23. Захист пристроїв (Device Guard / Credential Guard)

Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.

Рекомендацій: 4

Windows 11 Intune v5.0.0

23.1 Переконайтеся, що для параметра «Налаштувати запуск System Guard» встановлено значення «Некерований, вмикає безпечний запуск, якщо підтримується апаратним забезпеченням».

Рівень 1 (L1)Автоматизовано

            Оригінал:
        

Secure Launch захищає середовище безпеки на основі віртуалізації від зловживання уразливості в прошивці пристрою. Рекомендований стан для цього параметра: Некерований Вмикає безпечний запуск, якщо підтримується апаратним забезпеченням. Примітка: Credential Guard і Device Guard наразі не підтримуються під час використання Віртуальні машини Azure IaaS.

💡 Обґрунтування безпеки:

Безпечний запуск змінює спосіб завантаження Windows для використання Intel Trusted Execution Технологія (TXT) і функції Runtime BIOS Resilience для запобігання експлойтам мікропрограм від можливості вплинути на безпеку безпеки на основі віртуалізації Windows середовище.

⚠️ Вплив на робочий процес (Impact):

Примітка: це налаштування було переміщено з профілю наступного покоління (NG) до рівня 1 (L1) лише для операційної системи Windows 11. Налаштування профілю NG були ізольовані з профілю L1 через можливі проблеми сумісності апаратного забезпечення. Windows 11 Операційна система залежить від того самого апаратного забезпечення, що й налаштування NG, тому апаратне забезпечення сумісність більше не є проблемою. Попередження: усі драйвери в системі мають бути сумісні з цією функцією або системою може вийти з ладу. Переконайтеся, що цей параметр політики розгорнуто лише на комп’ютерах, які є відомо, що вони сумісні.

🔍 Аудит (перевірка налаштувань)

Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard:ConfigureSystemGuardLaunch

⚙️ Виправлення (Remediation / Налаштування)

Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до некерованого Вмикає безпечний запуск, якщо він підтримується обладнання: Device Guard\Налаштувати запуск System Guard

Значення за замовчуванням: Не налаштовано. (Користувачі з правами адміністратора можуть вибрати, увімкнути чи вимкнути Secure Запуск.)

ℹ️ Додаткова інженерна інформація (Additional Information):

Застосовується лише до Windows 11.

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- deviceguard#configuresystemguardlaunch 2. GRID: MS-00000301 3. Minimum OS CSP: Windows 10, version 1809 and later `

CIS Controls: `




                    CIS Controls V8: 10.5

                    IG 1, 2
                
Enable Anti-Exploitation Features Enable anti-exploitation features on enterprise assets and software, where possible, such as Microsoft® Data Execution Prevention (DEP), Windows® Defender Exploit Guard (WDEG), or Apple® System Integrity Protection (SIP) and Gatekeeper™.




                    CIS Controls V7: 8.3

                    IG 1, 2
                
Enable Operating System Anti-Exploitation Features/ Deploy Anti-Exploit Technologies Enable anti-exploitation features such as Data Execution Prevention (DEP) or Address Space Layout Randomization (ASLR) that are available in an operating system or deploy appropriate toolkits that can be configured to apply protection to a broader set of applications and executables.




23.2 Переконайтеся, що для параметра Credential Guard встановлено значення «Увімкнено з блокуванням UEFI».
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр дозволяє користувачам увімкнути Credential Guard із захистом на основі віртуалізації захистити облікові дані. Параметр «Увімкнено з блокуванням UEFI» гарантує, що Credential Guard не можна вимкнути віддалено. Щоб вимкнути функцію, ви повинні встановити групу Політику «Вимкнено», а також видалення функцій безпеки з кожного комп’ютера, з фізично присутнім користувачем, щоб очистити конфігурацію, що зберігається в UEFI. Рекомендований стан для цього параметра: увімкнено з блокуванням UEFI. Примітка. Безпека на основі віртуалізації потребує 64-розрядної версії Windows із технологією Secure Завантаження ввімкнено, що, у свою чергу, вимагає, щоб Windows була інстальована з UEFI BIOS конфігурація, а не застаріла конфігурація BIOS. Крім того, якщо Windows працює на a віртуальна машина, апаратна функція віртуалізації ЦП (Intel VT-x або AMD-V) повинні бути представлені хостом для гостьової віртуальної машини. Додаткову інформацію про системні вимоги для цієї функції можна знайти в Windows Вимоги Defender Credential Guard (Windows 10) | Microsoft Docs Примітка №2: Credential Guard і Device Guard наразі не підтримуються під час використання Віртуальні машини Azure IaaS.




                💡 Обґрунтування безпеки:
            
Параметр Enabled with UEFI lock гарантує, що Credential Guard не буде працювати вимкнено дистанційно.




                ⚠️ Вплив на робочий процес (Impact):
            
Примітка: це налаштування було переміщено з профілю наступного покоління (NG) до рівня 1 (L1) лише для операційної системи Windows 11. Налаштування профілю NG були ізольовані з профілю L1 через можливі проблеми сумісності апаратного забезпечення. Windows 11 Операційна система залежить від того самого апаратного забезпечення, що й налаштування NG, тому апаратне забезпечення сумісність більше не є проблемою. Попередження: усі драйвери в системі мають бути сумісні з цією функцією або системою може вийти з ладу. Переконайтеся, що цей параметр політики розгорнуто лише на комп’ютерах, які є відомо, що вони сумісні. Попередження №2: якщо цей параметр увімкнено та активний, Credential Guard не працюватиме вимкнено виключно за допомогою GPO або будь-яким іншим віддаленим методом. Після видалення налаштування з GPO, функції також потрібно вручну вимкнути локально на машині за допомогою кроки, наведені за цим посиланням: Керування Credential Guard Windows Defender (Windows 10) | Microsoft Docs




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard:LsaCfgFlags




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled з блокуванням UEFI: Device Guard\Credential Guard


Значення за замовчуванням: Вимкнено.


            ℹ️ Додаткова інженерна інформація (Additional Information):
        

Застосовується лише до Windows 11.




📋 CIS Controls & Нормативні посилання

Посилання: “ 1. GRID: MS-00000298 2. Minimum OS CSP: Windows 10, version 1709 and later `

CIS Controls: ` 



                    CIS Controls V8: 10.5

                    IG 1, 2
                
Enable Anti-Exploitation Features Enable anti-exploitation features on enterprise assets and software, where possible, such as Microsoft® Data Execution Prevention (DEP), Windows® Defender Exploit Guard (WDEG), or Apple® System Integrity Protection (SIP) and Gatekeeper™.




                    CIS Controls V7: 8.3

                    IG 1, 2
                
Enable Operating System Anti-Exploitation Features/ Deploy Anti-Exploit Technologies Enable anti-exploitation features such as Data Execution Prevention (DEP) or Address Space Layout Randomization (ASLR) that are available in an operating system or deploy appropriate toolkits that can be configured to apply protection to a broader set of applications and executables.







23.3 Переконайтеся, що для параметра «Увімкнути безпеку на основі віртуалізації» встановлено значення «Увімкнути безпеку на основі віртуалізації».
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр політики визначає, чи ввімкнено захист на основі віртуалізації. Безпека на основі віртуалізації використовує гіпервізор Windows для забезпечення підтримки служби безпеки. Рекомендований стан для цього параметра: Увімкнути захист на основі віртуалізації. Примітка. Безпека на основі віртуалізації потребує 64-розрядної версії Windows із технологією Secure Завантаження ввімкнено, що, у свою чергу, вимагає, щоб Windows була інстальована з UEFI BIOS конфігурація, а не застаріла конфігурація BIOS. Крім того, якщо Windows працює на a віртуальна машина, апаратна функція віртуалізації ЦП (Intel VT-x або AMD-V) повинні бути представлені хостом для гостьової віртуальної машини. Додаткову інформацію про системні вимоги для цієї функції можна знайти в Windows Вимоги Defender Credential Guard (Windows 10) | Microsoft Docs Примітка №2: Credential Guard і Device Guard наразі не підтримуються під час використання Віртуальні машини Azure IaaS.




                💡 Обґрунтування безпеки:
            
Kerberos, NTLM і менеджер облікових даних виділяють секрети за допомогою віртуалізації безпеки. Попередні версії Windows зберігали секрети в локальному центрі безпеки (LSA). До Windows 10 LSA зберігав секрети, які використовувала операційна система пам’ять процесу. Якщо Windows Defender Credential Guard увімкнено, процес LSA в операційній системі спілкується з новим компонентом, який називається ізольованим процесом LSA зберігає та захищає ці секрети. Дані, збережені ізольованим процесом LSA, захищені використовує захист на основі віртуалізації та недоступний для решти операційної системи система.




                ⚠️ Вплив на робочий процес (Impact):
            
Примітка: це налаштування було переміщено з профілю наступного покоління (NG) до рівня 1 (L1) лише для операційної системи Windows 11. Налаштування профілю NG були ізольовані з профілю L1 через можливі проблеми сумісності апаратного забезпечення. Windows 11 Операційна система залежить від того самого апаратного забезпечення, що й налаштування NG, тому апаратне забезпечення сумісність більше не є проблемою. Попередження: усі драйвери в системі мають бути сумісні з цією функцією або системою може вийти з ладу. Переконайтеся, що цей параметр політики розгорнуто лише на комп’ютерах, які є відомо, що вони сумісні.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard:EnableVirtualizationBasedSecurity




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань для ввімкнення безпеки на основі віртуалізації: Device Guard\Увімкнути захист на основі віртуалізації


Значення за замовчуванням: Вимкнено.


            ℹ️ Додаткова інженерна інформація (Additional Information):
        

Застосовується лише до Windows 11.




📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- deviceguard#enablevirtualizationbasedsecurity 2. GRID: MS-00000297 3. Minimum OS CSP: Windows 10, version 1709 and later `

CIS Controls: ` 



                    CIS Controls V8: 10.5

                    IG 1, 2
                
Enable Anti-Exploitation Features Enable anti-exploitation features on enterprise assets and software, where possible, such as Microsoft® Data Execution Prevention (DEP), Windows® Defender Exploit Guard (WDEG), or Apple® System Integrity Protection (SIP) and Gatekeeper™.




                    CIS Controls V7: 8.3

                    IG 1, 2
                
Enable Operating System Anti-Exploitation Features/ Deploy Anti-Exploit Technologies Enable anti-exploitation features such as Data Execution Prevention (DEP) or Address Space Layout Randomization (ASLR) that are available in an operating system or deploy appropriate toolkits that can be configured to apply protection to a broader set of applications and executables.







23.4 Переконайтеся, що для параметра «Потрібні функції безпеки платформи» встановлено значення «Вмикає VBS із безпечним завантаженням» або вище
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр політики визначає, чи ввімкнено захист на основі віртуалізації (VBS). VBS використовує гіпервізор Windows для підтримки служб безпеки. Рекомендований стан для цього параметра: вмикає VBS із захищеним завантаженням або Вмикає VBS із захищеним завантаженням і прямим доступом до пам’яті (DMA). DMA вимагає апаратної підтримки. Примітка. Для VBS потрібна 64-розрядна версія Windows із увімкненим безпечним завантаженням, яка в у свою чергу вимагає, щоб Windows була інстальована з конфігурацією UEFI BIOS, а не із Legacy Конфігурація BIOS. Крім того, якщо Windows працює на віртуальній машині, апаратне функція віртуалізації центрального процесора (Intel VT-x або AMD-V) повинна бути доступна хостом гостю В.М. Додаткову інформацію про системні вимоги для цієї функції можна знайти в Windows Вимоги Defender Credential Guard (Windows 10) | Microsoft Docs Примітка №2: Credential Guard і Device Guard наразі не підтримуються під час використання Віртуальні машини Azure IaaS.




                💡 Обґрунтування безпеки:
            
Безпечне завантаження може допомогти зменшити ризик атак завантажувача та в поєднанні з DMA засоби захисту, які допомагають захистити дані від збирання з пам’яті.




                ⚠️ Вплив на робочий процес (Impact):
            
Вибір опції Secure Boot забезпечує системі максимальний рівень захисту підтримується апаратним забезпеченням комп’ютера. Система з пам’яттю введення/виведення блоки керування (IOMMU) матимуть Secure Boot із захистом DMA. Система без IOMMU просто буде ввімкнено безпечне завантаження без захисту DMA. Для вибору опції безпечного завантаження із захистом DMA система потребує наявності IOMMU, щоб увімкнути VBS. Без апаратної підтримки IOMMU VBS буде вимкнено. Примітка: це налаштування було переміщено з профілю наступного покоління (NG) до рівня 1 (L1) лише для операційної системи Windows 11. Налаштування профілю NG були ізольовані з профілю L1 через можливі проблеми сумісності апаратного забезпечення. Windows 11 Операційна система залежить від того самого апаратного забезпечення, що й налаштування NG, тому апаратне забезпечення сумісність більше не є проблемою. Попередження: усі драйвери в системі мають бути сумісні з цією функцією або системою може вийти з ладу. Переконайтеся, що цей параметр політики розгорнуто лише на комп’ютерах, які є відомо, що вони сумісні.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1 або 3.
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard:RequirePlatformSecurityFeatures




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: DMA requires hardware support: Device Guard\Require Platform Security Features
Рекомендований стан: Turns on VBS with Secure Boot or Turns on VBS with

Secure Boot and direct memory access (DMA)


Значення за замовчуванням: Вимкнено.


            ℹ️ Додаткова інженерна інформація (Additional Information):
        

Застосовується лише до Windows 11.




📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- deviceguard#requireplatformsecurityfeatures 2. GRID: MS-00000302 3. Minimum OS CSP: Windows 10, version 1709 and later `

CIS Controls: ` 



                    CIS Controls V8: 10.5

                    IG 1, 2
                
Enable Anti-Exploitation Features Enable anti-exploitation features on enterprise assets and software, where possible, such as Microsoft® Data Execution Prevention (DEP), Windows® Defender Exploit Guard (WDEG), or Apple® System Integrity Protection (SIP) and Gatekeeper™.




                    CIS Controls V7: 8.3

                    IG 1, 2
                
Enable Operating System Anti-Exploitation Features/ Deploy Anti-Exploit Technologies Enable anti-exploitation features such as Data Execution Prevention (DEP) or Address Space Layout Randomization (ASLR) that are available in an operating system or deploy appropriate toolkits that can be configured to apply protection to a broader set of applications and executables.


        


Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.
            

                До повного змісту CIS Microsoft Intune Benchmark →