Intune 设备审计：检查什么、交付什么

一句话结论： Intune 设备审计是对所有能接触公司数据的设备做一次只读的一次性检查：是否已注册、是否合规、是否加密、Defender 是否到位、关键更新是否在 14 天内完成，个人手机上的工作应用有没有应用保护。你拿到的是一份带评级的报告、发现项清单和分阶段修复计划。它不是许可证，它告诉你已经付费的许可证到底有没有在起作用。

搜索 Intune 设备审计的人，大致处于两种情况。要么已经在用 Intune，想找独立的一方判断现在的配置是否真的在保护笔记本和手机；要么正在评估要不要买 Intune 许可证，想先弄清"受管"到底意味着什么再花钱。本文两种情况都覆盖：设备审计查什么、交付物长什么样、它在哪里停下而租户级的 Microsoft 365 安全审计从哪里开始，以及为什么审计和许可证是两件常被混淆的不同采购。

下文关于交付物的所有描述，都来自 Brocent 公开的 Intune 设备审计示例报告（英文页）。示例客户是一家虚构的 14 人公司、28 台设备，不描述任何真实客户。

Intune 设备审计检查什么？

设备审计从一个简单的问题开始：哪些设备能打开公司邮件、文件和聊天，每一台的真实状态是什么？Intune 只认识已经注册进来的设备，所以第一步是把 Intune 清单和登录数据、Exchange ActiveSync 与移动应用日志对账。之后审计会逐一检查九个方面。

注册覆盖率。 多少设备能接触公司数据，多少已注册，未注册的是怎么出现的。示例里 28 台设备只有 19 台注册；两台从零售渠道购买的公司 Mac 从未进入 Apple Business Manager，七部个人手机完全不在管理之内。
合规策略。 每个平台是否有合规策略、策略实际检查什么，以及不合规的设备是否真的会被标记并阻止。示例中的 macOS 策略只检查系统版本和密码，几乎所有设备都能通过。
配置文件与安全基线。 Windows 安全基线是否已分配、自定义配置文件是否与它冲突，以及结果与各平台 CIS Intune 基准的对照。
加密。 Windows 的 BitLocker 和 macOS 的 FileVault，包括恢复密钥是否托管到 Intune。示例发现五台受管 Mac 中有两台 FileVault 关闭，原因是合规策略从没要求过；还有一台笔记本的 BitLocker 密钥从未托管。
终端保护。 Defender 是否在每个平台都完成了接入，是否处于完全保护状态。Mac 上这意味着系统扩展、完全磁盘访问和后台服务三个配置文件，很容易漏掉。
更新环与补丁合规。 是否设置了更新环或截止期限，有多少设备的关键更新落后超过 14 天。14 天这个数字之所以重要，是因为 Cyber Essentials v3.3 把它视为自动不通过，详见我们的 Cyber Essentials 与 Microsoft 365 指南。
个人设备的应用保护。 是否存在 iOS 和 Android 应用保护策略，条件访问是否强制要求，以及原生邮件应用是否仍然通过 Exchange ActiveSync 接入——后者会完全绕过应用保护。
管理员角色与本地管理员。 谁持有 Intune 角色，笔记本上是否存在本地管理员权限，Windows LAPS 是否已配置。
清单卫生。 长期未签入的设备记录、允许个人 Windows 电脑注册的注册限制，以及公司门户对员工是否可用。

审计只读取配置和元数据，不读取邮件或文档内容，也不在设备上安装任何东西。

审计是怎样交付的？

设备审计采用和租户审计相同的只读模式。一位全局管理员对一个只读的 Microsoft Graph 应用做一次授权，大约 15 分钟。没有 API 能读取的设置，由审计方和你们的 IT 负责人在管理门户里通过屏幕共享核查，每个发现项都标注取得方式：经 Graph 或 PowerShell 验证、与客户确认，或人工复核。授权随时可以通过移除该应用撤销。

Brocent 在香港和新加坡远程交付审计，并按你所在时区安排视频讲解会议。Microsoft 365 安全审计价格页列出了流程和租户审计 5–7 个工作日的交付周期；设备审计与之一同定范围。

最后你会拿到什么？

示例报告展示了交付物的结构。值得完整读一遍，这里列出各部分。

评级和一句话结论。 示例公司得分 54 分（满分 100），C 减：Windows 状况良好，风险集中在苹果设备和个人手机。结论直接点出第一步——给七部个人手机加上应用保护。
设备资产一览。 六个数字：接触公司数据的设备数、受管、合规、已加密、14 天内已打补丁、无任何保护的个人手机数。合规、加密和补丁只在已注册设备上计算，报告明确说明了这一点，因为 68% 受管和 79% 合规是两个完全不同的数字。
按所有权划分的推荐管理模型。 公司 Windows 笔记本和 Mac 全面受管；个人 iPhone 和 Android 只做应用保护、不注册；家用电脑只允许浏览器访问、不允许下载。每一行都写明控制措施和强制执行它的条件访问授权。
按平台的 CIS 基准结果。 CIS Intune Windows 11 基准、macOS 和 iOS 基准，以及个人手机的应用保护基线，各自的评估项、通过、未通过和人工项数量。示例中个人手机 18 项得 0 分，因为根本没有策略。
发现项清单。 示例有 15 项，每项带领域、严重程度、S/M/L 工作量、关闭它的阶段和置信度标签。唯一的严重项是个人手机没有应用保护；四个高危项是原生邮件经 ActiveSync 接入、两台未注册的 Mac、Mac 上 Defender 不完整、FileVault 未被强制。
建议的应用保护策略。 逐项列出实际设置：PIN、数据传输限制、加密、条件启动、选择性擦除，以及条件访问授权。
Cyber Essentials v3.3 设备对照。 安全配置、用户访问控制、恶意软件防护、更新管理和 BYOD 范围，每项标注已满足、部分满足或未满足。报告的设计目的是在该流程中用作证据，它不授予也不保证认证。
分阶段修复计划。 第 0 阶段稳定，约 1 天；第 1 阶段加固，约 3.5 天；第 2 阶段治理，约 1.5 天。每个阶段列出它关闭的发现项和成功指标，例如 100% 的移动端登录都经过受保护的应用。

你还会拿到报告背后的 Excel 工作簿，包含同样的发现项和设备行，你自己的团队或另一家服务商都可以据此工作。

设备审计和购买 Intune 许可证有什么不同？

这是把大多数人带到搜索框的那个混淆点。Intune Plan 1、Plan 2 和 Intune Suite 是能力；审计是对这些能力是否已配置、是否在按你的假设运行的判断。问三个问题就能分清。

仪表板、审计还是升级许可证？

Intune 合规仪表板。 任何 Intune 方案都附带，即时可用，对自己知道什么很诚实。它的局限是只报告已注册设备对你自己写的策略的符合情况。如果策略从没问过加密，仪表板会把一台加密关闭的设备显示为合规。它也看不到那七部从未注册的手机。
基于基线的设备审计。 一次性、只读、对照公开基准而不是你自己的策略，并通过对账登录数据覆盖未注册设备。它告诉你缺口在哪里、按优先级排序、估算关闭缺口的工作量。它本身不改变任何东西。
升级许可证。 增加远程协助、终端特权管理或高级分析等能力。它本身不修复任何问题，如果基线是错的，只会把同样的缺口扩展到更多功能上。示例中的大多数发现项，用公司已有许可证里的设置就能关闭。

务实的顺序是：先看仪表板，因为它已经包含在方案里；当外部有人要证据、或你怀疑仪表板在美化现状时做审计；最后才改许可证，在审计已经证明你确实缺少某项能力之后。方案对比和按用户计价见 Microsoft Intune 价格页，我们的 Intune Plan 1、Plan 2 与 Suite 指南逐项说明了哪个方案包含哪些功能。本文不重复那些表格。

设备审计和 Microsoft 365 安全审计是什么关系？

两者看的是同一个租户的不同层。Microsoft 365 安全审计检查租户本身：Entra ID 身份、条件访问、Exchange Online、SharePoint、Teams、Defender for Office 365 和 Purview，对照 CIS Microsoft 365 基准。设备审计检查登录这个租户的终端。在示例中，两份报告属于同一客户并互相引用：租户报告汇总设备发现项，设备报告保存完整细节。

先做哪一个取决于触发原因。

网络保险续保或供应商问卷通常先问 MFA、管理员账户和邮件防护，再问设备。先做租户审计。
申请 Cyber Essentials 会直接测试设备，包括打开工作邮件的个人手机。如果身份层已经理顺，设备审计能回答问卷里更多的题。
笔记本丢失、离职员工手机里还留着公司邮件、采购流程之外买的 Mac，直接指向设备审计。
"我们从来没复查过任何一项"意味着两个都要，租户审计是更好的第一步，因为身份控制决定了一台被盗设备能触达什么。

租户审计检查什么一文深入介绍了身份层。

Intune 设备审计费用是多少？

Brocent 不单独公布 Intune 审计价格。设备审计与 Microsoft 365 安全审计一同定范围，后者按人数列出标价：1–10 人 US$450，11–25 人 US$990，26–75 人 US$1,800，76–150 人 US$2,900，150 人以上另行报价。设备数量、平台组合以及个人手机是否纳入范围，决定了叠加在上面的设备工作量，所以设备部分在一次简短的范围沟通后报价，而不是直接列出。审计价格页列出了各档包含的内容和报价的构成。审计不含加固工作；拿到发现项清单后，整改按项目单独报价。

关于价值有两点值得说。第一，大多数设备发现项的修复成本只是几天的配置工作，因为能力已经在许可证里了。第二，审计自带的工作量估算正是它的用处所在：示例的整个修复计划大约六个工作日、分布在四个月里，买方可以拿这个数字要求任何服务商兑现，包括我们。

审计前要准备什么？

谁在用什么设备的清单。 审计会从登录数据对账设备，但一份标注设备归属（公司笔记本、个人手机、家用电脑）的员工名单能把确认时间减半。
Apple Business Manager 和 Autopilot 的访问权限。 不是让审计方改动什么，而是查看哪些设备已登记、哪些没有。
现状的策略，不要整理。 审计的意义是看到漂移，而不是看一张大扫除第二天的快照。
触发原因。 告诉审计方这是为了保险公司、Cyber Essentials、客户问卷还是自己安心，这决定报告以哪种对照表开头。

常见问题

什么是 Intune 设备审计？

对所有能接触公司数据的 Windows、macOS、iOS 和 Android 设备做一次只读的一次性检查，无论公司所有还是个人所有。检查注册、合规策略、对照 CIS Intune 基准的配置、加密、Defender、补丁时效、个人手机的应用保护、管理员权限和清单卫生，输出一份带评级的报告、发现项清单和分阶段修复计划。

Intune 设备审计覆盖个人手机吗？

覆盖，而且在大多数小公司里，严重级别的发现项就在这里。打开 Outlook、Teams 或 OneDrive 的个人手机都在范围内。审计检查应用保护策略是否存在、条件访问是否强制要求，以及原生邮件应用是否仍通过 Exchange ActiveSync 访问邮箱。推荐模型是让个人手机不进入设备注册，转而保护工作应用。

审计之前需要先买 Intune Plan 2 或 Intune Suite 吗？

不需要。审计是把你现有的配置和基准做对照。示例中的大多数发现项，用 Plan 1 以及 Microsoft 365 商业高级版捆绑的许可证里的设置就能关闭。如果某个发现项确实需要更高的方案，报告会明说，你再去 Intune 价格页比较。

Intune 合规报告和设备审计有什么区别？

Intune 管理中心的合规报告告诉你已注册设备是否符合你写的策略。审计告诉你这些策略问的问题对不对、未注册设备在做什么，以及整个资产对照公开基准的水平。一台设备可以在仪表板上显示合规，却因为策略从没检查过而仍然没有加密。

Intune 设备审计需要多长时间？

数据采集是几天的只读扫描，出报告前再复核一次；示例的评估窗口是三天。审计系列的报告在只读授权后 5–7 个工作日内出具。你自己要花的时间只有授权、一次简短的范围沟通，以及人工项的一次屏幕共享。

Intune 设备审计报告会被 Cyber Essentials 接受吗？

报告包含设备控制与 Cyber Essentials v3.3 要求领域的对照表，设计目的是在你准备评估时用作证据。它不授予、不认证、也不保证认证，只有认证机构才能做这件事。

除了 Windows，也能审计 Mac 和 iPad 吗？

可以。示例覆盖 13 台 Windows 笔记本、7 台 Mac、一台共用 iPad 以及个人 iPhone 和 Android 手机，分别对照 Windows 11、macOS 和 iOS 的 CIS Intune 基准，以及 Microsoft 的 Android Enterprise 配置框架——因为 Android 没有 CIS Intune 基准。