Hardening Windows và MacBook với Qualys: từ báo cáo CIS Benchmark đến cấu hình Intune và đo kết quả

Lần đầu chạy Qualys scan theo bộ CIS Benchmark cho một chiếc laptop Windows 11 24H2 “chuẩn công ty”, mình khá bất ngờ: máy đã join domain, đã quản lý bằng Intune, đã có EDR, vậy mà chỉ đạt 24.83%, tức 72 trên 290 control. Có 213 control bị đánh Failed, trong đó có những mục rất nặng như UAC bị tắt, Windows Firewall profile Domain đang Off, Credential Guard chưa bật. Chiếc máy đó không có gì đặc biệt, nó là ảnh chụp của cả fleet. Bài này chia sẻ cách mình biến một báo cáo hàng trăm dòng thành kế hoạch Hardening Control có ưu tiên, có phê duyệt, có pilot, và quan trọng nhất là có số liệu chứng minh kết quả.

Tóm tắt nhanh: Qualys Cloud Agent quét máy Windows và MacBook theo bộ tiêu chuẩn CIS cho từng OS và phiên bản. Xuất báo cáo, lọc các control Urgent/Critical đang Failed, map từng control sang setting Intune (Settings Catalog, Endpoint Security, OMA-URI). Lấy phê duyệt của Security và lãnh đạo IT, pilot theo phase, rồi scan lại để so sánh tỷ lệ Passed trước và sau.

Qualys là gì?

Qualys là nền tảng bảo mật trên cloud. Trên mỗi máy tính (Windows, macOS, Linux) chỉ cần cài một agent nhẹ là Qualys Cloud Agent. Agent thu thập cấu hình và gửi về cloud để phân tích, nên máy làm việc từ xa vẫn được scan mà không cần ở trong mạng công ty.

Hai module hay dùng nhất với endpoint:

Bài này tập trung vào Policy Compliance, tức Hardening Control. Điểm mạnh của Qualys là có sẵn các bộ đánh giá theo chuẩn CIS Benchmark cho từng hệ điều hành và từng phiên bản lớn: Windows 11 theo từng feature update, macOS theo từng major version. Báo cáo mình dùng làm ví dụ là bộ CIS Microsoft Intune for Windows 11 Benchmark v3.0.1. Bộ này viết riêng cho máy quản lý bằng Intune, nên phần Remediation của mỗi control đều có sẵn đường dẫn GPO và OMA-URI cho Intune.

Bối cảnh: đọc báo cáo Qualys thế nào

Phần Summary của báo cáo cho bức tranh tổng quan:

Mỗi control có các trường quan trọng sau:

• Criticality: mức độ nghiêm trọng, gồm URGENT (5), CRITICAL (4), SERIOUS (3), MEDIUM (2), MINIMAL (1).
• Status: Passed, Failed hoặc Error.
• Remediation: cách sửa, gồm đường dẫn GPO và OMA-URI cho Intune.
• Evidence: registry key Qualys đã đọc, giá trị mong đợi và giá trị thực tế. Đây là phần giúp mình biết chính xác cần đổi gì.

Các control bị Error thường là setting Qualys không đọc được, ví dụ setting Defender quản lý qua MDM. Nên kiểm tra riêng, không tính chung với Failed.

Bước 1: Lọc và ưu tiên control cần xử lý

Không ai xử lý được 213 control trong một lần. Mình lọc theo thứ tự:

1. Failed + URGENT (5)
2. Failed + CRITICAL (4)
3. Gom các control cùng nhóm để xử lý trong cùng một policy Intune: UAC, Firewall, Defender ASR, SMB/NTLM, User Rights, Audit Policy…
4. Đánh giá tác động tới người dùng cho từng nhóm. Nhóm nào ít rủi ro làm trước.

Mình tách riêng một sheet Urgent trong file báo cáo, thêm cột Where is? để ghi control đó đã được đưa vào policy test nào trên Intune. Cách này giúp theo dõi mục nào đã xử lý, mục nào còn treo.

Ví dụ các control ưu tiên cao từ báo cáo thật

Danh sách này cho thấy một điều: phần lớn rủi ro lớn nằm ở vài nhóm cấu hình cốt lõi (UAC, Firewall, VBS/Credential Guard, ASR, xác thực mạng). Xử lý đúng các nhóm này sẽ kéo điểm lên nhanh và giảm rủi ro thật, không chỉ để đẹp báo cáo.

Bước 2: Map control sang cấu hình Intune

Phần Remediation của Qualys đã có OMA-URI, nhưng mình ưu tiên dùng cấu hình có giao diện trước, OMA-URI sau cùng:

Ví dụ mapping

Cấu hình của mình

// Export cấu hình Hardening Control từ Intune (Graph: deviceManagement/configurationPolicies)

Bước 3: Phối hợp và phê duyệt

Hardening Control thay đổi hành vi của mọi máy trong công ty, nên đây không phải việc một mình team System Admin quyết định. Quy trình mình áp dụng:

Hồ sơ trình phê duyệt nên có:

1. Điểm hiện tại và mục tiêu sau khi hardening.
2. Danh sách control sẽ xử lý theo từng phase, kèm mức độ và rủi ro nếu không xử lý.
3. Tác động dự kiến tới người dùng và ứng dụng.
4. Kế hoạch pilot, tiêu chí để chuyển sang phase tiếp theo.
5. Rollback plan cho từng nhóm cấu hình.
6. Danh sách exception đề xuất, kèm lý do.

Bước 4: Test, pilot theo phase và triển khai

Mỗi phase nên kéo dài đủ để gặp các tình huống thực tế (đăng nhập, in ấn, VPN, họp online, cập nhật ứng dụng) trước khi mở rộng. Dùng group riêng cho từng phase và cùng một policy, chỉ thêm group vào assignment, để không phải duy trì nhiều bản cấu hình khác nhau.

Kiểm tra nhanh trên máy Windows sau khi áp policy

# UAC
Get-ItemProperty 'HKLM:\Software\Microsoft\Windows\CurrentVersion\Policies\System' |
  Select-Object EnableLUA, ConsentPromptBehaviorAdmin, ConsentPromptBehaviorUser

# Firewall các profile
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction

# Credential Guard / HVCI đang chạy chưa (2 = Credential Guard, 3 = HVCI)
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard |
  Select-Object VirtualizationBasedSecurityStatus, SecurityServicesConfigured, SecurityServicesRunning

# ASR rules và trạng thái (1 = Block, 2 = Audit)
$p = Get-MpPreference
for ($i = 0; $i -lt $p.AttackSurfaceReductionRules_Ids.Count; $i++) {
    "{0} = {1}" -f $p.AttackSurfaceReductionRules_Ids[$i], $p.AttackSurfaceReductionRules_Actions[$i]
}

# SMB signing và LAN Manager level
Get-SmbClientConfiguration | Select-Object RequireSecuritySignature, EnableSecuritySignature
Get-ItemProperty 'HKLM:\System\CurrentControlSet\Control\Lsa' | Select-Object LmCompatibilityLevel

# Đồng bộ policy Intune ngay
Get-ScheduledTask | Where-Object TaskName -eq 'PushLaunch' | Start-ScheduledTask

Với MacBook

Qualys cũng có bộ CIS Benchmark cho từng phiên bản macOS. Các control thường gặp là FileVault, Gatekeeper, firewall, khóa màn hình, cập nhật tự động, và được vá bằng Settings Catalog hoặc Endpoint security cho macOS trên Intune.

# FileVault
fdesetup status

# Gatekeeper
spctl --status

# System Integrity Protection
csrutil status

# Application Firewall
/usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate

# Profile cấu hình từ Intune đã xuống máy chưa
sudo profiles show -type configuration | grep -i -E "name|identifier"

Script của mình

# Hardening_Check.ps1
# Kiểm tra nhanh các control ưu tiên sau khi áp policy Intune

Bước 5: Scan lại và chứng minh kết quả

Đây là bước nhiều người bỏ qua, nhưng lại là bước quan trọng nhất khi báo cáo với lãnh đạo. Sau khi triển khai xong mỗi phase, chạy lại Qualys scan với cùng một bộ policy và so sánh.

Cách tính:

Với báo cáo trước khi hardening: 72 / 290 = 24.83%.

Bảng kết quả

Nên trình bày thêm hai góc nhìn:

• Theo mức độ: số control Urgent và Critical còn Failed trước và sau. Lãnh đạo quan tâm “rủi ro lớn đã đóng chưa” hơn là tổng điểm.
• Theo thiết bị: tỷ lệ máy đạt ngưỡng compliance mục tiêu, để thấy hardening đã phủ toàn bộ fleet chứ không chỉ vài máy mẫu.

Hình 1: tỷ lệ control Passed trước và sau khi triển khai Hardening Control.

Những điểm cần lưu ý

Kết luận

Hardening không phải là bật hết mọi setting trong CIS Benchmark. Đó là quá trình ưu tiên đúng, triển khai an toàn và đo được kết quả. Qualys cho biết máy đang ở đâu so với tiêu chuẩn. Intune giúp đưa cấu hình xuống hàng loạt thiết bị. Phê duyệt của Security và lãnh đạo IT đảm bảo mọi thay đổi đều có trách nhiệm và kế hoạch rollback. Nếu bạn đang bắt đầu, hãy chạy một bản scan cho máy chuẩn của công ty, lọc riêng các control Urgent và Critical đang Failed, và dùng đó làm danh sách việc đầu tiên.

Ở công ty bạn, điểm Policy Compliance hiện tại là bao nhiêu, và nhóm control nào đang khó xử lý nhất?