effie.cloud

Ανοίγουμε το Microsoft Intune admin center, επιλέγουμε έναν υπολογιστή και βλέπουμε ένα ωραιότατο πράσινο Compliant.

Τέλεια! Άρα ο υπολογιστής είναι ασφαλής, σωστά;

Εεε… όχι απαραίτητα.

Ένα από τα πιο συνηθισμένα μπερδέματα όταν ξεκινάμε με το Intune είναι η διαφορά μεταξύ Compliance Policies και Configuration Profiles.

Και είναι λογικό, αφού και τα δύο σχετίζονται με ρυθμίσεις και απαιτήσεις που θέλουμε να εφαρμόζονται στις συσκευές μας.

Όμως έχουν διαφορετικό σκοπό.

Ας δούμε τι κάνει το καθένα, πώς συνεργάζονται και γιατί μια συσκευή μπορεί να εμφανίζεται compliant ενώ δεν έχει εφαρμόσει κάποιες από τις πολιτικές ασφαλείας μας.

COMPLIANCE POLICY: ΕΛΕΓΧΟΥΜΕ ΑΝ Η ΣΥΣΚΕΥΗ ΠΛΗΡΟΙ ΤΙΣ ΑΠΑΙΤΗΣΕΙΣ

Ας υποθέσουμε ότι θέλουμε όλοι οι εταιρικοί υπολογιστές να χρησιμοποιούν BitLocker.

Μπορούμε να δημιουργήσουμε μια Compliance Policy που ελέγχει την απαίτηση κρυπτογράφησης.

Αν η συσκευή πληροί την απαίτηση, περνάει τον συγκεκριμένο έλεγχο.

Αν όχι, μπορεί να χαρακτηριστεί Not compliant.

Το σημαντικό εδώ είναι ότι η Compliance Policy χρησιμοποιείται κυρίως για να αξιολογήσει την κατάσταση μιας συσκευής.

Δεν είναι γενικός μηχανισμός για να εγκαθιστούμε εφαρμογές ή να εφαρμόζουμε οποιαδήποτε ρύθμιση θέλουμε.

Μερικά παραδείγματα ελέγχων που μπορούν να περιλαμβάνονται σε μια Windows Compliance Policy είναι:

• Απαιτούμενη έκδοση λειτουργικού συστήματος.
• Κατάσταση κρυπτογράφησης.
• Απαιτήσεις για firewall.
• Κατάσταση antivirus και άλλων ελέγχων υγείας της συσκευής.
• Αποδεκτό επίπεδο κινδύνου από το Microsoft Defender for Endpoint.

Οι διαθέσιμοι έλεγχοι εξαρτώνται από την πλατφόρμα.

ΠΩΣ ΔΗΜΙΟΥΡΓΟΥΜΕ ΜΙΑ COMPLIANCE POLICY;

Από το Microsoft Intune admin center πηγαίνουμε:

Devices → Compliance → Create policy

Επιλέγουμε Windows, δίνουμε ένα όνομα στην πολιτική μας και καθορίζουμε τις απαιτήσεις.

Για παράδειγμα:

WIN - Compliance - Corporate Devices

Αναθέτουμε την πολιτική στο pilot group μας και περιμένουμε να αξιολογηθούν οι συσκευές.

Μπορούμε επίσης να ορίσουμε actions for noncompliance, όπως ειδοποιήσεις προς τους χρήστες.

Και εδώ έρχεται μια σημαντική λεπτομέρεια.

Το ότι μια συσκευή είναι Not compliant δεν σημαίνει από μόνο του ότι ο χρήστης θα αποκλειστεί από το Microsoft 365.

Για αυτό χρειαζόμαστε κάτι ακόμη: Conditional Access.

CONFIGURATION PROFILE: ΕΦΑΡΜΟΖΟΥΜΕ ΡΥΘΜΙΣΕΙΣ

Τώρα ας αλλάξουμε σενάριο.

Δεν θέλουμε απλώς να ελέγχουμε αν ο υπολογιστής έχει κάποια συγκεκριμένη ρύθμιση.

Θέλουμε να την επιβάλουμε.

Για παράδειγμα:

• Να ρυθμίσουμε το Microsoft Edge.
• Να απενεργοποιήσουμε συγκεκριμένες λειτουργίες των Windows.
• Να εφαρμόσουμε περιορισμούς χρήσης USB.
• Να ορίσουμε πολιτικές κλειδώματος της οθόνης.
• Να διαμορφώσουμε συγκεκριμένες ρυθμίσεις ασφαλείας.

Εδώ χρησιμοποιούμε Configuration Profiles.

Μέσω του Settings Catalog μπορούμε να επιλέξουμε από χιλιάδες διαθέσιμες ρυθμίσεις, ανάλογα με την πλατφόρμα.

ΠΩΣ ΔΗΜΙΟΥΡΓΟΥΜΕ ΕΝΑ CONFIGURATION PROFILE;

Πηγαίνουμε στο:

Devices → Configuration → Create → New policy

Επιλέγουμε:

• Platform: Windows 10 and later
• Profile type: Settings catalog

Στη συνέχεια επιλέγουμε Add settings και βρίσκουμε τις ρυθμίσεις που θέλουμε να εφαρμόσουμε.

Για παράδειγμα, μπορούμε να δημιουργήσουμε ένα profile που ρυθμίζει τη συμπεριφορά του Microsoft Edge.

WIN - CFG - Edge Security

Αφού κάνουμε assignment στο pilot group, το Intune θα επιχειρήσει να εφαρμόσει τις ρυθμίσεις στις συσκευές.

Εδώ μας ενδιαφέρει αν η πολιτική εφαρμόστηκε επιτυχώς, όχι αν η συσκευή χαρακτηρίστηκε συνολικά compliant.

ΕΝΑ ΠΑΡΑΔΕΙΓΜΑ ΜΕ BITLOCKER

Ας χρησιμοποιήσουμε ένα πιο συγκεκριμένο παράδειγμα.

Έχουμε έναν υπολογιστή με Windows 11 και θέλουμε να εξασφαλίσουμε ότι ο δίσκος του είναι κρυπτογραφημένος.

Θα χρησιμοποιήσουμε δύο διαφορετικές πολιτικές.

Πολιτική Α — Endpoint Security / Disk Encryption

Δημιουργούμε μια πολιτική BitLocker, με την οποία διαμορφώνουμε την κρυπτογράφηση και τις σχετικές ρυθμίσεις.

Για παράδειγμα, μπορούμε να καθορίσουμε τις απαιτήσεις κρυπτογράφησης και τη διαχείριση recovery information.

Πολιτική Β — Compliance Policy

Δημιουργούμε μια Compliance Policy που ελέγχει αν πληρούνται οι απαιτήσεις κρυπτογράφησης.

Τι συμβαίνει αν η κρυπτογράφηση δεν έχει ενεργοποιηθεί ακόμα;

Η configuration policy μπορεί να επιχειρεί να εφαρμόσει τις ρυθμίσεις, ενώ ο έλεγχος compliance να αποτυγχάνει.

Και αυτό είναι φυσιολογικό.

Η μία πολιτική καθορίζει την επιθυμητή ρύθμιση και η άλλη αξιολογεί αν ικανοποιείται η αντίστοιχη απαίτηση.

Προσοχή όμως: οι επιμέρους έλεγχοι BitLocker και encryption δεν είναι όλοι ταυτόσημοι. Πρέπει να επιλέγουμε τον κατάλληλο έλεγχο compliance και να επιβεβαιώνουμε τι ακριβώς αξιολογεί.

ΜΠΟΡΕΙ ΜΙΑ ΣΥΣΚΕΥΗ ΝΑ ΕΙΝΑΙ COMPLIANT ΑΛΛΑ ΝΑ ΜΗΝ ΕΙΝΑΙ ΣΩΣΤΑ ΡΥΘΜΙΣΜΕΝΗ;

Ναι!

Και αυτό είναι το σημαντικότερο σημείο του άρθρου.

Ας υποθέσουμε ότι έχουμε δημιουργήσει μια Compliance Policy που ελέγχει μόνο:

• Την ελάχιστη έκδοση Windows.
• Την κατάσταση του firewall.
• Μια απαίτηση κρυπτογράφησης.

Ο υπολογιστής πληροί και τις τρεις απαιτήσεις.

Το Intune τον εμφανίζει ως Compliant.

Παράλληλα, έχουμε δημιουργήσει ένα Configuration Profile που απενεργοποιεί μια ανεπιθύμητη λειτουργία των Windows.

Αλλά η συγκεκριμένη ρύθμιση αποτυγχάνει με Error.

Τι θα συμβεί;

Ο υπολογιστής μπορεί να συνεχίσει να εμφανίζεται Compliant.

Γιατί;

Επειδή η αποτυχημένη ρύθμιση δεν αποτελεί απαραίτητα μέρος των ελέγχων της Compliance Policy.

Με άλλα λόγια:

Compliant σημαίνει ότι η συσκευή πληροί τις απαιτήσεις compliance που αξιολογούνται. Δεν σημαίνει ότι έχει περάσει κάθε configuration ή security policy του οργανισμού.

Αυτός είναι ένας από τους λόγους που δεν αρκεί να κοιτάμε μόνο το Compliance dashboard.

Πρέπει να παρακολουθούμε και την κατάσταση των Configuration Profiles, των Endpoint Security Policies και των υπόλοιπων deployments.

ΠΟΥ ΜΠΑΙΝΕΙ ΤΟ CONDITIONAL ACCESS;

Τώρα ας συνδυάσουμε όλα όσα είδαμε.

Θέλουμε οι χρήστες να αποκτούν πρόσβαση στο Microsoft 365 μόνο από συσκευές που πληρούν τις απαιτήσεις compliance.

Δημιουργούμε μια Conditional Access Policy στο Microsoft Entra ID.

Στα Grant controls επιλέγουμε:

Require device to be marked as compliant

Τώρα το Microsoft Entra μπορεί να χρησιμοποιήσει το compliance status της συσκευής ως κριτήριο πρόσβασης στους πόρους που καλύπτει η πολιτική.

Αν η συσκευή δεν είναι compliant, η πρόσβαση μπορεί να αποκλειστεί.

Αν είναι compliant, ικανοποιείται η συγκεκριμένη απαίτηση. Φυσικά, ενδέχεται να ισχύουν και άλλες Conditional Access Policies.

Πολύ σημαντικό: πριν ενεργοποιήσουμε τέτοιου είδους πολιτική, ελέγχουμε το impact σε Report-only mode, τις εξαιρέσεις emergency access και τα enrollment scenarios.

Δεν θέλουμε να κλειδώσουμε τους χρήστες εκτός υπηρεσιών πριν μπορέσουν να φέρουν τις συσκευές τους σε compliant κατάσταση.

ΜΙΑ ΡΥΘΜΙΣΗ ΠΟΥ ΣΥΧΝΑ ΞΕΧΝΑΜΕ

Υπάρχει μια ρύθμιση στο Intune που αξίζει να ελέγξουμε:

Mark devices with no compliance policy assigned as

Θα τη βρούμε στις Compliance policy settings.

Η προεπιλεγμένη τιμή είναι Compliant.

Ναι, σωστά διαβάσατε.

Αν δεν έχουμε αναθέσει μια Compliance Policy σε μια συσκευή, ανάλογα με αυτή τη ρύθμιση μπορεί να θεωρείται compliant παρότι δεν αξιολογείται από κάποια συγκεκριμένη compliance policy.

Γι’ αυτό, σε περιβάλλοντα όπου χρησιμοποιούμε το compliance status για Conditional Access, η Microsoft προτείνει να εξετάσουμε την επιλογή Not compliant.

Προσοχή όμως: η αλλαγή μπορεί να επηρεάσει υφιστάμενες συσκευές και την πρόσβασή τους σε εταιρικούς πόρους.

Πριν αλλάξουμε μια tenant-wide ρύθμιση, ελέγχουμε τι πολιτικές έχουμε αναθέσει και ποιους χρήστες επηρεάζουμε.

ΜΙΚΡΟΣ ΠΙΝΑΚΑΣ ΣΥΓΚΡΙΣΗΣ

	Compliance Policy	Configuration Profile
Κύριος σκοπός	Αξιολόγηση απαιτήσεων	Εφαρμογή ρυθμίσεων
Αποτέλεσμα	Compliant / Not compliant και άλλες καταστάσεις αξιολόγησης	Succeeded / Error / Conflict κ.ά.
Conditional Access	Το status μπορεί να χρησιμοποιηθεί για πρόσβαση	Δεν χρησιμοποιείται άμεσα ως compliance status
Παράδειγμα	Έλεγχος κρυπτογράφησης	Ρύθμιση BitLocker μέσω κατάλληλου security profile
Τι κάνουμε αν αποτύχει;	Ελέγχουμε γιατί η συσκευή δεν πληροί την απαίτηση	Ελέγχουμε γιατί δεν εφαρμόστηκε το setting

ΤΕΛΙΚΑ, ΠΟΙΟ ΧΡΕΙΑΖΟΜΑΣΤΕ;

Συνήθως και τα δύο.

Οι Configuration Policies μας βοηθούν να ορίσουμε πώς θέλουμε να λειτουργούν οι συσκευές μας.

Οι Compliance Policies μας βοηθούν να ελέγξουμε αν πληρούν συγκεκριμένες απαιτήσεις.

Και το Conditional Access μπορεί να χρησιμοποιήσει το αποτέλεσμα αυτών των ελέγχων για να προστατεύσει την πρόσβαση στους εταιρικούς πόρους.

Δεν είναι ανταγωνιστικές λειτουργίες. Είναι διαφορετικά εργαλεία που συμπληρώνουν το ένα το άλλο.

Οπότε την επόμενη φορά που θα δείτε μια συσκευή με πράσινο Compliant, μην υποθέσετε ότι όλες οι ρυθμίσεις ασφαλείας έχουν εφαρμοστεί επιτυχώς.

Το πράσινο status είναι μια καλή αρχή. Όχι ολόκληρη η εικόνα.

---

ΠΗΓΕΣ

• Microsoft Learn — Device compliance policies
• [Microsoft Learn — Create a Settings Catalog policy](https://learn.microsoft.com/en-us/intune/device-configuration/settings