שליטה ב-Intune Security Baselines: מה חדש במהדורת Windows 11 25H2 האחרונה
פורסם ב-12 באוקטובר 2025
הפצת Intune Security Baselines: מה אנחנו רואים בשטח
כשעובדים עם Microsoft Intune בארגונים מכל הגדלים, המושג security baselines עולה כמעט מדי יום. בצוותים שלנו אנחנו מנהלים הגדרות אבטחה ביותר מחצי מיליון endpoints אצל כל הלקוחות שלנו. Security baselines מאפשרים לנו בעיקרון ליישם המלצות אבטחה של Microsoft לפי שיטות עבודה מומלצות באופן מרוכז, ולשמור אותן מעודכנות ככל ש-Windows, Defender ומוצרי Microsoft אחרים מתפתחים.
מהם Intune Security Baselines?
Security baselines ב-Intune הם לא רק תבניות. הם אוספים של הגדרות מכשיר מוגדרות מראש שעוזרים לנו לאכוף מצב אבטחה חזק בלי להמציא את הגלגל מחדש. Microsoft מפרסמת baselines שונים למוצרים מסוימים:
• Windows baseline: מכסה את הגדרות ליבת מערכת ההפעלה.
• Defender for Endpoint baseline: מוסיף מדיניות הגנה מתקדמת מפני איומים.
• Microsoft Edge baseline: מנהל אבטחה הקשורה לדפדפן.
• Microsoft 365 Apps baseline: נועל את אפליקציות Office.
• Windows 365 baseline: לאבטחת מחשבי ענן (cloud PCs).
לכל לקוח אנחנו בוחרים ומכווננים את ה-baseline לפי הצורך, בהתאם לדרישות הציות שלו ולכוח העבודה הדיגיטלי שלו. ה-baselines מוחלים ב-Intune admin center, מוקצים לקבוצות הנכונות ומופצים במהירות לכל המכשירים המנוהלים.
בקצרה:
- מהם Intune Security Baselines?
סקירה מהירה של סוגי ה-baselines ולמה אנחנו משתמשים בהם לניהול מכשירים בהיקף גדול.
- ניהול Baselines בעולם האמיתי
איך אנחנו פורסים, מעדכנים ועוקבים אחרי baselines ביותר מ-500K מכשירים.
- עיקרי ה-Baseline של Windows 11 25H2
יכולות חדשות מרכזיות: הסרת אפליקציות, Wi-Fi 7, גיבוי ושחזור, energy saver ושיפורי אבטחה.
- תהליך ההטמעה שלנו
איך אנחנו בודקים, פורסים ומנטרים baselines אצל לקוחות.
- מסקנות עיקריות
למה עדכון ל-security baseline האחרון הוא חובה לאבטחה, לציות וליעילות.
מקורות
איך עובד ניהול Security Baseline (מניסיון)
אחרי שיצרנו baseline, הוא מוקצה לקבוצות המכשירים או המשתמשים הרלוונטיות. גם עדכונים הם חלק מהשגרה שלנו. כש-Microsoft משחררת גרסה חדשה של baseline כלשהו, התצורות הקיימות הופכות לקריאה בלבד. אנחנו יוצרים baseline חדש על בסיס העדכון, בין אם מעבירים אליו הגדרות מותאמות ובין אם מתחילים מאפס, מקצים אותו ומסירים את הישן מהקבוצות הפעילות. כך הצי שלנו נשאר עקבי ואנחנו נמנעים מ-configuration drift.
בפריסות גדולות אנחנו בדרך כלל בודקים עדכונים קודם על תת-קבוצה, ואז פורסים למכשירי production בגלים. כלי דיווח עוזרים לנו לעקוב אחרי אילו מכשירים תואמים ואילו לא מעודכנים, כדי שנוכל לתקן במהירות.
למה אנחנו משתמשים ב-Baselines: יתרונות מעשיים
• אכיפה מהירה של אבטחה מומלצת בלי סקריפטים חד-פעמיים
• ניהול מאוחד לכל המכשירים (Windows, Defender, Office, Edge)
• מעקב ותיקון קלים של פערי ציות
• מפשט ביקורות ודיווח
המיקוד שלנו: ה-Windows Security Baseline האחרון, 25H2
Microsoft שחררה לאחרונה את ה-security baseline של Windows 11 לגרסה 25H2. אנחנו פורסים את העדכון הזה עכשיו אצל לקוחות רבים. הנה מה חדש ולמה זה חשוב לניהול היומיומי:
עדכוני אבטחה עיקריים ב-baseline של Windows 11 25H2 כוללים:
• אבטחת מדפסות: נוספו הרשאות (“RESTRICTED SERVICES\PrintSpoolerService”) שמאפשרות לזהות השירות המוגבלת של Print Spooler לבצע impersonation ללקוחות בצורה מאובטחת, ומצמצמות את וקטור התקיפה הזה.
• שיפורי NTLM Auditing: ביקורת NTLM (אימות ישן, legacy) מופעלת כברירת מחדל כדי לשפר נראות ולעזור לארגונים לצמצם סיכוני תנועה רוחבית.
• הסרה מבוקרת-מדיניות של אפליקציות Microsoft Store מובנות: אדמינים יכולים עכשיו להסיר אפליקציות מסוימות כמו אפליקציות Xbox לגיימינג, Paint, Outlook לצרכנים ועוד, כדי לייעל את הקצאת ה-endpoints ולצמצם עומס תוכנה מיותר במהדורות Enterprise ו-Education.
• הסרת רכיבים מיושנים: PowerShell 2.0 ו-Windows Management Instrumentation command-line (WMIC) מוסרים ב-baseline הזה. כך מוסרים סיכוני אבטחה אפשריים, אבל זה עלול להשפיע על סקריפטים מותאמים אישית.
• התאמה לתקנים העדכניים: ה-baseline מתיישר עם היכולות והתקנים העדכניים של Windows 11 בתחום האבטחה, ומספק בקרה הדוקה יותר על מדיניות הקשורה לאבטחה.
יכולות מערכת ההפעלה ב-Windows 11 25H2 שתומכות בשיפורי האבטחה של ה-baseline
• תמיכת Wi-Fi 7 Enterprise: מאפשרת לארגונים לנצל יכולות אלחוטיות מהדור החדש (מהירות, אמינות, אבטחה).
• Windows Backup ו-Quick Machine Recovery: משפרים התאוששות מאסון ומקצרים השבתה בכשלי אתחול, ועוזרים בניהול מכשירי הארגון.
• Energy Saver וניהול סרגל המשימות: מדיניות MDM חדשה משפרת את ניצול המשאבים ואת חוויית המשתמש, בעומס נמוך יותר על IT.
• יכולות פרודוקטיביות עם AI ועדכוני פרטיות: בקרות פרטיות טובות יותר ושיפורי AI שלא פוגעים באבטחה אבל משפרים את הקבלה של היכולות בקרב המשתמשים.
תהליך העבודה הרגיל שלנו נראה כך:
• סוקרים את שינויי ה-baseline החדשים כש-Microsoft מפרסמת אותם.
• יוצרים פרופיל חדש ב-Intune ל-baseline, בודקים את ברירות המחדל של Microsoft ומכווננים לפי צורכי העסק.
• בודקים עם קבוצת פיילוט, ובודקים את תוצאות הציות ואת התנהגות המכשירים.
• פורסים ל-production בשלבים, ומנטרים בעיות.
• עוקבים אחרי ציות ומתקנים כל drift.
עם כל עדכון baseline אנחנו מעדכנים את צוותי ה-IT של הלקוחות בשינויים, במיוחד כשיכולות חדשות (או כאלה שהוסרו) עשויות להשפיע על חוויית המשתמש או על דיווח הציות.
לסיכום:
פריסת Intune Security Baselines היא אחת הדרכים היעילות ביותר שלנו לשמור על ה-endpoints של הלקוחות מאובטחים ותואמים, במיוחד בסביבות עם עשרות או מאות אלפי מכשירים. להישאר מעודכנים ב-baseline האחרון, כמו Windows 11 25H2, אומר שלא רק שאנחנו עומדים בדרישות הציות, אלא גם מוסיפים שיפורי פרודוקטיביות ויעילות ל-IT.