49. Параметри безпеки локальних політик (Security Options)
Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.
Рекомендацій: 32
Windows 11 Intune v5.0.0
49.1 Переконайтеся, що для параметра «Облікові записи: увімкнути стан облікового запису гостя» встановлено значення «Вимкнено»
Цей параметр політики визначає, увімкнено або вимкнено обліковий запис гостя. The Гостьовий обліковий запис дозволяє неавтентифікованим користувачам мережі отримати доступ до системи. Рекомендований стан для цього параметра: вимкнено. Примітка: цей параметр не матиме жодного впливу, якщо застосувати його до контролерів домену організаційний підрозділ за допомогою групової політики, оскільки контролери домену не мають локального облікового запису бази даних. Його можна налаштувати на рівні домену за допомогою групової політики, подібно до облікового запису параметри політики блокування та пароля.
Гостьовий обліковий запис за умовчанням дозволяє неавтентифікованим користувачам мережі входити як гість без пароля. Ці неавторизовані користувачі можуть отримати доступ до будь-яких ресурсів, які є доступні для облікового запису Гість через мережу. Ця можливість означає, що будь-який мережеві спільні ресурси з дозволами, які дозволяють доступ до облікового запису Гості, Гості або група «Усі» буде доступна через мережу, що може призвести до викриття або пошкодження даних.
Усі користувачі мережі повинні пройти автентифікацію, перш ніж отримати доступ до спільних ресурсів. Якщо ви вимикаєте обліковий запис гостя та модель доступу до мережі: спільний доступ і безпеку для параметра встановлено значення «Лише гість», входи в мережу, такі як ті, що виконуються Microsoft Мережевий сервер (служба SMB) не вийде. Цей параметр політики має мало впливати на більшості організацій, оскільки це налаштування за замовчуванням у Microsoft Windows 2000, Windows XP і Windows Server™ 2003.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений.
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Disabled: Параметри безпеки локальної політики\Облікові записи: статус облікового запису гостя
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/accounts-guest-account-status 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#accounts_enableguestaccountstatus 3. GRID: MS-00000054 4. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
49.2 Переконайтеся, що для параметра «Облікові записи: обмежити використання пустих паролів локального облікового запису лише для входу в консоль» встановлено значення «Увімкнено».
Цей параметр політики визначає, чи локальні облікові записи, які не захищені паролем можна використовувати для входу з інших місць, ніж фізична комп’ютерна консоль. Якщо ви увімкнути цей параметр політики, локальні облікові записи з порожніми паролями не зможуть увійти в мережу з віддалених клієнтських комп’ютерів. Такі акаунти зможуть тільки увійдіть за допомогою клавіатури комп’ютера. Рекомендований стан для цього параметра: увімкнено.
Порожні паролі становлять серйозну загрозу безпеці комп’ютера, тому їх слід заборонити через організаційну політику та відповідні технічні заходи. По суті, за замовчуванням налаштування для доменів Active Directory вимагають складних паролів щонайменше із семи персонажів. Однак, якщо користувачі з можливістю створювати нові облікові записи обходять ваш політики паролів на основі домену, вони могли створювати облікові записи з порожніми паролями. для наприклад, користувач може створити автономний комп’ютер, створити один або кілька облікових записів порожні паролі, а потім приєднайте комп’ютер до домену. Місцеві рахунки с порожні паролі все ще функціонуватимуть. Кожен, хто знає назву одного з них незахищені облікові записи можуть використовувати його для входу.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Control\Lsa:LimitBlankPasswordUse
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Локальні політики Параметри безпеки\Облікові записи: обмежити використання локального облікового запису пустим паролі лише для входу в консоль
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/accounts-limit-local-account-use-of-blank-passwords-to-console- logon-only 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#accounts_limitlocalaccountuseofblankpasswordstoc onsolelogononly 3. GRID: MS-00000055 4. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1, 2, 3
IG 1, 2
49.3 Налаштувати «Облікові записи: перейменувати обліковий запис адміністратора»
Вбудований локальний обліковий запис адміністратора – це добре відоме ім’я облікового запису, яке зловмисники знатимуть мета. Рекомендується вибрати іншу назву для цього облікового запису та уникати імен які позначають облікові записи з адміністративним або підвищеним доступом. Обов’язково також змініть опис за замовчуванням для локального адміністратора (через Керування комп’ютером консоль).
Обліковий запис адміністратора існує на всіх комп’ютерах, на яких працює Windows 2000 або новіша версія операційні системи. Якщо ви перейменуєте цей обліковий запис, це буде трохи складніше неавторизовані особи можуть вгадати цю привілейовану комбінацію імені користувача та пароля. Вбудований обліковий запис адміністратора не можна заблокувати незалежно від того, скільки разів зловмисник може використати неправильний пароль. Ця можливість створює обліковий запис адміністратора популярна ціль для атак грубої сили, які намагаються вгадати паролі. Значення цей контрзахід зменшується, оскільки цей обліковий запис має добре відомий SID, і там це інструменти сторонніх розробників, які дозволяють автентифікацію за допомогою SID, а не облікового запису назва. Таким чином, навіть якщо ви перейменуєте обліковий запис адміністратора, зловмисник може розпочати атаку грубою силою, використовуючи SID для входу.
Ви повинні будете повідомити користувачів, які мають право використовувати цей обліковий запис, про новий обліковий запис назва. (Інструкції щодо цього налаштування припускають, що обліковий запис адміністратора не був вимкнено, що було рекомендовано раніше в цьому розділі.)
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений.
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань: Параметри безпеки локальної політики\Облікові записи: перейменувати обліковий запис адміністратора
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/accounts-rename-administrator-account 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#accounts_renameadministratoraccount 3. GRID: MS-00000056 4. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1, 2, 3
49.4 Налаштувати «Облікові записи: перейменувати обліковий запис гостя»
Вбудований локальний гостьовий обліковий запис є ще одним добре відомим ім’ям для зловмисників. Це так рекомендовано перейменувати цей обліковий запис на те, що не вказує на його призначення. Навіть якщо ви вимкнете цей обліковий запис, що рекомендовано, переконайтеся, що ви перейменували його на додаткова безпека.
Обліковий запис Guest існує на всіх комп’ютерах, на яких працює Windows 2000 або новіша версія операційні системи. Якщо ви перейменуєте цей обліковий запис, це буде трохи складніше неавторизовані особи можуть вгадати цю привілейовану комбінацію імені користувача та пароля.
Це мало б вплинути, оскільки обліковий запис гостя вимкнено за умовчанням.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений.
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань: Параметри безпеки локальної політики\Облікові записи: перейменувати гостьовий обліковий запис
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/accounts-rename-guest-account 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#accounts_renameguestaccount 3. GRID: MS-00000057 4. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1, 2, 3
49.5 Переконайтеся, що для параметра «Пристрої: заборонити користувачам встановлювати драйвери принтера під час підключення до спільних принтерів» встановлено значення «Увімкнути».
Щоб комп’ютер міг друкувати на спільному принтері, потрібен драйвер для цього спільного принтера встановлений на локальному комп’ютері. Цей параметр безпеки визначає, кому дозволено інсталювати драйвер принтера як частину підключення до спільного принтера. Рекомендований стан для цього параметра: увімкнено. Примітка. Цей параметр не впливає на можливість додавання локального принтера. Це налаштування не робить впливають на адміністраторів.
У деяких організаціях може бути доречним дозволити користувачам інсталювати драйвери принтера власні робочі станції. Однак у середовищі з високим рівнем безпеки ви повинні дозволити лише Це мають робити адміністратори, а не користувачі, оскільки встановлення драйвера принтера може ненавмисно призведе до того, що комп’ютер стане менш стабільним. Зловмисник міг встановити невідповідні драйвери принтера в навмисній спробі пошкодити комп’ютер або користувача може випадково встановити шкідливе програмне забезпечення, яке маскується під драйвер принтера. Це так для зловмисника можливо замаскувати троянську програму під драйвер принтера. The програма може здаватися користувачам так, ніби вони повинні використовувати її для друку, але така програма може запустити шкідливий код у вашій комп’ютерній мережі.
Лише адміністратори зможуть інсталювати драйвер принтера під час підключення до a спільний принтер. Це не вплине на можливість додавання локального принтера.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Control\Print\Providers\LanMan PrintServices\Servers:AddPrinterDrivers
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань для ввімкнення: Локальні політики Параметри безпеки\Пристрої: заборонити користувачам інсталювати драйвери принтера під час підключення до спільних принтерів
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/devices-prevent-users-from-installing-printer-drivers 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#devices_preventusersfrominstallingprinterdriverswhe nconnectingtosharedprinters 3. GRID: MS-00000060 4. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1
49.6 Переконайтеся, що для параметра «Інтерактивний вхід: не відображати останній вхід» встановлено значення «Увімкнено»
Цей параметр політики визначає, чи ім’я облікового запису останнього користувача, який увійшов до системи клієнтські комп’ютери у вашій організації відображатимуться на кожному комп’ютері відповідно Екран входу в Windows. Увімкніть цей параметр політики, щоб запобігти збиранню зловмисниками імена облікових записів візуально з екранів настільних або портативних комп’ютерів у вашому організації. Рекомендований стан для цього параметра: увімкнено. Попередження: якщо в Microsoft Entra використовується функція скидання пароля самостійного обслуговування (SSPR). ID, потрібен виняток із цієї рекомендації, оскільки відомо, що він заважає SSPR. Попередження №2: якщо використовується функція Windows без пароля, це виняток ця рекомендація потрібна, оскільки вона заважає цій функції працювати.
Зловмисник, який має доступ до консолі (наприклад, хтось із фізичним доступом або хтось, хто може підключитися до сервера через служби віддаленого робочого стола), може переглянути ім’я останнього користувача, який зайшов на сервер. Тоді нападник міг спробувати щоб вгадати пароль, скористайтеся словником або скористайтеся атакою грубої сили, щоб спробувати увійти.
Ім’я останнього користувача, який успішно ввійшов, не відображатиметься у Windows екран входу в систему.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System:DontDisplayLastUserName
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Локальні політики Параметри безпеки\Інтерактивний вхід: не відображати останній підпис- в Примітка. У старіших версіях Microsoft Windows цей параметр мав назву Інтерактивний вхід: Не відображати останнє ім’я користувача, але воно було перейменовано, починаючи з випуску Windows 10 1703 рік.
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/interactive-logon-do-not-display-last-user-name 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#interactivelogon_donotdisplaylastsignedin 3. GRID: MS-00000072 4. Minimum OS CSP: Windows 10, Version 1709 and later 5. https://learn.microsoft.com/en-us/windows/security/identity- protection/passwordless-experience/#recommendations `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
49.7 Переконайтеся, що параметр «Інтерактивний вхід: не вимагати CTRL+ALT+DEL» має значення «Вимкнено»
Цей параметр політики визначає, чи повинні користувачі натискати CTRL+ALT+DEL, перш ніж вони увійти. Рекомендований стан для цього параметра: вимкнено.
Корпорація Майкрософт розробила цю функцію, щоб полегшити роботу користувачам із певними типами фізичних неможливість входу в систему на комп’ютерах під керуванням Windows. Якщо користувачам не потрібно натискати CTRL+ALT+DEL, вони чутливі до атак, які намагаються перехопити їх паролі. Якщо перед входом потрібно натиснути CTRL+ALT+DEL, паролі користувачів потрібні передається за допомогою довіреного шляху. Зловмисник міг встановити троянську програму, схожу на стандартну Windows діалогове вікно входу та захопити пароль користувача. Тоді зловмисник зможе це зробити увійти до скомпрометованого облікового запису з будь-яким рівнем привілеїв, який має цей користувач.
Користувачі повинні натиснути CTRL+ALT+DEL перед входом у Windows, якщо вони не використовують a смарт-картка для входу в Windows. Смарт-карта – це захищений від несанкціонованого доступу пристрій, який зберігає інформація про безпеку.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 0.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System:DisableCAD`
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Disabled: Локальні політики Параметри безпеки\Інтерактивний вхід: не потрібно CTRL+ALT+DEL
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/interactive-logon-do-not-require-ctrl-alt-del 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#interactivelogon_donotrequirectrlaltdel 3. GRID: MS-00000071 4. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1
IG 1
49.8 Переконайтеся, що для параметра «Інтерактивний вхід: ліміт бездіяльності машини» встановлено значення «900 або менше секунд», але не 0.
Windows помічає бездіяльність сеансу входу в систему та кількість часу бездіяльності перевищує ліміт бездіяльності, тоді запуститься заставка, блокуючи сеанс. Рекомендований стан для цього параметра: 900 або менше секунд, але не 0. Примітка. Значення 0 не відповідає тесту, оскільки воно вимикає машину обмеження неактивності.
Якщо користувач забуває заблокувати свій комп’ютер, коли йде, можливо, що a перехожий викраде його.
Екранна заставка автоматично активується, коли комп’ютер залишається без нагляду протягом зазначеного часу. Вплив має бути мінімальним, оскільки заставка увімкнено за замовчуванням.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 900 або менше, але не 0.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System:InactivityTimeoutSecs
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до 900 або менше секунд, але не 0: Локальні політики Параметри безпеки\Інтерактивний вхід: ліміт бездіяльності машини
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/interactive-logon-machine-inactivity-limit 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#interactivelogon_machineinactivitylimit 3. GRID: MS-00000074 4. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
49.9 Налаштувати «Інтерактивний вхід: текст повідомлення для користувачів, які намагаються увійти»
Цей параметр політики визначає текстове повідомлення, яке відображається користувачам під час входу в систему. встановити наступну групову політику до значення, яке відповідає безпеці та експлуатації вимоги вашої організації.
Відображення попереджувального повідомлення перед входом може допомогти запобігти атаці, попереджаючи зловмисника про наслідки своєї неналежної поведінки до того, як це станеться. Це також може допомогти посилити корпоративну політику шляхом інформування працівників про відповідну політику під час процес входу в систему. Цей текст часто використовується з юридичних причин, наприклад, щоб попередити користувачів про наслідки неправомірного використання інформації компанії або попередити їх про те, що їх дії можуть бути перевірені. Примітка. Будь-яке попередження, яке ви показуєте, має бути схвалено юридичним відділом вашої організації та представники кадрів.
Користувачі повинні будуть підтвердити діалогове вікно, що містить налаштований текст, перш ніж вони може увійти в систему. Попередження: Windows Autopilot – Конфлікти політик: Windows Autopilot попередня ініціалізація не працює, якщо налаштовано цей параметр політики. Якщо в середовищі використовується Windows Autopilot, призначте це налаштування виключно для користувача групи, а не групи пристроїв. Це гарантує застосування налаштування пізніше реєстрація, що дозволяє Windows Autopilot завершити процес попередньої підготовки та запобігти можливим перервам. Примітка. Windows Vista та Windows XP Professional підтримують банери входу, які можуть довжина перевищує 512 символів і може також містити символи повернення каретки послідовності. Однак клієнти на базі Windows 2000 не можуть інтерпретувати та відображати їх повідомлення. Щоб створити повідомлення для входу, необхідно використовувати комп’ютер під керуванням Windows 2000 політика, яка застосовується до комп’ютерів під керуванням Windows 2000.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з REG_SZ значення тексту.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System:LegalNoticeText
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань до значення, яке відповідає безпеці та працездатності вимоги вашої організації: Параметри безпеки локальних політик\Інтерактивний вхід: текст повідомлення для користувачів намагаючись увійти в систему
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/interactive-logon-message-text-for-users-attempting-to-log-on 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#interactivelogon_messagetextforusersattemptingtolo gon 3. GRID: MS-00000075 4. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1
IG 1
49.10 Налаштувати «Інтерактивний вхід: заголовок повідомлення для користувачів, які намагаються увійти»
Цей параметр політики визначає текст, який відображається в рядку заголовка вікна, яке користувачі бачити, коли вони входять у систему. Налаштуйте це налаштування узгодженим способом з вимогами безпеки та операційними вимогами вашої організації.
Відображення попереджувального повідомлення перед входом може допомогти запобігти атаці, попереджаючи зловмисника про наслідки своєї неналежної поведінки до того, як це станеться. Це також може допомогти посилити корпоративну політику шляхом інформування працівників про відповідну політику під час процес входу в систему.
Користувачі повинні будуть підтвердити діалогове вікно з налаштованим заголовком, перш ніж вони зможуть увійти на комп’ютер. Попередження: Windows Autopilot – Конфлікти політик: Windows Autopilot попередня ініціалізація не працює, якщо налаштовано цей параметр політики. Якщо в середовищі використовується Windows Autopilot, призначте це налаштування виключно для користувача групи, а не групи пристроїв. Це гарантує застосування налаштування пізніше реєстрація, що дозволяє Windows Autopilot завершити процес попередньої підготовки та запобігти можливим перервам.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з REG_SZ значення тексту.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System:LegalNoticeCaption
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань до значення, яке відповідає безпеці та працездатності вимоги вашої організації: Параметри безпеки локальних політик\Інтерактивний вхід: заголовок повідомлення для користувачів attempting to log on
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/interactive-logon-message-title-for-users-attempting-to-log-on 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#interactivelogon_messagetitleforusersattemptingtolo gon 3. GRID: MS-00000076 4. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1
IG 1
49.11 Переконайтеся, що для параметра «Інтерактивний вхід: поведінка видалення смарт-картки» встановлено значення «Блокування робочої станції» або вище
Цей параметр політики визначає, що відбувається, коли смарт-картка для користувача, який увійшов у систему видаляється з пристрою зчитування смарт-карт. Рекомендований стан для цього параметра: заблокувати робочу станцію. Налаштування цього параметра для примусового виходу з системи або відключення, якщо також відбувається сеанс служб віддаленого робочого стола відповідає еталону.
Користувачі іноді забувають заблокувати свої робочі станції, коли вони далеко від них, дозволяючи зловмисникам отримати доступ до їхніх комп’ютерів. Якщо смарт-карти є використовується для автентифікації, комп’ютер повинен автоматично заблокуватися, коли картка активна видалено, щоб переконатися, що лише користувач зі смарт-карткою отримує доступ до ресурсів за допомогою ці облікові дані.
Якщо вибрати «Заблокувати робочу станцію», робоча станція буде заблокована разом із смарт-карткою видалено, дозволяючи користувачам залишати територію, брати з собою смарт-картку тощо підтримувати захищений сеанс. Якщо вибрано параметр «Примусовий вихід», користувачі автоматично виходять із системи, коли їх смарт-картки вимкнено видалено. Якщо ви виберете Від’єднати сеанс служб віддаленого робочого стола, видалення смарт-карта розриває сеанс без виходу користувачів. Це дозволяє користувачеві вставте смарт-карту та відновіть сеанс пізніше або на іншому пристрої зчитування смарт-карт- обладнаний комп’ютер без повторного входу в систему. Якщо сеанс локальний, ця політика буде функціонують ідентично Lock Workstation. Застосування цього параметра на комп’ютерах, якими користуються люди, які повинні входити в декілька систем комп’ютерів для виконання своїх обов’язків може викликати розчарування та зниження продуктивності. Наприклад, якщо адміністратори мережі обмежені одним обліковим записом, але їм потрібно ввійти на кілька комп’ютерів одночасно, щоб ефективно керувати мережею застосування цього параметра обмежить їх входом на один комп’ютер за раз. Для цих причини, через які рекомендується застосовувати цей параметр лише на робочих станціях, для яких використовується цілі, зазвичай пов’язані з типовими користувачами, наприклад створення документів і електронною поштою.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з REG_SZ значення 1, 2 або 3.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon:ScRemoveOption
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до Lock Workstation (або, якщо застосовно для вашого середовища, Примусовий вихід із системи або відключення, якщо сеанс служб віддаленого робочого стола): Параметри безпеки локальних політик\Інтерактивний вхід: видалення смарт-картки поведінка
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/interactive-logon-smart-card-removal-behavior 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#interactivelogon_smartcardremovalbehavior 3. GRID: MS-00000080 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
IG 1, 2, 3
IG 1, 2, 3
49.12 Переконайтеся, що для параметра «Клієнт мережі Microsoft: комунікації з цифровим підписом (завжди)» встановлено значення «Увімкнено».
Цей параметр політики визначає, чи потрібно клієнту SMB підписувати пакети компонент. Примітка. Якщо на комп’ютерах під керуванням Windows Vista ввімкнено цей параметр політики, і вони підключатися до спільних файлів або друку на віддалених серверах, важливо, щоб параметр був синхронізовано зі своїм супутнім налаштуванням, мережевим сервером Microsoft: Цифровий підпис комунікації (завжди) на цих серверах. Для отримання додаткової інформації про ці налаштувань див. у розділі «Клієнт і сервер мережі Microsoft: цифровий підпис у повідомленні (чотири пов’язані параметри)» у розділі 5 посібника «Загрози та контрзаходи». Рекомендований стан для цього параметра: увімкнено.
Викрадення сесії використовує інструменти, які дозволяють зловмисникам, які мають доступ до тієї самої мережі як клієнт або сервер, щоб перервати, завершити або вкрасти поточний сеанс. Зловмисники можуть потенційно перехоплювати та змінювати непідписані пакети SMB, а потім змінювати трафік і пересилати його, щоб сервер міг виконати небажані дії. Як альтернатива, зловмисник міг видати себе за сервер або клієнт після законної автентифікації та отримання несанкціонований доступ до даних. SMB — це протокол спільного використання ресурсів, який підтримується багатьма операційними системами Windows системи. Це основа NetBIOS і багатьох інших протоколів. Підписи SMB автентифікувати користувачів і сервери, на яких розміщені дані. Якщо будь-яка зі сторін зазнає невдачі процес автентифікації, передача даних не відбудеться.
Клієнт мережі Microsoft не зв’язуватиметься з мережевим сервером Microsoft якщо цей сервер не погоджується виконувати підписання пакетів SMB. Windows 2000 Server, Windows 2000 Professional, Windows Server 2003, Реалізації файлів і друку SMB у Windows XP Professional і Windows Vista протокол обміну підтримує взаємну автентифікацію, що запобігає викраденню сесії атакує та підтримує автентифікацію повідомлень для запобігання атакам типу “людина посередині”. Підписання SMB забезпечує цю автентифікацію шляхом розміщення цифрового підпису в кожному SMB, який потім перевіряється як клієнтом, так і сервером. Впровадження підпису SMB може негативно вплинути на продуктивність, оскільки кожен пакет потрібно підписати та перевірити. Якщо ці налаштування ввімкнено на сервері, тобто виконання кількох ролей, наприклад сервер малого бізнесу, який виконує роль домену Продуктивність контролера, файлового сервера, сервера друку та сервера додатків може бути істотно сповільнено. Крім того, якщо ви налаштуєте комп’ютери на ігнорування всіх непідписаних Комунікації SMB, старі програми та операційні системи не зможуть підключити. Однак якщо ви повністю вимкнете всі підписи SMB, комп’ютери будуть вразливий до атак із захопленням сесії. Коли політики підпису SMB увімкнено на контролерах домену під керуванням Windows Server 2003 і рядові комп’ютери під керуванням Windows Vista SP1 або Windows Server Обробка групової політики 2008 не вдасться. Від Microsoft доступне виправлення, яке вирішує проблему це питання; див. статтю 950876 бази знань Microsoft для отримання додаткової інформації: Групова політика параметри не застосовуються на комп’ютерах-членах під керуванням Windows Server 2008 або Windows Vista SP1, якщо ввімкнено певні політики підпису SMB.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters:RequireSecuritySignature
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Локальні політики Параметри безпеки\Мережевий клієнт Microsoft: цифровий підпис communications (always)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/microsoft-network-client-digitally-sign-communications-always 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#microsoftnetworkclient_digitallysigncommunications always 3. GRID: MS-00000081 4. Minimum OS CSP: Windows 10, Version 1809 and later `
CIS Controls: `
IG 1, 2
49.13 Переконайтеся, що для параметра «Мережевий клієнт Microsoft: надсилати незашифрований пароль на сторонні SMB-сервери» встановлено значення «Вимкнено».
Цей параметр політики визначає, чи надсилатиме переспрямовувач SMB паролі у відкритому вигляді під час автентифікації на сторонніх серверах SMB, які не підтримують пароль шифрування. Рекомендується вимкнути цей параметр політики, якщо немає сильного бізнесу випадку, щоб увімкнути його. Якщо цей параметр політики ввімкнено, незашифровані паролі будуть дозволені через мережу. Рекомендований стан для цього параметра: вимкнено.
Якщо ввімкнути цей параметр політики, сервер може передавати паролі у вигляді відкритого тексту мережі до інших комп’ютерів, які пропонують послуги SMB, що є значною безпекою ризик. Ці інші комп’ютери можуть не використовувати жоден із існуючих механізмів безпеки SMB входить до складу Windows Server 2003.
Немає – це типова поведінка. Деякі дуже старі програми та операційні системи, такі як MS-DOS, Windows для Робочі групи 3.11 і Windows 95a можуть не спілкуватися із серверами у вашій організації за допомогою протоколу SMB.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters:EnablePlainTextPassword
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Disabled: Локальні політики Параметри безпеки\Мережевий клієнт Microsoft: Надіслати незашифрованим пароль для сторонніх серверів SMB
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/microsoft-network-client-send-unencrypted-password-to-third- party-smb-servers 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#microsoftnetworkclient_sendunencryptedpasswordto thirdpartysmbservers 3. GRID: MS-00000083 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
49.14 Переконайтеся, що для параметра «Сервер мережі Microsoft: цифровий підпис (завжди)» встановлено значення «Увімкнено».
Цей параметр політики визначає, чи потрібно SMB-серверу підписувати пакети компонент. Увімкніть цей параметр політики в змішаному середовищі, щоб запобігти низхідній версії клієнти від використання робочої станції як мережевого сервера. Рекомендований стан для цього параметра: увімкнено.
Викрадення сесії використовує інструменти, які дозволяють зловмисникам, які мають доступ до тієї самої мережі як клієнт або сервер, щоб перервати, завершити або вкрасти поточний сеанс. Зловмисники можуть потенційно перехоплювати та змінювати непідписані пакети SMB, а потім змінювати трафік і пересилати його, щоб сервер міг виконати небажані дії. Як альтернатива, зловмисник міг видати себе за сервер або клієнт після законної автентифікації та отримання несанкціонований доступ до даних. SMB — це протокол спільного використання ресурсів, який підтримується багатьма операційними системами Windows системи. Це основа NetBIOS і багатьох інших протоколів. Підписи SMB автентифікувати користувачів і сервери, на яких розміщені дані. Якщо будь-яка зі сторін зазнає невдачі процес автентифікації, передача даних не відбудеться.
Мережевий сервер Microsoft не зв’язуватиметься з клієнтом мережі Microsoft якщо цей клієнт не погоджується виконати підписання пакетів SMB. Windows 2000 Server, Windows 2000 Professional, Windows Server 2003, Реалізації файлів і друку SMB у Windows XP Professional і Windows Vista протокол обміну підтримує взаємну автентифікацію, що запобігає викраденню сесії атакує та підтримує автентифікацію повідомлень для запобігання атакам типу “людина посередині”. Підписання SMB забезпечує цю автентифікацію шляхом розміщення цифрового підпису в кожному SMB, який потім перевіряється як клієнтом, так і сервером. Впровадження підпису SMB може негативно вплинути на продуктивність, оскільки кожен пакет потрібно підписати та перевірити. Якщо ці налаштування ввімкнено на сервері, тобто виконання кількох ролей, наприклад сервер малого бізнесу, який виконує роль домену Продуктивність контролера, файлового сервера, сервера друку та сервера додатків може бути істотно сповільнено. Крім того, якщо ви налаштуєте комп’ютери на ігнорування всіх непідписаних Комунікації SMB, старі програми та операційні системи не зможуть підключити. Однак якщо ви повністю вимкнете всі підписи SMB, комп’ютери будуть вразливий до атак із захопленням сесії. Коли політики підпису SMB увімкнено на контролерах домену під керуванням Windows Server 2003 і рядові комп’ютери під керуванням Windows Vista SP1 або Windows Server Обробка групової політики 2008 не вдасться. Від Microsoft доступне виправлення, яке вирішує проблему це питання; див. статтю 950876 бази знань Microsoft для отримання додаткової інформації: Групова політика параметри не застосовуються на комп’ютерах-членах під керуванням Windows Server 2008 або Windows Vista SP1, якщо ввімкнено певні політики підпису SMB.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters:RequireSecuritySignature
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Локальні політики Параметри безпеки\Мережевий сервер Microsoft: цифровий підпис communications (always)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/microsoft-network-server-digitally-sign-communications-always 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#microsoftnetworkserver_digitallysigncommunications always 3. GRID: MS-00000085 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
IG 1, 2
49.15 Переконайтеся, що для параметра «Доступ до мережі: не дозволяти анонімне перерахування облікових записів SAM» встановлено значення «Увімкнено».
Цей параметр політики контролює можливість анонімних користувачів нумерувати облікові записи в менеджер облікових записів безпеки (SAM). Якщо ввімкнути цей параметр політики, користувачі з анонімні підключення не зможуть перерахувати імена користувачів облікових записів домену на системи у вашому середовищі. Цей параметр політики також дозволяє додаткові обмеження на анонімних з’єднаннях. Рекомендований стан для цього параметра: увімкнено. Примітка. Ця політика не впливає на контролери домену.
Неавторизований користувач може анонімно перерахувати імена облікових записів і використовувати інформацію для спробувати вгадати паролі або виконати атаки соціальної інженерії. (Соціальна інженерія атаки намагаються якимось чином обдурити користувачів, щоб отримати паролі або певну форму безпеки інформація.)
Немає – це типова поведінка. З Windows буде неможливо встановити довірчі відносини Домени на основі NT 4.0. Крім того, клієнтські комп’ютери, які працюють під керуванням старих версій Windows такі операційні системи, як Windows NT 3.51 і Windows 95, виникнуть проблеми коли вони намагаються використати ресурси на сервері.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Control\Lsa:RestrictAnonymousSAM
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Локальні політики Параметри безпеки\Доступ до мережі: не дозволяти анонімний доступ перелік облікових записів SAM
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/network-access-do-not-allow-anonymous-enumeration-of-sam- accounts 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#networkaccess_donotallowanonymousenumerationo fsamaccounts 3. GRID: MS-00000092 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
IG 1
IG 1
49.16 Переконайтеся, що для параметра «Доступ до мережі: не дозволяти анонімне перерахування облікових записів і спільних ресурсів SAM» встановлено значення «Увімкнено».
Цей параметр політики контролює можливість анонімних користувачів нумерувати облікові записи SAM а також акції. Якщо ввімкнути цей параметр політики, анонімні користувачі не зможуть перерахувати імена користувачів облікових записів домену та імена спільних мережевих ресурсів у системах ваше оточення. Рекомендований стан для цього параметра: увімкнено. Примітка. Ця політика не впливає на контролери домену.
Неавторизований користувач може анонімно перерахувати імена облікових записів і спільні ресурси використовувати інформацію, щоб спробувати вгадати паролі або виконати соціальну інженерію напади. (Атаки соціальної інженерії намагаються якимось чином обдурити користувачів, щоб отримати паролі або певну форму інформації безпеки.)
Буде неможливо встановити довіри з доменами на базі Windows NT 4.0. Крім того, клієнт комп’ютери, на яких встановлено старіші версії операційної системи Windows, наприклад Windows NT 3.51 і Windows 95 відчуватимуть проблеми, коли вони намагатимуться використовувати ресурси на сервер. Користувачі, які анонімно отримують доступ до файлових серверів і серверів друку, не зможуть створити список спільні мережеві ресурси на цих серверах; користувачі повинні будуть пройти автентифікацію перш ніж вони зможуть переглянути списки спільних папок і принтерів. Однак навіть при цьому налаштування політики ввімкнено, анонімні користувачі матимуть доступ до ресурсів із дозволи, які явно включають вбудовану групу ANONYMUS LOGON.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Control\Lsa:RestrictAnonymous
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Локальні політики Параметри безпеки\Доступ до мережі: не дозволяти анонімний доступ перелік рахунків SAM і акцій
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/network-access-do-not-allow-anonymous-enumeration-of-sam- accounts-and-shares 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#networkaccess_donotallowanonymousenumerationo fsamaccountsandshares 3. GRID: MS-00000093 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
IG 1
IG 1
49.17 Переконайтеся, що для пункту «Доступ до мережі: обмеження анонімного доступу до іменованих каналів і спільних ресурсів» встановлено значення «Увімкнено».
Якщо ввімкнено, цей параметр політики обмежує анонімний доступ лише до цих спільних ресурсів і канали, названі в Мережевий доступ: іменовані канали, до яких можна отримати доступ анонімно та доступ до мережі: спільні ресурси, до яких можна отримати анонімний доступ налаштування. Цей параметр політики керує доступом нульового сеансу до спільних ресурсів на ваших комп’ютерах додавання RestrictNullSessAccess зі значенням 1 у HKLM\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters ключ реєстру. Це значення реєстру вмикає або вимикає спільний доступ до нульового сеансу, щоб контролювати, чи служба сервера обмежує доступ неавтентифікованих клієнтів до іменованих ресурсів. Рекомендований стан для цього параметра: увімкнено.
Нульові сеанси — це слабка сторона, яку можна використати за допомогою спільного використання (включаючи стандартні спільні ресурси) на комп’ютерах у вашому середовищі.
Немає – це типова поведінка. Якщо ви вирішите ввімкнути цей параметр і є підтримують домени Windows NT 4.0, ви повинні перевірити, чи є якісь із названих каналів необхідні для підтримки довірчих відносин між доменами, а потім додайте канал до доступ до мережі: список іменованих каналів, до яких можна отримати анонімний доступ: • COMNAP: доступ до сеансу SNA • COMNODE: доступ до сеансу SNA • SQL\QUERY: доступ до екземпляра SQL • SPOOLSS: Служба спулера • LLSRPC: служба реєстрації ліцензій • NETLOGON: служба Net Logon • LSARPC: LSA доступ • SAMR: віддалений доступ до об’єктів SAM • БРАУЗЕР: служба комп’ютерного браузера До випуску Windows Server 2003 із пакетом оновлень 1 (SP1) ці іменованим каналам було дозволено анонімний доступ за замовчуванням, але з розширеним посилення у Windows Server 2003 із пакетом оновлень 1 (SP1) ці канали мають бути явно додані, якщо необхідний.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters:RestrictNullSessAccess
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Локальні політики Параметри безпеки\Доступ до мережі: обмежити анонімний доступ до Іменовані труби та акції
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/network-access-restrict-anonymous-access-to-named-pipes-and- shares 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#networkaccess_restrictanonymousaccesstonamedpi pesandshares 3. GRID: MS-00000099 4. Minimum OS CSP: Windows 10, version 1803 and later `
CIS Controls: `
IG 1
IG 1
49.18 Переконайтеся, що для параметра «Доступ до мережі: заборонити клієнтам дозволяти здійснювати віддалені дзвінки до SAM» встановлено значення «Адміністратори: віддалений доступ: дозволити».
Цей параметр політики дозволяє обмежити віддалені підключення RPC до SAM. Рекомендований стан для цього параметра: Адміністратори: Віддалений доступ: Дозволити. Примітка. Для доступу та налаштування потрібна ОС Windows 10 R1607, Server 2016 або новіша. це значення в груповій політиці. Примітка №2: цей параметр спочатку підтримувався лише в Windows 10 R1607 або новіших версіях, потім його підтримку було додано до Windows 7 або новішої версії через захист безпеки від березня 2017 року патчі. Примітка №3. Якщо ваша організація використовує Microsoft Defender for Identity (раніше Azure Advanced Threat Protection (Azure ATP)), захисник (назви організації). Обліковий запис Identity Directory Service (DSA) також потрібно буде отримати той самий Remote Доступ: дозволити дозвіл. Для отримання додаткової інформації про додавання облікового запису служби, будь ласка див. Налаштування SAM-R, щоб увімкнути виявлення бокового шляху руху в Microsoft Defender для ідентичності | Microsoft Docs.
Щоб гарантувати, що неавторизований користувач не зможе анонімно перерахувати імена локальних облікових записів або групи та використовуйте інформацію, щоб спробувати вгадати паролі або запустити соціальні мережі інженерні атаки. (Атаки соціальної інженерії намагаються якимось чином обдурити користувачів отримати паролі або певну форму інформації про безпеку.)
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з REG_SZ значення O:BAG:BAD:(A;;RC;;;BA).
HKLM\SYSTEM\CurrentControlSet\Control\Lsa:restrictremotesamO:BAG:BAD:(A;;RC;;;BA)
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до адміністраторів: Віддалений доступ: Дозволити: Локальні політики Параметри безпеки\Доступ до мережі: обмежити дозволені клієнти здійснювати віддалені дзвінки на SAM
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/network-access-restrict-clients-allowed-to-make-remote-sam-calls 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#networkaccess_restrictclientsallowedtomakeremotec allstosam 3. GRID: MS-00000100 4. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1
IG 1
49.19 Переконайтеся, що для параметра «Безпека мережі: дозволити локальній системі використовувати ідентифікатор комп’ютера для NTLM» встановлено значення «Дозволити».
Цей параметр політики визначає, чи локальні системні служби, які використовують Negotiate when повернення до автентифікації NTLM може використовувати посвідчення комп’ютера. Ця політика підтримується щонайменше на Windows 7 або Windows Server 2008 R2. Рекомендований стан для цього параметра: Дозволити.
Під час підключення до комп’ютерів із версією Windows, ранішою за Windows Vista або Windows Server 2008 (не R2), служби, що працюють як локальна система та використовують SPNEGO (узгодження), які повертаються до NTLM, використовують посвідчення комп’ютера. У Windows 7, якщо ви підключаєтесь до комп’ютера під керуванням Windows Server 2008 або Windows Vista, тоді системна служба використовує ідентифікатор комп’ютера або сеанс NULL. Коли при з’єднанні з сеансом NULL створюється згенерований системою ключ сеансу, який не забезпечує захисту, але дозволяє програмам підписувати та шифрувати дані без помилок. Під час з’єднання з ідентифікатором комп’ютера підтримується як підпис, так і шифрування щоб забезпечити захист даних.
Служби, що працюють як локальна система, які використовують Negotiate під час повернення до NTLM автентифікація використовуватиме ідентифікатор комп’ютера. Це може призвести до певної автентифікації запити між операційними системами Windows завершуються помилкою та реєструють помилку.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Control\Lsa:UseMachineId
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань для дозволу: Локальні політики Параметри безпеки\Мережева безпека: дозволити використовувати локальну систему ідентифікатор комп’ютера для NTLM
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/network-security-allow-local-system-to-use-computer-identity-for- ntlm 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#networksecurity_allowlocalsystemtousecomputeride ntityforntlm 3. GRID: MS-00000103 4. Minimum OS CSP: Windows 10, Version 1809 and later `
CIS Controls: `
IG 1
IG 1
49.20 Переконайтеся, що для параметра «Безпека мережі: дозволити запити автентифікації PKU2U» встановлено значення «Блокувати»
Цей параметр визначає, чи можуть ідентифікаційні особи в Інтернеті автентифікуватися на цьому комп’ютері. Протокол PKU2U на основі криптографії з відкритим ключем, представлений у Windows 7 і Windows Server 2008 R2 реалізовано як постачальник підтримки безпеки (SSP). SSP забезпечує однорангову автентифікацію, зокрема через Windows 7 функція обміну медіафайлами та файлами під назвою HomeGroup, яка дозволяє обмінюватися між комп’ютери, які не є членами домену. З PKU2U було представлено нове розширення для пакета автентифікації Negotiate, Spnego.dll. У попередніх версіях Windows функція Negotiate вирішувала, чи використовувати її Kerberos або NTLM для автентифікації. Розширення SSP для Negotiate, Negoexts.dll, який Windows розглядає як протокол автентифікації, підтримує SSP Microsoft в тому числі ПКУ2У. Коли комп’ютери налаштовані на прийом запитів автентифікації за допомогою онлайн-ідентифікаторів, Negoexts.dll викликає PKU2U SSP на комп’ютері, який використовується для входу. The PKU2U SSP отримує локальний сертифікат і обмінюється політикою між вузлом комп’ютери. Під час перевірки на одноранговому комп’ютері сертифікат у метаданих є надсилається одноранговому входу для перевірки та пов’язує сертифікат користувача з безпекою маркер, і процес входу завершується. Рекомендований стан для цього параметра: Блокувати.
Протокол PKU2U є одноранговим протоколом автентифікації – автентифікація повинна бути централізовано в більшості керованих мереж.
Підключення до віддаленого робочого стола від гібридного приєднаного сервера Microsoft Entra до Microsoft Entra приєднався до пристрою Windows 10 або гібрид Microsoft Entra приєднався до пристрою Windows 10 не вийде, якщо PKU2U вимкнено.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\pku2u:AllowOnlineID
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань для блокування: Параметри безпеки локальних політик\Безпека мережі: дозволити автентифікацію PKU2U запитів до цього комп’ютера
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/network-security-allow-pku2u-authentication-requests-to-this- computer-to-use-online-identities 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#networksecurity_allowpku2uauthenticationrequests 3. GRID: MS-00000105 4. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1, 2, 3
IG 1, 2
49.21 Переконайтеся, що для параметра «Безпека мережі: рівень автентифікації LAN Manager» встановлено значення «Надсилати лише відповіді NTLMv2». Відмовитися від LM і NTLM’
Менеджер локальної мережі (LM) був сімейством раннього клієнт-серверного програмного забезпечення Microsoft (перед Windows NT), що дозволяло користувачам об’єднувати персональні комп’ютери в один мережі. Можливості мережі LM включали прозорий спільний доступ до файлів і друку, користувача функції безпеки та засоби адміністрування мережі. У доменах Active Directory Протокол Kerberos є стандартним протоколом автентифікації. Однак, якщо Kerberos протокол не узгоджується з якоїсь причини, Active Directory використовуватиме LM, NTLM або NTLMv2. Автентифікація LAN Manager включає LM, NTLM і NTLM версії 2 (NTLMv2) і є протоколом, який використовується для автентифікації всіх клієнтів Windows коли вони виконують такі операції: • Приєднатися до домену • Автентифікація між лісами Active Directory • Автентифікація в доменах нижнього рівня • Автентифікація на комп’ютерах, які не працюють під керуванням Windows 2000, Windows Server 2003, або Windows XP • Автентифікуйте комп’ютери, які не входять до домену Параметр «Безпека мережі: рівень автентифікації LAN Manager» визначає, який протокол автентифікації виклик/відповідь використовується для входу в мережу. Цей вибір впливає на рівень протоколу аутентифікації, що використовується клієнтами, на рівень безпеки сесії узгоджено та рівень автентифікації, прийнятий серверами. Рекомендований стан для цього параметра: надсилати лише відповіді NTLMv2. Відмовитися LM і NTLM.
Клієнти Windows 2000 і Windows XP були налаштовані за замовчуванням для надсилання LM і Відповіді автентифікації NTLM (клієнти на базі Windows 95 і Windows 98 відправляти тільки LM). Параметри за замовчуванням в ОС, що передували Windows Vista / Windows Server 2008 (не R2) дозволив усім клієнтам автентифікуватися на серверах і використовувати їхні ресурси. Однак це означало, що відповіді LM – найслабша форма відповіді автентифікації – були надіслані через мережу, і зловмисники потенційно могли це винюхати трафік, щоб легше відтворити пароль користувача. Операційні системи Windows 95, Windows 98 і Windows NT не можуть використовувати Протокол Kerberos версії 5 для автентифікації. З цієї причини в Windows Server 2003, ці комп’ютери автентифікуються за замовчуванням як за допомогою LM, так і NTLM протоколи для мережевої автентифікації. Ви можете застосувати більш безпечну автентифікацію протокол для Windows 95, Windows 98 і Windows NT за допомогою NTLMv2. Для NTLMv2 використовує безпечний канал для захисту процесу автентифікації. Навіть якщо ви використовуєте NTLMv2 для старих клієнтів і серверів, клієнтів на базі Windows і сервери, які є членами домену, використовуватимуть протокол автентифікації Kerberos автентифікувати за допомогою контролерів домену Windows Server 2003 або новішої версії. Для цих тому настійно бажано обмежити використання LM і NTLM (не v2) настільки, наскільки можливо.
Клієнти використовують лише автентифікацію NTLMv2 і використовують захист сеансу NTLMv2, якщо сервер підтримує його; Контролери домену відмовляються від LM і NTLM (приймають лише NTLMv2 автентифікація). Клієнти, які не підтримують автентифікацію NTLMv2, не зможуть автентифікуватися в домені та отримувати доступ до ресурсів домену за допомогою LM і NTLM.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 5.
HKLM\SYSTEM\CurrentControlSet\Control\Lsa:LmCompatibilityLevel
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань: надсилати лише відповіді NTLMv2. Відмовитися від LM і NTLM: Локальні політики Параметри безпеки\Мережева безпека: автентифікація LAN Manager рівень
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/network-security-lan-manager-authentication-level 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#networksecurity_lanmanagerauthenticationlevel 3. GRID: MS-00000109 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
49.22 Переконайтеся, що для параметра «Мінімальна безпека мережі для клієнтів на основі NTLMSSP» встановлено значення «Вимагати NTLM і 128-бітне шифрування».
Цей параметр політики визначає, яку поведінку дозволено клієнтам для програм за допомогою постачальника підтримки безпеки NTLM (SSP). Інтерфейс SSP (SSPI) використовується програми, які потребують служб автентифікації. Налаштування не змінює спосіб послідовність автентифікації працює, але вимагає певної поведінки в програмах, які використовувати SSPI. Рекомендований стан для цього параметра: Вимагати NTLM і 128-бітне шифрування. Примітка. Ці значення залежать від Network Security: LAN Manager Значення параметра безпеки рівня автентифікації.
Ви можете ввімкнути обидва параметри для цього параметра політики, щоб захистити мережевий трафік використовує постачальника підтримки безпеки NTLM (NTLM SSP) від розкриття або підроблений зловмисником, який отримав доступ до тієї ж мережі. В іншому кажучи, ці параметри допомагають захистити від атак типу “людина посередині”.
Підключення NTLM не вдасться виконати, якщо протокол NTLMv2 і надійне шифрування (128-бітне) не підтримуються обидва вели переговори. Клієнтські програми, які застосовують ці налаштування, не зможуть спілкуватися зі старими серверами, які їх не підтримують.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 537395200.
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0:NTLMMinClientSec
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань Вимагати NTLM і 128-бітне шифрування: Параметри безпеки локальних політик\Безпека мережі: Мінімальна безпека сеансу для клієнтів на основі NTLM SSP (включаючи безпечний RPC).
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/network-security-minimum-session-security-for-ntlm-ssp-based- including-secure-rpc-clients 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#networksecurity_minimumsessionsecurityforntlmssp basedclients 3. GRID: MS-00000111 4. Minimum OS CSP: Windows 10, Version 1809 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
49.23 Переконайтеся, що для параметра «Мінімальна безпека мережі для серверів на основі NTLMSSP» установлено значення «Вимагати NTLM і 128-бітне шифрування».
Цей параметр політики визначає, яку поведінку дозволено серверами для програм за допомогою постачальника підтримки безпеки NTLM (SSP). Інтерфейс SSP (SSPI) використовується програми, які потребують служб автентифікації. Налаштування не змінює спосіб послідовність автентифікації працює, але вимагає певної поведінки в програмах, які використовувати SSPI. Рекомендований стан для цього параметра: Вимагати NTLM і 128-бітне шифрування. Примітка. Ці значення залежать від Network Security: LAN Manager Значення параметра безпеки рівня автентифікації.
Ви можете ввімкнути всі параметри цього параметра політики, щоб захистити мережевий трафік використовує постачальника підтримки безпеки NTLM (NTLM SSP) від розкриття або підроблений зловмисником, який отримав доступ до тієї ж мережі. тобто ці параметри допомагають захистити від атак типу “людина посередині”.
Підключення NTLM не вдасться виконати, якщо протокол NTLMv2 і надійне шифрування (128-бітне) не підтримуються обидва вели переговори. Серверні програми, які застосовують ці налаштування, не зможуть спілкуватися зі старими серверами, які їх не підтримують.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 537395200.
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0:NTLMMinServerSec
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань Вимагати NTLM і 128-бітне шифрування: Параметри безпеки локальних політик\Безпека мережі: Мінімальна безпека сеансу для серверів на основі NTLM SSP (включаючи захищений RPC).
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/network-security-minimum-session-security-for-ntlm-ssp-based- including-secure-rpc-servers 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#networksecurity_minimumsessionsecurityforntlmssp basedservers 3. GRID: MS-00000112 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
49.24 Переконайтеся, що для параметра «Безпека мережі: Обмежити NTLM: аудит вхідного трафіку NTLM» встановлено значення «Увімкнути аудит для всіх облікових записів».
Цей параметр політики дозволяє перевіряти вхідний трафік NTLM. Події для цього налаштування реєструються в журналі операційних подій (наприклад, програми та служби Журнал\Microsoft\Windows\NTLM). Рекомендований стан для цього параметра: увімкнути аудит для всіх облікових записів.
Аудит і моніторинг трафіку NTLM можуть допомогти ідентифікувати системи, які використовують це застарілий протокол автентифікації, тому їх можна виправити на використання більш безпечного протокол, наприклад Kerberos. Зібрана інформація журналу також може допомогти в криміналістиці розслідування після зловмисної атаки. Аутентифікація NTLM і NTLMv2 вразлива до різноманітних атак, включаючи ретрансляцію SMB, людина посередині та атаки грубою силою. Зменшення та усунення NTLM автентифікація в середовищі знижує ризик отримання зловмисником доступу до системи в мережі.
Журнал подій міститиме інформацію про вхідний трафік автентифікації NTLM.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 2.
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0:AuditReceivingNTLMTraffic
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань для ввімкнення аудиту для всіх облікових записів: Параметри безпеки локальних політик\Безпека мережі: Обмежити NTLM: Аудит Вхідний трафік NTLM
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/network-security-restrict-ntlm-audit-incoming-ntlm-traffic 2. https://learn.microsoft.com/en-us/defender-for-identity/configure-windows-event- collection#event-id-8004 3. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#networksecurity_restrictntlm_auditincomingntlmtraffi c 4. GRID: MS-00000113 5. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
49.25 Переконайтеся, що для пункту «Контроль облікових записів користувачів: Поведінка підказки про підвищення прав для адміністраторів» встановлено значення «Запитувати згоду на безпечному робочому столі» або вище
Цей параметр політики керує поведінкою підказки про підвищення для адміністраторів. Рекомендований стан для цього параметра: Запитувати згоду на захищеному робочий стіл. Налаштування цього параметра на Запитувати облікові дані на безпечному робочий стіл також відповідає тесту.
Один із ризиків, який функція UAC, представлена в Windows Vista, намагається зменшити це зловмисне програмне забезпечення, що працює під підвищеними обліковими даними без користувача або адміністратор в курсі його діяльності. Це налаштування підвищує обізнаність адміністратор операцій з підвищеними привілеями та дозволяє адміністратору запобігати a шкідлива програма не підвищить свої привілеї, коли програма намагається це зробити.
Коли операція (включно з виконанням двійкового файлу Windows) вимагає підвищення прав на захищеному робочому столі користувачеві пропонується вибрати «Дозволити» або «Заборонити». Якщо користувач вибирає дозвіл, операція продовжується з найвищим доступним для користувача привілей. Попередження: Windows Autopilot – Конфлікти політик: для застосування цієї політики потрібне перезавантаження. У результаті можуть з’являтися підказки під час зміни налаштувань контролю облікових записів користувачів (UAC). під час попереднього досвіду (OOBE) за допомогою сторінки статусу реєстрації пристрою (ESP). Якщо після застосування політики пристрій перезавантажиться, кількість запитів буде більшою. Якщо в середовищі використовується Windows Autopilot, призначте це налаштування виключно для користувача групи, а не групи пристроїв. Це гарантує застосування налаштування пізніше реєстрація, що дозволяє Windows Autopilot завершити процес попередньої підготовки та запобігти можливим перервам.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1 або 2.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System:ConsentPromptBehaviorAdmin
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до запиту згоди на безпечному робочому столі або запиту для облікових даних на безпечному робочому столі: Локальні політики Параметри безпеки\Контроль облікових записів користувачів: Поведінка підказка підвищення для адміністраторів
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/user-account-control-behavior-of-the-elevation-prompt-for- administrators-in-admin-approval-mode 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#useraccountcontrol_behavioroftheelevationpromptfor administrators 3. GRID: MS-00000121 4. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1
IG 1
49.26 Переконайтеся, що для параметра «Контроль облікових записів користувачів: Поведінка підказки про підвищення прав для стандартних користувачів» встановлено значення «Автоматично відхиляти запити на підвищення»
Цей параметр політики керує поведінкою підказки про підвищення для стандартних користувачів. Рекомендований стан для цього параметра: Автоматично забороняти підвищення запити.
Однією з небезпек є функція контролю облікових записів користувачів, представлена в Windows Vista спроби пом’якшити це шкідливі програми, що працюють під підвищеними обліковими даними без відома користувача або адміністратора їх діяльності. Цей параметр підвищує інформування користувача про те, що програма вимагає використання операцій з підвищеними привілеями і вимагає, щоб користувач міг надати облікові дані адміністратора для того, щоб програму для запуску.
Коли операція вимагає підвищення привілеїв, конфігурована помилка доступу заборонено відображається повідомлення. Підприємство, яке використовує настільні комп’ютери як стандартний користувач, може виберіть цей параметр, щоб зменшити кількість дзвінків у службу підтримки. Примітка. Якщо цей параметр налаштовано відповідно до рекомендацій, повідомлення про помилку за замовчуванням відображається, коли користувач намагається виконати операцію або запустити програму, що вимагає підвищення привілеїв (без прав адміністратора) таке: «Ця програма не запускатиметься. Це програма заблокована груповою політикою. Для отримання додаткової інформації зверніться до своєї системи адміністратор». Деякі користувачі, які не звикли бачити це повідомлення, можуть повірити в це операція або програма, яку вони намагалися запустити, спеціально заблокована груповою політикою, оскільки це те, що, здається, означає повідомлення. Тому це повідомлення може призвести до користувача питання щодо того, чому ця конкретна операція/програма заблокована, хоча насправді проблема полягає в тому, що їм потрібно виконати операцію або запустити програму за допомогою Обліковий запис адміністратора (або «Запуск від імені адміністратора», якщо він уже є адміністратором обліковий запис), і вони цього не роблять. Примітка №2. У разі використання інструментів віддаленої підтримки сторонніх виробників ця рекомендація може заборонити адміністраторам вводити свої облікові дані адміністратора. У цьому випадку ан потрібен виняток із цієї рекомендації.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System:ConsentPromptBehaviorUser
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань для автоматичного відхилення запитів на підвищення: Локальні політики Параметри безпеки\Контроль облікових записів користувачів: Поведінка підказка підвищення для стандартних користувачів
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/user-account-control-behavior-of-the-elevation-prompt-for- standard-users 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#useraccountcontrol_behavioroftheelevationpromptfor standardusers 3. GRID: MS-00000122 4. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1
IG 1
49.27 Переконайтеся, що для параметра «Контроль облікових записів користувачів: виявлення встановлення програм і запит на підвищення» встановлено значення «Увімкнено».
Цей параметр політики контролює поведінку виявлення встановлення програми для комп’ютер. Рекомендований стан для цього параметра: увімкнено.
Деяке зловмисне програмне забезпечення спробує встановити себе після того, як йому буде надано дозвіл на запуск. Наприклад, шкідливе програмне забезпечення з довіреною оболонкою програми. Користувач може мати дали дозвіл на запуск програми, оскільки програмі довіряють, але якщо вони є потім буде запропоновано інсталювати невідомий компонент, це надає інший спосіб захоплення програмного забезпечення, перш ніж воно може завдати шкоди
Коли виявлено інсталяційний пакет програми, який потребує підвищення привілеїв, користувачеві пропонується ввести ім’я користувача адміністратора та пароль. Якщо користувач вводить дійсні облікові дані, операція продовжується з відповідним привілеєм.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System:EnableInstallerDetection
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Локальні політики Параметри безпеки\Контроль облікових записів користувачів: Виявлення програми інсталяції та запит на підвищення
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/user-account-control-detect-application-installations-and-prompt- for-elevation 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#useraccountcontrol_detectapplicationinstallationsan dpromptforelevation 3. GRID: MS-00000123 4. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1
IG 1
49.28 Переконайтеся, що для параметра «Контроль облікових записів користувачів: підвищувати лише програми UIAccess, які встановлено в безпечних місцях» встановлено значення «Увімкнено»
Цей параметр політики контролює, чи програми, які запитують, працювати з інтерфейсом користувача Рівень цілісності доступності (UIAccess) має знаходитись у безпечному місці у файлі система. Безпечні місцезнаходження обмежені наступним: • …\Program Files\, включаючи вкладені папки • …\Windows\System32\ • …\Program Files (x86)\, включаючи вкладені папки (для 64-розрядних версій Windows) Примітка. Windows примусово перевіряє підпис інфраструктури відкритих ключів (PKI) на будь-якому інтерактивна програма, яка запитує роботу з рівнем цілісності UIAccess незалежно від стан цього налаштування безпеки. Рекомендований стан для цього параметра: увімкнено.
UIAccess Integrity дозволяє програмі обійти ізоляцію прав інтерфейсу користувача (UIPI) обмеження, коли привілеї програми підвищуються від стандартного користувача до адміністратор. Це потрібно для підтримки таких функцій доступності, як програми зчитування з екрана які передають інтерфейс користувача в альтернативні форми. Процес, який починається з Права UIAccess мають такі можливості: • Щоб встановити вікно переднього плану. • Керувати будь-яким вікном програми за допомогою функції SendInput. • Щоб використовувати вхідні дані читання для всіх рівнів цілісності, використовуючи низькорівневі перехоплювачі, необроблений вхід, GetKeyState, GetAsyncKeyState і GetKeyboardInput. • Для встановлення гаків журналу. • To використовує AttachThreadInput, щоб приєднати потік до черги введення з вищою цілісністю.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System:EnableSecureUIAPaths
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Локальні політики Параметри безпеки\Контроль облікових записів користувачів: підвищуйте лише UIAccess програми, встановлені в безпечних місцях
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/user-account-control-only-elevate-uiaccess-applications-that-are- installed-in-secure-locations 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#useraccountcontrol_onlyelevateuiaccessapplications thatareinstalledinsecurelocations 3. GRID: MS-00000124 4. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1
IG 1
49.29 Переконайтеся, що для параметра «Контроль облікових записів користувачів: використовувати режим затвердження адміністратора» встановлено значення «Увімкнено»
Цей параметр політики керує поведінкою режиму схвалення адміністратора для вбудованого Обліковий запис адміністратора. Рекомендований стан для цього параметра: увімкнено.
Однією з небезпек є функція контролю облікових записів користувачів, представлена в Windows Vista спроба пом’якшити це шкідливе програмне забезпечення, що працює під підвищеними обліковими даними без користувач або адміністратор знають про його діяльність. Вектор атаки для цих програм було виявити пароль облікового запису під назвою «Адміністратор», оскільки цей користувач обліковий запис створено для всіх установок Windows. Щоб усунути цей ризик, у Windows У Vista або новішій версії вбудований обліковий запис адміністратора тепер вимкнено за замовчуванням. У замовчуванні установка нового комп’ютера, облікові записи з адміністративним контролем комп’ютера спочатку налаштовуються одним із двох способів: • Якщо комп’ютер не приєднано до домену, перший обліковий запис користувача, який ви створюєте, має еквівалентні дозволи локального адміністратора. • Якщо комп’ютер приєднано до домену, облікових записів локального адміністратора немає створений. Адміністратор підприємства або домену повинен увійти на комп’ютер і створіть його, якщо необхідний обліковий запис локального адміністратора. Після встановлення Windows вбудований обліковий запис адміністратора можна ввімкнути вручну, але ми наполегливо рекомендуємо залишити цей обліковий запис вимкненим.
Вбудований обліковий запис адміністратора використовує режим затвердження адміністратора. Користувачі, які входять до системи за допомогою локальний обліковий запис адміністратора запитуватиме згоду під час запуску програми запитує підвищення привілеїв, як і будь-який інший користувач.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System:FilterAdministratorToken
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Параметри безпеки локальних політик\Контроль облікових записів користувачів: використовуйте режим затвердження адміністратора
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/user-account-control-admin-approval-mode-for-the-built-in- administrator-account 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#useraccountcontrol_useadminapprovalmode 3. GRID: MS-00000120 4. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1
IG 1, 2
49.30 Переконайтеся, що для параметра «Контроль облікових записів користувачів: перемикатися на захищений робочий стіл під час запиту на підвищення» встановлено значення «Увімкнено»
Цей параметр політики контролює, чи відображатиметься підказка запиту на підвищення на інтерактивний робочий стіл користувача або безпечний робочий стіл. Рекомендований стан для цього параметра: увімкнено.
Стандартні діалогові вікна підказки про підвищення рівня можуть бути підроблені, що може призвести до фальсифікації користувачів розкривати свої паролі шкідливому програмному забезпеченню. Безпечний робочий стіл представляє дуже виразний вигляд під час запиту висоти, коли робочий стіл користувача затемнюється, і користувальницький інтерфейс підказки про підвищення є більш помітним. Це збільшує ймовірність того, що користувачі, які звикнувши до захищеного робочого столу, розпізнає підроблену підказку підвищення прав діалогове вікно та не піддайтеся на хитрість.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System:PromptOnSecureDesktop
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Локальні політики Параметри безпеки\Контроль облікових записів користувачів: перейдіть до безпечного робочого столу під час запиту підвищення
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/user-account-control-switch-to-the-secure-desktop-when- prompting-for-elevation 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#useraccountcontrol_switchtothesecuredesktopwhen promptingforelevation 3. GRID: MS-00000126 4. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1
IG 1
49.31 Переконайтеся, що для параметра «Контроль облікових записів користувачів: запустити всіх адміністраторів у режимі затвердження адміністратора» встановлено значення «Увімкнено»
Цей параметр політики контролює поведінку всієї політики контролю облікових записів користувачів (UAC). налаштування для комп’ютера. Якщо ви зміните цей параметр політики, вам потрібно перезапустити свій комп’ютер. Рекомендований стан для цього параметра: увімкнено. Примітка. Якщо цей параметр політики вимкнено, Центр безпеки повідомить вас, що загальна безпеку операційної системи було знижено.
Це налаштування, яке вмикає або вимикає UAC. Якщо цей параметр вимкнено, UAC не буде використовуватися, і будь-які переваги безпеки та зменшення ризиків, які залежать від UAC, не будуть бути присутнім у системі.
Немає – це типова поведінка. Користувачам і адміністраторам потрібно буде навчитися працювати з підказками UAC і налаштувати свої робочі звички, щоб використовувати операції з найменшими привілеями.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System:EnableLUA
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Локальні політики Параметри безпеки\Контроль облікових записів користувачів: запустіть усіх адміністраторів у режимі затвердження адміністратора
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/user-account-control-run-all-administrators-in-admin-approval- mode 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#useraccountcontrol_runalladministratorsinadminappr ovalmode 3. GRID: MS-00000125 4. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1
IG 1
49.32 Переконайтеся, що для параметра «Контроль облікових записів користувачів: віртуалізація помилок запису файлів і реєстру в місця для кожного користувача» встановлено значення «Увімкнено».
Цей параметр політики контролює, чи перенаправляються помилки запису програми на визначені розташування реєстру та файлової системи. Цей параметр політики пом’якшує програми, які запускаються як адміністратора та записувати дані програми під час виконання до: • %ProgramFiles% • %windir% • %windir%\System32 • HKLM\ПРОГРАМНЕ ЗАБЕЗПЕЧЕННЯ Рекомендований стан для цього параметра: увімкнено.
Цей параметр зменшує вразливість, гарантуючи, що застарілі програми лише записують дані до дозволених місць.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System:EnableVirtualization
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Локальні політики Параметри безпеки\Контроль облікових записів користувачів: віртуалізація файлу та помилки запису реєстру в місця для кожного користувача
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/user-account-control-virtualize-file-and-registry-write-failures-to- per-user-locations 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- localpoliciessecurityoptions#useraccountcontrol_virtualizefileandregistrywritefailu restoperuserlocations 3. GRID: MS-00000127 4. Minimum OS CSP: Windows 10, Version 1709 and later `
CIS Controls: `
IG 1
IG 1
Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.