5. Системні служби
Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Системні служби».
Рекомендацій: 38
Windows 11 Stand-alone v5.0.0
5.1 Переконайтеся, що для параметра «Служба аудіошлюзу Bluetooth (BTAGService)» встановлено значення «Вимкнено» (Автоматизовано)
Сервіс, що підтримує роль аудіошлюзу профілю Bluetooth Handsfree. Рекомендований стан для цього параметра: вимкнено.
Технологія Bluetooth має невід’ємні ризики для безпеки, особливо до стандарту v2.1. Бездротовий трафік Bluetooth погано зашифрований (якщо взагалі), тому має високий рівень безпеки середовища, це не повинно бути дозволено, незважаючи на додаткові незручності мати можливість використовувати пристрої Bluetooth.
Пристрої Bluetooth hands-free не працюватимуть належним чином із комп’ютером.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\BTAGService: Start
замінив стару службу Bluetooth Handsfree (BthHFSrv), яку було видалено з
Windows у цьому випуску (це не просто перейменування, а інша служба).
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000128
IG 1, 2
IG 1, 2
5.2 Переконайтеся, що для параметра «Служба підтримки Bluetooth (bthserv)» встановлено значення «Вимкнено» (Автоматизовано)
Служба Bluetooth підтримує виявлення та асоціацію віддалених пристроїв Bluetooth. Рекомендований стан для цього параметра: вимкнено.
Технологія Bluetooth має невід’ємні ризики для безпеки, особливо до стандарту v2.1. Бездротовий трафік Bluetooth погано зашифрований (якщо взагалі), тому має високий рівень безпеки середовища, це не повинно бути дозволено, незважаючи на додаткові незручності мати можливість використовувати пристрої Bluetooth.
Уже встановлені пристрої Bluetooth можуть не працювати належним чином, а нові пристрої можуть запобігти виявленню або пов’язанню. Якщо встановлено пристрої Bluetooth, тоді деякі компоненти Windows, наприклад пристрої та принтери, можуть не працювати правильно – включаючи висіння/заморожування при відкритті. Рішення, окрім повторного ввімкнення Ця послуга полягає в тому, щоб вимкнути або видалити пристрій (пристрої) Bluetooth, що порушує правила, у Диспетчері пристроїв, або взагалі вимкнути пристрій через системний BIOS (якщо це вбудований Bluetooth пристрій).
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\bthserv:Start
Щоб встановити рекомендовану конфігурацію, виконайте таку команду PowerShell: Set-Service -Name bthserv -StartupType Disabled
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000129
IG 1, 2
IG 1, 2
5.3 Переконайтеся, що для параметра «Комп’ютерний браузер (браузер)» встановлено значення «Вимкнено» або «Не встановлено» (Автоматизовано)
Підтримує оновлений список комп’ютерів у мережі та надає цей список комп’ютери, призначені як браузери. Рекомендований стан для цього параметра: вимкнено або не встановлено. Примітка. У Windows 8.1 і Windows 10 ця служба входить до складу SMB 1.0/CIFS Додаткова функція підтримки обміну файлами. Як результат, видалення цієї функції (високо рекомендовано, якщо не потрібна зворотна сумісність із XP/2003 і старішими Windows ОС – див. Припинення використання SMB1 | Зберігання в Microsoft) також виправить це рекомендація. Ця функція не встановлюється за замовчуванням, починаючи з Windows 10 R1709.
Це застаріла служба — її єдина мета — підтримувати список комп’ютерів і їх мережевих спільних ресурсів у середовищі (тобто «Мережеве оточення»). Якщо ввімкнено, це створює багато непотрібного трафіку, включно з «виборами», щоб побачити, хто стане першим “головний браузер”. Цей шумний трафік також може допомогти зловмисникам у виявленні онлайн-машини, оскільки сервіс також дозволяє будь-кому “переглядати” спільні ресурси без будь-якої автентифікації. Раніше ця служба працювала за замовчуванням Версії Windows (наприклад, Windows XP), але сьогодні це залишається лише для попередніх версій сумісність із дуже старим програмним забезпеченням, яке цього вимагає.
Список комп’ютерів та їхні спільні ресурси в мережі не оновлюватимуться та не підтримуватимуться.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 4 або тим, що ключ не існує. HKLM\SYSTEM\CurrentControlSet\Services\Browser: Початкова
Щоб встановити рекомендовану конфігурацію, виконайте наведену нижче команду PowerShell або переконайтеся, що службу не встановлено. Set-Service -Name Browser -StartupType вимкнено
📋 CIS Controls & Нормативні посилання
- https://blogs.technet.microsoft.com/filecab/2016/09/16/stop-using-smb1/
- GRID: MS-00000130
IG 1, 2
IG 1, 2
5.4 Переконайтеся, що для «Менеджера завантажених карт (MapsBroker)» встановлено значення «Вимкнено» (Автоматизовано)
Служба Windows для доступу програми до завантажених карт. Ця послуга запущена на- запит програми, яка отримує доступ до завантажених карт.
Технології картографування можуть мимоволі розкрити ваше місцезнаходження зловмисникам та іншим програмне забезпечення, яке збирає інформацію. Крім того, автоматичні завантаження даних з сторонні джерела повинні бути зведені до мінімуму, коли вони не потрібні. Тому ця послуга не повинні бути потрібні в середовищах із високим рівнем безпеки.
Додатки не матимуть доступу до даних карт.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\MapsBroker: Start
Щоб встановити рекомендовану конфігурацію, виконайте таку команду PowerShell: Set-Service -Name MapsBroker -StartupType Disabled
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000131
IG 1, 2
IG 1, 2
5.5 Переконайтеся, що для «GameInput Service (GameInputSvc)» встановлено значення «Disabled» (Автоматизовано)
Ця послуга дозволяє використовувати клавіатури, миші, геймпади та інші пристрої введення для використовувати з GameInput API. Рекомендований стан для цього параметра: вимкнено. Примітка. Служба GameInput працює як LocalSystem у власному процесі GameInputSvc.exe і не ділиться своїм процесом з іншими службами.
GameInput API передає вхідні дані з клавіатур, мишок, геймпадів та інших ігор контролери через прямий доступ до пам’яті (DMA), щоб зменшити затримку під час ігор продуктивність. Таке використання DMA збільшує ризик введення даних (особливо натискань клавіш) бути захопленим зловмисником.
Пристрої введення не зможуть використовувати GameInput API.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\GameInputSvc:Start
Щоб встановити рекомендовану конфігурацію, виконайте таку команду PowerShell: Set-Service -Name GameInputSvc -StartupType Disabled
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/gaming/gdk/_content/gc/input/overviews/input-overview
- GRID: MS-00000607
IG 1, 2
IG 1, 2
5.6 Переконайтеся, що для «Служби геолокації (lfsvc)» встановлено значення «Вимкнено» (Автоматизовано)
Ця служба відстежує поточне розташування системи та керує геозонами (a географічне положення з пов’язаними подіями). Рекомендований стан для цього параметра: вимкнено.
Цей параметр впливає на функцію місцезнаходження (наприклад, GPS або інше відстеження місцезнаходження). Від а З точки зору безпеки, здебільшого не варто повідомляти про своє місцезнаходження програмному забезпеченню випадків, але існують законні способи використання, наприклад програмне забезпечення для картографування. Однак вони повинні не можна використовувати в умовах високого рівня безпеки.
Програми не зможуть використовувати або отримувати сповіщення про геолокацію чи геозони.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\lfsvc:Start
Щоб встановити рекомендовану конфігурацію, виконайте таку команду PowerShell: Set-Service -Name lfsvc -StartupType Disabled
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000132
IG 1, 2
IG 1, 2
5.7 Переконайтеся, що для параметра «Служба адміністрування IIS (IISADMIN)» встановлено значення «Вимкнено» або «Не встановлено» (Автоматизовано)
Дозволяє серверу адмініструвати метабазу IIS. Метабаза IIS зберігає налаштування для служб SMTP і FTP. Рекомендований стан для цього параметра: вимкнено або не встановлено. Примітка. Ця служба не встановлена за замовчуванням. Поставляється з Windows, але встановлюється увімкнувши додаткову функцію Windows (Internet Information Services). Примітка №2. Організація може вибірково надавати винятки веб-розробникам дозволити IIS (або інший веб-сервер) на їхній робочій станції, щоб вони могли локально тестувати & розробляти веб-сторінки. Однак організація повинна відстежувати ці машини та забезпечити актуальність засобів контролю безпеки та пом’якшення, щоб зменшити ризик компроміс.
Розміщення веб-сайту з робочої станції є підвищеним ризиком для безпеки, оскільки поверхня атаки цієї робочої станції тоді значно збільшується. Якщо належних заходів безпеки немає шанс успішної атаки значно зростає. Примітка. Ця проблема безпеки стосується будь-якої програми веб-сервера, встановленої на a робоча станція, а не лише IIS.
Служби IIS не працюватимуть, зокрема служби Web, SMTP або FTP.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 4 або тим, що ключ не існує. HKLM\SYSTEM\CurrentControlSet\Services\IISADMIN: Початкова
Щоб встановити рекомендовану конфігурацію, виконайте наведену нижче команду PowerShell або переконайтеся, що службу не встановлено. Set-Service -Name IISADMIN -StartupType вимкнено
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000133
IG 1, 2
IG 1, 2
5.8 Переконайтеся, що для параметра «Послуга інфрачервоного монітора (irmon)» встановлено значення «Вимкнено» або «Не встановлено» (Автоматизовано)
Виявляє інші інфрачервоні пристрої, які знаходяться в зоні дії, і запускає передачу файлів додаток. Рекомендований стан для цього параметра: вимкнено або не встановлено.
Інфрачервоні з’єднання потенційно можуть бути джерелом зламу даних, особливо через функція автоматичної «програми для передачі файлів». Системи, керовані підприємством, повинні використовуйте більш безпечний метод з’єднання, ніж інфрачервоне з’єднання.
Інфрачервоне передавання файлів не працюватиме.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 4 або тим, що ключ не існує. HKLM\SYSTEM\CurrentControlSet\Services\irmon: Пуск
Щоб встановити рекомендовану конфігурацію, виконайте наведену нижче команду PowerShell або переконайтеся, що службу не встановлено. Set-Service -Name irmon -StartupType вимкнено
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000134
IG 1, 2
IG 1, 2
5.9 Переконайтеся, що для «Link-Layer Topology Discovery Mapper (lltdsvc)» встановлено значення «Disabled» (Автоматизовано)
Створює мережеву карту, що складається з топології ПК і пристрою (підключення) інформацію та метадані, що описують кожен ПК і пристрій. Рекомендований стан для цього параметра: вимкнено.
Функція, яку вмикає ця служба, потенційно може бути використана для несанкціонованого використання виявлення та підключення до мережевих пристроїв. Відключення служби допомагає запобігти відповіді на запити щодо виявлення топології мережі в середовищах із високим рівнем безпеки.
Карта мережі не працюватиме належним чином.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\lltdsvc:Start
Щоб встановити рекомендовану конфігурацію, виконайте таку команду PowerShell: Set-Service -Name lltdsvc -StartupType Disabled
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000136
IG 1, 2
IG 1, 2
5.10 Переконайтеся, що для параметра «Служба Microsoft FTP (FTPSVC)» встановлено значення «Вимкнено» або «Не встановлено» (Автоматизовано)
Дозволяє серверу бути сервером протоколу передачі файлів (FTP). Рекомендований стан для цього параметра: вимкнено або не встановлено. Примітка. Ця служба не встановлена за замовчуванням. Поставляється з Windows, але встановлюється увімкнувши додаткову функцію Windows (Internet Information Services – FTP Server).
Розміщення FTP-сервера (особливо незахищеного FTP-сервера) з робочої станції є підвищений ризик безпеки, оскільки поверхня для атаки цієї робочої станції є значною збільшився. Примітка. Ця проблема безпеки стосується будь-якої програми FTP-сервера, встановленої на a робоча станція, а не лише IIS.
Комп’ютер не працюватиме як FTP-сервер.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 4 або тим, що ключ не існує. HKLM\SYSTEM\CurrentControlSet\Services\FTPSVC: Пуск
Щоб встановити рекомендовану конфігурацію, виконайте наведену нижче команду PowerShell або переконайтеся, що службу не встановлено. Set-Service -Name FTPSVC -StartupType вимкнено
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000138
IG 1, 2
IG 1, 2
5.11 Переконайтеся, що для параметра «Служба ініціатора Microsoft iSCSI (MSiSCSI)» встановлено значення «Вимкнено» (Автоматизовано)
Керує сеансами Internet SCSI (iSCSI) з цього комп’ютера на віддалені цільові пристрої. Рекомендований стан для цього параметра: вимкнено.
Ця служба вкрай необхідна для безпосереднього підключення до пристрою iSCSI. Однак сам iSCSI використовує дуже слабкий протокол автентифікації (CHAP), що означає що паролі для зв’язку iSCSI легко розкриваються, якщо не весь трафік ізольовано та/або зашифровано за допомогою іншої технології, наприклад IPsec. Ця послуга є зазвичай більше підходить для серверів у контрольованому середовищі, ніж для робочих станцій вимагають високого рівня безпеки.
Комп’ютер не зможе напряму ввійти або отримати доступ до цілей iSCSI.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\MSiSCSI:Start
Щоб встановити рекомендовану конфігурацію, виконайте таку команду PowerShell: Set-Service -Name MSiSCSI -StartupType Disabled
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000139
IG 1, 2
IG 1, 2
5.12 Переконайтеся, що для параметра «Сервер OpenSSH SSH (sshd)» встановлено значення «Вимкнено» або «Не встановлено» (Автоматизовано)
Сервіс на основі протоколу SSH для забезпечення безпечного зашифрованого зв’язку між двома ненадійні хости в незахищеній мережі. Рекомендований стан для цього параметра: вимкнено або не встановлено. Примітка. Ця служба не встановлена за замовчуванням. Він поставляється разом з Windows, але він є встановлено шляхом увімкнення додаткової функції Windows (сервер OpenSSH).
Розміщення SSH-сервера з робочої станції є підвищеним ризиком для безпеки, як і атака тоді площа цієї робочої станції значно збільшується. Примітка. Ця проблема безпеки стосується будь-якої серверної програми SSH, встановленої на a робоча станція, а не лише та, що постачається з Windows.
Робочій станції не буде дозволено бути хост-сервером SSH.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 4 або тим, що ключ не існує. HKLM\SYSTEM\CurrentControlSet\Services\sshd: Пуск
Щоб встановити рекомендовану конфігурацію, виконайте наведену нижче команду PowerShell або переконайтеся, що службу не встановлено. Set-Service -Name sshd -StartupType вимкнено
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000140
IG 1, 2
IG 1, 2
5.13 Переконайтеся, що для «Протоколу розпізнавання імен однорангових пристроїв (PNRPsvc)» встановлено значення «Вимкнено» або «Не встановлено» (Автоматизовано)
Вмикає безсерверну розпізнавання імен однорангових вузлів через Інтернет за допомогою імені однорангового пристрою Протокол резолюції (PNRP). Рекомендований стан для цього параметра: вимкнено або не встановлено.
Peer Name Resolution Protocol — це розподілений і (переважно) безсерверний спосіб обробки дозвіл імен клієнтів один з одним. У середовищі високого рівня безпеки це більше надійно покладатися на централізовані методи визначення імен, які обслуговуються уповноваженим персоналом.
Деякі однорангові програми та програми для спільної роботи, наприклад Remote Assistance, можуть не працювати функція.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 4 або тим, що ключ не існує. HKLM\SYSTEM\CurrentControlSet\Services\PNRPsvc: Пуск
Щоб установити рекомендовану конфігурацію через GP, установіть наступний шлях інтерфейсу користувача на: Вимкнено або переконайтеся, що службу не встановлено. Set-Service -Name PNRPsvc -StartupType вимкнено
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000141
IG 1, 2
IG 1, 2
5.14 Переконайтеся, що для параметра «Групування однорангових мереж (p2psvc)» встановлено значення «Вимкнено» або «Не встановлено» (Автоматизовано)
Вмикає багатостороннє спілкування за допомогою однорангового групування. Рекомендований стан для цього параметра: вимкнено або не встановлено.
Peer Name Resolution Protocol — це розподілений і (переважно) безсерверний спосіб обробки дозвіл імен клієнтів один з одним. У середовищі високого рівня безпеки це більше надійно покладатися на централізовані методи визначення імен, які обслуговуються уповноваженим персоналом.
Деякі програми, наприклад HomeGroup, можуть не працювати.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 4 або тим, що ключ не існує. HKLM\SYSTEM\CurrentControlSet\Services\p2psvc: Пуск
Щоб установити рекомендовану конфігурацію через GP, установіть наступний шлях інтерфейсу користувача на: Вимкнено або переконайтеся, що службу не встановлено. Set-Service -Name p2psvc -StartupType вимкнено
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000142
IG 1, 2
IG 1, 2
5.15 Переконайтеся, що для «Менеджера ідентифікації однорангової мережі (p2pimsvc)» встановлено значення «Вимкнено» або «Не встановлено» (Автоматизовано)
Надає послуги ідентифікації для протоколу розпізнавання імен однорангових пристроїв (PNRP) і однорангових Послуги однорангового групування. Рекомендований стан для цього параметра: вимкнено або не встановлено.
Peer Name Resolution Protocol — це розподілений і (переважно) безсерверний спосіб обробки дозвіл імен клієнтів один з одним. У середовищі високого рівня безпеки це більше надійно покладатися на централізовані методи визначення імен, які обслуговуються уповноваженим персоналом.
Протокол розпізнавання імен однорангових пристроїв (PNRP) і служби однорангового групування можуть не працює, а деякі програми, наприклад HomeGroup і Remote Assistance, можуть працювати не працює належним чином.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 4 або тим, що ключ не існує. HKLM\SYSTEM\CurrentControlSet\Services\p2pimsvc: Пуск
Щоб установити рекомендовану конфігурацію через GP, встановіть наступний шлях інтерфейсу користувача: Вимкнено або Не встановлено. Set-Service -Name p2pimsvc -StartupType вимкнено
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000143
IG 1, 2
IG 1, 2
5.16 Ensure ‘PNRP Machine Name Publication Service (PNRPAutoReg)’ is set to ‘Disabled’ or ‘Not Installed’ (Automated) Profile Applicability
5.17 Переконайтеся, що для параметра «Пулер друку (спулер)» встановлено значення «Вимкнено» (Автоматизовано)
Ця служба збирає завдання друку та обробляє взаємодію з принтерами. Рекомендований стан для цього параметра: вимкнено.
У середовищі високого рівня безпеки непотрібні служби, особливо ті з відомими уразливості повинні бути відключені. Вимкнення служби диспетчера друку (Spooler) зменшує вразливість PrintNightmare (CVE-2021-34527) та інші атаки на службу.
Користувачі не зможуть друкувати, включаючи друк у файли (наприклад, Adobe Portable Формат документа (PDF)), який використовує службу диспетчера друку.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\Spooler: Start
Щоб встановити рекомендовану конфігурацію, виконайте таку команду PowerShell: Set-Service -Name Spooler -StartupType Disabled
📋 CIS Controls & Нормативні посилання
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527
- GRID: MS-00000145
IG 1, 2
IG 1, 2
5.18 Переконайтеся, що для параметра «Звіти про проблеми та рішення панелі підтримки (wercplsupport)» встановлено значення «Вимкнено» (Автоматизовано)
Ця послуга забезпечує підтримку перегляду, надсилання та видалення проблем на системному рівні звіти для панелі керування «Звіти про проблеми та рішення». Рекомендований стан для цього параметра: вимкнено.
Ця служба бере участь у процесі відображення/повідомлення про проблеми та рішення до/від Microsoft. У середовищі високого рівня безпеки, що запобігає надсиланню цієї інформації може допомогти зменшити проблеми конфіденційності конфіденційної корпоративної інформації.
Надсилання та перегляд звітів про проблеми та рішення системного рівня до та від Microsoft може більше не працювати.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\wercplsupport:Start
Щоб встановити рекомендовану конфігурацію, виконайте таку команду PowerShell: Set-Service -Name wercplsupport -StartupType Disabled
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000146
IG 1, 2
IG 1, 2
5.19 Ensure ‘Remote Access Auto Connection Manager (RasAuto)’ is set to ‘Disabled’ (Automated) Profile Applicability
5.20 Переконайтеся, що для параметра «Конфігурація віддаленого робочого стола (SessionEnv)» встановлено значення «Вимкнено» (Автоматизовано)
Служба конфігурації віддаленого робочого стола (RDCS) відповідає за весь віддалений робочий стіл пов’язані дії з конфігурації та обслуговування сеансу, які вимагають контексту SYSTEM. До них належать тимчасові папки для кожного сеансу, теми RD і сертифікати RD. Рекомендований стан для цього параметра: вимкнено.
У середовищі високого рівня безпеки доступ до віддаленого робочого столу становить підвищений ризик безпеки. Для цих середовищ має бути дозволений лише доступ до локальної консолі.
Користувачі не зможуть використовувати віддалену допомогу.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\SessionEnv:Start
Щоб встановити рекомендовану конфігурацію, виконайте таку команду PowerShell: Set-Service -Name SessionEnv -StartupType Disabled
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000148
IG 1, 2
IG 1, 2
5.21 Переконайтеся, що для параметра «Служби віддаленого робочого стола (TermService)» встановлено значення «Вимкнено» (Автоматизовано)
Дозволяє користувачам інтерактивно підключатися до віддаленого комп’ютера. Віддалений робочий стіл і Сервер хосту сеансу віддаленого робочого стола залежить від цієї служби. Рекомендований стан для цього параметра: вимкнено.
У середовищі високого рівня безпеки доступ до віддаленого робочого столу становить підвищений ризик безпеки. Для цих середовищ має бути дозволений лише доступ до локальної консолі.
Служби віддаленого робочого стола будуть недоступні на комп’ютері.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\TermService:Start
Щоб встановити рекомендовану конфігурацію, виконайте таку команду PowerShell: Set-Service -Name TermService -StartupType Disabled
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000149
IG 1, 2
IG 1, 2
5.22 Переконайтеся, що для параметра «Remote Desktop Services UserMode Port Redirector (UmRdpService)» встановлено значення «Disabled» (Автоматизовано)
Дозволяє перенаправляти принтери/диски/порти для підключень RDP. Рекомендований стан для цього параметра: вимкнено.
У чутливому до безпеки середовищі бажано зменшити можливу поверхню атаки – запобігання перенаправлення портів COM, LPT і PnP зменшить кількість несподівані шляхи викрадання даних та/або передачі шкідливого коду в межах RDP сесії.
Принтери, накопичувачі та порти (COM, LPT, PnP тощо) не можна буде перенаправляти всередині сеансів RDP.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\UmRdpService:Start
Щоб встановити рекомендовану конфігурацію, виконайте таку команду PowerShell: Set-Service -Name UmRdpService -StartupType Disabled
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000150
IG 1, 2
IG 1, 2
5.23 Переконайтеся, що для параметра «Пошук віддаленого виклику процедури (RPC) (RpcLocator)» встановлено значення «Вимкнено» (Автоматизовано)
У Windows 2003 і старіших версіях Windows Remote Procedure Call (RPC) Служба локатора керує базою даних служби імен RPC. У Windows Vista або новішій версії Windows ця служба не надає жодних функцій і доступна для сумісність додатків. Рекомендований стан для цього параметра: вимкнено.
Це застаріла служба, яка не має жодної цінності чи мети, крім сумісності програм для дуже старого програмного забезпечення. Його слід вимкнути, якщо немає певної старої програми використовується в системі, яка цього вимагає.
Ніякого впливу, якщо цього не вимагає стара застаріла програма.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\RpcLocator:Start
Щоб встановити рекомендовану конфігурацію, виконайте таку команду PowerShell: Set-Service -Name RpcLocator -StartupType Disabled
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000151
IG 1, 2
IG 1, 2
5.24 Переконайтеся, що для параметра «Віддалений реєстр (RemoteRegistry)» встановлено значення «Вимкнено» (Автоматизовано)
Дозволяє віддаленим користувачам переглядати та змінювати параметри реєстру на цьому комп’ютері. Рекомендований стан для цього параметра: вимкнено.
У середовищі високого рівня безпеки віддалений доступ до реєстру збільшується ризик безпеки.
Реєстр можуть переглядати та змінювати лише користувачі на комп’ютері. Примітка. Багато інструментів віддаленого адміністрування, наприклад System Center Configuration Manager (SCCM), вимагають, щоб служба віддаленого реєстру працювала для віддаленого управління. Крім того, багато сканерів уразливостей використовують цю службу для доступу до реєстрація дистанційно.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\RemoteRegistry:Start
Щоб встановити рекомендовану конфігурацію, виконайте таку команду PowerShell: Set-Service -Name RemoteRegistry -StartupType Disabled
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000152
IG 1, 2
IG 1, 2
5.25 Переконайтеся, що для параметра «Маршрутизація та віддалений доступ (RemoteAccess)» встановлено значення «Вимкнено» (Автоматизовано)
Пропонує послуги маршрутизації підприємствам у локальних і глобальних мережах. Рекомендований стан для цього параметра: вимкнено.
Основною метою цієї служби є забезпечення функціональності маршрутизатора Windows. Це не є належне використання робочих станцій у керованому середовищі підприємства.
Комп’ютер не можна буде налаштувати як маршрутизатор Windows між різними з’єднання.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\RemoteAccess:Start
Щоб встановити рекомендовану конфігурацію, виконайте таку команду PowerShell: Set-Service -Name RemoteAccess -StartupType Disabled
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000153
IG 1, 2
IG 1, 2
5.26 Переконайтеся, що для параметра «Сервер (LanmanServer)» встановлено значення «Вимкнено» (Автоматизовано)
Підтримує файли, друк і обмін іменованим каналом через мережу для цього комп’ютера. Якщо це послугу зупинено, ці функції будуть недоступні. Рекомендований стан для цього параметра: вимкнено.
У середовищі високого рівня безпеки безпечна робоча станція має бути лише клієнтом, а не клієнтом сервер. Спільне використання ресурсів робочої станції для віддаленого доступу підвищує ризик безпеки поверхня атаки значно вища.
Функції спільного використання файлів, друку та іменованого каналу будуть недоступні на цій машині мережі. Примітка. Багато інструментів віддаленого адміністрування, наприклад System Center Configuration Manager (SCCM), вимагають, щоб служба сервера працювала для віддаленого керування. в Крім того, багато сканерів уразливостей використовують цю службу для віддаленого сканування файлової системи.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer:Start
Щоб встановити рекомендовану конфігурацію, виконайте таку команду PowerShell: Set-Service -Name LanmanServer -StartupType Disabled
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000154
IG 1, 2
IG 1, 2
5.27 Переконайтеся, що для параметра «Прості служби TCP/IP (simptcp)» встановлено значення «Вимкнено» або «Не встановлено» (Автоматизовано)
Підтримує такі служби TCP/IP: Character Generator, Daytime, Discard, Echo, і Цитата дня. Рекомендований стан для цього параметра: вимкнено або не встановлено. Примітка. Ця служба не встановлена за замовчуванням. Поставляється з Windows, але встановлюється увімкнувши додаткову функцію Windows (прості служби TCPIP (тобто echo, daytime тощо)).
Прості служби TCP/IP мають дуже мало цілі на сучасному підприємстві навколишньому середовищу – дозволяючи їм це може збільшити ризик нападу.
Прості служби TCP/IP (генератор символів, денний час, відхилення, відлуння та котирування дня) не будуть доступні.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 4 або тим, що ключ не існує. HKLM\SYSTEM\CurrentControlSet\Services\simptcp: Пуск
Щоб встановити рекомендовану конфігурацію, виконайте наведену нижче команду PowerShell або переконайтеся, що службу не встановлено. Set-Service -Name simptcp -StartupType вимкнено
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-
- server-2008-r2-and-2008/cc725973(v=ws.10)
- GRID: MS-00000155
IG 1, 2
IG 1, 2
5.28 Переконайтеся, що для параметра «Служба SNMP (SNMP)» встановлено значення «Вимкнено» або «Не встановлено» (Автоматизовано)
Дозволяє обробляти запити SNMP (Simple Network Management Protocol). цей комп’ютер. Рекомендований стан для цього параметра: вимкнено або не встановлено. Примітка. Ця служба не встановлена за замовчуванням. Поставляється з Windows, але встановлюється увімкнувши додаткову функцію Windows (Simple Network Management Protocol (SNMP)).
Функції, які дозволяють вхідні мережеві підключення, збільшують поверхню атаки. В а середовище високого рівня безпеки, необхідно керувати захищеними робочими станціями локально.
Комп’ютер не зможе обробляти запити SNMP.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 4 або тим, що ключ не існує. HKLM\SYSTEM\CurrentControlSet\Services\SNMP: Пуск
Щоб встановити рекомендовану конфігурацію, виконайте наведену нижче команду PowerShell або переконайтеся, що службу не встановлено. Set-Service -Name SNMP -StartupType вимкнено
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000156
IG 1, 2
IG 1, 2
5.29 Переконайтеся, що «Special Administration Console Helper (sacsvr)» встановлено на «Disabled» або «Not Installed» (Автоматизовано)
Ця служба дозволяє адміністраторам отримувати віддалений доступ до командного рядка за допомогою Служби управління надзвичайними ситуаціями. Рекомендований стан для цього параметра: вимкнено або не встановлено. Примітка. Ця служба не встановлена за замовчуванням. Він поставляється разом з Windows, але він є інстальовано, увімкнувши додаткову функцію Windows (Windows Emergency Служби керування та послідовна консоль).
Дозволяє використовувати віддалено доступний командний рядок, який надає можливість виконання завдань віддаленого керування на комп’ютері є ризиком для безпеки.
Користувачі не матимуть доступу до віддаленого командного рядка за допомогою служби екстреної допомоги Послуги управління.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 4 або тим, що ключ не існує. HKLM\SYSTEM\CurrentControlSet\Services\sacsvr: Пуск
Щоб встановити рекомендовану конфігурацію, виконайте наведену нижче команду PowerShell або переконайтеся, що службу не встановлено. Set-Service -Name sacsvr -StartupType вимкнено
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000157
IG 1, 2
IG 1, 2
5.30 Переконайтеся, що для параметра «Виявлення SSDP (SSDPSRV)» встановлено значення «Вимкнено» (Автоматизовано)
Виявляє мережеві пристрої та служби, які використовують протокол виявлення SSDP, наприклад як пристрої UPnP. Також повідомляє про пристрої та служби SSDP, що працюють локально комп’ютер. Рекомендований стан для цього параметра: вимкнено.
Universal Plug n Play (UPnP) є реальною загрозою безпеці – він дозволяє автоматично виявляти та підключення до мережевих пристроїв. Зауважте, що UPnP відрізняється від звичайного Plug n Play (PnP). Робочі станції не повинні рекламувати свої послуги (або автоматично виявлення мережевих служб і підключення до них) на підприємстві, яке піклується про безпеку кероване середовище.
Пристрої на основі SSDP не будуть виявлені.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\SSDPSRV: Start
Щоб встановити рекомендовану конфігурацію, виконайте таку команду PowerShell: Set-Service -Name SSDPSRV -StartupType Disabled
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000158
IG 1, 2
IG 1, 2
5.31 Переконайтеся, що для «UPnP Device Host (upnphost)» встановлено значення «Disabled» (Автоматизовано)
Дозволяє розміщувати пристрої UPnP на цьому комп’ютері. Рекомендований стан для цього параметра: вимкнено.
Universal Plug n Play (UPnP) є реальною загрозою безпеці – він дозволяє автоматично виявляти та підключення до мережевих пристроїв. Зазначає, що UPnP відрізняється від звичайного Plug n Play (PnP). Робочі станції не повинні рекламувати свої послуги (або автоматично виявлення мережевих служб і підключення до них) на підприємстві, яке піклується про безпеку кероване середовище.
Будь-які розміщені UPnP-пристрої перестануть працювати, і жодні додаткові розміщені пристрої не зможуть працювати додано.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\upnphost:Start
Щоб встановити рекомендовану конфігурацію, виконайте таку команду PowerShell: Set-Service -Name upnphost -StartupType Disabled
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000159
IG 1, 2
IG 1, 2
5.32 Переконайтеся, що для «Служби веб-керування (WMSvc)» встановлено значення «Вимкнено» або «Не встановлено» (Автоматизовано)
Служба веб-управління надає можливості віддаленого та делегованого керування для адміністраторів для керування веб-сервером, сайтами та програмами, присутніми на машина. Рекомендований стан для цього параметра: вимкнено або не встановлено. Примітка. Ця служба не встановлена за замовчуванням. Поставляється з Windows, але встановлюється увімкнувши додаткову функцію Windows (Internet Information Services – Web Засоби керування – служба керування IIS).
Віддалене веб-адміністрування IIS на робочій станції є підвищеним ризиком для безпеки, оскільки площа атаки цієї робочої станції значно збільшується. Якщо належні заходи безпеки не дотримуються, шанс успішної атаки значно зростає.
Віддалене веб-керування IIS буде недоступним.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 4 або тим, що ключ не існує. HKLM\SYSTEM\CurrentControlSet\Services\WMSvc: Пуск
Щоб встановити рекомендовану конфігурацію, виконайте наведену нижче команду PowerShell або переконайтеся, що службу не встановлено. Set-Service -Name WMSvc -StartupType вимкнено
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000160
IG 1, 2
IG 1, 2
5.33 Переконайтеся, що для «Служби звітування про помилки Windows (WerSvc)» встановлено значення «Вимкнено» (Автоматизовано)
Дозволяє повідомляти про помилки, коли програми перестають працювати або реагувати, і дозволяє наявні рішення, які будуть надані. Також дозволяє генерувати журнали для діагностики та ремонтні послуги. Рекомендований стан для цього параметра: вимкнено.
Якщо помилка Windows виникає в безпечному керованому середовищі підприємства, помилка слід повідомити безпосередньо ІТ-персоналу для усунення несправностей і виправлення. Не існує корпорації буде корисно повідомляти про ці помилки безпосередньо Microsoft, і деякі з них є ризик несвідомого розкриття конфіденційних даних у рамках помилки.
Якщо цю службу зупинено, повідомлення про помилки можуть не працювати належним чином і результати діагностичні послуги та ремонт можуть не відображатися.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\WerSvc:Start
Щоб встановити рекомендовану конфігурацію, виконайте таку команду PowerShell: Set-Service -Name WerSvc -StartupType Disabled
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000161
IG 1, 2
IG 1, 2
5.34 Переконайтеся, що для «Збирача подій Windows (Wecsvc)» встановлено значення «Вимкнено» (Автоматизовано)
Ця служба керує постійними підписками на події з віддалених джерел, які підтримка протоколу WS-Management. Це включає журнали подій Windows Vista, обладнання і джерела подій із підтримкою IPMI. Служба зберігає переслані події в локальній події Журнал. Рекомендований стан для цього параметра: вимкнено.
У середовищі з високим рівнем безпеки повинні бути віддалені підключення до захищених робочих станцій зведено до мінімуму, а функції управління повинні виконуватися локально.
Якщо цю послугу зупинено або вимкнено, неможливо створити підписку на події переслані події не можуть бути прийняті. Примітка. Багато інструментів віддаленого керування та сторонніх інструментів перевірки безпеки залежать від цю послугу.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\Wecsvc:Start
Щоб встановити рекомендовану конфігурацію, виконайте таку команду PowerShell: Set-Service -Name Wecsvc -StartupType Disabled
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000162
IG 1, 2
IG 1, 2
5.35 Ensure ‘Windows Media Player Network Sharing Service (WMPNetworkSvc)’ is set to ‘Disabled’ or ‘Not Installed’ (Automated) Profile Applicability
5.36 Переконайтеся, що для «Служби точки доступу Windows Mobile (icssvc)» встановлено значення «Вимкнено» (Автоматизовано)
Надає можливість ділитися з’єднанням стільникових даних з іншим пристроєм. Рекомендований стан для цього параметра: вимкнено.
Можливість запуску мобільної точки доступу з комп’ютера, підключеного до домену, може бути легкою відкрити внутрішню мережу для wardrivers або інших хакерів.
Функція Windows Mobile Hotspot буде недоступна.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\icssvc:Start
Щоб встановити рекомендовану конфігурацію, виконайте таку команду PowerShell: Set-Service -Name icssvc -StartupType Disabled
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000164
IG 1, 2
IG 1, 2
5.37 Ensure ‘Windows Push Notifications System Service (WpnService)’ is set to ‘Disabled’ (Automated) Profile Applicability
5.38 Переконайтеся, що для «Служби Windows PushToInstall (PushToInstall)» встановлено значення «Вимкнено» (Автоматизовано)
Ця служба керує програмами, які надсилаються на пристрій із програми Microsoft Store працює на інших пристроях або в Інтернеті. Рекомендований стан для цього параметра: вимкнено.
У керованому середовищі з високим рівнем безпеки слід керувати встановленням програм централізовано ІТ-персоналом, а не кінцевими користувачами.
Користувачі не зможуть надсилати програми на цей пристрій із запущеного Microsoft Store інші пристрої або Інтернет.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\PushToInstall:Start
Щоб встановити рекомендовану конфігурацію, виконайте таку команду PowerShell: Set-Service -Name PushToInstall -StartupType Disabled
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000166
IG 1, 2
IG 1, 2
5.39 Ensure ‘Windows Remote Management (WS-Management) (WinRM)’ is set to ‘Disabled’ (Automated) Profile Applicability
5.40 Переконайтеся, що для «Служби публікацій у всесвітній мережі (W3SVC)» встановлено значення «Вимкнено» або «Не встановлено» (Автоматизовано)
Забезпечує підключення до Інтернету та адміністрування через інформаційні служби Інтернету Менеджер. Рекомендований стан для цього параметра: вимкнено або не встановлено. Примітка. Ця служба не встановлена за замовчуванням. Поставляється з Windows, але встановлюється увімкнувши додаткову функцію Windows (Internet Information Services – World Wide веб-служби). Примітка №2. Організація може вибірково надавати винятки веб-розробникам дозволити IIS (або інший веб-сервер) на їхній робочій станції, щоб вони могли локально тестувати і розробляти веб-сторінки. Однак організація повинна відстежувати ці машини та забезпечити актуальність засобів контролю безпеки та пом’якшення, щоб зменшити ризик компроміс.
Розміщення веб-сайту з робочої станції є підвищеним ризиком для безпеки, оскільки поверхня атаки цієї робочої станції тоді значно збільшується. Якщо належних заходів безпеки немає шанс успішної атаки значно зростає. Примітка. Ця проблема безпеки стосується будь-якої програми веб-сервера, встановленої на a робоча станція, а не лише IIS.
Веб-служби IIS не працюватимуть.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 4 або тим, що ключ не існує. HKLM\SYSTEM\CurrentControlSet\Services\W3SVC: Початкова
Щоб встановити рекомендовану конфігурацію, виконайте наведену нижче команду PowerShell або переконайтеся, що службу не встановлено. Set-Service -Name W3SVC -StartupType вимкнено
📋 CIS Controls & Нормативні посилання
- GRID: MS-00000168
IG 1, 2
IG 1, 2
5.41 Ensure ‘Xbox Accessory Management Service (XboxGipSvc)’ is set to ‘Disabled’ (Automated) Profile Applicability
5.42 Переконайтеся, що для «Xbox Live Auth Manager (XblAuthManager)» встановлено значення «Disabled» (Автоматизовано)
Надає послуги автентифікації та авторизації для взаємодії з Xbox Live. Рекомендований стан для цього параметра: вимкнено.
Xbox Live — це ігровий сервіс, якому не місце в керованому корпоративному середовищі (можливо, якщо це не ігрова компанія).
Підключення до Xbox Live може бути невдалим, і програми, які взаємодіють із цією службою, можуть також не вдається.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\XblAuthManager: Start
Щоб встановити рекомендовану конфігурацію, виконайте таку команду PowerShell: Set-Service -Name XblAuthManager -StartupType Disabled
📋 CIS Controls & Нормативні посилання
- https://www.cisecurity.org/insights/blog/update-cis-microsoft-windows-10-enterprise-release-1703-benchmark-v1-0-0
- GRID: MS-00000170
IG 1, 2
IG 1, 2
5.43 Переконайтеся, що для «Xbox Live Game Save (XblGameSave)» встановлено значення «Disabled» (Автоматизовано)
Ця служба синхронізує збережені дані для ігор із підтримкою збереження Xbox Live. Рекомендований стан для цього параметра: вимкнено.
Xbox Live — це ігровий сервіс, якому не місце в керованому корпоративному середовищі (можливо, якщо це не ігрова компанія).
Дані збереження гри не завантажуються в Xbox Live або не завантажуються з нього.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\XblGameSave:Start
Щоб встановити рекомендовану конфігурацію, виконайте таку команду PowerShell: Set-Service -Name XblGameSave -StartupType Disabled
📋 CIS Controls & Нормативні посилання
- https://www.cisecurity.org/insights/blog/update-cis-microsoft-windows-10-enterprise-release-1703-benchmark-v1-0-0
- GRID: MS-00000171
IG 1, 2
IG 1, 2
5.44 Переконайтеся, що для «Xbox Live Networking Service (XboxNetApiSvc)» встановлено значення «Disabled» (Автоматизовано)
Ця служба підтримує програмування додатків Windows.Networking.XboxLive інтерфейс. Рекомендований стан для цього параметра: вимкнено.
Xbox Live — це ігровий сервіс, якому не місце в керованому корпоративному середовищі (можливо, якщо це не ігрова компанія).
Підключення до Xbox Live може бути невдалим, і програми, які взаємодіють із цією службою, можуть також не вдається.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру зі значенням REG_DWORD 4. HKLM\SYSTEM\CurrentControlSet\Services\XboxNetApiSvc:Start
Щоб встановити рекомендовану конфігурацію, виконайте таку команду PowerShell: Set-Service -Name XboxNetApiSvc -StartupType Disabled
📋 CIS Controls & Нормативні посилання
- https://www.cisecurity.org/insights/blog/update-cis-microsoft-windows-10-enterprise-release-1703-benchmark-v1-0-0
- GRID: MS-00000172
IG 1, 2
IG 1, 2
6 Registry This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. 7 File System This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. 8 Wired Network (IEEE 802.3) Policies This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent. 9 Windows Defender Firewall with Advanced Security (formerly Windows Firewall with Advanced Security) This section contains recommendations for configuring the Windows Firewall. Note
Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.
До повного змісту CIS Microsoft Windows 11 Stand-alone Benchmark →