В современном мире мобильность и гибкость работы требуют надёжных решений по защите корпоративных данных․ Microsoft Intune в сочетании с браузером Microsoft Edge для бизнеса предоставляет мощный набор инструментов, позволяющих контролировать доступ к веб‑ресурсам, управлять передачей данных и интегрировать решения по защите от угроз (MTD)․ В этой статье мы подробно рассмотрим:

• Основные типы политик защиты приложений (MAM) в Intune;
• Как создавать и настраивать политики конфигурации для Edge на платформах Windows, Android и iOS;
• Интеграцию с Conditional Access и Microsoft Defender;
• Практические рекомендации по развертыванию и мониторингу․

Общие сведения о политиках защиты приложений (MAM) в Intune

Политики защиты приложений (Mobile Application Management, MAM) позволяют управлять корпоративными данными внутри приложений, не требуя полной регистрации устройства (MDM)․ Для Edge это означает, что пользователь может работать в «рабочем профиле», а все корпоративные правила будут применяться независимо от того, зарегистрировано устройство в Intune или нет․

1․1 Уровни защиты приложений

Microsoft предлагает три уровня защиты, которые можно комбинировать в зависимости от требований бизнеса:

1. Уровень 1 – базовый․ Ограничивает копирование/вставку данных, требует PIN‑код при запуске приложения․
2. Уровень 2 – средний․ Добавляет шифрование данных в покое, контроль над сохранением файлов и ограничение доступа к облачным хранилищам (OneDrive, SharePoint)․
3. Уровень 3 – продвинутый․ Включает интеграцию с Mobile Threat Defense (MTD), блокировку небезопасных сайтов, контроль над функциями «вырезать/копировать/вставить» и принудительное применение Conditional Access․

Эти уровни реализуются через политику защиты приложений в Intune, где администратор задаёт набор правил, а Edge автоматически их применяет․

Политики конфигурации приложений для Microsoft Edge

Для каждой платформы (Windows, Android, iOS) Intune предоставляет отдельный тип профиля Configuration profile, который позволяет задавать параметры браузера․ Ниже – основные настройки, которые стоит включить․

2․1 Windows (каталог параметров Settings Catalog)

С помощью Settings Catalog в Intune можно управлять более чем 200 параметрами Edge․ Ключевые из них:

• Require PIN for app launch – обязательный ввод PIN‑кода при открытии Edge․
• Allow cut, copy and paste – контроль над перемещением данных (включает новые значения «Разрешить только внутри корпоративных приложений»)․
• Block unsafe websites – список запрещённых URL‑адресов․
• Configure Home page and startup URLs – установка корпоративных стартовых страниц․
• Enable Microsoft Defender SmartScreen – защита от фишинга и вредоносных загрузок․

Пример создания профиля:

В Intune → Devices → Configuration profiles → Create profile․
Platform: Windows 10 and later․
Profile type: Settings catalog․
Добавляем раздел Microsoft Edge → выбираем нужные параметры → сохраняем и назначаем группу пользователей․

2․2 Android и iOS

Для мобильных платформ используется App configuration policies (MDM) или Managed App Configuration (ACP)․ Пользователи не обязаны входить в Edge, чтобы политики применялись․

• Android – в разделе Managed configurations for Android apps задаём JSON‑параметры, такие как com․microsoft․intune․mam․policy, com․microsoft․edge․blockedUrls и т․д․
• iOS – в App configuration policies for iOS/iPadOS указываем аналогичные ключи в формате plist․

Важно помнить, что канал MDM в Intune (ACP) обеспечивает более глубокую интеграцию, позволяя управлять настройками браузера без необходимости регистрации устройства в MAM․

Интеграция с Conditional Access и Microsoft Defender

Для полного контроля доступа к корпоративным ресурсам Edge использует Conditional Access (CA) из Microsoft Entra (ранее Azure AD)․ Основные шаги:

1. Создать политику CA, требующую App protection policy для доступа к определённым облачным приложениям (SharePoint, Teams, корпоративные веб‑порталы)․
2. Включить Require app protection policy в условии доступа, что заставит Edge активировать MAM‑политику даже на неуправляемых устройствах․
3. Настроить Microsoft Defender for Endpoint и Microsoft Defender SmartScreen для блокировки известных угроз․
4. При необходимости интегрировать сторонние решения MTD (Mobile Threat Defense) – например, Lookout, Zimperium – через Intune > Device compliance > Threat protection․

Эта комбинация гарантирует, что пользователь получит доступ к корпоративным ресурсам только после прохождения всех проверок безопасности․

Практическое развертывание: пошаговый план

4․1 Подготовка

• Убедитесь, что у вас есть лицензия Microsoft 365 E5 или отдельные лицензии Intune и Microsoft Defender for Endpoint․
• Создайте группы пользователей (по отделам, ролям) в Azure AD, которым будет применяться политика․
• Подготовьте список разрешённых и запрещённых веб‑сайтов (можно импортировать из CSV)․

4․2 Создание политики защиты приложений (MAM)

1. В консоли Intune перейдите Apps → App protection policies․
2. Нажмите Create policy, выберите платформу (Windows 10+, Android, iOS)․
3. Установите параметры:
   • Require PIN (минимальная длина 6 цифр)․
   • Block copy/paste to unmanaged apps․
   • Encrypt data at rest․
   • Restrict saving to corporate OneDrive only․
4. Назначьте политику выбранным группам․

4․3 Настройка профилей конфигурации Edge

См․ раздел 2․1 и 2․2 для каждой платформы․ После создания профилей назначьте их тем же группам, что и политику MAM․

4․4 Конфигурация Conditional Access

1. В Azure portal → Azure AD → Security → Conditional Access → New policy․
2. Выберите пользователей/группы, облачные приложения (SharePoint, Teams, custom SaaS)․
3. В разделе Grant включите Require app protection policy и Require device to be marked as compliant (по желанию)․
4. Сохраните и включите политику․

4․5 Интеграция с Microsoft Defender и MTD

• В Intune → Endpoint security → Attack surface reduction → включите правила для Edge (Block executable files, Enforce SmartScreen)․
• Подключите сторонний MTD‑провайдер через Device compliance → Threat protection integration․

Мониторинг и отладка

Для контроля эффективности политик используйте следующие инструменты:

• Intune > Monitoring > Device compliance – статус соответствия устройств․
• Intune > Monitoring > App protection status – количество устройств с применёнными MAM‑политиками․
• Microsoft Defender Security Center – события SmartScreen, блокировки URL․
• MDMDiag и журналы событий Windows (Event Viewer) – диагностика проблем с политиками MDM․
• Для мобильных платформ – Microsoft Edge logs (iOS/Android) и Intune Company Portal – проверка статуса регистрации․

При возникновении проблем рекомендуется:

1. Проверить, что пользователь получил первую политику защиты (статус «Not applicable» может означать отсутствие политики)․
2. Убедиться, что устройство подключено к интернету и имеет доступ к сервисам Intune․
3. Собрать журналы с помощью MDMDiag (Windows) или adb logcat (Android) и проанализировать их согласно руководству по устранению неполадок․

Лучшие практики

• Минимизация прав доступа․ Разрешайте копирование/вставку только внутри корпоративных приложений․
• Регулярно обновляйте список разрешённых сайтов․ Используйте автоматизацию (PowerShell скрипты) для синхронизации с корпоративным файрволом․
• Тестируйте политики в пилотной группе․ Начните с небольшого отдела, соберите обратную связь, затем масштабируйте․
• Обучайте пользователей․ Поясните необходимость PIN‑кода и ограничений, чтобы снизить сопротивление изменениям․
• Интегрируйте MTD․ Совместное использование Defender и сторонних решений повышает обнаружение угроз на уровне устройства․

Microsoft Intune в сочетании с Microsoft Edge для бизнеса предоставляет гибкую и масштабируемую платформу для защиты корпоративных веб‑ресурсов․ Правильно сконфигурированные политики защиты приложений, интеграция с Conditional Access и Microsoft Defender позволяют обеспечить:

• Контроль над доступом к корпоративным данным;
• Предотвращение утечки информации через функции копирования/вставки;
• Защиту от фишинга и вредоносных сайтов;
• Управление безопасностью как на управляемых, так и на неуправляемых устройствах․

Следуя описанным шагам и рекомендациям, вы сможете быстро развернуть надёжную систему защиты веб‑доступа, соответствующую требованиям современных регуляторов и корпоративных политик․

Для получения более детальной информации рекомендуется обращаться к официальной документации Microsoft:

• Общие сведения о политиках защиты приложений
• Политики защиты приложений для Microsoft Edge
• Настройка Microsoft Edge через Settings Catalog
• Интеграция Mobile Threat Defense