Windows 11 的 Intune 安全基线审计：如何发现设备已偏离你部署的基线

一句话结论： Intune 安全基线审计只回答一个问题：你部署的 Windows 基线，是否仍然是 Windows 11 设备实际运行的配置？偏移来自四个地方：与其他策略的逐项冲突、从未收到基线的设备、没人记录的自定义值，以及微软发布新版本后仍停留在旧版本的配置文件。只要知道去哪里看，这四种情况在 Intune 管理中心里都看得到。

大多数使用 Intune 的机构，都是把 Windows 安全基线分配一次，看到一张看起来很健康的状态图，然后就转去做别的事了。作为起点，这没有问题。麻烦在于，基线只是微软在某个版本时的建议快照，而它被叠加在此后你写的每一条策略之上。Intune 安全基线审计就是定期确认：这份快照、它周围的策略、以及底下的设备，是否仍然一致。

本文说明如何在 Windows 11 上做这项检查：状态报告在哪里、怎样读懂一个冲突、怎样判断配置文件是否过期，以及独立审计能多做些什么。本文假定你已经在用 Intune；如果你还在考虑买哪种 Intune 许可，请先看我们关于 Intune Plan 1、Plan 2 与 Suite 的指南。

Intune 安全基线是什么，又不是什么？

在 Intune 管理中心的"终结点安全"下的"安全基线"中，微软发布了几组预先配置好的设置，分别针对 Windows、Microsoft Defender for Endpoint、Microsoft Edge、Windows 365 和 Microsoft 365 应用。大多数机构说的"基线"，指的是"Windows 10 及更高版本的安全基线"。微软的文档把这些基线描述为它推荐的配置，与其组策略安全基线出自同一套指导，并为每个版本提供一张列出全部默认值的参考页面。

有三件事它不是，而每一件都是审计发现里常见的误解。

• 它不是 CIS 基准。 互联网安全中心（CIS）为通过 Intune 管理的 Windows 11 发布了自己的基准。它与微软基线大量重叠，但并不相同，符合其中一个的设备，可能在另一个里有不通过的项目。如果客户、保险公司或评估方问的是 CIS，单凭微软基线回答不了。
• 它不是合规策略。 基线负责配置设置；合规策略则按一小组条件评估设备，标记为合规或不合规，再由条件访问据此行动。一台设备可以是合规的，同时有一半基线设置处于冲突状态。
• 它不会自己更新。 微软发布新版本基线后，现有配置文件会一直停留在创建时的版本，直到管理员手动更新。

偏移从哪里来？

在我们审查 Microsoft 365 租户的经验里，偏离已部署基线的情况，几乎总是出自以下四个原因之一。

与其他策略冲突

这是最常见的来源。有人建了一个设置目录配置文件、一条终结点安全策略或一份旧式设备配置文件，设置了基线也设置的同一项，取值不同，甚至取值相同。Intune 无法判断该用哪一个，这一项在该设备上就会报告为冲突。表面上什么都没坏，但设备运行的是它最后收到的那个值，不一定是你想要的那个。

在仍接收组策略的混合加入设备上，同一项设置还可能由组策略对象设置。Windows 有一项策略，即 ControlPolicyConflict 下的 MDMWinsOverGP，让设备在两者并存时优先采用 MDM 的值。它有没有设置值得记录下来，因为没有它，"哪个值生效"的答案会因设置项而异。

从未收到基线的设备

基线只作用于被分配的组。组之外的设备、组结构调整之后才注册的设备、两年前因为某个项目被"暂时"排除的设备，都在没有基线的情况下运行。状态图只统计分配到基线的设备，所以它无法告诉你少了什么。

没人记录的自定义值

创建基线配置文件时，任何默认值都可以修改。大多数租户都有几处改动：因为某个业务应用出了问题而放宽了一项设置，因为员工抱怨而关掉了一个提示。每一处改动可能都没错。问题在于，一年之后，没人说得清哪些是有意为之，哪些是测试完忘了改回来。

停留在旧版本的配置文件

随着 Windows 和微软的指导更新，微软会发布 Windows 基线的新版本，近几个版本以 Windows 发行版命名，例如 23H2 和 24H2。在旧版本上创建的配置文件，保留的是旧版本的设置。微软文档说明，更新配置文件会基于最新版本创建一个新实例，与原文件并存，并让你选择是否沿用自定义值。原文件保持不变，所以微软也要求你移除原文件的分配，否则恰恰会制造出你想避免的冲突。

在 Intune 管理中心里怎样逐项检查？

小规模的设备环境，大部分工作你一个下午就能自己完成。请预留报告延迟：微软说明，基线首次分配后，状态数据最多需要 24 小时才出现，之后每次变更最多需要 6 小时。

1. 列出基线配置文件及其版本。 进入"终结点安全"，再进入"安全基线"，打开"Windows 10 及更高版本的安全基线"。每个配置文件都显示它所基于的版本。记下不是最新版本的配置文件，以及有不止一个 Windows 基线配置文件分配给重叠组的情况。
2. 核对分配和排除。 打开每个配置文件的属性，记下包含组和排除组。然后把 Intune 里 Windows 设备的总数，和基线报告的设备数比较。两者之差就是覆盖缺口。
3. 按设置看状态，而不只是按设备看。 设备状态视图显示有多少设备报告成功、错误、冲突或不适用。真正有用的细节在按设置的视图里：它显示哪几项设置处于冲突或错误状态，涉及多少台设备。
4. 把每个冲突追到另一条策略。 打开受影响的设备，进入它的设备配置视图，找出设置同一项的另一份配置文件。决定这一项该由哪条策略负责，然后从另一条里删掉。不要靠把设备排除在基线之外来解决冲突，那只会把一个看得见的冲突，变成一个看不见的覆盖缺口。
5. 记录每一个自定义值。 打开配置文件的设置，记下每一个与该版本微软默认值不同的值。逐一写明为什么改、是谁同意的。微软该版本的参考页面列出了可供对照的默认值。
6. 直接抽查一台设备。 在 Windows 11 设备上，通过"设置"中"帐户"下的"访问工作或学校"，可以导出一份管理诊断报告。它显示设备实际收到的策略，当控制台和用户说法不一时，以它为准。

审计、状态报告和 CIS 扫描有什么区别？

这三者经常被混为一谈，但它们回答的是不同的问题。

状态报告、基线审计还是 CIS 基准扫描？

• 基线状态报告。 Intune 内置，数据延迟以小时计，在它覆盖的范围内是准确的：已分配的设备，对照的是你自己配置文件里的值。它不会告诉你配置文件已经过期、有设备不在分配范围内，或者某个自定义值是否明智。
• 基线偏移审计。 对配置文件版本、分配、自定义值和冲突的时点审查，每条发现都追溯到原因，并为每一项有争议的设置建议一个归属策略。它覆盖了状态报告看不到的部分，并产出一份 IT 部门以外的人也能读懂的文件。
• CIS 基准扫描。 用外部基准而不是你自己的意图来衡量设备。当客户合同、保险公司或评估方点名要 CIS 时很有用。它会标出微软基线设置不同的项目，这些项目需要逐一决定，而不是自动修复。

独立审计多做了什么？

价值不太在于读报告，那是你自己的团队也能做的，而在于围绕报告的判断。独立审查会问：这项设置为什么被改、这个冲突是不是有意为之、基线的分配是否还符合机构现在的组织结构。

Brocent 的 Intune 设备审计在检查基线的同时，也覆盖注册、合规、加密、Defender、更新通道和应用保护。审查是只读的：全局管理员一次性批准一个只读应用，API 无法读取的设置，则与你的 IT 负责人通过屏幕共享一起查看。我们的 Intune 设备审计检查哪些内容一文说明了完整范围，Intune 设备审计示例报告（英文页）以一家虚构公司展示了交付物，包括基线方面的发现如何评级、如何放进分阶段的修复计划。

具体到基线，报告会记录所检查的基线类型和版本、分配情况和覆盖缺口、每一个自定义值及给出的理由、每一个冲突及另一方的策略，以及关于版本更新的建议。如果客户需要与 CIS 对照，报告会单独列出 CIS 结果，绝不把两者当成同一回事。

设备审计通常与租户整体审查一起确定范围。Microsoft 365 安全审计定价页列出了按人数固定的价格档位，10 位用户以内 450 美元起，以及 5 到 7 个工作日的交付周期。如果审查之后你需要的是长期的设备管理，而不是一次性检查，Brocent 的 MDM 与 BYOD 管理服务可以承担；许可方面请看 Microsoft Intune 价格页。

对英国的团队来说，基线自然对应 Cyber Essentials 的安全配置要求。对澳大利亚的团队来说，它支撑大多数网络保险投保问卷里关于配置和补丁的问题。两种情况下，审计报告都是为了用作证据而设计的，它本身不授予认证或保险。

审计之后通常会出什么问题？

开始修复之前，值得先知道几种常见情况。

• 一步到位更新版本。 新版本基线可能改动你的应用所依赖的默认值。先把更新后的配置文件分配给试点组，观察一周，再推广到全部设备，并移除旧配置文件的分配。
• 靠删除基线里的设置来解决冲突。 从基线里删掉这一项来消除冲突很有诱惑力。但通常该让步的是另一条策略，因为基线才是有文档记录的参照。
• 排除项一直开着。 每一个排除组都应该有负责人和复核日期。没有的话，临时排除就会变成永久排除。
• 混用互相重叠的基线。 Windows 基线和 Defender for Endpoint 基线有部分领域重叠。请为每个重叠设置决定归属，而不是把两者都分配给所有设备，再接受由此产生的冲突。

常见问题

Intune 安全基线就是 Windows 11 的 CIS 基准吗？

不是。微软基线是微软自己推荐的配置；CIS 为通过 Intune 管理的 Windows 11 另行发布了基准。两者有重叠，但一台设备可能通过其中一个而在另一个里有不通过的项目，所以要说清楚你对照的是哪一个。

Intune 会自动更新安全基线吗？

不会。现有配置文件会停留在创建时的版本。更新会基于最新版本创建一个与原文件并存的新实例，并由你选择是否保留自定义值。更新后请移除原配置文件的分配，以免产生冲突。

基线报告里的"冲突"是什么意思？

意思是两条策略把同一项设置应用到同一台设备上，Intune 无法判断该以哪一个为准。解决办法是决定由哪条策略负责这一项，并从另一条里删除。

多久审计一次基线比较合适？

至少每年一次；另外在微软发布新版本基线、你调整设备分组、或新增重要配置策略时也应该做。策略变动频繁的机构，每季度一次比较合理。

能不能把某台设备排除在基线之外来解决问题？

可以，但要记录原因、负责人和复核日期。被排除的设备不会出现在基线状态图里，所以偏移往往就藏在排除项中。

基线审计会改动我们的设备吗？

我们不会改动。审查是只读的。改动由你的团队或你之后委托的服务商按修复计划执行。

从哪里开始

这周就在 Intune 管理中心打开 Windows 安全基线，记下三个数字：配置文件的版本；它报告的设备数，与 Intune 里 Windows 设备总数的对比；处于冲突状态的设置项数量。只要其中任何一个让你意外，基线就已经偏移了。如果希望由团队之外的人做完整审查，并交回一份排好优先级的修复计划，请联系顾问。