45. Мережевий сервер SMB (Lanman Server)

Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.

Рекомендацій: 7

Windows 11 Intune v5.0.0

45.1 Переконайтеся, що для параметра «Клієнт аудиту не підтримує шифрування» встановлено значення «Увімкнено»

Рівень 1 (L1)Автоматизовано

            Оригінал:
        

Цей параметр політики визначає, чи буде входити сервер блокування повідомлень сервера (SMB). події, коли клієнт SMB не підтримує шифрування. Увімкнувши це, створюватимуться записи журналу подій у програмах і службах Журнали\Microsoft\Windows\SMBClient\Audit з ідентифікатором події 31998. Рекомендований стан для цього параметра: увімкнено.

💡 Обґрунтування безпеки:

Організації повинні знати про весь незашифрований трафік SMB у своєму середовищі. Старіші протоколи SMB, які не використовують шифрування, можуть зробити середовище вразливим до багатьох типів атак, включаючи атаки перехоплення SMB.

⚠️ Вплив на робочий процес (Impact):

Увесь незашифрований трафік SMB реєструватиметься як подія.

🔍 Аудит (перевірка налаштувань)

Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр групової політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.

HKLM\SOFTWARE\Policies\Microsoft\Windows\LanmanServer:AuditClientDoesNotSupportEncryption

⚙️ Виправлення (Remediation / Налаштування)

Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Lanman Server\Audit Client не підтримує шифрування

Значення за замовчуванням: Вимкнено. (Сервер SMB не реєструватиме подію.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows-server/storage/file-server/smb- interception-defense?tabs=group-policy 2. https://learn.microsoft.com/en-us/windows-server/storage/file-server/smb- signing-overview#smb-signing-and-encryption-auditing 3. GRID: MS-00000576 `

CIS Controls: `




                    CIS Controls V8: 8.5

                    IG 1, 2
                
Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.



                    CIS Controls V7: 6.3

                    IG 1, 2
                
Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.




45.2 Переконайтеся, що для параметра «Клієнт аудиту не підтримує підпис» встановлено значення «Увімкнено»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр політики визначає, чи буде входити сервер блокування повідомлень сервера (SMB). події, коли клієнт SMB не підтримує підписання. Увімкнувши це, створюватимуться записи журналу подій у програмах і службах Журнали\Microsoft\Windows\SMBClient\Audit з ідентифікатором події 31999. Рекомендований стан для цього параметра: увімкнено.




                💡 Обґрунтування безпеки:
            
Організації повинні знати про весь непідписаний трафік SMB у своєму середовищі. Старший Протоколи SMB, які не використовують підписування, можуть зробити середовище вразливим для багатьох типи атак, включаючи атаки перехоплення SMB.




                ⚠️ Вплив на робочий процес (Impact):
            
Увесь непідписаний трафік SMB реєструватиметься як подія.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр групової політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\LanmanServer:AuditClientDoesNotSupportSigning




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Lanman Server\Audit Client не підтримує підпис


Значення за замовчуванням: Вимкнено. (Сервер SMB не реєструватиме подію.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows-server/storage/file-server/smb- interception-defense?tabs=group-policy 2. https://learn.microsoft.com/en-us/windows-server/storage/file-server/smb- signing-overview#smb-signing-and-encryption-auditing 3. GRID: MS-00000577 `

CIS Controls: ` 



                    CIS Controls V8: 8.5

                    IG 1, 2
                
Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.



                    CIS Controls V7: 6.3

                    IG 1, 2
                
Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.






45.3 Переконайтеся, що для параметра «Audit Insecure Guest Logon» встановлено значення «Enabled»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Ця політика визначає, чи буде сервер блокування повідомлень сервера (SMB) реєструвати події коли клієнт увійшов як гостьовий обліковий запис. Увімкнувши це, створюватимуться записи журналу подій у програмах і службах Журнали\Microsoft\Windows\SMBServer\Security з ідентифікаторами подій 3023, 31017, 31018, і 31022. Рекомендований стан для цього параметра: увімкнено.




                💡 Обґрунтування безпеки:
            
Файлові сервери можуть використовувати незахищені входи в систему гостя, щоб дозволити неавтентифікований доступ спільні папки.




                ⚠️ Вплив на робочий процес (Impact):
            
Усі незахищені входи гостя реєструватимуться як подія.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр групової політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\LanmanServer:AuditInsecureGuestLogon




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Lanman Server\Audit Insecure Guest Login


Значення за замовчуванням: Вимкнено. (Сервер SMB не реєструватиме подію.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows-server/storage/file-server/smb- interception-defense?tabs=group-policy 2. GRID: MS-00000608 3. https://learn.microsoft.com/en-us/windows-server/storage/file-server/enable- insecure-guest-logons-smb2-and-smb3?tabs=group-policy#audit-insecure-guest- logons `

CIS Controls: ` 



                    CIS Controls V8: 8.5

                    IG 1, 2
                
Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.



                    CIS Controls V7: 6.3

                    IG 1, 2
                
Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.






45.4 Переконайтеся, що для параметра «Auth Rate Limiter Delay In Ms» встановлено значення «2000» або вище
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Ці параметри політики налаштовують недійсне значення затримки автентифікації сервера SMB мілісекунд. Рекомендований стан для цього параметра: 2000 або вище. Примітка. Цей параметр слід використовувати разом із параметром Увімкнути автентифікацію обмежувач швидкості.




                💡 Обґрунтування безпеки:
            
Обмежувач швидкості автентифікації значно знижує ризик атак грубою силою впровадження 2-секундної затримки (за замовчуванням) між кожним невдалим NTLM або на основі PKU2U спроба автентифікації. За даними Microsoft, якщо загроза надсилає 300 спроб грубої сили на секунду з клієнта протягом 5 хвилин, що дорівнює 90 000 паролів, стільки ж спроб тепер займає 50 годин або більше.




                ⚠️ Вплив на робочий процес (Impact):
            
Немає – 2000 мілісекунд (2 секунди) є поведінкою за замовчуванням.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр групової політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 2000 або вище.
HKLM\SOFTWARE\Policies\Microsoft\Windows\LanmanServer:InvalidAuthenticationDelayTimeInMs




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до 2000 або вище: Lanman Server\Auth Rate Limiter Delay In Ms


Значення за замовчуванням: Увімкнено. (2 секунди)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows-server/storage/file-server/smb- interception-defense?tabs=group-policy 2. https://techcommunity.microsoft.com/blog/filecab/smb-authentication-rate-limiter- now-on-by-default-in-windows-insider/3634244 3. GRID: MS-00000582 `

CIS Controls: ` 



                    CIS Controls V8: 0.0

                    IG 1
                
Explicitly Not Mapped Explicitly Not Mapped



                    CIS Controls V7: 0.0

                    IG 1
                
Explicitly Not Mapped Explicitly Not Mapped “







45.5 Переконайтеся, що для параметра «Увімкнути обмеження частоти авторизації» встановлено значення «Увімкнено»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Ці параметри політики налаштовують автентифікацію сервера блоку повідомлень сервера (SMB). обмежувач швидкості. Обмежувач швидкості автентифікації – це функція SMB, призначена для боротися з атаками грубої сили. Рекомендований стан для цього параметра: увімкнено. Примітка. Цей параметр слід використовувати разом із параметром Установити швидкість автентифікації затримка обмежувача (мілісекунди).




                💡 Обґрунтування безпеки:
            
Обмежувач швидкості автентифікації значно знижує ризик атак грубою силою впровадження 2-секундної затримки (за замовчуванням) між кожним невдалим NTLM або на основі PKU2U спроба автентифікації. За даними Microsoft, якщо загроза надсилає 300 спроб грубої сили на секунду з клієнта протягом 5 хвилин, що дорівнює 90 000 паролів, стільки ж спроб тепер займає 50 годин або більше.




                ⚠️ Вплив на робочий процес (Impact):
            
Немає – це типова поведінка.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр групової політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\LanmanServer:EnableAuthRateLimiter




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Lanman Server\Enable Auth Rate Limiter


Значення за замовчуванням: Увімкнено. (2 секунди.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows-server/storage/file-server/smb- interception-defense?tabs=group-policy 2. https://techcommunity.microsoft.com/blog/filecab/smb-authentication-rate-limiter- now-on-by-default-in-windows-insider/3634244 3. GRID: MS-00000579 `

CIS Controls: ` 



                    CIS Controls V8: 0.0

                    IG 1
                
Explicitly Not Mapped Explicitly Not Mapped



                    CIS Controls V7: 0.0

                    IG 1
                
Explicitly Not Mapped Explicitly Not Mapped “







45.6 Переконайтеся, що для параметра «Увімкнути поштові слоти» встановлено значення «Вимкнено»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Ці налаштування політики визначають, чи використовуватиме сервер SMB віддалені поштові слоти через служба комп’ютерного браузера. Протокол віддалених поштових слотів є старим, простим, ненадійним, і незахищений міжпроцесний метод зв’язку. Рекомендований стан для цього параметра: вимкнено.




                💡 Обґрунтування безпеки:
            
Віддалені поштові слоти – це застарілий протокол, який використовує SMBv1 для роботи. Цей протокол є пов’язані з відомими вразливими місцями, такими як відмова в обслуговуванні, переповнення буфера та віддалене атаки на виконання коду.




                ⚠️ Вплив на робочий процес (Impact):
            
Якщо функція віддалених поштових слотів працювала, вона більше не працюватиме.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр групової політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\Bowser:EnableMailslots




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Disabled: Сервер Lanman\Увімкнути поштові слоти Примітка. Після застосування налаштувань потрібне перезавантаження.


Значення за замовчуванням: Увімкнено. (Браузер комп’ютера може все ще працювати з увімкненими віддаленими поштовими слотами.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://techcommunity.microsoft.com/blog/filecab/the-beginning-of-the-end-of- remote-mailslots-as-part-of-windows-insider/3762048 2. GRID: MS-00000580 `

CIS Controls: ` 



                    CIS Controls V8: 4.8

                    IG 1, 2
                
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.



                    CIS Controls V7: 9.2

                    IG 1, 2
                
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.






45.7 Переконайтеся, що для «Min Smb2 Dialect» встановлено значення «3.1.1».
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Ці параметри політики керують мінімальною версією блоку повідомлень сервера (SMB) протокол, який можна використовувати в системі. Рекомендований стан для цього параметра: 3.1.1. Примітка. Цей параметр групової політики не перешкоджає використанню SMBv1, якщо його інстальовано та увімкнено в системі. Якщо наведені нижче рекомендації налаштовано відповідно до вимог у цьому тесті SMBv1 буде вимкнено в системі: Налаштуйте клієнт SMB v1 драйвера та налаштування сервера SMB v1.




                💡 Обґрунтування безпеки:
            
Нова, сучасніша версія SMB (v3) підтримується та доступна на всіх наразі підтримувані ОС Microsoft Windows. SMBv1 більше не ввімкнено за замовчуванням через його ризики безпеки, і хоча SMBv2 є більш надійним, ніж v1, він не підтримує шифрування, як і його наступник.




                ⚠️ Вплив на робочий процес (Impact):
            
Якщо є старі (непідтримувані) ОС Windows, які не підтримують SMB v3.1.1 у середовищі, цей параметр може вплинути на зворотну сумісність із ними. Наприклад, Windows 8.1 і Windows Server 2012 R2 і старіші версії. Цей параметр може також запобігти підключенню сторонніх клієнтів, які не підтримують SMB v3.1.1.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр групової політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 785.
HKLM\SOFTWARE\Policies\Microsoft\Windows\LanmanServer:MinSmb2Dialect




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: 1.1: Lanman Server\Min Smb2 Dialect
Рекомендований стан: 3


Значення за замовчуванням: Вимкнено. (SMB версії 2.0 або новішої ввімкнено за замовчуванням.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. GRID: MS-00000581 `

CIS Controls: ` 



                    CIS Controls V8: 4.8

                    IG 1, 2
                
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.



                    CIS Controls V7: 9.2

                    IG 1, 2
                
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.


        


Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.
            

                До повного змісту CIS Microsoft Intune Benchmark →