55. Магазин додатків Microsoft Store

Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.

Рекомендацій: 7

Windows 11 Intune v5.0.0

55.1 Переконайтеся, що для параметра «Дозволити програмам із магазину програм Microsoft автоматичне оновлення» встановлено значення «Дозволено»

Рівень 1 (L1)Автоматизовано

            Оригінал:
        

Цей параметр умикає або вимикає автоматичне завантаження та встановлення Microsoft Зберігайте оновлення програм. Рекомендований стан для цього параметра: Дозволено.

💡 Обґрунтування безпеки:

Належне оновлення системи може допомогти захистити її від уразливостей 0 днів.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)

Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\ApplicationManagement:AllowAppStoreAutoUpdate_WinningProvider

Перейдіть до наступного розташування реєстру та переконайтеся, що значення встановлено на 1.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\ApplicationManagement:AllowAppStoreAutoUpdate

⚙️ Виправлення (Remediation / Налаштування)

Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до дозволеного: Microsoft App Store\Дозволити автоматичне оновлення додатків із магазину програм Microsoft

Значення за замовчуванням: Не налаштовано – 2.

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- ApplicationManagement?WT.mc_id=Portal-fx#allowappstoreautoupdate 2. Minimum OS CSP: Windows 10, Version 1507 and later 3. GRID: MS-00000517 `

CIS Controls: `




                    CIS Controls V8: 7.3

                    IG 1, 2, 3
                
Perform Automated Operating System Patch Management Perform operating system updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.



                    CIS Controls V7: 9.2

                    IG 1, 2
                
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.




55.2 Переконайтеся, що для параметра «Дозволити ігровий DVR» встановлено значення «Блокувати»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр вмикає або вимикає запис і трансляцію ігор Windows особливості. Рекомендований стан для цього параметра: Блокувати.




                💡 Обґрунтування безпеки:
            
Якщо цей параметр дозволено, користувачі можуть записувати та транслювати інформацію про сеанс на зовнішні сайти, це водночас ризик випадкового виведення конфіденційних даних компанії (на екрані) назовні компанії, а також питання конфіденційності.




                ⚠️ Вплив на робочий процес (Impact):
            
Запис ігор Windows буде заборонено.




                🔍 Аудит (перевірка налаштувань)
            

Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\ApplicationManagement:AllowGameDVR_WinningProvider

Перейдіть до наступного розташування реєстру та переконайтеся, що значення встановлено на 0.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\ApplicationManagement:AllowGameDVR




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань для блокування: Microsoft App Store\Allow Game DVR


Значення за замовчуванням: Увімкнено. (Запис і трансляція (потокове передавання) дозволено.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. Minimum OS CSP: Windows 10, Version 1507 and later 2. GRID: MS-00000527 `

CIS Controls: ` 



                    CIS Controls V8: 4.8

                    IG 1, 2
                
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.



                    CIS Controls V7: 9.2

                    IG 1, 2
                
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.






55.3 Переконайтеся, що для параметра «Дозволити спільні дані програми користувача» встановлено значення «Блокувати»
Рівень 2 (L2)Автоматизовано



            Оригінал:
        

Керує здатністю програми Windows обмінюватися даними між користувачами, які встановили додаток Дані надаються через папку SharedLocal. Ця папка доступна через Windows.Storage API. Рекомендований стан для цього параметра: Блокувати.




                💡 Обґрунтування безпеки:
            
Користувачі системи можуть випадково поділитися конфіденційними даними з іншими користувачами в ній система.




                ⚠️ Вплив на робочий процес (Impact):
            
Немає – це типова поведінка.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\AppModel\StateManager:AllowSharedLocalAppData




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: Microsoft App Store\Allow Shared User App Data
Рекомендований стан: Block


Значення за замовчуванням: Вимкнено. (Програми Windows не зможуть ділитися даними програм з іншими примірниками  додаток.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. Minimum OS CSP: Windows 10, Version 1507 and later 2. GRID: MS-00000369 3. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- applicationmanagement#allowshareduserappdata `

CIS Controls: ` 



                    CIS Controls V8: 0.0

                    IG 1
                
Explicitly Not Mapped Explicitly Not Mapped



                    CIS Controls V7: 14.6

                    IG 1, 2, 3
                
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.






55.4 Переконайтеся, що для параметра «Блокувати встановлення користувача не адміністратором» встановлено значення «Дозволити»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр керує здатністю користувачів без прав адміністратора встановлювати пакети програм Windows. Рекомендований стан для цього параметра: Дозволити. Попередження: якщо в Microsoft Entra використовується функція скидання пароля самостійного обслуговування (SSPR). ID, потрібен виняток із цієї рекомендації, оскільки відомо, що він заважає SSPR.




                💡 Обґрунтування безпеки:
            
У корпоративному керованому середовищі слід керувати встановленням програм централізовано ІТ-персоналом, а не кінцевими користувачами.




                ⚠️ Вплив на робочий процес (Impact):
            
Користувачі без прав адміністратора не зможуть інсталювати пакети програм Microsoft Store, якщо тільки вони прямо дозволені іншими правилами. Якщо програма Microsoft Store потрібна для законного використання, адміністратор повинен буде виконати встановлення з Контекст адміністратора. Цей параметр може заборонити запуск стандартним користувачам (без прав адміністратора). Програми Office 365 (O365), які відображають помилку: «Windows не може отримати доступ до вказаний пристрій, шлях або файл. Можливо, у вас немає відповідних дозволів на доступ предмет».




                🔍 Аудит (перевірка налаштувань)
            

Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\ApplicationManagement:BlockNonAdminUserInstall_WinningProvider

Перейдіть до наступного розташування реєстру та переконайтеся, що значення встановлено на 1.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\ApplicationManagement:BlockNonAdminUserInstall




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: Microsoft App Store\Block Non Admin User Install
Рекомендований стан: Allow


Значення за замовчуванням: Вимкнено. (Усі користувачі зможуть ініціювати встановлення пакетів програм Microsoft Store.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. Minimum OS CSP: Windows 10, Version 2004 and later 2. GRID: MS-00000370 3. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- ApplicationManagement?WT.mc_id=Portal-fx#blocknonadminuserinstall 4. https://learn.microsoft.com/en-us/entra/identity/authentication/howto-sspr- windows#general-limitations `

CIS Controls: ` 



                    CIS Controls V8: 2.5

                    IG 1, 2
                
Allowlist Authorized Software Use technical controls, such as application allowlisting, to ensure that only authorized software can execute or be accessed. Reassess bi-annually, or more frequently.



                    CIS Controls V7: 4.3

                    IG 1, 2, 3
                
Ensure the Use of Dedicated Administrative Accounts Ensure that all users with administrative account access use a dedicated or secondary account for elevated activities. This account should only be used for administrative activities and not internet browsing, email, or similar activities.






55.5 Переконайтеся, що для параметра «Вимкнути програми, створені з магазину» встановлено значення «Увімкнено»
Рівень 2 (L2)Автоматизовано



            Оригінал:
        

Цей параметр налаштовує запуск усіх програм із Microsoft Store, які постачалися раніше. встановлено або завантажено. Рекомендований стан для цього параметра: увімкнено. Примітка. Цей параметр політики застосовується лише до Windows 10 Enterprise і Windows 10 Навчальні видання.




                💡 Обґрунтування безпеки:
            
Служба «Магазин» — це роздрібна торгова точка, вбудована в Windows, насамперед для споживачів. В ан корпоративне кероване середовище, ІТ-відділ повинен керувати встановленням усіх програм, щоб зменшити ризик встановлення вразливого програмного забезпечення.




                ⚠️ Вплив на робочий процес (Impact):
            
Усі попередньо встановлені або завантажені програми з Microsoft Store є заборонено запускати. Наявні програми Microsoft Store не оновлюватимуться. Microsoft Магазин вимкнено.




                🔍 Аудит (перевірка налаштувань)
            

Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\ApplicationManagement:DisableStoreOriginatedApps_WinningProvider

Перейдіть до наступного розташування реєстру та переконайтеся, що значення встановлено на 1.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\ApplicationManagement:DisableStoreOriginatedApps




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Microsoft App Store\Disable Store Original Apps


Значення за замовчуванням: Увімкнено. (Програми Microsoft Store можна запускати та оновлювати. Microsoft  Магазин увімкнено.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. Minimum OS CSP: Windows 10, Version 1607 and later 2. GRID: MS-00000515 `

CIS Controls: ` 



                    CIS Controls V8: 2.5

                    IG 1, 2
                
Allowlist Authorized Software Use technical controls, such as application allowlisting, to ensure that only authorized software can execute or be accessed. Reassess bi-annually, or more frequently.



                    CIS Controls V7: 9.2

                    IG 1, 2
                
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.






55.6 Переконайтеся, що для параметра «MSI Дозволити користувачам контролювати встановлення» встановлено значення «Вимкнено»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр визначає, чи дозволено користувачам змінювати параметри встановлення зазвичай доступні лише для системних адміністраторів. Функції безпеки Windows Інсталятор зазвичай не дозволяє користувачам змінювати стандартні параметри встановлення зарезервовано для системних адміністраторів, як-от визначення каталогу, у якому знаходяться файли встановлено. Якщо інсталятор Windows виявляє, що інсталяційний пакет дозволив щоб користувач змінив захищений параметр, він зупиняє встановлення та відображає повідомлення. Ці функції безпеки працюють лише тоді, коли програма інсталяції запущена в a привілейований контекст безпеки, у якому користувачеві заборонено доступ до каталогів. Рекомендований стан для цього параметра: вимкнено.




                💡 Обґрунтування безпеки:
            
У корпоративному керованому середовищі має бути лише ІТ-персонал з правами адміністратора встановлення або зміна програмного забезпечення в системі. Надання користувачам можливості мати будь-які контроль над інсталяціями може загрожувати встановленням або видаленням несхваленого програмного забезпечення систему, що може призвести до того, що система стане вразливою до компрометації.




                ⚠️ Вплив на робочий процес (Impact):
            
Немає – це типова поведінка.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer:EnableUserControl




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Disabled: Microsoft App Store\MSI Дозволити користувачам контролювати встановлення


Значення за замовчуванням: Вимкнено. (Функції безпеки інсталятора Windows не дозволять користувачам змінити  параметри інсталяції, як правило, зарезервовані для системних адміністраторів, як-от вказівка  каталог, до якого встановлено файли.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/win32/msi/windows-installer-portal 2. GRID: MS-00000531 3. Minimum OS CSP: Windows 10, Version 1803 and later `

CIS Controls: ` 



                    CIS Controls V8: 0.0

                    IG 1
                
Explicitly Not Mapped Explicitly Not Mapped



                    CIS Controls V7: 0.0

                    IG 1
                
Explicitly Not Mapped Explicitly Not Mapped “







55.7 Переконайтеся, що для параметра «MSI завжди встановлювати з підвищеними правами» встановлено значення «Вимкнено»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр визначає, чи повинен інсталятор Windows використовувати системні дозволи коли він встановлює будь-яку програму в системі. Примітка. Цей параметр відображається як у конфігурації комп’ютера, так і в конфігурації користувача папки. Щоб це налаштування було ефективним, потрібно ввімкнути його в обох папках. Застереження: якщо ввімкнено, кваліфіковані користувачі можуть скористатися дозволами цього параметра надає можливість змінити свої привілеї та отримати постійний доступ до обмежених файлів і папки. Зауважте, що версія цього параметра в конфігурації користувача не гарантується безпечний. Рекомендований стан для цього параметра: вимкнено.




                💡 Обґрунтування безпеки:
            
Користувачі з обмеженими правами можуть використовувати цю функцію, створивши інсталятор Windows інсталяційний пакет, який створює новий локальний обліковий запис, який належить локальному вбудованому Група адміністраторів додає їх поточний обліковий запис до локальних вбудованих адміністраторів групи, встановлює шкідливе програмне забезпечення або виконує інші несанкціоновані дії.




                ⚠️ Вплив на робочий процес (Impact):
            
Немає – це типова поведінка.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer:AlwaysInstallElevated




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Disabled: Microsoft App Store\MSI Завжди встановлюйте з підвищеними правами


Значення за замовчуванням: Вимкнено. (Під час встановлення Windows Installer застосує дозволи поточного користувача  програми, які системний адміністратор не поширює та не пропонує. Це запобіжить  звичайних користувачів від встановлення програм, які впливають на елементи конфігурації всієї системи.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/win32/msi/using-windows-installer- with-uac 2. GRID: MS-00000532 3. Minimum OS CSP: Windows 10, Version 1803 and later `

CIS Controls: ` 



                    CIS Controls V8: 0.0

                    IG 1
                
Explicitly Not Mapped Explicitly Not Mapped



                    CIS Controls V7: 4.3

                    IG 1, 2, 3
                
Ensure the Use of Dedicated Administrative Accounts Ensure that all users with administrative account access use a dedicated or secondary account for elevated activities. This account should only be used for administrative activities and not internet browsing, email, or similar activities.


        


Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.
            

                До повного змісту CIS Microsoft Intune Benchmark →