33. Взаємодія та персоналізація (Windows Experience)

Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.

Рекомендацій: 5

Windows 11 Intune v5.0.0

33.1 Переконайтеся, що для параметра «Дозволити Cortana» встановлено значення «Блокувати»

Рівень 1 (L1)Автоматизовано

            Оригінал:
        

Цей параметр політики визначає, чи дозволено Cortana на пристрої. Рекомендований стан для цього параметра: Блокувати.

💡 Обґрунтування безпеки:

Якщо Cortana ввімкнено, конфіденційна інформація може міститися в історії пошуку та надіслано до Microsoft.

⚠️ Вплив на робочий процес (Impact):

Cortana буде вимкнено. Користувачі все ще зможуть використовувати пошук, щоб знаходити речі на пристрою та в Інтернеті.

🔍 Аудит (перевірка налаштувань)

Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\Experience:AllowCortana_WinningProvider

Перейдіть до наступного розташування реєстру та переконайтеся, що значення встановлено на 0.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\Experience:AllowCortana

⚙️ Виправлення (Remediation / Налаштування)

Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань для блокування: Досвід\Дозволити Cortana

Значення за замовчуванням: Увімкнено. (Cortana буде дозволено на пристрої.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- experience#allowcortana 2. Minimum OS CSP: Windows 10, Version 1507 and later 3. GRID: MS-00000509 `

CIS Controls: `




                    CIS Controls V8: 4.8

                    IG 1, 2
                
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.



                    CIS Controls V7: 9.2

                    IG 1, 2
                
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.




33.2 Переконайтеся, що для параметра «Дозволити колекцію Spotlight (користувач)» встановлено значення «0».
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр політики видаляє налаштування колекції Spotlight у персоналізації, відтворення користувач не може вибирати та згодом завантажувати щоденні зображення з Microsoft на робочий стіл системи. Рекомендований стан для цього параметра: 0.




                💡 Обґрунтування безпеки:
            
Вимкнувши це налаштування, ви гарантуєте, що ваші дані не передаються третім сторонам. The Функція Windows Spotlight збирає дані та використовує їх для відображення зображень Microsoft.




                ⚠️ Вплив на робочий процес (Impact):
            
Функція колекції Spotlight буде недоступна як опція в Налаштування персоналізації, тому користувачі не зможуть завантажувати щоденні зображення з Microsoft.




                🔍 Аудит (перевірка налаштувань)
            

Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\(USERSID)\Experience:AllowSpotlightCollection_WinningProvider

Перейдіть до наступного розташування реєстру та переконайтеся, що значення встановлено на 0.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\(USERSID)\Experience:AllowSpotlightCollection




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до 0: Experience\Allow Spotlight Collection (користувач)


Значення за замовчуванням: Увімкнено. (Колекція Spotlight з’явиться як опція в налаштуваннях персоналізації,  дозволяючи користувачеві вибрати колекцію Spotlight як постачальника робочого столу та відображення  щоденні зображення від Microsoft на робочому столі.)


            ℹ️ Додаткова інженерна інформація (Additional Information):
        

Застосовується лише до Windows 11.



📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/configuration/windows-spotlight 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- Experience?WT.mc_id=Portal-fx#allowspotlightcollection 3. GRID: MS-00000565 4. Minimum OS CSP: Windows 11, Version 21H2 and later `

CIS Controls: ` 



                    CIS Controls V8: 4.8

                    IG 1, 2
                
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.






33.3 Переконайтеся, що для параметра «Дозволити Windows Spotlight (користувач)» встановлено значення «Блокувати»
Рівень 2 (L2)Автоматизовано



            Оригінал:
        

Цей параметр політики визначає, чи ввімкнено всі функції Windows Spotlight увімкнути/вимкнути (разом). Рекомендований стан для цього параметра: Блокувати. Примітка. Відповідно до Microsoft TechNet цей параметр політики застосовується лише до Windows 10 Enterprise і випуски Windows 10 Education. Примітка №2: встановлення цієї рекомендації на Блокувати також вимикає рекомендацію Дозволити адаптований досвід роботи з діагностичними даними, які включені до попередні тести робочої станції. Відтоді він не був включений у версію Intune налаштування автоматично вимикається.




                💡 Обґрунтування безпеки:
            
Вимкнувши це налаштування, ви гарантуєте, що ваші дані не передаються третім сторонам. The Функція Windows Spotlight збирає дані та використовує їх для відображення запропонованих програм а також зображення з Інтернету.




                ⚠️ Вплив на робочий процес (Impact):
            
Windows Spotlight на екрані блокування, поради Windows, споживчі функції Microsoft та інші пов’язані функції будуть вимкнені.




                🔍 Аудит (перевірка налаштувань)
            

Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\(USERSID)\Experience:AllowWindowsSpotlight_WinningProvider

Перейдіть до наступного розташування реєстру та переконайтеся, що значення встановлено на 0.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\(USERSID)\Experience:AllowWindowsSpotlight




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань для блокування: Experience\Allow Windows Spotlight (користувач)


Значення за замовчуванням: Вимкнено. (Дозволяються функції Windows Spotlight.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- experience#allowwindowsspotlight 2. Minimum OS CSP: Windows 10, Version 1607 and later 3. GRID: MS-00000564 `

CIS Controls: ` 



                    CIS Controls V8: 4.8

                    IG 1, 2
                
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.



                    CIS Controls V7: 9.2

                    IG 1, 2
                
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.






33.4 Переконайтеся, що для параметра «Вимкнути вміст стану облікового запису споживача» встановлено значення «Увімкнено»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр політики визначає, чи дозволено вміст стану облікового запису користувача в хмарі у всіх версіях Windows. Рекомендований стан для цього параметра: увімкнено.




                💡 Обґрунтування безпеки:
            
Використання облікових записів споживачів у корпоративному керованому середовищі є поганим безпеки, оскільки це може призвести до можливого витоку даних.




                ⚠️ Вплив на робочий процес (Impact):
            
Користувачі не зможуть використовувати облікові записи споживачів Microsoft у системі та натомість пов’язані програми Windows відображатимуть резервний вміст за замовчуванням.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\CloudContent:DisableConsumerAccountStateContent




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Досвід\Вимкнути вміст стану облікового запису споживача


Значення за замовчуванням: Вимкнено. (Програми Windows можуть використовувати хмарні облікові записи користувачів.)


            ℹ️ Додаткова інженерна інформація (Additional Information):
        

Застосовується лише до Windows 11.



📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- experience#disableconsumeraccountstatecontent 2. GRID: MS-00000425 3. Minimum OS CSP: Windows 11, Version 21H2 and later `

CIS Controls: ` 



                    CIS Controls V8: 5.6

                    IG 1, 2
                
Centralize Account Management Centralize account management through a directory or identity service.






33.5 Переконайтеся, що для параметра «Не показувати сповіщення про відгуки» встановлено значення «Сповіщення про відгуки вимкнено»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр політики дозволяє організації заборонити своїм пристроям показувати відгуки питання від Microsoft. Рекомендований стан для цього параметра: сповіщення про відгуки вимкнено.




                💡 Обґрунтування безпеки:
            
Користувачі не повинні надсилати жодних відгуків стороннім постачальникам на підприємстві кероване середовище.




                ⚠️ Вплив на робочий процес (Impact):
            
Користувачі більше не бачитимуть сповіщень про відгуки через програму Windows Feedback.




                🔍 Аудит (перевірка налаштувань)
            

Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\Experience:DoNotShowFeedbackNotifications_WinningProvider

Перейдіть до наступного розташування реєстру та переконайтеся, що значення встановлено на 1.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\Experience:DoNotShowFeedbackNotifications




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до сповіщень про відгуки вимкнено: Досвід\Не показувати сповіщення про відгуки


Значення за замовчуванням: Вимкнено. (Користувачі можуть бачити сповіщення через програму Windows Feedback із запитом  користувачів для відгуків. Користувачі можуть контролювати, як часто вони отримують запитання для зворотного зв’язку.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- experience#donotshowfeedbacknotifications 2. Minimum OS CSP: Windows 10, Version 1607 and later 3. GRID: MS-00000435 `

CIS Controls: ` 



                    CIS Controls V8: 0.0

                    IG 1
                
Explicitly Not Mapped Explicitly Not Mapped



                    CIS Controls V7: 9.2

                    IG 1, 2
                
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.


        


Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.
            

                До повного змісту CIS Microsoft Intune Benchmark →