Ci preoccupiamo sempre della nostra security posture, quindi installazione antivirus, attivazione bitlocker e gestione dei device, ma come possiamo rispondere all'esigenza di avere uno strumento che "fotografa" le vulnerabilità note all'interno dei nostri device ?
A questa domanda risponde una funzionalità, del portale di Microsoft Defender, chiamata Security Baseline Assestment.
La funzionalità richiede delle licenze aggiuntive, che come sempre vi riepilogo di seguito:
- Microsoft Defender Vulnerability Management Standalone
- Se siete già in possesso di licenze di Microsoft Defender for Endpoint P2 è sufficente Defender Vulnerability Management add-on
Si è vero necessita di un Addon di licenza, ma leggendo l'articolo capirete quando è fondamentale poter sfruttare questo componente.
Lo strumento permette di monitorare in tempo reale e senza nessuno sforzo le conformità di sicurezza per la vostra organizzazione.
Quando si crea un profilo di baseline di sicurezza, si crea un modello costituito da più impostazioni di configurazione del dispositivo e da un benchmark di base con cui eseguire il confronto.
Come faccio ad attivare questo profilo ?
Diamo per assodato, che siete in possesso delle licenze necessarie e che i device siano onbordati in Microsoft Defender for Endpoint, perchè è questo componente che in fin dei conti esegue la scansione.
Recatevi ora all'interno del portale di Microsoft Defender Microsoft Defender
 |
| Figura 1: Portale Microsoft Defender creazione profilo security Baseline |
 |
| Figura 2: Portale Microsoft Defender creazione profilo security Baseline |
Ora dovrete scegliere un nome da applicare alla policy ed una descrizione, come sempre vi consiglio di inserire sia un nome, ma soprattutto una descrizione che sia identificativa in modo puntuale, questo perchè in futuro, con diverse policy applicate sarà più facile individuare la policy corretta
 |
| Figura 3: Creazione Policy Baseline per dispositivi Windows 11 |
Nel mio caso la macchina virtuale a cui applicherò la baseline è Windows 11 22H2, di conseguenza la mia policy sarà applicata a quella determinata build di SO (voi scegliete quella del vostro sistema)
 |
| Figura 4: Sistema Opeativo Macchina di Demo |
 |
| Figura 5: Scelta sistema operativo a cui applicare la policy |
Io sceglierò la compliance di un determinato Worload come demo, ma voi potete scegliere quella a voi più consona alla vostra infrastruttura, siccome la compliance viene "presa" dal CIS vi lascio anche il link a questo ente CIS Microsoft Office Benchmarks (cisecurity.org)
 |
| Figura 6: Scelta del livello di compliance da applicare alla policy |
Ora potete dire alla policy che se viene riscontrato quando indicato in precedenza di applicare una configurazione, io ho scelto di far verificare che non sia possibile disabilitare Microsoft Defender for Endpoint
 |
| Figura 7: Scelta del profilo da applicare |
 |
| Figura 8: Selezione dei device a cui applicare la policy |
 |
| Figura 9: Revisione della policy Appena Creata |
 |
| Figura 10: Compliance dei device |
Come avete potuto notare con veramente pochi click e di conseguenza poco effort, vi trovate a disposizione uno strumento, o meglio una dashboard che vi da evidenza della stato di protezione dei device in modo estremamente intuitivo cosicché potete eventualmente procedere a gestire le dovute segnalazioni e aggiornamenti.