102. Пісочниця Windows (Windows Sandbox)

Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.

Рекомендацій: 2

Windows 11 Intune v5.0.0

102.1 Переконайтеся, що для параметра «Дозволити переспрямування буфера обміну» встановлено значення «Не дозволено»

Рівень 1 (L1)Автоматизовано

            Оригінал:
        

Цей параметр політики вмикає або вимикає спільний доступ до буфера обміну з пісочницею Windows. Рекомендований стан для цього параметра: заборонено. Примітка. Функцію Windows Sandbox вперше було представлено в Windows 10 R1903 і дозволяє тимчасово “чисто встановити” віртуальний екземпляр Windows для запуску всередині хосту, з уявною метою тестування програм без внесення змін до хосту.

💡 Обґрунтування безпеки:

Вимкнення копіювання та вставки зменшує поверхню атаки, на яку наражається Windows Пісочниця та можливий вплив ненадійних програм на внутрішню мережу.

⚠️ Вплив на робочий процес (Impact):

Функцію копіювання та вставлення до/з Windows Sandbox буде вимкнено. тому файли не можна буде перемістити до/з Windows Sandbox через буфер обміну.

🔍 Аудит (перевірка налаштувань)

Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\WindowsSandbox:AllowClipboardRedirection_WinningProvider

Перейдіть до наступного розташування реєстру та переконайтеся, що значення встановлено на 0.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\WindowsSandbox:AllowClipboardRedirection

⚙️ Виправлення (Remediation / Налаштування)

Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: Windows Sandbox\Allow Clipboard Redirection
Рекомендований стан: Not allowed

Значення за замовчуванням: Увімкнено. (Дозволено копіювання та вставлення між хостом і Windows Sandbox.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows- sandbox/windows-sandbox-configure-using-wsb-file 2. GRID: MS-00000546 3. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- windowssandbox#allowclipboardredirection 4. Minimum OS CSP: Windows 10, version 2004 and later `

CIS Controls: `




                    CIS Controls V8: 4.8

                    IG 1, 2
                
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.




102.2 Переконайтеся, що для параметра «Дозволити роботу в мережі» встановлено значення «Не дозволено»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр політики вмикає або вимикає роботу в мережі в пісочниці Windows. Мережа досягається створенням віртуального комутатора на хості та підключенням Windows Пісочниця до нього через віртуальну плату мережевого інтерфейсу (NIC). Рекомендований стан для цього параметра: заборонено. Примітка. Функцію Windows Sandbox вперше було представлено в Windows 10 R1903 і дозволяє тимчасово “чисто встановити” віртуальний екземпляр Windows для запуску всередині хосту, з уявною метою тестування програм без внесення змін до хосту.




                💡 Обґрунтування безпеки:
            
Вимкнення доступу до мережі зменшує поверхню атаки Windows Пісочниця та виявлення ненадійних програм у внутрішній мережі. Примітка. На думку Microsoft, увімкнення мережі в пісочниці Windows може викрити ненадійні програми до внутрішньої мережі.




                ⚠️ Вплив на робочий процес (Impact):
            
Мережевий доступ до/з Windows Sandbox буде вимкнено. Тому файлів не буде мати можливість переміщатися до/з Windows Sandbox через мережу.




                🔍 Аудит (перевірка налаштувань)
            

Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\WindowsSandbox:AllowNetworking_WinningProvider

Перейдіть до наступного розташування реєстру та переконайтеся, що значення встановлено на 0.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\WindowsSandbox:AllowNetworking




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: Windows Sandbox\Allow Networking
Рекомендований стан: Not allowed


Значення за замовчуванням: Увімкнено. (Мережа в Windows Sandbox увімкнена.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows- sandbox/windows-sandbox-configure-using-wsb-file 2. GRID: MS-00000547 3. Minimum OS CSP: Windows 10, version 2004 and later 4. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- windowssandbox#allownetworking `

CIS Controls: ` 



                    CIS Controls V8: 4.8

                    IG 1, 2
                
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.


        


Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.
            

                До повного змісту CIS Microsoft Intune Benchmark →