18. Адміністративні шаблони (Комп’ютер)

18.1.1.1 Переконайтеся, що для параметра «Запобігти ввімкненню камери блокування екрана» встановлено значення «Увімкнено» (Автоматизовано)

Вимикає перемикач камери на екрані блокування в налаштуваннях ПК і блокує камеру від виклику на екрані блокування. Рекомендований стан для цього параметра: увімкнено.

Вимкнення камери на екрані блокування розширює захист, який забезпечує екран блокування функції камери.

Якщо ввімкнути це налаштування, користувачі більше не зможуть увімкнути або вимкнути блокування екрана доступ до камери в налаштуваннях ПК, і камеру не можна викликати на екрані блокування.

18.1.1.2 Переконайтеся, що для параметра «Заборонити вмикати показ слайдів на екрані блокування» встановлено значення «Увімкнено» (Автоматизовано)

Вимикає налаштування показу слайдів на екрані блокування в налаштуваннях ПК і запобігає показу слайдів від відтворення на екрані блокування. Рекомендований стан для цього параметра: увімкнено.

Вимкнення показу слайдів на екрані блокування розширює захист, який надає екран блокування до вмісту слайд-шоу.

Якщо ввімкнути цей параметр, користувачі більше не зможуть змінювати параметри показу слайдів у Параметри ПК, і слайд-шоу ніколи не розпочнеться.

18.1.2.2 Переконайтеся, що для параметра «Дозволити користувачам увімкнути онлайн-служби розпізнавання мовлення» встановлено значення «Вимкнено» (Автоматизовано)

Ця політика вмикає компонент автоматичного навчання персоналізації введення, який включає мовлення, рукописне введення та введення. Автоматичне навчання дозволяє збирати мовлення і шаблони рукописного введення, історію введення, контакти та нещодавню інформацію календаря. Це так необхідні для використання Cortana. Частина цієї зібраної інформації може зберігатися на OneDrive користувача, у разі рукописного введення та набору тексту; частина інформації буде завантажено до Microsoft для персоналізації мовлення. Рекомендований стан для цього параметра: вимкнено.

Якщо цей параметр увімкнено, конфіденційна інформація може зберігатися в хмарі або надсилатися Microsoft.

Автоматичне вивчення мовлення, рукописного введення та друку припиняється, і користувачі не можуть змінити його значення через налаштування ПК.

18.1.3 Переконайтеся, що для параметра «Дозволити онлайн-підказки» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики налаштовує отримання онлайн-порад і довідки для програми «Налаштування». Рекомендований стан для цього параметра: вимкнено.

У середовищах із високим рівнем безпеки дані ніколи не можна передавати третім сторонам без них явну згоду, оскільки він може містити конфіденційну інформацію.

Параметри не зв’язуватимуться зі службами вмісту Microsoft, щоб отримати підказки та довідковий вміст.

18.4.1 Переконайтеся, що для параметра «Налаштувати драйвер клієнта SMB v1» встановлено значення «Увімкнено: вимкнути драйвер (рекомендовано)» (Автоматизовано)

Цей параметр налаштовує тип запуску для блоку повідомлень сервера версії 1 (SMBv1) службу клієнтського драйвера (MRxSmb10), яку рекомендується вимкнути. Рекомендований стан для цього параметра: Увімкнено: вимкнути драйвер (рекомендовано). Примітка. За жодних обставин не налаштовуйте цей загальний параметр як Вимкнено, як це призведе до повного видалення базового запису реєстру, що спричинить серйозні проблеми проблеми.

З вересня 2016 року корпорація Майкрософт наполегливо рекомендує вимкнути SMBv1 і більше не використовується в сучасних мережах, оскільки це 30-річний дизайн, який набагато більше вразливі до атак, ніж набагато новіші проекти, такі як SMBv2 і SMBv3. Більше інформації про це можна знайти за такими посиланнями: Припиніть використання SMB1 | Зберігання в Microsoft Вимкніть SMB v1 у керованих середовищах із груповою політикою – «Будьте в безпеці» Cyber Блог безпеки Вимкнення SMBv1 через групову політику – блог Microsoft Security Guidance

Деякі застарілі ОС (наприклад, Windows XP, Server 2003 або старіші), програми та пристрої можуть більше не мати змоги обмінюватися даними із системою після того, як SMBv1 буде вимкнено. Ми рекомендуємо провести ретельне тестування, щоб визначити вплив налаштуйте це як поширений контроль і, де можливо, виправте будь-які виявлені несумісності з постачальником несумісної системи. Microsoft також ведення ретельного (хоча і не повного) списку відомих SMBv1 несумісності за цим посиланням: SMB1 Product Clearinghouse | Зберігання в Microsoft

18.4.2 Переконайтеся, що для параметра «Налаштувати сервер SMB v1» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр налаштовує серверну обробку версії блоку повідомлень сервера 1 (SMBv1) протокол. Рекомендований стан для цього параметра: вимкнено.

З вересня 2016 року корпорація Майкрософт наполегливо рекомендує вимкнути SMBv1 і більше не використовується в сучасних мережах, оскільки це 30-річний дизайн, який набагато більше вразливі до атак, ніж набагато новіші проекти, такі як SMBv2 і SMBv3. Більше інформації про це можна знайти за такими посиланнями: Припиніть використання SMB1 | Зберігання в Microsoft Вимкніть SMB v1 у керованих середовищах із груповою політикою – «Будьте в безпеці» Cyber Блог безпеки Вимкнення SMBv1 через групову політику – блог Microsoft Security Guidance

Деякі застарілі ОС (наприклад, Windows XP, Server 2003 або старіші), програми та пристрої можуть більше не мати змоги обмінюватися даними із системою після того, як SMBv1 буде вимкнено. Ми рекомендуємо провести ретельне тестування, щоб визначити вплив налаштуйте це як поширений контроль і, де можливо, виправте будь-які виявлені несумісності з постачальником несумісної системи. Microsoft також ведення ретельного (хоча і не повного) списку відомих SMBv1 несумісності за цим посиланням: SMB1 Product Clearinghouse | Зберігання в Microsoft

18.4.3 Переконайтеся, що для параметра «Увімкнути доповнення сертифіката» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики налаштовує, чи буде функція WinVerifyTrust працювати строго Перевірка підпису Windows Authenticode для портативних виконуваних файлів (PE-файлів). Якщо увімкнуто, PE-файли вважатимуться «непідписаними», якщо Windows ідентифікує в них вміст що не відповідає специфікації Authenticode. Рекомендований стан для цього параметра: увімкнено.

У роботі функції WinVerifyTrust існує вразливість до віддаленого виконання коду обробляє перевірку підпису Windows Authenticode для портативних виконуваних файлів (PE). Щоб отримати додаткові відомості про цю вразливість, відвідайте CVE-2013-3900 – Керівництво з оновлення безпеки – Microsoft – уразливість перевірки підпису WinVerifyTrust.

Корпорація Майкрософт рекомендує створювати інсталятори лише для вилучення вмісту з перевірених частини підписаних файлів. Деякі інсталятори не дотримуються цих вказівок і тому можуть мати негативний вплив цього налаштування.

18.4.4 Переконайтеся, що для параметра «Увімкнути захист від перезапису обробки структурованих винятків (SEHOP)» встановлено значення «Увімкнено» (Автоматизовано)

Windows підтримує захист від перезапису обробки структурованих винятків (SEHOP). Ми рекомендуємо ввімкнути цю функцію, щоб покращити профіль безпеки комп’ютер. Рекомендований стан для цього параметра: увімкнено.

Ця функція призначена для блокування експлойтів, які використовують обробник структурованих винятків (SEH) техніка перезапису. Цей механізм захисту надається під час виконання. Таким чином, це допомагає захистити програми незалежно від того, чи були вони скомпільовані з останніми вдосконаленнями, такими як параметр /SAFESEH.

Після ввімкнення SEHOP наявні версії Cygwin, Skype і Armadillo захищені програми можуть не працювати належним чином.

18.4.5 Переконайтеся, що для параметра «Конфігурація NetBT NodeType» встановлено значення «Увімкнено: P-вузол (рекомендовано)» (Автоматизовано)

Цей параметр визначає, який метод NetBIOS через TCP/IP (NetBT) використовує для реєстрації і розпізнати імена. Доступні методи: • Метод B-node (широкомовлення) використовує лише широкомовлення. • Метод P-node (точка-точка) використовує лише запити імен до сервера імен (ПЕРЕМОГА). • Метод M-node (змішаний) спочатку транслює, а потім запитує сервер імен (WINS) якщо трансляція не вдалася. • Метод H-node (гібридний) спочатку запитує сервер імен (WINS), а потім розсилає якщо запит не виконано. Рекомендований стан для цього параметра: Увімкнено: P-вузол (рекомендовано) (точка- до точки). Примітка. Розв’язання через LMHOSTS або DNS виконується за цими методами. Якщо NodeType наявне значення реєстру, воно замінює будь-яке значення реєстру DhcpNodeType. Якщо ні NodeType або DhcpNodeType присутні, комп’ютер використовує B-вузол (широкомовлення), якщо є немає серверів WINS, налаштованих для мережі, або H-вузол (гібридний), якщо є принаймні один налаштований сервер WINS.

Щоб допомогти знизити ризики атак з отруєнням NetBIOS Name Service (NBT-NS), встановлення типу вузла на P-вузол (точка-точка) завадить системі надсилати Трансляції NetBIOS.

Для запитів на розпізнавання імен NetBIOS потрібен визначений і доступний сервер WINS зовнішнє дозвіл імен NetBIOS. Якщо сервер WINS не визначено або недоступний, а потрібне ім’я хоста не визначено в локальному кеші, локальних LMHOSTS або HOSTS файлів, розпізнавання імен NetBIOS не вдасться.

18.4.6 Переконайтеся, що для параметра «Автентифікація WDigest» встановлено значення «Вимкнено» (Автоматизовано)

Коли автентифікацію WDigest увімкнено, Lsass.exe зберігає копію файлу користувача простий текстовий пароль у пам’яті, де він може бути під загрозою викрадення. Якщо цього параметра немає налаштовано, автентифікація WDigest вимкнена в Windows 8.1 і Windows Server 2012 R2; він увімкнено за замовчуванням у попередніх версіях Windows і Windows Server. Щоб отримати додаткові відомості про локальні облікові записи та крадіжку облікових даних, перегляньте розділ «Пом’якшення Атаки Pass-the-Hash (PtH) та інші методи викрадення облікових даних». Додаткову інформацію про UseLogonCredential див. у базі знань Microsoft стаття 2871997: Microsoft Security Advisory Update для покращення захисту облікових даних та управління 13 травня 2014р. Рекомендований стан для цього параметра: вимкнено.

Запобігання зберіганню облікових даних у відкритому вигляді в пам’яті може зменшити можливості для крадіжка облікових даних.

Немає – це також стандартна конфігурація для Windows 8.1 або новішої версії.

18.5.1 Переконайтеся, що для параметра «MSS: (AutoAdminLogon) Enable Automatic Logon» встановлено значення «Disabled» (Автоматизовано)

Цей параметр окремий від функції екрана привітання в Windows XP і Windows Vista; якщо цю функцію вимкнено, цей параметр не вимкнено. Якщо налаштувати комп’ютер для автоматичного входу кожен, хто може фізично отримати доступ до комп’ютера, також може отримати доступ до всього, що є на комп’ютері, включаючи будь-яку мережу чи мережі до якого підключений комп’ютер. Крім того, якщо ви ввімкнете автоматичний вхід, пароль є зберігається в реєстрі у вигляді відкритого тексту, і конкретний розділ реєстру, який зберігає це значення віддалено читається групою автентифікованих користувачів. Щоб отримати додаткові відомості, перегляньте статтю 324737 бази знань Microsoft: Як повернути на автоматичний вхід у Windows. Рекомендований стан для цього параметра: вимкнено.

Якщо ви налаштуєте комп’ютер на автоматичний вхід, будь-хто, хто може фізично отримати доступ до комп’ютера також можна отримати доступ до всього, що є на комп’ютері, в т.ч будь-яку мережу чи мережі, до яких підключено комп’ютер. Крім того, якщо ви ввімкнете автоматичний вхід, пароль зберігається в реєстрі у відкритому вигляді. Конкретний реєстр ключ, у якому зберігається цей параметр, доступний для віддаленого читання групою автентифікованих користувачів. Як а У результаті цей запис доречний, лише якщо комп’ютер фізично захищений і якщо ви переконайтеся, що ненадійні користувачі не можуть віддалено переглядати реєстр.

Немає – це типова поведінка.

18.5.4 Переконайтеся, що для параметра «MSS: (DisableSavePassword) Prevent the dial-up password from being saved» встановлено значення «Увімкнено» (Автоматизовано)

Коли ви набираєте номер телефонної книги або запис VPN у Dial-Up Networking, ви можете скористатися кнопкою «Зберегти Пароль», щоб ваш пароль віддаленого доступу кешувався, а ви ні потрібно ввести його під час послідовних спроб набору. З міркувань безпеки адміністратори можуть забажати заборонити користувачам кешувати паролі. Рекомендований стан для цього параметра: увімкнено.

Зловмисник, який викрадає комп’ютер мобільного користувача, може автоматично підключитися до мережі організації, якщо для комутованого з’єднання встановлено прапорець «Зберегти цей пароль». або запис мережі VPN, який використовується для підключення до мережі вашої організації.

Користувачі не зможуть автоматично зберігати свої облікові дані для комутованого доступу та VPN з’єднання.

18.5.5 Переконайтеся, що «MSS: (EnableICMPRedirect) Allow ICMP redirects to override OSPF generated routes» встановлено на «Disabled» (Автоматизовано)

Переспрямування протоколу керуючих повідомлень Інтернету (ICMP) призводить до того, що стек IPv4 переходить на хост маршрути. Ці маршрути замінюють згенеровані маршрути Open Shortest Path First (OSPF). Рекомендований стан для цього параметра: вимкнено.

Така поведінка очікувана. Проблема в тому, що 10-хвилинний тайм-аут для Маршрути перенаправлення ICMP тимчасово створюють мережеву ситуацію, у якій трафік більше не буде належним чином маршрутизовано для постраждалого хоста. Ігнорування таких переспрямувань ICMP буде обмежте вразливість системи до атак, які вплинуть на її здатність брати участь у мережі.

Якщо службу маршрутизації та віддаленого доступу (RRAS) налаштовано як автономну системний граничний маршрутизатор (ASBR), він неправильно імпортує підключену інтерфейсну підмережу маршрути. Натомість цей маршрутизатор вставляє маршрути хоста в маршрути OSPF. Однак, OSPF-маршрутизатор не може використовуватися як ASBR-маршрутизатор, а при підключеному інтерфейсі підмережі маршрути імпортуються в OSPF, в результаті таблиці маршрутизації плутаються з дивною маршрутизацією шляхи.

18.5.9 Переконайтеся, що для параметра «MSS: (SafeDllSearchMode) Enable Safe DLL search mode» встановлено значення «Enabled» (Автоматизовано)

Порядок пошуку DLL може бути налаштований для пошуку DLL, які запитує запуск процесів одним із двох способів: • Спочатку шукайте папки, вказані в системному шляху, а потім шукайте поточні робоча папка. • Спочатку виконайте пошук у поточній робочій папці, а потім у папках, указаних у системний шлях. Якщо ввімкнуто, значення реєстру встановлено на 1. З налаштуванням 1 спочатку система шукає папки, які вказані в системному шляху, а потім шукає поточну робоча папка. Якщо вимкнено, значення реєстру встановлюється на 0 і система першою шукає поточну робочу папку, а потім шукає папки, які вказані в системний шлях. Програми будуть змушені спочатку шукати DLL у системному шляху. Для додатків які вимагають унікальних версій цих DLL, які входять до програми, це введення може спричинити проблеми з продуктивністю або стабільністю. Рекомендований стан для цього параметра: увімкнено. Примітка. Більше інформації про те, як працює безпечний режим пошуку DLL, доступно за цим посиланням: Порядок пошуку бібліотеки динамічного компонування – програми Windows | Microsoft Docs

Якщо користувач несвідомо виконує ворожий код, який був упакований із додатковими файлами, які включати модифіковані версії системних DLL, ворожий код міг завантажувати власні версії цих DLL і потенційно збільшить тип і ступінь пошкодження коду рендерити.

Немає – це типова поведінка.

18.5.11 Переконайтеся, що для параметра «MSS: (TcpMaxDataRetransmissions) Скільки разів повторно передано непідтверджені дані» встановлено значення «Увімкнено: 3» (Автоматизовано)

Цей параметр контролює кількість разів, коли TCP повторно передає окремі дані сегмент (сегмент без з’єднання) до того, як з’єднання буде перервано. Ретрансляція тайм-аут подвоюється з кожною наступною повторною передачею під час з’єднання. Він скидається коли відповіді відновляться. Базове значення тайм-ауту динамічно визначається виміряний час зворотного зв’язку. Рекомендований стан для цього параметра: Увімкнено: 3.

Зловмисник може вичерпати ресурси цільового комп’ютера, якщо він ніколи їх не надсилатиме повідомлення-підтвердження для даних, переданих цільовим комп’ютером.

TCP запускає таймер повторної передачі, коли кожен вихідний сегмент передається на IP. Якщо не отримано підтвердження для даних у даному сегменті до таймера закінчується, тоді сегмент повторно передається до трьох разів.

18.6.4.1 Переконайтеся, що для параметра «Налаштувати протокол багатоадресної передачі DNS (mDNS)» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи буде DNS-клієнт виконувати розпізнавання імен Багатоадресний DNS (mDNS). mDNS виконує пошук імен і служб локальної мережі без необхідності центрального DNS. Рекомендований стан для цього параметра: вимкнено.

Зловмисник може прослуховувати мережу через UDP-порт 5353 і відповідати на них, обманюючи щоб хост думав, що він знає розташування запитуваної системи.

Якщо DNS недоступний, система не зможе запитувати його в інших системах в одній підмережі.

18.6.4.2 Переконайтеся, що для параметра «Вимкнути DNS-сервери IPv6 за замовчуванням» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи буде DNS-клієнт використовувати стандартний DNS-сервер IPv6 адреси, надані Windows. Рекомендований стан для цього параметра: увімкнено.

Оскільки переважна більшість керованих мереж приватних підприємств не потребує використання IPv6 (оскільки вони мають доступ до приватної адресації IPv4), вимикаючи використання IPv6 Адреси DNS-серверів усувають можливу поверхню атаки, яку також важче контролювати рух на. Не рекомендується використовувати DNS-сервери, які контролюються зовнішньою організацією без участі ІТ-відділу організації.

Адреси DNS-серверів IPv6 за замовчуванням не використовуватимуться Windows.

18.6.5.1 Переконайтеся, що для параметра «Увімкнути постачальників шрифтів» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи дозволено Windows завантажувати шрифти та шрифт дані каталогу від онлайн-постачальника шрифтів. Рекомендований стан для цього параметра: вимкнено.

У корпоративному керованому середовищі ІТ-відділ повинен керувати зміни конфігурації системи, щоб переконатися, що всі зміни перевірені та затверджені.

Windows не підключатиметься до онлайн-провайдера шрифтів і буде перелічувати лише локально- встановлені шрифти.

18.6.7.1 Переконайтеся, що для параметра «Клієнт аудиту не підтримує шифрування» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи буде входити сервер блокування повідомлень сервера (SMB). події, коли клієнт SMB не підтримує шифрування. Увімкнувши це, створюватимуться записи журналу подій у програмах і службах Журнали\Microsoft\Windows\SMBClient\Audit з ідентифікатором події 31998. Рекомендований стан для цього параметра: увімкнено.

Організації повинні знати про весь незашифрований трафік SMB у своєму середовищі. Старіші протоколи SMB, які не використовують шифрування, можуть зробити середовище вразливим до багатьох типів атак, включаючи атаки перехоплення SMB.

Увесь незашифрований трафік SMB реєструватиметься як подія.

18.6.7.2 Переконайтеся, що для параметра «Клієнт аудиту не підтримує підпис» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи буде входити сервер блокування повідомлень сервера (SMB). події, коли клієнт SMB не підтримує підписання. Увімкнувши це, створюватимуться записи журналу подій у програмах і службах Журнали\Microsoft\Windows\SMBClient\Audit з ідентифікатором події 31999. Рекомендований стан для цього параметра: увімкнено.

Організації повинні знати про весь непідписаний трафік SMB у своєму середовищі. Старший Протоколи SMB, які не використовують підписування, можуть зробити середовище вразливим для багатьох типи атак, включаючи атаки перехоплення SMB.

Увесь непідписаний трафік SMB реєструватиметься як подія.

18.6.7.3 Переконайтеся, що для параметра «Аудит незахищеного входу в систему» ​​встановлено значення «Увімкнено» (Автоматизовано)

Ця політика визначає, чи буде сервер блокування повідомлень сервера (SMB) реєструвати події коли клієнт увійшов як гостьовий обліковий запис. Увімкнувши це, створюватимуться записи журналу подій у програмах і службах Журнали\Microsoft\Windows\SMBServer\Security з ідентифікаторами подій 3023, 31017, 31018, і 31022. Рекомендований стан для цього параметра: увімкнено.

Файлові сервери можуть використовувати незахищені входи в систему гостя, щоб дозволити неавтентифікований доступ спільні папки.

Усі незахищені входи гостя реєструватимуться як подія.

18.6.7.4 Переконайтеся, що для параметра «Увімкнути обмеження частоти автентифікації» встановлено значення «Увімкнено» (Автоматизовано)

Ці параметри політики налаштовують автентифікацію сервера блоку повідомлень сервера (SMB). обмежувач швидкості. Обмежувач швидкості автентифікації – це функція SMB, призначена для боротися з атаками грубої сили. Рекомендований стан для цього параметра: увімкнено. Примітка. Цей параметр слід використовувати разом із параметром Установити швидкість автентифікації затримка обмежувача (мілісекунди).

Обмежувач швидкості автентифікації значно знижує ризик атак грубою силою впровадження 2-секундної затримки (за замовчуванням) між кожним невдалим NTLM або на основі PKU2U спроба автентифікації. За даними Microsoft, якщо загроза надсилає 300 спроб грубої сили на секунду з клієнта протягом 5 хвилин, що дорівнює 90 000 паролів, стільки ж спроб тепер займає 50 годин або більше.

Немає – це типова поведінка.

18.6.7.5 Переконайтеся, що для параметра «Увімкнути віддалені поштові слоти» встановлено значення «Вимкнено» (Автоматизовано)

Ці налаштування політики визначають, чи використовуватиме сервер SMB віддалені поштові слоти через служба комп’ютерного браузера. Протокол віддалених поштових слотів є старим, простим, ненадійним, і незахищений міжпроцесний метод зв’язку. Рекомендований стан для цього параметра: вимкнено.

Віддалені поштові слоти – це застарілий протокол, який використовує SMBv1 для роботи. Цей протокол є пов’язані з відомими вразливими місцями, такими як відмова в обслуговуванні, переповнення буфера та віддалене атаки на виконання коду.

Якщо функція віддалених поштових слотів працювала, вона більше не працюватиме.

18.6.7.6 Переконайтеся, що для параметра «Надати мінімальну версію SMB» встановлено значення «Увімкнено: 3.1.1» (Автоматизовано)

Ці параметри політики керують мінімальною версією блоку повідомлень сервера (SMB) протокол, який можна використовувати в системі. Рекомендований стан для цього параметра: Увімкнено: 3.1.1. Примітка. Цей параметр групової політики не перешкоджає використанню SMBv1, якщо його інстальовано та увімкнено в системі. Якщо наведені нижче рекомендації налаштовано відповідно до вимог у цьому тесті SMBv1 буде вимкнено в системі: Налаштуйте клієнт SMB v1 драйвера та налаштування сервера SMB v1.

Нова, сучасніша версія SMB (v3) підтримується та доступна на всіх наразі підтримувані ОС Microsoft Windows. SMBv1 більше не ввімкнено за замовчуванням через його ризики безпеки, і хоча SMBv2 є більш надійним, ніж v1, він не підтримує шифрування, як і його наступник.

Якщо є старі (непідтримувані) ОС Windows, які не підтримують SMB v3.1.1 у середовищі, цей параметр може вплинути на зворотну сумісність із ними. Наприклад, Windows 8.1 і Windows Server 2012 R2 і старіші версії. Цей параметр може також запобігти підключенню сторонніх клієнтів, які не підтримують SMB v3.1.1.

18.6.8.1 Переконайтеся, що для параметра «Аудит незахищеного входу в систему» ​​встановлено значення «Увімкнено» (Автоматизовано)

Ця політика визначає, чи реєструватиме події клієнт блоку повідомлень сервера (SMB). коли клієнт увійшов як гостьовий обліковий запис. Увімкнувши це, створюватимуться записи журналу подій у програмах і службах Журнали\Microsoft\Windows\SMBClient\Security з ідентифікаторами подій 3023, 31017, 31018, і 31022. Рекомендований стан для цього параметра: увімкнено.

Файлові сервери можуть використовувати незахищені входи в систему гостя, щоб дозволити неавтентифікований доступ спільні папки.

Усі незахищені входи гостя реєструватимуться як подія.

18.6.8.2 Переконайтеся, що для параметра «Сервер аудиту не підтримує шифрування» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи буде входити клієнт блоку повідомлень сервера (SMB). події, коли сервер SMB не підтримує шифрування. Увімкнувши це, створюватимуться записи журналу подій у програмах і службах Журнали\Microsoft\Windows\SMBServer\Audit з ідентифікатором події 3021. Рекомендований стан для цього параметра: увімкнено.

Організації повинні знати про весь незашифрований трафік SMB у своєму середовищі. Старіші протоколи SMB, які не використовують шифрування, можуть зробити середовище вразливим до багатьох типів атак, включаючи атаки перехоплення SMB.

Увесь незашифрований трафік SMB реєструватиметься як подія.

18.6.8.3 Переконайтеся, що для параметра «Сервер перевірки не підтримує підписання» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи буде входити клієнт блоку повідомлень сервера (SMB). події, коли сервер SMB не підтримує підписання. Увімкнувши це, створюватимуться записи журналу подій у програмах і службах Журнали\Microsoft\Windows\SMBServer\Audit з ідентифікатором події 3022. Рекомендований стан для цього параметра: увімкнено.

Організації повинні знати про весь непідписаний трафік SMB у своєму середовищі. Старший Протоколи SMB, які не використовують підписування, можуть зробити середовище вразливим для багатьох типи атак, включаючи атаки перехоплення SMB.

Увесь непідписаний трафік SMB реєструватиметься як подія.

18.6.8.4 Переконайтеся, що для параметра «Увімкнути незахищені входи в систему гостя» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи дозволятиме клієнт SMB незахищений гостьовий вхід до сервер SMB. Рекомендований стан для цього параметра: вимкнено.

Незахищені гостьові входи використовуються файловими серверами, щоб дозволити неавтентифікований доступ до спільні папки.

Клієнт SMB відхилятиме незахищені гостьові входи. Це не було спочатку за замовчуванням у старіших версіях Windows, але Microsoft змінила поведінку за замовчуванням починаючи з Windows 10 R1709: гостьовий доступ у SMB2 вимкнено за замовчуванням у Windows 10 і Windows Server 2016

18.6.8.5 Переконайтеся, що для параметра «Увімкнути віддалені поштові слоти» встановлено значення «Вимкнено» (Автоматизовано)

Ці налаштування політики визначають, чи використовуватиме клієнт SMB віддалені поштові слоти Кілька постачальників UNC (MUP). Протокол віддалених поштових слотів є старим, простим, ненадійний і незахищений метод зв’язку між процесами. Рекомендований стан для цього параметра: вимкнено.

Віддалені поштові слоти – це застарілий протокол, який використовує SMBv1 для роботи. Цей протокол є пов’язані з відомими вразливими місцями, такими як відмова в обслуговуванні, переповнення буфера та віддалене атаки на виконання коду.

Якщо функція віддалених поштових слотів працювала, вона більше не працюватиме.

18.6.8.6 Переконайтеся, що для параметра «Надати мінімальну версію SMB» встановлено значення «Увімкнено: 3.1.1» (Автоматизовано)

Ці параметри політики керують мінімальною версією блоку повідомлень сервера (SMB) протокол, який можна використовувати в системі. Рекомендований стан для цього параметра: Увімкнено: 3.1.1. Примітка. Цей параметр групової політики не перешкоджає використанню SMBv1, якщо його інстальовано та увімкнено в системі. Якщо наведені нижче рекомендації налаштовано відповідно до вимог у цьому тесті SMBv1 буде вимкнено в системі: Налаштуйте клієнт SMB v1 драйвера та налаштування сервера SMB v1.

Нова, сучасніша версія SMB (v3) підтримується та доступна на всіх наразі підтримувані ОС Microsoft Windows. SMBv1 більше не ввімкнено за замовчуванням через його ризики безпеки, і хоча SMBv2 є більш надійним, ніж v1, він не підтримує шифрування, як і його наступник.

Якщо є старі (непідтримувані) ОС Windows, які не підтримують SMB v3.1.1 у середовищі, цей параметр може вплинути на зворотну сумісність із ними. Наприклад, Windows 8.1 і Windows Server 2012 R2 і старіші версії. Цей параметр може також впливають на підключення до сторонніх пристроїв і пристроїв, які не підтримують SMB v3.1.1.

18.6.8.7 Переконайтеся, що для параметра «Вимагати шифрування» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи потребуватиме клієнт SMB шифрування. Рекомендований стан для цього параметра: увімкнено. Попередження: Сервер SMB має підтримувати та ввімкнути шифрування SMB (потрібно SMB v3.0 або новішої версії).

Нова, сучасніша версія SMB (v3) підтримується та доступна на всіх наразі підтримувані ОС Microsoft Windows. SMBv1 більше не ввімкнено за замовчуванням через його ризики безпеки, і хоча SMBv2 є більш надійним, ніж v1, він не підтримує шифрування, як і його наступник.

Якщо наявні застарілі (непідтримувані) ОС Windows, які не підтримують шифрування у середовищі цей параметр може вплинути на зворотну сумісність із ними. для наприклад, Windows 7 і Windows Server 2008 R2 і старіші версії. Цей параметр також може впливають на підключення до сторонніх пристроїв і пристроїв, які не підтримують SMB v3.0.

18.6.9.1 Переконайтеся, що для параметра «Увімкнути драйвер введення-виведення Mapper (LLTDIO)» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики змінює робочу поведінку мережевого протоколу Mapper I/O водій. LLDTIO дозволяє комп’ютеру виявляти топологію мережі, до якої він підключений. Це також дозволяє комп’ютеру ініціювати запити якості обслуговування, наприклад пропускної здатності оцінка та аналіз справності мережі. Рекомендований стан для цього параметра: вимкнено.

Щоб допомогти захиститися від можливого виявлення та підключення до несанкціонованих пристроїв, цей параметр має бути вимкнено, щоб запобігти відповіді на мережевий трафік для мережі відкриття топології.

Деякі програми в режимі реального часу можуть мати проблеми з короткими розривами з’єднання з мережею. для більше інформації відвідайте: Відключення мережі після налаштування LLDTIO та Об’єкти групової політики RSPNDR – Windows Server | Microsoft Learn.

18.6.9.2 Переконайтеся, що для параметра «Драйвер увімкнути відповідач (RSPNDR)» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики змінює робочу поведінку мережевого протоколу відповідача водій. Відповідач дозволяє комп’ютеру брати участь у виявленні топології рівня зв’язку запити, щоб його можна було виявити та знайти в мережі. Це також дозволяє a комп’ютер для участі в діяльності з контролю якості обслуговування, наприклад оцінці пропускної здатності та аналіз справності мережі. Рекомендований стан для цього параметра: вимкнено.

Щоб допомогти захиститися від можливого виявлення та підключення до несанкціонованих пристроїв, цей параметр має бути вимкнено, щоб запобігти відповіді на мережевий трафік для мережі відкриття топології.

Деякі програми в режимі реального часу можуть мати проблеми з короткими розривами з’єднання з мережею. для більше інформації відвідайте: Відключення мережі після налаштування LLDTIO та Об’єкти групової політики RSPNDR – Windows Server | Microsoft Learn.

18.6.10.2 Переконайтеся, що для параметра «Вимкнути служби однорангової мережі Microsoft» встановлено значення «Увімкнено» (Автоматизовано)

Протокол розпізнавання імен однорангових пристроїв (PNRP) дозволяє розподілено розпізнавати імена на адресу IPv6 і номер порту. Протокол працює в контексті хмар. А хмара — це набір однорангових комп’ютерів, які можуть спілкуватися один з одним за допомогою однаковий обсяг IPv6. Протоколи Peer-to-Peer дозволяють використовувати програми в таких сферах, як RTC, співпраця, контент розподіл і розподілена обробка. Рекомендований стан для цього параметра: увімкнено.

Цей параметр підвищує безпеку середовища та знижує загальний ризик вплив, пов’язаний з одноранговими мережами.

Однорангові мережеві служби Microsoft вимкнено повністю та все програми, залежні від них, перестануть працювати.

18.6.11.2 Переконайтеся, що для параметра «Заборонити встановлення та конфігурацію мережевого мосту у вашій мережі домену DNS» встановлено значення «Увімкнено» (Автоматизовано)

Ви можете використовувати цю процедуру, щоб керувати здатністю користувача встановлювати та налаштовувати мережу Міст. Рекомендований стан для цього параметра: увімкнено.

Параметр «Мережевий міст», якщо його ввімкнено, дозволяє користувачам створювати доступ до медіа рівня 2 Контрольний (MAC) міст, що дозволяє їм з’єднувати дві або більше фізичних мереж сегменти разом. Таким чином, мережевий міст дозволяє комп’ютеру, який має підключення до дві різні мережі для обміну даними між цими мережами. У корпоративному керованому середовищі, де необхідно контролювати мережевий трафік лише авторизовані шляхи, дозволяючи користувачам створювати мережевий міст, збільшує ризик і поверхню атаки з мостової мережі.

Користувачі не можуть створити або налаштувати мережевий міст.

18.6.11.3 Переконайтеся, що для параметра «Заборонити використання спільного доступу до підключення до Інтернету у вашій доменній мережі DNS» встановлено значення «Увімкнено» (Автоматизовано)

Хоча цей «застарілий» параметр традиційно застосовувався до використання підключення до Інтернету Спільний доступ (ICS) у Windows 2000, Windows XP і Server 2003, це налаштування оновлено застосовується до функції Mobile Hotspot у Windows 10 і Server 2016. Рекомендований стан для цього параметра: увімкнено. Попередження: щоб Application Guard працював правильно, ICS має бути ввімкнено. Якщо У середовищі використовується Application Guard, але це виняток може знадобитися рекомендація. Щоб дізнатися більше про те, як вимкнути частини ICS не порушуючи Application Guard, будь ласка, відвідайте: FAQ – Microsoft Defender Application Охоронець | Microsoft Learn. Примітка: Microsoft Defender Application Guard більше не доступний, починаючи з Windows 11, версія 24H2. Якщо в середовищі працює версія 24H2 або новіша, an буде потрібний виняток із цієї рекомендації. Ця рекомендація буде видалено з тесту в листопаді 2026 року після Windows 11 версії 23H2 досягає кінця життя.

Особи, які не є адміністраторами, не повинні мати можливість увімкнути функцію мобільної точки доступу та відкрити її підключення до мобільних пристроїв поблизу.

Мобільну точку доступу не можуть увімкнути або налаштувати адміністратори та не Адміністратори однакові.

18.6.19.2.1 Вимкнути IPv6 (переконайтеся, що для параметра TCPIP6 «DisabledComponents» встановлено значення «0xff (255)») (Автоматизовано)

Інтернет-протокол версії 6 (IPv6) — це набір протоколів, які комп’ютери використовують для обміну інформації в Інтернеті, а також через домашню та робочу мережі. IPv6 дозволяє потрібно призначити набагато більше IP-адрес, ніж IPv4. Старіші мережі, хости та операційні системи можуть не підтримувати протокол IPv6. Рекомендований стан для цього параметра: DisabledComponents – 0xff (255)

Оскільки переважна більшість керованих мереж приватних підприємств не потребує використання IPv6 (оскільки вони мають доступ до приватної адресації IPv4), вимикаючи IPv6 компонентів усуває можливу поверхню атаки, що також ускладнює моніторинг трафіку на. Тому ми рекомендуємо налаштувати IPv6 у стан Disabled, коли це не так необхідний. Налаштування цієї рекомендації для запропонованого стану CIS пом’якшує CVE-2024- 38063, уразливість віддаленого виконання коду TCP/IP.

Підключення до інших систем за допомогою IPv6 більше не працюватиме, а програмне забезпечення залежить від IPv6 перестане працювати. Приклади програм Microsoft, які можуть використовувати IPv6 включає: Remote Assistance, HomeGroup, DirectAccess, Windows Mail. Ця зміна реєстру задокументована в статті бази знань Microsoft Knowledge Base 929852: Як щоб вимкнути IPv6 або його компоненти в Windows. Примітка. Ця зміна реєстру не набуде чинності до наступного перезавантаження.

18.6.20.1 Переконайтеся, що для параметра «Конфігурація параметрів бездротового зв’язку за допомогою Windows Connect Now» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики дозволяє конфігурувати параметри бездротового зв’язку за допомогою Windows Connect Зараз (WCN). Реєстратор WCN дозволяє виявляти та конфігурувати пристрої через Ethernet (UPnP) через внутрішньосмугову мережу Wi-Fi 802.11 через портативний пристрій Windows API (WPD) і через USB Flash накопичувачі. Для виявлення доступні додаткові параметри і конфігурація на певному носії. Рекомендований стан для цього параметра: вимкнено.

Цей параметр підвищує безпеку середовища та знижує загальний ризик вплив, пов’язаний із конфігурацією користувачем параметрів бездротового зв’язку. Додатково, згідно з Microsoft, Windows Connect Now було створено як рішення для домашньої мережі та малих підприємств і не призначений для корпоративних сценаріїв.

Операції WCN вимкнено на всіх носіях.

18.6.20.2 Переконайтеся, що для параметра «Заборонити доступ майстрів Windows Connect Now» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики забороняє доступ до майстрів Windows Connect Now (WCN). Рекомендований стан для цього параметра: увімкнено.

Надання звичайним користувачам доступу до майстра Windows Connect Now збільшує ризик і поверхні атаки. Крім того, за словами Microsoft, Windows Connect Now була створено як рішення для домашніх мереж і малого бізнесу і не призначене для корпоративні сценарії.

Майстри WCN вимкнено, і користувачі не мають доступу до жодного із завдань майстра. Усі завдання, пов’язані з налаштуванням, включаючи «Налаштування бездротового маршрутизатора або точки доступу» і «Додати бездротовий пристрій» вимкнено.

18.7.1 Переконайтеся, що для параметра «Дозволити спулеру друку приймати підключення клієнтів» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи буде служба диспетчера друку приймати клієнта з’єднання. Рекомендований стан для цього параметра: вимкнено. Примітка. Щоб змінити цю політику, потрібно перезапустити службу друку ефект.

Вимкнення можливості для служби диспетчера друку приймати клієнтські з’єднання пом’якшує проблему віддалені атаки на вразливість PrintNightmare (CVE-2021-34527) та інші віддалені атаки Print Spooler. Однак ця рекомендація не пом’якшує локальні атаки на службу Print Spooler.

За умови, що службу Print Spooler не вимкнено, користувачі й надалі зможуть це робити друкувати зі своєї робочої станції. Однак служба диспетчера друку на робочій станції не буде приймати підключення клієнтів або дозволяти користувачам спільно використовувати принтери. Зауважте, що всі принтери, що якими вже ділилися, продовжуватимуть ділитися.

18.7.2 Переконайтеся, що для параметра Configure Redirection Guard встановлено значення Enabled: Redirection Guard Enabled (Автоматизовано)

Цей параметр політики визначає, чи ввімкнено Redirection Guard для друку спулер. Redirection Guard може запобігти використанню перенаправлення файлів під час друку спулер. Рекомендований стан для цього параметра: Enabled: Redirection Guard Enabled.

Цей параметр не дозволяє особам, які не є адміністраторами, переспрямовувати файли в спулері друку процес.

Немає – це типова поведінка.

18.7.5 Переконайтеся, що для параметра «Налаштувати параметри прослуховування RPC: протоколи для вхідних з’єднань RPC» встановлено значення «Увімкнено: RPC через TCP» (Автоматизовано)

Цей параметр політики контролює, які протоколи вхідного виклику віддаленої процедури (RPC) дозволено використовувати підключення до спулера друку. Рекомендований стан для цього параметра: Увімкнено: RPC через TCP.

Цей параметр може запобігти використанню іменованих каналів для підключень RPC до друку спулер і змушує використовувати TCP, який є більш безпечним методом зв’язку.

Попередження: у багатьох існуючих конфігураціях друку можуть використовуватися канали зі старішими назвами протоколу і тому перестане функціонувати.

18.7.7 Переконайтеся, що для параметра «Налаштувати RPC через порт TCP» встановлено значення «Увімкнено: 0» (Автоматизовано)

Цей параметр політики визначає, який порт використовується для RPC через TCP для вхідних повідомлень підключення до спулера друку та вихідні з’єднання з віддаленими спулерами друку. Рекомендований стан для цього параметра: Увімкнено: 0.

Використання динамічних портів для друку робить загрозливим діячам складніше визначити, які саме порт використовується і, отже, який порт атакувати.

Якщо ваше поточне середовище друку налаштовано для певного порту TCP, цей параметр може потрібна зміна брандмауера (якщо є) для продовження друку.

18.7.8 Переконайтеся, що для параметра «Налаштувати конфіденційність на рівні пакетів RPC для вхідних з’єднань» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики контролює конфіденційність на рівні пакетів для віддаленого виклику процедури (RPC) вхідні з’єднання. Рекомендований стан для цього параметра: увімкнено.

Вразливість обходу безпеки (CVE-2021-1678 | Спуфінг диспетчера друку Windows Уразливість) існує в тому, як прив’язка RPC принтера обробляє автентифікацію для віддалений інтерфейс Winspool. Увімкнення параметра конфіденційності пакетів RPC для вхідних повідомлень підключень змушує сервер підвищити рівень автентифікації, щоб мінімізувати ця вразливість.

Немає – це типова поведінка.

18.7.9 Переконайтеся, що для параметра «Налаштувати захищений друк Windows» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи ввімкнено в системі захищений друк Windows. Захищений друк Windows використовує сучасну платформу друку та захищений друк Windows режим. Сучасний друк розроблено для роботи лише з принтерами, сертифікованими Mopria. Mopria – це a колекція виробників принтерів і постачальників програмного забезпечення, які визначають стандарти для IPP друк і сканування eSCL. Рекомендований стан для цього параметра: увімкнено. Примітка. Захищений друк Windows не забороняє адміністраторам або користувачам інсталювати драйвери принтера сторонніх виробників за допомогою інсталяційного пакета, що надається пристроєм друку виробник.

У вересні 2023 року Microsoft оголосила про завершення плану обслуговування застарілих версій партія драйверів принтера. У липні 2025 року Microsoft не публікуватиме нові драйвери принтера для Windows Update, а до липня 2027 року (за винятком виправлень, пов’язаних із безпекою), сторонній принтер оновлення драйверів більше не розгортатимуться. Захищений друк Windows також захищає весь стек друку від атак. Відповідно до на думку корпорації Майкрософт, захищений друк Windows може пом’якшити більше половини безпеки, про яку повідомлялося раніше проблеми з друком Windows.

Використання будь-якого принтера, який не підтримує Mopra, буде заборонено. Крім того, лише сертифіковані Mopria драйвери друку продовжуватимуть розгортатися через Windows Update.

18.7.10 Переконайтеся, що для параметра «Обмежує встановлення драйвера друку адміністраторами» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи можуть користувачі, які не є адміністраторами, установлювати друк драйвери в системі. Рекомендований стан для цього параметра: увімкнено. Примітка. 10 серпня 2021 року корпорація Майкрософт оголосила про поведінку за замовчуванням «Вказати та друкувати». Зміна, яка змінює інсталяцію та оновлення драйвера Point and Print за замовчуванням поведінка вимагає прав адміністратора. Це задокументовано в KB5005652— Керуйте новою поведінкою встановлення драйвера Point and Print за замовчуванням (CVE-2021-34481).

Обмеження встановлення приводів друку адміністраторами може допомогти пом’якшити проблему Уразливість PrintNightmare (CVE-2021-34527) та інші атаки Print Spooler.

Немає – це типова поведінка.

18.7.11 Переконайтеся, що для параметра «Керування обробкою файлів, специфічних для черги» встановлено значення «Увімкнено: обмежити файли, специфічні для черги, профілями кольорів» (Автоматизовано)

Цей параметр політики керує обробкою файлів черги під час друку установка. Під час інсталяції принтера інсталяційна програма, що надається постачальником, може вкажіть набір файлів будь-якого типу, які будуть пов’язані з певною чергою друку. Файли завантажуються на кожен клієнт, який підключається до сервера друку. Рекомендований стан для цього параметра: увімкнено: обмеження файлів, що стосуються черги до кольорових профілів.

Уразливість віддаленого виконання коду Windows Print Spooler (CVE-2021-36958) існує, коли служба Windows Print Spooler неправильно виконує привілейований файл операції. Зловмисник, який успішно використовує цю вразливість, може працювати довільно кодувати з правами SYSTEM, а потім інсталювати програми; переглядати, змінювати або видаляти дані; або створити нові облікові записи з повними правами користувача.

Немає – це типова поведінка.

18.7.14 Переконайтеся, що для параметра «Вимагати IPPS для принтерів IPP» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи зв’язок із принтерами за допомогою Microsoft Драйвер класу протоколу друку Інтернету (IPP) використовує IPPS. IPPS використовує TLS для захисту спілкування. Рекомендований стан для цього параметра: увімкнено.

Щоб запобігти перехопленню або підробці даних принтера, IPPS шифрує весь зв’язок між клієнтом і принтером.

Це може вплинути на принтери IPP, які використовують самопідписані або локально видані сертифікати не функціонує належним чином. Будь-які спроби встановити несумісні IPP-принтери будуть невдалими створити подію в журналі програми. Попередження. Рекомендується перевірити всі принтери та, якщо вони відповідають вимогам вимоги, а потім увімкніть цю політику.

18.7.15 Переконайтеся, що для параметра «Установити політику безпеки TLS/SSL для принтерів IPP: заборонити недійсний центр сертифікації» встановлено значення «Увімкнено: позначено» (Автоматизовано)

Цей параметр політики визначає політику безпеки TLS/SSL (WINHTTP_OPTION_SECURITY_FLAGS) для принтерів, які використовують Microsoft Internet Драйвер класу протоколу друку (IPP). Рекомендований стан цього параметра: увімкнено: позначено.

Перевірка сертифіката допомагає запобігти підробленим або неавторизованим принтерам, зменшує ризик викрадення облікових даних і захищає конфіденційні завдання друку від перенаправлення.

Система забезпечує перевірку сертифіката та блокує друк кожного сертифіката виявлені помилки. Попередження. Рекомендується перевірити всі принтери та, якщо вони відповідають вимогам вимоги, а потім увімкніть цю політику.

18.7.16 Переконайтеся, що для параметра «Установити політику безпеки TLS/SSL для принтерів IPP: заборонити несерверні сертифікати» встановлено значення «Увімкнено: позначено» (Автоматизовано)

Цей параметр політики визначає політику безпеки TLS/SSL (WINHTTP_OPTION_SECURITY_FLAGS) для принтерів, які використовують Microsoft Internet Драйвер класу протоколу друку (IPP). Рекомендований стан цього параметра: увімкнено: позначено.

Перевірка сертифіката допомагає запобігти підробленим або неавторизованим принтерам, зменшує ризик викрадення облікових даних і захищає конфіденційні завдання друку від перенаправлення.

Система забезпечує перевірку сертифіката та блокує друк кожного сертифіката виявлені помилки. Попередження. Рекомендується перевірити всі принтери та, якщо вони відповідають вимогам вимоги, а потім увімкніть цю політику.

18.7.18 Переконайтеся, що для параметра «Установити політику безпеки TLS/SSL для принтерів IPP: заборонити недійсну дату сертифіката» встановлено значення «Увімкнено: перевірено» (Автоматизовано)

Цей параметр політики визначає політику безпеки TLS/SSL (WINHTTP_OPTION_SECURITY_FLAGS) для принтерів, які використовують Microsoft Internet Драйвер класу протоколу друку (IPP). Рекомендований стан цього параметра: увімкнено: позначено.

Перевірка сертифіката допомагає запобігти підробленим або неавторизованим принтерам, зменшує ризик викрадення облікових даних і захищає конфіденційні завдання друку від перенаправлення.

Система забезпечує перевірку сертифіката та блокує друк кожного сертифіката виявлені помилки. Попередження. Рекомендується перевірити всі принтери та, якщо вони відповідають вимогам вимоги, а потім увімкніть цю політику.

18.8.1.1 Переконайтеся, що для параметра «Вимкнути сповіщення про використання мережі» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики блокує додаткам використання мережі для надсилання сповіщень оновити плитки, значки плиток, тости або необроблені сповіщення. Цей параметр політики вимикає з’єднання між Windows і службою Windows Push Notification Service (WNS). Це Налаштування політики також забороняє програмам опитувати служби програм оновити плитки. Рекомендований стан для цього параметра: увімкнено.

Windows Push Notification Services (WNS) — це механізм отримання сторонніх повідомлень сповіщення та оновлення з хмари/Інтернету. У середовищі високого рівня безпеки, зовнішні системи, особливо ті, що розміщені за межами організації, слід запобігати від впливу на безпечні робочі станції.

Програми та системні функції не зможуть отримувати сповіщення з мережі із WNS або через API опитування сповіщень.

18.9.3.1 Переконайтеся, що для параметра «Включити командний рядок у події створення процесу» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики контролює, чи ввімкнено текст командного рядка створення процесу події аудиту безпеки під час створення нового процесу. Рекомендований стан для цього параметра: увімкнено. Примітка. Ця функція, якою керує цей параметр, спочатку не підтримувалася на робочій станції ОС, старіші за Windows 8.1. Однак у лютому 2015 року Microsoft додала підтримку функцію для Windows 7 і Windows 8.0 через оновлення – KB3004375. Тому це налаштування також важливо встановити на цих старих ОС.

Запис інформації командного рядка процесу в журнали подій може бути дуже цінним, коли проведення судово-медичних розслідувань нападів.

Інформація командного рядка процесу буде включена в журнали подій, які можуть містити конфіденційну або конфіденційну інформацію, таку як паролі або дані користувача. Попередження: існують потенційні ризики захоплення облікових даних і конфіденційної інформації які можуть бути відкритими для користувачів, які мають доступ для читання журналів подій. Microsoft забезпечує функцію під назвою «Захищене ведення журналу подій» для кращого захисту даних журналу подій. для допомогу щодо захисту журналювання подій відвідайте: Про журналювання Windows – PowerShell | Microsoft Docs.

18.9.4.1 Переконайтеся, що для «Encryption Oracle Remediation» встановлено значення «Enabled: Force Updated Clients» (Автоматизовано)

Деякі версії протоколу CredSSP, які використовуються деякими програмами (наприклад, Remote Desktop Connection) є вразливими до атаки оракула шифрування проти клієнт. Ця політика контролює сумісність із вразливими клієнтами та серверами та дозволяє ви можете встановити бажаний рівень захисту для вразливості оракула шифрування. Рекомендований стан для цього параметра: увімкнено: примусово оновлювати клієнтів.

Цей параметр важливий для пом’якшення вразливості оракула шифрування CredSSP яку інформацію опублікувала Microsoft 13.03.2018 у CVE-2018-0886 | Уразливість віддаленого виконання коду CredSSP. Усі версії Windows від Windows Починаючи з Vista, ця вразливість уражена, і вона буде сумісна з нею рекомендація за умови, що вони були виправлені принаймні до травня 2018 року (або пізніше).

Клієнтські програми, які використовують CredSSP, не зможуть повернутися до незахищеного версії та служби, що використовують CredSSP, не прийматимуть клієнтів без виправлень. Цей параметр не слід розгортати, доки всі віддалені хости не підтримають найновішу версію, тобто досягнуто шляхом забезпечення наявності всіх оновлень безпеки Microsoft принаймні до травня 2018 року встановлено.

18.9.4.2 Переконайтеся, що для параметра «Віддалений хост дозволяє делегування неекспортованих облікових даних» установлено значення «Увімкнено» (Автоматизовано)

Під час делегування облікових даних пристрої надають версію облікових даних для експорту на віддалений хост. Це наражає користувачів на ризик викрадення облікових даних з боку зловмисників на віддаленому хості. Обмежений режим адміністратора та Windows Defender Remote Функції Credential Guard — це два варіанти захисту від цього ризику. Рекомендований стан для цього параметра: увімкнено. Примітка. Більш детальна інформація про Windows Defender Remote Credential Guard і його порівняння з режимом обмеженого адміністратора можна знайти за цим посиланням: Protect Remote Облікові дані робочого стола за допомогою Windows Defender Remote Credential Guard (Windows 10) | Microsoft Docs

Обмежений режим адміністратора розроблено для захисту облікових записів адміністратора переконавшись, що багаторазові облікові дані не зберігаються в пам’яті на віддалених пристроях, які потенційно можуть бути скомпрометовані. Windows Defender Remote Credential Guard допомагає ви захищаєте свої облікові дані через підключення до віддаленого робочого стола, перенаправляючи Kerberos запити назад до пристрою, який запитує з’єднання. Обидві функції повинні бути увімкнено та підтримується, оскільки вони зменшують ймовірність крадіжки облікових даних.

Хост підтримуватиме обмежений режим адміністратора та Windows Defender Remote Функції Credential Guard.

18.9.5.1 Переконайтеся, що для параметра «Увімкнути безпеку на основі віртуалізації» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи ввімкнено захист на основі віртуалізації. Безпека на основі віртуалізації використовує гіпервізор Windows для забезпечення підтримки служби безпеки. Рекомендований стан для цього параметра: увімкнено. Примітка. Безпека на основі віртуалізації потребує 64-розрядної версії Windows із технологією Secure Завантаження ввімкнено, що, у свою чергу, вимагає, щоб Windows була інстальована з UEFI BIOS конфігурація, а не застаріла конфігурація BIOS. Крім того, якщо Windows працює на a віртуальна машина, апаратна функція віртуалізації ЦП (Intel VT-x або AMD-V) повинні бути представлені хостом для гостьової віртуальної машини. Додаткову інформацію про системні вимоги для цієї функції можна знайти в Windows Вимоги Defender Credential Guard (Windows 10) | Microsoft Docs Примітка №2: Credential Guard і Device Guard наразі не підтримуються під час використання Віртуальні машини Azure IaaS. Примітка №3: якщо рекомендація рівня 2 щодо налаштування входу як служби (з розділу 2.2) також має бути реалізовано додатковий принципал безпеки WDAGUtilityAccount отримати це призначення прав користувача для безпеки на основі віртуалізації (в Microsoft Defender Application Guard) із системою безпеки Windows нового покоління (NGWS) для роботи.

Kerberos, NTLM і менеджер облікових даних виділяють секрети за допомогою віртуалізації безпеки. Попередні версії Windows зберігали секрети в локальному центрі безпеки (LSA). До Windows 10 LSA зберігав секрети, які використовувала операційна система пам’ять процесу. Якщо Windows Defender Credential Guard увімкнено, процес LSA в операційній системі спілкується з новим компонентом, який називається ізольованим процесом LSA зберігає та захищає ці секрети. Дані, збережені ізольованим процесом LSA, захищені використовує захист на основі віртуалізації та недоступний для решти операційної системи система.

Примітка: це налаштування було переміщено з профілю наступного покоління (NG) до рівня 1 (L1) лише для операційної системи Windows 11. Налаштування профілю NG були ізольовані з профілю L1 через можливі проблеми сумісності апаратного забезпечення. Windows 11 Операційна система залежить від того самого апаратного забезпечення, що й налаштування NG, тому апаратне забезпечення сумісність більше не є проблемою. Попередження: усі драйвери в системі мають бути сумісні з цією функцією або системою може вийти з ладу. Переконайтеся, що цей параметр політики розгорнуто лише на комп’ютерах, які є відомо, що вони сумісні.

18.9.5.2 Переконайтеся, що для параметра «Увімкнути безпеку на основі віртуалізації: виберіть рівень безпеки платформи» встановлено значення «Безпечне завантаження» або вище (Автоматизовано)

Цей параметр політики визначає, чи ввімкнено захист на основі віртуалізації (VBS). VBS використовує гіпервізор Windows для підтримки служб безпеки. Рекомендований стан для цього параметра: Безпечне завантаження. Налаштування цього параметра на Безпечне завантаження та захист DMA також відповідають тесту. Примітка. Для VBS потрібна 64-розрядна версія Windows із увімкненим безпечним завантаженням, яка в у свою чергу вимагає, щоб Windows була інстальована з конфігурацією UEFI BIOS, а не із Legacy Конфігурація BIOS. Крім того, якщо Windows працює на віртуальній машині, апаратне функція віртуалізації центрального процесора (Intel VT-x або AMD-V) повинна бути доступна хостом гостю В.М. Додаткову інформацію про системні вимоги для цієї функції можна знайти в Windows Вимоги Defender Credential Guard (Windows 10) | Microsoft Docs Примітка №2: Credential Guard і Device Guard наразі не підтримуються під час використання Віртуальні машини Azure IaaS.

Безпечне завантаження може допомогти зменшити ризик атак завантажувача та в поєднанні з DMA засоби захисту, які допомагають захистити дані від збирання з пам’яті.

Вибір опції Secure Boot забезпечує системі максимальний рівень захисту підтримується апаратним забезпеченням комп’ютера. Система з пам’яттю введення/виведення блоки керування (IOMMU) матимуть Secure Boot із захистом DMA. Система без IOMMU просто буде ввімкнено безпечне завантаження без захисту DMA. Для вибору опції безпечного завантаження із захистом DMA система потребує наявності IOMMU, щоб увімкнути VBS. Без апаратної підтримки IOMMU VBS буде вимкнено. Примітка: це налаштування було переміщено з профілю наступного покоління (NG) до рівня 1 (L1) лише для операційної системи Windows 11. Налаштування профілю NG були ізольовані з профілю L1 через можливі проблеми сумісності апаратного забезпечення. Windows 11 Операційна система залежить від того самого апаратного забезпечення, що й налаштування NG, тому апаратне забезпечення сумісність більше не є проблемою.

Попередження: усі драйвери в системі мають бути сумісні з цією функцією або системою може вийти з ладу. Переконайтеся, що цей параметр політики розгорнуто лише на комп’ютерах, які є відомо, що вони сумісні.

18.9.5.4 Переконайтеся, що для параметра «Увімкнути безпеку на основі віртуалізації: вимагати таблицю атрибутів пам’яті UEFI» встановлено значення «Правда (позначено)» (Автоматизовано)

Цей параметр увімкне лише захист цілісності коду на основі віртуалізації на пристроях із підтримкою мікропрограми UEFI для таблиці атрибутів пам’яті. Пристрої без UEFI Таблиця атрибутів пам’яті може мати вбудоване програмне забезпечення, несумісне з віртуалізацією Базований захист цілісності коду, який у деяких випадках може призвести до збоїв або даних втрата або несумісність із певними плагінами. Якщо цей параметр не встановлено, цільовий пристрої повинні бути перевірені на сумісність. Рекомендований стан для цього параметра: True (вибрано). Примітка. Безпека на основі віртуалізації потребує 64-розрядної версії Windows із технологією Secure Завантаження ввімкнено, що, у свою чергу, вимагає, щоб Windows була інстальована з UEFI BIOS конфігурація, а не застаріла конфігурація BIOS. Крім того, якщо Windows працює на a віртуальна машина, апаратна функція віртуалізації ЦП (Intel VT-x або AMD-V) повинні бути представлені хостом для гостьової віртуальної машини. Додаткову інформацію про системні вимоги для цієї функції можна знайти в Windows Вимоги Defender Credential Guard (Windows 10) | Microsoft Docs Примітка №2: Credential Guard і Device Guard наразі не підтримуються під час використання Віртуальні машини Azure IaaS.

Цей параметр допоможе захистити цей елемент керування від увімкнення в системі, яка його не вмикає сумісність, що може призвести до збою або втрати даних.

Примітка: це налаштування було переміщено з профілю наступного покоління (NG) до рівня 1 (L1) лише для операційної системи Windows 11. Налаштування профілю NG були ізольовані з профілю L1 через можливі проблеми сумісності апаратного забезпечення. Windows 11 Операційна система залежить від того самого апаратного забезпечення, що й налаштування NG, тому апаратне забезпечення сумісність більше не є проблемою. Попередження: усі драйвери в системі мають бути сумісні з цією функцією або системою може вийти з ладу. Переконайтеся, що цей параметр політики розгорнуто лише на комп’ютерах, які є відомо, що вони сумісні.

18.9.5.5 Переконайтеся, що для параметра «Увімкнути безпеку на основі віртуалізації: конфігурація Credential Guard» встановлено значення «Увімкнено з блокуванням UEFI» (Автоматизовано)

Цей параметр дозволяє користувачам увімкнути Credential Guard із захистом на основі віртуалізації захистити облікові дані. Параметр «Увімкнено з блокуванням UEFI» гарантує, що Credential Guard не можна вимкнути віддалено. Щоб вимкнути функцію, ви повинні встановити групу Політику «Вимкнено», а також видалення функцій безпеки з кожного комп’ютера, з фізично присутнім користувачем, щоб очистити конфігурацію, що зберігається в UEFI. Рекомендований стан для цього параметра: увімкнено з блокуванням UEFI. Примітка. Безпека на основі віртуалізації потребує 64-розрядної версії Windows із технологією Secure Завантаження ввімкнено, що, у свою чергу, вимагає, щоб Windows була інстальована з UEFI BIOS конфігурація, а не застаріла конфігурація BIOS. Крім того, якщо Windows працює на a віртуальна машина, апаратна функція віртуалізації ЦП (Intel VT-x або AMD-V) повинні бути представлені хостом для гостьової віртуальної машини. Додаткову інформацію про системні вимоги для цієї функції можна знайти в Windows Вимоги Defender Credential Guard (Windows 10) | Microsoft Docs Примітка №2: Credential Guard і Device Guard наразі не підтримуються під час використання Віртуальні машини Azure IaaS.

Параметр Enabled with UEFI lock гарантує, що Credential Guard не буде працювати вимкнено дистанційно.

Примітка: це налаштування було переміщено з профілю наступного покоління (NG) до рівня 1 (L1) лише для операційної системи Windows 11. Налаштування профілю NG були ізольовані з профілю L1 через можливі проблеми сумісності апаратного забезпечення. Windows 11 Операційна система залежить від того самого апаратного забезпечення, що й налаштування NG, тому апаратне забезпечення сумісність більше не є проблемою. Попередження: усі драйвери в системі мають бути сумісні з цією функцією або системою може вийти з ладу. Переконайтеся, що цей параметр політики розгорнуто лише на комп’ютерах, які є відомо, що вони сумісні. Попередження №2: якщо цей параметр увімкнено та активний, Credential Guard не працюватиме вимкнено виключно за допомогою GPO або будь-яким іншим віддаленим методом. Після видалення налаштування з GPO, функції також потрібно вручну вимкнути локально на машині за допомогою кроки, наведені за цим посиланням: Керування Credential Guard Windows Defender (Windows 10) | Microsoft Docs

18.9.5.6 Переконайтеся, що для параметра «Увімкнути безпеку на основі віртуалізації: конфігурація безпечного запуску» встановлено значення «Увімкнено» (Автоматизовано)

Secure Launch захищає середовище безпеки на основі віртуалізації від зловживання уразливості в прошивці пристрою. Рекомендований стан для цього параметра: увімкнено. Примітка: Credential Guard і Device Guard наразі не підтримуються під час використання Віртуальні машини Azure IaaS.

Безпечний запуск змінює спосіб завантаження Windows для використання Intel Trusted Execution Технологія (TXT) і функції Runtime BIOS Resilience для запобігання експлойтам мікропрограм від можливості вплинути на безпеку безпеки на основі віртуалізації Windows середовище.

Примітка: це налаштування було переміщено з профілю наступного покоління (NG) до рівня 1 (L1) лише для операційної системи Windows 11. Налаштування профілю NG були ізольовані з профілю L1 через можливі проблеми сумісності апаратного забезпечення. Windows 11 Операційна система залежить від того самого апаратного забезпечення, що й налаштування NG, тому апаратне забезпечення сумісність більше не є проблемою. Попередження: усі драйвери в системі мають бути сумісні з цією функцією або системою може вийти з ладу. Переконайтеся, що цей параметр політики розгорнуто лише на комп’ютерах, які є відомо, що вони сумісні.

18.9.7.1.1 Переконайтеся, що для параметра «Запобігти встановленню пристроїв за допомогою драйверів, які відповідають цим класам налаштування пристрою» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики дозволяє вказати глобально унікальний список класів налаштування пристрою ідентифікатори (GUID) для драйверів пристроїв, інсталяцію яких Windows заборонено. Це параметр політики має пріоритет над будь-яким іншим параметром політики, який дозволяє Windows встановити пристрій. Якщо ввімкнути цей параметр політики, Windows не зможе інсталювати або оновлювати пристрій драйвери, чиї GUID класу налаштування пристроїв відображаються у списку, який ви створюєте. Якщо ви ввімкнете це параметр політики на сервері віддаленого робочого столу, параметр політики впливає на переспрямування зазначені пристрої з клієнта віддаленого робочого стола на сервер віддаленого робочого столу. Якщо вимкнути або не налаштувати цей параметр політики, Windows зможе встановити й оновити пристроїв, дозволених або заборонених іншими параметрами політики. Рекомендований стан для цього параметра: увімкнено.

Комп’ютер, захищений BitLocker, може бути вразливим до прямого доступу до пам’яті (DMA) атакує, коли комп’ютер увімкнено або перебуває в режимі очікування, включаючи коли робоча станція заблокована. BitLocker із автентифікацією лише за допомогою TPM дозволяє комп’ютеру перейти у стан увімкнення без нього будь-яка автентифікація перед завантаженням. Таким чином, суб’єкт загрози може мати можливість виконувати DMA напади. Ця проблема задокументована в статті 2516445 бази знань Microsoft: Блокування Драйвер SBP-2 і контролери Thunderbolt для зменшення 1394 DMA і Thunderbolt DMA загрози BitLocker.

Пристрої, що відповідають зазначеним класам налаштування пристрою, буде заборонено інсталювати.

18.9.7.2 Переконайтеся, що для параметра «Запобігати автоматичному завантаженню програм, пов’язаних із метаданими пристрою» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики дозволяє заборонити Windows отримувати метадані пристрою з Інтернет. Рекомендований стан для цього параметра: увімкнено. Примітка. Це не завадить установці основних драйверів апаратного забезпечення, але запобігає пов’язане програмне забезпечення сторонніх розробників від автоматичного встановлення під контексті облікового запису SYSTEM.

Встановлення програмного забезпечення має здійснюватися уповноваженим системним адміністратором не стандартний користувач. Дозволяє автоматичне встановлення стороннього програмного забезпечення під контекст облікового запису SYSTEM може дозволити неавторизований доступ через бекдори або помилки інсталяційного програмного забезпечення.

Звичайні користувачі без прав адміністратора не зможуть установити асоційоване програмне забезпечення утиліти сторонніх виробників для периферійних пристроїв. Це може обмежити використання розширених функції цих пристроїв, якщо/поки адміністратор не встановить відповідну утиліту програмне забезпечення для пристрою.

18.9.13.1 Переконайтеся, що для параметра «Політика ініціалізації драйвера завантаження» встановлено значення «Увімкнено: добре, невідомо та погано, але критично» (Автоматизовано)

Цей параметр політики дозволяє вказати, на основі яких завантажувальних драйверів буде ініціалізовано класифікація, визначена завантажувальним драйвером Early Launch Antimalware. Ранній Запуск завантажувального драйвера Antimalware може повертати наступні класифікації для кожного завантажувальний драйвер: • Добре: драйвер підписаний і не змінений. • Погано: драйвер визначено як зловмисне програмне забезпечення. Рекомендовано це зробити не дозволяє ініціалізувати відомі погані драйвери. • Поганий, але необхідний для завантаження: драйвер визначено як зловмисне програмне забезпечення, але комп’ютер не може успішно завантажитися без завантаження цього драйвера. • Невідомо: цей драйвер не підтверджено вашим виявленням зловмисного програмного забезпечення додаток і не було класифіковано програмою раннього запуску Antimalware boot- запустити драйвер. Якщо ввімкнути цей параметр політики, ви зможете вибрати, які драйвери запускати ініціалізувати під час наступного запуску комп’ютера. Якщо ваша програма для виявлення зловмисного програмного забезпечення не включає програму раннього запуску завантажувальний драйвер або якщо ваш завантажувальний драйвер Early Launch Antimalware був встановлений вимкнено, цей параметр не має ефекту, і всі завантажувальні драйвери ініціалізуються. Рекомендований стан для цього параметра: Увімкнено: добре, невідомо та погано, але критичний.

Цей параметр політики допомагає зменшити вплив зловмисного програмного забезпечення, яке вже заразило ваш система.

Немає – це типова поведінка.

18.9.17.1 Переконайтеся, що для параметра «Увімкнути/вимкнути автентифікацію файлу журналу CLFS» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики налаштовує автентифікацію файлу журналу Common Log File System (CLFS). Автентифікація журналу дозволяє драйверу CLFS виявляти зловмисники зміни, внесені до файлів журналу. Рекомендований стан для цього параметра: увімкнено.

CLFS — це функція безпеки, яка посилює аналіз файлів журналу. Якщо є зміни до файлів журналу виявлено, CLFS вважатиме файл журналу небезпечним для аналізу та поверне помилку до абонент. Він також може виявляти зміни, записуючи коди автентифікації у файли журналу який поєднує дані файлу з унікальним для системи криптографічним ключем.

Немає – це типова поведінка. Попередження: файли журналу, створені в інших системах, не відкриваються, оскільки вони містять коди автентифікації, створені за допомогою унікального для системи криптографічного ключа. Щоб відкрити a файл журналу, який було створено в іншій системі, адміністратор повинен спочатку використати Команда fsutil.exe clfs authenticate для виправлення кодів автентифікації.

18.9.19.2 Переконайтеся, що для параметра «Продовжити роботу на цьому пристрої» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи дозволено пристрою Windows брати участь у досвід роботи на різних пристроях (продовження досвіду). Рекомендований стан для цього параметра: вимкнено.

Робота на різних пристроях – це коли система може отримати доступ до програми та надсилати повідомлення інші пристрої. У корпоративному керованому середовищі повинні бути лише надійні системи спілкування в мережі. Доступ до будь-якої іншої системи має бути заборонений.

Пристрій Windows не буде виявлено іншими пристроями та не може брати участь у ньому взаємодія на різних пристроях.

18.9.20.1.1 Переконайтеся, що для параметра «Вимкнути доступ до магазину» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи використовувати службу магазину для пошуку програми відкрити файл із необробленим типом файлу або асоціацією протоколу. Коли користувач відкриває файл тип або протокол, який не пов’язано з жодними програмами на комп’ютері користувача можна вибрати локальну програму або скористатися службою Store, щоб знайти додаток. Рекомендований стан для цього параметра: увімкнено.

Служба «Магазин» — це роздрібна торгова точка, вбудована в Windows, насамперед для споживачів. В ан корпоративне кероване середовище, ІТ-відділ повинен керувати встановленням усіх програм, щоб зменшити ризик встановлення вразливого програмного забезпечення.

Пункт «Шукати програму в магазині» в діалоговому вікні «Відкрити за допомогою» видалено.

18.9.20.1.2 Переконайтеся, що для параметра «Вимкнути завантаження драйверів принтера через HTTP» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи може комп’ютер завантажувати пакети драйверів принтера через HTTP. Щоб налаштувати друк HTTP, драйвери принтера, недоступні в стандартну установку операційної системи може знадобитися завантажити через HTTP. Рекомендований стан для цього параметра: увімкнено.

Користувачі можуть завантажити драйвери, які містять шкідливий код.

Драйвери друку неможливо завантажити через HTTP. Примітка. Цей параметр політики не забороняє клієнтському комп’ютеру друкувати на принтерах в інтрамережі чи Інтернеті через HTTP. Він забороняє лише завантажувати драйвери, які є ще не встановлено локально.

18.9.20.1.3 Переконайтеся, що для параметра «Вимкнути спільний доступ до даних персоналізації рукописного тексту» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр вимикає обмін даними з інструмента персоналізації розпізнавання рукописного тексту. Інструмент персоналізації розпізнавання рукописного тексту дозволяє користувачам планшетних ПК адаптуватися розпізнавання почерку до власного стилю письма шляхом надання зразків письма. Інструмент за бажанням може поділитися зразками написання користувача з Microsoft для покращення рукописного тексту розпізнавання в майбутніх версіях Windows. Інструмент створює звіти та передає їх до Microsoft через безпечне з’єднання. Рекомендований стан для цього параметра: увімкнено.

Почерк людини є інформацією, яка дозволяє ідентифікувати особу (PII), особливо коли вона приходить до вашого підпису. Таким чином, у багатьох середовищах це неприйнятно автоматично завантажувати ідентифікаційну інформацію на веб-сайт без явного схвалення користувача.

Користувачі планшетних ПК не можуть поділитися зразками рукописного тексту інструмент персоналізації розпізнавання від Microsoft.

18.9.20.1.4 Переконайтеся, що для параметра «Вимкнути повідомлення про помилки розпізнавання рукописного тексту» встановлено значення «Увімкнено» (Автоматизовано)

Вимикає інструмент звітування про помилки розпізнавання рукописного тексту. Інструмент звітування про помилки розпізнавання рукописного тексту дозволяє користувачам повідомляти про помилки на панелі введення планшетного ПК. Інструмент створює звіти про помилки та передає їх до Microsoft через безпечне з’єднання. Microsoft використовує ці звіти про помилки, щоб покращити розпізнавання рукописного тексту в майбутніх версіях Windows. Рекомендований стан для цього параметра: увімкнено.

Почерк людини є інформацією, яка дозволяє ідентифікувати особу (PII), особливо коли вона приходить до вашого підпису. Таким чином, у багатьох середовищах це неприйнятно автоматично завантажувати ідентифікаційну інформацію на веб-сайт без явного схвалення користувача.

Користувачі не можуть запустити інструмент звітування про помилки розпізнавання рукописного тексту або надіслати звіти про помилки до Microsoft.

18.9.20.1.5 Переконайтеся, що для параметра «Вимкнути майстер підключення до Інтернету, якщо URL-з’єднання посилається на Microsoft.com» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи може майстер підключення до Інтернету підключатися до Microsoft, щоб завантажити список постачальників послуг Інтернету (ISP). Рекомендований стан для цього параметра: увімкнено.

У корпоративному керованому середовищі ми хочемо знизити ризик несвідомого користувача розкриття конфіденційних даних.

Шлях «Вибрати список постачальників послуг Інтернету» у майстрі підключення до Інтернету викликає вихід майстра. Це не дозволяє користувачам отримати список провайдерів, які знаходиться на серверах Microsoft.

18.9.20.1.6 Переконайтеся, що для параметра «Вимкнути завантаження з Інтернету для веб-публікацій і онлайн-замовлень» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи завантажуватиме Windows список постачальників для Веб-публікації та майстри онлайн-замовлень. Рекомендований стан для цього параметра: увімкнено.

Хоча ризик мінімальний, увімкнення цього параметра зменшить можливість користувача несвідоме завантаження шкідливого вмісту за допомогою цієї функції.

Windows заборонено завантажувати постачальників; кешуються лише постачальники послуг відображаються локальний реєстр.

18.9.20.1.7 Переконайтеся, що для параметра «Вимкнути друк через HTTP» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики дозволяє вимкнути можливість клієнтського комп’ютера друкувати через HTTP, що дозволяє комп’ютеру друкувати на принтерах у внутрішній мережі та в Інтернеті. Рекомендований стан для цього параметра: увімкнено. Примітка. Цей елемент керування впливає на друк як через HTTP, так і через HTTPS.

Інформація, яка передається через HTTP через цю можливість, не захищена і можуть бути перехоплені зловмисниками. З цієї причини він не часто використовується на підприємствах керовані середовища.

Клієнтський комп’ютер не зможе друкувати на Інтернет-принтерах через HTTP або HTTPS. Примітка. Цей параметр політики впливає лише на клієнтську сторону Інтернет-друку. Незалежно від якщо він налаштований, комп’ютер може діяти як сервер Інтернет-друку та робити його спільні принтери, доступні через HTTP.

18.9.20.1.8 Переконайтеся, що для параметра «Вимкнути реєстрацію, якщо URL-з’єднання посилається на Microsoft.com» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи підключається майстер реєстрації Windows до Microsoft.com для онлайн-реєстрації. Рекомендований стан для цього параметра: увімкнено.

Користувачі в корпоративному середовищі не повинні реєструвати власні копії Windows, надаючи власну ідентифікаційну інформацію в процесі.

Користувачам заборонено підключатися до Microsoft.com для онлайн-реєстрації, і вони не можуть зареєструвати свою копію Windows в Інтернеті.

18.9.20.1.9 Переконайтеся, що для параметра «Вимкнути оновлення файлів вмісту Search Companion» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи має Search Companion автоматично завантажуватися оновлення вмісту під час локального та Інтернет-пошуку. Рекомендований стан для цього параметра: увімкнено.

Існує невеликий ризик того, що користувачі несвідомо розкриють конфіденційну інформацію через теми, які вони шукають. Цей ризик є дуже низьким, оскільки навіть якщо це налаштування є користувачі з увімкненими функціями все ще повинні надсилати пошукові запити до потрібної пошукової системи, щоб виконувати пошуки.

Search Companion не завантажує оновлення вмісту під час пошуку. Примітка. Пошук в Інтернеті надсилатиме текст пошуку та інформацію про пошук Microsoft і вибраній пошуковій системі. Якщо вибрати Класичний пошук, Пошук Функція Companion буде недоступна. Ви можете вибрати Класичний пошук, натиснувши Пуск, Пошук, Змінити налаштування, а потім Змінити поведінку пошуку в Інтернеті.

18.9.20.1.10 Переконайтеся, що для параметра «Вимкнути завдання зображення «Замовлення друку»» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи доступне завдання «Замовити друк онлайн». Завдання із зображеннями в папках Windows. Майстер замовлення друку онлайн використовується для завантаження списку постачальників і дозволу користувачам замовити друк онлайн. Рекомендований стан для цього параметра: увімкнено.

У корпоративному керованому середовищі ми хочемо знизити ризик несвідомого користувача розкриття конфіденційних даних.

Завдання «Замовлення роздруківок онлайн» видаляється із завдань із зображеннями в папках Провідника файлів.

18.9.20.1.11 Переконайтеся, що для параметра «Вимкнути завдання «Опублікувати в Інтернеті» для файлів і папок» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи виконуються завдання Опублікувати цей файл у мережі, Опублікувати це папку в Інтернеті та Опублікувати вибрані елементи в Інтернеті доступні з Файл і Завдання папок у папках Windows. Майстер веб-публікації використовується для завантаження списку постачальників і дозволяють користувачам публікувати вміст у мережі. Рекомендований стан для цього параметра: увімкнено.

Користувачі можуть публікувати конфіденційну або конфіденційну інформацію в державних службах за межами контроль організації.

Завдання «Опублікувати в Інтернеті» видаляється із завдань файлів і папок у папках Windows.

18.9.20.1.12 Переконайтеся, що для параметра «Вимкнути програму покращення взаємодії з клієнтами Windows Messenger» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи Windows Customer Experience Improvement Програма може збирати анонімну інформацію про те, як використовується Windows. Microsoft використовує інформацію, зібрану через Windows Customer Experience Програма вдосконалення для покращення функцій, які найчастіше використовуються, і виявлення недоліків щоб їх можна було швидше виправити. Увімкнення цього параметра зменшить кількість дані, які Microsoft може зібрати для цієї мети. Рекомендований стан для цього налаштування є: увімкнено.

Великі корпоративні керовані середовища можуть не захотіти, щоб інформація збиралася Microsoft з керованих клієнтських комп’ютерів.

Windows Messenger не збиратиме інформацію про використання та параметри користувача для ввімкнення колекція інформації про використання не відображатиметься.

18.9.20.1.13 Переконайтеся, що для параметра «Вимкнути програму покращення якості Windows» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи може Windows Messenger збирати анонімні дані інформацію про те, як використовується програмне забезпечення та служба Windows Messenger. Microsoft використовує інформацію, зібрану через Windows Customer Experience Програма вдосконалення для виявлення недоліків програмного забезпечення, щоб їх можна було виправляти більше швидко, увімкнення цього параметра зменшить обсяг даних, які Microsoft зможе зібрати для цієї мети. Рекомендований стан для цього параметра: увімкнено.

Великі корпоративні керовані середовища можуть не захотіти, щоб інформація збиралася Microsoft з керованих клієнтських комп’ютерів.

Усі користувачі відмовляються від участі в програмі Windows Customer Experience Improvement Program.

18.9.20.1.14 Переконайтеся, що для параметра «Вимкнути звіт про помилки Windows» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики контролює, чи надсилатимуться повідомлення про помилки Microsoft. Звіт про помилки використовується для повідомлення інформації про систему або програму, яка має не вдалося або перестав відповідати та використовується для покращення якості продукту. Рекомендований стан для цього параметра: увімкнено.

Якщо помилка Windows виникає в безпечному керованому середовищі підприємства, помилка слід повідомити безпосередньо ІТ-персоналу для усунення несправностей і виправлення. Не існує корпорації буде корисно повідомляти про ці помилки безпосередньо Microsoft, і деякі з них є ризик несвідомого розкриття конфіденційних даних у рамках помилки.

Користувачам не надається можливість повідомляти Microsoft про помилки.

18.9.23.1 Переконайтеся, що для параметра «Підтримка автентифікації пристрою за допомогою сертифіката» встановлено значення «Увімкнено: автоматично» (Автоматизовано)

Цей параметр політики дозволяє налаштувати підтримку Kerberos для спроб автентифікації за допомогою сертифікат для пристрою до домену. Підтримка автентифікації пристрою за допомогою сертифіката потребуватиме підключення до DC у домен облікового запису пристрою, який підтримує автентифікацію сертифіката для облікових записів комп’ютера. Рекомендований стан для цього параметра: Увімкнено: Автоматично.

Наполегливо рекомендується використовувати надійнішу автентифікацію пристрою з використанням сертифікатів замість стандартної автентифікації за іменем користувача та паролем. Якщо для цього параметра встановлено значення Автоматично, дозволити використання автентифікації на основі сертифіката, коли це можливо.

Немає – це типова поведінка.

18.9.27.1 Переконайтеся, що для параметра «Дозволити завантаження настроюваних SSP і точок доступу в LSASS» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики контролює конфігурацію, під якою працює локальний орган безпеки Служба підсистеми (LSASS) завантажить спеціальний постачальник підтримки безпеки/автентифікацію Пакет (SSP/AP). Рекомендований стан для цього параметра: вимкнено.

Уразливості існують там, де зловмисники можуть перехопити облікові дані для входу через SSP/AP. Вимкнення користувацьких SSP і точок доступу для завантаження в LSASS мінімізує цю вразливість.

Спеціальний постачальник підтримки безпеки/пакети автентифікації не зможуть завантажуватися це може вплинути на деякі законні пакунки третіх сторін.

18.9.27.2 Переконайтеся, що для параметра «Налаштовує LSASS для запуску як захищеного процесу» встановлено значення «Увімкнено: увімкнено з блокуванням UEFI» (Автоматизовано)

Цей параметр політики контролює, чи служба підслужби місцевого органу безпеки (LSASS) працює в захищеному режимі, а також має опцію блокування в захищеному режимі Уніфікований розширюваний інтерфейс прошивки (UEFI). Місцевий орган безпеки (LSA), який включає процес LSASS, перевіряє користувачів для локального та віддаленого входу та примусово локальні політики безпеки. Рекомендований стан для цього параметра: Enabled: Enabled with UEFI Lock. Примітка. Цей додатковий захист для запобігання читанню пам’яті та впровадженню коду не- захищені процеси підтримує Windows 8.1 (або новіша).

Забезпечує додатковий захист для облікових даних, які зберігає та керує LSA. Увімкнення цього налаштування з блокуванням UEFI запобігає віддаленій зміні налаштування.

Після застосування цього параметра (увімкнено), видалення параметра групової політики (встановлено на Не налаштовано) не усуне вплив. Щоб усунути вплив, ви повинні чітко налаштуйте для цього параметра значення Disabled і дотримуйтесь документації Microsoft відключення блокування UEFI.

18.9.28.1 Переконайтеся, що для параметра «Заборонити копіювання методів введення користувача в обліковий запис системи для входу» встановлено значення «Увімкнено» (Автоматизовано)

Ця політика запобігає автоматичному копіюванню методів введення користувача до системного облікового запису використовувати на екрані входу. Користувач обмежений набором методів введення, які є увімкнено в обліковому записі системи. Рекомендований стан для цього параметра: увімкнено.

Це спосіб підвищити безпеку системного облікового запису.

Користувачі матимуть увімкнені методи введення для системного облікового запису на сторінці входу.

18.9.29.1 Переконайтеся, що для параметра «Блокувати користувача від показу даних облікового запису під час входу» встановлено значення «Увімкнено» (Автоматизовано)

Ця політика забороняє користувачеві відображати дані облікового запису (електронну адресу або користувача ім’я) на екрані входу. Рекомендований стан для цього параметра: увімкнено.

Загрозливий суб’єкт із доступом до консолі (наприклад, хтось із фізичним доступом або хтось, хто може підключитися до робочої станції через служби віддаленого робочого стола) міг переглянути ім’я останнього користувача, який увійшов на сервер. Актор загрози міг потім спробуйте вгадати пароль, скористайтеся словником або застосуйте атаку грубої сили, щоб спробувати і увійти.

Користувачі не можуть відображати дані облікового запису на екрані входу.

18.9.29.2 Переконайтеся, що для параметра «Не відображати інтерфейс вибору мережі» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики дозволяє вам контролювати, чи будь-хто може взаємодіяти з доступними інтерфейс мережі на екрані входу. Рекомендований стан для цього параметра: увімкнено.

Неавторизований користувач може відключити ПК від мережі або підключити ПК до інших доступних мереж без входу в Windows.

Стан підключення ПК до мережі неможливо змінити без входу в Windows.

18.9.29.3 Переконайтеся, що для параметра «Вимкнути сповіщення програм на екрані блокування» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики дозволяє запобігти появі сповіщень програми на екрані блокування. Рекомендований стан для цього параметра: увімкнено.

Сповіщення програми можуть відображати конфіденційні ділові або особисті дані.

На екрані блокування не відображаються сповіщення про програми.

18.9.29.4 Переконайтеся, що для параметра «Увімкнути вхід за допомогою зручного PIN-коду» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики дозволяє контролювати, чи може користувач домену входити за допомогою a зручний PIN-код. У Windows 10 PIN-код було замінено на Passport, що має більш сильні властивості безпеки. Щоб налаштувати Passport для користувачів домену, використовуйте політики в розділі Конфігурація комп’ютера\Адміністративні шаблони\Windows Компоненти\Microsoft Passport for Work. Примітка. Під час використання цього пароля домену користувача буде кешовано в системному сховищі функція. Примітка №2: якщо цей параметр вимкнено, Windows Hello не дозволить Windows Hello Face або відбиток пальця, який потрібно налаштувати. Виняток із цієї рекомендації може знадобитися, якщо ці особливості використовуються в середовищі. Рекомендований стан для цього параметра: вимкнено.

PIN-код створюється з набагато меншого набору символів, ніж пароль, тому в у більшості випадків PIN-код буде набагато менш надійним, ніж пароль.

Немає – це типова поведінка.

18.9.33.1 Переконайтеся, що для параметра «Дозволити синхронізацію буфера обміну між пристроями» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр визначає, чи можна синхронізувати вміст буфера обміну пристроїв. Рекомендований стан для цього параметра: вимкнено.

У середовищах із високим рівнем безпеки дані буфера обміну мають залишатися локальними для системи, а не синхронізувати між пристроями, оскільки він може містити дуже конфіденційну інформацію, яка має бути обов’язковою міститься локально.

Вміст буфера обміну не можна буде надати іншим пристроям.

18.9.33.2 Переконайтеся, що для параметра «Дозволити завантаження дій користувача» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи можна завантажувати опубліковані дії користувача в хмара. Рекомендований стан для цього параметра: вимкнено.

У середовищах із високим рівнем безпеки дані ніколи не можна передавати третім сторонам без них явну згоду, оскільки він може містити конфіденційну інформацію.

Діяльність типу User Activity не можна завантажувати в хмару. Хронологія функція не працюватиме на різних пристроях.

18.9.35.6.1 Переконайтеся, що для параметра «Дозволити підключення до мережі в режимі очікування (на акумуляторі)» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики дозволяє контролювати стан підключення до мережі в режимі очікування сучасні системи з можливістю роботи в режимі очікування. Рекомендований стан для цього параметра: вимкнено.

Вимкнення цього параметра гарантує, що комп’ютер не буде доступний для загрозливих осіб через мережу WLAN без нагляду, від акумулятора та в режимі сну.

Підключення до мережі в режимі очікування (під час роботи від акумулятора) не гарантується. Ця зв’язність обмеження наразі стосується лише мереж WLAN, але може бути змінено (за даними Microsoft).

18.9.35.6.2 Переконайтеся, що для параметра «Дозволити підключення до мережі в режимі підключення-очікування (підключено)» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики дозволяє контролювати стан підключення до мережі в режимі очікування сучасні системи з можливістю роботи в режимі очікування. Рекомендований стан для цього параметра: вимкнено.

Вимкнення цього параметра гарантує, що комп’ютер не буде доступний для загрозливих осіб через мережу WLAN, залишаючись без нагляду, підключеним і перебуваючи в режимі сну.

Підключення до мережі в режимі очікування (при підключенні до мережі) не гарантується. Ця зв’язність обмеження наразі стосується лише мереж WLAN, але може бути змінено (за даними Microsoft).

18.9.37.1 Переконайтеся, що для параметра «Налаштувати пропозицію віддаленої допомоги» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики дозволяє вам увімкнути або вимкнути Offer (Unsolicited) Remote Допомога на цьому комп’ютері. Служба підтримки та персонал служби підтримки не зможуть завчасно запропонувати допомогу, хоча вони все ще можуть відповідати на запити допомоги користувачів. Рекомендований стан для цього параметра: вимкнено.

Користувач може бути обманом і прийняти небажану пропозицію віддаленої допомоги від загрози актор.

Немає – це типова поведінка.

18.9.37.2 Переконайтеся, що для параметра «Налаштувати запрошену віддалену допомогу» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики дозволяє вам увімкнути або вимкнути запрошену (запитати) віддалену допомогу на цьому комп’ютері. Рекомендований стан для цього параметра: вимкнено.

Існує невеликий ризик того, що зловмисний адміністратор отримає доступ до робочого столу іншого користувача сесії, однак вони не можуть підключитися до комп’ютера користувача без попередження або керувати ним без дозволу користувача. Коли експерт намагається підключитися, користувач все ще може заборонити з’єднання або надати експерту права перегляду. Користувач повинен чітко натисніть кнопку Так, щоб дозволити експерту дистанційно керувати робочою станцією.

Користувачі цього комп’ютера не можуть використовувати електронну пошту чи передачу файлів, щоб попросити когось про допомогу. Крім того, користувачі не можуть використовувати програми обміну миттєвими повідомленнями, щоб дозволити підключення до цього комп’ютера.

18.9.38.1 Переконайтеся, що для параметра «Увімкнути автентифікацію клієнта відображення кінцевих точок RPC» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики контролює, чи клієнти RPC автентифікуються за допомогою Endpoint Mapper Служба, коли виклик, який вони здійснюють, містить інформацію автентифікації. The Endpoint Mapper Service на комп’ютерах під керуванням Windows NT4 (усі пакети оновлень) не може обробити інформацію автентифікації, надану таким чином. Рекомендований стан для цього параметра: увімкнено. Примітка. Ця політика не діятиме, доки систему не буде перезавантажено.

Анонімний доступ до служб RPC може призвести до випадкового розкриття інформації для неавтентифікованих користувачів.

Клієнти RPC автентифікуються в службі Endpoint Mapper Service для викликів, які містять інформацію про автентифікацію. Клієнти, які здійснюють такі дзвінки, не зможуть спілкуватися за допомогою Windows NT4 Server Endpoint Mapper Service. Примітка. Цей параметр політики може спричинити певну проблему з односторонніми трастами лісу, якщо так застосовано до довірених доменів DC (див. Microsoft KB3073942), тому не рекомендується застосовуючи його до контролерів домену. Примітка №2. Якщо цей параметр поєднується з блокуванням або вимкненням протоколу NTLM, Переклад SID може не працювати.

18.9.38.2 Переконайтеся, що для параметра «Обмежити неавтентифіковані клієнти RPC» встановлено значення «Увімкнено: автентифіковано» (Автоматизовано)

Цей параметр політики контролює, як середовище виконання сервера RPC обробляє неавтентифікований RPC клієнти, що підключаються до серверів RPC. Цей параметр політики впливає на всі програми RPC. У середовищі домену ця політика налаштування слід використовувати з обережністю, оскільки воно може вплинути на широкий спектр функцій включаючи саму обробку групової політики. Скасування зміни цього параметра політики може вимагають ручного втручання на кожній постраждалій машині. Цей параметр політики повинен ніколи не застосовувати до контролера домену. Клієнт вважатиметься автентифікованим клієнтом, якщо він використовує іменований канал для спілкуватися з сервером або якщо він використовує RPC Security. Інтерфейси RPC, які мають спеціально запитувані, щоб бути доступними для неавтентифікованих клієнтів, можуть бути звільнені від це обмеження, залежно від вибраного значення для цього параметра політики. • «Немає» дозволяє всім клієнтам RPC підключатися до серверів RPC, що працюють на машині до якого застосовано налаштування політики. • “Authenticated” дозволяє лише автентифікованим клієнтам RPC (згідно з визначенням вище) для підключення до серверів RPC, що працюють на машині, на якій встановлено параметр політики застосовується. Винятки надаються інтерфейсам, які їх запитали. • «Автентифіковані без винятків» дозволяє лише автентифікованих клієнтів RPC (пер визначення вище), щоб підключитися до серверів RPC, які працюють на машині який параметр політики застосовано. Жодні винятки не допускаються. Це значення має може спричинити серйозні проблеми, тому не рекомендується. Примітка. Цей параметр політики не буде застосовано, доки систему не буде перезавантажено. Рекомендований стан для цього параметра: увімкнено: автентифіковано.

Неавтентифікований RPC-зв’язок може створити вразливість безпеки.

Немає – це типова поведінка.

18.9.49.11.1 Переконайтеся, що для параметра «Увімкнути/вимкнути PerfTrack» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, увімкнути чи вимкнути відстеження відповіді події. Рекомендований стан для цього параметра: вимкнено.

Якщо ввімкнено, зведені дані певної події будуть передані до Microsoft. Існує можливість обмежити цю функцію для певного користувача, встановити рівень згоди та вказати конкретні програми, для яких можна надсилати звіти про помилки. Щоправда, централізовано обмеження можливості виконання PerfTrack, щоб обмежити можливість несанкціонованого або небажаного використання, витоку даних або ненавмисного обміну даними є дуже високим рекомендований.

Події реагування не обробляються.

18.9.51.1 Переконайтеся, що для параметра «Вимкнути рекламний ідентифікатор» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики вимикає рекламний ідентифікатор, не дозволяючи програмам використовувати ідентифікатор для досвід у різних програмах. Рекомендований стан для цього параметра: увімкнено.

У середовищах із високим рівнем безпеки дані ніколи не можна передавати третім сторонам без них явну згоду, оскільки він може містити конфіденційну інформацію. Крім того, відстеження користувача діяльність у рекламних цілях, навіть анонімна, може бути проблемою конфіденційності.

Рекламний ідентифікатор вимкнено. Програми не можуть використовувати ідентифікатор для роботи в різних програмах.

18.9.53.1.1 Переконайтеся, що для параметра «Увімкнути Windows NTP-клієнт» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи ввімкнено Windows NTP-клієнт. Увімкнення Windows NTP Client дозволяє синхронізувати годинник системного комп’ютера з NTP сервер(и). Рекомендований стан для цього параметра: увімкнено. Примітка: якщо в середовищі використовується сторонній постачальник часу, це виняток потрібна буде рекомендація.

Надійний і точний облік часу важливий для ряду служб і вимоги безпеки, включаючи, але не обмежуючись цим, розподілені програми, автентифікацію служби, багатокористувацькі бази даних і служби журналювання. Використання клієнта NTP (з безпечна робота) забезпечує функціональну точність і є центром під час перевірки події, що стосуються безпеки.

Системний час буде синхронізовано з налаштованим сервером(ами) NTP.

18.9.54 Переконайтеся, що для параметра «Налаштувати поведінку команди sudo» встановлено значення «Увімкнено: вимкнено» (Автоматизовано)

Цей параметр політики налаштовує використання інструмента командного рядка sudo.exe. Sudo функція в Windows дозволяє користувачам запускати команди з підвищеними правами (від імені адміністратора) безпосередньо з сеансу консолі без прав. Рекомендований стан для цього параметра: Enabled: Disabled.

Sudo для Windows може бути використано для ескалації привілеїв і спуфінгу зловмисний актор. Наприклад, у жовтні 2024 р. CVE-2024-43571 (спуфінг вразливість) була створена Microsoft.

Інструмент командного рядка sudo.exe не буде доступний у системі.

18.10.3.1 Переконайтеся, що для параметра «Вимкнути вибірку API» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи надсилається вибірка даних API до Microsoft. Вибірка API відстежує вибіркову колекцію API, які використовуються під час виконання системи, щоб допомогти діагностувати проблеми сумісності в Windows. Рекомендований стан для цього параметра: увімкнено.

У середовищах із високим рівнем безпеки дані ніколи не можна передавати третім сторонам без них явну згоду, оскільки він може містити конфіденційну інформацію.

Вибірка даних API не надсилатиметься до Microsoft.

18.10.3.2 Переконайтеся, що для параметра «Вимкнути прикладний слід» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи дані сліду програми надсилаються до Microsoft. Application Footprint відстежує вибіркову колекцію реєстру та файлів, щоб допомогти діагностувати проблеми сумісності. Рекомендований стан для цього параметра: увімкнено.

У середовищах із високим рівнем безпеки дані ніколи не можна передавати третім сторонам без них явну згоду, оскільки він може містити конфіденційну інформацію.

Дані вибірки сліду програми не надсилатимуться до корпорації Майкрософт.

18.10.3.3 Переконайтеся, що для параметра «Вимкнути відстеження встановлення» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи дані відстеження встановлення надсилаються до Microsoft. Встановити Tracing відстежує встановлення програм, щоб допомогти діагностувати проблеми сумісності. Рекомендований стан для цього параметра: увімкнено.

У середовищах із високим рівнем безпеки дані ніколи не можна передавати третім сторонам без них явну згоду, оскільки він може містити конфіденційну інформацію.

Дані вибірки відстеження встановлення не надсилатимуться до Microsoft.

18.10.4.1 Переконайтеся, що для параметра «Дозволити програмі Windows обмінюватися даними програми між користувачами» встановлено значення «Вимкнено» (Автоматизовано)

Керує здатністю програми Windows обмінюватися даними між користувачами, які встановили додаток Дані надаються через папку SharedLocal. Ця папка доступна через Windows.Storage API. Рекомендований стан для цього параметра: вимкнено.

Користувачі системи можуть випадково поділитися конфіденційними даними з іншими користувачами в ній система.

Немає – це типова поведінка.

18.10.4.2 Переконайтеся, що для параметра «Не дозволяти встановлення непідписаних пакетів для кожного користувача за замовчуванням (потрібно явно дозволити кожне встановлення)» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр керує можливістю користувача встановлювати непідписані пакети Windows App. Рекомендований стан для цього параметра: увімкнено. Примітка: непідписані пакети додатків Windows вимагатимуть явного дозволу на встановлення налаштування вимкнено.

У корпоративному керованому середовищі слід керувати встановленням програм централізовано ІТ-персоналом, а не кінцевими користувачами.

Стандартні користувачі не зможуть інсталювати непідписані запаковані програми Microsoft Store, якщо вони прямо не дозволені іншими правилами.

18.10.4.3 Переконайтеся, що для параметра «Заборонити користувачам, які не є адміністраторами встановлювати упаковані програми Windows» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр керує здатністю користувачів без прав адміністратора встановлювати пакети програм Windows. Рекомендований стан для цього параметра: увімкнено.

У корпоративному керованому середовищі слід керувати встановленням програм централізовано ІТ-персоналом, а не кінцевими користувачами.

Користувачі без прав адміністратора не зможуть інсталювати пакети програм Microsoft Store, якщо тільки вони прямо дозволені іншими правилами. Якщо програма Microsoft Store потрібна для законного використання, адміністратор повинен буде виконати встановлення з Контекст адміністратора. Цей параметр може заборонити запуск стандартним користувачам (без прав адміністратора). Програми Office 365 (O365), які відображають помилку: «Windows не може отримати доступ до вказаний пристрій, шлях або файл. Можливо, у вас немає відповідних дозволів на доступ предмет».

18.10.5.1 Переконайтеся, що для параметра «Дозволити програмам Windows активуватися голосом, коли систему заблоковано» встановлено значення «Увімкнено: примусова заборона» (Автоматизовано)

Цей параметр політики визначає, чи можна активувати програми Windows голосом (програми та Cortana), коли систему заблоковано. Рекомендований стан для цього параметра: Enabled: Force Deny.

Не можна дозволяти доступ до будь-яких ресурсів комп’ютера, коли пристрій заблоковано.

Користувачі не зможуть активувати програми, коли комп’ютер заблоковано.

18.10.6.1 Переконайтеся, що для параметра «Дозволити облікові записи Microsoft бути необов’язковими» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики дозволяє контролювати, чи є облікові записи Microsoft необов’язковими для Windows Зберігайте програми, для входу в які потрібен обліковий запис. Ця політика стосується лише Windows Store програми, які це підтримують. Рекомендований стан для цього параметра: увімкнено.

Увімкнення цього параметра дозволяє організації використовувати облікові записи корпоративних користувачів замість того, щоб використовувати свої облікові записи Microsoft під час доступу до програм магазину Windows. Це надає організації більший контроль над відповідними обліковими даними. Microsoft обліковими записами не можна керувати централізовано, і як така безпека облікових даних підприємства політики не можуть бути застосовані до них, що може порушити доступ до будь-якої інформації за допомогою Облікові записи Microsoft під загрозою.

Програми Магазину Windows, для входу в які зазвичай потрібен обліковий запис Microsoft, дозволять користувачам щоб натомість увійти за допомогою корпоративного облікового запису.

18.10.8.1 Переконайтеся, що для параметра «Заборонити автовідтворення для пристроїв, які не є томами» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики забороняє автоматичне відтворення для пристроїв MTP, таких як камери чи телефони. Рекомендований стан для цього параметра: увімкнено.

Зловмисник може використати цю функцію для запуску програми для пошкодження клієнтського комп’ютера або дані на комп’ютері.

Автоматичне відтворення не буде дозволено для пристроїв MTP, таких як камери чи телефони.

18.10.8.2 Переконайтеся, що для параметра «Установити поведінку за замовчуванням для автозапуску» встановлено значення «Увімкнено: не виконувати жодних команд автозапуску» (Автоматизовано)

Цей параметр політики встановлює типову поведінку для команд автозапуску. Команди автозапуску зазвичай зберігаються у файлах autorun.inf. Вони часто запускають програму встановлення або інші рутини. Рекомендований стан для цього параметра: Увімкнено: не виконувати автозапуск команди.

До Windows Vista, коли вставляється носій, що містить команду автозапуску, система автоматично виконає програму без втручання користувача. Це створює a серйозна проблема безпеки, оскільки код може виконуватися без відома користувача. За замовчуванням Починаючи з Windows Vista, користувач запитує, чи є команда автозапуску бути запущеним. Команда автозапуску представлена ​​як обробник у діалоговому вікні автовідтворення.

Команди автозапуску будуть повністю вимкнені.

18.10.8.3 Переконайтеся, що для параметра «Вимкнути автовідтворення» встановлено значення «Увімкнено: усі диски» (Автоматизовано)

Цей параметр політики керує автовідтворенням. Автоматичне відтворення починає читати з диска, як тільки у дисковод вставлено носій, що спричиняє файл інсталяції програм або аудіозапису почати негайно. Рекомендований стан для цього параметра: Увімкнено: усі диски. Примітка. Цей параметр політики не можна використовувати для ввімкнення автоматичного відтворення на дисках комп’ютера які він вимкнено за замовчуванням, наприклад дискети та мережеві диски.

Зловмисник може використати цю функцію для запуску програми для пошкодження клієнтського комп’ютера або дані на комп’ютері.

Автоматичне відтворення буде вимкнено – користувачам доведеться вручну запускати налаштування або встановлення програми, які надаються на знімних носіях.

18.10.9.1.1 Переконайтеся, що для параметра «Налаштувати розширений захист від спуфінгу» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи налаштовано для пристроїв покращений захист від спуфінгу які це підтримують. Рекомендований стан для цього параметра: увімкнено.

Корпоративні керовані середовища тепер підтримують більш широкий спектр мобільних пристроїв, посилення безпеки на цих пристроях допоможе захистити від несанкціонованого доступу у вашій мережі.

Windows вимагатиме від усіх користувачів пристрою використання антиспуфінгу для рис обличчя пристрої, які його підтримують.

18.10.10.1.1 Переконайтеся, що для параметра «Дозволити доступ до захищених BitLocker фіксованих дисків даних із попередніх версій Windows» установлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи диски з фіксованими даними відформатовані за допомогою FAT файлову систему можна розблокувати та переглядати на комп’ютерах під керуванням Windows Server 2008 (не R2), Windows Vista, Windows XP із пакетом оновлень 3 (SP3) або Windows XP із Операційні системи Service Pack 2 (SP2). Примітка. Цей параметр політики не застосовується до дисків, відформатованих за допомогою файлу NTFS система. Рекомендований стан для цього параметра: вимкнено.

За замовчуванням BitLocker віртуалізує диски у форматі FAT, щоб дозволити доступ через BitLocker To Go Reader у попередніх версіях Windows. Крім того, BitLocker To Go Програма Reader застосовується до незашифрованої частини диска. Програма BitLocker To Go Reader, як і будь-яка інша програма, підлягає спуфінг і може бути механізмом розповсюдження зловмисного програмного забезпечення.

Стаціонарні диски з даними, відформатовані у файловій системі FAT, захищені BitLocker, не можуть бути розблокованим на комп’ютерах під керуванням Windows Server 2008 (не R2), Windows Vista, Windows XP із пакетом оновлень 3 або Windows XP із пакетом оновлень 2. BitLockerToGo.exe не буде встановлено.

18.10.10.1.2 Переконайтеся, що для параметра «Виберіть спосіб відновлення фіксованих дисків, захищених BitLocker» установлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики дозволяє контролювати, наскільки захищені фіксовані диски даних BitLocker відновлено за відсутності необхідних облікових даних. Цей параметр політики застосовується, коли ви вмикаєте BitLocker. Прапорець «Дозволити агент відновлення даних» використовується, щоб указати, чи потрібно відновлення даних Агент можна використовувати з фіксованими дисками даних, захищеними BitLocker. Перед відновленням даних Агент можна використовувати, його потрібно додати з елемента політики відкритого ключа в будь-якому з Консоль керування груповою політикою або редактор локальної групової політики. Зверніться до Посібник із розгортання шифрування диска BitLocker на Microsoft TechNet для отримання додаткової інформації інформацію про додавання агентів відновлення даних. У розділі «Налаштувати зберігання інформації для відновлення BitLocker користувача» виберіть, чи є користувачі дозволено, потрібно або заборонено генерувати 48-значний або 256-бітний пароль відновлення ключ відновлення. Виберіть «Пропустити параметри відновлення з майстра налаштування BitLocker», щоб запобігти користувачам вказуючи параметри відновлення, коли вони вмикають BitLocker на диску. Це означає, що ви не зможе вказати, який параметр відновлення використовувати, коли ви вмикаєте BitLocker, натомість варіанти відновлення BitLocker для диска визначаються параметром політики. Виберіть «Зберегти інформацію про відновлення BitLocker у доменних службах Active Directory». яку інформацію про відновлення BitLocker зберігати в AD DS для фіксованих дисків даних. Якщо ви виберіть «Резервне копіювання пароля відновлення та пакет ключів», як для відновлення BitLocker пароль і пакет ключів зберігаються в AD DS. Зберігання пакету ключів підтримує відновлення даних із диска, який був фізично пошкоджений. Якщо вибрати «Резервне копіювання лише пароль для відновлення”, лише пароль для відновлення зберігається в AD DS. Виберіть «Не вмикати BitLocker, доки інформація про відновлення не буде збережена в AD DS для фіксовані диски даних», якщо ви не хочете, щоб користувачі вмикали BitLocker комп’ютер підключений до домену і резервна копія відновлення BitLocker надсилання інформації до AD DS. Примітка: якщо «Не вмикати BitLocker, доки інформація про відновлення не буде збережена в AD DS для фіксовані диски даних» встановлено прапорець, пароль відновлення буде встановлено автоматично створений. Рекомендований стан для цього параметра: увімкнено.

Адміністратори повинні завжди мати безпечний і безпечний спосіб доступу до зашифрованих даних у користувачі події не можуть отримати доступ до своїх даних. Крім того, як і будь-який інший метод автентифікації, диск може бути скомпрометований вгадування або пошук інформації автентифікації, яка використовується для доступу до диска.

Щоб використовувати BitLocker, потрібно налаштувати агент відновлення даних для фіксованих дисків. до для відновлення диска потрібен строго контрольований доступ до приватного агента відновлення даних ключ.

18.10.10.1.7 Переконайтеся, що для параметра «Налаштувати використання апаратного шифрування для фіксованих дисків даних» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики дозволяє керувати використанням BitLocker апаратного шифрування на фіксованих дисках даних і вкажіть, які алгоритми шифрування він може використовувати з апаратним забезпеченням- шифрування на основі. Використання апаратного шифрування може покращити продуктивність диска операції, які включають часте читання або запис даних на накопичувач. Ви можете вказати додаткові параметри, які контролюють, чи BitLocker базується на програмному забезпеченні шифрування використовується замість апаратного шифрування на комп’ютерах, які цього не роблять підтримку апаратного шифрування та чи потрібно обмежити шифрування алгоритми та набори шифрів, що використовуються з апаратним шифруванням. Рекомендований стан для цього параметра: вимкнено.

З точки зору безпеки апаратне шифрування може створювати вразливості апаратне шифрування певних дисків із самошифруванням (SED), якщо постачальник та/або користувач не оновив мікропрограму для усунення вразливості. Для отримання додаткової інформації відвідайте ADV180028 – Керівництво з оновлення безпеки – Microsoft – Керівництво з налаштування BitLocker для забезпечення програмного шифрування.

Немає – це типова поведінка.

18.10.10.1.8 Переконайтеся, що для параметра «Налаштувати використання паролів для фіксованих дисків даних» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи потрібен пароль для розблокування BitLocker- захищені фіксовані диски даних. Примітка. Цей параметр застосовується під час увімкнення BitLocker, а не під час розблокування тому. BitLocker дозволить розблокувати диск будь-яким із доступних на диску протекторів. Рекомендований стан для цього параметра: вимкнено.

Використовуючи атаку в стилі словника, паролі можна вгадувати або відкривати неодноразово спроба розблокувати диск. Оскільки цей тип пароля BitLocker містить анти- наприклад, захист від атак за словником, наданий TPM, не існує механізму уповільнити швидкі атаки грубою силою проти них.

Опція пароля буде недоступна під час налаштування BitLocker для фіксованих дисків.

18.10.10.1.9 Переконайтеся, що для параметра «Налаштувати використання смарт-карт на фіксованих дисках даних» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики дозволяє вказати, чи можна використовувати смарт-карти автентифікувати доступ користувача до захищених BitLocker фіксованих дисків даних на комп’ютері. Для автентифікації доступу користувача до накопичувача можна використовувати смарт-карти. Ви можете вимагати автентифікації смарт-картки, вибравши «Вимагати використання смарт-карт для фіксованих даних диски». Примітка. Цей параметр застосовується під час увімкнення BitLocker, а не під час розблокування диска. BitLocker дозволить розблокувати диск будь-яким із доступних на диску протекторів. Рекомендований стан для цього параметра: увімкнено.

Диск може бути скомпрометований, якщо вгадати або знайти використану інформацію автентифікації щоб отримати доступ до диска. Наприклад, можна вгадати пароль або встановити диск автоматичне розблокування може бути втрачено або викрадено разом із комп’ютером, який він автоматично розблокує з.

Немає – це типова поведінка.

18.10.10.2.1 Переконайтеся, що для параметра «Дозволити розширені PIN-коди для запуску» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики дає змогу налаштувати, чи будуть розширені PIN-коди запуску використовується з BitLocker. Розширені PIN-коди запуску дозволяють використовувати символи, включаючи великі та малі літери літери, символи, цифри та пробіли. Цей параметр політики застосовується під час увімкнення BitLocker. Рекомендований стан для цього параметра: увімкнено.

Лише цифровий PIN-код забезпечує меншу ентропію, ніж буквено-цифровий PIN-код. Коли ні використання розширеного PIN-коду для запуску, BitLocker вимагає використання функціональних клавіш [F1-F10] для введення PIN-коду, оскільки PIN-код вводиться в середовищі до ОС перед локалізацією доступна підтримка. Це обмежує кожну цифру PIN-коду однією з десяти можливостей. TPM має функція захисту від ударів, що включає механізм експоненціального збільшення затримка для повторних спроб PIN-коду; однак загрозливий суб’єкт може більш ефективно монтувати a атака грубою силою з використанням домену з 10 цифр функціональних клавіш.

Усі нові налаштовані PIN-коди запуску BitLocker будуть розширеними PIN-кодами. Примітка. Не всі комп’ютери підтримують повну підтримку клавіатури в середовищі перед ОС. Деякі ключі можуть бути недоступні. Рекомендується перевірити цю функцію за допомогою комп’ютерів у вашому середовищі до його розгортання.

18.10.10.2.2 Переконайтеся, що для параметра «Дозволити безпечне завантаження для перевірки цілісності» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики дозволяє налаштувати, чи буде безпечне завантаження дозволено як постачальник цілісності платформи для дисків операційної системи BitLocker. Безпечне завантаження гарантує, що передзавантажувальне середовище ПК завантажує лише вбудоване програмне забезпечення з цифровим підписом авторизованих видавців програмного забезпечення. Secure Boot також забезпечує більше гнучкість керування конфігурацією перед завантаженням, ніж перевірка цілісності застарілого BitLocker. Для безпечного завантаження потрібна система, яка відповідає специфікаціям UEFI 2.3.1 для класу 2 і Комп’ютери 3 класу. Якщо цю політику ввімкнено й апаратне забезпечення може використовувати Secure Boot для Сценарії BitLocker, «Використовувати розширений профіль перевірки даних конфігурації завантаження» налаштування групової політики ігнорується, а Secure Boot перевіряє налаштування BCD відповідно до Параметр політики безпечного завантаження, який налаштовується окремо від BitLocker. Примітка. Якщо параметр групової політики «Налаштувати профіль перевірки платформи TPM для рідного Конфігурації вбудованого програмного забезпечення UEFI» увімкнено та не містить PCR 7, BitLocker буде заборонено використовувати безпечне завантаження для платформи або даних конфігурації завантаження (BCD) перевірка цілісності. Рекомендований стан для цього параметра: увімкнено.

Безпечне завантаження гарантує, що лише вбудоване програмне забезпечення має цифровий підпис авторизованого програмного забезпечення видавців завантажується під час запуску комп’ютера, що знижує ризик руткітів і інші типи зловмисного програмного забезпечення від отримання контролю над системою. Це також допомагає забезпечити захист від зловмисників, які завантажуються з альтернативної операційної системи.

Немає – це типова поведінка.

18.10.10.2.3 Переконайтеся, що для параметра «Виберіть спосіб відновлення дисків операційної системи, захищених BitLocker» установлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики дозволяє контролювати, як операційна система захищена BitLocker диски відновлюються за відсутності необхідної інформації про ключ запуску. Ця політика налаштування застосовується, коли ви вмикаєте BitLocker. Прапорець «Дозволити агент відновлення даних на основі сертифіката» використовується, щоб указати, чи потрібно Агент відновлення даних можна використовувати з дисками операційної системи, захищеними BitLocker. Перед використанням агента відновлення даних його потрібно додати з відкритого ключа Елемент «Політики» на консолі керування груповою політикою або в локальній груповій політиці редактор. Зверніться до Посібника з розгортання BitLocker Drive Encryption на сайті Microsoft TechNet щоб дізнатися більше про додавання агентів відновлення даних. У розділі «Налаштувати зберігання інформації для відновлення BitLocker користувача» виберіть, чи є користувачі дозволено, потрібно або заборонено генерувати 48-значний або 256-бітний пароль відновлення ключ відновлення. Виберіть «Пропустити параметри відновлення з майстра налаштування BitLocker», щоб запобігти користувачам вказуючи параметри відновлення, коли вони вмикають BitLocker на диску. Це означає, що ви не зможе вказати, який параметр відновлення використовувати, коли ви вмикаєте BitLocker, натомість варіанти відновлення BitLocker для диска визначаються параметром політики. Виберіть «Зберегти інформацію про відновлення BitLocker у доменних службах Active Directory». яку інформацію про відновлення BitLocker зберігати в AD DS для дисків операційної системи. Якщо ви вибираєте «Резервне копіювання пароля відновлення та пакету ключів», як відновлення BitLocker пароль і пакет ключів зберігаються в AD DS. Зберігання пакету ключів підтримує відновлення даних із диска, який був фізично пошкоджений. Якщо вибрати «Резервне копіювання лише пароль для відновлення”, лише пароль для відновлення зберігається в AD DS. Виберіть «Не вмикати BitLocker, доки інформація про відновлення не буде збережена в AD DS для диски операційної системи», якщо ви не хочете, щоб користувачі вмикали BitLocker якщо комп’ютер не підключено до домену та резервної копії відновлення BitLocker надсилання інформації до AD DS. Примітка: якщо «Не вмикати BitLocker, доки інформація про відновлення не буде збережена в AD DS для диски операційної системи» встановлено прапорець, пароль відновлення буде встановлено автоматично створений. Рекомендований стан для цього параметра: увімкнено.

Якщо користувач втратить свій основний засіб доступу до зашифрованого тому ОС, або якщо система не пройде перевірку цілісності під час завантаження, система перейде в режим відновлення. Якщо для ключа відновлення не створено резервну копію в Active Directory, користувач потрібно було зберегти ключ відновлення в іншому місці, наприклад на флеш-пам’яті USB на диску або надрукували пароль відновлення та тепер мають доступ до одного з них у щоб відновити систему. Якщо користувач не може створити ключ відновлення, то користувачеві буде відмовлено в доступі до зашифрованого тому, а згодом і до будь-яких даних, які є зберігається там.

Щоб увімкнути BitLocker, користувачі повинні бути підключені до домену. Ця політика не є FIPS скарга.

18.10.10.2.8 Переконайтеся, що для параметра «Налаштувати використання апаратного шифрування для дисків операційної системи» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики дозволяє керувати використанням BitLocker апаратного шифрування на дисках операційної системи та вкажіть, з якими алгоритмами шифрування він може використовуватися апаратне шифрування. Використання апаратного шифрування може покращити роботу виконання операцій накопичувача, які передбачають часте читання або запис даних у диск. Ви можете вказати додаткові параметри, які контролюють, чи BitLocker базується на програмному забезпеченні шифрування використовується замість апаратного шифрування на комп’ютерах, які цього не роблять підтримку апаратного шифрування та чи потрібно обмежити шифрування алгоритми та набори шифрів, що використовуються з апаратним шифруванням. Рекомендований стан для цього параметра: вимкнено.

З точки зору безпеки апаратне шифрування може створювати вразливості апаратне шифрування певних дисків із самошифруванням (SED), якщо постачальник та/або користувач не оновив мікропрограму для усунення вразливості. Для отримання додаткової інформації відвідайте ADV180028 – Керівництво з оновлення безпеки – Microsoft – Керівництво з налаштування BitLocker для забезпечення програмного шифрування.

Немає – це типова поведінка.

18.10.10.3.2 Переконайтеся, що для параметра «Вибрати спосіб відновлення знімних дисків, захищених BitLocker» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики дозволяє контролювати, як знімні диски даних захищені BitLocker відновлюються за відсутності необхідних облікових даних. Цей параметр політики застосовано коли ви вмикаєте BitLocker. Прапорець «Дозволити агент відновлення даних» використовується, щоб указати, чи потрібно відновлення даних Агент можна використовувати зі знімними дисками даних, захищеними BitLocker. Перед даними Можна використовувати Recovery Agent, його потрібно додати в політику відкритих ключів Консоль керування груповою політикою або редактор локальної групової політики. Проконсультуватися Посібник із розгортання BitLocker Drive Encryption на сайті Microsoft TechNet, щоб дізнатися більше інформацію про додавання агентів відновлення даних. У розділі «Налаштувати зберігання інформації для відновлення BitLocker користувача» виберіть, чи є користувачі дозволено, потрібно або заборонено генерувати 48-значний або 256-бітний пароль відновлення ключ відновлення. Виберіть «Пропустити параметри відновлення з майстра налаштування BitLocker», щоб запобігти користувачам вказуючи параметри відновлення, коли вони вмикають BitLocker на диску. Це означає, що ви не зможе вказати, який параметр відновлення використовувати, коли ви вмикаєте BitLocker, натомість варіанти відновлення BitLocker для диска визначаються параметром політики. Виберіть «Зберегти інформацію про відновлення BitLocker у доменних службах Active Directory». яку інформацію про відновлення BitLocker зберігати в AD DS для знімних дисків даних. Якщо ви виберіть «Резервне копіювання пароля відновлення та пакет ключів», як для відновлення BitLocker пароль і пакет ключів зберігаються в AD DS. Якщо вибрати «Резервне відновлення лише пароль”, лише пароль відновлення зберігається в AD DS. Виберіть «Не вмикати BitLocker, доки інформація про відновлення не буде збережена в AD DS для знімні диски даних», якщо ви не хочете, щоб користувачі вмикали BitLocker якщо комп’ютер не підключено до домену та резервної копії відновлення BitLocker надсилання інформації до AD DS. Примітка: якщо «Не вмикати BitLocker, доки інформація про відновлення не буде збережена в AD DS для знімні диски з даними» встановлено прапорець, пароль відновлення буде встановлено автоматично створений. Рекомендований стан для цього параметра: увімкнено.

Адміністратори повинні завжди мати безпечний і безпечний спосіб доступу до зашифрованих даних у користувачі події не можуть отримати доступ до своїх даних. Крім того, як і будь-який інший метод автентифікації, диск може бути скомпрометований вгадування або пошук інформації автентифікації, яка використовується для доступу до диска.

Щоб використовувати BitLocker, агент відновлення даних потрібно налаштувати для видалення диски. Щоб відновити диск, потрібен висококонтрольований доступ до Data Recovery Приватний ключ агента.

18.10.10.3.7 Переконайтеся, що для параметра «Налаштувати використання апаратного шифрування для знімних дисків із даними» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики дозволяє керувати використанням BitLocker апаратного шифрування на знімних носіях даних і вкажіть, які алгоритми шифрування він може використовувати апаратне шифрування. Використання апаратного шифрування може покращити роботу виконання операцій накопичувача, які передбачають часте читання або запис даних у диск. Ви можете вказати додаткові параметри, які контролюють, чи BitLocker базується на програмному забезпеченні шифрування використовується замість апаратного шифрування на комп’ютерах, які цього не роблять підтримку апаратного шифрування та чи потрібно обмежити шифрування алгоритми та набори шифрів, що використовуються з апаратним шифруванням. Рекомендований стан для цього параметра: вимкнено.

З точки зору безпеки апаратне шифрування може створювати вразливості апаратне шифрування певних дисків із самошифруванням (SED), якщо постачальник та/або користувач не оновив мікропрограму для усунення вразливості. Для отримання додаткової інформації відвідайте ADV180028 – Керівництво з оновлення безпеки – Microsoft – Керівництво з налаштування BitLocker для забезпечення програмного шифрування.

Немає – це типова поведінка.

18.10.10.3.8 Переконайтеся, що для параметра «Налаштувати використання паролів для знімних дисків даних» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики дозволяє вказати, чи потрібен пароль для розблокування Знімні диски даних, захищені BitLocker. Примітка. Цей параметр застосовується під час увімкнення BitLocker, а не під час розблокування диска. BitLocker дозволить розблокувати диск будь-яким із доступних на диску протекторів. Рекомендований стан для цього параметра: вимкнено.

Використовуючи атаку в стилі словника, паролі можна вгадувати або відкривати неодноразово спроба розблокувати диск. Оскільки цей тип пароля BitLocker не включає захист від атак за допомогою словника, який забезпечує TPM, наприклад, відсутній механізм уповільнення використання швидких атак грубої сили проти них.

Опція пароля буде недоступна під час налаштування BitLocker для знімного пристрою диски.

18.10.10.3.9 Переконайтеся, що для параметра «Налаштувати використання смарт-карт на знімних носіях даних» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи можна використовувати смарт-карти для автентифікації користувача доступ до захищених BitLocker знімних дисків даних на комп’ютері. Для автентифікації доступу користувача до накопичувача можна використовувати смарт-карти. Ви можете вимагати автентифікації смарт-картки, вибравши «Вимагати використання смарт-карт на знімних диски даних». Примітка. Цей параметр застосовується під час увімкнення BitLocker, а не під час розблокування тому. BitLocker дозволить розблокувати диск будь-яким із доступних на диску протекторів. Рекомендований стан для цього параметра: увімкнено.

Диск може бути скомпрометований, якщо вгадати або знайти використану інформацію автентифікації щоб отримати доступ до диска. Наприклад, можна вгадати пароль або встановити диск автоматичне розблокування може бути втрачено або викрадено разом із комп’ютером, який він автоматично розблокує з.

Немає – це типова поведінка.

18.10.10.3.11 Переконайтеся, що для параметра «Заборонити доступ до запису на знімні диски, не захищені BitLocker» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи потрібен захист BitLocker для комп’ютера мати можливість записувати дані на знімний носій даних. Усі знімні диски з даними, які не захищені BitLocker, будуть підключені як доступні лише для читання. Якщо диск захищено BitLocker, його буде підключено з доступом для читання та запису. Рекомендований стан для цього параметра: увімкнено.

Користувачі не можуть добровільно шифрувати знімні диски перед збереженням важливих даних на диск.

Усі знімні диски з даними, які не захищені BitLocker, будуть підключені як доступні лише для читання. Якщо диск захищено BitLocker, його буде підключено з доступом для читання та запису.

18.10.11.1 Переконайтеся, що для параметра «Дозволити використання камери» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики контролює використання пристроїв камери на машині дозволено. Рекомендований стан для цього параметра: вимкнено.

Камери в середовищі високого рівня безпеки можуть призвести до серйозної конфіденційності та викрадання даних ризики – їх слід відключити, щоб зменшити цей ризик.

Користувачі не зможуть використовувати камеру в системі.

18.10.13.1 Переконайтеся, що для параметра «Вимкнути вміст облікового запису споживача в хмарі» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи дозволено вміст стану облікового запису користувача в хмарі у всіх версіях Windows. Рекомендований стан для цього параметра: увімкнено.

Використання облікових записів споживачів у корпоративному керованому середовищі є поганим безпеки, оскільки це може призвести до можливого витоку даних.

Користувачі не зможуть використовувати облікові записи споживачів Microsoft у системі та натомість пов’язані програми Windows відображатимуть резервний вміст за замовчуванням.

18.10.13.2 Переконайтеся, що для параметра «Вимкнути вміст, оптимізований для хмари» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики вимикає оптимізований хмарний вміст у всіх інтерфейсах Windows. Рекомендований стан для цього параметра: увімкнено.

У середовищах із високим рівнем безпеки дані ніколи не можна передавати третім сторонам без них явну згоду, оскільки він може містити конфіденційну інформацію.

Windows, які використовують клієнтський компонент вмісту, оптимізований у хмарі, будуть надавати резервний вміст за замовчуванням замість налаштованого вмісту.

18.10.13.3 Переконайтеся, що для параметра «Вимкнути споживчий досвід Microsoft» установлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики вимикає можливості, які допомагають споживачам максимально використати їх пристрої та обліковий запис Microsoft. Рекомендований стан для цього параметра: увімкнено. Примітка. Відповідно до Microsoft TechNet цей параметр політики застосовується лише до Windows 10 Enterprise і випуски Windows 10 Education.

Безшумне встановлення додатків у корпоративному керованому середовищі не є надійним захистом практика – особливо якщо програми надсилають дані третім особам.

Користувачі більше не бачитимуть персоналізовані рекомендації від Microsoft і сповіщення про їхній обліковий запис Microsoft.

18.10.14.1 Переконайтеся, що для параметра «Вимагати PIN-код для створення пари» встановлено значення «Увімкнено: перший раз» АБО «Увімкнено: завжди» (Автоматизовано)

Цей параметр політики визначає, чи потрібен PIN-код для підключення до бездротової мережі пристрій відображення. Рекомендований стан для цього параметра: увімкнено: вперше АБО увімкнено: Завжди.

Якщо цей параметр не налаштовано або вимкнено, тоді PIN-код не потрібен підключення бездротових пристроїв відображення до системи, що підвищує ризик несанкціонованого використання.

Церемонія сполучення для підключення до нових бездротових пристроїв відображення завжди буде потрібно PIN-код.

18.10.15.1 Переконайтеся, що для параметра «Не відображати кнопку відкриття пароля» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики дозволяє налаштувати відображення кнопки розкриття пароля досвід користувача для введення пароля. Рекомендований стан для цього параметра: увімкнено.

Це корисна функція під час введення довгого та складного пароля, особливо коли за допомогою сенсорного екрану. Потенційний ризик полягає в тому, що хтось інший може побачити ваш пароль таємно спостерігаючи за своїм екраном.

Кнопка відкриття пароля не відображатиметься після того, як користувач введе пароль у текстове поле для введення пароля.

18.10.15.2 Переконайтеся, що для параметра «Перерахувати облікові записи адміністраторів під час підвищення» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики контролює, чи відображаються облікові записи адміністратора, коли користувач намагається підвищити запущену програму. Рекомендований стан для цього параметра: вимкнено.

Користувачі могли бачити список облікових записів адміністраторів, що полегшувало загрозу актор, який увійшов до сеансу консолі, щоб спробувати зламати паролі тих облікові записи.

Немає – це типова поведінка.

18.10.15.3 Переконайтеся, що для параметра «Запобігти використанню питань безпеки для локальних облікових записів» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи можна використовувати питання безпеки для локального скидання паролі облікових записів. Функція таємного запитання не застосовується до облікових записів домену, лише локальні облікові записи на робочій станції. Рекомендований стан для цього параметра: увімкнено.

Користувачі можуть встановлювати таємні питання, які легко вгадати або розшукати спостереження за обліковими записами користувачів у соціальних мережах, що полегшує зловмисникам змінити пароль локального облікового запису користувача та отримати доступ до комп’ютера як цей користувач рахунок.

Локальні облікові записи користувачів не зможуть налаштувати та використовувати таємні запитання для скидання своїх паролі.

18.10.16.3 Переконайтеся, що для параметра «Не показувати сповіщення про відгуки» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики дозволяє організації заборонити своїм пристроям показувати відгуки питання від Microsoft. Рекомендований стан для цього параметра: увімкнено.

Дані ніколи не можна передавати третім особам без явної згоди, оскільки вони можуть містити конфіденційна інформація.

Користувачі більше не бачитимуть сповіщень про відгуки через програму Windows Feedback.

18.10.16.4 Переконайтеся, що для параметра «Увімкнути аудит OneSettings» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики контролює, чи записи Windows намагаються підключитися до Служба OneSettings для журналу подій. Рекомендований стан для цього параметра: увімкнено.

Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії суб’єктів загрози.

Windows записуватиме спроби підключення до служби OneSettings Журнали програм і служб\Microsoft\Windows\Privacy- Канал аудиту\операційного журналу подій.

18.10.16.5 Переконайтеся, що для параметра «Обмежити збір журналів діагностики» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики контролює, чи збираються додаткові журнали діагностики, коли більше інформація потрібна для усунення проблеми на пристрої. Рекомендований стан для цього параметра: увімкнено. Примітка. Журнали діагностики надсилаються, лише якщо пристрій налаштовано на надсилання додаткові діагностичні дані. Діагностичні дані обмежені, коли рекомендовано Дозволити Діагностичні дані ввімкнено: діагностичні дані вимкнено (не рекомендовано) або Увімкнено: надсилати необхідні діагностичні дані, щоб надсилати лише основну інформацію.

У середовищах із високим рівнем безпеки дані ніколи не можна передавати третім сторонам без них явну згоду, оскільки він може містити конфіденційну інформацію.

Діагностичні журнали та така інформація, як аварійні дампи, не збиратимуться передача до Microsoft.

18.10.16.6 Переконайтеся, що для параметра «Обмеження збирання дампа» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики обмежує тип дампів пам’яті, які можна зібрати, коли більше інформація потрібна для вирішення проблеми. Рекомендований стан для цього параметра: увімкнено. Примітка. Дампи пам’яті надсилаються, лише якщо пристрій налаштовано на надсилання додаткові діагностичні дані. Діагностичні дані обмежені, коли рекомендовано Дозволити Діагностичні дані ввімкнено: діагностичні дані вимкнено (не рекомендовано) або Увімкнено: надсилати необхідні діагностичні дані, щоб надсилати лише основну інформацію.

Дані ніколи не можна передавати третім особам без явної згоди, оскільки вони можуть містити конфіденційна інформація.

Звітування про помилки Windows обмежено надсиланням міні-пам’яті ядра та режиму користувача дампи, зменшуючи ризик надсилання конфіденційної інформації до Microsoft.

18.10.17.1 Переконайтеся, що для параметра «Режим завантаження» НЕ встановлено значення «Увімкнено: Інтернет» (Автоматизовано)

Цей параметр політики визначає метод завантаження, який може використовувати Delivery Optimization завантаження оновлень Windows, програм і оновлень програм. Наступні методи є підтримується: • 0 = лише HTTP, без пирингу. • 1 = HTTP змішано з одноранговим за тим самим NAT. • 2 = HTTP змішаний із одноранговим переглядом через приватну групу. Піринг відбувається на пристроїв на тому самому сайті Active Directory (якщо існує) або в одному домені за замовчуванням. Якщо вибрано цей параметр, піринг перетинатиме NAT. Щоб створити спеціальну групу використовуйте ідентифікатор групи в поєднанні з режимом 2. • 3 = HTTP, змішаний з Інтернет-пірингом. • 99 = Простий режим завантаження без пирингу. Завантаження оптимізації доставки використовує лише HTTP і не намагається зв’язатися з хмарою оптимізації доставки послуги. • 100 = Режим обходу. Не використовуйте оптимізацію доставки, замість цього використовуйте BITS. Рекомендованим станом для цього параметра є будь-яке значення, КРІМ: Увімкнено: Інтернет (3). Примітка. За умовчанням для всіх SKU, крім Enterprise, Enterprise LTSB або Education, є Увімкнено: Інтернет (3), тому для інших SKU обов’язково встановіть інше значення. Примітка №2: параметр 100 = режим обходу не підтримується для Windows 11 і може спричинити деякі завантаження вмісту не вдаються.

З міркувань конфіденційності та ризиків безпеки оновлення слід завантажувати лише безпосередньо від Microsoft або з довіреної машини у внутрішній мережі, яка отримала її оновлення з надійного джерела та схвалені адміністратором мережі.

Машини не зможуть завантажувати оновлення від однорангових пристроїв в Інтернеті. Якщо встановлено Увімкнено: лише HTTP (0), увімкнено: простий (99) або увімкнено: обхід (100), машини не зможуть завантажувати оновлення з інших машин у тій же локальній мережі.

18.10.18.1 Переконайтеся, що для параметра «Увімкнути інсталятор програми» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи мають стандартні користувачі доступ до Windows Менеджер пакетів. Windows Package Manager — це рішення для керування пакетами, яке складається з інструменту командного рядка та набору служб для встановлення програм Microsoft Windows 10 і 11. Рекомендований стан для цього параметра: вимкнено.

Windows Package Manager — це інструмент командного рядка, який можна використовувати для виявлення, встановлення, оновлювати, видаляти та налаштовувати програми, і його можна використовувати як дистрибутив канал для програмних пакетів, що містять інструменти та програми. Користувачі не повинні мати доступ до цих типів інструментів розробки.

Користувачі не матимуть доступу до інструменту командного рядка, крила для виявлення, встановлення, оновлювати, видаляти, налаштовувати або розповсюджувати програми.

18.10.18.2 Переконайтеся, що для параметра «Увімкнути експериментальні функції інсталятора програми» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи можуть користувачі вмикати експериментальні функції в Менеджер пакетів Windows. Рекомендований стан для цього параметра – Вимкнено.

Windows Package Manager — це інструмент командного рядка, який можна використовувати для виявлення, встановлення, оновлювати, видаляти та налаштовувати програми, і його можна використовувати як дистрибутив канал для програмних пакетів, що містять інструменти та програми. Користувачі не повинні мати доступ до експериментальних функцій.

Користувачі не матимуть доступу до експериментальних функцій в інструменті командного рядка, winget to виявляти, встановлювати, оновлювати, видаляти, налаштовувати або розповсюджувати програми.

18.10.18.3 Переконайтеся, що для параметра «Увімкнути заміну хешу інсталятора програми» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи можуть користувачі перевизначати захист SHA256 перевірка в налаштуваннях Windows Package Manager. Рекомендований стан для цього параметра: вимкнено.

Користувачі не повинні мати можливість перевизначати перевірку безпеки SHA256.

Користувачі не матимуть можливості змінити перевірку безпеки SHA256.