4. Адміністративні шаблони (Administrative Templates)
Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.
Рекомендацій: 164
Windows 11 Intune v5.0.0
4.1.3.1 Переконайтеся, що для параметра «Заборонити вмикати камеру блокування екрана» встановлено значення «Увімкнено»
Вимикає доступ до камери на екрані блокування в налаштуваннях ПК і блокує камеру від виклику на екрані блокування. Рекомендований стан для цього параметра: увімкнено.
Вимкнення камери на екрані блокування розширює захист, який забезпечує екран блокування функції камери.
Якщо ввімкнути це налаштування, користувачі більше не зможуть увімкнути або вимкнути блокування екрана доступ до камери в налаштуваннях ПК, і камеру не можна викликати на екрані блокування.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\Personalization:NoLockScreenCamera
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Control Panel\Personalization\Prevent enabling lock screen camera - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- devicelock#preventenablinglockscreencamera 2. GRID: MS-00000231 3. Minimum OS CSP: Windows 10, version 1803 and later `
CIS Controls: `
IG 1
IG 1, 2, 3
4.1.3.2 Переконайтеся, що для параметра «Заборонити ввімкнення слайд-шоу блокування екрана» встановлено значення «Увімкнено»
Вимикає налаштування показу слайдів на екрані блокування в налаштуваннях ПК і запобігає показу слайдів від відтворення на екрані блокування. Рекомендований стан для цього параметра: увімкнено.
Вимкнення показу слайдів на екрані блокування розширює захист, який надає екран блокування до вмісту слайд-шоу.
Якщо ввімкнути цей параметр, користувачі більше не зможуть змінювати параметри показу слайдів у Параметри ПК, і слайд-шоу ніколи не розпочнеться.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\Personalization:NoLockScreenSlideshow
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Control Panel\Personalization\Prevent enabling lock screen slide show - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- devicelock#preventlockscreenslideshow 2. GRID: MS-00000232 3. Minimum OS CSP: Windows 10, version 1703 and later `
CIS Controls: `
IG 1
IG 1, 2, 3
4.4.1 Переконайтеся, що для параметра «Застосувати обмеження UAC до локальних облікових записів під час входу в мережу» встановлено значення «Увімкнено»
Цей параметр визначає, чи можна використовувати локальні облікові записи для віддаленого адміністрування через вхід у мережу (наприклад, NET USE, підключення до C$ тощо). Локальні облікові записи піддаються високому ризику для крадіжки облікових даних, коли той самий обліковий запис і пароль налаштовано на кількох системи. Увімкнення цієї політики значно зменшує цей ризик. Увімкнено: застосовує фільтрацію маркерів UAC до локальних облікових записів під час входу в мережу. Членство у потужній групі, як-от адміністратори, вимкнено, а потужні привілеї є видалено з результуючого маркера доступу. Це налаштовує Значення реєстру LocalAccountTokenFilterPolicy має значення 0. Це типова поведінка для вікна. Вимкнено: дозволяє локальним обліковим записам мати повні права адміністратора під час автентифікації через мережевий вхід, налаштувавши значення реєстру LocalAccountTokenFilterPolicy до 1. Щоб отримати додаткові відомості про локальні облікові записи та крадіжку облікових даних, перегляньте розділ «Пом’якшення Атаки Pass-the-Hash (PtH) та інші методи викрадення облікових даних». Щоб отримати додаткові відомості про LocalAccountTokenFilterPolicy, перегляньте Microsoft Стаття бази знань 951016: Опис контролю облікових записів користувачів і дистанційного керування обмеження в Windows Vista. Рекомендований стан для цього параметра: увімкнено.
Локальні облікові записи піддаються високому ризику викрадення облікових даних, коли той самий обліковий запис і пароль налаштовано на кількох системах. Переконайтеся, що цю політику ввімкнено значно зменшує цей ризик.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System:LocalAccountTokenFilterPolicy
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\MS Security Guide\Apply UAC restrictions to local accounts on network logons - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/identity-protection/access- control/local-accounts 2. https://techcommunity.microsoft.com/t5/microsoft-security-baselines/disabling- smbv1-through-group-policy/ba-p/701069 3. Minimum OS CSP: Windows 10, Version 1803 and later 4. GRID: MS-00000240 `
CIS Controls: `
IG 1
IG 1, 2, 3
4.4.2 Переконайтеся, що для параметра «Налаштувати драйвер клієнта SMB v1» встановлено значення «Увімкнено: вимкнути драйвер (рекомендовано)».
Цей параметр налаштовує тип запуску для блоку повідомлень сервера версії 1 (SMBv1) службу клієнтського драйвера (MRxSmb10), яку рекомендується вимкнути. Рекомендований стан для цього параметра: Увімкнено: вимкнути драйвер (рекомендовано). Примітка. За жодних обставин не налаштовуйте цей загальний параметр як Вимкнено, як це призведе до повного видалення базового запису реєстру, що спричинить серйозні проблеми проблеми.
З вересня 2016 року корпорація Майкрософт наполегливо рекомендує вимкнути SMBv1 і більше не використовується в сучасних мережах, оскільки це 30-річний дизайн, який набагато більше вразливі до атак, ніж набагато новіші проекти, такі як SMBv2 і SMBv3. Більше інформації про це можна знайти за такими посиланнями: Припиніть використання SMB1 | Зберігання в Microsoft Вимкніть SMB v1 у керованих середовищах із груповою політикою – «Будьте в безпеці» Cyber Блог безпеки Вимкнення SMBv1 через групову політику – блог Microsoft Security Guidance
Деякі застарілі ОС (наприклад, Windows XP, Server 2003 або старіші), програми та пристрої можуть більше не мати змоги обмінюватися даними із системою після того, як SMBv1 буде вимкнено. Ми рекомендуємо провести ретельне тестування, щоб визначити вплив налаштуйте це як поширений контроль і, де можливо, виправте будь-які виявлені несумісності з постачальником несумісної системи. Microsoft також ведення ретельного (хоча і не повного) списку відомих SMBv1 несумісності за цим посиланням: SMB1 Product Clearinghouse | Зберігання в Microsoft
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\mrxsmb10:Start
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\MS Security Guide\Configure SMB v1 client driver - Рекомендований стан:
Enabled: Disable driver (recommended)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://techcommunity.microsoft.com/t5/microsoft-security-baselines/disabling- smbv1-through-group-policy/ba-p/701069 2. https://learn.microsoft.com/en-us/windows-server/storage/file- server/troubleshoot/detect-enable-and-disable-smbv1-v2-v3 3. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- mssecurityguide#configuresmbv1clientdriver 4. Minimum OS CSP: Windows 10, Version 1803 and later 5. GRID: MS-00000242 `
CIS Controls: `
IG 1, 2
IG 1, 2
IG 1, 2
4.4.3 Переконайтеся, що для параметра «Налаштувати сервер SMB v1» встановлено значення «Вимкнено»
Цей параметр налаштовує серверну обробку версії блоку повідомлень сервера 1 (SMBv1) протокол. Рекомендований стан для цього параметра: вимкнено.
З вересня 2016 року корпорація Майкрософт наполегливо рекомендує вимкнути SMBv1 і більше не використовується в сучасних мережах, оскільки це 30-річний дизайн, який набагато більше вразливі до атак, ніж набагато новіші проекти, такі як SMBv2 і SMBv3. Більше інформації про це можна знайти за такими посиланнями: Припиніть використання SMB1 | Зберігання в Microsoft Вимкніть SMB v1 у керованих середовищах із груповою політикою – «Будьте в безпеці» Cyber Блог безпеки Вимкнення SMBv1 через групову політику – блог Microsoft Security Guidance
Деякі застарілі ОС (наприклад, Windows XP, Server 2003 або старіші), програми та пристрої можуть більше не мати змоги обмінюватися даними із системою після того, як SMBv1 буде вимкнено. Ми рекомендуємо провести ретельне тестування, щоб визначити вплив налаштуйте це як поширений контроль і, де можливо, виправте будь-які виявлені несумісності з постачальником несумісної системи. Microsoft також ведення ретельного (хоча і не повного) списку відомих SMBv1 несумісності за цим посиланням: SMB1 Product Clearinghouse | Зберігання в Microsoft
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters:SMB1
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\MS Security Guide\Configure SMB v1 server - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://techcommunity.microsoft.com/t5/microsoft-security-baselines/disabling- smbv1-through-group-policy/ba-p/701069 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- mssecurityguide#configuresmbv1server 3. Minimum OS CSP: Windows 10, Version 1803 and later 4. GRID: MS-00000243 `
CIS Controls: `
IG 1, 2
IG 1, 2
IG 1, 2
4.4.4 Переконайтеся, що для параметра «Увімкнути захист від перезапису обробки структурованих винятків (SEHOP)» встановлено значення «Увімкнено»
Windows підтримує захист від перезапису обробки структурованих винятків (SEHOP). Ми рекомендуємо ввімкнути цю функцію, щоб покращити профіль безпеки комп’ютер. Рекомендований стан для цього параметра: увімкнено.
Ця функція призначена для блокування експлойтів, які використовують обробник структурованих винятків (SEH) техніка перезапису. Цей механізм захисту надається під час виконання. Таким чином, це допомагає захистити програми незалежно від того, чи були вони скомпільовані з останніми вдосконаленнями, такими як параметр /SAFESEH.
Після ввімкнення SEHOP наявні версії Cygwin, Skype і Armadillo захищені програми можуть не працювати належним чином.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SYSTEM\CurrentControlSet\Control\SessionManager\kernel:DisableExceptionChainValidation
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\MS Security Guide\Enable Structured Exception Handling Overwrite Protection (SEHOP) More information is available at MSKB 956607: How to enable Structured Exception Handling Overwrite Protection (SEHOP) in Windows operating systems - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/override- mitigation-options-for-app-related-security-policies 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- mssecurityguide#enablestructuredexceptionhandlingoverwriteprotection 3. Minimum OS CSP: Windows 10, Version 1803 and later 4. GRID: MS-00000245 `
CIS Controls: `
IG 1, 2
IG 1, 2
4.4.5 Переконайтеся, що для параметра «Автентифікація WDigest» встановлено значення «Вимкнено»
Коли автентифікацію WDigest увімкнено, Lsass.exe зберігає копію файлу користувача простий текстовий пароль у пам’яті, де він може бути під загрозою викрадення. Якщо цього параметра немає налаштовано, автентифікація WDigest вимкнена в Windows 8.1 і Windows Server 2012 R2; він увімкнено за замовчуванням у попередніх версіях Windows і Windows Server. Щоб отримати додаткові відомості про локальні облікові записи та крадіжку облікових даних, перегляньте розділ «Пом’якшення Атаки Pass-the-Hash (PtH) та інші методи викрадення облікових даних». Додаткову інформацію про UseLogonCredential див. у базі знань Microsoft стаття 2871997: Microsoft Security Advisory Update для покращення захисту облікових даних та управління 13 травня 2014р. Рекомендований стан для цього параметра: вимкнено.
Запобігання зберіганню облікових даних у відкритому вигляді в пам’яті може зменшити можливості для крадіжка облікових даних.
Немає – це також стандартна конфігурація для Windows 8.1 або новішої версії.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest:UseLogonCredential
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\MS Security Guide\WDigest Authentication (disabling may require KB2871997) - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://www.microsoft.com/en-us/download/details.aspx?id=36036 2. https://support.microsoft.com/en-us/topic/microsoft-security-advisory-update-to- improve-credentials-protection-and-management-may-13-2014-93434251-04ac- b7f3-52aa-9f951c14b649 3. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- mssecurityguide#wdigestauthentication 4. Minimum OS CSP: Windows 10, Version 1803 and later 5. GRID: MS-00000248 `
CIS Controls: `
IG 1, 2
IG 1, 2
4.5.1 Переконайтеся, що для параметра «MSS: (AutoAdminLogon) Enable Automatic Logon (не рекомендовано)» встановлено значення «Disabled»
Цей параметр окремий від функції екрана привітання в Windows XP і Windows Vista; якщо цю функцію вимкнено, цей параметр не вимкнено. Якщо налаштувати комп’ютер для автоматичного входу кожен, хто може фізично отримати доступ до комп’ютера, також може отримати доступ до всього, що є на комп’ютері, включаючи будь-яку мережу чи мережі до якого підключений комп’ютер. Крім того, якщо ви ввімкнете автоматичний вхід, пароль є зберігається в реєстрі у вигляді відкритого тексту, і конкретний розділ реєстру, який зберігає це значення віддалено читається групою автентифікованих користувачів. Щоб отримати додаткові відомості, перегляньте статтю 324737 бази знань Microsoft: Як повернути на автоматичний вхід у Windows. Рекомендований стан для цього параметра: вимкнено.
Якщо ви налаштуєте комп’ютер на автоматичний вхід, будь-хто, хто може фізично отримати доступ до комп’ютера також можна отримати доступ до всього, що є на комп’ютері, в т.ч будь-яку мережу чи мережі, до яких підключено комп’ютер. Крім того, якщо ви ввімкнете автоматичний вхід, пароль зберігається в реєстрі у відкритому вигляді. Конкретний реєстр ключ, у якому зберігається цей параметр, доступний для віддаленого читання групою автентифікованих користувачів. Як а У результаті цей запис доречний, лише якщо комп’ютер фізично захищений і якщо ви переконайтеся, що ненадійні користувачі не можуть віддалено переглядати реєстр.
Немає – це типова поведінка. Попередження: Windows Autopilot – Конфлікти політик: Windows Autopilot попередня ініціалізація не працює, якщо цей параметр політики вимкнено. Якщо в середовищі використовується Windows Autopilot, призначте це налаштування виключно для користувача групи, а не групи пристроїв. Це гарантує застосування налаштування пізніше реєстрація, що дозволяє Windows Autopilot завершити процес попередньої підготовки та запобігти можливим перервам.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з REG_SZ значення 0.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon:AutoAdminLogon
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
* **Рекомендований стан**: 📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/recovery-console-allow-automatic-administrative-logon 2. https://techcommunity.microsoft.com/t5/microsoft-security-baselines/the-mss- settings/ba-p/701055 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later 4. GRID: MS-00000249 `
CIS Controls: `
IG 1, 2
IG 1, 2
4.5.2 Переконайтеся, що для параметра «MSS: (DisableIPSourceRouting IPv6) рівень захисту маршрутизації джерела IP (захищає від підробки пакетів)» встановлено значення «Увімкнено: найвищий рівень захисту, маршрутизацію джерела повністю вимкнено».
IP-маршрутизація джерела – це механізм, який дозволяє відправнику визначати IP-маршрут, який a дейтаграма повинна слідувати через мережу. Рекомендований стан для цього параметра: Увімкнено: найвищий захист, джерело маршрутизація повністю вимкнена.
Зловмисник може використовувати маршрутизовані пакети джерела, щоб приховати свою особу та місцезнаходження. Маршрутизація джерела дозволяє комп’ютеру, який надсилає пакет, указати маршрут, який пакет приймає.
Усі вхідні маршрутизовані пакети джерела буде видалено.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 2.
HKLM\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters:DisableIPSourceRouting
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\MSS (Legacy)\MSS: (DisableIPSourceRouting IPv6) IP source routing protection level (protects against packet spoofing) - Рекомендований стан:
Enabled: Highest protection, source routing is - completely disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://techcommunity.microsoft.com/t5/microsoft-security-baselines/the-mss- settings/ba-p/701055 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- msslegacy#ipv6sourceroutingprotectionlevel 3. Minimum OS CSP: Windows 10, Version 1803 and later 4. GRID: MS-00000250 `
CIS Controls: `
IG 1
IG 1
4.5.3 Переконайтеся, що для параметра «MSS: (DisableIPSourceRouting) IP-рівень захисту вихідної маршрутизації (захищає від підробки пакетів)» встановлено значення «Увімкнено: найвищий рівень захисту, вихідна маршрутизація повністю вимкнена».
IP-маршрутизація джерела – це механізм, який дозволяє відправнику визначати IP-маршрут, який a дейтаграма повинна проходити через мережу. Рекомендується налаштувати цей параметр до Not Defined для корпоративних середовищ і до Highest Protection для високого рівня безпеки середовища, щоб повністю вимкнути маршрутизацію джерела. Рекомендований стан для цього параметра: Увімкнено: найвищий захист, джерело маршрутизація повністю вимкнена.
Зловмисник може використовувати маршрутизовані пакети джерела, щоб приховати свою особу та місцезнаходження. Маршрутизація джерела дозволяє комп’ютеру, який надсилає пакет, указати маршрут, який пакет приймає.
Усі вхідні маршрутизовані пакети джерела буде видалено.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 2.
HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters:DisableIPSourceRouting
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\MSS (Legacy)\MSS: (DisableIPSourceRouting) IP source routing protection level (protects against packet spoofing) - Рекомендований стан:
Enabled: Highest protection, source routing is - completely disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://techcommunity.microsoft.com/t5/microsoft-security-baselines/the-mss- settings/ba-p/701055 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- msslegacy#ipsourceroutingprotectionlevel 3. Minimum OS CSP: Windows 10, Version 1803 and later 4. GRID: MS-00000251 `
CIS Controls: `
IG 1
IG 1
4.5.4 Переконайтеся, що для параметра «MSS: (DisableSavePassword) Prevent the dial-up password from being save (recommended)» встановлено значення «Enabled»
Коли ви набираєте номер телефонної книги або запис VPN у Dial-Up Networking, ви можете скористатися кнопкою «Зберегти Пароль», щоб ваш пароль віддаленого доступу кешувався, а ви ні потрібно ввести його під час послідовних спроб набору. З міркувань безпеки адміністратори можуть забажати заборонити користувачам кешувати паролі. Рекомендований стан для цього параметра: увімкнено.
Зловмисник, який вкраде комп’ютер мобільного користувача, може автоматично підключитися до мережі організації, якщо для комутованого з’єднання встановлено прапорець «Зберегти цей пароль». або запис мережі VPN, який використовується для підключення до мережі вашої організації.
Користувачі не зможуть автоматично зберігати свої облікові дані для комутованого доступу та VPN з’єднання.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters:DisableSavePassword
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\MSS (Legacy)\MSS:(DisableSavePassword) Prevent the dial-up password from being saved (recommended) - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://techcommunity.microsoft.com/t5/microsoft-security-baselines/the-mss- settings/ba-p/701055 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-mss-legacy#pol_mss_disablesavepassword 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later 4. GRID: MS-00000252 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.5.5 Переконайтеся, що «MSS: (EnableICMPRedirect) Allow ICMP redirects to override OSPF generated routes» встановлено на «Disabled»
Переспрямування протоколу керуючих повідомлень Інтернету (ICMP) призводить до того, що стек IPv4 переходить на хост маршрути. Ці маршрути замінюють згенеровані маршрути Open Shortest Path First (OSPF). Рекомендований стан для цього параметра: вимкнено.
Така поведінка очікувана. Проблема в тому, що 10-хвилинний тайм-аут для Маршрути перенаправлення ICMP тимчасово створюють мережеву ситуацію, у якій трафік більше не буде належним чином маршрутизовано для постраждалого хоста. Ігнорування таких переспрямувань ICMP буде обмежте вразливість системи до атак, які вплинуть на її здатність брати участь у мережі.
Якщо службу маршрутизації та віддаленого доступу (RRAS) налаштовано як автономну системний граничний маршрутизатор (ASBR), він неправильно імпортує підключену інтерфейсну підмережу маршрути. Натомість цей маршрутизатор вставляє маршрути хоста в маршрути OSPF. Однак, OSPF-маршрутизатор не може використовуватися як ASBR-маршрутизатор, а при підключеному інтерфейсі підмережі маршрути імпортуються в OSPF, в результаті таблиці маршрутизації плутаються з дивною маршрутизацією шляхи.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters:EnableICMPRedirect
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\MSS (Legacy)\MSS: (EnableICMPRedirect) Allow ICMP redirects to override OSPF generated routes - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://techcommunity.microsoft.com/t5/microsoft-security-baselines/the-mss- settings/ba-p/701055 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- msslegacy#allowicmpredirectstooverrideospfgeneratedroutes 3. Minimum OS CSP: Windows 10, Version 1803 and later 4. GRID: MS-00000253 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2
4.5.6 Переконайтеся, що для параметра «MSS: (KeepAliveTime) Частота надсилання пакетів підтримки активності в мілісекундах» встановлено значення «Увімкнено: 300 000 або 5 хвилин (рекомендовано)»
Це значення контролює, як часто TCP намагається перевірити, чи неактивне з’єднання все ще залишається неушкодженим шляхом надсилання пакета підтримки активності. Якщо віддалений комп’ютер все ще доступний, він підтверджує пакет підтримки активності. Рекомендований стан для цього параметра: Увімкнено: 300 000 або 5 хвилин (рекомендовано).
Зловмисник, який може підключитися до мережевих програм, може встановити численні підключення, щоб викликати стан DoS.
Windows не надсилає пакети Keep-alive за замовчуванням. Однак деякі програми може налаштувати позначку стеку TCP, яка запитує пакети підтримки активності. Для таких конфігурації, ви можете зменшити це значення з двох годин за замовчуванням до п’яти хвилин, щоб швидше відключити неактивні сесії.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 300000.
HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters:KeepAliveTime
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\MSS (Legacy)\MSS: (KeepAliveTime) How often keep- alive packets are sent in milliseconds - Рекомендований стан:
Enabled: 300,000 or 5 minutes (recommended)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://techcommunity.microsoft.com/t5/microsoft-security-baselines/the-mss- settings/ba-p/701055 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-mss-legacy#pol_mss_keepalivetime 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later 4. GRID: MS-00000254 `
CIS Controls: `
IG 1
IG 1
4.5.7 Переконайтеся, що для параметра «MSS: (NoNameReleaseOnDemand) Дозволити комп’ютеру ігнорувати запити на звільнення імен NetBIOS, крім серверів WINS» встановлено значення «Увімкнено».
NetBIOS через TCP/IP — це мережевий протокол, який, серед іншого, забезпечує спосіб легко розпізнавати імена NetBIOS, зареєстровані в системах на базі Windows, на IP адреси, налаштовані в цих системах. Цей параметр визначає, чи комп’ютер відкриває своє ім’я NetBIOS, коли отримує запит на звільнення імені. Рекомендований стан для цього параметра: увімкнено.
Протокол NetBT розроблений для того, щоб не використовувати автентифікацію, і тому є вразливим підробка. Підробка створює враження, що передача надходить від користувача, відмінного від користувач, який виконав дію. Зловмисник може використати неавтентифікований характер протоколу для надсилання датаграми конфлікту імен на цільовий комп’ютер, який призвело б до того, що комп’ютер відмовився від свого імені та не відповідав на запити. Зловмисник може надіслати запит через мережу та запитати комп’ютер, щоб звільнити його Ім’я NetBIOS. Як і будь-які зміни, які можуть вплинути на програми, це рекомендовано щоб ви перевірили цю зміну в невиробничому середовищі, перш ніж змінювати виробниче середовище. Результатом такої атаки можуть бути періодичні проблеми з підключенням до цільового комп’ютера або навіть для запобігання використанню мережевого оточення, входу в домен, команду NET SEND або додаткове вирішення імен NetBIOS.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Services\NetBT\Parameters:NoNameReleaseOnDemand
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\MSS (Legacy)\MSS: (NoNameReleaseOnDemand) Allow the computer to ignore NetBIOS name release requests except from WINS servers - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://techcommunity.microsoft.com/t5/microsoft-security-baselines/the-mss- settings/ba-p/701055 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- msslegacy#allowthecomputertoignorenetbiosnamereleaserequestsexceptfromwi nsservers 3. Minimum OS CSP: Windows 10, Version 1803 and later 4. GRID: MS-00000255 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.5.8 Переконайтеся, що «MSS: (PerformRouterDiscovery) Allow IRDP to detect and configure Default Gateway addresses (canly lead to DoS)» встановлено на «Disabled»
Цей параметр використовується для ввімкнення або вимкнення протоколу виявлення Інтернет-маршрутизатора (IRDP), що дозволяє системі виявляти та налаштовувати адреси шлюзу за замовчуванням автоматично, як описано в RFC 1256 на основі кожного інтерфейсу. Рекомендований стан для цього параметра: вимкнено.
Зловмисник, який отримав контроль над комп’ютером у тому ж сегменті мережі, може налаштувати комп’ютер у мережі на імітацію маршрутизатора. Інші комп’ютери с Увімкнута IRDP спробує спрямувати свій трафік через уже скомпрометований комп’ютер.
Windows не буде автоматично виявляти та налаштовувати адреси шлюзу за замовчуванням на комп’ютер.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters:PerformRouterDiscovery
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\MSS (Legacy)\MSS: (PerformRouterDiscovery) Allow IRDP to detect and configure Default Gateway addresses (could lead to DoS) - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://techcommunity.microsoft.com/t5/microsoft-security-baselines/the-mss- settings/ba-p/701055 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-mss-legacy#pol_mss_performrouterdiscovery 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later 4. GRID: MS-00000256 `
CIS Controls: `
IG 1, 2
IG 1, 2
4.5.9 Переконайтеся, що для параметра «MSS: (SafeDllSearchMode) Enable Safe DLL search mode (recommended)» встановлено значення «Enabled»
Порядок пошуку DLL може бути налаштований для пошуку DLL, які запитує запуск процесів одним із двох способів: • Спочатку шукайте папки, вказані в системному шляху, а потім шукайте поточні робоча папка. • Спочатку виконайте пошук у поточній робочій папці, а потім у папках, указаних у системний шлях. Якщо ввімкнуто, значення реєстру встановлено на 1. З налаштуванням 1 спочатку система шукає папки, які вказані в системному шляху, а потім шукає поточну робоча папка. Якщо вимкнено, значення реєстру встановлюється на 0 і система першою шукає поточну робочу папку, а потім шукає папки, які вказані в системний шлях. Програми будуть змушені спочатку шукати DLL у системному шляху. Для додатків які вимагають унікальних версій цих DLL, які входять до програми, це введення може спричинити проблеми з продуктивністю або стабільністю. Рекомендований стан для цього параметра: увімкнено. Примітка. Більше інформації про те, як працює безпечний режим пошуку DLL, доступно за цим посиланням: Порядок пошуку бібліотеки динамічного компонування – програми Windows | Microsoft Docs
Якщо користувач несвідомо виконує ворожий код, який був упакований із додатковими файлами, які включати модифіковані версії системних DLL, ворожий код міг завантажувати власні версії цих DLL і потенційно збільшить тип і ступінь пошкодження коду рендерити.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Control\Session Manager:SafeDllSearchMode
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\MSS (Legacy)\MSS: (SafeDllSearchMode) Enable Safe DLL search mode (recommended) - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://techcommunity.microsoft.com/t5/microsoft-security-baselines/the-mss- settings/ba-p/701055 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-mss-legacy#pol_mss_safedllsearchmode 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later 4. GRID: MS-00000257 `
CIS Controls: `
IG 1, 2
IG 1, 2
4.5.10 Переконайтеся, що для параметра «MSS: (TcpMaxDataRetransmissions IPv6) Скільки разів повторно передаються непідтверджені дані» встановлено значення «Увімкнено: 3».
Цей параметр контролює кількість разів, коли TCP повторно передає окремі дані сегмент (сегмент без з’єднання) до того, як з’єднання буде перервано. Ретрансляція тайм-аут подвоюється з кожною наступною повторною передачею під час з’єднання. Він скидається коли відповіді відновляться. Базове значення тайм-ауту динамічно визначається виміряний час зворотного зв’язку. Рекомендований стан для цього параметра: Увімкнено: 3.
Зловмисник може вичерпати ресурси цільового комп’ютера, якщо він ніколи їх не надсилатиме повідомлення-підтвердження для даних, які були передані цільовим комп’ютером.
TCP запускає таймер повторної передачі, коли кожен вихідний сегмент передається на IP. Якщо не отримано підтвердження для даних у даному сегменті до таймера закінчується, тоді сегмент повторно передається до трьох разів.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 3.
HKLM\SYSTEM\CurrentControlSet\Services\TCPIP6\Parameters:TcpMaxDataRetransmissions
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\MSS (Legacy)\MSS:(TcpMaxDataRetransmissions IPv6) How many times unacknowledged data is retransmitted - Рекомендований стан:
Enabled: 3
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://techcommunity.microsoft.com/t5/microsoft-security-baselines/the-mss- settings/ba-p/701055 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-mss-legacy#pol_mss_tcpmaxdataretransmissionsipv6 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later 4. GRID: MS-00000259 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2
4.5.11 Переконайтеся, що для параметра «MSS: (TcpMaxDataRetransmissions) Скільки разів повторно передано непідтверджені дані» встановлено значення «Увімкнено: 3».
Цей параметр контролює кількість разів, коли TCP повторно передає окремі дані сегмент (сегмент без з’єднання) до того, як з’єднання буде перервано. Ретрансляція тайм-аут подвоюється з кожною наступною повторною передачею під час з’єднання. Він скидається коли відповіді відновляться. Базове значення тайм-ауту динамічно визначається виміряний час зворотного зв’язку. Рекомендований стан для цього параметра: Увімкнено: 3.
Зловмисник може вичерпати ресурси цільового комп’ютера, якщо він ніколи їх не надсилатиме повідомлення-підтвердження для даних, які були передані цільовим комп’ютером.
TCP запускає таймер повторної передачі, коли кожен вихідний сегмент передається на IP. Якщо не отримано підтвердження для даних у даному сегменті до таймера закінчується, тоді сегмент повторно передається до трьох разів.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 3.
HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters:TcpMaxDataRetransmissions
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\MSS (Legacy)\MSS:(TcpMaxDataRetransmissions) How many times unacknowledged data is retransmitted - Рекомендований стан:
Enabled: 3
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://techcommunity.microsoft.com/t5/microsoft-security-baselines/the-mss- settings/ba-p/701055 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-mss-legacy#pol_mss_tcpmaxdataretransmissions 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later 4. GRID: MS-00000260 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2
4.5.12 Переконайтеся, що для параметра «MSS: (WarningLevel) Відсоткове порогове значення для журналу подій безпеки, за якого система генеруватиме попередження» встановлено значення «Увімкнено: 90% або менше».
Цей параметр може генерувати аудит безпеки в журналі подій безпеки, коли журнал досягає визначений користувачем поріг. Рекомендований стан для цього параметра: Увімкнено: 90% або менше. Примітка. Якщо параметри журналу налаштовано на Перезапис подій за потреби або Перезапис подій старше x днів, ця подія не буде створена.
Якщо журнал безпеки досягає 90 відсотків своєї ємності, а комп’ютер не був налаштований на перезапис подій за потреби, новіші події не записуватимуться до журнал. Якщо журнал досягає своєї ємності, а комп’ютер налаштовано на вимкнення коли він більше не зможе записувати події в журнал безпеки, комп’ютер вимкнеться і більше не буде доступним для надання мережевих послуг.
Подія аудиту буде згенерована, коли журнал безпеки буде заповнений на 90%. порогове значення (або будь-яке інше нижче значення), якщо журнал не налаштовано на перезапис події за потреби.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 90.
HKLM\SYSTEM\CurrentControlSet\Services\Eventlog\Security:WarningLevel
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\MSS (Legacy)\MSS: (WarningLevel) Percentage threshold for the security event log at which the system will generate a warning - Рекомендований стан:
Enabled: 90% or less
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://techcommunity.microsoft.com/t5/microsoft-security-baselines/the-mss- settings/ba-p/701055 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-mss-legacy#pol_mss_warninglevel 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later 4. GRID: MS-00000261 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2
IG 1, 2
4.6.4.1 Переконайтеся, що для параметра «Вимкнути розпізнавання імен багатоадресної передачі» встановлено значення «Увімкнено»
Link-Local Multicast Name Resolution (LLMNR) є вторинним розпізнаванням імен протокол. За допомогою LLMNR запити надсилаються за допомогою багатоадресної розсилки через посилання локальної мережі на a однієї підмережі від клієнтського комп’ютера до іншого клієнтського комп’ютера в тій же підмережі, що також увімкнено LLMNR. Для LLMNR не потрібен DNS-сервер або DNS-клієнт конфігурації та забезпечує розпізнавання імен у сценаріях, у яких звичайний DNS розпізнавання імен неможливе. Рекомендований стан для цього параметра: увімкнено.
Зловмисник може прослуховувати в мережі ці LLMNR (UDP/5355) або NBT-NS (UDP/137) транслює та відповідає на них, змушуючи хоста думати, що він знає розташування запитуваної системи. Примітка: щоб повністю пом’якшити локальне отруєння розпізнавання імен, окрім цього параметра, у властивостях кожної встановленої мережної карти також має бути встановлено значення Вимкнути NetBIOS TCP/IP (на вкладці WINS у властивостях мережевого адаптера). На жаль, глобального налаштування немає щоб досягти цього, що автоматично застосовується до всіх мережевих карток – це налаштування для кожної мережевої карти, яке змінюється з різними інсталяціями обладнання NIC.
Якщо DNS недоступний, система не зможе запитувати його в інших системах в одній підмережі.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient:EnableMulticast
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Network\DNS Client\Turn off multicast name resolution - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/openspecs/windows_protocols/ms- llmnrp/02b1d227-d7a2-4026-9fd6-27ea5651fe85 2. GRID: MS-00000264 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.6.8.1 Переконайтеся, що для параметра «Увімкнути драйвер введення-виведення Mapper (LLTDIO)» встановлено значення «Вимкнено»
Цей параметр політики змінює робочу поведінку мережевого протоколу Mapper I/O водій. LLDTIO дозволяє комп’ютеру виявляти топологію мережі, до якої він підключений. Це також дозволяє комп’ютеру ініціювати запити якості обслуговування, наприклад пропускної здатності оцінка та аналіз справності мережі. Рекомендований стан для цього параметра: вимкнено.
Щоб допомогти захиститися від можливого виявлення та підключення до несанкціонованих пристроїв, цей параметр має бути вимкнено, щоб запобігти відповіді на мережевий трафік для мережі відкриття топології.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується такими розташуваннями реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\LLTD:AllowLLTDIOOnDomainHKLM\SOFTWARE\Policies\Microsoft\Windows\LLTD:AllowLLTDIOOnPublicNet
HKLM\SOFTWARE\Policies\Microsoft\Windows\LLTD:EnableLLTDIOHKLM\SOFTWARE\Policies\Microsoft\Windows\LLTD:ProhibitLLTDIOOnPrivateNet
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Network\Link-Layer Topology Discovery\Turn on Mapper I/O (LLTDIO) driver - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000267 2. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1
IG 1, 2, 3
4.6.8.2 Переконайтеся, що для параметра «Увімкнути драйвер відповідача (RSPNDR)» встановлено значення «Вимкнено»
Цей параметр політики змінює робочу поведінку мережевого протоколу відповідача водій. Відповідач дозволяє комп’ютеру брати участь у виявленні топології рівня зв’язку запити, щоб його можна було виявити та знайти в мережі. Це також дозволяє a комп’ютер для участі в діяльності з контролю якості обслуговування, наприклад оцінці пропускної здатності та аналіз справності мережі. Рекомендований стан для цього параметра: вимкнено.
Щоб допомогти захиститися від можливого виявлення та підключення до несанкціонованих пристроїв, цей параметр має бути вимкнено, щоб запобігти відповіді на мережевий трафік для мережі відкриття топології.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується такими розташуваннями реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\LLTD:AllowRspndrOnDomainHKLM\SOFTWARE\Policies\Microsoft\Windows\LLTD:AllowRspndrOnPublicNet
HKLM\SOFTWARE\Policies\Microsoft\Windows\LLTD:EnableRspndrHKLM\SOFTWARE\Policies\Microsoft\Windows\LLTD:ProhibitRspndrOnPrivateNet
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Network\Link-Layer Topology Discovery\Turn on Responder - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000268 2. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1
IG 1, 2, 3
4.6.9.1 Переконайтеся, що для параметра «Заборонити встановлення та конфігурацію мережевого мосту у вашій доменній мережі DNS» встановлено значення «Увімкнено».
Ви можете використовувати цю процедуру, щоб керувати здатністю користувача встановлювати та налаштовувати мережу Міст. Рекомендований стан для цього параметра: увімкнено.
Параметр «Мережевий міст», якщо його ввімкнено, дозволяє користувачам створювати доступ до медіа рівня 2 Контрольний (MAC) міст, що дозволяє їм з’єднувати дві або більше фізичних мереж сегменти разом. Таким чином, мережевий міст дозволяє комп’ютеру, який має підключення до дві різні мережі для обміну даними між цими мережами. У корпоративному керованому середовищі, де необхідно контролювати мережевий трафік лише авторизовані шляхи, дозволяючи користувачам створювати мережевий міст, збільшує ризик і поверхню атаки з мостової мережі.
Користувачі не можуть створити або налаштувати мережевий міст.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\NetworkConnections:NC_AllowNetBridge_NLA
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Network\Network Connections\Prohibit installation and configuration of Network Bridge on your DNS domain network - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000270 2. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1, 2, 3
IG 1, 2
4.6.9.2 Переконайтеся, що для параметра «Заборонити використання спільного доступу до підключення до Інтернету у вашій доменній мережі DNS» встановлено значення «Увімкнено».
Хоча цей «застарілий» параметр традиційно застосовувався до використання підключення до Інтернету Спільний доступ (ICS) у Windows 2000, Windows XP і Server 2003, це налаштування оновлено застосовується до функції Mobile Hotspot у Windows 10 і Server 2016. Рекомендований стан для цього параметра: увімкнено. Попередження: щоб Application Guard працював правильно, ICS має бути ввімкнено. Якщо У середовищі використовується Application Guard, але це виняток може знадобитися рекомендація. Щоб дізнатися більше про те, як вимкнути частини ICS не порушуючи Application Guard, будь ласка, відвідайте: FAQ – Microsoft Defender Application Охоронець | Microsoft Learn.
Особи, які не є адміністраторами, не повинні мати можливість увімкнути функцію мобільної точки доступу та відкрити її підключення до мобільних пристроїв поблизу.
Мобільну точку доступу не можуть увімкнути або налаштувати адміністратори та не Адміністратори однакові.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\NetworkConnections:NC_ShowSharedAccessUI
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Network\Network Connections\Prohibit use of Internet Connection Sharing on your DNS domain network - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-networkconnections#nc_showsharedaccessui 2. GRID: MS-00000271 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.6.9.3 Переконайтеся, що для параметра «Вимагати від користувачів домену підвищення під час встановлення розташування мережі» встановлено значення «Увімкнено»
Цей параметр політики визначає, чи вимагати від користувачів домену підвищення під час налаштування розташування мережі. Рекомендований стан для цього параметра: увімкнено.
Дозвол звичайним користувачам встановлювати мережеве розташування збільшує ризик і поверхню для атаки.
Користувачі домену повинні підвищити рівень під час встановлення розташування мережі.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\NetworkConnections:NC_StdDomainUserSetLocation
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Network\Network Connections\Require domain users to elevate when setting a network's location - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-networkconnections#nc_stddomainusersetlocation 2. GRID: MS-00000272 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1
IG 1, 2, 3
4.6.11.1 Переконайтеся, що для параметра «Hardened UNC Paths» встановлено значення «Enabled» із параметрами «Require Mutual Authentication», «Require Integrity» і «Require Privacy» для всіх спільних ресурсів NETLOGON і SYSVOL».
Цей параметр політики налаштовує безпечний доступ до шляхів UNC. Рекомендований стан для цього параметра: увімкнено з «Потрібно спільний Автентифікація», «Потрібна цілісність» і «Потрібна конфіденційність». усі спільні ресурси NETLOGON і SYSVOL. Примітка. Якщо середовищем на 100% керує Intune, ці спільні ресурси будуть недоступні. Буде потрібен виняток із цієї рекомендації.
У лютому 2015 року корпорація Майкрософт випустила новий механізм контролю для послаблення безпеки ризик у груповій політиці в рамках оновлення безпеки MS15-011 / MSKB 3000483. Це вимагає встановлення нового оновлення безпеки, а також розгортання певних параметрів групової політики на всіх комп’ютерах у домені з Windows Vista / Server 2008 (не R2) або новіша (пов’язане виправлення безпеки для увімкнути цю функцію не було випущено для Server 2003). Новий шаблон групової політики (NetworkProvider.admx/adml) також було надано з оновленням безпеки. Після створення нового шаблону GPO наступні мінімальні вимоги усунення ризику безпеки групової політики: \\*\NETLOGON RequireMutualAuthentication=1, RequireIntegrity=1, RequirePrivacy=1 \\*\SYSVOL RequireMutualAuthentication=1, RequireIntegrity=1, RequirePrivacy=1 Примітка: може знадобитися перезавантаження після того, як налаштування буде застосовано до клієнтської машини для доступу вищезазначені шляхи. Додаткові вказівки щодо розгортання цього параметра безпеки доступні на сайті Платформи Microsoft Premier Field Engineering (PFE) TechNet Blog тут: Інструкції щодо Розгортання MS15-011 і MS15-014.
Windows дозволяє доступ до вказаних шляхів UNC лише після виконання додаткового захисту вимоги.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується такими розташуваннями реєстру з a REG_SZ значення RequireMutualAuthentication=1, RequireIntegrity=1, RequirePrivacy=1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\NetworkProvider\HardenedPaths:\\*\NETLOGON
HKLM\SOFTWARE\Policies\Microsoft\Windows\NetworkProvider\HardenedPaths:\\*\SYSVOL
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled, налаштовані принаймні такі шляхи: \\*\NETLOGON RequireMutualAuthentication=1, RequireIntegrity=1, RequirePrivacy=1 \\*\SYSVOL RequireMutualAuthentication=1, RequireIntegrity=1, RequirePrivacy=1 Адміністративні шаблони\Мережа\Постачальник мережі\Закріплені шляхи UNC
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/openspecs/windows_protocols/ms- dfsc/149a3039-98ce-491a-9268-2f5ddef08192 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000273 `
CIS Controls: `
IG 1
IG 1
4.6.17.1 Переконайтеся, що для параметра «Конфігурація параметрів бездротового зв’язку за допомогою Windows Connect Now» встановлено значення «Вимкнено».
Цей параметр політики дозволяє конфігурувати параметри бездротового зв’язку за допомогою Windows Connect Зараз (WCN). Реєстратор WCN дозволяє виявляти та конфігурувати пристрої через Ethernet (UPnP) через внутрішньосмугову мережу Wi-Fi 802.11 через портативний пристрій Windows API (WPD) і через USB Flash накопичувачі. Для виявлення доступні додаткові параметри і конфігурація на певному носії. Рекомендований стан для цього параметра: вимкнено.
Цей параметр підвищує безпеку середовища та знижує загальний ризик вплив, пов’язаний із конфігурацією користувачем параметрів бездротового зв’язку.
Операції WCN вимкнено на всіх носіях.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується такими розташуваннями реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\WCN\Registrars:EnableRegistrarsHKLM\SOFTWARE\Policies\Microsoft\Windows\WCN\Registrars:DisableUPnPRegistrar
HKLM\SOFTWARE\Policies\Microsoft\Windows\WCN\Registrars:DisableInBand802DOT11Registrar
HKLM\SOFTWARE\Policies\Microsoft\Windows\WCN\Registrars:DisableFlashConfigRegistrar
HKLM\SOFTWARE\Policies\Microsoft\Windows\WCN\Registrars:DisableWPDRegistrar
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Network\Windows Connect Now\Configuration of wireless settings using Windows Connect Now - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-windowsconnectnow#wcn_disablewcnui_1 2. GRID: MS-00000276 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1
IG 1
4.6.17.2 Переконайтеся, що для параметра «Заборонити доступ майстрів Windows Connect Now» встановлено значення «Увімкнено».
Цей параметр політики забороняє доступ до майстрів Windows Connect Now (WCN). Рекомендований стан для цього параметра: увімкнено.
Надання звичайним користувачам доступу до майстра Windows Connect Now збільшує ризик і поверхні атаки.
Майстри WCN вимкнено, і користувачі не мають доступу до жодного із завдань майстра. Усі завдання, пов’язані з налаштуванням, включаючи «Налаштування бездротового маршрутизатора або точки доступу» і «Додати бездротовий пристрій» вимкнено.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\WCN\UI:DisableWcnUi
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Network\Windows Connect Now\Prohibit access of the Windows Connect Now wizards - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-windowsconnectnow#wcn_enableregistrar 2. GRID: MS-00000277 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.6.18.1 Переконайтеся, що для параметра «Мінімізувати кількість одночасних підключень до Інтернету або домену Windows» встановлено значення «Увімкнено: 3 = заборонити Wi-Fi під час підключення до Ethernet».
Цей параметр політики запобігає одночасному встановленню кількох комп’ютерів підключення до Інтернету або до домену Windows. Рекомендований стан для цього параметра: Увімкнено: 3 = заборонити Wi-Fi, коли ввімкнено Ethernet.
Запобігання з’єднань через мост може допомогти запобігти несвідомому дозволу користувача трафік для маршрутизації між внутрішніми та зовнішніми мережами, що ризикує піддатися чутливим внутрішні дані.
Під час підключення до Ethernet-з’єднання Windows не дозволяє використовувати WLAN (автоматично або вручну), доки Ethernet не буде відключено. Однак якщо стільникові дані з’єднання доступне, він завжди залишатиметься на зв’язку для послуг, які його потребують, але ні Інтернет-трафік спрямовуватиметься через стільниковий зв’язок, якщо є з’єднання Ethernet або WLAN.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 3.
HKLM\SOFTWARE\Policies\Microsoft\Windows\WcmSvc\GroupPolicy:fMinimizeConnections
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Network\Windows Connection Manager\Minimize the number of simultaneous connections to the Internet or a Windows Domain - Рекомендований стан:
Enabled: 3 = Prevent Wi-Fi when on Ethernet
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-wcm#wcm_minimizeconnections 2. GRID: MS-00000278 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2, 3
IG 1
4.6.18.2 Переконайтеся, що для параметра «Заборонити підключення до мереж, які не належать до домену, підключено до мережі з автентифікацією домену» встановлено значення «Увімкнено».
Цей параметр політики запобігає підключенню комп’ютерів до мережі на основі домену і мережа, що не базується на домені одночасно. Рекомендований стан для цього параметра: увімкнено.
Потенційне занепокоєння полягає в тому, що користувач несвідомо дозволить перетікати мережевий трафік між незахищеною загальнодоступною мережею та керованою мережею підприємства.
Комп’ютер реагує на автоматичні та ручні спроби підключення до мережі на основі за таких обставин: Автоматичні спроби підключення – коли комп’ютер уже підключено до домену мережі, усі спроби автоматичного підключення до мереж, що не належать до домену, блокуються. – Якщо комп’ютер уже під’єднано до мережі, що не базується на домені, автоматично спроби підключення до доменних мереж блокуються. Спроби підключення вручну – коли комп’ютер уже підключено до доменна мережа або доменна мережа через середовище, відмінне від Ethernet, і користувач намагається вручну створити підключення до додаткової мережі в порушення цей параметр політики, наявне мережеве з’єднання роз’єднано та вручну підключення дозволено. – Якщо комп’ютер уже під’єднано до доменна мережа або доменна мережа через Ethernet, і користувач намагається створити ручне підключення до додаткової мережі в порушення цього параметра політики, існуюче з’єднання Ethernet зберігається, а спроба підключення вручну зберігається заблоковано.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\WcmSvc\GroupPolicy:fBlockNonDomain
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Network\Windows Connection Manager\Prohibit connection to non-domain networks when connected to domain authenticated network - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- windowsconnectionmanager#prohitconnectiontonondomainnetworkswhenconnec tedtodomainauthenticatednetwork 2. GRID: MS-00000279 3. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
IG 1
IG 1, 2, 3
4.7.1 Переконайтеся, що для параметра «Дозволити диспетчеру друку приймати підключення клієнтів» встановлено значення «Вимкнено»
Цей параметр політики визначає, чи буде служба диспетчера друку приймати клієнта з’єднання. Рекомендований стан для цього параметра: вимкнено. Примітка. Щоб змінити цю політику, потрібно перезапустити службу друку ефект.
Вимкнення можливості для служби диспетчера друку приймати клієнтські з’єднання пом’якшує проблему віддалені атаки на вразливість PrintNightmare (CVE-2021-34527) та інші віддалені атаки Print Spooler. Однак ця рекомендація не пом’якшує локальні атаки на службу Print Spooler.
За умови, що службу Print Spooler не вимкнено, користувачі й надалі зможуть це робити друкувати зі своєї робочої станції. Однак служба диспетчера друку на робочій станції не буде приймати підключення клієнтів або дозволяти користувачам спільно використовувати принтери. Зауважте, що всі принтери, що якими вже ділилися, продовжуватимуть ділитися.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 2.
HKLM\Software\Policies\Microsoft\WindowsNT\Printers:RegisterSpoolerRemoteRpcEndPoint
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Printers\Allow Print Spooler to accept client connections - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-printing2#registerspoolerremoterpcendpoint 3. GRID: MS-00000281 4. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2, 3
IG 1, 2
4.7.2 Переконайтеся, що для параметра «Налаштувати Redirection Guard: Параметри Redirection Guard» встановлено значення «Enabled: Redirection Guard Enabled»
Цей параметр політики визначає, чи ввімкнено Redirection Guard для друку спулер. Redirection Guard може запобігти використанню перенаправлення файлів під час друку спулер. Рекомендований стан для цього параметра: Enabled: Redirection Guard Enabled.
Цей параметр не дозволяє особам, які не є адміністраторами, переспрямовувати файли в спулері друку процес.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Printers:RedirectionguardPolicy
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до Enabled: Redirection Guard Enabled: Адміністративні шаблони\Принтери\Налаштувати захист від перенаправлення: перенаправлення Параметри охорони
Застосовується лише до Windows 11.
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://techcommunity.microsoft.com/t5/microsoft-security-baselines/windows-11- version-22h2-security-baseline/ba-p/3632520 2. GRID: MS-00000282 3. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- printers#configureredirectionguardpolicy 4. Minimum OS CSP: Windows 11, Version 22H2 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.7.3 Переконайтеся, що для параметра «Налаштувати параметри з’єднання RPC: протокол для вихідних з’єднань RPC» встановлено значення «Увімкнено: RPC через TCP».
Цей параметр політики визначає, який протокол і параметри протоколу використовувати для вихідних повідомлень Підключення Remote Procedure Call (RPC) до віддаленого спулера друку. Рекомендований стан для цього параметра: Увімкнено: RPC через TCP
Цей параметр запобігає використанню іменованих каналів для підключень RPC до спулера друку і змушує використовувати TCP, який є більш безпечним методом зв’язку.
Попередження: у багатьох існуючих конфігураціях друку можуть використовуватися канали зі старішими назвами протоколу і тому перестане функціонувати.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\WindowsNT\Printers\RPC:RpcUseNamedPipeProtocol
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу параметрів до Enabled: RPC через TCP: Адміністративні шаблони\Принтери\Налаштування параметрів підключення RPC: протокол використовувати для вихідних з’єднань RPC
Застосовується лише до Windows 11.
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/troubleshoot/windows-client/printing/windows- 11-rpc-connection-updates-for-print#allow-rpc-over-tcp-communication 2. GRID: MS-00000283 3. Minimum OS CSP: Windows 11, Version 22H2 and later 4. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- printers#configurerpcconnectionpolicy `
CIS Controls: `
IG 1
IG 1
4.7.4 Переконайтеся, що для параметра «Налаштувати параметри з’єднання RPC: використовувати автентифікацію для вихідних з’єднань RPC» встановлено значення «Увімкнено: за замовчуванням».
Цей параметр політики визначає, який протокол і параметри протоколу використовувати для вихідних повідомлень Підключення Remote Procedure Call (RPC) до віддаленого спулера друку. Рекомендований стан для цього параметра: увімкнено: за замовчуванням
Цей параметр може запобігти використанню іменованих каналів для підключень RPC до друку спулер і змушує використовувати TCP, який є більш безпечним методом зв’язку.
Попередження: у багатьох існуючих конфігураціях друку можуть використовуватися канали зі старішими назвами протоколу і тому перестане функціонувати.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Printers\RPC:RpcAuthentication
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: за замовчуванням: Адміністративні шаблони\Принтери\Налаштування параметрів підключення RPC: Використовуйте аутентифікація для вихідних з’єднань RPC
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/troubleshoot/windows-client/printing/windows- 11-rpc-connection-updates-for-print#allow-rpc-over-tcp-communication 2. GRID: MS-00000284 3. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- printers#configurerpcconnectionpolicy 4. Minimum OS CSP: Windows 11, Version 22H2 and later `
CIS Controls: `
IG 1
IG 1
4.7.5 Переконайтеся, що для параметра «Налаштувати параметри прослуховувача RPC: протокол автентифікації для вхідних з’єднань RPC» встановлено значення «Увімкнено: узгодити» або вище
Цей параметр політики контролює, які протоколи вхідного виклику віддаленої процедури (RPC) дозволено використовувати підключення до спулера друку. Рекомендований стан для цього параметра: Enabled: Negotiate або вище.
Цей параметр може запобігти використанню іменованих каналів для підключень RPC до друку спулер і змушує використовувати TCP, який є більш безпечним методом зв’язку.
Попередження: у багатьох існуючих конфігураціях друку можуть використовуватися канали зі старішими назвами протоколу і тому перестане функціонувати.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0 або 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Printers\RPC:ForceKerberosForRpc
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до Enabled: Negotiate або вище: Адміністративні шаблони\Принтери\Налаштування параметрів слухача RPC: налаштувати параметри протоколу для вхідних з’єднань RPC
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000286 2. Minimum OS CSP: Windows 11, Version 22H2 and later 3. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- printers#configurerpclistenerpolicy `
CIS Controls: `
IG 1
IG 1
4.7.6 Переконайтеся, що для параметра «Налаштувати параметри прослуховування RPC: протоколи для вхідних з’єднань RPC» встановлено значення «Увімкнено: RPC через TCP».
Цей параметр політики контролює, які протоколи вхідного виклику віддаленої процедури (RPC) дозволено використовувати підключення до спулера друку. Рекомендований стан для цього параметра: Увімкнено: RPC через TCP.
Цей параметр може запобігти використанню іменованих каналів для підключень RPC до друку спулер і змушує використовувати TCP, який є більш безпечним методом зв’язку.
Попередження: у багатьох існуючих конфігураціях друку можуть використовуватися канали зі старішими назвами протоколу і тому перестане функціонувати.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 5.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Printers\RPC:RpcProtocols
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу параметрів до Enabled: RCP через TCP: Адміністративні шаблони\Принтери\Налаштування параметрів слухача RPC: налаштувати параметри протоколу для вхідних з’єднань RPC
Застосовується лише до Windows 11.
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000285 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- printers#configurerpclistenerpolicy 3. Minimum OS CSP: Windows 11, Version 22H2 and later `
CIS Controls: `
IG 1
IG 1
4.7.7 Переконайтеся, що для параметра «Налаштувати RPC через порт TCP: RPC через порт TCP:» встановлено значення «Увімкнено: 0».
Цей параметр політики визначає, який порт використовується для RPC через TCP для вхідних повідомлень підключення до спулера друку та вихідні з’єднання з віддаленими спулерами друку. Рекомендований стан для цього параметра: Увімкнено: 0.
Використання динамічних портів для друку ускладнює для зловмисника визначення того, який саме порт використовується і, отже, який порт атакувати.
Якщо поточне середовище друку налаштовано для певного порту TCP, цей параметр може потрібна зміна брандмауера (якщо є) для продовження друку.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Printers\RPC:RpcTcpPort
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: 0: Адміністративні шаблони\Принтери\Налаштувати RPC через порт TCP: RPC через TCP порт
Застосовується лише до Windows 11.
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000287 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- printers#configurerpctcpport 3. Minimum OS CSP: Windows 11, Version 22H2 and later `
CIS Controls: `
IG 1
IG 1
4.7.8 Переконайтеся, що для параметра «Обмежує встановлення драйвера друку адміністраторами» встановлено значення «Увімкнено»
Цей параметр політики визначає, чи можуть користувачі, які не є адміністраторами, установлювати друк драйвери в системі. Рекомендований стан для цього параметра: увімкнено. Примітка. 10 серпня 2021 року корпорація Майкрософт оголосила про поведінку за замовчуванням «Вказати та друкувати». Зміна, яка змінює інсталяцію та оновлення драйвера Point and Print за замовчуванням поведінка вимагає прав адміністратора. Це задокументовано в KB5005652— Керуйте новою поведінкою встановлення драйвера Point and Print за замовчуванням (CVE-2021-34481).
Обмеження встановлення приводів друку адміністраторами може допомогти пом’якшити проблему Уразливість PrintNightmare (CVE-2021-34527) та інші атаки Print Spooler.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\WindowsNT\Printers\PointAndPrint:RestrictDriverInstallationToAdministrators
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Printers\Limits print driver installation to Administrators - Рекомендований стан:
Enabled
Застосовується лише до Windows 11.
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://support.microsoft.com/en-us/topic/kb5005010-restricting-installation-of- new-printer-drivers-after-applying-the-july-6-2021-updates-31b91c02-05bc-4ada- a7ea-183b129578a7 2. https://support.microsoft.com/en-gb/topic/kb5005652-manage-new-point-and- print-default-driver-installation-behavior-cve-2021-34481-873642bf-2634-49c5- a23b-6d8e9a302872 3. GRID: MS-00000288 4. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- printers#restrictdriverinstallationtoadministrators 5. Minimum OS CSP: Windows 11, Version 22H2 and later `
CIS Controls: `
IG 1
IG 1
4.7.9 Переконайтеся, що для параметра «Керування обробкою файлів черги: керування обробкою файлів черги» встановлено значення «Увімкнено: обмежити файли черги профілями кольорів».
Цей параметр політики керує обробкою файлів черги під час друку установка. Під час інсталяції принтера інсталяційна програма, що надається постачальником, може вкажіть набір файлів будь-якого типу, які будуть пов’язані з певною чергою друку. Файли завантажуються на кожен клієнт, який підключається до сервера друку. Рекомендований стан для цього параметра: увімкнено: обмеження файлів, що стосуються черги до кольорових профілів.
Уразливість віддаленого виконання коду Windows Print Spooler (CVE-2021-36958) існує, коли служба Windows Print Spooler неправильно виконує привілейований файл операції. Зловмисник, який успішно використовує цю вразливість, може виконувати довільні дії кодувати з правами SYSTEM, а потім інсталювати програми; переглядати, змінювати або видаляти дані; або створити нові облікові записи з повними правами користувача.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Printers:CopyFilesPolicy
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань увімкнути: обмежити файли, що стосуються черги, кольором профілі: Адміністративні шаблони\Принтери\Керування обробкою файлів, що стосуються черги: Керуйте обробкою файлів, що стосуються черги
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows-hardware/drivers/print/installing- queue-specific-files 2. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36958 3. GRID: MS-00000289 4. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- printers#configurecopyfilespolicy 5. Minimum OS CSP: Windows 11, Version 22H2 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.7.10 Переконайтеся, що для параметра «Обмеження вказівок і друку: під час інсталяції драйверів для нового підключення» встановлено значення «Увімкнено: показувати попередження та підказку про підвищення»
Цей параметр політики визначає, чи будуть комп’ютери показувати попередження та безпеку підказка підвищення, коли користувачі створюють нове підключення до принтера за допомогою «Вказати та друкувати». Рекомендований стан для цього параметра: Увімкнено: показувати попередження та висоту підказка. Примітка. 10 серпня 2021 року корпорація Майкрософт оголосила про поведінку за замовчуванням «Вказати та друкувати». Зміна, яка змінює інсталяцію та оновлення драйвера Point and Print за замовчуванням поведінка вимагає прав адміністратора. Це задокументовано в KB5005652— Керуйте новою поведінкою встановлення драйвера Point and Print за замовчуванням (CVE-2021-34481). Це зміна скасовує всі налаштування групової політики «Вказати та друкувати» та гарантує, що лише Адміністратори можуть інсталювати драйвери принтера з сервера друку за допомогою «Вказівки та друку».
Увімкнення контролю облікових записів Windows (UAC) для встановлення нових драйверів друку може допомогти зменшити вразливість PrintNightmare (CVE-2021-34527) та інші Print Атаки спулера. Хоча поведінка встановлення драйвера за замовчуванням «Вказати та друкувати» перекриває цей параметр, вона важливо налаштувати це як захист у випадку, якщо поведінка зміниться.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\Software\Policies\Microsoft\WindowsNT\Printers\PointAndPrint:NoWarningNoElevationOnInstall
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Printers\Point and Print Restrictions: When installing drivers for a new connection - Рекомендований стан:
Enabled: Show warning and elevation prompt
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1675 2. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34481 3. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527 4. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36958 5. https://msrc-blog.microsoft.com/2021/08/10/point-and-print-default-behavior- change/ 6. https://support.microsoft.com/en-us/topic/kb5005652-manage-new-point-and- print-default-driver-installation-behavior-cve-2021-34481-873642bf-2634-49c5- a23b-6d8e9a302872 7. Minimum OS CSP: Windows 10, Version 1703 and later 8. GRID: MS-00000290 `
CIS Controls: `
IG 1
IG 1
4.7.11 Переконайтеся, що для параметра «Обмеження вказівок і друку: під час оновлення драйверів для наявного підключення» встановлено значення «Увімкнено: показувати попередження та підказку про підвищення»
Цей параметр політики визначає, чи будуть комп’ютери показувати попередження та безпеку підказка підвищення прав, коли користувачі оновлюють драйвери для існуючого підключення за допомогою Point і Друк. Рекомендований стан для цього параметра: Увімкнено: показувати попередження та висоту підказка. Примітка. 10 серпня 2021 року корпорація Майкрософт оголосила про поведінку за замовчуванням «Вказати та друкувати». Зміна, яка змінює інсталяцію та оновлення драйвера Point and Print за замовчуванням поведінка вимагає прав адміністратора. Це задокументовано в KB5005652— Керуйте новою поведінкою встановлення драйвера Point and Print за замовчуванням (CVE-2021-34481). Це зміна скасовує всі налаштування групової політики «Вказати та друкувати» та гарантує, що лише Адміністратори можуть інсталювати драйвери принтера з сервера друку за допомогою «Вказівки та друку».
Увімкнення контролю облікових записів Windows (UAC) для оновлення наявних драйверів принтера може допомогти зменшити вразливість PrintNightmare (CVE-2021-34527) та інші Print Атаки спулера. Хоча поведінка встановлення драйвера за замовчуванням «Вказати та друкувати» перекриває цей параметр, вона важливо налаштувати це як захист у випадку, якщо поведінка зміниться.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\Software\Policies\Microsoft\WindowsNT\Printers\PointAndPrint:UpdatePromptSettings
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Printers\Point and Print Restrictions: When updating drivers for an existing connection - Рекомендований стан:
Enabled: Show warning and elevation prompt
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1675 2. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34481 3. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527 4. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36958 5. https://msrc-blog.microsoft.com/2021/08/10/point-and-print-default-behavior- change/ 6. https://support.microsoft.com/en-us/topic/kb5005652-manage-new-point-and- print-default-driver-installation-behavior-cve-2021-34481-873642bf-2634-49c5- a23b-6d8e9a302872 7. Minimum OS CSP: Windows 10, Version 1703 and later 8. GRID: MS-00000291 `
CIS Controls: `
IG 1
IG 1
4.10.4.1 Переконайтеся, що для параметра «Включити командний рядок у події створення процесу» встановлено значення «Увімкнено»
Цей параметр політики контролює, чи ввімкнено текст командного рядка створення процесу події аудиту безпеки під час створення нового процесу. Рекомендований стан для цього параметра: увімкнено. Примітка. Ця функція, якою керує цей параметр, спочатку не підтримувалася на робочій станції ОС, старіші за Windows 8.1. Однак у лютому 2015 року Microsoft додала підтримку функцію для Windows 7 і Windows 8.0 через оновлення – KB3004375. Тому це налаштування також важливо встановити на цих старих ОС.
Запис інформації командного рядка процесу в журнали подій може бути дуже цінним, коли проведення судово-медичних розслідувань нападів.
Інформація командного рядка процесу буде включена в журнали подій, які можуть містити конфіденційну або конфіденційну інформацію, таку як паролі або дані користувача. Попередження: існують потенційні ризики захоплення облікових даних і конфіденційної інформації які можуть бути відкритими для користувачів, які мають доступ для читання журналів подій. Microsoft забезпечує функцію під назвою «Захищене ведення журналу подій» для кращого захисту даних журналу подій. для допомогу щодо захисту журналювання подій відвідайте: Про журналювання Windows – PowerShell | Microsoft Docs.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Audit:ProcessCreationIncludeCmdLine_Enabled
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Audit Process Creation\Include command line in process creation events - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en- us/powershell/module/microsoft.powershell.core/about/about_logging_windows? view=powershell-7.2#protected-event-logging 2. GRID: MS-00000294 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.10.5.1 Переконайтеся, що для «Encryption Oracle Remediation» встановлено значення «Enabled: Force Updated Clients»
Деякі версії протоколу CredSSP, які використовуються деякими програмами (наприклад, Remote Desktop Connection) є вразливими до атаки оракула шифрування проти клієнт. Ця політика контролює сумісність із вразливими клієнтами та серверами та дозволяє ви можете встановити бажаний рівень захисту для вразливості оракула шифрування. Рекомендований стан для цього параметра: увімкнено: примусово оновлювати клієнтів.
Цей параметр важливий для пом’якшення вразливості оракула шифрування CredSSP яку інформацію опублікувала Microsoft 13.03.2018 у CVE-2018-0886 | Уразливість віддаленого виконання коду CredSSP. Усі версії Windows від Windows Починаючи з Vista, ця вразливість уражена, і вона буде сумісна з нею рекомендація за умови, що вони були виправлені принаймні до травня 2018 року (або пізніше).
Клієнтські програми, які використовують CredSSP, не зможуть повернутися до незахищеного версії та служби, що використовують CredSSP, не прийматимуть клієнтів без виправлень. Цей параметр не слід розгортати, доки всі віддалені хости не підтримають найновішу версію, тобто досягнуто шляхом забезпечення наявності всіх оновлень безпеки Microsoft принаймні до травня 2018 року встановлено.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters:AllowEncryptionOracle
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Credentials Delegation\Encryption Oracle Remediation - Рекомендований стан:
Enabled: Force Updated Clients
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/win32/secauthn/credential-security- support-provider 2. GRID: MS-00000295 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2, 3
4.10.5.2 Переконайтеся, що для параметра «Віддалений хост дозволяє делегування неекспортованих облікових даних» встановлено значення «Увімкнено»
Віддалений хост дозволяє делегувати облікові дані, які не можна експортувати. При використанні облікових даних делегування, пристрої надають експортовану версію облікових даних на віддалений хост. Це наражає користувачів на ризик викрадення облікових даних зловмисниками на віддаленому хості. The Режим обмеженого адміністратора та функції Remote Credential Guard у Захиснику Windows є два варіанти захисту від цього ризику. Рекомендований стан для цього параметра: увімкнено. Примітка. Більш детальна інформація про Windows Defender Remote Credential Guard і його порівняння з режимом обмеженого адміністратора можна знайти за цим посиланням: Protect Remote Облікові дані робочого стола за допомогою Windows Defender Remote Credential Guard (Windows 10) | Microsoft Docs
Обмежений режим адміністратора розроблено для захисту облікових записів адміністратора переконавшись, що багаторазові облікові дані не зберігаються в пам’яті на віддалених пристроях, які потенційно можуть бути скомпрометовані. Windows Defender Remote Credential Guard допомагає ви захищаєте свої облікові дані через підключення до віддаленого робочого стола, перенаправляючи Kerberos запити назад до пристрою, який запитує з’єднання. Обидві функції повинні бути увімкнено та підтримується, оскільки вони зменшують ймовірність крадіжки облікових даних.
Хост підтримуватиме обмежений режим адміністратора та Windows Defender Remote Функції Credential Guard.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\CredentialsDelegation:AllowProtectedCreds
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Credentials Delegation\Remote host allows delegation of non-exportable credentials - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/identity-protection/remote- credential-guard 2. GRID: MS-00000296 3. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
IG 1
IG 1, 2
4.10.9.1.1 Переконайтеся, що для параметра «Запобігати інсталяції пристроїв за допомогою драйверів, які відповідають цим класам налаштування пристрою» встановлено значення «Увімкнено».
Цей параметр політики дозволяє вказати глобально унікальний список класів налаштування пристрою ідентифікатори (GUID) для драйверів пристроїв, інсталяцію яких Windows заборонено. Це параметр політики має пріоритет над будь-яким іншим параметром політики, який дозволяє Windows встановити пристрій. Якщо ввімкнути цей параметр політики, Windows не зможе інсталювати або оновлювати пристрій драйвери, чиї GUID класу налаштування пристроїв відображаються у списку, який ви створюєте. Якщо ви ввімкнете це параметр політики на сервері віддаленого робочого столу, параметр політики впливає на переспрямування зазначені пристрої з клієнта віддаленого робочого стола на сервер віддаленого робочого столу. Якщо вимкнути або не налаштувати цей параметр політики, Windows зможе встановити й оновити пристроїв, дозволених або заборонених іншими параметрами політики. Рекомендований стан для цього параметра: увімкнено.
Комп’ютер, захищений BitLocker, може бути вразливим до прямого доступу до пам’яті (DMA) атакує, коли комп’ютер увімкнено або перебуває в режимі очікування, включаючи коли робоча станція заблокована. BitLocker із автентифікацією лише за допомогою TPM дозволяє комп’ютеру перейти у стан увімкнення без нього будь-яка автентифікація перед завантаженням. Тому зловмисник може виконати DMA напади. Ця проблема задокументована в статті 2516445 бази знань Microsoft: Блокування Драйвер SBP-2 і контролери Thunderbolt для зменшення 1394 DMA і Thunderbolt DMA загрози BitLocker.
Пристрої, що відповідають зазначеним класам налаштування пристрою, буде заборонено інсталювати.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions:DenyDeviceClasses
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Device Installation\Device Installation Restrictions\Prevent installation of devices using drivers that match these device setup classes - Рекомендований стан:
Enabled
Задокументовано в MSKB 2516445.
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- deviceinstallation#preventinstallationofmatchingdevicesetupclasses 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000308 `
CIS Controls: `
IG 1
IG 1
4.10.9.1.2 Переконайтеся, що «Запобігти встановленню пристроїв за допомогою драйверів, які відповідають цим класам налаштування пристроїв: також застосовувати до відповідних пристроїв, які вже встановлено». встановлено значення “Істина” (позначено)
Цей параметр політики дозволяє вказати глобально унікальний список класів налаштування пристрою ідентифікатори (GUID) для драйверів пристроїв, інсталяцію яких Windows заборонено. Це параметр політики має пріоритет над будь-яким іншим параметром політики, який дозволяє Windows встановити пристрій. Якщо ввімкнути цей параметр політики, Windows не зможе інсталювати або оновлювати пристрій драйвери, чиї GUID класу налаштування пристроїв відображаються у списку, який ви створюєте. Якщо ви ввімкнете це параметр політики на сервері віддаленого робочого столу, параметр політики впливає на переспрямування зазначені пристрої з клієнта віддаленого робочого стола на сервер віддаленого робочого столу. Якщо вимкнути або не налаштувати цей параметр політики, Windows зможе встановити й оновити пристроїв, дозволених або заборонених іншими параметрами політики. Рекомендований стан для цього параметра: True (вибрано).
Комп’ютер, захищений BitLocker, може бути вразливим до прямого доступу до пам’яті (DMA) атакує, коли комп’ютер увімкнено або перебуває в режимі очікування, включаючи коли робоча станція заблокована. BitLocker із автентифікацією лише за допомогою TPM дозволяє комп’ютеру перейти у стан увімкнення без нього будь-яка автентифікація перед завантаженням. Тому зловмисник може виконати DMA напади. Ця проблема задокументована в статті 2516445 бази знань Microsoft: Блокування Драйвер SBP-2 і контролери Thunderbolt для зменшення 1394 DMA і Thunderbolt DMA загрози BitLocker.
Існуючі пристрої (які відповідають зазначеним класам налаштування пристрою), які були раніше встановлені до зміцнення, буде вимкнено або видалено.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions:DenyDeviceClassesRetroactive
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
button. Administrative Templates\System\Device Installation\Device Installation Restrictions\Prevent installation of devices using drivers that match these device setup classes - Рекомендований стан:
Enabled, and check the Also apply to matching devices - that are already installed
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- deviceinstallation#preventinstallationofmatchingdevicesetupclasses 2. Minimum OS CSP: Windows 10, Version 2004 and later 3. GRID: MS-00000310 `
CIS Controls: `
IG 1, 2
4.10.9.1.3 Переконайтеся, що для параметра «Запобігти інсталяції пристроїв за допомогою драйверів, які відповідають цим класам налаштування пристроїв: заборонити встановлення пристроїв за допомогою драйверів для цих налаштувань пристроїв» встановлено значення «Класи налаштування пристроїв IEEE 1394».
Цей параметр політики дозволяє вказати глобально унікальний список класів налаштування пристрою ідентифікатори (GUID) для драйверів пристроїв, інсталяцію яких Windows заборонено. Це параметр політики має пріоритет над будь-яким іншим параметром політики, який дозволяє Windows встановити пристрій. Якщо ввімкнути цей параметр політики, Windows не зможе інсталювати або оновлювати пристрій драйвери, чиї GUID класу налаштування пристроїв відображаються у списку, який ви створюєте. Якщо ви ввімкнете це параметр політики на сервері віддаленого робочого столу, параметр політики впливає на переспрямування зазначені пристрої з клієнта віддаленого робочого стола на сервер віддаленого робочого столу. Якщо вимкнути або не налаштувати цей параметр політики, Windows зможе встановити й оновити пристроїв, дозволених або заборонених іншими параметрами політики. Ось чотири записи, які ми рекомендуємо, і як вони перекладаються: • {d48179be-ec20-11d1-b6b8-00c04fa372a7} – пристрої IEEE 1394, які підтримують клас протоколу SBP2 • {7ebefbc0-3200-11d2-b4c2-00a0C9697d07} – пристрої IEEE 1394, які підтримують клас протоколу IEC-61883 • {c06ff265-ae09-48f0-812c-16753d7cba83} – пристрої IEEE 1394, які підтримують клас протоколу AVC • {6bdd1fc1-810f-11d0-bec7-08002be2092f} – контролер хост-шини IEEE 1394 Клас Повний список визначених системою класів налаштування пристроїв, доступних у Windows, можна знайти тут: Визначені системою класи налаштування пристроїв, доступні постачальникам | Microsoft Docs Рекомендований стан для цього параметра: {d48179be-ec20-11d1-b6b8- 00c04fa372a7}, {7ebefbc0-3200-11d2-b4c2-00a0C9697d07}, {c06ff265-ae09- 48f0-812c-16753d7cba83} та {6bdd1fc1-810f-11d0-bec7-08002be2092f} Примітка. IEEE 1394 також відомий/брендований як FireWire (від Apple), i.LINK (від Sony) і Lynx (від Texas Instruments).
Комп’ютер, захищений BitLocker, може бути вразливим до прямого доступу до пам’яті (DMA) атакує, коли комп’ютер увімкнено або перебуває в режимі очікування, включаючи коли робоча станція заблокована. BitLocker із автентифікацією лише за допомогою TPM дозволяє комп’ютеру перейти у стан увімкнення без нього будь-яка автентифікація перед завантаженням. Тому зловмисник може виконати DMA напади. Ця проблема задокументована в статті 2516445 бази знань Microsoft: Блокування Драйвер SBP-2 і контролери Thunderbolt для зменшення 1394 DMA і Thunderbolt DMA загрози BitLocker.
Диски та пристрої IEEE 1394 не буде встановлено в Windows.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з REG_SZ значення {d48179be-ec20-11d1-b6b8-00c04fa372a7}, {7ebefbc0-3200-11d2-b4c2- 00a0C9697d07}, {c06ff265-ae09-48f0-812c-16753d7cba83} та {6bdd1fc1- 810f-11d0-bec7-08002be2092f}.
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions\DenyDeviceClasses:
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Device Installation\Device Installation Restrictions\Prevent installation of devices using drivers that match these device setup classes - Рекомендований стан:
Enabled, and add {d48179be-ec20-11d1-b6b8- - 00c04fa372a7}, {7ebefbc0-3200-11d2-b4c2-00a0C9697d07}, {c06ff265-ae09-
- 48f0-812c-16753d7cba83}, and {6bdd1fc1-810f-11d0-bec7-08002be2092f} to the
- device setup classes list
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- deviceinstallation#preventinstallationofmatchingdevicesetupclasses 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000309 `
CIS Controls: `
IG 1
IG 1
4.10.9.2 Переконайтеся, що для параметра «Запобігати автоматичному завантаженню програм, пов’язаних із метаданими пристрою» встановлено значення «Увімкнено».
Цей параметр політики дозволяє заборонити Windows отримувати метадані пристрою з Інтернет. Рекомендований стан для цього параметра: увімкнено. Примітка. Це не завадить установці основних драйверів апаратного забезпечення, але запобігає пов’язане програмне забезпечення сторонніх розробників від автоматичного встановлення під контексті облікового запису SYSTEM.
Встановлення програмного забезпечення має здійснюватися уповноваженим системним адміністратором не стандартний користувач. Дозволяє автоматичне встановлення стороннього програмного забезпечення під контекст облікового запису SYSTEM може дозволити неавторизований доступ через бекдори або помилки інсталяційного програмного забезпечення.
Звичайні користувачі без прав адміністратора не зможуть установити асоційоване програмне забезпечення утиліти сторонніх виробників для периферійних пристроїв. Це може обмежити використання розширених функції цих пристроїв, якщо/поки адміністратор не встановить відповідну утиліту програмне забезпечення для пристрою.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceMetadata:PreventDeviceMetadataFromNetwork
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Device Installation\Prevent device metadata retrieval from the Internet - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- deviceinstallation#preventdevicemetadatafromnetwork 2. GRID: MS-00000304 3. Minimum OS CSP: Windows 10, Version 1809 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.10.13.1 Переконайтеся, що для параметра «Політика ініціалізації драйвера завантаження» встановлено значення «Увімкнено: добре, невідомо та погано, але критично».
Цей параметр політики дозволяє вказати, на основі яких завантажувальних драйверів буде ініціалізовано класифікація, визначена завантажувальним драйвером Early Launch Antimalware. Ранній Запуск завантажувального драйвера Antimalware може повертати наступні класифікації для кожного завантажувальний драйвер: • Добре: драйвер підписаний і не змінений. • Погано: драйвер визначено як зловмисне програмне забезпечення. Рекомендовано це зробити не дозволяє ініціалізувати відомі погані драйвери. • Поганий, але необхідний для завантаження: драйвер визначено як зловмисне програмне забезпечення, але комп’ютер не може успішно завантажитися без завантаження цього драйвера. • Невідомо: цей драйвер не підтверджено вашим виявленням зловмисного програмного забезпечення додаток і не було класифіковано програмою раннього запуску Antimalware boot- запустити драйвер. Якщо ввімкнути цей параметр політики, ви зможете вибрати, які драйвери запускати ініціалізувати під час наступного запуску комп’ютера. Якщо ваша програма для виявлення зловмисного програмного забезпечення не включає програму раннього запуску завантажувальний драйвер або якщо ваш завантажувальний драйвер Early Launch Antimalware був встановлений вимкнено, цей параметр не має ефекту, і всі завантажувальні драйвери ініціалізуються. Рекомендований стан для цього параметра: Увімкнено: добре, невідомо та погано, але критичний.
Цей параметр політики допомагає зменшити вплив зловмисного програмного забезпечення, яке вже заразило ваш система.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 3.
HKLM\SYSTEM\CurrentControlSet\Policies\EarlyLaunch:DriverLoadPolicy
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
* **Рекомендований стан**: 📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- system#bootstartdriverinitialization 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000311 `
CIS Controls: `
IG 1, 2
IG 1, 2
4.10.19.1 Переконайтеся, що для параметра «Продовжити роботу на цьому пристрої» встановлено значення «Вимкнено»
Цей параметр політики визначає, чи дозволено пристрою Windows брати участь у досвід роботи на різних пристроях (продовження досвіду). Рекомендований стан для цього параметра: вимкнено.
Робота на різних пристроях – це коли система може отримати доступ до програми та надсилати повідомлення інші пристрої. У корпоративному керованому середовищі повинні бути лише надійні системи спілкування в мережі. Доступ до будь-якої іншої системи має бути заборонений.
Пристрій Windows не буде виявлено іншими пристроями та не може брати участь у ньому взаємодія на різних пристроях.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\System:EnableCdp
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Group Policy\Continue experiences on this device - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-grouppolicy#enablecdp 2. GRID: MS-00000316 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.10.20.1.1 Переконайтеся, що для параметра «Вимкнути доступ до магазину» встановлено значення «Увімкнено»
Цей параметр політики визначає, чи використовувати службу магазину для пошуку програми відкрити файл із необробленим типом файлу або асоціацією протоколу. Коли користувач відкриває файл тип або протокол, який не пов’язано з жодними програмами на комп’ютері користувача можна вибрати локальну програму або скористатися службою Store, щоб знайти додаток. Рекомендований стан для цього параметра: увімкнено.
Служба «Магазин» — це роздрібна торгова точка, вбудована в Windows, насамперед для споживачів. В ан корпоративне кероване середовище, ІТ-відділ повинен керувати встановленням усіх програм, щоб зменшити ризик встановлення вразливого програмного забезпечення.
Пункт «Шукати програму в магазині» в діалоговому вікні «Відкрити за допомогою» видалено.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\Explorer:NoUseStoreOpenWith
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Internet Communication Management\Internet Communication settings\Turn off access to the Store - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows- server-2012-r2-and-2012/jj618315(v=ws.11)#group-policy-settings-that-affect- user-configuration-1 2. GRID: MS-00000318 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.10.20.1.2 Переконайтеся, що для параметра «Вимкнути завантаження драйверів принтера через HTTP» встановлено значення «Увімкнено»
Цей параметр політики визначає, чи може комп’ютер завантажувати пакети драйверів принтера через HTTP. Щоб налаштувати друк HTTP, драйвери принтера, недоступні в стандартну установку операційної системи може знадобитися завантажити через HTTP. Рекомендований стан для цього параметра: увімкнено.
Користувачі можуть завантажити драйвери, які містять шкідливий код.
Драйвери друку неможливо завантажити через HTTP. Примітка. Цей параметр політики не забороняє клієнтському комп’ютеру друкувати на принтерах в інтрамережі чи Інтернеті через HTTP. Він забороняє лише завантажувати драйвери, які є ще не встановлено локально.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Printers:DisableWebPnPDownload
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Internet Communication Management\Internet Communication settings\Turn off downloading of print drivers over HTTP - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows- server-2012-r2-and-2012/jj618315(v=ws.11)#individual-group-policy-settings- that-affect-computer-configuration 2. https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows- server-2012-r2-and-2012/jj618315(v=ws.11)#individual-group-policy-settings- that-affect-computer-configuration 3. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-icm#disablewebpnpdownload_1 4. GRID: MS-00000319 5. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1
IG 1
4.10.20.1.3 Переконайтеся, що для параметра «Вимкнути програму вдосконалення довідки (для користувача)» встановлено значення «Увімкнено»
Цей параметр політики визначає, чи можуть користувачі брати участь у довідці Програма вдосконалення. Програма Help Experience Improvement збирає інформацію про те, як клієнти використовують довідку Windows, щоб Microsoft могла її вдосконалити. Рекомендований стан для цього параметра: увімкнено.
Великі корпоративні керовані середовища можуть не захотіти, щоб інформація збиралася Microsoft з керованих клієнтських комп’ютерів.
Користувачі не можуть брати участь у програмі вдосконалення довідки.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKU\[USERSID]\Software\Policies\Microsoft\Assistance\Client\1.0:NoImplicitFeedback
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Internet Communication Management\Internet Communication Settings\Turn off Help Experience Improvement Program - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000558 2. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.10.20.1.4 Переконайтеся, що для параметра «Вимкнути майстер підключення до Інтернету, якщо URL-з’єднання посилається на Microsoft.com» встановлено значення «Увімкнено».
Цей параметр політики визначає, чи може майстер підключення до Інтернету підключатися до Microsoft, щоб завантажити список постачальників послуг Інтернету (ISP). Рекомендований стан для цього параметра: увімкнено.
У корпоративному керованому середовищі ми хочемо знизити ризик несвідомого користувача розкриття конфіденційних даних.
Шлях «Вибрати список постачальників послуг Інтернету» у майстрі підключення до Інтернету викликає вихід майстра. Це не дозволяє користувачам отримати список провайдерів, які знаходиться на серверах Microsoft.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\Internet ConnectionWizard:ExitOnMSICW
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Internet Communication Management\Internet Communication settings\Turn off Internet Connection Wizard if URL connection is referring to Microsoft.com - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000322 2. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.10.20.1.5 Переконайтеся, що для параметра «Вимкнути завантаження з Інтернету для веб-публікацій і онлайн-замовлень» встановлено значення «Увімкнено»
Цей параметр політики визначає, чи завантажуватиме Windows список постачальників для Веб-публікації та майстри онлайн-замовлень. Рекомендований стан для цього параметра: увімкнено.
Хоча ризик мінімальний, увімкнення цього параметра зменшить можливість користувача несвідоме завантаження шкідливого вмісту за допомогою цієї функції.
Windows заборонено завантажувати постачальників; кешуються лише постачальники послуг відображаються локальний реєстр.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer:NoWebServices
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Internet Communication Management\Internet Communication settings\Turn off Internet download for Web publishing and online ordering wizards - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/win32/lwef/pubwiz-intro 2. GRID: MS-00000323 3. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.10.20.1.6 Переконайтеся, що для параметра «Вимкнути друк через HTTP» встановлено значення «Увімкнено»
Цей параметр політики дозволяє вимкнути можливість клієнтського комп’ютера друкувати через HTTP, що дозволяє комп’ютеру друкувати на принтерах у внутрішній мережі та в Інтернеті. Рекомендований стан для цього параметра: увімкнено. Примітка. Цей елемент керування впливає на друк як через HTTP, так і через HTTPS.
Інформація, яка передається через HTTP через цю можливість, не захищена і можуть бути перехоплені зловмисниками. З цієї причини він не часто використовується на підприємствах керовані середовища.
Клієнтський комп’ютер не зможе друкувати на Інтернет-принтерах через HTTP або HTTPS. Примітка. Цей параметр політики впливає лише на клієнтську сторону Інтернет-друку. Незалежно від якщо він налаштований, комп’ютер може діяти як сервер Інтернет-друку та робити його спільні принтери, доступні через HTTP.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Printers:DisableHTTPPrinting
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Internet Communication Management\Internet Communication settings\Turn off printing over HTTP - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-icm#disablehttpprinting_1 2. GRID: MS-00000324 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1
4.10.20.1.7 Переконайтеся, що для параметра «Вимкнути реєстрацію, якщо URL-з’єднання посилається на Microsoft.com» встановлено значення «Увімкнено».
Цей параметр політики визначає, чи підключається майстер реєстрації Windows до Microsoft.com для онлайн-реєстрації. Рекомендований стан для цього параметра: увімкнено.
Користувачі в корпоративному середовищі не повинні реєструвати власні копії Windows, надаючи власну ідентифікаційну інформацію в процесі.
Користувачам заборонено підключатися до Microsoft.com для онлайн-реєстрації, і вони не можуть зареєструвати свою копію Windows в Інтернеті.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\Registration WizardControl:NoRegistration
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Internet Communication Management\Internet Communication settings\Turn off Registration if URL connection is referring to Microsoft.com - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-icm#nc_noregistration 2. GRID: MS-00000325 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.10.20.1.8 Переконайтеся, що для параметра «Вимкнути оновлення файлів вмісту Search Companion» встановлено значення «Увімкнено»
Цей параметр політики визначає, чи має Search Companion автоматично завантажуватися оновлення вмісту під час локального та Інтернет-пошуку. Рекомендований стан для цього параметра: увімкнено.
Існує невеликий ризик того, що користувачі несвідомо розкриють конфіденційну інформацію через теми, які вони шукають. Цей ризик є дуже низьким, оскільки навіть якщо це налаштування є користувачі з увімкненими функціями все ще повинні надсилати пошукові запити до потрібної пошукової системи, щоб виконувати пошуки.
Search Companion не завантажує оновлення вмісту під час пошуку. Примітка. Пошук в Інтернеті надсилатиме текст пошуку та інформацію про пошук Microsoft і вибраній пошуковій системі. Якщо вибрати Класичний пошук, Пошук Функція Companion буде недоступна. Ви можете вибрати Класичний пошук, натиснувши Пуск, Пошук, Змінити налаштування, а потім Змінити поведінку пошуку в Інтернеті.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\SearchCompanion:DisableContentFileUpdates
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Internet Communication Management\Internet Communication settings\Turn off Search Companion content file updates - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000326 2. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.10.20.1.9 Переконайтеся, що для параметра «Вимкнути завдання зображення «Замовлення друку» встановлено значення «Увімкнено»
Цей параметр політики визначає, чи доступне завдання «Замовити друк онлайн». Завдання із зображеннями в папках Windows. Майстер замовлення друку онлайн використовується для завантаження списку постачальників і дозволу користувачам замовити друк онлайн. Рекомендований стан для цього параметра: увімкнено.
У корпоративному керованому середовищі ми хочемо знизити ризик несвідомого користувача розкриття конфіденційних даних.
Завдання «Замовлення роздруківок онлайн» видаляється із завдань із зображеннями в папках Провідника файлів.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer:NoOnlinePrintsWizard
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Internet Communication Management\Internet Communication settings\Turn off the "Order Prints" picture task - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000327 2. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.10.20.1.10 Переконайтеся, що для параметра «Вимкнути завдання «Опублікувати в Інтернеті» для файлів і папок» встановлено значення «Увімкнено»
Цей параметр політики визначає, чи виконуються завдання Опублікувати цей файл у мережі, Опублікувати це папку в Інтернеті та Опублікувати вибрані елементи в Інтернеті доступні з Файл і Завдання папок у папках Windows. Майстер веб-публікації використовується для завантаження списку постачальників і дозволяють користувачам публікувати вміст у мережі. Рекомендований стан для цього параметра: увімкнено.
Користувачі можуть публікувати конфіденційну або конфіденційну інформацію в державних службах за межами контроль організації.
Завдання «Опублікувати в Інтернеті» видаляється із завдань файлів і папок у папках Windows.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer:NoPublishingWizard
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Internet Communication Management\Internet Communication settings\Turn off the "Publish to Web" task for files and folders - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000328 2. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.10.20.1.11 Переконайтеся, що для параметра «Вимкнути програму покращення взаємодії з клієнтами Windows Messenger» встановлено значення «Увімкнено»
Цей параметр політики визначає, чи Windows Customer Experience Improvement Програма може збирати анонімну інформацію про те, як використовується Windows. Microsoft використовує інформацію, зібрану через Windows Customer Experience Програма вдосконалення для покращення функцій, які найчастіше використовуються, і виявлення недоліків щоб їх можна було швидше виправити. Увімкнення цього параметра зменшить кількість дані, які Microsoft може зібрати для цієї мети. Рекомендований стан для цього налаштування є: увімкнено.
Великі корпоративні керовані середовища можуть не захотіти, щоб інформація збиралася Microsoft з керованих клієнтських комп’ютерів.
Windows Messenger не збиратиме інформацію про використання та параметри користувача для ввімкнення колекція інформації про використання не відображатиметься.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 2.
HKLM\SOFTWARE\Policies\Microsoft\Messenger\Client:CEIP
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Internet Communication Management\Internet Communication settings\Turn off the Windows Messenger Customer Experience Improvement Program - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000329 2. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.10.20.1.12 Переконайтеся, що для параметра «Вимкнути програму покращення взаємодії з клієнтами Windows» встановлено значення «Увімкнено»
Цей параметр політики визначає, чи може Windows Messenger збирати анонімні дані інформацію про те, як використовується програмне забезпечення та служба Windows Messenger. Microsoft використовує інформацію, зібрану через Windows Customer Experience Програма вдосконалення для виявлення недоліків програмного забезпечення, щоб їх можна було виправляти більше швидко, увімкнення цього параметра зменшить обсяг даних, які Microsoft зможе зібрати для цієї мети. Рекомендований стан для цього параметра: увімкнено.
Великі корпоративні керовані середовища можуть не захотіти, щоб інформація збиралася Microsoft з керованих клієнтських комп’ютерів.
Усі користувачі відмовляються від участі в програмі Windows Customer Experience Improvement Program.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\SQMClient\Windows:CEIPEnable
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Internet Communication Management\Internet Communication settings\Turn off Windows Customer Experience Improvement Program - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-icm#ceipenable 2. GRID: MS-00000330 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.10.20.1.13 Переконайтеся, що для параметра «Вимкнути звіт про помилки Windows» встановлено значення «Увімкнено»
Цей параметр політики контролює, чи надсилатимуться повідомлення про помилки Microsoft. Звіт про помилки використовується для повідомлення інформації про систему або програму, яка має не вдалося або перестав відповідати та використовується для покращення якості продукту. Рекомендований стан для цього параметра: увімкнено.
Якщо помилка Windows виникає в безпечному керованому середовищі підприємства, помилка слід повідомити безпосередньо ІТ-персоналу для усунення несправностей і виправлення. Не існує корпорації буде корисно повідомляти про ці помилки безпосередньо Microsoft, і деякі з них є ризик несвідомого розкриття конфіденційних даних у рамках помилки.
Користувачам не надається можливість повідомляти Microsoft про помилки.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується такими розташуваннями реєстру з a REG_DWORD має значення 1 (вимкнено) і 0 (DoReport).
HKLM\SOFTWARE\Policies\Microsoft\Windows\Windows Error Reporting:DisabledHKLM\SOFTWARE\Policies\Microsoft\PCHealth\ErrorReporting:DoReport
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Internet Communication Management\Internet Communication settings\Turn off Windows Error Reporting - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000331 2. "Minimum OS CSP: Windows 10, Version 1703, Windows 10, Version 2004 with KB5005101 and later" `
CIS Controls: `
IG 1, 2
IG 1, 2
4.10.23.1 Переконайтеся, що для параметра «Підтримка автентифікації пристрою за допомогою сертифіката» встановлено значення «Увімкнено: автоматично».
Цей параметр політики дозволяє налаштувати підтримку Kerberos для спроб автентифікації за допомогою сертифікат для пристрою до домену. Підтримка автентифікації пристрою за допомогою сертифіката потребуватиме підключення до DC у домен облікового запису пристрою, який підтримує автентифікацію сертифіката для облікових записів комп’ютера. Рекомендований стан для цього параметра: Увімкнено: Автоматично.
Наполегливо рекомендується використовувати надійнішу автентифікацію пристрою з використанням сертифікатів замість стандартної автентифікації за іменем користувача та паролем. Якщо для цього параметра встановлено значення Автоматично, дозволити використання автентифікації на основі сертифіката, коли це можливо.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0 (DevicePKInitBehavior) і 1 (DevicePKInitEnabled).
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\kerberos\parameters:DevicePKInitBehavior
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\kerberos\parameters:DevicePKInitEnabled
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Kerberos\Support device authentication using certificate - Рекомендований стан:
Enabled: Automatic
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-kerberos#devicepkinitenabled 2. GRID: MS-00000332 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1
IG 1, 2, 3
IG 1
4.10.24.1 Переконайтеся, що для параметра «Дозволити завантаження настроюваних SSP і точок доступу в LSASS» встановлено значення «Вимкнено»
Цей параметр політики контролює конфігурацію, під якою працює локальний орган безпеки Служба підсистеми (LSASS) завантажить спеціальний постачальник підтримки безпеки/автентифікацію Пакет (SSP/AP). Рекомендований стан для цього параметра: вимкнено.
Уразливості існують там, де зловмисники можуть перехопити облікові дані для входу через SSP/AP. Вимкнення користувацьких SSP і точок доступу для завантаження в LSASS мінімізує цю вразливість.
Спеціальний постачальник підтримки безпеки/пакети автентифікації не зможуть завантажуватися це може вплинути на деякі законні пакунки третіх сторін.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр групової політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\System:AllowCustomSSPsAPs
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Disabled: Система > Локальний центр безпеки\Дозволити завантажувати спеціальні SSP і точки доступу LSASS
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/win32/secauthn/ssp-aps-versus-ssps 2. GRID: MS-00000342 `
CIS Controls: `
IG 1, 2
IG 1, 2
4.10.25.1 Переконайтеся, що для параметра «Заборонити копіювання методів введення користувача в обліковий запис системи для входу» встановлено значення «Увімкнено».
Ця політика запобігає автоматичному копіюванню методів введення користувача до системного облікового запису використовувати на екрані входу. Користувач обмежений набором методів введення, які є увімкнено в обліковому записі системи. Рекомендований стан для цього параметра: увімкнено.
Це спосіб підвищити безпеку системного облікового запису.
Користувачі матимуть увімкнені методи введення для системного облікового запису на сторінці входу.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\ControlPanel\International:BlockUserInputMethodsForSignIn
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Locale Services\Disallow copying of user input methods to the system account for sign-in - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000344 2. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1
IG 1, 2, 3
4.10.26.1 Переконайтеся, що параметр «Блокувати користувача від показу даних облікового запису під час входу» має значення «Увімкнено»
Ця політика забороняє користувачеві відображати дані облікового запису (електронну адресу або користувача ім’я) на екрані входу. Рекомендований стан для цього параметра: увімкнено.
Зловмисник, який має доступ до консолі (наприклад, хтось із фізичним доступом або хтось, хто може підключитися до робочої станції через служби віддаленого робочого стола) міг переглянути ім’я останнього користувача, який увійшов на сервер. Зловмисник міг потім спробуйте вгадати пароль, скористайтеся словником або застосуйте атаку грубої сили, щоб спробувати і увійти.
Користувачі не можуть відображати дані облікового запису на екрані входу.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\System:BlockUserFromShowingAccountDetailsOnSignin
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Logon\Block user from showing account details on sign-in - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-logon#blockuserfromshowingaccountdetailsonsignin 2. GRID: MS-00000345 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.10.26.2 Переконайтеся, що для параметра «Не відображати інтерфейс вибору мережі» встановлено значення «Увімкнено»
Цей параметр політики дозволяє вам контролювати, чи будь-хто може взаємодіяти з доступними інтерфейс мережі на екрані входу. Рекомендований стан для цього параметра: увімкнено.
Неавторизований користувач може відключити ПК від мережі або підключити ПК до інших доступних мереж без входу в Windows.
Стан підключення ПК до мережі неможливо змінити без входу в Windows.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\System:DontDisplayNetworkSelectionUI
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Logon\Do not display network selection UI - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- windowslogon#dontdisplaynetworkselectionui 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000346 `
CIS Controls: `
IG 1
IG 1
4.10.26.3 Переконайтеся, що для параметра «Не перераховувати підключених користувачів на комп’ютерах, приєднаних до домену» встановлено значення «Увімкнено».
Цей параметр політики запобігає перерахуванню підключених користувачів у домені комп’ютери. Рекомендований стан для цього параметра: увімкнено.
Зловмисник може використати цю функцію, щоб зібрати імена облікових записів інших користувачів інформація може бути використана в поєднанні з іншими типами атак, наприклад вгадування паролів або соціальна інженерія. Цінність цього контрзаходу невелика тому що користувач з обліковими даними домену може зібрати ту саму інформацію облікового запису використовуючи інші методи.
Інтерфейс користувача для входу не перераховуватиме підключених користувачів на комп’ютерах, приєднаних до домену.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\System:DontEnumerateConnectedUsers
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Logon\Do not enumerate connected users on domain-joined computers - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-logon#dontenumerateconnectedusers 2. GRID: MS-00000347 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1
IG 1
4.10.26.4 Переконайтеся, що для параметра «Перерахувати локальних користувачів на комп’ютерах, приєднаних до домену» встановлено значення «Вимкнено».
Цей параметр політики дозволяє нумерувати локальних користувачів на комп’ютерах, приєднаних до домену. Рекомендований стан для цього параметра: вимкнено.
Зловмисник може використати цю функцію, щоб зібрати імена облікових записів інших користувачів інформація може бути використана в поєднанні з іншими типами атак, наприклад вгадування паролів або соціальна інженерія. Цінність цього контрзаходу невелика тому що користувач з обліковими даними домену може зібрати ту саму інформацію облікового запису використовуючи інші методи.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\System:EnumerateLocalUsers
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Logon\Enumerate local users on domain-joined computers - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- windowslogon#enumeratelocalusersondomainjoinedcomputers 2. GRID: MS-00000348 3. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
IG 1
IG 1
4.10.26.5 Переконайтеся, що для параметра «Вимкнути сповіщення програм на екрані блокування» встановлено значення «Увімкнено»
Цей параметр політики дозволяє запобігти появі сповіщень програми на екрані блокування. Рекомендований стан для цього параметра: увімкнено. Попередження: якщо в Microsoft Entra використовується функція скидання пароля самостійного обслуговування (SSPR). ID, потрібен виняток із цієї рекомендації, оскільки відомо, що він заважає SSPR.
Сповіщення програми можуть відображати конфіденційні ділові або особисті дані.
На екрані блокування не відображаються сповіщення про програми.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\System:DisableLockScreenAppNotifications
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Logon\Turn off app notifications on the lock screen - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- windowslogon#disablelockscreenappnotifications 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000349 `
CIS Controls: `
IG 1, 2
IG 1, 2, 3
4.10.26.6 Переконайтеся, що для параметра «Вимкнути вхід із паролем зображення» встановлено значення «Увімкнено»
Цей параметр політики дозволяє контролювати, чи може користувач домену входити за допомогою a пароль зображення. Рекомендований стан для цього параметра: увімкнено. Примітка. Якщо функція графічного пароля дозволена, пароль домену користувача є дозволеним кешується в системному сховищі під час його використання.
Графічні паролі не потребують введення складного пароля. У спільному робоче середовище, простий серфінг на плечі, де хтось спостерігав за екраном жести дозволять цій особі отримати доступ до системи без необхідності знати складний пароль. Вертикальні екрани монітора із зображенням набагато краще видно на відстань, ніж горизонтальні натискання клавіш, що збільшує ймовірність успіху спостереження за жестами миші.
Користувачі не зможуть налаштувати або ввійти за допомогою графічного пароля.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\System:BlockDomainPicturePassword
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Logon\Turn off picture password sign-in - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. Minimum OS CSP: Windows 10, Version 1703 and later 2. GRID: MS-00000350 `
CIS Controls: `
IG 1, 2
4.10.26.7 Переконайтеся, що для параметра «Увімкнути вхід за допомогою PIN-коду» встановлено значення «Вимкнено»
Цей параметр політики дозволяє контролювати, чи може користувач входити за допомогою зручності PIN-код. Примітка. Під час використання цієї функції пароль користувача буде збережено в системному сховищі. Рекомендований стан для цього параметра: вимкнено.
PIN-код створюється з набагато меншого набору символів, ніж пароль, тому в у більшості випадків PIN-код буде набагато менш надійним, ніж пароль.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\System:AllowDomainPINLogon
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Logon\Turn on convenience PIN sign-in - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. Minimum OS CSP: Windows 10, Version 1703 and later 2. GRID: MS-00000351 `
CIS Controls: `
IG 1, 2
4.10.29.5.1 Переконайтеся, що для параметра «Запитувати пароль, коли комп’ютер виходить з режиму сну (від акумулятора)» встановлено значення «Увімкнено»
Визначає, чи запитуватиметься у користувача пароль під час відновлення системи від сну. Рекомендований стан для цього параметра: увімкнено.
Увімкнення цього параметра гарантує, що будь-хто, хто виводить із режиму сну без нагляду комп’ютер стан сну повинен буде надати облікові дані для входу, перш ніж вони зможуть отримати доступ до системи.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Power\PowerSettings\0e796bdb-100d-47d6-a2d5-f7d2daa51f51:DCSettingIndex
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Power Management\Sleep Settings\Require a password when a computer wakes (on battery) - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- power#requirepasswordwhencomputerwakesonbattery 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000357 `
CIS Controls: `
IG 1
IG 1, 2, 3
4.10.29.5.2 Переконайтеся, що для параметра «Запитувати пароль, коли комп’ютер виходить з режиму сну (підключено)» встановлено значення «Увімкнено»
Визначає, чи запитуватиметься у користувача пароль під час відновлення системи від сну. Рекомендований стан для цього параметра: увімкнено.
Увімкнення цього параметра гарантує, що будь-хто, хто виводить із режиму сну без нагляду комп’ютер стан сну повинен буде надати облікові дані для входу, перш ніж вони зможуть отримати доступ до системи.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Power\PowerSettings\0e796bdb-100d-47d6-a2d5-f7d2daa51f51:ACSettingIndex
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Power Management\Sleep Settings\Require a password when a computer wakes (plugged in) - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- power#requirepasswordwhencomputerwakespluggedin 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000358 `
CIS Controls: `
IG 1
IG 1, 2, 3
4.10.30.1 Переконайтеся, що для параметра «Налаштувати пропозицію віддаленої допомоги» встановлено значення «Вимкнено»
Цей параметр політики дозволяє вам увімкнути або вимкнути Offer (Unsolicited) Remote Допомога на цьому комп’ютері. Служба підтримки та персонал служби підтримки не зможуть завчасно запропонувати допомогу, хоча вони все ще можуть відповідати на запити допомоги користувачів. Рекомендований стан для цього параметра: вимкнено.
Користувач може бути ошуканим і прийняти небажану пропозицію віддаленої допомоги від a зловмисний користувач.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\TerminalServices:fAllowUnsolicited
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Remote Assistance\Configure Offer Remote Assistance - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- remoteassistance#unsolicitedremoteassistance 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000359 `
CIS Controls: `
IG 1, 2
IG 1, 2
4.10.30.2 Переконайтеся, що для параметра «Налаштувати запрошену віддалену допомогу» встановлено значення «Вимкнено»
Цей параметр політики дозволяє вам увімкнути або вимкнути запрошену (запитати) віддалену допомогу на цьому комп’ютері. Рекомендований стан для цього параметра: вимкнено.
Існує невеликий ризик того, що зловмисний адміністратор отримає доступ до робочого столу іншого користувача сесії, однак вони не можуть підключитися до комп’ютера користувача без попередження або керувати ним без дозволу користувача. Коли експерт намагається підключитися, користувач все ще може заборонити з’єднання або надати експерту права перегляду. Користувач повинен чітко натисніть кнопку Так, щоб дозволити експерту дистанційно керувати робочою станцією.
Користувачі цього комп’ютера не можуть використовувати електронну пошту чи передачу файлів, щоб попросити когось про допомогу. Крім того, користувачі не можуть використовувати програми обміну миттєвими повідомленнями, щоб дозволити підключення до цього комп’ютера.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services:fAllowToGetHelp
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Remote Assistance\Configure Solicited Remote Assistance - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- remoteassistance#solicitedremoteassistance 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000360 `
CIS Controls: `
IG 1, 2
IG 1, 2
4.10.31.1 Переконайтеся, що для параметра «Увімкнути автентифікацію клієнта кінцевої точки RPC» встановлено значення «Увімкнено»
Цей параметр політики контролює, чи клієнти RPC автентифікуються за допомогою Endpoint Mapper Служба, коли виклик, який вони здійснюють, містить інформацію автентифікації. The Endpoint Mapper Service на комп’ютерах під керуванням Windows NT4 (усі пакети оновлень) не може обробити інформацію автентифікації, надану таким чином. Цей параметр політики може спричинити конкретну проблему з односторонніми трастами лісу, якщо його застосувати до довірчого домену DC (див. Microsoft KB3073942), тому ми не рекомендуємо застосовувати його до домену Контролери. Примітка. Ця політика не діятиме, доки систему не буде перезавантажено. Рекомендований стан для цього параметра: увімкнено.
Анонімний доступ до служб RPC може призвести до випадкового розкриття інформації для неавтентифікованих користувачів.
Клієнти RPC автентифікуються в службі Endpoint Mapper Service для викликів, які містять інформацію про автентифікацію. Клієнти, які здійснюють такі дзвінки, не зможуть спілкуватися за допомогою Windows NT4 Server Endpoint Mapper Service.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Rpc:EnableAuthEpResolution
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Remote Procedure Call\Enable RPC Endpoint Mapper Client Authentication - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/win32/rpc/how-rpc-works 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- remoteprocedurecall#rpcendpointmapperclientauthentication 3. Minimum OS CSP: Windows 10, Version 1703 and later 4. GRID: MS-00000361 `
CIS Controls: `
IG 1
IG 1, 2
4.10.31.2 Переконайтеся, що для параметра «Обмежити неавтентифіковані клієнти RPC» встановлено значення «Увімкнено: автентифіковані»
Цей параметр політики контролює, як середовище виконання сервера RPC обробляє неавтентифікований RPC клієнти, що підключаються до серверів RPC. Цей параметр політики впливає на всі програми RPC. У середовищі домену ця політика налаштування слід використовувати з обережністю, оскільки воно може вплинути на широкий спектр функцій включаючи саму обробку групової політики. Скасування зміни цього параметра політики може вимагають ручного втручання на кожній постраждалій машині. Цей параметр політики повинен ніколи не застосовувати до контролера домену. Клієнт вважатиметься автентифікованим клієнтом, якщо він використовує іменований канал для спілкуватися з сервером або якщо він використовує RPC Security. Інтерфейси RPC, які мають спеціально запитувані, щоб бути доступними для неавтентифікованих клієнтів, можуть бути звільнені від це обмеження, залежно від вибраного значення для цього параметра політики. — “Немає” дозволяє всім клієнтам RPC підключатися до серверів RPC, запущених на машині який параметр політики застосовано. — “Автентифіковано” дозволяє лише автентифікованим клієнтам RPC (відповідно до визначення вище). підключитися до серверів RPC, що працюють на машині, на якій застосовано параметр політики. Винятки надаються інтерфейсам, які їх запитали. — “Автентифіковані без винятків” дозволяє лише автентифікованих клієнтів RPC (згідно з визначення вище), щоб підключитися до серверів RPC, що працюють на машині, на якій політика налаштування застосовано. Жодні винятки не допускаються. Це значення може спричинити серйозних проблем і не рекомендується. Примітка. Цей параметр політики не буде застосовано, доки систему не буде перезавантажено. Рекомендований стан для цього параметра: увімкнено: автентифіковано.
Неавтентифікований RPC-зв’язок може створити вразливість безпеки.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Rpc:RestrictRemoteClients
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Remote Procedure Call\Restrict Unauthenticated RPC clients - Рекомендований стан:
Enabled: Authenticated
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/win32/rpc/how-rpc-works 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- remoteprocedurecall#restrictunauthenticatedrpcclients 3. Minimum OS CSP: Windows 10, Version 1703 and later 4. GRID: MS-00000362 `
CIS Controls: `
IG 1
IG 1, 2
4.10.40.5.1 Переконайтеся, що для параметра «Діагностичний засіб підтримки Microsoft: увімкнути інтерактивний зв’язок MSDT із постачальником підтримки» встановлено значення «Вимкнено».
Цей параметр політики налаштовує інтерактивний інструмент Microsoft Support Diagnostic Tool (MSDT). спілкування з постачальником підтримки. MSDT збирає діагностичні дані для аналізу фахівці підтримки. Рекомендований стан для цього параметра: вимкнено.
З міркувань конфіденційності дані ніколи не слід надсилати третім особам, оскільки ці дані може містити конфіденційну інформацію.
MSDT не може працювати в режимі підтримки, і жодні дані не можуть бути зібрані або надіслані до служби підтримки провайдер.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\ScriptedDiagnosticsProvider\Policy:DisableQueryRemoteServer
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Troubleshooting and Diagnostics\Microsoft Support Diagnostic Tool\Microsoft Support Diagnostic Tool: Turn on MSDT interactive communication with support provider - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-msdt#msdtsupportprovider 2. GRID: MS-00000364 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.10.44.1.1 Переконайтеся, що для параметра «Увімкнути Windows NTP-клієнт» встановлено значення «Увімкнено»
Цей параметр політики визначає, чи ввімкнено Windows NTP-клієнт. Увімкнення Windows NTP Client дозволяє синхронізувати годинник системного комп’ютера з NTP сервер(и). Рекомендований стан для цього параметра: увімкнено. Примітка: якщо в середовищі використовується сторонній постачальник часу, це виняток потрібна буде рекомендація.
Надійний і точний облік часу важливий для ряду служб і вимоги безпеки, включаючи, але не обмежуючись цим, розподілені програми, автентифікацію служби, багатокористувацькі бази даних і служби журналювання. Використання клієнта NTP (з безпечна робота) забезпечує функціональну точність і є центром під час перевірки події, що стосуються безпеки.
Системний час буде синхронізовано з налаштованим сервером(ами) NTP.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\W32Time\TimeProviders\NtpClient:Enabled
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Windows Time Service\Time Providers\Enable Windows NTP Client - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-w32time#w32time_policy_enable_ntpclient 2. GRID: MS-00000367 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.10.44.1.2 Переконайтеся, що для параметра «Увімкнути Windows NTP-сервер» встановлено значення «Вимкнено»
Цей параметр політики визначає, чи ввімкнено Windows NTP-сервер. Вимкнення цього Параметр забороняє системі діяти як сервер NTP (джерело часу) для обслуговування NTP запити з інших систем (NTP-клієнти). Рекомендований стан для цього параметра: вимкнено.
Конфігурація належної синхронізації часу критично важлива на підприємстві кероване середовище як через чутливість позначок часу автентифікації Kerberos а також для забезпечення точного журналювання безпеки. Це слід робити через відомого NTP сервер. Членські сервери та робочі станції зазвичай не повинні бути джерелами часу інші клієнти.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\W32Time\TimeProviders\NtpServer:Enabled
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\System\Windows Time Service\Time Providers\Enable Windows NTP Server - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-w32time#w32time_policy_enable_ntpserver 2. GRID: MS-00000368 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.3.1 Переконайтеся, що для параметра «Дозволити облікові записи Microsoft бути необов’язковими» встановлено значення «Увімкнено»
Цей параметр політики дозволяє контролювати, чи є облікові записи Microsoft необов’язковими для Windows Зберігайте програми, для входу в які потрібен обліковий запис. Ця політика стосується лише Windows Store програми, які це підтримують. Рекомендований стан для цього параметра: увімкнено.
Увімкнення цього параметра дозволяє організації використовувати облікові записи корпоративних користувачів замість того, щоб використовувати свої облікові записи Microsoft під час доступу до програм магазину Windows. Це надає організації більший контроль над відповідними обліковими даними. Microsoft обліковими записами не можна керувати централізовано, і як така безпека облікових даних підприємства політики не можуть бути застосовані до них, що може порушити доступ до будь-якої інформації за допомогою Облікові записи Microsoft під загрозою.
Програми Магазину Windows, для входу в які зазвичай потрібен обліковий запис Microsoft, дозволять користувачам щоб натомість увійти за допомогою корпоративного облікового запису.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System:MSAOptional
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\App runtime\Allow Microsoft accounts to be optional - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- appruntime#allowmicrosoftaccountstobeoptional 2. GRID: MS-00000372 3. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.3.2 Переконайтеся, що «Блокувати запуск універсальних програм Windows із доступом до Windows Runtime API із розміщеного вмісту». встановлено значення “Увімкнено”
Цей параметр політики контролює, чи Microsoft Store програми з Windows Runtime API можна запустити доступ безпосередньо з веб-вмісту. Рекомендований стан для цього параметра: увімкнено.
Блокування додатків з Інтернету з прямим доступом до Windows API може запобігти шкідливі програми від запуску в системі. Мають бути тільки системні адміністратори встановлення затверджених програм.
Універсальні програми Windows, які оголошують доступ до Windows Runtime API у Неможливо запустити розділ ApplicationContentUriRules маніфесту (Universal Програми Windows, які не заявили про доступ до Windows Runtime API у маніфесті не вплине).
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System:BlockHostedAppAccessWinRT
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\App runtime\Block launching Universal Windows apps with Windows Runtime API access from hosted content. Note: A reboot may be required after the setting is applied. - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-appxruntime#appxruntimeblockhostedappaccesswinrt 2. GRID: MS-00000373 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.5.1 Переконайтеся, що для параметра «Не зберігати інформацію про зону у вкладених файлах (користувач)» встановлено значення «Вимкнено»
Цей параметр політики дозволяє керувати тим, чи Windows позначає вкладені файли інформація про зону їхнього походження (наприклад, обмежена, Інтернет, інтранет, локальна). Це для належної роботи потрібна NTFS, а у FAT32 не вийде з ладу без попередження. за не зберігаючи інформацію про зону, Windows не може правильно оцінити ризик. Рекомендований стан для цього параметра: вимкнено. Примітка. Функція диспетчера вкладень попереджає користувачів про відкриття або виконання файлів які позначено як такі, що походять із ненадійного джерела, якщо/до зони файлу інформацію було видалено за допомогою кнопки «Розблокувати» у властивостях файлу або через a окремий інструмент, наприклад Microsoft Sysinternals Streams.
Файл, який завантажується з комп’ютера в Інтернеті або в зоні обмежених сайтів, може бути переміщено в місце, де воно виглядає безпечним, як-от спільне використання файлів в інтрамережі, і виконується нічого не підозрюючим користувачем. Функція диспетчера вкладень попередить користувачів під час відкриття або запуску файлів, які позначено як такі, що походять із ненадійного джерела, якщо/поки інформація про зону файлу не буде видалена.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 2.
HKU\[USERSID]\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments:SaveZoneI
нформація
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Attachment Manager\Do not preserve zone information in file attachments (User) - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- attachmentmanager#donotpreservezoneinformation 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000559 `
CIS Controls: `
IG 1
IG 1
4.11.5.2 Переконайтеся, що для параметра «Повідомляти антивірусні програми про відкриття вкладень (користувач)» встановлено значення «Увімкнено»
Цей параметр політики керує поведінкою сповіщень зареєстрованих антивірусних програм. Якщо зареєстровано декілька програм, усі вони отримають сповіщення. Рекомендований стан для цього параметра: увімкнено. Примітка. Щоб цей параметр політики працював, необхідно встановити оновлену антивірусну програму належним чином.
Антивірусні програми, які не виконують перевірки під час доступу, можуть не сканувати завантажені файли.
Windows повідомляє зареєстрованій антивірусній програмі сканувати файл, коли користувач відкриває a вкладений файл. Якщо антивірусна програма дає збій, вкладення блокується відкрито.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 3.
HKU\[USERSID]\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments:ScanWithA
ntiVirus
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Attachment Manager\Notify antivirus programs when opening attachments (User) - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- attachmentmanager#notifyantivirusprograms 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000560 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2
4.11.6.1 Переконайтеся, що для параметра «Заборонити автовідтворення для пристроїв без томів» встановлено значення «Увімкнено»
Цей параметр політики забороняє автоматичне відтворення для пристроїв MTP, таких як камери чи телефони. Рекомендований стан для цього параметра: увімкнено.
Зловмисник може використати цю функцію, щоб запустити програму для пошкодження клієнтського комп’ютера або даних на комп’ютері.
Автоматичне відтворення не буде дозволено для пристроїв MTP, таких як камери чи телефони.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\Explorer:NoAutoplayfornonVolume
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\AutoPlay Policies\Disallow Autoplay for non-volume devices - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- autoplay#disallowautoplayfornonvolumedevices 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000374 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.11.6.2 Переконайтеся, що для пункту «Установити поведінку за замовчуванням для автозапуску» встановлено значення «Увімкнено: не виконувати жодних команд автозапуску».
Цей параметр політики встановлює типову поведінку для команд автозапуску. Команди автозапуску зазвичай зберігаються у файлах autorun.inf. Вони часто запускають програму встановлення або інші рутини. Рекомендований стан для цього параметра: Увімкнено: не виконувати автозапуск команди.
До Windows Vista, коли вставляється носій, що містить команду автозапуску, система автоматично виконає програму без втручання користувача. Це створює a серйозна проблема безпеки, оскільки код може виконуватися без відома користувача. За замовчуванням Починаючи з Windows Vista, користувач запитує, чи є команда автозапуску бути запущеним. Команда автозапуску представлена як обробник у діалоговому вікні автовідтворення.
Команди автозапуску будуть повністю вимкнені.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer:NoAutorun
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\AutoPlay Policies\Set the default behavior for AutoRun - Рекомендований стан:
Enabled: Do not execute any autorun commands
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- autoplay#setdefaultautorunbehavior 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000375 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.11.6.3 Переконайтеся, що для параметра «Вимкнути автовідтворення» встановлено значення «Увімкнено: усі диски»
Автоматичне відтворення починає читати з приводу, щойно ви вставите носій у привід, який спричиняє негайний запуск інсталяційного файлу для програм або аудіосигналу. Нападник може використовувати цю функцію для запуску програми, щоб пошкодити комп’ютер або дані на ньому комп’ютер. Автоматичне відтворення вимкнено за замовчуванням на деяких типах знімних дисків, наприклад дискети та мережеві дисководи, але не на дисководах CD-ROM. Примітка. Ви не можете використовувати цей параметр політики, щоб увімкнути автоматичне відтворення на комп’ютерних дисках, на яких він вимкнений за замовчуванням, як-от дискети та мережеві диски. Рекомендований стан для цього параметра: Увімкнено: усі диски.
Зловмисник може використати цю функцію, щоб запустити програму для пошкодження клієнтського комп’ютера або даних на комп’ютері.
Автоматичне відтворення буде вимкнено – користувачам доведеться вручну запускати налаштування або встановлення програми, які надаються на знімних носіях.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 255.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer:NoDriveTypeAutoRun
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\AutoPlay Policies\Turn off Autoplay - Рекомендований стан:
Enabled: All drives
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- autoplay#turnoffautoplay 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000376 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.11.7.1.1 Переконайтеся, що для параметра «Виберіть спосіб відновлення фіксованих дисків, захищених BitLocker» установлено значення «Увімкнено»
Цей параметр політики дозволяє контролювати, наскільки захищені фіксовані диски даних BitLocker відновлено за відсутності необхідних облікових даних. Цей параметр політики застосовується, коли ви вмикаєте BitLocker. Прапорець «Дозволити агент відновлення даних» використовується, щоб указати, чи потрібно відновлення даних Агент можна використовувати з фіксованими дисками даних, захищеними BitLocker. Перед відновленням даних Агент можна використовувати, його потрібно додати з елемента політики відкритого ключа в будь-якому з Консоль керування груповою політикою або редактор локальної групової політики. Зверніться до Посібник із розгортання шифрування диска BitLocker на Microsoft TechNet для отримання додаткової інформації інформацію про додавання агентів відновлення даних. У розділі «Налаштувати зберігання інформації для відновлення BitLocker користувача» виберіть, чи є користувачі дозволено, потрібно або заборонено генерувати 48-значний або 256-бітний пароль відновлення ключ відновлення. Виберіть «Пропустити параметри відновлення з майстра налаштування BitLocker», щоб запобігти користувачам вказуючи параметри відновлення, коли вони вмикають BitLocker на диску. Це означає, що ви не зможе вказати, який параметр відновлення використовувати, коли ви вмикаєте BitLocker, натомість варіанти відновлення BitLocker для диска визначаються параметром політики. Виберіть «Зберегти інформацію про відновлення BitLocker у доменних службах Active Directory». яку інформацію про відновлення BitLocker зберігати в AD DS для фіксованих дисків даних. Якщо ви виберіть «Резервне копіювання пароля відновлення та пакет ключів», як для відновлення BitLocker пароль і пакет ключів зберігаються в AD DS. Зберігання пакету ключів підтримує відновлення даних із диска, який був фізично пошкоджений. Якщо вибрати «Резервне копіювання лише пароль для відновлення”, лише пароль для відновлення зберігається в AD DS. Виберіть «Не вмикати BitLocker, доки інформація про відновлення не буде збережена в AD DS для фіксовані диски даних», якщо ви не хочете, щоб користувачі вмикали BitLocker комп’ютер підключений до домену і резервна копія відновлення BitLocker надсилання інформації до AD DS. Примітка: якщо «Не вмикати BitLocker, доки інформація про відновлення не буде збережена в AD DS для фіксовані диски даних» встановлено прапорець, пароль відновлення буде встановлено автоматично створений. Рекомендований стан для цього параметра: увімкнено.
Адміністратори повинні завжди мати безпечний і безпечний спосіб доступу до зашифрованих даних у користувачі події не можуть отримати доступ до своїх даних. Крім того, як і будь-який інший метод автентифікації, диск може бути скомпрометований вгадування або пошук інформації автентифікації, яка використовується для доступу до диска.
Щоб використовувати BitLocker, потрібно налаштувати агент відновлення даних для фіксованих дисків. до для відновлення диска потрібен строго контрольований доступ до приватного агента відновлення даних ключ.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\FVE:FDVRecovery
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\BitLocker Drive Encryption\Fixed Data Drives\Choose how BitLocker-protected fixed drives can be recovered - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp#fixeddrivesrecoveryoptions 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000380 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.11.7.1.2 Переконайтеся, що для параметра «Виберіть спосіб відновлення фіксованих дисків, захищених BitLocker: ключ відновлення» встановлено значення «Увімкнено: дозволити 256-розрядний ключ відновлення».
Цей параметр політики дозволяє контролювати, наскільки захищені фіксовані диски даних BitLocker відновлено за відсутності необхідних облікових даних. Цей параметр політики застосовується, коли ви вмикаєте BitLocker. У розділі «Налаштувати зберігання інформації для відновлення BitLocker користувача» виберіть, чи є користувачі дозволено, потрібно або заборонено генерувати 48-значний або 256-бітний пароль відновлення ключ відновлення. Рекомендований стан для цього параметра: Увімкнено: дозволити 256-бітний ключ відновлення.
Адміністратори повинні завжди мати безпечний і безпечний спосіб доступу до зашифрованих даних у користувачі події не можуть отримати доступ до своїх даних. Крім того, як і будь-який інший метод автентифікації, диск може бути скомпрометований вгадування або пошук інформації автентифікації, яка використовується для доступу до диска. Щоб використовувати BitLocker, потрібно налаштувати агент відновлення даних для фіксованих дисків. до для відновлення диска потрібен строго контрольований доступ до приватного агента відновлення даних ключ.
256-бітний ключ відновлення буде дозволено для фіксованих дисків.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 2.
HKLM\SOFTWARE\Policies\Microsoft\FVE:FDVRecoveryKey
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\BitLocker Drive Encryption\Fixed Data Drives\Choose how BitLocker-protected fixed drives can be recovered: Recovery Key - Рекомендований стан:
Enabled: Allow 256-bit recovery key
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp#fixeddrivesrecoveryoptions 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000383 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.11.7.1.3 Переконайтеся, що для параметра «Виберіть, як можна відновити фіксовані диски, захищені BitLocker: пароль відновлення» встановлено значення «Увімкнено: дозволити 48-значний пароль відновлення».
Цей параметр політики дозволяє контролювати, наскільки захищені фіксовані диски даних BitLocker відновлено за відсутності необхідних облікових даних. Цей параметр політики застосовується, коли ви вмикаєте BitLocker. У розділі «Налаштувати зберігання інформації для відновлення BitLocker користувача» виберіть, чи є користувачі дозволено, потрібно або заборонено генерувати 48-значний або 256-бітний пароль відновлення ключ відновлення. Рекомендований стан для цього параметра: Увімкнено: дозволити відновлення 48 цифр пароль.
Адміністратори повинні завжди мати безпечний і безпечний спосіб доступу до зашифрованих даних у користувачі події не можуть отримати доступ до своїх даних. Крім того, як і будь-який інший метод автентифікації, диск може бути скомпрометований вгадування або пошук інформації автентифікації, яка використовується для доступу до диска. Щоб використовувати BitLocker, потрібно налаштувати агент відновлення даних для фіксованих дисків. до для відновлення диска потрібен строго контрольований доступ до приватного агента відновлення даних ключ.
48-значний пароль відновлення буде дозволено для фіксованих дисків.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 2.
HKLM\SOFTWARE\Policies\Microsoft\FVE:FDVRecoveryPassword
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\BitLocker Drive Encryption\Fixed Data Drives\Choose how BitLocker-protected fixed drives can be recovered: Recovery Password - Рекомендований стан:
Enabled: Allow 48-digit recovery password
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp#fixeddrivesrecoveryoptions 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000382 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.11.7.1.4 Переконайтеся, що для параметра «Виберіть спосіб відновлення фіксованих дисків, захищених BitLocker: Дозволити агент відновлення даних» встановлено значення «Увімкнено: Правда».
Цей параметр політики дозволяє контролювати, наскільки захищені фіксовані диски даних BitLocker відновлено за відсутності необхідних облікових даних. Цей параметр політики застосовується, коли ви вмикаєте BitLocker. Прапорець «Дозволити агент відновлення даних» використовується, щоб указати, чи потрібно відновлення даних Агент можна використовувати з фіксованими дисками даних, захищеними BitLocker. Перед відновленням даних Агент можна використовувати, його потрібно додати з елемента політики відкритого ключа в будь-якому з Консоль керування груповою політикою або редактор локальної групової політики. Зверніться до Посібник із розгортання шифрування диска BitLocker на Microsoft TechNet для отримання додаткової інформації інформацію про додавання агентів відновлення даних. Рекомендований стан для цього параметра: Enabled: True.
Адміністратори повинні завжди мати безпечний і безпечний спосіб доступу до зашифрованих даних у користувачі події не можуть отримати доступ до своїх даних. Крім того, як і будь-який інший метод автентифікації, диск може бути скомпрометований вгадування або пошук інформації автентифікації, яка використовується для доступу до диска. Щоб використовувати BitLocker, потрібно налаштувати агент відновлення даних для фіксованих дисків. до для відновлення диска потрібен строго контрольований доступ до приватного агента відновлення даних ключ.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\FVE:FDVManageDRA
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\BitLocker Drive Encryption\Fixed Data Drives\Choose how BitLocker-protected fixed drives can be recovered: Allow data recovery agent - Рекомендований стан:
Enabled: True
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp#fixeddrivesrecoveryoptions 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000381 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.11.7.1.5 Переконайтеся, що для параметра «Виберіть спосіб відновлення захищених BitLocker фіксованих дисків: Налаштувати зберігання інформації про відновлення BitLocker в AD DS» встановлено значення «Увімкнено: резервне копіювання паролів відновлення та пакетів ключів».
Цей параметр політики дозволяє контролювати, наскільки захищені фіксовані диски даних BitLocker відновлено за відсутності необхідних облікових даних. Цей параметр політики застосовується, коли ви вмикаєте BitLocker. Виберіть «Зберегти інформацію про відновлення BitLocker у доменних службах Active Directory». яку інформацію про відновлення BitLocker зберігати в AD DS для фіксованих дисків даних. Якщо ви виберіть «Резервне копіювання пароля відновлення та пакет ключів», як для відновлення BitLocker пароль і пакет ключів зберігаються в AD DS. Зберігання пакету ключів підтримує відновлення даних із диска, який був фізично пошкоджений. Якщо вибрати «Резервне копіювання лише пароль для відновлення”, лише пароль для відновлення зберігається в AD DS. Рекомендований стан для цього параметра: Увімкнено: резервне копіювання паролів відновлення та ключові пакети.
Адміністратори повинні завжди мати безпечний і безпечний спосіб доступу до зашифрованих даних у користувачі події не можуть отримати доступ до своїх даних. Крім того, як і будь-який інший метод автентифікації, диск може бути скомпрометований вгадування або пошук інформації автентифікації, яка використовується для доступу до диска. Щоб використовувати BitLocker, потрібно налаштувати агент відновлення даних для фіксованих дисків. до для відновлення диска потрібен строго контрольований доступ до приватного агента відновлення даних ключ.
Немає – це значення ігнорується, коли прапорець над ним (Зберегти відновлення BitLocker інформація до AD DS для фіксованих дисків даних) має значення False (не позначено). Якщо цей прапорець встановлено значення True (позначено), паролі відновлення та пакети ключів для фіксованих дисків будуть відповідними збережено в AD DS.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\FVE:FDVActiveDirectoryInfoToStore
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\BitLocker Drive Encryption\Fixed Data Drives\Choose how BitLocker-protected fixed drives can be recovered: Configure storage of BitLocker recovery information to AD DS: - Рекомендований стан:
Enabled: Backup recovery passwords and key - packages
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp#fixeddrivesrecoveryoptions 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000386 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.11.7.1.6 Переконайтеся, що для параметра «Виберіть, як можна відновити фіксовані диски, захищені BitLocker: не вмикайте BitLocker, доки інформація про відновлення не буде збережено в AD DS для фіксованих дисків даних» встановлено значення «Увімкнено: помилка».
Цей параметр політики дозволяє контролювати, наскільки захищені фіксовані диски даних BitLocker відновлено за відсутності необхідних облікових даних. Цей параметр політики застосовується, коли ви вмикаєте BitLocker. Виберіть «Не вмикати BitLocker, доки інформація про відновлення не буде збережена в AD DS для фіксовані диски даних», якщо ви не хочете, щоб користувачі вмикали BitLocker комп’ютер підключений до домену і резервна копія відновлення BitLocker надсилання інформації до AD DS. Примітка: якщо «Не вмикати BitLocker, доки інформація про відновлення не буде збережена в AD DS для фіксовані диски даних» встановлено прапорець, пароль відновлення буде встановлено автоматично створений. Рекомендований стан для цього параметра: Enabled: False.
Адміністратори повинні завжди мати безпечний і безпечний спосіб доступу до зашифрованих даних у користувачі події не можуть отримати доступ до своїх даних. Крім того, як і будь-який інший метод автентифікації, диск може бути скомпрометований вгадування або пошук інформації автентифікації, яка використовується для доступу до диска. Щоб використовувати BitLocker, потрібно налаштувати агент відновлення даних для фіксованих дисків. до для відновлення диска потрібен строго контрольований доступ до приватного агента відновлення даних ключ.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\FVE:FDVRequireActiveDirectoryBackup
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\BitLocker Drive Encryption\Fixed Data Drives\Choose how BitLocker-protected fixed drives can be recovered: Do not enable BitLocker until recovery information is stored to AD DS for fixed data drives - Рекомендований стан:
Enabled: False
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp#fixeddrivesrecoveryoptions 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000387 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.11.7.1.7 Переконайтеся, що для параметра «Виберіть, як можна відновити стаціонарні диски, захищені BitLocker: пропустіть параметри відновлення в майстрі налаштування BitLocker» встановлено значення «Увімкнено: правда».
Цей параметр політики дозволяє контролювати, наскільки захищені фіксовані диски даних BitLocker відновлено за відсутності необхідних облікових даних. Цей параметр політики застосовується, коли ви вмикаєте BitLocker. Виберіть «Пропустити параметри відновлення з майстра налаштування BitLocker», щоб запобігти користувачам вказуючи параметри відновлення, коли вони вмикають BitLocker на диску. Це означає, що ви не зможе вказати, який параметр відновлення використовувати, коли ви вмикаєте BitLocker, натомість варіанти відновлення BitLocker для диска визначаються параметром політики. Рекомендований стан для цього параметра: Enabled: True.
Адміністратори повинні завжди мати безпечний і безпечний спосіб доступу до зашифрованих даних у користувачі події не можуть отримати доступ до своїх даних. Крім того, як і будь-який інший метод автентифікації, диск може бути скомпрометований вгадування або пошук інформації автентифікації, яка використовується для доступу до диска. Щоб використовувати BitLocker, потрібно налаштувати агент відновлення даних для фіксованих дисків. до для відновлення диска потрібен строго контрольований доступ до приватного агента відновлення даних ключ.
Можливість вручну вибрати параметри відновлення для фіксованих дисків не буде надано користувач у майстрі налаштування BitLocker.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\FVE:FDVHideRecoveryPage
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\BitLocker Drive Encryption\Fixed Data Drives\Choose how BitLocker-protected fixed drives can be recovered: Omit recovery options from the BitLocker setup wizard - Рекомендований стан:
Enabled: True
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp#fixeddrivesrecoveryoptions 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000384 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.11.7.1.8 Переконайтеся, що для параметра «Виберіть спосіб відновлення захищених BitLocker фіксованих дисків: зберігати інформацію про відновлення BitLocker в AD DS для фіксованих дисків даних» встановлено значення «Увімкнено: хибне».
Цей параметр політики дозволяє контролювати, наскільки захищені фіксовані диски даних BitLocker відновлено за відсутності необхідних облікових даних. Цей параметр політики застосовується, коли ви вмикаєте BitLocker. Виберіть «Зберегти інформацію про відновлення BitLocker у доменних службах Active Directory». яку інформацію про відновлення BitLocker зберігати в AD DS для фіксованих дисків даних. Якщо ви виберіть «Резервне копіювання пароля відновлення та пакет ключів», як для відновлення BitLocker пароль і пакет ключів зберігаються в AD DS. Зберігання пакету ключів підтримує відновлення даних із диска, який був фізично пошкоджений. Якщо вибрати «Резервне копіювання лише пароль для відновлення”, лише пароль для відновлення зберігається в AD DS. Рекомендований стан для цього параметра: Enabled: False.
Адміністратори повинні завжди мати безпечний і безпечний спосіб доступу до зашифрованих даних у користувачі події не можуть отримати доступ до своїх даних. Крім того, як і будь-який інший метод автентифікації, диск може бути скомпрометований вгадування або пошук інформації автентифікації, яка використовується для доступу до диска. Щоб використовувати BitLocker, потрібно налаштувати агент відновлення даних для фіксованих дисків. до для відновлення диска потрібен строго контрольований доступ до приватного агента відновлення даних ключ.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\FVE:FDVActiveDirectoryBackup
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\BitLocker Drive Encryption\Fixed Data Drives\Choose how BitLocker-protected fixed drives can be recovered: Save BitLocker recovery information to AD DS for fixed data drives - Рекомендований стан:
Enabled: False
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp#fixeddrivesrecoveryoptions 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000385 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.11.7.2.1 Переконайтеся, що для параметра «Виберіть спосіб відновлення захищених BitLocker дисків операційної системи» встановлено значення «Увімкнено»
Цей параметр політики дозволяє контролювати, як операційна система захищена BitLocker диски відновлюються за відсутності необхідної інформації про ключ запуску. Ця політика налаштування застосовується, коли ви вмикаєте BitLocker. Прапорець «Дозволити агент відновлення даних на основі сертифіката» використовується, щоб указати, чи потрібно Агент відновлення даних можна використовувати з дисками операційної системи, захищеними BitLocker. Перед використанням агента відновлення даних його потрібно додати з відкритого ключа Елемент «Політики» на консолі керування груповою політикою або в локальній груповій політиці редактор. Зверніться до Посібника з розгортання BitLocker Drive Encryption на сайті Microsoft TechNet щоб дізнатися більше про додавання агентів відновлення даних. У розділі «Налаштувати зберігання інформації для відновлення BitLocker користувача» виберіть, чи є користувачі дозволено, потрібно або заборонено генерувати 48-значний або 256-бітний пароль відновлення ключ відновлення. Виберіть «Пропустити параметри відновлення з майстра налаштування BitLocker», щоб запобігти користувачам вказуючи параметри відновлення, коли вони вмикають BitLocker на диску. Це означає, що ви не зможе вказати, який параметр відновлення використовувати, коли ви вмикаєте BitLocker, натомість варіанти відновлення BitLocker для диска визначаються параметром політики. Виберіть «Зберегти інформацію про відновлення BitLocker у доменних службах Active Directory». яку інформацію про відновлення BitLocker зберігати в AD DS для дисків операційної системи. Якщо ви вибираєте «Резервне копіювання пароля відновлення та пакету ключів», як відновлення BitLocker пароль і пакет ключів зберігаються в AD DS. Зберігання пакету ключів підтримує відновлення даних із диска, який був фізично пошкоджений. Якщо вибрати «Резервне копіювання лише пароль для відновлення”, лише пароль для відновлення зберігається в AD DS. Виберіть «Не вмикати BitLocker, доки інформація про відновлення не буде збережена в AD DS для диски операційної системи», якщо ви не хочете, щоб користувачі вмикали BitLocker якщо комп’ютер не підключено до домену та резервної копії відновлення BitLocker надсилання інформації до AD DS. Примітка: якщо «Не вмикати BitLocker, доки інформація про відновлення не буде збережена в AD DS для диски операційної системи» встановлено прапорець, пароль відновлення буде встановлено автоматично створений. Рекомендований стан для цього параметра: увімкнено.
Якщо користувач втратить свій основний засіб доступу до зашифрованого тому ОС, або якщо система не пройде перевірку цілісності під час завантаження, система перейде в режим відновлення. Якщо для ключа відновлення не створено резервну копію в Active Directory, користувач потрібно було зберегти ключ відновлення в іншому місці, наприклад на флеш-пам’яті USB на диску або надрукували пароль відновлення та тепер мають доступ до одного з них у щоб відновити систему. Якщо користувач не може створити ключ відновлення, то користувачеві буде відмовлено в доступі до зашифрованого тому, а згодом і до будь-яких даних, які є зберігається там.
Щоб увімкнути BitLocker, користувачі повинні бути підключені до домену. Ця політика не є FIPS скарга.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\FVE:OSRecovery
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\BitLocker Drive Encryption\Operating System Drives\Choose how BitLocker-protected operating system drives can be recovered - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp#systemdrivesrecoveryoptions 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000393 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.11.7.2.2 Переконайтеся, що для параметра «Виберіть спосіб відновлення дисків операційної системи, захищених BitLocker: ключ відновлення» встановлено значення «Увімкнено: не дозволяти 256-бітний ключ відновлення».
Цей параметр політики дозволяє контролювати, як операційна система захищена BitLocker диски відновлюються за відсутності необхідної інформації про ключ запуску. Ця політика налаштування застосовується, коли ви вмикаєте BitLocker. У розділі «Налаштувати зберігання інформації для відновлення BitLocker користувача» виберіть, чи є користувачі дозволено, потрібно або заборонено генерувати 48-значний або 256-бітний пароль відновлення ключ відновлення. Рекомендований стан для цього параметра: Увімкнено: не дозволяти 256-біт ключ відновлення.
Якщо користувач втратить свій основний засіб доступу до зашифрованого тому ОС, або якщо система не пройде перевірку цілісності під час завантаження, система перейде в режим відновлення. Якщо для ключа відновлення не створено резервну копію в Active Directory, користувач потрібно було зберегти ключ відновлення в іншому місці, наприклад на флеш-пам’яті USB на диску або надрукували пароль відновлення та тепер мають доступ до одного з них у щоб відновити систему. Якщо користувач не може створити ключ відновлення, то користувачеві буде відмовлено в доступі до зашифрованого тому, а згодом і до будь-яких даних, які є зберігається там.
256-бітний ключ відновлення не буде дозволено для диска операційної системи. Користувачі будуть потрібне підключення до домену, щоб увімкнути BitLocker. Ця політика не є скаргою FIPS.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\FVE:OSRecoveryKey
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\BitLocker Drive Encryption\Operating System Drives\Choose how BitLocker-protected operating system drives can be recovered: Recovery Key - Рекомендований стан:
Enabled: Do not allow 256-bit recovery key
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp#systemdrivesrecoveryoptions 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000396 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.11.7.2.3 Переконайтеся, що для параметра «Виберіть, як можна відновити диски операційної системи, захищені BitLocker: пароль відновлення» встановлено значення «Увімкнено: вимагати 48-значний пароль відновлення».
Цей параметр політики дозволяє контролювати, як операційна система захищена BitLocker диски відновлюються за відсутності необхідної інформації про ключ запуску. Ця політика налаштування застосовується, коли ви вмикаєте BitLocker. У розділі «Налаштувати зберігання інформації для відновлення BitLocker користувача» виберіть, чи є користувачі дозволено, потрібно або заборонено генерувати 48-значний або 256-бітний пароль відновлення ключ відновлення. Рекомендований стан для цього параметра: Увімкнено: потрібне відновлення 48 цифр пароль.
Якщо користувач втратить свій основний засіб доступу до зашифрованого тому ОС, або якщо система не пройде перевірку цілісності під час завантаження, система перейде в режим відновлення. Якщо для ключа відновлення не створено резервну копію в Active Directory, користувач потрібно було зберегти ключ відновлення в іншому місці, наприклад на флеш-пам’яті USB на диску або надрукували пароль відновлення та тепер мають доступ до одного з них у щоб відновити систему. Якщо користувач не може створити ключ відновлення, то користувачеві буде відмовлено в доступі до зашифрованого тому, а згодом і до будь-яких даних, які є зберігається там.
Для диска операційної системи знадобиться 48-значний пароль відновлення. Користувачі будуть потрібне підключення до домену, щоб увімкнути BitLocker. Ця політика не є скаргою FIPS.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\FVE:OSRecoveryPassword
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\BitLocker Drive Encryption\Operating System Drives\Choose how BitLocker-protected operating system drives can be recovered: Recovery Password - Рекомендований стан:
Enabled: Require 48-digit recovery password
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp#systemdrivesrecoveryoptions 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000395 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.11.7.2.4 Переконайтеся, що для параметра «Виберіть спосіб відновлення дисків операційної системи, захищених BitLocker: Дозволити агент відновлення даних» встановлено значення «Увімкнено: хибне».
Цей параметр політики дозволяє контролювати, як операційна система захищена BitLocker диски відновлюються за відсутності необхідної інформації про ключ запуску. Ця політика налаштування застосовується, коли ви вмикаєте BitLocker. Прапорець «Дозволити агент відновлення даних на основі сертифіката» використовується, щоб указати, чи потрібно Агент відновлення даних можна використовувати з дисками операційної системи, захищеними BitLocker. Перед використанням агента відновлення даних його потрібно додати з відкритого ключа Елемент «Політики» на консолі керування груповою політикою або в локальній груповій політиці редактор. Зверніться до Посібника з розгортання BitLocker Drive Encryption на сайті Microsoft TechNet щоб дізнатися більше про додавання агентів відновлення даних. Рекомендований стан для цього параметра: Enabled: False.
Якщо користувач втратить свій основний засіб доступу до зашифрованого тому ОС, або якщо система не пройде перевірку цілісності під час завантаження, система перейде в режим відновлення. Якщо для ключа відновлення не створено резервну копію в Active Directory, користувач потрібно було зберегти ключ відновлення в іншому місці, наприклад на флеш-пам’яті USB на диску або надрукували пароль відновлення та тепер мають доступ до одного з них у щоб відновити систему. Якщо користувач не може створити ключ відновлення, то користувачеві буде відмовлено в доступі до зашифрованого тому, а згодом і до будь-яких даних, які є зберігається там.
Агент відновлення даних не буде дозволений для диска операційної системи. Користувачі будуть потрібне підключення до домену, щоб увімкнути BitLocker. Ця політика не є скаргою FIPS.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\FVE:OSManageDRA
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\BitLocker Drive Encryption\Operating System Drives\Choose how BitLocker-protected operating system drives can be recovered: Allow data recovery agent - Рекомендований стан:
Enabled: False
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp#systemdrivesrecoveryoptions 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000394 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.11.7.2.5 Переконайтеся, що для параметра «Вибрати спосіб відновлення дисків операційної системи, захищених BitLocker: Налаштувати зберігання інформації про відновлення BitLocker в AD DS:» встановлено значення «Увімкнено: зберігати паролі відновлення та пакети ключів».
Цей параметр політики дозволяє контролювати, як операційна система захищена BitLocker диски відновлюються за відсутності необхідної інформації про ключ запуску. Ця політика налаштування застосовується, коли ви вмикаєте BitLocker. Виберіть «Зберегти інформацію про відновлення BitLocker у доменних службах Active Directory». яку інформацію про відновлення BitLocker зберігати в AD DS для дисків операційної системи. Якщо ви вибираєте «Резервне копіювання пароля відновлення та пакету ключів», як відновлення BitLocker пароль і пакет ключів зберігаються в AD DS. Зберігання пакету ключів підтримує відновлення даних із диска, який був фізично пошкоджений. Якщо вибрати «Резервне копіювання лише пароль для відновлення”, лише пароль для відновлення зберігається в AD DS. Рекомендований стан для цього параметра: Увімкнено: зберігати паролі відновлення та ключові пакети.
Якщо користувач втратить свій основний засіб доступу до зашифрованого тому ОС, або якщо система не пройде перевірку цілісності під час завантаження, система перейде в режим відновлення. Якщо для ключа відновлення не створено резервну копію в Active Directory, користувач потрібно було зберегти ключ відновлення в іншому місці, наприклад на флеш-пам’яті USB на диску або надрукували пароль відновлення та тепер мають доступ до одного з них у щоб відновити систему. Якщо користувач не може створити ключ відновлення, то користувачеві буде відмовлено в доступі до зашифрованого тому, а згодом і до будь-яких даних, які є зберігається там.
Буде і пароль відновлення, і пакет ключів для диска операційної системи збережено в AD DS. Щоб увімкнути BitLocker, користувачі повинні бути підключені до домену. Це політика не є скаргою FIPS.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\FVE:OSActiveDirectoryInfoToStore
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\BitLocker Drive Encryption\Operating System Drives\Choose how BitLocker-protected operating system drives can be recovered: Configure storage of BitLocker recovery information to AD DS: - Рекомендований стан:
Enabled: Store recovery passwords and key packages
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp#systemdrivesrecoveryoptions 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000399 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.11.7.2.6 Переконайтеся, що для параметра «Виберіть спосіб відновлення дисків операційної системи, захищених BitLocker: не вмикайте BitLocker, доки інформація про відновлення не буде збережено в AD DS для дисків операційної системи» встановлено значення «Увімкнено: правда».
Цей параметр політики дозволяє контролювати, як операційна система захищена BitLocker диски відновлюються за відсутності необхідної інформації про ключ запуску. Ця політика налаштування застосовується, коли ви вмикаєте BitLocker. Виберіть «Не вмикати BitLocker, доки інформація про відновлення не буде збережена в AD DS для диски операційної системи», якщо ви не хочете, щоб користувачі вмикали BitLocker якщо комп’ютер не підключено до домену та резервної копії відновлення BitLocker надсилання інформації до AD DS. Примітка: якщо «Не вмикати BitLocker, доки інформація про відновлення не буде збережена в AD DS для диски операційної системи» встановлено прапорець, пароль відновлення буде встановлено автоматично створений. Рекомендований стан для цього параметра: Enabled: True.
Якщо користувач втратить свій основний засіб доступу до зашифрованого тому ОС, або якщо система не пройде перевірку цілісності під час завантаження, система перейде в режим відновлення. Якщо для ключа відновлення не створено резервну копію в Active Directory, користувач потрібно було зберегти ключ відновлення в іншому місці, наприклад на флеш-пам’яті USB на диску або надрукували пароль відновлення та тепер мають доступ до одного з них у щоб відновити систему. Якщо користувач не може створити ключ відновлення, то користувачеві буде відмовлено в доступі до зашифрованого тому, а згодом і до будь-яких даних, які є зберігається там.
Користувачі повинні бути підключені до домену та створити резервну копію відновлення BitLocker інформація для диска операційної системи має бути успішною, щоб увімкнути BitLocker. Ця політика не є скаргою FIPS.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\FVE:OSRequireActiveDirectoryBackup
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\BitLocker Drive Encryption\Operating System Drives\Choose how BitLocker-protected operating system drives can be recovered: Do not enable BitLocker until recovery information is stored to AD DS for operating system drives - Рекомендований стан:
Enabled: True
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp#systemdrivesrecoveryoptions 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000400 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.11.7.2.7 Переконайтеся, що для параметра «Виберіть, як можна відновити диски операційної системи, захищені BitLocker: пропустіть параметри відновлення в майстрі налаштування BitLocker» встановлено значення «Увімкнено: правда».
Цей параметр політики дозволяє контролювати, як операційна система захищена BitLocker диски відновлюються за відсутності необхідної інформації про ключ запуску. Ця політика налаштування застосовується, коли ви вмикаєте BitLocker. Виберіть «Пропустити параметри відновлення з майстра налаштування BitLocker», щоб запобігти користувачам вказуючи параметри відновлення, коли вони вмикають BitLocker на диску. Це означає, що ви не зможе вказати, який параметр відновлення використовувати, коли ви вмикаєте BitLocker, натомість варіанти відновлення BitLocker для диска визначаються параметром політики. Рекомендований стан для цього параметра: Enabled: True.
Якщо користувач втратить свій основний засіб доступу до зашифрованого тому ОС, або якщо система не пройде перевірку цілісності під час завантаження, система перейде в режим відновлення. Якщо для ключа відновлення не створено резервну копію в Active Directory, користувач потрібно було зберегти ключ відновлення в іншому місці, наприклад на флеш-пам’яті USB на диску або надрукували пароль відновлення та тепер мають доступ до одного з них у щоб відновити систему. Якщо користувач не може створити ключ відновлення, то користувачеві буде відмовлено в доступі до зашифрованого тому, а згодом і до будь-яких даних, які є зберігається там.
Можливості вручну вибрати параметри відновлення для працюючого накопичувача не буде надається користувачеві в майстрі налаштування BitLocker.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\FVE:OSHideRecoveryPage
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\BitLocker Drive Encryption\Operating System Drives\Choose how BitLocker-protected operating system drives can be recovered: Omit recovery options from the BitLocker setup wizard - Рекомендований стан:
Enabled: True
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp#systemdrivesrecoveryoptions 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000397 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.11.7.2.8 Переконайтеся, що для параметра «Виберіть, як можна відновити диски операційної системи, захищені BitLocker: зберігати інформацію про відновлення BitLocker в AD DS для дисків операційної системи» встановлено значення «Увімкнено: правда».
Цей параметр політики дозволяє контролювати, як операційна система захищена BitLocker диски відновлюються за відсутності необхідної інформації про ключ запуску. Ця політика налаштування застосовується, коли ви вмикаєте BitLocker. Виберіть «Зберегти інформацію про відновлення BitLocker у доменних службах Active Directory». яку інформацію про відновлення BitLocker зберігати в AD DS для дисків операційної системи. Якщо ви вибираєте «Резервне копіювання пароля відновлення та пакету ключів», як відновлення BitLocker пароль і пакет ключів зберігаються в AD DS. Зберігання пакету ключів підтримує відновлення даних із диска, який був фізично пошкоджений. Якщо вибрати «Резервне копіювання лише пароль для відновлення”, лише пароль для відновлення зберігається в AD DS. Рекомендований стан для цього параметра: Enabled: True.
Якщо користувач втратить свій основний засіб доступу до зашифрованого тому ОС, або якщо система не пройде перевірку цілісності під час завантаження, система перейде в режим відновлення. Якщо для ключа відновлення не створено резервну копію в Active Directory, користувач потрібно було зберегти ключ відновлення в іншому місці, наприклад на флеш-пам’яті USB на диску або надрукували пароль відновлення та тепер мають доступ до одного з них у щоб відновити систему. Якщо користувач не може створити ключ відновлення, то користувачеві буде відмовлено в доступі до зашифрованого тому, а згодом і до будь-яких даних, які є зберігається там.
Інформація про відновлення BitLocker для диска з операційною системою буде скопійована в AD DS. Щоб увімкнути BitLocker, користувачі повинні бути підключені до домену. Ця політика не є Скарга FIPS.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\FVE:OSActiveDirectoryBackup
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\BitLocker Drive Encryption\Operating System Drives\Choose how BitLocker-protected operating system drives can be recovered: Do not enable BitLocker until recovery information is stored to AD DS for operating system drives - Рекомендований стан:
Enabled: True
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp#systemdrivesrecoveryoptions 2. Minimum OS CSP: Windows 10, Version 1703 and later 3. GRID: MS-00000398 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.11.7.2.9 Переконайтеся, що для параметра «Застосувати тип шифрування диска на дисках операційної системи: виберіть тип шифрування: (Пристрій)» встановлено значення «Увімкнено: шифрування лише використаного простору» або «Увімкнено: повне шифрування».
Цей параметр політики налаштовує тип шифрування (лише пробіл і ціле), який використовується Шифрування диска BitLocker. Рекомендований стан для цього параметра: увімкнено: шифрування лише використаного простору або Увімкнено: повне шифрування. Примітка. Зміна типу шифрування не впливає на диски, які вже зашифровані або якщо триває шифрування. Примітка №2. Якщо вибрано параметр повного шифрування, весь диск буде зашифровано. Якщо Вибрано лише шифрування використовуваного простору, лише частину диска, що використовується для зберігання дані будуть зашифровані.
Тип шифрування (лише використаний простір або повне), що використовується BitLocker, має бути an організаційне рішення, а не рішення кінцевого користувача.
Організації доведеться вибрати метод, який використовуватиметься, коли BitLocker увімкнено. Кінцевий користувач не зможе вибрати тип шифрування. Примітка. Ця політика ігнорується під час згортання або розширення тому, і використовує BitLocker поточний метод шифрування. Приклад: коли диск використовує шифрування лише простору та розширюється, нове вільне місце не стирається, як це відбувається для диска, який використовує повне шифрування.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1 або 2.
HKLM\SOFTWARE\Policies\Microsoft\FVE:OSEncryptionType
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\BitLocker Drive Encryption\Operating System Drives\Enforce drive encryption type on operating system drives: Select the encryption type: (Device) - Рекомендований стан:
Used Space Only encryption or Full encryption
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp?WT.mc_id=Portal-fx#systemdrivesencryptiontype 2. GRID: MS-00000619 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.11.7.3.1 Переконайтеся, що для параметра «Заборонити доступ до запису на знімні диски, не захищені BitLocker» встановлено значення «Увімкнено».
Цей параметр політики визначає, чи потрібен захист BitLocker для комп’ютера мати можливість записувати дані на знімний носій даних. Усі знімні диски з даними, які не захищені BitLocker, будуть підключені як доступні лише для читання. Якщо диск захищено BitLocker, його буде підключено з доступом для читання та запису. Рекомендований стан для цього параметра: увімкнено.
Користувачі не можуть добровільно шифрувати знімні диски перед збереженням важливих даних на диск.
Усі знімні диски з даними, які не захищені BitLocker, будуть підключені як доступні лише для читання. Якщо диск захищено BitLocker, його буде підключено з доступом для читання та запису.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Policies\Microsoft\FVE:RDVDenyWriteAccess
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\BitLocker Drive Encryption\Removable Data Drives\Deny write access to removable drives not protected by BitLocker - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp#removabledrivesrequireencryption 2. GRID: MS-00000422 3. Minimum OS CSP: Windows 10, Version 1703 and later `
CIS Controls: `
IG 1, 2
IG 1, 2, 3
IG 1
4.11.7.3.2 Переконайтеся, що для параметра «Заборонити доступ до запису до знімних дисків, не захищених BitLocker: не дозволяти доступ до запису для пристроїв, налаштованих в іншій організації» встановлено значення «Увімкнено: хибне».
Цей параметр політики налаштовує, чи зможе комп’ютер записувати дані Знімні диски, захищені BitLocker, налаштовані в іншій організації. Рекомендований стан для цього параметра: Enabled: False.
Обмеження доступу для запису до знімних дисків, захищених BitLocker, які були налаштовані в інша організація може перешкоджати законним бізнес-операціям, де зашифровані дані обмін необхідний.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\FVE:RDVDenyCrossOrg
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\BitLocker Drive Encryption\Removable Data Drives\Deny write access to removable drives not protected by BitLocker: Do not allow write access to devices configured in another organization - Рекомендований стан:
Enabled: False
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp#removabledrivesrequireencryption 2. GRID: MS-00000423 3. Minimum OS CSP: Windows 10, Version 1703 and later `
CIS Controls: `
IG 1, 2
IG 1, 2, 3
IG 1
4.11.7.4 Переконайтеся, що для параметра «Виберіть метод шифрування диска та надійність шифру (Windows 10 [версія 1511] і пізніших версій): Виберіть метод шифрування для дисків із фіксованими даними» встановлено значення «XTS-AES 128-біт (за замовчуванням)» або «XTS-AES 256-біт».
Цей параметр політики визначає, який метод шифрування слід використовувати для фіксованих даних диски. Рекомендований стан для цього параметра: XTS-AES 128-біт (за замовчуванням) або XTS-AES 256-біт
Застосування значення за замовчуванням XTS-AES 128-біт (за замовчуванням) або вище допомагає гарантувати що слабший шифр не використовується для захисту даних на фіксованих дисках даних.
Немає – цей параметр застосовує значення за умовчанням або вище.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 6 або 7.
HKLM\SOFTWARE\Policies\Microsoft\FVE:EncryptionMethodWithXtsFdv
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\BitLocker Drive Encryption\Choose drive encryption method and cipher strength (Windows 10 [Version 1511] and later)\Select the encryption method for fixed data drives - Рекомендований стан:
XTS-AES 128-bit (default) or XTS-AES 256-bit
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp?WT.mc_id=Portal- Microsoft_Intune_Workflows#encryptionmethodbydrivetype 2. Minimum OS CSP: Windows 10, version 2004 with KB5005101 [10.0.19041.1202] and later 3. GRID: MS-00000625 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.11.7.5 Переконайтеся, що для параметра «Виберіть метод шифрування диска та надійність шифру (Windows 10 [версія 1511] і новіші): виберіть метод шифрування для дисків операційної системи» встановлено значення «XTS-AES 128-біт (за замовчуванням)» або «XTS-AES 256-біт».
Цей параметр політики визначає, який метод шифрування слід використовувати для роботи системні диски. Рекомендований стан для цього параметра: XTS-AES 128-біт (за замовчуванням) або XTS-AES 256-біт
Застосування значення за замовчуванням XTS-AES 128-біт (за замовчуванням) або вище допомагає гарантувати що слабший шифр не використовується для захисту даних на дисках операційної системи.
Немає – цей параметр застосовує значення за умовчанням або вище.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 6 або 7.
HKLM\SOFTWARE\Policies\Microsoft\FVE:EncryptionMethodWithXtsOs
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\BitLocker Drive Encryption\Choose drive encryption method and cipher strength (Windows 10 [Version 1511] and later)\Select the encryption method for operating system drives: - Рекомендований стан:
XTS-AES 128-bit (default) or XTS-AES 256-bit
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp?WT.mc_id=Portal- Microsoft_Intune_Workflows#encryptionmethodbydrivetype 2. Minimum OS CSP: Windows 10, version 2004 with KB5005101 [10.0.19041.1202] and later 3. GRID: MS-00000626 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.11.7.6 Переконайтеся, що для параметра «Виберіть метод шифрування диска та надійність шифру (Windows 10 [версія 1511] і пізніших версій): Виберіть метод шифрування для знімних дисків із даними» встановлено значення «XTS-AES 128-bit» або вище
Цей параметр політики визначає, який метод шифрування слід використовувати для роботи системні диски. Рекомендований стан для цього параметра: XTS-AES 128-біт або XTS-AES 256-біт.
Стандартне значення AES-CBC 128-bit використовується для зворотної сумісності з іншими операційні системи. Використання інших доступних шифрів підвищить рівень безпеки для конфіденційних даних, але це може вплинути на сумісність з іншими операційними системами. Цей параметр включено в тест, оскільки він додається автоматично, коли Увімкнено параметр «Вибрати метод шифрування диска та надійність шифру». Системні адміністратори повинні використовувати найбезпечніший доступний шифр, коли це можливо.
Використання налаштувань поза значенням за замовчуванням AES-CBC 128-біт може зменшити зворотна сумісність зашифрованих знімних дисків при використанні в інших системах.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 6 або 7.
HKLM\SOFTWARE\Policies\Microsoft\FVE:EncryptionMethodWithXtsRdv
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань: XTS-AES 128-біт або XTS-AES 256-біт. Адміністративні шаблони\Компоненти Windows\Шифрування диска BitLocker\Вибрати метод шифрування диска та надійність шифру (Windows 10 [версія 1511] і пізніше)\Виберіть метод шифрування для знімних дисків даних:
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp?WT.mc_id=Portal- Microsoft_Intune_Workflows#encryptionmethodbydrivetype 2. Minimum OS CSP: Windows 10, version 2004 with KB5005101 [10.0.19041.1202] and later 3. GRID: MS-00000627 `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
4.11.8.1 Переконайтеся, що для параметра «Не відображати кнопку відкриття пароля» встановлено значення «Увімкнено»
Цей параметр політики дозволяє налаштувати відображення кнопки розкриття пароля досвід користувача для введення пароля. Рекомендований стан для цього параметра: увімкнено.
Це корисна функція під час введення довгого та складного пароля, особливо коли за допомогою сенсорного екрану. Потенційний ризик полягає в тому, що хтось інший може побачити ваш пароль таємно спостерігаючи за своїм екраном.
Кнопка відкриття пароля не відображатиметься після того, як користувач введе пароль у текстове поле для введення пароля.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\CredUI:DisablePasswordReveal
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Credential User Interface\Do not display the password reveal button - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- credentialsui#disablepasswordreveal 2. GRID: MS-00000429 3. Minimum OS CSP: Windows 10, Version 1703 and later `
CIS Controls: `
IG 1
IG 1
4.11.8.2 Переконайтеся, що для параметра «Перерахувати облікові записи адміністраторів під час підвищення» встановлено значення «Вимкнено»
Цей параметр політики контролює, чи відображаються облікові записи адміністратора, коли користувач намагається підвищити запущену програму. Рекомендований стан для цього параметра: вимкнено.
Користувачі могли бачити список облікових записів адміністраторів, що полегшувало роботу зловмисний користувач, який увійшов до сеансу консолі, щоб спробувати зламати паролі ті облікові записи.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\CredUI:EnumerateAdministrators
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Credential User Interface\Enumerate administrator accounts on elevation - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- credentialsui#enumerateadministrators 2. GRID: MS-00000430 3. Minimum OS CSP: Windows 10, Version 1703 and later `
CIS Controls: `
IG 1
IG 1
4.11.8.3 Переконайтеся, що для параметра «Запобігати використанню питань безпеки для локальних облікових записів» встановлено значення «Увімкнено».
Цей параметр політики визначає, чи можна використовувати питання безпеки для локального скидання паролі облікових записів. Функція таємного запитання не застосовується до облікових записів домену, лише локальні облікові записи на робочій станції. Рекомендований стан для цього параметра: увімкнено.
Користувачі можуть встановлювати таємні питання, які легко вгадати або розшукати спостереження за обліковими записами користувачів у соціальних мережах, що полегшує зловмисникам змінити пароль локального облікового запису користувача та отримати доступ до комп’ютера як цей користувач рахунок.
Локальні облікові записи користувачів не зможуть налаштувати та використовувати таємні запитання для скидання своїх паролі.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\System:NoLocalPasswordResetQuestions
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Credential User Interface\Prevent the use of security questions for local accounts - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- admx-credui#nolocalpasswordresetquestions 2. GRID: MS-00000431 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1
IG 1
4.11.10.1 Переконайтеся, що для параметра «Увімкнути експериментальні функції інсталятора програми» встановлено значення «Вимкнено»
Цей параметр політики визначає, чи можуть користувачі вмикати експериментальні функції в Менеджер пакетів Windows. Рекомендований стан для цього параметра – Вимкнено.
Windows Package Manager — це інструмент командного рядка, який можна використовувати для виявлення, встановлення, оновлювати, видаляти та налаштовувати програми, і його можна використовувати як дистрибутив канал для програмних пакетів, що містять інструменти та програми. Користувачі не повинні мати доступ до експериментальних функцій.
Користувачі не матимуть доступу до експериментальних функцій в інструменті командного рядка, winget to виявляти, встановлювати, оновлювати, видаляти, налаштовувати або розповсюджувати програми.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\AppInstaller:EnableExperimentalFeatures
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Disabled: Адміністративні шаблони\компоненти Windows\інсталятор настільних програм\увімкнути програму Експериментальні функції інсталятора
Застосовується лише до Windows 11.
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/package-manager/ 2. GRID: MS-00000442 3. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- desktopappinstaller#enableappinstaller 4. Minimum OS CSP: Windows 11, Version 22H2 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.10.2 Переконайтеся, що для параметра «Увімкнути заміну хешу інсталятора програми» встановлено значення «Вимкнено»
Цей параметр політики визначає, чи можуть користувачі перевизначати захист SHA256 перевірка в налаштуваннях Windows Package Manager. Рекомендований стан для цього параметра: вимкнено.
Користувачі не повинні мати можливість перевизначати перевірку безпеки SHA256.
Користувачі не матимуть можливості змінити перевірку безпеки SHA256.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\AppInstaller:EnableHashOverride
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Disabled: Адміністративні шаблони\компоненти Windows\інсталятор настільних програм\увімкнути програму Перевизначення хешу інсталятора
Застосовується лише до Windows 11.
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/package-manager/ 2. GRID: MS-00000443 3. Minimum OS CSP: Windows 11, Version 22H2 and later 4. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- desktopappinstaller#enablehashoverride `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.10.3 Переконайтеся, що для параметра «Увімкнути протокол встановлення програми ms-appinstaller» встановлено значення «Вимкнено»
Цей параметр політики визначає, чи можуть користувачі встановлювати пакети з веб-сайту за допомогою протоколу ms-appinstaller. Протокол ms-appinstaller дозволяє користувачам встановити програму, натиснувши посилання на веб-сайті. Рекомендований стан для цього параметра: вимкнено.
Користувачі не повинні мати можливість інсталювати програму, натиснувши посилання на веб-сайті. Якщо клацнути невідоме або зловмисне посилання, на ньому може бути встановлено зловмисне програмне забезпечення система.
Користувачі не матимуть можливості використовувати для встановлення протокол ms-appinstaller програми, натиснувши посилання на веб-сайті.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\AppInstaller:EnableMSAppInstallerProtocol
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Disabled: Адміністративні шаблони\компоненти Windows\інсталятор настільних програм\увімкнути програму Інсталятор протоколу ms-appinstaller
Застосовується лише до Windows 11.
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/package-manager/ 2. GRID: MS-00000444 3. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- desktopappinstaller#enablemsappinstallerprotocol 4. Minimum OS CSP: Windows 11, Version 22H2 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.15.1.1 Переконайтеся, що для параметра «Контроль поведінки журналу подій, коли файл журналу досягає максимального розміру» встановлено значення «Вимкнено»
Цей параметр політики керує поведінкою журналу подій, коли файл журналу досягає максимуму розмір. Рекомендований стан для цього параметра: вимкнено. Примітка. Старі події можуть зберігатися або не зберігатися автоматично відповідно до журналу резервного копіювання при повному налаштуванні політики.
Якщо нові події не записуються, може бути важко або неможливо визначити корінь причиною системних проблем або несанкціонованих дій зловмисних користувачів.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з REG_SZ значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\EventLog\Application:Retention
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Event Log Service\Application\Control Event Log behavior when the log file reaches its maximum size - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- eventlogservice#controleventlogbehavior 2. GRID: MS-00000445 3. Minimum OS CSP: Windows 10, Version 1703 and later `
CIS Controls: `
IG 1, 2, 3
IG 1, 2
4.11.15.1.2 Переконайтеся, що для параметра «Вказати максимальний розмір файлу журналу (КБ)» встановлено значення «Увімкнено: 32 768 або більше».
Цей параметр політики визначає максимальний розмір файлу журналу в кілобайтах. Максимум розмір файлу журналу можна налаштувати від 1 мегабайта (1024 кілобайт) до 4 терабайт (4 194 240 кілобайт) із кроком у кілобайтах. Рекомендований стан для цього параметра: Увімкнено: 32 768 або вище.
Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії зловмисників.
Коли журнали подій заповнюються до повної ємності, вони припиняють записувати інформацію, якщо не буде збережено метод для кожного встановлено таким чином, що комп’ютер перезаписує найстаріші записи за допомогою найновіші. Щоб зменшити ризик втрати останніх даних, ви можете налаштувати метод збереження, щоб за потреби старіші події перезаписувалися. Наслідком цієї конфігурації є те, що старіші події буде видалено з колоди. Зловмисники можуть скористатися такою конфігурацією, оскільки вони можуть генерувати велика кількість сторонніх подій, щоб перезаписати будь-які докази їх атаки. Ці ризики можна дещо зменшити, якщо автоматизувати архівування та резервне копіювання журналу подій даних. В ідеалі всі спеціально відстежувані події мають надсилатися на сервер, який використовує Microsoft System Center Operations Manager (SCOM) або інший автоматизований інструмент моніторингу. Така конфігурація є особливо важливою, оскільки зловмисник, який успішно сервер може очистити журнал безпеки. Якщо всі події відправляються на моніторинг сервер, тоді ви зможете збирати криміналістичну інформацію про діяльність зловмисника.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a Значення REG_DWORD 32768 або більше.
HKLM\SOFTWARE\Policies\Microsoft\Windows\EventLog\Application:MaxSize
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Event Log Service\Application\Specify the maximum log file size (KB) - Рекомендований стан:
Enabled: 32,768 or greater
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- eventlogservice#specifymaximumfilesizeapplicationlog 2. GRID: MS-00000446 3. Minimum OS CSP: Windows 10, Version 1703 and later `
CIS Controls: `
IG 1, 2, 3
IG 1, 2
4.11.15.2.1 Переконайтеся, що для параметра «Контроль поведінки журналу подій, коли файл журналу досягає максимального розміру» встановлено значення «Вимкнено»
Цей параметр політики керує поведінкою журналу подій, коли файл журналу досягає максимуму розмір. Рекомендований стан для цього параметра: вимкнено. Примітка. Старі події можуть зберігатися або не зберігатися автоматично відповідно до журналу резервного копіювання при повному налаштуванні політики.
Якщо нові події не записуються, може бути важко або неможливо визначити корінь причиною системних проблем або несанкціонованих дій зловмисних користувачів.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з REG_SZ значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\EventLog\Security:Retention
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Event Log Service\Security\Control Event Log behavior when the log file reaches its maximum size - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- eventlogservice#controleventlogbehavior 2. GRID: MS-00000447 3. Minimum OS CSP: Windows 10, Version 1703 and later `
CIS Controls: `
IG 1, 2, 3
IG 1, 2
4.11.15.2.2 Переконайтеся, що для параметра «Вказати максимальний розмір файлу журналу (КБ)» встановлено значення «Увімкнено: 196 608 або більше».
Цей параметр політики визначає максимальний розмір файлу журналу в кілобайтах. Максимум розмір файлу журналу можна налаштувати від 1 мегабайта (1024 кілобайт) до 4 терабайт (4 194 240 кілобайт) із кроком у кілобайтах. Рекомендований стан для цього параметра: Увімкнено: 196 608 або вище.
Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії зловмисників.
Коли журнали подій заповнюються до повної ємності, вони припиняють записувати інформацію, якщо не буде збережено метод для кожного встановлено таким чином, що комп’ютер перезаписує найстаріші записи за допомогою найновіші. Щоб зменшити ризик втрати останніх даних, ви можете налаштувати метод збереження, щоб за потреби старіші події перезаписувалися. Наслідком цієї конфігурації є те, що старіші події буде видалено з колоди. Зловмисники можуть скористатися такою конфігурацією, оскільки вони можуть генерувати велика кількість сторонніх подій, щоб перезаписати будь-які докази їх атаки. Ці ризики можна дещо зменшити, якщо автоматизувати архівування та резервне копіювання журналу подій даних. В ідеалі всі спеціально відстежувані події мають надсилатися на сервер, який використовує Microsoft System Center Operations Manager (SCOM) або інший автоматизований інструмент моніторингу. Така конфігурація є особливо важливою, оскільки зловмисник, який успішно сервер може очистити журнал безпеки. Якщо всі події відправляються на моніторинг сервер, тоді ви зможете збирати криміналістичну інформацію про діяльність зловмисника.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a Значення REG_DWORD 196608 або більше.
HKLM\SOFTWARE\Policies\Microsoft\Windows\EventLog\Security:MaxSize
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Event Log Service\Security\Specify the maximum log file size (KB) - Рекомендований стан:
Enabled: 196,608 or greater
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- eventlogservice#specifymaximumfilesizesecuritylog 2. GRID: MS-00000448 3. Minimum OS CSP: Windows 10, Version 1703 and later `
CIS Controls: `
IG 1, 2, 3
IG 1, 2
4.11.15.3.1 Переконайтеся, що для параметра «Контроль поведінки журналу подій, коли файл журналу досягає максимального розміру» встановлено значення «Вимкнено»
Цей параметр політики керує поведінкою журналу подій, коли файл журналу досягає максимуму розмір. Рекомендований стан для цього параметра: вимкнено. Примітка. Старі події можуть зберігатися або не зберігатися автоматично відповідно до журналу резервного копіювання при повному налаштуванні політики.
Якщо нові події не записуються, може бути важко або неможливо визначити корінь причиною системних проблем або несанкціонованих дій зловмисних користувачів.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з REG_SZ значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\EventLog\Setup:Retention
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Event Log Service\Setup\Control Event Log behavior when the log file reaches its maximum size - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- eventlogservice#controleventlogbehavior 2. GRID: MS-00000449 3. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- eventlogservice#related-articles 4. Minimum OS CSP: Windows 10, version 1703 and later `
CIS Controls: `
IG 1, 2, 3
IG 1, 2
4.11.15.3.2 Переконайтеся, що для параметра «Вказати максимальний розмір файлу журналу (КБ)» встановлено значення «Увімкнено: 32 768 або більше».
Цей параметр політики визначає максимальний розмір файлу журналу в кілобайтах. Максимум розмір файлу журналу можна налаштувати від 1 мегабайта (1024 кілобайт) до 4 терабайт (4 194 240 кілобайт) із кроком у кілобайтах. Рекомендований стан для цього параметра: Увімкнено: 32 768 або вище.
Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії зловмисників
Коли журнали подій заповнюються до повної ємності, вони припиняють записувати інформацію, якщо не буде збережено метод для кожного встановлено таким чином, що комп’ютер перезаписує найстаріші записи за допомогою найновіші. Щоб зменшити ризик втрати останніх даних, ви можете налаштувати метод збереження, щоб за потреби старіші події перезаписувалися. Наслідком цієї конфігурації є те, що старіші події буде видалено з колоди. Зловмисники можуть скористатися такою конфігурацією, оскільки вони можуть генерувати велика кількість сторонніх подій, щоб перезаписати будь-які докази їх атаки. Ці ризики можна дещо зменшити, якщо автоматизувати архівування та резервне копіювання журналу подій даних. В ідеалі всі спеціально відстежувані події мають надсилатися на сервер, який використовує Microsoft System Center Operations Manager (SCOM) або інший автоматизований інструмент моніторингу. Така конфігурація є особливо важливою, оскільки зловмисник, який успішно сервер може очистити журнал безпеки. Якщо всі події відправляються на моніторинг сервер, тоді ви зможете збирати криміналістичну інформацію про діяльність зловмисника.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a Значення REG_DWORD 32768 або більше.
HKLM\SOFTWARE\Policies\Microsoft\Windows\EventLog\Setup:MaxSize
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Event Log Service\Setup\Specify the maximum log file size (KB) - Рекомендований стан:
Enabled: 32,768 or greater
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- eventlogservice#specifymaximumfilesizesystemlog 2. GRID: MS-00000451 3. Minimum OS CSP: Windows 10, Version 1703 and later `
CIS Controls: `
IG 1, 2, 3
IG 1, 2
4.11.15.4.1 Переконайтеся, що для параметра «Контроль поведінки журналу подій, коли файл журналу досягає максимального розміру» встановлено значення «Вимкнено»
Цей параметр політики керує поведінкою журналу подій, коли файл журналу досягає максимуму розмір. Рекомендований стан для цього параметра: вимкнено. Примітка. Старі події можуть зберігатися або не зберігатися автоматично відповідно до журналу резервного копіювання при повному налаштуванні політики.
Якщо нові події не записуються, може бути важко або неможливо визначити корінь причиною системних проблем або несанкціонованих дій зловмисних користувачів.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з REG_SZ значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\EventLog\System:Retention
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Event Log Service\System\Control Event Log behavior when the log file reaches its maximum size - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- eventlogservice#controleventlogbehavior 2. GRID: MS-00000452 3. Minimum OS CSP: Windows 10, Version 1703 and later `
CIS Controls: `
IG 1, 2, 3
IG 1, 2
4.11.15.4.2 Переконайтеся, що для параметра «Вказати максимальний розмір файлу журналу (КБ)» встановлено значення «Увімкнено: 32 768 або більше».
Цей параметр політики визначає максимальний розмір файлу журналу в кілобайтах. Максимум розмір файлу журналу можна налаштувати від 1 мегабайта (1024 кілобайт) до 4 терабайт (4 194 240 кілобайт) із кроком у кілобайтах. Рекомендований стан для цього параметра: Увімкнено: 32 768 або вище.
Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії зловмисників
Коли журнали подій заповнюються до повної ємності, вони припиняють записувати інформацію, якщо не буде збережено метод для кожного встановлено таким чином, що комп’ютер перезаписує найстаріші записи за допомогою найновіші. Щоб зменшити ризик втрати останніх даних, ви можете налаштувати метод збереження, щоб за потреби старіші події перезаписувалися. Наслідком цієї конфігурації є те, що старіші події буде видалено з колоди. Зловмисники можуть скористатися такою конфігурацією, оскільки вони можуть генерувати велика кількість сторонніх подій, щоб перезаписати будь-які докази їх атаки. Ці ризики можна дещо зменшити, якщо автоматизувати архівування та резервне копіювання журналу подій даних. В ідеалі всі спеціально відстежувані події мають надсилатися на сервер, який використовує Microsoft System Center Operations Manager (SCOM) або інший автоматизований інструмент моніторингу. Така конфігурація є особливо важливою, оскільки зловмисник, який успішно сервер може очистити журнал безпеки. Якщо всі події відправляються на моніторинг сервер, тоді ви зможете збирати криміналістичну інформацію про діяльність зловмисника.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a Значення REG_DWORD 32768 або більше.
HKLM\SOFTWARE\Policies\Microsoft\Windows\EventLog\System:MaxSize
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Event Log Service\System\Specify the maximum log file size (KB) - Рекомендований стан:
Enabled: 32,768 or greater
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- eventlogservice#controleventlogbehavior 2. GRID: MS-00000453 3. Minimum OS CSP: Windows 10, Version 1703 and later `
CIS Controls: `
IG 1, 2, 3
IG 1, 2
4.11.18.1 Переконайтеся, що для параметра «Налаштувати Windows Defender SmartScreen» встановлено значення «Увімкнено: попереджати та запобігати обходу»
Цей параметр політики дозволяє керувати поведінкою Windows Defender SmartScreen. Windows Defender SmartScreen допомагає убезпечити ПК, попереджаючи користувачів перед запуском нерозпізнаних програм, завантажених з Інтернету. Трохи інформації надсилається до корпорації Майкрософт про файли та програми, запущені на ПК з увімкненою цією функцією. Рекомендований стан для цього параметра: Увімкнено: попереджати та запобігати обходу.
Windows Defender SmartScreen допомагає захистити ПК, попереджаючи користувачів перед запуском нерозпізнані програми, завантажені з Інтернету. Однак у зв’язку з тим, що деяка інформація надсилається до корпорації Майкрософт про файли та програми, які запускаються на ПК організації можуть віддати перевагу вимкнути його.
Користувачів буде попереджено та заборонено запускати завантажені нерозпізнані програми з Інтернету.
- Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
- Це значення підтверджує, для якого GUID користувача встановлено політику.
HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\ADMX_WindowsExplorer:EnableSmartScreen_WinningProvider
- Перейдіть до наступного розташування реєстру та підтвердьте, що встановлено значення
.
HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\ADMX_WindowsExplorer:EnableSmartScreen
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\File Explorer\Configure Windows Defender SmartScreen - Рекомендований стан:
Enabled: Warn and prevent bypass
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/microsoft- defender-smartscreen/microsoft-defender-smartscreen-overview 2. GRID: MS-00000526 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.18.2 Переконайтеся, що для параметра «Вимкнути запобігання виконанню даних для Провідника» встановлено значення «Вимкнено»
Вимкнення Data Execution Prevention може дозволити деяким застарілим програмним модулям функцію без завершення Провідника. Рекомендований стан для цього параметра: вимкнено. Примітка. Деякі застарілі плагіни та інше програмне забезпечення можуть не працювати з даними Запобігання виконанню та вимагатиме визначення винятку для цього конкретного плагіна в/програмне забезпечення.
Запобігання виконанню даних є важливою функцією безпеки, яка підтримується Explorer допомагає обмежити вплив певних типів шкідливих програм.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\Explorer:NoDataExecutionPrevention
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\File Explorer\Turn off Data Execution Prevention for Explorer - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/win32/memory/data-execution- prevention 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- fileexplorer#turnoffdataexecutionpreventionforexplorer 3. GRID: MS-00000455 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.18.3 Переконайтеся, що для параметра «Вимкнути завершення купи при пошкодженні» встановлено значення «Вимкнено»
Без завершення купи через пошкодження застарілі плагіни можуть продовжувати працювати функціонувати, коли сеанс Провідника файлів пошкоджено. Забезпечення цієї купи припинення дії щодо корупції запобіжить цьому. Рекомендований стан для цього параметра: вимкнено.
Дозвол програмі працювати після того, як її сеанс був пошкоджений, збільшує ризик для системи.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\Explorer:NoHeapTerminationOnCorruption
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\File Explorer\Turn off heap termination on corruption - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- fileexplorer#turnoffheapterminationoncorruption 2. GRID: MS-00000456 3. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
IG 1, 2
4.11.18.4 Переконайтеся, що для параметра «Вимкнути захищений режим протоколу оболонки» встановлено значення «Вимкнено»
Цей параметр політики дозволяє вам налаштувати обсяг функціональності оболонки протокол може мати. При використанні повної функціональності цього протоколу програми можуть відкривати папки та запускати файли. Захищений режим зменшує функціональність цього протокол, який дозволяє програмам відкривати лише обмежений набір папок. Додатків немає може відкривати файли за допомогою цього протоколу, коли він знаходиться в захищеному режимі. Рекомендується залишити цей протокол у захищеному режимі для підвищення безпеки Windows. Рекомендований стан для цього параметра: вимкнено.
Обмеження відкриття файлів і папок обмеженим набором зменшує поверхню атаки система.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer:PreXPSP2ShellProtocolBehavior
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\File Explorer\Turn off shell protocol protected mode - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000457 2. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.27.1 Переконайтеся, що для параметра «Блокувати автентифікацію користувачів усіх облікових записів Microsoft» встановлено значення «Увімкнено»
Цей параметр визначає, чи можуть програми та служби на пристрої використовувати нові автентифікація облікового запису Microsoft за допомогою Windows OnlineID і API WebAccountManager. Рекомендований стан для цього параметра: увімкнено.
Організації, які хочуть ефективно впровадити політику керування ідентифікацією та підтримувати твердий контроль над тим, які облікові записи використовуються на їхніх комп’ютерах, можливо, захочуть блокувати облікові записи Microsoft. Організаціям також може знадобитися заблокувати облікові записи Microsoft щоб відповідати вимогам стандартів відповідності, які застосовуються до їх інформації системи.
Для всіх програм і служб на пристрої буде заблоковано нову автентифікацію за допомогою споживчих облікових записів Microsoft через Windows OnlineID і API WebAccountManager. Автентифікація виконується безпосередньо користувачем у мережі браузери або програми, які використовують OAuth, залишаться незмінними.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\MicrosoftAccount:DisableUserAuth
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Microsoft accounts\Block all consumer Microsoft account user authentication - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/identity-protection/access- control/microsoft-accounts#bkmk-restrictuse 2. GRID: MS-00000461 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2, 3
4.11.30.1 Переконайтеся, що «Заборонити користувачам ділитися файлами в їх профілі». (Користувач)» має значення «Увімкнено»
Цей параметр політики визначає, чи можуть користувачі ділитися файлами у своєму профілі. за за замовчуванням користувачам дозволено ділитися файлами у своєму профілі з іншими користувачами на своєму мережі після того, як адміністратор ввімкне комп’ютер. Адміністратор може вибрати на комп’ютері за допомогою майстра спільного доступу, щоб поділитися файлом у своєму профілі. Рекомендований стан для цього параметра: увімкнено.
Якщо його неправильно налаштувати, користувач може випадково поділитися конфіденційними даними з неавторизованих користувачів. У керованому корпоративному середовищі компанія повинна Натомість надайте кероване розташування для спільного використання файлів, наприклад файловий сервер або SharePoint користувача, який ділиться файлами безпосередньо з власного профілю користувача.
Користувачі не можуть ділитися файлами у своєму профілі за допомогою майстра спільного доступу. Крім того, обмін майстер не може створити спільний доступ у %root%\Users і може використовуватися лише для створення SMB спільний доступ до папок.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKU\[USERSID]\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer:NoInplaceSha
кільце
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Network Sharing\Prevent users from sharing files within their profile. (User) - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000566 2. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1
IG 1, 2, 3
4.11.34.1 Переконайтеся, що для параметра «Вимкнути службу Push To Install» встановлено значення «Увімкнено»
Цей параметр політики визначає, чи можуть користувачі надсилати програми на пристрій із Додаток Microsoft Store, що працює на інших пристроях або в Інтернеті. Рекомендований стан для цього параметра: увімкнено.
У керованому середовищі з високим рівнем безпеки слід керувати встановленням програм централізовано ІТ-персоналом, а не кінцевими користувачами.
Користувачі не зможуть надсилати програми на цей пристрій із запущеного Microsoft Store інші пристрої або Інтернет.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\PushToInstall:DisablePushToInstall
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Push to Install\Turn off Push To Install service - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000486 2. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.35.3.2 Переконайтеся, що для параметра «Не дозволяти зберігати паролі» встановлено значення «Увімкнено»
Цей параметр політики запобігає клієнтам віддаленого робочого стола від збереження паролів на a комп’ютер. Рекомендований стан для цього параметра: увімкнено. Примітка. Якщо цей параметр політики раніше було налаштовано як Вимкнено або Не налаштовано, будь-який попередньо збережені паролі буде видалено під час першого запуску клієнта віддаленого робочого стола відключається від будь-якого сервера.
Зловмисник, який має фізичний доступ до комп’ютера, може зламати захист захист збережених паролів. Зловмисник, який зламав обліковий запис користувача та підключається до свого комп’ютера, може використовувати збережені паролі, щоб отримати доступ до додаткових господарі.
Прапорець збереження пароля буде вимкнено для клієнтів і користувачів віддаленого робочого стола не зможе зберегти паролі.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\TerminalServices:DisablePasswordSaving
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Remote Desktop Services\Remote Desktop Connection Client\Do not allow passwords to be saved - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000488 2. Minimum OS CSP: Windows 10, Version 1703 and later `
CIS Controls: `
IG 1
IG 1
4.11.35.4.2.1 Переконайтеся, що для параметра «Дозволити користувачам віддалено підключатися за допомогою служб віддаленого робочого стола» встановлено значення «Вимкнено»
Цей параметр політики дозволяє налаштувати віддалений доступ до комп’ютерів за допомогою Служби віддаленого робочого столу. Рекомендований стан для цього параметра: вимкнено.
Будь-який обліковий запис із правом користувача «Дозволити вхід через служби віддаленого робочого стола» може увійти на віддалену консоль комп’ютера. Якщо ви не обмежите доступ до законних користувачі, яким потрібно увійти в консоль комп’ютера, неавторизовані користувачі можуть завантажувати та виконувати шкідливий код, щоб підвищити свої привілеї.
Немає – це конфігурація за замовчуванням, якщо не було служб віддаленого робочого стола увімкнено вручну на вкладці Remote на аркуші System Properties.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\TerminalServices:fDenyTSConnections
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Remote Desktop Services\Remote Desktop Session Host\Connections\Allow users to connect remotely by using Remote Desktop Services - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000489 2. Minimum OS CSP: Windows 10, Version 1703 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.35.4.3.1 Переконайтеся, що для параметра «Не дозволяти перенаправлення COM-порту» встановлено значення «Увімкнено»
Цей параметр політики вказує, чи забороняти переспрямування даних на клієнтський COM порти з віддаленого комп’ютера в сеансі служб віддаленого робочого стола. Рекомендований стан для цього параметра: увімкнено.
У більш чутливому до безпеки середовищі бажано зменшити можливу атаку поверхні. Потреба в переспрямуванні COM-порту в сеансі віддаленого робочого столу дуже велика рідко, тому має сенс зменшити кількість неочікуваних шляхів викрадання даних та/або передача шкідливого коду.
Користувачі в сеансі служб віддаленого робочого стола не зможуть перенаправляти дані сервера на локальні (клієнтські) COM-порти.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services:fDisableCcm
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Remote Desktop Services\Remote Desktop Session Host\Device and Resource Redirection\Do not allow COM port redirection - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000492 2. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.35.4.3.2 Переконайтеся, що для параметра «Не дозволяти перенаправлення диска» встановлено значення «Увімкнено»
Цей параметр політики забороняє користувачам надавати спільний доступ до локальних дисків на своїх клієнтських комп’ютерах до серверів віддаленого робочого столу, до яких вони мають доступ. Приєднані диски з’являються в сеансі дерево папок у Windows Explorer у такому форматі: \\TSClient\<буква диска>$ Якщо локальні диски є спільними, вони залишаються вразливими для зловмисників, які хочуть використовувати їх дані, які на них зберігаються. Рекомендований стан для цього параметра: увімкнено.
Дані можуть пересилатися із сеансу служби віддаленого робочого стола користувача до користувача локальний комп’ютер без прямої взаємодії з користувачем. Шкідливе програмне забезпечення вже присутнє на скомпрометованому сервері матиме прямий та прихований доступ до локального диска користувача під час сеансу віддаленого робочого стола.
Перенаправлення диска буде неможливим. У більшості випадків традиційний мережевий диск зіставлення зі спільними файлами (включаючи адміністративні спільні ресурси), виконане вручну підключений користувач слугуватиме здатною заміною, щоб усе ще дозволяти передачу файлів, коли необхідний.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services:fDisableCdm
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Remote Desktop Services\Remote Desktop Session Host\Device and Resource Redirection\Do not allow drive redirection - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000493 2. Minimum OS CSP: Windows 10, Version 1703 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.35.4.3.3 Переконайтеся, що для параметра «Не дозволяти перенаправлення порту LPT» встановлено значення «Увімкнено»
Цей параметр політики визначає, чи забороняти переспрямування даних на порти LPT клієнта під час сеансу служб віддаленого робочого стола. Рекомендований стан для цього параметра: увімкнено.
У більш чутливому до безпеки середовищі бажано зменшити можливу атаку поверхні. Потреба в переспрямуванні порту LPT під час сеансу віддаленого робочого столу є дуже важливою рідко, тому має сенс зменшити кількість неочікуваних шляхів викрадання даних та/або передача шкідливого коду.
Користувачі в сеансі служб віддаленого робочого стола не зможуть перенаправляти дані сервера на локальні (клієнтські) порти LPT.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services:fDisableLPT
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Remote Desktop Services\Remote Desktop Session Host\Device and Resource Redirection\Do not allow LPT port redirection - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000495 2. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.35.4.3.4 Переконайтеся, що для параметра «Не дозволяти перенаправлення підтримуваних пристроїв Plug and Play» встановлено значення «Увімкнено»
Цей параметр політики дозволяє контролювати переспрямування підтримуваних Plug and Play пристроїв, наприклад портативних пристроїв Windows, на віддалений комп’ютер у Remote Сеанс Desktop Services. Рекомендований стан для цього параметра: увімкнено.
У більш чутливому до безпеки середовищі бажано зменшити можливу атаку поверхні. Необхідність перенаправлення пристроїв Plug and Play у межах віддаленого робочого столу сеанс дуже рідкісний, тому має сенс зменшити кількість несподіваних шляхів для викрадання даних та/або передача шкідливого коду.
Користувачі в сеансі служб віддаленого робочого стола не зможуть переспрямовувати своїх підтримуваних (локальний клієнт) пристрої Plug and Play до віддаленого комп’ютера.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\TerminalServices:fDisablePNPRedir
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Remote Desktop Services\Remote Desktop Session Host\Device and Resource Redirection\Do not allow supported Plug and Play device redirection - Рекомендований стан:
Enabled
Застосовується лише до Windows 11.
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000496 2. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1
IG 1
4.11.35.4.3.5 Переконайтеся, що для параметра «Обмежити передачу буфера обміну із сервера до клієнта» встановлено значення «Увімкнено: вимкнути передачу буфера обміну із сервера до клієнта».
Цей параметр політики визначає, чи можна використовувати буфер обміну для передачі даних із Сеанс віддаленого робочого стола для клієнта. Рекомендований стан для цього параметра: Увімкнено: вимкнення передачі буфера обміну від сервера до клієнта.
У більш чутливому до безпеки середовищі бажано зменшити можливу атаку поверхні. Необхідність буфера обміну для передачі даних із сеансу віддаленого робочого стола на a клієнт рідко, тому має сенс зменшити кількість несподіваних шляхів для зловмисна діяльність.
Користувачі не зможуть передавати дані буфера обміну із сеансу віддаленого робочого стола до клієнт.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services:SCClipLevel
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Remote Desktop Session Host\Device and Resource Redirection\Restrict clipboard transfer from server to client - Рекомендований стан:
Enabled: Disable clipboard transfers from server to - client
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000614 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- remotedesktopservices?WT.mc_id=Portal- fx#limitservertoclientclipboardredirection 3. Minimum OS CSP: Windows 11, version 21H2 and later `
CIS Controls: `
IG 1, 2
4.11.35.4.9.1 Переконайтеся, що для параметра «Завжди запитувати пароль під час підключення» встановлено значення «Увімкнено»
Цей параметр політики визначає, чи служби віддаленого робочого стола завжди запитуватимуть клієнтського комп’ютера для отримання пароля під час підключення. Ви можете використовувати цей параметр політики, щоб примусово запитувати пароль для користувачів, які входять до служб віддаленого робочого стола, навіть якщо вони вже надали пароль у клієнті підключення до віддаленого робочого стола. Рекомендований стан для цього параметра: увімкнено.
Користувачі мають можливість зберігати ім’я користувача та пароль під час створення новий ярлик підключення до віддаленого робочого стола. Якщо сервер, на якому працює Remote Desktop Служби дозволяють користувачам, які використовували цю функцію, входити на сервер, але не входити їхній пароль, то можливо, що зловмисник, який отримав фізичний доступ до комп’ютер користувача може підключитися до сервера віддаленого робочого стола через Remote Ярлик Desktop Connection, навіть якщо вони можуть не знати пароль користувача.
Користувачі не можуть автоматично ввійти до служб віддаленого робочого стола, надавши свої паролі в клієнті підключення до віддаленого робочого стола. Їм буде запропоновано a пароль для входу.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\TerminalServices:fPromptForPassword
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Remote Desktop Services\Remote Desktop Session Host\Security\Always prompt for password upon connection - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000498 2. Minimum OS CSP: Windows 10, version 1703 and later `
CIS Controls: `
IG 1
IG 1, 2
4.11.35.4.9.2 Переконайтеся, що для параметра «Вимагати безпечного зв’язку RPC» встановлено значення «Увімкнено»
Цей параметр політики дозволяє вказати, чи потрібні служби віддаленого робочого стола безпечний зв’язок Remote Procedure Call (RPC) з усіма клієнтами або дозволяє незахищений зв’язок. Ви можете використовувати цей параметр політики для посилення безпеки зв’язку RPC із клієнти, дозволяючи лише автентифіковані та зашифровані запити. Рекомендований стан для цього параметра: увімкнено.
Дозвіл незахищеного RPC-зв’язку може призвести до того, що сервер буде відкритим для людини посередині атаки та атаки на розкриття даних.
Служби віддаленого робочого стола приймають запити від клієнтів RPC, які підтримують безпечний доступ запитів і не дозволяє незахищений зв’язок із ненадійними клієнтами.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\TerminalServices:fEncryptRPCTraffic
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Remote Desktop Services\Remote Desktop Session Host\Security\Require secure RPC communication - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000499 2. Minimum OS CSP: Windows 10, Version 1703 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.35.4.9.3 Переконайтеся, що для параметра «Вимагати використання певного рівня безпеки для віддалених (RDP) з’єднань» встановлено значення «Увімкнено: SSL».
Цей параметр політики визначає, чи потрібно використовувати певний рівень безпеки безпечний зв’язок між клієнтами та серверами RD Session Host під час Remote Підключення протоколу робочого столу (RDP). Рекомендований стан для цього параметра: Увімкнено: SSL. Примітка: незважаючи на те, що цей параметр позначено як SSL, він фактично застосовує транспортний рівень Безпека (TLS), а не старіший і менш безпечний протокол Secure Socket Layer (SSL).
Власне шифрування RDP тепер вважається слабким протоколом, тому примусове використання надійніше шифрування TLS для всіх комунікацій RDP між клієнтами та сеансом RD Бажано використовувати хост-сервери.
Для автентифікації на сервері RD Session Host знадобиться протокол TLS. Якщо TLS ні підтримується, підключення не вдається. Примітка. За замовчуванням цей параметр використовуватиме самопідписаний сертифікат для підключень RDP. Якщо ваша організація налагодила використання інфраструктури відкритих ключів (PKI) для шифрування SSL/TLS, тоді ми рекомендуємо вам також налаштувати сервер налаштування шаблону сертифіката автентифікації, щоб наказати RDP використовувати сертифікат із вашого PKI замість самопідписаного. Зверніть увагу, що шаблон сертифіката використовується для цієї мети має бути налаштовано «Автентифікацію клієнта» як передбачувану мету. Зауважте також, що a дійсний непрострочений сертифікат із використанням указаного шаблону вже має бути встановлено на робочу станцію для його роботи. Примітка №2. Деякі сторонні рішення двофакторної автентифікації (наприклад, автентифікація RSA Цей параметр може негативно вплинути на агента), як і рівень безпеки SSL/TLS очікуйте пароль користувача Windows під час початкової спроби підключення (перед RDP екран входу в систему), а після успішної автентифікації передайте йому облікові дані Сеанс Windows на хості RDP (для завершення входу). Якщо двофакторний агент присутній і очікує інших облікових даних на екрані входу RDP, цей початковий підключення може призвести до невдалої спроби входу в систему, а також фактично спричинити «подвійний входу в систему» для кожного нового сеансу RDP.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 2.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services:SecurityLayer
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Remote Desktop Services\Remote Desktop Session Host\Security\Require use of specific security layer for remote (RDP) connections - Рекомендований стан:
Enabled: SSL
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000500 2. Minimum OS CSP: Windows 10, Version 1703 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.35.4.9.4 Переконайтеся, що для параметра «Вимагати автентифікацію користувача для віддалених підключень за допомогою автентифікації на рівні мережі» встановлено значення «Увімкнено»
Цей параметр політики дозволяє вказати, чи вимагати автентифікацію користувача для віддалені підключення до сервера хост-сеансів RD за допомогою мережевого рівня Аутентифікація. Рекомендований стан для цього параметра: увімкнено.
Вимагання, щоб автентифікація користувача відбувалася раніше в процесі віддаленого підключення підвищує безпеку.
Лише клієнтські комп’ютери, які підтримують автентифікацію на рівні мережі, можуть підключитися до RD Хост-сервер сеансу. Примітка. Деякі сторонні рішення двофакторної автентифікації (наприклад, автентифікація RSA Цей параметр може негативно вплинути на агента), як це вплине на автентифікацію на рівні мережі очікуйте пароль користувача Windows під час початкової спроби підключення (перед RDP екран входу в систему), а після успішної автентифікації передайте йому облікові дані Сеанс Windows на хості RDP (для завершення входу). Якщо двофакторний агент присутній і очікує інших облікових даних на екрані входу RDP, цей початковий підключення може призвести до невдалої спроби входу в систему, а також фактично спричинити «подвійний входу в систему» для кожного нового сеансу RDP.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\TerminalServices:UserAuthentication
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Remote Desktop Services\Remote Desktop Session Host\Security\Require user authentication for remote connections by using Network Level Authentication - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://social.technet.microsoft.com/wiki/contents/articles/5490.configure- network-level-authentication-for-remote-desktop-services-connections.aspx 2. GRID: MS-00000501 3. Minimum OS CSP: Windows 10, Version 1703 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.35.4.9.5 Переконайтеся, що для параметра «Установити рівень шифрування підключення клієнта» встановлено значення «Увімкнено: високий рівень».
Цей параметр політики визначає, чи потрібно використовувати певний рівень шифрування захищений зв’язок між клієнтськими комп’ютерами та серверами RD Session Host під час Підключення за протоколом віддаленого робочого стола (RDP). Ця політика діє лише тоді, коли ви використання власного шифрування RDP. Однак власне шифрування RDP (на відміну від SSL шифрування) не рекомендується. Ця політика не стосується шифрування SSL. Рекомендований стан для цього параметра: Увімкнено: високий рівень.
Якщо клієнтські підключення до віддаленого робочого стола, які використовують низькорівневе шифрування, дозволені, це так Більш імовірно, що зловмисник зможе розшифрувати будь-який захоплений віддалений робочий стіл Обслуговує мережевий трафік.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 3.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\TerminalServices:MinEncryptionLevel
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Remote Desktop Services\Remote Desktop Session Host\Security\Set client connection encryption level - Рекомендований стан:
Enabled: High Level
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/openspecs/windows_protocols/ms- rdpbcgr/f1c7c93b-94cc-4551-bb90-532a0185246a 2. GRID: MS-00000502 3. Minimum OS CSP: Windows 10, Version 1703 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.35.4.10.1 Переконайтеся, що для параметра «Установити обмеження часу для активних, але неактивних сеансів служб віддаленого робочого стола» встановлено значення «Увімкнено: 15 хвилин або менше, але не Ніколи (0)».
Цей параметр політики дозволяє вказати максимальний проміжок часу, який активний Сеанс служб віддаленого робочого стола може бути неактивним (без введення користувачем) раніше автоматично відключається. Рекомендований стан для цього параметра: Увімкнено: 15 хвилин або менше, але ні Ніколи (0).
Цей параметр допомагає запобігти прив’язці активних сеансів віддаленого робочого стола комп’ютер протягом тривалого періоду часу, коли він не використовується, запобігаючи обчислювальним ресурсам споживається великою кількістю неактивних сеансів. До того ж старе, забуте Сеанси віддаленого робочого стола, які все ще активні, можуть спричинити блокування пароля користувача пароль змінився, але старий сеанс все ще триває. Для систем, які обмежують кількість підключених користувачів (наприклад, сервери в адміністративному режимі за замовчуванням – 2 сесії тільки), старі, але все ще активні сеанси інших користувачів можуть перешкоджати іншим користувачам підключення, що призводить до фактичної відмови в обслуговуванні. Крім того, час очікування сеансу, неправильно налаштований або встановлений на тривалий період часу, може залишити систему відкритою для того, щоб зловмисник захопив сеанс.
Служби віддаленого робочого стола автоматично відключать активні, але неактивні сеанси після 15 хвилин (або вказану кількість часу). Користувач отримує попередження за дві хвилини перед розривом сеансу, що дозволяє користувачеві натиснути клавішу або перемістити миша, щоб сеанс був активним. Зауважте, що обмеження часу неактивного сеансу не застосовуються до консольні сесії.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 900000 або менше, але не 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services:MaxIdleTime
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Remote Desktop Services\Remote Desktop Session Host\Session Time Limits\Set time limit for active but idle Remote Desktop Services sessions - Рекомендований стан:
Enabled: 15 minutes or less, but not Never (0)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000503 2. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1
IG 1, 2, 3
4.11.35.4.10.2 Переконайтеся, що для пункту «Установити обмеження часу для відключених сеансів» встановлено значення «Увімкнено: 1 хвилина».
Цей параметр політики дозволяє налаштувати ліміт часу для від’єднаного віддаленого робочого столу Послуги сеансів. Рекомендований стан для цього параметра: увімкнено: 1 хвилина.
Цей параметр допомагає запобігти прив’язці активних сеансів віддаленого робочого стола комп’ютер протягом тривалого періоду часу, коли він не використовується, запобігаючи обчислювальним ресурсам споживається великою кількістю відключених, але все ще активних сеансів. Крім того, старі, забуті сеанси віддаленого робочого стола, які все ще активні, можуть спричинити пароль блокування, якщо пароль користувача змінився, але старий сеанс все ще працює. для системи, які обмежують кількість підключених користувачів (наприклад, сервери за замовчуванням Адміністративний режим – лише 2 сеанси), старі, але все ще активні сеанси інших користувачів можуть перешкоджати підключенню іншого користувача, що призводить до фактичної відмови в обслуговуванні. Це налаштування важливе для забезпечення належного завершення відключеного сеансу. Крім того, час очікування сеансу, неправильно налаштований або встановлений на тривалий період часу, може залишити систему відкритою для того, щоб зловмисник захопив сеанс.
Відключені сеанси віддаленого робочого стола видаляються із сервера через 1 хвилину. Зауважте, що обмеження часу відключеного сеансу не застосовуються до консольних сеансів.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 60000.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\TerminalServices:MaxDisconnectionTime
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Remote Desktop Services\Remote Desktop Session Host\Session Time Limits\Set time limit for disconnected sessions - Рекомендований стан:
Enabled: 1 minute
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000504 2. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1
IG 1, 2, 3
4.11.35.4.11.1 Переконайтеся, що для параметра «Не видаляти тимчасові папки після виходу» встановлено значення «Вимкнено»
Цей параметр політики визначає, чи служби віддаленого робочого стола зберігають дані користувача тимчасові папки сеансу під час виходу. Рекомендований стан для цього параметра: вимкнено.
Конфіденційна інформація може міститися в тимчасових папках і бути видимою інші адміністратори, які входять у систему.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\TerminalServices:DeleteTempDirsOnExit
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Remote Desktop Services\Remote Desktop Session Host\Temporary Folders\Do not delete temp folders upon exit - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000505 2. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2, 3
IG 1, 2
4.11.36.1 Переконайтеся, що для параметра «Заборонити завантаження корпусів» встановлено значення «Увімкнено»
Цей параметр політики забороняє користувачеві мати вкладення (вкладені файли) завантажується з RSS-каналу на комп’ютер користувача. Рекомендований стан для цього параметра: увімкнено.
Дозволивши завантажувати вкладення через RSS-канал, можна додати файли, які міг мати злий намір.
Користувачі не можуть налаштувати механізм синхронізації каналу для завантаження вкладення через канал сторінка власності. Розробники не можуть змінити параметри завантаження через API каналів.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\InternetExplorer\Feeds:DisableEnclosureDownload
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\RSS Feeds\Prevent downloading of enclosures - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000507 2. Minimum OS CSP: Windows 10, Version 1703 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.41.1 Переконайтеся, що для параметра «Вимкнути пропозицію оновлення до останньої версії Windows» встановлено значення «Увімкнено».
Вмикає або вимикає пропозицію Microsoft Store щодо оновлення до останньої версії Windows. Рекомендований стан для цього параметра: увімкнено.
Незаплановані оновлення ОС можуть призвести до більшої кількості дзвінків у службу підтримки, яким можна запобігти. Відділ ІТ повинен керувати всіма оновленнями та затверджувати їх.
Програма Microsoft Store не пропонуватиме оновлення до останньої версії Windows.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\WindowsStore:DisableOSUpgrade
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Store\Turn off the offer to update to the latest version of Windows - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000518 2. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1
IG 1, 2
4.11.41.2 Переконайтеся, що для параметра «Вимкнути програму магазину» встановлено значення «Увімкнено»
Цей параметр забороняє або дозволяє доступ до програми Store. Рекомендований стан для цього параметра: увімкнено. Примітка. Відповідно до Microsoft TechNet і MSKB 3135657 цей параметр політики не застосовується до будь-які версії Windows 10, крім Enterprise та Education.
Слід встановлювати лише програми, схвалені ІТ-відділом. Дозволяє користувачам встановлення сторонніх додатків може призвести до пропущених патчів і потенційного нульового дня уразливості.
Доступ до програми Microsoft Store заборонено.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\WindowsStore:RemoveWindowsStore
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Store\Turn off the Store application - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000615 2. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.48.1 Переконайтеся, що для параметра «Запобігати запиту безпеки Internet Explorer для сценаріїв інсталятора Windows» встановлено значення «Вимкнено»
Цей параметр політики визначає, чи дозволено веб-програмам інсталювати програмне забезпечення на комп’ютері без повідомлення користувача. Рекомендований стан для цього параметра: вимкнено.
Придушення системного попередження може становити загрозу безпеці та посилити атаку поверхні системи.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer:SafeForScripting
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Windows Installer\Prevent Internet Explorer security prompt for Windows Installer scripts - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000533 2. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
4.11.49.1 Переконайтеся, що для параметра «Увімкнути сповіщення MPR для системи» встановлено значення «Вимкнено»
Цей параметр політики контролює, чи надсилає winlogon маршрутизатор кількох постачальників (MPR) сповіщення. MPR забезпечує зв’язок між операційною системою Windows і встановлені провайдери мережі. MPR перевіряє реєстр, щоб визначити, які постачальники встановлені в системі та в порядку їх проходження. Рекомендований стан для цього параметра: вимкнено.
MPR — це застаріла утиліта, яка надає сповіщення зареєстрованим менеджерам облікових даних або мережевих провайдерів, коли відбувається подія входу або зміни пароля. Хоча цю функцію можуть використовувати легальні програми, нею також можуть зловживати зловмисники збирають інформацію для входу.
Winlogon не надсилатиме сповіщення про маршрутизатор кількох постачальників (MPR) у систему. Це налаштування також може викликати проблеми з повторним підключенням до дисків.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System:EnableMPR
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Disabled: Адміністративні шаблони\Компоненти Windows\Параметри входу в Windows\Увімкнути MPR сповіщення для системи
Застосовується лише до Windows 11.
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://techcommunity.microsoft.com/t5/microsoft-security-baselines/windows-11- version-22h2-security-baseline/ba-p/3632520 2. https://learn.microsoft.com/en-us/windows/win32/secauthn/multiple-provider- router 3. GRID: MS-00000534 4. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- windowslogon#enablemprnotifications 5. Minimum OS CSP: Windows 11, Version 22H2 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.49.2 Переконайтеся, що параметр «Вхід і автоматичне блокування останнього інтерактивного користувача після перезапуску» має значення «Вимкнено»
Цей параметр політики визначає, чи пристрій автоматично входитиме в обліковий запис останньої інтерактивної дії користувача після того, як Windows Update перезавантажить систему. Рекомендований стан для цього параметра: вимкнено.
Вимкнення цієї функції запобіжить кешування облікових даних користувача та несанкціоноване використання пристрою, а також переконатися, що користувач знає про перезапуск.
Пристрій не зберігає облікові дані користувача для автоматичного входу після Windows Перезапуск оновлення. Програми користувача на екрані блокування не перезапускаються після перезавантаження системи. Щоб продовжити після перезапуску, користувач повинен надати облікові дані для входу.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System:DisableAutomaticRestartSignOn
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Windows Logon Options\Sign-in and lock last interactive user automatically after a restart - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/interactive-logon-do-not-display-last-user-name 2. GRID: MS-00000535 3. Minimum OS CSP: Windows 10, Version 1903 and later `
CIS Controls: `
IG 1
IG 1, 2, 3
4.11.51.2.1 Переконайтеся, що для параметра «Запобігти завантаженню кодеків (користувач)» встановлено значення «Увімкнено»
Цей параметр визначає, чи дозволено Windows Media Player завантажувати додаткові файли кодеків для декодування мультимедійних файлів він ще не розуміє. Рекомендований стан для цього параметра: увімкнено.
Це має певний потенціал ризику, якщо в медіапрогравачі буде відкрито зловмисний файл даних вимагає встановлення додаткового кодека. Якщо для a необхідної робочої функції, то цей кодек спочатку слід протестувати, щоб переконатися, що він законний, і він повинен надаватися ІТ-відділом організації.
Windows Media Player не може автоматично завантажувати кодеки на ваш комп’ютер. Крім того, на вкладці Програвач встановлено прапорець Автоматично завантажувати кодеки у програвачі недоступний.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKU\[USERSID]\Software\Policies\Microsoft\WindowsMediaPlayer:PreventCodecDownload
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Windows Media Player\Playback\Prevent Codec Download (User) - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000569 2. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1
IG 1
4.11.53.1 Переконайтеся, що для параметра «Увімкнути журналювання блоків сценаріїв PowerShell» встановлено значення «Увімкнено»
Цей параметр політики дозволяє реєструвати всі вхідні дані сценаріїв PowerShell до програм і журнали служб\Microsoft\Windows\PowerShell\Operational Event Log канал. Рекомендований стан для цього параметра: увімкнено. Примітка. Якщо ввімкнено журналювання подій запуску/зупинення виклику блоку сценарію (поле опції позначено), PowerShell реєструватиме додаткові події під час виклику команди, сценарію блок, функція або сценарій запускається або зупиняється. Увімкнення цієї опції генерує великий обсяг журнали подій. CIS навмисно вирішив не рекомендувати цей варіант, оскільки це створює великий обсяг подій. Якщо організація вирішить увімкнути необов’язкове налаштування (позначено), це також відповідає тесту.
Журнали введення сценарію PowerShell можуть бути дуже цінними під час проведення судової експертизи розслідування інцидентів атак PowerShell, щоб визначити, що сталося.
Введення сценарію PowerShell буде зареєстровано в додатках і службах Канал Logs\Microsoft\Windows\PowerShell\Operational Event Log, який може містять облікові дані та конфіденційну інформацію. Примітка: налаштування цього параметра на Enabled створює великий обсяг журналів подій, які буде перезаписано, якщо розмір журналу не розширено або не вивантажено до системи збору журналів. Попередження: існують потенційні ризики захоплення облікових даних і конфіденційної інформації журнали PowerShell, які можуть бути відкритими для користувачів, які мають доступ для читання до них колоди. Корпорація Майкрософт пропонує функцію під назвою «Захищене ведення журналу подій» для кращого захисту дані журналу подій. Щоб отримати допомогу щодо захисту протоколювання подій, відвідайте: Про журналювання Windows – PowerShell | Microsoft Docs.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging:EnableScriptBlockLogging
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Windows PowerShell\Turn on PowerShell Script Block Logging - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en- us/powershell/module/microsoft.powershell.core/about/about_logging_windows? view=powershell-7.2#protected-event-logging 2. GRID: MS-00000536 3. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.53.2 Переконайтеся, що для параметра «Увімкнути транскрипцію PowerShell» встановлено значення «Увімкнено»
Цей параметр політики дозволяє фіксувати вхідні та вихідні дані Windows PowerShell команди в текстові стенограми. Рекомендований стан для цього параметра: увімкнено.
Введення стенограми PowerShell може бути дуже цінним під час проведення судової експертизи розслідування інцидентів атак PowerShell, щоб визначити, що сталося.
Вхідні дані PowerShell буде зареєстровано у вихідний файл PowerShell_transcript, який за замовчуванням зберігається в папці «Мої документи» профілю кожного користувача. Додатково можна вказати конкретне ім’я вихідного каталогу, який міститиме всі PowerShell журнали стенограм у підпапці Мої документи. Якщо вказано повний шлях за межами користувачів Папка «Мої документи», інші користувачі системи можуть мати доступ для перегляду цих журналів, які можуть містити конфіденційну інформацію, наприклад паролі. Попередження: існують потенційні ризики захоплення облікових даних і конфіденційної інформації вихідний файл PowerShell_transcript, який може бути відкритий для користувачів, які мають доступ на читання до файлу. Попередження №2: транскрипція PowerShell не сумісна з початково встановленою програмою PowerShell v4 у Microsoft Windows 10 Release 1511 і Server 2012 R2 і нижче. Якщо цю рекомендацію встановлено відповідно до вимог, PowerShell потрібно буде оновити до at не менше версії 5.1 або новішої. Додаткову інформацію про оновлення PowerShell див. у Windows Системні вимоги PowerShell – PowerShell | Microsoft Learn.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\PowerShell\Transcription:EnableTranscripting
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Windows PowerShell\Turn on PowerShell Transcription - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en- us/powershell/module/microsoft.powershell.core/about/about_group_policy_setti ngs?view=powershell-7.2#turn-on-powershell-transcription 2. GRID: MS-00000537 3. Minimum OS CSP: Windows 10, Version 2004 with KB5005101 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.54.1.1 Переконайтеся, що для параметра «Дозволити базову автентифікацію» встановлено значення «Вимкнено»
Цей параметр політики дозволяє керувати віддаленим керуванням Windows (WinRM) клієнт використовує базову автентифікацію. Рекомендований стан для цього параметра: вимкнено. Примітка. Клієнти, які використовують службу Microsoft Exchange Online (Office 365), вимагатимуть винятком із цієї рекомендації, натомість установіть для цього параметра значення Enabled. Exchange Online використовує базову автентифікацію через HTTPS, тому Exchange Online трафік автентифікації все ще буде безпечно зашифрований.
Базова автентифікація менш надійна, ніж інші доступні методи автентифікації WinRM, оскільки облікові дані, включаючи паролі, передаються у вигляді звичайного тексту. Ан може бути зловмисник, який може перехопити пакети в мережі, де запущено WinRM здатний визначити облікові дані, які використовуються для доступу до віддалених хостів через WinRM.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\WinRM\Client:AllowBasic
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Windows Remote Management (WinRM)\WinRM Client\Allow Basic authentication - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/win32/winrm/portal 2. GRID: MS-00000538 3. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.54.1.2 Переконайтеся, що для параметра «Дозволити незашифрований трафік» встановлено значення «Вимкнено»
Цей параметр політики дозволяє керувати віддаленим керуванням Windows (WinRM) клієнт надсилає та отримує незашифровані повідомлення через мережу. Рекомендований стан для цього параметра: вимкнено.
Шифрування мережевого трафіку WinRM зменшує ризик перегляду або зміни зловмисником Повідомлення WinRM під час проходження через мережу.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\WinRM\Client:AllowUnencryptedTraffic
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Windows Remote Management (WinRM)\WinRM Client\Allow unencrypted traffic - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/win32/winrm/portal 2. GRID: MS-00000539 3. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.54.1.3 Переконайтеся, що для параметра «Disallow Digest authentication» встановлено значення «Enabled»
Цей параметр політики дозволяє керувати віддаленим керуванням Windows Клієнт (WinRM) не використовуватиме дайджест-автентифікацію. Рекомендований стан для цього параметра: увімкнено.
Дайджест-автентифікація менш надійна, ніж інші доступні методи автентифікації WinRM, зловмисник, який може перехоплювати пакети в мережі, де знаходиться WinRM запущений може визначити облікові дані, які використовуються для доступу до віддалених хостів через WinRM.
Клієнт WinRM не використовуватиме дайджест-автентифікацію.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\WinRM\Client:AllowDigest
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Windows Remote Management (WinRM)\WinRM Client\Disallow Digest authentication - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/win32/winrm/portal 2. GRID: MS-00000540 3. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.54.2.1 Переконайтеся, що для параметра «Дозволити базову автентифікацію» встановлено значення «Вимкнено»
Цей параметр політики дозволяє керувати віддаленим керуванням Windows Служба (WinRM) приймає базову автентифікацію від віддаленого клієнта. Рекомендований стан для цього параметра: вимкнено.
Базова автентифікація менш надійна, ніж інші доступні методи автентифікації WinRM, оскільки облікові дані, включаючи паролі, передаються у вигляді звичайного тексту. Ан може бути зловмисник, який може перехопити пакети в мережі, де запущено WinRM здатний визначити облікові дані, які використовуються для доступу до віддалених хостів через WinRM.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\WinRM\Service:AllowBasic
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Windows Remote Management (WinRM)\WinRM Service\Allow Basic authentication - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/win32/winrm/portal 2. GRID: MS-00000541 3. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.54.2.2 Переконайтеся, що для параметра «Дозволити керування віддаленим сервером через WinRM» встановлено значення «Вимкнено»
Цей параметр політики дозволяє керувати віддаленим керуванням Windows Служба (WinRM) автоматично прослуховує в мережі запити на HTTP транспортувати через стандартний порт HTTP. Рекомендований стан для цього параметра: вимкнено.
Будь-яка функція є потенційним напрямком атаки, ті, що дозволяють вхідну мережу зв’язки особливо ризиковані. Увімкніть лише використання Windows Remote Служба керування (WinRM) у надійних мережах і, якщо це можливо, використовувати додаткові елементи керування, такі як IPsec.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\WinRM\Service:AllowAutoConfig
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Windows Remote Management (WinRM)\WinRM Service\Allow remote server management through WinRM - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/win32/winrm/portal 2. GRID: MS-00000542 3. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.54.2.3 Переконайтеся, що для параметра «Дозволити незашифрований трафік» встановлено значення «Вимкнено»
Цей параметр політики дозволяє керувати віддаленим керуванням Windows Служба (WinRM) надсилає та отримує незашифровані повідомлення через мережу. Рекомендований стан для цього параметра: вимкнено.
Шифрування мережевого трафіку WinRM зменшує ризик перегляду або зміни зловмисником Повідомлення WinRM під час проходження через мережу.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\WinRM\Service:AllowUnencryptedTraffic
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Windows Remote Management (WinRM)\WinRM Service\Allow unencrypted traffic - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/win32/winrm/portal 2. GRID: MS-00000543 3. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
4.11.54.2.4 Переконайтеся, що для параметра «Заборонити WinRM зберігати облікові дані RunAs» встановлено значення «Увімкнено»
Цей параметр політики дозволяє керувати віддаленим керуванням Windows Служба (WinRM) дозволить зберігати облікові дані RunAs для будь-яких плагінів. Рекомендований стан для цього параметра: увімкнено. Примітка. Якщо ви ввімкнете, а потім вимкнете цей параметр політики, будь-які попередні значення налаштований для RunAsPassword потрібно буде скинути.
Хоча можливість зберігати облікові дані RunAs є зручною функцією, вона збільшує невеликий ризик компрометації облікового запису. Наприклад, якщо ви забули заблокувати робочий стіл перш ніж залишити його без нагляду на кілька хвилин, інша особа могла отримати доступ не лише до робочий стіл вашого комп’ютера, а також будь-які хости, якими ви керуєте через WinRM із кешуванням Облікові дані RunAs.
Служба WinRM не дозволить конфігурацію RunAsUser або RunAsPassword значення, які потрібно встановити для будь-яких плагінів. Якщо плагін уже налаштував RunAsUser і Значення конфігурації RunAsPassword, значення конфігурації RunAsPassword буде стерто зі сховища облікових даних на комп’ютері. Якщо цей параметр пізніше буде знову вимкнено, будь-які значення, налаштовані раніше Потрібно буде скинути RunAsPassword.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\WinRM\Service:DisableRunAs
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Windows Remote Management (WinRM)\WinRM Service\Disallow WinRM from storing RunAs credentials - Рекомендований стан:
Enabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/win32/winrm/portal 2. GRID: MS-00000544 3. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1
IG 1, 2
4.11.55.1 Переконайтеся, що для параметра «Дозволити віддалений доступ до оболонки» встановлено значення «Вимкнено»
Цей параметр політики дозволяє вам керувати конфігурацією віддаленого доступу до всіх підтримуваних оболонки для виконання сценаріїв і команд. Рекомендований стан для цього параметра: вимкнено. Примітка. Текст довідки GPME для цього параметра сформульовано неправильно, маючи на увазі це налаштування параметра Enabled призведе до відхилення нових з’єднань Remote Shell, а встановлення параметра на Якщо вимкнено, підключення Remote Shell буде дозволено. Протилежне вірно (і є послідовним із заголовком налаштування). Це помилка формулювання Microsoft в адміністративному Шаблон.
Будь-яка функція є потенційним напрямком атаки, ті, що дозволяють вхідну мережу зв’язки особливо ризиковані. Увімкніть лише використання Windows Remote Shell надійних мереж і, коли це можливо, використовувати додаткові елементи керування, такі як IPsec.
Нові підключення Remote Shell заборонені та відхиляються робочою станцією.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\WinRM\Service\WinRS:AllowRemoteShellAccess
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
Administrative Templates\Windows Components\Windows Remote Shell\Allow Remote Shell Access - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000545 2. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.