← До повного змісту CIS Microsoft Windows 11 Stand-alone Benchmark

CIS Benchmark

CIS Benchmark • Windows 11 Stand-alone v5.0.0

9. Брандмауер Windows Defender у режимі підвищеної безпеки

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Брандмауер Windows Defender у режимі підвищеної безпеки».


Рекомендацій: 14


Windows 11 Stand-alone v5.0.0

9.2.1 Переконайтеся, що для параметра «Брандмауер Windows: приватний: стан брандмауера» встановлено значення «Увімк. (рекомендовано)» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Windows Firewall: Private: Firewall state’ is set to ‘On (recommended)’ (Automated)

Цей параметр політики визначає, чи ввімкнено стан вбудованого приватного брандмауера вимкнено. Рекомендований стан для цього параметра: Увімк. (рекомендовано).

💡 Обґрунтування безпеки:

Якщо брандмауер вимкнено, увесь трафік матиме доступ до системи та загрози може легше віддалено використовувати слабкі місця в мережевій службі.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile:EnableFirewal l

    ⚙️ Виправлення (Remediation / Налаштування)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    Щоб установити рекомендовану конфігурацію через GP, установіть для наступного шляху інтерфейсу користувача значення Увімк. (рекомендовано): Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Private Profile\Firewall state

      Значення за замовчуванням: Увімкнено (рекомендовано). (Брандмауер Windows із розширеною безпекою буде активним у цьому профілі.)
      📋 CIS Controls & Нормативні посилання
      1. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows-firewall/best-practices-configuring
      2. GRID: MS-00000180
      CIS Controls V8: 4.5
      IG 1, 2, 3
      Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

      CIS Controls V7: 9.4
      IG 1, 2, 3
      Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

      9.2.2 Переконайтеся, що для параметра «Брандмауер Windows: приватне: вхідні з’єднання» встановлено значення «Блокувати (за замовчуванням)» (Автоматизовано)

      Level 1Автоматизовано

      Оригінал: Ensure ‘Windows Firewall: Private: Inbound connections’ is set to ‘Block (default)’ (Automated)

      Цей параметр політики визначає поведінку вхідних з’єднань, які не збігаються правило вхідного брандмауера. Рекомендований стан для цього параметра: Блокувати (за замовчуванням).

      💡 Обґрунтування безпеки:

      Якщо брандмауер дозволяє всьому трафіку отримувати доступ до системи, то зловмисник може це зробити віддалено використовувати слабкі місця в мережевій службі.

      ⚠️ Вплив на робочий процес (Impact):

      Немає – це типова поведінка.

      🔍 Аудит (перевірка налаштувань)
      🖥️ Графічний інтерфейс (GUI / WebUI)

      Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile:DefaultInboun dAction

        ⚙️ Виправлення (Remediation / Налаштування)
        🖥️ Графічний інтерфейс (GUI / WebUI)

        Щоб установити рекомендовану конфігурацію через GP, установіть для наступного шляху інтерфейсу користувача значення Block (за замовчуванням): Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Private Profile\Inbound connections

          Значення за замовчуванням: Блокувати (за замовчуванням). (Брандмауер Windows із розширеною безпекою блокуватиме всі вхідні з’єднання, які не відповідають правилу вхідного брандмауера в цьому профілі.)
          📋 CIS Controls & Нормативні посилання
          1. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows-firewall/best-practices-configuring
          2. GRID: MS-00000181
          CIS Controls V8: 4.5
          IG 1, 2, 3
          Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

          CIS Controls V7: 9.4
          IG 1, 2, 3
          Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

          CIS Controls V7: 11.2
          IG 1, 2
          Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.

          9.2.3 Переконайтеся, що для параметра «Брандмауер Windows: Приватне: Налаштування: Відображати сповіщення» встановлено значення «Ні» (Автоматизовано)

          Level 1Автоматизовано

          Оригінал: Ensure ‘Windows Firewall: Private: Settings: Display a notification’ is set to ‘No’ (Automated)

          Виберіть цей параметр, щоб брандмауер Windows із розширеною безпекою відображав сповіщення користувачеві, коли програмі заблоковано отримання вхідних з’єднань. Рекомендований стан для цього параметра: Ні. Примітка: якщо для параметра Застосувати локальні правила брандмауера встановлено значення Ні, це рекомендовано також налаштувати параметр Відображати сповіщення на Ні. В іншому випадку користувачі продовжуватимуть отримувати повідомлення із запитом, чи хочуть вони розблокувати a обмежене вхідне з’єднання, але відповідь користувача буде проігнорована.

          💡 Обґрунтування безпеки:

          Сповіщення брандмауера можуть бути складними та можуть заплутати кінцевих користувачів, які б не були здатний відповісти на попередження.

          ⚠️ Вплив на робочий процес (Impact):

          Брандмауер Windows не відображатиме сповіщення, коли програму заблоковано отримання вхідних з’єднань.

          🔍 Аудит (перевірка налаштувань)
          🖥️ Графічний інтерфейс (GUI / WebUI)

          Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile:DisableNotifi cations

            ⚙️ Виправлення (Remediation / Налаштування)
            🖥️ Графічний інтерфейс (GUI / WebUI)

            Щоб установити рекомендовану конфігурацію через GP, установіть для такого шляху інтерфейсу користувача значення Ні: Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Private Profile\Settings Customize\Display a notification

              Значення за замовчуванням: так (Брандмауер Windows із розширеною безпекою відобразить сповіщення, коли програмі заблоковано отримання вхідних з’єднань.)
              📋 CIS Controls & Нормативні посилання
              1. GRID: MS-00000182
              CIS Controls V8: 4.5
              IG 1, 2, 3
              Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

              CIS Controls V7: 9.4
              IG 1, 2, 3
              Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

              CIS Controls V7: 11.2
              IG 1, 2
              Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.

              9.2.4 Переконайтеся, що налаштовано «Брандмауер Windows: приватне: журнал: ім’я» (Автоматизовано)

              Level 1Автоматизовано

              Оригінал: Ensure ‘Windows Firewall: Private: Logging: Name’ is configured (Automated)

              Цей параметр політики використовується для вказівки шляху та імені файлу, у якому знаходиться Windows Брандмауер запише інформацію в журнал. Рекомендований стан для цього параметра: налаштовано. Приклад: %SystemRoot%\System32\logfiles\firewall\privatefw.log.

              💡 Обґрунтування безпеки:

              Якщо події брандмауера Windows не записуються, це може бути важко або неможливо Адміністратори для аналізу системних проблем або несанкціонованих дій зловмисників. Microsoft зберігає всі події брандмауера як один файл у системі (pfirewall.log). до покращити журналювання, розділити кожен профіль брандмауера (доменний, приватний, загальнодоступний) на окремий окремий файл журналу (domainfw.log, privatefw.log, publicfw.log) для кращої організації та визначення конкретних проблем у кожному профілі.

              ⚠️ Вплив на робочий процес (Impact):

              Файл журналу зберігатиметься в місці та файлі, визначених організацією.

              🔍 Аудит (перевірка налаштувань)
              🖥️ Графічний інтерфейс (GUI / WebUI)

              Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_SZ \.log. Де – це розташування, а – ім’я журналу, указане організацією. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile\Logging:LogFi lePath

                ⚙️ Виправлення (Remediation / Налаштування)
                🖥️ Графічний інтерфейс (GUI / WebUI)

                Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача до <шлях>\<ім’я файлу>.log: де <шлях> — це розташування, а <файл> — це ім’я журналу, указане організацією. Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Private Profile\Logging Customize\Name

                  Значення за замовчуванням: %SystemRoot%\System32\logfiles\firewall\pfirewall.log
                  📋 CIS Controls & Нормативні посилання
                  1. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows-firewall/best-practices-configuring
                  2. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows-firewall/configure-the-windows-firewall-log
                  3. GRID: MS-00000183
                  CIS Controls V8: 8.2
                  IG 1, 2, 3
                  Collect Audit Logs Collect audit logs. Ensure that logging, per the enterprise’s audit log management process, has been enabled across enterprise assets.

                  CIS Controls V7: 6.3
                  IG 1, 2
                  Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.

                  CIS Controls V7: 9.4
                  IG 1, 2, 3
                  Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

                  9.2.5 Переконайтеся, що для параметра «Брандмауер Windows: приватне: журналювання: обмеження розміру (КБ)» встановлено значення «16 384 КБ або більше» (Автоматизовано)

                  Level 1Автоматизовано

                  Оригінал: Ensure ‘Windows Firewall: Private: Logging: Size limit (KB)’ is set to ‘16,384 KB or greater’ (Automated)

                  Використовуйте цей параметр, щоб указати ліміт розміру файлу, у який брандмауер Windows записуватиме його інформація журналу. Рекомендований стан для цього параметра: 16 384 КБ або більше.

                  💡 Обґрунтування безпеки:

                  Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії суб’єктів загрози.

                  ⚠️ Вплив на робочий процес (Impact):

                  Розмір файлу журналу буде обмежено вказаним розміром, старі події будуть перезаписані новіші, коли досягнуто ліміту.

                  🔍 Аудит (перевірка налаштувань)
                  🖥️ Графічний інтерфейс (GUI / WebUI)

                  Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 16384. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile\Logging:LogFi leSize

                    ⚙️ Виправлення (Remediation / Налаштування)
                    🖥️ Графічний інтерфейс (GUI / WebUI)

                    Щоб встановити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача на 16 384 КБ або більше: Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Private Profile\Logging Customize\Size limit (KB)

                      Значення за замовчуванням: 4096 Кб.
                      📋 CIS Controls & Нормативні посилання
                      1. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows-firewall/configure-the-windows-firewall-log
                      2. GRID: MS-00000184
                      CIS Controls V8: 8.3
                      IG 1, 2, 3
                      Ensure Adequate Audit Log Storage Ensure that logging destinations maintain adequate storage to comply with the enterprise’s audit log management process.

                      CIS Controls V7: 6.4
                      IG 1, 2
                      Ensure adequate storage for logs Ensure that all systems that store logs have adequate storage space for the logs generated.

                      CIS Controls V7: 9.4
                      IG 1, 2, 3
                      Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

                      9.2.6 Переконайтеся, що для параметра «Брандмауер Windows: Приватне: Журнал: Журнал скинутих пакетів» встановлено значення «Так» (Автоматизовано)

                      Level 1Автоматизовано

                      Оригінал: Ensure ‘Windows Firewall: Private: Logging: Log dropped packets’ is set to ‘Yes’ (Automated)

                      Використовуйте цей параметр, щоб реєструвати, коли брандмауер Windows із розширеною безпекою скидає вхідний пакет з будь-якої причини. Журнал записує, чому та коли пакет було скинуто. Шукайте записи зі словом DROP у колонці дії журналу. Рекомендований стан для цього параметра: Так.

                      💡 Обґрунтування безпеки:

                      Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії суб’єктів загрози.

                      ⚠️ Вплив на робочий процес (Impact):

                      Інформація про скинуті пакети буде записана в файл журналу брандмауера.

                      🔍 Аудит (перевірка налаштувань)
                      🖥️ Графічний інтерфейс (GUI / WebUI)

                      Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile\Logging:LogDr oppedPackets

                        ⚙️ Виправлення (Remediation / Налаштування)
                        🖥️ Графічний інтерфейс (GUI / WebUI)

                        Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача на Так: Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Private Profile\Logging Customize\Log dropped packets

                          Значення за замовчуванням: Ні (за замовчуванням). (Інформація про скинуті пакети не буде записана у файл журналу брандмауера.)
                          📋 CIS Controls & Нормативні посилання
                          1. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows-firewall/configure-the-windows-firewall-log
                          2. GRID: MS-00000185
                          CIS Controls V8: 4.5
                          IG 1, 2, 3
                          Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

                          CIS Controls V8: 8.5
                          IG 1, 2
                          Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.

                          CIS Controls V7: 6.3
                          IG 1, 2
                          Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.

                          CIS Controls V7: 9.4
                          IG 1, 2, 3
                          Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

                          9.2.7 Переконайтеся, що для параметра «Брандмауер Windows: приватне: журналювання: журнал успішних з’єднань» встановлено значення «так» (Автоматизовано)

                          Level 1Автоматизовано

                          Оригінал: Ensure ‘Windows Firewall: Private: Logging: Log successful connections’ is set to ‘Yes’ (Automated)

                          Використовуйте цей параметр, щоб увійти, коли брандмауер Windows із розширеною безпекою дозволяє вхідне з’єднання. У журналі записується, чому і коли було створено з’єднання. Подивіться для записів зі словом ДОЗВОЛИТИ в колонці дії журналу. Рекомендований стан для цього параметра: Так.

                          💡 Обґрунтування безпеки:

                          Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії суб’єктів загрози.

                          ⚠️ Вплив на робочий процес (Impact):

                          Інформація про успішні підключення буде записана в файл журналу брандмауера.

                          🔍 Аудит (перевірка налаштувань)
                          🖥️ Графічний інтерфейс (GUI / WebUI)

                          Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile\Logging:LogSu ccessfulConnections

                            ⚙️ Виправлення (Remediation / Налаштування)
                            🖥️ Графічний інтерфейс (GUI / WebUI)

                            Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача на Так: Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Private Profile\Logging Customize\Log успішні підключення

                              Значення за замовчуванням: Ні (за замовчуванням). (Інформація про успішні підключення не буде записана у файл журналу брандмауера.)
                              📋 CIS Controls & Нормативні посилання
                              1. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows-firewall/configure-the-windows-firewall-log
                              2. GRID: MS-00000186
                              CIS Controls V8: 4.5
                              IG 1, 2, 3
                              Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

                              CIS Controls V8: 8.5
                              IG 1, 2
                              Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.

                              CIS Controls V7: 6.3
                              IG 1, 2
                              Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.

                              CIS Controls V7: 9.4
                              IG 1, 2, 3
                              Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

                              9.3 Public Profile This section contains recommendations for the Public Profile of the Windows Firewall.

                              9.3.1 Переконайтеся, що для параметра «Брандмауер Windows: загальнодоступний: стан брандмауера» встановлено значення «Увімк. (рекомендовано)» (Автоматизовано)

                              Level 1Автоматизовано

                              Оригінал: Ensure ‘Windows Firewall: Public: Firewall state’ is set to ‘On (recommended)’ (Automated)

                              Цей параметр політики визначає, чи ввімкнено стан вбудованого публічного брандмауера вимкнено. Рекомендований стан для цього параметра: Увімк. (рекомендовано).

                              💡 Обґрунтування безпеки:

                              Якщо брандмауер вимкнено, увесь трафік матиме доступ до системи та загрози може мати можливість віддалено використовувати слабкі місця в мережевій службі.

                              ⚠️ Вплив на робочий процес (Impact):

                              Немає – це типова поведінка.

                              🔍 Аудит (перевірка налаштувань)
                              🖥️ Графічний інтерфейс (GUI / WebUI)

                              Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile:EnableFirewall

                                ⚙️ Виправлення (Remediation / Налаштування)
                                🖥️ Графічний інтерфейс (GUI / WebUI)

                                Щоб установити рекомендовану конфігурацію через GP, установіть для наступного шляху інтерфейсу користувача значення Увімк. (рекомендовано): Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Public Profile\Firewall state

                                  Значення за замовчуванням: Увімкнено (рекомендовано). (Брандмауер Windows із розширеною безпекою буде активним у цьому профілі.)
                                  📋 CIS Controls & Нормативні посилання
                                  1. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows-firewall/best-practices-configuring
                                  2. GRID: MS-00000187
                                  CIS Controls V8: 4.5
                                  IG 1, 2, 3
                                  Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                  CIS Controls V7: 9.4
                                  IG 1, 2, 3
                                  Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                  9.3.2 Переконайтеся, що для параметра «Брандмауер Windows: загальнодоступний: вхідні з’єднання» встановлено значення «Блокувати (за замовчуванням)» (Автоматизовано)

                                  Level 1Автоматизовано

                                  Оригінал: Ensure ‘Windows Firewall: Public: Inbound connections’ is set to ‘Block (default)’ (Automated)

                                  Цей параметр визначає поведінку вхідних з’єднань, які не відповідають правило вхідного брандмауера. Рекомендований стан для цього параметра: Блокувати (за замовчуванням).

                                  💡 Обґрунтування безпеки:

                                  Якщо брандмауер дозволяє всьому трафіку отримати доступ до системи, то загрози може бути більше легко віддалено використовувати слабкі місця в мережевій службі.

                                  ⚠️ Вплив на робочий процес (Impact):

                                  Немає – це типова поведінка.

                                  🔍 Аудит (перевірка налаштувань)
                                  🖥️ Графічний інтерфейс (GUI / WebUI)

                                  Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile:DefaultInbound Action

                                    ⚙️ Виправлення (Remediation / Налаштування)
                                    🖥️ Графічний інтерфейс (GUI / WebUI)

                                    Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача на Блокувати (за замовчуванням): Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Public Profile\Inbound connections

                                      Значення за замовчуванням: Блокувати (за замовчуванням). (Брандмауер Windows із розширеною безпекою блокуватиме всі вхідні з’єднання, які не відповідають правилу вхідного брандмауера в цьому профілі.)
                                      📋 CIS Controls & Нормативні посилання
                                      1. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows-firewall/best-practices-configuring
                                      2. GRID: MS-00000188
                                      CIS Controls V8: 4.5
                                      IG 1, 2, 3
                                      Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                      CIS Controls V7: 9.4
                                      IG 1, 2, 3
                                      Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                      CIS Controls V7: 11.2
                                      IG 1, 2
                                      Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.

                                      9.3.3 Переконайтеся, що для параметра «Брандмауер Windows: Загальнодоступний: Налаштування: Відображати сповіщення» встановлено значення «Ні» (Автоматизовано)

                                      Level 1Автоматизовано

                                      Оригінал: Ensure ‘Windows Firewall: Public: Settings: Display a notification’ is set to ‘No’ (Automated)

                                      Виберіть цей параметр, щоб брандмауер Windows із розширеною безпекою відображав сповіщення користувачеві, коли програмі заблоковано отримання вхідних з’єднань. Рекомендований стан для цього параметра: Ні.

                                      💡 Обґрунтування безпеки:

                                      Деякі організації можуть віддати перевагу уникати тривоги користувачів, коли правила брандмауера блокують певні види мережевої активності. Однак сповіщення можуть бути корисними під час усунення несправностей проблеми з мережею, пов’язані з брандмауером.

                                      ⚠️ Вплив на робочий процес (Impact):

                                      Брандмауер Windows не відображатиме сповіщення, коли програму заблоковано отримання вхідних з’єднань.

                                      🔍 Аудит (перевірка налаштувань)
                                      🖥️ Графічний інтерфейс (GUI / WebUI)

                                      Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile:DisableNotific ations

                                        ⚙️ Виправлення (Remediation / Налаштування)
                                        🖥️ Графічний інтерфейс (GUI / WebUI)

                                        Щоб установити рекомендовану конфігурацію через GP, установіть для такого шляху інтерфейсу користувача значення «Ні»: Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Public Profile\Settings Customize\Display a notification

                                          Значення за замовчуванням: так (Брандмауер Windows із розширеною безпекою відобразить сповіщення, коли програмі заблоковано отримання вхідних з’єднань.)
                                          📋 CIS Controls & Нормативні посилання
                                          1. GRID: MS-00000189
                                          CIS Controls V8: 4.5
                                          IG 1, 2, 3
                                          Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                          CIS Controls V7: 9.4
                                          IG 1, 2, 3
                                          Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                          CIS Controls V7: 11.2
                                          IG 1, 2
                                          Document Traffic Configuration Rules All configuration rules that allow traffic to flow through network devices should be documented in a configuration management system with a specific business reason for each rule, a specific individual’s name responsible for that business need, and an expected duration of the need.

                                          9.3.4 Переконайтеся, що «Брандмауер Windows: Загальнодоступний: Журнал: Ім’я» налаштовано (Автоматизовано)

                                          Level 1Автоматизовано

                                          Оригінал: Ensure ‘Windows Firewall: Public: Logging: Name’ is configured (Automated)

                                          Цей параметр політики використовується для вказівки шляху та імені файлу, у якому знаходиться Windows Брандмауер запише інформацію в журнал. Рекомендований стан для цього параметра: налаштовано. Приклад: %SystemRoot%\System32\logfiles\firewall\publicfw.log.

                                          💡 Обґрунтування безпеки:

                                          Якщо події брандмауера Windows не записуються, це може бути важко або неможливо Адміністратори для аналізу системних проблем або несанкціонованих дій зловмисників. Microsoft зберігає всі події брандмауера як один файл у системі (pfirewall.log). до покращити журналювання, розділити кожен профіль брандмауера (доменний, приватний, загальнодоступний) на окремий окремий файл журналу (domainfw.log, privatefw.log, publicfw.log) для кращої організації та визначення конкретних проблем у кожному профілі.

                                          ⚠️ Вплив на робочий процес (Impact):

                                          Файл журналу зберігатиметься в місці та файлі, визначених організацією.

                                          🔍 Аудит (перевірка налаштувань)
                                          🖥️ Графічний інтерфейс (GUI / WebUI)

                                          Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_SZ \.log. Де – це розташування, а – ім’я журналу, указане організацією. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile\Logging:LogFil ePath

                                            ⚙️ Виправлення (Remediation / Налаштування)
                                            🖥️ Графічний інтерфейс (GUI / WebUI)

                                            Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача до <шлях>\<ім’я файлу>.log: де <шлях> — це розташування, а <файл> — це ім’я журналу, указане організацією. Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Public Profile\Logging Customize\Name

                                              Значення за замовчуванням: %SystemRoot%\System32\logfiles\firewall\pfirewall.log
                                              📋 CIS Controls & Нормативні посилання
                                              1. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows-firewall/configure-the-windows-firewall-log
                                              2. GRID: MS-00000192
                                              3. https://learn.microsoft.com/en-us/windows/security/threat-protection/windows-firewall/best-practices-configuring
                                              CIS Controls V8: 8.2
                                              IG 1, 2, 3
                                              Collect Audit Logs Collect audit logs. Ensure that logging, per the enterprise’s audit log management process, has been enabled across enterprise assets.

                                              CIS Controls V7: 6.3
                                              IG 1, 2
                                              Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.

                                              CIS Controls V7: 9.4
                                              IG 1, 2, 3
                                              Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                              9.3.5 Переконайтеся, що для параметра «Брандмауер Windows: загальнодоступний: журналювання: обмеження розміру (КБ)» встановлено значення «16 384 КБ або більше» (Автоматизовано)

                                              Level 1Автоматизовано

                                              Оригінал: Ensure ‘Windows Firewall: Public: Logging: Size limit (KB)’ is set to ‘16,384 KB or greater’ (Automated)

                                              Використовуйте цей параметр, щоб указати ліміт розміру файлу, у який брандмауер Windows записуватиме його інформація журналу. Рекомендований стан для цього параметра: 16 384 КБ або більше.

                                              💡 Обґрунтування безпеки:

                                              Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії суб’єктів загрози.

                                              ⚠️ Вплив на робочий процес (Impact):

                                              Розмір файлу журналу буде обмежено вказаним розміром, старі події будуть перезаписані новіші, коли досягнуто ліміту.

                                              🔍 Аудит (перевірка налаштувань)
                                              🖥️ Графічний інтерфейс (GUI / WebUI)

                                              Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 16384. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile\Logging:LogFil eSize

                                                ⚙️ Виправлення (Remediation / Налаштування)
                                                🖥️ Графічний інтерфейс (GUI / WebUI)

                                                Щоб встановити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача на 16 384 КБ або більше: Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Public Profile\Logging Customize\Size limit (KB)

                                                  Значення за замовчуванням: 4096 Кб.
                                                  📋 CIS Controls & Нормативні посилання
                                                  1. GRID: MS-00000193
                                                  CIS Controls V8: 8.3
                                                  IG 1, 2, 3
                                                  Ensure Adequate Audit Log Storage Ensure that logging destinations maintain adequate storage to comply with the enterprise’s audit log management process.

                                                  CIS Controls V7: 6.4
                                                  IG 1, 2
                                                  Ensure adequate storage for logs Ensure that all systems that store logs have adequate storage space for the logs generated.

                                                  CIS Controls V7: 9.4
                                                  IG 1, 2, 3
                                                  Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                                  9.3.6 Переконайтеся, що для параметра «Брандмауер Windows: Загальнодоступний: Журнал: Реєструвати відпущені пакети» встановлено значення «Так» (Автоматизовано)

                                                  Level 1Автоматизовано

                                                  Оригінал: Ensure ‘Windows Firewall: Public: Logging: Log dropped packets’ is set to ‘Yes’ (Automated)

                                                  Використовуйте цей параметр, щоб реєструвати, коли брандмауер Windows із розширеною безпекою скидає вхідний пакет з будь-якої причини. Журнал записує, чому та коли пакет було скинуто. Шукайте записи зі словом DROP у колонці дії журналу. Рекомендований стан для цього параметра: Так.

                                                  💡 Обґрунтування безпеки:

                                                  Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії суб’єктів загрози.

                                                  ⚠️ Вплив на робочий процес (Impact):

                                                  Інформація про скинуті пакети буде записана в файл журналу брандмауера.

                                                  🔍 Аудит (перевірка налаштувань)
                                                  🖥️ Графічний інтерфейс (GUI / WebUI)

                                                  Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile\Logging:LogDro ppedPackets

                                                    ⚙️ Виправлення (Remediation / Налаштування)
                                                    🖥️ Графічний інтерфейс (GUI / WebUI)

                                                    Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача на Так: Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Public Profile\Logging Customize\Log dropped packets

                                                      Значення за замовчуванням: Ні (за замовчуванням). (Інформація про скинуті пакети не записуватиметься у файл журналу брандмауера.)
                                                      📋 CIS Controls & Нормативні посилання
                                                      1. GRID: MS-00000194
                                                      CIS Controls V8: 4.5
                                                      IG 1, 2, 3
                                                      Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                                      CIS Controls V8: 8.5
                                                      IG 1, 2
                                                      Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.

                                                      CIS Controls V7: 6.3
                                                      IG 1, 2
                                                      Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.

                                                      CIS Controls V7: 9.4
                                                      IG 1, 2, 3
                                                      Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                                      9.3.7 Переконайтеся, що для параметра «Брандмауер Windows: загальнодоступний: ведення журналу: журнал успішних з’єднань» встановлено значення «Так» (Автоматизовано)

                                                      Level 1Автоматизовано

                                                      Оригінал: Ensure ‘Windows Firewall: Public: Logging: Log successful connections’ is set to ‘Yes’ (Automated)

                                                      Використовуйте цей параметр, щоб увійти, коли брандмауер Windows із розширеною безпекою дозволяє вхідне з’єднання. У журналі записується, чому і коли було створено з’єднання. Подивіться для записів зі словом ДОЗВОЛИТИ в колонці дії журналу. Рекомендований стан для цього параметра: Так.

                                                      💡 Обґрунтування безпеки:

                                                      Якщо події не реєструються, може бути важко або неможливо визначити першопричину системні проблеми або несанкціоновані дії суб’єктів загрози.

                                                      ⚠️ Вплив на робочий процес (Impact):

                                                      Інформація про успішні підключення буде записана в файл журналу брандмауера.

                                                      🔍 Аудит (перевірка налаштувань)
                                                      🖥️ Графічний інтерфейс (GUI / WebUI)

                                                      Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 1. HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile\Logging:LogSuc cessfulConnections

                                                        ⚙️ Виправлення (Remediation / Налаштування)
                                                        🖥️ Графічний інтерфейс (GUI / WebUI)

                                                        Щоб установити рекомендовану конфігурацію через GP, установіть для наступного шляху інтерфейсу користувача значення Так. Computer Configuration\Policies\Windows Settings\Security Settings\Windows Defender Firewall with Advanced Security\Windows Defender Firewall with Advanced Security\Windows Defender Firewall Properties\Public Profile\Logging Customize\Log успішні підключення

                                                          Значення за замовчуванням: Ні (за замовчуванням). (Інформація про успішні підключення не буде записана у файл журналу брандмауера.)
                                                          📋 CIS Controls & Нормативні посилання
                                                          1. GRID: MS-00000195
                                                          CIS Controls V8: 4.5
                                                          IG 1, 2, 3
                                                          Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                                          CIS Controls V8: 8.5
                                                          IG 1, 2
                                                          Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.

                                                          CIS Controls V7: 6.3
                                                          IG 1, 2
                                                          Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.

                                                          CIS Controls V7: 9.4
                                                          IG 1, 2, 3
                                                          Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

                                                          10 Network List Manager Policies This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. 11 Wireless Network (IEEE 802.11) Policies This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. 12 Public Key Policies This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. 13 Software Restriction Policies This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. 14 Network Access Protection NAP Client Configuration This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. 15 Application Control Policies This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. 16 IP Security Policies This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. 17 Advanced Audit Policy Configuration This section contains recommendations for configuring the Windows audit facilities.

                                                          17.1 Account Logon This section contains recommendations for configuring the Account Logon audit policy.

                                                          Потрібні інші розділи стандарту?

                                                          Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


                                                          До повного змісту CIS Microsoft Windows 11 Stand-alone Benchmark →