Cosa sono le security baseline in Intune

Una security baseline è un insieme preconfigurato di impostazioni raccomandate dai team di prodotto Microsoft, pensato per portare un dispositivo a una postura di sicurezza solida senza doverne configurare a mano centinaia di voci. In Microsoft Intune trovi tre baseline distinte, ciascuna con il proprio ciclo di vita:

  • Security Baseline for Windows — hardening del sistema operativo (BitLocker, Credential Guard, criteri di firewall, UAC, restrizioni PowerShell).
  • Microsoft Defender for Endpoint Baseline — impostazioni EDR/antimalware lato client (protezione cloud, ASR rules, tamper protection).
  • Microsoft Edge Baseline — hardening del browser (SmartScreen, gestione estensioni, policy di rete).

Ogni baseline è versionata. Microsoft rilascia periodicamente nuove versioni che aggiungono o modificano impostazioni. Il profilo che hai creato resta ancorato alla versione con cui è nato: per adottare i nuovi valori devi eseguire un update esplicito del profilo alla versione più recente (Endpoint security > Security baselines > seleziona il profilo > Change version). Durante l’aggiornamento puoi scegliere se mantenere le tue personalizzazioni o accettare i default della nuova versione — decisione architetturale da valutare, perché una nuova versione può introdurre impostazioni che prima non gestivi.

Baseline, endpoint security policy e settings catalog

A livello ASSOCIATE devi capire come queste tre superfici si relazionano:

  • Le security baseline sono un pacchetto opinionato e versionato: ottime per stabilire rapidamente uno standard, ma monolitiche.
  • Le endpoint security policy (Antivirus, Disk encryption, Firewall, EDR, ASR, Account protection) sono profili mirati a un singolo dominio funzionale, ideali quando vuoi granularità e ownership separata.
  • Il settings catalog espone il set più ampio di singole impostazioni (mappate 1:1 sui CSP), senza opinione predefinita: massima flessibilità, ma tutta la responsabilità del design è tua.

La regola pratica: non sovrapporre più fonti sulla stessa impostazione. Una baseline che imposta la tamper protection e, in parallelo, un profilo del settings catalog che tocca la stessa voce generano un conflitto e uno stato di errore. Tratta la baseline come singola fonte autoritativa per ciò che gestisce, e usa endpoint security policy o settings catalog per ciò che la baseline non copre.

Onboarding a Defender for Endpoint tramite connector Intune

Perché i dispositivi Intune fluiscano in MDE e viceversa serve stabilire la service-to-service connection tra Microsoft Defender for Endpoint e Intune:

  1. In Microsoft Defender XDR (Settings > Endpoints > Advanced features) abiliti la Microsoft Intune connection.
  2. In Intune (Endpoint security > Microsoft Defender for Endpoint) verifichi che lo stato del connector sia Enabled/Available e attivi Connect… to Microsoft Defender for Endpoint.

Con il connector attivo, Intune distribuisce automaticamente la configurazione di onboarding (il “onboarding blob”) ai dispositivi tramite una EDR policy, senza dover importare manualmente lo script su ogni endpoint. È l’approccio corretto per parco gestito da Intune.

Device risk level in compliance e Conditional Access

Una volta onboarded, MDE calcola in continuo un device risk level (Clear, Low, Medium, High). Questo segnale diventa utile solo se lo colleghi alla governance:

  • Nella compliance policy di Intune imposti la regola Require the device to be at or under machine risk score (es. “Medium”). Un dispositivo con risk score superiore diventa non-compliant.
  • In Microsoft Entra Conditional Access crei una policy che richiede device marcato compliant (grant control Require device to be marked as compliant). Un endpoint compromesso e quindi non-compliant viene bloccato o forzato alla remediation.

Il flusso è: MDE rileva la minaccia → aggiorna il risk score → la compliance policy marca il device non-compliant → Conditional Access nega l’accesso alle risorse. È un ciclo automatico e chiuso, ma dipende interamente dal connector attivo.

Trappole tipiche d’esame

  • Il risk score MDE non appare nella compliance → prima di tutto verifica che la connessione Intune ↔ Defender for Endpoint sia Enabled; senza connector attivo il device risk level non fluisce e la regola compliance non ha dati su cui valutare.
  • Un’impostazione della baseline risulta in conflitto/errore → un altro profilo (settings catalog o endpoint security policy) tocca la stessa voce; consolida su una singola fonte invece di sovrascrivere.
  • Serve un valore introdotto in una baseline recente ma non lo vedi → il profilo è ancorato alla versione vecchia: esegui Change version / update del profilo, non ne creare uno nuovo.
  • Bloccare l’accesso ai device a rischio elevato → non basta la compliance policy: serve una Conditional Access policy con Require device to be marked as compliant; la compliance da sola non nega l’accesso.
  • Onboarding su parco gestito da Intune → usa il connector + EDR policy, non lo script locale di onboarding (adatto solo a scenari non gestiti o test puntuali).