104. Оновлення Windows для бізнесу (Windows Update for Business)

Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.

Рекомендацій: 5

Windows 11 Intune v5.0.0

104.1 Переконайтеся, що для параметра «Дозволити автоматичне оновлення» встановлено значення «Увімкнено»

Рівень 1 (L1)Автоматизовано

            Оригінал:
        

Цей параметр політики визначає, чи будуть комп’ютери у вашому середовищі отримувати захист оновлення з Windows Update або WSUS. Якщо для цього параметра політики встановлено значення «Увімкнено», операційна система розпізнає, коли мережеве підключення доступне, а потім використовуйте мережеве підключення для пошуку Windows Update або на вказаному веб-сайті внутрішньої мережі для оновлень, які стосуються їх. Після того, як цей параметр політики встановлено на Enabled, виберіть один із наведених нижче параметрів у Діалогове вікно «Налаштувати властивості автоматичного оновлення», щоб указати, як працюватиме служба: • 2 – Автоматичне встановлення та перезапуск. • 3 – Автоматичне встановлення та перезапуск у вказаний час. (за умовчанням) • 4 – Автоматичне встановлення та перезапуск без контролю з боку кінцевого користувача. Рекомендований стан для цього параметра: увімкнено та ніколи не «Вимкнути автоматичне оновлення” Примітка. Підпараметр «Дозволити автоматичне оновлення:» має 6 можливих значень – не всі з них дійсний залежно від конкретних організаційних потреб, однак, якщо це можливо, ми пропонуємо використовувати значення 2, 3 або 4. Єдина оцінена вимога — не вимикати автоматичне оновлення (5). Примітка №2. Організації, які використовують рішення сторонніх розробників для виправлення, можуть вибрати це звільнитися від цієї рекомендації та натомість налаштувати її на Вимкнено що власний механізм Windows Update не заважає роботі третьої сторони процес латання. Попередження: якщо параметр 3 або 4 не вибрано, тоді ScheduledInstallDay рекомендація не набуде чинності, і з цієї рекомендації буде виняток необхідний.

💡 Обґрунтування безпеки:

Хоча кожна версія Windows ретельно перевіряється перед випуском, це можливо проблеми будуть виявлені після відправлення продукції. Автоматичне налаштування Налаштування оновлень може допомогти вам переконатися, що комп’ютери у вашому середовищі завжди будуть мати останні критичні оновлення операційної системи та інстальовані пакети оновлень.

⚠️ Вплив на робочий процес (Impact):

Критичні оновлення операційної системи та пакети оновлень будуть інстальовані за потреби.

🔍 Аудит (перевірка налаштувань)

Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a Значення REG_DWORD не має значення 5.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\Update:AllowAutoUpdate

⚙️ Виправлення (Remediation / Налаштування)

Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: Windows Update For Business\Allow Auto Update
Рекомендований стан: anything other than "Turn off automatic updates"

Значення за замовчуванням: Увімкнено: 2 – автоматичне встановлення та перезапуск. (Оновлення завантажуються автоматично на не- лічильними мережами та встановлено під час «автоматичного обслуговування», коли пристрій не ввімкнено використовується і не працює від акумулятора.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- Update?WT.mc_id=Portal-fx#allowautoupdate 2. Minimum OS CSP: Windows 10, Version 1507 and later 3. GRID: MS-00000550 `

CIS Controls: `




                    CIS Controls V8: 7.3

                    IG 1, 2, 3
                
Perform Automated Operating System Patch Management Perform operating system updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.



                    CIS Controls V7: 3.4

                    IG 1, 2, 3
                
Deploy Automated Operating System Patch Management Tools Deploy automated software update tools in order to ensure that the operating systems are running the most recent security updates provided by the software vendor.




104.2 Переконайтеся, що для параметра «Період відкладення оновлень функцій у днях» встановлено значення «Увімкнено: 180 або більше днів»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр політики визначає час отримання попередньої збірки або оновлень функцій. Відкласти оновлення Це дає змогу пристроям відкласти наступне доступне оновлення функцій на ваш канал до 14 днів для всіх попередніх каналів і до 365 днів для піврічний канал. Або, якщо пристрій оновлюється з піврічного каналу, версія для пристрою, до якої потрібно перейти та/або залишатися ввімкненою, доки не буде оновлено політику або пристрій досягає кінця обслуговування можна вказати. Примітка. Якщо встановити обидві політики, зазначена версія матиме перевагу, і відкладення не діятимуть. Будь ласка, подивіться сторінку інформації про випуск Windows для інформації про версію ОС. Призупинити оновлення Щоб запобігти надходженню оновлень функцій за розкладом час, ви можете тимчасово призупинити оновлення функцій. Пауза діятиме 35 днів із зазначеної дати початку або доки поле не буде очищено (Оновлення якості все ще будуть пропонується). Примітка. Якщо для політики «Дозволити діагностичні дані» (раніше «Дозволити телеметрію») встановлено значення 0, це політика не матиме ефекту. Примітка №2. Починаючи з Windows 10 R1607, Microsoft представила нову Windows Поведінка клієнта оновлення (WU) під назвою Dual Scan з оглядом на хмарне оновлення управління. У деяких випадках ця функція подвійного сканування може заважати роботі Windows Оновлення зі служб Windows Server Update Services (WSUS) та/або оновлення WU вручну. Якщо якщо ви використовуєте WSUS у своєму середовищі, можливо, вам знадобиться встановити для параметра вище значення Not Налаштуйте або налаштуйте параметр Не дозволяти політикам відкладення оновлення викликати сканує Windows Update (додано в Windows 10 Release 1709 Administrative Шаблони), щоб запобігти перешкоджанню функції подвійного сканування. Більше інформації на Dual Scan доступний за цими посиланнями: • Демістифікація «подвійного сканування» – блог групи продуктів WSUS • Покращення подвійного сканування на 1607 – блог групи продуктів WSUS Примітка №3: до Windows 10 R1703 значення понад 180 днів не розпізнавались ОС. Починаючи з Windows 10 R1703, максимальна кількість днів, яку можна відкласти, становить 365 днів.




                💡 Обґрунтування безпеки:
            
У виробничому середовищі бажано використовувати лише програмне забезпечення та функції, які є загальнодоступні, після того як вони пройшли ретельне тестування в бета-версії.




                ⚠️ Вплив на робочий процес (Impact):
            
Оновлення функцій буде відкладено, доки вони не будуть публічно оприлюднені Microsoft.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 180 або більше.
HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\Update:DeferFeatureUpdatesPeriodInDays




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: Windows Update for Business\Defer Feature Updates Period in Days
Рекомендований стан: Enabled: 180 or more days


Значення за замовчуванням: Вимкнено. (Каденція оновлення функцій не застосовуватиметься.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- update#deferfeatureupdatesperiodindays 2. Minimum OS CSP: Windows 10, Version 1607 and later 3. GRID: MS-00000554 `

CIS Controls: ` 



                    CIS Controls V8: 7.3

                    IG 1, 2, 3
                
Perform Automated Operating System Patch Management Perform operating system updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.



                    CIS Controls V7: 2.4

                    IG 1, 2
                
Track Software Inventory Information The software inventory system should track the name, version, publisher, and install date for all software, including operating systems authorized by the organization.






104.3 Переконайтеся, що для параметра «Керувати збірками попереднього перегляду» встановлено значення «Вимкнути збірки попереднього перегляду»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр політики визначає, які оновлення будуть отримані до оновлення звільнений. Канал розробників: ідеально підходить для високотехнічних користувачів. Інсайдери каналу розробників отримають будується з нашої активної гілки розробки, яка є найранішою в циклі розробки. Ці збірки не відповідають конкретному випуску Windows 10. Бета-канал: ідеально підходить для дослідників функцій, які хочуть побачити майбутню Windows 10 особливості. Ваш відгук буде особливо важливим, оскільки він допоможе нашим інженерам переконайтеся, що ключові проблеми виправлено перед основним випуском. Канал попереднього перегляду випуску (за замовчуванням): Інсайдери каналу попереднього перегляду випуску будуть отримати доступ до майбутнього випуску Windows 10 до того, як він буде випущений для світ. Ці збірки підтримуються Microsoft. Канал попереднього перегляду випуску – це де ми рекомендуємо компаніям заздалегідь переглянути та перевірити майбутні випуски Windows 10 широке розгортання в межах своєї організації. Рекомендований стан для цього параметра: Вимкнути попередні збірки. Примітка. Для реєстрації Preview Build потрібен рівень телеметрії 2 або вище та ваш домен, зареєстрований на insider.windows.com. Щоб отримати додаткову інформацію про Preview Складання, див.: Керування попередніми збірками у вашій організації – Windows Insider Програма | Microsoft Learn.




                💡 Обґрунтування безпеки:
            
Дозволяти експериментальні функції в керованому підприємстві може бути ризиковано середовища, оскільки це може викликати помилки та діри в безпеці систем, що робить його легше для зловмисника отримати доступ. Як правило, бажано використовувати тільки виробництво- готові збірки.




                ⚠️ Вплив на робочий процес (Impact):
            
Попередні збірки заборонено інсталювати на пристрої.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\Update:ManagePreviewBuilds




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: Windows Update For Business\Manage preview builds
Рекомендований стан: Disable Preview builds


Значення за замовчуванням: Вимкнено. (Windows Update не пропонуватиме вам жодних попередніх оновлень, і ви будете  отримувати такий вміст після того, як він стане доступним для світу. Вимкнення цієї політики призведе до будь-яких  пристроях, які наразі мають попередню версію, щоб відмовитися від неї та залишитися на останньому оновленні функцій  після звільнення.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows-insider/business/manage-builds 2. GRID: MS-00000553 3. Minimum OS CSP: Windows 10, Version 1709 and later `

CIS Controls: ` 



                    CIS Controls V8: 2.5

                    IG 1, 2
                
Allowlist Authorized Software Use technical controls, such as application allowlisting, to ensure that only authorized software can execute or be accessed. Reassess bi-annually, or more frequently.



                    CIS Controls V7: 2.6

                    IG 1, 2, 3
                
Address unapproved software Ensure that unauthorized software is either removed or the inventory is updated in a timely manner






104.4 Переконайтеся, що для параметра «День запланованої інсталяції» встановлено значення «Кожен день»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр політики визначає, коли комп’ютери у вашому середовищі отримають захист оновлення з Windows Update або WSUS. Рекомендований стан для цього параметра: Щодня. Примітка. Цей параметр застосовний, лише якщо в полі вибрано параметр 3 або 4 рекомендація «Дозволити автоматичне оновлення». Це не вплине, якщо є будь-який інший варіант вибрано.




                💡 Обґрунтування безпеки:
            
Хоча кожна версія Windows ретельно перевіряється перед випуском, це можливо проблеми будуть виявлені після відправлення продукції. Автоматичне налаштування Налаштування оновлень може допомогти вам переконатися, що комп’ютери у вашому середовищі завжди будуть мати останні критичні оновлення операційної системи та інстальовані пакети оновлень.




                ⚠️ Вплив на робочий процес (Impact):
            
Якщо в рекомендації «Дозволити автоматичне оновлення» вибрано опцію 3 або 4, критична робота оновлення системи та пакети оновлень автоматично завантажуватимуться щодня (о 3:00, за замовчуванням).




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\Update:ScheduledInstallDay




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: Windows Update For Business\Scheduled Install Day
Рекомендований стан: Every day


Значення за замовчуванням: Не визначено. (Оскільки значенням за замовчуванням Налаштування автоматичних оновлень є 3 – Авто  завантажити та сповістити про встановлення, цей параметр не застосовується за умовчанням.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- update#scheduledinstallday 2. Minimum OS CSP: Windows 10, Version 1507 and later 3. GRID: MS-00000551 `

CIS Controls: ` 



                    CIS Controls V8: 7.3

                    IG 1, 2, 3
                
Perform Automated Operating System Patch Management Perform operating system updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.



                    CIS Controls V7: 3.4

                    IG 1, 2, 3
                
Deploy Automated Operating System Patch Management Tools Deploy automated software update tools in order to ensure that the operating systems are running the most recent security updates provided by the software vendor.






104.5 Переконайтеся, що для параметра «Блокувати можливість призупинити оновлення» встановлено значення «Блокувати»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Ця політика забороняє доступ до функції “Призупинити оновлення”. Рекомендований стан для цього параметра: Блокувати.




                💡 Обґрунтування безпеки:
            
Для забезпечення безпеки та оновлення системи застосовуються системні адміністратори повинен контролювати, коли оновлення застосовуються до систем.




                ⚠️ Вплив на робочий процес (Impact):
            
Користувачі не зможуть вибрати опцію «Призупинити оновлення» в Windows Update для заборонити встановлення оновлень у системі.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate:SetDisablePauseUXAccess




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію через GP, установіть для наступного шляху інтерфейсу користувача значення Block: Оновлення Windows для бізнесу\Блокувати можливість «Призупинити оновлення».


Значення за замовчуванням: Вимкнено. (Користувачі мають доступ до функції «Призупинити оновлення».)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. GRID: MS-00000571 2. Minimum OS CSP: Windows 10, Version 1809 and later `

CIS Controls: ` 



                    CIS Controls V8: 7.3

                    IG 1, 2, 3
                
Perform Automated Operating System Patch Management Perform operating system updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.



                    CIS Controls V7: 3.4

                    IG 1, 2, 3
                
Deploy Automated Operating System Patch Management Tools Deploy automated software update tools in order to ensure that the operating systems are running the most recent security updates provided by the software vendor.


        


Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.
            

                До повного змісту CIS Microsoft Intune Benchmark →