90. Призначення прав користувачів (User Rights Assignment)
Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.
Рекомендацій: 35
Windows 11 Intune v5.0.0
90.1 Переконайтеся, що для параметра «Доступ до диспетчера облікових даних як довіреного абонента» встановлено значення «Ніхто»
Цей параметр безпеки використовується диспетчером облікових даних під час резервного копіювання та відновлення. немає облікові записи повинні мати це право користувача, оскільки воно призначається лише Winlogon. Користувачів збережено облікові дані можуть бути скомпрометовані, якщо це право користувача призначено іншим особам. Рекомендований стан для цього параметра: нікого.
Якщо обліковому запису надано це право, користувач облікового запису може створити програму, яка викликає диспетчер облікових даних і повертає облікові дані для іншого користувача.
Немає – це типова поведінка.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Параметри безпеки\Локальні політики\Призначення прав користувача\Облікові дані доступу Менеджер як довірений абонент
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Access Credential Manager As Trusted Caller Note: Using ( - Рекомендований стан:
(
📋 CIS Controls & Нормативні посилання
Посилання: “ CIS Controls: 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/access-credential-manager-as-a-trusted-caller 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#accesscredentialmanagerastrustedcaller 3. GRID: MS-00000012 4. Minimum OS CSP: Windows 10, Version 1803 and later `
`
90.2 Переконайтеся, що для параметра «Доступ із мережі» встановлено значення «Адміністратори, користувачі віддаленого робочого столу».
Цей параметр політики дозволяє іншим користувачам мережі підключатися до комп’ютера вимагається різними мережевими протоколами, які включають серверні блоки повідомлень (SMB). протоколи, NetBIOS, Загальна файлова система Інтернету (CIFS) і компонентний об’єкт Модель Плюс (COM+). Рекомендований стан для цього параметра: *S-1-5-32-544 і *S-1-5-32-555 (Адміністратори, користувачі віддаленого робочого столу). Примітка. Якщо ваша організація використовує Microsoft Defender for Identity (раніше Azure Advanced Threat Protection (Azure ATP)), захисник (назви організації). Обліковому запису Identity Directory Service (DSA) також потрібно буде надати такий же доступ від призначення прав користувача мережі. Для отримання додаткової інформації про додавання послуги облікового запису див. Переконайтеся, що DSA має доступ до комп’ютерів із мережі в Microsoft Defender for Identity | Microsoft Docs.
Користувачі, які можуть підключатися зі свого комп’ютера до мережі, можуть отримати доступ до ресурсів на цільовими комп’ютерами, на які вони мають дозвіл. Наприклад, доступ до цього права користувача комп’ютера з мережі необхідні користувачам для підключення до спільного доступу принтери та папки. Якщо це право користувача призначено групі «Всі», то будь-хто зможе читати файли в цих спільних папках. Однак така ситуація малоймовірна для нових установок Windows Server 2003 із пакетом оновлень 1 (SP1), оскільки Дозволи загального ресурсу за замовчуванням і NTFS у Windows Server 2003 не включають Кожна група. Ця вразливість може мати вищий рівень ризику для комп’ютерів ви оновлюєтеся з Windows NT 4.0 або Windows 2000, оскільки дозволи за замовчуванням для цих операційних систем не є такими обмеженнями, як дозволи за замовчуванням у Windows Сервер 2003.
Якщо ви видалите доступ до цього комп’ютера від користувача мережі безпосередньо в домені Контролери для всіх користувачів, ніхто не зможе увійти в домен або використовувати мережу ресурси. Якщо ви видалите цього користувача прямо на рядових серверах, користувачі не зможуть цього зробити підключитися до цих серверів через мережу. Успішне узгодження IPsec підключення вимагає, щоб машина-ініціатор мала це право, тому, якщо використовується IPsec, це Рекомендується призначити його групі Authenticated Users. Якщо у вас є встановлені додаткові компоненти, такі як ASP.NET або Internet Information Services (IIS), вам може знадобитися призначити цьому користувачеві право на додаткові облікові записи, які потрібні тим компоненти. Важливо переконатися, що авторизованим користувачам призначено це право користувача для комп’ютерів, необхідних для доступу до мережі.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Security Settings\Local Policies\User Rights Assignment\Access this computer з мережі
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Access From Network Note: Include only one User or Group per line in the Settings Catalog configuration screen. - Рекомендований стан:
*S-1-5-32-544 and *S-1-5-32-555 (Administrators, Remote - Desktop Users)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/access-this-computer-from-the-network 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#accessfromnetwork 3. GRID: MS-00000013 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.3 Переконайтеся, що для параметра «Діяти як частина операційної системи» встановлено значення «Ніхто»
Цей параметр політики дозволяє процесу присвоювати ідентичність будь-якого користувача й, таким чином, вигравати доступ до ресурсів, до яких користувач має право доступу. Рекомендований стан для цього параметра: нікого. Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.
Закон як частина права користувача операційної системи є надзвичайно потужним. Будь-хто з це право користувача може отримати повний контроль над комп’ютером і стерти докази свого діяльності.
Вплив має бути невеликим або взагалі відсутнім, оскільки дія є частиною операційної системи права користувача рідко потрібні будь-яким обліковим записам, крім облікового запису локальної системи, яка імпліцитно має це право.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Security Settings\Local Policies\User Rights Assignment\Act as part of the операційна система
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Act As Part Of The Operating System Note: Using ( - Рекомендований стан:
(
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/act-as-part-of-the-operating-system 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#actaspartoftheoperatingsystem 3. GRID: MS-00000014 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.4 Переконайтеся, що для параметра «Дозволити локальний вхід» встановлено значення «Адміністратори, користувачі».
Цей параметр політики визначає, які користувачі можуть інтерактивно входити до комп’ютерів у вашому середовище. Вхід, який ініціюється натисканням клавіш CTRL+ALT+DEL на клавіатурі клієнтського комп’ютера вимагають це право користувача. Користувачі, які намагаються увійти через служби терміналів/служби віддаленого робочого стола або IIS також вимагають це право користувача. Рекомендований стан для цього параметра: *S-1-5-32-544, *S-1-5-32-545 (Адміністратори, Користувачі). Примітка. Обліковий запис гостя також має це право за замовчуванням. Хоча це обліковий запис вимкнено за замовчуванням, рекомендується налаштувати цей параметр за допомогою Групова політика. Однак це право користувача, як правило, має бути обмежено до Групи адміністраторів і користувачів. Призначте цьому користувачу право операторів резервного копіювання групи, якщо ваша організація вимагає, щоб вони мали таку можливість.
Будь-який обліковий запис із правом користувача «Дозволити локальний вхід» може увійти в систему з консолі комп’ютер. Якщо ви не обмежите це право користувача законними користувачами, які повинні мати можливість увійти в консоль комп’ютера, неавторизовані користувачі можуть завантажити та запустити шкідливе програмне забезпечення для підвищення їхніх привілеїв.
Якщо видалити ці групи за замовчуванням, ви можете обмежити можливості користувачів, які є призначені певним адміністративним ролям у вашому середовищі. Ви повинні це підтвердити на делеговані дії не вплинуть негативно будь-які зміни, які ви внесете в Дозволити локальний вхід користувача з правами.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Security Settings\Local Policies\User Rights Assignment\Allow log on locally
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Allow Local Log On Note: Include only one User or Group per line in the Settings Catalog configuration screen. - Рекомендований стан:
*S-1-5-32-544, *S-1-5-32-545 (Administrators, Users)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/allow-log-on-locally 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#allowlocallogon 3. GRID: MS-00000017 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.5 Переконайтеся, що для параметра «Резервне копіювання файлів і каталогів» встановлено значення «Адміністратори»
Цей параметр політики дозволяє користувачам обходити дозволи на файли та каталоги для резервного копіювання система. Це право користувача ввімкнено лише тоді, коли програма (наприклад, NTBACKUP) намагається отримати доступ до файлу або каталогу через програму резервного копіювання файлової системи NTFS інтерфейс програмування (API). В іншому випадку призначені дозволи на файл і каталог застосувати. Рекомендований стан для цього параметра: *S-1-5-32-544 (Адміністратори). Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.
Користувачі, які можуть створювати резервні копії даних із комп’ютера, можуть віднести носій резервних копій до a комп’ютер поза доменом, на якому вони мають права адміністратора та відновлюють даних. Вони можуть отримати право власності на файли та переглядати будь-які незашифровані дані, які є міститься в наборі резервних копій.
Зміни в членстві груп, які мають резервні копії файлів і каталогів права користувача можуть обмежувати можливості користувачів, яким призначено певні адміністратори ролі у вашому оточенні. Ви повинні підтвердити, що авторизовані адміністратори резервного копіювання все ще можуть виконувати операції резервного копіювання.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Параметри безпеки\Локальні політики\Призначення прав користувача\Резервне копіювання файлів і довідники
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Backup Files And Directories Note: Include only one User or Group per line in the Settings Catalog configuration screen. - Рекомендований стан:
*S-1-5-32-544 (Administrators)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/back-up-files-and-directories 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#backupfilesanddirectories 3. GRID: MS-00000019 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.6 Переконайтеся, що для пункту «Змінити час системи» встановлено значення «Адміністратори, ЛОКАЛЬНА СЛУЖБА»
Цей параметр політики визначає, які користувачі та групи можуть змінювати час і дату внутрішній годинник комп’ютерів у вашому оточенні. Користувачі, яким це призначено права користувача можуть впливати на вигляд журналів подій. Коли на комп’ютері встановлено час змінені, зареєстровані події відображають новий час, а не фактичний час подій сталося. Рекомендований стан для цього параметра: *S-1-5-32-544 і *S-1-5-19 (Адміністратори, МІСЦЕВА СЛУЖБА). Примітка. Розбіжності між часом на локальному комп’ютері та в домені Контролери у вашому середовищі можуть спричинити проблеми з автентифікацією Kerberos протоколу, який може унеможливити вхід користувачів у домен або отримання авторизація доступу до ресурсів домену після входу в систему. Також будуть проблеми виникає, коли групова політика застосовується до клієнтських комп’ютерів, якщо системний час не застосовується синхронізовано з контролерами домену.
Користувачі, які можуть змінювати час на комп’ютері, можуть спричинити кілька проблем. для наприклад, мітки часу на записах журналу подій можуть бути неточними, мітки часу ввімкнено файли та папки, які створюються або змінюються, можуть бути неправильними, а комп’ютери, які належать до домену, можливо, не зможуть автентифікувати себе або користувачів, які намагаються увійти на домен від них. Крім того, через протокол автентифікації Kerberos вимагає, щоб запитувач і автентифікатор синхронізували свої годинники в межах визначений адміністратором період перекосу, зловмисник, який змінює час комп’ютера, може призвести до того, що комп’ютер не зможе отримати або надати квитки Kerberos. Ризик від цих типів подій зменшено на більшості контролерів домену, учасників Сервери та комп’ютери кінцевих користувачів, оскільки служба часу Windows автоматично синхронізує час із контролерами домену такими способами: • Усі клієнтські настільні комп’ютери та рядові сервери використовують домен автентифікації Контролер як їхній вхідний часовий партнер. • Усі контролери домену в домені призначають основний контролер домену (PDC) Головний операційний емулятор як їхній вхідний часовий партнер. • Усі майстри операцій емулятора PDC дотримуються ієрархії доменів у вибір свого партнера по вхідному часу. • Майстер операцій емулятора PDC у корені домену є авторитетним для організації. Тому рекомендується налаштувати цей комп’ютер для синхронізації з надійним зовнішнім сервером часу. Ця вразливість стає набагато серйознішою, якщо зловмисник зможе змінити системного часу, а потім зупиніть службу часу Windows або повторно налаштуйте її для синхронізації з неточним сервером часу.
Не повинно бути ніякого впливу, оскільки синхронізація часу для більшості організацій має бути бути повністю автоматизованим для всіх комп’ютерів, які належать до домену. Комп’ютери, які цього не роблять належать до домену, має бути налаштовано для синхронізації із зовнішнім джерелом.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Параметри безпеки\Локальні політики\Призначення прав користувача\Змінити систему час
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Change System Time Note: Include only one User or Group per line in the Settings Catalog configuration screen. - Рекомендований стан:
*S-1-5-32-544 and *S-1-5-19 (Administrators, LOCAL - SERVICE)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/change-the-system-time 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#changesystemtime 3. GRID: MS-00000020 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.7 Переконайтеся, що для пункту «Створити глобальні об’єкти» встановлено значення «Адміністратори, ЛОКАЛЬНА СЛУЖБА, МЕРЕЖНА СЛУЖБА, СЛУЖБА».
Цей параметр політики визначає, чи можуть користувачі створювати доступні глобальні об’єкти на всі сесії. Користувачі все одно можуть створювати об’єкти, які стосуються їх власного сеансу, якщо вони не мають права цього користувача. Користувачі, які можуть створювати глобальні об’єкти, можуть впливати на процеси, які виконуються під керуванням інших користувачів сесії. Ця можливість може призвести до різноманітних проблем, наприклад до збою програми або пошкодження даних. Рекомендований стан для цього параметра: *S-1-5-32-544, *S-1-5-19, *S-1-5-20 і *S-1-5-6 (Адміністратори, ЛОКАЛЬНА СЛУЖБА, СЛУЖБА МЕРЕЖІ, СЕРВІС).
Користувачі, які можуть створювати глобальні об’єкти, можуть впливати на служби та процеси Windows запускати під обліковими записами інших користувачів або системи. Ця здатність може призвести до різноманітних проблеми, такі як збій програми, пошкодження даних і підвищення привілеїв.
Немає – це типова поведінка.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Параметри безпеки\Локальні політики\Призначення прав користувача\Створення глобальних об’єктів
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Create Global Objects Note: Include only one User or Group per line in the Settings Catalog configuration screen. - Рекомендований стан:
*S-1-5-32-544, *S-1-5-19, *S-1-5-20 and *S-1-5-6 - (Administrators, LOCAL SERVICE, NETWORK SERVICE, SERVICE)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/create-global-objects 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#createglobalobjects 3. GRID: MS-00000024 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.8 Переконайтеся, що для параметра «Створити файл сторінки» встановлено значення «Адміністратори»
Цей параметр політики дозволяє користувачам змінювати розмір файлу сторінки. Зробивши файл сторінки дуже великий або надзвичайно малий, зловмисник може легко вплинути на продуктивність скомпрометованого комп’ютера. Рекомендований стан для цього параметра: *S-1-5-32-544 (Адміністратори).
Користувачі, які можуть змінювати розмір файлу сторінки, можуть зробити його дуже маленьким або перемістити файл до сильно фрагментованого обсягу пам’яті, що може призвести до зменшення комп’ютера продуктивність.
Немає – це типова поведінка.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Security Settings\Local Policies\User Rights Assignment\Create a pagefile
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Create Page File Note: Include only one User or Group per line in the Settings Catalog configuration screen. - Рекомендований стан:
*S-1-5-32-544 (Administrators)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/create-a-pagefile 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#createpagefile 3. GRID: MS-00000022 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.9 Переконайтеся, що для параметра «Створювати постійні спільні об’єкти» встановлено значення «Ніхто»
Це право користувача корисне для компонентів режиму ядра, які розширюють простір імен об’єктів. Однак компоненти, які працюють у режимі ядра, мають це право користувача. тому зазвичай немає необхідності спеціально призначати це право користувача. Рекомендований стан для цього параметра: нікого.
Користувачі, які мають право на створення постійних спільних об’єктів, можуть створювати нові спільні об’єкти та надавати конфіденційні дані мережі.
Немає – це типова поведінка.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Security Settings\Local Policies\User Rights Assignment\Create Permanent Спільні об’єкти
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Create Permanent Shared Objects Note: Using ( - Рекомендований стан:
(
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/create-permanent-shared-objects 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#createpermanentsharedobjects 3. GRID: MS-00000025 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.10 Переконайтеся, що для параметра «Створити символічні посилання» встановлено значення «Адміністратори»
Цей параметр політики визначає, які користувачі можуть створювати символічні посилання. У Windows Vista, наявні об’єкти файлової системи NTFS, такі як файли та папки, доступні за допомогою посилаючись на новий вид об’єкта файлової системи, який називається символічним посиланням. Символічне посилання — це a покажчик (подібно до ярлика або файлу .lnk) на інший об’єкт файлової системи, який може бути a файл, папку, ярлик або інше символічне посилання. Різниця між ярликом і a символічне посилання полягає в тому, що ярлик працює лише всередині оболонки Windows. До іншого програми та додатки, ярлики – це просто ще один файл, тоді як із символічними посиланнями, концепція ярлика реалізована як функція файлової системи NTFS. Символічні посилання потенційно можуть виявити вразливість безпеки в програмах, які такими не є призначені для їх використання. З цієї причини привілей для створення символічних посилань має бути призначатися лише довіреним користувачам. За замовчуванням створювати можуть лише адміністратори символічні посилання. Рекомендований стан для цього параметра: *S-1-5-32-544 (Адміністратори) і (коли інстальовано функцію Hyper-V) *S-1-5-83-0 (NT VIRTUAL MACHINE\Virtual машини).
Користувачі, які мають право на створення символічних посилань, можуть випадково чи зловмисно піддавати вашу систему атакам символьних посилань. Атаки за допомогою символічних посилань можна використовувати для змінити дозволи на файл, пошкодити дані, знищити дані або як відмову Сервісна атака.
У більшості випадків це не вплине, оскільки це конфігурація за замовчуванням. Однак на робочих станціях Windows із інстальованою функцією Hyper-V це право користувача також слід надати спеціальній групі NT VIRTUAL MACHINE\Virtual Machines – інакше ви не зможете створювати нові віртуальні машини.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Параметри безпеки\Локальні політики\Призначення прав користувача\Створити символічні посилання
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до *S-1-5-32-544 (адміністратори) і, за бажанням, *S-1-5-83-0 (NT VIRTUAL MACHINE\Virtual Machines) Права користувача\Створення символічних посилань Примітка. Додайте лише одного користувача або групу на рядок конфігурації каталогу параметрів екран.
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/create-symbolic-links 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#createsymboliclinks 3. GRID: MS-00000026 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.11 Переконайтеся, що для параметра «Створити маркер» встановлено значення «Ніхто»
Цей параметр політики дозволяє процесу створити маркер доступу, який може надавати розширені права доступу до конфіденційних даних. Рекомендований стан для цього параметра: нікого. Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.
Обліковий запис користувача, якому надано це право користувача, має повний контроль над системою та може призвести до зламу системи. Настійно не рекомендується цього робити призначати це право будь-яким обліковим записам користувачів. Операційна система перевіряє маркер доступу користувача, щоб визначити рівень привілеї користувача. Маркери доступу створюються, коли користувачі входять до локального комп’ютера або підключитися до віддаленого комп’ютера через мережу. Коли ви відкликаєте привілей, зміна негайно записується, але зміна не відображається в маркері доступу користувача до під час наступного входу або підключення користувача. Користувачі з можливістю створювати або змінювати токени можуть змінювати рівень доступу для будь-якого облікового запису, у який ви ввійшли. Вони могли підвищити власні привілеї або створити умову DoS.
Немає – це типова поведінка.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Security Settings\Local Policies\User Rights Assignment\Create a token object
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Create Token Note: Using ( - Рекомендований стан:
(
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/create-a-token-object 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#createtoken 3. GRID: MS-00000023 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.12 Переконайтеся, що для параметра «Програми налагодження» встановлено значення «Адміністратори»
Цей параметр політики визначає, які облікові записи користувачів матимуть право приєднувати a налагоджувача до будь-якого процесу або до ядра, що забезпечує повний доступ до конфіденційних і критичні компоненти операційної системи. Розробники, які самостійно налагоджують програмам не потрібно призначати це право користувача; однак розробники, які є для налагодження нових компонентів системи це знадобиться. Рекомендований стан для цього параметра: *S-1-5-32-544 (Адміністратори). Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.
Право користувача Debug programs можна використати для захоплення чутливого комп’ютера інформації з системної пам’яті або для доступу та зміни ядра чи програми структур. Деякі інструменти атаки використовують це право користувача для отримання хешованих паролів і іншу приватну інформацію безпеки або вставити код руткіта. За замовчуванням налагодження права користувача програм призначаються лише адміністраторам, що допомагає знизити ризик від цієї вразливості.
Якщо ви відкликаєте це право користувача, ніхто не зможе налагоджувати програми. Однак типовий обставини рідко вимагають цієї можливості на робочих комп’ютерах.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Параметри безпеки\Локальні політики\Призначення прав користувача\Налагодження програм
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Debug Programs Note: Include only one User or Group per line in the Settings Catalog configuration screen. - Рекомендований стан:
*S-1-5-32-544 (Administrators)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/debug-programs 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#debugprograms 3. GRID: MS-00000027 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.13 Переконайтеся, що «Заборонити доступ з мережі» включає «Гості, локальний обліковий запис»
Цей параметр політики забороняє користувачам підключатися до комп’ютера з іншого боку мережі, яка дозволить користувачам отримувати доступ і потенційно змінювати дані віддалено. в у середовищі з високим рівнем безпеки, віддаленим користувачам не повинно бути доступу до даних комп’ютер. Натомість обмін файлами має здійснюватися через використання мережі серверів. Це право користувача замінює право користувача «Доступ до комп’ютера з мережі», якщо на обліковий запис поширюються обидві політики. Рекомендований стан для цього налаштування має включати: *S-1-5-32-546 і *S-1-5-113 (Гості, Локальний обліковий запис). Застереження: налаштування автономної (не приєднаної до домену) робочої станції, як описано вище може призвести до неможливості дистанційного адміністрування робочої станції. Примітка. Ідентифікатор безпеки Локальний обліковий запис недоступний у Windows 7 і Windows 8.0, якщо не встановлено MSKB 2871997.
Користувачі, які можуть увійти до комп’ютера через мережу, можуть пронумерувати списки облікових записів імена, назви груп і спільні ресурси. Користувачі з дозволом на спільний доступ папки та файли можуть підключатися через мережу та, можливо, переглядати або змінювати дані.
Якщо ви налаштуєте право Заборонити доступ до цього комп’ютера для користувача мережі інших груп, ви можете обмежити можливості користувачів, призначених до певних адміністративні ролі у вашому середовищі. Ви повинні переконатися, що делеговані завдання не будуть мати негативний вплив.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Параметри безпеки\Локальні політики\Призначення прав користувача\Заборонити доступ до цього комп’ютер від мережі
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Deny Access From Network Note: Include only one User or Group per line in the Settings Catalog configuration screen. - Рекомендований стан:
*S-1-5-32-546 and *S-1-5-113 (Guests, Local account)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/deny-access-to-this-computer-from-the-network 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#denyaccessfromnetwork 3. GRID: MS-00000028 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.14 Переконайтеся, що «Заборонити локальний вхід» для включення «Гостей»
Цей параметр безпеки визначає, яким користувачам заборонено входити в систему комп’ютер. Цей параметр політики замінює параметр політики «Дозволити локальний вхід», якщо на обліковий запис поширюються обидві політики. Рекомендований стан для цього налаштування має включати: *S-1-5-32-546 (Гості). Важливо: якщо застосувати цю політику безпеки до групи «Усі», ніхто не зможе увійдіть локально. Попередження: текст довідки в Intune, пов’язаний із цією рекомендацією, стосується налаштування, Заборонити вхід як службу, а не цей параметр.
Будь-який обліковий запис із можливістю локального входу можна використовувати для входу на консолі комп’ютер. Якщо це право користувача не обмежено законними користувачами, яким потрібно ввійти в систему на консолі комп’ютера, неавторизовані користувачі можуть завантажувати та запускати зловмисні програми програмне забезпечення, яке підвищує їхні привілеї.
Якщо ви призначите право заборонити вхід локального користувача додатковим обліковим записам, ви можете обмежити можливості користувачів, яким призначено певні ролі у вашому середовищі. однак, це право користувача має бути явно призначено обліковому запису ASPNET на комп’ютерах, які запустити IIS 6.0. Ви повинні підтвердити, що це не вплине негативно на делеговані дії.
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений.
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Deny Local Log On Note: Include only one User or Group per line in the Settings Catalog configuration screen. - Рекомендований стан:
*S-1-5-32-546 (Guests)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/deny-log-on-locally 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#denylocallogon 3. GRID: MS-00000031 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.15 Переконайтеся, що «Заборонити вхід як пакетне завдання» включити «Гостей»
Цей параметр політики визначає, які облікові записи не зможуть увійти на комп’ютер як пакетне завдання. Пакетне завдання — це не пакетний файл (.bat), а засіб пакетної черги. Облікові записи, які використовують планувальник завдань для планування завдань, потребують цього права користувача. Це право користувача замінює право користувача «Увійти як пакетне завдання», яке можна використовувати дозволити обліковим записам планувати завдання, які споживають надмірні системні ресурси. Такий подія може спричинити стан DoS. Неможливість призначити цьому користувачу право на рекомендовані облікові записи можуть становити загрозу безпеці. Рекомендований стан для цього налаштування має включати: *S-1-5-32-546 (Гості).
Облікові записи, які мають право користувача «Увійти як пакетне завдання», можна використовувати для планування завдання, які можуть споживати надмірні ресурси комп’ютера та спричинити стан DoS.
Якщо ви призначите право заборонити вхід як користувачу пакетного завдання іншим обліковим записам, ви зможете заборонити користувачам, яким призначено певні адміністративні ролі, виконувати їх обов’язкова трудова діяльність. Ви повинні підтвердити, що це не вплине на делеговані завдання несприятливо. Наприклад, якщо ви призначите цьому користувачеві право облікового запису IWAM_(Ім’я комп’ютера), MSM Management Point не вийде. На щойно встановленому комп’ютері під керуванням Windows Server 2003 цей обліковий запис не належить до групи гостей, але на комп’ютері, який було оновлено з Windows 2000, цей обліковий запис є членом групи гостей. Тому важливо розуміти, які облікові записи належать до будь-яких груп ви призначаєте право користувача «Заборонити вхід» як пакетне завдання.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Security Settings\Local Policies\User Rights Assignment\Deny login as a пакетна робота
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Deny Log On As Batch Job - Рекомендований стан:
*S-1-5-32-546 (Guests)
Застосовується лише до Windows 11.
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/deny-log-on-as-a-batch-job 2. GRID: MS-00000029 3. Minimum OS CSP: Windows 11, version 24H2 and later `
CIS Controls: `
90.16 Переконайтеся, що «Заборонити вхід як службове завдання» включити «Гості»
Цей параметр безпеки визначає, які облікові записи служб заборонено реєструвати процес як послуга. Це право користувача замінює право Увійти як користувач служби, якщо на обліковий запис поширюються обидві політики. Рекомендований стан для цього налаштування має включати: *S-1-5-32-546 (Гості). Примітка. Цей параметр безпеки не застосовується до системи, локальної служби або мережі Сервісні облікові записи.
Облікові записи, які можуть входити як служба, можна використовувати для налаштування та запуску нового неавторизовані служби, такі як кейлоггер або інше шкідливе програмне забезпечення. Користь від зазначений контрзахід дещо зменшується тим, що лише користувачі с адміністративні привілеї можуть встановлювати та налаштовувати служби, а зловмисник, який має вже досягнувши цього рівня доступу, можна налаштувати службу для роботи з Системою рахунок.
Якщо ви призначаєте право «Заборонити вхід як користувач служби» певним обліковим записам, службам можливо, не вдасться запустити, і це може призвести до стану DoS.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Security Settings\Local Policies\User Rights Assignment\Deny login as a обслуговування
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Deny Log On As Service Job - Рекомендований стан:
*S-1-5-32-546 (Guests)
Застосовується лише до Windows 11.
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/deny-log-on-as-a-service 2. GRID: MS-00000030 3. Minimum OS CSP: Windows 11, version 24H2 and later `
CIS Controls: `
90.17 Переконайтеся, що «Заборонити вхід службам віддаленого робочого столу» включити «Гості, локальний обліковий запис»
Цей параметр політики визначає, чи можуть користувачі входити в систему як клієнти віддаленого робочого стола. Після того як базову робочу станцію приєднано до доменного середовища, у цьому немає потреби використовувати локальні облікові записи для доступу до робочої станції з мережі. Облікові записи домену можуть доступ до робочої станції для адміністрування та обробки кінцевим користувачем. Це право користувача замінює право користувача «Дозволити вхід через служби віддаленого робочого стола», якщо на обліковий запис поширюються обидві політики. Рекомендований стан для цього налаштування має включати: *S-1-5-32-546 і *S-1-5-113 (Гості, Локальний обліковий запис). Застереження: налаштування автономної (не приєднаної до домену) робочої станції, як описано вище може призвести до неможливості дистанційного адміністрування робочої станції. Застереження №2: Налаштування робочої станції хмарної системи, як описано вище, може призвести до неможливість входу на робочу станцію. У цьому випадку ця можливість потрібна для локальних облікових записів увійти в систему для успіху. Примітка. Ідентифікатор безпеки Локальний обліковий запис недоступний у Windows 7 і Windows 8.0, якщо не встановлено MSKB 2871997. Примітка №2. Служби віддаленого робочого стола в усіх версіях Windows до Windows 7 був відомий як Terminal Services, тому вам слід замінити старіший термін під час порівняння проти старішої ОС.
Можна використовувати будь-який обліковий запис із правом входу через служби віддаленого робочого стола увійдіть до віддаленої консолі комп’ютера. Якщо це право користувача не обмежено законні користувачі, яким необхідно увійти в консоль комп’ютера, неавторизовані користувачі можуть завантажувати та запускати шкідливе програмне забезпечення, яке підвищує їхні привілеї.
Якщо ви призначаєте право користувача «Заборонити вхід через служби віддаленого робочого стола» іншому груп, ви можете обмежити можливості користувачів, яким призначено певні адміністратори ролі у вашому оточенні. Облікові записи, які мають це право користувача, не зможуть підключитися комп’ютера за допомогою служб віддаленого робочого стола або віддаленої допомоги. Ви повинні підтвердити, що делеговані завдання не зазнають негативного впливу.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Security Settings\Local Policies\User Rights Assignment\Deny log on through Служби віддаленого робочого столу
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Deny Remote Desktop Services Log On Note: Include only one User or Group per line in the Settings Catalog configuration screen. - Рекомендований стан:
*S-1-5-32-546 and *S-1-5-113 (Guests, Local account)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/deny-log-on-through-remote-desktop-services 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#denyremotedesktopserviceslogon 3. GRID: MS-00000032 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.18 Переконайтеся, що для параметра «Увімкнути делегування» встановлено значення «Ніхто»
Цей параметр політики дозволяє користувачам змінювати параметр «Довірено для делегування» на a комп’ютерний об’єкт в Active Directory. Зловживання цим привілеєм може дозволити несанкціоноване користувачі, щоб видавати себе за інших користувачів мережі. Рекомендований стан для цього параметра: нікого. Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.
Неправильне використання параметра Увімкнути довіру комп’ютера та облікових записів користувачів для користувача делегування right може дозволити неавторизованим користувачам видавати себе за інших користувачів у мережі. Ан зловмисник може скористатися цим привілеєм, щоб отримати доступ до мережевих ресурсів і зробити його важко визначити, що сталося після інциденту безпеки.
Немає – це типова поведінка.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Security Settings\Local Policies\User Rights Assignment\Enable computer and облікові записи користувачів, яким слід довіряти для делегування
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Enable Delegation Note: Using ( - Рекомендований стан:
(
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/enable-computer-and-user-accounts-to-be-trusted-for-delegation 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#enabledelegation 3. GRID: MS-00000033 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.19 Переконайтеся, що для параметра «Створення перевірок безпеки» встановлено значення «ЛОКАЛЬНА СЛУЖБА, МЕРЕЖЕВА СЛУЖБА, ОБМЕЖЕНІ СЛУЖБИ\PrintSpoolerService».
Цей параметр політики визначає, у яких користувачах або процесах можна створювати записи аудиту журнал безпеки. Рекомендований стан для цього параметра: *S-1-5-19, *S-1-5-20 і *S-1-5-99 (МІСЦЕВА СЛУЖБА, СЛУЖБА МЕРЕЖІ, ОБМЕЖЕНИЙ СЛУЖБИ\PrintSpoolerService). Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.
Зловмисник може використовувати цю можливість для створення великої кількості перевірених подій, які системному адміністратору буде складніше виявити будь-яку незаконну діяльність. Крім того, якщо журнал подій налаштований на перезапис подій за потреби, будь-які докази неавторизованих діяльність може бути перезаписана великою кількістю непов’язаних подій.
На більшості комп’ютерів це конфігурація за замовчуванням і негативу не буде вплив. Однак, якщо ви встановили веб-сервер (IIS), вам потрібно буде дозволити IIS пулів програм, яким буде надано це право користувача.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Параметри безпеки\Локальні політики\Призначення прав користувача\Створення безпеки аудити
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Generate security audits Note: Include only one User or Group per line in the Settings Catalog configuration screen. - Рекомендований стан:
*S-1-5-19, *S-1-5-20, and *S-1-5-99 (LOCAL SERVICE, - NETWORK SERVICE)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/generate-security-audits 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#generatesecurityaudits 3. GRID: MS-00000035 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.20 Переконайтеся, що для параметра «Імітувати клієнта» встановлено значення «Адміністратори, ЛОКАЛЬНА СЛУЖБА, МЕРЕЖЕВА СЛУЖБА, СЛУЖБА, ОБМЕЖЕНІ СЛУЖБИ\PrintSpoolerService».
Налаштування політики дозволяє програмам, які запускаються від імені користувача, видавати себе за цього користувача (або інший вказаний обліковий запис), щоб вони могли діяти від імені користувача. Якщо цей користувач правий необхідний для такого видавання себе, неавторизований користувач не зможе переконати клієнта підключитися, наприклад, за допомогою віддаленого виклику процедури (RPC) або іменованого канали — до служби, яку вони створили, щоб імітувати клієнта, який міг підняти дозволи неавторизованого користувача до адміністративного або системного рівня. Служби, які запускаються за допомогою Service Control Manager, мають вбудовану групу Service додані за умовчанням до їхніх маркерів доступу. Сервери COM, які запускаються COM інфраструктури та налаштовані для роботи під певним обліковим записом, також мають Службу групи додано до своїх маркерів доступу. У результаті цим процесам призначається цей користувач відразу, коли вони починаються. Крім того, користувач може імітувати маркер доступу, якщо існує будь-яка з таких умов: • Маркер доступу, який імітується, призначений для цього користувача. • Під час цього сеансу входу користувач увійшов до мережі за допомогою явних облікових даних щоб створити маркер доступу. • Запитуваний рівень є нижчим, ніж уособлення, наприклад, анонімний або ідентифікаційний. Зловмисник із правом користувача «Видавати себе за клієнта після автентифікації» може створити послугу, обманом змусити клієнта підключитися до служби, а потім видати себе за це клієнт, щоб підвищити рівень доступу зловмисника до рівня клієнта. Рекомендований стан для цього параметра: *S-1-5-32-544, *S-1-5-19, *S-1-5-20, *S-1-5-6 і *S-1-5-99 (Адміністратори, ЛОКАЛЬНА СЛУЖБА, МЕРЕЖЕВА СЛУЖБА, SERVICE, SERVICES\PrintSpoolerService). Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.
Зловмисник із правом користувача «Видавати себе за клієнта після автентифікації» може створити послугу, обманом змусити клієнта підключитися до служби, а потім видати себе за це клієнт, щоб підвищити рівень доступу зловмисника до рівня клієнта.
У більшості випадків ця конфігурація не матиме жодного впливу. Якщо ви встановили веб-сервер (IIS), вам також потрібно буде призначити права користувача IIS_IUSRS.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Security Settings\Local Policies\User Rights Assignment\Impersonate a client після аутентифікації
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Impersonate Client Note: Include only one User or Group per line in the Settings Catalog configuration screen. - Рекомендований стан:
*S-1-5-32-544, *S-1-5-19, *S-1-5-20, *S-1-5-6, and *S- - 1-5-99 (Administrators, LOCAL SERVICE, NETWORK SERVICE, SERVICE,
- RESTRICTED SERVICES\PrintSpoolerService)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/impersonate-a-client-after-authentication 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#impersonateclient 3. GRID: MS-00000036 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.21 Переконайтеся, що для параметра «Підвищити пріоритет планування» встановлено значення «Адміністратори, диспетчер вікон\група диспетчерів вікон».
Цей параметр політики визначає, чи можуть користувачі підвищувати базовий клас пріоритету a процес. (Збільшення відносного пріоритету в межах пріоритету не є привілейованою операцією клас.) Це право користувача не вимагається інструментами адміністрування, які постачаються з операційна система, але може знадобитися інструментам розробки програмного забезпечення. Рекомендований стан для цього параметра: *S-1-5-32-544 і *S-1-5-90-0 (Адміністратори, менеджер вікон\група менеджерів вікон).
Користувач, якому призначено це право користувача, може збільшити пріоритет планування a процес у реальному часі, що залишило б мало часу на обробку для всіх інших процесів і може призвести до стану DoS.
Немає – це типова поведінка.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Параметри безпеки\Локальні політики\Призначення прав користувача\Збільшити планування пріоритет
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Increase scheduling priority Note: Include only one User or Group per line in the Settings Catalog configuration screen. - Рекомендований стан:
*S-1-5-32-544 and *S-1-5-90-0 (Administrators, Window - Manager\Window Manager Group)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/increase-scheduling-priority 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#increaseschedulingpriority 3. GRID: MS-00000037 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.22 Переконайтеся, що для параметра «Завантажити, вивантажити драйвери пристроїв» встановлено значення «Адміністратори».
Цей параметр політики дозволяє користувачам динамічно завантажувати новий драйвер пристрою в систему. Ан зловмисник потенційно може використати цю можливість для встановлення шкідливого коду, який, здається, є драйвер пристрою. Це право користувача потрібне користувачам для додавання локальних принтерів або принтера драйвери в Windows Vista. Рекомендований стан для цього параметра: *S-1-5-32-544 (Адміністратори). Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.
Драйвери пристроїв запускаються як код із високими привілейованими правами. Користувач, який має завантаження та вивантаження права користувача на драйвери пристроїв можуть ненавмисно встановити шкідливий код, який маскується як драйвер пристрою. Адміністраторам слід бути більш уважними та встановлювати лише драйвери з перевіреними цифровими підписами.
Якщо ви видалите користувача Завантажити та вивантажити драйвери пристроїв прямо з Друк Група операторів або інші облікові записи, які ви можете обмежити можливості користувачів призначені певним адміністративним ролям у вашому середовищі. Ви повинні це переконатися делеговані завдання не зазнають негативного впливу.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Параметри безпеки\Локальні політики\Призначення прав користувача\Завантаження та вивантаження драйвери пристроїв
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Load Unload Device Drivers Note: Include only one User or Group per line in the Settings Catalog configuration screen. - Рекомендований стан:
*S-1-5-32-544 (Administrators)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/load-and-unload-device-drivers 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#loadunloaddevicedrivers 3. GRID: MS-00000038 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.23 Переконайтеся, що для параметра «Блокування пам’яті» встановлено значення «Ніхто»
Цей параметр політики дозволяє процесу зберігати дані у фізичній пам’яті, що запобігає система з переміщення даних у віртуальну пам’ять на диску. Якщо це право користувача призначено, може статися значне погіршення продуктивності системи. Рекомендований стан для цього параметра: нікого.
Користувачі з правом користувача «Блокувати сторінки в пам’яті» можуть призначати фізичну пам’ять кілька процесів, які можуть залишити мало або зовсім не залишити оперативну пам’ять для інших процесів і призвести до стан DoS.
Немає – це типова поведінка.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Параметри безпеки\Локальні політики\Призначення прав користувача\Заблокувати сторінки в пам’яті
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Lock Memory Note: Using ( - Рекомендований стан:
(
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/lock-pages-in-memory 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#lockmemory 3. GRID: MS-00000039 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.24 Переконайтеся, що для параметра «Увійти як пакетне завдання» встановлено значення «Адміністратори»
Цей параметр політики дозволяє обліковим записам входити в систему за допомогою служби планувальника завдань. Тому що Планувальник завдань часто використовується в адміністративних цілях, він може знадобитися в корпоративні середовища. Однак його використання має бути обмежене високим рівнем безпеки середовища, щоб запобігти неправильному використанню системних ресурсів або запобігти використанню зловмисниками право запускати шкідливий код після отримання доступу до комп’ютера на рівні користувача. Рекомендований стан для цього параметра: *S-1-5-32-544 (Адміністратори).
Право користувача «Увійти як пакетне завдання» є вразливістю з низьким рівнем ризику. Для більшості організацій, налаштувань за замовчуванням достатньо.
Якщо ви налаштуєте параметр Увійти як пакетне завдання через доменну групу Політики, комп’ютер не зможе призначити права користувача обліковим записам, які використовуються для запланованих завдань у Планувальнику завдань. Якщо ви встановлюєте додаткові компоненти, наприклад ASP.NET або IIS, вам може знадобитися призначити цьому користувачу право додатковим обліковим записам, які є необхідні цими компонентами. Наприклад, IIS вимагає призначення цього права користувача до групи IIS_WPG і IUSR_(ім’я комп’ютера), ASPNET і Облікові записи IWAM_(ім’я комп’ютера). Якщо це право користувача не призначено цій групі і цих облікових записів IIS не зможе запустити деякі об’єкти COM, які необхідні для належну функціональність.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Параметри безпеки\Локальні політики\Призначення прав користувача\Увійти як пакетне завдання
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Log On As Batch Job - Рекомендований стан:
*S-1-5-32-544 (Administrators)
Застосовується лише до Windows 11.
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/log-on-as-a-batch-job 2. GRID: MS-00000040 3. Minimum OS CSP: Windows 11, version 24H2 and later `
CIS Controls: `
90.25 Переконайтеся, що для параметра «Керування журналом аудиту та безпеки» встановлено значення «Адміністратори».
Цей параметр політики визначає, які користувачі можуть змінювати параметри аудиту для файлів і і очистіть журнал безпеки. Рекомендований стан для цього параметра: *S-1-5-32-544 (Адміністратори). Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.
Можливість керувати журналом подій безпеки є потужним правом користувача, і це має бути пильно охороняється. Будь-хто з цим правом користувача може очистити журнал безпеки для видалення важливі докази несанкціонованої діяльності.
Немає – це типова поведінка.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Security Settings\Local Policies\User Rights Assignment\Manage auditing and журнал безпеки
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Manage auditing and security log Note: Include only one User or Group per line in the Settings Catalog configuration screen. - Рекомендований стан:
*S-1-5-32-544 (Administrators)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/manage-auditing-and-security-log 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#manageauditingandsecuritylog 3. GRID: MS-00000042 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.26 Переконайтеся, що для параметра «Керування гучністю» встановлено значення «Адміністратори»
Цей параметр політики дозволяє користувачам керувати системним томом або конфігурацією диска, що може дозволити користувачеві видалити том і спричинити втрату даних, а також відмову в стан обслуговування. Рекомендований стан для цього параметра: *S-1-5-32-544 (Адміністратори). Примітка. Робоча станція з інстальованим Microsoft SQL Server потребує спеціального винятку до цієї рекомендації для облікового запису, який запускає службу SQL Server це право користувача.
Користувач, якому призначено право користувача Виконувати завдання з обслуговування томів, може видалити том, що може призвести до втрати даних або стану DoS.
Немає – це типова поведінка.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Security Settings\Local Policies\User Rights Assignment\Perform volume завдання з обслуговування
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Manage Volume Note: Include only one User or Group per line in the Settings Catalog configuration screen. \ - Рекомендований стан:
*S-1-5-32-544 (Administrators)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/perform-volume-maintenance-tasks 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#managevolume 3. GRID: MS-00000045 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.27 Переконайтеся, що для параметра «Змінити середовище прошивки» встановлено значення «Адміністратори»
Цей параметр політики дозволяє користувачам налаштовувати загальносистемні змінні середовища, які впливають на конфігурацію обладнання. Ця інформація зазвичай зберігається в останніх відомих Хороша конфігурація. Зміна цих значень може призвести до збою обладнання що призведе до стану відмови в обслуговуванні. Рекомендований стан для цього параметра: *S-1-5-32-544 (Адміністратори). Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.
Будь-хто, кому призначено право користувача змінювати значення середовища мікропрограми, може налаштувати параметри апаратного компонента, щоб спричинити його збій, що може призвести до пошкодження даних або стан DoS.
Немає – це типова поведінка.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Security Settings\Local Policies\User Rights Assignment\Modify firmware цінності середовища
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Modify Firmware Environment Note: Include only one User or Group per line in the Settings Catalog configuration screen. - Рекомендований стан:
*S-1-5-32-544 (Administrators)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/modify-firmware-environment-values 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#modifyfirmwareenvironment 3. GRID: MS-00000044 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.28 Переконайтеся, що для параметра «Змінити мітку об’єкта» встановлено значення «Ніхто»
Цей привілей визначає, які облікові записи користувачів можуть змінювати мітку цілісності об’єктів, наприклад файли, ключі реєстру або процеси, що належать іншим користувачам. Запущені процеси під обліковим записом користувача може змінити мітку об’єкта, що належить цьому користувачеві, на нижчу без цього привілею. Рекомендований стан для цього параметра: нікого.
Шляхом зміни мітки цілісності об’єкта, що належить іншому користувачеві, зловмисник може змусити їх виконувати код із вищим рівнем привілеїв, ніж передбачалося.
Немає – це типова поведінка.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Параметри безпеки\Локальні політики\Призначення прав користувача\Змінити об’єкт етикетка
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Modify Object Label Note: Using ( - Рекомендований стан:
(
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/modify-an-object-label 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#modifyobjectlabel 3. GRID: MS-00000043 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.29 Переконайтеся, що для параметра «Одиний процес профілю» встановлено значення «Адміністратори»
Цей параметр політики визначає, які користувачі можуть використовувати інструменти для моніторингу продуктивності несистемні процеси. Як правило, вам не потрібно налаштовувати це право користувача для використання Оснастка продуктивності консолі керування Microsoft (MMC). Однак вам потрібно це право користувача, якщо системний монітор налаштовано на збір даних за допомогою Windows Інструмент керування (WMI). Обмеження права користувача профілю на один процес не дозволяє зловмисникам отримати додаткову інформацію, яка може бути використана для встановлення атака на систему. Рекомендований стан для цього параметра: *S-1-5-32-544 (Адміністратори).
Право користувача одного процесу Profile представляє помірну вразливість. Нападник з цим правом користувача можна контролювати продуктивність комп’ютера, щоб допомогти визначити критичні процеси, на які вони можуть атакувати безпосередньо. Зловмисник також може це зробити визначити, які процеси виконуються на комп’ютері, щоб їх можна було ідентифікувати контрзаходи, яких їм, можливо, доведеться уникати, наприклад антивірусне програмне забезпечення, вторгнення- системи виявлення або які інші користувачі ввійшли до комп’ютера.
Немає – це типова поведінка.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Security Settings\Local Policies\User Rights Assignment\Profile single процес
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Profile single process Note: Include only one User or Group per line in the Settings Catalog configuration screen. - Рекомендований стан:
*S-1-5-32-544 (Administrators)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/profile-single-process 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#profilesingleprocess 3. GRID: MS-00000046 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.30 Переконайтеся, що для параметра «Продуктивність системи профілю» встановлено значення «Адміністратори, NT SERVICE\WdiServiceHost».
Цей параметр політики дозволяє користувачам використовувати інструменти для перегляду продуктивності різних систем процеси, якими можна зловживати, щоб дозволити зловмисникам визначити активність системи процесів і дають уявлення про потенційну поверхню атаки комп’ютера. Рекомендований стан для цього параметра: *S-1-5-32-544, *S-1-5-80 (Адміністратори, NT SERVICE\WdiServiceHost).
Право користувача Profile system performance створює помірну вразливість. Нападники з цим правом користувача можна контролювати продуктивність комп’ютера, щоб допомогти визначити критичні процеси, які вони можуть атакувати безпосередньо. Зловмисники також можуть це зробити визначити, які процеси активні на комп’ютері, щоб їх можна було ідентифікувати контрзаходи, яких їм слід уникати, наприклад антивірусне програмне забезпечення або вторгнення система виявлення.
Немає – це типова поведінка.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Параметри безпеки\Локальні політики\Призначення прав користувача\Система профілю продуктивність
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Profile System Performance - Рекомендований стан:
*S-1-5-32-544, *S-1-5-80 (Administrators, NT - SERVICE\WdiServiceHost)
Застосовується лише до Windows 11.
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/profile-system-performance 2. GRID: MS-00000047 3. Minimum OS CSP: Windows 11, version 24H2 and later `
CIS Controls: `
90.31 Переконайтеся, що для параметра «Віддалене завершення роботи» встановлено значення «Адміністратори»
Цей параметр політики дозволяє користувачам вимикати комп’ютери під керуванням Windows Vista або новіших з віддалених місць у мережі. Усі, кому було призначено це право користувача може спричинити стан відмови в обслуговуванні (DoS), який зробить комп’ютер недоступний для обслуговування запитів користувачів. Тому рекомендується лише високо довіреним адміністраторам призначити це право користувача. Рекомендований стан для цього параметра: *S-1-5-32-544 (Адміністратори).
Будь-який користувач, який може вимкнути комп’ютер, може викликати стан DoS. Тому це право користувача має бути жорстко обмежено.
Якщо ви знімете примусове завершення роботи від віддаленого користувача системи прямо з сервера Групою операторів ви можете обмежити можливості користувачів, яким призначено конкретні адміністративні ролі у вашому середовищі. Ви повинні підтвердити, що делеговані дії не матиме негативного впливу.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Security Settings\Local Policies\User Rights Assignment\Force shutdown from a віддалена система
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Remote Shutdown Note: Include only one User or Group per line in the Settings Catalog configuration screen. - Рекомендований стан:
*S-1-5-32-544 (Administrators)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/force-shutdown-from-a-remote-system 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#remoteshutdown 3. GRID: MS-00000034 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.32 Переконайтеся, що для параметра «Замінити маркер рівня процесу» встановлено значення «ЛОКАЛЬНА СЛУЖБА, МЕРЕЖНА СЛУЖБА»
Цей параметр політики дозволяє одному процесу чи службі запускати іншу службу чи процес інший маркер доступу безпеки, який можна використовувати для зміни маркера доступу безпеки цього підпроцесу та призведе до ескалації привілеїв. Рекомендований стан для цього параметра: *S-1-5-19, *S-1-5-20 (МІСЦЕВА СЛУЖБА, СЛУЖБА МЕРЕЖІ). Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.
Користувачі з привілеєм «Замінити маркер рівня процесу» можуть запускати процеси як інших користувачів, чиї облікові дані вони знають. Вони могли використовувати цей метод, щоб приховати своє несанкціоновані дії на комп’ютері. (На комп’ютерах під керуванням Windows 2000 використання Право користувача на заміну маркера рівня процесу також вимагає, щоб користувач мав налаштування квоти пам’яті для права користувача процесу, яке обговорювалося раніше в цьому розділі.)
На більшості комп’ютерів це конфігурація за замовчуванням і негативу не буде вплив. Однак, якщо ви встановили веб-сервер (IIS), вам потрібно буде дозволити IIS пулів програм, яким буде надано це призначення прав користувача.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Параметри безпеки\Локальні політики\Призначення прав користувача\Замінити процес жетон рівня
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Replace Process Level Token - Рекомендований стан:
*S-1-5-19, *S-1-5-20 (LOCAL SERVICE, NETWORK - SERVICE)
Застосовується лише до Windows 11.
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/replace-a-process-level-token 2. GRID: MS-00000048 3. Minimum OS CSP: Windows 11, version 24H2 and later `
CIS Controls: `
90.33 Переконайтеся, що для параметра «Відновити файли та каталоги» встановлено значення «Адміністратори»
Цей параметр політики визначає, які користувачі можуть обходити файл, каталог, реєстр тощо дозволи постійного об’єкта під час відновлення резервних копій файлів і каталогів на комп’ютери з операційною системою Windows Vista (або новішою) у вашому середовищі. Це право користувача також визначає, які користувачі можуть встановлювати дійсні принципали безпеки як власників об’єктів; це схоже на право користувача Резервне копіювання файлів і каталогів. Рекомендований стан для цього параметра: *S-1-5-32-544 (Адміністратори). Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.
Зловмисник із правом користувача «Відновити файли та каталоги» може відновити конфіденційні дані даних на комп’ютер і перезаписати новіші дані, що може призвести до втрати важливі дані, пошкодження даних або відмова в обслуговуванні. Зловмисники можуть перезаписати виконувані файли, які використовуються законними адміністраторами або системними службами версії, які містять шкідливе програмне забезпечення для надання підвищених привілеїв, зламати дані або встановити бекдори для постійного доступу до комп’ютера. Примітка. Навіть якщо налаштовано наступний контрзахід, зловмисник все одно може відновити дані на комп’ютер у домені, який контролюється зловмисником. Тому це критично що організації ретельно захищають носії, які використовуються для резервного копіювання даних.
Якщо видалити користувача відновлення файлів і каталогів безпосередньо з операторів резервного копіювання групи та інших облікових записів, які ви можете зробити неможливими для користувачів, які були делегував конкретні завдання для виконання цих завдань. Ви повинні переконатися, що ця зміна не відбудеться негативно вплинути на здатність персоналу вашої організації виконувати свою роботу.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Параметри безпеки\Локальні політики\Призначення прав користувача\Відновити файли та довідники
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Restore files and directories Note: Include only one User or Group per line in the Settings Catalog configuration screen. - Рекомендований стан:
*S-1-5-32-544 (Administrators)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/restore-files-and-directories 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#restorefilesanddirectories 3. GRID: MS-00000049 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
90.34 Переконайтеся, що для параметра «Вимкнути систему» встановлено значення «Адміністратори, користувачі».
Цей параметр політики визначає, які користувачі локально ввійшли до комп’ютерів у вашому середовищі можна вимкнути операційну систему за допомогою команди Завершити роботу. Зловживання цим правом користувача може призвести до відмови в обслуговуванні. Рекомендований стан для цього параметра: *S-1-5-32-544, *S-1-5-32-545 (Адміністратори, Користувачі).
Можливість вимкнути робочу станцію має бути загальнодоступною для адміністраторів та авторизованих користувачів цієї робочої станції, але не дозволено для гостей або неавторизованих осіб користувачів – щоб запобігти атаці відмови в обслуговуванні.
Вплив видалення цих груп за замовчуванням із Завершити роботу системного користувача право може обмежити делеговані можливості призначених ролей у вашому середовищі. Ви має підтвердити, що делегована діяльність не матиме негативного впливу.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Security Settings\Local Policies\User Rights Assignment\Shut down the system
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Shut Down The System - Рекомендований стан:
*S-1-5-32-544, *S-1-5-32-545 (Administrators, Users)
Застосовується лише до Windows 11.
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/shut-down-the-system 2. GRID: MS-00000050 3. Minimum OS CSP: Windows 11, version 24H2 and later `
CIS Controls: `
90.35 Переконайтеся, що для параметра «Взяти право власності» встановлено значення «Адміністратори»
Цей параметр політики дозволяє користувачам отримати право власності на файли, папки, ключі реєстру, процеси або потоки. Це право користувача обходить усі наявні дозволи захистити об’єкти, щоб надати право власності вказаному користувачеві. Рекомендований стан для цього параметра: *S-1-5-32-544 (Адміністратори). Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.
Будь-який користувач із правом власності на файли чи інші об’єкти може отримати контролювати будь-який об’єкт, незалежно від дозволів на цей об’єкт, а потім робити будь-які зміни, які вони бажають до цього об’єкта. Такі зміни можуть призвести до розкриття даних, пошкодження даних або стан DoS.
Немає – це типова поведінка.
Перейдіть до локальної політики безпеки та переконайтеся, що її встановлено належним чином. Параметри безпеки\Локальні політики\Призначення прав користувача\Взяти право власності на файли або інші об’єкти
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:
- Шлях у Settings Catalog:
User Rights\Take Ownership Note: Include only one User or Group per line in the Settings Catalog configuration screen. - Рекомендований стан:
*S-1-5-32-544 (Administrators)
📋 CIS Controls & Нормативні посилання
Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/threat-protection/security- policy-settings/take-ownership-of-files-or-other-objects 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- userrights#takeownership 3. GRID: MS-00000052 4. Minimum OS CSP: Windows 10, Version 1803 and later `
CIS Controls: `
Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.