19. Адміністративні шаблони (Користувач)
Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Адміністративні шаблони (Користувач)».
Рекомендацій: 11
Windows Server 2025 v2.1.0
19.5.1.1 Переконайтеся, що для параметра «Вимкнути сповіщення про тости на екрані блокування» встановлено значення «Увімкнено» (Автоматизовано)
Цей параметр політики вимикає підказки на екрані блокування. Рекомендований стан для цього параметра – увімкнено.
Хоча ця функція може бути зручною для користувачів, додатки, які надають тости сповіщень може відображати конфіденційні особисті або ділові дані, поки пристрій залишається без нагляду.
Програми не зможуть видавати сповіщення на екрані блокування.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD, рівним 1. HKU\[КОРИСТУВАЧА SID]\Software\Policies\Microsoft\Windows\CurrentVersion\PushNotifications:NoT oastApplicationNotificationOnLockScreen
шаблон WPN.admx/adml, який входить до складу Microsoft Windows 8.0 і Server 2012
(не R2) Адміністративні шаблони (або новіші).
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000557
IG 1, 2
IG 1, 2, 3
19.6 System This section contains recommendations for System settings. This Group Policy section is provided by the Group Policy template Windows.admx/adml that is included with all versions of the Microsoft Windows Administrative Templates. 19.6.1 Ctrl+Alt+Del Options This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. This Group Policy section is provided by the Group Policy template CtrlAltDel.admx/adml that is included with all versions of the Microsoft Windows Administrative Templates. 19.6.2 Display This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. This Group Policy section is provided by the Group Policy template Display.admx/adml that is included with the Microsoft Windows 10 version 1803 Administrative Templates (or newer). 19.6.3 Driver Installation This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. This Group Policy section is provided by the Group Policy template DeviceInstallation.admx/adml that is included with all versions of the Microsoft Windows Administrative Templates. 19.6.4 Folder Redirection This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. This Group Policy section is provided by the Group Policy template FolderRedirection.admx/adml that is included with all versions of the Microsoft Windows Administrative Templates.
19.6.5 Group Policy This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. This Group Policy section is provided by the Group Policy template GroupPolicy.admx/adml that is included with all versions of the Microsoft Windows Administrative Templates. 19.6.6 Internet Communication Management This section contains recommendations related to Internet Communication Management. This Group Policy section is provided by the Group Policy template Windows.admx/adml that is included with all versions of the Microsoft Windows Administrative Templates. 19.6.6.1 Internet Communication settings This section contains recommendations related to Internet Communication settings. This Group Policy section is provided by the Group Policy template Windows.admx/adml that is included with all versions of the Microsoft Windows Administrative Templates.
19.6.6.1.1 Переконайтеся, що для параметра «Вимкнути програму вдосконалення довідки» встановлено значення «Увімкнено» (Автоматизовано)
Цей параметр політики визначає, чи можуть користувачі брати участь у довідці Програма вдосконалення. Програма Help Experience Improvement збирає інформацію про те, як клієнти використовують довідку Windows, щоб Microsoft могла її вдосконалити. Рекомендований стан для цього параметра: увімкнено.
Великі корпоративні керовані середовища можуть не захотіти, щоб інформація збиралася Microsoft з керованих клієнтських комп’ютерів.
Користувачі не можуть брати участь у програмі вдосконалення довідки.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 1. HKU\[USER SID]\Software\Policies\Microsoft\Assistance\Client\1.0:NoImplicitFeedback
HelpAndSupport.admx/adml, який входить до складу всіх версій Microsoft Windows
Адміністративні шаблони.
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000558
IG 1, 2
IG 1, 2
19.6.7 Keyboard Filter This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. This Group Policy section is provided by the Group Policy template KeyboardFilterPolicy.admx/adml that is included with the Microsoft Windows 11 version 25H2 Administrative Templates (or newer). 19.7 Windows Components This section contains recommendations for Windows Component settings. This Group Policy section is provided by the Group Policy template Windows.admx/adml that is included with all versions of the Microsoft Windows Administrative Templates. 19.7.1 Account Notifications This section contains recommendations for Account Notifications settings. This Group Policy section is provided by the Group Policy template AccountNotifications.admx/adml that is included with the Microsoft Windows 11 version 22H2 Administrative Templates v3.0 (or newer). 19.7.2 Add features to Windows 8 / 8.1 / 10 (formerly Windows Anytime Upgrade) This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. This Group Policy section is provided by the Group Policy template WindowsAnytimeUpgrade.admx/adml that is included with the Microsoft Windows 7 & Server 2008 R2 Administrative Templates (or newer). Note
19.7.5.1 Переконайтеся, що для параметра «Не зберігати інформацію про зону у вкладених файлах» встановлено значення «Вимкнено» (Автоматизовано)
Цей параметр політики дозволяє керувати тим, чи Windows позначає вкладені файли інформація про зону їхнього походження (наприклад, обмежена, Інтернет, інтранет, локальна). Це для належної роботи потрібна NTFS, а у FAT32 не вийде з ладу без попередження. за не зберігаючи інформацію про зону, Windows не може правильно оцінити ризик. Рекомендований стан для цього параметра: вимкнено. Примітка. Функція диспетчера вкладень попереджає користувачів про відкриття або виконання файлів які позначено як такі, що походять із ненадійного джерела, якщо/до зони файлу інформацію було видалено за допомогою кнопки «Розблокувати» у властивостях файлу або через a окремий інструмент, наприклад Microsoft Sysinternals Streams.
Файл, який завантажується з комп’ютера в Інтернеті або в зоні обмежених сайтів, може бути переміщено в місце, де воно виглядає безпечним, як-от спільне використання файлів в інтрамережі, і виконується нічого не підозрюючим користувачем. Функція диспетчера вкладень попередить користувачів під час відкриття або запуску файлів, які позначено як такі, що походять із ненадійного джерела, якщо/поки інформація про зону файлу не буде видалена.
Немає – це типова поведінка.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 2. HKU\[USER SID]\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments:SaveZoneI nformation
AttachmentManager.admx/adml, який входить до складу всіх версій Microsoft
Адміністративні шаблони Windows.
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000559
IG 1
IG 1
19.7.5.2 Переконайтеся, що для параметра «Повідомляти антивірусні програми про відкриття вкладень» встановлено значення «Увімкнено» (Автоматизовано)
Цей параметр політики керує поведінкою сповіщень зареєстрованих антивірусних програм. Якщо зареєстровано декілька програм, усі вони отримають сповіщення. Рекомендований стан для цього параметра: увімкнено. Примітка. Щоб цей параметр політики працював, необхідно встановити оновлену антивірусну програму належним чином.
Антивірусні програми, які не виконують перевірки під час доступу, можуть не сканувати завантажені файли.
Windows повідомляє зареєстрованій антивірусній програмі сканувати файл, коли користувач відкриває a вкладений файл. Якщо антивірусна програма дає збій, вкладення блокується відкрито.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 3. HKU\[USER SID]\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments:ScanWithA ntiVirus
AttachmentManager.admx/adml, який входить до складу всіх версій Microsoft
Адміністративні шаблони Windows.
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000560
IG 1, 2, 3
IG 1, 2
19.7.6 AutoPlay Policies This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. This Group Policy section is provided by the Group Policy template AutoPlay.admx/adml that is included with all versions of the Microsoft Windows Administrative Templates. 19.7.7 Calculator This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. This Group Policy section is provided by the Group Policy template Programs.admx/adml that is included with the Microsoft Windows 10 version 2004 Administrative Templates (or newer). 19.7.8 Cloud Content This section contains recommendations for Cloud Content. This Group Policy section is provided by the Group Policy template CloudContent.admx/adml that is included with the Microsoft Windows 10 version 1607 & Server 2016 Administrative Templates (or newer).
19.7.8.1 Переконайтеся, що для параметра «Налаштувати прожектор Windows на екрані блокування» встановлено значення «Вимкнено» (Автоматизовано)
Цей параметр політики дозволяє налаштувати Windows Spotlight на екрані блокування. Рекомендований стан для цього параметра: вимкнено. Примітка. Відповідно до Microsoft TechNet цей параметр політики застосовується лише до Windows 10 Enterprise і випуски Windows 10 Education.
Якщо ввімкнути це налаштування, ваші дані не будуть передаватись третім особам. The Функція Windows Spotlight збирає дані та використовує їх для відображення запропонованих програм а також зображення з Інтернету.
Windows Spotlight буде вимкнено, і користувачі більше не зможуть вибрати його як свій екран блокування.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 2. HKU\[USER SID]\Software\Policies\Microsoft\Windows\CloudContent:ConfigureWindowsSpotlig ht
шаблон CloudContent.admx/adml, який входить до складу Microsoft Windows 10
версія 1607 і адміністративні шаблони Server 2016 (або новіші).
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000561
IG 1
IG 1, 2, 3
19.7.8.2 Переконайтеся, що для параметра «Не пропонувати вміст сторонніх розробників у центрі уваги Windows» встановлено значення «Увімкнено» (Автоматизовано)
Цей параметр політики визначає, чи пропонуватиме Windows програми та вміст із сторонні видавці програмного забезпечення. Рекомендований стан для цього параметра: увімкнено.
Якщо ввімкнути це налаштування, ваші дані не будуть передаватись третім особам. The Функція Windows Spotlight збирає дані та використовує їх для відображення запропонованих програм а також зображення з Інтернету.
Windows Spotlight на екрані блокування, поради Windows, споживчі функції Microsoft та інші пов’язані функції більше не пропонуватимуть програми та вміст стороннього програмного забезпечення видавців. Користувачі все ще можуть бачити пропозиції та поради, які допоможуть підвищити продуктивність Функції та програми Microsoft.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 1. HKU\[USER SID]\Software\Policies\Microsoft\Windows\CloudContent:DisableThirdPartySugges tions
шаблон CloudContent.admx/adml, який входить до складу Microsoft Windows 10
версія 1607 і адміністративні шаблони Server 2016 (або новіші).
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000562
IG 1
IG 1
19.7.8.3 Переконайтеся, що для параметра «Не використовувати діагностичні дані для персоналізованого досвіду» встановлено значення «Увімкнено» (Автоматизовано)
Цей параметр визначає, чи може Windows використовувати діагностичні дані для надання індивідуальних даних досвід для користувача. Рекомендований стан для цього параметра: увімкнено.
Відстеження, збір і використання персональних даних є проблемою конфіденційності та безпеки що хвилює багато організацій.
Windows не використовуватиме діагностичні дані з цього пристрою (ці дані можуть включати веб-переглядач, використання програм і функцій залежно від значення параметра «Діагностичні дані та дані про використання») налаштувати вміст, який відображається на екрані блокування, підказки Windows, споживач Microsoft особливості та інші пов’язані функції. Якщо ці функції ввімкнено, користувачі все одно бачитимуть рекомендації, поради та пропозиції, але вони можуть бути менш персоналізованими.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 1. HKU\[USER SID]\Software\Policies\Microsoft\Windows\CloudContent:DisableTailoredExperien cesWithDiagnosticData
шаблон CloudContent.admx/adml, який входить до складу Microsoft Windows 10
версія 1703 адміністративних шаблонів (або новіша).
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000563
IG 1
IG 1, 2
19.7.8.4 Переконайтеся, що для параметра «Вимкнути всі функції Windows Spotlight» встановлено значення «Увімкнено» (Автоматизовано)
Цей параметр політики дозволяє вимкнути всі функції Windows Spotlight одночасно. Рекомендований стан для цього параметра: увімкнено. Примітка. Відповідно до Microsoft TechNet цей параметр політики застосовується лише до Windows 10 Enterprise і випуски Windows 10 Education.
Якщо ввімкнути це налаштування, ваші дані не будуть передаватись третім особам. The Функція Windows Spotlight збирає дані та використовує їх для відображення запропонованих програм а також зображення з Інтернету.
Windows Spotlight на екрані блокування, поради Windows, споживчі функції Microsoft та інші пов’язані функції будуть вимкнені.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 1. HKU\[USER SID]\Software\Policies\Microsoft\Windows\CloudContent:DisableWindowsSpotlight Features
шаблон CloudContent.admx/adml, який входить до складу Microsoft Windows 10
версія 1607 і адміністративні шаблони Server 2016 (або новіші).
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000564
IG 1, 2
IG 1, 2
19.7.8.5 Переконайтеся, що для параметра «Вимкнути колекцію Spotlight на робочому столі» встановлено значення «Увімкнено» (Автоматизовано)
Цей параметр політики видаляє налаштування колекції Spotlight у персоналізації, відтворення користувач не може вибирати та згодом завантажувати щоденні зображення з Microsoft на робочий стіл системи. Рекомендований стан для цього параметра: увімкнено.
Якщо ввімкнути це налаштування, ваші дані не будуть передаватись третім особам. The Функція Windows Spotlight збирає дані та використовує їх для відображення зображень Microsoft.
Функція колекції Spotlight буде недоступна як опція в Налаштування персоналізації, тому користувачі не зможуть завантажувати щоденні зображення з Microsoft.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру: HKU\[SID КОРИСТУВАЧА]\SOFTWARE\Policies\Microsoft\Windows\CloudContent:DisableSpotlightCollect ionOnDesktop
шаблон CloudContent.admx/adml, який входить до складу Microsoft Windows 11
версія 21H2 адміністративних шаблонів (або новіша).
📋 CIS Controls & Нормативні посилання
- https://docs.microsoft.com/en-us/windows/configuration/windows-spotlight
- GRID: MS-00000565
IG 1, 2
IG 1
19.7.9 Credential User Interface This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. This Group Policy section is provided by the Group Policy template CredUI.admx/adml that is included with the Microsoft Windows 10 version 1607 & Server 2016 Administrative Templates (or newer). 19.7.10 Data Collection and Preview Builds This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. This Group Policy section is provided by the Group Policy template DataCollection.admx/adml that is included with the Microsoft Windows 10 version 1607 & Server 2016 Administrative Templates (or newer). 19.7.11 Desktop Gadgets This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. This Group Policy section is provided by the Group Policy template Sidebar.admx/adml that is included with the Microsoft Windows 7 & Server 2008 R2 Administrative Templates (or newer). 19.7.12 Desktop Window Manager This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. This Group Policy section is provided by the Group Policy template DWM.admx/adml that is included with all versions of the Microsoft Windows Administrative Templates. 19.7.13 Digital Locker This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. This Group Policy section is provided by the Group Policy template DigitalLocker.admx/adml that is included with all versions of the Microsoft Windows Administrative Templates.
19.7.14 Edge UI This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. This Group Policy section is provided by the Group Policy template EdgeUI.admx/adml that is included with the Microsoft Windows 8.0 & Server 2012 (non-R2) Administrative Templates (or newer). 19.7.15 File Explorer (formerly Windows Explorer) This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. This Group Policy section is provided by the Group Policy template Windows.admx/adml that is included with all versions of the Microsoft Windows Administrative Templates. Note
19.7.26.1 Переконайтеся, що «Заборонити користувачам ділитися файлами в межах свого профілю». встановлено значення «Увімкнено» (Автоматизовано)
Цей параметр політики визначає, чи можуть користувачі ділитися файлами у своєму профілі. за за замовчуванням користувачам дозволено ділитися файлами у своєму профілі з іншими користувачами на своєму мережі після того, як адміністратор ввімкне комп’ютер. Адміністратор може вибрати на комп’ютері за допомогою майстра спільного доступу, щоб поділитися файлом у своєму профілі. Рекомендований стан для цього параметра: увімкнено.
Якщо його неправильно налаштувати, користувач може випадково поділитися конфіденційними даними з неавторизованих користувачів. У керованому корпоративному середовищі компанія повинна Натомість надайте кероване розташування для спільного використання файлів, наприклад файловий сервер або SharePoint користувача, який ділиться файлами безпосередньо з власного профілю користувача.
Користувачі не можуть ділитися файлами у своєму профілі за допомогою майстра спільного доступу. Крім того, обмін майстер не може створити спільний доступ у %root%\Users і може використовуватися лише для створення SMB спільний доступ до папок.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 1. HKU\[SID КОРИСТУВАЧА]\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer:NoInplaceSha ring
Sharing.admx/adml, який входить до складу всіх версій Microsoft Windows
Адміністративні шаблони.
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000566
IG 1
IG 1, 2, 3
19.7.27 OOBE This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. This Group Policy section is provided by the Group Policy template OOBE.admx/adml that is included with the Microsoft Windows 10 version 1809 and Server 2019 Administrative Templates (or newer). 19.7.28 Presentation Settings This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. This Group Policy section is provided by the Group Policy template MobilePCPresentationSettings.admx/adml that is included with all versions of the Microsoft Windows Administrative Templates. 19.7.29 Remote Desktop Services (formerly Terminal Services) This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. This Group Policy section is provided by the Group Policy template TerminalServer.admx/adml that is included with all versions of the Microsoft Windows Administrative Templates. Note
19.7.46.2.1 Переконайтеся, що для параметра «Запобігти завантаженню кодеків» встановлено значення «Увімкнено» (Автоматизовано)
Цей параметр визначає, чи дозволено Windows Media Player завантажувати додаткові файли кодеків для декодування мультимедійних файлів він ще не розуміє. Рекомендований стан для цього параметра: увімкнено.
Це має певний потенціал ризику, якщо в медіапрогравачі буде відкрито зловмисний файл даних вимагає встановлення додаткового кодека. Якщо для a необхідної робочої функції, то цей кодек спочатку слід протестувати, щоб переконатися, що він законний, і він повинен надаватися ІТ-відділом організації.
Windows Media Player не може автоматично завантажувати кодеки на ваш комп’ютер. Крім того, на вкладці Програвач встановлено прапорець Автоматично завантажувати кодеки у програвачі недоступний.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 1. HKU\[USER SID]\Software\Policies\Microsoft\WindowsMediaPlayer:PreventCodecDownload
WindowsMediaPlayer.admx/adml, який входить до складу всіх версій Microsoft
Адміністративні шаблони Windows.
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000569
IG 1
IG 1, 2, 3
Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.
До повного змісту CIS Microsoft Windows Server 2025 Benchmark →