18. Адміністративні шаблони (Комп’ютер)

18.1.1.1 Переконайтеся, що для параметра «Запобігти ввімкненню камери блокування екрана» встановлено значення «Увімкнено» (Автоматизовано)

Вимикає перемикач камери на екрані блокування в налаштуваннях ПК і блокує камеру від виклику на екрані блокування. Рекомендований стан для цього параметра: увімкнено.

Вимкнення камери на екрані блокування розширює захист, який забезпечує екран блокування функції камери.

Якщо ввімкнути це налаштування, користувачі більше не зможуть увімкнути або вимкнути блокування екрана доступ до камери в налаштуваннях ПК, і камеру не можна викликати на екрані блокування.

18.1.1.2 Переконайтеся, що для параметра «Заборонити вмикати показ слайдів на екрані блокування» встановлено значення «Увімкнено» (Автоматизовано)

Вимикає налаштування показу слайдів на екрані блокування в налаштуваннях ПК і запобігає показу слайдів від відтворення на екрані блокування. Рекомендований стан для цього параметра: увімкнено.

Вимкнення показу слайдів на екрані блокування розширює захист, який надає екран блокування до вмісту слайд-шоу.

Якщо ввімкнути цей параметр, користувачі більше не зможуть змінювати параметри показу слайдів у Параметри ПК, і слайд-шоу ніколи не розпочнеться.

18.1.2.2 Переконайтеся, що для параметра «Дозволити користувачам увімкнути онлайн-служби розпізнавання мовлення» встановлено значення «Вимкнено» (Автоматизовано)

Ця політика вмикає компонент автоматичного навчання персоналізації введення, який включає мовлення, рукописне введення та введення. Автоматичне навчання дозволяє збирати мовлення і шаблони рукописного введення, історію введення, контакти та нещодавню інформацію календаря. Це так необхідні для використання Cortana. Частина цієї зібраної інформації може зберігатися на OneDrive користувача, у разі рукописного введення та набору тексту; частина інформації буде завантажено до Microsoft для персоналізації мовлення. Рекомендований стан для цього параметра: вимкнено.

Якщо цей параметр увімкнено, конфіденційна інформація може зберігатися в хмарі або надсилатися Microsoft.

Автоматичне вивчення мовлення, рукописного введення та друку припиняється, і користувачі не можуть змінити його значення через налаштування ПК.

18.1.3 Переконайтеся, що для параметра «Дозволити онлайн-підказки» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики налаштовує отримання онлайн-порад і довідки для програми «Налаштування». Рекомендований стан для цього параметра: вимкнено.

У середовищах із високим рівнем безпеки дані ніколи не можна передавати третім сторонам без них явну згоду, оскільки він може містити конфіденційну інформацію.

Параметри не зв’язуватимуться зі службами вмісту Microsoft, щоб отримати підказки та довідковий вміст.

18.4.1 Переконайтеся, що для параметра «Застосувати обмеження UAC до локальних облікових записів під час входу в мережу» встановлено значення «Увімкнено» (лише MS) (Автоматизовано)

Цей параметр визначає, чи можна використовувати локальні облікові записи для віддаленого адміністрування через вхід у мережу (наприклад, NET USE, підключення до C$ тощо). Локальні облікові записи піддаються високому ризику для крадіжки облікових даних, коли той самий обліковий запис і пароль налаштовано на кількох системи. Увімкнення цієї політики значно зменшує цей ризик. Увімкнено: застосовує фільтрацію маркерів UAC до локальних облікових записів під час входу в мережу. Членство у потужній групі, як-от адміністратори, вимкнено, а потужні привілеї є видалено з результуючого маркера доступу. Це налаштовує Значення реєстру LocalAccountTokenFilterPolicy має значення 0. Це типова поведінка для вікна. Вимкнено: дозволяє локальним обліковим записам мати повні права адміністратора під час автентифікації через мережевий вхід, налаштувавши значення реєстру LocalAccountTokenFilterPolicy до 1. Щоб отримати додаткові відомості про локальні облікові записи та крадіжку облікових даних, перегляньте розділ «Пом’якшення Атаки Pass-the-Hash (PtH) та інші методи викрадення облікових даних». Щоб отримати додаткові відомості про LocalAccountTokenFilterPolicy, перегляньте Microsoft Стаття бази знань 951016: Опис контролю облікових записів користувачів і дистанційного керування обмеження в Windows Vista. Рекомендований стан для цього параметра: увімкнено.

Локальні облікові записи піддаються високому ризику викрадення облікових даних, коли той самий обліковий запис і пароль налаштовано на кількох системах. Переконайтеся, що цю політику ввімкнено значно зменшує цей ризик.

Немає – це типова поведінка.

18.4.2 Переконайтеся, що для параметра «Налаштувати драйвер клієнта SMB v1» встановлено значення «Увімкнено: вимкнути драйвер (рекомендовано)» (Автоматизовано)

Цей параметр налаштовує тип запуску для блоку повідомлень сервера версії 1 (SMBv1) службу клієнтського драйвера (MRxSmb10), яку рекомендується вимкнути. Рекомендований стан для цього параметра: Увімкнено: вимкнути драйвер (рекомендовано). Примітка. За жодних обставин не налаштовуйте цей загальний параметр як Вимкнено, як це призведе до повного видалення базового запису реєстру, що спричинить серйозні проблеми проблеми.

З вересня 2016 року корпорація Майкрософт наполегливо рекомендує вимкнути SMBv1 і більше не використовується в сучасних мережах, оскільки це 30-річний дизайн, який набагато більше вразливі до атак, ніж набагато новіші проекти, такі як SMBv2 і SMBv3. Більше інформації про це можна знайти за такими посиланнями: Припиніть використання SMB1 | Зберігання в Microsoft Вимкніть SMB v1 у керованих середовищах із груповою політикою – «Будьте в безпеці» Cyber Блог безпеки Вимкнення SMBv1 через групову політику – блог Microsoft Security Guidance

Деякі застарілі ОС (наприклад, Windows XP, Server 2003 або старіші), програми та пристрої можуть більше не мати змоги обмінюватися даними із системою після того, як SMBv1 буде вимкнено. Ми рекомендуємо провести ретельне тестування, щоб визначити вплив налаштуйте це як поширений контроль і, де можливо, виправте будь-які виявлені несумісності з постачальником несумісної системи. Microsoft також ведення ретельного (хоча і не повного) списку відомих SMBv1 несумісності за цим посиланням: SMB1 Product Clearinghouse | Зберігання в Microsoft

18.4.3 Переконайтеся, що для параметра «Налаштувати сервер SMB v1» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр налаштовує серверну обробку версії блоку повідомлень сервера 1 (SMBv1) протокол. Рекомендований стан для цього параметра: вимкнено.

З вересня 2016 року корпорація Майкрософт наполегливо рекомендує вимкнути SMBv1 і більше не використовується в сучасних мережах, оскільки це 30-річний дизайн, який набагато більше вразливі до атак, ніж набагато новіші проекти, такі як SMBv2 і SMBv3. Більше інформації про це можна знайти за такими посиланнями: Припиніть використання SMB1 | Зберігання в Microsoft Вимкніть SMB v1 у керованих середовищах із груповою політикою – «Будьте в безпеці» Cyber Блог безпеки Вимкнення SMBv1 через групову політику – блог Microsoft Security Guidance

Деякі застарілі ОС (наприклад, Windows XP, Server 2003 або старіші), програми та пристрої можуть більше не мати змоги обмінюватися даними із системою після того, як SMBv1 буде вимкнено. Ми рекомендуємо провести ретельне тестування, щоб визначити вплив налаштуйте це як поширений контроль і, де можливо, виправте будь-які виявлені несумісності з постачальником несумісної системи. Microsoft також ведення ретельного (хоча і не повного) списку відомих SMBv1 несумісності за цим посиланням: SMB1 Product Clearinghouse | Зберігання в Microsoft

18.4.4 Переконайтеся, що для параметра «Увімкнути доповнення сертифіката» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики налаштовує, чи буде функція WinVerifyTrust працювати строго Перевірка підпису Windows Authenticode для портативних виконуваних файлів (PE-файлів). Якщо увімкнуто, PE-файли вважатимуться «непідписаними», якщо Windows ідентифікує в них вміст що не відповідає специфікації Authenticode. Рекомендований стан для цього параметра: увімкнено.

У роботі функції WinVerifyTrust існує вразливість до віддаленого виконання коду обробляє перевірку підпису Windows Authenticode для портативних виконуваних файлів (PE). Щоб отримати додаткові відомості про цю вразливість, відвідайте CVE-2013-3900 – Керівництво з оновлення безпеки – Microsoft – уразливість перевірки підпису WinVerifyTrust.

Корпорація Майкрософт рекомендує створювати інсталятори лише для вилучення вмісту з перевірених частини підписаних файлів. Деякі інсталятори не дотримуються цих вказівок і тому можуть мати негативний вплив цього налаштування.

18.4.5 Переконайтеся, що для параметра «Увімкнути захист від перезапису обробки структурованих винятків (SEHOP)» встановлено значення «Увімкнено» (Автоматизовано)

Windows підтримує захист від перезапису обробки структурованих винятків (SEHOP). Ми рекомендуємо ввімкнути цю функцію, щоб покращити профіль безпеки комп’ютер. Рекомендований стан для цього параметра: увімкнено.

Ця функція призначена для блокування експлойтів, які використовують обробник структурованих винятків (SEH) техніка перезапису. Цей механізм захисту надається під час виконання. Таким чином, це допомагає захистити програми незалежно від того, чи були вони скомпільовані з останніми вдосконаленнями, такими як параметр /SAFESEH.

Після ввімкнення SEHOP наявні версії Cygwin, Skype і Armadillo захищені програми можуть не працювати належним чином.

18.4.6 Переконайтеся, що для параметра «Конфігурація NetBT NodeType» встановлено значення «Увімкнено: P-вузол (рекомендовано)» (Автоматизовано)

Цей параметр визначає, який метод NetBIOS через TCP/IP (NetBT) використовує для реєстрації і розпізнати імена. Доступні методи: • Метод B-node (широкомовлення) використовує лише широкомовлення. • Метод P-node (точка-точка) використовує лише запити імен до сервера імен (ПЕРЕМОГА). • Метод M-node (змішаний) спочатку транслює, а потім запитує сервер імен (WINS) якщо трансляція не вдалася. • Метод H-node (гібридний) спочатку запитує сервер імен (WINS), а потім розсилає якщо запит не виконано. Рекомендований стан для цього параметра: Увімкнено: P-вузол (рекомендовано) (точка- до точки). Примітка. Розв’язання через LMHOSTS або DNS виконується за цими методами. Якщо NodeType наявне значення реєстру, воно замінює будь-яке значення реєстру DhcpNodeType. Якщо ні NodeType або DhcpNodeType присутні, комп’ютер використовує B-вузол (широкомовлення), якщо є немає серверів WINS, налаштованих для мережі, або H-вузол (гібридний), якщо є принаймні один налаштований сервер WINS.

Щоб допомогти знизити ризики атак з отруєнням NetBIOS Name Service (NBT-NS), встановлення типу вузла на P-вузол (точка-точка) завадить системі надсилати Трансляції NetBIOS.

Для запитів на розпізнавання імен NetBIOS потрібен визначений і доступний сервер WINS зовнішнє дозвіл імен NetBIOS. Якщо сервер WINS не визначено або недоступний, а потрібне ім’я хоста не визначено в локальному кеші, локальних LMHOSTS або HOSTS файлів, розпізнавання імен NetBIOS не вдасться.

18.5.1 Переконайтеся, що для параметра «MSS: (AutoAdminLogon) Enable Automatic Logon» встановлено значення «Disabled» (Автоматизовано)

Цей параметр окремий від функції екрана привітання в Windows XP і Windows Vista; якщо цю функцію вимкнено, цей параметр не вимкнено. Якщо налаштувати комп’ютер для автоматичного входу кожен, хто може фізично отримати доступ до комп’ютера, також може отримати доступ до всього, що є на комп’ютері, включаючи будь-яку мережу чи мережі до якого підключений комп’ютер. Крім того, якщо ви ввімкнете автоматичний вхід, пароль є зберігається в реєстрі у вигляді відкритого тексту, і конкретний розділ реєстру, який зберігає це значення віддалено читається групою автентифікованих користувачів. Щоб отримати додаткові відомості, перегляньте статтю 324737 бази знань Microsoft: Як повернути на автоматичний вхід у Windows. Рекомендований стан для цього параметра: вимкнено.

Якщо ви налаштуєте комп’ютер на автоматичний вхід, будь-хто, хто може фізично отримати доступ до комп’ютера також можна отримати доступ до всього, що є на комп’ютері, в т.ч будь-яку мережу чи мережі, до яких підключено комп’ютер. Крім того, якщо ви ввімкнете автоматичний вхід, пароль зберігається в реєстрі у відкритому вигляді. Конкретний реєстр ключ, у якому зберігається цей параметр, доступний для віддаленого читання групою автентифікованих користувачів. Як а У результаті цей запис доречний, лише якщо комп’ютер фізично захищений і якщо ви переконайтеся, що ненадійні користувачі не можуть віддалено переглядати реєстр.

Немає – це типова поведінка.

18.5.4 Переконайтеся, що «MSS: (EnableICMPRedirect) Allow ICMP redirects to override OSPF generated routes» встановлено на «Disabled» (Автоматизовано)

Переспрямування протоколу керуючих повідомлень Інтернету (ICMP) призводить до того, що стек IPv4 переходить на хост маршрути. Ці маршрути замінюють згенеровані маршрути Open Shortest Path First (OSPF). Рекомендований стан для цього параметра: вимкнено.

Така поведінка очікувана. Проблема в тому, що 10-хвилинний тайм-аут для Маршрути перенаправлення ICMP тимчасово створюють мережеву ситуацію, у якій трафік більше не буде належним чином маршрутизовано для постраждалого хоста. Ігнорування таких переспрямувань ICMP буде обмежте вразливість системи до атак, які вплинуть на її здатність брати участь у мережі.

Якщо службу маршрутизації та віддаленого доступу (RRAS) налаштовано як автономну системний граничний маршрутизатор (ASBR), він неправильно імпортує підключену інтерфейсну підмережу маршрути. Натомість цей маршрутизатор вставляє маршрути хоста в маршрути OSPF. Однак, OSPF-маршрутизатор не може використовуватися як ASBR-маршрутизатор, а при підключеному інтерфейсі підмережі маршрути імпортуються в OSPF, в результаті таблиці маршрутизації плутаються з дивною маршрутизацією шляхи.

18.5.8 Переконайтеся, що для параметра «MSS: (SafeDllSearchMode) Enable Safe DLL search mode» встановлено значення «Enabled» (Автоматизовано)

Порядок пошуку DLL може бути налаштований для пошуку DLL, які запитує запуск процесів одним із двох способів: • Спочатку шукайте папки, вказані в системному шляху, а потім шукайте поточні робоча папка. • Спочатку виконайте пошук у поточній робочій папці, а потім у папках, указаних у системний шлях. Якщо ввімкнуто, значення реєстру встановлено на 1. З налаштуванням 1 спочатку система шукає папки, які вказані в системному шляху, а потім шукає поточну робоча папка. Якщо вимкнено, значення реєстру встановлюється на 0 і система першою шукає поточну робочу папку, а потім шукає папки, які вказані в системний шлях. Програми будуть змушені спочатку шукати DLL у системному шляху. Для додатків які вимагають унікальних версій цих DLL, які входять до програми, це введення може спричинити проблеми з продуктивністю або стабільністю. Рекомендований стан для цього параметра: увімкнено. Примітка. Більше інформації про те, як працює безпечний режим пошуку DLL, доступно за цим посиланням: Порядок пошуку бібліотеки динамічного компонування – програми Windows | Microsoft Docs

Якщо користувач несвідомо виконує ворожий код, який був упакований із додатковими файлами, які включати модифіковані версії системних DLL, ворожий код міг завантажувати власні версії цих DLL і потенційно збільшить тип і ступінь пошкодження коду рендерити.

Немає – це типова поведінка.

18.5.10 Переконайтеся, що для параметра «MSS: (TcpMaxDataRetransmissions) Скільки разів повторно передано непідтверджені дані» встановлено значення «Увімкнено: 3» (Автоматизовано)

Цей параметр контролює кількість разів, коли TCP повторно передає окремі дані сегмент (сегмент без з’єднання) до того, як з’єднання буде перервано. Ретрансляція тайм-аут подвоюється з кожною наступною повторною передачею під час з’єднання. Він скидається коли відповіді відновляться. Базове значення тайм-ауту динамічно визначається виміряний час зворотного зв’язку. Рекомендований стан для цього параметра: Увімкнено: 3.

Зловмисник може вичерпати ресурси цільового комп’ютера, якщо він ніколи їх не надсилатиме повідомлення-підтвердження для даних, переданих цільовим комп’ютером.

TCP запускає таймер повторної передачі, коли кожен вихідний сегмент передається на IP. Якщо не отримано підтвердження для даних у даному сегменті до таймера закінчується, тоді сегмент повторно передається до трьох разів.

18.6.4.1 Переконайтеся, що для параметра «Налаштувати протокол багатоадресної передачі DNS (mDNS)» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи буде DNS-клієнт виконувати розпізнавання імен Багатоадресний DNS (mDNS). mDNS виконує пошук імен і служб локальної мережі без необхідності центрального DNS. Рекомендований стан для цього параметра: вимкнено.

Зловмисник може прослуховувати мережу через UDP-порт 5353 і відповідати на них, обманюючи щоб хост думав, що він знає розташування запитуваної системи.

Якщо DNS недоступний, система не зможе запитувати його в інших системах в одній підмережі.

18.6.4.2 Переконайтеся, що для параметра «Налаштувати параметри NetBIOS» встановлено значення «Увімкнено: вимкнути розпізнавання імен NetBIOS у загальнодоступних мережах» (Автоматизовано)

Цей параметр політики визначає, чи виконуватиме ім’я клієнт системи доменних імен (DNS). роздільна здатність через мережеву базову систему введення/виведення (NetBIOS). NetBIOS є спадщиною метод розпізнавання імен для внутрішніх мереж Microsoft, який передував використанню DNS для цієї мети (до Active Directory). Деякі застарілі програми все ще потребують використання NetBIOS для повної функціональності. Рекомендований стан для цього параметра: Увімкнено: Вимкнути назву NetBIOS дозвіл у публічних мережах. Налаштування цього параметра на Enabled: Disable Розділення імен NetBIOS також відповідає тесту.

NetBIOS не виконує автентифікацію та може дозволити віддаленим загрозам викликати a відмова в обслуговуванні шляхом надсилання підроблених дейтаграм «Конфлікти імен» або «Вивільнення імен». Це також відомий як “Спуфінг протоколу сервера імен NetBIOS”. Запобігання використанню NetBIOS у публічних мережах зменшує поверхню атаки.

Немає – це типова поведінка.

18.6.4.3 Переконайтеся, що для параметра «Вимкнути DNS-сервери IPv6 за замовчуванням» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи буде DNS-клієнт використовувати стандартний DNS-сервер IPv6 адреси, надані Windows. Рекомендований стан для цього параметра: увімкнено.

Оскільки переважна більшість керованих мереж приватних підприємств не потребує використання IPv6 (оскільки вони мають доступ до приватної адресації IPv4), вимикаючи використання IPv6 Адреси DNS-серверів усувають можливу поверхню атаки, яку також важче контролювати рух на. Не рекомендується використовувати DNS-сервери, які контролюються зовнішньою організацією без участі ІТ-відділу організації.

Адреси DNS-серверів IPv6 за замовчуванням не використовуватимуться Windows.

18.6.4.4 Переконайтеся, що для параметра «Вимкнути розпізнавання імен багатоадресної передачі» встановлено значення «Увімкнено» (Автоматизовано)

Link-Local Multicast Name Resolution (LLMNR) є вторинним розпізнаванням імен протокол. За допомогою LLMNR запити надсилаються за допомогою багатоадресної розсилки через посилання локальної мережі на a однієї підмережі від клієнтського комп’ютера до іншого клієнтського комп’ютера в тій же підмережі, що також увімкнено LLMNR. Для LLMNR не потрібен DNS-сервер або DNS-клієнт конфігурації та забезпечує розпізнавання імен у сценаріях, у яких звичайний DNS розпізнавання імен неможливе. Рекомендований стан для цього параметра: увімкнено.

Зловмисники можуть прослуховувати в мережі ці LLMNR (UDP/5355) або NBT-NS (UDP/137) транслює та відповідає на них, змушуючи хоста думати, що він знає розташування запитуваної системи. Примітка: щоб повністю пом’якшити локальне отруєння розпізнавання імен, окрім цього параметра, у властивостях кожної встановленої мережної карти також має бути встановлено значення Вимкнути NetBIOS TCP/IP (на вкладці WINS у властивостях мережевого адаптера). На жаль, глобального налаштування немає щоб досягти цього, що автоматично застосовується до всіх мережевих карток – це налаштування для кожної мережевої карти, яке змінюється з різними інсталяціями обладнання NIC.

Якщо DNS недоступний, система не зможе запитувати його в інших системах в одній підмережі.

18.6.5.1 Переконайтеся, що для параметра «Увімкнути постачальників шрифтів» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи дозволено Windows завантажувати шрифти та шрифт дані каталогу від онлайн-постачальника шрифтів. Рекомендований стан для цього параметра: вимкнено.

У корпоративному керованому середовищі ІТ-відділ повинен керувати зміни конфігурації системи, щоб переконатися, що всі зміни перевірені та затверджені.

Windows не підключатиметься до онлайн-провайдера шрифтів і буде перелічувати лише локально- встановлені шрифти.

18.6.7.1 Переконайтеся, що для параметра «Клієнт аудиту не підтримує шифрування» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи буде входити сервер блокування повідомлень сервера (SMB). події, коли клієнт SMB не підтримує шифрування. Увімкнувши це, створюватимуться записи журналу подій у програмах і службах Журнали\Microsoft\Windows\SMBClient\Audit з ідентифікатором події 31998. Рекомендований стан для цього параметра: увімкнено.

Організації повинні знати про весь незашифрований трафік SMB у своєму середовищі. Старіші протоколи SMB, які не використовують шифрування, можуть зробити середовище вразливим до багатьох типів атак, включаючи атаки перехоплення SMB.

Увесь незашифрований трафік SMB реєструватиметься як подія.

18.6.7.2 Переконайтеся, що для параметра «Клієнт аудиту не підтримує підпис» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи буде входити сервер блокування повідомлень сервера (SMB). події, коли клієнт SMB не підтримує підписання. Увімкнувши це, створюватимуться записи журналу подій у програмах і службах Журнали\Microsoft\Windows\SMBClient\Audit з ідентифікатором події 31999. Рекомендований стан для цього параметра: увімкнено.

Організації повинні знати про весь непідписаний трафік SMB у своєму середовищі. Старший Протоколи SMB, які не використовують підписування, можуть зробити середовище вразливим для багатьох типи атак, включаючи атаки перехоплення SMB.

Увесь непідписаний трафік SMB реєструватиметься як подія.

18.6.7.3 Переконайтеся, що для параметра «Аудит незахищеного входу в систему» ​​встановлено значення «Увімкнено» (Автоматизовано)

Ця політика визначає, чи буде сервер блокування повідомлень сервера (SMB) реєструвати події коли клієнт увійшов як гостьовий обліковий запис. Увімкнувши це, створюватимуться записи журналу подій у програмах і службах Журнали\Microsoft\Windows\SMBServer\Security з ідентифікаторами подій 3023, 31017, 31018, і 31022. Рекомендований стан для цього параметра: увімкнено.

Файлові сервери можуть використовувати незахищені входи в систему гостя, щоб дозволити неавтентифікований доступ спільні папки.

Усі незахищені входи гостя реєструватимуться як подія.

18.6.7.4 Переконайтеся, що для параметра «Увімкнути обмеження частоти автентифікації» встановлено значення «Увімкнено» (Автоматизовано)

Ці параметри політики налаштовують автентифікацію сервера блоку повідомлень сервера (SMB). обмежувач швидкості. Обмежувач швидкості автентифікації – це функція SMB, призначена для боротися з атаками грубої сили. Рекомендований стан для цього параметра: увімкнено. Примітка. Цей параметр слід використовувати разом із параметром Установити швидкість автентифікації затримка обмежувача (мілісекунди).

Обмежувач швидкості автентифікації значно знижує ризик атак грубою силою впровадження 2-секундної затримки (за замовчуванням) між кожним невдалим NTLM або на основі PKU2U спроба автентифікації. За даними Microsoft, якщо загроза надсилає 300 спроб грубої сили на секунду з клієнта протягом 5 хвилин, що дорівнює 90 000 паролів, стільки ж спроб тепер займає 50 годин або більше.

Немає – це типова поведінка.

18.6.7.5 Переконайтеся, що для параметра «Увімкнути віддалені поштові слоти» встановлено значення «Вимкнено» (Автоматизовано)

Ці налаштування політики визначають, чи використовуватиме сервер SMB віддалені поштові слоти через служба комп’ютерного браузера. Протокол віддалених поштових слотів є старим, простим, ненадійним, і незахищений міжпроцесний метод зв’язку. Рекомендований стан для цього параметра: вимкнено.

Віддалені поштові слоти – це застарілий протокол, який використовує SMBv1 для роботи. Цей протокол є пов’язані з відомими вразливими місцями, такими як відмова в обслуговуванні, переповнення буфера та віддалене атаки на виконання коду.

Якщо функція віддалених поштових слотів працювала, вона більше не працюватиме. Попередження: це налаштування може заважати кластеризації Windows.

18.6.7.6 Переконайтеся, що для параметра «Надати мінімальну версію SMB» встановлено значення «Увімкнено: 3.1.1» (Автоматизовано)

Ці параметри політики керують мінімальною версією блоку повідомлень сервера (SMB) протокол, який можна використовувати в системі. Рекомендований стан для цього параметра: Увімкнено: 3.1.1. Примітка. Цей параметр групової політики не перешкоджає використанню SMBv1, якщо його інстальовано та увімкнено в системі. Якщо наведені нижче рекомендації налаштовано відповідно до вимог у цьому тесті SMBv1 буде вимкнено в системі: Налаштуйте клієнт SMB v1 драйвера та налаштування сервера SMB v1.

Нова, сучасніша версія SMB (v3) підтримується та доступна на всіх наразі підтримувані ОС Microsoft Windows. SMBv1 більше не ввімкнено за замовчуванням через його ризики безпеки, і хоча SMBv2 є більш надійним, ніж v1, він не підтримує шифрування, як і його наступник.

Якщо є старі (непідтримувані) ОС Windows, які не підтримують SMB v3.1.1 у середовищі, цей параметр може вплинути на зворотну сумісність із ними. Наприклад, Windows 8.1 і Windows Server 2012 R2 і старіші версії. Цей параметр може також запобігти підключенню сторонніх клієнтів, які не підтримують SMB v3.1.1.

18.6.8.1 Переконайтеся, що для параметра «Аудит незахищеного входу в систему» ​​встановлено значення «Увімкнено» (Автоматизовано)

Ця політика визначає, чи реєструватиме події клієнт блоку повідомлень сервера (SMB). коли клієнт увійшов як гостьовий обліковий запис. Увімкнувши це, створюватимуться записи журналу подій у програмах і службах Журнали\Microsoft\Windows\SMBClient\Security з ідентифікаторами подій 3023, 31017, 31018, і 31022. Рекомендований стан для цього параметра: увімкнено.

Файлові сервери можуть використовувати незахищені входи в систему гостя, щоб дозволити неавтентифікований доступ спільні папки.

Усі незахищені входи гостя реєструватимуться як подія.

18.6.8.2 Переконайтеся, що для параметра «Сервер аудиту не підтримує шифрування» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи буде входити клієнт блоку повідомлень сервера (SMB). події, коли сервер SMB не підтримує шифрування. Увімкнувши це, створюватимуться записи журналу подій у програмах і службах Журнали\Microsoft\Windows\SMBServer\Audit з ідентифікатором події 3021. Рекомендований стан для цього параметра: увімкнено.

Організації повинні знати про весь незашифрований трафік SMB у своєму середовищі. Старіші протоколи SMB, які не використовують шифрування, можуть зробити середовище вразливим до багатьох типів атак, включаючи атаки перехоплення SMB.

Увесь незашифрований трафік SMB реєструватиметься як подія.

18.6.8.3 Переконайтеся, що для параметра «Сервер перевірки не підтримує підписання» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи буде входити клієнт блоку повідомлень сервера (SMB). події, коли сервер SMB не підтримує підписання. Увімкнувши це, створюватимуться записи журналу подій у програмах і службах Журнали\Microsoft\Windows\SMBServer\Audit з ідентифікатором події 3022. Рекомендований стан для цього параметра: увімкнено.

Організації повинні знати про весь непідписаний трафік SMB у своєму середовищі. Старший Протоколи SMB, які не використовують підписування, можуть зробити середовище вразливим для багатьох типи атак, включаючи атаки перехоплення SMB.

Увесь непідписаний трафік SMB реєструватиметься як подія.

18.6.8.4 Переконайтеся, що для параметра «Увімкнути незахищені входи в систему гостя» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи дозволятиме клієнт SMB незахищений гостьовий вхід до сервер SMB. Рекомендований стан для цього параметра: вимкнено.

Незахищені гостьові входи використовуються файловими серверами, щоб дозволити неавтентифікований доступ до спільні папки.

Клієнт SMB відхилятиме незахищені гостьові входи. Це не було спочатку за замовчуванням у старіших версіях Windows, але Microsoft змінила поведінку за замовчуванням починаючи з Windows Server 2016 v1709: гостьовий доступ у SMB2 вимкнено за замовчуванням у Windows 10 і Windows Server 2016

18.6.8.5 Переконайтеся, що для параметра «Увімкнути віддалені поштові слоти» встановлено значення «Вимкнено» (Автоматизовано)

Ці налаштування політики визначають, чи використовуватиме клієнт SMB віддалені поштові слоти Кілька постачальників UNC (MUP). Протокол віддалених поштових слотів є старим, простим, ненадійний і незахищений метод зв’язку між процесами. Рекомендований стан для цього параметра: вимкнено.

Віддалені поштові слоти – це застарілий протокол, який використовує SMBv1 для роботи. Цей протокол є пов’язані з відомими вразливими місцями, такими як відмова в обслуговуванні, переповнення буфера та віддалене атаки на виконання коду.

Якщо функція віддалених поштових слотів працювала, вона більше не працюватиме. Попередження: це налаштування може заважати кластеризації Windows.

18.6.8.6 Переконайтеся, що для параметра «Надати мінімальну версію SMB» встановлено значення «Увімкнено: 3.1.1» (Автоматизовано)

Ці параметри політики керують мінімальною версією блоку повідомлень сервера (SMB) протокол, який можна використовувати в системі. Рекомендований стан для цього параметра: Увімкнено: 3.1.1. Примітка. Цей параметр групової політики не перешкоджає використанню SMBv1, якщо його інстальовано та увімкнено в системі. Якщо наведені нижче рекомендації налаштовано відповідно до вимог у цьому тесті SMBv1 буде вимкнено в системі: Налаштуйте клієнт SMB v1 драйвера та налаштування сервера SMB v1.

Нова, сучасніша версія SMB (v3) підтримується та доступна на всіх наразі підтримувані ОС Microsoft Windows. SMBv1 більше не ввімкнено за замовчуванням через його ризики безпеки, і хоча SMBv2 є більш надійним, ніж v1, він не підтримує шифрування, як і його наступник.

Якщо є старі (непідтримувані) ОС Windows, які не підтримують SMB v3.1.1 у середовищі, цей параметр може вплинути на зворотну сумісність із ними. Наприклад, Windows 8.1 і Windows Server 2012 R2 і старіші версії. Цей параметр може також впливають на підключення до сторонніх пристроїв і пристроїв, які не підтримують SMB v3.1.1.

18.6.8.7 Переконайтеся, що для параметра «Вимагати шифрування» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи потребуватиме клієнт SMB шифрування. Рекомендований стан для цього параметра: увімкнено. Попередження: Сервер SMB має підтримувати та ввімкнути шифрування SMB (потрібно SMB v3.0 або новішої).

Нова, сучасніша версія SMB (v3) підтримується та доступна на всіх наразі підтримувані ОС Microsoft Windows. SMBv1 більше не ввімкнено за замовчуванням через його ризики безпеки, і хоча SMBv2 є більш надійним, ніж v1, він не підтримує шифрування, як і його наступник.

Якщо наявні застарілі (непідтримувані) ОС Windows, які не підтримують шифрування у середовищі цей параметр може вплинути на зворотну сумісність із ними. для наприклад, Windows 7 і Windows Server 2008 R2 і старіші версії. Цей параметр також може впливають на підключення до сторонніх пристроїв і пристроїв, які не підтримують SMB v3.0.

18.6.9.1 Переконайтеся, що для параметра «Увімкнути драйвер введення-виведення Mapper (LLTDIO)» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики змінює робочу поведінку мережевого протоколу Mapper I/O водій. LLDTIO дозволяє комп’ютеру виявляти топологію мережі, до якої він підключений. Це також дозволяє комп’ютеру ініціювати запити якості обслуговування, наприклад пропускної здатності оцінка та аналіз справності мережі. Рекомендований стан для цього параметра: вимкнено.

Щоб допомогти захиститися від можливого виявлення та підключення до несанкціонованих пристроїв, цей параметр має бути вимкнено, щоб запобігти відповіді на мережевий трафік для мережі відкриття топології.

Деякі програми в режимі реального часу можуть мати проблеми з короткими розривами з’єднання з мережею. для більше інформації відвідайте: Відключення мережі після налаштування LLDTIO та Об’єкти групової політики RSPNDR – Windows Server | Microsoft Learn.

18.6.9.2 Переконайтеся, що для параметра «Драйвер увімкнути відповідач (RSPNDR)» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики змінює робочу поведінку мережевого протоколу відповідача водій. Відповідач дозволяє комп’ютеру брати участь у виявленні топології рівня зв’язку запити, щоб його можна було виявити та знайти в мережі. Це також дозволяє a комп’ютер для участі в діяльності з контролю якості обслуговування, наприклад оцінці пропускної здатності та аналіз справності мережі. Рекомендований стан для цього параметра: вимкнено.

Щоб допомогти захиститися від можливого виявлення та підключення до несанкціонованих пристроїв, цей параметр має бути вимкнено, щоб запобігти відповіді на мережевий трафік для мережі відкриття топології.

Деякі програми в режимі реального часу можуть мати проблеми з короткими розривами з’єднання з мережею. для більше інформації відвідайте: Відключення мережі після налаштування LLDTIO та Об’єкти групової політики RSPNDR – Windows Server | Microsoft Learn.

18.6.10.2 Переконайтеся, що для параметра «Вимкнути служби однорангової мережі Microsoft» встановлено значення «Увімкнено» (Автоматизовано)

Протокол розпізнавання імен однорангових пристроїв (PNRP) дозволяє розподілено розпізнавати імена на адресу IPv6 і номер порту. Протокол працює в контексті хмар. А хмара — це набір однорангових комп’ютерів, які можуть спілкуватися один з одним за допомогою однаковий обсяг IPv6. Протоколи Peer-to-Peer дозволяють використовувати програми в таких сферах, як RTC, співпраця, контент розподіл і розподілена обробка. Рекомендований стан для цього параметра: увімкнено.

Цей параметр підвищує безпеку середовища та знижує загальний ризик вплив, пов’язаний з одноранговими мережами.

Однорангові мережеві служби Microsoft вимкнено повністю та все програми, залежні від них, перестануть працювати.

18.6.11.2 Переконайтеся, що для параметра «Заборонити встановлення та конфігурацію мережевого мосту у вашій мережі домену DNS» встановлено значення «Увімкнено» (Автоматизовано)

Ви можете використовувати цю процедуру, щоб керувати здатністю користувача встановлювати та налаштовувати мережу Міст. Рекомендований стан для цього параметра: увімкнено.

Параметр «Мережевий міст», якщо його ввімкнено, дозволяє користувачам створювати доступ до медіа рівня 2 Контрольний (MAC) міст, що дозволяє їм з’єднувати дві або більше фізичних мереж сегменти разом. Таким чином, мережевий міст дозволяє комп’ютеру, який має підключення до дві різні мережі для обміну даними між цими мережами. У корпоративному керованому середовищі, де необхідно контролювати мережевий трафік лише авторизовані шляхи, дозволяючи користувачам створювати мережевий міст, збільшує ризик і поверхню атаки з мостової мережі.

Користувачі не можуть створити або налаштувати мережевий міст.

18.6.11.3 Переконайтеся, що для параметра «Заборонити використання спільного доступу до підключення до Інтернету у вашій доменній мережі DNS» встановлено значення «Увімкнено» (Автоматизовано)

Хоча цей «застарілий» параметр традиційно застосовувався до використання підключення до Інтернету Спільний доступ (ICS) у Windows 2000, Windows XP і Server 2003, це налаштування оновлено застосовується до функції Mobile Hotspot у Windows 10 і Server 2016. Рекомендований стан для цього параметра: увімкнено.

Особи, які не є адміністраторами, не повинні мати можливість увімкнути функцію мобільної точки доступу та відкрити її підключення до мобільних пристроїв поблизу.

Мобільну точку доступу не можуть увімкнути або налаштувати адміністратори та не Адміністратори однакові.

18.6.11.4 Переконайтеся, що для параметра «Вимагати від користувачів домену підвищувати рівень під час встановлення розташування мережі» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи вимагати від користувачів домену підвищення під час налаштування розташування мережі. Рекомендований стан для цього параметра: увімкнено.

Дозвол звичайним користувачам встановлювати мережеве розташування збільшує ризик і поверхню для атаки.

Користувачі домену повинні підвищити рівень під час встановлення розташування мережі.

18.6.19.2.1 Вимкнути IPv6 (переконайтеся, що для параметра TCPIP6 «DisabledComponents» встановлено значення «0xff (255)») (Автоматизовано)

Інтернет-протокол версії 6 (IPv6) — це набір протоколів, які комп’ютери використовують для обміну інформації в Інтернеті, а також через домашню та робочу мережі. IPv6 дозволяє потрібно призначити набагато більше IP-адрес, ніж IPv4. Старіші мережі, хости та операційні системи можуть не підтримувати протокол IPv6. Рекомендований стан для цього параметра: DisabledComponents – 0xff (255).

Оскільки переважна більшість керованих мереж приватних підприємств не потребує використання IPv6 (оскільки вони мають доступ до приватної адресації IPv4), вимикаючи IPv6 компонентів усуває можливу поверхню атаки, що також ускладнює моніторинг трафіку на. Тому ми рекомендуємо налаштувати IPv6 у стан Disabled, коли це не так необхідний. Налаштування цієї рекомендації для запропонованого стану CIS пом’якшує CVE-2024- 38063, уразливість віддаленого виконання коду TCP/IP.

Підключення до інших систем за допомогою IPv6 більше не працюватиме, а програмне забезпечення залежить від IPv6 перестане працювати. Приклади програм Microsoft, які можуть використовувати IPv6 включає: Remote Assistance, HomeGroup, DirectAccess, Windows Mail. Ця зміна реєстру задокументована в статті бази знань Microsoft Knowledge Base 929852: Як щоб вимкнути IPv6 або його компоненти в Windows. Примітка. Ця зміна реєстру не набуде чинності до наступного перезавантаження.

18.6.20.1 Переконайтеся, що для параметра «Конфігурація параметрів бездротового зв’язку за допомогою Windows Connect Now» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики дозволяє конфігурувати параметри бездротового зв’язку за допомогою Windows Connect Зараз (WCN). Реєстратор WCN дозволяє виявляти та конфігурувати пристрої через Ethernet (UPnP) через внутрішньосмугову мережу Wi-Fi 802.11 через портативний пристрій Windows API (WPD) і через USB Flash накопичувачі. Для виявлення доступні додаткові параметри і конфігурація на певному носії. Рекомендований стан для цього параметра: вимкнено.

Цей параметр підвищує безпеку середовища та знижує загальний ризик вплив, пов’язаний із конфігурацією користувачем параметрів бездротового зв’язку. Додатково, згідно з Microsoft, Windows Connect Now було створено як рішення для домашньої мережі та малих підприємств і не призначений для корпоративних сценаріїв.

Операції WCN вимкнено на всіх носіях.

18.6.20.2 Переконайтеся, що для параметра «Заборонити доступ майстрів Windows Connect Now» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики забороняє доступ до майстрів Windows Connect Now (WCN). Рекомендований стан для цього параметра: увімкнено.

Надання звичайним користувачам доступу до майстра Windows Connect Now збільшує ризик і поверхні атаки. Крім того, за словами Microsoft, Windows Connect Now була створено як рішення для домашніх мереж і малого бізнесу і не призначене для корпоративні сценарії.

Майстри WCN вимкнено, і користувачі не мають доступу до жодного із завдань майстра. Усі завдання, пов’язані з налаштуванням, включаючи «Налаштування бездротового маршрутизатора або точки доступу» і «Додати бездротовий пристрій» вимкнено.

18.7.1 Переконайтеся, що для параметра «Дозволити спулеру друку приймати підключення клієнтів» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи буде служба диспетчера друку приймати клієнта з’єднання. Рекомендований стан для цього параметра: вимкнено. Примітка. Щоб змінити цю політику, потрібно перезапустити службу друку ефект. Попередження: для серверів друку потрібно зробити виняток із цієї рекомендації щоб вони функціонували належним чином. Користувачі не зможуть друкувати на сервері, коли клієнт підключення вимкнено.

Вимкнення можливості для служби диспетчера друку приймати клієнтські з’єднання пом’якшує проблему віддалені атаки на вразливість PrintNightmare (CVE-2021-34527) та інші віддалені атаки Print Spooler. Однак ця рекомендація не пом’якшує локальні атаки на службу Print Spooler.

За умови, що службу Print Spooler не вимкнено, програми ввімкнено, а користувачі ввійшли на сервери й надалі зможуть друкувати з сервера. Однак спулер друку служба не прийматиме підключення клієнтів і не дозволить користувачам спільно використовувати принтери. Зверніть увагу, що всі принтери, до яких уже було надано спільний доступ, продовжуватимуть використовувати спільний доступ. Попередження: для серверів друку потрібно зробити виняток із цієї рекомендації щоб вони функціонували належним чином. Користувачі не зможуть друкувати на сервері, коли клієнт підключення вимкнено.

18.7.2 Переконайтеся, що для параметра Configure Redirection Guard встановлено значення Enabled: Redirection Guard Enabled (Автоматизовано)

Цей параметр політики визначає, чи ввімкнено Redirection Guard для друку спулер. Redirection Guard може запобігти використанню перенаправлення файлів під час друку спулер. Рекомендований стан для цього параметра: Enabled: Redirection Guard Enabled.

Цей параметр не дозволяє особам, які не є адміністраторами, переспрямовувати файли в спулері друку процес.

Немає – це типова поведінка.

18.7.5 Переконайтеся, що для параметра «Налаштувати параметри прослуховування RPC: протоколи для вхідних з’єднань RPC» встановлено значення «Увімкнено: RPC через TCP» (Автоматизовано)

Цей параметр політики контролює, які протоколи вхідного виклику віддаленої процедури (RPC) дозволено використовувати підключення до спулера друку. Рекомендований стан для цього параметра: Увімкнено: RPC через TCP.

Цей параметр може запобігти використанню іменованих каналів для підключень RPC до друку спулер і змушує використовувати TCP, який є більш безпечним методом зв’язку.

Попередження: у багатьох існуючих конфігураціях друку можуть використовуватися канали зі старішими назвами протоколу і тому перестане функціонувати.

18.7.7 Переконайтеся, що для параметра «Налаштувати RPC через порт TCP» встановлено значення «Увімкнено: 0» (Автоматизовано)

Цей параметр політики визначає, який порт використовується для RPC через TCP для вхідних повідомлень підключення до спулера друку та вихідні з’єднання з віддаленими спулерами друку. Рекомендований стан для цього параметра: Увімкнено: 0.

Використання динамічних портів для друку робить загрозливим діячам складніше визначити, які саме порт використовується і, отже, який порт атакувати.

Якщо ваше поточне середовище друку налаштовано для певного порту TCP, цей параметр може потрібна зміна брандмауера (якщо є) для продовження друку.

18.7.8 Переконайтеся, що для параметра «Налаштувати конфіденційність на рівні пакетів RPC для вхідних з’єднань» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики контролює конфіденційність на рівні пакетів для віддаленого виклику процедури (RPC) вхідні з’єднання. Рекомендований стан для цього параметра: увімкнено.

Вразливість обходу безпеки (CVE-2021-1678 | Спуфінг диспетчера друку Windows Уразливість) існує в тому, як прив’язка RPC принтера обробляє автентифікацію для віддалений інтерфейс Winspool. Увімкнення параметра конфіденційності пакетів RPC для вхідних повідомлень підключень змушує сервер підвищити рівень автентифікації, щоб мінімізувати ця вразливість.

Немає – це типова поведінка.

18.7.9 Переконайтеся, що для параметра «Налаштувати захищений друк Windows» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи ввімкнено в системі захищений друк Windows. Захищений друк Windows використовує сучасну платформу друку та захищений друк Windows режим. Сучасний друк розроблено для роботи лише з принтерами, сертифікованими Mopria. Mopria – це a колекція виробників принтерів і постачальників програмного забезпечення, які визначають стандарти для IPP друк і сканування eSCL. Рекомендований стан для цього параметра: увімкнено. Примітка. Захищений друк Windows не забороняє адміністраторам або користувачам інсталювати драйвери принтера сторонніх виробників за допомогою інсталяційного пакета, що надається пристроєм друку виробник.

У вересні 2023 року Microsoft оголосила про завершення плану обслуговування застарілих версій партія драйверів принтера. У липні 2025 року Microsoft не публікуватиме нові драйвери принтера для Windows Update, а до липня 2027 року (за винятком виправлень, пов’язаних із безпекою), сторонній принтер оновлення драйверів більше не розгортатимуться. Захищений друк Windows також захищає весь стек друку від атак. Відповідно до на думку корпорації Майкрософт, захищений друк Windows може пом’якшити більше половини безпеки, про яку повідомлялося раніше проблеми з друком Windows.

Використання будь-якого принтера, який не підтримує Mopra, буде заборонено. Крім того, лише сертифіковані Mopria драйвери друку продовжуватимуть розгортатися через Windows Update.

18.7.10 Переконайтеся, що для параметра «Обмежує встановлення драйвера друку адміністраторами» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи можуть користувачі, які не є адміністраторами, установлювати друк драйвери в системі. Рекомендований стан для цього параметра: увімкнено. Примітка. 10 серпня 2021 року корпорація Майкрософт оголосила про поведінку за замовчуванням «Вказати та друкувати». Зміна, яка змінює інсталяцію та оновлення драйвера Point and Print за замовчуванням поведінка вимагає прав адміністратора. Це задокументовано в KB5005652— Керуйте новою поведінкою встановлення драйвера Point and Print за замовчуванням (CVE-2021-34481).

Обмеження встановлення приводів друку адміністраторами може допомогти пом’якшити проблему Уразливість PrintNightmare (CVE-2021-34527) та інші атаки Print Spooler.

Немає – це типова поведінка.

18.7.11 Переконайтеся, що для параметра «Керування обробкою файлів, специфічних для черги» встановлено значення «Увімкнено: обмежити файли, специфічні для черги, профілями кольорів» (Автоматизовано)

Цей параметр політики керує обробкою файлів черги під час друку установка. Під час інсталяції принтера інсталяційна програма, що надається постачальником, може вкажіть набір файлів будь-якого типу, які будуть пов’язані з певною чергою друку. Файли завантажуються на кожен клієнт, який підключається до сервера друку. Рекомендований стан для цього параметра: увімкнено: обмеження файлів, що стосуються черги до кольорових профілів.

Уразливість віддаленого виконання коду Windows Print Spooler (CVE-2021-36958) існує, коли служба Windows Print Spooler неправильно виконує привілейований файл операції. Зловмисник, який успішно використовує цю вразливість, може працювати довільно кодувати з правами SYSTEM, а потім інсталювати програми; переглядати, змінювати або видаляти дані; або створити нові облікові записи з повними правами користувача.

Немає – це типова поведінка.

18.7.14 Переконайтеся, що для параметра «Вимагати IPPS для принтерів IPP» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи зв’язок із принтерами за допомогою Microsoft Драйвер класу протоколу друку Інтернету (IPP) використовує IPPS. IPPS використовує TLS для захисту спілкування. Рекомендований стан для цього параметра: увімкнено.

Щоб запобігти перехопленню або підробці даних принтера, IPPS шифрує весь зв’язок між клієнтом і принтером.

Це може вплинути на принтери IPP, які використовують самопідписані або локально видані сертифікати не функціонує належним чином. Будь-які спроби встановити несумісні IPP-принтери будуть невдалими створити подію в журналі програми. Попередження. Рекомендується перевірити всі принтери та, якщо вони відповідають вимогам вимоги, а потім увімкніть цю політику.

18.7.15 Переконайтеся, що для параметра «Установити політику безпеки TLS/SSL для принтерів IPP: заборонити недійсний центр сертифікації» встановлено значення «Увімкнено: позначено» (Автоматизовано)

Цей параметр політики визначає політику безпеки TLS/SSL (WINHTTP_OPTION_SECURITY_FLAGS) для принтерів, які використовують Microsoft Internet Драйвер класу протоколу друку (IPP). Рекомендований стан цього параметра: увімкнено: позначено.

Перевірка сертифіката допомагає запобігти підробленим або неавторизованим принтерам, зменшує ризик викрадення облікових даних і захищає конфіденційні завдання друку від перенаправлення.

Система забезпечує перевірку сертифіката та блокує друк кожного сертифіката виявлені помилки. Попередження. Рекомендується перевірити всі принтери та, якщо вони відповідають вимогам вимоги, а потім увімкніть цю політику.

18.7.16 Переконайтеся, що для параметра «Установити політику безпеки TLS/SSL для принтерів IPP: заборонити несерверні сертифікати» встановлено значення «Увімкнено: позначено» (Автоматизовано)

Цей параметр політики визначає політику безпеки TLS/SSL (WINHTTP_OPTION_SECURITY_FLAGS) для принтерів, які використовують Microsoft Internet Драйвер класу протоколу друку (IPP). Рекомендований стан цього параметра: увімкнено: позначено.

Перевірка сертифіката допомагає запобігти підробленим або неавторизованим принтерам, зменшує ризик викрадення облікових даних і захищає конфіденційні завдання друку від перенаправлення.

Система забезпечує перевірку сертифіката та блокує друк кожного сертифіката виявлені помилки. Попередження. Рекомендується перевірити всі принтери та, якщо вони відповідають вимогам вимоги, а потім увімкніть цю політику.

18.7.18 Переконайтеся, що для параметра «Установити політику безпеки TLS/SSL для принтерів IPP: заборонити недійсну дату сертифіката» встановлено значення «Увімкнено: перевірено» (Автоматизовано)

Цей параметр політики визначає політику безпеки TLS/SSL (WINHTTP_OPTION_SECURITY_FLAGS) для принтерів, які використовують Microsoft Internet Драйвер класу протоколу друку (IPP). Рекомендований стан цього параметра: увімкнено: позначено.

Перевірка сертифіката допомагає запобігти підробленим або неавторизованим принтерам, зменшує ризик викрадення облікових даних і захищає конфіденційні завдання друку від перенаправлення.

Система забезпечує перевірку сертифіката та блокує друк кожного сертифіката виявлені помилки. Попередження. Рекомендується перевірити всі принтери та, якщо вони відповідають вимогам вимоги, а потім увімкніть цю політику.

18.8.1.1 Переконайтеся, що для параметра «Вимкнути сповіщення про використання мережі» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики блокує додаткам використання мережі для надсилання сповіщень оновити плитки, значки плиток, тости або необроблені сповіщення. Цей параметр політики вимикає з’єднання між Windows і службою Windows Push Notification Service (WNS). Це Налаштування політики також забороняє програмам опитувати служби програм оновити плитки. Рекомендований стан для цього параметра: увімкнено.

Windows Push Notification Services (WNS) — це механізм отримання сторонніх повідомлень сповіщення та оновлення з хмари/Інтернету. У середовищі високого рівня безпеки, зовнішні системи, особливо ті, що розміщені за межами організації, слід запобігати від впливу на безпечні робочі станції.

Програми та системні функції не зможуть отримувати сповіщення з мережі із WNS або через API опитування сповіщень.

18.9.3.1 Переконайтеся, що для параметра «Включити командний рядок у події створення процесу» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики контролює, чи ввімкнено текст командного рядка створення процесу події аудиту безпеки під час створення нового процесу. Рекомендований стан для цього параметра: увімкнено. Примітка. Ця функція, якою керує цей параметр, спочатку не підтримувалася в серверних ОС старше за Windows Server 2012 R2. Однак у лютому 2015 року Microsoft додала підтримка цієї функції для Windows Server 2008 R2 і Windows Server 2012 (не R2) через оновлення – KB3004375. Тому цей параметр також важливо встановити на них старіші ОС.

Запис інформації командного рядка процесу в журнали подій може бути дуже цінним, коли проведення судово-медичних розслідувань нападів.

Інформація командного рядка процесу буде включена в журнали подій, які можуть містити конфіденційну або конфіденційну інформацію, таку як паролі або дані користувача. Попередження: існують потенційні ризики захоплення облікових даних і конфіденційної інформації які можуть бути відкритими для користувачів, які мають доступ для читання журналів подій. Microsoft забезпечує функцію під назвою «Захищене ведення журналу подій» для кращого захисту даних журналу подій. для допомогу щодо захисту журналювання подій відвідайте: Про журналювання Windows – PowerShell | Microsoft Docs.

18.9.4.1 Переконайтеся, що для «Encryption Oracle Remediation» встановлено значення «Enabled: Force Updated Clients» (Автоматизовано)

Деякі версії протоколу CredSSP, які використовуються деякими програмами (наприклад, Remote Desktop Connection) є вразливими до атаки оракула шифрування проти клієнт. Ця політика контролює сумісність із вразливими клієнтами та серверами та дозволяє ви можете встановити бажаний рівень захисту для вразливості оракула шифрування. Рекомендований стан для цього параметра: увімкнено: примусово оновлювати клієнтів.

Цей параметр важливий для пом’якшення вразливості оракула шифрування CredSSP яку інформацію опублікувала Microsoft 13.03.2018 у CVE-2018-0886 | Уразливість віддаленого виконання коду CredSSP. Усі версії Windows Server від Сервер 2008 (не R2) і новіші піддаються впливу цієї вразливості та будуть сумісні з цією рекомендацією за умови, що вони були виправлені до травня 2018 року (або пізніше).

Клієнтські програми, які використовують CredSSP, не зможуть повернутися до незахищеного версії та служби, що використовують CredSSP, не прийматимуть клієнтів без виправлень. Цей параметр не слід розгортати, доки всі віддалені хости не підтримають найновішу версію, тобто досягнуто шляхом забезпечення наявності всіх оновлень безпеки Microsoft принаймні до травня 2018 року встановлено.

18.9.4.2 Переконайтеся, що для параметра «Віддалений хост дозволяє делегування неекспортованих облікових даних» установлено значення «Увімкнено» (Автоматизовано)

Під час делегування облікових даних пристрої надають версію облікових даних для експорту на віддалений хост. Це наражає користувачів на ризик викрадення облікових даних з боку зловмисників на віддаленому хості. Обмежений режим адміністратора та Windows Defender Remote Функції Credential Guard — це два варіанти захисту від цього ризику. Рекомендований стан для цього параметра: увімкнено. Примітка. Більш детальна інформація про Windows Defender Remote Credential Guard і його порівняння з режимом обмеженого адміністратора можна знайти за цим посиланням: Protect Remote Облікові дані робочого стола за допомогою Windows Defender Remote Credential Guard (Windows 10) | Microsoft Docs

Обмежений режим адміністратора розроблено для захисту облікових записів адміністратора переконавшись, що багаторазові облікові дані не зберігаються в пам’яті на віддалених пристроях, які потенційно можуть бути скомпрометовані. Windows Defender Remote Credential Guard допомагає ви захищаєте свої облікові дані через підключення до віддаленого робочого стола, перенаправляючи Kerberos запити назад до пристрою, який запитує з’єднання. Обидві функції повинні бути увімкнено та підтримується, оскільки вони зменшують ймовірність крадіжки облікових даних.

Хост підтримуватиме обмежений режим адміністратора та Windows Defender Remote Функції Credential Guard.

18.9.5.1 Переконайтеся, що для параметра «Увімкнути безпеку на основі віртуалізації» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи ввімкнено захист на основі віртуалізації. Безпека на основі віртуалізації використовує гіпервізор Windows для забезпечення підтримки служби безпеки. Рекомендований стан для цього параметра: увімкнено Примітка. Безпека на основі віртуалізації потребує 64-розрядної версії Windows із технологією Secure Завантаження ввімкнено, що, у свою чергу, вимагає, щоб Windows була інстальована з UEFI BIOS конфігурація, а не застаріла конфігурація BIOS. Крім того, якщо Windows працює на a віртуальна машина, апаратна функція віртуалізації ЦП (Intel VT-x або AMD-V) повинні бути представлені хостом для гостьової віртуальної машини. Додаткову інформацію про системні вимоги для цієї функції можна знайти в Windows Вимоги Defender Credential Guard (Windows 10) | Microsoft Docs Примітка №2: Credential Guard і Device Guard наразі не підтримуються під час використання Віртуальні машини Azure IaaS.

Kerberos, NTLM і менеджер облікових даних виділяють секрети за допомогою віртуалізації безпеки. Попередні версії Windows зберігали секрети в локальному центрі безпеки (LSA). До Windows 10 LSA зберігав секрети, які використовувала операційна система пам’ять процесу. Якщо Windows Defender Credential Guard увімкнено, процес LSA в операційній системі спілкується з новим компонентом, який називається ізольованим процесом LSA зберігає та захищає ці секрети. Дані, збережені ізольованим процесом LSA, захищені використовує захист на основі віртуалізації та недоступний для решти операційної системи система.

Попередження: усі драйвери в системі мають бути сумісні з цією функцією або системою може вийти з ладу. Переконайтеся, що цей параметр політики розгорнуто лише на комп’ютерах, які є відомо, що вони сумісні. Попередження №2: увімкнення Windows Defender Credential Guard на контролерах домену не підтримується. Контролер домену містить служби автентифікації, які інтегруються з процеси, ізольовані, коли ввімкнено Credential Guard Захисника Windows, що спричиняє збої.

18.9.5.2 Переконайтеся, що для параметра «Увімкнути безпеку на основі віртуалізації: виберіть рівень безпеки платформи» встановлено значення «Безпечне завантаження» або вище (Автоматизовано)

Цей параметр політики визначає, чи ввімкнено захист на основі віртуалізації (VBS). VBS використовує гіпервізор Windows для підтримки служб безпеки. Рекомендований стан для цього параметра: Безпечне завантаження. Налаштування цього параметра на Безпечне завантаження та захист DMA також відповідають тесту. Примітка. Для VBS потрібна 64-розрядна версія Windows із увімкненим безпечним завантаженням, яка в у свою чергу вимагає, щоб Windows була інстальована з конфігурацією UEFI BIOS, а не із Legacy Конфігурація BIOS. Крім того, якщо Windows працює на віртуальній машині, апаратне функція віртуалізації центрального процесора (Intel VT-x або AMD-V) повинна бути доступна хостом гостю В.М. Додаткову інформацію про системні вимоги для цієї функції можна знайти в Windows Вимоги Defender Credential Guard (Windows 10) | Microsoft Docs Примітка №2: Credential Guard і Device Guard наразі не підтримуються під час використання Віртуальні машини Azure IaaS.

Безпечне завантаження може допомогти зменшити ризик атак завантажувача та в поєднанні з DMA засоби захисту, які допомагають захистити дані від збирання з пам’яті.

Вибір опції Secure Boot забезпечує системі максимальний рівень захисту підтримується апаратним забезпеченням комп’ютера. Система з пам’яттю введення/виведення блоки керування (IOMMU) матимуть Secure Boot із захистом DMA. Система без IOMMU просто буде ввімкнено безпечне завантаження без захисту DMA. Для вибору опції безпечного завантаження із захистом DMA система потребує наявності IOMMU, щоб увімкнути VBS. Без апаратної підтримки IOMMU VBS буде вимкнено. Попередження: усі драйвери в системі мають бути сумісні з цією функцією або системою може вийти з ладу. Переконайтеся, що цей параметр політики розгорнуто лише на комп’ютерах, які є відомо, що вони сумісні.

18.9.5.4 Переконайтеся, що для параметра «Увімкнути безпеку на основі віртуалізації: вимагати таблицю атрибутів пам’яті UEFI» встановлено значення «Правда (позначено)» (Автоматизовано)

Цей параметр увімкне лише захист цілісності коду на основі віртуалізації на пристроях із підтримкою мікропрограми UEFI для таблиці атрибутів пам’яті. Пристрої без UEFI Таблиця атрибутів пам’яті може мати вбудоване програмне забезпечення, несумісне з віртуалізацією Базований захист цілісності коду, який у деяких випадках може призвести до збоїв або даних втрата або несумісність із певними плагінами. Якщо цей параметр не встановлено, цільовий пристрої повинні бути перевірені на сумісність. Рекомендований стан для цього параметра: True (вибрано) Примітка. Безпека на основі віртуалізації потребує 64-розрядної версії Windows із технологією Secure Завантаження ввімкнено, що, у свою чергу, вимагає, щоб Windows була інстальована з UEFI BIOS конфігурація, а не застаріла конфігурація BIOS. Крім того, якщо Windows працює на a віртуальна машина, апаратна функція віртуалізації ЦП (Intel VT-x або AMD-V) повинні бути представлені хостом для гостьової віртуальної машини. Додаткову інформацію про системні вимоги для цієї функції можна знайти в Windows Вимоги Defender Credential Guard (Windows 10) | Microsoft Docs Примітка №2: Credential Guard і Device Guard наразі не підтримуються під час використання Віртуальні машини Azure IaaS.

Цей параметр допоможе захистити цей елемент керування від увімкнення в системі, яка його не вмикає сумісність, що може призвести до збою або втрати даних.

Попередження: усі драйвери в системі мають бути сумісні з цією функцією або системою може вийти з ладу. Переконайтеся, що цей параметр політики розгорнуто лише на комп’ютерах, які є відомо, що вони сумісні.

18.9.5.6 Переконайтеся, що для параметра «Увімкнути безпеку на основі віртуалізації: конфігурація Credential Guard» встановлено значення «Вимкнено» (лише DC) (Автоматизовано)

Цей параметр дозволяє користувачам увімкнути Credential Guard із захистом на основі віртуалізації захистити облікові дані. Рекомендований стан для цього параметра: вимкнено на контролерах домену. Примітка. Безпека на основі віртуалізації потребує 64-розрядної версії Windows із технологією Secure Завантаження ввімкнено, що, у свою чергу, вимагає, щоб Windows була інстальована з UEFI BIOS конфігурація, а не застаріла конфігурація BIOS. Крім того, якщо Windows працює на a віртуальна машина, апаратна функція віртуалізації ЦП (Intel VT-x або AMD-V) повинні бути представлені хостом для гостьової віртуальної машини. Додаткову інформацію про системні вимоги для цієї функції можна знайти в Windows Вимоги Defender Credential Guard (Windows 10) | Microsoft Docs Примітка №2: Credential Guard і Device Guard наразі не підтримуються під час використання Віртуальні машини Azure IaaS.

Credential Guard не корисний на контролерах домену та може спричинити їх збої.

Немає – це типова поведінка. Попередження: увімкнення Windows Defender Credential Guard на контролерах домену не є підтримується. Контролер домену містить служби автентифікації, які інтегруються з процеси, ізольовані, коли ввімкнено Credential Guard Захисника Windows, що спричиняє збої. Керування Credential Guard Windows Defender (Windows 10) | Microsoft Docs

18.9.5.7 Переконайтеся, що для параметра «Увімкнути безпеку на основі віртуалізації: конфігурація безпечного запуску» встановлено значення «Увімкнено» (Автоматизовано)

Secure Launch захищає середовище безпеки на основі віртуалізації від зловживання уразливості в прошивці пристрою. Рекомендований стан для цього параметра: увімкнено. Примітка. Безпека на основі віртуалізації потребує 64-розрядної версії Windows із технологією Secure Завантаження ввімкнено, що, у свою чергу, вимагає, щоб Windows була інстальована з UEFI BIOS конфігурація, а не застаріла конфігурація BIOS. Крім того, якщо Windows працює на a віртуальна машина, апаратна функція віртуалізації ЦП (Intel VT-x або AMD-V) повинні бути представлені хостом для гостьової віртуальної машини. Додаткову інформацію про системні вимоги для цієї функції можна знайти в Windows Вимоги Defender Credential Guard (Windows 10) | Microsoft Docs Примітка №2: Credential Guard і Device Guard наразі не підтримуються під час використання Віртуальні машини Azure IaaS.

Безпечний запуск змінює спосіб завантаження Windows для використання Intel Trusted Execution Технологія (TXT) і функції Runtime BIOS Resilience для запобігання експлойтам мікропрограм від можливості вплинути на безпеку безпеки на основі віртуалізації Windows середовище.

Попередження: усі драйвери в системі мають бути сумісні з цією функцією або системою може вийти з ладу. Переконайтеся, що цей параметр політики розгорнуто лише на комп’ютерах, які є відомо, що вони сумісні.

18.9.7.2 Переконайтеся, що для параметра «Запобігати автоматичному завантаженню програм, пов’язаних із метаданими пристрою» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики дозволяє заборонити Windows отримувати метадані пристрою з Інтернет. Рекомендований стан для цього параметра: увімкнено. Примітка. Це не завадить установці основних драйверів апаратного забезпечення, але запобігає пов’язане програмне забезпечення сторонніх розробників від автоматичного встановлення під контексті облікового запису SYSTEM.

Встановлення програмного забезпечення має здійснюватися уповноваженим системним адміністратором не стандартний користувач. Дозволяє автоматичне встановлення стороннього програмного забезпечення під контекст облікового запису SYSTEM може дозволити неавторизований доступ через бекдори або помилки інсталяційного програмного забезпечення.

Звичайні користувачі без прав адміністратора не зможуть установити асоційоване програмне забезпечення утиліти сторонніх виробників для периферійних пристроїв. Це може обмежити використання розширених функції цих пристроїв, якщо/поки адміністратор не встановить відповідну утиліту програмне забезпечення для пристрою.

18.9.13.1 Переконайтеся, що для параметра «Політика ініціалізації драйвера завантаження» встановлено значення «Увімкнено: добре, невідомо та погано, але критично» (Автоматизовано)

Цей параметр політики дозволяє вказати, на основі яких завантажувальних драйверів буде ініціалізовано класифікація, визначена завантажувальним драйвером Early Launch Antimalware. Ранній Запуск завантажувального драйвера Antimalware може повертати наступні класифікації для кожного завантажувальний драйвер: • Добре: драйвер підписаний і не змінений. • Погано: драйвер визначено як зловмисне програмне забезпечення. Рекомендовано це зробити не дозволяє ініціалізувати відомі погані драйвери. • Поганий, але необхідний для завантаження: драйвер визначено як зловмисне програмне забезпечення, але комп’ютер не може успішно завантажитися без завантаження цього драйвера. • Невідомо: цей драйвер не підтверджено вашим виявленням зловмисного програмного забезпечення додаток і не було класифіковано програмою раннього запуску Antimalware boot- запустити драйвер. Якщо ввімкнути цей параметр політики, ви зможете вибрати, які драйвери запускати ініціалізувати під час наступного запуску комп’ютера. Якщо ваша програма для виявлення зловмисного програмного забезпечення не включає програму раннього запуску завантажувальний драйвер або якщо ваш завантажувальний драйвер Early Launch Antimalware був встановлений вимкнено, цей параметр не має ефекту, і всі завантажувальні драйвери ініціалізуються. Рекомендований стан для цього параметра: Увімкнено: добре, невідомо та погано, але критичний.

Цей параметр політики допомагає зменшити вплив зловмисного програмного забезпечення, яке вже заразило ваш система.

Немає – це типова поведінка.

18.9.17.1 Переконайтеся, що для параметра «Увімкнути/вимкнути автентифікацію файлу журналу CLFS» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики налаштовує автентифікацію файлу журналу Common Log File System (CLFS). Автентифікація журналу дозволяє драйверу CLFS виявляти зловмисники зміни, внесені до файлів журналу. Рекомендований стан для цього параметра: увімкнено.

CLFS — це функція безпеки, яка посилює аналіз файлів журналу. Якщо є зміни до файлів журналу виявлено, CLFS вважатиме файл журналу небезпечним для аналізу та поверне помилку до абонент. Він також може виявляти зміни, записуючи коди автентифікації у файли журналу який поєднує дані файлу з унікальним для системи криптографічним ключем.

Немає – це типова поведінка. Попередження: файли журналу, створені в інших системах, не відкриваються, оскільки вони містять коди автентифікації, створені за допомогою унікального для системи криптографічного ключа. Щоб відкрити a файл журналу, який було створено в іншій системі, адміністратор повинен спочатку використати Команда fsutil.exe clfs authenticate для виправлення кодів автентифікації.

18.9.19.4 Переконайтеся, що для параметра «Продовжити роботу на цьому пристрої» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи дозволено пристрою Windows брати участь у досвід роботи на різних пристроях (продовження досвіду). Рекомендований стан для цього параметра: вимкнено.

Робота на різних пристроях – це коли система може отримати доступ до програми та надсилати повідомлення інші пристрої. У корпоративному керованому середовищі повинні бути лише надійні системи спілкування в мережі. Доступ до будь-якої іншої системи має бути заборонений.

Пристрій Windows не буде виявлено іншими пристроями та не може брати участь у ньому взаємодія на різних пристроях.

18.9.19.5 Переконайтеся, що для параметра «Вимкнути фонове оновлення групової політики» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики запобігає оновленню групової політики під час роботи комп’ютера використовувати. Цей параметр політики застосовується до групової політики для комп’ютерів, користувачів і домену Контролери. Рекомендований стан для цього параметра: вимкнено.

Цей параметр гарантує, що зміни групової політики набудуть чинності швидше, ніж очікування до наступного входу користувача або перезавантаження системи.

Немає – це типова поведінка.

18.9.20.1.1 Переконайтеся, що для параметра «Вимкнути завантаження драйверів принтера через HTTP» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи може комп’ютер завантажувати пакети драйверів принтера через HTTP. Щоб налаштувати друк HTTP, драйвери принтера, недоступні в стандартну установку операційної системи може знадобитися завантажити через HTTP. Рекомендований стан для цього параметра: увімкнено.

Користувачі можуть завантажити драйвери, які містять шкідливий код.

Драйвери друку неможливо завантажити через HTTP. Примітка. Цей параметр політики не забороняє клієнтському комп’ютеру друкувати на принтерах в інтрамережі чи Інтернеті через HTTP. Він забороняє лише завантажувати драйвери, які є ще не встановлено локально.

18.9.20.1.2 Переконайтеся, що для параметра «Вимкнути спільний доступ до даних персоналізації рукописного тексту» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр вимикає обмін даними з інструмента персоналізації розпізнавання рукописного тексту. Інструмент персоналізації розпізнавання рукописного тексту дозволяє користувачам планшетних ПК адаптуватися розпізнавання почерку до власного стилю письма шляхом надання зразків письма. Інструмент за бажанням може поділитися зразками написання користувача з Microsoft для покращення рукописного тексту розпізнавання в майбутніх версіях Windows. Інструмент створює звіти та передає їх до Microsoft через безпечне з’єднання. Рекомендований стан для цього параметра: увімкнено.

Почерк людини є інформацією, яка дозволяє ідентифікувати особу (PII), особливо коли вона приходить до вашого підпису. Таким чином, у багатьох середовищах це неприйнятно автоматично завантажувати ідентифікаційну інформацію на веб-сайт без явного схвалення користувача.

Користувачі планшетних ПК не можуть поділитися зразками рукописного тексту інструмент персоналізації розпізнавання від Microsoft.

18.9.20.1.3 Переконайтеся, що для параметра «Вимкнути повідомлення про помилки розпізнавання рукописного тексту» встановлено значення «Увімкнено» (Автоматизовано)

Вимикає інструмент звітування про помилки розпізнавання рукописного тексту. Інструмент звітування про помилки розпізнавання рукописного тексту дозволяє користувачам повідомляти про помилки на панелі введення планшетного ПК. Інструмент створює звіти про помилки та передає їх до Microsoft через безпечне з’єднання. Microsoft використовує ці звіти про помилки, щоб покращити розпізнавання рукописного тексту в майбутніх версіях Windows. Рекомендований стан для цього параметра: увімкнено.

Почерк людини є інформацією, яка дозволяє ідентифікувати особу (PII), особливо коли вона приходить до вашого підпису. Таким чином, у багатьох середовищах це неприйнятно автоматично завантажувати ідентифікаційну інформацію на веб-сайт без явного схвалення користувача.

Користувачі не можуть запустити інструмент звітування про помилки розпізнавання рукописного тексту або надіслати звіти про помилки до Microsoft.

18.9.20.1.4 Переконайтеся, що для параметра «Вимкнути майстер підключення до Інтернету, якщо URL-з’єднання посилається на Microsoft.com» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи може майстер підключення до Інтернету підключатися до Microsoft, щоб завантажити список постачальників послуг Інтернету (ISP). Рекомендований стан для цього параметра: увімкнено.

У корпоративному керованому середовищі ми хочемо знизити ризик несвідомого користувача розкриття конфіденційних даних.

Шлях «Вибрати список постачальників послуг Інтернету» у майстрі підключення до Інтернету викликає вихід майстра. Це не дозволяє користувачам отримати список провайдерів, які знаходиться на серверах Microsoft.

18.9.20.1.5 Переконайтеся, що для параметра «Вимкнути завантаження з Інтернету для веб-публікацій і онлайн-замовлень» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи завантажуватиме Windows список постачальників для Веб-публікації та майстри онлайн-замовлень. Рекомендований стан для цього параметра: увімкнено.

Хоча ризик мінімальний, увімкнення цього параметра зменшить можливість користувача несвідоме завантаження шкідливого вмісту за допомогою цієї функції.

Windows заборонено завантажувати постачальників; кешуються лише постачальники послуг відображаються локальний реєстр.

18.9.20.1.6 Переконайтеся, що для параметра «Вимкнути друк через HTTP» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики дозволяє вимкнути можливість клієнтського комп’ютера друкувати через HTTP, що дозволяє комп’ютеру друкувати на принтерах у внутрішній мережі та в Інтернеті. Рекомендований стан для цього параметра: увімкнено. Примітка. Цей елемент керування впливає на друк як через HTTP, так і через HTTPS.

Інформація, яка передається через HTTP через цю можливість, не захищена і можуть бути перехоплені зловмисниками. З цієї причини він не часто використовується на підприємствах керовані середовища.

Клієнтський комп’ютер не зможе друкувати на Інтернет-принтерах через HTTP або HTTPS. Примітка. Цей параметр політики впливає лише на клієнтську сторону Інтернет-друку. Незалежно від якщо він налаштований, комп’ютер може діяти як сервер Інтернет-друку та робити його спільні принтери, доступні через HTTP.

18.9.20.1.7 Переконайтеся, що для параметра «Вимкнути реєстрацію, якщо URL-з’єднання посилається на Microsoft.com» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи підключається майстер реєстрації Windows до Microsoft.com для онлайн-реєстрації. Рекомендований стан для цього параметра: увімкнено.

Користувачі в корпоративному середовищі не повинні реєструвати власні копії Windows, надаючи власну ідентифікаційну інформацію в процесі.

Користувачам заборонено підключатися до Microsoft.com для онлайн-реєстрації, і вони не можуть зареєструвати свою копію Windows в Інтернеті.

18.9.20.1.8 Переконайтеся, що для параметра «Вимкнути оновлення файлів вмісту Search Companion» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи має Search Companion автоматично завантажуватися оновлення вмісту під час локального та Інтернет-пошуку. Рекомендований стан для цього параметра: увімкнено.

Існує невеликий ризик того, що користувачі несвідомо розкриють конфіденційну інформацію через теми, які вони шукають. Цей ризик є дуже низьким, оскільки навіть якщо це налаштування є користувачі з увімкненими функціями все ще повинні надсилати пошукові запити до потрібної пошукової системи, щоб виконувати пошуки.

Search Companion не завантажує оновлення вмісту під час пошуку. Примітка. Пошук в Інтернеті надсилатиме текст пошуку та інформацію про пошук Microsoft і вибраній пошуковій системі. Якщо вибрати Класичний пошук, Пошук Функція Companion буде недоступна. Ви можете вибрати Класичний пошук, натиснувши Пуск, Пошук, Змінити налаштування, а потім Змінити поведінку пошуку в Інтернеті.

18.9.20.1.9 Переконайтеся, що для параметра «Вимкнути завдання зображення «Замовлення друку»» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи доступне завдання «Замовити друк онлайн». Завдання із зображеннями в папках Windows. Майстер замовлення друку онлайн використовується для завантаження списку постачальників і дозволу користувачам замовити друк онлайн. Рекомендований стан для цього параметра: увімкнено.

У корпоративному керованому середовищі ми хочемо знизити ризик несвідомого користувача розкриття конфіденційних даних.

Завдання «Замовлення роздруківок онлайн» видаляється із завдань із зображеннями в папках Провідника файлів.

18.9.20.1.10 Переконайтеся, що для параметра «Вимкнути завдання «Опублікувати в Інтернеті» для файлів і папок» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи виконуються завдання Опублікувати цей файл у мережі, Опублікувати це папку в Інтернеті та Опублікувати вибрані елементи в Інтернеті доступні з Файл і Завдання папок у папках Windows. Рекомендований стан для цього параметра: увімкнено.

Користувачі можуть публікувати конфіденційну або конфіденційну інформацію в державних службах за межами контроль організації.

Завдання «Опублікувати в Інтернеті» видаляється із завдань файлів і папок у папках Windows.

18.9.20.1.11 Переконайтеся, що для параметра «Вимкнути програму покращення взаємодії з клієнтами Windows Messenger» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи може Windows Messenger збирати анонімні дані інформацію про те, як використовується програмне забезпечення та служба Windows Messenger. Microsoft використовує інформацію, зібрану в рамках Програми покращення досвіду клієнтів, щоб виявляти недоліки програмного забезпечення, щоб їх можна було швидше виправити, увімкнувши цей параметр зменшить обсяг даних, які Microsoft зможе зібрати для цієї мети. Рекомендований стан для цього параметра: увімкнено.

Великі корпоративні керовані середовища можуть не захотіти, щоб інформація збиралася Microsoft з керованих клієнтських комп’ютерів.

Windows Messenger не збиратиме інформацію про використання та параметри користувача для ввімкнення колекція інформації про використання не відображатиметься.

18.9.20.1.12 Переконайтеся, що для параметра «Вимкнути програму покращення якості Windows» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи Windows Customer Experience Improvement Програма може збирати анонімну інформацію про те, як використовується Windows. Microsoft використовує інформацію, зібрану через Windows Customer Experience Програма вдосконалення для покращення функцій, які найчастіше використовуються, і виявлення недоліків щоб їх можна було швидше виправити. Увімкнення цього параметра зменшить кількість дані, які Microsoft може зібрати для цієї мети. Рекомендований стан для цього налаштування є: увімкнено.

Великі корпоративні керовані середовища можуть не захотіти, щоб інформація збиралася Microsoft з керованих клієнтських комп’ютерів.

Усі користувачі відмовляються від участі в програмі Windows Customer Experience Improvement Program.

18.9.20.1.13 Переконайтеся, що для параметра «Вимкнути звіт про помилки Windows» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики контролює, чи надсилатимуться повідомлення про помилки Microsoft. Звіт про помилки використовується для повідомлення інформації про систему або програму, яка має не вдалося або перестав відповідати та використовується для покращення якості продукту. Рекомендований стан для цього параметра: увімкнено.

Якщо помилка Windows виникає в безпечному керованому середовищі підприємства, помилка слід повідомити безпосередньо ІТ-персоналу для усунення несправностей і виправлення. Не існує корпорації буде корисно повідомляти про ці помилки безпосередньо Microsoft, і деякі з них є ризик несвідомого розкриття конфіденційних даних у рамках помилки.

Користувачам не надається можливість повідомляти Microsoft про помилки.

18.9.23.1 Переконайтеся, що для параметра «Підтримка автентифікації пристрою за допомогою сертифіката» встановлено значення «Увімкнено: автоматично» (Автоматизовано)

Цей параметр політики дозволяє налаштувати підтримку Kerberos для спроб автентифікації за допомогою сертифікат для пристрою до домену. Підтримка автентифікації пристрою за допомогою сертифіката потребуватиме підключення до DC у домен облікового запису пристрою, який підтримує автентифікацію сертифіката для облікових записів комп’ютера. Рекомендований стан для цього параметра: Увімкнено: Автоматично.

Наполегливо рекомендується використовувати надійнішу автентифікацію пристрою з використанням сертифікатів замість стандартної автентифікації за іменем користувача та паролем. Якщо для цього параметра встановлено значення Автоматично, дозволити використання автентифікації на основі сертифіката, коли це можливо.

Немає – це типова поведінка.

18.9.26.2 Переконайтеся, що для параметра «Не дозволяти термін дії пароля довше, ніж вимагається політикою» встановлено значення «Увімкнено» (лише MS) (Автоматизовано)

Цей параметр політики налаштовує, чи вік пароля продиктований Windows LAPS Політика «Параметри пароля» є примусовою та не може бути розширена вручну (лише скорочено) уповноваженим техніком. Якщо виявлено закінчення терміну дії, пароль негайно змінюється та пароль термін дії встановлюється відповідно до політики. Рекомендований стан для цього параметра: увімкнено. Примітка. Організації, які використовують комерційне програмне забезпечення третіх сторін для керування унікальними та складні локальні паролі адміністратора для членів домену можуть ігнорувати їх Рекомендації LAPS. Примітка №2: Windows LAPS не підтримує автономні комп’ютери – їх потрібно об’єднати до домену Active Directory або Entra ID (раніше Azure Active Directory).

Через труднощі в управлінні паролями локального адміністратора багато організацій вибрати використання однакового пароля на всіх робочих станціях і/або рядових серверах, коли розгортання їх. Це створює серйозний ризик для безпеки поверхні атаки, оскільки якщо загроза актору вдається скомпрометувати одну систему та дізнатися пароль до її локальної системи Обліковий запис адміністратора, то вони можуть використовувати цей обліковий запис, щоб миттєво отримати до нього доступ усі інші комп’ютери, які також використовують цей пароль для свого локального облікового запису адміністратора.

Немає – це типова поведінка. Запланований термін дії пароля перевищує термін дії пароля, продиктований параметром «Пароль Налаштування” політики НЕ дозволено.

18.9.26.5 Переконайтеся, що для параметра «Параметри пароля: довжина пароля» встановлено значення «Увімкнено: 15 або більше» (лише MS) (Автоматизовано)

Цей параметр політики налаштовує політику Windows LAPS Password Settings для довжина пароля. Рекомендований стан для цього параметра: Увімкнено: 15 або більше. Примітка. Організації, які використовують комерційне програмне забезпечення третіх сторін для керування унікальними та складні локальні паролі адміністратора для членів домену можуть ігнорувати їх Рекомендації LAPS. Примітка №2: Windows LAPS не підтримує автономні комп’ютери – їх потрібно об’єднати до домену Active Directory або Entra ID (раніше Azure Active Directory).

Через труднощі в управлінні паролями локального адміністратора багато організацій вибрати використання однакового пароля на всіх робочих станціях і/або рядових серверах, коли розгортання їх. Це створює серйозний ризик для безпеки поверхні атаки, оскільки якщо загроза актору вдається скомпрометувати одну систему та дізнатися пароль до її локальної системи Обліковий запис адміністратора, то вони можуть використовувати цей обліковий запис, щоб миттєво отримати до нього доступ усі інші комп’ютери, які також використовують цей пароль для свого локального облікового запису адміністратора.

Паролі, згенеровані Windows LAPS, повинні мати довжину 15 символів (або більше, якщо вибрано).

18.9.26.6 Переконайтеся, що для параметра «Параметри пароля: термін дії пароля (днів)» встановлено значення «Увімкнено: 30 або менше» (лише MS) (Автоматизовано)

Цей параметр політики налаштовує політику Windows LAPS Password Settings для вік пароля. Рекомендований стан для цього параметра: Увімкнено: 30 або менше. Примітка. Організації, які використовують комерційне програмне забезпечення третіх сторін для керування унікальними та складні локальні паролі адміністратора для членів домену можуть ігнорувати їх Рекомендації LAPS. Примітка №2: Windows LAPS не підтримує автономні комп’ютери – їх потрібно об’єднати до домену Active Directory або Entra ID (раніше Azure Active Directory).

Через труднощі в управлінні паролями локального адміністратора багато організацій вибрати використання однакового пароля на всіх робочих станціях і/або рядових серверах, коли розгортання їх. Це створює серйозний ризик для безпеки поверхні атаки, оскільки якщо загроза актору вдається скомпрометувати одну систему та дізнатися пароль до її локальної системи Обліковий запис адміністратора, то вони можуть використовувати цей обліковий запис, щоб миттєво отримати до нього доступ усі інші комп’ютери, які також використовують цей пароль для свого локального облікового запису адміністратора.

Немає – це поведінка за замовчуванням, якщо не встановлено значення менше 30 днів.

18.9.27.1 Переконайтеся, що для параметра «Дозволити завантаження настроюваних SSP і точок доступу в LSASS» встановлено значення «Вимкнено» (лише DC) (Автоматизовано)

Цей параметр політики контролює конфігурацію, під якою працює локальний орган безпеки Служба підсистеми (LSASS) завантажить спеціальний постачальник підтримки безпеки/автентифікацію Пакет (SSP/AP). Рекомендований стан для цього параметра: вимкнено.

Уразливості існують там, де зловмисники можуть перехопити облікові дані для входу через SSP/AP. Вимкнення користувацьких SSP і точок доступу для завантаження в LSASS мінімізує цю вразливість.

Спеціальний постачальник підтримки безпеки/пакети автентифікації не зможуть завантажуватися це може вплинути на деякі законні пакунки третіх сторін.

18.9.27.2 Переконайтеся, що для параметра «Налаштовує LSASS для запуску як захищеного процесу» встановлено значення «Увімкнено: увімкнено з блокуванням UEFI» (Автоматизовано)

Цей параметр політики контролює, чи служба підслужби місцевого органу безпеки (LSASS) працює в захищеному режимі, а також має опцію блокування в захищеному режимі Уніфікований розширюваний інтерфейс прошивки (UEFI). Місцевий орган безпеки (LSA), який включає процес LSASS, перевіряє користувачів для локального та віддаленого входу та примусово локальні політики безпеки. Рекомендований стан для цього параметра: Enabled: Enabled with UEFI Lock. Примітка. Цей додатковий захист для запобігання читанню пам’яті та впровадженню коду не- захищені процеси підтримує Windows 8.1 (або новіша).

Забезпечує додатковий захист для облікових даних, які зберігає та керує LSA. Увімкнення цього налаштування з блокуванням UEFI запобігає віддаленій зміні налаштування.

Після застосування цього параметра (увімкнено), видалення параметра групової політики (встановлено на Не налаштовано) не усуне вплив. Щоб усунути вплив, ви повинні чітко налаштуйте для цього параметра значення Disabled і дотримуйтесь документації Microsoft відключення блокування UEFI.

18.9.28.1 Переконайтеся, що для параметра «Заборонити копіювання методів введення користувача в обліковий запис системи для входу» встановлено значення «Увімкнено» (Автоматизовано)

Ця політика запобігає автоматичному копіюванню методів введення користувача до системного облікового запису використовувати на екрані входу. Користувач обмежений набором методів введення, які є увімкнено в обліковому записі системи. Рекомендований стан для цього параметра: увімкнено.

Це спосіб підвищити безпеку системного облікового запису.

Користувачі матимуть увімкнені методи введення для системного облікового запису на сторінці входу.

18.9.29.1 Переконайтеся, що для параметра «Блокувати користувача від показу даних облікового запису під час входу» встановлено значення «Увімкнено» (Автоматизовано)

Ця політика забороняє користувачеві відображати дані облікового запису (електронну адресу або користувача ім’я) на екрані входу. Рекомендований стан для цього параметра: увімкнено.

Загрозливий суб’єкт із доступом до консолі (наприклад, хтось із фізичним доступом або хтось, хто може підключитися до сервера через служби віддаленого робочого стола), може переглянути ім’я останнього користувача, який зайшов на сервер. Тоді загрозливий актор міг спробуйте вгадати пароль, скористайтеся словником або застосуйте атаку грубої сили, щоб спробувати ввійти.

Користувач не може вибрати відображення даних облікового запису на екрані входу.

18.9.29.2 Переконайтеся, що для параметра «Не відображати інтерфейс вибору мережі» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики дозволяє вам контролювати, чи будь-хто може взаємодіяти з доступними інтерфейс мережі на екрані входу. Рекомендований стан для цього параметра: увімкнено.

Неавторизований користувач може відключити ПК від мережі або підключити ПК до інших доступних мереж без входу в Windows.

Стан підключення ПК до мережі неможливо змінити без входу в Windows.

18.9.29.3 Переконайтеся, що для параметра «Не перераховувати підключених користувачів на комп’ютерах, приєднаних до домену» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики запобігає перерахуванню підключених користувачів у домені комп’ютери. Рекомендований стан для цього параметра: увімкнено.

Зловмисник може використовувати цю функцію для збору імен облікових записів інших користувачів інформація може бути використана в поєднанні з іншими типами атак, наприклад вгадування паролів або соціальна інженерія. Цінність цього контрзаходу невелика тому що користувач з обліковими даними домену може зібрати ту саму інформацію облікового запису використовуючи інші методи.

Інтерфейс користувача для входу не перераховуватиме підключених користувачів на комп’ютерах, приєднаних до домену.

18.9.29.4 Переконайтеся, що для параметра «Перерахувати локальних користувачів на комп’ютерах, приєднаних до домену» встановлено значення «Вимкнено» (лише MS) (Автоматизовано)

Цей параметр політики дозволяє нумерувати локальних користувачів на комп’ютерах, приєднаних до домену. Рекомендований стан для цього параметра: вимкнено.

Зловмисник може використовувати цю функцію для збору імен облікових записів інших користувачів інформація може бути використана в поєднанні з іншими типами атак, наприклад вгадування паролів або соціальна інженерія. Цінність цього контрзаходу невелика тому що користувач з обліковими даними домену може зібрати ту саму інформацію облікового запису використовуючи інші методи.

Немає – це типова поведінка.

18.9.29.5 Переконайтеся, що для параметра «Вимкнути сповіщення програм на екрані блокування» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики дозволяє запобігти появі сповіщень програми на екрані блокування. Рекомендований стан для цього параметра: увімкнено.

Сповіщення програми можуть відображати конфіденційні ділові або особисті дані.

На екрані блокування не відображаються сповіщення про програми.

18.9.29.6 Переконайтеся, що для параметра «Увімкнути вхід за допомогою зручного PIN-коду» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики дозволяє контролювати, чи може користувач домену входити за допомогою a зручний PIN-код. У Windows 10 PIN-код було замінено на Passport, що має більш сильні властивості безпеки. Щоб налаштувати Passport для користувачів домену, використовуйте політики в розділі Конфігурація комп’ютера\Адміністративні шаблони\Windows Компоненти\Microsoft Passport for Work. Примітка. Під час використання цього пароля домену користувача буде кешовано в системному сховищі функція. Рекомендований стан для цього параметра: вимкнено.

PIN-код створюється з набагато меншого набору символів, ніж пароль, тому в у більшості випадків PIN-код буде набагато менш надійним, ніж пароль.

Немає – це типова поведінка.

18.9.31.1.1 Переконайтеся, що для параметра «Блокувати виявлення на основі NetBIOS для розташування контролера домену» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи використовується алгоритм розташування контролера домену (DC). використовує виявлення на основі NetBIOS для розташування контролера домену. Рекомендований стан для цього параметра: увімкнено.

NetBIOS вважається небезпечним, оскільки він не виконує автентифікацію, але може дозволити віддаленим загрозам ініціювати відмову в обслуговуванні, надсилаючи підроблене ім’я Конфлікти або дейтаграми випуску імен. Це також відоме як сервер імен NetBIOS Підробка протоколу.

Немає – це типова поведінка.

18.9.33.1 Переконайтеся, що для параметра «Дозволити синхронізацію буфера обміну між пристроями» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи можна синхронізувати вміст буфера обміну пристроїв. Рекомендований стан для цього параметра: вимкнено.

З міркувань конфіденційності дані буфера обміну мають залишатися локальними в системі й не синхронізуватися на різних пристроях.

Якщо вимкнути цей параметр політики, вміст буфера обміну не можна надавати іншим пристроям.

18.9.33.2 Переконайтеся, що для параметра «Дозволити завантаження дій користувача» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи можна завантажувати опубліковані дії користувача в хмара. Рекомендований стан для цього параметра: вимкнено.

У середовищах із високим рівнем безпеки дані ніколи не можна передавати третім сторонам без них явну згоду, оскільки він може містити конфіденційну інформацію.

Діяльність типу User Activity не можна завантажувати в хмару. Хронологія функція не працюватиме на різних пристроях.

18.9.35.6.1 Переконайтеся, що для параметра «Дозволити підключення до мережі в режимі очікування (на акумуляторі)» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики дозволяє контролювати стан підключення до мережі в режимі очікування сучасні системи з можливістю роботи в режимі очікування. Рекомендований стан для цього параметра: вимкнено.

Вимкнення цього параметра гарантує, що комп’ютер не буде доступний для загрозливих осіб через мережу WLAN без нагляду, від акумулятора та в режимі сну.

Підключення до мережі в режимі очікування (під час роботи від акумулятора) не гарантується. Ця зв’язність обмеження наразі стосується лише мереж WLAN, але може бути змінено (за даними Microsoft).

18.9.35.6.2 Переконайтеся, що для параметра «Дозволити підключення до мережі в режимі підключення-очікування (підключено)» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики дозволяє контролювати стан підключення до мережі в режимі очікування сучасні системи з можливістю роботи в режимі очікування. Рекомендований стан для цього параметра: вимкнено.

Вимкнення цього параметра гарантує, що комп’ютер не буде доступний для загрозливих осіб через мережу WLAN, залишаючись без нагляду, підключеним і перебуваючи в режимі сну.

Підключення до мережі в режимі очікування (при підключенні до мережі) не гарантується. Ця зв’язність обмеження наразі стосується лише мереж WLAN, але може бути змінено (за даними Microsoft).

18.9.37.1 Переконайтеся, що для параметра «Налаштувати пропозицію віддаленої допомоги» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики дозволяє вам увімкнути або вимкнути Offer (Unsolicited) Remote Допомога на цьому комп’ютері. Служба підтримки та персонал служби підтримки не зможуть завчасно запропонувати допомогу, хоча вони все ще можуть відповідати на запити допомоги користувачів. Рекомендований стан для цього параметра: вимкнено.

Користувач може бути обманом і прийняти небажану пропозицію віддаленої допомоги від загрози актор.

Немає – це типова поведінка.

18.9.37.2 Переконайтеся, що для параметра «Налаштувати запрошену віддалену допомогу» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики дозволяє вам увімкнути або вимкнути запрошену (запитати) віддалену допомогу на цьому комп’ютері. Рекомендований стан для цього параметра: вимкнено.

Існує невеликий ризик того, що зловмисний адміністратор отримає доступ до робочого столу іншого користувача сесії, однак вони не можуть підключитися до комп’ютера користувача без попередження або керувати ним без дозволу користувача. Коли експерт намагається підключитися, користувач все ще може заборонити з’єднання або надати експерту права перегляду. Користувач повинен чітко натисніть кнопку Так, щоб дозволити експерту дистанційно керувати робочою станцією.

Користувачі цього комп’ютера не можуть використовувати електронну пошту чи передачу файлів, щоб попросити когось про допомогу. Крім того, користувачі не можуть використовувати програми обміну миттєвими повідомленнями, щоб дозволити підключення до цього комп’ютера.

18.9.38.1 Переконайтеся, що для параметра «Увімкнути автентифікацію клієнта кінцевої точки RPC» встановлено значення «Увімкнено» (лише MS) (Автоматизовано)

Цей параметр політики контролює, чи клієнти RPC автентифікуються за допомогою Endpoint Mapper Служба, коли виклик, який вони здійснюють, містить інформацію автентифікації. The Endpoint Mapper Service на комп’ютерах під керуванням Windows NT4 (усі пакети оновлень) не може обробити інформацію автентифікації, надану таким чином. Рекомендований стан для цього параметра: увімкнено. Примітка. Ця політика не діятиме, доки систему не буде перезавантажено.

Анонімний доступ до служб RPC може призвести до випадкового розкриття інформації для неавтентифікованих користувачів.

Клієнти RPC автентифікуються в службі Endpoint Mapper Service для викликів, які містять інформацію про автентифікацію. Клієнти, які здійснюють такі дзвінки, не зможуть спілкуватися за допомогою Windows NT4 Server Endpoint Mapper Service. Примітка. Цей параметр політики може спричинити певну проблему з односторонніми трастами лісу, якщо так застосовано до довірених доменів DC (див. Microsoft KB3073942), тому не рекомендується застосовуючи його до контролерів домену. Примітка №2. Якщо цей параметр поєднується з блокуванням або вимкненням протоколу NTLM, Переклад SID може не працювати.

18.9.38.2 Переконайтеся, що для параметра «Обмежити неавтентифіковані клієнти RPC» встановлено значення «Увімкнено: автентифіковані» (лише MS) (Автоматизовано)

Цей параметр політики контролює, як середовище виконання сервера RPC обробляє неавтентифікований RPC клієнти, що підключаються до серверів RPC. Цей параметр політики впливає на всі програми RPC. У середовищі домену ця політика налаштування слід використовувати з обережністю, оскільки воно може вплинути на широкий спектр функцій включаючи саму обробку групової політики. Скасування зміни цього параметра політики може вимагають ручного втручання на кожній постраждалій машині. Цей параметр політики повинен ніколи не застосовувати до контролера домену. Клієнт вважатиметься автентифікованим клієнтом, якщо він використовує іменований канал для спілкуватися з сервером або якщо він використовує RPC Security. Інтерфейси RPC, які мають спеціально запитувані, щоб бути доступними для неавтентифікованих клієнтів, можуть бути звільнені від це обмеження, залежно від вибраного значення для цього параметра політики. • «Немає» дозволяє всім клієнтам RPC підключатися до серверів RPC, що працюють на машині до якого застосовано налаштування політики. • “Authenticated” дозволяє лише автентифікованим клієнтам RPC (згідно з визначенням вище) для підключення до серверів RPC, що працюють на машині, на якій встановлено параметр політики застосовується. Винятки надаються інтерфейсам, які їх запитали. • «Автентифіковані без винятків» дозволяє лише автентифікованих клієнтів RPC (пер визначення вище), щоб підключитися до серверів RPC, які працюють на машині який параметр політики застосовано. Жодні винятки не допускаються. Це значення має може спричинити серйозні проблеми, тому не рекомендується. Примітка. Цей параметр політики не буде застосовано, доки систему не буде перезавантажено. Рекомендований стан для цього параметра: увімкнено: автентифіковано.

Неавтентифікований RPC-зв’язок може створити вразливість безпеки.

Лише автентифікованим клієнтам RPC буде дозволено підключатися до запущених серверів RPC машину, на якій застосовано налаштування політики. Винятки надаються для інтерфейсів які просили їх.

18.9.41.3 Переконайтеся, що для параметра «Налаштувати перевірку вразливих для ROCA ключів WHfB під час автентифікації» встановлено значення «Увімкнено: блокувати» (лише DC) (Автоматизовано)

Цей параметр політики дозволяє налаштувати, як контролери домену обробляють Windows Ключі Hello for Business (WHfB), вразливі до “Повернення мідників” атака» (ROCA). Якщо цей параметр політики ввімкнено, підтримуються такі параметри: • Ігнорувати: під час автентифікації контролер домену не досліджуватиме WHfB ключі для вразливості ROCA. •

«Повернення атаки Coppersmith´s» або вразливість ROCA є криптографічним слабкість широко використовуваної криптографічної бібліотеки. Зловмисник може відкрити секретні ключі (офлайн без фізичного доступу до ураженого пристрою) на сертифікованих пристроях, які використовують це бібліотека. Щоб отримати додаткові відомості про цю вразливість, відвідайте ADV170012 – Керівництво з оновлення безпеки – Microsoft – уразливість у TPM може дозволити обхід функції безпеки.

Цей параметр може вплинути на вразливий модуль довіреної платформи (TPM). Щоб уникнути проблем, для цього параметра не слід встановлювати значення Блокувати, доки не буде виконано відповідне пом’якшення виконується, наприклад, виправлення вразливих TPM. Попередження. Рекомендується спочатку встановити для цього параметра значення Аудит, щоб переконатися, що немає події аудиту для ключів WHfB, які піддаються вразливості ROCA. Якщо такі існують, виправити, перш ніж налаштувати це на Блокувати.

18.9.49.11.1 Переконайтеся, що для параметра «Увімкнути/вимкнути PerfTrack» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, увімкнути чи вимкнути відстеження відповіді події. Рекомендований стан для цього параметра: вимкнено.

Якщо ввімкнено, зведені дані певної події будуть передані до Microsoft. Існує можливість обмежити цю функцію для певного користувача, встановити рівень згоди та вказати конкретні програми, для яких можна надсилати звіти про помилки. Щоправда, централізовано обмеження можливості виконання PerfTrack, щоб обмежити можливість несанкціонованого або небажаного використання, витоку даних або ненавмисного обміну даними є дуже високим рекомендований.

Події реагування не обробляються.

18.9.51.1 Переконайтеся, що для параметра «Вимкнути рекламний ідентифікатор» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики вимикає рекламний ідентифікатор, не дозволяючи програмам використовувати ідентифікатор для досвід у різних програмах. Рекомендований стан для цього параметра: увімкнено.

У середовищах із високим рівнем безпеки дані ніколи не можна передавати третім сторонам без них явну згоду, оскільки він може містити конфіденційну інформацію. Крім того, відстеження користувача діяльність у рекламних цілях, навіть анонімна, може бути проблемою конфіденційності.

Рекламний ідентифікатор вимкнено. Програми не можуть використовувати ідентифікатор для роботи в різних програмах.

18.9.53.1.1 Переконайтеся, що для параметра «Увімкнути Windows NTP-клієнт» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи ввімкнено Windows NTP-клієнт. Увімкнення Windows NTP Client дозволяє синхронізувати годинник системного комп’ютера з NTP сервер(и). Рекомендований стан для цього параметра: увімкнено. Примітка: якщо в середовищі використовується сторонній постачальник часу, це виняток потрібна буде рекомендація.

Надійний і точний облік часу важливий для ряду служб і вимоги безпеки, включаючи, але не обмежуючись цим, розподілені програми, автентифікацію служби, багатокористувацькі бази даних і служби журналювання. Використання клієнта NTP (з безпечна робота) забезпечує функціональну точність і є центром під час перевірки події, що стосуються безпеки

Системний час буде синхронізовано з налаштованим сервером(ами) NTP.

18.9.53.1.2 Переконайтеся, що для параметра «Увімкнути Windows NTP-сервер» встановлено значення «Вимкнено» (лише MS) (Автоматизовано)

Цей параметр політики визначає, чи ввімкнено Windows NTP-сервер. Вимкнення цього Параметр забороняє системі діяти як сервер NTP (джерело часу) для обслуговування NTP запити з інших систем (NTP-клієнти). Рекомендований стан для цього параметра: вимкнено. Примітка. У більшості корпоративних керованих середовищ не слід вимикати Windows Сервер NTP на контролерах домену, оскільки це дуже важливо для роботи NT5DS (на основі ієрархії домену) синхронізація часу.

Конфігурація належної синхронізації часу критично важлива на підприємстві кероване середовище як через чутливість позначок часу автентифікації Kerberos а також для забезпечення точного журналювання безпеки. Це слід робити через відомого NTP сервер. Членські сервери та робочі станції зазвичай не повинні бути джерелами часу інші клієнти.

Немає – це типова поведінка.

18.10.4.1 Переконайтеся, що для параметра «Дозволити програмі Windows обмінюватися даними програми між користувачами» встановлено значення «Вимкнено» (Автоматизовано)

Керує здатністю програми Windows обмінюватися даними між користувачами, які встановили додаток Дані надаються через папку SharedLocal. Ця папка доступна через Windows.Storage API. Рекомендований стан для цього параметра: вимкнено.

Користувачі системи можуть випадково поділитися конфіденційними даними з іншими користувачами в ній система.

Немає – це типова поведінка.

18.10.4.2 Переконайтеся, що для параметра «Не дозволяти встановлення непідписаних пакетів для кожного користувача за замовчуванням (потрібно явно дозволити кожне встановлення)» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр керує можливістю користувача встановлювати непідписані пакети Windows App. Рекомендований стан для цього параметра: увімкнено. Примітка: непідписані пакети додатків Windows вимагатимуть явного дозволу на встановлення налаштування вимкнено.

У корпоративному керованому середовищі слід керувати встановленням програм централізовано ІТ-персоналом, а не кінцевими користувачами.

Стандартні користувачі не зможуть інсталювати непідписані запаковані програми Microsoft Store, якщо вони прямо не дозволені іншими правилами.

18.10.6.1 Переконайтеся, що для параметра «Дозволити облікові записи Microsoft бути необов’язковими» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики дозволяє контролювати, чи є облікові записи Microsoft необов’язковими для Windows Зберігайте програми, для входу в які потрібен обліковий запис. Ця політика стосується лише Windows Store програми, які це підтримують. Рекомендований стан для цього параметра: увімкнено.

Увімкнення цього параметра дозволяє організації використовувати облікові записи корпоративних користувачів замість того, щоб використовувати свої облікові записи Microsoft під час доступу до програм магазину Windows. Це надає організації більший контроль над відповідними обліковими даними. Microsoft обліковими записами не можна керувати централізовано, і як така безпека облікових даних підприємства політики не можуть бути застосовані до них, що може порушити доступ до будь-якої інформації за допомогою Облікові записи Microsoft під загрозою.

Програми Магазину Windows, для входу в які зазвичай потрібен обліковий запис Microsoft, дозволять користувачам щоб натомість увійти за допомогою корпоративного облікового запису.

18.10.8.1 Переконайтеся, що для параметра «Заборонити автовідтворення для пристроїв, які не є томами» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики забороняє автоматичне відтворення для пристроїв MTP, таких як камери чи телефони. Рекомендований стан для цього параметра: увімкнено.

Зловмисник може використати цю функцію для запуску програми для пошкодження клієнтського комп’ютера або дані на комп’ютері.

Автоматичне відтворення не буде дозволено для пристроїв MTP, таких як камери чи телефони.

18.10.8.2 Переконайтеся, що для параметра «Установити поведінку за замовчуванням для автозапуску» встановлено значення «Увімкнено: не виконувати жодних команд автозапуску» (Автоматизовано)

Цей параметр політики встановлює типову поведінку для команд автозапуску. Команди автозапуску зазвичай зберігаються у файлах autorun.inf. Вони часто запускають програму встановлення або інші рутини. Рекомендований стан для цього параметра: Увімкнено: не виконувати автозапуск команди.

До Windows Vista, коли вставляється носій, що містить команду автозапуску, система автоматично виконає програму без втручання користувача. Це створює a серйозна проблема безпеки, оскільки код може виконуватися без відома користувача. За замовчуванням Починаючи з Windows Vista, користувач запитує, чи є команда автозапуску бути запущеним. Команда автозапуску представлена ​​як обробник у діалоговому вікні автовідтворення.

Команди автозапуску будуть повністю вимкнені.

18.10.8.3 Переконайтеся, що для параметра «Вимкнути автовідтворення» встановлено значення «Увімкнено: усі диски» (Автоматизовано)

Цей параметр політики керує автовідтворенням. Автоматичне відтворення починає читати з диска, як тільки у дисковод вставлено носій, що спричиняє файл інсталяції програм або аудіозапису почати негайно. Рекомендований стан для цього параметра: Увімкнено: усі диски. Примітка. Цей параметр політики не можна використовувати для ввімкнення автоматичного відтворення на дисках комп’ютера які він вимкнено за замовчуванням, наприклад дискети та мережеві диски.

Зловмисник може використати цю функцію для запуску програми для пошкодження клієнтського комп’ютера або дані на комп’ютері.

Автоматичне відтворення буде вимкнено – користувачам доведеться вручну запускати налаштування або встановлення програми, які надаються на знімних носіях.

18.10.9.1.1 Переконайтеся, що для параметра «Налаштувати розширений захист від спуфінгу» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи налаштовано для пристроїв покращений захист від спуфінгу які це підтримують. Рекомендований стан для цього параметра: увімкнено.

Корпоративні керовані середовища тепер підтримують більш широкий спектр мобільних пристроїв, посилення безпеки на цих пристроях допоможе захистити від несанкціонованого доступу у вашій мережі.

Windows вимагатиме від усіх користувачів пристрою використання антиспуфінгу для рис обличчя пристрої, які його підтримують.

18.10.11.1 Переконайтеся, що для параметра «Дозволити використання камери» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики контролює використання пристроїв камери на машині дозволено. Рекомендований стан для цього параметра: вимкнено.

Камери в середовищі високого рівня безпеки можуть призвести до серйозної конфіденційності та викрадання даних ризики – їх слід відключити, щоб зменшити цей ризик.

Користувачі не зможуть використовувати камеру в системі.

18.10.13.1 Переконайтеся, що для параметра «Вимкнути вміст облікового запису споживача в хмарі» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи дозволено вміст стану облікового запису користувача в хмарі у всіх версіях Windows. Рекомендований стан для цього параметра: увімкнено.

Використання облікових записів споживачів у корпоративному керованому середовищі є поганим безпеки, оскільки це може призвести до можливого витоку даних.

Користувачі не зможуть використовувати облікові записи споживачів Microsoft у системі та натомість пов’язані програми Windows відображатимуть резервний вміст за замовчуванням.

18.10.13.2 Переконайтеся, що для параметра «Вимкнути вміст, оптимізований для хмари» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики вимикає оптимізований хмарний вміст у всіх інтерфейсах Windows. Рекомендований стан для цього параметра: увімкнено.

У середовищах із високим рівнем безпеки дані ніколи не можна передавати третім сторонам без них явну згоду, оскільки він може містити конфіденційну інформацію.

Windows, які використовують клієнтський компонент вмісту, оптимізований у хмарі, будуть надавати резервний вміст за замовчуванням замість налаштованого вмісту.

18.10.14.1 Переконайтеся, що для параметра «Вимагати PIN-код для створення пари» встановлено значення «Увімкнено: перший раз» АБО «Увімкнено: завжди» (Автоматизовано)

Цей параметр політики визначає, чи потрібен PIN-код для підключення до бездротової мережі пристрій відображення. Рекомендований стан для цього параметра: увімкнено: вперше АБО увімкнено: Завжди.

Якщо цей параметр не налаштовано або вимкнено, тоді PIN-код не потрібен підключення бездротових пристроїв відображення до системи, що підвищує ризик несанкціонованого використання.

Церемонія сполучення для підключення до нових бездротових пристроїв відображення завжди буде потрібно PIN-код.

18.10.15.1 Переконайтеся, що для параметра «Не відображати кнопку відкриття пароля» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики дозволяє налаштувати відображення кнопки розкриття пароля досвід користувача для введення пароля. Рекомендований стан для цього параметра: увімкнено.

Це корисна функція під час введення довгого та складного пароля, особливо коли за допомогою сенсорного екрану. Потенційний ризик полягає в тому, що хтось інший може побачити ваш пароль таємно спостерігаючи за своїм екраном.

Кнопка відкриття пароля не відображатиметься після того, як користувач введе пароль у текстове поле для введення пароля.

18.10.15.2 Переконайтеся, що для параметра «Перерахувати облікові записи адміністраторів під час підвищення» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики контролює, чи відображаються облікові записи адміністратора, коли користувач намагається підвищити запущену програму. Рекомендований стан для цього параметра: вимкнено.

Користувачі могли бачити список облікових записів адміністраторів, що полегшувало загрозу актор, який увійшов до сеансу консолі, щоб спробувати зламати паролі тих облікові записи.

Немає – це типова поведінка.

18.10.16.3 Переконайтеся, що для параметра «Не показувати сповіщення про відгуки» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики дозволяє організації заборонити своїм пристроям показувати відгуки питання від Microsoft. Рекомендований стан для цього параметра: увімкнено.

Дані ніколи не можна передавати третім особам без явної згоди, оскільки вони можуть містити конфіденційна інформація.

Користувачі більше не бачитимуть сповіщень про відгуки через програму Windows Feedback.

18.10.16.4 Переконайтеся, що для параметра «Увімкнути аудит OneSettings» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики контролює, чи записи Windows намагаються підключитися до Служба OneSettings для журналу подій. Рекомендований стан для цього параметра: увімкнено.

Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії суб’єктів загрози.

Windows записуватиме спроби підключення до служби OneSettings Журнали програм і служб\Microsoft\Windows\Privacy- Канал аудиту\операційного журналу подій.

18.10.16.5 Переконайтеся, що для параметра «Обмежити збір журналів діагностики» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики контролює, чи збираються додаткові журнали діагностики, коли більше інформація потрібна для усунення проблеми на пристрої. Рекомендований стан для цього параметра: увімкнено. Примітка. Журнали діагностики надсилаються, лише якщо пристрій налаштовано на надсилання додаткові діагностичні дані. Діагностичні дані обмежені, коли рекомендовано Дозволити Діагностичні дані ввімкнено: діагностичні дані вимкнено (не рекомендовано) або Увімкнено: надсилати необхідні діагностичні дані, щоб надсилати лише основну інформацію.

У середовищах із високим рівнем безпеки дані ніколи не можна передавати третім сторонам без них явну згоду, оскільки він може містити конфіденційну інформацію.

Діагностичні журнали та така інформація, як аварійні дампи, не збиратимуться передача до Microsoft.

18.10.16.6 Переконайтеся, що для параметра «Обмеження збирання дампа» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики обмежує тип дампів пам’яті, які можна зібрати, коли більше інформація потрібна для вирішення проблеми. Рекомендований стан для цього параметра: увімкнено. Примітка. Дампи пам’яті надсилаються, лише якщо пристрій налаштовано на надсилання додаткові діагностичні дані. Діагностичні дані обмежені, коли рекомендовано Дозволити Діагностичні дані ввімкнено: діагностичні дані вимкнено (не рекомендовано) або Увімкнено: надсилати необхідні діагностичні дані, щоб надсилати лише основну інформацію.

Дані ніколи не можна передавати третім особам без явної згоди, оскільки вони можуть містити конфіденційна інформація.

Windows Error Reporting не надсилатиме повні дампи та/або дампи пам’яті купи до Microsoft – вони будуть обмежені міні-ядром та/або дампами сортування пам’яті в режимі користувача (якщо надсилаються Дозволені додаткові діагностичні дані).

18.10.18.1 Переконайтеся, що для параметра «Увімкнути інсталятор програми» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики контролює, чи має користувач доступ до пакета Windows Менеджер. Windows Package Manager — це рішення для керування пакетами, яке складається з a інструмент командного рядка та набір служб для встановлення додатків у Microsoft Windows Сервер 2019 (або новіший). Рекомендований стан для цього параметра: вимкнено.

Windows Package Manager — це інструмент командного рядка, який можна використовувати для виявлення, встановлення, оновлювати, видаляти та налаштовувати програми, і його можна використовувати як дистрибутив канал для програмних пакетів, що містять інструменти та програми. Користувачі не повинні мати доступ до цих типів інструментів розробки.

Користувачі не матимуть доступу до інструменту командного рядка, крила для виявлення, встановлення, оновлювати, видаляти, налаштовувати або розповсюджувати програми.

18.10.18.2 Переконайтеся, що для параметра «Увімкнути експериментальні функції інсталятора програми» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи можуть користувачі вмикати експериментальні функції в Менеджер пакетів Windows. Рекомендований стан для цього параметра – Вимкнено.

Windows Package Manager — це інструмент командного рядка, який можна використовувати для виявлення, встановлення, оновлювати, видаляти та налаштовувати програми, і його можна використовувати як дистрибутив канал для програмних пакетів, що містять інструменти та програми. Користувачі не повинні мати доступ до експериментальних функцій.

Користувачі не матимуть доступу до експериментальних функцій в інструменті командного рядка, winget to виявляти, встановлювати, оновлювати, видаляти, налаштовувати або розповсюджувати програми.

18.10.18.3 Переконайтеся, що для параметра «Увімкнути заміну хешу інсталятора програми» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи можуть користувачі перевизначати захист SHA256 перевірка в налаштуваннях Windows Package Manager. Рекомендований стан для цього параметра: вимкнено.

Користувачі не повинні мати можливість перевизначати перевірку безпеки SHA256.

Користувачі не матимуть можливості змінити перевірку безпеки SHA256.

18.10.18.4 Переконайтеся, що для параметра «Увімкнути сканування локального архіву зловмисного програмного забезпечення» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики керує можливістю перевизначати сканування зловмисного програмного забезпечення, коли: умови вірні: 1. встановлення архівного файлу 2. за допомогою локального маніфесту 3. через аргументи командного рядка Рекомендований стан для цього параметра: вимкнено.

Користувачі не повинні мати можливість скасовувати зловмисне програмне забезпечення.

Користувачі не матимуть можливості скасовувати зловмисне програмне забезпечення під час встановлення заархівованого файлу.

18.10.18.5 Переконайтеся, що для параметра «Увімкнути обхід перевірки джерела сертифіката Microsoft Store» установлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи диспетчер пакетів Windows перевіряє Microsoft Зберігайте хеш сертифіката для відповідності відомому сертифікату Microsoft Store, коли він ініціює a підключення до джерела Microsoft Store. Рекомендований стан для цього параметра: вимкнено.

Важливо переконатися, що джерело Microsoft Store не підроблено.

Перевірку сертифіката джерела диспетчером пакунків Windows неможливо обійти, коли ініціюється підключення до Microsoft Store.

18.10.18.6 Переконайтеся, що для параметра «Увімкнути протокол встановлення програми ms-appinstaller» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи можуть користувачі встановлювати пакети з веб-сайту за допомогою протоколу ms-appinstaller. Протокол ms-appinstaller дозволяє користувачам встановити програму, натиснувши посилання на веб-сайті. Рекомендований стан для цього параметра: вимкнено.

Користувачі не повинні мати можливість інсталювати програму, натиснувши посилання на веб-сайті. Якщо клацнути невідоме або зловмисне посилання, на ньому може бути встановлено зловмисне програмне забезпечення система.

Користувачі не матимуть можливості використовувати для встановлення протокол ms-appinstaller програми, натиснувши посилання на веб-сайті.

18.10.18.7 Переконайтеся, що для параметра «Увімкнути інтерфейси командного рядка диспетчера пакетів Windows» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи може користувач виконувати дії за допомогою Windows Менеджер пакетів через інтерфейс командного рядка (Windows CLI або PowerShell). Рекомендований стан для цього параметра: вимкнено. Примітка. Ця політика не замінює політику «Увімкнути інсталятор програми», для якої встановлено значення Вимкнено в профілі L2 тестів операційної системи CIS Windows.

Windows Package Manager — це інструмент командного рядка, який можна використовувати для виявлення, встановлення, оновлення, видалення та налаштування програм. Його також можна використовувати як дистрибутив канал для програмних пакетів, що містять інструменти та програми. Користувачі не повинні мати доступ до цих типів інструментів розробки.

Користувачі не матимуть можливості використовувати Windows Package Manager з Windows CLI або PowerShell.

18.10.26.1.1 Переконайтеся, що для параметра «Програма: контроль поведінки журналу подій, коли файл журналу досягає максимального розміру» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики керує поведінкою журналу подій, коли файл журналу досягає максимуму розмір. Рекомендований стан для цього параметра: вимкнено. Примітка. Старі події можуть зберігатися або не зберігатися автоматично відповідно до журналу резервного копіювання при повному налаштуванні політики.

Якщо нові події не записуються, може бути важко або неможливо визначити корінь причиною системних проблем або несанкціонованої діяльності суб’єктів загрози.

Немає – це типова поведінка.

18.10.26.1.2 Переконайтеся, що для параметра «Програма: укажіть максимальний розмір файлу журналу (КБ)» встановлено значення «Увімкнено: 32 768 або більше» (Автоматизовано)

Цей параметр політики визначає максимальний розмір файлу журналу в кілобайтах. Максимум розмір файлу журналу можна налаштувати від 1 мегабайта (1024 кілобайт) до 2 терабайт (2 147 483 647 кілобайт) із кроком у кілобайтах. Рекомендований стан для цього параметра: Увімкнено: 32 768 або вище.

Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії суб’єктів загрози. Наслідком цієї конфігурації є те, що старіші події буде видалено з колоди. Зловмисники можуть скористатися такою конфігурацією, тому що вони можуть генерувати велику кількість сторонніх подій, щоб перезаписати будь-які докази їх атаки. Ці ризики можна дещо зменшити, якщо автоматизувати архівування та резервне копіювання подій дані журналу. В ідеалі всі спеціально відстежувані події мають надсилатися на сервер, який використовує Microsoft System Center Operations Manager (SCOM) або інший автоматизований інструмент моніторингу. Така конфігурація особливо важлива, тому що загрозливий актор успішно сервер може очистити журнал безпеки. Якщо всі події відправляються на моніторинг сервер, тоді ви зможете збирати криміналістичну інформацію про загрозу діяльності.

Коли журнали подій заповнюються до повної ємності, вони припиняють записувати інформацію, якщо не буде збережено метод для кожного встановлено таким чином, що комп’ютер перезаписує найстаріші записи за допомогою найновіші. Щоб зменшити ризик втрати останніх даних, ви можете налаштувати метод збереження, щоб за потреби старіші події перезаписувалися.

18.10.26.2.1 Переконайтеся, що для параметра «Безпека: керування поведінкою журналу подій, коли файл журналу досягає максимального розміру» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики керує поведінкою журналу подій, коли файл журналу досягає максимуму розмір. Рекомендований стан для цього параметра: вимкнено. Примітка. Старі події можуть зберігатися або не зберігатися автоматично відповідно до журналу резервного копіювання при повному налаштуванні політики.

Якщо нові події не записуються, може бути важко або неможливо визначити корінь причиною системних проблем або несанкціонованої діяльності суб’єктів загрози.

Немає – це типова поведінка.

18.10.26.3.1 Переконайтеся, що для параметра «Налаштування: керування поведінкою журналу подій, коли файл журналу досягає максимального розміру» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики керує поведінкою журналу подій, коли файл журналу досягає максимуму розмір. Рекомендований стан для цього параметра: вимкнено. Примітка. Старі події можуть зберігатися або не зберігатися автоматично відповідно до журналу резервного копіювання при повному налаштуванні політики.

Якщо нові події не записуються, може бути важко або неможливо визначити корінь причиною системних проблем або несанкціонованої діяльності суб’єктів загрози.

Немає – це типова поведінка.

18.10.26.4.1 Переконайтеся, що для параметра «Система: контроль поведінки журналу подій, коли файл журналу досягає максимального розміру» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики керує поведінкою журналу подій, коли файл журналу досягає максимуму розмір. Рекомендований стан для цього параметра: вимкнено. Примітка. Старі події можуть зберігатися або не зберігатися автоматично відповідно до журналу резервного копіювання при повному налаштуванні політики.

Якщо нові події не записуються, може бути важко або неможливо визначити корінь причиною системних проблем або несанкціонованої діяльності суб’єктів загрози.

Немає – це типова поведінка.

18.10.29.2 Переконайтеся, що для параметра «Не застосовувати тег Mark of the Web до файлів, скопійованих із незахищених джерел» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи є файли, отримані з незахищених місць з тегом Знак Інтернету (MOTW). Рекомендований стан для цього параметра: вимкнено.

MOTW є важливою функцією безпеки, яка гарантує, що файли з незахищених місць є обробляються з особливою обережністю та позначаються тегом MOTW. Якщо файли не позначені, користувачі і комп’ютери можуть бути піддані ризикам безпеки.

Немає – це типова поведінка.

18.10.29.3 Переконайтеся, що для параметра «Вимкнути запобігання виконанню даних для провідника» встановлено значення «Вимкнено» (Автоматизовано)

Вимкнення Data Execution Prevention може дозволити деяким застарілим програмним модулям функцію без завершення Провідника. Рекомендований стан для цього параметра: вимкнено. Примітка. Деякі застарілі плагіни та інше програмне забезпечення можуть не працювати з даними Запобігання виконанню та вимагатиме визначення винятку для цього конкретного плагіна в/програмне забезпечення.

Запобігання виконанню даних є важливою функцією безпеки, яка підтримується Explorer допомагає обмежити вплив певних типів шкідливих програм.

Немає – це типова поведінка.

18.10.29.4 Переконайтеся, що для параметра «Вимкнути завершення купи у разі пошкодження» встановлено значення «Вимкнено» (Автоматизовано)

Без завершення купи через пошкодження застарілі плагіни можуть продовжувати працювати функціонувати, коли сеанс Провідника файлів пошкоджено. Забезпечення цієї купи припинення дії щодо корупції запобіжить цьому. Рекомендований стан для цього параметра: вимкнено.

Дозвол програмі працювати після того, як її сеанс був пошкоджений, збільшує ризик для системи.

Немає – це типова поведінка.

18.10.29.5 Переконайтеся, що для параметра «Вимкнути захищений режим протоколу оболонки» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики дозволяє вам налаштувати обсяг функціональності оболонки протокол може мати. При використанні повної функціональності цього протоколу програми можуть відкривати папки та запускати файли. Захищений режим зменшує функціональність цього протокол, який дозволяє програмам відкривати лише обмежений набір папок. Додатків немає може відкривати файли за допомогою цього протоколу, коли він знаходиться в захищеному режимі. Рекомендується залишити цей протокол у захищеному режимі для підвищення безпеки Windows. Рекомендований стан для цього параметра: вимкнено.

Обмеження відкриття файлів і папок обмеженим набором зменшує поверхню атаки система.

Немає – це типова поведінка.

18.10.36.1 Переконайтеся, що для параметра «Вимкнути місцезнаходження» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики вимикає функцію розташування для комп’ютера. Рекомендований стан для цього параметра: увімкнено.

Цей параметр впливає на функцію місцезнаходження (наприклад, GPS або інше відстеження місцезнаходження). Від а З точки зору безпеки, здебільшого не варто повідомляти про своє місцезнаходження програмному забезпеченню випадків, але існують законні способи використання, наприклад програмне забезпечення для картографування. Однак вони повинні не можна використовувати в умовах високого рівня безпеки.

Функцію розташування вимкнено, і всі програми на комп’ютері заборонені використання інформації про місцезнаходження з функції розташування.

18.10.40.1 Переконайтеся, що для параметра «Дозволити хмарну синхронізацію служби повідомлень» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики дозволяє резервне копіювання та відновлення стільникових текстових повідомлень у Microsoft хмарні сервіси. Рекомендований стан для цього параметра: вимкнено.

У середовищах із високим рівнем безпеки дані ніколи не можна передавати третім сторонам без них явну згоду, оскільки він може містити конфіденційну інформацію.