2. Локальні політики безпеки

2.2.1 Переконайтеся, що для параметра «Доступ до диспетчера облікових даних як надійного абонента» встановлено значення «Ніхто» (Автоматизовано)

Оригінал: Ensure ‘Access Credential Manager as a trusted caller’ is set to ‘No One’ (Automated)

Цей параметр безпеки використовується диспетчером облікових даних під час резервного копіювання та відновлення. немає облікові записи повинні мати це право користувача, оскільки воно призначається лише Winlogon. Користувачів збережено облікові дані можуть бути скомпрометовані, якщо це право користувача призначено іншим особам. Рекомендований стан для цього параметра: нікого.

Якщо обліковому запису надано це право, користувач облікового запису може створити програму, яка викликає диспетчер облікових даних і повертає облікові дані для іншого користувача.

Немає – це типова поведінка.

Значення за замовчуванням: ніхто

2.2.3 Переконайтеся, що для параметра «Доступ до цього комп’ютера з мережі» встановлено значення «Адміністратори, автентифіковані користувачі» (лише MS) (Автоматизовано)

Оригінал: Ensure ‘Access this computer from the network’ is set to ‘Administrators, Authenticated Users’ (MS only) (Automated)

Цей параметр політики дозволяє іншим користувачам мережі підключатися до комп’ютера вимагається різними мережевими протоколами, які включають серверні блоки повідомлень (SMB). протоколи, NetBIOS, Загальна файлова система Інтернету (CIFS) і компонентний об’єкт Модель Плюс (COM+). Рекомендований стан для цього параметра на рядових серверах: адміністратори, Автентифіковані користувачі.

Користувачі, які можуть підключатися зі свого комп’ютера до мережі, можуть отримати доступ до ресурсів на цільовими комп’ютерами, на які вони мають дозвіл. Наприклад, доступ до цього права користувача комп’ютера з мережі потрібні для підключення до спільних принтерів і папки. Якщо це право користувача призначено групі «Усі», то буде призначено будь-кому може читати файли в цих спільних папках. Однак така ситуація малоймовірна для нового встановлення Windows Server 2003 із пакетом оновлень 1 (SP1), оскільки за замовчуванням спільний доступ і дозволи NTFS у Windows Server 2003 не включають Усі група. Ця вразливість може мати вищий рівень ризику для комп’ютерів, які ви оновлюєте з Windows NT 4.0 або Windows 2000, тому що дозволи за замовчуванням для них операційні системи не такі обмежені, як дозволи за замовчуванням у Windows Server 2003 рік.

Якщо ви видалите доступ до цього комп’ютера від користувача мережі безпосередньо в домені Контролери для всіх користувачів, ніхто не зможе увійти в домен або використовувати мережу ресурси. Якщо ви видалите цього користувача прямо на рядових серверах, користувачі не зможуть цього зробити підключитися до цих серверів через мережу. Успішне узгодження IPsec підключення вимагає, щоб машина-ініціатор мала це право, тому, якщо використовується IPsec, це Рекомендується призначити його групі автентифікованих користувачів. Якщо у вас є встановлені додаткові компоненти, такі як ASP.NET або Internet Information Services (IIS), вам може знадобитися призначити цьому користувачеві право на додаткові облікові записи, які потрібні тим компоненти. Важливо переконатися, що авторизованим користувачам призначено це право користувача для комп’ютерів, необхідних для доступу до мережі.

Значення за замовчуванням: Адміністратори, оператори резервного копіювання, усі, користувачі.

2.2.4 Переконайтеся, що для параметра «Діяти як частина операційної системи» встановлено значення «Ніхто» (Автоматизовано)

Оригінал: Ensure ‘Act as part of the operating system’ is set to ‘No One’ (Automated)

Цей параметр політики дозволяє процесу присвоювати ідентичність будь-якого користувача й, таким чином, вигравати доступ до ресурсів, до яких користувач має право доступу. Рекомендований стан для цього параметра: нікого. Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.

Закон як частина права користувача операційної системи є надзвичайно потужним. Будь-хто з це право користувача може отримати повний контроль над комп’ютером і стерти докази свого діяльності.

Вплив має бути невеликим або взагалі відсутнім, оскільки дія є частиною операційної системи права користувача рідко потрібні будь-яким обліковим записам, крім облікового запису локальної системи, яка імпліцитно має це право.

Значення за замовчуванням: ніхто

2.2.5 Переконайтеся, що для параметра «Додати робочі станції до домену» встановлено значення «Адміністратори» (лише DC) (Автоматизовано)

Оригінал: Ensure ‘Add workstations to domain’ is set to ‘Administrators’ (DC only) (Automated)

Цей параметр політики визначає, які користувачі можуть додавати комп’ютерні робочі станції до домену. Щоб цей параметр політики набув чинності, його потрібно призначити користувачеві як частину Стандартна політика контролера домену для домену. Користувач, якому було призначено це праворуч можна додати до домену до 10 робочих станцій. Користувачі, яким було призначено Дозвіл на створення комп’ютерних об’єктів для організаційного підрозділу або контейнера «Комп’ютери» в Active Каталог може додавати до домену необмежену кількість комп’ютерів, незалежно від чи було їм призначено право Додати робочі станції до користувача домену. У мережах на базі Windows термін принципал безпеки визначається як користувач, група або комп’ютер, якому автоматично призначається ідентифікатор безпеки для контролю доступу ресурси. У домені Active Directory обліковий запис кожного комп’ютера є повною безпекою принципал із можливістю автентифікації та доступу до ресурсів домену. Однак деякі організації можуть захотіти обмежити кількість комп’ютерів у Active Directory середовища, щоб вони могли послідовно відстежувати, створювати та керувати комп’ютерами. Якщо користувачам дозволено додавати комп’ютери до домену, відстежувати та керувати зусиллями було б утруднено. Крім того, користувачі можуть виконувати дії, які важче відстежити через їх здатність створювати додаткові неавторизовані комп’ютери домену. Рекомендований стан для цього параметра: адміністратори. Примітка. Певні параметри політики необхідно налаштувати в контролері домену за замовчуванням Політика для забезпечення їх глобального застосування до контролерів домену. Будьте обережні, коли змінювати ці політики, оскільки неправильні зміни можуть негативно вплинути на навколишнє середовище. Лише політики, налаштовані корпорацією Майкрософт за замовчуванням, мають міститися в цьому базовому плані GPO. Будь-які додаткові або користувацькі параметри політики слід реалізовувати через розділити GPO, а не змінювати політики за замовчуванням.

Право «Додати робочі станції до користувача домену» є помірною вразливістю. Користувачі з цим правом можна додати комп’ютер до домену, налаштований таким чином порушує політику безпеки організації. Наприклад, якщо ваша організація не хоче щоб його користувачі мали адміністративні привілеї на своїх комп’ютерах, користувач міг (пере)інсталювати Windows на своєму комп’ютері, а потім додайте комп’ютер до домену. Користувач знатиме пароль для локального облікового запису адміністратора та зможе ввійти з ним а потім додайте свій обліковий запис домену до локальної групи адміністраторів.

Для організацій, які ніколи не дозволяли користувачам налаштовувати власні комп’ютери та додавати їх до домену, цей контрзахід не матиме жодного впливу. Для тих, хто має дозволяє деяким або всім користувачам налаштовувати власні комп’ютери, цей контрзахід буде змусити організацію встановити офіційний процес для цих процедур у майбутньому. Це не вплине на існуючі комп’ютери домену, якщо їх не буде видалено та повторно додано до домену.

Значення за замовчуванням: Автентифіковані користувачі. (Усі користувачі домену мають можливість додавати до домену Active Directory до 10 облікових записів комп’ютерів. Ці нові облікові записи комп’ютерів створюються в контейнері «Комп’ютери».)

2.2.6 Переконайтеся, що для параметра «Налаштувати квоти пам’яті для процесу» встановлено значення «Адміністратори, ЛОКАЛЬНА СЛУЖБА, МЕРЕЖНА СЛУЖБА» (Автоматизовано)

Оригінал: Ensure ‘Adjust memory quotas for a process’ is set to ‘Administrators, LOCAL SERVICE, NETWORK SERVICE’ (Automated)

Цей параметр політики дозволяє користувачеві регулювати максимальний обсяг пам’яті доступні для процесу. Можливість регулювати квоти пам’яті корисна для налаштування системи, але цим можна зловживати. У чужих руках це може бути використано для запуску системи відмови в обслуговуванні (DoS) атака. Рекомендований стан для цього параметра: адміністратори, ЛОКАЛЬНА СЛУЖБА, СЕРВІС МЕРЕЖІ. Примітка. Певні параметри політики необхідно налаштувати в контролері домену за замовчуванням Політика для забезпечення їх глобального застосування до контролерів домену. Будьте обережні, коли змінювати ці політики, оскільки неправильні зміни можуть негативно вплинути на навколишнє середовище. Лише політики, налаштовані корпорацією Майкрософт за замовчуванням, мають міститися в цьому базовому плані GPO. Будь-які додаткові або користувацькі параметри політики слід реалізовувати через розділити GPO, а не змінювати політики за замовчуванням. Примітка №2. Сервер-учасник, який виконує роль веб-сервера (IIS) із роллю веб-сервера Сервіс вимагатиме спеціального винятку з цієї рекомендації, щоб дозволити застосування IIS пулів, яким буде надано це право користувача. Примітка №3. Сервер-учасник із встановленим Microsoft SQL Server потребує спеціального виняток із цієї рекомендації для надання додаткових записів, згенерованих SQL це право користувача.

Користувач із правом Налаштувати квоти пам’яті для процесу може зменшити обсяг пам’яті, доступний для будь-якого процесу, що може стати критичним для бізнесу мережеві програми стають повільними або виходять з ладу. У чужих руках цей привілей міг використовувати для початку DoS-атаки.

Організації, які не обмежили користувачів ролями з обмеженими привілеями, знайдуть його важко застосувати цей контрзахід. Крім того, якщо ви встановили додаткові компоненти наприклад ASP.NET або IIS, вам може знадобитися призначити Налаштувати квоти пам’яті для a обробляти права користувача на додаткові облікові записи, які потрібні цим компонентам. В іншому випадку цей контрзахід не матиме впливу на більшість комп’ютерів. Якщо цей користувач право необхідне для облікового запису користувача, його можна призначити обліковому запису локального комп’ютера замість облікового запису домену.

Значення за замовчуванням: Адміністратори, ЛОКАЛЬНА СЛУЖБА, СЛУЖБА МЕРЕЖІ.

2.2.7 Переконайтеся, що для параметра «Дозволити локальний вхід» встановлено значення «Адміністратори, КОНТРОЛЕРИ ДОМЕНУ ПІДПРИЄМСТВА» (лише DC) (Автоматизовано)

Оригінал: Ensure ‘Allow log on locally’ is set to ‘Administrators, ENTERPRISE DOMAIN CONTROLLERS’ (DC only) (Automated)

Цей параметр політики визначає, які користувачі можуть інтерактивно входити до комп’ютерів у вашому середовище. Вхід, який ініціюється натисканням клавіш CTRL+ALT+DEL на клавіатурі клієнтського комп’ютера вимагають це право користувача. Користувачі, які намагаються увійти через служби терміналів/служби віддаленого робочого стола або IIS також вимагають це право користувача. Рекомендований стан цього параметра на контролерах домену: адміністратори, КОНТРОЛЕРИ КОРПОРАТИВНОГО ДОМЕНУ. Примітка. Певні параметри політики необхідно налаштувати в контролері домену за замовчуванням Політика для забезпечення їх глобального застосування до контролерів домену. Будьте обережні, коли змінювати ці політики, оскільки неправильні зміни можуть негативно вплинути на навколишнє середовище. Лише політики, налаштовані корпорацією Майкрософт за замовчуванням, мають міститися в цьому базовому плані GPO. Будь-які додаткові або користувацькі параметри політики слід реалізовувати через розділити GPO, а не змінювати політики за замовчуванням. Примітка №2: це право користувача зазвичай має бути обмежено групою адміністраторів. Призначте цьому користувачу право до групи «Оператори резервного копіювання», якщо цього вимагає ваша організація вони мають цю можливість. Примітка №3: коли сервер підвищується до КОРПОРАТИВНОГО ДОМЕНУ контролера домену КОНТРОЛЕРАМ надано це право користувача за умовчанням.

Будь-який обліковий запис із правом користувача «Дозволити локальний вхід» може увійти в систему з консолі комп’ютер. Якщо ви не обмежите це право користувача законними користувачами, які повинні мати можливість увійти в консоль комп’ютера, неавторизовані користувачі можуть завантажити та запустити шкідливе програмне забезпечення для підвищення їхніх привілеїв.

Якщо видалити ці групи за замовчуванням, ви можете обмежити можливості користувачів, які є призначені певним адміністративним ролям у вашому середовищі. Ви повинні це підтвердити на делеговані дії не вплинуть негативно будь-які зміни, які ви внесете в Дозволити локальний вхід користувача з правами.

Значення за замовчуванням: Оператори облікових записів, адміністратори, оператори резервного копіювання, КОНТРОЛЕРИ ДОМЕНУ ПІДПРИЄМСТВА, оператори друку, оператори серверів.

2.2.8 Переконайтеся, що для параметра «Дозволити локальний вхід» встановлено значення «Адміністратори» (лише MS) (Автоматизовано)

Оригінал: Ensure ‘Allow log on locally’ is set to ‘Administrators’ (MS only) (Automated)

Цей параметр політики визначає, які користувачі можуть інтерактивно входити до комп’ютерів у вашому середовище. Вхід, який ініціюється натисканням клавіш CTRL+ALT+DEL на клавіатурі клієнтського комп’ютера вимагають це право користувача. Користувачі, які намагаються увійти через служби терміналів/служби віддаленого робочого стола або IIS також вимагають це право користувача. Рекомендований стан для цього параметра на рядових серверах: адміністратори. Примітка. Зазвичай це право користувача має бути обмежено групою адміністраторів. Призначте цьому користувачу право до групи «Оператори резервного копіювання», якщо цього вимагає ваша організація вони мають цю можливість.

Будь-який обліковий запис із правом користувача «Дозволити локальний вхід» може увійти в систему з консолі комп’ютер. Якщо ви не обмежите це право користувача законними користувачами, які повинні мати можливість увійти в консоль комп’ютера, неавторизовані користувачі можуть завантажити та запустити шкідливе програмне забезпечення для підвищення їхніх привілеїв.

Якщо видалити ці групи за замовчуванням, ви можете обмежити можливості користувачів, які є призначені певним адміністративним ролям у вашому середовищі. Ви повинні це підтвердити на делеговані дії не вплинуть негативно будь-які зміни, які ви внесете в Дозволити локальний вхід користувача з правами.

Значення за замовчуванням: Адміністратори, оператори резервного копіювання, користувачі.

2.2.9 Переконайтеся, що для параметра «Дозволити вхід через служби віддаленого робочого стола» встановлено значення «Адміністратори» (лише DC) (Автоматизовано)

Оригінал: Ensure ‘Allow log on through Remote Desktop Services’ is set to ‘Administrators’ (DC only) (Automated)

Цей параметр політики визначає, які користувачі або групи мають право входити як a Клієнт служб віддаленого робочого стола. Якщо ваша організація використовує віддалену допомогу як частину свою стратегію служби підтримки, створіть групу та призначте їй цього користувача прямо через групову політику. Якщо служба підтримки у вашій організації не використовує віддалену допомогу, призначте цього користувача лише для групи адміністраторів або скористайтеся функцією груп з обмеженим доступом що облікові записи користувачів не входять до групи користувачів віддаленого робочого стола. Обмежте права цього користувача групою адміністраторів і, можливо, Remote Група користувачів робочого столу, щоб запобігти небажаним користувачам отримати доступ до комп’ютерів на вашої мережі за допомогою функції віддаленої допомоги. Рекомендований стан для цього параметра на контролерах домену: адміністратори. Примітка. Наведені вище списки слід розглядати як білі списки, що означає, що наведені вище директорам не обов’язково бути присутніми для оцінки цієї рекомендації. Примітка №2. У всіх версіях Windows Server до Server 2008 R2 віддалений робочий стіл Служби були відомі як служби терміналів, тому вам слід замінити старіший термін if порівнюючи зі старішою ОС.

Будь-який обліковий запис із правом користувача «Дозволити вхід через служби віддаленого робочого стола» може увійдіть до віддаленої консолі комп’ютера. Якщо ви не обмежите права цього користувача на законні користувачі, яким необхідно увійти в консоль комп’ютера, неавторизовані користувачі могли завантажувати та запускати зловмисне програмне забезпечення для підвищення своїх привілеїв.

Видалення параметра «Дозволити вхід через службу віддаленого робочого стола» прямо з іншого групи або зміни членства в цих групах за замовчуванням можуть обмежити можливості користувачів які виконують певні адміністративні функції у вашому середовищі. Ви повинні це підтвердити делегована діяльність не зазнає негативного впливу.

Значення за замовчуванням: Адміністратори.

2.2.10 Переконайтеся, що для параметра «Дозволити вхід через служби віддаленого робочого стола» встановлено значення «Адміністратори, користувачі віддаленого робочого стола» (лише MS) (Автоматизовано)

Оригінал: Ensure ‘Allow log on through Remote Desktop Services’ is set to ‘Administrators, Remote Desktop Users’ (MS only) (Automated)

Цей параметр політики визначає, які користувачі або групи мають право входити як a Клієнт служб віддаленого робочого стола. Якщо ваша організація використовує віддалену допомогу як частину свою стратегію служби підтримки, створіть групу та призначте їй цього користувача прямо через групову політику. Якщо служба підтримки у вашій організації не використовує віддалену допомогу, призначте цього користувача лише для групи адміністраторів або скористайтеся функцією груп з обмеженим доступом що облікові записи користувачів не входять до групи користувачів віддаленого робочого стола. Обмежте права цього користувача групою адміністраторів і, можливо, Remote Група користувачів робочого столу, щоб запобігти небажаним користувачам отримати доступ до комп’ютерів на вашої мережі за допомогою функції віддаленої допомоги. Рекомендований стан для цього параметра на рядових серверах: адміністратори, Користувачі віддаленого робочого столу. Примітка. Наведені вище списки слід розглядати як білі списки, що означає, що наведені вище директорам не обов’язково бути присутніми для оцінки цієї рекомендації. Примітка №2. У всіх версіях Windows Server до Server 2008 R2 віддалений робочий стіл Служби були відомі як служби терміналів, тому вам слід замінити старіший термін if порівнюючи зі старішою ОС. Примітка №3: сервер-учасник, який виконує роль служб віддаленого робочого стола з Remote Рольова служба Desktop Connection Broker потребує спеціального винятку рекомендація, щоб дозволити групі автентифікованих користувачів надати цього користувача правильно.

Будь-який обліковий запис із правом користувача «Дозволити вхід через служби віддаленого робочого стола» може увійдіть до віддаленої консолі комп’ютера. Якщо ви не обмежите права цього користувача на законні користувачі, яким необхідно увійти в консоль комп’ютера, неавторизовані користувачі могли завантажувати та запускати зловмисне програмне забезпечення для підвищення своїх привілеїв.

Видалення параметра «Дозволити вхід через службу віддаленого робочого стола» прямо з іншого групи або зміни членства в цих групах за замовчуванням можуть обмежити можливості користувачів які виконують певні адміністративні функції у вашому середовищі. Ви повинні це підтвердити делегована діяльність не зазнає негативного впливу.

Значення за замовчуванням: Адміністратори, користувачі віддаленого робочого столу.

2.2.11 Переконайтеся, що для параметра «Резервне копіювання файлів і каталогів» встановлено значення «Адміністратори» (Автоматизовано)

Оригінал: Ensure ‘Back up files and directories’ is set to ‘Administrators’ (Automated)

Цей параметр політики дозволяє користувачам обходити дозволи на файли та каталоги для резервного копіювання система. Це право користувача ввімкнено лише тоді, коли програма (наприклад, NTBACKUP) намагається отримати доступ до файлу або каталогу через програму резервного копіювання файлової системи NTFS інтерфейс програмування (API). В іншому випадку призначені дозволи на файл і каталог застосувати. Рекомендований стан для цього параметра: адміністратори. Примітка. Певні параметри політики необхідно налаштувати в контролері домену за замовчуванням Політика для забезпечення їх глобального застосування до контролерів домену. Будьте обережні, коли змінювати ці політики, оскільки неправильні зміни можуть негативно вплинути на навколишнє середовище. Лише політики, налаштовані корпорацією Майкрософт за замовчуванням, мають міститися в цьому базовому плані GPO. Будь-які додаткові або користувацькі параметри політики слід реалізовувати через розділити GPO, а не змінювати політики за замовчуванням. Примітка №2: це право користувача вважається “конфіденційним привілеєм” для цілей аудит.

Користувачі, які можуть створювати резервні копії даних із комп’ютера, можуть віднести носій резервних копій до a комп’ютер поза доменом, на якому вони мають права адміністратора та відновлюють даних. Вони можуть отримати право власності на файли та переглядати будь-які незашифровані дані, які є міститься в наборі резервних копій.

Зміни в членстві груп, які мають резервні копії файлів і каталогів права користувача можуть обмежувати можливості користувачів, яким призначено певні адміністратори ролі у вашому оточенні. Ви повинні підтвердити, що авторизовані адміністратори резервного копіювання все ще можуть виконувати операції резервного копіювання.

Значення за замовчуванням: На рядових серверах: адміністратори, оператори резервного копіювання. На контролерах домену: адміністратори, оператори резервного копіювання, оператори сервера.

2.2.12 Переконайтеся, що для пункту «Змінити системний час» встановлено значення «Адміністратори, ЛОКАЛЬНА СЛУЖБА» (Автоматизовано)

Оригінал: Ensure ‘Change the system time’ is set to ‘Administrators, LOCAL SERVICE’ (Automated)

Цей параметр політики визначає, які користувачі та групи можуть змінювати час і дату внутрішній годинник комп’ютерів у вашому оточенні. Користувачі, яким це призначено права користувача можуть впливати на вигляд журналів подій. Коли на комп’ютері встановлено час змінені, зареєстровані події відображають новий час, а не фактичний час подій сталося. Рекомендований стан для цього параметра: адміністратори, ЛОКАЛЬНА СЛУЖБА. Примітка. Певні параметри політики необхідно налаштувати в контролері домену за замовчуванням Політика для забезпечення їх глобального застосування до контролерів домену. Будьте обережні, коли змінювати ці політики, оскільки неправильні зміни можуть негативно вплинути на навколишнє середовище. Лише політики, налаштовані корпорацією Майкрософт за замовчуванням, мають міститися в цьому базовому плані GPO. Будь-які додаткові або користувацькі параметри політики слід реалізовувати через розділити GPO, а не змінювати політики за замовчуванням. Примітка №2: розбіжності між часом на локальному комп’ютері та в домені Контролери у вашому середовищі можуть спричинити проблеми з автентифікацією Kerberos протоколу, який може унеможливити вхід користувачів у домен або отримання авторизація доступу до ресурсів домену після входу в систему. Також будуть проблеми виникає, коли групова політика застосовується до клієнтських комп’ютерів, якщо системний час не застосовується синхронізовано з контролерами домену.

Користувачі, які можуть змінювати час на комп’ютері, можуть спричинити кілька проблем. для наприклад, мітки часу на записах журналу подій можуть бути неточними, мітки часу ввімкнено файли та папки, які створюються або змінюються, можуть бути неправильними, а комп’ютери, які належать до домену, можливо, не зможуть автентифікувати себе або користувачів, які намагаються увійти на домен від них. Крім того, через протокол автентифікації Kerberos вимагає, щоб запитувач і автентифікатор синхронізували свої годинники в межах визначений адміністратором період перекосу, загроза, яка змінює час комп’ютера, може призвести до того, що комп’ютер не зможе отримати або надати квитки Kerberos. Ризик від цих типів подій зменшено на більшості контролерів домену, учасників Сервери та комп’ютери кінцевих користувачів, оскільки служба часу Windows автоматично синхронізує час із контролерами домену такими способами: • Усі клієнтські настільні комп’ютери та рядові сервери використовують домен автентифікації Контролер як їхній вхідний часовий партнер. • Усі контролери домену в домені призначають основний контролер домену (PDC) Головний операційний емулятор як їхній вхідний часовий партнер. • Усі майстри операцій емулятора PDC дотримуються ієрархії доменів у вибір свого партнера по вхідному часу. • Майстер операцій емулятора PDC у корені домену є авторитетним для організації. Тому рекомендується налаштувати цей комп’ютер для синхронізації з надійним зовнішнім сервером часу. Ця вразливість стає набагато серйознішою, якщо суб’єкт загрози може змінити системного часу, а потім зупиніть службу часу Windows або повторно налаштуйте її для синхронізації з неточним сервером часу.

Не повинно бути ніякого впливу, оскільки синхронізація часу для більшості організацій має бути бути повністю автоматизованим для всіх комп’ютерів, які належать до домену. Комп’ютери, які цього не роблять належать до домену, має бути налаштовано для синхронізації із зовнішнім джерелом.

Значення за замовчуванням: На рядових серверах: адміністратори, ЛОКАЛЬНА СЛУЖБА. На контролерах домену: адміністратори, ЛОКАЛЬНА СЛУЖБА, оператори сервера.

2.2.13 Переконайтеся, що для параметра «Створити файл сторінки» встановлено значення «Адміністратори» (Автоматизовано)

Оригінал: Ensure ‘Create a pagefile’ is set to ‘Administrators’ (Automated)

Цей параметр політики дозволяє користувачам змінювати розмір файлу сторінки. Файл сторінки є a прихований системний файл на жорсткому диску, який є розширенням оперативної пам’яті системи. Коли фізична пам’ять заповнена, система переміщує на сторінку дані, які рідше використовуються файл, щоб звільнити оперативну пам’ять для активних процесів Рекомендований стан для цього параметра: адміністратори. Примітка. Певні параметри політики необхідно налаштувати в контролері домену за замовчуванням Політика для забезпечення їх глобального застосування до контролерів домену. Будьте обережні, коли змінювати ці політики, оскільки неправильні зміни можуть негативно вплинути на навколишнє середовище. Лише політики, налаштовані корпорацією Майкрософт за замовчуванням, мають міститися в цьому базовому плані GPO. Будь-які додаткові або користувацькі параметри політики слід реалізовувати через розділити GPO, а не змінювати політики за замовчуванням.

Користувачі, які можуть змінювати розмір файлу сторінки, можуть зробити його дуже маленьким або перемістити файл до сильно фрагментованого обсягу пам’яті, що може призвести до зменшення комп’ютера продуктивність.

Немає – це типова поведінка.

Значення за замовчуванням: Адміністратори.

2.2.14 Переконайтеся, що для параметра «Створити об’єкт маркера» встановлено значення «Ніхто» (Автоматизовано)

Оригінал: Ensure ‘Create a token object’ is set to ‘No One’ (Automated)

Цей параметр політики дозволяє процесу створити маркер доступу, який може надавати розширені права доступу до конфіденційних даних. Рекомендований стан для цього параметра: нікого. Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.

Обліковий запис користувача, якому надано це право користувача, має повний контроль над системою та може призвести до зламу системи. Настійно не рекомендується цього робити призначати це право будь-яким обліковим записам користувачів. Операційна система перевіряє маркер доступу користувача, щоб визначити рівень привілеї користувача. Маркери доступу створюються, коли користувачі входять до локального комп’ютера або підключитися до віддаленого комп’ютера через мережу. Коли ви відкликаєте привілей, зміна негайно записується, але зміна не відображається в маркері доступу користувача до під час наступного входу або підключення користувача. Користувачі з можливістю створювати або змінювати токени можуть змінювати рівень доступу для будь-якого облікового запису, у який ви ввійшли. Вони могли підвищити власні привілеї або створити умову DoS.

Немає – це типова поведінка.

Значення за замовчуванням: ніхто

2.2.15 Переконайтеся, що для параметра «Створити глобальні об’єкти» встановлено значення «Адміністратори, ЛОКАЛЬНА СЛУЖБА, МЕРЕЖНА СЛУЖБА, СЛУЖБА» (Автоматизовано)

Оригінал: Ensure ‘Create global objects’ is set to ‘Administrators, LOCAL SERVICE, NETWORK SERVICE, SERVICE’ (Automated)

Цей параметр політики визначає, чи можуть користувачі створювати доступні глобальні об’єкти на всі сесії. Користувачі все одно можуть створювати об’єкти, які стосуються їх власного сеансу, якщо вони не мають права цього користувача. Користувачі, які можуть створювати глобальні об’єкти, можуть впливати на процеси, які виконуються під керуванням інших користувачів сесії. Ця можливість може призвести до різноманітних проблем, наприклад до збою програми або пошкодження даних. Рекомендований стан для цього параметра: адміністратори, ЛОКАЛЬНА СЛУЖБА, СЕРВІС МЕРЕЖІ, СЕРВІС. Примітка. Рядовий сервер із Microsoft SQL Server і його додатковою «Інтеграцією Для встановлення компонента «Служби» потрібне спеціальне виключення з цієї рекомендації для додаткових записів, згенерованих SQL, щоб отримати це право користувача.

Користувачі, які можуть створювати глобальні об’єкти, можуть впливати на служби та процеси Windows запускати під обліковими записами інших користувачів або системи. Ця здатність може призвести до різноманітних проблеми, такі як збій програми, пошкодження даних і підвищення привілеїв.

Немає – це типова поведінка.

Значення за замовчуванням: Адміністратори, МІСЦЕВА СЛУЖБА, СЛУЖБА МЕРЕЖІ, СЕРВІС.

2.2.16 Переконайтеся, що для параметра «Створювати постійні спільні об’єкти» встановлено значення «Ніхто» (Автоматизовано)

Оригінал: Ensure ‘Create permanent shared objects’ is set to ‘No One’ (Automated)

Це право користувача корисне для компонентів режиму ядра, які розширюють простір імен об’єктів. Однак компоненти, які працюють у режимі ядра, мають це право користувача. тому зазвичай немає необхідності спеціально призначати це право користувача. Рекомендований стан для цього параметра: нікого.

Користувачі, які мають право на створення постійних спільних об’єктів, можуть створювати нові спільні об’єкти та надавати конфіденційні дані мережі.

Немає – це типова поведінка.

Значення за замовчуванням: ніхто

2.2.17 Переконайтеся, що для параметра «Створити символічні посилання» встановлено значення «Адміністратори» (лише DC) (Автоматизовано)

Оригінал: Ensure ‘Create symbolic links’ is set to ‘Administrators’ (DC only) (Automated)

Цей параметр політики визначає, які користувачі можуть створювати символічні посилання. У Windows Vista, наявні об’єкти файлової системи NTFS, такі як файли та папки, доступні за допомогою посилаючись на новий вид об’єкта файлової системи, який називається символічним посиланням. Символічне посилання — це a покажчик (подібно до ярлика або файлу .lnk) на інший об’єкт файлової системи, який може бути a файл, папку, ярлик або інше символічне посилання. Різниця між ярликом і a символічне посилання полягає в тому, що ярлик працює лише всередині оболонки Windows. До іншого програми та додатки, ярлики – це просто ще один файл, тоді як із символічними посиланнями, концепція ярлика реалізована як функція файлової системи NTFS. Символічні посилання потенційно можуть виявити вразливість безпеки в програмах, які такими не є призначені для їх використання. З цієї причини привілей для створення символічних посилань має бути призначатися лише довіреним користувачам. За замовчуванням створювати можуть лише адміністратори символічні посилання. Рекомендований стан для цього параметра на контролерах домену: адміністратори.

Користувачі, які мають право на створення символічних посилань, можуть випадково чи зловмисно піддавати вашу систему атакам символьних посилань. Атаки за допомогою символічних посилань можна використовувати для змінити дозволи на файл, пошкодити дані, знищити дані або як відмову- службова атака.

У більшості випадків це не вплине, оскільки це конфігурація за замовчуванням. Однак на серверах Windows із встановленою роллю сервера Hyper-V це право користувача слід також надати спеціальній групі Віртуальні машини – інакше ви не будете вміти створювати нові віртуальні машини.

Значення за замовчуванням: Адміністратори.

2.2.18 Переконайтеся, що для параметра «Створити символічні посилання» встановлено значення «Адміністратори, ВІРТУАЛЬНА МАШИНА NT\Віртуальні машини» (лише MS) (Автоматизовано)

Оригінал: Ensure ‘Create symbolic links’ is set to ‘Administrators, NT VIRTUAL MACHINE\Virtual Machines’ (MS only) (Automated)

Цей параметр політики визначає, які користувачі можуть створювати символічні посилання. У Windows Vista, наявні об’єкти файлової системи NTFS, такі як файли та папки, доступні за допомогою посилаючись на новий вид об’єкта файлової системи, який називається символічним посиланням. Символічне посилання — це a покажчик (подібно до ярлика або файлу .lnk) на інший об’єкт файлової системи, який може бути a файл, папку, ярлик або інше символічне посилання. Різниця між ярликом і a символічне посилання полягає в тому, що ярлик працює лише всередині оболонки Windows. До іншого програми та додатки, ярлики – це просто ще один файл, тоді як із символічними посиланнями, концепція ярлика реалізована як функція файлової системи NTFS. Символічні посилання потенційно можуть виявити вразливість безпеки в програмах, які такими не є призначені для їх використання. З цієї причини привілей для створення символічних посилань має бути призначатися лише довіреним користувачам. За замовчуванням створювати можуть лише адміністратори символічні посилання. Рекомендований стан для цього параметра на рядових серверах: Адміністратори та (якщо встановлено роль Hyper-V) NT VIRTUAL MACHINE\Virtual Machines.

Користувачі, які мають право на створення символічних посилань, можуть випадково чи зловмисно піддавати вашу систему атакам символьних посилань. Атаки за допомогою символічних посилань можна використовувати для змінити дозволи на файл, пошкодити дані, знищити дані або як відмову- службова атака.

У більшості випадків це не вплине, оскільки це конфігурація за замовчуванням. Однак на серверах Windows із встановленою роллю сервера Hyper-V це право користувача слід також надати спеціальній групі Віртуальні машини – інакше ви не будете вміти створювати нові віртуальні машини.

Значення за замовчуванням: Адміністратори.

2.2.19 Переконайтеся, що для параметра «Налагодження програм» встановлено значення «Адміністратори» (Автоматизовано)

Оригінал: Ensure ‘Debug programs’ is set to ‘Administrators’ (Automated)

Цей параметр політики визначає, які облікові записи користувачів матимуть право приєднувати a налагоджувача до будь-якого процесу або до ядра, що забезпечує повний доступ до конфіденційних і критичні компоненти операційної системи. Розробники, які самостійно налагоджують програмам не потрібно призначати це право користувача; однак розробники, які є для налагодження нових компонентів системи це знадобиться. Рекомендований стан для цього параметра: адміністратори. Примітка. Певні параметри політики необхідно налаштувати в контролері домену за замовчуванням Політика для забезпечення їх глобального застосування до контролерів домену. Будьте обережні, коли змінювати ці політики, оскільки неправильні зміни можуть негативно вплинути на навколишнє середовище. Лише політики, налаштовані корпорацією Майкрософт за замовчуванням, мають міститися в цьому базовому плані GPO. Будь-які додаткові або користувацькі параметри політики слід реалізовувати через розділити GPO, а не змінювати політики за замовчуванням. Примітка №2: це право користувача вважається “конфіденційним привілеєм” для цілей аудит.

Право користувача Debug programs можна використати для захоплення чутливого комп’ютера інформації з системної пам’яті або для доступу та зміни ядра чи програми структур. Деякі інструменти атаки використовують це право користувача для отримання хешованих паролів і іншу приватну інформацію безпеки або вставити код руткіта. За замовчуванням налагодження права користувача програм призначаються лише адміністраторам, що допомагає знизити ризик від цієї вразливості.

Якщо ви відкликаєте це право користувача, ніхто не зможе налагоджувати програми. Однак типовий обставини рідко вимагають цієї можливості на робочих комп’ютерах. Якщо виникне проблема який вимагає налагодження програми на робочому сервері, ви можете перемістити тимчасово зв’яжіть сервер із іншим OU та призначте право користувача програм налагодження a окрему групову політику для цього OU. Обліковий запис служби, який використовується для служби кластера, потребує програм налагодження право користувача; якщо його немає, Windows Clustering не вийде. Інструменти, які використовуються для керування процесами, не зможуть впливати на процеси, які не використовуються належить особі, яка керує інструментами. Наприклад, Windows Server 2003 Інструмент Resource Kit Kill.exe потребує цього права користувача, щоб адміністратори припинили роботу процеси, які вони не запускали.

Значення за замовчуванням: Адміністратори.

2.2.20 Переконайтеся, що «Заборонити доступ до цього комп’ютера з мережі», щоб включити «Гості» (лише DC) (Автоматизовано)

Оригінал: Ensure ‘Deny access to this computer from the network’ to include ‘Guests’ (DC only) (Automated)

Цей параметр політики забороняє користувачам підключатися до комп’ютера з іншого боку мережі, яка дозволить користувачам отримувати доступ і потенційно змінювати дані віддалено. в у середовищі з високим рівнем безпеки, віддаленим користувачам не повинно бути доступу до даних комп’ютер. Натомість обмін файлами має здійснюватися через використання мережі серверів. Це право користувача замінює доступ до цього комп’ютера від користувача мережі правильно, якщо на обліковий запис поширюються обидві політики. Рекомендований стан цього параметра на контролерах домену має включати: Гості.

Користувачі, які можуть увійти до комп’ютера через мережу, можуть пронумерувати списки облікових записів імена, назви груп і спільні ресурси. Користувачі з дозволом на спільний доступ папки та файли можуть підключатися через мережу та, можливо, переглядати або змінювати дані.

Якщо ви налаштуєте право Заборонити доступ до цього комп’ютера для користувача мережі інших груп, ви можете обмежити можливості користувачів, призначених до певних адміністративні ролі у вашому середовищі. Ви повинні переконатися, що делеговані завдання не будуть мати негативний вплив.

Значення за замовчуванням: Гість.

2.2.22 Переконайтеся, що «Заборонити вхід як пакетне завдання» включити «Гості» (Автоматизовано)

Оригінал: Ensure ‘Deny log on as a batch job’ to include ‘Guests’ (Automated)

Цей параметр політики визначає, які облікові записи не зможуть увійти на комп’ютер як пакетне завдання. Пакетне завдання — це не пакетний файл (.bat), а засіб пакетної черги. Облікові записи, які використовують планувальник завдань для планування завдань, потребують цього права користувача. Це право користувача замінює право користувача «Увійти як пакетне завдання», яке можна використовувати дозволити обліковим записам планувати завдання, які споживають надмірні системні ресурси. Такий подія може спричинити стан DoS. Неможливість призначити цьому користувачу право на рекомендовані облікові записи можуть становити загрозу безпеці. Рекомендований стан для цього параметра: гості.

Облікові записи, які мають право користувача «Увійти як пакетне завдання», можна використовувати для планування завдання, які можуть споживати надмірні ресурси комп’ютера та спричинити стан DoS.

Якщо ви призначите право заборонити вхід як користувачу пакетного завдання іншим обліковим записам, ви зможете заборонити користувачам, яким призначено певні адміністративні ролі, виконувати їх обов’язкова трудова діяльність. Ви повинні підтвердити, що це не вплине на делеговані завдання несприятливо. Наприклад, якщо ви призначите цьому користувачеві право облікового запису IWAM_(Ім’я комп’ютера), MSM Management Point не вийде. На щойно встановленому комп’ютері під керуванням Windows Server 2003 цей обліковий запис не належить до групи гостей, але на комп’ютері, який було оновлено з Windows 2000, цей обліковий запис є членом групи гостей. Тому важливо розуміти, які облікові записи належать до будь-яких груп ви призначаєте право користувача «Заборонити вхід» як пакетне завдання.

Значення за замовчуванням: ніхто

2.2.23 Переконайтеся, що «Заборонити вхід як послугу», щоб включити «Гості» (Автоматизовано)

Оригінал: Ensure ‘Deny log on as a service’ to include ‘Guests’ (Automated)

Цей параметр безпеки визначає, які облікові записи служб заборонено реєструвати процес як послуга. Це право користувача замінює право Увійти як користувач служби, якщо на обліковий запис поширюються обидві політики. Рекомендований стан для цього параметра: гості. Примітка. Цей параметр безпеки не застосовується до системи, локальної служби або мережі Сервісні облікові записи.

Облікові записи, які можуть входити як служба, можна використовувати для налаштування та запуску нового неавторизовані служби, такі як кейлоггер або інше шкідливе програмне забезпечення. Користь від зазначений контрзахід дещо зменшується тим, що лише користувачі с адміністративні привілеї можуть встановлювати та налаштовувати служби, а також суб’єкт загрози, який має вже досягнувши цього рівня доступу, можна налаштувати службу для роботи з Системою рахунок.

Якщо ви призначаєте право «Заборонити вхід як користувач служби» певним обліковим записам, службам можливо, не вдасться запустити, і це може призвести до стану DoS.

Значення за замовчуванням: ніхто

2.2.24 Переконайтеся, що «Заборонити локальний вхід» для включення «Гостей» (Автоматизовано)

Оригінал: Ensure ‘Deny log on locally’ to include ‘Guests’ (Automated)

Цей параметр безпеки визначає, яким користувачам заборонено входити в систему комп’ютер. Цей параметр політики замінює параметр політики «Дозволити локальний вхід», якщо на обліковий запис поширюються обидві політики. Рекомендований стан для цього параметра: гості. Важливо: якщо застосувати цю політику безпеки до групи «Усі», ніхто не зможе увійдіть локально.

Будь-який обліковий запис із можливістю локального входу можна використовувати для входу на консолі комп’ютер. Якщо це право користувача не обмежено законними користувачами, яким потрібно ввійти в систему на консолі комп’ютера, неавторизовані користувачі можуть завантажувати та запускати зловмисні програми програмне забезпечення, яке підвищує їхні привілеї.

Якщо ви призначите право заборонити вхід локального користувача додатковим обліковим записам, ви можете обмежити можливості користувачів, яким призначено певні ролі у вашому середовищі. однак, це право користувача має бути явно призначено обліковому запису ASPNET на комп’ютерах, які запустити IIS 6.0. Ви повинні підтвердити, що це не вплине негативно на делеговані дії.

Значення за замовчуванням: ніхто

2.2.25 Переконайтеся, що «Заборонити вхід через служби віддаленого робочого столу» включити «Гості» (лише DC) (Автоматизовано)

Оригінал: Ensure ‘Deny log on through Remote Desktop Services’ to include ‘Guests’ (DC only) (Automated)

Цей параметр політики визначає, чи можуть користувачі входити в систему як клієнти віддаленого робочого стола. Після того, як базовий учасник-сервер приєднано до середовища домену, у цьому немає потреби використовувати локальні облікові записи для доступу до сервера з мережі. Облікові записи домену можуть доступ до сервера для адміністрування та обробки кінцевим користувачем. Це право користувача замінює право користувача «Дозволити вхід через служби віддаленого робочого стола», якщо на обліковий запис поширюються обидві політики. Рекомендований стан для цього параметра: гості. Примітка. Ідентифікатор безпеки Локальний обліковий запис недоступний у Server 2008 R2 і Server 2012 (не R2), якщо не встановлено MSKB 2871997. Примітка №2. У всіх версіях Windows Server до Server 2008 R2 віддалений робочий стіл Служби були відомі як служби терміналів, тому вам слід замінити старіший термін if порівнюючи зі старішою ОС.

Можна використовувати будь-який обліковий запис із правом входу через служби віддаленого робочого стола увійдіть до віддаленої консолі комп’ютера. Якщо це право користувача не обмежено законні користувачі, яким необхідно увійти в консоль комп’ютера, неавторизовані користувачі можуть завантажувати та запускати шкідливе програмне забезпечення, яке підвищує їхні привілеї.

Якщо ви призначаєте право користувача «Заборонити вхід через служби віддаленого робочого стола» іншому груп, ви можете обмежити можливості користувачів, яким призначено певні адміністратори ролі у вашому оточенні. Облікові записи, які мають це право користувача, не зможуть підключитися комп’ютера за допомогою служб віддаленого робочого стола або віддаленої допомоги. Ви повинні підтвердити, що делеговані завдання не зазнають негативного впливу.

Значення за замовчуванням: ніхто

2.2.26 Переконайтеся, що для параметра «Заборонити вхід через служби віддаленого робочого стола» встановлено значення «Гості, локальний обліковий запис» (лише MS) (Автоматизовано)

Оригінал: Ensure ‘Deny log on through Remote Desktop Services’ is set to ‘Guests, Local account’ (MS only) (Automated)

Цей параметр політики визначає, чи можуть користувачі входити в систему як клієнти віддаленого робочого стола. Після того, як базовий учасник-сервер приєднано до середовища домену, у цьому немає потреби використовувати локальні облікові записи для доступу до сервера з мережі. Облікові записи домену можуть доступ до сервера для адміністрування та обробки кінцевим користувачем. Це право користувача замінює право користувача «Дозволити вхід через служби віддаленого робочого стола», якщо на обліковий запис поширюються обидві політики. Рекомендований стан для цього параметра: гості, локальний обліковий запис. Примітка. Ідентифікатор безпеки Локальний обліковий запис недоступний у Server 2008 R2 і Server 2012 (не R2), якщо не встановлено MSKB 2871997. Примітка №2. У всіх версіях Windows Server до Server 2008 R2 віддалений робочий стіл Служби були відомі як служби терміналів, тому вам слід замінити старіший термін if порівнюючи зі старішою ОС.

Можна використовувати будь-який обліковий запис із правом входу через служби віддаленого робочого стола увійдіть до віддаленої консолі комп’ютера. Якщо це право користувача не обмежено законні користувачі, яким необхідно увійти в консоль комп’ютера, неавторизовані користувачі можуть завантажувати та запускати шкідливе програмне забезпечення, яке підвищує їхні привілеї.

Якщо ви призначаєте право користувача «Заборонити вхід через служби віддаленого робочого стола» іншому груп, ви можете обмежити можливості користувачів, яким призначено певні адміністратори ролі у вашому оточенні. Облікові записи, які мають це право користувача, не зможуть підключитися комп’ютера за допомогою служб віддаленого робочого стола або віддаленої допомоги. Ви повинні підтвердити, що делеговані завдання не зазнають негативного впливу. Застереження: Налаштування автономної (не приєднаної до домену) системи або системи, розміщеної в Хмара (Azure), як описано вище (локальний обліковий запис), призведе до неможливості дистанційного керування адмініструвати робочу станцію.

Значення за замовчуванням: ніхто

2.2.27 Переконайтеся, що для пункту «Увімкнути довіру для делегування облікових записів комп’ютера та користувача» встановлено значення «Адміністратори» (лише DC) (Автоматизовано)

Оригінал: Ensure ‘Enable computer and user accounts to be trusted for delegation’ is set to ‘Administrators’ (DC only) (Automated)

Цей параметр політики дозволяє користувачам змінювати параметр «Довірено для делегування» на a комп’ютерний об’єкт в Active Directory. Рекомендований стан для цього параметра на контролерах домену: адміністратори. Примітка. Певні параметри політики необхідно налаштувати в контролері домену за замовчуванням Політика для забезпечення їх глобального застосування до контролерів домену. Будьте обережні, коли змінювати ці політики, оскільки неправильні зміни можуть негативно вплинути на навколишнє середовище. Лише політики, налаштовані корпорацією Майкрософт за замовчуванням, мають міститися в цьому базовому плані GPO. Будь-які додаткові або користувацькі параметри політики слід реалізовувати через розділити GPO, а не змінювати політики за замовчуванням. Примітка №2: це право користувача вважається “конфіденційним привілеєм” для цілей аудит.

Зловживання цим правом користувача може дозволити неавторизованим користувачам видавати себе за інших користувачів на мережі. Зловмисник може скористатися цим привілеєм, щоб отримати доступ до мережі ресурси та ускладнюють визначення того, що сталося після інциденту безпеки.

Немає – це типова поведінка.

Значення за замовчуванням: Адміністратори.

2.2.28 Переконайтеся, що для параметра «Увімкнути довіру для делегування облікових записів комп’ютера та користувача» встановлено значення «Ніхто» (лише MS) (Автоматизовано)

Оригінал: Ensure ‘Enable computer and user accounts to be trusted for delegation’ is set to ‘No One’ (MS only) (Automated)

Цей параметр політики дозволяє користувачам змінювати параметр «Довірено для делегування» на a комп’ютерний об’єкт в Active Directory. Рекомендований стан для цього параметра на рядових серверах: ніхто. Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.

Зловживання цим правом користувача може дозволити неавторизованим користувачам видавати себе за інших користувачів на мережі. Зловмисник може скористатися цим привілеєм, щоб отримати доступ до мережі ресурси та ускладнюють визначення того, що сталося після інциденту безпеки.

Немає – це типова поведінка.

Значення за замовчуванням: ніхто

2.2.29 Переконайтеся, що для параметра «Примусове завершення роботи з віддаленої системи» встановлено значення «Адміністратори» (Автоматизовано)

Оригінал: Ensure ‘Force shutdown from a remote system’ is set to ‘Administrators’ (Automated)

Цей параметр політики дозволяє користувачам вимикати комп’ютери під керуванням Windows Vista або новіших з віддалених місць у мережі. Усі, кому було призначено це право користувача може спричинити стан відмови в обслуговуванні (DoS), який зробить комп’ютер недоступний для обслуговування запитів користувачів. Тому рекомендується лише високо довіреним адміністраторам призначити це право користувача. Рекомендований стан для цього параметра: адміністратори. Примітка. Певні параметри політики необхідно налаштувати в контролері домену за замовчуванням Політика для забезпечення їх глобального застосування до контролерів домену. Будьте обережні, коли змінювати ці політики, оскільки неправильні зміни можуть негативно вплинути на навколишнє середовище. Лише політики, налаштовані корпорацією Майкрософт за замовчуванням, мають міститися в цьому базовому плані GPO. Будь-які додаткові або користувацькі параметри політики слід реалізовувати через розділити GPO, а не змінювати політики за замовчуванням.

Будь-який користувач, який може вимкнути комп’ютер, може викликати стан DoS. Тому це право користувача має бути жорстко обмежено.

Якщо ви знімете примусове завершення роботи від віддаленого користувача системи прямо з сервера Групою операторів ви можете обмежити можливості користувачів, яким призначено конкретні адміністративні ролі у вашому середовищі. Ви повинні підтвердити, що делеговані дії не матиме негативного впливу.

Значення за замовчуванням: На рядових серверах: адміністратори. На контролерах домену: адміністратори, оператори серверів.

2.2.33 Переконайтеся, що для параметра «Збільшити пріоритет планування» встановлено значення «Адміністратори, диспетчер вікон\група диспетчерів вікон» (Автоматизовано)

Оригінал: Ensure ‘Increase scheduling priority’ is set to ‘Administrators, Window Manager\Window Manager Group’ (Automated)

Цей параметр політики визначає, чи можуть користувачі підвищувати базовий клас пріоритету a процес. (Збільшення відносного пріоритету в межах пріоритету не є привілейованою операцією клас.) Це право користувача не вимагається інструментами адміністрування, які постачаються з операційна система, але може знадобитися інструментам розробки програмного забезпечення. Рекомендований стан для цього параметра: адміністратори, вікно Менеджер\Група менеджерів вікон.

Користувач, якому призначено це право користувача, може збільшити пріоритет планування a процес у реальному часі, що залишило б мало часу на обробку для всіх інших процесів і може призвести до стану DoS.

Немає – це типова поведінка.

Значення за замовчуванням: У Windows Server 2016 або старіших версіях: адміністратори. У Windows Server 2019 або новішої версії: адміністратори, диспетчер вікон\група диспетчерів вікон.

2.2.34 Переконайтеся, що для параметра «Завантажувати та вивантажувати драйвери пристроїв» встановлено значення «Адміністратори» (Автоматизовано)

Оригінал: Ensure ‘Load and unload device drivers’ is set to ‘Administrators’ (Automated)

Цей параметр політики дозволяє користувачам динамічно завантажувати новий драйвер пристрою в систему. Це право користувача не потрібне, якщо підписаний драйвер для нового обладнання вже існує файл Driver.cab у системі. Рекомендований стан для цього параметра: адміністратори. Примітка. Певні параметри політики необхідно налаштувати в контролері домену за замовчуванням Політика для забезпечення їх глобального застосування до контролерів домену. Будьте обережні, коли змінювати ці політики, оскільки неправильні зміни можуть негативно вплинути на навколишнє середовище. Лише політики, налаштовані корпорацією Майкрософт за замовчуванням, мають міститися в цьому базовому плані GPO. Будь-які додаткові або користувацькі параметри політики слід реалізовувати через розділити GPO, а не змінювати політики за замовчуванням. Примітка №2: це право користувача вважається “конфіденційним привілеєм” для цілей аудит.

Драйвери пристроїв запускаються як код із високими привілейованими правами. Користувач або загрозливий актор, який має навантаження і вивантажувати драйвери пристроїв, право користувача може ненавмисно встановити шкідливий код, який маскується під драйвер пристрою. Адміністратори повинні бути більш уважними та встановлювати тільки драйвери з перевіреними цифровими підписами.

Якщо право користувача Завантажувати та вивантажувати драйвери пристроїв видаляється з операторів друку групи чи інших облікових записів, це може обмежити можливості користувачів, яким призначено певні адміністративні ролі у вашому середовищі. Переконайтеся, що делегованих завдань не буде негативно впливає це налаштування.

Значення за замовчуванням: На рядових серверах: адміністратори. На контролерах домену: адміністратори, оператори друку.

2.2.35 Переконайтеся, що для параметра «Блокувати сторінки в пам’яті» встановлено значення «Ніхто» (Автоматизовано)

Оригінал: Ensure ‘Lock pages in memory’ is set to ‘No One’ (Automated)

Цей параметр політики дозволяє процесу зберігати дані у фізичній пам’яті, що запобігає система з переміщення даних у віртуальну пам’ять на диску. Якщо це право користувача призначено, може статися значне погіршення продуктивності системи. Рекомендований стан для цього параметра: нікого. Примітка. Сервер із встановленим Microsoft SQL Server потребує спеціального виняток із цієї рекомендації для надання додаткових записів, згенерованих SQL це право користувача.

Користувачі з правом користувача «Блокувати сторінки в пам’яті» можуть призначати фізичну пам’ять кілька процесів, які можуть залишити мало або зовсім не залишити оперативну пам’ять для інших процесів і призвести до стан DoS.

Немає – це типова поведінка.

Значення за замовчуванням: ніхто

2.2.37 Переконайтеся, що для параметра «Керування журналом аудиту та безпеки» встановлено значення «Адміністратори» (лише DC) (Автоматизовано)

Оригінал: Ensure ‘Manage auditing and security log’ is set to ‘Administrators’ (DC only) (Automated)

Цей параметр політики визначає, які користувачі можуть змінювати параметри аудиту для файлів і і очистіть журнал безпеки. Рекомендований стан для цього параметра на контролерах домену: адміністратори. Примітка. Певні параметри політики необхідно налаштувати в контролері домену за замовчуванням Політика для забезпечення їх глобального застосування до контролерів домену. Будьте обережні, коли змінювати ці політики, оскільки неправильні зміни можуть негативно вплинути на навколишнє середовище. Лише політики, налаштовані корпорацією Майкрософт за замовчуванням, мають міститися в цьому базовому плані GPO. Будь-які додаткові або користувацькі параметри політики слід реалізовувати через розділити GPO, а не змінювати політики за замовчуванням. Примітка №2: це право користувача вважається “конфіденційним привілеєм” для цілей аудит. Примітка №3: для середовищ, на яких працює Microsoft Exchange Server, сервери Exchange група повинна мати цей привілей на контролерах домену (DC), щоб належним чином функціонувати. З огляду на це, якщо DC надасть групу серверів Exchange, буде потрібно зробити виняток цей привілей. Якщо середовище не використовує Microsoft Exchange Server, то це привілеї повинні бути обмежені лише адміністраторами на DC.

Можливість керувати журналом подій безпеки є потужним правом користувача, і це має бути пильно охороняється. Будь-хто з цим правом користувача може очистити журнал безпеки для видалення важливі докази несанкціонованої діяльності.

Немає – це типова поведінка.

Значення за замовчуванням: Адміністратори.

2.2.38 Переконайтеся, що для параметра «Керування журналом аудиту та безпеки» встановлено значення «Адміністратори» (лише MS) (Автоматизовано)

Оригінал: Ensure ‘Manage auditing and security log’ is set to ‘Administrators’ (MS only) (Automated)

Цей параметр політики визначає, які користувачі можуть змінювати параметри аудиту для файлів і і очистіть журнал безпеки. Рекомендований стан для цього параметра на рядових серверах: адміністратори. Примітка. Це право користувача вважається «конфіденційним привілеєм» для цілей аудиту.

Можливість керувати журналом подій безпеки є потужним правом користувача, і це має бути пильно охороняється. Будь-хто з цим правом користувача може очистити журнал безпеки для видалення важливі докази несанкціонованої діяльності.

Немає – це типова поведінка.

Значення за замовчуванням: Адміністратори.

2.2.39 Переконайтеся, що для параметра «Змінити мітку об’єкта» встановлено значення «Ніхто» (Автоматизовано)

Оригінал: Ensure ‘Modify an object label’ is set to ‘No One’ (Automated)

Цей привілей визначає, які облікові записи користувачів можуть змінювати мітку цілісності об’єктів, наприклад файли, ключі реєстру або процеси, що належать іншим користувачам. Запущені процеси під обліковим записом користувача може змінити мітку об’єкта, що належить цьому користувачеві, на нижчу без цього привілею. Рекомендований стан для цього параметра: нікого.

Змінюючи мітку цілісності об’єкта, що належить іншому користувачеві, суб’єкт загрози може змусити їх виконувати код із вищим рівнем привілеїв, ніж призначено.

Немає – це типова поведінка.

Значення за замовчуванням: ніхто

2.2.40 Переконайтеся, що для параметра «Змінити значення мікропрограмного середовища» встановлено значення «Адміністратори» (Автоматизовано)

Оригінал: Ensure ‘Modify firmware environment values’ is set to ‘Administrators’ (Automated)

Цей параметр політики дозволяє користувачам налаштовувати загальносистемні змінні середовища, які впливають на конфігурацію обладнання. Ця інформація зазвичай зберігається в останніх відомих Хороша конфігурація. Зміна цих значень може призвести до збою апаратного забезпечення призведе до стану відмови в обслуговуванні. Рекомендований стан для цього параметра: адміністратори. Примітка. Певні параметри політики необхідно налаштувати в контролері домену за замовчуванням Політика для забезпечення їх глобального застосування до контролерів домену. Будьте обережні, коли змінювати ці політики, оскільки неправильні зміни можуть негативно вплинути на навколишнє середовище. Лише політики, налаштовані корпорацією Майкрософт за замовчуванням, мають міститися в цьому базовому плані GPO. Будь-які додаткові або користувацькі параметри політики слід реалізовувати через розділити GPO, а не змінювати політики за замовчуванням. Примітка №2: це право користувача вважається “конфіденційним привілеєм” для цілей аудит.

Будь-хто, кому призначено право користувача змінювати значення середовища мікропрограми, може налаштувати параметри апаратного компонента, щоб спричинити його збій, що може призвести до пошкодження даних або стан DoS.

Немає – це типова поведінка.

Значення за замовчуванням: Адміністратори.

2.2.41 Переконайтеся, що для параметра «Виконувати завдання з обслуговування томів» встановлено значення «Адміністратори» (Автоматизовано)

Оригінал: Ensure ‘Perform volume maintenance tasks’ is set to ‘Administrators’ (Automated)

Цей параметр політики дозволяє користувачам керувати системним томом або конфігурацією диска, що може дозволити користувачеві видалити том і спричинити втрату даних, а також відмову в стан обслуговування. Рекомендований стан для цього параметра: адміністратори. Примітка. Сервер із встановленим Microsoft SQL Server потребує спеціального виняток із цієї рекомендації для облікового запису, який запускає службу SQL Server отримати це право користувача.

Користувач, якому призначено право користувача Виконувати завдання з обслуговування томів, може видалити том, що може призвести до втрати даних або стану DoS.

Немає – це типова поведінка.

Значення за замовчуванням: Адміністратори.

2.2.42 Переконайтеся, що для параметра «Єдиний процес профілю» встановлено значення «Адміністратори» (Автоматизовано)

Оригінал: Ensure ‘Profile single process’ is set to ‘Administrators’ (Automated)

Цей параметр політики визначає, які користувачі можуть використовувати інструменти для моніторингу продуктивності несистемні процеси. Як правило, цей параметр не потрібно налаштовувати для використання Оснастка продуктивності консолі керування Microsoft (MMC). Однак це право користувача потрібен, якщо системний монітор налаштовано на збір даних за допомогою керування Windows Контрольно-вимірювальні прилади (WMI). Рекомендований стан для цього параметра: адміністратори. Примітка. Певні параметри політики необхідно налаштувати в контролері домену за замовчуванням Політика для забезпечення їх глобального застосування до контролерів домену. Будьте обережні, коли змінювати ці політики, оскільки неправильні зміни можуть негативно вплинути на навколишнє середовище. Лише політики, налаштовані корпорацією Майкрософт за замовчуванням, мають міститися в цьому базовому плані GPO. Будь-які додаткові або користувацькі параметри політики слід реалізовувати через розділити GPO, а не змінювати політики за замовчуванням.

Право користувача одного процесу Profile представляє помірну вразливість. Актор-загроза з цим правом користувача можна контролювати продуктивність комп’ютера, щоб допомогти визначити критичні процеси, які вони можуть атакувати безпосередньо. Зловмисник також може це зробити визначити, які процеси виконуються на комп’ютері, щоб їх можна було ідентифікувати контрзаходи, яких їм, можливо, доведеться уникати, наприклад антивірусне програмне забезпечення, вторгнення- системи виявлення або які інші користувачі ввійшли до комп’ютера.

Немає – це типова поведінка.

Значення за замовчуванням: Адміністратори.

2.2.43 Переконайтеся, що для параметра «Продуктивність системи профілю» встановлено значення «Адміністратори, NT SERVICE\WdiServiceHost» (Автоматизовано)

Оригінал: Ensure ‘Profile system performance’ is set to ‘Administrators, NT SERVICE\WdiServiceHost’ (Automated)

Цей параметр політики визначає, які користувачі можуть використовувати моніторинг продуктивності Windows інструменти для моніторингу продуктивності системних процесів. Рекомендований стан для цього параметра: адміністратори, NT SERVICE\WdiServiceHost. Примітка. Певні параметри політики необхідно налаштувати в контролері домену за замовчуванням Політика для забезпечення їх глобального застосування до контролерів домену. Будьте обережні, коли змінювати ці політики, оскільки неправильні зміни можуть негативно вплинути на навколишнє середовище. Лише політики, налаштовані корпорацією Майкрософт за замовчуванням, мають міститися в цьому базовому плані GPO. Будь-які додаткові або користувацькі параметри політики слід реалізовувати через розділити GPO, а не змінювати політики за замовчуванням.

Зловмисники з цим правом користувача можуть контролювати продуктивність комп’ютера, щоб допомогти визначити критичні процеси, які вони можуть атакувати безпосередньо. Також можуть створювати загрози вміти визначати, які процеси активні на комп’ютері, щоб вони могли визначити контрзаходи, яких їм слід уникати, наприклад, антивірусне програмне забезпечення або інше система виявлення вторгнень.

Немає – це типова поведінка.

Значення за замовчуванням: Windows Server 2008 (не R2): адміністратори. Windows Server 2008 R2 або новіша версія: адміністратори, NT SERVICE\WdiServiceHost.

2.2.44 Переконайтеся, що для параметра «Замінити маркер рівня процесу» встановлено значення «ЛОКАЛЬНА СЛУЖБА, МЕРЕЖНА СЛУЖБА» (Автоматизовано)

Оригінал: Ensure ‘Replace a process level token’ is set to ‘LOCAL SERVICE, NETWORK SERVICE’ (Automated)

Цей параметр політики дозволяє одному процесу чи службі запускати іншу службу чи процес інший маркер доступу безпеки, який можна використовувати для зміни маркера доступу безпеки цього підпроцесу та призведе до ескалації привілеїв. Рекомендований стан для цього параметра: ЛОКАЛЬНА СЛУЖБА, СЛУЖБА МЕРЕЖІ. Примітка. Певні параметри політики необхідно налаштувати в контролері домену за замовчуванням Політика для забезпечення їх глобального застосування до контролерів домену. Будьте обережні, коли змінювати ці політики, оскільки неправильні зміни можуть негативно вплинути на навколишнє середовище. Лише політики, налаштовані корпорацією Майкрософт за замовчуванням, мають міститися в цьому базовому плані GPO. Будь-які додаткові або користувацькі параметри політики слід реалізовувати через розділити GPO, а не змінювати політики за замовчуванням. Примітка №2: це право користувача вважається “конфіденційним привілеєм” для цілей аудит. Примітка №3. Сервер-учасник, який виконує роль веб-сервера (IIS) із роллю веб-сервера Сервіс вимагатиме спеціального винятку з цієї рекомендації, щоб дозволити застосування IIS пулів, яким буде надано це право користувача. Примітка №4. Сервер-учасник із встановленим Microsoft SQL Server потребує спеціального виняток із цієї рекомендації для надання додаткових записів, згенерованих SQL це право користувача.

Користувачі з привілеєм «Замінити маркер рівня процесу» можуть запускати процеси як інших користувачів, чиї облікові дані вони знають. Вони могли використовувати цей метод, щоб приховати своє несанкціоновані дії на комп’ютері. (На комп’ютерах під керуванням Windows 2000 використання Право користувача на заміну маркера рівня процесу також вимагає, щоб користувач мав налаштування квоти пам’яті для права користувача процесу, яке обговорювалося раніше в цьому розділі.)

На більшості комп’ютерів це конфігурація за замовчуванням і негативу не буде вплив. Однак якщо ви встановили роль веб-сервера (IIS) із веб-службами Рольовий сервіс, вам потрібно буде дозволити надати цьому користувачу пул(и) програм IIS Правильне призначення.

Значення за замовчуванням: МІСЦЕВА СЛУЖБА, СЛУЖБА МЕРЕЖІ.

2.2.45 Переконайтеся, що для параметра «Відновити файли та каталоги» встановлено значення «Адміністратори» (Автоматизовано)

Оригінал: Ensure ‘Restore files and directories’ is set to ‘Administrators’ (Automated)

Цей параметр політики визначає, які користувачі можуть обходити файл, каталог, реєстр тощо постійні дозволи об’єктів під час відновлення резервних копій файлів і каталогів у системах які працюють під керуванням Windows Vista (або новішої). Це право користувача також визначає, які користувачі можуть установлювати дійсні принципали безпеки як об’єкт власники; воно схоже на право користувача Резервне копіювання файлів і каталогів. Рекомендований стан для цього параметра: адміністратори. Примітка. Певні параметри політики необхідно налаштувати в контролері домену за замовчуванням Політика для забезпечення їх глобального застосування до контролерів домену. Будьте обережні, коли змінювати ці політики, оскільки неправильні зміни можуть негативно вплинути на навколишнє середовище. Лише політики, налаштовані корпорацією Майкрософт за замовчуванням, мають міститися в цьому базовому плані GPO. Будь-які додаткові або користувацькі параметри політики слід реалізовувати через розділити GPO, а не змінювати політики за замовчуванням. Примітка №2: це право користувача вважається “конфіденційним привілеєм” для цілей аудит.

Зловмисник із правом користувача «Відновити файли та каталоги» може відновити конфіденційні дані даних на комп’ютер і перезаписати новіші дані, що може призвести до втрати важливі дані, пошкодження даних або відмова в обслуговуванні (DoS). Зловмисники можуть перезаписати виконувані файли, які використовуються законними адміністраторами або системні служби з версіями, які містять зловмисне програмне забезпечення підвищені привілеї, зламати дані або встановити бекдори для постійного доступу до комп’ютер. Примітка. Навіть якщо налаштовано наведені нижче заходи протидії, загроза все одно може відновити дані на комп’ютері в домені, яким керує актор. Тому так і є важливо, щоб організації ретельно захищали носії інформації, які використовуються для резервного копіювання даних.

Видалення користувача «Відновити файли та каталоги» безпосередньо з операторів резервного копіювання групи або інші делеговані облікові записи можуть перешкоджати авторизованим користувачам працювати істотні завдання. Перш ніж вносити цю зміну, важливо оцінити, чи це буде порушувати оперативні обов’язки.

Значення за замовчуванням: На рядових серверах: адміністратори, оператори резервного копіювання. На контролерах домену: адміністратори, оператори резервного копіювання, оператори сервера.

2.2.46 Переконайтеся, що для параметра «Завершити роботу системи» встановлено значення «Адміністратори» (Автоматизовано)

Оригінал: Ensure ‘Shut down the system’ is set to ‘Administrators’ (Automated)

Цей параметр політики визначає, які користувачі локально ввійшли до комп’ютерів у вашому середовищі можна вимкнути операційну систему за допомогою команди Завершити роботу. Зловживання цим правом користувача може призвести до стану відмови в обслуговуванні. Рекомендований стан для цього параметра: адміністратори. Примітка. Певні параметри політики необхідно налаштувати в контролері домену за замовчуванням Політика для забезпечення їх глобального застосування до контролерів домену. Будьте обережні, коли змінювати ці політики, оскільки неправильні зміни можуть негативно вплинути на навколишнє середовище.

Можливість вимикати контролери домену та рядові сервери має бути обмежена до a дуже мала кількість довірених адміністраторів. Хоча Завершити роботу користувача системи права вимагає можливості входу на сервер, ви повинні бути дуже обережними щодо цього облікові записи та групи, яким ви дозволяєте вимикати контролер домену або рядовий сервер. Коли контролер домену вимикається, він більше не доступний для обробки входів, обслуговувати групову політику та відповідати на запити Lightweight Directory Access Protocol (LDAP). Якщо ви вимкнете контролери домену, які мають гнучкі єдині головні операції (FSMO) ролі, ви можете вимкнути основні функції домену, такі як обробка входів для нові паролі — одна з функцій основного контролера домену (PDC) Роль емулятора.

Вплив видалення цих груп за замовчуванням із Завершити роботу системного користувача право може обмежити делеговані можливості призначених ролей у вашому середовищі. Ви має підтвердити, що делегована діяльність не матиме негативного впливу.

Значення за замовчуванням: На рядових серверах: адміністратори, оператори резервного копіювання. На контролерах домену: адміністратори, оператори резервного копіювання, оператори друку, оператори сервера.

2.2.47 Переконайтеся, що для параметра «Синхронізувати дані служби каталогів» встановлено значення «Ніхто» (лише DC) (Автоматизовано)

Оригінал: Ensure ‘Synchronize directory service data’ is set to ‘No One’ (DC only) (Automated)

Цей параметр безпеки визначає, які користувачі та групи мають повноваження синхронізувати всі дані служби каталогів. Це також відомо як Active Directory синхронізація. Рекомендований стан для цього параметра: нікого. Примітка. Певні параметри політики необхідно налаштувати в контролері домену за замовчуванням Політика для забезпечення їх глобального застосування до контролерів домену. Будьте обережні, коли змінювати ці політики, оскільки неправильні зміни можуть негативно вплинути на навколишнє середовище.

Право користувача Синхронізувати дані служби каталогів впливає лише на контролери домену Контролери домену повинні мати можливість синхронізувати дані служби каталогів. Контролери домену мають це право користувача за своєю природою, оскільки процес синхронізації працює в контексті системного облікового запису на контролерах домену. Загроза акторам, які мати це право користувача може переглядати всю інформацію, що зберігається в каталозі. Тоді могли використовувати частину цієї інформації для сприяння додатковим атакам або викриття конфіденційних даних, наприклад прямі номери телефонів або фізичні адреси.

Немає – це типова поведінка.

Значення за замовчуванням: ніхто

2.2.48 Переконайтеся, що для параметра «Взяти право власності на файли чи інші об’єкти» встановлено значення «Адміністратори» (Автоматизовано)

Оригінал: Ensure ‘Take ownership of files or other objects’ is set to ‘Administrators’ (Automated)

Цей параметр політики дозволяє користувачам отримати право власності на файли, папки, ключі реєстру, процеси або потоки. Це право користувача обходить усі наявні дозволи захистити об’єкти, щоб надати право власності вказаному користувачеві. Рекомендований стан для цього параметра: адміністратори. Примітка. Певні параметри політики необхідно налаштувати в контролері домену за замовчуванням Політика для забезпечення їх глобального застосування до контролерів домену. Будьте обережні, коли змінювати ці політики, оскільки неправильні зміни можуть негативно вплинути на навколишнє середовище. Примітка №2: це право користувача вважається “конфіденційним привілеєм” для цілей аудит.

Будь-який користувач із правом власності на файли чи інші об’єкти може отримати контролювати будь-який об’єкт, незалежно від дозволів на цей об’єкт, а потім робити будь-які зміни, які вони бажають до цього об’єкта. Такі зміни можуть призвести до розкриття даних, пошкодження даних або стан DoS.

Немає – це типова поведінка.

Значення за замовчуванням: Адміністратори.

2.3.1.1 Переконайтеся, що для параметра «Облікові записи: стан облікового запису гостя» встановлено значення «Вимкнено» (лише MS) (Автоматизовано)

Оригінал: Ensure ‘Accounts: Guest account status’ is set to ‘Disabled’ (MS only) (Automated)

Цей параметр політики визначає, увімкнено або вимкнено обліковий запис гостя. The Гостьовий обліковий запис дозволяє неавтентифікованим користувачам мережі отримати доступ до системи. Рекомендований стан для цього параметра: вимкнено. Примітка: цей параметр не матиме жодного впливу, якщо застосувати його до контролерів домену організаційний підрозділ за допомогою групової політики, оскільки контролери домену не мають локального облікового запису бази даних. Його можна налаштувати на рівні домену за допомогою групової політики, подібно до облікового запису параметри політики блокування та пароля.

Гостьовий обліковий запис за умовчанням дозволяє неавтентифікованим користувачам мережі входити як гість без пароля. Ці неавторизовані користувачі можуть отримати доступ до будь-яких ресурсів, які є доступні для облікового запису Гість через мережу. Ця можливість означає, що будь-який мережеві спільні ресурси з дозволами, які дозволяють доступ до облікового запису Гості, Гості або група «Усі» буде доступна через мережу, що може призвести до викриття або пошкодження даних.

Усі користувачі мережі повинні пройти автентифікацію, перш ніж отримати доступ до спільних ресурсів. Якщо ви вимикаєте обліковий запис гостя та модель доступу до мережі: спільний доступ і безпеку для параметра встановлено значення «Лише гість», входи в мережу, такі як ті, що виконуються Microsoft Мережевий сервер (служба SMB) не вийде. Цей параметр політики має мало впливати на більшості організацій, оскільки це налаштування за замовчуванням у Microsoft Windows 2000, Windows XP і Windows Server™ 2003.

Значення за замовчуванням: Вимкнено.

2.3.1.2 Переконайтеся, що для параметра «Облікові записи: обмежити використання пустих паролів локального облікового запису лише для входу в консоль» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘Accounts: Limit local account use of blank passwords to console logon only’ is set to ‘Enabled’ (Automated)

Цей параметр політики визначає, чи локальні облікові записи, які не захищені паролем можна використовувати для входу з інших місць, ніж фізична комп’ютерна консоль. Якщо ви увімкнути цей параметр політики, локальні облікові записи з порожніми паролями не зможуть увійти в мережу з віддалених клієнтських комп’ютерів. Такі акаунти зможуть тільки увійдіть за допомогою клавіатури комп’ютера. Рекомендований стан для цього параметра: увімкнено.

Порожні паролі становлять серйозну загрозу безпеці комп’ютера, тому їх слід заборонити через організаційну політику та відповідні технічні заходи. По суті, за замовчуванням налаштування для доменів Active Directory вимагають складних паролів щонайменше із семи персонажів. Однак, якщо користувачі з можливістю створювати нові облікові записи обходять ваш політики паролів на основі домену, вони могли створювати облікові записи з порожніми паролями. для наприклад, користувач може створити автономний комп’ютер, створити один або кілька облікових записів порожні паролі, а потім приєднайте комп’ютер до домену. Місцеві рахунки с порожні паролі все ще функціонуватимуть. Кожен, хто знає назву одного з них незахищені облікові записи можуть використовувати його для входу.

Немає – це типова поведінка.

Значення за замовчуванням: Увімкнено.

2.3.1.3 Налаштувати «Облікові записи: перейменувати обліковий запис адміністратора» (Автоматизовано)

Оригінал: Configure ‘Accounts: Rename administrator account’ (Automated)

Цей параметр політики дає можливість перейменувати вбудований обліковий запис локального адміністратора. Цей обліковий запис є добре відомим обліковим записом, який, як відомо, є ціллю зловмисників. Рекомендовано вибрати інше ім’я для цього облікового запису та уникати таких імен позначають облікові записи з адміністративним або підвищеним доступом. Не забудьте також змінити значення за замовчуванням опис для локального адміністратора (через консоль керування комп’ютером).

Вбудований обліковий запис адміністратора існує на всіх системах, які працюють під керуванням Windows 2000 або новіші операційні системи. Якщо цей обліковий запис перейменовано, це трохи складніше для загрози актори, щоб вгадати цю привілейовану комбінацію імені користувача та пароля. Вбудований обліковий запис адміністратора не можна заблокувати незалежно від того, скільки разів зловмисник може використовувати неправильний пароль. Цю можливість робить адміністратор обліковий запис є популярною мішенню для атак грубої сили, які намагаються вгадати паролі. The цінність цього контрзаходу зменшується, оскільки цей обліковий запис має добре відомий SID, і є інструменти сторонніх виробників, які дозволяють автентифікацію за допомогою SID, а не ім’я облікового запису. Таким чином, навіть якщо обліковий запис адміністратора перейменовано, загрозливий актор може почати атаку грубою силою, використовуючи SID для входу. Примітка. З 11 жовтня 2022 року (див. MS KB5020282) було запроваджено нову політику (Дозволити обліковий запис адміністратора), що дозволяє використовувати вбудований обліковий запис адміністратора заблоковано, якщо застосовано. Цей параметр застосовується лише до ОС, які виправляються за допомогою MS KB5020282)

Користувачі, які мають право використовувати цей обліковий запис, повинні знати про новий обліковий запис назва. (Інструкції щодо цього налаштування припускають, що обліковий запис адміністратора не був вимкнено, що було рекомендовано раніше в цьому розділі.)

Значення за замовчуванням: Адміністратор.

2.3.1.4 Налаштувати «Облікові записи: перейменувати гостьовий обліковий запис» (Автоматизовано)

Оригінал: Configure ‘Accounts: Rename guest account’ (Automated)

Цей параметр політики дає можливість перейменувати вбудований локальний гостьовий обліковий запис. Це обліковий запис — це добре відомий обліковий запис, який, як відомо, є ціллю зловмисників. Рекомендується перейменувати цей обліковий запис на те, що не вказує на його навіть якщо цей обліковий запис вимкнено. Це правило стосується контролерів домену, оскільки вони не мають власних локальних облікових записів до вбудованого гостьового облікового запису, який було створено під час першого створення домену.

Обліковий запис Guest існує на всіх комп’ютерах, які працюють під керуванням Windows 2000 або новішої версії системи. Якщо цей обліковий запис перейменовано, суб’єктам загрози буде дещо складніше вгадати ця привілейована комбінація імені користувача та пароля.

Це мало б вплинути, оскільки обліковий запис гостя вимкнено за умовчанням.

Значення за замовчуванням: Гість.

2.3.2.2 Переконайтеся, що для параметра «Аудит: негайно вимкніть систему, якщо неможливо зареєструвати аудит безпеки» встановлено значення «Вимкнено» (Автоматизовано)

Оригінал: Ensure ‘Audit: Shut down system immediately if unable to log security audits’ is set to ‘Disabled’ (Automated)

Цей параметр політики визначає, чи вимикається система, якщо не вдається зареєструватися Події безпеки. Це вимога для критеріїв оцінки довіреної комп’ютерної системи (TCSEC)-C2 і сертифікація Common Criteria для запобігання подіям, які підлягають перевірці виникають, якщо система аудиту не може їх зареєструвати. Microsoft вирішила піти назустріч цьому вимога шляхом зупинки системи та відображення повідомлення про зупинку, якщо система аудиту переживає невдачу. Коли цей параметр політики ввімкнено, система буде вимкнено якщо перевірку безпеки не можна зареєструвати з будь-якої причини. Рекомендований стан для цього параметра: вимкнено.

Якщо

Немає – це типова поведінка.

Значення за замовчуванням: Вимкнено.

2.3.4.1 Переконайтеся, що для параметра «Пристрої: заборонити користувачам встановлювати драйвери принтера» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘Devices: Prevent users from installing printer drivers’ is set to ‘Enabled’ (Automated)

Цей параметр політики визначає, кому дозволено інсталювати драйвер принтера як частину підключення до спільного принтера. Щоб комп’ютер друкував на спільному принтері, драйвер для цей спільний принтер має бути встановлено на локальному комп’ютері. Рекомендований стан для цього параметра: увімкнено. Примітка. Цей параметр не впливає на можливість додавання локального принтера. Це налаштування не робить впливають на адміністраторів.

У деяких організаціях може бути доречним дозволити користувачам інсталювати драйвери принтера власні робочі станції. Однак у середовищі з високим рівнем безпеки лише адміністратори слід дозволити це робити, а не користувачам, оскільки встановлення драйвера принтера може ненавмисно призведе до того, що комп’ютер стане менш стабільним. Зловмисник може навмисно інсталювати невідповідні драйвери принтера пошкодити комп’ютер або користувач може випадково встановити шкідливе програмне забезпечення, яке маскується під драйвер принтера. Зловмисник може замаскувати трояна Програма коня як драйвер принтера. Програма може здаватися користувачам так, ніби вони повинні використовувати його для друку, але така програма може розв’язати зловмисний код у мережі.

Немає – це типова поведінка.

Значення за замовчуванням: Увімкнено. (Лише адміністратори зможуть інсталювати драйвер принтера під час підключення до спільного принтера. Це не вплине на можливість додавання локального принтера.)

2.3.5.1 Переконайтеся, що для параметра «Контролер домену: дозволити операторам сервера планувати завдання» встановлено значення «Вимкнено» (лише DC) (Автоматизовано)

Оригінал: Ensure ‘Domain controller: Allow server operators to schedule tasks’ is set to ‘Disabled’ (DC only) (Automated)

Цей параметр політики визначає, чи є члени групи операторів сервера дозволено подавати завдання за допомогою засобу розкладу AT. Вплив цієї політики Конфігурація параметрів має бути невеликою для більшості організацій. Користувачі, в тому числі в група Оператори сервера, все одно зможе створювати завдання за допомогою Завдання Майстер планувальника, але ці завдання виконуватимуться в контексті облікового запису, з яким користувач проходить автентифікацію під час налаштування завдання. Примітка. Обліковий запис служби AT можна змінити, щоб вибрати інший обліковий запис обліковий запис ЛОКАЛЬНОЇ СИСТЕМИ. Щоб змінити обліковий запис, відкрийте Системні інструменти, натисніть Заплановані завдання, а потім клацніть папку Стандартні. Потім натисніть AT Service Account on меню Додатково. Рекомендований стан для цього параметра: вимкнено.

Якщо ввімкнути цей параметр політики, завдання, створені операторами серверів за допомогою служба AT виконуватиметься в контексті облікового запису, який запускає цю службу. за за замовчуванням, тобто локальний обліковий запис SYSTEM. Якщо ввімкнути цей параметр політики, сервер оператори можуть виконувати завдання, які СИСТЕМА може виконувати, але які вони зазвичай виконують не можуть зробити, наприклад додати свій обліковий запис до локальної групи адміністраторів.

Немає – це типова поведінка. Зауважте, що користувачі (включаючи тих, хто працює на Сервері Група операторів) все ще можуть створювати завдання за допомогою майстра планувальника завдань. Однак ці завдання виконуватимуться в контексті облікового запису, який аутентифікує користувач з під час налаштування роботи.

Значення за замовчуванням: Вимкнено. (Операторам сервера не дозволяється надсилати завдання за допомогою засобу розкладу AT.)

2.3.5.2 Переконайтеся, що для параметра «Контролер домену: дозволити вразливі з’єднання безпечного каналу Netlogon» встановлено значення «Не налаштовано» (лише DC) (Автоматизовано)

Оригінал: Ensure ‘Domain controller: Allow vulnerable Netlogon secure channel connections’ is set to ‘Not Configured’ (DC Only) (Automated)

Цей параметр безпеки визначає, чи контролер домену обходить безпечний RPC для підключень безпечного каналу Netlogon для вказаних облікових записів машин. Після розгортання цю політику слід застосовувати до всіх контролерів домену в лісі увімкнення політики на OU контролерів домену. Коли налаштовано список створення вразливих підключень (список дозволених): • Отримавши дозвіл, контролер домену дозволить обліковим записам використовувати a Захищений канал Netlogon без безпечного RPC. • Якщо дозвіл заборонено, контролер домену вимагатиме від облікових записів використання a Захищений канал Netlogon із захищеним RPC, який є таким же, як і за замовчуванням (не необхідно). Примітка. Попередження від корпорації Майкрософт: увімкнення цієї політики призведе до виявлення вашого приєднання до домену пристроїв і може піддати ризику ваш ліс Active Directory. Цю політику слід використовувати як тимчасовий захід для пристроїв сторонніх розробників під час розгортання оновлень. Одного разу сторонній пристрій оновлено для підтримки використання безпечного RPC із захищеними каналами Netlogon, обліковий запис слід видалити зі списку Створення вразливих підключень. На краще розуміти ризик налаштування облікових записів для використання вразливого Netlogon захищені з’єднання каналів, будь ласка, відвідайте Як керувати змінами в Netlogon з’єднання безпечного каналу, пов’язані з CVE-2020-1472. Рекомендований стан для цього параметра: Не налаштовано.

Якщо ввімкнути цю політику, ваші пристрої, приєднані до домену, стане відкритим для ваших активних Каталог лісу для ризиків безпеки. Настійно не рекомендується використовувати цей параметр (тобто залишити повністю неналаштованим), щоб не додавати ризику.

Немає – це типова поведінка.

Значення за замовчуванням: Не налаштовано. (Жодні комп’ютери чи довірчі облікові записи явно не звільнені від безпечного віддаленого виклику викликів із застосуванням підключень безпечного каналу Netlogon.)

2.3.5.3 Переконайтеся, що для параметра «Контролер домену: Вимоги до маркера зв’язування каналу сервера LDAP» встановлено значення «Завжди» (лише DC) (Автоматизовано)

Оригінал: Ensure ‘Domain controller: LDAP server channel binding token requirements’ is set to ‘Always’ (DC Only) (Automated)

Цей параметр політики визначає, чи застосовує сервер LDAP (контролер домену). перевірка маркерів зв’язування каналу (CBT), отриманих у запитах на зв’язування LDAP, які є надіслано через SSL/TLS (тобто LDAPS). Рекомендований стан для цього параметра: завжди. Примітка. Щоб бути сумісними, усі клієнти LDAP повинні мати оновлення безпеки CVC-2017-8563 з контролерами домену, для яких увімкнено цей параметр. Більше інформації про це налаштування доступний за адресою: MSKB 4520412: 2020 зв’язування каналу LDAP і підписання LDAP вимоги до Windows

Вимагання маркерів прив’язки каналу (CBT) може запобігти загрозі, яка може це зробити отримувати облікові дані користувача (наприклад, маркери OAuth, ідентифікатори сеансу тощо) від повторного використання цих облікових даних в іншому сеансі TLS. Це також сприяє збільшенню захист від атак “людина посередині” за допомогою аутентифікації LDAP через SSL/TLS (LDAPS).

Усі клієнти LDAP повинні надавати інформацію про прив’язку каналу через SSL/TLS (тобто LDAPS). Сервер LDAP (контролер домену) відхиляє запити автентифікації від клієнтів, які не робіть так. Щоб це підтримувати, клієнти повинні мати оновлення безпеки CVC-2017-8563 і можуть мати проблеми сумісності з цим параметром без оновлення безпеки. Це також може означати, що запити автентифікації LDAP через SSL/TLS, що раніше worked може припинити роботу, доки не буде встановлено оновлення безпеки. Під час першого розгортання цього параметра ви можете спочатку встановити для нього лише альтернативу налаштування Коли підтримується (замість Завжди) на всіх контролерах домену. Це альтернативне, проміжне налаштування вмикає підтримку прив’язки клієнтського каналу LDAP, але ні вимагати цього. Потім установіть один DC, який наразі не є цільовим для клієнтів LDAP Завжди перевіряйте кожного з критичних клієнтів LDAP на цьому DC (і виправляйте як необхідно), перш ніж розгортати Always на решті DC. Ми також рекомендуємо використовувати новий ідентифікатор події 3039 на контролерах домену (додано з оновленням безпеки від березня 2020 р.), щоб допомогти знайти клієнтів, які не використовують Channel Прив’язувальні маркери (CBT) у своїх з’єднаннях LDAPS. Цей новий ідентифікатор події вимагає підвищення рівня реєстрації 16 подій інтерфейсу LDAP частини NTDS службова діагностика до значення 2 (базова). Для отримання додаткової інформації дивіться таблицю 2: Події CBT за цим посиланням: MSKB 4520412: прив’язка каналу LDAP 2020 і підписання LDAP вимоги до Windows Старіші ОС, такі як Windows XP, Windows Server 2003, Windows Vista та Windows Server 2008 (не R2), спочатку вимагатимуть виправлення для Microsoft Security Advisory 973811, а також усі пов’язані виправлення, щоб бути сумісним із контролерами домену, які розгорнути це налаштування. Примітка. Тільки завжди вважається сумісним з еталонним тестом CIS.

Значення за замовчуванням: Ніколи. (Перевірка прив’язки каналу LDAP не виконується.)

2.3.5.4 Переконайтеся, що для параметра «Контролер домену: виконання вимог до підпису сервера LDAP» встановлено значення «Увімкнено» (лише DC) (Автоматизовано)

Оригінал: Ensure ‘Domain controller: LDAP server signing requirements Enforcement’ is set to ‘Enabled’ (DC only) (Automated)

Цей параметр політики визначає, чи протокол доступу до спрощеного каталогу (LDAP) сервер вимагає від клієнтів LDAP узгодження підпису даних. Рекомендований стан для цього параметра: увімкнено. Примітка. Цей параметр політики накладається на контролер домену: підписання сервера LDAP вимоги. CIS вирішив прийняти обидва для вимоги підпису як відмовостійкий. Примітка №2. Комп’ютери-учасники домену повинні мати безпеку мережі: підпис LDAP вимоги (розділ 2.3.11) установлено на Переговори щодо підписання або вище. Якщо ні, вони зазнають невдачі для автентифікації, коли в домені налаштовано вищезазначене значення Require signing Контролери. На щастя, підписання переговорів є типовим у конфігурації клієнта. Примітка №3: цей параметр політики не впливає на просте прив’язування LDAP (ldap_simple_bind) або просте прив’язування LDAP через SSL (ldap_simple_bind_s). немає Клієнти Microsoft LDAP, які постачаються з Windows XP Professional, використовують LDAP просте прив’язування або просте прив’язування LDAP через SSL для спілкування з контролером домену. Примітка №4: перед увімкненням цього параметра переконайтеся, що немає клієнтів (включаючи серверні програм на основі), які налаштовані на автентифікацію за допомогою Active Directory через непідписаний LDAP, оскільки зміна цього параметра призведе до поломки цих програм. Такі програми слід спочатку переналаштувати для використання підписаного LDAP, безпечного LDAP (LDAPS), або з’єднання, захищені IPsec.

Непідписаний мережевий трафік чутливий до атак типу “людина посередині”. У таких нападах ан зловмисник захоплює пакети між сервером і клієнтом, змінює їх, а потім передає їх клієнту. Що стосується серверів LDAP, загроза може змусити клієнта приймати рішення на основі хибних записів з LDAP каталог. Щоб зменшити ризик такого вторгнення в мережу організації, ви можете запроваджуйте сильні фізичні заходи безпеки для захисту мережевої інфраструктури. Крім того, ви можете застосувати режим заголовка автентифікації безпеки Інтернет-протоколу (IPsec). (AH), який виконує взаємну автентифікацію та цілісність пакетів для IP-трафіку, щоб зробити все типи атак типу «людина посередині» надзвичайно складні. Крім того, дозвіл на використання звичайного непідписаного LDAP дозволяє обліковим даним бути отримані через мережу відкритим текстом, що дуже легко може призвести до перехоплення паролі облікових записів іншими системами в мережі.

Якщо не використовується TLS/SSL, потрібно узгодити параметр підпису даних LDAP. Клієнти, які не підтримують підпис LDAP, не зможуть виконувати запити LDAP до Контролери домену. Усі комп’ютери під керуванням Windows 2000 у вашій організації керується з комп’ютерів під керуванням Windows Server 2003 або Windows XP тощо використовувати автентифікацію Windows NT Challenge/Response (NTLM) повинна мати Windows 2000 Service Pack 3 (SP3) встановлено. Крім того, ці клієнти повинні мати реєстр змінити. Деякі операційні системи не від Microsoft не підтримують підпис LDAP. Якщо ви ввімкнете це налаштування політики, клієнтські комп’ютери, які використовують ці операційні системи, можуть не працювати доступ до ресурсів домену. Більше інформації про цю зміну реєстру було опубліковано в Стаття 325465 бази знань Microsoft.

Значення за замовчуванням: Увімкнено. (Підпис LDAP застосовуватиметься незалежно від того, що встановлено в політиці підпису LDAP.)

2.3.5.5 Переконайтеся, що для параметра «Контролер домену: відмова від зміни пароля облікового запису комп’ютера» встановлено значення «Вимкнено» (лише DC) (Автоматизовано)

Оригінал: Ensure ‘Domain controller: Refuse machine account password changes’ is set to ‘Disabled’ (DC only) (Automated)

Цей параметр безпеки визначає, чи контролери домену відхилятимуть запити від членські комп’ютери, щоб змінити паролі облікових записів комп’ютерів. Рекомендований стан для цього параметра: вимкнено. Примітка. Деякі проблеми можуть виникнути внаслідок закінчення терміну дії пароля облікового запису машини, особливо якщо машину повернуто до попереднього стану на певний момент часу, як це зазвичай буває з віртуальні машини. Старіша машина залежить від того, наскільки далеко відбулася реверсія пароль облікового запису, збережений на машині, може більше не розпізнаватися доменом контролери, і тому комп’ютер втрачає довіру домену. Це також може порушити не- постійні реалізації VDI та пристрої з фільтрами запису, які забороняють постійні зміни гучності ОС. Деякі організації можуть звільнити себе з цієї рекомендації та вимкніть термін дії пароля облікового запису машини для них ситуації.

Якщо ввімкнути цей параметр політики на всіх контролерах домену в домені, члени домену не зможуть змінити паролі облікових записів своїх комп’ютерів, а ці паролі будуть бути більш сприйнятливим до нападу.

Немає – це типова поведінка.

Значення за замовчуванням: Вимкнено. (За замовчуванням комп’ютери-учасники змінюють паролі своїх облікових записів комп’ютерів, як указано учасником домену: налаштування максимального віку пароля облікового запису машини (правило 2.3.6.5), яке за замовчуванням встановлюється кожні 30 днів.)

2.3.6.1 Переконайтеся, що для параметра «Учасник домену: цифрове шифрування або підпис даних безпечного каналу (завжди)» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘Domain member: Digitally encrypt or sign secure channel data (always)’ is set to ‘Enabled’ (Automated)

Цей параметр політики визначає, чи весь трафік безпечного каналу, ініційований член домену має бути підписаний або зашифрований. Рекомендований стан для цього параметра: увімкнено. Примітка. Певні параметри політики необхідно налаштувати в контролері домену за замовчуванням Політика для забезпечення їх глобального застосування до контролерів домену. Будьте обережні, коли змінювати ці політики, оскільки неправильні зміни можуть негативно вплинути на навколишнє середовище.

Коли комп’ютер приєднується до домену, створюється обліковий запис комп’ютера. Після того, як він приєднується до домену, комп’ютер використовує пароль для цього облікового запису для створення безпечного каналу з контролером домену для свого домену під час кожного перезапуску. Запити, які є надіслані захищеним каналом, автентифікуються, а конфіденційна інформація, як-от паролі зашифровані, але канал не перевіряється на цілісність, і не весь інформація зашифрована. Цифрове шифрування та підписання захищеного каналу є хорошою ідеєю, де воно є підтримується. Захищений канал захищає облікові дані домену, коли вони надсилаються до Контролер домену.

Немає – це типова поведінка. Однак лише Windows NT 4.0 із пакетом оновлень 6a (SP6a) і наступні версії операційної системи Windows підтримують цифрову підтримку шифрування та підписання захищеного каналу. Клієнти Windows 98 Second Edition роблять не підтримують його, якщо на них не встановлено Dsclient. Тому ви не можете ввімкнути Учасник домену: цифрове шифрування або підпис даних безпечного каналу (завжди) увімкнено Контролери домену, які підтримують клієнтів Windows 98 як членів домену. Потенційні наслідки можуть включати наступне: • Можливість створювати або видаляти довірчі відносини з клієнтами, на яких запущені версії Windows, раніших за Windows NT 4.0, із пакетом оновлень 6a буде вимкнено. • Вхід із клієнтів із версіями Windows, ранішими за Windows NT 4.0 з SP6a буде вимкнено. • Можливість автентифікації користувачів інших доменів із запущеного контролера домену версія Windows, раніша за Windows NT 4.0, із пакетом оновлень 6a в довіреному домені буде вимкнено. Ви можете ввімкнути цей параметр політики після видалення всіх клієнтів Windows 9x із домену та оновити всі сервери Windows NT 4.0 і контролери домену з довірених/довірених доменів до Windows NT 4.0 із пакетом оновлень 6a.

Значення за замовчуванням: Увімкнено. (Усі дані безпечного каналу мають бути підписані або зашифровані.)

2.3.6.2 Переконайтеся, що для параметра «Учасник домену: цифрове шифрування даних безпечного каналу (якщо можливо)» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘Domain member: Digitally encrypt secure channel data (when possible)’ is set to ‘Enabled’ (Automated)

Цей параметр політики визначає, чи повинен член домену намагатися домовитися шифрування для всього трафіку безпечного каналу, який він ініціює. Рекомендований стан для цього параметра: увімкнено.

Коли комп’ютер приєднується до домену, створюється обліковий запис комп’ютера. Після того, як він приєднується до домену, комп’ютер використовує пароль для цього облікового запису для створення безпечного каналу з контролером домену для свого домену під час кожного перезапуску. Запити, які є надіслані захищеним каналом, автентифікуються, а конфіденційна інформація, як-от паролі зашифровані, але канал не перевіряється на цілісність, і не весь інформація зашифрована. Цифрове шифрування та підписання захищеного каналу є хорошою ідеєю, де воно є підтримується. Захищений канал захищає облікові дані домену, коли вони надсилаються до Контролер домену.

Немає – це типова поведінка. Однак лише Windows NT 4.0 Service Pack 6a (SP6a) і наступні версії операційної системи Windows підтримують цифрову підтримку шифрування та підписання захищеного каналу. Клієнти Windows 98 Second Edition роблять не підтримують його, якщо на них не встановлено Dsclient.

Значення за замовчуванням: Увімкнено. (Учасник домену вимагатиме шифрування всього трафіку безпечного каналу.)

2.3.6.3 Переконайтеся, що для параметра «Учасник домену: цифровий підпис даних безпечного каналу (якщо можливо)» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘Domain member: Digitally sign secure channel data (when possible)’ is set to ‘Enabled’ (Automated)

Цей параметр політики визначає, чи повинен член домену намагатися домовитися чи весь трафік безпечного каналу, який він ініціює, повинен мати цифровий підпис. цифровий підписи захищають трафік від зміни будь-ким, хто фіксує дані як нього проходить через мережу. Рекомендований стан для цього параметра: увімкнено.

Коли комп’ютер приєднується до домену, створюється обліковий запис комп’ютера. Після того, як він приєднується до домену, комп’ютер використовує пароль для цього облікового запису для створення безпечного каналу з контролером домену для свого домену під час кожного перезапуску. Запити, які є надіслані захищеним каналом, автентифікуються, а конфіденційна інформація, як-от паролі зашифровані, але канал не перевіряється на цілісність, і не весь інформація зашифрована. Цифрове шифрування та підписання захищеного каналу є хорошою ідеєю, де воно є підтримується. Захищений канал захищає облікові дані домену, коли вони надсилаються до Контролер домену.

Немає – це типова поведінка. Однак лише Windows NT 4.0 із пакетом оновлень 6a (SP6a) і наступні версії операційної системи Windows підтримують цифрову підтримку шифрування та підписання захищеного каналу. Клієнти Windows 98 Second Edition роблять не підтримують його, якщо на них не встановлено Dsclient.

Значення за замовчуванням: Увімкнено. (Учасник домену запитуватиме цифровий підпис усього трафіку безпечного каналу.)

2.3.6.4 Переконайтеся, що для параметра «Учасник домену: вимкнути зміну пароля облікового запису машини» встановлено значення «Вимкнено» (Автоматизовано)

Оригінал: Ensure ‘Domain member: Disable machine account password changes’ is set to ‘Disabled’ (Automated)

Цей параметр політики визначає, чи може член домену періодично змінювати свої пароль облікового запису комп’ютера. Рекомендований стан для цього параметра: вимкнено.

Якщо система не змінить їхній пароль, це загрожує безпеці, оскільки канал безпеки використовується для наскрізної автентифікації. Якщо суб’єкт загрози виявляє a пароль, актор потенційно може виконати наскрізну автентифікацію в домені контролер.

Немає – це типова поведінка. Примітка. Деякі проблеми можуть виникнути внаслідок закінчення терміну дії пароля облікового запису машини, особливо якщо машину повернуто до попереднього стану на певний момент часу, як це зазвичай буває з віртуальні машини. Старіша машина залежить від того, наскільки далеко відбулася реверсія пароль облікового запису, збережений на машині, може більше не розпізнаватися доменом контролери, і тому комп’ютер втрачає довіру домену. Це також може порушити не- постійні реалізації VDI та пристрої з фільтрами запису, які забороняють постійні зміни гучності ОС. Деякі організації можуть звільнити себе з цієї рекомендації та вимкніть термін дії пароля облікового запису машини для них ситуації.

Значення за замовчуванням: Вимкнено. (Учасник домену може змінити пароль свого облікового запису комп’ютера, як зазначено в рекомендації Учасник домену: максимальний вік пароля облікового запису машини, який за замовчуванням становить кожні 30 днів.)

2.3.6.5 Переконайтеся, що для параметра «Учасник домену: максимальний вік пароля облікового запису машини» встановлено значення «30 або менше днів, але не 0» (Автоматизовано)

Оригінал: Ensure ‘Domain member: Maximum machine account password age’ is set to ’30 or fewer days, but not 0′ (Automated)

Цей параметр політики визначає максимально допустимий вік для облікового запису комп’ютера пароль. За замовчуванням учасники домену автоматично змінюють паролі своїх доменів кожні 30 днів. Якщо ви значно збільшите цей інтервал, комп’ютери більше не працюватимуть змінити свої паролі, загрозливий актор матиме більше часу для застосування грубої сили атака на один із облікових записів комп’ютера. Рекомендований стан для цього параметра: 30 або менше днів, але не 0. Примітка. Значення 0 не відповідає еталонному тесту, оскільки воно вимикає максимум вік пароля.

У доменах на основі Active Directory кожен комп’ютер має лише обліковий запис і пароль як кожен користувач. За замовчуванням учасники домену автоматично змінюють свій домен пароль кожні 30 днів. Якщо цей інтервал значно збільшився, або встановіть його на 0, щоб комп’ютери більше не змінюють паролі, у загрози буде більше часу для цього здійснити атаку грубої сили, щоб вгадати пароль одного чи кількох комп’ютерів облікові записи.

Немає – це типова поведінка. Примітка. Деякі проблеми можуть виникнути внаслідок закінчення терміну дії пароля облікового запису машини, особливо якщо машину повернуто до попереднього стану на певний момент часу, як це зазвичай буває з віртуальні машини. Старіша машина залежить від того, наскільки далеко відбулася реверсія пароль облікового запису, збережений на машині, може більше не розпізнаватися доменом контролери, і тому комп’ютер втрачає довіру домену. Це також може порушити не- постійні реалізації VDI та пристрої з фільтрами запису, які забороняють постійні зміни гучності ОС. Деякі організації можуть звільнити себе з цієї рекомендації та вимкніть термін дії пароля облікового запису машини для них ситуації.

Значення за замовчуванням: 30 днів.

2.3.6.6 Переконайтеся, що для параметра «Учасник домену: потрібен надійний (Windows 2000 або новішої версії) ключ сеансу» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘Domain member: Require strong (Windows 2000 or later) session key’ is set to ‘Enabled’ (Automated)

Якщо цей параметр політики ввімкнено, безпечний канал можна встановити лише за допомогою Контролери домену, здатні шифрувати дані безпечного каналу за допомогою сильного (128-бітний) сеансовий ключ. Рекомендований стан для цього параметра: увімкнено.

Ключі сеансу, які використовуються для встановлення захищених каналів зв’язку між Контролери домену та комп’ютери-члени набагато сильніші в Windows 2000, ніж вони були в попередніх операційних системах Microsoft. По можливості ці міцніші сеансові ключі слід використовувати для захисту захищених каналів зв’язку від атаки, які намагаються захопити мережеві сеанси та підслуховування. Прослуховування — це форма злому, під час якої мережеві дані зчитуються або змінюються під час передачі. Дані можна змінити, щоб приховати або змінити відправника, або перенаправити.

Немає – це типова поведінка. Однак комп’ютери не зможуть приєднатися до Windows Домени NT 4.0 і довіри між доменами Active Directory і стилем Windows NT домени можуть не працювати належним чином. Крім того, контролери домену з цим параметром налаштовано не дозволятиме старіші клієнти до Windows 2000 (які не підтримують цей параметр політики) щоб приєднатися до домену.

Значення за замовчуванням: Увімкнено. (Захищений канал не буде встановлено, якщо не можна виконати 128-бітне шифрування.)

2.3.7.1 Переконайтеся, що для параметра «Інтерактивний вхід: не вимагати CTRL+ALT+DEL» встановлено значення «Вимкнено» (Автоматизовано)

Оригінал: Ensure ‘Interactive logon: Do not require CTRL+ALT+DEL’ is set to ‘Disabled’ (Automated)

Цей параметр політики визначає, чи повинні користувачі натискати CTRL+ALT+DEL, перш ніж вони увійти. Рекомендований стан для цього параметра: вимкнено.

Якщо користувачам не потрібно натискати CTRL+ALT+DEL, вони вразливі до таких атак спробувати перехопити їхні паролі. Якщо перед входом потрібно натиснути CTRL+ALT+DEL, користувач паролі передаються за допомогою надійного шляху. Зловмисник може встановити троянську програму, схожу на стандартну Windows діалогове вікно входу та захопити пароль користувача. Тоді актор загрози зможе щоб увійти до скомпрометованого облікового запису з будь-яким рівнем привілеїв, який має цей користувач.

Користувачі повинні натиснути CTRL+ALT+DEL перед входом у Windows, якщо вони не використовують a смарт-картка для входу в Windows. Смарт-карта – це захищений від несанкціонованого доступу пристрій, який зберігає інформація про безпеку.

Значення за замовчуванням: У Windows Server 2008 R2 або старіших версіях: вимкнено. У Windows Server 2012 (не R2) або новішій версії: увімкнено.

2.3.7.2 Переконайтеся, що для параметра «Інтерактивний вхід: не відображати останній вхід» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘Interactive logon: Don’t display last signed-in’ is set to ‘Enabled’ (Automated)

Цей параметр політики визначає, чи ім’я облікового запису останнього користувача, який увійшов до системи клієнтські комп’ютери у вашій організації відображатимуться на кожному комп’ютері відповідно Екран входу в Windows. Рекомендований стан для цього параметра: увімкнено.

Загрозливий суб’єкт із доступом до консолі (наприклад, хтось із фізичним доступом або хтось, хто може підключитися до сервера через служби віддаленого робочого стола), може переглянути ім’я останнього користувача, який зайшов на сервер. Тоді загрозливий актор міг спробуйте вгадати пароль, скористайтеся словником або застосуйте атаку грубої сили, щоб спробувати ввійти.

Ім’я останнього користувача, який успішно ввійшов, не відображатиметься у Windows екран входу в систему.

Значення за замовчуванням: Вимкнено. (Ім’я останнього користувача, який увійшов, відображається на екрані входу в Windows.)

2.3.7.3 Переконайтеся, що для параметра «Інтерактивний вхід: ліміт бездіяльності машини» встановлено значення «900 або менше секунд», але не 0 (Автоматизовано)

Оригінал: Ensure ‘Interactive logon: Machine inactivity limit’ is set to ‘900 or fewer second(s), but not 0’ (Automated)

Windows помічає бездіяльність сеансу входу в систему та кількість часу бездіяльності перевищує ліміт бездіяльності, тоді запуститься заставка, блокуючи сеанс. Рекомендований стан для цього параметра: 900 або менше секунд, але не 0. Примітка. Значення 0 не відповідає тесту, оскільки воно вимикає машину обмеження неактивності.

Якщо користувач забуває заблокувати свій комп’ютер, коли йде, можливо, що a перехожий викраде його.

Екранна заставка автоматично активується, коли комп’ютер залишається без нагляду протягом зазначеного часу. Вплив має бути мінімальним, оскільки заставка увімкнено за замовчуванням.

Значення за замовчуванням: 0 секунд. (Немає обмежень на бездіяльність.)

2.3.7.4 Налаштувати «Інтерактивний вхід: текст повідомлення для користувачів, які намагаються ввійти» (Автоматизовано)

Оригінал: Configure ‘Interactive logon: Message text for users attempting to log on’ (Automated)

Цей параметр політики визначає текстове повідомлення, яке відображатиметься користувачам під час входу в систему. Налаштуйте цей параметр у спосіб, який відповідає вимогам безпеки та роботи вимоги організації.

Відображення попереджувального повідомлення перед входом може допомогти запобігти зловмисним входам через a попередження суб’єкта загрози про наслідки його неправомірної поведінки. Це також допомагає зміцнити корпоративну політику, повідомляючи співробітників про відповідне під час входу в систему. Цей текст часто використовується з юридичних причин, наприклад, щоб попередити користувачів про наслідки неправомірного використання інформації компанії або попередити їх що їхні дії можуть бути перевірені. Примітка. Будь-яке попередження, яке відображається, має бути схвалено юридичним відділом організації та представник відділу кадрів.

Користувачі повинні будуть підтвердити діалогове вікно, що містить налаштований текст, перш ніж вони може увійти до комп’ютера. Примітка. Windows Vista та Windows XP Professional підтримують банери входу, які можуть довжина перевищує 512 символів і може також містити символи повернення каретки послідовності. Однак клієнти на базі Windows 2000 не можуть інтерпретувати та відображати їх повідомлення. Щоб створити повідомлення для входу, необхідно використовувати комп’ютер під керуванням Windows 2000 політика, яка застосовується до комп’ютерів під керуванням Windows 2000.

Значення за замовчуванням: Немає повідомлення.

2.3.7.5 Налаштувати «Інтерактивний вхід: заголовок повідомлення для користувачів, які намагаються ввійти» (Автоматизовано)

Оригінал: Configure ‘Interactive logon: Message title for users attempting to log on’ (Automated)

Цей параметр політики визначає текст, який відображається в рядку заголовка вікна відображається користувачам під час входу в систему. Налаштуйте це налаштування таким чином що відповідає безпеці та робочим вимогам організації.

Відображення попереджувального повідомлення перед входом може допомогти запобігти зловмисним входам через a попередження суб’єкта загрози про наслідки його неправомірної поведінки. Це також допомагає зміцнити корпоративну політику, повідомляючи співробітників про відповідне під час входу в систему. Цей текст часто використовується з юридичних причин, наприклад, щоб попередити користувачів про наслідки неправомірного використання інформації компанії або попередити їх що їхні дії можуть бути перевірені. Примітка. Будь-яке попередження, яке відображається, має бути схвалено юридичним відділом організації та представник відділу кадрів.

Користувачі повинні будуть підтвердити діалогове вікно з налаштованим заголовком, перш ніж вони зможуть увійти на комп’ютер.

Значення за замовчуванням: Немає повідомлення.

2.3.7.7 Переконайтеся, що для параметра «Інтерактивний вхід: запропонувати користувачу змінити пароль до закінчення терміну дії» встановлено значення «від 5 до 14 днів» (Автоматизовано)

Оригінал: Ensure ‘Interactive logon: Prompt user to change password before expiration’ is set to ‘between 5 and 14 days’ (Automated)

Цей параметр політики визначає, наскільки заздалегідь користувачі будуть попереджені про свій пароль закінчиться. Рекомендується налаштувати цей параметр політики принаймні на 5 днів, але не більше 14 днів, щоб достатньо попередити користувачів про закінчення терміну дії їхніх паролів. Рекомендований стан для цього параметра: від 5 до 14 днів.

Рекомендується налаштувати періодичне закінчення терміну дії паролів користувачів. Користувачі будуть повинні бути попереджені, що їхні паролі закінчаться, або вони можуть випадково заблокувати доступ до комп’ютера після закінчення терміну дії їхніх паролів. Цей стан може призвести до плутанину для користувачів, які отримують доступ до мережі локально, або унеможливлюють це для користувачів отримати доступ до мережі вашої організації через комутоване з’єднання або віртуальну приватну мережу (VPN) з’єднання.

Щоразу під час входу користувачі бачитимуть діалогове вікно з пропозицією змінити пароль до домену, якщо налаштовано термін дії пароля від 5 до 14 днів.

Значення за замовчуванням: 5 днів.

2.3.7.8 Переконайтеся, що для параметра «Інтерактивний вхід: вимагати автентифікації контролера домену для розблокування робочої станції» встановлено значення «Увімкнено» (лише MS) (Автоматизовано)

Оригінал: Ensure ‘Interactive logon: Require Domain Controller Authentication to unlock workstation’ is set to ‘Enabled’ (MS only) (Automated)

Для розблокування заблокованого комп’ютера потрібна інформація для входу. Для облікових записів домену це Параметр безпеки визначає, чи потрібно звертатися до контролера домену розблокувати комп’ютер. Рекомендований стан для цього параметра: увімкнено.

За замовчуванням комп’ютер кешує в пам’яті облікові дані всіх користувачів, які є автентифікований локально. Комп’ютер використовує ці кешовані облікові дані для автентифікації кожен, хто намагається розблокувати консоль. Якщо використовуються кешовані облікові дані, будь-які зміни, нещодавно внесені до облікового запису, наприклад права користувача призначення, блокування облікового запису або відключення облікового запису — не розглядаються або застосовується після автентифікації облікового запису. Привілеї користувача не оновлюються, і (більше важливо) вимкнені облікові записи все ще можуть розблокувати консоль комп’ютера.

Коли консоль на комп’ютері заблоковано користувачем або автоматично тайм-аут заставки, консоль можна розблокувати, лише якщо є контролер домену доступний для повторної автентифікації облікового запису домену, який використовується для розблокування комп’ютер. Якщо контролер домену недоступний, користувач не може розблокувати комп’ютер.

Значення за замовчуванням: Вимкнено. (Підтвердження інформації про вхід за допомогою контролера домену не потрібне для користувача, щоб розблокувати комп’ютер, і користувач може розблокувати комп’ютер за допомогою кешованих облікових даних, якщо вони присутні.)

2.3.7.9 Переконайтеся, що для параметра «Інтерактивний вхід: поведінка видалення смарт-картки» встановлено значення «Блокування робочої станції» або вище (Автоматизовано)

Оригінал: Ensure ‘Interactive logon: Smart card removal behavior’ is set to ‘Lock Workstation’ or higher (Automated)

Цей параметр політики визначає, що відбувається, коли смарт-картка для користувача, який увійшов у систему видаляється з пристрою зчитування смарт-карт. Рекомендований стан для цього параметра: заблокувати робочу станцію. Налаштування цього параметра для примусового виходу з системи або відключення, якщо також відбувається сеанс служб віддаленого робочого стола відповідає еталону.

Користувачі іноді забувають заблокувати свої робочі станції, коли вони далеко від них, дозволяючи суб’єктам загроз отримати доступ до своїх комп’ютерів. Якщо смарт-карти є використовується для автентифікації, комп’ютер повинен автоматично заблокуватися, коли картка активна видалено, щоб переконатися, що лише користувач зі смарт-карткою отримує доступ до ресурсів за допомогою ці облікові дані.

Якщо вибрати «Заблокувати робочу станцію», робоча станція буде заблокована разом із смарт-карткою видалено, дозволяючи користувачам залишати територію, брати з собою смарт-картку тощо підтримувати захищений сеанс. Якщо вибрано параметр «Примусовий вихід», користувачі автоматично виходять із системи, коли їх смарт-картки вимкнено видалено. Якщо ви виберете Від’єднати сеанс служб віддаленого робочого стола, видалення смарт-карта розриває сеанс без виходу користувачів. Це дозволяє користувачеві вставте смарт-карту та відновіть сеанс пізніше або на іншому пристрої зчитування смарт-карт- обладнаний комп’ютер без повторного входу в систему. Якщо сеанс локальний, ця політика буде функціонують ідентично Lock Workstation. Застосування цього параметра на комп’ютерах, якими користуються люди, які повинні входити в декілька систем комп’ютерів для виконання своїх обов’язків може викликати розчарування та зниження продуктивності. Наприклад, якщо адміністратори мережі обмежені одним обліковим записом, але їм потрібно ввійти на кілька комп’ютерів одночасно, щоб ефективно керувати мережею застосування цього параметра обмежить їх входом на один комп’ютер за раз. Для цих причини, через які рекомендується застосовувати цей параметр лише на робочих станціях, для яких використовується цілі, зазвичай пов’язані з типовими користувачами, наприклад створення документів і електронною поштою.

Значення за замовчуванням: Ніяких дій.

2.3.8.1 Переконайтеся, що для параметра «Клієнт мережі Microsoft: комунікації з цифровим підписом (завжди)» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘Microsoft network client: Digitally sign communications (always)’ is set to ‘Enabled’ (Automated)

Цей параметр політики визначає, чи потрібно Серверу підписувати пакети Клієнтський компонент блоку повідомлень (SMB). SMB — це протокол спільного використання ресурсів підтримується багатьма операційними системами Windows. Він є основою NetBIOS і багатьох інших інші протоколи. Підписи SMB автентифікують як користувачів, так і сервери, на яких розміщено даних. Якщо будь-яка сторона не проходить процес автентифікації, передача даних не відбудеться. Рекомендований стан для цього параметра: увімкнено.

Викрадення сесії використовує інструменти, які дозволяють суб’єктам загрози, які мають доступ до них мережі як клієнт або сервер, щоб перервати, завершити або вкрасти поточний сеанс. загроза актори потенційно можуть перехоплювати та змінювати непідписані пакети SMB, а потім змінювати трафік і пересилати його, щоб сервер міг виконати небажані дії. Як альтернатива, суб’єкти загрози можуть виступати як сервер або клієнт після законної автентифікації та отримати несанкціонований доступ до даних.

Клієнт мережі Microsoft не зв’язуватиметься з мережевим сервером Microsoft якщо цей сервер не погоджується виконувати підписання пакетів SMB. Впровадження підпису SMB може негативно вплинути на продуктивність, оскільки кожен пакет потрібно підписати та перевірити. Якщо ці налаштування ввімкнено на сервері, тобто виконання кількох ролей, наприклад сервер малого бізнесу, який виконує роль домену Продуктивність контролера, файлового сервера, сервера друку та сервера додатків може бути істотно сповільнено. Крім того, якщо комп’ютери налаштовані на ігнорування всіх непідписаних Комунікації SMB, старі програми та операційні системи не зможуть підключити. Однак якщо підпис SMB повністю вимкнено, комп’ютери будуть уразливими до атак із захопленням сесії.

Значення за замовчуванням: Вимкнено. (Підписання пакетів SMB узгоджується між клієнтом і сервером.)

2.3.8.2 Переконайтеся, що для параметра «Мережевий клієнт Microsoft: надсилати незашифрований пароль на сторонні SMB-сервери» встановлено значення «Вимкнено» (Автоматизовано)

Оригінал: Ensure ‘Microsoft network client: Send unencrypted password to third-party SMB servers’ is set to ‘Disabled’ (Automated)

Цей параметр політики визначає, чи надсилатиме переспрямовувач SMB паролі у відкритому вигляді під час автентифікації на сторонніх серверах SMB, які не підтримують пароль шифрування. Рекомендується вимкнути цей параметр політики, якщо немає сильного бізнесу випадку, щоб увімкнути його. Якщо цей параметр політики ввімкнено, незашифровані паролі будуть дозволені через мережу. Рекомендований стан для цього параметра: вимкнено.

Якщо ввімкнути цей параметр політики, сервер може передавати паролі у вигляді відкритого тексту мережі до інших комп’ютерів, які пропонують послуги SMB, що є значною безпекою ризик. Ці інші комп’ютери можуть не використовувати жоден із існуючих механізмів безпеки SMB входить до складу Windows Server 2003.

Немає – це типова поведінка. Деякі дуже старі програми та операційні системи, такі як MS-DOS, Windows для Робочі групи 3.11 і Windows 95a можуть не спілкуватися із серверами у вашій організації за допомогою протоколу SMB.

Значення за замовчуванням: Вимкнено. (Прості текстові паролі не надсилатимуться під час автентифікації на сторонні сервери SMB, які не підтримують шифрування паролів.)

2.3.9.2 Переконайтеся, що для параметра «Сервер мережі Microsoft: цифровий підпис (завжди)» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘Microsoft network server: Digitally sign communications (always)’ is set to ‘Enabled’ (Automated)

Цей параметр політики визначає, чи потрібно SMB-серверу підписувати пакети компонент. Це налаштування слід увімкнути в змішаному середовищі, щоб запобігти нижчі клієнти від використання робочої станції як мережевого сервера. Рекомендований стан для цього параметра: увімкнено. Примітка. Певні параметри політики необхідно налаштувати в контролері домену за замовчуванням Політика для забезпечення їх глобального застосування до контролерів домену. Будьте обережні, коли змінювати ці політики, оскільки неправильні зміни можуть негативно вплинути на навколишнє середовище.

Викрадення сесії використовує інструменти, які дозволяють суб’єктам загрози, які мають доступ до них мережі як клієнт або сервер, щоб перервати, завершити або вкрасти поточний сеанс. загроза актори потенційно можуть перехоплювати та змінювати непідписані пакети SMB, а потім змінювати трафік і пересилати його, щоб сервер міг виконати небажані дії. Як альтернатива, суб’єкт загрози може представляти собою сервер або клієнт після законної автентифікації та отримати несанкціонований доступ до даних. SMB — це протокол спільного використання ресурсів, який підтримується багатьма операційними системами Windows системи. Це основа NetBIOS і багатьох інших протоколів. Підписи SMB автентифікувати користувачів і сервери, на яких розміщені дані. Якщо будь-яка зі сторін зазнає невдачі процес автентифікації, передача даних не відбудеться.

Клієнт мережі Microsoft не зв’язуватиметься з мережевим сервером Microsoft якщо цей сервер не погоджується виконувати підписання пакетів SMB. Впровадження підпису SMB може негативно вплинути на продуктивність, оскільки кожен пакет потрібно підписати та перевірити. Якщо ці налаштування ввімкнено на сервері, тобто виконання кількох ролей, наприклад сервер малого бізнесу, який виконує роль домену Продуктивність контролера, файлового сервера, сервера друку та сервера додатків може бути істотно сповільнено. Крім того, якщо комп’ютери налаштовані на ігнорування всіх непідписаних Комунікації SMB, старі програми та операційні системи не зможуть підключити. Однак якщо підпис SMB повністю вимкнено, комп’ютери будуть уразливими до атак із захопленням сесії.

Значення за замовчуванням: На рядових серверах: вимкнено. (Підписання пакетів SMB узгоджується між клієнтом і сервером.) На контролерах домену: увімкнено. (Сервер мережі Microsoft не зв’язуватиметься з мережевим клієнтом Microsoft, якщо цей клієнт не погодиться виконати підписання пакетів SMB.)

2.3.9.3 Переконайтеся, що для параметра «Мережевий сервер Microsoft: відключати клієнтів після завершення часу входу» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘Microsoft network server: Disconnect clients when logon hours expire’ is set to ‘Enabled’ (Automated)

Цей параметр безпеки визначає, чи потрібно відключати користувачів, підключених до на локальному комп’ютері поза межами дійсного часу входу в обліковий запис користувача. Цей параметр впливає на Компонент блоку повідомлень сервера (SMB). Якщо ви ввімкнете цей параметр політики, ви повинні також увімкніть мережеву безпеку: примусовий вихід із системи після завершення часу входу (правило 2.3.11.6). Якщо ваша організація налаштовує години входу для користувачів, цей параметр політики необхідний переконайтеся, що вони ефективні. Рекомендований стан для цього параметра: увімкнено.

Якщо ваша організація налаштовує години входу для користувачів, має сенс увімкнути це налаштування політики. В іншому випадку користувачі, які не повинні мати доступу до мережевих ресурсів поза межами годин входу в систему можуть продовжувати використовувати ці ресурси із сеансами, які були встановлені в дозволені години.

Немає – це типова поведінка. Якщо години входу не використовуються у вашій організації, це налаштування політики не матимуть жодного впливу. Якщо використовуються години входу, поточні сеанси користувача будуть примусово припиняється після закінчення часу входу в систему.

Значення за замовчуванням: Увімкнено. (Сеанси клієнта зі службою SMB примусово відключаються, коли закінчуються години входу клієнта.)

2.3.10.1 Переконайтеся, що для параметра «Доступ до мережі: Дозволити анонімний переклад SID/імена» встановлено значення «Вимкнено» (Автоматизовано)

Оригінал: Ensure ‘Network access: Allow anonymous SID/Name translation’ is set to ‘Disabled’ (Automated)

Цей параметр політики визначає, чи може анонімний користувач запитувати захист атрибути ідентифікатора (SID) для іншого користувача або використовуйте SID для отримання відповідного користувача назва. Рекомендований стан для цього параметра: вимкнено. Примітка. Певні параметри політики потрібно налаштувати в політиці домену за замовчуванням, щоб забезпечити їх застосування в усьому світі. Будьте обережні, змінюючи ці політики, як неправильні зміни можуть негативно вплинути на навколишнє середовище. Лише політики, налаштовані корпорацією Майкрософт за замовчуванням, мають міститися в цьому базовому плані GPO. Будь-які додаткові або користувацькі параметри політики слід реалізовувати через розділити GPO, а не змінювати політики за замовчуванням.

Якщо цей параметр політики ввімкнено, користувач із локальним доступом може використовувати добре відомі SID адміністратора, щоб дізнатися справжнє ім’я вбудованого облікового запису адміністратора, навіть якщо це було перейменовано. Потім ця особа може використати ім’я облікового запису, щоб ініціювати пароль здогадливий напад.

Немає – це типова поведінка.

Значення за замовчуванням: Вимкнено. (Анонімний користувач не може запитувати атрибут SID для іншого користувача.)

2.3.10.2 Переконайтеся, що для параметра «Доступ до мережі: не дозволяти анонімне перерахування облікових записів SAM» установлено значення «Увімкнено» (лише MS) (Автоматизовано)

Оригінал: Ensure ‘Network access: Do not allow anonymous enumeration of SAM accounts’ is set to ‘Enabled’ (MS only) (Automated)

Цей параметр політики контролює можливість анонімних користувачів нумерувати облікові записи в менеджер облікових записів безпеки (SAM). Якщо ввімкнути цей параметр політики, користувачі з анонімні підключення не зможуть перерахувати імена користувачів облікових записів домену на системи у вашому середовищі. Цей параметр політики також дозволяє додаткові обмеження на анонімних з’єднаннях. Рекомендований стан для цього параметра: увімкнено. Примітка. Ця політика не впливає на контролери домену.

Неавторизований користувач може анонімно перерахувати імена облікових записів і використовувати інформацію для спробувати вгадати паролі або виконати атаки соціальної інженерії. (Соціальна інженерія атаки намагаються якимось чином обдурити користувачів, щоб отримати паролі або певну форму безпеки інформація.)

Немає – це типова поведінка. З Windows буде неможливо встановити довірчі відносини Домени на основі NT 4.0. Крім того, клієнтські комп’ютери, які працюють під керуванням старих версій Windows такі операційні системи, як Windows NT 3.51 і Windows 95, виникнуть проблеми коли вони намагаються використати ресурси на сервері.

Значення за замовчуванням: Увімкнено. (Не дозволяти анонімне перерахування облікових записів SAM. Цей параметр замінює «Кожен» на «Автентифіковані користувачі» в дозволах безпеки для ресурсів.)

2.3.10.5 Переконайтеся, що для параметра «Доступ до мережі: Дозволити всім дозволам застосовуватися до анонімних користувачів» встановлено значення «Вимкнено» (Автоматизовано)

Оригінал: Ensure ‘Network access: Let Everyone permissions apply to anonymous users’ is set to ‘Disabled’ (Automated)

Цей параметр політики визначає, які додаткові дозволи призначаються для анонімних користувачів підключення до комп’ютера. Рекомендований стан для цього параметра: вимкнено.

Неавторизований користувач може анонімно перерахувати імена облікових записів і спільні ресурси використовувати інформацію, щоб спробувати вгадати паролі, виконати атаки соціальної інженерії, або запускати DoS-атаки.

Немає – це типова поведінка.

Значення за замовчуванням: Вимкнено. (Анонімні користувачі можуть отримувати доступ лише до тих ресурсів, для яких вбудована група ANONYMOUS LOGON має явний дозвіл.)

2.3.10.6 Переконайтеся, що налаштовано «Доступ до мережі: іменовані канали, до яких можна отримати анонімний доступ» (лише DC) (Автоматизовано)

Оригінал: Ensure ‘Network access: Named Pipes that can be accessed anonymously’ is configured (DC only) (Automated)

Цей параметр політики визначає, які сеанси зв’язку або канали будуть мати атрибути та дозволи, які дозволяють анонімний доступ. Рекомендований стан для цього параметра: LSARPC, NETLOGON, SAMR і (коли застаріла служба комп’ютерного браузера ввімкнена) BROWSER. Примітка. Членський сервер, який виконує роль служб віддаленого робочого стола з Remote Рольова служба ліцензування робочого столу вимагатиме особливого винятку з цієї рекомендації, щоб дозволити доступ до іменованих каналів HydraLSPipe і TermServLicensing анонімно.

Обмеження іменованих каналів, до яких можна отримати анонімний доступ, зменшить поверхню атаки системи.

Доступ до нульового сеансу через іменовані канали буде вимкнено, якщо вони не включені, і програми, які покладаються на цю функцію або на неавтентифікований доступ до іменованих каналів, будуть більше не функціонує. Іменований канал BROWSER може знадобитися додати до цього списку, якщо Служба комп’ютерного браузера потрібна для підтримки застарілих компонентів. Комп’ютер Сервіс браузера вимкнено за замовчуванням.

Значення за замовчуванням: Жодного.

2.3.10.7 Переконайтеся, що налаштовано «Доступ до мережі: іменовані канали, до яких можна отримати анонімний доступ» (лише для MS) (Автоматизовано)

Оригінал: Ensure ‘Network access: Named Pipes that can be accessed anonymously’ is configured (MS only) (Automated)

Цей параметр політики визначає, які сеанси зв’язку або канали будуть мати атрибути та дозволи, які дозволяють анонімний доступ. Рекомендований стан для цього параметра: <порожній> (тобто немає) або (якщо застаріла версія Сервіс комп’ютерного браузера ввімкнено) БРАУЗЕР. Примітка. Членський сервер, який виконує роль служб віддаленого робочого стола з Remote Рольова служба ліцензування робочого столу вимагатиме особливого винятку з цієї рекомендації, щоб дозволити доступ до іменованих каналів HydraLSPipe і TermServLicensing анонімно.

Обмеження іменованих каналів, до яких можна отримати анонімний доступ, зменшить поверхню атаки системи.

Доступ до нульового сеансу через іменовані канали буде вимкнено, якщо вони не включені, і програми, які покладаються на цю функцію або на неавтентифікований доступ до іменованих каналів, будуть більше не функціонує. Іменований канал BROWSER може знадобитися додати до цього списку, якщо Служба комп’ютерного браузера потрібна для підтримки застарілих компонентів. Комп’ютер Сервіс браузера вимкнено за замовчуванням.

Значення за замовчуванням: Жодного.

2.3.10.8 Переконайтеся, що параметр «Доступ до мережі: віддалено доступні шляхи до реєстру» налаштовано (Автоматизовано)

Оригінал: Ensure ‘Network access: Remotely accessible registry paths’ is configured (Automated)

Цей параметр політики визначає, які шляхи реєстру будуть доступні через мережу, незалежно від користувачів або груп, перелічених у списку керування доступом (ACL) winreg ключ реєстру. Рекомендований стан для цього параметра: System\CurrentControlSet\Control\ProductOptions System\CurrentControlSet\Control\Server Applications Програмне забезпечення\Microsoft\Windows NT\CurrentVersion Примітка. Коли цей параметр налаштовано, потрібно створити список з одного або кількох об’єктів зазначено. Роздільником, який використовується під час входу в список, є переведення рядка або повернення каретки є, введіть перший об’єкт у списку, натисніть кнопку Enter, введіть наступний об’єкт, натисніть Введіть ще раз тощо. Значення параметра зберігається у груповій політиці як список, розділений комами шаблони безпеки. Він також відображається як список, розділений комами, у редакторі групової політики панелі відображення та консолі Resultant Set of Policy. Він зареєстрований в реєстрі як a список, розділений переводом рядка, у значенні REG_MULTI_SZ.

Реєстр — це база даних, яка містить інформацію про конфігурацію комп’ютера та багато іншого інформації є конфіденційною. Зловмисник може використати цю інформацію для сприяння несанкціонована діяльність. Щоб зменшити ризик такої атаки, підходять відповідні ACL призначені для всього реєстру, щоб захистити його від доступу неавторизованих користувачів.

Немає – це типова поведінка. Однак якщо шляхи реєстру за замовчуванням зі списку доступних видаляються, засоби віддаленого керування, такі як Microsoft Baseline Security Analyzer та Microsoft Systems Management Server може вийти з ладу, оскільки їм потрібен віддалений доступ до реєстр для належного моніторингу та керування комп’ютерами. Примітка. Якщо потрібен віддалений доступ, цей параметр також має ввімкнути віддалений реєстр обслуговування.

Значення за замовчуванням: System\CurrentControlSet\Control\ProductOptions System\CurrentControlSet\Control\Server Applications Software\Microsoft\Windows NT\CurrentVersion

2.3.10.9 Переконайтеся, що налаштовано «Доступ до мережі: віддалено доступні шляхи до реєстру та підшляхи» (Автоматизовано)

Оригінал: Ensure ‘Network access: Remotely accessible registry paths and sub-paths’ is configured (Automated)

Цей параметр політики визначає, які шляхи та підшляхи реєстру будуть доступні через мережу, незалежно від користувачів або груп, зазначених у списку контролю доступу (ACL) ключа реєстру winreg. Рекомендований стан для цього параметра: System\CurrentControlSet\Control\Print\Printers System\CurrentControlSet\Services\Eventlog Програмне забезпечення\Microsoft\OLAP-сервер Software\Microsoft\Windows NT\CurrentVersion\Print Software\Microsoft\Windows NT\CurrentVersion\Windows System\CurrentControlSet\Control\ContentIndex System\CurrentControlSet\Control\Terminal Server System\CurrentControlSet\Control\Terminal Server\UserConfig System\CurrentControlSet\Control\Terminal Server\DefaultUserConfiguration Software\Microsoft\Windows NT\CurrentVersion\Perflib System\CurrentControlSet\Services\SysmonLog Примітка. Коли цей параметр налаштовано, потрібно створити список з одного або кількох об’єктів зазначено. Роздільником, який використовується під час входу в список, є переведення рядка або повернення каретки є, введіть перший об’єкт у списку, натисніть кнопку Enter, введіть наступний об’єкт, натисніть Введіть ще раз тощо. Значення параметра зберігається у груповій політиці як список, розділений комами шаблони безпеки. Він також відображається як список, розділений комами, у редакторі групової політики панелі відображення та консолі Resultant Set of Policy. Він зареєстрований в реєстрі як a список, розділений переводом рядка, у значенні REG_MULTI_SZ.

Реєстр містить конфіденційну інформацію про конфігурацію комп’ютера, яка може бути використана учасник загрози для сприяння несанкціонованим діям. Справа в тому, що за замовчуванням ACL призначені в усьому реєстрі, є досить обмежувальними та допомагають захистити реєстр від доступу неавторизованих користувачів знижує ризик такої атаки.

Немає – це типова поведінка. Однак якщо шляхи реєстру за замовчуванням зі списку доступних видаляються, засоби віддаленого керування, такі як Microsoft Baseline Security Analyzer та Microsoft Systems Management Server може вийти з ладу, оскільки їм потрібен віддалений доступ до реєстр для належного моніторингу та керування комп’ютерами. Примітка. Якщо потрібен віддалений доступ, цей параметр також має ввімкнути віддалений реєстр обслуговування.

Значення за замовчуванням: System\CurrentControlSet\Control\Print\Printers System\CurrentControlSet\Services\Eventlog Software\Microsoft\OLAP Server Software\Microsoft\Windows NT\CurrentVersion\Print Software\Microsoft\Windows NT\CurrentVersion\Windows System\CurrentControlSet\Control\ContentIndex System\CurrentControlSet\Control\Terminal Server System\CurrentControlSet\Control\Terminal Server\UserConfig System\CurrentControlSet\Control\Terminal Server\DefaultUserConfiguration Software\Microsoft\Windows NT\CurrentVersion\Perflib System\CurrentControlSet\Services\SysmonLog

2.3.10.10 Переконайтеся, що для пункту «Доступ до мережі: обмеження анонімного доступу до іменованих каналів і спільних ресурсів» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘Network access: Restrict anonymous access to Named Pipes and Shares’ is set to ‘Enabled’ (Automated)

Якщо ввімкнено, цей параметр політики обмежує анонімний доступ лише до цих спільних ресурсів і канали, названі в Мережевий доступ: іменовані канали, до яких можна отримати доступ анонімно та доступ до мережі: спільні ресурси, до яких можна отримати анонімний доступ налаштування. Цей параметр політики керує доступом нульового сеансу до спільних ресурсів на ваших комп’ютерах додавання RestrictNullSessAccess зі значенням 1 у HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanManServer\Para метрів ключ реєстру. Це значення реєстру вмикає або вимикає спільний доступ до нульового сеансу, щоб контролювати, чи служба сервера обмежує доступ неавтентифікованих клієнтів до іменованих ресурсів. Рекомендований стан для цього параметра: увімкнено.

Нульові сеанси — це слабка сторона, яку можна використати за допомогою спільного використання (включаючи стандартні спільні ресурси) на комп’ютерах у вашому середовищі.

Немає – це типова поведінка. Якщо ви вирішите ввімкнути цей параметр і є підтримують домени Windows NT 4.0, ви повинні перевірити, чи є якісь із названих каналів необхідні для підтримки довірчих відносин між доменами, а потім додайте канал до доступ до мережі: список іменованих каналів, до яких можна отримати анонімний доступ: • COMNAP: доступ до сеансу SNA • COMNODE: доступ до сеансу SNA • SQL\QUERY: доступ до екземпляра SQL • SPOOLSS: Служба спулера • LLSRPC: служба реєстрації ліцензій • NETLOGON: служба Net Logon • LSARPC: LSA доступ • SAMR: віддалений доступ до об’єктів SAM • БРАУЗЕР: служба комп’ютерного браузера До випуску Windows Server 2003 із пакетом оновлень 1 (SP1) ці іменованим каналам було дозволено анонімний доступ за замовчуванням, але з розширеним посилення у Windows Server 2003 із пакетом оновлень 1 (SP1) ці канали мають бути явно додані, якщо необхідний.

Значення за замовчуванням: Увімкнено. (Анонімний доступ обмежено спільними ресурсами та каналами, переліченими в налаштуваннях «Мережевий доступ: іменовані канали, до яких можна отримати анонімний доступ» і «Мережевий доступ: спільні ресурси, до яких можна отримати анонімний доступ».)

2.3.10.12 Переконайтеся, що для параметра «Доступ до мережі: спільні ресурси, до яких можна отримати анонімний доступ» встановлено значення «Немає» (Автоматизовано)

Оригінал: Ensure ‘Network access: Shares that can be accessed anonymously’ is set to ‘None’ (Automated)

Цей параметр політики визначає, до яких мережевих ресурсів може отримати доступ анонім користувачів. Конфігурація за замовчуванням для цього параметра політики мало впливає, оскільки всі користувачі повинні пройти автентифікацію, перш ніж вони зможуть отримати доступ до спільних ресурсів на сервері. Рекомендований стан для цього параметра: <пусто> (тобто немає).

Дуже небезпечно допускати будь-які значення в цьому параметрі. Будь-які акції, які перераховані, можуть бути до якого має доступ будь-який користувач мережі, що може призвести до викриття або пошкодження конфіденційні дані.

Немає – це типова поведінка.

Значення за замовчуванням: Жодного. (Лише автентифіковані користувачі матимуть доступ до всіх спільних ресурсів на сервері.)

2.3.11.1 Переконайтеся, що для параметра «Безпека мережі: дозволити локальній системі використовувати ідентифікатор комп’ютера для NTLM» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘Network security: Allow Local System to use computer identity for NTLM’ is set to ‘Enabled’ (Automated)

Цей параметр політики визначає, чи локальні системні служби, які використовують Negotiate when повернення до автентифікації NTLM може використовувати посвідчення комп’ютера. Ця політика підтримується щонайменше на Windows 7 або Windows Server 2008 R2. Рекомендований стан для цього параметра: увімкнено.

Під час підключення до комп’ютерів із версією Windows, ранішою за Windows Vista або Windows Server 2008 (не R2), служби, що працюють як локальна система та використовують SPNEGO (узгодження), які повертаються до NTLM, використовують посвідчення комп’ютера. У Windows 7, якщо ви підключаєтесь до комп’ютера під керуванням Windows Server 2008 або Windows Vista, тоді системна служба використовує ідентифікатор комп’ютера або сеанс NULL. Коли при з’єднанні з сеансом NULL створюється згенерований системою ключ сеансу, який не забезпечує захисту, але дозволяє програмам підписувати та шифрувати дані без помилок. Під час з’єднання з ідентифікатором комп’ютера підтримується як підпис, так і шифрування щоб забезпечити захист даних.

Служби, що працюють як локальна система, які використовують Negotiate під час повернення до NTLM автентифікація використовуватиме ідентифікатор комп’ютера. Це може призвести до певної автентифікації запити між операційними системами Windows завершуються помилкою та реєструють помилку.

Значення за замовчуванням: Вимкнено. (Служби, що працюють як локальна система, які використовують Negotiate під час повернення до автентифікації NTLM, автентифікуватимуться анонімно.)

2.3.11.2 Переконайтеся, що для параметра «Безпека мережі: Дозволити резервний сеанс LocalSystem NULL» встановлено значення «Вимкнено» (Автоматизовано)

Оригінал: Ensure ‘Network security: Allow LocalSystem NULL session fallback’ is set to ‘Disabled’ (Automated)

Цей параметр політики визначає, чи дозволено NTLM повернутися до сеансу NULL при використанні з LocalSystem. Рекомендований стан для цього параметра: вимкнено.

Сеанси NULL менш безпечні, оскільки за визначенням вони не автентифіковані.

Будь-які програми, які вимагають NULL-сеансів для LocalSystem, не працюватимуть належним чином.

Значення за замовчуванням: У Windows Server 2008 (не R2): увімкнено. (У разі використання з LocalSystem NTLM матиме дозвіл повернутися до сеансу NULL.) У Windows Server 2008 R2 або новішої версії: вимкнено. (NTLM не матиме дозволу повернутися до NULL-сеансу під час використання з LocalSystem.)

2.3.11.5 Переконайтеся, що для параметра «Безпека мережі: примусовий вихід із системи після закінчення часу входу» встановлено значення «Увімкнено» (Вручну)

Оригінал: Ensure ‘Network security: Force logoff when logon hours expire’ is set to ‘Enabled’ (Manual)

Цей параметр політики визначає, чи потрібно відключати користувачів, підключених до на локальному комп’ютері поза межами дійсного часу входу в обліковий запис користувача. Цей параметр впливає на Компонент блоку повідомлень сервера (SMB). Якщо ви ввімкнете цей параметр політики, ви повинні також увімкніть мережевий сервер Microsoft: від’єднайте клієнтів, коли закінчиться час входу (Правило 2.3.9.4). Рекомендований стан для цього параметра: увімкнено. Примітка. Певні параметри політики потрібно налаштувати в політиці домену за замовчуванням, щоб забезпечити їх застосування в усьому світі. Будьте обережні, змінюючи ці політики, як неправильні зміни можуть негативно вплинути на навколишнє середовище. Лише політики, налаштовані корпорацією Майкрософт за замовчуванням, мають міститися в цьому базовому плані GPO. Будь-які додаткові або користувацькі параметри політики слід реалізовувати через розділити GPO, а не змінювати політики за замовчуванням.

Якщо цей параметр вимкнено, користувач може залишатися підключеним до комп’ютера за межами свого виділені години входу в систему.

Немає – це типова поведінка.

Значення за замовчуванням: Увімкнено. (Коли закінчується час входу користувача, клієнтські сеанси із сервером SMB буде примусово відключено. Користувач не зможе увійти до комп’ютера, доки не почнеться наступний запланований час доступу.)

2.3.11.6 Переконайтеся, що для параметра «Безпека мережі: рівень автентифікації LAN Manager» встановлено значення «Надіслати лише відповідь NTLMv2». Відмова від LM і NTLM’ (Автоматизовано)

Оригінал: Ensure ‘Network security: LAN Manager authentication level’ is set to ‘Send NTLMv2 response only. Refuse LM & NTLM’ (Automated)

Цей параметр політики визначає протокол автентифікації виклику чи відповіді використовується для входу в мережу. Цей вибір впливає на рівень протоколу автентифікації, який використовує клієнти, узгоджений рівень безпеки сеансу та прийнятий рівень автентифікації серверами. LAN Manager (LM) — це сімейство раннього програмного забезпечення Microsoft клієнт/сервер (перед Windows NT), що дозволяло користувачам об’єднувати персональні комп’ютери в один мережі. Можливості мережі LM включали прозорий спільний доступ до файлів і друку, користувача функції безпеки та засоби адміністрування мережі. У доменах Active Directory Протокол Kerberos є стандартним протоколом автентифікації. Однак, якщо Kerberos протокол не узгоджується з якоїсь причини, Active Directory використовуватиме LM, NTLM або NTLMv2. Автентифікація LAN Manager включає LM, NTLM і NTLM версії 2 (NTLMv2) і є протоколом, який використовується для автентифікації всіх клієнтів Windows коли вони виконують такі операції: • Приєднатися до домену • Автентифікація між лісами Active Directory • Автентифікація в доменах нижнього рівня • Автентифікація на комп’ютерах, які не працюють під керуванням Windows 2000, Windows Server 2003, або Windows XP • Автентифікуйте комп’ютери, які не входять до домену Рекомендований стан для цього параметра: надсилати лише відповідь NTLMv2. Відмовити ЛМ & NTLM.

Клієнти Windows 2000 і Windows XP були налаштовані за замовчуванням для надсилання LM і Відповіді автентифікації NTLM (клієнти на базі Windows 95 і Windows 98 відправляти тільки LM). Параметри за замовчуванням в ОС, що передували Windows Vista / Windows Server 2008 (не R2) дозволив усім клієнтам автентифікуватися на серверах і використовувати їхні ресурси. Однак це означало, що відповіді LM – найслабша форма відповіді автентифікації – були надіслані мережею, і зловмисники потенційно могли це винюхати трафік, щоб легше відтворити пароль користувача. Операційні системи Windows 95, Windows 98 і Windows NT не можуть використовувати Протокол Kerberos версії 5 для автентифікації. З цієї причини в Windows Server 2003, ці комп’ютери автентифікуються за замовчуванням як за допомогою LM, так і NTLM протоколи для мережевої автентифікації. Може бути більш безпечний протокол автентифікації примусово для Windows 95, Windows 98 і Windows NT за допомогою NTLMv2. Для входу в систему NTLMv2 використовує безпечний канал для захисту процесу автентифікації. Навіть якщо NTLMv2 використовується для старих клієнтів і серверів, клієнтів і серверів на базі Windows, які члени домену використовуватимуть протокол автентифікації Kerberos для автентифікації з Windows Server 2003 або новішими контролерами домену. З цих причин це так настійно вважав за краще максимально обмежити використання LM і NTLM (не-v2).

Клієнти використовують лише автентифікацію NTLMv2 і використовують захист сеансу NTLMv2, якщо сервер підтримує його; Контролери домену відмовляються від LM і NTLM (приймають лише NTLMv2 автентифікація). Клієнти, які не підтримують автентифікацію NTLMv2, не зможуть автентифікуватися в домені та отримувати доступ до ресурсів домену за допомогою LM і NTLM.

Значення за замовчуванням: Надсилати лише відповідь NTLMv2. (Клієнти використовують лише автентифікацію NTLMv2 і використовують безпеку сеансу NTLMv2, якщо це підтримує сервер; контролери домену приймають автентифікацію LM, NTLM і NTLMv2.)

2.3.11.7 Переконайтеся, що для параметра «Безпека мережі: вимоги до шифрування клієнта LDAP» встановлено значення «Узгодити запечатування» або вище (Автоматизовано)

Оригінал: Ensure ‘Network security: LDAP client encryption requirements’ is set to ‘Negotiate sealing’ or higher (Automated)

Цей параметр політики визначає рівень шифрування даних, який запитується від імені клієнти, які видають запити LDAP BIND. Рекомендований стан для цього параметра: узгоджувати запечатування. Налаштування цього параметра Вимагати ущільнення також відповідає Еталонному тесту. Примітка. Цей параметр політики не впливає на просте прив’язування LDAP (ldap_simple_bind) або просте прив’язування LDAP через SSL (ldap_simple_bind_s).

Незашифрований мережевий трафік сприйнятливий до атак типу “людина посередині”, у яких зловмисник захоплює пакети між клієнтом і сервером, змінює їх, а потім пересилає їх на сервер. Для сервера LDAP така сприйнятливість означає загрозу актор може змусити сервер приймати рішення, які ґрунтуються на неправдивих або змінених даних із запитів LDAP. Щоб зменшити цей ризик у вашій мережі, ви можете застосувати сильне заходи фізичної безпеки для захисту мережевої інфраструктури. Крім того, ви можете зробити все типи атак “людина посередині” надзвичайно складні, якщо вам потрібне шифрування на всіх мережеві пакети за допомогою заголовків автентифікації IPsec.

Немає – це типова поведінка. Однак, якщо цей параметр налаштовано на вимогу шифрування LDAP на сервері, тоді він також має бути налаштовано на вимогу клієнта. Якщо він не налаштований на клієнті, він буде не мати змоги зв’язатися із сервером, що може призвести до збою функцій, зокрема автентифікація користувача, групова політика та сценарії входу. Це тому, що абонент буде сказав, що запит команди LDAP BIND не виконано.

Значення за замовчуванням: Увімкнено: узгоджувати запечатування (шифрування).

2.3.11.8 Переконайтеся, що для параметра «Безпека мережі: вимоги до підпису клієнта LDAP» встановлено значення «Узгодження підпису» або вище (Автоматизовано)

Оригінал: Ensure ‘Network security: LDAP client signing requirements’ is set to ‘Negotiate signing’ or higher (Automated)

Цей параметр політики визначає рівень підпису даних, який запитується від імені клієнти, які видають запити LDAP BIND. Рекомендований стан для цього параметра: узгодити підписання. Налаштування цього параметра Вимагати підписання також відповідає тесту. Примітка. Цей параметр політики не впливає на просте прив’язування LDAP (ldap_simple_bind) або просте прив’язування LDAP через SSL (ldap_simple_bind_s). немає Клієнти Microsoft LDAP, які входять до складу Windows XP Professional, використовують ldap_simple_bind або ldap_simple_bind_s для зв’язку з контролером домену.

Непідписаний мережевий трафік чутливий до атак типу “людина посередині”, під час яких зловмисник захоплює пакети між клієнтом і сервером, змінює їх, а потім пересилає їх на сервер. Для сервера LDAP ця сприйнятливість означає, що загрозливий актор може змусити сервер приймати рішення, які ґрунтуються на неправдивих або змінених даних з запити LDAP. Щоб зменшити цей ризик мережі, запровадьте надійний фізичний захист заходи захисту мережевої інфраструктури. Крім того, це може зробити всі типи людини в the-middle атаки надзвичайно складні, якщо вимагають цифрових підписів на всіх мережевих пакетах за допомогою заголовків автентифікації IPsec.

Немає – це типова поведінка. Однак, якщо вибрано параметр вимагати підписи LDAP, клієнт також повинен бути налаштованим. Якщо клієнт не налаштовано, він не зможе спілкуватися з сервера, що може спричинити збій багатьох функцій, зокрема автентифікації користувача, Group Політика та сценарії входу, оскільки абоненту буде сказано, що команда LDAP BIND запит не вдалося.

Значення за замовчуванням: Домовитися про підписання. (Якщо рівень безпеки транспортного рівня/рівень захищених сокетів (TLS/SSL) не запущено, запит LDAP BIND ініціюється з опцією підпису даних LDAP, встановленою на додаток до параметрів, указаних абонентом. Якщо TLS/SSL запущено, запит LDAP BIND ініціюється з параметрами, визначеними абонентом.)

2.3.11.11 Переконайтеся, що для параметра «Безпека мережі: Обмежити NTLM: аудит вхідного трафіку NTLM» встановлено значення «Увімкнути аудит для всіх облікових записів» (Автоматизовано)

Оригінал: Ensure ‘Network security: Restrict NTLM: Audit Incoming NTLM Traffic’ is set to ‘Enable auditing for all accounts’ (Automated)

Цей параметр політики дозволяє перевіряти вхідний трафік NTLM. Події для цього налаштування реєструються в журналі операційних подій (наприклад, програми та служби Журнал\Microsoft\Windows\NTLM). Рекомендований стан для цього параметра: увімкнути аудит для всіх облікових записів.

Аудит і моніторинг трафіку NTLM можуть допомогти ідентифікувати системи, які використовують це застарілий протокол автентифікації, тому їх можна виправити на використання більш безпечного протокол, наприклад Kerberos. Зібрана інформація журналу також може допомогти в криміналістиці розслідування після зловмисної атаки. Аутентифікація NTLM і NTLMv2 вразлива до різноманітних атак, включаючи ретрансляцію SMB, людина посередині та атаки грубою силою. Зменшення та усунення NTLM автентифікація в середовищі знижує ризик отримання доступу зловмисника системи в мережі.

Журнал подій міститиме інформацію про вхідний трафік автентифікації NTLM.

Значення за замовчуванням: Вимкнено. (Вхідний трафік NTLM не реєструється.)

2.3.11.12 Переконайтеся, що для параметра «Безпека мережі: Обмежити NTLM: перевірити автентифікацію NTLM у цьому домені» встановлено значення «Увімкнути всі» (лише DC) (Автоматизовано)

Оригінал: Ensure ‘Network security: Restrict NTLM: Audit NTLM authentication in this domain’ is set to ‘Enable all’ (DC only) (Automated)

Цей параметр політики дозволяє перевіряти автентифікацію NTLM у межах домену з Контролер домену. Рекомендований стан для цього параметра: Увімкнути всі. Примітка. Цей параметр є особливим для кожного контролера домену та реєструватиме лише автентифікації на цей контролер домену.

Аудит і моніторинг трафіку NTLM можуть допомогти ідентифікувати системи, які використовують це застарілий протокол автентифікації, тому їх можна виправити на використання більш безпечного протокол, наприклад Kerberos. Зібрана інформація журналу також може допомогти в криміналістиці розслідування після зловмисної атаки. Аутентифікація NTLM і NTLMv2 вразлива до різноманітних атак, включаючи ретрансляцію SMB, людина посередині та атаки грубою силою. Зменшення та усунення NTLM автентифікація в середовищі знижує ризик отримання доступу зловмисника системи в мережі.

Журнал подій міститиме інформацію про трафік автентифікації NTLM, зроблений для цього Контролер домену.

Значення за замовчуванням: Вимкнено. (Контролер домену не реєструватиме події для автентифікації NTLM у цьому домені.)

2.3.11.13 Переконайтеся, що для параметра «Безпека мережі: Обмежити NTLM: вихідний трафік NTLM на віддалені сервери» встановлено значення «Аудит усіх» або вище (Автоматизовано)

Оригінал: Ensure ‘Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers’ is set to ‘Audit all’ or higher (Automated)

Цей параметр політики дозволяє перевіряти вихідний трафік NTLM. Події для цього налаштування реєструються в журналі операційних подій (наприклад, програми та служби Журнал\Microsoft\Windows\NTLM). Рекомендований стан для цього параметра: Аудит усіх. Налаштування цього параметра на Заборонити Все також відповідає тесту. Примітка. Налаштування цього параметра на «Заборонити все» є більш безпечним, однак воно може мати негативний вплив на програми, які все ще потребують NTLM. Перед тим ретельно перевірте реалізуючи значення Deny All.

Аудит і моніторинг трафіку NTLM можуть допомогти ідентифікувати системи, які використовують це застарілий протокол автентифікації, тому їх можна виправити на використання більш безпечного протокол, наприклад Kerberos. Зібрана інформація журналу також може допомогти в криміналістиці розслідування після зловмисної атаки. Аутентифікація NTLM і NTLMv2 вразлива до різноманітних атак, включаючи ретрансляцію SMB, людина посередині та атаки грубою силою. Зменшення та усунення NTLM автентифікація в середовищі знижує ризик отримання доступу зловмисника системи в мережі.

Журнал подій міститиме інформацію про вихідний трафік автентифікації NTLM.

Значення за замовчуванням: Дозволити всім. (Клієнт може автентифікуватися на віддалених серверах за допомогою автентифікації NTLM.)

2.3.13.1 Переконайтеся, що для параметра «Вимкнення: дозволити завершення роботи системи без входу» встановлено значення «Вимкнено» (Автоматизовано)

Оригінал: Ensure ‘Shutdown: Allow system to be shut down without having to log on’ is set to ‘Disabled’ (Automated)

Цей параметр політики визначає, чи можна вимкнути комп’ютер, коли користувач цього не робить увійшли в систему. Якщо цей параметр політики ввімкнено, команда завершення роботи доступна на Екран входу в Windows. Рекомендується вимкнути цей параметр політики, щоб обмежити можливість вимкнути комп’ютер для користувачів з обліковими даними в системі. Рекомендований стан для цього параметра: вимкнено. Примітка. У Server 2008 R2 і старіших версіях цей параметр не впливав на Remote Сеанси Desktop (RDP)/Terminal Services – це вплинуло лише на локальну консоль. Однак Microsoft змінила поведінку в Windows Server 2012 (не R2) і вище, де, якщо встановлено значення Enabled, сеанси RDP також можуть завершувати роботу або перезапускати сервер.

Користувачі, які мають локальний доступ до консолі, можуть вимкнути комп’ютер. Актори загрози також можна перейти до локальної консолі та перезапустити сервер, що призведе до a умова тимчасової відмови в обслуговуванні (DoS). Зловмисники також можуть закрити сервер і залишити всі його програми та служби недоступними. Як зазначається в Опис вище, ризик DoS у разі ввімкнення цього параметра різко зростає Windows Server 2012 (не R2) і вище, оскільки навіть віддалені користувачі можуть завершити роботу або перезапустіть сервер із екрана входу в сеанс RDP.

Немає – це типова поведінка.

Значення за замовчуванням: Вимкнено. (Операторам доведеться ввійти на сервери, щоб вимкнути або перезапустити їх.)

2.3.15.1 Переконайтеся, що для параметра «Системні об’єкти: вимагати нечутливості до регістру для підсистем, відмінних від Windows» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘System objects: Require case insensitivity for non-Windows subsystems’ is set to ‘Enabled’ (Automated)

Цей параметр політики визначає, чи застосовуватиметься нечутливість до регістру для всіх підсистем. Підсистема Microsoft Win32 нечутлива до регістру. Однак ядро підтримує випадок чутливість для інших підсистем, наприклад інтерфейсу портативної операційної системи для UNIX (POSIX). Оскільки Windows нечутлива до регістру (але підсистема POSIX буде підтримка чутливості до регістру), невиконання цього параметра політики робить можливим a користувач підсистеми POSIX для створення файлу з тим же ім’ям, що й інший файл використання змішаного регістру для його позначення. Така ситуація може заблокувати доступ до цих файлів іншим користувача, який використовує типові інструменти Win32, тому що лише один із файлів буде доступним. Рекомендований стан для цього параметра: увімкнено.

Оскільки Windows не чутлива до регістру, але підсистема POSIX підтримує регістр чутливості, якщо не ввімкнути цей параметр політики, це стане можливим для користувача підсистема для створення файлу з такою самою назвою, як інший файл, але з іншою сумішшю великі та малі літери. Така ситуація потенційно може заплутати користувачів, коли вони намагаються отримати доступ до таких файлів за допомогою звичайних інструментів Win32, тому що це буде лише один із файлів бути доступним.

Немає – це типова поведінка.

Значення за замовчуванням: Увімкнено. (Усі підсистеми будуть змушені дотримуватися нечутливості до регістру. Ця конфігурація може заплутати користувачів, які знайомі з будь-якою операційною системою на базі UNIX, яка чутлива до регістру.)

2.3.15.2 Переконайтеся, що для параметра «Системні об’єкти: посилити дозволи за замовчуванням внутрішніх системних об’єктів (наприклад, символічних посилань)» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘System objects: Strengthen default permissions of internal system objects (e.g. Symbolic Links)’ is set to ‘Enabled’ (Automated)

Цей параметр політики визначає надійність дискреційного списку керування доступом за умовчанням (DACL) для об’єктів. Active Directory підтримує глобальний список спільних системних ресурсів, такі як імена пристроїв DOS, м’ютекси та семафори. Таким чином об’єкти можуть бути розташовані та розподілені між процесами. Кожен тип об’єкта створюється за умовчанням DACL, який визначає, хто може отримати доступ до об’єктів і які дозволи надаються. Рекомендований стан для цього параметра: увімкнено.

Цей параметр визначає міцність стандартного DACL для об’єктів. Windows підтримує глобальний список спільних комп’ютерних ресурсів, щоб об’єкти можна було знайти та надати спільний доступ серед процесів. Кожен тип об’єкта створюється за допомогою DACL за замовчуванням, який визначає, хто може отримати доступ до об’єктів і з якими дозволами.

Немає – це типова поведінка.

Значення за замовчуванням: Увімкнено. (За замовчуванням DACL є сильнішим, що дозволяє користувачам, які не є адміністраторами, читати спільні об’єкти, але не дозволяє цим користувачам змінювати спільні об’єкти, які вони не створювали.)

2.3.17.1 Переконайтеся, що для параметра «Контроль облікових записів користувачів: режим схвалення адміністратора для вбудованого облікового запису адміністратора» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘User Account Control: Admin Approval Mode for the Built-in Administrator account’ is set to ‘Enabled’ (Automated)

Цей параметр політики керує поведінкою режиму схвалення адміністратора для вбудованого Обліковий запис адміністратора. Рекомендований стан для цього параметра: увімкнено.

Однією з небезпек є функція контролю облікових записів користувачів, представлена в Windows Vista спроба пом’якшити це шкідливе програмне забезпечення, що працює під підвищеними обліковими даними без користувач або адміністратор знають про його діяльність. Вектор атаки для цих програм було виявити пароль облікового запису під назвою «Адміністратор», оскільки цей користувач обліковий запис створено для всіх установок Windows. Щоб усунути цей ризик, у Windows У Vista або новішій версії вбудований обліковий запис адміністратора тепер вимкнено за замовчуванням. У замовчуванні установка нового комп’ютера, облікові записи з адміністративним контролем комп’ютера спочатку налаштовуються одним із двох способів: • Якщо комп’ютер не приєднано до домену, перший обліковий запис користувача, який ви створюєте, має еквівалентні дозволи локального адміністратора. • Якщо комп’ютер приєднано до домену, облікових записів локального адміністратора немає створений. Адміністратор підприємства або домену повинен увійти на комп’ютер і створіть його, якщо необхідний обліковий запис локального адміністратора. Після встановлення Windows вбудований обліковий запис адміністратора можна ввімкнути вручну, але ми наполегливо рекомендуємо залишити цей обліковий запис вимкненим.

Вбудований обліковий запис адміністратора використовує режим затвердження адміністратора. Користувачі, які входять до системи за допомогою локальний обліковий запис адміністратора запитуватиме згоду під час запуску програми запитує підвищення привілеїв, як і будь-який інший користувач.

Значення за замовчуванням: Вимкнено. (Вбудований обліковий запис адміністратора запускає всі програми з повними правами адміністратора.)

2.3.17.4 Переконайтеся, що для параметра «Контроль облікових записів користувачів: виявлення встановлення програм і запит на підвищення» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘User Account Control: Detect application installations and prompt for elevation’ is set to ‘Enabled’ (Automated)

Цей параметр політики контролює поведінку виявлення встановлення програми для комп’ютер. Рекомендований стан для цього параметра: увімкнено.

Деяке зловмисне програмне забезпечення спробує встановити себе після того, як йому буде надано дозвіл на запуск. Наприклад, шкідливе програмне забезпечення з довіреною оболонкою програми. Користувач може мати дали дозвіл на запуск програми, оскільки програмі довіряють, але якщо вони є потім буде запропоновано інсталювати невідомий компонент, це надає інший спосіб захоплення програмного забезпечення, перш ніж воно може завдати шкоди

Коли виявлено інсталяційний пакет програми, який потребує підвищення привілеїв, користувачеві пропонується ввести ім’я користувача адміністратора та пароль. Якщо користувач вводить дійсні облікові дані, операція продовжується з відповідним привілеєм.

Значення за замовчуванням: Вимкнено. (За замовчуванням для підприємства. Пакети інсталяції програми не виявляються та не вимагають підвищення прав.)

2.3.17.6 Переконайтеся, що для параметра «Контроль облікових записів користувачів: запустити всіх адміністраторів у режимі затвердження адміністратора» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘User Account Control: Run all administrators in Admin Approval Mode’ is set to ‘Enabled’ (Automated)

Цей параметр політики контролює поведінку всієї політики контролю облікових записів користувачів (UAC). налаштування для комп’ютера. Якщо ви зміните цей параметр політики, вам потрібно перезапустити свій комп’ютер. Рекомендований стан для цього параметра: увімкнено. Примітка. Якщо цей параметр політики вимкнено, Центр безпеки повідомить вас, що загальна безпеку операційної системи було знижено.

Це налаштування, яке вмикає або вимикає UAC. Якщо цей параметр вимкнено, UAC не буде використовуватися, і будь-які переваги безпеки та зменшення ризиків, які залежать від UAC, не будуть бути присутнім у системі.

Немає – це типова поведінка. Користувачам і адміністраторам потрібно буде навчитися працювати з підказками UAC і налаштувати свої робочі звички, щоб використовувати операції з найменшими привілеями.

Значення за замовчуванням: Увімкнено. (Режим схвалення адміністратора ввімкнено. Цю політику потрібно ввімкнути, а відповідні параметри політики UAC також потрібно встановити відповідним чином, щоб дозволити вбудованому обліковому запису адміністратора та всім іншим користувачам, які входять до групи адміністраторів, працювати в режимі схвалення адміністратора.)

2.3.17.7 Переконайтеся, що для параметра «Контроль облікових записів користувачів: перемикатися на захищений робочий стіл під час запиту на підвищення» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘User Account Control: Switch to the secure desktop when prompting for elevation’ is set to ‘Enabled’ (Automated)

Цей параметр політики контролює, чи відображатиметься підказка запиту на підвищення на інтерактивний робочий стіл користувача або безпечний робочий стіл. Рекомендований стан для цього параметра: увімкнено.

Стандартні діалогові вікна підказки про підвищення рівня можуть бути підроблені, що може призвести до фальсифікації користувачів розкривати свої паролі шкідливому програмному забезпеченню. Безпечний робочий стіл представляє дуже виразний вигляд під час запиту висоти, коли робочий стіл користувача затемнюється, і користувальницький інтерфейс підказки про підвищення є більш помітним. Це збільшує ймовірність того, що користувачі, які звикнувши до захищеного робочого столу, розпізнає підроблену підказку підвищення прав діалогове вікно та не піддайтеся на хитрість.

Немає – це типова поведінка.

Значення за замовчуванням: Увімкнено. (Усі запити на підвищення надходять на захищений робочий стіл незалежно від налаштувань політики швидкої поведінки для адміністраторів і стандартних користувачів.)

2.3.17.8 Переконайтеся, що для параметра «Контроль облікових записів користувачів: віртуалізація помилок запису файлів і реєстру в місця для кожного користувача» встановлено значення «Увімкнено» (Автоматизовано)

Оригінал: Ensure ‘User Account Control: Virtualize file and registry write failures to per-user locations’ is set to ‘Enabled’ (Automated)

Цей параметр політики контролює, чи перенаправляються помилки запису програми на визначені розташування реєстру та файлової системи. Цей параметр політики пом’якшує програми, які запускаються як адміністратора та записувати дані програми під час виконання до: • %ProgramFiles% • %windir% • %windir%\System32 • HKEY_LOCAL_MACHINE\SOFTWARE Рекомендований стан для цього параметра: увімкнено.

Цей параметр зменшує вразливість, гарантуючи, що застарілі програми лише записують дані до дозволених місць.

Немає – це типова поведінка.

Значення за замовчуванням: Увімкнено. (Помилки запису програми перенаправляються під час виконання до визначених розташувань користувача як для файлової системи, так і для реєстру.)