设备控制综合指南

制定一套针对您组织独特风险量身定制的全面设备控制策略，对于实现有效安全防护至关重要。

1. 拒绝所有端点访问外围设备

   新加入网络的端点更容易接入未经授权的外围设备。您可以通过配置阻止策略，关闭所有端点对外围设备的访问，从而确保组织的安全不受影响。

2. 为特权用户的端点制定允许访问外围设备的策略

   即使经理和 C 级高管也是组织的一部分，在为他们制定策略时也无需过于谨慎。您可以为高权限用户访问的特定端点创建专用策略，允许其访问所有外围设备，而不会影响其工作效率。

3. 使用用户组排除功能允许特定用户访问，无需创建额外策略

   采用阻止策略的组织虽然更安全，但也会限制管理员的活动。无需为管理员额外创建策略，您可以将现有阻止策略部署到现有自定义组，并结合用户组排除功能。创建包含管理员的用户组，将“全部阻止”策略映射到包含组织内所有用户的自定义组，最后将包含管理员的用户组设置为排除对象。部署此策略后，只有管理员可以完全访问所有外围设备。

4. 将您组织的外围设备添加到可信设备列表中

   您可以将企业授权的外围设备添加到可信设备列表中。创建包含企业批准设备的 CSV 文件并将其上传到可信设备列表，可减少手动添加设备的工作量。这样，在相应策略支持下，所有经企业批准的设备都会被自动允许在网络中启用。

5. 为临时使用外围设备的需求启用用户控制

   在某些特殊的业务场景下，可能需要访问被阻止的设备。在这种情况下，为确保生产力和安全性都不受影响，可以要求用户申请对特定外围设备的临时访问权限。您可以配置策略以启用临时访问，将控制权交给终端用户，使其能够提交临时设备访问请求。

6. 仅为加密的外围设备开放访问

   加密是安全数据传输的首选方案，而 BitLocker 提供了可靠的解决方案。配置策略时，可选择仅允许经过 BitLocker 加密的设备，从而避免端点暴露于未加密的可移动存储设备，并防范潜在的键盘记录器风险。

7. 为未经授权的基于设备的操作配置警报和通知

   当受限制设备尝试接入网络时，您可以通过电子邮件发送警报；当用户请求临时访问时，也可以通知技术人员。请预先配置邮件服务器设置，并添加目标收件人，以便将警报邮件和通知邮件发送给相关负责人。

8. 通过配置文件审计和数据镜像报告来满足合规要求

   保护数据是满足法规要求的一种方式。您可以根据组织的合规策略自定义文件操作，并通过选择报告类型来配置审计数据设置，包括设备审计报告、文件审计报告、文件镜像报告和文件归档报告。请指定保留审计所生成每日日志的时间范围。