27. Захист прямого доступу до пам’яті (Kernel DMA Protection)

Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.

Рекомендацій: 1

Windows 11 Intune v5.0.0

27.1 Переконайтеся, що для параметра «Політика перерахування пристроїв» встановлено значення «Блокувати всі (найбільш обмежене)».

Автоматизовано

            Оригінал:
        

Ця політика призначена для забезпечення додаткового захисту від зовнішніх DMA-сумісних пристроїв. Це дозволяє більше контролювати перелік зовнішніх DMA-сумісних пристрої, несумісні з DMA Remapping/ізоляцією пам’яті пристрою та пісочниця. Рекомендований стан для цього параметра: Блокувати всі (найбільше обмежень). Примітка. Ця політика не застосовується до пристроїв 1394, PCMCIA або ExpressCard. The захист також застосовується лише до Windows 10 R1803 або новішої версії та потребує UEFI BIOS функціонувати. Примітка №2. Більше інформації про цю функцію доступно за цим посиланням: Захист ядра DMA для Thunderbolt™ 3 (Windows 10) | Microsoft Docs.

💡 Обґрунтування безпеки:

Ізольоване програмне середовище пам’яті пристрою дозволяє ОС використовувати керування пам’яттю вводу-виводу Блок (IOMMU) пристрою для блокування недозволеного вводу-виводу або доступу до пам’яті периферичний.

⚠️ Вплив на робочий процес (Impact):

Зовнішні пристрої, несумісні з DMA-remapping, не будуть перераховані і не працюватиме, доки/поки користувач не ввійде в систему та не матиме розблокована сесія користувача. Після перерахування ці пристрої продовжуватимуть працювати, незалежно від стану сесії. Пристрої, сумісні з DMA-remapping буде негайно перераховано з ізольованою пам’яттю пристрою. Попередження: Windows Autopilot – Конфлікти політик: Windows Autopilot попередня ініціалізація не працює, якщо налаштовано цей параметр політики. Якщо в середовищі використовується Windows Autopilot, призначте це налаштування виключно для користувача групи, а не групи пристроїв. Це гарантує застосування налаштування пізніше реєстрація, що дозволяє Windows Autopilot завершити процес попередньої підготовки та запобігти можливим перервам.

🔍 Аудит (перевірка налаштувань)

Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.

HKLM\SOFTWARE\Policies\Microsoft\Windows\Kernel DMAProtection:DeviceEnumerationPolicy

⚙️ Виправлення (Remediation / Налаштування)

Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: Dma Guard\Device Enumeration Policy
Рекомендований стан: Block all (most restrictive)

Значення за замовчуванням: Windows 10 R1803 або новіша: увімкнено, якщо присутній UEFI BIOS. Вимкнено, якщо використовується застаріла версія BIOS. Старіші ОС: не підтримуються (тобто вимкнено).

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. GRID: MS-00000333 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- dmaguard 3. Minimum OS CSP: Windows 10, version 1809 and later `

CIS Controls: `




                    CIS Controls V8: 0.0

                    IG 1
                
Explicitly Not Mapped Explicitly Not Mapped



                    CIS Controls V7: 1.4

                    IG 1, 2, 3
                
Maintain Detailed Asset Inventory Maintain an accurate and up-to-date inventory of all technology assets with the potential to store or process information. This inventory shall include all hardware assets, whether connected to the organization's network or not.


        


Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.
            

                До повного змісту CIS Microsoft Intune Benchmark →