81. Системні параметри та цілісність (System)

Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.

Рекомендацій: 8

Windows 11 Intune v5.0.0

81.1 Переконайтеся, що для параметра «Дозволити постачальників шрифтів» встановлено значення «Не дозволено»

Рівень 2 (L2)Автоматизовано

            Оригінал:
        

Цей параметр політики визначає, чи дозволено Windows завантажувати шрифти та шрифт дані каталогу від онлайн-постачальника шрифтів. Рекомендований стан для цього параметра: заборонено.

💡 Обґрунтування безпеки:

У корпоративному керованому середовищі ІТ-відділ повинен керувати зміни конфігурації системи, щоб переконатися, що всі зміни перевірені та затверджені.

⚠️ Вплив на робочий процес (Impact):

Windows не підключатиметься до онлайн-провайдера шрифтів і буде перелічувати лише локально- встановлені шрифти.

🔍 Аудит (перевірка налаштувань)

Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\System:AllowFontProviders_WinningProvider

Перейдіть до наступного розташування реєстру та переконайтеся, що значення встановлено на 0.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\System:AllowFontProviders

⚙️ Виправлення (Remediation / Налаштування)

Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до Не дозволено: Система\Дозволити постачальників шрифтів

Значення за замовчуванням: Увімкнено. (Шрифти, які входять до Windows, але не зберігаються локально, будуть завантажується на вимогу від онлайн-постачальника шрифтів.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- system#allowfontproviders 2. GRID: MS-00000265 3. Minimum OS CSP: Windows 10, Version 1703 and later `

CIS Controls: `




                    CIS Controls V8: 16.5

                    IG 1, 2
                
Use Up-to-Date and Trusted Third-Party Software Components Use up-to-date and trusted third-party software components. When possible, choose established and proven frameworks and libraries that provide adequate security. Acquire these components from trusted sources or evaluate the software for vulnerabilities before use.



                    CIS Controls V7: 18.4

                    IG 1, 2
                
Only Use Up-to-date And Trusted Third-Party Components Only use up-to-date and trusted third-party components for the software developed by the organization.




81.2 Переконайтеся, що для параметра «Дозволити місцезнаходження» встановлено значення «Примусово вимкнути місцезнаходження…»
Рівень 2 (L2)Автоматизовано



            Оригінал:
        

Цей параметр політики вимикає функцію розташування для комп’ютера. Рекомендований стан для цього параметра: Примусове розташування Вимк. Примусове розташування Вимкнено. Усі налаштування конфіденційності розташування вимкнено та виділено сірим кольором. Користувачі не можуть змінювати налаштування, і жодним програмам не надано доступ до Служба визначення місцезнаходження, включаючи Cortana та Search..




                💡 Обґрунтування безпеки:
            
Цей параметр впливає на функцію місцезнаходження (наприклад, GPS або інше відстеження місцезнаходження). Від а З точки зору безпеки, здебільшого не варто повідомляти про своє місцезнаходження програмному забезпеченню випадків, але існують законні способи використання, наприклад програмне забезпечення для картографування. Однак вони повинні не можна використовувати в умовах високого рівня безпеки.




                ⚠️ Вплив на робочий процес (Impact):
            
Функцію розташування вимкнено, і всі програми на комп’ютері заборонені використання інформації про місцезнаходження з функції розташування.




                🔍 Аудит (перевірка налаштувань)
            

Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\System:AllowLocation_WinningProvider

Перейдіть до наступного розташування реєстру та переконайтеся, що значення встановлено на 0.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\System:AllowLocation




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: ... System\Allow Location
Рекомендований стан: Force Location Off


Значення за замовчуванням: Вимкнено. (Програмам на комп’ютері дозволено використовувати інформацію про місцезнаходження з  функція розташування.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. Minimum OS CSP: Windows 10, Version 1507 and later 2. GRID: MS-00000459 3. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- system#allowlocation `

CIS Controls: ` 



                    CIS Controls V8: 4.8

                    IG 1, 2
                
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.



                    CIS Controls V7: 9.2

                    IG 1, 2
                
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.






81.3 Переконайтеся, що для параметра «Дозволити телеметрію» встановлено значення «Базовий»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр політики визначає обсяг діагностичних даних і даних про використання Microsoft: Рекомендований стан для цього параметра: базовий або безпека. Примітка: якщо ваша організація покладається на Windows Update, рекомендований мінімум параметр «Обов’язкові діагностичні дані». Тому що немає інформації Windows Update збираються, коли діагностичні дані вимкнено, важлива інформація про помилки оновлення – ні надіслано. Корпорація Майкрософт використовує цю інформацію для усунення причин цих збоїв і покращення якість оновлень. Примітка №2. Групова політика налаштування інтерфейсу користувача параметрів налаштування діагностичних даних може використовуватися, щоб запобігти зміні налаштувань збирання даних кінцевими користувачами. Примітка №3. Налаштування розширених діагностичних даних недоступне в Windows 11 і Windows Server 2022 і було замінено політиками, які можуть контролювати кількість додаткових діагностичних даних, які надсилаються. Для отримання додаткової інформації про ці налаштування відвідайте сторінку Керуйте діагностичними даними за допомогою групової політики та MDM




                💡 Обґрунтування безпеки:
            
Надсилання будь-яких даних сторонньому постачальнику є проблемою безпеки, і це слід робити лише за потреби.




                ⚠️ Вплив на робочий процес (Impact):
            
Зауважте, що встановлення значень 0 або 1 погіршить роботу певного пристрою.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0 або 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\DataCollection:AllowTelemetry_PolicyManager




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до Basic або Security: Система\Дозволити телеметрію


Значення за замовчуванням: Базовий. (Пристрій надішле необхідні діагностичні дані, і кінцевий користувач зможе вибрати  чи надсилати додаткові діагностичні дані з програми Налаштування.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/privacy/configure-windows-diagnostic- data-in-your-organization 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- System?WT.mc_id=Portal-fx#allowtelemetry 3. Minimum OS CSP: Windows 10, Version 1507 and later 4. GRID: MS-00000432 `

CIS Controls: ` 



                    CIS Controls V8: 0.0

                    IG 1
                
Explicitly Not Mapped Explicitly Not Mapped



                    CIS Controls V7: 9.2

                    IG 1, 2
                
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.






81.4 Переконайтеся, що для параметра «Вимкнути проксі-сервер автентифікації підприємства» встановлено значення «Увімкнути»
Рівень 2 (L2)Автоматизовано



            Оригінал:
        

Цей параметр політики контролює, чи підключений користувач і телеметрія служба може автоматично використовувати автентифікований проксі-сервер для надсилання даних назад до Microsoft. Рекомендований стан для цього параметра: увімкнено.




                💡 Обґрунтування безпеки:
            
Надсилання будь-яких даних сторонньому постачальнику є проблемою безпеки, і це слід робити лише за потреби.




                ⚠️ Вплив на робочий процес (Impact):
            
Служба Connected User Experience and Telemetry буде заблокована автоматично за допомогою автентифікованого проксі.




                🔍 Аудит (перевірка налаштувань)
            

Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\System:DisableEnterpriseAuthProxy_WinningProvider

Перейдіть до наступного розташування реєстру та переконайтеся, що значення встановлено на 1.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\System:DisableEnterpriseAuthProxy




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: System\Disable Enterprise Auth Proxy
Рекомендований стан: Enable


Значення за замовчуванням: Вимкнено. (Послуга Connected User Experience and Telemetry автоматично  використовувати автентифікований проксі-сервер для надсилання даних назад до Microsoft.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. GRID: MS-00000433 2. Minimum OS CSP: Windows 10, Version 1709 and later 3. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- system#disableenterpriseauthproxy `

CIS Controls: ` 



                    CIS Controls V8: 0.0

                    IG 1
                
Explicitly Not Mapped Explicitly Not Mapped



                    CIS Controls V7: 9.2

                    IG 1, 2
                
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.






81.5 Переконайтеся, що для параметра «Вимкнути синхронізацію файлів з одного диска» встановлено значення «Синхронізацію вимкнено»
Рівень 2 (L2)Автоматизовано



            Оригінал:
        

Цей параметр політики дає змогу заборонити програмам і функціям працювати з файлами на OneDrive за допомогою клієнта синхронізації наступного покоління. Рекомендований стан для цього параметра: синхронізацію вимкнено.




                💡 Обґрунтування безпеки:
            
Увімкнення цього параметра запобігає випадковому (чи навмисному) завантаженню користувачів конфіденційну або конфіденційну корпоративну інформацію до хмарної служби OneDrive за допомогою Клієнт синхронізації наступного покоління. Примітка. Ця проблема безпеки стосується будь-якої встановленої програми зберігання файлів у хмарі на робочій станції, а не лише на тій, що постачається з Windows.




                ⚠️ Вплив на робочий процес (Impact):
            
Користувачі не можуть отримати доступ до OneDrive із програми OneDrive та засобу вибору файлів. Магазин Windows програми не можуть отримати доступ до OneDrive за допомогою WinRT API. OneDrive не відображається в панель навігації у Провіднику файлів. Файли OneDrive не синхронізуються з хмарою. Користувачі не може автоматично завантажувати фотографії та відео з папки фотопленки. Примітка: якщо ваша організація використовує Microsoft 365, майте на увазі, що це налаштування запобігатиме користувачам забороняти зберігати файли в OneDrive/SkyDrive. • Дозволити синхронізацію облікових записів OneDrive лише для певних організацій – комп’ютера – засноване налаштування, яке обмежує підключення клієнта OneDrive лише до схваленого клієнта ідентифікатори. • Заборонити користувачам синхронізувати особисті облікові записи OneDrive – на основі користувача налаштування, яке запобігає використанню споживацького OneDrive (тобто не для бізнесу).




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\OneDrive:DisableFileSyncNGSC




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до вимкненої синхронізації: Система\Вимкнути синхронізацію файлів на одному диску


Значення за замовчуванням: Вимкнено. (Програми та функції можуть працювати зі сховищем файлів OneDrive за допомогою програми Next  Generation Sync Client.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/office365/servicedescriptions/onedrive-for- business-service-description 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- system#disableonedrivefilesync 3. GRID: MS-00000485 4. Minimum OS CSP: Windows 10, Version 1703 and later `

CIS Controls: ` 



                    CIS Controls V8: 4.8

                    IG 1, 2
                
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.



                    CIS Controls V7: 13.4

                    IG 1, 2
                
Only Allow Access to Authorized Cloud Storage or Email Providers Only allow access to authorized cloud storage or email providers.






81.6 Переконайтеся, що для параметра «Увімкнути аудит OneSettings» встановлено значення «Увімкнено»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр політики контролює, чи записи Windows намагаються підключитися до Служба OneSettings для журналу подій. Рекомендований стан для цього параметра: увімкнено.




                💡 Обґрунтування безпеки:
            
Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії зловмисників.




                ⚠️ Вплив на робочий процес (Impact):
            
Windows записуватиме спроби підключення до служби OneSettings Журнали програм і служб\Microsoft\Windows\Privacy- Канал аудиту\операційного журналу подій.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\DataCollection:EnableOneSettingsAuditing




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Система\Увімкнути аудит OneSettings


Значення за замовчуванням: Вимкнено. (Windows не записуватиме спроби підключення до служби OneSettings до  журнал подій.)


            ℹ️ Додаткова інженерна інформація (Additional Information):
        

Застосовується лише до Windows 11.



📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- system#enableonesettingsauditing 2. GRID: MS-00000436 3. Minimum OS CSP: Windows 11, Version 21H2 and later `

CIS Controls: ` 



                    CIS Controls V8: 8.5

                    IG 1, 2
                
Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.



                    CIS Controls V7: 6.3

                    IG 1, 2
                
Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.






81.7 Переконайтеся, що для параметра «Limit Diagnostic Log Collection» встановлено значення «Enabled»
Рівень 2 (L2)Автоматизовано



            Оригінал:
        

Цей параметр політики контролює, чи збираються додаткові журнали діагностики, коли більше інформація потрібна для усунення проблеми на пристрої. Рекомендований стан для цього параметра: увімкнено. Примітка. Журнали діагностики надсилаються, лише якщо пристрій налаштовано на надсилання додаткові діагностичні дані. Діагностичні дані обмежені, коли рекомендовано Дозволити Діагностичні дані ввімкнено: діагностичні дані вимкнено (не рекомендовано) або Увімкнено: надсилати необхідні діагностичні дані, щоб надсилати лише основну інформацію.




                💡 Обґрунтування безпеки:
            
Надсилання даних сторонньому постачальнику є проблемою безпеки, і це слід робити лише на необхідна основа.




                ⚠️ Вплив на робочий процес (Impact):
            
Діагностичні журнали та така інформація, як аварійні дампи, не збиратимуться передача до Microsoft.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\DataCollection:LimitDiagnosticLogCollection




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: System\Limit Diagnostic Log Collection


Значення за замовчуванням: Вимкнено. (Microsoft може час від часу збирати журнали діагностики, якщо пристрій був  налаштований на надсилання додаткових діагностичних даних.)


            ℹ️ Додаткова інженерна інформація (Additional Information):
        

Застосовується лише до Windows 11.



📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- system#limitdiagnosticlogcollection 2. GRID: MS-00000437 3. Minimum OS CSP: Windows 11, Version 21H2 and later `

CIS Controls: ` 



                    CIS Controls V8: 4.8

                    IG 1, 2
                
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.






81.8 Переконайтеся, що для параметра «Обмежити збір дампа» встановлено значення «Увімкнено»
Рівень 2 (L2)Автоматизовано



            Оригінал:
        

Цей параметр політики обмежує тип дампів пам’яті, які можна зібрати, коли більше інформація потрібна для вирішення проблеми. Рекомендований стан для цього параметра: увімкнено. Примітка. Дампи пам’яті надсилаються, лише якщо пристрій налаштовано на надсилання додаткові діагностичні дані. Діагностичні дані обмежені, коли рекомендовано Дозволити Діагностичні дані ввімкнено: діагностичні дані вимкнено (не рекомендовано) або Увімкнено: надсилати необхідні діагностичні дані, щоб надсилати лише основну інформацію.




                💡 Обґрунтування безпеки:
            
Дампи пам’яті можуть містити конфіденційну інформацію. Надсилання цих даних третій стороні постачальник є проблемою безпеки, і її слід робити лише за потреби.




                ⚠️ Вплив на робочий процес (Impact):
            
Звітування про помилки Windows обмежено надсиланням міні-пам’яті ядра та режиму користувача дампи, зменшуючи ризик надсилання конфіденційної інформації до Microsoft.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\DataCollection:LimitDumpCollection




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: System\Limit Dump Collection
Рекомендований стан: Enabled


Значення за замовчуванням: Вимкнено. (Повні дампи пам’яті або дампи пам’яті купи можуть бути зібрані, якщо передача необов’язкова  діагностичні дані були дозволені.)


            ℹ️ Додаткова інженерна інформація (Additional Information):
        

Застосовується лише до Windows 11.



📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- system#limitdumpcollection 2. GRID: MS-00000438 3. Minimum OS CSP: Windows 11, Version 21H2 and later `

CIS Controls: ` 



                    CIS Controls V8: 0.0

                    IG 1
                
Explicitly Not Mapped Explicitly Not Mapped



                    CIS Controls V7: 0.0

                    IG 1
                
Explicitly Not Mapped Explicitly Not Mapped “


        


Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.
            

                До повного змісту CIS Microsoft Intune Benchmark →