← До повного змісту CIS Microsoft Windows Server 2025 Benchmark

CIS Benchmark

CIS Benchmark • Windows Server 2025 v2.1.0

9. Брандмауер Windows Defender у режимі підвищеної безпеки

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Брандмауер Windows Defender у режимі підвищеної безпеки».


Рекомендацій: 23


Windows Server 2025 v2.1.0

9.1.1 Переконайтеся, що для параметра «Брандмауер Windows: домен: стан брандмауера» встановлено значення «Увімк. (рекомендовано)» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Windows Firewall: Domain: Firewall state’ is set to ‘On (recommended)’ (Automated)

Цей параметр політики визначає, чи ввімкнено стан вбудованого брандмауера домену вимкнено. Рекомендований стан для цього параметра: Увімк. (рекомендовано).

💡 Обґрунтування безпеки:

Якщо брандмауер вимкнено, увесь трафік матиме доступ до системи та загрози може мати можливість віддалено використовувати слабкі місця в мережевій службі.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile:EnableFirewall

    ⚙️ Виправлення (Remediation / Налаштування)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    Щоб установити рекомендовану конфігурацію через GP, установіть для наступного шляху інтерфейсу користувача значення On (recommended): Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Domain Profile\Firewall state

      Значення за замовчуванням: Увімкнено (рекомендовано). (Брандмауер Windows із розширеною безпекою буде активним у цьому профілі.)
      📋 CIS Controls & Нормативні посилання
      1. GRID: MS-00000173
      CIS Controls V8: 4.4
      IG 1, 2, 3
      Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third- party firewall agent.

      CIS Controls V7: 9.4
      IG 1, 2, 3
      Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

      9.1.2 Переконайтеся, що для параметра «Брандмауер Windows: домен: вхідні з’єднання» встановлено значення «Блокувати (за замовчуванням)» (Автоматизовано)

      Level 1Автоматизовано

      Оригінал: Ensure ‘Windows Firewall: Domain: Inbound connections’ is set to ‘Block (default)’ (Automated)

      Цей параметр політики визначає поведінку вхідних з’єднань, які не збігаються правило вхідного брандмауера. Рекомендований стан для цього параметра: Блокувати (за замовчуванням).

      💡 Обґрунтування безпеки:

      Якщо брандмауер дозволяє всьому трафіку отримувати доступ до системи, то зловмисник може це зробити віддалено використовувати слабкі місця в мережевій службі.

      ⚠️ Вплив на робочий процес (Impact):

      Немає – це типова поведінка.

      🔍 Аудит (перевірка налаштувань)
      🖥️ Графічний інтерфейс (GUI / WebUI)

      Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile:DefaultInbound Action

        ⚙️ Виправлення (Remediation / Налаштування)
        🖥️ Графічний інтерфейс (GUI / WebUI)

        Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача на Блокувати (за замовчуванням): Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Domain Profile\Inbound connections

          Значення за замовчуванням: Блокувати (за замовчуванням). (Брандмауер Windows із розширеною безпекою блокуватиме всі вхідні з’єднання, які не відповідають правилу вхідного брандмауера в цьому профілі.)
          📋 CIS Controls & Нормативні посилання
          1. GRID: MS-00000174
          CIS Controls V8: 4.4
          IG 1, 2, 3
          Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third-party firewall agent.

          CIS Controls V7: 9.4
          IG 1, 2, 3
          Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

          CIS Controls V7: 11.2
          IG 1, 2
          Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.

          9.1.3 Переконайтеся, що для параметра «Брандмауер Windows: Домен: Налаштування: Відображати сповіщення» встановлено значення «Ні» (Автоматизовано)

          Level 1Автоматизовано

          Оригінал: Ensure ‘Windows Firewall: Domain: Settings: Display a notification’ is set to ‘No’ (Automated)

          Виберіть цей параметр, щоб брандмауер Windows із розширеною безпекою відображав сповіщення користувачеві, коли програмі заблоковано отримання вхідних з’єднань. Рекомендований стан для цього параметра: Ні. Примітка: якщо для параметра Застосувати локальні правила брандмауера встановлено значення Ні, це рекомендовано також налаштувати параметр Відображати сповіщення на Ні. В іншому випадку користувачі продовжуватимуть отримувати повідомлення із запитом, чи хочуть вони розблокувати a обмежене вхідне з’єднання, але відповідь користувача буде проігнорована.

          💡 Обґрунтування безпеки:

          Сповіщення брандмауера можуть бути складними та можуть заплутати кінцевих користувачів, які б не були здатний відповісти на попередження.

          ⚠️ Вплив на робочий процес (Impact):

          Брандмауер Windows не відображатиме сповіщення, коли програму заблоковано отримання вхідних з’єднань.

          🔍 Аудит (перевірка налаштувань)
          🖥️ Графічний інтерфейс (GUI / WebUI)

          Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile:DisableNotifications

            ⚙️ Виправлення (Remediation / Налаштування)
            🖥️ Графічний інтерфейс (GUI / WebUI)

            Щоб установити рекомендовану конфігурацію через GP, установіть для такого шляху інтерфейсу користувача значення Ні: Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Domain Profile\Settings Customize\Display a notification

              Значення за замовчуванням: так (Брандмауер Windows із розширеною безпекою відобразить сповіщення, коли програмі заблоковано отримання вхідних з’єднань.)
              📋 CIS Controls & Нормативні посилання
              1. GRID: MS-00000175
              CIS Controls V8: 4.4
              IG 1, 2, 3
              Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third-party firewall agent.

              CIS Controls V7: 9.4
              IG 1, 2, 3
              Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

              CIS Controls V7: 11.2
              IG 1, 2
              Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.

              9.1.4 Переконайтеся, що «Брандмауер Windows: Домен: Журнал: Ім’я» налаштовано (Автоматизовано)

              Level 1Автоматизовано

              Оригінал: Ensure ‘Windows Firewall: Domain: Logging: Name’ is configured (Automated)

              Цей параметр політики використовується для вказівки шляху та імені файлу, у якому знаходиться Windows Брандмауер запише інформацію в журнал. Рекомендований стан для цього параметра: налаштовано. Приклад: %SystemRoot%\System32\logfiles\firewall\domainfw.log.

              💡 Обґрунтування безпеки:

              Якщо події брандмауера Windows не записуються, це може бути важко або неможливо Адміністратори для аналізу системних проблем або несанкціонованих дій зловмисників. Microsoft зберігає всі події брандмауера як один файл у системі (pfirewall.log). до покращити журналювання, розділити кожен профіль брандмауера (доменний, приватний, загальнодоступний) на окремий окремий файл журналу (domainfw.log, privatefw.log, publicfw.log) для кращої організації та визначення конкретних проблем у кожному профілі.

              ⚠️ Вплив на робочий процес (Impact):

              Файл журналу зберігатиметься в місці та файлі, визначених організацією.

              🔍 Аудит (перевірка налаштувань)
              🖥️ Графічний інтерфейс (GUI / WebUI)

              Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_SZ \.log. Де – це розташування, а – ім’я журналу, указане організацією. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile\Logging:LogFil ePath

                ⚙️ Виправлення (Remediation / Налаштування)
                🖥️ Графічний інтерфейс (GUI / WebUI)

                Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача до <шлях>\<ім’я файлу>.log: де <шлях> — це розташування, а <файл> — це ім’я журналу, указане організацією. Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Domain Profile\Logging Customize\Name

                  Значення за замовчуванням: %SystemRoot%\System32\logfiles\firewall\pfirewall.log
                  📋 CIS Controls & Нормативні посилання
                  1. GRID: MS-00000176
                  2. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows-firewall/best-practices-configuring
                  3. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows-firewall/configure-the-windows-firewall-log
                  CIS Controls V8: 4.4
                  IG 1, 2, 3
                  Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third-party firewall agent.

                  CIS Controls V7: 9.4
                  IG 1, 2, 3
                  Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

                  CIS Controls V7: 11.2
                  IG 1, 2
                  Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.

                  9.1.5 Переконайтеся, що для параметра «Брандмауер Windows: Домен: Ведення журналу: Обмеження розміру (КБ)» встановлено значення «16 384 КБ або більше» (Автоматизовано)

                  Level 1Автоматизовано

                  Оригінал: Ensure ‘Windows Firewall: Domain: Logging: Size limit (KB)’ is set to ‘16,384 KB or greater’ (Automated)

                  Використовуйте цей параметр, щоб указати ліміт розміру файлу, у який брандмауер Windows записуватиме його інформація журналу. Рекомендований стан для цього параметра: 16 384 КБ або більше.

                  💡 Обґрунтування безпеки:

                  Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії суб’єктів загрози.

                  ⚠️ Вплив на робочий процес (Impact):

                  Розмір файлу журналу буде обмежено вказаним розміром, старі події будуть перезаписані новіші, коли досягнуто ліміту.

                  🔍 Аудит (перевірка налаштувань)
                  🖥️ Графічний інтерфейс (GUI / WebUI)

                  Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 16384. HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile\ Logging:LogFileSize

                    ⚙️ Виправлення (Remediation / Налаштування)
                    🖥️ Графічний інтерфейс (GUI / WebUI)

                    Щоб встановити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача на 16 384 КБ або більше: Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Domain Profile\Logging Customize\Size limit (KB)

                      Значення за замовчуванням: 4096 Кб.
                      📋 CIS Controls & Нормативні посилання
                      1. GRID: MS-00000177
                      CIS Controls V8: 4.4
                      IG 1, 2, 3
                      Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third-party firewall agent.

                      CIS Controls V7: 9.4
                      IG 1, 2, 3
                      Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

                      CIS Controls V7: 11.2
                      IG 1, 2
                      Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.

                      9.1.6 Переконайтеся, що для параметра «Брандмауер Windows: Домен: Журналування: Реєстрація відпущених пакетів» встановлено значення «Так» (Автоматизовано)

                      Level 1Автоматизовано

                      Оригінал: Ensure ‘Windows Firewall: Domain: Logging: Log dropped packets’ is set to ‘Yes’ (Automated)

                      Використовуйте цей параметр, щоб реєструвати, коли брандмауер Windows із розширеною безпекою скидає вхідний пакет з будь-якої причини. Журнал записує, чому та коли пакет було скинуто. Шукайте записи зі словом DROP у колонці дії журналу. Рекомендований стан для цього параметра: Так.

                      💡 Обґрунтування безпеки:

                      Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії суб’єктів загрози.

                      ⚠️ Вплив на робочий процес (Impact):

                      Інформація про скинуті пакети буде записана в файл журналу брандмауера.

                      🔍 Аудит (перевірка налаштувань)
                      🖥️ Графічний інтерфейс (GUI / WebUI)

                      Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile\Logging:LogDro ppedPackets

                        ⚙️ Виправлення (Remediation / Налаштування)
                        🖥️ Графічний інтерфейс (GUI / WebUI)

                        Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача на Так: Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Domain Profile\Logging Customize\Log dropped packets

                          Значення за замовчуванням: Ні (за замовчуванням). (Інформація про скинуті пакети не записуватиметься у файл журналу брандмауера.)
                          📋 CIS Controls & Нормативні посилання
                          1. GRID: MS-00000178
                          CIS Controls V8: 4.4
                          IG 1, 2, 3
                          Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third-party firewall agent.

                          CIS Controls V8: 4.5
                          IG 1, 2, 3
                          Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

                          CIS Controls V8: 8.5
                          IG 1, 2
                          Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.

                          CIS Controls V7: 9.4
                          IG 1, 2, 3
                          Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

                          CIS Controls V7: 11.2
                          IG 1, 2
                          Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.

                          9.1.7 Переконайтеся, що для параметра «Брандмауер Windows: Домен: Журнал: журнал успішних з’єднань» встановлено значення «Так» (Автоматизовано)

                          Level 1Автоматизовано

                          Оригінал: Ensure ‘Windows Firewall: Domain: Logging: Log successful connections’ is set to ‘Yes’ (Automated)

                          Використовуйте цей параметр, щоб увійти, коли брандмауер Windows із розширеною безпекою дозволяє вхідне з’єднання. У журналі записується, чому і коли було створено з’єднання. Подивіться для записів зі словом ДОЗВОЛИТИ в колонці дії журналу. Рекомендований стан для цього параметра: Так.

                          💡 Обґрунтування безпеки:

                          Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії суб’єктів загрози.

                          ⚠️ Вплив на робочий процес (Impact):

                          Інформація про успішні підключення буде записана в файл журналу брандмауера.

                          🔍 Аудит (перевірка налаштувань)
                          🖥️ Графічний інтерфейс (GUI / WebUI)

                          Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile\Logging:LogSuc cessfulConnections

                            ⚙️ Виправлення (Remediation / Налаштування)
                            🖥️ Графічний інтерфейс (GUI / WebUI)

                            Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача на Так: Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Domain Profile\Logging Customize\Log successful connections

                              Значення за замовчуванням: Ні (за замовчуванням). (Інформація про успішні підключення не буде записана у файл журналу брандмауера.)
                              📋 CIS Controls & Нормативні посилання
                              1. GRID: MS-00000179
                              CIS Controls V8: 4.4
                              IG 1, 2, 3
                              Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third-party firewall agent.

                              CIS Controls V8: 8.5
                              IG 1, 2
                              Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.

                              CIS Controls V7: 9.4
                              IG 1, 2, 3
                              Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

                              CIS Controls V7: 11.2
                              IG 1, 2
                              Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.

                              9.2 Private Profile This section contains recommendations for the Private Profile of the Windows Firewall.

                              9.2.1 Переконайтеся, що для параметра «Брандмауер Windows: приватний: стан брандмауера» встановлено значення «Увімк. (рекомендовано)» (Автоматизовано)

                              Level 1Автоматизовано

                              Оригінал: Ensure ‘Windows Firewall: Private: Firewall state’ is set to ‘On (recommended)’ (Automated)

                              Цей параметр політики визначає, чи ввімкнено стан вбудованого приватного брандмауера вимкнено. Рекомендований стан для цього параметра: Увімк. (рекомендовано).

                              💡 Обґрунтування безпеки:

                              Якщо брандмауер вимкнено, увесь трафік матиме доступ до системи та загрози може легше віддалено використовувати слабкі місця в мережевій службі.

                              ⚠️ Вплив на робочий процес (Impact):

                              Немає – це типова поведінка.

                              🔍 Аудит (перевірка налаштувань)
                              🖥️ Графічний інтерфейс (GUI / WebUI)

                              Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile:EnableFirewal l

                                ⚙️ Виправлення (Remediation / Налаштування)
                                🖥️ Графічний інтерфейс (GUI / WebUI)

                                Щоб установити рекомендовану конфігурацію через GP, установіть для наступного шляху інтерфейсу користувача значення Увімк. (рекомендовано): Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Private Profile\Firewall state

                                  Значення за замовчуванням: Увімкнено (рекомендовано). (Брандмауер Windows із розширеною безпекою буде активним у цьому профілі.)
                                  📋 CIS Controls & Нормативні посилання
                                  1. GRID: MS-00000180
                                  CIS Controls V8: 4.4
                                  IG 1, 2, 3
                                  Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third- party firewall agent.

                                  CIS Controls V7: 9.4
                                  IG 1, 2, 3
                                  Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                  9.2.2 Переконайтеся, що для параметра «Брандмауер Windows: приватне: вхідні з’єднання» встановлено значення «Блокувати (за замовчуванням)» (Автоматизовано)

                                  Level 1Автоматизовано

                                  Оригінал: Ensure ‘Windows Firewall: Private: Inbound connections’ is set to ‘Block (default)’ (Automated)

                                  Цей параметр політики визначає поведінку вхідних з’єднань, які не збігаються правило вхідного брандмауера. Рекомендований стан для цього параметра: Блокувати (за замовчуванням).

                                  💡 Обґрунтування безпеки:

                                  Якщо брандмауер дозволяє всьому трафіку отримувати доступ до системи, то зловмисник може це зробити віддалено використовувати слабкі місця в мережевій службі.

                                  ⚠️ Вплив на робочий процес (Impact):

                                  Немає – це типова поведінка.

                                  🔍 Аудит (перевірка налаштувань)
                                  🖥️ Графічний інтерфейс (GUI / WebUI)

                                  Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile:DefaultInboun dAction

                                    ⚙️ Виправлення (Remediation / Налаштування)
                                    🖥️ Графічний інтерфейс (GUI / WebUI)

                                    Щоб установити рекомендовану конфігурацію через GP, установіть для наступного шляху інтерфейсу користувача значення Block (за замовчуванням): Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Private Profile\Inbound connections

                                      Значення за замовчуванням: Блокувати (за замовчуванням). (Брандмауер Windows із розширеною безпекою блокуватиме всі вхідні з’єднання, які не відповідають правилу вхідного брандмауера в цьому профілі.)
                                      📋 CIS Controls & Нормативні посилання
                                      1. GRID: MS-00000181
                                      CIS Controls V8: 4.4
                                      IG 1, 2, 3
                                      Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third-party firewall agent.

                                      CIS Controls V7: 9.4
                                      IG 1, 2, 3
                                      Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                      CIS Controls V7: 11.2
                                      IG 1, 2
                                      Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.

                                      9.2.3 Переконайтеся, що для параметра «Брандмауер Windows: Приватне: Налаштування: Відображати сповіщення» встановлено значення «Ні» (Автоматизовано)

                                      Level 1Автоматизовано

                                      Оригінал: Ensure ‘Windows Firewall: Private: Settings: Display a notification’ is set to ‘No’ (Automated)

                                      Виберіть цей параметр, щоб брандмауер Windows із розширеною безпекою відображав сповіщення користувачеві, коли програмі заблоковано отримання вхідних з’єднань. Рекомендований стан для цього параметра: Ні. Примітка: якщо для параметра Застосувати локальні правила брандмауера встановлено значення Ні, це рекомендовано також налаштувати параметр Відображати сповіщення на Ні. В іншому випадку користувачі продовжуватимуть отримувати повідомлення із запитом, чи хочуть вони розблокувати a обмежене вхідне з’єднання, але відповідь користувача буде проігнорована.

                                      💡 Обґрунтування безпеки:

                                      Сповіщення брандмауера можуть бути складними та можуть заплутати кінцевих користувачів, які б не були здатний відповісти на попередження.

                                      ⚠️ Вплив на робочий процес (Impact):

                                      Брандмауер Windows не відображатиме сповіщення, коли програму заблоковано отримання вхідних з’єднань.

                                      🔍 Аудит (перевірка налаштувань)
                                      🖥️ Графічний інтерфейс (GUI / WebUI)

                                      Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile:DisableNotifi cations

                                        ⚙️ Виправлення (Remediation / Налаштування)
                                        🖥️ Графічний інтерфейс (GUI / WebUI)

                                        Щоб установити рекомендовану конфігурацію через GP, установіть для такого шляху інтерфейсу користувача значення Ні: Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Private Profile\Settings Customize\Display a notification

                                          Значення за замовчуванням: так (Брандмауер Windows із розширеною безпекою відобразить сповіщення, коли програмі заблоковано отримання вхідних з’єднань.)
                                          📋 CIS Controls & Нормативні посилання
                                          1. GRID: MS-00000182
                                          CIS Controls V8: 4.4
                                          IG 1, 2, 3
                                          Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third-party firewall agent.

                                          CIS Controls V7: 9.4
                                          IG 1, 2, 3
                                          Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                          CIS Controls V7: 11.2
                                          IG 1, 2
                                          Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.

                                          9.2.4 Переконайтеся, що налаштовано «Брандмауер Windows: приватне: журнал: ім’я» (Автоматизовано)

                                          Level 1Автоматизовано

                                          Оригінал: Ensure ‘Windows Firewall: Private: Logging: Name’ is configured (Automated)

                                          Цей параметр політики використовується для вказівки шляху та імені файлу, у якому знаходиться Windows Брандмауер запише інформацію в журнал. Рекомендований стан для цього параметра: налаштовано. Приклад: %SystemRoot%\System32\logfiles\firewall\privatefw.log.

                                          💡 Обґрунтування безпеки:

                                          Якщо події брандмауера Windows не записуються, це може бути важко або неможливо Адміністратори для аналізу системних проблем або несанкціонованих дій зловмисників. Microsoft зберігає всі події брандмауера як один файл у системі (pfirewall.log). до покращити журналювання, розділити кожен профіль брандмауера (доменний, приватний, загальнодоступний) на окремий окремий файл журналу (domainfw.log, privatefw.log, publicfw.log) для кращої організації та визначення конкретних проблем у кожному профілі.

                                          ⚠️ Вплив на робочий процес (Impact):

                                          Файл журналу зберігатиметься в місці та файлі, визначених організацією.

                                          🔍 Аудит (перевірка налаштувань)
                                          🖥️ Графічний інтерфейс (GUI / WebUI)

                                          Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_SZ \.log. Де – це розташування, а – ім’я журналу, указане організацією. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile\Logging:LogFi lePath

                                            ⚙️ Виправлення (Remediation / Налаштування)
                                            🖥️ Графічний інтерфейс (GUI / WebUI)

                                            Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача до <шлях>\<ім’я файлу>.log: де <шлях> — це розташування, а <файл> — це ім’я журналу, указане організацією. Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Private Profile\Logging Customize\Name

                                              Значення за замовчуванням: %SystemRoot%\System32\logfiles\firewall\pfirewall.log
                                              📋 CIS Controls & Нормативні посилання
                                              1. GRID: MS-00000183
                                              2. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows-firewall/best-practices-configuring
                                              3. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows-firewall/configure-the-windows-firewall-log
                                              CIS Controls V8: 4.4
                                              IG 1, 2, 3
                                              Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third-party firewall agent.

                                              CIS Controls V7: 9.4
                                              IG 1, 2, 3
                                              Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                              CIS Controls V7: 11.2
                                              IG 1, 2
                                              Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.

                                              9.2.5 Переконайтеся, що для параметра «Брандмауер Windows: приватне: журналювання: обмеження розміру (КБ)» встановлено значення «16 384 КБ або більше» (Автоматизовано)

                                              Level 1Автоматизовано

                                              Оригінал: Ensure ‘Windows Firewall: Private: Logging: Size limit (KB)’ is set to ‘16,384 KB or greater’ (Automated)

                                              Використовуйте цей параметр, щоб указати ліміт розміру файлу, у який брандмауер Windows записуватиме його інформація журналу. Рекомендований стан для цього параметра: 16 384 КБ або більше.

                                              💡 Обґрунтування безпеки:

                                              Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії суб’єктів загрози.

                                              ⚠️ Вплив на робочий процес (Impact):

                                              Розмір файлу журналу буде обмежено вказаним розміром, старі події будуть перезаписані новіші, коли досягнуто ліміту.

                                              🔍 Аудит (перевірка налаштувань)
                                              🖥️ Графічний інтерфейс (GUI / WebUI)

                                              Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 16384. HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile \Logging:LogFileSize

                                                ⚙️ Виправлення (Remediation / Налаштування)
                                                🖥️ Графічний інтерфейс (GUI / WebUI)

                                                Щоб встановити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача на 16 384 КБ або більше: Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Private Profile\Logging Customize\Size limit (KB)

                                                  Значення за замовчуванням: 4096 Кб.
                                                  📋 CIS Controls & Нормативні посилання
                                                  1. GRID: MS-00000184
                                                  CIS Controls V8: 4.4
                                                  IG 1, 2, 3
                                                  Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third-party firewall agent.

                                                  CIS Controls V7: 9.4
                                                  IG 1, 2, 3
                                                  Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                                  CIS Controls V7: 11.2
                                                  IG 1, 2
                                                  Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.

                                                  9.2.6 Переконайтеся, що для параметра «Брандмауер Windows: Приватне: Журнал: Журнал скинутих пакетів» встановлено значення «Так» (Автоматизовано)

                                                  Level 1Автоматизовано

                                                  Оригінал: Ensure ‘Windows Firewall: Private: Logging: Log dropped packets’ is set to ‘Yes’ (Automated)

                                                  Використовуйте цей параметр, щоб реєструвати, коли брандмауер Windows із розширеною безпекою скидає вхідний пакет з будь-якої причини. Журнал записує, чому та коли пакет було скинуто. Шукайте записи зі словом DROP у колонці дії журналу. Рекомендований стан для цього параметра: Так.

                                                  💡 Обґрунтування безпеки:

                                                  Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії суб’єктів загрози.

                                                  ⚠️ Вплив на робочий процес (Impact):

                                                  Інформація про скинуті пакети буде записана в файл журналу брандмауера.

                                                  🔍 Аудит (перевірка налаштувань)
                                                  🖥️ Графічний інтерфейс (GUI / WebUI)

                                                  Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile\Logging:LogDr oppedPackets

                                                    ⚙️ Виправлення (Remediation / Налаштування)
                                                    🖥️ Графічний інтерфейс (GUI / WebUI)

                                                    Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача на Так: Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Private Profile\Logging Customize\Log dropped packets

                                                      Значення за замовчуванням: Ні (за замовчуванням). (Інформація про скинуті пакети не записуватиметься у файл журналу брандмауера.)
                                                      📋 CIS Controls & Нормативні посилання
                                                      1. GRID: MS-00000185
                                                      CIS Controls V8: 4.4
                                                      IG 1, 2, 3
                                                      Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third-party firewall agent.

                                                      CIS Controls V8: 8.5
                                                      IG 1, 2
                                                      Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.

                                                      CIS Controls V7: 9.4
                                                      IG 1, 2, 3
                                                      Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                                      CIS Controls V7: 11.2
                                                      IG 1, 2
                                                      Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.

                                                      9.2.7 Переконайтеся, що для параметра «Брандмауер Windows: приватне: журналювання: журнал успішних з’єднань» встановлено значення «так» (Автоматизовано)

                                                      Level 1Автоматизовано

                                                      Оригінал: Ensure ‘Windows Firewall: Private: Logging: Log successful connections’ is set to ‘Yes’ (Automated)

                                                      Використовуйте цей параметр, щоб увійти, коли брандмауер Windows із розширеною безпекою дозволяє вхідне з’єднання. У журналі записується, чому і коли було створено з’єднання. Подивіться для записів зі словом ДОЗВОЛИТИ в колонці дії журналу. Рекомендований стан для цього параметра: Так.

                                                      💡 Обґрунтування безпеки:

                                                      Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії суб’єктів загрози.

                                                      ⚠️ Вплив на робочий процес (Impact):

                                                      Інформація про успішні підключення буде записана в файл журналу брандмауера.

                                                      🔍 Аудит (перевірка налаштувань)
                                                      🖥️ Графічний інтерфейс (GUI / WebUI)

                                                      Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile\Logging:LogSu ccessfulConnections

                                                        ⚙️ Виправлення (Remediation / Налаштування)
                                                        🖥️ Графічний інтерфейс (GUI / WebUI)

                                                        Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача на Так: Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Private Profile\Logging Customize\Log успішні підключення

                                                          Значення за замовчуванням: Ні (за замовчуванням). (Інформація про успішні підключення не буде записана у файл журналу брандмауера.)
                                                          📋 CIS Controls & Нормативні посилання
                                                          1. GRID: MS-00000186
                                                          CIS Controls V8: 4.4
                                                          IG 1, 2, 3
                                                          Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third-party firewall agent.

                                                          CIS Controls V8: 8.5
                                                          IG 1, 2
                                                          Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.

                                                          CIS Controls V7: 9.4
                                                          IG 1, 2, 3
                                                          Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                                          CIS Controls V7: 11.2
                                                          IG 1, 2
                                                          Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.

                                                          9.3 Public Profile This section contains recommendations for the Public Profile of the Windows Firewall.

                                                          9.3.1 Переконайтеся, що для параметра «Брандмауер Windows: загальнодоступний: стан брандмауера» встановлено значення «Увімк. (рекомендовано)» (Автоматизовано)

                                                          Level 1Автоматизовано

                                                          Оригінал: Ensure ‘Windows Firewall: Public: Firewall state’ is set to ‘On (recommended)’ (Automated)

                                                          Цей параметр політики визначає, чи ввімкнено стан вбудованого публічного брандмауера вимкнено. Рекомендований стан для цього параметра: Увімк. (рекомендовано).

                                                          💡 Обґрунтування безпеки:

                                                          Якщо брандмауер вимкнено, увесь трафік матиме доступ до системи та загрози може мати можливість віддалено використовувати слабкі місця в мережевій службі.

                                                          ⚠️ Вплив на робочий процес (Impact):

                                                          Немає – це типова поведінка.

                                                          🔍 Аудит (перевірка налаштувань)
                                                          🖥️ Графічний інтерфейс (GUI / WebUI)

                                                          Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile:EnableFirewall

                                                            ⚙️ Виправлення (Remediation / Налаштування)
                                                            🖥️ Графічний інтерфейс (GUI / WebUI)

                                                            Щоб установити рекомендовану конфігурацію через GP, установіть для наступного шляху інтерфейсу користувача значення Увімк. (рекомендовано): Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Public Profile\Firewall state

                                                              Значення за замовчуванням: Увімкнено (рекомендовано). (Брандмауер Windows із розширеною безпекою буде активним у цьому профілі.)
                                                              📋 CIS Controls & Нормативні посилання
                                                              1. GRID: MS-00000187
                                                              CIS Controls V8: 4.4
                                                              IG 1, 2, 3
                                                              Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third- party firewall agent.

                                                              CIS Controls V7: 9.4
                                                              IG 1, 2, 3
                                                              Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                                              9.3.2 Переконайтеся, що для параметра «Брандмауер Windows: загальнодоступний: вхідні з’єднання» встановлено значення «Блокувати (за замовчуванням)» (Автоматизовано)

                                                              Level 1Автоматизовано

                                                              Оригінал: Ensure ‘Windows Firewall: Public: Inbound connections’ is set to ‘Block (default)’ (Automated)

                                                              Цей параметр визначає поведінку вхідних з’єднань, які не відповідають правило вхідного брандмауера. Рекомендований стан для цього параметра: Блокувати (за замовчуванням).

                                                              💡 Обґрунтування безпеки:

                                                              Якщо брандмауер дозволяє всьому трафіку отримати доступ до системи, то загрози може бути більше легко віддалено використовувати слабкі місця в мережевій службі.

                                                              ⚠️ Вплив на робочий процес (Impact):

                                                              Немає – це типова поведінка.

                                                              🔍 Аудит (перевірка налаштувань)
                                                              🖥️ Графічний інтерфейс (GUI / WebUI)

                                                              Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile:DefaultInbound Action

                                                                ⚙️ Виправлення (Remediation / Налаштування)
                                                                🖥️ Графічний інтерфейс (GUI / WebUI)

                                                                Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача на Блокувати (за замовчуванням): Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Public Profile\Inbound connections

                                                                  Значення за замовчуванням: Блокувати (за замовчуванням). (Брандмауер Windows із розширеною безпекою блокуватиме всі вхідні з’єднання, які не відповідають правилу вхідного брандмауера в цьому профілі.)
                                                                  📋 CIS Controls & Нормативні посилання
                                                                  1. GRID: MS-00000188
                                                                  CIS Controls V8: 4.4
                                                                  IG 1, 2, 3
                                                                  Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third-party firewall agent.

                                                                  CIS Controls V7: 9.4
                                                                  IG 1, 2, 3
                                                                  Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                                                  CIS Controls V7: 11.2
                                                                  IG 1, 2
                                                                  Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.

                                                                  9.3.3 Переконайтеся, що для параметра «Брандмауер Windows: Загальнодоступний: Налаштування: Відображати сповіщення» встановлено значення «Ні» (Автоматизовано)

                                                                  Level 1Автоматизовано

                                                                  Оригінал: Ensure ‘Windows Firewall: Public: Settings: Display a notification’ is set to ‘No’ (Automated)

                                                                  Виберіть цей параметр, щоб брандмауер Windows із розширеною безпекою відображав сповіщення користувачеві, коли програмі заблоковано отримання вхідних з’єднань. Рекомендований стан для цього параметра: Ні.

                                                                  💡 Обґрунтування безпеки:

                                                                  Деякі організації можуть віддати перевагу уникати тривоги користувачів, коли правила брандмауера блокують певні види мережевої активності. Однак сповіщення можуть бути корисними під час усунення несправностей проблеми з мережею, пов’язані з брандмауером.

                                                                  ⚠️ Вплив на робочий процес (Impact):

                                                                  Брандмауер Windows не відображатиме сповіщення, коли програму заблоковано отримання вхідних з’єднань.

                                                                  🔍 Аудит (перевірка налаштувань)
                                                                  🖥️ Графічний інтерфейс (GUI / WebUI)

                                                                  Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile:DisableNotific ations

                                                                    ⚙️ Виправлення (Remediation / Налаштування)
                                                                    🖥️ Графічний інтерфейс (GUI / WebUI)

                                                                    Щоб установити рекомендовану конфігурацію через GP, установіть для такого шляху інтерфейсу користувача значення «Ні»: Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Public Profile\Settings Customize\Display a notification

                                                                      Значення за замовчуванням: так (Брандмауер Windows із розширеною безпекою відобразить сповіщення, коли програмі заблоковано отримання вхідних з’єднань.)
                                                                      📋 CIS Controls & Нормативні посилання
                                                                      1. GRID: MS-00000189
                                                                      CIS Controls V8: 4.4
                                                                      IG 1, 2, 3
                                                                      Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third-party firewall agent.

                                                                      CIS Controls V7: 9.4
                                                                      IG 1, 2, 3
                                                                      Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                                                      CIS Controls V7: 11.2
                                                                      IG 1, 2
                                                                      Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.

                                                                      9.3.4 Переконайтеся, що для параметра «Брандмауер Windows: загальнодоступний: налаштування: застосування правил локального брандмауера» встановлено значення «Ні» (Автоматизовано)

                                                                      Level 1Автоматизовано

                                                                      Оригінал: Ensure ‘Windows Firewall: Public: Settings: Apply local firewall rules’ is set to ‘No’ (Automated)

                                                                      Цей параметр визначає, чи дозволено локальним адміністраторам створювати локальний брандмауер правила, які застосовуються разом із правилами брандмауера, налаштованими груповою політикою. Рекомендований стан для цього параметра: Ні. Примітка: якщо для параметра Застосувати локальні правила брандмауера встановлено значення Ні, це рекомендовано також налаштувати параметр Відображати сповіщення на Ні. В іншому випадку користувачі продовжуватимуть отримувати повідомлення із запитом, чи хочуть вони розблокувати a обмежене вхідне з’єднання, але відповідь користувача буде проігнорована.

                                                                      💡 Обґрунтування безпеки:

                                                                      У загальнодоступному профілі не повинно бути спеціальних винятків для локального брандмауера згідно комп’ютер. Цими параметрами має керувати централізована політика.

                                                                      ⚠️ Вплив на робочий процес (Impact):

                                                                      Адміністратори можуть створювати правила брандмауера, але правила не застосовуватимуться.

                                                                      🔍 Аудит (перевірка налаштувань)
                                                                      🖥️ Графічний інтерфейс (GUI / WebUI)

                                                                      Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 0. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile:AllowLocalPoli cyMerge

                                                                        ⚙️ Виправлення (Remediation / Налаштування)
                                                                        🖥️ Графічний інтерфейс (GUI / WebUI)

                                                                        Щоб установити рекомендовану конфігурацію через GP, установіть для такого шляху інтерфейсу користувача значення Ні: Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Public Profile\Settings Customize\Apply local firewall rules

                                                                          Значення за замовчуванням: Так (за замовчуванням). (Будуть застосовані правила брандмауера, створені адміністраторами.)
                                                                          📋 CIS Controls & Нормативні посилання
                                                                          1. GRID: MS-00000190
                                                                          CIS Controls V8: 4.4
                                                                          IG 1, 2, 3
                                                                          Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third-party firewall agent.

                                                                          CIS Controls V7: 9.4
                                                                          IG 1, 2, 3
                                                                          Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                                                          CIS Controls V7: 11.2
                                                                          IG 1, 2
                                                                          Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.

                                                                          9.3.5 Переконайтеся, що для параметра «Брандмауер Windows: Загальнодоступний: Налаштування: Застосувати правила безпеки локального підключення» встановлено значення «Ні» (Автоматизовано)

                                                                          Level 1Автоматизовано

                                                                          Оригінал: Ensure ‘Windows Firewall: Public: Settings: Apply local connection security rules’ is set to ‘No’ (Automated)

                                                                          Цей параметр визначає, чи дозволено локальним адміністраторам створювати з’єднання правила безпеки, які застосовуються разом із правилами безпеки підключення, налаштованими групою політика. Рекомендований стан для цього параметра: Ні.

                                                                          💡 Обґрунтування безпеки:

                                                                          Користувачі з адміністративними привілеями можуть створювати правила брандмауера, які піддають систему віддалена атака.

                                                                          ⚠️ Вплив на робочий процес (Impact):

                                                                          Адміністратори можуть створювати локальні правила безпеки підключення, але правил не буде застосовується.

                                                                          🔍 Аудит (перевірка налаштувань)
                                                                          🖥️ Графічний інтерфейс (GUI / WebUI)

                                                                          Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 0. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile:AllowLocalIPse cPolicyMerge

                                                                            ⚙️ Виправлення (Remediation / Налаштування)
                                                                            🖥️ Графічний інтерфейс (GUI / WebUI)

                                                                            Щоб установити рекомендовану конфігурацію через GP, установіть для такого шляху інтерфейсу користувача значення Ні: Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Public Profile\Settings Customize\Apply local connection security rules

                                                                              Значення за замовчуванням: Так (за замовчуванням). (Будуть застосовані правила безпеки локального підключення, створені адміністраторами.)
                                                                              📋 CIS Controls & Нормативні посилання
                                                                              1. GRID: MS-00000191
                                                                              CIS Controls V8: 4.4
                                                                              IG 1, 2, 3
                                                                              Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third-party firewall agent.

                                                                              CIS Controls V7: 9.4
                                                                              IG 1, 2, 3
                                                                              Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                                                              CIS Controls V7: 11.2
                                                                              IG 1, 2
                                                                              Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.

                                                                              9.3.6 Переконайтеся, що «Брандмауер Windows: Загальнодоступний: Журнал: Ім’я» налаштовано (Автоматизовано)

                                                                              Level 1Автоматизовано

                                                                              Оригінал: Ensure ‘Windows Firewall: Public: Logging: Name’ is configured (Automated)

                                                                              Цей параметр політики використовується для вказівки шляху та імені файлу, у якому знаходиться Windows Брандмауер запише інформацію в журнал. Рекомендований стан для цього параметра: налаштовано. Приклад: %SystemRoot%\System32\logfiles\firewall\publicfw.log.

                                                                              💡 Обґрунтування безпеки:

                                                                              Якщо події брандмауера Windows не записуються, це може бути важко або неможливо Адміністратори для аналізу системних проблем або несанкціонованих дій зловмисників. Microsoft зберігає всі події брандмауера як один файл у системі (pfirewall.log). до покращити журналювання, розділити кожен профіль брандмауера (доменний, приватний, загальнодоступний) на окремий окремий файл журналу (domainfw.log, privatefw.log, publicfw.log) для кращої організації та визначення конкретних проблем у кожному профілі.

                                                                              ⚠️ Вплив на робочий процес (Impact):

                                                                              Файл журналу зберігатиметься в місці та файлі, визначених організацією.

                                                                              🔍 Аудит (перевірка налаштувань)
                                                                              🖥️ Графічний інтерфейс (GUI / WebUI)

                                                                              Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_SZ \.log. Де – це розташування, а – ім’я журналу, указане організацією. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile\Logging:LogFil ePath

                                                                                ⚙️ Виправлення (Remediation / Налаштування)
                                                                                🖥️ Графічний інтерфейс (GUI / WebUI)

                                                                                Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача до <шлях>\<ім’я файлу>.log: де <шлях> — це розташування, а <файл> — це ім’я журналу, указане організацією. Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Public Profile\Logging Customize\Name

                                                                                  Значення за замовчуванням: %SystemRoot%\System32\logfiles\firewall\pfirewall.log
                                                                                  📋 CIS Controls & Нормативні посилання
                                                                                  1. GRID: MS-00000192
                                                                                  2. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows-firewall/configure-the-windows-firewall-log
                                                                                  3. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows-firewall/best-practices-configuring
                                                                                  CIS Controls V8: 4.4
                                                                                  IG 1, 2, 3
                                                                                  Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third-party firewall agent.

                                                                                  CIS Controls V7: 9.4
                                                                                  IG 1, 2, 3
                                                                                  Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                                                                  CIS Controls V7: 11.2
                                                                                  IG 1, 2
                                                                                  Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.

                                                                                  9.3.7 Переконайтеся, що для параметра «Брандмауер Windows: загальнодоступний: журналювання: обмеження розміру (КБ)» встановлено значення «16 384 КБ або більше» (Автоматизовано)

                                                                                  Level 1Автоматизовано

                                                                                  Оригінал: Ensure ‘Windows Firewall: Public: Logging: Size limit (KB)’ is set to ‘16,384 KB or greater’ (Automated)

                                                                                  Використовуйте цей параметр, щоб указати ліміт розміру файлу, у який брандмауер Windows записуватиме його інформація журналу. Рекомендований стан для цього параметра: 16 384 КБ або більше.

                                                                                  💡 Обґрунтування безпеки:

                                                                                  Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії суб’єктів загрози.

                                                                                  ⚠️ Вплив на робочий процес (Impact):

                                                                                  Розмір файлу журналу буде обмежено вказаним розміром, старі події будуть перезаписані новіші, коли досягнуто ліміту.

                                                                                  🔍 Аудит (перевірка налаштувань)
                                                                                  🖥️ Графічний інтерфейс (GUI / WebUI)

                                                                                  Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 16384. HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile\ Logging:LogFileSize

                                                                                    ⚙️ Виправлення (Remediation / Налаштування)
                                                                                    🖥️ Графічний інтерфейс (GUI / WebUI)

                                                                                    Щоб встановити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача на 16 384 КБ або більше: Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Public Profile\Logging Customize\Size limit (KB)

                                                                                      Значення за замовчуванням: 4096 Кб.
                                                                                      📋 CIS Controls & Нормативні посилання
                                                                                      1. GRID: MS-00000193
                                                                                      CIS Controls V8: 4.4
                                                                                      IG 1, 2, 3
                                                                                      Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third-party firewall agent.

                                                                                      CIS Controls V7: 9.4
                                                                                      IG 1, 2, 3
                                                                                      Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                                                                      CIS Controls V7: 11.2
                                                                                      IG 1, 2
                                                                                      Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.

                                                                                      9.3.8 Переконайтеся, що для параметра «Брандмауер Windows: Загальнодоступний: Журнал: Реєструвати відпущені пакети» встановлено значення «Так» (Автоматизовано)

                                                                                      Level 1Автоматизовано

                                                                                      Оригінал: Ensure ‘Windows Firewall: Public: Logging: Log dropped packets’ is set to ‘Yes’ (Automated)

                                                                                      Використовуйте цей параметр, щоб реєструвати, коли брандмауер Windows із розширеною безпекою скидає вхідний пакет з будь-якої причини. Журнал записує, чому та коли пакет було скинуто. Шукайте записи зі словом DROP у колонці дії журналу. Рекомендований стан для цього параметра: Так.

                                                                                      💡 Обґрунтування безпеки:

                                                                                      Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії суб’єктів загрози.

                                                                                      ⚠️ Вплив на робочий процес (Impact):

                                                                                      Інформація про скинуті пакети буде записана в файл журналу брандмауера.

                                                                                      🔍 Аудит (перевірка налаштувань)
                                                                                      🖥️ Графічний інтерфейс (GUI / WebUI)

                                                                                      Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile\Logging:LogDro ppedPackets

                                                                                        ⚙️ Виправлення (Remediation / Налаштування)
                                                                                        🖥️ Графічний інтерфейс (GUI / WebUI)

                                                                                        Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача на Так: Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Public Profile\Logging Customize\Log dropped packets

                                                                                          Значення за замовчуванням: Ні (за замовчуванням). (Інформація про скинуті пакети не записуватиметься у файл журналу брандмауера.)
                                                                                          📋 CIS Controls & Нормативні посилання
                                                                                          1. GRID: MS-00000194
                                                                                          CIS Controls V8: 4.4
                                                                                          IG 1, 2, 3
                                                                                          Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third-party firewall agent.

                                                                                          CIS Controls V8: 8.5
                                                                                          IG 1, 2
                                                                                          Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.

                                                                                          CIS Controls V7: 9.4
                                                                                          IG 1, 2, 3
                                                                                          Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                                                                          CIS Controls V7: 11.2
                                                                                          IG 1, 2
                                                                                          Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.

                                                                                          9.3.9 Переконайтеся, що для параметра «Брандмауер Windows: загальнодоступний: ведення журналу: журнал успішних з’єднань» встановлено значення «Так» (Автоматизовано)

                                                                                          Level 1Автоматизовано

                                                                                          Оригінал: Ensure ‘Windows Firewall: Public: Logging: Log successful connections’ is set to ‘Yes’ (Automated)

                                                                                          Використовуйте цей параметр, щоб увійти, коли брандмауер Windows із розширеною безпекою дозволяє вхідне з’єднання. У журналі записується, чому і коли було створено з’єднання. Подивіться для записів зі словом ДОЗВОЛИТИ в колонці дії журналу. Рекомендований стан для цього параметра: Так.

                                                                                          💡 Обґрунтування безпеки:

                                                                                          Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії суб’єктів загрози.

                                                                                          ⚠️ Вплив на робочий процес (Impact):

                                                                                          Інформація про успішні підключення буде записана в файл журналу брандмауера.

                                                                                          🔍 Аудит (перевірка налаштувань)
                                                                                          🖥️ Графічний інтерфейс (GUI / WebUI)

                                                                                          Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile\Logging:LogSuc cessfulConnections

                                                                                            ⚙️ Виправлення (Remediation / Налаштування)
                                                                                            🖥️ Графічний інтерфейс (GUI / WebUI)

                                                                                            Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача на Так: Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Public Profile\Logging Customize\Log успішні підключення

                                                                                              Значення за замовчуванням: Ні (за замовчуванням). (Інформація про успішні підключення не буде записана у файл журналу брандмауера.)
                                                                                              📋 CIS Controls & Нормативні посилання
                                                                                              1. GRID: MS-00000195
                                                                                              CIS Controls V8: 4.4
                                                                                              IG 1, 2, 3
                                                                                              Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third-party firewall agent.

                                                                                              CIS Controls V8: 8.5
                                                                                              IG 1, 2
                                                                                              Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.

                                                                                              CIS Controls V7: 9.4
                                                                                              IG 1, 2, 3
                                                                                              Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                                                                              CIS Controls V7: 11.2
                                                                                              IG 1, 2
                                                                                              Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.

                                                                                              10 Network List Manager Policies This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. 11 Wireless Network (IEEE 802.11) Policies This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. 12 Public Key Policies This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. 13 Software Restriction Policies This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. 14 Network Access Protection NAP Client Configuration This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. 15 Application Control Policies This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. 16 IP Security Policies This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent.

                                                                                              17 Advanced Audit Policy Configuration This section contains recommendations for configuring the Windows audit facilities. 17.1 Account Logon This section contains recommendations for configuring the Account Logon audit policy.

                                                                                              Потрібні інші розділи стандарту?

                                                                                              Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


                                                                                              До повного змісту CIS Microsoft Windows Server 2025 Benchmark →