Intune 与 CIS Windows 11 基准差距分析

一句话版本： Intune 与 CIS 的差距分析，是把你的 Intune 策略在 Windows 11 上实际设置的值，与所选 CIS 基准的每一条建议逐一对比；通常选用 CIS Microsoft Intune for Windows 11 Benchmark（截至 2026 年 11 月最新版本为 v5.0.0）。Intune 安全基线是微软自己的推荐，并不是同一份文件。分析结果是一份登记表：已符合、有意不同（附原因）、未设置，或无法通过 Intune 强制执行。请在审计之前完成，让每一处差异都是有记录的决定，而不是审计发现。

迟早会有客户问卷、网络保险表格或审计师问你：Windows 设备是否"按 CIS 加固"。如果你在用 Intune，并且分配了微软的 Windows 安全基线，很容易直接回答"是"。但这并不准确。基线和 CIS 基准高度重叠，却是两家机构分别编写的两份文件，符合其中一份的设备，仍可能在另一份里有不达标项。

Intune 与 CIS 差距分析就是找出两者在你自己设备上的差异。本文说明应该对照哪一份 CIS 文件、如何搭建对比表、Intune 能直接强制哪些建议而哪些不能，以及如何把例外写成有依据的决定。本文建立在我们另一篇文章Intune 安全基线审计：发现配置偏移的基础上，那篇讨论的是你部署的基线是否仍是设备实际运行的配置。

Intune 安全基线就是 CIS 吗？

不是。Intune 里的 Windows 安全基线是微软的推荐配置，按基线版本公布一组默认值。互联网安全中心（CIS）则通过另一套共识流程编写其基准。两者在大项上基本一致（开启 Defender、开启防火墙、BitLocker、停用旧协议），但在范围、具体取值和覆盖的设置数量上都有差别。有些 CIS 建议比微软默认值更严格，有些设置只出现在其中一份里；而且 CIS 把建议分成 Level 1、Level 2 等配置级别，微软则对每项只给一个推荐值。

所以"我们部署了 Intune 基线"是个好起点，但不能作为符合 CIS 的证据。如果有人问 CIS，诚实的答案来自一次对比。

应该对照哪一份 CIS Windows 11 基准？

CIS 发布了两份 Windows 11 基准，选错文件是最常见的第一个错误。

CIS Microsoft Intune for Windows 11 Benchmark： 面向通过 Intune 管理的设备，每条建议都以 MDM 或设置目录（Settings Catalog）中的设置来表达。CIS 在 2026 年 7 月的基准更新中发布了 v5.0.0。对 Intune 管理的设备，通常应该用这一份。
CIS Microsoft Windows 11 Enterprise Benchmark： 围绕组策略编写。截至本文撰写时最新版本为 v5.1.0，在 CIS 2026 年 9 月的更新中发布。适合通过组策略管理的域环境，或组策略仍掌管大量设置的混合环境。

无论选哪一份，都要在分析表最上方写明基准名称、版本和配置级别。没有版本号的"CIS Level 1"是无法核对的引用，而且不同版本之间建议会有变化。如果你上一次分析对照的是较旧版本的 Intune 基准，迁移到新版本时应视为一次全新的对比，而不是简单更新。

Intune 安全基线、CIS Intune 基准与 CIS Windows 11 企业版基准对比

三者怎么比

编写方： Intune 基线由微软编写；两份 CIS 基准都由互联网安全中心编写。
交付形式： 基线是现成的 Intune 配置文件，直接分配即可；CIS Intune 基准是一份文件，需要你通过 Intune 策略去实现；企业版基准是围绕组策略编写的文件。
配置级别： 基线每项只有一个推荐值，可自行修改；CIS 基准把建议分为 Level 1、Level 2 等级别。
版本： 基线版本跟随 Windows 版本发布，已有的配置文件会一直停留在原版本，直到管理员更新；CIS 基准按 CIS 自己的节奏发布新版本。
最适合的用途： 基线是快速、受支持的起始配置；有人要求 Intune 设备符合 CIS 时，CIS Intune 基准是参照标准；企业版基准是组策略环境的参照标准。
单独能证明什么： 基线只能证明你分配了微软的推荐；CIS 基准在你拿设备去对比之前，什么也证明不了。

怎样做 Intune 与 CIS 的差距分析？

小规模环境可以先自己做第一轮，预留几天时间，大部分时间花在映射上。

确定参照标准。 选定基准、版本和配置级别（对大多数小型机构来说，是 CIS Intune for Windows 11 基准的 Level 1）。记录哪些建议在范围内；有些只适用于特定设备类型或功能。
盘点每项设置由谁来设。 列出所有面向 Windows 设备的 Intune 策略：安全基线、设置目录配置文件、终端安全策略（防病毒、防火墙、磁盘加密、攻击面减少、账号保护）以及旧式设备配置文件。同一项设置可能在多处被设置，你需要全部掌握。
把每条建议映射到来源。 对每条 CIS 建议，记录由哪个策略设置、配置值和期望值。用电子表格，每条建议一行，它本身就是你的证据。
检查设备实际上报的状态。 策略说明应该生效什么，按设置的状态报告说明实际生效了什么。查看每个配置文件的按设置报告；再在一台样本设备上，从"设置 > 账户 > 访问工作或学校"导出管理诊断报告。冲突和错误也要写进登记表，而不只是配置值。
给每一行归类。 使用一组固定的结果：已符合；有意不同（附原因和负责人）；未设置；已设置但冲突或出错；无法通过 Intune 强制执行（说明用什么方式覆盖）；不适用。
决定修复顺序。 先关闭对业务没有影响的"未设置"项；可能影响用户或业务应用的改动，先在试点组测试，再大范围分配。

保留这份电子表格。下一次分析（新的基准版本或新的基线版本之后）就是和这一份对比，而不是从零开始。

哪些 CIS 建议 Intune 能强制执行，哪些不能？

实际操作中，每一行大致会落入三类：

在 Intune 中直接设置： 占大多数。大部分建议都对应设置目录里的某个设置，或终端安全策略中的某项设置，CIS Intune 基准本身就是为了让这种映射更直接而编写的。
间接设置： 有些建议需要自定义配置（OMA-URI）、PowerShell 脚本或修正脚本，或者依赖某个功能在别处获得许可并开启。这些可以做到，但也是最容易被遗忘、在环境变化时悄悄失效的项目，所以要记录每一项是怎么下发的、怎么检查的。
超出设备管理范围： 少数建议描述的是流程、硬件或其他系统的状态，而不是设备上的某项设置。用合规检查、书面流程或明确的例外来覆盖，并在登记表里写清楚。

无论你的环境里比例如何，都要逐行写下来。分析的目的不是一个百分比分数，而是让审计师随便挑一条建议，都能看到你对它采取了什么措施。

差异通常出现在哪里？

不引用具体数字，以下这些领域值得优先检查，因为它们经常被多个策略同时设置、保持 Windows 默认值，或者因为某个业务原因被放宽却没有记录：

审计策略： CIS 建议启用特定的高级审计策略子类别；如果没人配置，就沿用 Windows 默认值，设备记录的日志会比基准期望的少。
用户权限分配和本地账户： 谁可以本地登录、通过远程桌面登录或作为服务登录，以及本地管理员账户如何管理。
攻击面减少规则： 每条规则是阻止模式，还是仍停留在试点时的审核模式。
远程桌面和远程协助设置： 常常为了支持方便而放宽，之后再没收紧。
防火墙日志和配置文件设置： 开启防火墙很普遍，但 CIS 规定的日志和按配置文件的设置就未必。
磁盘加密细节： BitLocker 通常已开启，差异往往出现在恢复、启动和加密方式等具体设置上。

这些都不是不经测试就修改设置的理由，它们只是告诉你该先看哪里。

例外项应该怎样记录？

例外是指你决定不遵循、或以不同方式遵循的建议。审计师并不要求零例外，他们要求每一个例外都是一个决定。

每个例外要记录：建议编号和基准版本、你实际使用的值、原因（应用需求、支持需要、经测试的用户影响）、补偿控制（如有）、批准人以及复核日期。避免没有日期的"临时"例外——一年后没人说得清理由是否仍然成立。

不要通过把设备从设置 CIS 值的策略中排除来解决冲突。那只会把看得见的冲突变成看不见的覆盖缺口，这正是我们的基线偏移指南所描述的陷阱。

独立审计能补充什么？

自己做的分析很有价值，但有两个弱点：做映射的人通常就是当初配置的人；而且没有人去查那些根本没纳入 Intune 的设备。独立的设备审计会把每台已注册设备与你指定的基准对比，统计应该注册却没有注册的设备，并交付一份可作为证据使用的发现清单和工作簿。我们的Intune 设备审计样例报告（英文）展示了格式；设备审计与微软365安全审计一起定范围，当前价格见该页面。

如果差距分析显示你缺的是某项功能而不是某个设置，买任何东西之前先确认现有许可证包含什么。我们的Microsoft Intune 价格页说明了各方案涵盖的内容。