Gerenciar perfis de linha de base de segurança no Microsoft Intune

Para ajudar a proteger seus usuários e dispositivos Windows, você pode configurar e implantar instâncias distintas de perfis de linha de base de segurança do Microsoft Intune para diferentes grupos de dispositivos e usuários do Windows. Há diferentes linhas de base para diferentes produtos, e cada uma é um grupo de configurações pré-configuradas que representam a postura de segurança recomendada pela equipe de segurança desses produtos. Você pode implantar uma linha de base padrão (não modificada) ou personalizar seus perfis para configurar dispositivos com as configurações que sua organização exige.

Para obter uma lista de linhas de base de segurança disponíveis, consulte Visão geral das linhas de base de segurança.

Esse recurso aplica-se a:

• Windows 11
• Windows 10 versão 1809 e posterior

Visão geral das linhas de base de segurança

Ao criar um perfil de linha de base de segurança no Intune, você está criando um modelo composto por várias definições de configuração de dispositivo.

Quando existem várias versões para uma linha de base de segurança, somente a versão mais recente pode ser usada para criar uma nova instância dessa linha de base. Você pode continuar a usar instâncias de linhas de base mais antigas que você criou anteriormente e editar os grupos aos quais elas estão atribuídas. No entanto, versões desatualizadas não dão suporte a alterações em suas configurações de configuração. Em vez disso, crie novas linhas de base que usem a versão de linha de base mais recente ou atualize suas linhas de base mais antigas para essa versão mais recente se você precisar introduzir novas configurações para as configurações.

É recomendável atualizar as versões de linha de base mais antigas para a versão mais recente assim que for prático fazer isso. Uma versão mais recente pode:

• Inclua novas configurações que não estavam disponíveis nas versões mais antigas.
• Remova e remova as configurações antigas que não têm mais suporte.
• Altere a configuração padrão das configurações para alinhar às recomendações de segurança atuais para o produto aplicável.

Tarefas comuns ao trabalhar com linhas de base de segurança incluem:

• Criar uma nova instância de perfil – defina as configurações que deseja usar e atribua a linha de base aos grupos.
• Atualizar uma linha de base de versão mais antiga para a versão de linha de base mais atual – Altere a versão de linha de base em uso por um perfil.
• Remover uma atribuição de linha de base – Saiba o que acontece quando você para de gerenciar as configurações com uma linha de base de segurança.

Pré-requisitos

Descubra o que você precisa para gerenciar as linhas de base de segurança do Intune.

Licenciamento

• O uso do Intune para implantar linhas de base de segurança requer uma assinatura do Microsoft Intune (plano 1). Consulte Licenciamento do Microsoft Intune.

  Dica

  O Intune fornece uma interface do usuário fácil de usar para configurar e implantar linhas de base de segurança, mas não cria nem define as linhas de base de segurança. Fora do Intune, outras opções para implantar linhas de base de segurança estão disponíveis, como as disponíveis no Kit de Ferramentas de Conformidade de Segurança.

• O uso de linhas de base por meio do Intune exige que você tenha uma assinatura ativa para o produto gerenciado, quando aplicável. Por exemplo, o uso da linha de base do Microsoft Defender para Ponto de Extremidade não concede direitos para usar o Microsoft Defender. Em vez disso, a linha de base fornece um método para definir e gerenciar as configurações presentes em dispositivos licenciados e gerenciados pelo Microsoft Defender para Ponto de Extremidade.

Controles de acesso baseados em função para gerenciar linhas de base de segurança do Intune

Para gerenciar linhas de base de segurança no Intune, sua conta deve receber uma função de RBAC (controle de acesso baseado em função) do Intune que inclua as seguintes categorias e permissões suficientes para concluir a tarefa desejada:

• Organização:

  • Leitura

• Linhas de base de segurança:

  • Atribuir
  • Criar
  • Excluir
  • Leitura
  • Atualizar

Você pode adicionar essas permissões às suas funções RBAC personalizadas ou usar uma função RBAC interna do Intune.

A função interna do Intune com menos privilégios que dá suporte ao gerenciamento de linhas de base de segurança é o Gerenciador de Política e Perfis.

Criar um perfil para uma linha de base de segurança

As diretrizes a seguir podem ser usadas sempre que você criar um novo perfil de linha de base de segurança.

1. Entre no Centro de administração do Microsoft Intune.

2. Selecione Segurança de ponto de extremidade>Linhas de base de segurança para ver a lista de linhas de base disponíveis.

   

3. Selecione a linha de base que você deseja usar e, em seguida, selecione Criar política.

4. Na guia Básico, especifique as seguintes propriedades:

   • Nome: insira um nome do perfil de linhas de base de segurança. Por exemplo, insira Perfil padrão para Defender para Ponto de Extremidade.

   • Descrição: insira algum texto que descreva a função dessa linha de base. A descrição serve para você inserir o texto que quiser. É opcional, mas recomendado.

   Selecione Avançar para ir para a próxima guia. Depois de avançar para uma nova guia, você pode selecionar o nome da guia para retornar a uma guia exibida anteriormente.

5. Na guia Configurações , exiba os grupos de configurações disponíveis na linha de base selecionada. É possível expandir um grupo para ver as configurações dele e os valores padrão dessas configurações na linha de base. Para localizar configurações específicas:

   • Selecione um grupo para expandir e verificar as configurações disponíveis.
   • Os insights para uma configuração estão disponíveis ao lado de um ícone de lâmpada. Os insights de configurações fornecem confiança nas configurações adicionando insights que organizações semelhantes adotaram com êxito. Os insights estão disponíveis para algumas configurações, mas não para todas. Para obter mais informações, consulte Insights de configurações.
   • Use a barra de pesquisa e especifique palavras-chave que filtram o modo de exibição para exibir apenas os grupos que contêm os critérios de pesquisa.

   Cada configuração em uma linha de base tem uma configuração predefinida padrão para essa versão de linha de base. Alguns não estão configurados, enquanto outros estão definidos para configurar valores ou condições específicos em um dispositivo. As predefinições padrão encontradas em uma linha de base representam a postura de segurança recomendada pela equipe de segurança do produto. Ao configurar uma linha de base:

   • Examine cada configuração e, quando necessário, reconfigure uma predefinição padrão quando suas necessidades comerciais exigirem uma configuração diferente.
   • Lembre-se de que diferentes tipos e versões de linha de base podem incluir configurações que também estão em outras linhas de base, e cada uma pode recomendar um valor padrão diferente para uma configuração.

   

6. Na guia Marcas de escopo, selecione Selecionar marcas de escopo para abrir o painel Selecionar marcas e atribuir marcas de escopo ao perfil.

7. Na guia Tarefas , selecione Selecionar grupos a serem incluídos e atribua a linha de base a um ou mais grupos. Use Selecionar grupos para excluir a fim de ajustar a atribuição.

   Observação

   As linhas de base de segurança são atribuídas a grupos de usuários ou grupos de dispositivos com base no escopo das configurações que estão sendo usadas. Por isso, várias linhas de base podem ser necessárias ao atribuir configurações baseadas no usuário e no dispositivo.

   

8. Quando estiver pronto para implantar a linha de base, avance até a guia Revisar + criar para examinar os detalhes da linha de base. Selecione Criar para salvar e implantar o perfil.

   Assim que você cria o perfil, o Intune o envia por push para o grupo atribuído, que o aplica imediatamente.

   Dica

   Se você salvar um perfil sem primeiro atribuí-lo aos grupos, poderá editar o perfil posteriormente para fazer isso.

   

9. Depois de criar o perfil, edite-o acessando Segurança do ponto de extremidade>Linhas de base de segurança, depois selecione o tipo da linha de base que você configurou e selecione Perfis. Selecione o perfil na lista de perfis disponíveis e, em seguida, selecione Propriedades. Você pode editar as configurações de todas as guias de configuração disponíveis e selecionar Revisar + salvar para confirmar suas alterações.

Atualizar um perfil de linha de base para a versão mais recente

Quando uma nova versão de uma linha de base estiver disponível, planeje atualizar seus perfis existentes para a nova versão.

Quando uma nova versão de qualquer tipo de linha de base for lançada:

• Os perfis existentes para esse tipo de linha de base não são atualizados automaticamente para a nova versão.
• As configurações em seus perfis existentes se tornam somente leitura. Embora você possa continuar a usar esses perfis e editar seu nome, descrição e atribuições, não pode modificar a configuração de nenhuma configuração neles.

Ao atualizar a versão de um perfil de linha de base:

• Atualizações sempre usam a versão mais recente disponível do mesmo tipo de linha de base. Não é possível atualizar uma linha de base para outra coisa que não seja a versão lançada mais recentemente.

• O processo de atualização cria uma nova instância da linha de base com base na versão mais recente como uma cópia lado a lado do perfil original. Como parte da atualização, você tem a opção de:

  • Manter personalizações – o Intune aplica todas as personalizações de configurações da linha de base original que você está atualizando para o novo modelo de linhas de base. O resultado é que a nova instância de linha de base retém (inclui) todas as modificações específicas da organização.
  • Descartar personalizações – o Intune cria uma nova instância de linha de base "padrão" usando a nova versão. Nenhuma de suas personalizações de configurações é aplicada automaticamente.

• Durante a atualização, você deve fornecer um nome à nova instância, mas não pode editar os outros detalhes no perfil até que ela seja criada. As marcas de escopo e as atribuições não são transferidas e permanecem em branco. No entanto, você pode revisar as definições de configuração do perfil antes de salvá-lo.

Após a conclusão do processo de atualização:

• Você pode editar a nova instância de linha de base, incluindo configurações de personalização, adição de atribuições e configuração de tags de escopo.
• A linha de base original permanece inalterada e mantém suas configurações de configuração, nome, rótulos de escopo e atribuições. Para evitar conflitos de configuração, certifique-se de remover configurações como tags de escopo e atribuições da instância de linha de base original ao adicionar o mesmo à linha de base atualizada.
• Depois que a versão de linha de base mais antiga não estiver mais atribuída a nenhum grupo, você poderá excluí-la do locatário, se desejar.

Atualizar uma linha de base para a versão mais recente

Aplica-se à atualização de um perfil de linha de base criado em maio de 2023 ou posterior.

1. Entre no centro de administração do Microsoft Intune e acesse Segurança do> ponto de extremidadeLinhas> de base de segurançaSelecione o tipo de linha de base com o perfil que você deseja atualizar. Na página Perfis de linhas de base, marque a caixa de seleção da instância de linha de base que você deseja atualizar e selecione Atualizar versão. O Intune exibe o painel Versão da Atualização.

2. No painel Versão da Atualização , selecione o método de atualização a ser usado:

   • Aceitar alterações de linha de base, mas manter minhas personalizações de configuração existentes – Cria uma nova instância do perfil de linha de base usando a versão mais recente. Suas configurações personalizadas atuais são preservadas e aplicadas ao novo perfil.
   • Aceitar alterações de linha de base e descartar personalizações de configuração existentes - Cria uma nova instância do perfil de linha de base usando a versão mais recente. Nenhuma das personalizações do perfil que está sendo atualizado é adicionada ao novo perfil. O novo perfil usa sua configuração de configurações padrão.

   Depois de selecionar um método de atualização, selecione Criar para abrir o fluxo de trabalho da Política de Atualização para o novo perfil de linha de base que você está criando.

3. Na guia Básico , especifique um Nome para este novo perfil. O campo Descrição já está preenchido, mas pode ser editado neste momento.

4. Na guia Configurações , você pode examinar a configuração das configurações da linha de base. Se optar por manter as personalizações de configuração existentes, você as verá aqui e poderá fazer outras personalizações, se desejar.

5. Para marcas Scope, a configuração é opcional. O processo de atualização não aplica as marcas de escopo do perfil mais antigo a esse novo perfil. Você pode optar por configurar as marcas de escopo agora ou retornar para editar o perfil para adicioná-las mais tarde.

6. Para Atribuições, planeje atribuir o novo perfil a grupos de usuários ou grupos de dispositivos. O processo de atualização não aplica as atribuições do perfil mais antigo a esse novo perfil. Você pode optar por configurar atribuições para este perfil agora e também retornar para editar o perfil e adicioná-las mais tarde.

   Se você configurar as atribuições neste momento, planeje revisitar as atribuições de perfis mais antigos para removê-las ou modificá-las conforme necessário para evitar a criação de conflitos entre os perfis antigos e novos.

   Observação

   As linhas de base de segurança são atribuídas a grupos de usuários ou grupos de dispositivos com base no escopo das configurações que estão sendo usadas. Por isso, várias linhas de base podem ser necessárias ao atribuir configurações baseadas no usuário e no dispositivo.

7. Na guia Revisão , examine os detalhes da linha de base e selecione Criar para salvar o novo perfil.

   Quando salvo, um perfil é implantado imediatamente em todos os grupos atribuídos.

Testar a linha de base atualizada

Durante a atualização de uma linha de base, o Intune cria uma cópia do perfil original, mas não inclui as atribuições de grupo. Isso significa que a nova instância de linha de base não é implantada em nenhum dispositivo no momento em que você faz uma cópia ou no momento em que a atualiza para uma nova versão. Depois de atualizar o perfil para a versão mais recente, você pode editar as configurações nessa nova instância de perfil. Isso inclui atribuir o novo perfil de linha de base a grupos de dispositivos e editar as configurações de perfis para atender às expectativas da sua organização.

Atualize as linhas de base feitas antes de maio de 2023 para uma versão de linha de base lançada em maio de 2023 ou posterior

Após maio de 2023, quando uma nova versão de uma linha de base for lançada, planeje atualizar seus perfis existentes para a nova versão. Ao mudar de um formato mais antigo para o novo formato de linha de base (de uma versão lançada antes de maio de 2023 para uma lançada em maio de 2023 ou posterior):

• Todos os novos perfis para o tipo de linha de base, como Microsoft Edge, usam o novo formato. Não há suporte para a criação de uma nova linha de base que usa uma versão de linha de base mais antiga.

• As versões de linha de base lançadas antes de maio de 2023 não são atualizadas para o novo formato. Em vez disso, crie um novo perfil que use o novo formato e defina as configurações da linha de base antiga nesse novo formato de linha de base. A recriação do perfil é um processo único necessário para mover uma linha de base do formato antigo para o novo formato de linha de base.

  Para ajudar nesse processo, o Intune pode exportar o perfil antigo para um formato CSV que identifica cada configuração com base no nome da configuração conforme ela aparece na nova versão do perfil, juntamente com sua configuração.

• Depois de criar uma nova linha de base que pode substituir sua versão de linha de base mais antiga, o perfil mais antigo permanece inalterado e você pode continuar a usá-lo. Você pode continuar a implantar, reatribuir e editar as configurações no formato de linha de base mais antigo.

  Dica

  O suporte para editar configurações em uma versão de linha de base mais antiga após a atualização para uma nova versão é uma mudança em relação ao comportamento anterior. Esse comportamento só é possível ao migrar de versões de linhas de base criadas antes de maio de 2023 para versões criadas em maio de 2023 ou posteriormente porque o novo formato de linha de base existe lado a lado com o formato de linha de base mais antigo em vez de substituí-lo. Posteriormente, ao atualizar uma instância de linha de base criada em maio de 2023 ou posterior para uma versão mais recente, o comportamento original em que você não pode editar as configurações na versão mais antiga retorna.

  Recomendamos planejar a interrupção do uso do formato mais antigo e implantar um perfil com base na versão mais recente o mais rápido possível. Os perfis mais antigos não recebem atualizações, enquanto as versões mais recentes foram lançadas em maio de 2023:

  • Use o novo formato de configurações na interface do usuário do Intune que se alinha diretamente à origem do provedor de serviços de configuração (CSP) para cada configuração.
  • São pré-configuradas com as configurações padrão recomendadas pelas equipes de segurança relevantes.

Atualizar uma linha de base para o novo formato

Para atualizar uma linha de base criada antes de maio de 2023 para o novo formato, você deve criar uma nova instância de linha de base. Para ajudá-lo a recriar a configuração original das linhas de base, é possível fazer com que Intune exporte sua configuração atual de linhas de base como um arquivo .CSV. As exportações incluem:

• Cada configuração da linha de base mais antiga é identificada usando o nome da configuração conforme ela aparece na nova linha de base. Embora o nome da configuração não seja apresentado literalmente no .csv, você pode encontrar o caminho para a configuração, que contém parte do nome da configuração.
• Como cada configuração na linha de base mais antiga era configurada.
• Se a configuração de uma definição da linha de base antiga corresponder à configuração padrão da nova linha de base.

Com as informações de uma exportação, você pode reconfigurar rapidamente a nova linha de base para usar os mesmos valores da instância de linha de base mais antiga.

1. Entre no centro de administração do Microsoft Intune e acesse Segurança do> ponto de extremidadeLinhas> de base de segurançaSelecione o tipo de linha de base, marque a caixa de seleção do perfil de linha de base (instância) que você deseja replicar no novo formato de linha de base e selecione Alterar Versão. O Intune exibe o painel Alterar Versão.

   A captura de tela a seguir exibe uma exibição da linha de base de segurança para o Microsoft Edge. No momento, temos dois perfis. Um é um novo perfil para Microsoft Edge v112 e o outro é um perfil mais antigo de setembro de 2020. O perfil mais antigo também exibe um ícone de seta para indicar que há uma versão mais recente para substituí-lo.

   

2. No painel Alterar Versão , há instruções para mover os detalhes de configuração da linha de base mais antiga para um perfil que usa o novo formato. O painel também identifica o nome e a versão das linhas de base selecionadas e qual é a versão da linha de base mais recente.

   1. Selecione Exportar Configurações de Perfil para criar um arquivo .csv que lista as configurações na linha de base selecionada, juntamente com suas configurações atuais, se não estiverem definidas como padrão de linhas de base. Quando você seleciona a opção para exportar os detalhes da linha de base, o Intune prepara a exportação e exige que você concorde em continuar. Selecione Sim para baixar o .CSV exportação de arquivo.

   2. Depois que o arquivo for baixado, você poderá abri-lo para exibir a configuração atual das linhas de base mais antigas.

   O painel Alterar Versão também inclui um botão para Criar um novo perfil para a linha de base selecionada, que tem a mesma função da opção Criar perfil que é mais comumente usada para criar novas instâncias de linha de base.

   A captura de tela a seguir mostra uma exportação para o perfil do Microsoft Edge versão 85, conforme exibido no Microsoft Excel. Das 17 configurações das novas linhas de base do Microsoft Edge encontradas no perfil mais antigo, apenas uma configuração foi alterada: Habilitar o isolamento de sites para cada site foi definido como Desabilitado na linha de base mais antiga. Na linha de base mais recente, a configuração agora é padrão como Habilitado:

   

   Na imagem anterior, há três colunas de informações. As informações identificam as configurações no perfil antigo e a configuração que você tinha no perfil antigo, para cada uma delas.

   • DefinitionId – esta coluna exibe o nome do registro de configurações. As informações após o sublinhado ( _ ) identificam o nome das configurações como ele aparece no perfil e formato da linha de base antiga, mas sem espaços no nome. Esse valor também é o nome da configuração de CSP que essa configuração de linha de base gerencia.

     Por exemplo, nossa configuração modificada de Habilitar isolamento de site para cada site aparece nesta exportação como admx--microsoftedge_SitePerProcess. A última parte, SitePerProcess, ajuda a identificar a configuração.

   • defaultJson – essa coluna identifica a configuração padrão para essa configuração, conforme visto no novo formato de linha de base. Nossa configuração de exemplo para o CSP SitePerProcess está definida como habilitada por padrão.

   • customizedJson – A coluna final exibe a configuração de cada configuração da versão de perfil mais antiga. Essas informações ajudam você a entender quais configurações no novo perfil requerem modificação para corresponder à configuração dos perfis mais antigos. Nossa configuração de exemplo foi definida como desabilitada. Todas as outras configurações exibem "NotApplicable", pois não foram modificadas da configuração padrão na versão de linha de base mais antiga que estamos usando.

   Você pode notar que o perfil de linha de base atualizado do Microsoft Edge tem mais do que as 17 configurações encontradas no perfil mais antigo. A exportação de linha de base não identifica essas novas configurações, pois elas não estavam disponíveis na versão de linha de base mais antiga que você está examinando.

   Posteriormente, ao criar e configurar o novo perfil, você poderá usar a lista da exportação CSV para garantir que cada configuração do perfil anterior seja definida no novo perfil com a mesma configuração.

Atualize as linhas de base mais antigas para uma versão mais recente quando a versão mais recente for anterior a maio de 2023

Quando uma nova versão de uma linha de base estiver disponível, planeje atualizar seus perfis existentes para a nova versão:

• Os perfis existentes não são atualizados para novas versões automaticamente.
• As configurações nos perfis de linha de base que não usam a versão mais recente tornam-se somente leitura. Você pode continuar usando esses perfis mais antigos, incluindo a edição de seu nome, descrição e atribuições. No entanto, você não pode editar as configurações neles ou criar novos perfis com base nessas versões mais antigas.

Recomendamos que você teste a atualização da versão em uma cópia de seus perfis existentes antes de atualizar seus perfis ativos.

Quando você altera a versão do perfil:

• Você seleciona a instância mais recente da mesma linha de base. Não é possível fazer uma alteração entre dois tipos de linha de base diferentes, como fazer com que um perfil deixe de usar linha de base do Defender para Ponto de Extremidade e passe a usar a linha de base de segurança do MDM.

• Você pode exportar e baixar um arquivo CSV que lista as alterações entre as duas versões de linha de base envolvidas.

• Você escolhe como atualizar o perfil:

  • Você pode manter todas as suas personalizações da versão de linha de base original.
  • Você pode optar por usar os valores padrão para todas as configurações na nova versão de linha de base.

  Você não tem a opção de alterar apenas algumas configurações em um perfil durante a atualização.

Durante a conversão:

• Novas configurações que não estavam na versão mais antiga que você estava usando são adicionadas. Todas as novas configurações da nova versão usam seus valores padrão.

• As configurações que não estão na nova versão de linha de base selecionada são removidas e não são mais aplicadas por esse perfil de linha de base de segurança.

  Quando uma configuração não for mais gerenciada por um perfil de linha de base, ela não será redefinida no dispositivo. Em vez disso, a configuração no dispositivo permanece definida para sua última configuração até que algum outro processo gerencie a configuração para alterá-la. Exemplos de processos que podem alterar uma configuração depois que você para de gerenciá-la incluem um perfil de linha de base diferente, uma configuração de política de grupo ou uma configuração manual que foi aplicada no dispositivo.

Após a conclusão da conversão para a nova versão da linha de base:

• A linha de base é reimplantada imediatamente nos grupos atribuídos.
• Você pode editar a linha de base para alterar configurações individuais.

Testar a linha de base convertida e atualizada

Antes de atualizar um perfil de linha de base para uma nova versão, crie uma cópia dele para que você possa testar a nova versão de seu perfil em um grupo de dispositivos. Confira Duplicar uma linha de base de segurança mais adiante neste artigo.

• Quando você cria uma cópia, as atribuições de grupo não são incluídas, o que significa que sua cópia de linha de base não é implantada em nenhum dispositivo no momento em que você faz uma cópia ou no momento em que você a atualiza para uma nova versão.
• Depois de atualizar o perfil para a versão mais recente, você pode editar suas configurações. Você pode atribuir a cópia atualizada a um grupo de dispositivos e editá-la para introduzir alterações em configurações individuais no perfil.

Para alterar a versão da linha de base de um perfil

Antes de atualizar a versão de um perfil que tem grupos atribuídos, teste a atualização de versão em uma cópia do perfil para que você possa validar as novas configurações de linhas de base no grupo de teste de dispositivos.

1. Entre no Centro de administração do Microsoft Intune.

2. Selecione Segurança de ponto de extremidade>Linhas de base de segurança, e selecione o bloco do tipo de linha de base com o perfil que você deseja alterar.

3. Em seguida, selecione Perfis, marque a caixa de seleção do perfil que você quer editar e selecione Alterar Versão.

   

4. No painel ​​Alterar Versão, use o menu suspenso Selecionar uma linha de base de segurança para a qual atualizar e selecione a instância da versão que você deseja usar.

   

5. Selecione Revisar atualização para baixar um arquivo CSV que exibe a diferença entre a versão atual do perfil e a nova versão. Revise esse arquivo para entender quais configurações são novas ou foram removidas e quais são os valores padrão para essas configurações no perfil atualizado.

   Quando estiver pronto, prossiga para a próxima etapa.

6. Escolha uma das duas opções para Selecionar um método para atualizar o perfil:

   • Aceitar alterações de linha de base, mas manter minhas personalizações de configuração existentes – Essa opção mantém as personalizações feitas no perfil da linha de base e as aplica à nova versão selecionada para uso.
   • Aceitar alterações de linha de base e descartar personalizações de configurações existentes – Esta opção substitui completamente o seu perfil original. O perfil atualizado usa os valores padrão para todas as configurações.

7. Selecione Enviar. O perfil é atualizado para a versão de linha de base selecionada e, após a conclusão da conversão, a linha de base é imediatamente reimplementada aos grupos atribuídos.

Remover uma atribuição de linha de base de segurança

Quando uma configuração de linha de base de segurança não se aplica mais a um dispositivo ou as configurações em uma linha de base são definidas como Não definidas, essas configurações em um dispositivo podem não ser revertidas para uma configuração pré-gerenciada, dependendo das configurações na linha de base de segurança. As configurações são baseadas em CSPs, e cada CSP pode lidar com a remoção de perfil de forma diferente.

Outros processos que podem alterar posteriormente as configurações no dispositivo incluem uma linha de base de segurança diferente ou nova, um perfil de configuração de dispositivo, configurações de Política de Grupo ou a edição manual da configuração no dispositivo.

Duplicar uma linha de base de segurança

Você pode criar duplicatas de suas linhas de base de segurança. Duplicar uma linha de base pode ser útil quando você deseja atribuir uma linha de base semelhante, mas distinta, a um subconjunto de dispositivos. Ao criar uma duplicata, você não precisa recriar manualmente toda a linha de base. Em vez disso, duplique qualquer uma das suas linhas de base atuais e, em seguida, introduza apenas as alterações exigidas pela nova instância. Você pode alterar apenas uma configuração específica e o grupo ao qual a linha de base está atribuída.

Ao criar uma duplicata, dê um novo nome à cópia. A cópia é feita com as mesmas configurações de configuração e marcas de escopo que o original, mas não tem atribuições. Você deve editar a nova linha de base para adicionar atribuições.

Todas as linhas de base de segurança dão suporte à criação de duplicatas.

Depois de duplicar uma linha de base, examine e edite a nova instância para fazer alterações em sua configuração.

Para duplicar uma linha de base

1. Entre no Centro de administração do Microsoft Intune.
2. Vá para Segurança de ponto de extremidade>Linhas de base de segurança, selecione o tipo de linha de base que você deseja duplicar e, em seguida, selecione Perfis.
3. Clique com o botão direito do mouse no perfil que você deseja duplicar e selecione Duplicar ou selecione as reticências (…) à direita da linha de base e selecione Duplicar.
4. Forneça um Novo nome para a linha de base e selecione Salvar.

Após uma Atualização, o novo perfil de linha de base aparecerá no centro de administração.

Para editar uma linha de base

1. Selecione a linha de base e, em seguida, selecione Propriedades.

2. Nessa exibição, você pode selecionar Editar para as seguintes categorias para modificar o perfil:

   • Noções básicas
   • Atribuições
   • Marcas de escopo
   • Definição de configurações

   Você pode Editar os Parâmetros de configuração somente quando o perfil usa a versão mais recente da linha de base de segurança. Para perfis que usam versões mais antigas, você pode expandir as Configurações para exibir as configurações no perfil, mas não pode modificá-las. Após o perfil ser atualizado para a versão de linha de base mais recente, você poderá editar duas configurações.

3. Depois de fazer as alterações, selecione Salvar para salvar as edições. Você deve salvar as edições em uma categoria antes de poder introduzir edições em outras categorias.

Sobre versões de linha de base mais antigas

O Microsoft Intune atualiza as versões das linhas de base de segurança internas, dependendo das necessidades em constante mudança de uma organização típica. Cada nova versão resulta em uma atualização de versão em uma linha de base específica. A expectativa é que os clientes usem a versão de linha de base mais recente como ponto de partida para seus perfis de Configuração de Dispositivo.

Se você tiver um perfil de linha de base associado a uma versão de linha de base mais antiga em uso, esse perfil de linha de base mais antigo continuará a ser listado.

Dispositivos cogerenciados

Linhas de base de segurança em dispositivos gerenciados pelo Intune são semelhantes aos dispositivos cogerenciados com o Gerenciador de Configurações. Os dispositivos cogerenciados usam o Gerenciador de Configurações e o Microsoft Intune para gerenciar os dispositivos Windows simultaneamente. Isso permite que você anexe à nuvem seu investimento existente do Gerenciador de Configurações para obter os benefícios do Intune. A visão geral do cogerenciamento é um ótimo recurso se você usa o Gerenciador de Configurações e também deseja os benefícios da nuvem.

Ao usar dispositivos cogerenciados, você deve alternar a carga de trabalho Configuração do dispositivo (suas configurações) para o Intune. Cargas de trabalho de configuração de dispositivo fornece mais informações.

Próximas etapas

• Verifique o status e monitore a linha de base e o perfil

• Veja as configurações nas versões mais recentes das linhas de base disponíveis:

  • Windows 10 e posterior: linha de base de segurança do MDM
  • Linha de base do Microsoft Defender para Ponto de Extremidade
  • Microsoft 365 Apps para Grandes Empresas (linha de base do Office)
  • Microsoft Edge (Versão 112 e posterior)
  • Linha de Base de Segurança do Windows 365