82. Конфігурація системних служб (System Services)
Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.
Рекомендацій: 40
Windows 11 Intune v5.0.0
82.1 Переконайтеся, що для параметра «Служба аудіошлюзу Bluetooth (BTAGService)» встановлено значення «Вимкнено»
Сервіс, що підтримує роль аудіошлюзу профілю Bluetooth Handsfree. Рекомендований стан для цього параметра: вимкнено.
Технологія Bluetooth має невід’ємні ризики для безпеки, особливо до стандарту v2.1. Бездротовий трафік Bluetooth погано зашифрований (якщо взагалі), тому має високий рівень безпеки середовища, це не повинно бути дозволено, незважаючи на додаткові незручності мати можливість використовувати пристрої Bluetooth.
Пристрої Bluetooth hands-free не працюватимуть належним чином із комп’ютером.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\BTAGService:Start
Виправлення цієї служби наразі неможливо через каталог налаштувань або a спеціальний профіль OMA-URI. Натомість його можна створити за сценарієм і розгорнути через Intune Сценарії або лезо Remediations або іншим способом. Щоб встановити рекомендовану конфігурацію за допомогою PowerShell, запустіть такий командлет:
Set-Service -Name BTAGService -StartupType Disabled
Примітка. Цю послугу вперше було представлено у Windows 10 Release 1803. Схоже, вона є замінив стару службу Bluetooth Handsfree (BthHFSrv), яку було видалено з Windows у цьому випуску (це не просто перейменування, а інша служба).
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000128 `
CIS Controls: `
IG 1, 2
IG 1, 2
82.2 Переконайтеся, що для параметра «Служба підтримки Bluetooth (bthserv)» встановлено значення «Вимкнено»
Служба Bluetooth підтримує виявлення та асоціацію віддалених пристроїв Bluetooth. Рекомендований стан для цього параметра: вимкнено.
Технологія Bluetooth має невід’ємні ризики для безпеки, особливо до стандарту v2.1. Бездротовий трафік Bluetooth погано зашифрований (якщо взагалі), тому має високий рівень безпеки середовища, це не повинно бути дозволено, незважаючи на додаткові незручності мати можливість використовувати пристрої Bluetooth.
Уже встановлені пристрої Bluetooth можуть не працювати належним чином, а нові пристрої можуть запобігти виявленню або пов’язанню. Якщо встановлено пристрої Bluetooth, тоді деякі компоненти Windows, наприклад пристрої та принтери, можуть не працювати правильно – включаючи висіння/заморожування при відкритті. Рішення, окрім повторного ввімкнення Ця послуга полягає в тому, щоб вимкнути або видалити пристрій (пристрої) Bluetooth, що порушує правила, у Диспетчері пристроїв, або взагалі вимкнути пристрій через системний BIOS (якщо це вбудований Bluetooth пристрій).
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\bthserv:Start
Виправлення цієї служби наразі неможливо через каталог налаштувань або a спеціальний профіль OMA-URI. Натомість його можна створити за сценарієм і розгорнути через Intune Сценарії або лезо Remediations або іншим способом. Щоб встановити рекомендовану конфігурацію за допомогою PowerShell, запустіть такий командлет:
Set-Service -Name bthserv -StartupType Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000129 `
CIS Controls: `
IG 1, 2
IG 1, 2
82.3 Переконайтеся, що для параметра «Комп’ютерний браузер (браузер)» встановлено значення «Вимкнено» або «Не встановлено»
Підтримує оновлений список комп’ютерів у мережі та надає цей список комп’ютери, призначені як браузери. Рекомендований стан для цього параметра: вимкнено або не встановлено. Примітка. У Windows 8.1 і Windows 10 ця служба входить до складу SMB 1.0/CIFS Додаткова функція підтримки обміну файлами. Як результат, видалення цієї функції (високо рекомендовано, якщо не потрібна зворотна сумісність із XP/2003 і старішими Windows ОС – див. Припинення використання SMB1 | Зберігання в Microsoft) також виправить це рекомендація. Ця функція не встановлюється за замовчуванням, починаючи з Windows 10 R1709.
Це застаріла служба — її єдина мета — підтримувати список комп’ютерів і їх мережевих спільних ресурсів у середовищі (тобто «Мережеве оточення»). Якщо ввімкнено, це створює багато непотрібного трафіку, включно з «виборами», щоб побачити, хто стане першим “головний браузер”. Цей шумний трафік також може допомогти зловмисникам у виявленні онлайн-машини, оскільки сервіс також дозволяє будь-кому “переглядати” спільні ресурси без будь-якої автентифікації. Раніше ця служба працювала за замовчуванням Версії Windows (наприклад, Windows XP), але сьогодні це залишається лише для попередніх версій сумісність із дуже старим програмним забезпеченням, яке цього вимагає.
Список комп’ютерів та їхні спільні ресурси в мережі не оновлюватимуться та не підтримуватимуться.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 4 або ключ не існує.
HKLM\SYSTEM\CurrentControlSet\Services\Browser:Start
Щоб установити рекомендовану конфігурацію, встановіть наступну спеціальну конфігурацію Політика до 4 або підтвердьте, що службу не встановлено: Ім’я: <Введіть ім'я>
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://blogs.technet.microsoft.com/filecab/2016/09/16/stop-using-smb1/ 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- SystemServices?WT.mc_id=Portal- Microsoft_Intune_Workflows#configurecomputerbrowserservicestartupmode 3. GRID: MS-00000130 4. Minimum OS CSP: Windows 11, Version 24H2 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
82.4 Переконайтеся, що для «Менеджера завантажених карт (MapsBroker)» встановлено значення «Вимкнено»
Служба Windows для доступу програми до завантажених карт. Ця послуга запущена на- запит програми, яка отримує доступ до завантажених карт.
Технології картографування можуть мимоволі розкрити ваше місцезнаходження зловмисникам та іншим програмне забезпечення, яке збирає інформацію. Крім того, автоматичні завантаження даних з сторонні джерела повинні бути зведені до мінімуму, коли вони не потрібні. Тому ця послуга не повинні бути потрібні в середовищах із високим рівнем безпеки.
Додатки не матимуть доступу до даних карт.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\MapsBroker:Start
Виправлення цієї служби наразі неможливо через каталог налаштувань або a спеціальний профіль OMA-URI. Натомість його можна створити за сценарієм і розгорнути через Intune Сценарії або лезо Remediations або іншим способом. Щоб встановити рекомендовану конфігурацію за допомогою PowerShell, запустіть такий командлет:
Set-Service -Name MapsBroker -StartupType Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000131 `
CIS Controls: `
IG 1, 2
IG 1, 2
82.5 Переконайтеся, що для «GameInput Service (GameInputSvc)» встановлено значення «Disabled»
Ця послуга дозволяє використовувати клавіатури, миші, геймпади та інші пристрої введення для використовувати з GameInput API. Рекомендований стан для цього параметра: вимкнено. Примітка. Служба GameInput працює як LocalSystem у власному процесі GameInputSvc.exe і не ділиться своїм процесом з іншими службами.
GameInput API передає вхідні дані з клавіатур, мишок, геймпадів та інших ігор контролери через прямий доступ до пам’яті (DMA), щоб зменшити затримку під час ігор продуктивність. Таке використання DMA збільшує ризик введення даних (особливо натискань клавіш) бути захопленим зловмисником.
Пристрої введення не зможуть використовувати GameInput API.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\GameInputSvc:Start
Виправлення цієї служби наразі неможливо через каталог налаштувань або a спеціальний профіль OMA-URI. Натомість його можна створити за сценарієм і розгорнути через Intune Сценарії або лезо Remediations або іншим способом. Щоб встановити рекомендовану конфігурацію за допомогою PowerShell, запустіть такий командлет:
Set-Service -Name GameInputSvc -StartupType Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/gaming/gdk/_content/gc/input/overviews/input- overview 2. GRID: MS-00000607 `
CIS Controls: `
IG 1, 2
IG 1, 2
82.6 Переконайтеся, що для «Служби геолокації (lfsvc)» встановлено значення «Вимкнено»
Ця служба відстежує поточне розташування системи та керує геозонами (a географічне положення з пов’язаними подіями). Рекомендований стан для цього параметра: вимкнено.
Цей параметр впливає на функцію місцезнаходження (наприклад, GPS або інше відстеження місцезнаходження). Від а З точки зору безпеки, здебільшого не варто повідомляти про своє місцезнаходження програмному забезпеченню випадків, але існують законні способи використання, наприклад програмне забезпечення для картографування. Однак вони повинні не можна використовувати в умовах високого рівня безпеки.
Програми не зможуть використовувати або отримувати сповіщення про геолокацію чи геозони.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\lfsvc:Start
Виправлення цієї служби наразі неможливо через каталог налаштувань або a спеціальний профіль OMA-URI. Натомість його можна створити за сценарієм і розгорнути через Intune Сценарії або лезо Remediations або іншим способом. Щоб встановити рекомендовану конфігурацію за допомогою PowerShell, запустіть такий командлет:
Set-Service -Name lfsvc -StartupType Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000132 `
CIS Controls: `
IG 1, 2
IG 1, 2
82.7 Переконайтеся, що для параметра «IIS Admin Service (IISADMIN)» встановлено значення «Disabled» або «Not Installed»
Дозволяє серверу адмініструвати метабазу IIS. Метабаза IIS зберігає налаштування для служб SMTP і FTP. Рекомендований стан для цього параметра: вимкнено або не встановлено. Примітка. Ця служба не встановлена за замовчуванням. Поставляється з Windows, але встановлюється увімкнувши додаткову функцію Windows (Internet Information Services). Примітка №2. Організація може вибірково надавати винятки веб-розробникам дозволити IIS (або інший веб-сервер) на їхній робочій станції, щоб вони могли локально тестувати & розробляти веб-сторінки. Однак організація повинна відстежувати ці машини та забезпечити актуальність засобів контролю безпеки та пом’якшення, щоб зменшити ризик компроміс.
Розміщення веб-сайту з робочої станції є підвищеним ризиком для безпеки, оскільки поверхня атаки цієї робочої станції тоді значно збільшується. Якщо належних заходів безпеки немає шанс успішної атаки значно зростає. Примітка. Ця проблема безпеки стосується будь-якої програми веб-сервера, встановленої на a робоча станція, а не лише IIS.
Служби IIS не працюватимуть, зокрема служби Web, SMTP або FTP.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 4 або ключ не існує.
HKLM\SYSTEM\CurrentControlSet\Services\IISADMIN:Start
Щоб установити рекомендовану конфігурацію, встановіть наступну спеціальну конфігурацію Політика до 4 або підтвердьте, що службу не встановлено: Ім’я: <Введіть ім'я>
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- SystemServices?WT.mc_id=Portal- Microsoft_Intune_Workflows#configureiisadminservicestartupmode 2. GRID: MS-00000133 3. Minimum OS CSP: Windows 11, Version 24H2 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
82.8 Переконайтеся, що для параметра «Послуга інфрачервоного монітора (irmon)» встановлено значення «Вимкнено» або «Не встановлено»
Виявляє інші інфрачервоні пристрої, які знаходяться в зоні дії, і запускає передачу файлів додаток. Рекомендований стан для цього параметра: вимкнено або не встановлено.
Інфрачервоні з’єднання потенційно можуть бути джерелом зламу даних, особливо через функція автоматичної «програми для передачі файлів». Системи, керовані підприємством, повинні використовуйте більш безпечний метод з’єднання, ніж інфрачервоне з’єднання.
Інфрачервоне передавання файлів не працюватиме.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 4 або ключ не існує.
HKLM\SYSTEM\CurrentControlSet\Services\irmon:Start
Щоб установити рекомендовану конфігурацію, встановіть наступну спеціальну конфігурацію Політика до 4 або підтвердьте, що службу не встановлено: Ім’я: <Введіть ім'я>
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- SystemServices?WT.mc_id=Portal- Microsoft_Intune_Workflows#configureinfraredmonitorservicestartupmode 2. GRID: MS-00000134 3. Minimum OS CSP: Windows 11, Version 24H2 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
82.9 Переконайтеся, що для «Link-Layer Topology Discovery Mapper (lltdsvc)» встановлено значення «Disabled»
Створює мережеву карту, що складається з топології ПК і пристрою (підключення) інформацію та метадані, що описують кожен ПК і пристрій. Рекомендований стан для цього параметра: вимкнено.
Функція, яку вмикає ця служба, потенційно може бути використана для несанкціонованого використання виявлення та підключення до мережевих пристроїв. Відключення служби допомагає запобігти відповіді на запити щодо виявлення топології мережі в середовищах із високим рівнем безпеки.
Карта мережі не працюватиме належним чином.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\lltdsvc:Start
Виправлення цієї служби наразі неможливо через каталог налаштувань або a спеціальний профіль OMA-URI. Натомість його можна створити за сценарієм і розгорнути через Intune Сценарії або лезо Remediations або іншим способом. Щоб встановити рекомендовану конфігурацію за допомогою PowerShell, запустіть такий командлет:
Set-Service -Name lltdsvc -StartupType Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000136 `
CIS Controls: `
IG 1, 2
IG 1, 2
82.10 Переконайтеся, що для «LxssManager (LxssManager)» встановлено значення «Disabled» або «Not Installed»
Служба LXSS Manager підтримує запуск рідних двійкових файлів ELF. Послуга надає інфраструктура, необхідна для роботи двійкових файлів ELF у Windows. Рекомендований стан для цього параметра: вимкнено або не встановлено. Примітка. Ця служба не встановлена за замовчуванням. Поставляється з Windows, але встановлюється увімкнувши додаткову функцію Windows (підсистема Windows для Linux).
Менеджер підсистеми Linux (LXSS) надає повний системний доступ до програм Linux у Windows, включаючи файлову систему. Хоча це, безумовно, може мати певну функціональність і підвищення продуктивності для запуску цих програм, це також створює нову безпеку ризики у випадку, якщо хакер впровадить шкідливий код у програму Linux. На краще безпеки, бажано запускати програми Linux на Linux, а програми Windows – на вікна.
Підсистема Linux буде недоступна, і рідні двійкові файли ELF більше не працюватимуть. Примітка. Якщо ваша організація зробила виняток із цієї рекомендації та використовує Підсистема Windows для Linux (WSL), спільний доступ до Інтернету (ICS) Службу (SharedAccess) потрібно ввімкнути, щоб WSL працював. Для більшого інформації, відвідайте наступний блог Microsoft: Troubleshooting Windows Підсистема для Linux | Microsoft Docs
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 4 або ключ не існує.
HKLM\SYSTEM\CurrentControlSet\Services\LxssManager:Start
Щоб установити рекомендовану конфігурацію, встановіть наступну спеціальну конфігурацію Політика до 4 або підтвердьте, що службу не встановлено: Ім’я: <Введіть ім'я>
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- SystemServices?WT.mc_id=Portal- Microsoft_Intune_Workflows#configurelxssmanagerservicestartupmode 2. GRID: MS-00000137 3. Minimum OS CSP: Windows 11, Version 24H2 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
82.11 Переконайтеся, що для параметра «Служба Microsoft FTP (FTPSVC)» встановлено значення «Вимкнено» або «Не встановлено»
Дозволяє серверу бути сервером протоколу передачі файлів (FTP). Рекомендований стан для цього параметра: вимкнено або не встановлено. Примітка. Ця служба не встановлена за замовчуванням. Поставляється з Windows, але встановлюється увімкнувши додаткову функцію Windows (Internet Information Services – FTP Server).
Розміщення FTP-сервера (особливо незахищеного FTP-сервера) з робочої станції є підвищений ризик безпеки, оскільки поверхня для атаки цієї робочої станції є значною збільшився. Примітка. Ця проблема безпеки стосується будь-якої програми FTP-сервера, встановленої на a робоча станція, а не лише IIS.
Комп’ютер не працюватиме як FTP-сервер.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 4 або ключ не існує.
HKLM\SYSTEM\CurrentControlSet\Services\FTPSVC:Start
Щоб установити рекомендовану конфігурацію, встановіть наступну спеціальну конфігурацію Політика до 4 або підтвердьте, що службу не встановлено: Ім’я: <Введіть ім'я>
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- SystemServices?WT.mc_id=Portal- Microsoft_Intune_Workflows#configuremicrosoftftpservicestartupmode 2. GRID: MS-00000138 3. Minimum OS CSP: Windows 11, Version 24H2 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
82.12 Переконайтеся, що для параметра «Служба ініціатора Microsoft iSCSI (MSiSCSI)» встановлено значення «Вимкнено»
Керує сеансами Internet SCSI (iSCSI) з цього комп’ютера на віддалені цільові пристрої. Рекомендований стан для цього параметра: вимкнено.
Ця служба вкрай необхідна для безпосереднього підключення до пристрою iSCSI. Однак сам iSCSI використовує дуже слабкий протокол автентифікації (CHAP), що означає що паролі для зв’язку iSCSI легко розкриваються, якщо не весь трафік ізольовано та/або зашифровано за допомогою іншої технології, наприклад IPsec. Ця послуга є зазвичай більше підходить для серверів у контрольованому середовищі, ніж для робочих станцій вимагають високого рівня безпеки.
Комп’ютер не зможе напряму ввійти або отримати доступ до цілей iSCSI.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\MSiSCSI:Start
Виправлення цієї служби наразі неможливо через каталог налаштувань або a спеціальний профіль OMA-URI. Натомість його можна створити за сценарієм і розгорнути через Intune Сценарії або лезо Remediations або іншим способом. Щоб встановити рекомендовану конфігурацію за допомогою PowerShell, запустіть такий командлет:
Set-Service -Name MSiSCSI -StartupType Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000139 `
CIS Controls: `
IG 1, 2
IG 1, 2
82.13 Переконайтеся, що для параметра «Сервер OpenSSH SSH (sshd)» встановлено значення «Вимкнено» або «Не встановлено»
Сервіс на основі протоколу SSH для забезпечення безпечного зашифрованого зв’язку між двома ненадійні хости в незахищеній мережі. Рекомендований стан для цього параметра: вимкнено або не встановлено. Примітка. Ця служба не встановлена за замовчуванням. Він поставляється разом з Windows, але він є встановлено шляхом увімкнення додаткової функції Windows (сервер OpenSSH).
Розміщення SSH-сервера з робочої станції є підвищеним ризиком для безпеки, як і атака тоді площа цієї робочої станції значно збільшується. Примітка. Ця проблема безпеки стосується будь-якої серверної програми SSH, встановленої на a робоча станція, а не лише та, що постачається з Windows.
Робочій станції не буде дозволено бути хост-сервером SSH.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 4 або ключ не існує.
HKLM\SYSTEM\CurrentControlSet\Services\sshd:Start
Виправлення цієї служби наразі неможливо через каталог налаштувань або a спеціальний профіль OMA-URI. Натомість його можна створити за сценарієм і розгорнути через Intune Сценарії або лезо Remediations або іншим способом. Щоб встановити рекомендовану конфігурацію за допомогою PowerShell, запустіть такий командлет:
Set-Service -Name sshd -StartupType Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000140 `
CIS Controls: `
IG 1, 2
IG 1, 2
82.14 Переконайтеся, що для параметра «Пулер друку (спулер)» встановлено значення «Вимкнено»
Ця служба збирає завдання друку та обробляє взаємодію з принтерами. Рекомендований стан для цього параметра: вимкнено.
У середовищі високого рівня безпеки непотрібні служби, особливо ті з відомими уразливості повинні бути відключені. Вимкнення служби диспетчера друку (Spooler) зменшує вразливість PrintNightmare (CVE-2021-34527) та інші атаки на службу.
Користувачі не зможуть друкувати, включаючи друк у файли (наприклад, Adobe Portable Формат документа (PDF)), який використовує службу диспетчера друку.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\Spooler:Start
Виправлення цієї служби наразі неможливо через каталог налаштувань або a спеціальний профіль OMA-URI. Натомість його можна створити за сценарієм і розгорнути через Intune Сценарії або лезо Remediations або іншим способом. Щоб встановити рекомендовану конфігурацію за допомогою PowerShell, запустіть такий командлет:
Set-Service -Name Spooler -StartupType Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527 2. GRID: MS-00000145 `
CIS Controls: `
IG 1, 2
IG 1, 2
82.15 Переконайтеся, що для параметра «Звіти про проблеми та рішення панелі підтримки (wercplsupport)» встановлено значення «Вимкнено»
Ця послуга забезпечує підтримку перегляду, надсилання та видалення проблем на системному рівні звіти для панелі керування «Звіти про проблеми та рішення». Рекомендований стан для цього параметра: вимкнено.
Ця служба бере участь у процесі відображення/повідомлення про проблеми та рішення до/від Microsoft. У середовищі високого рівня безпеки, що запобігає надсиланню цієї інформації може допомогти зменшити проблеми конфіденційності конфіденційної корпоративної інформації.
Надсилання та перегляд звітів про проблеми та рішення системного рівня до та від Microsoft може більше не працювати.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\wercplsupport:Start
Виправлення цієї служби наразі неможливо через каталог налаштувань або a спеціальний профіль OMA-URI. Натомість його можна створити за сценарієм і розгорнути через Intune Сценарії або лезо Remediations або іншим способом. Щоб встановити рекомендовану конфігурацію за допомогою PowerShell, запустіть такий командлет:
Set-Service -Name wercplsupport -StartupType Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000146 `
CIS Controls: `
IG 1, 2
IG 1, 2
82.16 Переконайтеся, що для параметра «Диспетчер автоматичного підключення віддаленого доступу (RasAuto)» встановлено значення «Вимкнено»
Створює підключення до віддаленої мережі щоразу, коли програма посилається на віддалену мережу Ім’я чи адреса DNS або NetBIOS. Рекомендований стан для цього параметра: вимкнено.
Функція цієї послуги полягає в наданні функціональних можливостей типу «набір за запитом». У високому у середовищі безпеки, бажано, щоб будь-які віддалені «набірні» з’єднання (незалежно від того, чи є вони успадковані комутовані POTS або VPN) ініціюються користувачем, а не автоматично системою.
Функція «Набір за запитом» більше не працюватиме – віддалений телефонний зв’язок (POTS) і VPN підключення має ініціювати користувач вручну.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\RasAuto:Start
Виправлення цієї служби наразі неможливо через каталог налаштувань або a спеціальний профіль OMA-URI. Натомість його можна створити за сценарієм і розгорнути через Intune Сценарії або лезо Remediations або іншим способом. Щоб встановити рекомендовану конфігурацію за допомогою PowerShell, запустіть такий командлет:
Set-Service -Name RasAuto -StartupType Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000147 `
CIS Controls: `
IG 1, 2
IG 1, 2
82.17 Переконайтеся, що для параметра «Конфігурація віддаленого робочого стола (SessionEnv)» встановлено значення «Вимкнено»
Служба конфігурації віддаленого робочого стола (RDCS) відповідає за весь віддалений робочий стіл пов’язані дії з конфігурації та обслуговування сеансу, які вимагають контексту SYSTEM. До них належать тимчасові папки для кожного сеансу, теми RD і сертифікати RD. Рекомендований стан для цього параметра: вимкнено.
У середовищі високого рівня безпеки доступ до віддаленого робочого столу становить підвищений ризик безпеки. Для цих середовищ має бути дозволений лише доступ до локальної консолі.
Користувачі не зможуть використовувати віддалену допомогу.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\SessionEnv:Start
Виправлення цієї служби наразі неможливо через каталог налаштувань або a спеціальний профіль OMA-URI. Натомість його можна створити за сценарієм і розгорнути через Intune Сценарії або лезо Remediations або іншим способом. Щоб встановити рекомендовану конфігурацію за допомогою PowerShell, запустіть такий командлет:
Set-Service -Name SessionEnv -StartupType Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000148 `
CIS Controls: `
IG 1, 2
IG 1, 2
82.18 Переконайтеся, що для параметра «Служби віддаленого робочого стола (TermService)» встановлено значення «Вимкнено»
Дозволяє користувачам інтерактивно підключатися до віддаленого комп’ютера. Віддалений робочий стіл і Сервер хосту сеансу віддаленого робочого стола залежить від цієї служби. Рекомендований стан для цього параметра: вимкнено.
У середовищі високого рівня безпеки доступ до віддаленого робочого столу становить підвищений ризик безпеки. Для цих середовищ має бути дозволений лише доступ до локальної консолі.
Служби віддаленого робочого стола будуть недоступні на комп’ютері.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\TermService:Start
Виправлення цієї служби наразі неможливо через каталог налаштувань або a спеціальний профіль OMA-URI. Натомість його можна створити за сценарієм і розгорнути через Intune Сценарії або лезо Remediations або іншим способом. Щоб встановити рекомендовану конфігурацію за допомогою PowerShell, запустіть такий командлет:
Set-Service -Name TermService -StartupType Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000149 `
CIS Controls: `
IG 1, 2
IG 1, 2
82.19 Переконайтеся, що для параметра «Remote Desktop Services UserMode Port Redirector (UmRdpService)» встановлено значення «Disabled»
Дозволяє перенаправляти принтери/диски/порти для підключень RDP. Рекомендований стан для цього параметра: вимкнено.
У чутливому до безпеки середовищі бажано зменшити можливу поверхню атаки – запобігання перенаправлення портів COM, LPT і PnP зменшить кількість несподівані шляхи викрадання даних та/або передачі шкідливого коду в межах RDP сесії.
Принтери, накопичувачі та порти (COM, LPT, PnP тощо) не можна буде перенаправляти всередині сеансів RDP.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\UmRdpService:Start
Виправлення цієї служби наразі неможливо через каталог налаштувань або a спеціальний профіль OMA-URI. Натомість його можна створити за сценарієм і розгорнути через Intune Сценарії або лезо Remediations або іншим способом. Щоб встановити рекомендовану конфігурацію за допомогою PowerShell, запустіть такий командлет:
Set-Service -Name UmRdpService -StartupType Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000150 `
CIS Controls: `
IG 1, 2
IG 1, 2
82.20 Переконайтеся, що для параметра «Пошук віддаленого виклику процедури (RPC) (RpcLocator)» встановлено значення «Вимкнено»
У Windows 2003 і старіших версіях Windows Remote Procedure Call (RPC) Служба локатора керує базою даних служби імен RPC. У Windows Vista або новішій версії Windows ця служба не надає жодних функцій і доступна для сумісність додатків. Рекомендований стан для цього параметра: вимкнено.
Це застаріла служба, яка не має жодної цінності чи мети, крім сумісності програм для дуже старого програмного забезпечення. Його слід вимкнути, якщо немає певної старої програми використовується в системі, яка цього вимагає.
Ніякого впливу, якщо цього не вимагає стара застаріла програма.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\RpcLocator:Start
Щоб установити рекомендовану конфігурацію, встановіть наступну спеціальну конфігурацію Політика до 4: Ім’я: <Введіть ім'я>
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- systemservices#configureremoteprocedurecalllocatorservicestartupmode 2. GRID: MS-00000151 3. Minimum OS CSP: Windows 11, Version 24H2 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
82.21 Переконайтеся, що для параметра «Віддалений реєстр (RemoteRegistry)» встановлено значення «Вимкнено»
Дозволяє віддаленим користувачам переглядати та змінювати параметри реєстру на цьому комп’ютері. Рекомендований стан для цього параметра: вимкнено.
У середовищі високого рівня безпеки віддалений доступ до реєстру збільшується ризик безпеки.
Реєстр можуть переглядати та змінювати лише користувачі на комп’ютері. Примітка. Багато інструментів віддаленого адміністрування, наприклад System Center Configuration Manager (SCCM), вимагають, щоб служба віддаленого реєстру працювала для віддаленого управління. Крім того, багато сканерів уразливостей використовують цю службу для доступу до реєстрація дистанційно.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\RemoteRegistry:Start
Виправлення цієї служби наразі неможливо через каталог налаштувань або a спеціальний профіль OMA-URI. Натомість його можна створити за сценарієм і розгорнути через Intune Сценарії або лезо Remediations або іншим способом. Щоб встановити рекомендовану конфігурацію за допомогою PowerShell, запустіть такий командлет:
Set-Service -Name RemoteRegistry -StartupType Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000152 `
CIS Controls: `
IG 1, 2
IG 1, 2
82.22 Переконайтеся, що для параметра «Маршрутизація та віддалений доступ (RemoteAccess)» встановлено значення «Вимкнено»
Пропонує послуги маршрутизації підприємствам у локальних і глобальних мережах. Рекомендований стан для цього параметра: вимкнено.
Основною метою цієї служби є забезпечення функціональності маршрутизатора Windows. Це не є належне використання робочих станцій у керованому середовищі підприємства.
Комп’ютер не можна буде налаштувати як маршрутизатор Windows між різними з’єднання.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\RemoteAccess:Start
Щоб установити рекомендовану конфігурацію, встановіть наступну спеціальну конфігурацію Політика до 4: Ім’я: <Введіть ім'я>
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- systemservices#configureroutingandremoteaccessservicestartupmode 2. GRID: MS-00000153 3. Minimum OS CSP: Windows 11, Version 24H2 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
82.23 Переконайтеся, що для параметра «Сервер (LanmanServer)» встановлено значення «Вимкнено»
Підтримує файли, друк і обмін іменованим каналом через мережу для цього комп’ютера. Якщо це послугу зупинено, ці функції будуть недоступні. Рекомендований стан для цього параметра: вимкнено.
У середовищі високого рівня безпеки безпечна робоча станція має бути лише клієнтом, а не клієнтом сервер. Спільне використання ресурсів робочої станції для віддаленого доступу підвищує ризик безпеки поверхня атаки значно вища.
Функції спільного використання файлів, друку та іменованого каналу будуть недоступні на цій машині мережі. Примітка. Багато інструментів віддаленого адміністрування, наприклад System Center Configuration Manager (SCCM), вимагають, щоб служба сервера працювала для віддаленого керування. в Крім того, багато сканерів уразливостей використовують цю службу для віддаленого сканування файлової системи.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer:Start
Виправлення цієї служби наразі неможливо через каталог налаштувань або a спеціальний профіль OMA-URI. Натомість його можна створити за сценарієм і розгорнути через Intune Сценарії або лезо Remediations або іншим способом. Щоб встановити рекомендовану конфігурацію за допомогою PowerShell, запустіть такий командлет:
Set-Service -Name LanmanServer -StartupType Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000154 `
CIS Controls: `
IG 1, 2
IG 1, 2
82.24 Переконайтеся, що для параметра «Прості служби TCP/IP (simptcp)» встановлено значення «Вимкнено» або «Не встановлено»
Підтримує такі служби TCP/IP: Character Generator, Daytime, Discard, Echo, і Цитата дня. Рекомендований стан для цього параметра: вимкнено або не встановлено. Примітка. Ця служба не встановлена за замовчуванням. Поставляється з Windows, але встановлюється увімкнувши додаткову функцію Windows (прості служби TCPIP (тобто echo, daytime тощо)).
Прості служби TCP/IP мають дуже мало цілі на сучасному підприємстві навколишньому середовищу – дозволяючи їм це може збільшити ризик нападу.
Прості служби TCP/IP (генератор символів, денний час, відхилення, відлуння та котирування дня) не будуть доступні.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 4 або ключ не існує.
HKLM\SYSTEM\CurrentControlSet\Services\simptcp:Start
Щоб установити рекомендовану конфігурацію, встановіть наступну спеціальну конфігурацію Політика до 4 або підтвердьте, що службу не встановлено: Ім’я: <Введіть ім'я>
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows- server-2008-r2-and-2008/cc725973(v=ws.10) 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- systemservices#configuresimpletcpipservicesstartupmode 3. GRID: MS-00000155 4. Minimum OS CSP: Windows 11, Version 24H2 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
82.25 Переконайтеся, що для параметра «Служба SNMP (SNMP)» встановлено значення «Вимкнено» або «Не встановлено»
Дозволяє обробляти запити SNMP (Simple Network Management Protocol). цей комп’ютер. Рекомендований стан для цього параметра: вимкнено або не встановлено. Примітка. Ця служба не встановлена за замовчуванням. Поставляється з Windows, але встановлюється увімкнувши додаткову функцію Windows (Simple Network Management Protocol (SNMP)).
Функції, які дозволяють вхідні мережеві підключення, збільшують поверхню атаки. В а середовище високого рівня безпеки, необхідно керувати захищеними робочими станціями локально.
Комп’ютер не зможе обробляти запити SNMP.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 4 або ключ не існує.
HKLM\SYSTEM\CurrentControlSet\Services\SNMP:Start
Виправлення цієї служби наразі неможливо через каталог налаштувань або a спеціальний профіль OMA-URI. Натомість його можна створити за сценарієм і розгорнути через Intune Сценарії або лезо Remediations або іншим способом. Щоб встановити рекомендовану конфігурацію за допомогою PowerShell, запустіть такий командлет:
Set-Service -Name SNMP -StartupType Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000156 `
CIS Controls: `
IG 1, 2
IG 1, 2
82.26 Переконайтеся, що «Special Administration Console Helper (sacsvr)» встановлено на «Disabled» або «Not Installed»
Ця служба дозволяє адміністраторам отримувати віддалений доступ до командного рядка за допомогою Служби управління надзвичайними ситуаціями. Рекомендований стан для цього параметра: вимкнено або не встановлено. Примітка. Ця служба не встановлена за замовчуванням. Він поставляється разом з Windows, але він є інстальовано, увімкнувши додаткову функцію Windows (Windows Emergency Служби керування та послідовна консоль).
Дозволяє використовувати віддалено доступний командний рядок, який надає можливість виконання завдань віддаленого керування на комп’ютері є ризиком для безпеки.
Користувачі не матимуть доступу до віддаленого командного рядка за допомогою служби екстреної допомоги Послуги управління.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 4 або ключ не існує.
HKLM\SYSTEM\CurrentControlSet\Services\sacsvr:Start
Щоб установити рекомендовану конфігурацію, встановіть наступну спеціальну конфігурацію Політика до 4 або підтвердьте, що службу не встановлено: Ім’я: <Введіть ім'я>
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- systemservices#configurespecialadministrationconsolehelperservicestartupmode 2. GRID: MS-00000157 3. Minimum OS CSP: Windows 11, Version 24H2 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
82.27 Переконайтеся, що для «SSDP Discovery (SSDPSRV)» встановлено значення «Disabled»
Виявляє мережеві пристрої та служби, які використовують протокол виявлення SSDP, наприклад як пристрої UPnP. Також повідомляє про пристрої та служби SSDP, що працюють локально комп’ютер. Рекомендований стан для цього параметра: вимкнено.
Universal Plug n Play (UPnP) є реальною загрозою безпеці – він дозволяє автоматично виявляти та підключення до мережевих пристроїв. Зауважте, що UPnP відрізняється від звичайного Plug n Play (PnP). Робочі станції не повинні рекламувати свої послуги (або автоматично виявлення мережевих служб і підключення до них) на підприємстві, яке піклується про безпеку кероване середовище.
Пристрої на основі SSDP не будуть виявлені.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\SSDPSRV:Start
Щоб установити рекомендовану конфігурацію, встановіть наступну спеціальну конфігурацію Політика до 4: Ім’я: <Введіть ім'я>
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- systemservices#configuressdpdiscoveryservicestartupmode 2. GRID: MS-00000158 3. Minimum OS CSP: Windows 11, Version 24H2 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
82.28 Переконайтеся, що для «UPnP Device Host (upnphost)» встановлено значення «Disabled»
Дозволяє розміщувати пристрої UPnP на цьому комп’ютері. Рекомендований стан для цього параметра: вимкнено.
Universal Plug n Play (UPnP) є реальною загрозою безпеці – він дозволяє автоматично виявляти та підключення до мережевих пристроїв. Зазначає, що UPnP відрізняється від звичайного Plug n Play (PnP). Робочі станції не повинні рекламувати свої послуги (або автоматично виявлення мережевих служб і підключення до них) на підприємстві, яке піклується про безпеку кероване середовище.
Будь-які розміщені UPnP-пристрої перестануть працювати, і жодні додаткові розміщені пристрої не зможуть працювати додано.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\upnphost:Start
Щоб установити рекомендовану конфігурацію, встановіть наступну спеціальну конфігурацію Політика до 4: Ім’я: <Введіть ім'я>
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- systemservices#configureupnpdevicehostservicestartupmode 2. GRID: MS-00000159 3. Minimum OS CSP: Windows 11, Version 24H2 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
82.29 Переконайтеся, що для «Служби веб-керування (WMSvc)» встановлено значення «Вимкнено» або «Не встановлено»
Служба веб-управління надає можливості віддаленого та делегованого керування для адміністраторів для керування веб-сервером, сайтами та програмами, присутніми на машина. Рекомендований стан для цього параметра: вимкнено або не встановлено. Примітка. Ця служба не встановлена за замовчуванням. Поставляється з Windows, але встановлюється увімкнувши додаткову функцію Windows (Internet Information Services – Web Засоби керування – служба керування IIS).
Віддалене веб-адміністрування IIS на робочій станції є підвищеним ризиком для безпеки, оскільки площа атаки цієї робочої станції значно збільшується. Якщо належні заходи безпеки не дотримуються, шанс успішної атаки значно зростає.
Віддалене веб-керування IIS буде недоступним.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 4 або ключ не існує.
HKLM\SYSTEM\CurrentControlSet\Services\WMSvc:Start
Щоб установити рекомендовану конфігурацію, встановіть наступну спеціальну конфігурацію Політика до 4 або підтвердьте, що службу не встановлено: Ім’я: <Введіть ім'я>
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- systemservices#configurewebmanagementservicestartupmode 2. GRID: MS-00000160 3. Minimum OS CSP: Windows 11, Version 24H2 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
82.30 Переконайтеся, що для параметра «Служба звітування про помилки Windows (WerSvc)» встановлено значення «Вимкнено»
Дозволяє повідомляти про помилки, коли програми перестають працювати або реагувати, і дозволяє наявні рішення, які будуть надані. Також дозволяє генерувати журнали для діагностики та ремонтні послуги. Рекомендований стан для цього параметра: вимкнено.
Якщо помилка Windows виникає в безпечному керованому середовищі підприємства, помилка слід повідомити безпосередньо ІТ-персоналу для усунення несправностей і виправлення. Не існує корпорації буде корисно повідомляти про ці помилки безпосередньо Microsoft, і деякі з них є ризик несвідомого розкриття конфіденційних даних у рамках помилки.
Якщо цю службу зупинено, повідомлення про помилки можуть не працювати належним чином і результати діагностичні послуги та ремонт можуть не відображатися.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\WerSvc:Start
Виправлення цієї служби наразі неможливо через каталог налаштувань або a спеціальний профіль OMA-URI. Натомість його можна створити за сценарієм і розгорнути через Intune Сценарії або лезо Remediations або іншим способом. Щоб встановити рекомендовану конфігурацію за допомогою PowerShell, запустіть такий командлет:
Set-Service -Name WerSvc -StartupType Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000161 `
CIS Controls: `
IG 1, 2
IG 1, 2
82.31 Переконайтеся, що для «Збирача подій Windows (Wecsvc)» встановлено значення «Вимкнено»
Ця служба керує постійними підписками на події з віддалених джерел, які підтримка протоколу WS-Management. Це включає журнали подій Windows Vista, обладнання і джерела подій із підтримкою IPMI. Служба зберігає переслані події в локальній події Журнал. Рекомендований стан для цього параметра: вимкнено.
У середовищі з високим рівнем безпеки повинні бути віддалені підключення до захищених робочих станцій зведено до мінімуму, а функції управління повинні виконуватися локально.
Якщо цю послугу зупинено або вимкнено, неможливо створити підписку на події переслані події не можуть бути прийняті. Примітка. Багато інструментів віддаленого керування та сторонніх інструментів перевірки безпеки залежать від цю послугу.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\Wecsvc:Start
Виправлення цієї служби наразі неможливо через каталог налаштувань або a спеціальний профіль OMA-URI. Натомість його можна створити за сценарієм і розгорнути через Intune Сценарії або лезо Remediations або іншим способом. Щоб встановити рекомендовану конфігурацію за допомогою PowerShell, запустіть такий командлет:
Set-Service -Name Wecsvc -StartupType Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000162 `
CIS Controls: `
IG 1, 2
IG 1, 2
82.32 Переконайтеся, що для «Служби спільного доступу до мережі Windows Media Player (WMPNetworkSvc)» встановлено значення «Вимкнено» або «Не встановлено»
Надає доступ до бібліотек медіапрогравача Windows іншим програвачам і мультимедійним пристроям у мережі за допомогою Universal Plug and Play. Рекомендований стан для цього параметра: вимкнено або не встановлено.
Мережевий спільний доступ до мультимедійних файлів із медіапрогравача не має місця в керованому підприємстві середовище.
Бібліотеки медіапрогравача Windows не передаватимуться через мережу іншим пристроям і системи.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 4 або ключ не існує.
HKLM\SYSTEM\CurrentControlSet\Services\WMPNetworkSvc:Start
Щоб установити рекомендовану конфігурацію, встановіть наступну спеціальну конфігурацію Політика до 4 або підтвердьте, що службу не встановлено: Ім’я: <Введіть ім'я>
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- systemservices#configurewindowsmediaplayernetworksharingservicestartupmod e 2. GRID: MS-00000163 3. Minimum OS CSP: Windows 11, Version 24H2 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
82.33 Переконайтеся, що для параметра «Служба точки доступу Windows Mobile (icssvc)» встановлено значення «Вимкнено»
Надає можливість ділитися з’єднанням стільникових даних з іншим пристроєм. Рекомендований стан для цього параметра: вимкнено.
Можливість запуску мобільної точки доступу з комп’ютера, підключеного до домену, може бути легкою відкрити внутрішню мережу для wardrivers або інших хакерів.
Функція Windows Mobile Hotspot буде недоступна.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\icssvc:Start
Щоб установити рекомендовану конфігурацію, встановіть наступну спеціальну конфігурацію Політика до 4 або підтвердьте, що службу не встановлено: Ім’я: <Введіть ім'я>
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- systemservices#configurewindowsmobilehotspotservicestartupmode 2. GRID: MS-00000164 3. Minimum OS CSP: Windows 11, Version 24H2 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
82.34 Переконайтеся, що для «Служби Windows PushToInstall (PushToInstall)» встановлено значення «Вимкнено»
Ця служба керує програмами, які надсилаються на пристрій із програми Microsoft Store працює на інших пристроях або в Інтернеті. Рекомендований стан для цього параметра: вимкнено.
У керованому середовищі з високим рівнем безпеки слід керувати встановленням програм централізовано ІТ-персоналом, а не кінцевими користувачами.
Користувачі не зможуть надсилати програми на цей пристрій із запущеного Microsoft Store інші пристрої або Інтернет.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\PushToInstall:Start
Виправлення цієї служби наразі неможливо через каталог налаштувань або a спеціальний профіль OMA-URI. Натомість його можна створити за сценарієм і розгорнути через Intune Сценарії або лезо Remediations або іншим способом. Щоб встановити рекомендовану конфігурацію за допомогою PowerShell, запустіть такий командлет:
Set-Service -Name PushToInstall -StartupType Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000166 `
CIS Controls: `
IG 1, 2
IG 1, 2
82.35 Переконайтеся, що для параметра «Віддалене керування Windows (WS-Management) (WinRM)» встановлено значення «Вимкнено»
Служба віддаленого керування Windows (WinRM) реалізує WS-Management протокол віддаленого керування. WS-Management — це стандартний протокол веб-служб використовується для дистанційного керування програмним і апаратним забезпеченням. Служба WinRM слухає мережа для запитів WS-Management і обробляє їх. Рекомендований стан для цього параметра: вимкнено.
Функції, які дозволяють вхідні мережеві підключення, збільшують поверхню атаки. В а середовище високого рівня безпеки, необхідно керувати захищеними робочими станціями локально.
Буде втрачено можливість дистанційного керування системою за допомогою WinRM. Примітка. Багато інструментів віддаленого адміністрування, наприклад System Center Configuration Manager (SCCM), може знадобитися, щоб служба WinRM працювала для віддаленого керування.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\WinRM:Start
Виправлення цієї служби наразі неможливо через каталог налаштувань або a спеціальний профіль OMA-URI. Натомість його можна створити за сценарієм і розгорнути через Intune Сценарії або лезо Remediations або іншим способом. Щоб встановити рекомендовану конфігурацію за допомогою PowerShell, запустіть такий командлет:
Set-Service -Name WinRM -StartupType Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. GRID: MS-00000167 `
CIS Controls: `
IG 1, 2
IG 1, 2
82.36 Переконайтеся, що для «Служби публікацій у всесвітній мережі (W3SVC)» встановлено значення «Вимкнено» або «Не встановлено»
Забезпечує підключення до Інтернету та адміністрування через інформаційні служби Інтернету Менеджер. Рекомендований стан для цього параметра: вимкнено або не встановлено. Примітка. Ця служба не встановлена за замовчуванням. Поставляється з Windows, але встановлюється увімкнувши додаткову функцію Windows (Internet Information Services – World Wide веб-служби). Примітка №2. Організація може вибірково надавати винятки веб-розробникам дозволити IIS (або інший веб-сервер) на їхній робочій станції, щоб вони могли локально тестувати & розробляти веб-сторінки. Однак організація повинна відстежувати ці машини та забезпечити актуальність засобів контролю безпеки та пом’якшення, щоб зменшити ризик компроміс.
Розміщення веб-сайту з робочої станції є підвищеним ризиком для безпеки, оскільки поверхня атаки цієї робочої станції тоді значно збільшується. Якщо належних заходів безпеки немає шанс успішної атаки значно зростає. Примітка. Ця проблема безпеки стосується будь-якої програми веб-сервера, встановленої на a робоча станція, а не лише IIS.
Веб-служби IIS не працюватимуть.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 4 або ключ не існує.
HKLM\SYSTEM\CurrentControlSet\Services\W3SVC:Start
Щоб установити рекомендовану конфігурацію, встановіть наступну спеціальну конфігурацію Політика до 4 або підтвердьте, що службу не встановлено: Ім’я: <Введіть ім'я>
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- systemservices#configureworldwidewebpublishingservicestartupmode 2. GRID: MS-00000168 3. Minimum OS CSP: Windows 11, Version 24H2 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
82.37 Переконайтеся, що для параметра «Xbox Accessory Management Service (XboxGipSvc)» встановлено значення «Disabled»
Ця служба керує підключеними аксесуарами Xbox. Рекомендований стан для цього параметра: вимкнено.
Xbox Live — це ігровий сервіс, якому не місце в керованому корпоративному середовищі (можливо, якщо це не ігрова компанія).
Підключені аксесуари Xbox можуть не працювати.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\XboxGipSvc:Start
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
System Services\Xbox Accessory Management Service - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://www.cisecurity.org/insights/blog/update-cis-microsoft-windows-10- enterprise-release-1703-benchmark-v1-0-0 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- systemservices#configurexboxaccessorymanagementservicestartupmode 3. GRID: MS-00000169 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
82.38 Переконайтеся, що для «Xbox Live Auth Manager (XblAuthManager)» встановлено значення «Disabled»
Надає послуги автентифікації та авторизації для взаємодії з Xbox Live. Рекомендований стан для цього параметра: вимкнено.
Xbox Live — це ігровий сервіс, якому не місце в керованому корпоративному середовищі (можливо, якщо це не ігрова компанія).
Підключення до Xbox Live може бути невдалим, і програми, які взаємодіють із цією службою, можуть також не вдається.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\XblAuthManager:Start
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
System Services\Xbox Live Auth Manager - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://www.cisecurity.org/insights/blog/update-cis-microsoft-windows-10- enterprise-release-1703-benchmark-v1-0-0 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- systemservices#configurexboxliveauthmanagerservicestartupmode 3. GRID: MS-00000170 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
82.39 Переконайтеся, що для «Xbox Live Game Save (XblGameSave)» встановлено значення «Disabled»
Ця служба синхронізує збережені дані для ігор із підтримкою збереження Xbox Live. Рекомендований стан для цього параметра: вимкнено.
Xbox Live — це ігровий сервіс, якому не місце в керованому корпоративному середовищі (можливо, якщо це не ігрова компанія).
Дані збереження гри не завантажуються в Xbox Live або не завантажуються з нього.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\XblGameSave:Start
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
System Services\Xbox Live Game Save - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://www.cisecurity.org/insights/blog/update-cis-microsoft-windows-10- enterprise-release-1703-benchmark-v1-0-0 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- systemservices#configurexboxlivegamesaveservicestartupmode 3. GRID: MS-00000171 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
82.40 Переконайтеся, що для «Xbox Live Networking Service (XboxNetApiSvc)» встановлено значення «Disabled»
Ця служба підтримує програмування додатків Windows.Networking.XboxLive інтерфейс. Рекомендований стан для цього параметра: вимкнено.
Xbox Live — це ігровий сервіс, якому не місце в керованому корпоративному середовищі (можливо, якщо це не ігрова компанія).
Підключення до Xbox Live може бути невдалим, і програми, які взаємодіють із цією службою, можуть також не вдається.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 4.
HKLM\SYSTEM\CurrentControlSet\Services\XboxNetApiSvc:Start
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
System Services\Xbox Live Networking Service - Рекомендований стан:
Disabled
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://www.cisecurity.org/insights/blog/update-cis-microsoft-windows-10- enterprise-release-1703-benchmark-v1-0-0 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- systemservices#configurexboxlivenetworkingservicestartupmode 3. GRID: MS-00000172 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
IG 1, 2
IG 1, 2
Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.