50. Локальна служба безпеки (Local Security Authority / LSA)

Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.

Рекомендацій: 1

Windows 11 Intune v5.0.0

50.1 Переконайтеся, що для параметра «Налаштувати захищений процес Lsa» встановлено значення «Увімкнено з блокуванням UEFI…»

Рівень 1 (L1)Автоматизовано

            Оригінал:
        

Цей параметр політики контролює, чи служба підслужби місцевого органу безпеки (LSASS) працює в захищеному режимі, а також має опцію блокування в захищеному режимі Уніфікований розширюваний інтерфейс прошивки (UEFI). Локальна служба безпеки (LSA) (LSA), який включає процес LSASS, перевіряє користувачів для локального та віддаленого входу та примусово локальні політики безпеки. Рекомендований стан для цього параметра: увімкнено з блокуванням UEFI. LSA буде запущено як захищений процес, і ця конфігурація заблокована UEFI.

💡 Обґрунтування безпеки:

Забезпечує додатковий захист для облікових даних, які зберігає та керує LSA. Увімкнення цього налаштування з блокуванням UEFI запобігає віддаленій зміні налаштування.

⚠️ Вплив на робочий процес (Impact):

Після застосування цього параметра (увімкнено), видалення параметра групової політики (встановлено на Не налаштовано) не усуне вплив. Щоб усунути вплив, ви повинні чітко налаштуйте для цього параметра значення Disabled і дотримуйтесь документації Microsoft відключення блокування UEFI.

🔍 Аудит (перевірка налаштувань)

Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.

HKLM\SOFTWARE\Policies\Microsoft\Windows\System:RunAsPPL

⚙️ Виправлення (Remediation / Налаштування)

Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: ... Local Security Authority\Configure Lsa Protected Process
Рекомендований стан: Enabled with UEFI lock

Значення за замовчуванням: Не налаштовано. (LSA працюватиме як захищений процес для чистої інсталяції, з підтримкою HVCI, клієнтські SKU, які є пристроями, приєднаними до домену або хмари. Ця конфігурація не є UEFI заблоковано.)

ℹ️ Додаткова інженерна інформація (Additional Information):

Застосовується лише до Windows 11.

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows-server/security/credentials-protection- and-management/configuring-additional-lsa-protection 2. https://learn.microsoft.com/en-us/windows/security/identity-protection/credential- guard/credential-guard-manage#disabling-windows-defender-credential-guard- with-uefi-lock 3. GRID: MS-00000343 4. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- lsa#configurelsaprotectedprocess 5. Minimum OS CSP: Windows 11, version 22H2 and later `

CIS Controls: `




                    CIS Controls V8: 10.5

                    IG 1, 2
                
Enable Anti-Exploitation Features Enable anti-exploitation features on enterprise assets and software, where possible, such as Microsoft® Data Execution Prevention (DEP), Windows® Defender Exploit Guard (WDEG), or Apple® System Integrity Protection (SIP) and Gatekeeper™.


        


Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.
            

                До повного змісту CIS Microsoft Intune Benchmark →