107. Локальні паролі адміністратора (Windows LAPS)

Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.

Рекомендацій: 6

Windows 11 Intune v5.0.0

107.1 Переконайтеся, що для параметра «Каталог резервного копіювання» встановлено значення «Резервне копіювання пароля лише в Azure AD».

Рівень 1 (L1)Автоматизовано

            Оригінал:
        

Цей параметр політики визначає, який каталог Windows LAPS використовуватиме для резервного копіювання пароль локального облікового запису адміністратора. Рекомендований стан для цього параметра: Резервне копіювання пароля лише в Azure AD. Примітка. Організації, які використовують комерційне програмне забезпечення третіх сторін для керування унікальними та складні локальні паролі адміністратора для членів домену можуть ігнорувати їх Рекомендації LAPS. • Windows LAPS не підтримує автономні комп’ютери – їх потрібно приєднати домен Active Directory або Entra ID (раніше Azure Active Directory). • Windows LAPS не підтримує одночасне зберігання даних локального адміністратора пароль в обох типах каталогу. • Якщо параметр налаштовано, а керований пристрій не приєднано до налаштованого типу каталогу, пароль локального адміністратора не керуватиметься Windows КРУГИ. Важливо: організація, яка бажає використовувати Active Directory для резервного копіювання LAPS Пароль може бути винятком для цієї рекомендації. Для реалізації Active Резервне копіювання каталогу дивіться останній локальний CIS Benchmark для Windows 10/11. Коли під час резервного копіювання за допомогою Active Directory є 2 додаткові елементи керування безпекою розглянуті в контрольному тесті, які недоступні під час використання Azure AD для резервного копіювання. Їх було виключено з тесту Intune, оскільки їх не можна вибрати, якщо не Active Directory вибрано як місце резервного копіювання.

💡 Обґрунтування безпеки:

Через труднощі в управлінні паролями локального адміністратора багато організацій вибрати використання однакового пароля на всіх робочих станціях і/або рядових серверах, коли розгортання їх. Це створює серйозний ризик безпеки поверхні атаки, оскільки якщо an зловмиснику вдається скомпрометувати одну систему та дізнатися пароль до її локальної системи Обліковий запис адміністратора, то вони можуть використовувати цей обліковий запис, щоб миттєво отримати до нього доступ усі інші комп’ютери, які також використовують цей пароль для свого локального облікового запису адміністратора.

⚠️ Вплив на робочий процес (Impact):

Паролі, керовані Windows LAPS, можна буде отримати лише з налаштованого тип довідника.

🔍 Аудит (перевірка налаштувань)

Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.

HKLM\SOFTWARE\Microsoft\Policies\LAPS:BackupDirectory

⚙️ Виправлення (Remediation / Налаштування)

Щоб установити рекомендовану конфігурацію з Центру адміністрування Microsoft Intune: 1. Перейдіть до Безпека кінцевої точки > Захист облікового запису. 2. Створіть або відредагуйте політику LAPS типу Local admin password solution (Windows LAPS). 3. Установіть резервну копію каталогу на Резервне копіювання пароля лише в Azure AD.

Значення за замовчуванням: Вимкнено. (Windows LAPS не керує паролем локального адміністратора.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows-server/identity/laps/laps-scenarios- azure-active-directory 2. https://learn.microsoft.com/en-us/windows/client-management/mdm/laps- csp?WT.mc_id=Portal-fx#policiesbackupdirectory 3. GRID: MS-00000334 4. Minimum OS CSP: Windows 10, Version 1809 and later `

CIS Controls: `




                    CIS Controls V8: 0.0

                    IG 1
                
Explicitly Not Mapped Explicitly Not Mapped



                    CIS Controls V7: 0.0

                    IG 1

Explicitly Not Mapped Explicitly Not Mapped “

107.2 Переконайтеся, що для «Password Age Days» встановлено значення «Configured: 30 or less»

Рівень 1 (L1)Автоматизовано

            Оригінал:
        

Цей параметр політики налаштовує політику Windows LAPS Password Settings для вік пароля. Оскільки зловмисники можуть зламувати паролі, тим частіше пароль змінюється тим менше шансів у зловмисника використати зламаний пароль. Рекомендований стан для цього параметра: Налаштовано: 30 або менше. Примітка. Організації, які використовують комерційне програмне забезпечення третіх сторін для керування унікальними та складні локальні паролі адміністратора для членів домену можуть ігнорувати їх Рекомендації LAPS. Примітка №2: Windows LAPS не підтримує автономні комп’ютери – їх потрібно об’єднати до домену Active Directory або Entra ID (раніше Azure Active Directory).

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

Немає – це поведінка за замовчуванням, якщо не встановлено значення менше 30 днів.

🔍 Аудит (перевірка налаштувань)

HKLM\SOFTWARE\Microsoft\Policies\LAPS:PasswordAgeDays

⚙️ Виправлення (Remediation / Налаштування)

Щоб установити рекомендовану конфігурацію з Центру адміністрування Microsoft Intune: 1. Перейдіть до Безпека кінцевої точки > Захист облікового запису. 2. Створіть або відредагуйте політику типу LAPS Локальний пароль адміністратора (Windows КРУГИ). 3. Установіть для параметра Password Age Days значення Configured: 30 (або менше)

Значення за замовчуванням: 30 днів.

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/laps- csp?WT.mc_id=Portal-fx#policiespasswordagedays 2. GRID: MS-00000339 3. Minimum OS CSP: Windows 10, Version 1809 and later `

CIS Controls: `




                    CIS Controls V8: 5.2

                    IG 1, 2, 3
                
Use Unique Passwords Use unique passwords for all enterprise assets. Best practice implementation includes, at a minimum, an 8-character password for accounts using MFA and a 14-character password for accounts not using MFA.



                    CIS Controls V7: 16.10

                    IG 1, 2
                
Ensure All Accounts Have An Expiration Date Ensure that all accounts have an expiration date that is monitored and enforced.




107.3 Переконайтеся, що для параметра «Складність пароля» встановлено значення «Великі літери + малі літери + цифри + спеціальні символи» або вище
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр політики налаштовує політику Windows LAPS Password Settings для складність пароля. Рекомендований стан для цього параметра: Увімкнено: великі літери + малі літери + цифри + спец. Налаштування цього параметра на Великі літери + малі літери + цифри + спеціальні (покращена читабельність), фраза-пароль (довгі слова), Passphrase (короткі слова) або Passphrase (короткі слова з унікальні префікси) також відповідає тесту. Примітка: список парольних фраз створено з Deep Dive: нові списки слів EFF для випадкових Парольні фрази від Electronic Frontier Foundation і підтримують лише англійську мову. Примітка №2. Організації, які використовують комерційне програмне забезпечення третіх сторін для керування унікальними та складні локальні паролі адміністратора для членів домену можуть ігнорувати їх Рекомендації LAPS. Примітка №3: Windows LAPS не підтримує автономні комп’ютери – їх потрібно об’єднати до домену Active Directory або Entra ID (раніше Azure Active Directory).




                💡 Обґрунтування безпеки:
            
Через труднощі в управлінні паролями локального адміністратора багато організацій вибрати використання однакового пароля на всіх робочих станціях і/або рядових серверах, коли розгортання їх. Це створює серйозний ризик безпеки поверхні атаки, оскільки якщо an зловмиснику вдається скомпрометувати одну систему та дізнатися пароль до її локальної системи Обліковий запис адміністратора, то вони можуть використовувати цей обліковий запис, щоб миттєво отримати до нього доступ усі інші комп’ютери, які також використовують цей пароль для свого локального облікового запису адміністратора.




                ⚠️ Вплив на робочий процес (Impact):
            
Немає – це типова поведінка.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 4, 6, 7 або 8.
HKLM\SOFTWARE\Microsoft\Policies\LAPS:PasswordComplexity




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію з Центру адміністрування Microsoft Intune: 1. Перейдіть до Безпека кінцевої точки > Захист облікового запису. 2. Створіть або відредагуйте політику типу LAPS Локальний пароль адміністратора (Windows КРУГИ). 3. Встановіть складність пароля на Великі літери + малі літери + цифри + спец., Великі літери + малі літери + цифри + спец (покращена читабельність), Passphrase (довгі слова), Passphrase (короткі слова), або фразу-пароль (короткі слова з унікальними префіксами).


Значення за замовчуванням: Великі літери + малі літери + цифри + спеціальні символи.

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/laps- csp?WT.mc_id=Portal-fx#policiespasswordcomplexity 2. GRID: MS-00000337 3. Minimum OS CSP: Windows 10, Version 1809 and later `

CIS Controls: ` 



                    CIS Controls V8: 5.2

                    IG 1, 2, 3
                
Use Unique Passwords Use unique passwords for all enterprise assets. Best practice implementation includes, at a minimum, an 8-character password for accounts using MFA and a 14-character password for accounts not using MFA.



                    CIS Controls V7: 4.4

                    IG 1, 2
                
Use Unique Passwords Where multi-factor authentication is not supported (such as local administrator, root, or service accounts), accounts will use passwords that are unique to that system.






107.4 Переконайтеся, що для параметра «Довжина пароля» встановлено значення «Налаштовано: 15 або більше»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр політики налаштовує політику Windows LAPS Password Settings для довжина пароля. Кожен додатковий символ у паролі експоненціально збільшує його складність. для наприклад, пароль із семи символів, у якому всі букви є малими літерами, матиме 26 до можливих комбінацій у ступені 7 (приблизно 8 х 10 у ступені 9 або 8 мільярдів). При 1 000 000 спробах за секунду (можливість багатьох утиліт для злому паролів) для злому потрібно лише 133 хвилини. Пароль із семи символів алфавіту з регістром чутливість має 52 у ступені 7 комбінацій. Сім символів з урахуванням регістру буквено-цифровий пароль без розділових знаків має 627 комбінацій. Восьмизначний пароль має 26 у степені 8 (або 2 x 10 у ступені 11) можливих комбінацій. Хоча це може здатися великою кількістю, при 1 000 000 спробах на секунду знадобиться лише 59 годин, щоб спробувати всі можливі паролі. Пам’ятайте, ці часи будуть значно зростає для паролів, які використовують символи ALT та іншу спеціальну клавіатуру такі символи, як “!” або “@”. Правильне використання налаштувань пароля може допомогти в цьому важко змонтувати атаку грубою силою. Рекомендований стан для цього параметра: Налаштовано: 15 або більше. Примітка. Організації, які використовують комерційне програмне забезпечення третіх сторін для керування унікальними та складні локальні паролі адміністратора для членів домену можуть ігнорувати їх Рекомендації LAPS. Примітка №2: Windows LAPS не підтримує автономні комп’ютери – їх потрібно об’єднати до домену Active Directory або Entra ID (раніше Azure Active Directory).




                💡 Обґрунтування безпеки:
            
Через труднощі в управлінні паролями локального адміністратора багато організацій вибрати використання однакового пароля на всіх робочих станціях і/або рядових серверах, коли розгортання їх. Це створює серйозний ризик безпеки поверхні атаки, оскільки якщо an зловмиснику вдається скомпрометувати одну систему та дізнатися пароль до її локальної системи Обліковий запис адміністратора, то вони можуть використовувати цей обліковий запис, щоб миттєво отримати до нього доступ усі інші комп’ютери, які також використовують цей пароль для свого локального облікового запису адміністратора.




                ⚠️ Вплив на робочий процес (Impact):
            
Паролі, згенеровані Windows LAPS, повинні мати довжину 15 символів (або більше, якщо вибрано).




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 15.
HKLM\SOFTWARE\Microsoft\Policies\LAPS:PasswordLength




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію з Центру адміністрування Microsoft Intune: 1. Перейдіть до Безпека кінцевої точки > Захист облікового запису. 2. Створіть або відредагуйте політику типу LAPS Локальний пароль адміністратора (Windows КРУГИ). 3. Установіть для параметра Password Length значення Configured: 15 (або більше).


Значення за замовчуванням: 14 символів.

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/laps- csp?WT.mc_id=Portal-fx#policiespasswordlength 2. GRID: MS-00000338 3. Minimum OS CSP: Windows 10, Version 1809 and later `

CIS Controls: ` 



                    CIS Controls V8: 5.2

                    IG 1, 2, 3
                
Use Unique Passwords Use unique passwords for all enterprise assets. Best practice implementation includes, at a minimum, an 8-character password for accounts using MFA and a 14-character password for accounts not using MFA.



                    CIS Controls V7: 4.4

                    IG 1, 2
                
Use Unique Passwords Where multi-factor authentication is not supported (such as local administrator, root, or service accounts), accounts will use passwords that are unique to that system.






107.5 Переконайтеся, що для параметра «Дії після автентифікації» встановлено значення «Скинути пароль і вийти з керованого облікового запису» або вище
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Ці параметри політики налаштовують дії після автентифікації, які виконуватимуться після виявлення автентифікації керованим обліковим записом LAPS. Дія посилається на дії, які необхідно виконати після закінчення пільгового періоду перед виконанням зазначеного пост- дії аутентифікації. Дії після автентифікації: • Скидання пароля: після закінчення пільгового періоду керований обліковий запис пароль буде скинуто. • (За замовчуванням) скинути пароль і вийти з керованого облікового запису: після Після закінчення пільгового періоду пароль керованого облікового запису буде скинуто та будь-які інтерактивні сеанси входу з використанням керованого облікового запису буде припинено. • Скиньте пароль і перезавантажте: після закінчення пільгового періоду пароль керованого облікового запису буде скинуто, а керований пристрій – скинуто негайно перезавантажився. • Скиньте пароль, вийдіть із керованого облікового запису та закрийте будь-які інші процеси: після закінчення пільгового періоду кер пароль облікового запису скидається, будь-які інтерактивні сеанси входу за допомогою керованого обліковий запис виходить із системи, а всі процеси, що залишилися, припиняються. Рекомендований стан для цього параметра: Увімкнено: скинути пароль і вийти з керованого облікового запису. Налаштування цього параметра на Скидання пароля та перезавантажте пристрій або скиньте пароль, вийдіть із керованого облікового запису та завершити будь-які процеси, що залишилися, також відповідає тесту. Попередження: після припинення інтерактивного сеансу входу в систему інші автентифіковані сеанси використання керованого облікового запису Windows LAPS може все ще бути активним. Єдиний спосіб забезпечити що попередній пароль більше не використовується, перезавантажте ОС. Примітка. Організації, які використовують комерційне програмне забезпечення третіх сторін для керування унікальними та складні локальні паролі адміністратора для членів домену можуть ігнорувати їх Рекомендації LAPS. Примітка №2: Windows LAPS не підтримує автономні комп’ютери – їх потрібно об’єднати до домену Active Directory або Entra ID (раніше Azure Active Directory).




                💡 Обґрунтування безпеки:
            
Через труднощі в управлінні паролями локального адміністратора багато організацій вибрати використання однакового пароля на всіх робочих станціях і/або рядових серверах, коли розгортання їх. Це створює серйозний ризик безпеки поверхні атаки, оскільки якщо an зловмиснику вдається скомпрометувати одну систему та дізнатися пароль до її локальної системи Обліковий запис адміністратора, то вони можуть використовувати цей обліковий запис, щоб миттєво отримати до нього доступ усі інші комп’ютери, які також використовують цей пароль для свого локального облікового запису адміністратора.




                ⚠️ Вплив на робочий процес (Impact):
            
Після закінчення пільгового періоду пароль керованого облікового запису Windows LAPS з’явиться скинути та вийти з системи, інакше ОС буде перезавантажено.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 3 або 5.
HKLM\SOFTWARE\Microsoft\Policies\LAPS:PostAuthenticationActions




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію з Центру адміністрування Microsoft Intune: 1. Перейдіть до Безпека кінцевої точки > Захист облікового запису. 2. Створіть або відредагуйте політику типу LAPS Локальний пароль адміністратора (Windows КРУГИ). 3. Встановіть Дії після автентифікації на Скидання пароля та вихід із системи керований обліковий запис (або вище). Примітка: як скинути пароль, так і вийти з керованого облікового запису та скинути пароль і перезавантаження вважаються перехідними станами.


Значення за замовчуванням: Вимкнено. (Скиньте пароль і вийдіть із керованого облікового запису після вказаного  пільговий період.)




107.6 Переконайтеся, що для параметра «Затримка скидання автентифікації» встановлено значення «Налаштовано: 8 або менше годин, але не 0»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Ці параметри політики налаштовують дії після автентифікації, які виконуватимуться після виявлення автентифікації керованим обліковим записом Windows LAPS. Благодать період означає кількість часу (у годинах), який потрібно чекати після автентифікації перед виконання вказаних дій після автентифікації. Рекомендований стан для цього параметра: Налаштовано: 8 або менше годин, але не 0. Примітка. Організації, які використовують комерційне програмне забезпечення третіх сторін для керування унікальними та складні локальні паролі адміністратора для членів домену можуть ігнорувати їх Рекомендації LAPS. Примітка №2: Windows LAPS не підтримує автономні комп’ютери – їх потрібно об’єднати до домену Active Directory або Entra ID (раніше Azure Active Directory). Примітка №3: якщо для цього правила встановлено значення 0, воно запобігає виконанню всіх дій після автентифікації що відбуваються.




                💡 Обґрунтування безпеки:
            
Через труднощі в управлінні паролями локального адміністратора багато організацій вибрати використання однакового пароля на всіх робочих станціях і/або рядових серверах, коли розгортання їх. Це створює серйозний ризик безпеки поверхні атаки, оскільки якщо an зловмиснику вдається скомпрометувати одну систему та дізнатися пароль до її локальної системи Обліковий запис адміністратора, то вони можуть використовувати цей обліковий запис, щоб миттєво отримати до нього доступ усі інші комп’ютери, які також використовують цей пароль для свого локального облікового запису адміністратора.




                ⚠️ Вплив на робочий процес (Impact):
            
Через 8 годин пароль керованого облікового запису Windows LAPS буде скинуто та вийде з системи система.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 8 або менше, але не 0.
HKLM\SOFTWARE\Microsoft\Policies\LAPS:PostAuthenticationResetDelay




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію з Центру адміністрування Microsoft Intune: 1. Перейдіть до Безпека кінцевої точки > Захист облікового запису. 2. Створіть або відредагуйте політику типу LAPS Локальний пароль адміністратора (Windows КРУГИ). 3. Установіть для параметра Post Authentication Reset Delay значення Configured: 8 (або менше годин, а не 0).


Значення за замовчуванням: Вимкнено. (Зазначені дії після автентифікації буде виконано через 24 години за замовчуванням  пільговий період.)


        


Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.
            

                До повного змісту CIS Microsoft Intune Benchmark →