46. Мережевий клієнт SMB (Lanman Workstation)

Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.

Рекомендацій: 7

Windows 11 Intune v5.0.0

46.1 Переконайтеся, що для параметра «Audit Insecure Guest Logon» встановлено значення «Enabled»

Рівень 1 (L1)Автоматизовано

            Оригінал:
        

Ця політика визначає, чи реєструватиме події клієнт блоку повідомлень сервера (SMB). коли клієнт увійшов як гостьовий обліковий запис. Увімкнувши це, створюватимуться записи журналу подій у програмах і службах Журнали\Microsoft\Windows\SMBClient\Security з ідентифікаторами подій 3023, 31017, 31018, і 31022. Рекомендований стан для цього параметра: увімкнено.

💡 Обґрунтування безпеки:

Файлові сервери можуть використовувати незахищені входи в систему гостя, щоб дозволити неавтентифікований доступ спільні папки.

⚠️ Вплив на робочий процес (Impact):

Усі незахищені входи гостя реєструватимуться як подія.

🔍 Аудит (перевірка налаштувань)

Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр групової політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.

HKLM\SOFTWARE\Policies\Microsoft\Windows\LanmanWorkstation:AuditInsecureGuestLogon

⚙️ Виправлення (Remediation / Налаштування)

Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Lanman Workstation\Audit Insecure Guest Logon

Значення за замовчуванням: Вимкнено. (Клієнт SMB не реєструватиме подію.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows-server/storage/file-server/smb- interception-defense?tabs=group-policy 2. GRID: MS-00000578 3. https://learn.microsoft.com/en-us/windows-server/storage/file-server/enable- insecure-guest-logons-smb2-and-smb3?tabs=group-policy#audit-insecure-guest- logons `

CIS Controls: `




                    CIS Controls V8: 8.5

                    IG 1, 2
                
Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.



                    CIS Controls V7: 6.3

                    IG 1, 2
                
Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.




46.2 Переконайтеся, що для параметра «Сервер аудиту не підтримує шифрування» встановлено значення «Увімкнено»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр політики визначає, чи буде входити клієнт блоку повідомлень сервера (SMB). події, коли сервер SMB не підтримує шифрування. Увімкнувши це, створюватимуться записи журналу подій у програмах і службах Журнали\Microsoft\Windows\SMBServer\Audit з ідентифікатором події 3021. Рекомендований стан для цього параметра: увімкнено.




                💡 Обґрунтування безпеки:
            
Організації повинні знати про весь незашифрований трафік SMB у своєму середовищі. Старіші протоколи SMB, які не використовують шифрування, можуть зробити середовище вразливим до багатьох типів атак, включаючи атаки перехоплення SMB.




                ⚠️ Вплив на робочий процес (Impact):
            
Увесь незашифрований трафік SMB реєструватиметься як подія.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр групової політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\LanmanWorkstation:AuditServerDoesNotSupportEncryption




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Lanman Workstation\Audit Server не підтримує шифрування


Значення за замовчуванням: Вимкнено. (Клієнт SMB не реєструватиме подію.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows-server/storage/file-server/smb- interception-defense?tabs=group-policy 2. https://learn.microsoft.com/en-us/windows-server/storage/file-server/smb- signing-overview#smb-signing-and-encryption-auditing 3. GRID: MS-00000609 `

CIS Controls: ` 



                    CIS Controls V8: 8.5

                    IG 1, 2
                
Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.



                    CIS Controls V7: 6.3

                    IG 1, 2
                
Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.






46.3 Переконайтеся, що для параметра «Сервер аудиту не підтримує підпис» встановлено значення «Увімкнено»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр політики визначає, чи буде входити клієнт блоку повідомлень сервера (SMB). події, коли сервер SMB не підтримує підписання. Увімкнувши це, створюватимуться записи журналу подій у програмах і службах Журнали\Microsoft\Windows\SMBServer\Audit з ідентифікатором події 3022. Рекомендований стан для цього параметра: увімкнено.




                💡 Обґрунтування безпеки:
            
Організації повинні знати про весь непідписаний трафік SMB у своєму середовищі. Старший Протоколи SMB, які не використовують підписування, можуть зробити середовище вразливим для багатьох типи атак, включаючи атаки перехоплення SMB.




                ⚠️ Вплив на робочий процес (Impact):
            
Увесь непідписаний трафік SMB реєструватиметься як подія.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр групової політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\LanmanWorkstation:AuditServerDoesNotSupportSigning




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Lanman Workstation\Audit Server не підтримує підпис


Значення за замовчуванням: Вимкнено. (Клієнт SMB не реєструватиме подію.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows-server/storage/file-server/smb- interception-defense?tabs=group-policy 2. https://learn.microsoft.com/en-us/windows-server/storage/file-server/smb- signing-overview#smb-signing-and-encryption-auditing 3. GRID: MS-00000610 `

CIS Controls: ` 



                    CIS Controls V8: 8.5

                    IG 1, 2
                
Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.



                    CIS Controls V7: 6.3

                    IG 1, 2
                
Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.






46.4 Переконайтеся, що для параметра «Увімкнути незахищені входи в систему гостя» встановлено значення «Вимкнено»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр політики визначає, чи дозволятиме клієнт SMB незахищений гостьовий вхід до сервер SMB. Рекомендований стан для цього параметра: вимкнено.




                💡 Обґрунтування безпеки:
            
Незахищені гостьові входи використовуються файловими серверами, щоб дозволити неавтентифікований доступ до спільні папки.




                ⚠️ Вплив на робочий процес (Impact):
            
Клієнт SMB відхилятиме незахищені гостьові входи. Це не було спочатку за замовчуванням у старіших версіях Windows, але Microsoft змінила поведінку за замовчуванням починаючи з Windows 10 R1709: гостьовий доступ у SMB2 вимкнено за замовчуванням у Windows 10 і Windows Server 2016




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\LanmanWorkstation:AllowInsecureGuestAuth




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Disabled: Lanman Workstation\Enable insecure guest logins


Значення за замовчуванням: Windows 10 R1703 або старіша: увімкнено. (Клієнт SMB дозволить незахищеному гостю  входи в систему.)  Windows 10 R1709 або новіша: вимкнено. (Клієнт SMB відхилить незахищену гостьову систему  входи в систему.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/troubleshoot/windows-server/networking/guest- access-in-smb2-is-disabled-by-default 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- lanmanworkstation#enableinsecureguestlogons 3. GRID: MS-00000266 4. Minimum OS CSP: Windows 10, Version 1803 and later `

CIS Controls: ` 



                    CIS Controls V8: 0.0

                    IG 1
                
Explicitly Not Mapped Explicitly Not Mapped



                    CIS Controls V7: 9.2

                    IG 1, 2
                
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.






46.5 Переконайтеся, що для параметра «Увімкнути поштові слоти» встановлено значення «Вимкнено»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Ці налаштування політики визначають, чи використовуватиме клієнт SMB віддалені поштові слоти Кілька постачальників UNC (MUP). Протокол віддалених поштових слотів є старим, простим, ненадійний і незахищений метод зв’язку між процесами. Рекомендований стан для цього параметра: вимкнено.




                💡 Обґрунтування безпеки:
            
Віддалені поштові слоти – це застарілий протокол, який використовує SMBv1 для роботи. Цей протокол є пов’язані з відомими вразливими місцями, такими як відмова в обслуговуванні, переповнення буфера та віддалене атаки на виконання коду.




                ⚠️ Вплив на робочий процес (Impact):
            
Якщо функція віддалених поштових слотів працювала, вона більше не працюватиме.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр групової політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\NetworkProvider:EnableMailslots




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Disabled: Lanman Workstation\Enable Mailslots Примітка. Після застосування налаштувань потрібне перезавантаження.


Значення за замовчуванням: Увімкнено. (Віддалені поштові слоти можуть бути дозволені через MUP.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://techcommunity.microsoft.com/blog/filecab/the-beginning-of-the-end-of- remote-mailslots-as-part-of-windows-insider/3762048 2. GRID: MS-00000611 `

CIS Controls: ` 



                    CIS Controls V8: 4.8

                    IG 1, 2
                
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.



                    CIS Controls V7: 9.2

                    IG 1, 2
                
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.






46.6 Переконайтеся, що для «Min Smb2 Dialect» встановлено значення «3.1.1».
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Ці параметри політики керують мінімальною версією блоку повідомлень сервера (SMB) протокол, який можна використовувати в системі. Рекомендований стан для цього параметра: 3.1.1. Примітка. Цей параметр групової політики не перешкоджає використанню SMBv1, якщо його інстальовано та увімкнено в системі. Якщо наведені нижче рекомендації налаштовано відповідно до вимог у цьому тесті SMBv1 буде вимкнено в системі: Налаштуйте клієнт SMB v1 драйвера та налаштування сервера SMB v1.




                💡 Обґрунтування безпеки:
            
Нова, сучасніша версія SMB (v3) підтримується та доступна на всіх наразі підтримувані ОС Microsoft Windows. SMBv1 більше не ввімкнено за замовчуванням через його ризики безпеки, і хоча SMBv2 є більш надійним, ніж v1, він не підтримує шифрування, як і його наступник.




                ⚠️ Вплив на робочий процес (Impact):
            
Якщо є старі (непідтримувані) ОС Windows, які не підтримують SMB v3.1.1 у середовищі, цей параметр може вплинути на зворотну сумісність із ними. Наприклад, Windows 8.1 і Windows Server 2012 R2 і старіші версії. Цей параметр може також впливають на підключення до сторонніх пристроїв і пристроїв, які не підтримують SMB v3.1.1.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр групової політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 785.
HKLM\SOFTWARE\Policies\Microsoft\Windows\LanmanWorkstation:MinSmb2Dialect




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: 1.1: Lanman Workstation\Min Smb2 Dialect
Рекомендований стан: 3


Значення за замовчуванням: Вимкнено. (SMB версії 2.0 або новішої ввімкнено за замовчуванням.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. GRID: MS-00000612 `

CIS Controls: ` 



                    CIS Controls V8: 4.8

                    IG 1, 2
                
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.



                    CIS Controls V7: 9.2

                    IG 1, 2
                
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.






46.7 Переконайтеся, що для параметра «Вимагати шифрування» встановлено значення «Увімкнено»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр політики визначає, чи потребуватиме клієнт SMB шифрування. Рекомендований стан для цього параметра: увімкнено. Попередження: Сервер SMB має підтримувати та ввімкнути шифрування SMB (потрібно SMB v3.0 або новішої).




                💡 Обґрунтування безпеки:
            
Нова, сучасніша версія SMB (v3) підтримується та доступна на всіх наразі підтримувані ОС Microsoft Windows. SMBv1 більше не ввімкнено за замовчуванням через його ризики безпеки, і хоча SMBv2 є більш надійним, ніж v1, він не підтримує шифрування, як і його наступник.




                ⚠️ Вплив на робочий процес (Impact):
            
Якщо наявні застарілі (непідтримувані) ОС Windows, які не підтримують шифрування у середовищі цей параметр може вплинути на зворотну сумісність із ними. для наприклад, Windows 7 і Windows Server 2008 R2 і старіші версії. Цей параметр також може впливають на підключення до сторонніх пристроїв і пристроїв, які не підтримують SMB v3.0.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр групової політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\LanmanWorkstation:RequireEncryption




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію через GP, установіть наступний шлях інтерфейсу користувача Увімкнено: Lanman Workstation\Require Encryption


Значення за замовчуванням: Вимкнено. (Клієнт SMB не потребуватиме шифрування. Однак шифрування SMB може  все ще вимагається сервером.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. GRID: MS-00000613 `

CIS Controls: ` 



                    CIS Controls V8: 3.10

                    IG 1, 2
                
Encrypt Sensitive Data in Transit Encrypt sensitive data in transit. Example implementations can include: Transport Layer Security (TLS) and Open Secure Shell (OpenSSH).



                    CIS Controls V7: 14.4

                    IG 1, 2
                
Encrypt All Sensitive Information in Transit Encrypt all sensitive information in transit.


        


Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.
            

                До повного змісту CIS Microsoft Intune Benchmark →