73. Параметри системного пошуку (Windows Search)

Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.

Рекомендацій: 4

Windows 11 Intune v5.0.0

73.1 Переконайтеся, що для параметра «Дозволити пошук у хмарі» встановлено значення «Заборонено»

Рівень 2 (L2)Автоматизовано

            Оригінал:
        

Цей параметр політики дозволяє пошуку та Cortana здійснювати пошук у хмарних джерелах, як-от OneDrive і SharePoint. Рекомендований стан для цього параметра: заборонено.

💡 Обґрунтування безпеки:

З міркувань конфіденційності дані ніколи не слід надсилати третім особам, оскільки ці дані може містити конфіденційну інформацію.

⚠️ Вплив на робочий процес (Impact):

Пошуку та Cortana не буде дозволено здійснювати пошук у хмарних джерелах, таких як OneDrive та SharePoint.

🔍 Аудит (перевірка налаштувань)

Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\Search:AllowCloudSearch_WinningProvider

Перейдіть до наступного розташування реєстру та переконайтеся, що значення встановлено на 0.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\Search:AllowCloudSearch

⚙️ Виправлення (Remediation / Налаштування)

Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до Не дозволено: Пошук\Дозволити Cloud Search

Значення за замовчуванням: Увімкнено: увімкнути Cloud Search. (Дозволити пошуку та Cortana здійснювати пошук у хмарних джерелах, наприклад OneDrive та SharePoint.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- search#allowcloudsearch 2. GRID: MS-00000508 3. Minimum OS CSP: Windows 10, Version 1709 and later `

CIS Controls: `




                    CIS Controls V8: 4.8

                    IG 1, 2
                
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.



                    CIS Controls V7: 9.2

                    IG 1, 2
                
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.




73.2 Переконайтеся, що для параметра «Дозволити індексування зашифрованих магазинів або елементів» встановлено значення «Блокувати»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр політики визначає, чи можна індексувати зашифровані елементи. Коли це налаштування змінюється, індекс повністю перебудовується. Повне шифрування (наприклад, BitLocker Drive Encryption або рішення не від Microsoft) необхідно використовувати для визначення місця розташування індекс для підтримки безпеки зашифрованих файлів. Рекомендований стан для цього параметра: Блокувати.




                💡 Обґрунтування безпеки:
            
Індексація та дозвіл користувачам шукати зашифровані файли можуть потенційно виявити конфіденційні дані, що зберігаються в зашифрованих файлах.




                ⚠️ Вплив на робочий процес (Impact):
            
Немає – це типова поведінка.




                🔍 Аудит (перевірка налаштувань)
            

Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\Search:AllowIndexingEncryptedStoresOrItems_WinningProvider

Перейдіть до наступного розташування реєстру та переконайтеся, що значення встановлено на 0.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\Search:AllowIndexingEncryptedStoresOrItems




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань для блокування: Пошук\Дозволити індексування зашифрованих сховищ або елементів


Значення за замовчуванням: Вимкнено. (Компоненти служби пошуку (включаючи компоненти не від Microsoft) є  очікується, що не буде індексувати зашифровані елементи або зашифровані магазини.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- search#allowindexingencryptedstoresoritems 2. Minimum OS CSP: Windows 10, Version 1607 and later 3. GRID: MS-00000511 `

CIS Controls: ` 



                    CIS Controls V8: 4.8

                    IG 1, 2
                
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.



                    CIS Controls V7: 14.8

                    IG 1
                
Encrypt Sensitive Information at Rest Encrypt all sensitive information at rest using a tool that requires a secondary authentication mechanism not integrated into the operating system, in order to access the information.






73.3 Переконайтеся, що для параметра «Дозволити пошук використовувати місцезнаходження» встановлено значення «Блокувати»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр політики визначає, чи можуть пошук і Cortana надавати інформацію про місцезнаходження пошук і результати Cortana. Рекомендований стан для цього параметра: Блокувати.




                💡 Обґрунтування безпеки:
            
У корпоративному керованому середовищі, що дозволяє Cortana та Search мати доступ до дані про місцезнаходження непотрібні. Організації, ймовірно, не хочуть, щоб ця інформація передавалася поза.




                ⚠️ Вплив на робочий процес (Impact):
            
Пошук і Cortana не матимуть доступу до інформації про місцезнаходження.




                🔍 Аудит (перевірка налаштувань)
            

Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\Search:AllowSearchToUseLocation_WinningProvider

Перейдіть до наступного розташування реєстру та переконайтеся, що значення встановлено на 0.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\Search:AllowSearchToUseLocation




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань для блокування: Пошук\Дозволити пошук, щоб використовувати місцезнаходження


Значення за замовчуванням: Увімкнено. (Пошук і Cortana можуть отримати доступ до інформації про місцезнаходження.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- search#allowsearchtouselocation 2. Minimum OS CSP: Windows 10, Version 1507 and later 3. GRID: MS-00000512 `

CIS Controls: ` 



                    CIS Controls V8: 4.8

                    IG 1, 2
                
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.



                    CIS Controls V7: 9.2

                    IG 1, 2
                
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.






73.4 Переконайтеся, що для параметра «Дозволити підсвічування пошуку» встановлено значення «0»
Рівень 2 (L2)Автоматизовано



            Оригінал:
        

Цей параметр політики керує підсвічуванням пошуку у вікні пошуку в меню «Пуск» і під час пошуку додому. Рекомендований стан для цього параметра: 0. Примітка. Станом на лютий 2024 року цей параметр не розгортається належним чином у Windows 10 через Intune і застосовується лише до Windows 11.




                💡 Обґрунтування безпеки:
            
У середовищі з високим рівнем безпеки дані ніколи не повинні надсилатися або отримуватися сторонніми оскільки ці дані можуть містити конфіденційну інформацію.




                ⚠️ Вплив на робочий процес (Impact):
            
«Цікавої», «пізнавальної» і «вартої уваги» інформації про поточну дату не буде відображатися (корпорацією Майкрософт) для користувача.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsSearch:EnableDynamicContentInWSB




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до 0: Пошук\Дозволити підсвічування пошуку


Значення за замовчуванням: Увімкнено. (Пошук підсвічується у вікні пошуку в меню «Пуск» і на головній сторінці пошуку  в наявності.)


            ℹ️ Додаткова інженерна інформація (Additional Information):
        

Застосовується лише до Windows 11.



📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- search#allowsearchhighlights 2. Minimum OS CSP: Windows 10, Version 20H2 with KB5011543 and later 3. GRID: MS-00000513 `

CIS Controls: ` 



                    CIS Controls V8: 4.8

                    IG 1, 2
                
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.


        


Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.
            

                До повного змісту CIS Microsoft Intune Benchmark →