使用Microsoft Intune实现高级macOS防护——超越基础安全

什么是CIS Level 2（以及为什么您应该关注？）

想象CIS Level 1就像在您的房子上挂一个"请勿抢劫"的牌子。高级macOS防护和Level 2则更像是安装了一个充满激光制导鲨鱼的护城河。它专为那些"足够好"的安全远远不够的组织设计——政府机构、金融机构、医疗保健提供商，以及任何喜欢他们的数据像咖啡一样安全密封而不洒出来的人。

专业提示：在您对生产机器进行全面"安全忍者"操作之前，请创建一个测试组。相信我，没有什么比关于被锁定的Mac的300条Teams消息更能毁掉您的周一早晨咖啡时间！

特色安全配置

让我们深入了解一些正在实施的最有趣的高级macOS防护措施。

1. 浏览器历史管理：您的数字整理时刻

浏览器历史就像冰箱里的剩菜——需要过期日期！此实现确保用户的浏览历史不会变成数字考古遗址。

配置配置文件详情：

1
2
3
4
5
6
7
8

PayloadType: com.apple.Safari
Key: HistoryAgeInDaysLimit

值（选择您的保留期限）：
1天 - 适合"每天都是新开始"的人
7天 - 一周的数字记忆
31天 - 月度清理小组
365天 - 年度数字春季大扫除

2. Siri静默处理

抱歉Siri，但在高安全环境中，您就像图书馆里的踢踏舞大象一样不受欢迎。我们的配置确保Siri保持安静。

实现说明：

1
2
3

# "闭嘴Siri"配置
allowAssistant: false
# 简单、有效，让Siri像哑剧演员一样健谈

3. 位置服务：谁在监视？

我们创建了一个比男孩乐队更和谐的三脚本组合：

• EnableLocationServiceIcon.sh（主唱）
• audit_apps_using_Locationservices.sh（贝斯手）
• report_apps_using_Locationservices.sh（鼓手）

这套工具帮助您跟踪哪些应用程序试图在您的设备上执行GPS跟踪行为。

4. Safari IP隐私：因为没人需要知道您在购物

Safari中最关键的高级macOS防护和隐私功能之一是能够向跟踪器和网站隐藏IP地址。此脚本实现了CIS基准建议6.3.5，配置Safari的IP地址隐藏设置。

配置值：

1
2
3

66976992 - 禁用（像您在社交媒体上的前任）
66976996 - 仅跟踪器（"我有点偏执"选项）
66977004 - 跟踪器和网站（"我绝对偏执"选项）

要通过Intune配置此功能，我必须编写脚本。查看存储库获取完整信息！

5. 内容缓存：数字囤积者的困境

内容缓存可能看起来方便，但就像让您的设备运行下载内容的庭院销售。我们的配置对此说"不"：

1
2

共享缓存 > 禁用
因为分享并不总是关心

技术深度探讨：因为有人会问

6. 电源管理安全

这是事情变得有趣的地方。我们正在实施一些严肃的电源管理控制：

1
2
3
4

# "安心睡眠"协议
待机时销毁FileVault密钥 > 启用

# 警告：这会使Touch ID在睡眠后像巧克力茶壶一样无用

影响评估：

• 用户可能需要更频繁地输入密码
• 但至少他们的数据在设备睡眠时是安全的
• Touch ID在睡眠后需要重新启用（惊喜！）

7. 热角：“非热角"配置

因为有一个禁用屏幕保护程序的热角就像在登录屏幕上放置"跳过安全"按钮。我们的配置确保：

• 左上角：启动屏幕保护程序
• 右上角：也启动屏幕保护程序
• 底角：我需要重复自己吗？

我是如何意外地把自己"Fort Knox"化的

想象一下：我深入CIS基准领域，像咖啡因过量的安全忍者一样部署高级macOS防护安全配置。每个被勾选的建议都感觉像一个小胜利——直到不是这样。

让我这么说吧：同时将每个安全拨号盘调到11，教会了我关于测试的宝贵一课。在三台MacBook和一个无限登录循环之后，我实现了最安全的配置：一个完全无法访问的系统！

专业提示：当访问您"超安全"Mac的唯一方法涉及恢复模式和多杯咖啡时，您可能应该退后一步，一次测试一个配置。

这里的真正教训

分别测试每个配置。因为比不安全的Mac更糟糕的唯一事情是没有人可以使用的完美安全Mac！了解并理解您配置的内容！就这么简单…

1. 从小开始

• 从测试组开始
• 创建勇敢志愿者的金丝雀组

2. 记录一切

• 像编写安全版的《指环王》一样跟踪您的更改
• 包括详细日志
• 创建回滚计划（因为事情会发生）

3. 监控影响

• 像鹰看着穿着"吃我"T恤的老鼠一样关注那些服务台工单。

实施检查表（“别忘了"列表）

1. 先决条件

• Microsoft Intune（显然）
• 配置的macOS设备管理
• 幽默感（相信我，您会需要的）
• 咖啡（大量）

2. 脚本部署设置

• 作为登录用户运行：否
• 隐藏通知：是
• 频率：基于偏执程度
• 重试尝试：3（因为第三次有魅力）

3. 测试协议

• 首先在小群体上测试
• 验证所有配置
• 制定回滚计划
• 准备好服务台的电话号码

结论：总结一切

实施高级macOS防护和CIS Level 2就像将您的安全从标准门锁升级到完整的秘密特工设置。当然，对于保护休息室的三明治来说可能过分了，但当您保护敏感数据时，过分正是恰到好处的程度。

后续步骤：

• 查看GitHub存储库
• 在您的（测试）环境中测试这些配置
• 规划您的部署策略
• 为用户准备变更
• 收藏此博客以获取更多安全冒险！

记住：安全是一段旅程，而不是目的地。使用CIS Level 2，这是一段有真正良好护栏、多重认证因素，并可能沿途有一些困惑用户的旅程。