Windows 11 的 Intune 保安基線審計：怎樣發現設備已偏離您部署的基線

一句話結論： Intune 保安基線審計只回答一個問題：您部署的 Windows 基線，是否仍然是 Windows 11 設備實際運行的配置？偏移來自四個地方：與其他策略的逐項衝突、從未收到基線的設備、沒人記錄的自訂值，以及微軟推出新版本後仍停留在舊版本的設定檔。只要知道去哪裡看，這四種情況在 Intune 管理中心都看得到。

大多數使用 Intune 的機構，都是把 Windows 保安基線指派一次，看到一張看來很健康的狀態圖，然後便轉去做其他事。作為起點，這沒有問題。麻煩在於，基線只是微軟在某個版本時的建議快照，而它疊加在此後您寫的每一條策略之上。Intune 保安基線審計就是定期確認：這份快照、周邊的策略，以及底下的設備，是否仍然一致。

本文說明怎樣在 Windows 11 上做這項檢查：狀態報告在哪裡、怎樣讀懂一個衝突、怎樣判斷設定檔是否過時，以及獨立審計能多做些甚麼。本文假設您已經使用 Intune；如果仍在考慮購買哪種 Intune 授權，請先看我們關於 Intune Plan 1、Plan 2 與 Suite 的指南。

Intune 保安基線是甚麼，又不是甚麼？

在 Intune 管理中心「Endpoint security」下的「Security baselines」中，微軟提供了幾組預先配置的設定，分別針對 Windows、Microsoft Defender for Endpoint、Microsoft Edge、Windows 365 和 Microsoft 365 應用程式。大多數機構所說的「基線」，指的是「Security Baseline for Windows 10 and later」。微軟的文件把這些基線描述為它建議的配置，與其組策略保安基線出自同一套指引，並為每個版本提供一張列出全部預設值的參考頁面。

有三件事它不是，而每一件都是審計發現中常見的誤解。

• 它不是 CIS 基準。 互聯網保安中心（CIS）為經 Intune 管理的 Windows 11 發佈了自己的基準。它與微軟基線大量重疊，但並不相同，符合其中一個的設備，可能在另一個中有不合格的項目。如果客戶、保險公司或評估方問的是 CIS，單憑微軟基線答不了。
• 它不是合規政策。 基線負責配置設定；合規政策則按一小組條件評估設備，標記為合規或不合規，再由條件訪問據此行事。一部設備可以是合規的，同時有一半基線設定處於衝突狀態。
• 它不會自行更新。 微軟推出新版本基線後，現有設定檔會一直停留在建立時的版本，直至管理員手動更新。

偏移從哪裡來？

在我們審查 Microsoft 365 租戶的經驗中，偏離已部署基線的情況，幾乎總是出自以下四個原因之一。

與其他策略衝突

這是最常見的來源。有人建立了一個設定目錄設定檔、一條端點保安政策或一份舊式裝置配置設定檔，設定了基線同樣設定的項目，取值不同，甚至取值相同。Intune 無法判斷該用哪一個，這一項在該設備上便會報告為衝突。表面上甚麼都沒有壞，但設備運行的是它最後收到的那個值，不一定是您想要的那個。

在仍接收組策略的混合加入設備上，同一項設定亦可能由組策略物件設定。Windows 有一項政策，即 ControlPolicyConflict 下的 MDMWinsOverGP，令設備在兩者並存時優先採用 MDM 的值。它有沒有設定值得記錄，因為沒有它，「哪個值生效」的答案會因設定項而異。

從未收到基線的設備

基線只作用於獲指派的群組。群組以外的設備、群組重組後才註冊的設備、兩年前因某個項目被「暫時」排除的設備，都在沒有基線的情況下運行。狀態圖只計算獲指派基線的設備，所以它無法告訴您缺少了甚麼。

沒人記錄的自訂值

建立基線設定檔時，任何預設值都可以修改。大多數租戶都有幾處改動：因為某個業務應用程式出問題而放寬一項設定，因為員工投訴而關掉一個提示。每一處改動可能都沒錯。問題是一年之後，沒人說得清哪些是有意為之，哪些是測試完忘記改回。

停留在舊版本的設定檔

隨著 Windows 和微軟的指引更新，微軟會推出 Windows 基線的新版本，近幾個版本以 Windows 發行版命名，例如 23H2 和 24H2。在舊版本上建立的設定檔，保留的是舊版本的設定。微軟文件說明，更新設定檔會基於最新版本建立一個新實例，與原檔並存，並讓您選擇是否沿用自訂值。原檔維持不變，所以微軟亦要求您移除原檔的指派，否則正好製造出您想避免的衝突。

在 Intune 管理中心怎樣逐項檢查？

規模較小的設備環境，大部分工作您一個下午便可自行完成。請預留報告延遲：微軟說明，基線首次指派後，狀態數據最多需要 24 小時才出現，之後每次變更最多需要 6 小時。

1. 列出基線設定檔及其版本。 進入「Endpoint security」，再進入「Security baselines」，打開「Security Baseline for Windows 10 and later」。每個設定檔都顯示其所基於的版本。記下並非最新版本的設定檔，以及有多於一個 Windows 基線設定檔指派給重疊群組的情況。
2. 核對指派和排除。 打開每個設定檔的內容，記下包含群組和排除群組。然後把 Intune 內 Windows 設備的總數，與基線報告的設備數比較。兩者之差就是覆蓋缺口。
3. 按設定看狀態，而不只是按設備看。 設備狀態檢視顯示有多少設備報告成功、錯誤、衝突或不適用。真正有用的細節在按設定的檢視中：它顯示哪幾項設定處於衝突或錯誤狀態，涉及多少部設備。
4. 把每個衝突追溯到另一條策略。 打開受影響的設備，進入其裝置配置檢視，找出設定同一項目的另一份設定檔。決定這一項該由哪條策略負責，然後從另一條中刪除。不要靠把設備排除在基線之外來解決衝突，那只會把一個看得見的衝突，變成一個看不見的覆蓋缺口。
5. 記錄每一個自訂值。 打開設定檔的設定，記下每一個與該版本微軟預設值不同的值。逐一寫明為甚麼改、由誰批准。微軟該版本的參考頁面列出了可供對照的預設值。
6. 直接抽查一部設備。 在 Windows 11 設備上，經「設定」中「帳戶」下管理公司或學校帳戶的頁面，可以匯出一份管理診斷報告。它顯示設備實際收到的政策，當控制台與用戶說法不一時，以它為準。

審計、狀態報告和 CIS 掃描有甚麼分別？

這三者經常被混為一談，但它們回答的是不同問題。

狀態報告、基線審計還是 CIS 基準掃描？

• 基線狀態報告。 Intune 內置，數據延遲以小時計，在其覆蓋範圍內是準確的：已指派的設備，對照的是您自己設定檔中的值。它不會告訴您設定檔已經過時、有設備不在指派範圍內，或某個自訂值是否明智。
• 基線偏移審計。 對設定檔版本、指派、自訂值和衝突的時點審查，每項發現都追溯到原因，並為每一項有爭議的設定建議一個歸屬策略。它覆蓋狀態報告看不到的部分，並產出一份 IT 部門以外的人也看得明白的文件。
• CIS 基準掃描。 以外部基準而非您自己的意圖來衡量設備。當客戶合約、保險公司或評估方點名要求 CIS 時很有用。它會標出微軟基線設定不同的項目，這些項目需要逐一決定，而不是自動修正。

獨立審計多做了甚麼？

價值不太在於讀報告，那是您自己的團隊也能做的，而在於圍繞報告的判斷。獨立審查會問：這項設定為甚麼被改、這個衝突是否有意為之、基線的指派是否仍符合機構現時的組織架構。

Brocent 的 Intune 設備審計在檢查基線之餘，亦覆蓋註冊、合規、加密、Defender、更新通道和應用程式保護。審查是只讀的：全域管理員一次性批准一個只讀應用程式，API 無法讀取的設定，則與您的 IT 負責人透過屏幕分享一同查看。我們的 Intune 設備審計檢查甚麼一文說明了完整範圍，Intune 設備審計示例報告（英文頁）以一間虛構公司展示交付內容，包括基線方面的發現如何評級、如何放入分階段的修正計劃。

具體到基線，報告會記錄所檢查的基線類型和版本、指派情況和覆蓋缺口、每一個自訂值及所給的理由、每一個衝突及另一方的策略，以及有關版本更新的建議。如果客戶需要與 CIS 對照，報告會另行列出 CIS 結果，絕不把兩者當成同一回事。

設備審計通常與租戶整體審查一併確定範圍。Microsoft 365 保安審計價格頁列出按人數固定的價格級別，10 位用戶以內 450 美元起，以及 5 至 7 個工作天的交付周期。如果審查之後您需要的是長期設備管理，而不是一次性檢查，Brocent 的 MDM 與 BYOD 管理服務可以承擔；授權方面請看 Microsoft Intune 價格頁。

對英國的團隊來說，基線自然對應 Cyber Essentials 的安全配置要求。對澳洲的團隊來說，它支持大多數網絡保險投保問卷中關於配置和補丁的問題。兩種情況下，審計報告都是為了用作證據而設計，它本身不會授予認證或保障。

審計之後通常會出甚麼問題？

開始修正之前，值得先了解幾種常見情況。

• 一步到位更新版本。 新版本基線可能改動您的應用程式所依賴的預設值。先把更新後的設定檔指派給試行群組，觀察一星期，再推廣至全部設備，並移除舊設定檔的指派。
• 靠刪除基線中的設定來解決衝突。 從基線中刪掉這一項來消除衝突很吸引。但通常該讓步的是另一條策略，因為基線才是有文件記錄的參照。
• 排除項一直開著。 每一個排除群組都應有負責人和覆核日期。沒有的話，臨時排除便會變成永久排除。
• 混用互相重疊的基線。 Windows 基線與 Defender for Endpoint 基線有部分範疇重疊。請為每項重疊設定決定歸屬，而不是把兩者都指派給所有設備，再接受由此而來的衝突。

常見問題

Intune 保安基線就是 Windows 11 的 CIS 基準嗎？

不是。微軟基線是微軟自己建議的配置；CIS 為經 Intune 管理的 Windows 11 另外發佈了基準。兩者有重疊，但一部設備可能通過其中一個，卻在另一個中有不合格項目，所以要說清楚您對照的是哪一個。

Intune 會自動更新保安基線嗎？

不會。現有設定檔會停留在建立時的版本。更新會基於最新版本建立一個與原檔並存的新實例，並由您選擇是否保留自訂值。更新後請移除原設定檔的指派，以免產生衝突。

基線報告中的「衝突」是甚麼意思？

意思是兩條策略把同一項設定套用到同一部設備，Intune 無法判斷應以哪一個為準。解決方法是決定由哪條策略負責這一項，並從另一條中刪除。

多久審計一次基線較為合適？

至少每年一次；另外在微軟推出新版本基線、您調整設備群組，或新增重要配置策略時亦應進行。策略變動頻繁的機構，每季一次較為合理。

可以把某部設備排除在基線之外來解決問題嗎？

可以，但要記錄原因、負責人和覆核日期。被排除的設備不會出現在基線狀態圖中，所以偏移往往就藏在排除項裡。

基線審計會改動我們的設備嗎？

我們不會改動。審查是只讀的。改動由您的團隊或您之後委託的服務商按修正計劃執行。

從哪裡開始

這星期就在 Intune 管理中心打開 Windows 保安基線，記下三個數字：設定檔的版本；它報告的設備數，與 Intune 內 Windows 設備總數的對比；處於衝突狀態的設定項數目。只要其中任何一個令您意外，基線就已經偏移了。如果希望由團隊以外的人做完整審查，並交回一份排好優先次序的修正計劃，請聯絡顧問。