98. Біометрична автентифікація Windows Hello для бізнесу

Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.

Рекомендацій: 4

Windows 11 Intune v5.0.0

98.1 Переконайтеся, що для параметра «Увімкнути ESS із підтримуваними периферійними пристроями» встановлено значення «Буде ввімкнено покращену безпеку входу…»

Рівень 1 (L1)Автоматизовано

            Оригінал:
        

Покращена безпека входу ізолює біометричні дані Windows Hello (обличчя та відбитки пальців) дані шаблону та операції зіставлення з надійним обладнанням або вказаною пам’яттю регіони. Рекомендований стан для цього параметра: ESS буде ввімкнено в системах із відповідне програмне та апаратне забезпечення відповідно до існуючої поведінки за замовчуванням у Windows. Операції автентифікації будь-якого периферійного біометричного пристрою пристрій буде заблоковано та недоступно для Windows Hello. (за замовчуванням і рекомендовано для найвищої безпеки)..

💡 Обґрунтування безпеки:

Тому що канал зв’язку між датчиками і алгоритмом є захищено, зловмисне програмне забезпечення не може впровадити або відтворити дані, щоб імітувати користувача ввійти в систему або заблокувати користувача на його машині.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)

Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.

HKLM\SOFTWARE\Microsoft\Policies\PassportForWork\Biometrics:EnableESSwithSupportedPeripherals

⚙️ Виправлення (Remediation / Налаштування)

Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до Покращеної безпеки входу буде ввімкнено…: Windows Hello For Business\Увімкнути ESS із підтримуваними периферійними пристроями

Значення за замовчуванням: Увімкнено: 1. (Біометричні пристрої, які не підтримуються розширеною безпекою входу (включаючи периферійні пристрої) не працюватиме з Windows Hello для бізнесу.)

ℹ️ Додаткова інженерна інформація (Additional Information):

Застосовується лише до Windows 11.

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows-hardware/design/device- experiences/restore-scpc-config-for-admins 2. https://learn.microsoft.com/en-us/windows/security/identity-protection/hello-for- business/hello-faq 3. GRID: MS-00000528 4. https://learn.microsoft.com/en-us/windows/client- management/mdm/passportforwork- csp#devicebiometricsenableesswithsupportedperipherals 5. Minimum OS CSP: Windows 11, version 22H2 and later `

CIS Controls: `




                    CIS Controls V8: 10.5

                    IG 1, 2
                
Enable Anti-Exploitation Features Enable anti-exploitation features on enterprise assets and software, where possible, such as Microsoft® Data Execution Prevention (DEP), Windows® Defender Exploit Guard (WDEG), or Apple® System Integrity Protection (SIP) and Gatekeeper™.




                    CIS Controls V7: 8.3

                    IG 1, 2
                
Enable Operating System Anti-Exploitation Features/ Deploy Anti-Exploit Technologies Enable anti-exploitation features such as Data Execution Prevention (DEP) or Address Space Layout Randomization (ASLR) that are available in an operating system or deploy appropriate toolkits that can be configured to apply protection to a broader set of applications and executables.




98.2 Переконайтеся, що для параметра «Риси обличчя використовувати розширений захист від спуфінгу» встановлено значення «true»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр політики визначає, чи налаштовано для пристроїв покращений захист від спуфінгу які це підтримують. Рекомендований стан для цього параметра: true.




                💡 Обґрунтування безпеки:
            
Корпоративні керовані середовища тепер підтримують більш широкий спектр мобільних пристроїв, посилення безпеки на цих пристроях допоможе захистити від несанкціонованого доступу у вашій мережі.




                ⚠️ Вплив на робочий процес (Impact):
            
Windows вимагатиме від усіх користувачів пристрою використання антиспуфінгу для рис обличчя пристрої, які його підтримують.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Microsoft\Policies\PassportForWork\Biometrics:FacialFeaturesUseEnhancedAntiSpoofing




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб застосувати рекомендовану конфігурацію в Microsoft Intune:

Шлях у Settings Catalog: Windows Hello For Business\Facial Features Use Enhanced Anti Spoofing
Рекомендований стан: true


Значення за замовчуванням: Користувачі можуть вибрати, використовувати чи ні розширений захист від спуфінгу на підтримуваних  пристроїв.

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/identity-protection/hello-for- business/hello-biometrics-in-enterprise 2. Minimum OS CSP: Windows 10, Version 1511 and later 3. GRID: MS-00000377 `

CIS Controls: ` 



                    CIS Controls V8: 0.0

                    IG 1
                
Explicitly Not Mapped Explicitly Not Mapped




                    CIS Controls V7: 8.3

                    IG 1, 2
                
Enable Operating System Anti-Exploitation Features/ Deploy Anti-Exploit Technologies Enable anti-exploitation features such as Data Execution Prevention (DEP) or Address Space Layout Randomization (ASLR) that are available in an operating system or deploy appropriate toolkits that can be configured to apply protection to a broader set of applications and executables.







98.3 Переконайтеся, що для параметра «Мінімальна довжина PIN-коду» встановлено значення «Ще 6 символів»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Мінімальна довжина PIN-коду визначає мінімальну кількість символів, необхідних для PIN-коду. Найменше число, яке ви можете налаштувати для цього параметра політики, становить 4. Найбільше число ви can configure має бути меншим за кількість, налаштовану в Maximum PIN length налаштування політики або число 127, залежно від того, що є найнижчим. Рекомендований стан для цього параметра: ще 6 символів.




                💡 Обґрунтування безпеки:
            
Windows Hello for Business використовує автентифікацію на основі ключів або сертифікатів надзвичайно ускладнює крадіжку облікових даних. При підтримці чіпа TPM додається кілька механізмів фізичного захисту щоб зробити його стійким до втручання.




                ⚠️ Вплив на робочий процес (Impact):
            
Крадіжка PIN-коду можлива через плече-серфінг або інші засоби розвідки. Хоча ця загроза стосується і паролів, її зменшують парольні фрази, які включають складність і тривалість.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 6 (або вище).
HKLM\SOFTWARE\Microsoft\Policies\PassportForWork\"Tenant-ID"\Device\Policies\PINComplexity:MinimumPINLength
Примітка. «Ідентифікатор орендаря» у наведеному вище ключі реєстру буде фактичним ідентифікатором орендаря організації.




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до 6 (або більше символів): Windows Hello для бізнесу\мінімальна довжина PIN-коду


Значення за замовчуванням: 4

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/security/identity-protection/hello-for- business/hello-why-pin-is-better-than-password 2. https://learn.microsoft.com/en-us/windows/client- management/mdm/passportforwork-csp?WT.mc_id=Portal- fx#devicetenantidpoliciespincomplexityminimumpinlength 3. Minimum OS CSP: Windows 10, Version 1511 and later 4. GRID: MS-00000628 `

CIS Controls: ` 



                    CIS Controls V8: 5.2

                    IG 1, 2, 3
                
Use Unique Passwords Use unique passwords for all enterprise assets. Best practice implementation includes, at a minimum, an 8-character password for accounts using MFA and a 14-character password for accounts not using MFA.




                    CIS Controls V7: 4.4

                    IG 1, 2
                
Use Unique Passwords Where multi-factor authentication is not supported (such as local administrator, root, or service accounts), accounts will use passwords that are unique to that system.




                    CIS Controls V7: 16.2

                    IG 1, 2
                
Configure Centralized Point of Authentication Configure access for all accounts through as few centralized points of authentication as possible, including network, security, and cloud systems.







98.4 Переконайтеся, що для параметра «Потрібний пристрій безпеки» встановлено значення «true»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Ця політика визначає, чи потрібен модуль довіреної платформи (TPM) для надання Windows Hello для бізнесу. • Якщо ввімкнути цей параметр політики, лише пристрої з доступним TPM Windows Hello для бізнесу. • Якщо ви вимкнете або не налаштуєте цей параметр політики, TPM все одно буде віддано перевагу, але усі пристрої підтримують Windows Hello для бізнесу за допомогою програмного забезпечення, якщо TPM є не працює або недоступний. Рекомендований стан для цього параметра: true.




                💡 Обґрунтування безпеки:
            
Windows Hello for Business використовує автентифікацію на основі ключів або сертифікатів надзвичайно ускладнює крадіжку облікових даних. При підтримці чіпа TPM додається кілька механізмів фізичного захисту щоб зробити його стійким до втручання.




                ⚠️ Вплив на робочий процес (Impact):
            
Якщо чіп TPM несподівано вийде з ладу, користувач не зможе пройти автентифікацію за допомогою їх PIN-код, але все одно зможуть увійти за допомогою пароля свого облікового запису EntraID.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Microsoft\Policies\PassportForWork\\Device\Policies:RequireSecurityDevice




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Параметри каталогу шлях до true: Windows Hello для бізнесу\Потрібен пристрій безпеки


Значення за замовчуванням: false (вимкнено)


        


Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.
            

                До повного змісту CIS Microsoft Intune Benchmark →

            


            ℹ️ Додаткова інженерна інформація (Additional Information):
        

Застосовується лише до Windows 11. 99 Робоча область Windows Ink Цей розділ містить рекомендації щодо робочої області Windows Ink.