2. Локальні політики безпеки

2.2.1 Переконайтеся, що для параметра «Доступ до диспетчера облікових даних як надійного абонента» встановлено значення «Ніхто» (Автоматизовано)

Оригінал: Ensure ‘Access Credential Manager as a trusted caller’ is set to ‘No One’ (Automated)

Цей параметр безпеки використовується диспетчером облікових даних під час резервного копіювання та відновлення. немає облікові записи повинні мати це право користувача, оскільки воно призначається лише Winlogon. Користувачів збережено облікові дані можуть бути скомпрометовані, якщо це право користувача призначено іншим особам. Рекомендований стан для цього параметра: нікого.

Якщо обліковому запису надано це право, користувач облікового запису може створити програму, яка викликає диспетчер облікових даних і повертає облікові дані для іншого користувача.

Немає – це типова поведінка.

Значення за замовчуванням: ніхто

2.2.2 Переконайтеся, що для параметра «Доступ до цього комп’ютера з мережі» встановлено значення «Адміністратори, користувачі віддаленого робочого стола» (Автоматизовано)

Оригінал: Ensure ‘Access this computer from the network’ is set to ‘Administrators, Remote Desktop Users’ (Automated)

Цей параметр політики дозволяє іншим користувачам мережі підключатися до комп’ютера вимагається різними мережевими протоколами, які включають серверні блоки повідомлень (SMB). протоколи, NetBIOS, Загальна файлова система Інтернету (CIFS) і компонентний об’єкт Модель Плюс (COM+). Рекомендований стан для цього параметра: адміністратори, користувачі віддаленого робочого стола. Примітка. Якщо ваша організація використовує Microsoft Defender for Identity (раніше Azure Advanced Threat Protection (Azure ATP)), захисник (назви організації). Обліковому запису Identity Directory Service (DSA) також потрібно буде надати такий же доступ цього комп’ютера з мережі Присвоєння прав користувача. Для отримання додаткової інформації про додавання облікового запису служби див. Переконайтеся, що DSA має доступ комп’ютерів із мережі в Microsoft Defender for Identity | Microsoft Docs.

Користувачі, які можуть підключатися зі свого комп’ютера до мережі, можуть отримати доступ до ресурсів на цільовими комп’ютерами, на які вони мають дозвіл. Наприклад, доступ до цього права користувача комп’ютера з мережі потрібні для підключення до спільних принтерів і папки. Якщо це право користувача призначено групі «Усі», то буде призначено будь-кому може читати файли в цих спільних папках. Однак така ситуація малоймовірна для нового встановлення Windows Server 2003 із пакетом оновлень 1 (SP1), оскільки за замовчуванням спільний доступ і дозволи NTFS у Windows Server 2003 не включають Усі група. Ця вразливість може мати вищий рівень ризику для комп’ютерів, які ви оновлюєте з Windows NT 4.0 або Windows 2000, тому що дозволи за замовчуванням для них операційні системи не такі обмежені, як дозволи за замовчуванням у Windows Server 2003 рік.

Якщо ви видалите доступ до цього комп’ютера від користувача мережі безпосередньо в домені Контролери для всіх користувачів, ніхто не зможе увійти в домен або використовувати мережу ресурси. Якщо ви видалите цього користувача прямо на рядових серверах, користувачі не зможуть цього зробити підключитися до цих серверів через мережу. Успішне узгодження IPsec підключення вимагає, щоб машина-ініціатор мала це право, тому, якщо використовується IPsec, це Рекомендується призначити його групі Authenticated Users. Якщо у вас є встановлені додаткові компоненти, такі як ASP.NET або Internet Information Services (IIS), вам може знадобитися призначити цьому користувачеві право на додаткові облікові записи, які потрібні тим компоненти. Важливо переконатися, що авторизованим користувачам призначено це право користувача для комп’ютерів, необхідних для доступу до мережі.

Значення за замовчуванням: Адміністратори, оператори резервного копіювання, усі, користувачі.

2.2.3 Переконайтеся, що для параметра «Діяти як частина операційної системи» встановлено значення «Ніхто» (Автоматизовано)

Оригінал: Ensure ‘Act as part of the operating system’ is set to ‘No One’ (Automated)

Цей параметр політики дозволяє процесу присвоювати ідентичність будь-якого користувача й, таким чином, вигравати доступ до ресурсів, до яких користувач має право доступу. Рекомендований стан для цього параметра: нікого. Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.

Закон як частина права користувача операційної системи є надзвичайно потужним. Будь-хто з це право користувача може отримати повний контроль над комп’ютером і стерти докази свого діяльності.

Вплив має бути невеликим або взагалі відсутнім, оскільки дія є частиною операційної системи права користувача рідко потрібні будь-яким обліковим записам, крім облікового запису локальної системи, яка імпліцитно має це право.

Значення за замовчуванням: ніхто

2.2.4 Переконайтеся, що для параметра «Налаштувати квоти пам’яті для процесу» встановлено значення «Адміністратори, ЛОКАЛЬНА СЛУЖБА, МЕРЕЖНА СЛУЖБА» (Автоматизовано)

Оригінал: Ensure ‘Adjust memory quotas for a process’ is set to ‘Administrators, LOCAL SERVICE, NETWORK SERVICE’ (Automated)

Цей параметр політики дозволяє користувачеві регулювати максимальний обсяг пам’яті доступні для процесу. Можливість регулювати квоти пам’яті корисна для налаштування системи, але цим можна зловживати. У чужих руках це може бути використано для запуску системи відмови в обслуговуванні (DoS) атака. Рекомендований стан для цього параметра: адміністратори, ЛОКАЛЬНА СЛУЖБА, СЕРВІС МЕРЕЖІ.

Користувач із правом Налаштувати квоти пам’яті для процесу може зменшити обсяг пам’яті, доступний для будь-якого процесу, що може стати критичним для бізнесу мережеві програми стають повільними або виходять з ладу. У чужих руках цей привілей міг використовувати для початку DoS-атаки.

Організації, які не обмежили користувачів ролями з обмеженими привілеями, знайдуть його важко застосувати цей контрзахід. Крім того, якщо ви встановили додаткові компоненти наприклад ASP.NET або IIS, вам може знадобитися призначити Налаштувати квоти пам’яті для a обробляти права користувача на додаткові облікові записи, які потрібні цим компонентам. В іншому випадку цей контрзахід не матиме впливу на більшість комп’ютерів. Якщо цей користувач право необхідне для облікового запису користувача, його можна призначити обліковому запису локального комп’ютера замість облікового запису домену.

Значення за замовчуванням: Адміністратори, ЛОКАЛЬНА СЛУЖБА, СЛУЖБА МЕРЕЖІ.

2.2.5 Переконайтеся, що для параметра «Дозволити локальний вхід» встановлено значення «Адміністратори, користувачі» (Автоматизовано)

Оригінал: Ensure ‘Allow log on locally’ is set to ‘Administrators, Users’ (Automated)

Цей параметр політики визначає, які користувачі можуть інтерактивно входити до комп’ютерів у вашому середовище. Вхід, який ініціюється натисканням клавіш CTRL+ALT+DEL на клавіатурі клієнтського комп’ютера вимагають це право користувача. Користувачі, які намагаються увійти через служби терміналів/служби віддаленого робочого стола або IIS також вимагають це право користувача. Рекомендований стан для цього параметра: адміністратори, користувачі. Примітка. Обліковий запис гостя також має це право за замовчуванням. Хоча це обліковий запис вимкнено за замовчуванням, рекомендується налаштувати цей параметр за допомогою Групова політика. Однак це право користувача, як правило, має бути обмежено до Групи адміністраторів і користувачів. Призначте цьому користувачу право операторів резервного копіювання групи, якщо ваша організація вимагає, щоб вони мали таку можливість.

Будь-який обліковий запис із правом користувача «Дозволити локальний вхід» може увійти в систему з консолі комп’ютер. Якщо ви не обмежите це право користувача законними користувачами, які повинні мати можливість увійти в консоль комп’ютера, неавторизовані користувачі можуть завантажити та запустити шкідливе програмне забезпечення для підвищення їхніх привілеїв.

Якщо видалити ці групи за замовчуванням, ви можете обмежити можливості користувачів, які є призначені певним адміністративним ролям у вашому середовищі. Ви повинні це підтвердити на делеговані дії не вплинуть негативно будь-які зміни, які ви внесете в Дозволити локальний вхід користувача з правами.

Значення за замовчуванням: Адміністратори, оператори резервного копіювання, гості, користувачі.

2.2.6 Переконайтеся, що для параметра «Дозволити вхід через служби віддаленого робочого стола» встановлено значення «Адміністратори, користувачі віддаленого робочого стола» (Автоматизовано)

Оригінал: Ensure ‘Allow log on through Remote Desktop Services’ is set to ‘Administrators, Remote Desktop Users’ (Automated)

Цей параметр політики визначає, які користувачі або групи мають право входити як a Клієнт служб віддаленого робочого стола. Якщо ваша організація використовує віддалену допомогу як частину свою стратегію служби підтримки, створіть групу та призначте їй цього користувача прямо через групову політику. Якщо служба підтримки у вашій організації не використовує віддалену допомогу, призначте цього користувача лише для групи адміністраторів або скористайтеся функцією груп з обмеженим доступом що облікові записи користувачів не входять до групи користувачів віддаленого робочого стола. Обмежте права цього користувача групою адміністраторів і, можливо, Remote Група користувачів робочого столу, щоб запобігти небажаним користувачам отримати доступ до комп’ютерів на вашої мережі за допомогою функції віддаленої допомоги. Рекомендований стан для цього параметра: адміністратори, користувачі віддаленого робочого стола. Примітка. Наведений вище список слід розглядати як білий список, що означає, що вищезазначене директорам не обов’язково бути присутніми для оцінки цієї рекомендації. Примітка №2. Служби віддаленого робочого стола в усіх версіях Windows до Windows 7 був відомий як Terminal Services, тому вам слід замінити старіший термін під час порівняння проти старішої ОС.

Будь-який обліковий запис із правом користувача «Дозволити вхід через служби віддаленого робочого стола» може увійдіть до віддаленої консолі комп’ютера. Якщо ви не обмежите права цього користувача на законні користувачі, яким необхідно увійти в консоль комп’ютера, неавторизовані користувачі могли завантажувати та запускати зловмисне програмне забезпечення для підвищення своїх привілеїв.

Видалення параметра «Дозволити вхід через службу віддаленого робочого стола» прямо з іншого групи або зміни членства в цих групах за замовчуванням можуть обмежити можливості користувачів які виконують певні адміністративні функції у вашому середовищі. Ви повинні це підтвердити делегована діяльність не зазнає негативного впливу.

Значення за замовчуванням: Адміністратори, користувачі віддаленого робочого столу.

2.2.7 Переконайтеся, що для параметра «Резервне копіювання файлів і каталогів» встановлено значення «Адміністратори» (Автоматизовано)

Оригінал: Ensure ‘Back up files and directories’ is set to ‘Administrators’ (Automated)

Цей параметр політики дозволяє користувачам обходити дозволи на файли та каталоги для резервного копіювання система. Це право користувача ввімкнено лише тоді, коли програма (наприклад, NTBACKUP) намагається отримати доступ до файлу або каталогу через програму резервного копіювання файлової системи NTFS інтерфейс програмування (API). В іншому випадку призначені дозволи на файл і каталог застосувати. Рекомендований стан для цього параметра: адміністратори. Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.

Користувачі, які можуть створювати резервні копії даних із комп’ютера, можуть віднести носій резервних копій до a комп’ютер поза доменом, на якому вони мають права адміністратора та відновлюють даних. Вони можуть отримати право власності на файли та переглядати будь-які незашифровані дані, які є міститься в наборі резервних копій.

Зміни в членстві груп, які мають резервні копії файлів і каталогів права користувача можуть обмежувати можливості користувачів, яким призначено певні адміністратори ролі у вашому оточенні. Ви повинні підтвердити, що авторизовані адміністратори резервного копіювання все ще можуть виконувати операції резервного копіювання.

Значення за замовчуванням: Адміністратори, оператори резервного копіювання.

2.2.8 Переконайтеся, що для пункту «Змінити системний час» встановлено значення «Адміністратори, ЛОКАЛЬНА СЛУЖБА» (Автоматизовано)

Оригінал: Ensure ‘Change the system time’ is set to ‘Administrators, LOCAL SERVICE’ (Automated)

Цей параметр політики визначає, які користувачі та групи можуть змінювати час і дату внутрішній годинник комп’ютерів у вашому оточенні. Користувачі, яким це призначено права користувача можуть впливати на вигляд журналів подій. Коли на комп’ютері встановлено час змінені, зареєстровані події відображають новий час, а не фактичний час подій сталося. Рекомендований стан для цього параметра: адміністратори, ЛОКАЛЬНА СЛУЖБА. Примітка. Розбіжності між часом на локальному комп’ютері та в домені Контролери у вашому середовищі можуть спричинити проблеми з автентифікацією Kerberos протоколу, який може унеможливити вхід користувачів у домен або отримання авторизація доступу до ресурсів домену після входу в систему. Також будуть проблеми виникає, коли групова політика застосовується до клієнтських комп’ютерів, якщо системний час не застосовується синхронізовано з контролерами домену.

Користувачі, які можуть змінювати час на комп’ютері, можуть спричинити кілька проблем. для наприклад, мітки часу на записах журналу подій можуть бути неточними, мітки часу ввімкнено файли та папки, які створюються або змінюються, можуть бути неправильними, а комп’ютери, які належать до домену, можливо, не зможуть автентифікувати себе або користувачів, які намагаються увійти на домен від них. Крім того, через протокол автентифікації Kerberos вимагає, щоб запитувач і автентифікатор синхронізували свої годинники в межах визначений адміністратором період перекосу, загроза, яка змінює час комп’ютера, може призвести до того, що комп’ютер не зможе отримати або надати квитки Kerberos. Ризик від цих типів подій зменшено на більшості контролерів домену, учасників Сервери та комп’ютери кінцевих користувачів, оскільки служба часу Windows автоматично синхронізує час із контролерами домену такими способами: • Усі клієнтські настільні комп’ютери та рядові сервери використовують домен автентифікації Контролер як їхній вхідний часовий партнер. • Усі контролери домену в домені призначають основний контролер домену (PDC) Головний операційний емулятор як їхній вхідний часовий партнер. • Усі майстри операцій емулятора PDC дотримуються ієрархії доменів у вибір свого партнера по вхідному часу. • Майстер операцій емулятора PDC у корені домену є авторитетним для організації. Тому рекомендується налаштувати цей комп’ютер для синхронізації з надійним зовнішнім сервером часу. Ця вразливість стає набагато серйознішою, якщо суб’єкт загрози може змінити системного часу, а потім зупиніть службу часу Windows або повторно налаштуйте її для синхронізації з неточним сервером часу.

Не повинно бути ніякого впливу, оскільки синхронізація часу для більшості організацій має бути бути повністю автоматизованим для всіх комп’ютерів, які належать до домену. Комп’ютери, які цього не роблять належать до домену, має бути налаштовано для синхронізації із зовнішнім джерелом.

Значення за замовчуванням: Адміністратори, МІСЦЕВА СЛУЖБА.

2.2.9 Переконайтеся, що для параметра «Створити файл сторінки» встановлено значення «Адміністратори» (Автоматизовано)

Оригінал: Ensure ‘Create a pagefile’ is set to ‘Administrators’ (Automated)

Цей параметр політики дозволяє користувачам змінювати розмір файлу сторінки. Файл сторінки є a прихований системний файл на жорсткому диску, який є розширенням оперативної пам’яті системи. Коли фізична пам’ять заповнена, система переміщує на сторінку дані, які рідше використовуються файл, щоб звільнити оперативну пам’ять для активних процесів Рекомендований стан для цього параметра: адміністратори.

Користувачі, які можуть змінювати розмір файлу сторінки, можуть зробити його дуже маленьким або перемістити файл до сильно фрагментованого обсягу пам’яті, що може призвести до зменшення комп’ютера продуктивність.

Немає – це типова поведінка.

Значення за замовчуванням: Адміністратори.

2.2.10 Переконайтеся, що для параметра «Створити об’єкт маркера» встановлено значення «Ніхто» (Автоматизовано)

Оригінал: Ensure ‘Create a token object’ is set to ‘No One’ (Automated)

Цей параметр політики дозволяє процесу створити маркер доступу, який може надавати розширені права доступу до конфіденційних даних. Рекомендований стан для цього параметра: нікого. Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.

Обліковий запис користувача, якому надано це право користувача, має повний контроль над системою та може призвести до зламу системи. Настійно не рекомендується цього робити призначати це право будь-яким обліковим записам користувачів. Операційна система перевіряє маркер доступу користувача, щоб визначити рівень привілеї користувача. Маркери доступу створюються, коли користувачі входять до локального комп’ютера або підключитися до віддаленого комп’ютера через мережу. Коли ви відкликаєте привілей, зміна негайно записується, але зміна не відображається в маркері доступу користувача до під час наступного входу або підключення користувача. Користувачі з можливістю створювати або змінювати токени можуть змінювати рівень доступу для будь-якого облікового запису, у який ви ввійшли. Вони могли підвищити власні привілеї або створити умову DoS.

Немає – це типова поведінка.

Значення за замовчуванням: ніхто

2.2.11 Переконайтеся, що для параметра «Створити глобальні об’єкти» встановлено значення «Адміністратори, ЛОКАЛЬНА СЛУЖБА, МЕРЕЖНА СЛУЖБА, СЛУЖБА» (Автоматизовано)

Оригінал: Ensure ‘Create global objects’ is set to ‘Administrators, LOCAL SERVICE, NETWORK SERVICE, SERVICE’ (Automated)

Цей параметр політики визначає, чи можуть користувачі створювати доступні глобальні об’єкти на всі сесії. Користувачі все одно можуть створювати об’єкти, які стосуються їх власного сеансу, якщо вони не мають права цього користувача. Користувачі, які можуть створювати глобальні об’єкти, можуть впливати на процеси, які виконуються під керуванням інших користувачів сесії. Ця можливість може призвести до різноманітних проблем, наприклад до збою програми або пошкодження даних. Рекомендований стан для цього параметра: адміністратори, ЛОКАЛЬНА СЛУЖБА, СЕРВІС МЕРЕЖІ, СЕРВІС.

Користувачі, які можуть створювати глобальні об’єкти, можуть впливати на служби та процеси Windows запускати під обліковими записами інших користувачів або системи. Ця здатність може призвести до різноманітних проблеми, такі як збій програми, пошкодження даних і підвищення привілеїв.

Немає – це типова поведінка.

Значення за замовчуванням: Адміністратори, МІСЦЕВА СЛУЖБА, СЛУЖБА МЕРЕЖІ, СЕРВІС.

2.2.12 Переконайтеся, що для параметра «Створювати постійні спільні об’єкти» встановлено значення «Ніхто» (Автоматизовано)

Оригінал: Ensure ‘Create permanent shared objects’ is set to ‘No One’ (Automated)

Це право користувача корисне для компонентів режиму ядра, які розширюють простір імен об’єктів. Однак компоненти, які працюють у режимі ядра, мають це право користувача. тому зазвичай немає необхідності спеціально призначати це право користувача. Рекомендований стан для цього параметра: нікого.

Користувачі, які мають право на створення постійних спільних об’єктів, можуть створювати нові спільні об’єкти та надавати конфіденційні дані мережі.

Немає – це типова поведінка.

Значення за замовчуванням: ніхто

2.2.13 Переконайтеся, що для параметра «Створювати символічні посилання» встановлено значення «Адміністратори» (Автоматизовано)

Оригінал: Ensure ‘Create symbolic links’ is set to ‘Administrators’ (Automated)

Цей параметр політики визначає, які користувачі можуть створювати символічні посилання. У Windows Vista, наявні об’єкти файлової системи NTFS, такі як файли та папки, доступні за допомогою посилаючись на новий вид об’єкта файлової системи, який називається символічним посиланням. Символічне посилання — це a покажчик (подібно до ярлика або файлу .lnk) на інший об’єкт файлової системи, який може бути a файл, папку, ярлик або інше символічне посилання. Різниця між ярликом і a символічне посилання полягає в тому, що ярлик працює лише всередині оболонки Windows. До іншого програми та додатки, ярлики – це просто ще один файл, тоді як із символічними посиланнями, концепція ярлика реалізована як функція файлової системи NTFS. Символічні посилання потенційно можуть виявити вразливість безпеки в програмах, які такими не є призначені для їх використання. З цієї причини привілей для створення символічних посилань має бути призначатися лише довіреним користувачам. За замовчуванням створювати можуть лише адміністратори символічні посилання. Рекомендований стан для цього параметра: адміністратори та (коли Hyper-V функція встановлена) NT VIRTUAL MACHINE\Virtual Machines.

Користувачі, які мають право на створення символічних посилань, можуть випадково чи зловмисно піддавати вашу систему атакам символьних посилань. Атаки за допомогою символічних посилань можна використовувати для змінити дозволи на файл, пошкодити дані, знищити дані або як відмову- служба (DoS) атака.

У більшості випадків це не вплине, оскільки це конфігурація за замовчуванням. Однак на робочих станціях Windows із інстальованою функцією Hyper-V це право користувача також слід надати спеціальній групі NT VIRTUAL MACHINE\Virtual Machines – інакше ви не зможете створювати нові віртуальні машини.

Значення за замовчуванням: Адміністратори.

2.2.14 Переконайтеся, що для параметра «Налагодження програм» встановлено значення «Адміністратори» (Автоматизовано)

Оригінал: Ensure ‘Debug programs’ is set to ‘Administrators’ (Automated)

Цей параметр політики визначає, які облікові записи користувачів матимуть право приєднувати a налагоджувача до будь-якого процесу або до ядра, що забезпечує повний доступ до конфіденційних і критичні компоненти операційної системи. Розробники, які самостійно налагоджують програмам не потрібно призначати це право користувача; однак розробники, які є для налагодження нових компонентів системи це знадобиться. Рекомендований стан для цього параметра: адміністратори. Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.

Право користувача Debug programs можна використати для захоплення чутливого комп’ютера інформації з системної пам’яті або для доступу та зміни ядра чи програми структур. Деякі інструменти атаки використовують це право користувача для отримання хешованих паролів і іншу приватну інформацію безпеки або вставити код руткіта. За замовчуванням налагодження права користувача програм призначаються лише адміністраторам, що допомагає знизити ризик від цієї вразливості.

Якщо ви відкликаєте це право користувача, ніхто не зможе налагоджувати програми. Однак типовий обставини рідко вимагають цієї можливості на робочих комп’ютерах. Якщо виникне проблема який вимагає налагодження програми на робочому сервері, ви можете перемістити тимчасово зв’яжіть сервер із іншим OU та призначте право користувача програм налагодження a окрему групову політику для цього OU. Обліковий запис служби, який використовується для служби кластера, потребує програм налагодження право користувача; якщо його немає, Windows Clustering не вийде. Інструменти, які використовуються для керування процесами, не зможуть впливати на процеси, які не використовуються належить особі, яка керує інструментами. Наприклад, Windows Server 2003 Інструмент Resource Kit Kill.exe потребує цього права користувача, щоб адміністратори припинили роботу процеси, які вони не запускали.

Значення за замовчуванням: Адміністратори.

2.2.15 Переконайтеся, що «Заборонити доступ до цього комп’ютера з мережі», щоб включити «Гості» (Автоматизовано)

Оригінал: Ensure ‘Deny access to this computer from the network’ to include ‘Guests’ (Automated)

Цей параметр політики забороняє користувачам підключатися до комп’ютера з іншого боку мережі, яка дозволить користувачам отримувати доступ і потенційно змінювати дані віддалено. в у середовищі з високим рівнем безпеки, віддаленим користувачам не повинно бути доступу до даних комп’ютер. Натомість обмін файлами має здійснюватися через використання мережі серверів. Це право користувача замінює доступ до цього комп’ютера від користувача мережі правильно, якщо на обліковий запис поширюються обидві політики. Рекомендований стан для цього параметра: гості. Примітка. Ідентифікатор безпеки Локальний обліковий запис недоступний у Windows 7 і Windows 8.0, якщо не встановлено MSKB 2871997.

Користувачі, які можуть увійти до комп’ютера через мережу, можуть пронумерувати списки облікових записів імена, назви груп і спільні ресурси. Користувачі з дозволом на спільний доступ папки та файли можуть підключатися через мережу та, можливо, переглядати або змінювати дані.

Якщо ви налаштуєте право Заборонити доступ до цього комп’ютера для користувача мережі інших груп, ви можете обмежити можливості користувачів, призначених до певних адміністративні ролі у вашому середовищі. Ви повинні переконатися, що делеговані завдання не будуть мати негативний вплив.

Значення за замовчуванням: Гість.

2.2.16 Переконайтеся, що «Заборонити вхід як пакетне завдання» включити «Гості» (Автоматизовано)

Оригінал: Ensure ‘Deny log on as a batch job’ to include ‘Guests’ (Automated)

Цей параметр політики визначає, які облікові записи не зможуть увійти на комп’ютер як пакетне завдання. Пакетне завдання — це не пакетний файл (.bat), а засіб пакетної черги. Облікові записи, які використовують планувальник завдань для планування завдань, потребують цього права користувача. Це право користувача замінює право користувача «Увійти як пакетне завдання», яке можна використовувати дозволити обліковим записам планувати завдання, які споживають надмірні системні ресурси. Такий подія може спричинити стан DoS. Неможливість призначити цьому користувачу право на рекомендовані облікові записи можуть становити загрозу безпеці. Рекомендований стан для цього параметра: гості.

Облікові записи, які мають право користувача «Увійти як пакетне завдання», можна використовувати для планування завдання, які можуть споживати надмірні ресурси комп’ютера та спричинити стан DoS.

Якщо ви призначите право заборонити вхід як користувачу пакетного завдання іншим обліковим записам, ви зможете заборонити користувачам, яким призначено певні адміністративні ролі, виконувати їх обов’язкова трудова діяльність. Ви повинні підтвердити, що це не вплине на делеговані завдання несприятливо. Наприклад, якщо ви призначите цьому користувачеві право облікового запису IWAM_(Ім’я комп’ютера), MSM Management Point не вийде. На щойно встановленому комп’ютері під керуванням Windows Server 2003 цей обліковий запис не належить до групи гостей, але на комп’ютері, який було оновлено з Windows 2000, цей обліковий запис є членом групи гостей. Тому важливо розуміти, які облікові записи належать до будь-яких груп ви призначаєте право користувача «Заборонити вхід» як пакетне завдання.

Значення за замовчуванням: ніхто

2.2.17 Переконайтеся, що «Заборонити вхід як послугу», щоб включити «Гості» (Автоматизовано)

Оригінал: Ensure ‘Deny log on as a service’ to include ‘Guests’ (Automated)

Цей параметр безпеки визначає, які облікові записи служб заборонено реєструвати процес як послуга. Це право користувача замінює право Увійти як користувач служби, якщо на обліковий запис поширюються обидві політики. Рекомендований стан для цього параметра: гості. Примітка. Цей параметр безпеки не застосовується до системи, локальної служби або мережі Сервісні облікові записи.

Облікові записи, які можуть входити як служба, можна використовувати для налаштування та запуску нового неавторизовані служби, такі як кейлоггер або інше шкідливе програмне забезпечення. Користь від зазначений контрзахід дещо зменшується тим, що лише користувачі с адміністративні привілеї можуть встановлювати та налаштовувати служби, а також суб’єкт загрози, який має вже досягнувши цього рівня доступу, можна налаштувати службу для роботи з Системою рахунок.

Якщо ви призначаєте право «Заборонити вхід як користувач служби» певним обліковим записам, службам можливо, не вдасться запустити, і це може призвести до стану DoS.

Значення за замовчуванням: ніхто

2.2.18 Переконайтеся, що «Заборонити локальний вхід» для включення «Гостей» (Автоматизовано)

Оригінал: Ensure ‘Deny log on locally’ to include ‘Guests’ (Automated)

Цей параметр безпеки визначає, яким користувачам заборонено входити в систему комп’ютер. Цей параметр політики замінює параметр політики «Дозволити локальний вхід», якщо на обліковий запис поширюються обидві політики. Рекомендований стан для цього параметра: гості. Важливо: якщо застосувати цю політику безпеки до групи «Усі», ніхто не зможе увійдіть локально.

Будь-який обліковий запис із можливістю локального входу можна використовувати для входу на консолі комп’ютер. Якщо це право користувача не обмежено законними користувачами, яким потрібно ввійти в систему на консолі комп’ютера, неавторизовані користувачі можуть завантажувати та запускати зловмисні програми програмне забезпечення, яке підвищує їхні привілеї.

Якщо ви призначите право заборонити вхід локального користувача додатковим обліковим записам, ви можете обмежити можливості користувачів, яким призначено певні ролі у вашому середовищі. однак, це право користувача має бути явно призначено обліковому запису ASPNET на комп’ютерах, які запустити IIS 6.0. Ви повинні підтвердити, що це не вплине негативно на делеговані дії.

Значення за замовчуванням: Гість.

2.2.19 Переконайтеся, що «Заборонити вхід через служби віддаленого робочого столу» включити «Гості» (Автоматизовано)

Оригінал: Ensure ‘Deny log on through Remote Desktop Services’ to include ‘Guests’ (Automated)

Цей параметр політики визначає, чи можуть користувачі входити в систему як клієнти віддаленого робочого стола. Після того як базову робочу станцію приєднано до доменного середовища, у цьому немає потреби використовувати локальні облікові записи для доступу до робочої станції з мережі. Облікові записи домену можуть доступ до робочої станції для адміністрування та обробки кінцевим користувачем. Це право користувача замінює право користувача «Дозволити вхід через служби віддаленого робочого стола», якщо на обліковий запис поширюються обидві політики. Рекомендований стан для цього параметра: гості. Примітка. Ідентифікатор безпеки Локальний обліковий запис недоступний у Windows 7 і Windows 8.0, якщо не встановлено MSKB 2871997. Примітка №2. Служби віддаленого робочого стола в усіх версіях Windows до Windows 7 був відомий як Terminal Services, тому вам слід замінити старіший термін під час порівняння проти старішої ОС.

Можна використовувати будь-який обліковий запис із правом входу через служби віддаленого робочого стола увійдіть до віддаленої консолі комп’ютера. Якщо це право користувача не обмежено законні користувачі, яким необхідно увійти в консоль комп’ютера, неавторизовані користувачі можуть завантажувати та запускати шкідливе програмне забезпечення, яке підвищує їхні привілеї.

Якщо ви призначаєте право користувача «Заборонити вхід через служби віддаленого робочого стола» іншому груп, ви можете обмежити можливості користувачів, яким призначено певні адміністратори ролі у вашому оточенні. Облікові записи, які мають це право користувача, не зможуть підключитися комп’ютера за допомогою служб віддаленого робочого стола або віддаленої допомоги. Ви повинні підтвердити, що делеговані завдання не зазнають негативного впливу. Застереження: Налаштування автономної (не приєднаної до домену) системи або системи, розміщеної в Хмара (Azure), як описано вище (локальний обліковий запис), призведе до неможливості дистанційного керування адмініструвати робочу станцію.

Значення за замовчуванням: ніхто

2.2.20 Переконайтеся, що для пункту «Увімкнути довіру для делегування облікових записів комп’ютера та користувача» встановлено значення «Ніхто» (Автоматизовано)

Оригінал: Ensure ‘Enable computer and user accounts to be trusted for delegation’ is set to ‘No One’ (Automated)

Цей параметр політики дозволяє користувачам змінювати параметр «Довірено для делегування» на a комп’ютерний об’єкт в Active Directory. Рекомендований стан для цього параметра: нікого. Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.

Зловживання цим правом користувача може дозволити неавторизованим користувачам видавати себе за інших користувачів на мережі. Зловмисник може скористатися цим привілеєм, щоб отримати доступ до мережі ресурси та ускладнюють визначення того, що сталося після інциденту безпеки.

Немає – це типова поведінка.

Значення за замовчуванням: ніхто

2.2.21 Переконайтеся, що для параметра «Примусове завершення роботи з віддаленої системи» встановлено значення «Адміністратори» (Автоматизовано)

Оригінал: Ensure ‘Force shutdown from a remote system’ is set to ‘Administrators’ (Automated)

Цей параметр політики дозволяє користувачам вимикати комп’ютери під керуванням Windows Vista або новіших з віддалених місць у мережі. Усі, кому було призначено це право користувача може спричинити стан відмови в обслуговуванні (DoS), який зробить комп’ютер недоступний для обслуговування запитів користувачів. Тому рекомендується лише високо довіреним адміністраторам призначити це право користувача. Рекомендований стан для цього параметра: адміністратори.

Будь-який користувач, який може вимкнути комп’ютер, може викликати стан DoS. Тому це право користувача має бути жорстко обмежено.

Якщо ви знімете примусове завершення роботи від віддаленого користувача системи прямо з сервера Групою операторів ви можете обмежити можливості користувачів, яким призначено конкретні адміністративні ролі у вашому середовищі. Ви повинні підтвердити, що делеговані дії не матиме негативного впливу.

Значення за замовчуванням: Адміністратори.

2.2.24 Переконайтеся, що для параметра «Збільшити пріоритет планування» встановлено значення «Адміністратори, диспетчер вікон\група диспетчерів вікон» (Автоматизовано)

Оригінал: Ensure ‘Increase scheduling priority’ is set to ‘Administrators, Window Manager\Window Manager Group’ (Automated)

Цей параметр політики визначає, чи можуть користувачі підвищувати базовий клас пріоритету a процес. (Збільшення відносного пріоритету в межах пріоритету не є привілейованою операцією клас.) Це право користувача не вимагається інструментами адміністрування, які постачаються з операційна система, але може знадобитися інструментам розробки програмного забезпечення. Рекомендований стан для цього параметра: адміністратори, вікно Менеджер\Група менеджерів вікон.

Користувач, якому призначено це право користувача, може збільшити пріоритет планування a процес у реальному часі, що залишило б мало часу на обробку для всіх інших процесів і може призвести до стану DoS.

Немає – це типова поведінка.

Значення за замовчуванням: У Windows 10 R1607 або старіших: адміністратори. У Windows 10 R1703 або новішій: Адміністратори, Диспетчер вікон\Група диспетчерів вікон.

2.2.25 Переконайтеся, що для параметра «Завантажувати та вивантажувати драйвери пристроїв» встановлено значення «Адміністратори» (Автоматизовано)

Оригінал: Ensure ‘Load and unload device drivers’ is set to ‘Administrators’ (Automated)

Цей параметр політики дозволяє користувачам динамічно завантажувати новий драйвер пристрою в систему. Це право користувача не потрібне, якщо підписаний драйвер для нового обладнання вже існує файл Driver.cab у системі. Рекомендований стан для цього параметра: адміністратори. Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.

Драйвери пристроїв запускаються як код із високими привілейованими правами. Користувач або загрозливий актор, який має навантаження і вивантажувати драйвери пристроїв, право користувача може ненавмисно встановити шкідливий код, який маскується під драйвер пристрою. Адміністратори повинні бути більш уважними та встановлювати тільки драйвери з перевіреними цифровими підписами.

Якщо право користувача Завантажувати та вивантажувати драйвери пристроїв видаляється з операторів друку групи чи інших облікових записів, це може обмежити можливості користувачів, яким призначено певні адміністративні ролі у вашому середовищі. Переконайтеся, що делегованих завдань не буде негативно впливає це налаштування.

Значення за замовчуванням: Адміністратори.

2.2.26 Переконайтеся, що для параметра «Блокувати сторінки в пам’яті» встановлено значення «Ніхто» (Автоматизовано)

Оригінал: Ensure ‘Lock pages in memory’ is set to ‘No One’ (Automated)

Цей параметр політики дозволяє процесу зберігати дані у фізичній пам’яті, що запобігає система з переміщення даних у віртуальну пам’ять на диску. Якщо це право користувача призначено, може статися значне погіршення продуктивності системи. Рекомендований стан для цього параметра: нікого.

Користувачі з правом користувача «Блокувати сторінки в пам’яті» можуть призначати фізичну пам’ять кілька процесів, які можуть залишити мало або зовсім не залишити оперативну пам’ять для інших процесів і призвести до стан DoS.

Немає – це типова поведінка.

Значення за замовчуванням: ніхто

2.2.27 Переконайтеся, що для параметра «Увійти як пакетне завдання» встановлено значення «Адміністратори» (Автоматизовано)

Оригінал: Ensure ‘Log on as a batch job’ is set to ‘Administrators’ (Automated)

Цей параметр політики дозволяє обліковим записам входити в систему за допомогою служби планувальника завдань. Тому що Планувальник завдань часто використовується в адміністративних цілях, він може знадобитися в корпоративні середовища. Однак його використання має бути обмежене високим рівнем безпеки середовища, щоб запобігти неправильному використанню системних ресурсів або запобігти загрозам використання права запуску шкідливого коду після отримання доступу до комп’ютера на рівні користувача. Рекомендований стан для цього параметра: адміністратори.

Право користувача «Увійти як пакетне завдання» є вразливістю з низьким рівнем ризику. Для більшості організацій, налаштувань за замовчуванням достатньо.

Якщо ви налаштуєте параметр «Вхід як пакетне завдання» за допомогою групових політик на основі домену, комп’ютер не зможе призначити права користувача на облікові записи, які використовуються для заплановані завдання в планувальнику завдань. Якщо ви встановлюєте додаткові компоненти, наприклад ASP.NET або IIS, вам може знадобитися призначити цьому користувачу право додатковим обліковим записам, які є необхідні цими компонентами. Наприклад, IIS вимагає призначення цього права користувача до групи IIS_WPG і IUSR_(ім’я комп’ютера), ASPNET і Облікові записи IWAM_(ім’я комп’ютера). Якщо це право користувача не призначено цій групі і цих облікових записів IIS не зможе запустити деякі об’єкти COM, які необхідні для належну функціональність.

Значення за замовчуванням: Адміністратори, оператори резервного копіювання, користувачі журналу продуктивності.

2.2.28 Переконайтеся, що для параметра «Увійти як служба» встановлено значення «Ніхто» (Автоматизовано)

Оригінал: Ensure ‘Log on as a service’ is set to ‘No One’ (Automated)

Цей параметр політики дозволяє обліковим записам запускати мережеві служби або реєструвати процес як службу, що працює в системі. Це право користувача має бути обмежено для будь-якого комп’ютер у середовищі високого рівня безпеки, але тому, що багато програм можуть вимагати цей привілей, його слід ретельно оцінити та перевірити, перш ніж налаштовувати його в корпоративне середовище. На комп’ютерах під керуванням Windows Vista (або новіших) немає користувачів або групи мають цей привілей за замовчуванням. Рекомендований стан для цього параметра: No One або (якщо функція Hyper-V є встановлено) NT VIRTUAL MACHINE\Virtual Machines або (під час використання Windows Defender Application Guard, наприклад у Windows Security наступного покоління профіль) WDAGUtilityAccount. Примітка. Функцію Hyper-V вперше було представлено на робочих станціях Windows із 64-розрядною версією версії Windows 8.0, тому параметр NT VIRTUAL MACHINE\Virtual Machines підходить не застосовується до Windows 7 (або старіших) версій Windows. Мають бути лише старі ОС налаштовано для No One. Примітка №2. Функцію Windows Defender Application Guard було вперше представлено на Робочі станції Windows із 64-розрядною версією Windows 10, тому Параметр WDAGUtilityAccount не застосовується до 32-розрядних версій Windows.

Увійти як послуга — це потужне право користувача, оскільки воно дозволяє запускати облікові записи мережеві служби або служби, які безперервно працюють на комп’ютері, навіть коли нікого немає увійшов до консолі. Ризик зменшується тим, що лише користувачі з адміністративні привілеї можуть встановлювати та налаштовувати служби. Загрозливий актор, який має вже досягли цього рівня доступу, можна налаштувати службу для роботи з локальним Системний обліковий запис.

Якщо ви встановили додаткові компоненти, такі як ASP.NET або IIS, вам може знадобитися призначити право «Увійти як користувач служби» додатковим обліковим записам, які потрібні ті компоненти. IIS вимагає, щоб це право користувача було явно надано ASPNET обліковий запис користувача. На робочих станціях Windows із інстальованою функцією Hyper-V цей користувач право також слід надати спеціальній групі NT VIRTUAL MACHINE\Virtual Машини.

Значення за замовчуванням: СЕРВІС NT\УСІ СЕРВІСИ

2.2.29 Переконайтеся, що для параметра «Керування журналом аудиту та безпеки» встановлено значення «Адміністратори» (Автоматизовано)

Оригінал: Ensure ‘Manage auditing and security log’ is set to ‘Administrators’ (Automated)

Цей параметр політики визначає, які користувачі можуть змінювати параметри аудиту для файлів і і очистіть журнал безпеки. Рекомендований стан для цього параметра: адміністратори. Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.

Можливість керувати журналом подій безпеки є потужним правом користувача, і це має бути пильно охороняється. Будь-хто з цим правом користувача може очистити журнал безпеки для видалення важливі докази несанкціонованої діяльності.

Немає – це типова поведінка.

Значення за замовчуванням: Адміністратори.

2.2.30 Переконайтеся, що для параметра «Змінити мітку об’єкта» встановлено значення «Ніхто» (Автоматизовано)

Оригінал: Ensure ‘Modify an object label’ is set to ‘No One’ (Automated)

Цей привілей визначає, які облікові записи користувачів можуть змінювати мітку цілісності об’єктів, наприклад файли, ключі реєстру або процеси, що належать іншим користувачам. Запущені процеси під обліковим записом користувача може змінити мітку об’єкта, що належить цьому користувачеві, на нижчу без цього привілею. Рекомендований стан для цього параметра: нікого.

Змінюючи мітку цілісності об’єкта, що належить іншому користувачеві, суб’єкт загрози може змусити їх виконувати код із вищим рівнем привілеїв, ніж призначено.

Немає – це типова поведінка.

Значення за замовчуванням: ніхто

2.2.31 Переконайтеся, що для параметра «Змінити значення мікропрограмного середовища» встановлено значення «Адміністратори» (Автоматизовано)

Оригінал: Ensure ‘Modify firmware environment values’ is set to ‘Administrators’ (Automated)

Цей параметр політики дозволяє користувачам налаштовувати загальносистемні змінні середовища, які впливають на конфігурацію обладнання. Ця інформація зазвичай зберігається в останніх відомих Хороша конфігурація. Зміна цих значень може призвести до збою обладнання це призведе до стану відмови в обслуговуванні. Рекомендований стан для цього параметра: адміністратори. Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.

Будь-хто, кому призначено право користувача змінювати значення середовища мікропрограми, може налаштувати параметри апаратного компонента, щоб спричинити його збій, що може призвести до пошкодження даних або стан DoS.

Немає – це типова поведінка.

Значення за замовчуванням: Адміністратори.

2.2.32 Переконайтеся, що для параметра «Виконувати завдання з обслуговування томів» встановлено значення «Адміністратори» (Автоматизовано)

Оригінал: Ensure ‘Perform volume maintenance tasks’ is set to ‘Administrators’ (Automated)

Цей параметр політики дозволяє користувачам керувати системним томом або конфігурацією диска, що може дозволити користувачеві видалити том і спричинити втрату даних, а також відмову в стан обслуговування. Рекомендований стан для цього параметра: адміністратори. Примітка. Робоча станція з інстальованим Microsoft SQL Server потребує спеціального винятку до цієї рекомендації для облікового запису, який запускає службу SQL Server це право користувача.

Користувач, якому призначено право користувача Виконувати завдання з обслуговування томів, може видалити том, що може призвести до втрати даних або стану DoS.

Немає – це типова поведінка.

Значення за замовчуванням: Адміністратори.

2.2.33 Переконайтеся, що для параметра «Єдиний процес профілю» встановлено значення «Адміністратори» (Автоматизовано)

Оригінал: Ensure ‘Profile single process’ is set to ‘Administrators’ (Automated)

Цей параметр політики визначає, які користувачі можуть використовувати інструменти для моніторингу продуктивності несистемні процеси. Як правило, цей параметр не потрібно налаштовувати для використання Оснастка продуктивності консолі керування Microsoft (MMC). Однак це право користувача потрібен, якщо системний монітор налаштовано на збір даних за допомогою керування Windows Контрольно-вимірювальні прилади (WMI). Рекомендований стан для цього параметра: адміністратори.

Право користувача одного процесу Profile представляє помірну вразливість. Актор-загроза з цим правом користувача можна контролювати продуктивність комп’ютера, щоб допомогти визначити критичні процеси, які вони можуть атакувати безпосередньо. Зловмисник також може це зробити визначити, які процеси виконуються на комп’ютері, щоб їх можна було ідентифікувати контрзаходи, яких їм, можливо, доведеться уникати, наприклад антивірусне програмне забезпечення, вторгнення- системи виявлення або які інші користувачі ввійшли до комп’ютера.

Немає – це типова поведінка.

Значення за замовчуванням: Адміністратори.

2.2.34 Переконайтеся, що для параметра «Продуктивність системи профілю» встановлено значення «Адміністратори, NT SERVICE\WdiServiceHost» (Автоматизовано)

Оригінал: Ensure ‘Profile system performance’ is set to ‘Administrators, NT SERVICE\WdiServiceHost’ (Automated)

Цей параметр політики визначає, які користувачі можуть використовувати моніторинг продуктивності Windows інструменти для моніторингу продуктивності системних процесів. Рекомендований стан для цього параметра: адміністратори, NT SERVICE\WdiServiceHost.

Зловмисники з цим правом користувача можуть контролювати продуктивність комп’ютера, щоб допомогти визначити критичні процеси, які вони можуть атакувати безпосередньо. Також можуть створювати загрози вміти визначати, які процеси активні на комп’ютері, щоб вони могли визначити контрзаходи, яких їм слід уникати, наприклад, антивірусне програмне забезпечення або інше система виявлення вторгнень.

Немає – це типова поведінка.

Значення за замовчуванням: Windows Vista: адміністратори. Windows 7 або новіша: Адміністратори, NT SERVICE\WdiServiceHost.

2.2.35 Переконайтеся, що для параметра «Замінити маркер рівня процесу» встановлено значення «ЛОКАЛЬНА СЛУЖБА, МЕРЕЖНА СЛУЖБА» (Автоматизовано)

Оригінал: Ensure ‘Replace a process level token’ is set to ‘LOCAL SERVICE, NETWORK SERVICE’ (Automated)

Цей параметр політики дозволяє одному процесу чи службі запускати іншу службу чи процес інший маркер доступу безпеки, який можна використовувати для зміни маркера доступу безпеки цього підпроцесу та призведе до ескалації привілеїв. Рекомендований стан для цього параметра: ЛОКАЛЬНА СЛУЖБА, СЛУЖБА МЕРЕЖІ. Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.

Користувачі з привілеєм «Замінити маркер рівня процесу» можуть запускати процеси як інших користувачів, чиї облікові дані вони знають. Вони могли використовувати цей метод, щоб приховати своє несанкціоновані дії на комп’ютері. (На комп’ютерах під керуванням Windows 2000 використання Право користувача на заміну маркера рівня процесу також вимагає, щоб користувач мав налаштування квоти пам’яті для права користувача процесу, яке обговорювалося раніше в цьому розділі.)

На більшості комп’ютерів це конфігурація за замовчуванням і негативу не буде вплив. Однак, якщо ви встановили веб-сервер (IIS), вам потрібно буде дозволити IIS пулів програм, яким буде надано це призначення прав користувача.

Значення за замовчуванням: МІСЦЕВА СЛУЖБА, СЛУЖБА МЕРЕЖІ.

2.2.36 Переконайтеся, що для параметра «Відновити файли та каталоги» встановлено значення «Адміністратори» (Автоматизовано)

Оригінал: Ensure ‘Restore files and directories’ is set to ‘Administrators’ (Automated)

Цей параметр політики визначає, які користувачі можуть обходити файл, каталог, реєстр тощо постійні дозволи об’єктів під час відновлення резервних копій файлів і каталогів у системах які працюють під керуванням Windows Vista (або новішої). Це право користувача також визначає, які користувачі можуть установлювати дійсні принципали безпеки як об’єкт власники; воно схоже на право користувача Резервне копіювання файлів і каталогів. Рекомендований стан для цього параметра: адміністратори. Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.

Зловмисник із правом користувача «Відновити файли та каталоги» може відновити конфіденційні дані даних на комп’ютер і перезаписати новіші дані, що може призвести до втрати важливі дані, пошкодження даних або відмова в обслуговуванні (DoS). Зловмисники можуть перезаписати виконувані файли, які використовуються законними адміністраторами або системні служби з версіями, які містять зловмисне програмне забезпечення підвищені привілеї, зламати дані або встановити бекдори для постійного доступу до комп’ютер. Примітка. Навіть якщо налаштовано наведені нижче заходи протидії, загроза все одно може відновити дані на комп’ютері в домені, яким керує актор. Тому так і є важливо, щоб організації ретельно захищали носії інформації, які використовуються для резервного копіювання даних.

Видалення користувача «Відновити файли та каталоги» безпосередньо з операторів резервного копіювання групи або інші делеговані облікові записи можуть перешкоджати авторизованим користувачам працювати істотні завдання. Перш ніж вносити цю зміну, важливо оцінити, чи це буде порушувати оперативні обов’язки.

Значення за замовчуванням: Адміністратори, оператори резервного копіювання.

2.2.37 Переконайтеся, що для параметра «Завершити роботу системи» встановлено значення «Адміністратори, користувачі» (Автоматизовано)

Оригінал: Ensure ‘Shut down the system’ is set to ‘Administrators, Users’ (Automated)

Цей параметр політики визначає, які користувачі локально ввійшли до комп’ютерів у вашому середовищі можна вимкнути операційну систему за допомогою команди Завершити роботу. Зловживання цим правом користувача може призвести до стану відмови в обслуговуванні (DoS). Рекомендований стан для цього параметра: адміністратори, користувачі.

Можливість вимкнути робочу станцію має бути загальнодоступною для адміністраторів та авторизованих користувачів цієї робочої станції, але не дозволено для гостей або неавторизованих користувачам, щоб запобігти DoS-атаці.

Вплив видалення цих груп за замовчуванням із Завершити роботу системного користувача право може обмежити делеговані можливості призначених ролей у вашому середовищі. Ви має підтвердити, що делегована діяльність не матиме негативного впливу.

Значення за замовчуванням: Адміністратори, оператори резервного копіювання, користувачі.

2.2.38 Переконайтеся, що для параметра «Взяти право власності на файли чи інші об’єкти» встановлено значення «Адміністратори» (Автоматизовано)

Оригінал: Ensure ‘Take ownership of files or other objects’ is set to ‘Administrators’ (Automated)

Цей параметр політики дозволяє користувачам отримати право власності на файли, папки, ключі реєстру, процеси або потоки. Це право користувача обходить усі наявні дозволи захистити об’єкти, щоб надати право власності вказаному користувачеві. Рекомендований стан для цього параметра: адміністратори. Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.

Будь-який користувач із правом власності на файли чи інші об’єкти може отримати контролювати будь-який об’єкт, незалежно від дозволів на цей об’єкт, а потім робити будь-які зміни, які вони бажають до цього об’єкта. Такі зміни можуть призвести до розкриття даних, пошкодження даних або стан DoS.

Немає – це типова поведінка.

Значення за замовчуванням: Адміністратори.

2.3.1.1 Переконайтеся, що для параметра «Облікові записи: стан облікового запису гостя» встановлено значення «Вимкнено» (Автоматизовано)

Оригінал: Ensure ‘Accounts: Guest account status’ is set to ‘Disabled’ (Automated)

Цей параметр політики визначає, увімкнено або вимкнено обліковий запис гостя. The Гостьовий обліковий запис дозволяє неавтентифікованим користувачам мережі отримати доступ до системи. Рекомендований стан для цього параметра: вимкнено. Примітка: цей параметр не матиме жодного впливу, якщо застосувати його до контролерів домену організаційний підрозділ за допомогою групової політики, оскільки контролери домену не мають локального облікового запису бази даних. Його можна налаштувати на рівні домену за допомогою групової політики, подібно до облікового запису параметри політики блокування та пароля.

Гостьовий обліковий запис за умовчанням дозволяє неавтентифікованим користувачам мережі входити як гість без пароля. Ці неавторизовані користувачі можуть отримати доступ до будь-яких ресурсів, які є доступні для облікового запису Гість через мережу. Ця можливість означає, що будь-який мережеві спільні ресурси з дозволами, які дозволяють доступ до облікового запису Гості, Гості або група «Усі» буде доступна через мережу, що може призвести до викриття або пошкодження даних.

Усі користувачі мережі повинні пройти автентифікацію, перш ніж отримати доступ до спільних ресурсів. Якщо ви вимикаєте обліковий запис гостя та модель доступу до мережі: спільний доступ і безпеку для параметра встановлено значення «Лише гість», входи в мережу, такі як ті, що виконуються Microsoft Мережевий сервер (служба SMB) не вийде. Цей параметр політики має мало впливати на більшості організацій, оскільки це налаштування за замовчуванням у Microsoft Windows 2000, Windows XP і Windows Server™ 2003.

Значення за замовчуванням: Вимкнено.

2.3.1.2 Переконайтеся, що для параметра «Облікові записи: обмежити використання пустих паролів локального облікового запису лише для входу в консоль» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘Accounts: Limit local account use of blank passwords to console logon only’ is set to ‘Enabled’ (Automated)

Цей параметр політики визначає, чи локальні облікові записи, які не захищені паролем можна використовувати для входу з інших місць, ніж фізична комп’ютерна консоль. Якщо ви увімкнути цей параметр політики, локальні облікові записи з порожніми паролями не зможуть увійти в мережу з віддалених клієнтських комп’ютерів. Такі акаунти зможуть тільки увійдіть за допомогою клавіатури комп’ютера. Рекомендований стан для цього параметра: увімкнено.

Порожні паролі становлять серйозну загрозу безпеці комп’ютера, тому їх слід заборонити через організаційну політику та відповідні технічні заходи. По суті, за замовчуванням налаштування для доменів Active Directory вимагають складних паролів щонайменше із семи персонажів. Однак, якщо користувачі з можливістю створювати нові облікові записи обходять ваш політики паролів на основі домену, вони могли створювати облікові записи з порожніми паролями. для наприклад, користувач може створити автономний комп’ютер, створити один або кілька облікових записів порожні паролі, а потім приєднайте комп’ютер до домену. Місцеві рахунки с порожні паролі все ще функціонуватимуть. Кожен, хто знає назву одного з них незахищені облікові записи можуть використовувати його для входу.

Немає – це типова поведінка.

Значення за замовчуванням: Увімкнено.

2.3.1.3 Налаштувати «Облікові записи: перейменувати обліковий запис адміністратора» (Автоматизовано)

Оригінал: Configure ‘Accounts: Rename administrator account’ (Automated)

Цей параметр політики дає можливість перейменувати вбудований обліковий запис локального адміністратора. Цей обліковий запис є добре відомим обліковим записом, який, як відомо, є ціллю зловмисників. Рекомендовано вибрати інше ім’я для цього облікового запису та уникати таких імен позначають облікові записи з адміністративним або підвищеним доступом. Не забудьте також змінити значення за замовчуванням опис для локального адміністратора (через консоль керування комп’ютером).

Вбудований обліковий запис адміністратора існує на всіх системах, які працюють під керуванням Windows 2000 або новіші операційні системи. Якщо цей обліковий запис перейменовано, це трохи складніше для загрози актори, щоб вгадати цю привілейовану комбінацію імені користувача та пароля. Вбудований обліковий запис адміністратора не можна заблокувати незалежно від того, скільки разів зловмисник може використовувати неправильний пароль. Цю можливість робить адміністратор обліковий запис є популярною мішенню для атак грубої сили, які намагаються вгадати паролі. The цінність цього контрзаходу зменшується, оскільки цей обліковий запис має добре відомий SID, і є інструменти сторонніх виробників, які дозволяють автентифікацію за допомогою SID, а не ім’я облікового запису. Таким чином, навіть якщо обліковий запис адміністратора перейменовано, загрозливий актор може почати атаку грубою силою, використовуючи SID для входу. Примітка. З 11 жовтня 2022 року (див. MS KB5020282) було запроваджено нову політику (Дозволити обліковий запис адміністратора), що дозволяє використовувати вбудований обліковий запис адміністратора заблоковано, якщо застосовано. Цей параметр застосовується лише до ОС, які виправляються за допомогою MS KB5020282)

Користувачі, які мають право використовувати цей обліковий запис, повинні знати про новий обліковий запис назва. (Інструкції щодо цього налаштування припускають, що обліковий запис адміністратора не був вимкнено, що було рекомендовано раніше в цьому розділі.)

Значення за замовчуванням: Адміністратор.

2.3.1.4 Налаштувати «Облікові записи: перейменувати гостьовий обліковий запис» (Автоматизовано)

Оригінал: Configure ‘Accounts: Rename guest account’ (Automated)

Цей параметр політики дає можливість перейменувати вбудований локальний гостьовий обліковий запис. Це обліковий запис — це добре відомий обліковий запис, який, як відомо, є ціллю зловмисників. Рекомендується перейменувати цей обліковий запис на те, що не вказує на його навіть якщо цей обліковий запис вимкнено.

Обліковий запис Guest існує на всіх комп’ютерах, які працюють під керуванням Windows 2000 або новішої версії системи. Якщо цей обліковий запис перейменовано, суб’єктам загрози буде дещо складніше вгадати ця привілейована комбінація імені користувача та пароля.

Це мало б вплинути, оскільки обліковий запис гостя вимкнено за умовчанням.

Значення за замовчуванням: Гість.

2.3.2.2 Переконайтеся, що для параметра «Аудит: негайно вимкніть систему, якщо неможливо зареєструвати аудит безпеки» встановлено значення «Вимкнено» (Автоматизовано)

Оригінал: Ensure ‘Audit: Shut down system immediately if unable to log security audits’ is set to ‘Disabled’ (Automated)

Цей параметр політики визначає, чи вимикається система, якщо не вдається зареєструватися Події безпеки. Це вимога для критеріїв оцінки довіреної комп’ютерної системи (TCSEC)-C2 і сертифікація Common Criteria для запобігання подіям, які підлягають перевірці виникають, якщо система аудиту не може їх зареєструвати. Microsoft вирішила піти назустріч цьому вимога шляхом зупинки системи та відображення повідомлення про зупинку, якщо система аудиту переживає невдачу. Коли цей параметр політики ввімкнено, система буде вимкнено якщо перевірку безпеки не можна зареєструвати з будь-якої причини. Рекомендований стан для цього параметра: вимкнено.

Якщо

Немає – це типова поведінка.

Значення за замовчуванням: Вимкнено.

2.3.4.1 Переконайтеся, що для параметра «Пристрої: заборонити користувачам встановлювати драйвери принтера» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘Devices: Prevent users from installing printer drivers’ is set to ‘Enabled’ (Automated)

Цей параметр політики визначає, кому дозволено інсталювати драйвер принтера як частину підключення до спільного принтера. Щоб комп’ютер друкував на спільному принтері, драйвер для цей спільний принтер має бути встановлено на локальному комп’ютері. Рекомендований стан для цього параметра: увімкнено. Примітка. Цей параметр не впливає на можливість додавання локального принтера. Це налаштування не робить впливають на адміністраторів.

У деяких організаціях може бути доречним дозволити користувачам інсталювати драйвери принтера власні робочі станції. Однак у середовищі з високим рівнем безпеки лише адміністратори слід дозволити це робити, а не користувачам, оскільки встановлення драйвера принтера може ненавмисно призведе до того, що комп’ютер стане менш стабільним. Зловмисник може навмисно інсталювати невідповідні драйвери принтера пошкодити комп’ютер або користувач може випадково встановити шкідливе програмне забезпечення, яке маскується під драйвер принтера. Зловмисник може замаскувати трояна Програма коня як драйвер принтера. Програма може здаватися користувачам так, ніби вони повинні використовувати його для друку, але така програма може розв’язати зловмисний код у мережі.

Лише адміністратори зможуть інсталювати драйвер принтера під час підключення до a спільний принтер. Це не вплине на можливість додавання локального принтера.

Значення за замовчуванням: Вимкнено. (Будь-який користувач може встановити драйвер принтера як частину підключення до спільного принтера.)

2.3.7.1 Переконайтеся, що для параметра «Інтерактивний вхід: не вимагати CTRL+ALT+DEL» встановлено значення «Вимкнено» (Автоматизовано)

Оригінал: Ensure ‘Interactive logon: Do not require CTRL+ALT+DEL’ is set to ‘Disabled’ (Automated)

Цей параметр політики визначає, чи повинні користувачі натискати CTRL+ALT+DEL, перш ніж вони увійти. Рекомендований стан для цього параметра: вимкнено.

Якщо користувачам не потрібно натискати CTRL+ALT+DEL, вони вразливі до таких атак спробувати перехопити їхні паролі. Якщо перед входом потрібно натиснути CTRL+ALT+DEL, користувач паролі передаються за допомогою надійного шляху. Зловмисник може встановити троянську програму, схожу на стандартну Windows діалогове вікно входу та захопити пароль користувача. Тоді актор загрози зможе щоб увійти до скомпрометованого облікового запису з будь-яким рівнем привілеїв, який має цей користувач.

Користувачі повинні натиснути CTRL+ALT+DEL перед входом у Windows, якщо вони не використовують a смарт-картка для входу в Windows. Смарт-карта – це захищений від несанкціонованого доступу пристрій, який зберігає інформація про безпеку.

Значення за замовчуванням: У Windows 7 або старіших версіях: вимкнено. У Windows 8.0 або новішої версії: увімкнено.

2.3.7.2 Переконайтеся, що для параметра «Інтерактивний вхід: не відображати останній вхід» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘Interactive logon: Don’t display last signed-in’ is set to ‘Enabled’ (Automated)

Цей параметр політики визначає, чи ім’я облікового запису останнього користувача, який увійшов до системи клієнтські комп’ютери у вашій організації відображатимуться на кожному комп’ютері відповідно Екран входу в Windows. Рекомендований стан для цього параметра: увімкнено.

Загрозливий суб’єкт із доступом до консолі (наприклад, хтось із фізичним доступом або хтось, хто може підключитися до сервера через служби віддаленого робочого стола), може переглянути ім’я останнього користувача, який зайшов на сервер. Тоді загрозливий актор міг спробуйте вгадати пароль, скористайтеся словником або застосуйте атаку грубої сили, щоб спробувати ввійти.

Ім’я останнього користувача, який успішно ввійшов, не відображатиметься у Windows екран входу в систему.

Значення за замовчуванням: Вимкнено. (Ім’я останнього користувача, який увійшов, відображається на екрані входу в Windows.)

2.3.7.3 Переконайтеся, що для параметра «Інтерактивний вхід: ліміт бездіяльності машини» встановлено значення «900 або менше секунд», але не 0 (Автоматизовано)

Оригінал: Ensure ‘Interactive logon: Machine inactivity limit’ is set to ‘900 or fewer second(s), but not 0’ (Automated)

Windows помічає бездіяльність сеансу входу в систему та кількість часу бездіяльності перевищує ліміт бездіяльності, тоді запуститься заставка, блокуючи сеанс. Рекомендований стан для цього параметра: 900 або менше секунд, але не 0. Примітка. Значення 0 не відповідає тесту, оскільки воно вимикає машину обмеження неактивності.

Якщо користувач забуває заблокувати свій комп’ютер, коли йде, можливо, що a перехожий викраде його.

Екранна заставка автоматично активується, коли комп’ютер залишається без нагляду протягом зазначеного часу. Вплив має бути мінімальним, оскільки заставка увімкнено за замовчуванням.

Значення за замовчуванням: 0 секунд. (Немає обмежень на бездіяльність.)

2.3.7.4 Налаштувати «Інтерактивний вхід: текст повідомлення для користувачів, які намагаються ввійти» (Автоматизовано)

Оригінал: Configure ‘Interactive logon: Message text for users attempting to log on’ (Automated)

Цей параметр політики визначає текстове повідомлення, яке відображається користувачам під час входу в систему. Установіть значення такої групової політики, яке відповідає безпеці та операційні вимоги організації.

Відображення попереджувального повідомлення перед входом може допомогти запобігти зловмисним входам через a попередження суб’єкта загрози про наслідки його неправомірної поведінки. Це також допомагає зміцнити корпоративну політику, повідомляючи співробітників про відповідне під час входу в систему. Цей текст часто використовується з юридичних причин, наприклад, щоб попередити користувачів про наслідки неправомірного використання інформації компанії або попередити їх що їхні дії можуть бути перевірені. Примітка. Будь-яке попередження, яке відображається, має бути схвалено юридичним відділом організації та представник відділу кадрів.

Користувачі повинні будуть підтвердити діалогове вікно, що містить налаштований текст, перш ніж вони може увійти до комп’ютера. Примітка. Windows Vista та Windows XP Professional підтримують банери входу, які можуть довжина перевищує 512 символів і може також містити символи повернення каретки послідовності. Однак клієнти на базі Windows 2000 не можуть інтерпретувати та відображати їх повідомлення. Щоб створити повідомлення для входу, необхідно використовувати комп’ютер під керуванням Windows 2000 політика, яка застосовується до комп’ютерів під керуванням Windows 2000.

Значення за замовчуванням: Немає повідомлення.

2.3.7.5 Налаштувати «Інтерактивний вхід: заголовок повідомлення для користувачів, які намагаються ввійти» (Автоматизовано)

Оригінал: Configure ‘Interactive logon: Message title for users attempting to log on’ (Automated)

Цей параметр політики визначає текст, який відображається в рядку заголовка вікна відображається користувачам під час входу в систему. Налаштуйте це налаштування таким чином що відповідає безпеці та робочим вимогам організації.

Відображення попереджувального повідомлення перед входом може допомогти запобігти зловмисним входам через a попередження суб’єкта загрози про наслідки його неправомірної поведінки. Це також допомагає зміцнити корпоративну політику, повідомляючи співробітників про відповідне під час входу в систему. Цей текст часто використовується з юридичних причин, наприклад, щоб попередити користувачів про наслідки неправомірного використання інформації компанії або попередити їх що їхні дії можуть бути перевірені. Примітка. Будь-яке попередження, яке відображається, має бути схвалено юридичним відділом організації та представник відділу кадрів.

Користувачі повинні будуть підтвердити діалогове вікно з налаштованим заголовком, перш ніж вони зможуть увійти на комп’ютер.

Значення за замовчуванням: Немає повідомлення.

2.3.7.6 Переконайтеся, що для параметра «Інтерактивний вхід: запропонувати користувачу змінити пароль до закінчення терміну дії» встановлено значення «від 5 до 14 днів» (Автоматизовано)

Оригінал: Ensure ‘Interactive logon: Prompt user to change password before expiration’ is set to ‘between 5 and 14 days’ (Automated)

Цей параметр політики визначає, наскільки заздалегідь користувачі будуть попереджені про свій пароль закінчиться. Рекомендується налаштувати цей параметр політики принаймні на 5 днів, але не більше 14 днів, щоб достатньо попередити користувачів про закінчення терміну дії їхніх паролів. Рекомендований стан для цього параметра: від 5 до 14 днів.

Користувачів потрібно буде попередити, що термін дії їхніх паролів закінчиться, або це може бути ненавмисно заблокувати доступ до комп’ютера, коли термін дії їхніх паролів закінчиться. Ця умова може призвести до плутанини для користувачів, які мають локальний доступ до мережі, або зробити це неможливим для доступу користувачів до мережі вашої організації через комутоване з’єднання або віртуальну приватну мережу (VPN).

Щоразу під час входу користувачі бачитимуть діалогове вікно з пропозицією змінити пароль до домену, якщо налаштовано термін дії пароля від 5 до 14 днів.

Значення за замовчуванням: 5 днів.

2.3.7.7 Переконайтеся, що для параметра «Інтерактивний вхід: поведінка видалення смарт-картки» встановлено значення «Блокування робочої станції» або вище (Автоматизовано)

Оригінал: Ensure ‘Interactive logon: Smart card removal behavior’ is set to ‘Lock Workstation’ or higher (Automated)

Цей параметр політики визначає, що відбувається, коли смарт-картка для користувача, який увійшов у систему видаляється з пристрою зчитування смарт-карт. Рекомендований стан для цього параметра: заблокувати робочу станцію. Налаштування цього параметра для примусового виходу з системи або відключення, якщо також відбувається сеанс служб віддаленого робочого стола відповідає еталону.

Користувачі іноді забувають заблокувати свої робочі станції, коли вони далеко від них, дозволяючи суб’єктам загроз отримати доступ до своїх комп’ютерів. Якщо смарт-карти є використовується для автентифікації, комп’ютер повинен автоматично заблокуватися, коли картка активна видалено, щоб переконатися, що лише користувач зі смарт-карткою отримує доступ до ресурсів за допомогою ці облікові дані.

Якщо вибрати «Заблокувати робочу станцію», робоча станція буде заблокована разом із смарт-карткою видалено, дозволяючи користувачам залишати територію, брати з собою смарт-картку тощо підтримувати захищений сеанс. Якщо вибрано параметр «Примусовий вихід», користувачі автоматично виходять із системи, коли їх смарт-картки вимкнено видалено. Якщо ви виберете Від’єднати сеанс служб віддаленого робочого стола, видалення смарт-карта розриває сеанс без виходу користувачів. Це дозволяє користувачеві вставте смарт-карту та відновіть сеанс пізніше або на іншому пристрої зчитування смарт-карт- обладнаний комп’ютер без повторного входу в систему. Якщо сеанс локальний, ця політика буде функціонують ідентично Lock Workstation. Застосування цього параметра на комп’ютерах, якими користуються люди, які повинні входити в декілька систем комп’ютерів для виконання своїх обов’язків може викликати розчарування та зниження продуктивності. Наприклад, якщо адміністратори мережі обмежені одним обліковим записом, але їм потрібно ввійти на кілька комп’ютерів одночасно, щоб ефективно керувати мережею застосування цього параметра обмежить їх входом на один комп’ютер за раз. Для цих причини, через які рекомендується застосовувати цей параметр лише на робочих станціях, для яких використовується цілі, зазвичай пов’язані з типовими користувачами, наприклад створення документів і електронною поштою.

Значення за замовчуванням: Ніяких дій.

2.3.8.1 Переконайтеся, що для параметра «Клієнт мережі Microsoft: комунікації з цифровим підписом (завжди)» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘Microsoft network client: Digitally sign communications (always)’ is set to ‘Enabled’ (Automated)

Цей параметр політики визначає, чи потрібно Серверу підписувати пакети Клієнтський компонент блоку повідомлень (SMB). SMB — це протокол спільного використання ресурсів підтримується багатьма операційними системами Windows. Він є основою NetBIOS і багатьох інших інші протоколи. Підписи SMB автентифікують як користувачів, так і сервери, на яких розміщено даних. Якщо будь-яка сторона не проходить процес автентифікації, передача даних не відбудеться. Рекомендований стан для цього параметра: увімкнено.

Викрадення сесії використовує інструменти, які дозволяють суб’єктам загрози, які мають доступ до них мережі як клієнт або сервер, щоб перервати, завершити або вкрасти поточний сеанс. загроза актори потенційно можуть перехоплювати та змінювати непідписані пакети SMB, а потім змінювати трафік і пересилати його, щоб сервер міг виконати небажані дії. Як альтернатива, суб’єкти загрози можуть виступати як сервер або клієнт після законної автентифікації та отримати несанкціонований доступ до даних.

Клієнт мережі Microsoft не зв’язуватиметься з мережевим сервером Microsoft якщо цей сервер не погоджується виконувати підписання пакетів SMB. Впровадження підпису SMB може негативно вплинути на продуктивність, оскільки кожен пакет потрібно підписати та перевірити. Якщо ці налаштування ввімкнено на сервері, тобто виконання кількох ролей, наприклад сервер малого бізнесу, який виконує роль домену Продуктивність контролера, файлового сервера, сервера друку та сервера додатків може бути істотно сповільнено. Крім того, якщо комп’ютери налаштовані на ігнорування всіх непідписаних Комунікації SMB, старі програми та операційні системи не зможуть підключити. Однак якщо підпис SMB повністю вимкнено, комп’ютери будуть уразливими до атак із захопленням сесії.

Значення за замовчуванням: Вимкнено. (Підписання пакетів SMB узгоджується між клієнтом і сервером.)

2.3.8.2 Переконайтеся, що для параметра «Мережевий клієнт Microsoft: надсилати незашифрований пароль на сторонні SMB-сервери» встановлено значення «Вимкнено» (Автоматизовано)

Оригінал: Ensure ‘Microsoft network client: Send unencrypted password to third-party SMB servers’ is set to ‘Disabled’ (Automated)

Цей параметр політики визначає, чи надсилатиме переспрямовувач SMB паролі у відкритому вигляді під час автентифікації на сторонніх серверах SMB, які не підтримують пароль шифрування. Рекомендується вимкнути цей параметр політики, якщо немає сильного бізнесу випадку, щоб увімкнути його. Якщо цей параметр політики ввімкнено, незашифровані паролі будуть дозволені через мережу. Рекомендований стан для цього параметра: вимкнено.

Якщо ввімкнути цей параметр політики, сервер може передавати паролі у вигляді відкритого тексту мережі до інших комп’ютерів, які пропонують послуги SMB, що є значною безпекою ризик. Ці інші комп’ютери можуть не використовувати жоден із існуючих механізмів безпеки SMB входить до складу Windows Server 2003.

Немає – це типова поведінка. Деякі дуже старі програми та операційні системи, такі як MS-DOS, Windows для Робочі групи 3.11 і Windows 95a можуть не спілкуватися із серверами у вашій організації за допомогою протоколу SMB.

Значення за замовчуванням: Вимкнено. (Прості текстові паролі не надсилатимуться під час автентифікації на сторонні сервери SMB, які не підтримують шифрування паролів.)

2.3.9.2 Переконайтеся, що для параметра «Сервер мережі Microsoft: цифровий підпис (завжди)» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘Microsoft network server: Digitally sign communications (always)’ is set to ‘Enabled’ (Automated)

Цей параметр політики визначає, чи потрібно SMB-серверу підписувати пакети компонент. Це налаштування слід увімкнути в змішаному середовищі, щоб запобігти нижчі клієнти від використання робочої станції як мережевого сервера. Рекомендований стан для цього параметра: увімкнено.

Викрадення сесії використовує інструменти, які дозволяють суб’єктам загрози, які мають доступ до них мережі як клієнт або сервер, щоб перервати, завершити або вкрасти поточний сеанс. Загроза Актори потенційно можуть перехоплювати та змінювати непідписані SMB-пакети, а потім змінювати їх трафік і пересилати його, щоб сервер міг виконати небажані дії. Як альтернатива, суб’єкт загрози може представляти собою сервер або клієнт після законної автентифікації та отримати несанкціонований доступ до даних. SMB — це протокол спільного використання ресурсів, який підтримується багатьма операційними системами Windows системи. Це основа NetBIOS і багатьох інших протоколів. Підписи SMB автентифікувати користувачів і сервери, на яких розміщені дані. Якщо будь-яка зі сторін зазнає невдачі процес автентифікації, передача даних не відбудеться.

Клієнт мережі Microsoft не зв’язуватиметься з мережевим сервером Microsoft якщо цей сервер не погоджується виконувати підписання пакетів SMB. Впровадження підпису SMB може негативно вплинути на продуктивність, оскільки кожен пакет потрібно підписати та перевірити. Якщо ці налаштування ввімкнено на сервері, тобто виконання кількох ролей, наприклад сервер малого бізнесу, який виконує роль домену Продуктивність контролера, файлового сервера, сервера друку та сервера додатків може бути істотно сповільнено. Крім того, якщо комп’ютери налаштовані на ігнорування всіх непідписаних Комунікації SMB, старі програми та операційні системи не зможуть підключити. Однак якщо підпис SMB повністю вимкнено, комп’ютери будуть уразливими до атак із захопленням сесії.

Значення за замовчуванням: Вимкнено. (Підписання пакетів SMB узгоджується між клієнтом і сервером.)

2.3.9.3 Переконайтеся, що для параметра «Мережевий сервер Microsoft: відключати клієнтів після завершення часу входу» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘Microsoft network server: Disconnect clients when logon hours expire’ is set to ‘Enabled’ (Automated)

Цей параметр безпеки визначає, чи потрібно відключати користувачів, підключених до на локальному комп’ютері поза межами дійсного часу входу в обліковий запис користувача. Цей параметр впливає на Компонент блоку повідомлень сервера (SMB). Якщо ви ввімкнете цей параметр політики, ви повинні також увімкніть мережеву безпеку: примусовий вихід із системи після завершення часу входу (правило 2.3.11.6). Якщо ваша організація налаштовує години входу для користувачів, цей параметр політики необхідний переконайтеся, що вони ефективні. Рекомендований стан для цього параметра: увімкнено.

Якщо ваша організація налаштовує години входу для користувачів, має сенс увімкнути це налаштування політики. В іншому випадку користувачі, які не повинні мати доступу до мережевих ресурсів поза межами годин входу в систему можуть продовжувати використовувати ці ресурси із сеансами, які були встановлені в дозволені години.

Немає – це типова поведінка. Якщо години входу не використовуються у вашій організації, це налаштування політики не матимуть жодного впливу. Якщо використовуються години входу, поточні сеанси користувача будуть примусово припиняється після закінчення часу входу в систему.

Значення за замовчуванням: Увімкнено. (Сеанси клієнта зі службою SMB примусово відключаються, коли закінчуються години входу клієнта.)

2.3.10.1 Переконайтеся, що для параметра «Доступ до мережі: Дозволити анонімний переклад SID/імена» встановлено значення «Вимкнено» (Автоматизовано)

Оригінал: Ensure ‘Network access: Allow anonymous SID/Name translation’ is set to ‘Disabled’ (Automated)

Цей параметр політики визначає, чи може анонімний користувач запитувати захист атрибути ідентифікатора (SID) для іншого користувача або використовуйте SID для отримання відповідного користувача назва. Рекомендований стан для цього параметра: вимкнено.

Якщо цей параметр політики ввімкнено, користувач із локальним доступом може використовувати добре відомі SID адміністратора, щоб дізнатися справжнє ім’я вбудованого облікового запису адміністратора, навіть якщо це було перейменовано. Потім ця особа може використати ім’я облікового запису, щоб ініціювати пароль здогадливий напад.

Немає – це типова поведінка.

Значення за замовчуванням: Вимкнено. (Анонімний користувач не може запитувати атрибут SID для іншого користувача.)

2.3.10.2 Переконайтеся, що для параметра «Доступ до мережі: не дозволяти анонімне перерахування облікових записів SAM» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘Network access: Do not allow anonymous enumeration of SAM accounts’ is set to ‘Enabled’ (Automated)

Цей параметр політики контролює можливість анонімних користувачів нумерувати облікові записи в менеджер облікових записів безпеки (SAM). Якщо ввімкнути цей параметр політики, користувачі з анонімні підключення не зможуть перерахувати імена користувачів облікових записів домену на системи у вашому середовищі. Цей параметр політики також дозволяє додаткові обмеження на анонімних з’єднаннях. Рекомендований стан для цього параметра: увімкнено. Примітка. Ця політика не впливає на контролери домену.

Неавторизований користувач може анонімно перерахувати імена облікових записів і використовувати інформацію для спробувати вгадати паролі або виконати атаки соціальної інженерії. (Соціальна інженерія атаки намагаються якимось чином обдурити користувачів, щоб отримати паролі або певну форму безпеки інформація.)

Немає – це типова поведінка. З Windows буде неможливо встановити довірчі відносини Домени на основі NT 4.0. Крім того, клієнтські комп’ютери, які працюють під керуванням старих версій Windows такі операційні системи, як Windows NT 3.51 і Windows 95, виникнуть проблеми коли вони намагаються використати ресурси на сервері.

Значення за замовчуванням: Увімкнено. (Не дозволяти анонімне перерахування облікових записів SAM. Цей параметр замінює «Кожен» на «Автентифіковані користувачі» в дозволах безпеки для ресурсів.)

2.3.10.3 Переконайтеся, що для параметра «Доступ до мережі: не дозволяти анонімне перерахування облікових записів і спільних ресурсів SAM» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘Network access: Do not allow anonymous enumeration of SAM accounts and shares’ is set to ‘Enabled’ (Automated)

Цей параметр політики контролює можливість анонімних користувачів нумерувати облікові записи SAM а також акції. Якщо ввімкнути цей параметр політики, анонімні користувачі не зможуть перерахувати імена користувачів облікових записів домену та імена спільних мережевих ресурсів у системах ваше оточення. Рекомендований стан для цього параметра: увімкнено. Примітка. Ця політика не впливає на контролери домену.

Неавторизований користувач може анонімно перерахувати імена облікових записів і спільні ресурси використовувати інформацію, щоб спробувати вгадати паролі або виконати соціальну інженерію напади. (Атаки соціальної інженерії намагаються якимось чином обдурити користувачів, щоб отримати паролі або певну форму інформації безпеки.)

Буде неможливо встановити довіри з доменами на базі Windows NT 4.0. Крім того, клієнт комп’ютери, на яких встановлено старіші версії операційної системи Windows, наприклад Windows NT 3.51 і Windows 95 відчуватимуть проблеми, коли вони намагатимуться використовувати ресурси на сервер. Користувачі, які анонімно отримують доступ до файлових серверів і серверів друку, не зможуть створити список спільні мережеві ресурси на цих серверах; користувачі повинні будуть пройти автентифікацію перш ніж вони зможуть переглянути списки спільних папок і принтерів. Однак навіть при цьому налаштування політики ввімкнено, анонімні користувачі матимуть доступ до ресурсів із дозволи, які явно включають вбудовану групу ANONYMUS LOGON.

Значення за замовчуванням: Вимкнено. (Дозволити анонімне перерахування облікових записів і спільних ресурсів SAM. Адміністратор не може призначити додаткові дозволи для анонімних підключень до комп’ютера. Анонімні підключення покладатимуться на дозволи за замовчуванням.)

2.3.10.5 Переконайтеся, що для параметра «Доступ до мережі: Дозволити всім дозволам застосовуватися до анонімних користувачів» встановлено значення «Вимкнено» (Автоматизовано)

Оригінал: Ensure ‘Network access: Let Everyone permissions apply to anonymous users’ is set to ‘Disabled’ (Automated)

Цей параметр політики визначає, які додаткові дозволи призначаються для анонімних користувачів підключення до комп’ютера. Рекомендований стан для цього параметра: вимкнено.

Неавторизований користувач може анонімно перерахувати імена облікових записів і спільні ресурси використовувати інформацію, щоб спробувати вгадати паролі, виконати атаки соціальної інженерії, або запускати DoS-атаки.

Немає – це типова поведінка.

Значення за замовчуванням: Вимкнено. (Анонімні користувачі можуть отримувати доступ лише до тих ресурсів, на які вбудована група ANONYMOUS LOGON має явний дозвіл.)

2.3.10.6 Переконайтеся, що для параметра «Доступ до мережі: іменовані канали, доступ до яких можна отримати анонімно» встановлено значення «Немає» (Автоматизовано)

Оригінал: Ensure ‘Network access: Named Pipes that can be accessed anonymously’ is set to ‘None’ (Automated)

Цей параметр політики визначає, які сеанси зв’язку або канали будуть мати атрибути та дозволи, які дозволяють анонімний доступ. Рекомендований стан для цього параметра: <пусто> (тобто немає).

Обмеження іменованих каналів, до яких можна отримати анонімний доступ, зменшить поверхню атаки системи.

Ця конфігурація вимкне доступ до нульового сеансу через іменовані канали та програми які покладаються на цю функцію або на неавтентифікований доступ до іменованих каналів, більше не будуть функція.

Значення за замовчуванням: Жодного.

2.3.10.7 Переконайтеся, що параметр «Доступ до мережі: віддалено доступні шляхи до реєстру» налаштовано (Автоматизовано)

Оригінал: Ensure ‘Network access: Remotely accessible registry paths’ is configured (Automated)

Цей параметр політики визначає, які шляхи реєстру будуть доступні через мережу, незалежно від користувачів або груп, перелічених у списку керування доступом (ACL) winreg ключ реєстру. Рекомендований стан для цього параметра: System\CurrentControlSet\Control\ProductOptions System\CurrentControlSet\Control\Server Applications Програмне забезпечення\Microsoft\Windows NT\CurrentVersion Примітка. Коли цей параметр налаштовано, потрібно створити список з одного або кількох об’єктів зазначено. Роздільником, який використовується під час входу в список, є переведення рядка або повернення каретки є, введіть перший об’єкт у списку, натисніть кнопку Enter, введіть наступний об’єкт, натисніть Введіть ще раз тощо. Значення параметра зберігається у груповій політиці як список, розділений комами шаблони безпеки. Він також відображається як список, розділений комами, у редакторі групової політики панелі відображення та консолі Resultant Set of Policy. Він зареєстрований в реєстрі як a список, розділений переводом рядка, у значенні REG_MULTI_SZ.

Реєстр — це база даних, яка містить інформацію про конфігурацію комп’ютера та багато іншого інформації є конфіденційною. Зловмисник може використати цю інформацію для сприяння несанкціонована діяльність. Щоб зменшити ризик такої атаки, підходять відповідні ACL призначені для всього реєстру, щоб захистити його від доступу неавторизованих користувачів.

Немає – це типова поведінка. Однак якщо шляхи реєстру за замовчуванням зі списку доступних видаляються, засоби віддаленого керування, такі як Microsoft Baseline Security Analyzer та Microsoft Systems Management Server може вийти з ладу, оскільки їм потрібен віддалений доступ до реєстр для належного моніторингу та керування комп’ютерами. Примітка. Якщо потрібен віддалений доступ, цей параметр також має ввімкнути віддалений реєстр обслуговування.

Значення за замовчуванням: System\CurrentControlSet\Control\ProductOptions System\CurrentControlSet\Control\Server Applications Software\Microsoft\Windows NT\CurrentVersion

2.3.10.8 Переконайтеся, що налаштовано «Доступ до мережі: віддалено доступні шляхи до реєстру та підшляхи» (Автоматизовано)

Оригінал: Ensure ‘Network access: Remotely accessible registry paths and sub-paths’ is configured (Automated)

Цей параметр політики визначає, які шляхи та підшляхи реєстру будуть доступні через мережу, незалежно від користувачів або груп, зазначених у списку контролю доступу (ACL) ключа реєстру winreg. Рекомендований стан для цього параметра: System\CurrentControlSet\Control\Print\Printers System\CurrentControlSet\Services\Eventlog Програмне забезпечення\Microsoft\OLAP-сервер Software\Microsoft\Windows NT\CurrentVersion\Print Software\Microsoft\Windows NT\CurrentVersion\Windows System\CurrentControlSet\Control\ContentIndex System\CurrentControlSet\Control\Terminal Server System\CurrentControlSet\Control\Terminal Server\UserConfig System\CurrentControlSet\Control\Terminal Server\DefaultUserConfiguration Software\Microsoft\Windows NT\CurrentVersion\Perflib System\CurrentControlSet\Services\SysmonLog Примітка. Коли цей параметр налаштовано, потрібно створити список з одного або кількох об’єктів зазначено. Роздільником, який використовується під час входу в список, є переведення рядка або повернення каретки є, введіть перший об’єкт у списку, натисніть кнопку Enter, введіть наступний об’єкт, натисніть Введіть ще раз тощо. Значення параметра зберігається у груповій політиці як список, розділений комами шаблони безпеки. Він також відображається як список, розділений комами, у редакторі групової політики панелі відображення та консолі Resultant Set of Policy. Він зареєстрований в реєстрі як a список, розділений переводом рядка, у значенні REG_MULTI_SZ.

Реєстр містить конфіденційну інформацію про конфігурацію комп’ютера, яка може бути використана учасник загрози для сприяння несанкціонованим діям. Справа в тому, що за замовчуванням ACL призначені в усьому реєстрі, є досить обмежувальними та допомагають захистити реєстр від доступу неавторизованих користувачів знижує ризик такої атаки.

Немає – це типова поведінка. Однак якщо шляхи реєстру за замовчуванням зі списку доступних видаляються, засоби віддаленого керування, такі як Microsoft Baseline Security Analyzer та Microsoft Systems Management Server може вийти з ладу, оскільки їм потрібен віддалений доступ до реєстр для належного моніторингу та керування комп’ютерами.

Примітка. Якщо потрібен віддалений доступ, цей параметр також має ввімкнути віддалений реєстр обслуговування.

Значення за замовчуванням: System\CurrentControlSet\Control\Print\Printers System\CurrentControlSet\Services\Eventlog Software\Microsoft\OLAP Server Software\Microsoft\Windows NT\CurrentVersion\Print Software\Microsoft\Windows NT\CurrentVersion\Windows System\CurrentControlSet\Control\ContentIndex System\CurrentControlSet\Control\Terminal Server System\CurrentControlSet\Control\Terminal Server\UserConfig System\CurrentControlSet\Control\Terminal Server\DefaultUserConfiguration Software\Microsoft\Windows NT\CurrentVersion\Perflib System\CurrentControlSet\Services\SysmonLog

2.3.10.9 Переконайтеся, що для пункту «Доступ до мережі: обмеження анонімного доступу до іменованих каналів і спільних ресурсів» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘Network access: Restrict anonymous access to Named Pipes and Shares’ is set to ‘Enabled’ (Automated)

Якщо ввімкнено, цей параметр політики обмежує анонімний доступ лише до цих спільних ресурсів і канали, названі в Мережевий доступ: іменовані канали, до яких можна отримати доступ анонімно та доступ до мережі: спільні ресурси, до яких можна отримати анонімний доступ налаштування. Цей параметр політики керує доступом нульового сеансу до спільних ресурсів на ваших комп’ютерах додавання RestrictNullSessAccess зі значенням 1 у HKLM\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters ключ реєстру. Це значення реєстру вмикає або вимикає спільний доступ до нульового сеансу, щоб контролювати, чи служба сервера обмежує доступ неавтентифікованих клієнтів до іменованих ресурсів. Рекомендований стан для цього параметра: увімкнено.

Нульові сеанси — це слабка сторона, яку можна використати за допомогою спільного використання (включаючи стандартні спільні ресурси) на комп’ютерах у вашому середовищі.

Немає – це типова поведінка. Якщо ви вирішите ввімкнути цей параметр і є підтримують домени Windows NT 4.0, ви повинні перевірити, чи є якісь із названих каналів необхідні для підтримки довірчих відносин між доменами, а потім додайте канал до доступ до мережі: список іменованих каналів, до яких можна отримати анонімний доступ: • COMNAP: доступ до сеансу SNA • COMNODE: доступ до сеансу SNA • SQL\QUERY: доступ до екземпляра SQL • SPOOLSS: Служба спулера • LLSRPC: служба реєстрації ліцензій • NETLOGON: служба Net Logon • LSARPC: LSA доступ • SAMR: віддалений доступ до об’єктів SAM • БРАУЗЕР: служба комп’ютерного браузера До випуску Windows Server 2003 із пакетом оновлень 1 (SP1) ці іменованим каналам було дозволено анонімний доступ за замовчуванням, але з розширеним посилення у Windows Server 2003 із пакетом оновлень 1 (SP1) ці канали мають бути явно додані, якщо необхідний.

Значення за замовчуванням: Увімкнено. (Анонімний доступ обмежено спільними ресурсами та каналами, переліченими в налаштуваннях «Мережевий доступ: іменовані канали, до яких можна отримати анонімний доступ» і «Мережевий доступ: спільні ресурси, до яких можна отримати анонімний доступ».)

2.3.10.11 Переконайтеся, що для параметра «Доступ до мережі: спільні ресурси, до яких можна отримати анонімний доступ» встановлено значення «Немає» (Автоматизовано)

Оригінал: Ensure ‘Network access: Shares that can be accessed anonymously’ is set to ‘None’ (Automated)

Цей параметр політики визначає, до яких мережевих ресурсів може отримати доступ анонім користувачів. Конфігурація за замовчуванням для цього параметра політики мало впливає, оскільки всі користувачі повинні пройти автентифікацію, перш ніж вони зможуть отримати доступ до спільних ресурсів на сервері. Рекомендований стан для цього параметра: <пусто> (тобто немає).

Дуже небезпечно допускати будь-які значення в цьому параметрі. Будь-які акції, які перераховані, можуть бути до якого має доступ будь-який користувач мережі, що може призвести до викриття або пошкодження конфіденційні дані.

Немає – це типова поведінка.

Значення за замовчуванням: Жодного. (Лише автентифіковані користувачі матимуть доступ до всіх спільних ресурсів на сервері.)

2.3.11.1 Переконайтеся, що для параметра «Безпека мережі: дозволити локальній системі використовувати ідентифікатор комп’ютера для NTLM» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘Network security: Allow Local System to use computer identity for NTLM’ is set to ‘Enabled’ (Automated)

Цей параметр політики визначає, чи локальні системні служби, які використовують Negotiate when повернення до автентифікації NTLM може використовувати посвідчення комп’ютера. Ця політика підтримується щонайменше на Windows 7 або Windows Server 2008 R2. Рекомендований стан для цього параметра: увімкнено.

Під час підключення до комп’ютерів із версією Windows, ранішою за Windows Vista або Windows Server 2008 (не R2), служби, що працюють як локальна система та використовують SPNEGO (узгодження), які повертаються до NTLM, використовують посвідчення комп’ютера. У Windows 7, якщо ви підключаєтесь до комп’ютера під керуванням Windows Server 2008 або Windows Vista, тоді системна служба використовує ідентифікатор комп’ютера або сеанс NULL. Коли при з’єднанні з сеансом NULL створюється згенерований системою ключ сеансу, який не забезпечує захисту, але дозволяє програмам підписувати та шифрувати дані без помилок. Під час з’єднання з ідентифікатором комп’ютера підтримується як підпис, так і шифрування щоб забезпечити захист даних.

Служби, що працюють як локальна система, які використовують Negotiate під час повернення до NTLM автентифікація використовуватиме ідентифікатор комп’ютера. Це може призвести до певної автентифікації запити між операційними системами Windows завершуються помилкою та реєструють помилку.

Значення за замовчуванням: Вимкнено. (Служби, що працюють як локальна система, які використовують Negotiate під час повернення до автентифікації NTLM, автентифікуватимуться анонімно.)

2.3.11.2 Переконайтеся, що для параметра «Безпека мережі: Дозволити резервний сеанс LocalSystem NULL» встановлено значення «Вимкнено» (Автоматизовано)

Оригінал: Ensure ‘Network security: Allow LocalSystem NULL session fallback’ is set to ‘Disabled’ (Automated)

Цей параметр політики визначає, чи дозволено NTLM повернутися до сеансу NULL при використанні з LocalSystem. Рекомендований стан для цього параметра: вимкнено.

Сеанси NULL менш безпечні, оскільки за визначенням вони не автентифіковані.

Немає – це типова поведінка. Будь-які програми, для яких потрібні NULL сеанси LocalSystem не працюватиме, як було задумано.

Значення за замовчуванням: Вимкнено. (NTLM не матиме дозволу повернутися до NULL-сеансу під час використання з LocalSystem.)

2.3.11.5 Переконайтеся, що для параметра «Безпека мережі: примусовий вихід із системи після закінчення часу входу» встановлено значення «Увімкнено» (Вручну)

Оригінал: Ensure ‘Network security: Force logoff when logon hours expire’ is set to ‘Enabled’ (Manual)

Цей параметр політики визначає, чи потрібно відключати користувачів, підключених до на локальному комп’ютері поза межами дійсного часу входу в обліковий запис користувача. Цей параметр впливає на Компонент блоку повідомлень сервера (SMB). Якщо ви ввімкнете цей параметр політики, ви повинні також увімкніть мережевий сервер Microsoft: від’єднайте клієнтів, коли закінчиться час входу (Правило 2.3.9.4). Рекомендований стан для цього параметра: увімкнено.

Якщо цей параметр вимкнено, користувач може залишатися підключеним до комп’ютера за межами свого виділені години входу в систему.

Немає – це типова поведінка.

Значення за замовчуванням: Увімкнено. (Коли закінчується час входу користувача, клієнтські сеанси із сервером SMB буде примусово відключено. Користувач не зможе увійти до комп’ютера, доки не почнеться наступний запланований час доступу.)

2.3.11.6 Переконайтеся, що для параметра «Безпека мережі: рівень автентифікації LAN Manager» встановлено значення «Надіслати лише відповідь NTLMv2». Відмова від LM і NTLM’ (Автоматизовано)

Оригінал: Ensure ‘Network security: LAN Manager authentication level’ is set to ‘Send NTLMv2 response only. Refuse LM & NTLM’ (Automated)

Цей параметр політики визначає протокол автентифікації виклику чи відповіді використовується для входу в мережу. Цей вибір впливає на рівень протоколу автентифікації, який використовує клієнти, узгоджений рівень безпеки сеансу та прийнятий рівень автентифікації серверами. LAN Manager (LM) — це сімейство раннього програмного забезпечення Microsoft клієнт/сервер (перед Windows NT), що дозволяло користувачам об’єднувати персональні комп’ютери в один мережі. Можливості мережі LM включали прозорий спільний доступ до файлів і друку, користувача функції безпеки та засоби адміністрування мережі. У доменах Active Directory Протокол Kerberos є стандартним протоколом автентифікації. Однак, якщо Kerberos протокол не узгоджується з якоїсь причини, Active Directory використовуватиме LM, NTLM або NTLMv2. Автентифікація LAN Manager включає LM, NTLM і NTLM версії 2 (NTLMv2) і є протоколом, який використовується для автентифікації всіх клієнтів Windows коли вони виконують такі операції: • Приєднатися до домену • Автентифікація між лісами Active Directory • Автентифікація в доменах нижнього рівня • Автентифікація на комп’ютерах, які не працюють під керуванням Windows 2000, Windows Server 2003, або Windows XP • Автентифікуйте комп’ютери, які не входять до домену Рекомендований стан для цього параметра: надсилати лише відповідь NTLMv2. Відмовити ЛМ & NTLM.

Клієнти Windows 2000 і Windows XP були налаштовані за замовчуванням для надсилання LM і Відповіді автентифікації NTLM (клієнти на базі Windows 95 і Windows 98 відправляти тільки LM). Параметри за замовчуванням в ОС, що передували Windows Vista / Windows Server 2008 (не R2) дозволив усім клієнтам автентифікуватися на серверах і використовувати їхні ресурси. Однак це означало, що відповіді LM – найслабша форма відповіді автентифікації – були надіслані мережею, і зловмисники потенційно могли це винюхати трафік, щоб легше відтворити пароль користувача. Операційні системи Windows 95, Windows 98 і Windows NT не можуть використовувати Протокол Kerberos версії 5 для автентифікації. З цієї причини в Windows Server 2003, ці комп’ютери автентифікуються за замовчуванням як за допомогою LM, так і NTLM протоколи для мережевої автентифікації. Може бути більш безпечний протокол автентифікації примусово для Windows 95, Windows 98 і Windows NT за допомогою NTLMv2. Для входу в систему NTLMv2 використовує безпечний канал для захисту процесу автентифікації. Навіть якщо NTLMv2 використовується для старих клієнтів і серверів, клієнтів і серверів на базі Windows, які члени домену використовуватимуть протокол автентифікації Kerberos для автентифікації з Windows Server 2003 або новішими контролерами домену. З цих причин це так настійно вважав за краще максимально обмежити використання LM і NTLM (не-v2).

Клієнти використовують лише автентифікацію NTLMv2 і використовують захист сеансу NTLMv2, якщо сервер підтримує його; Контролери домену відмовляються від LM і NTLM (приймають лише NTLMv2 автентифікація). Клієнти, які не підтримують автентифікацію NTLMv2, не зможуть автентифікуватися в домені та отримувати доступ до ресурсів домену за допомогою LM і NTLM.

Значення за замовчуванням: Надсилати лише відповідь NTLMv2. (Клієнти використовують лише автентифікацію NTLMv2 і використовують безпеку сеансу NTLMv2, якщо це підтримує сервер; контролери домену приймають автентифікацію LM, NTLM і NTLMv2.)

2.3.11.7 Переконайтеся, що для параметра «Безпека мережі: вимоги до шифрування клієнта LDAP» встановлено значення «Узгодити запечатування» або вище (Автоматизовано)

Оригінал: Ensure ‘Network security: LDAP client encryption requirements’ is set to ‘Negotiate sealing’ or higher (Automated)

Цей параметр політики визначає рівень шифрування даних, який запитується від імені клієнти, які видають запити LDAP BIND. Рекомендований стан для цього параметра: узгоджувати запечатування. Налаштування цього параметра Вимагати ущільнення також відповідає Еталонному тесту. Примітка. Цей параметр політики не впливає на просте прив’язування LDAP (ldap_simple_bind) або просте прив’язування LDAP через SSL (ldap_simple_bind_s).

Незашифрований мережевий трафік сприйнятливий до атак типу “людина посередині”, у яких зловмисник захоплює пакети між клієнтом і сервером, змінює їх, а потім пересилає їх на сервер. Для сервера LDAP така сприйнятливість означає загрозу може змусити сервер приймати рішення, які ґрунтуються на неправдивих або змінених даних з запити LDAP. Щоб зменшити цей ризик у вашій мережі, ви можете застосувати сильні фізичні заходи безпеки для захисту мережевої інфраструктури. Крім того, ви можете робити всі види атаки “людина посередині” надзвичайно складні, якщо вам потрібне шифрування в усій мережі пакети за допомогою заголовків автентифікації IPsec.

Немає – це типова поведінка. Однак, якщо цей параметр налаштовано на вимогу шифрування LDAP на сервері, тоді він також має бути налаштовано на вимогу клієнта. Якщо він не налаштований на клієнті, він буде не мати змоги зв’язатися із сервером, що може призвести до збою функцій, зокрема автентифікація користувача, групова політика та сценарії входу. Це тому, що абонент буде сказав, що запит команди LDAP BIND не виконано.

Значення за замовчуванням: Увімкнено: узгоджувати запечатування (шифрування).

2.3.11.8 Переконайтеся, що для параметра «Безпека мережі: вимоги до підпису клієнта LDAP» встановлено значення «Узгодження підпису» або вище (Автоматизовано)

Оригінал: Ensure ‘Network security: LDAP client signing requirements’ is set to ‘Negotiate signing’ or higher (Automated)

Цей параметр політики визначає рівень підпису даних, який запитується від імені клієнти, які видають запити LDAP BIND. Рекомендований стан для цього параметра: узгодити підписання. Налаштування цього параметра Вимагати підписання також відповідає Еталонному тесту. Примітка. Цей параметр політики не впливає на просте прив’язування LDAP (ldap_simple_bind) або просте прив’язування LDAP через SSL (ldap_simple_bind_s). немає Клієнти Microsoft LDAP, які входять до складу Windows XP Professional, використовують ldap_simple_bind або ldap_simple_bind_s для зв’язку з контролером домену.

Непідписаний мережевий трафік чутливий до атак типу “людина посередині”, під час яких зловмисник захоплює пакети між клієнтом і сервером, змінює їх, а потім пересилає їх на сервер. Для сервера LDAP ця сприйнятливість означає, що загрозливий актор може змусити сервер приймати рішення, які ґрунтуються на неправдивих або змінених даних з запити LDAP. Щоб зменшити цей ризик мережі, запровадьте надійний фізичний захист заходи захисту мережевої інфраструктури. Крім того, це може зробити всі типи людини в the-middle атаки надзвичайно складні, якщо вимагають цифрових підписів на всіх мережевих пакетах за допомогою заголовків автентифікації IPsec.

Немає – це типова поведінка. Однак, якщо вибрано параметр вимагати підписи LDAP, клієнт також повинен бути налаштованим. Якщо клієнт не налаштовано, він не зможе спілкуватися з сервера, що може спричинити збій багатьох функцій, зокрема автентифікації користувача, Group Політика та сценарії входу, оскільки абоненту буде сказано, що команда LDAP BIND запит не вдалося.

Значення за замовчуванням: Домовитися про підписання. (Якщо рівень безпеки транспортного рівня/рівень захищених сокетів (TLS/SSL) не запущено, запит LDAP BIND ініціюється з опцією підпису даних LDAP, встановленою на додаток до параметрів, указаних абонентом. Якщо TLS/SSL запущено, запит LDAP BIND ініціюється з параметрами, визначеними абонентом.)

2.3.11.11 Переконайтеся, що для параметра «Безпека мережі: Обмежити NTLM: аудит вхідного трафіку NTLM» встановлено значення «Увімкнути аудит для всіх облікових записів» (Автоматизовано)

Оригінал: Ensure ‘Network security: Restrict NTLM: Audit Incoming NTLM Traffic’ is set to ‘Enable auditing for all accounts’ (Automated)

Цей параметр політики дозволяє перевіряти вхідний трафік NTLM. Події для цього налаштування реєструються в журналі операційних подій (наприклад, програми та служби Журнал\Microsoft\Windows\NTLM). Рекомендований стан для цього параметра: увімкнути аудит для всіх облікових записів.

Аудит і моніторинг трафіку NTLM можуть допомогти ідентифікувати системи, які використовують це застарілий протокол автентифікації, тому їх можна виправити на використання більш безпечного протокол, наприклад Kerberos. Зібрана інформація журналу також може допомогти в криміналістиці розслідування після зловмисної атаки. Аутентифікація NTLM і NTLMv2 вразлива до різноманітних атак, включаючи ретрансляцію SMB, людина посередині та атаки грубою силою. Зменшення та усунення NTLM автентифікація в середовищі знижує ризик отримання доступу зловмисника системи в мережі.

Журнал подій міститиме інформацію про вхідний трафік автентифікації NTLM.

Значення за замовчуванням: Вимкнено. (Вхідний трафік NTLM не реєструється.)

2.3.11.12 Переконайтеся, що для параметра «Безпека мережі: Обмежити NTLM: вихідний трафік NTLM на віддалені сервери» встановлено значення «Аудит усіх» або вище (Автоматизовано)

Оригінал: Ensure ‘Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers’ is set to ‘Audit all’ or higher (Automated)

Цей параметр політики дозволяє перевіряти вихідний трафік NTLM. Події для цього налаштування реєструються в журналі операційних подій (наприклад, програми та служби Журнал\Microsoft\Windows\NTLM). Рекомендований стан для цього параметра: Аудит усіх. Налаштування цього параметра на Заборонити Все також відповідає тесту. Примітка. Налаштування цього параметра на «Заборонити все» є більш безпечним, однак воно може мати негативний вплив на програми, які все ще потребують NTLM. Перед тим ретельно перевірте реалізуючи значення Deny All.

Аудит і моніторинг трафіку NTLM можуть допомогти ідентифікувати системи, які використовують це застарілий протокол автентифікації, тому їх можна виправити на використання більш безпечного протокол, наприклад Kerberos. Зібрана інформація журналу також може допомогти в криміналістиці розслідування після зловмисної атаки. Аутентифікація NTLM і NTLMv2 вразлива до різноманітних атак, включаючи ретрансляцію SMB, людина посередині та атаки грубою силою. Зменшення та усунення NTLM автентифікація в середовищі знижує ризик отримання доступу зловмисника системи в мережі.

Журнал подій міститиме інформацію про вихідний трафік автентифікації NTLM.

Значення за замовчуванням: Дозволити всім. (Клієнт може автентифікуватися на віддалених серверах за допомогою автентифікації NTLM.)

2.3.15.1 Переконайтеся, що для параметра «Системні об’єкти: вимагати нечутливості до регістру для підсистем, відмінних від Windows» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘System objects: Require case insensitivity for non-Windows subsystems’ is set to ‘Enabled’ (Automated)

Цей параметр політики визначає, чи застосовуватиметься нечутливість до регістру для всіх підсистем. Підсистема Microsoft Win32 нечутлива до регістру. Однак ядро підтримує випадок чутливість для інших підсистем, наприклад інтерфейсу портативної операційної системи для UNIX (POSIX). Оскільки Windows нечутлива до регістру (але підсистема POSIX буде підтримка чутливості до регістру), невиконання цього параметра політики робить можливим a користувач підсистеми POSIX для створення файлу з тим же ім’ям, що й інший файл використання змішаного регістру для його позначення. Така ситуація може заблокувати доступ до цих файлів іншим користувача, який використовує типові інструменти Win32, тому що лише один із файлів буде доступним. Рекомендований стан для цього параметра: увімкнено.

Оскільки Windows не чутлива до регістру, але підсистема POSIX підтримує регістр чутливості, якщо не ввімкнути цей параметр політики, це стане можливим для користувача підсистема для створення файлу з такою самою назвою, як інший файл, але з іншою сумішшю великі та малі літери. Така ситуація потенційно може заплутати користувачів, коли вони намагаються отримати доступ до таких файлів за допомогою звичайних інструментів Win32, тому що це буде лише один із файлів бути доступним.

Немає – це типова поведінка.

Значення за замовчуванням: Увімкнено. (Усі підсистеми будуть змушені дотримуватися нечутливості до регістру. Ця конфігурація може заплутати користувачів, які знайомі з будь-якою операційною системою на базі UNIX, яка чутлива до регістру.)

2.3.15.2 Переконайтеся, що для параметра «Системні об’єкти: посилити дозволи за замовчуванням внутрішніх системних об’єктів (наприклад, символічних посилань)» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘System objects: Strengthen default permissions of internal system objects (e.g. Symbolic Links)’ is set to ‘Enabled’ (Automated)

Цей параметр політики визначає надійність дискреційного списку керування доступом за умовчанням (DACL) для об’єктів. Active Directory підтримує глобальний список спільних системних ресурсів, такі як імена пристроїв DOS, м’ютекси та семафори. Таким чином об’єкти можуть бути розташовані та розподілені між процесами. Кожен тип об’єкта створюється за умовчанням DACL, який визначає, хто може отримати доступ до об’єктів і які дозволи надаються. Рекомендований стан для цього параметра: увімкнено.

Цей параметр визначає міцність стандартного DACL для об’єктів. Windows підтримує глобальний список спільних комп’ютерних ресурсів, щоб об’єкти можна було знайти та надати спільний доступ серед процесів. Кожен тип об’єкта створюється за допомогою DACL за замовчуванням, який визначає, хто може отримати доступ до об’єктів і з якими дозволами.

Немає – це типова поведінка.

Значення за замовчуванням: Увімкнено. (За замовчуванням DACL є сильнішим, що дозволяє користувачам, які не є адміністраторами, читати спільні об’єкти, але не дозволяє цим користувачам змінювати спільні об’єкти, які вони не створювали.)

2.3.17.1 Переконайтеся, що для параметра «Контроль облікових записів користувачів: режим схвалення адміністратора для вбудованого облікового запису адміністратора» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘User Account Control: Admin Approval Mode for the Built-in Administrator account’ is set to ‘Enabled’ (Automated)

Цей параметр політики керує поведінкою режиму схвалення адміністратора для вбудованого Обліковий запис адміністратора. Рекомендований стан для цього параметра: увімкнено.

Однією з небезпек є функція контролю облікових записів користувачів, представлена в Windows Vista спроба пом’якшити це шкідливе програмне забезпечення, що працює під підвищеними обліковими даними без користувач або адміністратор знають про його діяльність. Вектор атаки для цих програм було виявити пароль облікового запису під назвою «Адміністратор», оскільки цей користувач обліковий запис створено для всіх установок Windows. Щоб усунути цей ризик, у Windows У Vista або новішій версії вбудований обліковий запис адміністратора тепер вимкнено за замовчуванням. У замовчуванні установка нового комп’ютера, облікові записи з адміністративним контролем комп’ютера спочатку налаштовуються одним із двох способів: • Якщо комп’ютер не приєднано до домену, перший обліковий запис користувача, який ви створюєте, має еквівалентні дозволи локального адміністратора. • Якщо комп’ютер приєднано до домену, облікових записів локального адміністратора немає створений. Адміністратор підприємства або домену повинен увійти на комп’ютер і створіть його, якщо необхідний обліковий запис локального адміністратора. Після встановлення Windows вбудований обліковий запис адміністратора можна ввімкнути вручну, але ми наполегливо рекомендуємо залишити цей обліковий запис вимкненим.

Вбудований обліковий запис адміністратора використовує режим затвердження адміністратора. Користувачі, які входять до системи за допомогою локальний обліковий запис адміністратора запитуватиме згоду під час запуску програми запитує підвищення привілеїв, як і будь-який інший користувач.

Значення за замовчуванням: Вимкнено. (Вбудований обліковий запис адміністратора запускає всі програми з повними правами адміністратора.)

2.3.17.4 Переконайтеся, що для параметра «Контроль облікових записів користувачів: виявлення встановлення програм і запит на підвищення» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘User Account Control: Detect application installations and prompt for elevation’ is set to ‘Enabled’ (Automated)

Цей параметр політики контролює поведінку виявлення встановлення програми для комп’ютер. Рекомендований стан для цього параметра: увімкнено.

Деяке зловмисне програмне забезпечення спробує встановити себе після того, як йому буде надано дозвіл на запуск. Наприклад, шкідливе програмне забезпечення з довіреною оболонкою програми. Користувач може мати дали дозвіл на запуск програми, оскільки програмі довіряють, але якщо вони є потім буде запропоновано інсталювати невідомий компонент, це надає інший спосіб захоплення програмного забезпечення, перш ніж воно може завдати шкоди

Коли виявлено інсталяційний пакет програми, який потребує підвищення привілеїв, користувачеві пропонується ввести ім’я користувача адміністратора та пароль. Якщо користувач вводить дійсні облікові дані, операція продовжується з відповідним привілеєм.

Значення за замовчуванням: Вимкнено. (За замовчуванням для підприємства. Пакети інсталяції програми не виявляються та не вимагають підвищення прав.)

2.3.17.6 Переконайтеся, що для параметра «Контроль облікових записів користувачів: запустити всіх адміністраторів у режимі затвердження адміністратора» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘User Account Control: Run all administrators in Admin Approval Mode’ is set to ‘Enabled’ (Automated)

Цей параметр політики контролює поведінку всієї політики контролю облікових записів користувачів (UAC). налаштування для комп’ютера. Якщо ви зміните цей параметр політики, вам потрібно перезапустити свій комп’ютер. Рекомендований стан для цього параметра: увімкнено. Примітка. Якщо цей параметр політики вимкнено, Центр безпеки повідомить вас, що загальна безпеку операційної системи було знижено.

Це налаштування, яке вмикає або вимикає UAC. Якщо цей параметр вимкнено, UAC не буде використовуватися, і будь-які переваги безпеки та зменшення ризиків, які залежать від UAC, не будуть бути присутнім у системі.

Немає – це типова поведінка. Користувачам і адміністраторам потрібно буде навчитися працювати з підказками UAC і налаштувати свої робочі звички, щоб використовувати операції з найменшими привілеями.

Значення за замовчуванням: Увімкнено. (Режим схвалення адміністратора ввімкнено. Цю політику потрібно ввімкнути, а відповідні параметри політики UAC також потрібно встановити відповідним чином, щоб дозволити вбудованому обліковому запису адміністратора та всім іншим користувачам, які входять до групи адміністраторів, працювати в режимі схвалення адміністратора.)

2.3.17.7 Переконайтеся, що для параметра «Контроль облікових записів користувачів: перемикатися на захищений робочий стіл під час запиту на підвищення» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘User Account Control: Switch to the secure desktop when prompting for elevation’ is set to ‘Enabled’ (Automated)

Цей параметр політики контролює, чи відображатиметься підказка запиту на підвищення на інтерактивний робочий стіл користувача або безпечний робочий стіл. Рекомендований стан для цього параметра: увімкнено.

Стандартні діалогові вікна підказки про підвищення рівня можуть бути підроблені, що може призвести до фальсифікації користувачів розкривати свої паролі шкідливому програмному забезпеченню. Безпечний робочий стіл представляє дуже виразний вигляд під час запиту висоти, коли робочий стіл користувача затемнюється, і користувальницький інтерфейс підказки про підвищення є більш помітним. Це збільшує ймовірність того, що користувачі, які звикнувши до захищеного робочого столу, розпізнає підроблену підказку підвищення прав діалогове вікно та не піддайтеся на хитрість.

Немає – це типова поведінка.

Значення за замовчуванням: Увімкнено. (Усі запити на підвищення прав надходять на захищений робочий стіл незалежно від налаштувань політики швидкої поведінки для адміністраторів і стандартних користувачів.)

2.3.17.8 Переконайтеся, що для параметра «Контроль облікових записів користувачів: віртуалізація помилок запису файлів і реєстру в місця для кожного користувача» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘User Account Control: Virtualize file and registry write failures to per-user locations’ is set to ‘Enabled’ (Automated)

Цей параметр політики контролює, чи перенаправляються помилки запису програми на визначені розташування реєстру та файлової системи. Цей параметр політики пом’якшує програми, які запускаються як адміністратора та записувати дані програми під час виконання до: • %ProgramFiles% • %windir% • %windir%\System32 • HKLM\ПРОГРАМНЕ ЗАБЕЗПЕЧЕННЯ Рекомендований стан для цього параметра: увімкнено.

Цей параметр зменшує вразливість, гарантуючи, що застарілі програми лише записують дані до дозволених місць.

Немає – це типова поведінка.

Значення за замовчуванням: Увімкнено. (Помилки запису програми перенаправляються під час виконання до визначених розташувань користувача як для файлової системи, так і для реєстру.)