91. Безпека на основі віртуалізації (VBS / Hypervisor Security)

Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.

Рекомендацій: 2

Windows 11 Intune v5.0.0

91.1 Переконайтеся, що для параметра «Hypervisor Enforced Code Integrity» встановлено значення «Enabled with UEFI lock»

Рівень 1 (L1)Автоматизовано

            Оригінал:
        

Цей параметр умикає захист цілісності коду режиму ядра на основі віртуалізації. Коли це ввімкнено, захист пам’яті в режимі ядра застосовується примусово Шлях перевірки цілісності захищено функцією безпеки на основі віртуалізації. Рекомендований стан для цього параметра: увімкнено з блокуванням UEFI. Примітка. Безпека на основі віртуалізації потребує 64-розрядної версії Windows із технологією Secure Завантаження ввімкнено, що, у свою чергу, вимагає, щоб Windows була інстальована з UEFI BIOS конфігурація, а не застаріла конфігурація BIOS. Крім того, якщо Windows працює на a віртуальна машина, апаратна функція віртуалізації ЦП (Intel VT-x або AMD-V) повинні бути представлені хостом для гостьової віртуальної машини. Додаткову інформацію про системні вимоги для цієї функції можна знайти в Windows Вимоги Defender Credential Guard (Windows 10) | Microsoft Docs Примітка №2: Credential Guard і Device Guard наразі не підтримуються під час використання Віртуальні машини Azure IaaS.

💡 Обґрунтування безпеки:

Параметр «Увімкнено з блокуванням UEFI» забезпечує захист на основі віртуалізації Code Integrity неможливо вимкнути віддалено.

⚠️ Вплив на робочий процес (Impact):

Попередження: Windows Autopilot – Конфлікти політик: для застосування цієї політики потрібне перезавантаження. У результаті можуть з’являтися підказки під час зміни налаштувань контролю облікових записів користувачів (UAC). під час попереднього досвіду (OOBE) за допомогою сторінки статусу реєстрації пристрою (ESP). Якщо після застосування політики пристрій перезавантажиться, кількість запитів буде більшою. Якщо в середовищі використовується Windows Autopilot, призначте це налаштування виключно для користувача групи, а не групи пристроїв. Це гарантує застосування налаштування пізніше реєстрація, що дозволяє Windows Autopilot завершити процес попередньої підготовки та запобігти можливим перервам. Попередження №2: усі драйвери в системі мають бути сумісні з цією функцією або система може вийти з ладу. Переконайтеся, що цей параметр політики розгорнуто лише на комп’ютерах, які відомо, що вони сумісні. Попередження №3: якщо цей параметр увімкнено та активний, безпека на основі віртуалізації не можна вимкнути лише за допомогою GPO чи будь-якого іншого віддаленого методу. Після видалення налаштування з GPO, функції також потрібно вручну вимкнути локально на машині використовуючи кроки, наведені за цим посиланням: Керування Credential Guard Windows Defender (Windows 10) | Microsoft Docs Примітка: це налаштування було переміщено з профілю наступного покоління (NG) до рівня 1 (L1) лише для операційної системи Windows 11. Налаштування профілю NG були ізольовані з профілю L1 через можливі проблеми сумісності апаратного забезпечення. Windows 11 Операційна система залежить від того самого апаратного забезпечення, що й налаштування NG, тому апаратне забезпечення сумісність більше не є проблемою.

🔍 Аудит (перевірка налаштувань)

Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard:HypervisorEnforcedCodeIntegrity

⚙️ Виправлення (Remediation / Налаштування)

Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: Virtualization Based Technology\Hypervisor Enforced Code Integrity
Рекомендований стан: Enabled with UEFI lock

Значення за замовчуванням: Вимкнено.

ℹ️ Додаткова інженерна інформація (Additional Information):

Застосовується лише до Windows 11.

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- virtualizationbasedtechnology#hypervisorenforcedcodeintegrity 2. GRID: MS-00000303 3. Minimum OS CSP: Windows 11, Version 21H2 and later `

CIS Controls: `




                    CIS Controls V8: 10.5

                    IG 1, 2
                
Enable Anti-Exploitation Features Enable anti-exploitation features on enterprise assets and software, where possible, such as Microsoft® Data Execution Prevention (DEP), Windows® Defender Exploit Guard (WDEG), or Apple® System Integrity Protection (SIP) and Gatekeeper™.



                    CIS Controls V7: 8.3

                    IG 1, 2
                
Enable Operating System Anti-Exploitation Features/ Deploy Anti-Exploit Technologies Enable anti-exploitation features such as Data Execution Prevention (DEP) or Address Space Layout Randomization (ASLR) that are available in an operating system or deploy appropriate toolkits that can be configured to apply protection to a broader set of applications and executables.




91.2 Переконайтеся, що для параметра «Потрібна таблиця атрибутів пам’яті UEFI» встановлено значення «Потрібна таблиця атрибутів пам’яті UEFI».
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр увімкне лише захист цілісності коду на основі віртуалізації на пристроях із підтримкою мікропрограми UEFI для таблиці атрибутів пам’яті. Пристрої без UEFI Таблиця атрибутів пам’яті може мати вбудоване програмне забезпечення, несумісне з віртуалізацією Базований захист цілісності коду, який у деяких випадках може призвести до збоїв або даних втрата або несумісність із певними плагінами. Якщо цей параметр не встановлено, цільовий пристрої повинні бути перевірені на сумісність. Рекомендований стан для цього параметра: Вимагати таблицю атрибутів пам’яті UEFI. Примітка. Безпека на основі віртуалізації потребує 64-розрядної версії Windows із технологією Secure Завантаження ввімкнено, що, у свою чергу, вимагає, щоб Windows була інстальована з UEFI BIOS конфігурація, а не застаріла конфігурація BIOS. Крім того, якщо Windows працює на a віртуальна машина, апаратна функція віртуалізації ЦП (Intel VT-x або AMD-V) повинні бути представлені хостом для гостьової віртуальної машини. Додаткову інформацію про системні вимоги для цієї функції можна знайти в Windows Вимоги Defender Credential Guard (Windows 10) | Microsoft Docs Примітка №2: Credential Guard і Device Guard наразі не підтримуються під час використання Віртуальні машини Azure IaaS.




                💡 Обґрунтування безпеки:
            
Цей параметр допоможе захистити цей елемент керування від увімкнення в системі, яка його не вмикає сумісність, що може призвести до збою або втрати даних.




                ⚠️ Вплив на робочий процес (Impact):
            
Попередження: Windows Autopilot – Конфлікти політик: для застосування цієї політики потрібне перезавантаження. У результаті можуть з’являтися підказки під час зміни налаштувань контролю облікових записів користувачів (UAC). під час попереднього досвіду (OOBE) за допомогою сторінки статусу реєстрації пристрою (ESP). Якщо після застосування політики пристрій перезавантажиться, кількість запитів буде більшою. Якщо в середовищі використовується Windows Autopilot, призначте це налаштування виключно для користувача групи, а не групи пристроїв. Це гарантує застосування налаштування пізніше реєстрація, що дозволяє Windows Autopilot завершити процес попередньої підготовки та запобігти можливим перервам. Попередження №2: усі драйвери в системі мають бути сумісні з цією функцією або система може вийти з ладу. Переконайтеся, що цей параметр політики розгорнуто лише на комп’ютерах, які відомо, що вони сумісні. Попередження № 3: Windows Autopilot – Конфлікти політик: ця політика вимагає перезавантаження застосувати. У результаті можуть з’являтися підказки під час змінення контролю облікових записів користувачів (UAC) налаштувань під час попереднього використання (OOBE) за допомогою реєстрації пристрою Сторінка стану (ESP). Збільшення кількості підказок більш імовірне, якщо пристрій після цього перезавантажиться застосовуються політики. Щоб вирішити цю проблему, політики можна націлити на користувачів замість пристроїв, щоб вони застосовувалися пізніше в процесі. Виняток із цього рекомендація може знадобитися, якщо використовується Windows AutoPilot. Примітка: це налаштування було переміщено з профілю наступного покоління (NG) до рівня 1 (L1) лише для операційної системи Windows 11. Налаштування профілю NG були ізольовані з профілю L1 через можливі проблеми сумісності апаратного забезпечення. Windows 11 Операційна система залежить від того самого апаратного забезпечення, що й налаштування NG, тому апаратне забезпечення сумісність більше не є проблемою.




                🔍 Аудит (перевірка налаштувань)
            

Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\VirtualizationBasedTechnology:RequireUEFIMemoryAttributesTable_WinningProvider

Перейдіть до наступного розташування реєстру та переконайтеся, що значення встановлено на 1.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\VirtualizationBasedTechnology:RequireUEFIMemoryAttributesTable




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: Virtualization Based Technology\Require UEFI Memory Attributes Table
Рекомендований стан: Require UEFI Memory Attributes Table


Значення за замовчуванням: Вимкнено.


            ℹ️ Додаткова інженерна інформація (Additional Information):
        

Застосовується лише до Windows 11.



📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- virtualizationbasedtechnology#requireuefimemoryattributestable 2. GRID: MS-00000300 3. Minimum OS CSP: Windows 11, Version 21H2 and later `

CIS Controls: ` 



                    CIS Controls V8: 10.5

                    IG 1, 2
                
Enable Anti-Exploitation Features Enable anti-exploitation features on enterprise assets and software, where possible, such as Microsoft® Data Execution Prevention (DEP), Windows® Defender Exploit Guard (WDEG), or Apple® System Integrity Protection (SIP) and Gatekeeper™.



                    CIS Controls V7: 8.3

                    IG 1, 2
                
Enable Operating System Anti-Exploitation Features/ Deploy Anti-Exploit Technologies Enable anti-exploitation features such as Data Execution Prevention (DEP) or Address Space Layout Randomization (ASLR) that are available in an operating system or deploy appropriate toolkits that can be configured to apply protection to a broader set of applications and executables.


        


Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.
            

                До повного змісту CIS Microsoft Intune Benchmark →