Übersicht
Es gibt zwei Arten von Regeln, und der Unterschied entscheidet, was Sie heute konfigurieren können:
- Globale Regeln — Anmeldestatus und Online-Status. Sie gelten für jedes verwaltete Gerät und hängen von nichts ab. Immer konfigurierbar.
- MDM-Kontrollregeln — alles andere: Verschlüsselung, OS-Update, Passwortrichtlinie, Firewall, Wi-Fi, Antivirus, Verwaltung von Administrationsbenutzern. Diese werden erst konfigurierbar, wenn die entsprechende MDM-Kontrolle vorhanden ist.
Wenn die Kontrolle einer Regel nicht eingerichtet ist, erscheint oben auf der Seite ein Banner mit der Aufschrift "X Compliance-Warnungen können noch nicht eingerichtet werden", mit einem Chip pro betroffener Regel und einer Schaltfläche MDM-Kontrollen verwalten. Konfigurieren Sie die Kontrolle dort, und die Regel wird der Hauptliste hinzugefügt.
So verwenden Sie es
- Gehen Sie zu MDM > Compliance-Warnungen.
- Klicken Sie auf Regeln verwalten, oben rechts. Jeder Regeltyp erscheint als eigener Abschnitt, mit einem Umschalter pro möglichem Status.
- Finden Sie den Regeltyp, den Sie möchten — Anmeldestatus, Online-Status, Wiederherstellungs-OS, Verschlüsselung usw.
- Aktivieren Sie die Status, die eine Warnung auslösen sollen, und lassen Sie den Rest deaktiviert. Zum Beispiel aktivieren viele Teams beim Online-Status Offline 7+ Tage, lassen aber Offline deaktiviert, da kurze Check-in-Lücken normal sind.
- Nichts zu speichern. Änderungen werden automatisch angewendet. Ab der nächsten Gerätesynchronisierung wird jedes Gerät, das einen markierten Status meldet, auf der Seite für Compliance-Warnungen angezeigt.
Eine Regel mit keinen aktivierten Status ist effektiv deaktiviert — der Status wird weiterhin aufgezeichnet, aber es wird keine Warnung ausgelöst.
Reduzieren Sie den Lärm
Wenn die Liste der Warnungen zu überladen ist, gehen Sie zurück zu Regeln verwalten und schalten Sie die Status aus, die vorübergehend oder erwartet sind. Die drei, die am häufigsten deaktiviert werden müssen:
Status |
Warum es laut ist |
|---|---|
Online-Status — Offline |
Kurze Check-in-Lücken sind normal. Die meisten Teams warnen nur bei Offline 7+ Tagen |
Verschlüsselung — Fehlender Wiederherstellungsschlüssel |
Escrow dauert bis zu 24 Stunden und einen Neustart, nachdem die Verschlüsselung aktiviert wurde, sodass neu verschlüsselte Geräte dies auslösen und sich dann selbst beheben |
OS-Update — Kulanzzeit |
Ein Windows-Gerät, das verspätet ist, aber sich noch innerhalb seiner Kulanzzeit befindet. Lassen Sie es deaktiviert, es sei denn, Sie möchten, dass Administratoren handeln, bevor die Kulanzzeit endet |
Nachdem Sie einen Umschalter geändert haben, wird die Liste bei der nächsten Gerätesynchronisierung neu berechnet, und betroffene Geräte fallen von selbst heraus.
Regeln, die auf eine MDM-Kontrolle warten
Regel |
Sie entsperren es durch |
|---|---|
ThreatDown / SentinelOne |
Verbinden Ihrer Endpoint-Schutzintegration |
USB-Blockierung, App-Blockierung, AirDrop deaktivieren, Bildschirmaufnahme, Profile sperren |
Erstellen der Kontrolle, zu der es gehört |
Admin-Passwortrotation |
Einrichten der Rotation für lokale Administrationspasswörter |
Entra SSO, Okta SSO |
Hinzufügen der Identitätskontrolle für diesen Anbieter |
Berechtigungen
Aktion |
Berechtigung |
|---|---|
Regeln anzeigen |
MDM_READ |
Regeln bearbeiten |
MDM_WRITE |
Tipps und Best Practices
- Beginnen Sie mit Anmeldestatus und Online-Status. Sie sind global, sodass sie funktionieren, bevor eine MDM-Kontrolle vorhanden ist, und Ihnen sofort eine sinnvolle Liste geben.
- Warnen Sie bei Offline 7+ Tagen, nicht bei Offline. Ein Gerät, das einen Check-in verpasst, ist kein Problem, und das Markieren davon trainiert die Menschen, die Liste zu ignorieren.
- Lassen Sie den fehlenden Wiederherstellungsschlüssel während eines Rollouts deaktiviert. Escrow verzögert sich um bis zu 24 Stunden und einen Neustart, sodass es bei jedem neu verschlüsselten Gerät ausgelöst wird und sich dann selbst bereinigt.
- Markieren Sie nur das, worauf Sie heute reagieren würden. Jeder Status, den Sie aktivieren, ist ein Versprechen, dass jemand ihn bearbeitet.
- Überprüfen Sie die Regeln nach der ersten vollen Woche erneut. Die lauten sind offensichtlich, sobald Sie normalen Verkehr gesehen haben, und sie sind viel schwieriger im Voraus zu erraten.
Fehlerbehebung und FAQ
Fehlerbehebung
- Die Warnungsliste ist leer. Es sind keine Status aktiviert. Eine Regel mit nichts aktiviert, zeichnet den Status auf, löst aber nie eine Warnung aus.
- Eine Regel, die ich benötige, ist nicht in der Liste. Sie ist an eine MDM-Kontrolle gebunden, die noch nicht existiert. Suchen Sie nach dem Banner oben auf der Regelseite und verwenden Sie MDM-Kontrollen verwalten, um die Kontrolle zuerst einzurichten.
- Neu verschlüsselte Geräte alarmieren ständig. Das ist der fehlende Wiederherstellungsschlüssel. Escrow dauert bis zu 24 Stunden und einen Neustart, sodass die Warnung sich selbst behebt. Schalten Sie den Status aus, wenn er während eines Rollouts laut ist.
- Ich habe einen Umschalter geändert und die Liste wurde nicht aktualisiert. Es wird bei der nächsten Gerätesynchronisierung neu berechnet, nicht sofort.
FAQ
-
Musste ich meine Änderungen speichern?
Nein. Umschalter werden automatisch angewendet.
-
Was passiert, wenn ich alle Status für eine Regel ausschalte?
Die Regel ist effektiv deaktiviert. Der Status wird weiterhin aufgezeichnet, aber es wird keine Warnung ausgelöst.
-
Warum kann ich eine Regel sehen, sie aber nicht konfigurieren?
Ihre zugrunde liegende MDM-Kontrolle wurde nicht eingerichtet. Konfigurieren Sie die Kontrolle, und die Regel wird bearbeitbar.
- HWie schnell treten Änderungen in Kraft?
Bei der nächsten Synchronisierung jedes Geräts.