← До повного змісту CIS Microsoft Intune Benchmark

CIS Benchmark

CIS BENCHMARK • WINDOWS 11 INTUNE

1. На екрані блокування (Above Lock)

Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.


Рекомендацій: 2


Windows 11 Intune v5.0.0

1.1 Переконайтеся, що для параметра «Дозволити Cortana на екрані блокування» встановлено значення «Блокувати»

Рівень 1 (L1)Автоматизовано

Оригінал:

Цей параметр політики визначає, чи може користувач взаємодіяти з Cortana за допомогою мовлення, коли система заблокована. Рекомендований стан для цього параметра: Блокувати.

💡 Обґрунтування безпеки:

Не можна дозволяти доступ до будь-яких ресурсів комп’ютера, коли пристрій заблоковано.

⚠️ Вплив на робочий процес (Impact):

Систему потрібно буде розблокувати, щоб користувач міг взаємодіяти з Cortana за допомогою голосу.

🔍 Аудит (перевірка налаштувань)
  1. Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
  2. Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\AboveLock:AllowCortanaAboveLock_WinningProvider

  1. Перейдіть до наступного розташування реєстру та переконайтеся, що значення встановлено на 0.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\AboveLock:AllowCortanaAboveLock

⚙️ Виправлення (Remediation / Налаштування)

Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

  • Шлях у Settings Catalog: Above Lock\Allow Cortana Above Lock
  • Рекомендований стан: Block
Значення за замовчуванням: Увімкнено. (Користувач може взаємодіяти з Cortana за допомогою мови, коли система заблокована.)
📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- abovelock#allowcortanaabovelock 2. Minimum OS CSP: Windows 10, Version 1607 and later 3. GRID: MS-00000510 `

CIS Controls: `

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 16.11
IG 1, 2, 3
Lock Workstation Sessions After Inactivity Automatically lock workstation sessions after a standard period of inactivity.

1.2 Переконайтеся, що для параметра «Дозволити спливаючі сповіщення (Allow Toasts)» встановлено значення «Блокувати»

Рівень 1 (L1)Автоматизовано

Оригінал:

Цей параметр політики вимикає підказки на екрані блокування. Рекомендований стан для цього параметра – Блокувати.

💡 Обґрунтування безпеки:

Хоча ця функція може бути зручною для користувачів, додатки, які надають спливаючих сповіщень може відображати конфіденційні особисті або ділові дані, поки пристрій залишається без нагляду.

⚠️ Вплив на робочий процес (Impact):

Програми не зможуть видавати сповіщення на екрані блокування.

🔍 Аудит (перевірка налаштувань)
  1. Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
  2. Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\AboveLock:AllowToasts_WinningProvider

  1. Перейдіть до наступного розташування реєстру та переконайтеся, що значення встановлено на 0.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\AboveLock:AllowToasts

⚙️ Виправлення (Remediation / Налаштування)

Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

  • Шлях у Settings Catalog: Above Lock\Allow Toast
  • Рекомендований стан: Block
Значення за замовчуванням: Вимкнено. (Спливаючі сповіщення на екрані блокування ввімкнено, і їх можна вимкнути за допомогою адміністратор або користувач.)
📋 CIS Controls & Нормативні посилання

Посилання: “ 1. Minimum OS CSP: Windows 10, Version 2004 and later 2. GRID: MS-00000557 `

CIS Controls: `

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 16.11
IG 1, 2, 3
Lock Workstation Sessions After Inactivity Automatically lock workstation sessions after a standard period of inactivity.

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


До повного змісту CIS Microsoft Intune Benchmark →