewerkingen

Opmerking

Als de Intune beheerder is uw rol voor eindpunt-DLP beperkt tot het garanderen van onboarding van apparaten voor Microsoft Defender voor Eindpunt. Apparaten die zijn voorbereid op MDE automatisch DLP-compatibel zonder extra Intune configuratie. Het maken en beheren van alle DLP-beleidsregels vindt plaats in de Microsoft Purview-portal door uw complianceteam.

Verwante richtlijnen:

Aanbevolen procedures voor teamoverschrijdende coördinatie

  • Regelmatige coördinatievergaderingen opzetten tijdens de eerste implementatie van elke laag.
  • Eigendom van documenten : wees duidelijk welk team welk beleid beheert.
  • Samen testen : gebruik de controlemodus en What If-hulpprogramma's voordat u afdwingt.
  • Gebruikersgroepen uitlijnen : zorg voor consistente groepstoewijzingen in verschillende services.
  • Communicatie plannen : coördineer gebruikersmeldingen wanneer beleid van invloed kan zijn op de gebruikerservaring.
  • Bewakingsverantwoordelijkheden delen : elk team bewaakt hun service, maar deelt inzichten over de gebruikersimpact.

Volgende stappen

Aan de slag met Zero Trust apparaatbeveiliging:

Meer informatie over Zero Trust:

Geavanceerde beveiligingslagen verkennen:

  • Last updated on