37. Брандмауер Захисника Windows (Microsoft Defender Firewall)

Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.

Рекомендацій: 23

Windows 11 Intune v5.0.0

37.1 Переконайтеся, що для параметра «Увімкнути брандмауер доменної мережі» встановлено значення «Правда»

Рівень 1 (L1)Автоматизовано

            Оригінал:
        

Виберіть Правда (рекомендовано), щоб брандмауер Windows із розширеною безпекою використовував налаштування цього профілю для фільтрації мережевого трафіку. Якщо вибрати False, брандмауер Windows з Advanced Security не використовуватиме жодні правила брандмауера чи правила безпеки підключення цей профіль. Рекомендований стан для цього параметра: True.

💡 Обґрунтування безпеки:

Якщо брандмауер вимкнено, увесь трафік матиме доступ до системи та зловмисника може легше віддалено використовувати слабкі місця в мережевій службі.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)

Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.

HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Mdm\DomainProfile:EnableFirewall

⚙️ Виправлення (Remediation / Налаштування)

Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до True: Брандмауер\Увімкнути брандмауер доменної мережі

Значення за замовчуванням: Увімкнено (рекомендовано). (Брандмауер Windows із розширеною безпекою буде активним у цьому випадку профіль.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows- firewall/best-practices-configuring 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/firewall-csp 3. GRID: MS-00000173 4. Minimum OS CSP: Windows 10, Version 1709 and later `

CIS Controls: `




                    CIS Controls V8: 4.5

                    IG 1, 2, 3
                
Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V7: 9.4

                    IG 1, 2, 3
                
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.




37.2 Переконайтеся, що для параметра «Увімкнути брандмауер доменної мережі: вхідна дія за замовчуванням для профілю домену» встановлено значення «Блокувати»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр визначає поведінку вхідних з’єднань, які не відповідають правило вхідного брандмауера. Рекомендований стан для цього параметра: Блокувати.




                💡 Обґрунтування безпеки:
            
Якщо брандмауер дозволяє всьому трафіку отримати доступ до системи, зловмиснику може бути легше можливість віддалено використовувати слабкі місця в мережевій службі.




                ⚠️ Вплив на робочий процес (Impact):
            
Немає – це типова поведінка.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Mdm\DomainProfile:DefaultInboundAction




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань для блокування: Брандмауер\Увімкнути брандмауер доменної мережі: вхідна дія за замовчуванням для домену Профіль


Значення за замовчуванням: Блокувати (за замовчуванням). (Брандмауер Windows із розширеною безпекою блокуватиме всі вхідні  підключення, які не відповідають правилу вхідного брандмауера в цьому профілі.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows- firewall/best-practices-configuring 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/firewall-csp 3. GRID: MS-00000174 4. Minimum OS CSP: Windows 10, Version 1709 and later `

CIS Controls: ` 



                    CIS Controls V8: 4.5

                    IG 1, 2, 3
                
Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V7: 9.4

                    IG 1, 2, 3
                
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V7: 11.2

                    IG 1, 2
                
Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.






37.3 Переконайтеся, що для параметра «Увімкнути брандмауер доменної мережі: вимкнути вхідні сповіщення» встановлено значення «Правда»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Виберіть цей параметр, щоб брандмауер Windows із розширеною безпекою відображав сповіщення користувачеві, коли програмі заблоковано отримання вхідних з’єднань. Рекомендований стан для цього параметра: True. Примітка: якщо для параметра Застосувати локальні правила брандмауера встановлено значення Ні, це рекомендовано також налаштувати параметр Відображати сповіщення на Ні. В іншому випадку користувачі продовжуватимуть отримувати повідомлення із запитом, чи хочуть вони розблокувати a обмежене вхідне з’єднання, але відповідь користувача буде проігнорована.




                💡 Обґрунтування безпеки:
            
Сповіщення брандмауера можуть бути складними та можуть заплутати кінцевих користувачів, які б не були здатний відповісти на попередження.




                ⚠️ Вплив на робочий процес (Impact):
            
Брандмауер Windows не відображатиме сповіщення, коли програму заблоковано отримання вхідних з’єднань.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Mdm\DomainProfile:DisableNotifications




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до True: Брандмауер\Увімкнути брандмауер доменної мережі: вимкнути вхідні сповіщення


Значення за замовчуванням: так (Брандмауер Windows із розширеною безпекою відобразить сповіщення, коли a  програмі заблоковано отримання вхідних з’єднань.)


            ℹ️ Додаткова інженерна інформація (Additional Information):
        

Застосовується лише до Windows 11.



📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows- firewall/best-practices-configuring 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/firewall-csp 3. GRID: MS-00000175 4. Minimum OS CSP: Windows 10, Version 1709 and later `

CIS Controls: ` 



                    CIS Controls V8: 4.5

                    IG 1, 2, 3
                
Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V7: 9.4

                    IG 1, 2, 3
                
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V7: 11.2

                    IG 1, 2
                
Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.






37.4 Переконайтеся, що для параметра «Увімкнути брандмауер доменної мережі: увімкнути журнал відкинутих пакетів» встановлено значення «Так: увімкнути журнал відкинутих пакетів».
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Використовуйте цей параметр, щоб реєструвати, коли брандмауер Windows із розширеною безпекою скидає вхідний пакет з будь-якої причини. Журнал записує, чому та коли пакет було скинуто. Шукайте записи зі словом DROP у колонці дії журналу. Рекомендований стан для цього параметра: Увімкнути журналювання відкинутих пакетів.




                💡 Обґрунтування безпеки:
            
Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії зловмисників.




                ⚠️ Вплив на робочий процес (Impact):
            
Інформація про скинуті пакети буде записана в файл журналу брандмауера.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Mdm\DomainProfile\Logging:LogDroppedPackets




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань, щоб увімкнути журналювання скинутих пакетів: Брандмауер\Увімкнути брандмауер доменної мережі: увімкнути журнал відкинутих пакетів


Значення за замовчуванням: Ні (за замовчуванням). (Інформація про скинуті пакети не буде записана в журнал брандмауера  файл.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/firewall-csp 2. GRID: MS-00000178 3. Minimum OS CSP: Windows 11, Version 21H2 and later `

CIS Controls: ` 



                    CIS Controls V8: 4.5

                    IG 1, 2, 3
                
Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V8: 8.5

                    IG 1, 2
                
Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.



                    CIS Controls V7: 6.3

                    IG 1, 2
                
Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.



                    CIS Controls V7: 9.4

                    IG 1, 2, 3
                
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.






37.5 Переконайтеся, що для параметра «Увімкнути брандмауер доменної мережі: увімкнути журнал успішних підключень» встановлено значення «Увімкнути журнал успішних підключень».
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Використовуйте цей параметр, щоб увійти, коли брандмауер Windows із розширеною безпекою дозволяє вхідне з’єднання. У журналі записується, чому і коли було створено з’єднання. Подивіться для записів зі словом ДОЗВОЛИТИ в колонці дії журналу. Рекомендований стан для цього параметра: Увімкнути журнал успішно Зв’язки.




                💡 Обґрунтування безпеки:
            
Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії зловмисників.




                ⚠️ Вплив на робочий процес (Impact):
            
Інформація про успішні підключення буде записана в файл журналу брандмауера.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Mdm\DomainProfile\Logging:LogSuccessfulConnections




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань для ввімкнення реєстрації успішних підключень: Брандмауер\Увімкнути брандмауер доменної мережі: увімкнути журнал успішних підключень


Значення за замовчуванням: Ні (за замовчуванням). (Інформація про успішні підключення не буде записана в  файл журналу брандмауера.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/firewall-csp 2. GRID: MS-00000179 3. Minimum OS CSP: Windows 11, Version 21H2 and later `

CIS Controls: ` 



                    CIS Controls V8: 4.5

                    IG 1, 2, 3
                
Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V8: 8.5

                    IG 1, 2
                
Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.



                    CIS Controls V7: 6.3

                    IG 1, 2
                
Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.



                    CIS Controls V7: 9.4

                    IG 1, 2, 3
                
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.






37.6 Переконайтеся, що налаштовано «Увімкнути брандмауер доменної мережі: шлях до файлу журналу».
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Використовуйте цей параметр, щоб вказати шлях і ім’я файлу, у якому брандмауер Windows записати інформацію журналу. Рекомендований стан для цього параметра: налаштовано. Приклад: %SystemRoot%\System32\logfiles\firewall\domainfw.log.




                💡 Обґрунтування безпеки:
            
Якщо події брандмауера Windows не записуються, це може бути важко або неможливо Адміністратори для аналізу системних проблем або несанкціонованих дій зловмисників. Microsoft зберігає всі події брандмауера як один файл у системі (pfirewall.log). до покращити журналювання, розділити кожен профіль брандмауера (доменний, приватний, загальнодоступний) на окремий окремий файл журналу (domainfw.log, privatefw.log, publicfw.log) для кращої організації та визначення конкретних проблем у кожному профілі.




                ⚠️ Вплив на робочий процес (Impact):
            
Файл журналу зберігатиметься в місці та файлі, визначених організацією.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з REG_SZ значення <шлях>\<ім'я файлу>.log.
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Mdm\DomainProfile\Logging:LogFilePath




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: log: Firewall\Enable Domain Network Firewall: Log File Path
Рекомендований стан: \


Значення за замовчуванням: %SystemRoot%\System32\logfiles\firewall\pfirewall.log


            ℹ️ Додаткова інженерна інформація (Additional Information):
        

Застосовується лише до Windows 11.



📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows- firewall/best-practices-configuring 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/firewall-csp 3. GRID: MS-00000176 4. Minimum OS CSP: Windows 11, Version 21H2 and later `

CIS Controls: ` 



                    CIS Controls V8: 8.2

                    IG 1, 2, 3
                
Collect Audit Logs Collect audit logs. Ensure that logging, per the enterprise’s audit log management process, has been enabled across enterprise assets.



                    CIS Controls V7: 6.3

                    IG 1, 2
                
Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.



                    CIS Controls V7: 9.4

                    IG 1, 2, 3
                
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.






37.7 Переконайтеся, що для параметра «Увімкнути брандмауер доменної мережі: максимальний розмір файлу журналу» встановлено значення «16 384 КБ або більше».
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Використовуйте цей параметр, щоб указати ліміт розміру файлу, у який брандмауер Windows записуватиме його інформація журналу. Рекомендований стан для цього параметра: 16 384 КБ або більше.




                💡 Обґрунтування безпеки:
            
Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії зловмисників.




                ⚠️ Вплив на робочий процес (Impact):
            
Розмір файлу журналу буде обмежено вказаним розміром, старі події будуть перезаписані новіші, коли досягнуто ліміту.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 16384.
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Mdm\DomainProfile\Logging:LogFileSize




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до 16 384 КБ або більше: Брандмауер\Увімкнути брандмауер доменної мережі: Максимальний розмір файлу журналу (КБ)


Значення за замовчуванням: 4096 Кб.


            ℹ️ Додаткова інженерна інформація (Additional Information):
        

Застосовується лише до Windows 11.



📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/firewall-csp 2. GRID: MS-00000177 3. Minimum OS CSP: Windows 11, Version 21H2 and later `

CIS Controls: ` 



                    CIS Controls V8: 8.3

                    IG 1, 2, 3
                
Ensure Adequate Audit Log Storage Ensure that logging destinations maintain adequate storage to comply with the enterprise’s audit log management process.



                    CIS Controls V7: 6.4

                    IG 1, 2
                
Ensure adequate storage for logs Ensure that all systems that store logs have adequate storage space for the logs generated.



                    CIS Controls V7: 9.4

                    IG 1, 2, 3
                
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.






37.8 Переконайтеся, що для параметра «Увімкнути брандмауер приватної мережі» встановлено значення «Правда»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Виберіть Правда (рекомендовано), щоб брандмауер Windows із розширеною безпекою використовував налаштування цього профілю для фільтрації мережевого трафіку. Якщо вибрати False, брандмауер Windows з Advanced Security не використовуватиме жодні правила брандмауера чи правила безпеки підключення цей профіль. Рекомендований стан для цього параметра: True (рекомендовано).




                💡 Обґрунтування безпеки:
            
Якщо брандмауер вимкнено, увесь трафік матиме доступ до системи та зловмисника може легше віддалено використовувати слабкі місця в мережевій службі.




                ⚠️ Вплив на робочий процес (Impact):
            
Немає – це типова поведінка.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Mdm\StandardProfile:EnableFirewall




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Settings Catalog path to True (recommended): Firewall\Enable Private Network Firewall


Значення за замовчуванням: Увімкнено (рекомендовано). (Брандмауер Windows із розширеною безпекою буде активним у цьому випадку  профіль.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows- firewall/best-practices-configuring 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/firewall-csp 3. GRID: MS-00000180 4. Minimum OS CSP: Windows 10, Version 1709 and later `

CIS Controls: ` 



                    CIS Controls V8: 4.5

                    IG 1, 2, 3
                
Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V7: 9.4

                    IG 1, 2, 3
                
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.






37.9 Переконайтеся, що для параметра «Увімкнути брандмауер приватної мережі: вхідна дія за замовчуванням для приватного профілю» встановлено значення «Блокувати»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр визначає поведінку вхідних з’єднань, які не відповідають правило вхідного брандмауера. Рекомендований стан для цього параметра: Блокувати.




                💡 Обґрунтування безпеки:
            
Якщо брандмауер дозволяє всьому трафіку отримати доступ до системи, зловмиснику може бути легше можливість віддалено використовувати слабкі місця в мережевій службі.




                ⚠️ Вплив на робочий процес (Impact):
            
Немає – це типова поведінка.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Mdm\StandardProfile:DefaultInboundAction




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань для блокування: Брандмауер\Увімкнути брандмауер приватної мережі: вхідна дія за умовчанням для приватного Профіль


Значення за замовчуванням: Блокувати (за замовчуванням). (Брандмауер Windows із розширеною безпекою блокуватиме всі вхідні  підключення, які не відповідають правилу вхідного брандмауера в цьому профілі.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows- firewall/best-practices-configuring 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/firewall-csp 3. GRID: MS-00000181 4. Minimum OS CSP: Windows 10, Version 1709 and later `

CIS Controls: ` 



                    CIS Controls V8: 4.5

                    IG 1, 2, 3
                
Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V7: 9.4

                    IG 1, 2, 3
                
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V7: 11.2

                    IG 1, 2
                
Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.






37.10 Переконайтеся, що для параметра «Увімкнути брандмауер приватної мережі: вимкнути вхідні сповіщення» встановлено значення «Правда»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Виберіть цей параметр, щоб брандмауер Windows із розширеною безпекою відображав сповіщення користувачеві, коли програмі заблоковано отримання вхідних з’єднань. Рекомендований стан для цього параметра: True. Примітка: якщо для параметра Застосувати локальні правила брандмауера встановлено значення Ні, це рекомендовано також налаштувати параметр Відображати сповіщення на Ні. В іншому випадку користувачі продовжуватимуть отримувати повідомлення із запитом, чи хочуть вони розблокувати a обмежене вхідне з’єднання, але відповідь користувача буде проігнорована.




                💡 Обґрунтування безпеки:
            
Сповіщення брандмауера можуть бути складними та можуть заплутати кінцевих користувачів, які б не були здатний відповісти на попередження.




                ⚠️ Вплив на робочий процес (Impact):
            
Брандмауер Windows не відображатиме сповіщення, коли програму заблоковано отримання вхідних з’єднань.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Mdm\StandardProfile:DisableNotifications




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до True: Брандмауер\Увімкнути брандмауер приватної мережі: вимкнути вхідні сповіщення


Значення за замовчуванням: так (Брандмауер Windows із розширеною безпекою відобразить сповіщення, коли a  програмі заблоковано отримання вхідних з’єднань.)


            ℹ️ Додаткова інженерна інформація (Additional Information):
        

Застосовується лише до Windows 11.



📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/firewall-csp 2. GRID: MS-00000182 3. Minimum OS CSP: Windows 10, Version 1709 and later `

CIS Controls: ` 



                    CIS Controls V8: 4.5

                    IG 1, 2, 3
                
Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V7: 9.4

                    IG 1, 2, 3
                
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V7: 11.2

                    IG 1, 2
                
Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.






37.11 Переконайтеся, що для параметра «Увімкнути брандмауер приватної мережі: увімкнути журнал успішних підключень» встановлено значення «Увімкнути журнал успішних підключень».
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Використовуйте цей параметр, щоб увійти, коли брандмауер Windows із розширеною безпекою дозволяє вхідне з’єднання. У журналі записується, чому і коли було створено з’єднання. Подивіться для записів зі словом ДОЗВОЛИТИ в колонці дії журналу. Рекомендований стан для цього параметра: Увімкнути журнал успішно Зв’язки.




                💡 Обґрунтування безпеки:
            
Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії зловмисників.




                ⚠️ Вплив на робочий процес (Impact):
            
Інформація про успішні підключення буде записана в файл журналу брандмауера.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Mdm\StandardProfile\Logging:LogSuccessfulConnections




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань для ввімкнення реєстрації успішних підключень: Брандмауер\Увімкнути брандмауер приватної мережі: увімкнути успішні підключення журналу


Значення за замовчуванням: Ні (за замовчуванням). (Інформація про успішні підключення не буде записана в  файл журналу брандмауера.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows- firewall/configure-the-windows-firewall-log 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/firewall-csp 3. GRID: MS-00000186 4. Minimum OS CSP: Windows 11, Version 21H2 and later `

CIS Controls: ` 



                    CIS Controls V8: 4.5

                    IG 1, 2, 3
                
Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V8: 8.5

                    IG 1, 2
                
Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.



                    CIS Controls V7: 6.3

                    IG 1, 2
                
Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.



                    CIS Controls V7: 9.4

                    IG 1, 2, 3
                
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.






37.12 Переконайтеся, що для параметра «Увімкнути брандмауер приватної мережі: увімкнути журнал відкинутих пакетів» встановлено значення «Так: увімкнути журнал відкинутих пакетів».
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Використовуйте цей параметр, щоб реєструвати, коли брандмауер Windows із розширеною безпекою скидає вхідний пакет з будь-якої причини. Журнал записує, чому та коли пакет було скинуто. Шукайте записи зі словом DROP у колонці дії журналу. Рекомендований стан для цього параметра: Увімкнути журналювання відкинутих пакетів.




                💡 Обґрунтування безпеки:
            
Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії зловмисників.




                ⚠️ Вплив на робочий процес (Impact):
            
Інформація про скинуті пакети буде записана в файл журналу брандмауера.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Mdm\StandardProfile\Logging:LogDroppedPackets




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань, щоб увімкнути журналювання скинутих пакетів: Брандмауер\Увімкнути брандмауер приватної мережі: увімкнути журнал відкинутих пакетів


Значення за замовчуванням: Ні (за замовчуванням). (Інформація про скинуті пакети не буде записана в журнал брандмауера  файл.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/firewall-csp 2. GRID: MS-00000185 3. Minimum OS CSP: Windows 11, Version 21H2 and later `

CIS Controls: ` 



                    CIS Controls V8: 4.5

                    IG 1, 2, 3
                
Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V8: 8.5

                    IG 1, 2
                
Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.



                    CIS Controls V7: 6.3

                    IG 1, 2
                
Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.



                    CIS Controls V7: 9.4

                    IG 1, 2, 3
                
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.






37.13 Переконайтеся, що налаштовано «Увімкнути брандмауер приватної мережі: шлях до файлу журналу».
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Використовуйте цей параметр, щоб вказати шлях і ім’я файлу, у якому брандмауер Windows записати інформацію журналу. Рекомендований стан для цього параметра: налаштовано. Приклад: %SystemRoot%\System32\logfiles\firewall\privatefw.log.




                💡 Обґрунтування безпеки:
            
Якщо події брандмауера Windows не записуються, це може бути важко або неможливо Адміністратори для аналізу системних проблем або несанкціонованих дій зловмисників. Microsoft зберігає всі події брандмауера як один файл у системі (pfirewall.log). до покращити журналювання, розділити кожен профіль брандмауера (доменний, приватний, загальнодоступний) на окремий окремий файл журналу (domainfw.log, privatefw.log, publicfw.log) для кращої організації та визначення конкретних проблем у кожному профілі.




                ⚠️ Вплив на робочий процес (Impact):
            
Файл журналу зберігатиметься в місці та файлі, визначених організацією.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з REG_SZ значення <шлях>\<ім'я файлу>.log.
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Mdm\StandardProfile\Logging:LogFilePath




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: log: Firewall\Enable Private Network Firewall: Log File Path
Рекомендований стан: \


Значення за замовчуванням: %SystemRoot%\System32\logfiles\firewall\pfirewall.log


            ℹ️ Додаткова інженерна інформація (Additional Information):
        

Застосовується лише до Windows 11.



📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows- firewall/best-practices-configuring 2. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows- firewall/configure-the-windows-firewall-log 3. https://learn.microsoft.com/en-us/windows/client-management/mdm/firewall-csp 4. GRID: MS-00000183 5. Minimum OS CSP: Windows 11, Version 21H2 and later `

CIS Controls: ` 



                    CIS Controls V8: 8.2

                    IG 1, 2, 3
                
Collect Audit Logs Collect audit logs. Ensure that logging, per the enterprise’s audit log management process, has been enabled across enterprise assets.



                    CIS Controls V7: 6.3

                    IG 1, 2
                
Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.



                    CIS Controls V7: 9.4

                    IG 1, 2, 3
                
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.






37.14 Переконайтеся, що для параметра «Увімкнути брандмауер приватної мережі: максимальний розмір файлу журналу» встановлено значення «16 384 КБ або більше».
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Використовуйте цей параметр, щоб указати ліміт розміру файлу, у який брандмауер Windows записуватиме його інформація журналу. Рекомендований стан для цього параметра: 16 384 КБ або більше.




                💡 Обґрунтування безпеки:
            
Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії зловмисників.




                ⚠️ Вплив на робочий процес (Impact):
            
Розмір файлу журналу буде обмежено вказаним розміром, старі події будуть перезаписані новіші, коли досягнуто ліміту.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 16384.
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Mdm\StandardProfile\Logging:LogFileSize




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до 16 384 КБ або більше: Брандмауер\Увімкнути брандмауер приватної мережі: Максимальний розмір файлу журналу (КБ)


Значення за замовчуванням: 1024 Кб.


            ℹ️ Додаткова інженерна інформація (Additional Information):
        

Застосовується лише до Windows 11.



📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows- firewall/configure-the-windows-firewall-log 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/firewall-csp 3. GRID: MS-00000184 4. Minimum OS CSP: Windows 11, Version 21H2 and later `

CIS Controls: ` 



                    CIS Controls V8: 8.3

                    IG 1, 2, 3
                
Ensure Adequate Audit Log Storage Ensure that logging destinations maintain adequate storage to comply with the enterprise’s audit log management process.



                    CIS Controls V7: 6.4

                    IG 1, 2
                
Ensure adequate storage for logs Ensure that all systems that store logs have adequate storage space for the logs generated.



                    CIS Controls V7: 9.4

                    IG 1, 2, 3
                
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.






37.15 Переконайтеся, що для параметра «Увімкнути брандмауер загальнодоступної мережі» встановлено значення «Правда»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Виберіть Правда (рекомендовано), щоб брандмауер Windows із розширеною безпекою використовував налаштування цього профілю для фільтрації мережевого трафіку. Якщо вибрати False, брандмауер Windows з Advanced Security не використовуватиме жодні правила брандмауера чи правила безпеки підключення цей профіль. Рекомендований стан для цього параметра: True (рекомендовано).




                💡 Обґрунтування безпеки:
            
Якщо брандмауер вимкнено, увесь трафік матиме доступ до системи та зловмисника може легше віддалено використовувати слабкі місця в мережевій службі.




                ⚠️ Вплив на робочий процес (Impact):
            
Немає – це типова поведінка.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Mdm\PublicProfile:EnableFirewall




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до True (рекомендовано): Брандмауер\Увімкнути брандмауер публічної мережі


Значення за замовчуванням: Увімкнено (рекомендовано). (Брандмауер Windows із розширеною безпекою буде активним у цьому випадку  профіль.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows- firewall/best-practices-configuring 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/firewall-csp 3. GRID: MS-00000187 4. Minimum OS CSP: Windows 10, Version 1709 and later `

CIS Controls: ` 



                    CIS Controls V8: 4.5

                    IG 1, 2, 3
                
Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V7: 9.4

                    IG 1, 2, 3
                
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.






37.16 Переконайтеся, що для параметра «Увімкнути брандмауер загальнодоступної мережі: дозволити злиття локальної політики Ipsec» встановлено значення «Хибне»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр визначає, чи дозволено локальним адміністраторам створювати з’єднання правила безпеки, які застосовуються разом із правилами безпеки підключення, налаштованими групою політика. Рекомендований стан для цього параметра: False.




                💡 Обґрунтування безпеки:
            
Користувачі з адміністративними привілеями можуть створювати правила брандмауера, які піддають систему віддалена атака.




                ⚠️ Вплив на робочий процес (Impact):
            
Адміністратори можуть створювати локальні правила безпеки підключення, але правил не буде застосовується.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Mdm\PublicProfile:AllowLocalIPsecPolicyMerge




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до False: Брандмауер\Увімкнути брандмауер загальнодоступної мережі: дозволити об’єднання локальної політики Ipsec


Значення за замовчуванням: Так (за замовчуванням). (Будуть застосовані правила безпеки локального підключення, створені адміністраторами.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/firewall-csp 2. GRID: MS-00000191 3. Minimum OS CSP: Windows 10, Version 1709 and later `

CIS Controls: ` 



                    CIS Controls V8: 4.5

                    IG 1, 2, 3
                
Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V7: 9.4

                    IG 1, 2, 3
                
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V7: 11.2

                    IG 1, 2
                
Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.






37.17 Переконайтеся, що для параметра «Увімкнути загальнодоступний мережевий брандмауер: дозволити об’єднання локальної політики» встановлено значення «Хибне»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр визначає, чи дозволено локальним адміністраторам створювати локальний брандмауер правила, які застосовуються разом із правилами брандмауера, налаштованими груповою політикою. Рекомендований стан для цього параметра: False. Примітка. Якщо для параметра «Дозволити об’єднання локальної політики» встановлено значення False, це означає рекомендується також налаштувати для параметра Вимкнути вхідні сповіщення значення True. В іншому випадку користувачі продовжуватимуть отримувати повідомлення із запитом, чи хочуть вони розблокувати a обмежене вхідне з’єднання, але відповідь користувача буде проігнорована.




                💡 Обґрунтування безпеки:
            
У загальнодоступному профілі не повинно бути спеціальних винятків для локального брандмауера згідно комп’ютер. Цими параметрами має керувати централізована політика.




                ⚠️ Вплив на робочий процес (Impact):
            
Адміністратори можуть створювати правила брандмауера, але правила не застосовуватимуться.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Mdm\PublicProfile:AllowLocalPolicyMerge




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до False: Брандмауер\Увімкнути брандмауер загальнодоступної мережі: дозволити об’єднання локальної політики


Значення за замовчуванням: Так (за замовчуванням). (Будуть застосовані правила брандмауера, створені адміністраторами.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/firewall-csp 2. GRID: MS-00000190 3. Minimum OS CSP: Windows 10, Version 1709 and later `

CIS Controls: ` 



                    CIS Controls V8: 4.5

                    IG 1, 2, 3
                
Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V7: 9.4

                    IG 1, 2, 3
                
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V7: 11.3

                    IG 1, 2
                
Use Automated Tools to Verify Standard Device Configurations and Detect Changes Compare all network device configuration against approved security configurations defined for each network device in use and alert when any deviations are discovered.






37.18 Переконайтеся, що для параметра «Увімкнути брандмауер загальнодоступної мережі: вхідна дія за замовчуванням для публічного профілю» встановлено значення «Блокувати»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр визначає поведінку вхідних з’єднань, які не відповідають правило вхідного брандмауера. Рекомендований стан для цього параметра: Блокувати.




                💡 Обґрунтування безпеки:
            
Якщо брандмауер дозволяє всьому трафіку отримати доступ до системи, зловмиснику може бути легше можливість віддалено використовувати слабкі місця в мережевій службі.




                ⚠️ Вплив на робочий процес (Impact):
            
Немає – це типова поведінка.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Mdm\PublicProfile:DefaultInboundAction




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань для блокування: Брандмауер\Увімкнути брандмауер загальнодоступної мережі: вхідна дія за замовчуванням для загальнодоступного Профіль


Значення за замовчуванням: Блокувати (за замовчуванням). (Брандмауер Windows із розширеною безпекою блокуватиме всі вхідні  підключення, які не відповідають правилу вхідного брандмауера в цьому профілі.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows- firewall/best-practices-configuring 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/firewall-csp 3. GRID: MS-00000188 4. Minimum OS CSP: Windows 10, Version 1709 and later `

CIS Controls: ` 



                    CIS Controls V8: 4.5

                    IG 1, 2, 3
                
Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V7: 9.4

                    IG 1, 2, 3
                
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V7: 11.2

                    IG 1, 2
                
Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.






37.19 Переконайтеся, що для параметра «Увімкнути брандмауер загальнодоступної мережі: вимкнути вхідні сповіщення» встановлено значення «Правда»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Виберіть цей параметр, щоб брандмауер Windows із розширеною безпекою відображав сповіщення користувачеві, коли програмі заблоковано отримання вхідних з’єднань. Рекомендований стан для цього параметра: True.




                💡 Обґрунтування безпеки:
            
Деякі організації можуть віддати перевагу уникати тривоги користувачів, коли правила брандмауера блокують певні види мережевої активності. Однак сповіщення можуть бути корисними під час усунення несправностей проблеми з мережею, пов’язані з брандмауером.




                ⚠️ Вплив на робочий процес (Impact):
            
Брандмауер Windows не відображатиме сповіщення, коли програму заблоковано отримання вхідних з’єднань.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Mdm\PublicProfile:DisableNotifications




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до “True”: Брандмауер\Увімкнути брандмауер загальнодоступної мережі: вимкнути вхідні сповіщення


Значення за замовчуванням: так (Брандмауер Windows із розширеною безпекою відобразить сповіщення, коли a  програмі заблоковано отримання вхідних з’єднань.)


            ℹ️ Додаткова інженерна інформація (Additional Information):
        

Застосовується лише до Windows 11.



📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/firewall-csp 2. GRID: MS-00000189 3. Minimum OS CSP: Windows 10, Version 1709 and later `

CIS Controls: ` 



                    CIS Controls V8: 4.5

                    IG 1, 2, 3
                
Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V7: 9.4

                    IG 1, 2, 3
                
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V7: 11.2

                    IG 1, 2
                
Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.






37.20 Переконайтеся, що для параметра «Увімкнути брандмауер загальнодоступної мережі: увімкнути журнал відкинутих пакетів» встановлено значення «Так: увімкнути журнал відкинутих пакетів».
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Використовуйте цей параметр, щоб реєструвати, коли брандмауер Windows із розширеною безпекою скидає вхідний пакет з будь-якої причини. Журнал записує, чому та коли пакет було скинуто. Шукайте записи зі словом DROP у колонці дії журналу. Рекомендований стан для цього параметра: Увімкнути журналювання відкинутих пакетів.




                💡 Обґрунтування безпеки:
            
Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії зловмисників.




                ⚠️ Вплив на робочий процес (Impact):
            
Інформація про скинуті пакети буде записана в файл журналу брандмауера.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Mdm\PublicProfile\Logging:LogDroppedPackets




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань, щоб увімкнути журналювання скинутих пакетів: Брандмауер\Увімкнути брандмауер загальнодоступної мережі: увімкнути журнал відкинутих пакетів


Значення за замовчуванням: Ні (за замовчуванням). (Інформація про скинуті пакети не буде записана в журнал брандмауера  файл.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/firewall-csp 2. GRID: MS-00000194 3. Minimum OS CSP: Windows 11, Version 21H2 and later `

CIS Controls: ` 



                    CIS Controls V8: 4.5

                    IG 1, 2, 3
                
Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V8: 8.5

                    IG 1, 2
                
Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.



                    CIS Controls V7: 6.3

                    IG 1, 2
                
Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.



                    CIS Controls V7: 9.4

                    IG 1, 2, 3
                
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.






37.21 Переконайтеся, що для параметра «Увімкнути брандмауер загальнодоступної мережі: увімкнути журнал успішних підключень» встановлено значення «Увімкнути журнал успішних підключень».
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Використовуйте цей параметр, щоб увійти, коли брандмауер Windows із розширеною безпекою дозволяє вхідне з’єднання. У журналі записується, чому і коли було створено з’єднання. Подивіться для записів зі словом ДОЗВОЛИТИ в колонці дії журналу. Рекомендований стан для цього параметра: Увімкнути журнал успішно Зв’язки.




                💡 Обґрунтування безпеки:
            
Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії зловмисників.




                ⚠️ Вплив на робочий процес (Impact):
            
Інформація про успішні підключення буде записана в файл журналу брандмауера.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Mdm\PublicProfile\Logging:LogSuccessfulConnections




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: Firewall\Enable Public Network Firewall: Enable Log success connections
Рекомендований стан: Enable Logging Of Successful Connections


Значення за замовчуванням: Ні (за замовчуванням). (Інформація про успішні підключення не буде записана в  файл журналу брандмауера.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/firewall-csp 2. GRID: MS-00000195 3. Minimum OS CSP: Windows 11, Version 21H2 and later `

CIS Controls: ` 



                    CIS Controls V8: 4.5

                    IG 1, 2, 3
                
Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.



                    CIS Controls V8: 8.5

                    IG 1, 2
                
Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.



                    CIS Controls V7: 6.3

                    IG 1, 2
                
Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.



                    CIS Controls V7: 9.4

                    IG 1, 2, 3
                
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.






37.22 Переконайтеся, що налаштовано «Увімкнути брандмауер загальнодоступної мережі: шлях до файлу журналу».
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Використовуйте цей параметр, щоб вказати шлях і ім’я файлу, у якому брандмауер Windows записати інформацію журналу. Рекомендований стан для цього параметра: налаштовано. Приклад: %SystemRoot%\System32\logfiles\firewall\publicfw.log.




                💡 Обґрунтування безпеки:
            
Якщо події брандмауера Windows не записуються, це може бути важко або неможливо Адміністратори для аналізу системних проблем або несанкціонованих дій зловмисників. Microsoft зберігає всі події брандмауера як один файл у системі (pfirewall.log). до покращити журналювання, розділити кожен профіль брандмауера (доменний, приватний, загальнодоступний) на окремий окремий файл журналу (domainfw.log, privatefw.log, publicfw.log) для кращої організації та визначення конкретних проблем у кожному профілі.




                ⚠️ Вплив на робочий процес (Impact):
            
Файл журналу зберігатиметься в місці та файлі, визначених організацією.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з REG_SZ значення <шлях>\<ім'я файлу>.log.
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Mdm\PublicProfile\Logging:LogFilePath




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: log: Firewall\Enable Public Network Firewall: Log File Path
Рекомендований стан: \


Значення за замовчуванням: %SystemRoot%\System32\logfiles\firewall\pfirewall.log


            ℹ️ Додаткова інженерна інформація (Additional Information):
        

Застосовується лише до Windows 11.



📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows- firewall/configure-the-windows-firewall-log 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/firewall-csp 3. GRID: MS-00000192 4. Minimum OS CSP: Windows 11, Version 21H2 and later `

CIS Controls: ` 



                    CIS Controls V8: 8.2

                    IG 1, 2, 3
                
Collect Audit Logs Collect audit logs. Ensure that logging, per the enterprise’s audit log management process, has been enabled across enterprise assets.



                    CIS Controls V7: 6.3

                    IG 1, 2
                
Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.



                    CIS Controls V7: 9.4

                    IG 1, 2, 3
                
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.






37.23 Переконайтеся, що для параметра «Увімкнути брандмауер загальнодоступної мережі: максимальний розмір файлу журналу» встановлено значення «16 384 КБ або більше».
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Використовуйте цей параметр, щоб указати ліміт розміру файлу, у який брандмауер Windows записуватиме його інформація журналу. Рекомендований стан для цього параметра: 16 384 КБ або більше.




                💡 Обґрунтування безпеки:
            
Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії зловмисників.




                ⚠️ Вплив на робочий процес (Impact):
            
Розмір файлу журналу буде обмежено вказаним розміром, старі події будуть перезаписані новіші, коли досягнуто ліміту.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 16384.
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Mdm\PublicProfile\Logging:LogFileSize




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до 16 384 КБ або більше: Брандмауер\Увімкнути брандмауер загальнодоступної мережі: Максимальний розмір файлу журналу (КБ)


Значення за замовчуванням: 4096 Кб.


            ℹ️ Додаткова інженерна інформація (Additional Information):
        

Застосовується лише до Windows 11.



📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/firewall-csp 2. GRID: MS-00000193 3. Minimum OS CSP: Windows 11, Version 21H2 and later `

CIS Controls: ` 



                    CIS Controls V8: 8.3

                    IG 1, 2, 3
                
Ensure Adequate Audit Log Storage Ensure that logging destinations maintain adequate storage to comply with the enterprise’s audit log management process.



                    CIS Controls V7: 6.4

                    IG 1, 2
                
Ensure adequate storage for logs Ensure that all systems that store logs have adequate storage space for the logs generated.



                    CIS Controls V7: 9.4

                    IG 1, 2, 3
                
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.


        


Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.
            

                До повного змісту CIS Microsoft Intune Benchmark →