Paso 4: Configurar las características y opciones del dispositivo para proteger los dispositivos y acceder a los recursos

Hasta ahora, ha configurado la suscripción a Intune, ha creado directivas de protección de aplicaciones y directivas de cumplimiento de dispositivos.

En este paso, estás listo para configurar un conjunto mínimo o básico de funciones de seguridad y de dispositivos que todos los dispositivos deben tener.

Este artículo se aplica a:

• Android
• iOS/iPadOS
• macOS
• Windows

Al crear perfiles de configuración de dispositivos, puede elegir entre diferentes niveles y tipos de directivas. Estos niveles son las directivas mínimas recomendadas por Microsoft. Sepa que su entorno y sus necesidades empresariales pueden ser diferentes.

• Nivel 1 - Configuración mínima del dispositivo: en este nivel, Microsoft recomienda crear directivas que:

  • Céntrate en la seguridad del dispositivo, incluyendo la instalación de antivirus, la creación de una directiva de contraseñas seguras y la instalación periódica de actualizaciones de software.
  • Proporcione a los usuarios acceso al correo electrónico de su organización y acceso seguro controlado a su red, estén donde estén.

• Nivel 2: Configuración mejorada del dispositivo: en este nivel, Microsoft recomienda crear directivas que:

  • Amplíe la seguridad de los dispositivos, incluida la configuración del cifrado de discos, la habilitación del arranque seguro y la adición de más reglas de contraseña.
  • Use las características y plantillas integradas para configurar más opciones de configuración que sean importantes para su organización, incluido el análisis de objetos de la directiva de grupo (GPO) locales.

• Nivel 3: Configuración alta del dispositivo: en este nivel, Microsoft recomienda crear directivas que:

  • Pasar a la autenticación sin contraseña, lo que incluye el uso de certificados, la configuración del inicio de sesión único (SSO) en aplicaciones, la habilitación de la autenticación multifactor (MFA) y la configuración de Microsoft Tunnel.
  • Agregue capas adicionales de seguridad mediante el modo de criterios comunes de Android o la creación de directivas DFCI para dispositivos Windows.
  • Usa las características integradas para configurar dispositivos de pantalla completa, dispositivos dedicados, dispositivos compartidos y otros dispositivos especializados.
  • Implemente los scripts de shell existentes.

En este artículo se enumeran los distintos niveles de directivas de configuración de dispositivos que deben usar las organizaciones. La mayoría de estas directivas se centran en el acceso a los recursos y la seguridad de la organización.

Configure estas características en perfiles de configuración de dispositivos en el Centro de administración de Microsoft Intune. Cuando los perfiles de Intune estén listos, asígnelos a los usuarios y dispositivos.

Nivel 1: crear la línea base de seguridad

Para ayudar a proteger los datos y los dispositivos de su organización, cree directivas diferentes que se centren en la seguridad. Cree una lista de características de seguridad que todos los usuarios y dispositivos deben tener. Esta lista es la línea base de seguridad.

En la línea base, como mínimo, incluya las siguientes directivas de seguridad:

• Instala software antivirus (AV) y examina periódicamente el software malicioso.
• Use la detección y respuesta.
• Active el firewall.
• Instale actualizaciones de software periódicamente.
• Crea un PIN seguro o una directiva de contraseñas.

En esta sección se enumeran los servicios de Intune y Microsoft que puede usar para crear estas directivas de seguridad.

Para obtener una lista más detallada de la configuración de Windows y sus valores recomendados, consulte Líneas base de seguridad de Windows.

Antivirus y exploración

Instala software antivirus y examina periódicamente el software malicioso

Instala software antivirus en todos los dispositivos y examina periódicamente el software malintencionado. Intune se integra con servicios de defensa contra amenazas móviles (MTD) de asociados de terceros que proporcionan detección de amenazas y AV. El antivirus y la detección están integrados en Intune mediante Microsoft Defender para punto de conexión.

Opciones de directiva:

Detección y respuesta

Detectar ataques y actuar sobre estas amenazas

Cuando detecta amenazas rápidamente, puede ayudar a minimizar el impacto de la amenaza. Al combinar estas directivas con el acceso condicional, puede impedir que los usuarios y dispositivos accedan a los recursos de la organización si se detecta una amenaza.

Opciones de directiva:

Firewall

Habilitar el firewall en todos los dispositivos

Algunas plataformas vienen con un firewall integrado. En otras plataformas, es posible que deba instalar un firewall por separado. Intune se integra con servicios de defensa contra amenazas móviles (MTD) de asociados de terceros que pueden administrar un firewall para dispositivos Android e iOS/iPadOS. Para macOS y Windows, Intune incluye un firewall de seguridad integrado a través de Microsoft Defender para punto de conexión.

Opciones de directiva:

Directiva de contraseñas

Cree una contraseña segura o una directiva de PIN y bloquee códigos de acceso sencillos

Los PIN desbloquean dispositivos. En los dispositivos que acceden a los datos de la organización, incluidos los dispositivos de propiedad personal, se requieren PIN o códigos de acceso seguros y compatibilidad con la biometría para desbloquear los dispositivos. El uso de la biometría es parte de un enfoque sin contraseña, lo cual se recomienda.

Use los perfiles de plantilla de restricciones de dispositivo y catálogo de configuración en Intune para crear y configurar requisitos de contraseña.

Opciones de directiva:

Actualizaciones de software

Instalar actualizaciones de software periódicamente

Actualice todos los dispositivos con regularidad y cree directivas para asegurarse de que estas actualizaciones se instalan correctamente. Para la mayoría de las plataformas, Intune tiene una configuración de directiva centrada en administrar e instalar actualizaciones.

Opciones de directiva:

Nivel 1: acceda al correo electrónico de la organización, conéctese a VPN o Wi-Fi

Esta sección se centra en el acceso a los recursos de su organización. Estos recursos incluyen:

• Email para cuentas profesionales o educativas
• Conexión VPN para conectividad remota
• Wi-Fi conexión para conectividad local

Correo electrónico

Muchas organizaciones implementan perfiles de correo electrónico con opciones preconfiguradas en dispositivos de usuario.

Conectarse automáticamente a las cuentas de correo electrónico de usuario

El perfil incluye la configuración de correo electrónico que se conecta a su servidor de correo electrónico.

Según la configuración que configure, el perfil de correo electrónico también puede conectar automáticamente a los usuarios a la configuración de su cuenta de correo electrónico individual.

Usar aplicaciones de correo electrónico de nivel empresarial

Email perfiles en Intune usan aplicaciones de correo electrónico comunes y populares, como Outlook. La aplicación de correo electrónico se implementa en dispositivos de usuario. Una vez implementada la aplicación, implemente el perfil de configuración del dispositivo de correo electrónico con la configuración que configura la aplicación de correo electrónico.

El perfil de configuración del dispositivo de correo electrónico incluye la configuración que conecta con Exchange.

Acceder al correo electrónico profesional o educativo

La creación de un perfil de correo electrónico es una directiva de línea base mínima común para las organizaciones con usuarios que usan el correo electrónico en sus dispositivos.

Intune tiene una configuración de correo electrónico integrada para Android, iOS/iPadOS y dispositivos cliente Windows. Cuando los usuarios abren su aplicación de correo electrónico, pueden conectar, autenticar y sincronizar automáticamente sus cuentas de correo electrónico de la organización en sus dispositivos.

Implementar en cualquier momento

En los dispositivos nuevos, implemente la aplicación de correo electrónico durante el proceso de inscripción. Cuando se complete la inscripción, implemente la directiva de configuración de dispositivos de correo electrónico.

Si tiene dispositivos existentes, implemente la aplicación de correo electrónico en cualquier momento. A continuación, implemente la directiva de configuración de dispositivos de correo electrónico.

Introducción a los perfiles de correo electrónico

Para empezar:

1. Implementa una aplicación de correo electrónico en tus dispositivos. Para obtener instrucciones, consulte Agregar configuración de correo electrónico a dispositivos mediante Intune.

2. Crear un perfil de configuración de dispositivos de correo electrónico en Intune. Según la aplicación de correo electrónico que use su organización, es posible que no necesite el perfil de configuración del dispositivo de correo electrónico.

   Para obtener instrucciones, consulte Agregar configuración de correo electrónico a dispositivos mediante Intune.

3. En el perfil de configuración del dispositivo de correo electrónico, configure las opciones para su plataforma:

   • Android Enterprise dispositivos de propiedad personal con un perfil de trabajo configuración de correo electrónico

     Los dispositivos propiedad de la organización Android Enterprise no usan perfiles de configuración de dispositivos de correo electrónico.

   • Configuración de correo electrónico de iOS/iPadOS

   • Configuración de correo electrónico de Windows

4. Asigne el perfil de configuración del dispositivo de correo electrónico a los usuarios o grupos de usuarios.

VPN

Muchas organizaciones implementan perfiles de VPN con opciones preconfiguradas en dispositivos de usuario. La VPN conecta los dispositivos a la red interna de la organización.

Si tu organización usa servicios en la nube con autenticación moderna e identidades seguras, es probable que no necesites un perfil de VPN. Los servicios nativos de nube no requieren una conexión VPN.

Si sus aplicaciones o servicios no están basados en la nube o no son nativos de la nube, implemente un perfil de VPN para conectarse a la red interna de su organización.

Trabajar desde cualquier lugar

La creación de un perfil de VPN es una directiva de línea base mínima común para las organizaciones con trabajadores remotos y trabajadores híbridos.

Como los usuarios trabajan desde cualquier lugar, pueden usar el perfil de VPN para conectarse de forma segura a la red de su organización y acceder a los recursos.

Intune tiene una configuración de VPN integrada para Android, iOS/iPadOS, macOS y dispositivos cliente de Windows. En los dispositivos de usuario, la conexión VPN aparece como una conexión disponible. Los usuarios la seleccionan. Y, según la configuración de tu perfil de VPN, los usuarios pueden autenticarse automáticamente y conectarse a la VPN en sus dispositivos.

Usar aplicaciones VPN de nivel empresarial

Los perfiles de VPN en Intune usan aplicaciones VPN empresariales comunes, como Check Point, Cisco, Microsoft Tunnel y más. La aplicación VPN se implementa en dispositivos de usuario. Una vez implementada la aplicación, implementa el perfil de conexión VPN con la configuración que configura la aplicación VPN.

El perfil de configuración del dispositivo VPN incluye opciones de configuración que conectan con el servidor VPN.

Implementar en cualquier momento

En los dispositivos nuevos, implementa la aplicación VPN durante el proceso de inscripción. Cuando se complete la inscripción, implemente la directiva de configuración de dispositivos VPN.

Si tiene dispositivos existentes, implemente la aplicación VPN en cualquier momento y, a continuación, implemente la directiva de configuración de dispositivos VPN.

Introducción a los perfiles de VPN

Para empezar:

1. Implementa una aplicación VPN en tus dispositivos.

   • Para obtener una lista de las aplicaciones VPN compatibles, consulte Aplicaciones de conexión VPN compatibles en Intune.
   • Para conocer los pasos para agregar aplicaciones a Intune, consulte Agregar aplicaciones a Microsoft Intune.

2. Crear un perfil de configuración de VPN en Intune.

3. En el perfil de configuración del dispositivo VPN, configura las opciones para tu plataforma:

   • Configuración de VPN de Android Enterprise
   • Configuración de VPN de iOS/iPadOS
   • Configuración de VPN de macOS
   • Configuración de VPN de Windows

4. Asigne el perfil de configuración del dispositivo VPN a los usuarios o grupos de usuarios.

Wi-Fi

Muchas organizaciones implementan perfiles de Wi-Fi con opciones preconfiguradas en dispositivos de usuario. Si su organización tiene una plantilla que solo trabaja de forma remota, no es necesario implementar perfiles de conexión Wi-Fi. Wi-Fi perfiles son opcionales y se usan para la conectividad local.

Conectarse de forma inalámbrica

A medida que los usuarios trabajan desde diferentes dispositivos móviles, pueden usar el perfil de Wi-Fi para conectarse de forma inalámbrica y segura a la red de su organización.

El perfil incluye los Wi-Fi opciones de configuración que se conectan automáticamente a su red o SSID (identificador de conjunto de servicios). Los usuarios no tienen que configurar manualmente sus opciones de Wi-Fi.

Soporte para dispositivos móviles locales

La creación de un perfil de Wi-Fi es una directiva de línea base mínima común para las organizaciones con dispositivos móviles que trabajan en el entorno local.

Intune tiene una configuración de Wi-Fi integrada para Android, iOS/iPadOS, macOS y dispositivos cliente de Windows. En los dispositivos de usuario, la conexión Wi-Fi aparece como una conexión disponible. Los usuarios la seleccionan. Y, en función de la configuración de su perfil de Wi-Fi, los usuarios pueden autenticarse automáticamente y conectarse al Wi-Fi en sus dispositivos.

Implementar en cualquier momento

En los dispositivos nuevos, implemente la directiva de configuración de dispositivos Wi-Fi cuando los dispositivos se inscriban en Intune.

Si tiene dispositivos existentes, puede implementar la directiva de configuración de dispositivos Wi-Fi en cualquier momento.

Introducción a los perfiles de Wi-Fi

Para empezar:

1. Crea un perfil de configuración de dispositivos Wi-Fi en Intune.

2. Configura las opciones para tu plataforma:

   • Configuración de Wi-Fi de Android Enterprise
   • Configuración Wi-Fi iOS/iPadOS
   • Configuración Wi-Fi macOS
   • Configuración de Windows Wi-Fi

3. Asigne el perfil de configuración del dispositivo Wi-Fi a los usuarios o grupos de usuarios.

Nivel 2: protección y configuración mejoradas

Este nivel amplía lo que configuró en el nivel 1 y agrega más seguridad para los dispositivos. En esta sección, creará un conjunto de directivas de nivel 2 que configuran más opciones de seguridad para los dispositivos.

Microsoft recomienda las siguientes directivas de seguridad de nivel 2:

• Habilite el cifrado de disco, el arranque seguro y TPM en sus dispositivos. Use estas características con una directiva de PIN segura o desbloqueo biométrico.

  • Android
  • iOS/iPadOS
  • macOS
  • Windows

  En dispositivos Android, el sistema operativo podría incluir cifrado de disco y Samsung Knox. Es posible que habilites automáticamente el cifrado de disco al configurar las opciones de la pantalla de bloqueo, que están habilitadas y permitidas de forma predeterminada.

  En Intune puedes:

  • Crear una directiva de catálogo de configuración que deshabilite la pantalla de bloqueo (no recomendado). Cuando deshabilitas la pantalla de bloqueo, el dispositivo no está cifrado.
  • Crea un perfil de plantilla de restricciones de dispositivo que deshabilite las características individuales cuando la pantalla de bloqueo está activada.

  Para ver una lista de las opciones de contraseña y de pantalla de bloqueo que puedes configurar, consulta:

  • Configuración de Android configuración del catálogo para dispositivos > totalmente administrados y dedicados Configuración de contraseña de dispositivo y contraseña de perfil de trabajo
  • Configuración de plantilla de restricciones de dispositivos Android para dispositivos > propiedad de la empresa y de propiedad personal Configuración de contraseña de dispositivo y contraseña de perfil de trabajo

• Expirar contraseñas y regular la reutilización de contraseñas antiguas. En el nivel 1, creó un PIN o una directiva de contraseña segura. Si aún no lo ha hecho, asegúrese de configurar los PIN y las contraseñas para que expiren y de establecer algunas reglas de reutilización de contraseñas.

  Usa Intune para crear una directiva de catálogo de configuración o una plantilla de restricciones de dispositivo que configure estas opciones. Para obtener más información sobre las contraseñas que puede configurar, consulte los siguientes artículos:

  • Android
  • iOS/iPadOS
  • macOS
  • Windows

  En dispositivos Android, use una directiva de catálogo de configuración o un perfil de plantilla de restricciones de dispositivo para establecer reglas de contraseña. Para ver una lista de las opciones de contraseña y de pantalla de bloqueo que puedes configurar, consulta:

  • Configuración de Android configuración del catálogo para dispositivos > totalmente administrados y dedicados Revise la configuración de contraseña de dispositivo y contraseña de perfil de trabajo.
  • Configuración de plantilla de restricciones de dispositivos Android para dispositivos > de propiedad corporativa y personal Revise la configuración de contraseña de dispositivo y contraseña de perfil de trabajo .

• Intune incluye cientos de configuraciones que pueden administrar características y configuraciones de dispositivo, como deshabilitar la cámara integrada, controlar notificaciones, permitir Bluetooth, bloquear juegos y mucho más.

  Usa el catálogo de configuraciones o las plantillas integradas para ver y configurar las opciones.

  • Usa el catálogo de configuración para ver y configurar todas las opciones disponibles. Puede usar el catálogo de configuraciones en las siguientes plataformas:

    • Android
    • iOS/iPadOS
    • macOS
    • Windows

  • Las plantillas de restricciones de dispositivo son grupos lógicos de configuración integrada que puede usar para controlar distintas partes de los dispositivos, como seguridad, hardware, uso compartido de datos y mucho más.

    Use estas plantillas en las siguientes plataformas:

    • Android
    • iOS/iPadOS
    • macOS
    • Windows

• Si usa GPO locales y desea saber si estas mismas opciones de configuración están disponibles en Intune, use el análisis de la directiva de grupo. Esta característica analiza los GPO y, en función del análisis, puede importarlos en una directiva de catálogo de configuración de Intune.

  Para obtener más información, consulte Análisis de los GPO locales e importarlos en Intune.

Nivel 3 - Alta protección y configuración

Este nivel amplía lo que configuró en los niveles 1 y 2. Agrega características de seguridad adicionales que se usan en organizaciones de nivel empresarial.

• Amplíe la autenticación sin contraseña a otros servicios que use su plantilla. En el nivel 1, habilitó la biometría para que los usuarios puedan iniciar sesión en sus dispositivos con una huella digital o reconocimiento facial. En este nivel, expanda sin contraseña a otras partes de la organización.

  • Use certificados para autenticar conexiones de correo electrónico, VPN y Wi-Fi. Implemente certificados en usuarios y dispositivos y, a continuación, úselos para acceder a los recursos de su organización a través del correo electrónico, la VPN y las conexiones Wi-Fi.

    Para obtener más información sobre el uso de certificados en Intune, consulta:

    • Usar certificados PKCS o SCEP para la autenticación
    • Usar credenciales derivadas

  • Configure el inicio de sesión único (SSO) para obtener una experiencia más fluida cuando los usuarios abran aplicaciones empresariales, como las aplicaciones de Microsoft 365. Los usuarios inician sesión una vez y después inician sesión automáticamente en todas las aplicaciones que admiten la configuración de SSO.

    Para obtener información sobre el uso de SSO en Intune y Microsoft Entra ID, consulta:

    • Android
    • iOS/iPadOS
    • macOS
    • Windows

    Usa la Biblioteca de autenticación de Microsoft (MSAL), que es una característica de Microsoft Entra ID. Le ayuda a habilitar el SSO en todas las aplicaciones y actúa como un agente, por lo que puede extender el SSO a todo el dispositivo.

    • Habilitar SSO entre aplicaciones en Android con MSAL en Microsoft Entra ID

  ---

  • Use la autenticación multifactor (MFA). Al pasar a sin contraseña, MFA agrega una capa adicional de seguridad y puede ayudar a proteger su organización de ataques de suplantación de identidad. Use MFA con aplicaciones de autenticación, como Microsoft Authenticator, o con una llamada telefónica o mensaje de texto. También puede utilizar MFA cuando los usuarios inscriben sus dispositivos en Intune.

    La autenticación multifactor es una característica de Microsoft Entra ID y puede usarla con cuentas de Microsoft Entra. Para más información, vea:

    • Introducción a la protección de Microsoft Entra ID
    • Autenticación multifactor de Microsoft Entra
    • Requerir autenticación multifactor para inscripciones de dispositivos de Intune

  • Configure Microsoft Tunnel para los dispositivos Android e iOS/iPadOS inscritos. Microsoft Tunnel usa Linux para permitir que estos dispositivos accedan a recursos locales mediante la autenticación moderna y el acceso condicional.

    Microsoft Tunnel utiliza Intune, Microsoft Entra ID y Servicios de federación de Active Directory (AD FS) (AD FS). Para obtener más información, consulte Microsoft Tunnel para Microsoft Intune.

  • Use Microsoft Tunnel for Mobile Application Management (Tunnel for MAM) para ampliar las capacidades del túnel a dispositivos Android e iOS/iPad que no están inscritos con Intune. Tunnel for MAM es una funcionalidad avanzada que requiere licencias adicionales más allá de Microsoft Intune.

    Para obtener más información, consulte Funcionalidades avanzadas de Microsoft Intune.

• Utilice la directiva de solución de contraseñas de administrador local (LAPS) para administrar y realizar una copia de seguridad de la cuenta de administrador local en sus dispositivos.

  • macOS
  • Windows

  Puede configurar LAPS en perfiles de inscripción automatizada de dispositivos (ADE) de macOS nuevos y existentes. Los dispositivos se aprovisionan con una cuenta de administrador local que tiene una contraseña de administrador segura, cifrada y aleatorizada, que es almacenada y cifrada por Intune.

  Para obtener más información, consulte LAPS de macOS en Intune.

• Use la Administración con privilegios para puntos de conexión de Microsoft Intune (EPM) para reducir la superficie expuesta a ataques de sus dispositivos Windows. EPM permite tener usuarios que se ejecutan como usuarios estándar (sin derechos de administrador) pero que sigan siendo productivos al determinar cuándo esos usuarios pueden ejecutar aplicaciones en un contexto elevado.

  Las reglas de elevación de EPM se pueden basar en hashes de archivos, reglas de certificado y mucho más. Las reglas que configure ayudan a garantizar que solo las aplicaciones esperadas y de confianza que permita puedan ejecutarse como aplicaciones con privilegios elevados. Las reglas pueden:

  • Administrar los procesos secundarios que crea una aplicación.
  • Solicitudes de soporte técnico de los usuarios para elevar un proceso administrado.
  • Permita elevar automáticamente los archivos que solo necesitan ejecutarse sin ninguna interrupción por parte del usuario.

  La Administración con privilegios para puntos de conexión es una funcionalidad avanzada que requiere licencias adicionales. Para obtener más información, consulte Funcionalidades avanzadas de Microsoft Intune.

• Use el modo de criterios comunes de Android en dispositivos Android que sean utilizados por organizaciones altamente confidenciales, como establecimientos gubernamentales.

  Para obtener más información sobre esta característica, busque el modo de criterios comunes en:

  • Configuración de Android configuración del catálogo
  • Configuración de plantilla de restricciones de dispositivos Android

• Crear directivas que se apliquen a la capa de firmware:

  • Android
  • Windows

  Estas directivas te ayudan a administrar las actualizaciones de firmware, que pueden incluir revisiones de seguridad y software, actualizaciones de características y otros cambios en el firmware del dispositivo.

  • Actualizaciones de firmware por aire (FOTA)
  • Actualizaciones inalámbricas de Zebra LifeGuard

• Configura quioscos, dispositivos compartidos y otros dispositivos especializados:

  • Android
  • iOS/iPadOS
  • macOS
  • Windows

  • Android Enterprise:

    • Usar y administrar dispositivos Android Enterprise con OEMConfig
    • Configuración >de plantilla de restricciones de dispositivos Android Experiencia del dispositivo

  • Administrador de dispositivos Android

    • Uso y administración de dispositivos Zebra con Zebra Mobility Extensions

    • Configuración del dispositivo para ejecutarse como quiosco multimedia

      Importante

      La administración del administrador de dispositivos Android (DA) está obsoleta y ya no está disponible para los dispositivos con acceso a Google Mobile Services (GMS). Si actualmente usa la administración de DA, le recomendamos que cambie a otra opción de administración de Android. La documentación de soporte y ayuda sigue estando disponible para algunos dispositivos Android 15 y anteriores sin GMS. Para obtener más información, consulte Finalización del soporte para el administrador de dispositivos Android en dispositivos GMS.

• Implementar scripts de shell:

  • macOS
  • Windows

  Use scripts de shell para administrar la configuración y las características que no están disponibles en Intune de forma nativa. Puede agregar un script, establecer la frecuencia del script y mucho más.

  • Usar scripts de shell

Seguir las directivas de línea base mínimas recomendadas

Este artículo forma parte de una serie de cinco pasos que describen cómo implementar Microsoft Intune. La serie incluye los siguientes artículos, en orden:

1. Configuración de Microsoft Intune
2. Agregar, configurar y proteger aplicaciones
3. Planear directivas de cumplimiento
4. 🡺 Configurar las características del dispositivo (este artículo)
5. Inscribir dispositivos