Share via

Standardní hodnoty zabezpečení Windows

  • Článek

Tento článek podrobně popisuje nastavení konfigurace pro hosty Systému Windows, jak je možné použít v následujících implementacích:

  • [Preview]: Počítače s Windows by měly splňovat požadavky na definici konfigurace hosta Azure Policy podle standardních hodnot zabezpečení služby Azure Compute.
  • V Azure Security Center by se měla napravit ohrožení zabezpečení v konfiguraci zabezpečení na vašich počítačích.

Další informace najdete v tématu Konfigurace počítače Azure Automanage.

Důležité

Konfigurace hosta Azure Policy se vztahuje pouze na skladovou položku Windows Serveru a skladovou položku Azure Stack. Nevztahuje se na výpočetní prostředky koncového uživatele, jako jsou SKU Windows 10 a Windows 11.

Zásady účtu – zásady hesel

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Doba trvání uzamčení účtu
(AZ-WIN-73312)		 Popis: Toto nastavení zásad určuje dobu, po kterou musí proběhnout před odemknutím uzamčeného účtu a uživatel se může pokusit znovu přihlásit. Toto nastavení provede zadáním počtu minut, po které uzamčený účet zůstane nedostupný. Pokud je hodnota pro toto nastavení zásad nakonfigurovaná na 0, uzamčené účty zůstanou uzamčené, dokud je správce ručně odemkne. I když se může zdát, že je vhodné nakonfigurovat hodnotu tohoto nastavení zásad na vysokou hodnotu, taková konfigurace pravděpodobně zvýší počet hovorů, které helpdesk obdrží k odemknutí účtů zamknutých omylem. Uživatelé by si měli být vědomi doby, po kterou zámek zůstane na místě, aby si uvědomili, že potřebují zavolat na helpdesk pouze v případě, že mají mimořádně naléhavé potřeby znovu získat přístup ke svému počítači. Doporučený stav pro toto nastavení je: 15 or more minute(s). Poznámka: Nastavení zásad hesel (oddíl 1.1) a nastavení zásad uzamčení účtu (oddíl 1.2) se musí použít prostřednictvím objektu zásad skupiny výchozích zásad domény, aby se jako výchozí chování globálně projevily uživatelské účty domény . Pokud jsou tato nastavení nakonfigurovaná v jiném objektu zásad skupiny, ovlivní pouze místní uživatelské účty v počítačích, které objekt zásad skupiny obdrží. Vlastní výjimky výchozích zásad hesel a pravidel zásad uzamčení účtu pro konkrétní uživatele domény nebo skupiny je však možné definovat pomocí objektů pro Nastavení hesla (PSO), které jsou zcela oddělené od zásad skupiny a nejsnápadněji konfigurují pomocí služby Active Directory Správa istrative Center.
Cesta ke klíči: [Systémový přístup]LockoutDuration
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta zásad skupiny: Konfigurace počítače\Zásady\Zásady systému Windows Nastavení\Zabezpečení Nastavení\Zásady účtu\Zásady uzamčení účtu\Doba trvání uzamčení účtu
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 1.2.1
        CIS WS2019 1.2.1
 >= 15
(Zásady)		 Upozorňující

Správa istrativní šablona – Windows Defender

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Konfigurace detekce potenciálně nežádoucích aplikací
(AZ-WIN-202219)		 Popis: Toto nastavení zásad řídí detekci a akci pro potenciálně nežádoucí aplikace (PUA), které jsou záludnými nežádoucími sadami aplikací nebo jejich sbalenými aplikacemi, které mohou dodávat adware nebo malware. Doporučený stav pro toto nastavení je: Enabled: Block. Další informace najdete na tomto odkazu: Blokování potenciálně nežádoucích aplikací pomocí Antivirová ochrana v programu Microsoft Defender | Microsoft Docs
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows Defender\PUAProtection
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Antivirová ochrana v programu Microsoft Defender\Konfigurace detekce pro potenciálně nežádoucí aplikace
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.9.47.15
        CIS WS2019 18.9.47.15
 = 1
(Registr)		 Kritické
Prohledat všechny stažené soubory a přílohy
(AZ-WIN-202221)		 Popis: Toto nastavení zásad konfiguruje vyhledávání všech stažených souborů a příloh. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: Software\Policies\Microsoft\Windows Defender\Ochrana v reálném čase\DisableIOAVProtection
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Antivirová ochrana v programu Microsoft Defender\Ochrana v reálném čase\Kontrolovat všechny stažené soubory a přílohy
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.9.47.9.1
        CIS WS2019 18.9.47.9.1
 = 0
(Registr)		 Upozorňující
Vypnutí antiviru v programu Microsoft Defender
(AZ-WIN-202220)		 Popis: Toto nastavení zásad vypne Antivirová ochrana v programu Microsoft Defender. Pokud je toto nastavení nakonfigurováno na Zakázáno, Antivirová ochrana v programu Microsoft Defender spustí a počítače zkontrolují malware a další potenciálně nežádoucí software. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: Software\Policies\Microsoft\Windows Defender\DisableAntiSpyware
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta zásad skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Antivirová ochrana v programu Microsoft Defender\Vypnout AntiVirus v programu Microsoft Defender
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.9.47.16
        CIS WS2019 18.9.47.16
 = 0
(Registr)		 Kritické
Vypnutí ochrany v reálném čase
(AZ-WIN-202222)		 Popis: Toto nastavení zásad konfiguruje výzvy ochrany v reálném čase ke zjištění známého malwaru. Antivirová ochrana v programu Microsoft Defender vás upozorní, když se malware nebo potenciálně nežádoucí software pokusí nainstalovat nebo spustit na vašem počítači. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: Software\Policies\Microsoft\Windows Defender\Ochrana v reálném čase\DisableRealtimeMonitoring
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Antivirová ochrana v programu Microsoft Defender\Ochrana v reálném čase\Vypnout ochranu v reálném čase
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.9.47.9.2
        CIS WS2019 18.9.47.9.2
 = 0
(Registr)		 Upozorňující
Zapnutí kontroly e-mailů
(AZ-WIN-202218)		 Popis: Toto nastavení zásad umožňuje konfigurovat kontrolu e-mailů. Když je povolená kontrola e-mailů, modul analyzuje poštovní schránku a poštovní soubory podle jejich konkrétního formátu, aby analyzoval poštovní schránky a přílohy. V současné době se podporuje několik formátů e-mailu, například pst (Outlook), dbx, mbx, mime (Outlook Express), binhex (Mac). Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows Defender\Scan\DisableEmailScanning
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Antivirová ochrana v programu Microsoft Defender\Scan\Zapnout kontrolu e-mailů
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.9.47.12.2
        CIS WS2019 18.9.47.12.2
 = 0
(Registr)		 Upozorňující
Zapnutí kontroly skriptů
(AZ-WIN-202223)		 Popis: Toto nastavení zásad umožňuje zapnout nebo vypnout kontrolu skriptů. Kontrola skriptů zachytí skripty a pak je zkontroluje před spuštěním v systému. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: Software\Policies\Microsoft\Windows Defender\Ochrana v reálném čase\DisableScriptScanning
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Antivirová ochrana v programu Microsoft Defender\Ochrana v reálném čase\Zapnout kontrolu skriptů
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.9.47.9.4
        CIS WS2019 18.9.47.9.4
 = 0
(Registr)		 Upozorňující

Správa istrativní šablony – Ovládací panely

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Povolit přizpůsobení vstupu
(AZ-WIN-00168)		 Popis: Tato zásada umožňuje automatickou výukovou komponentu přizpůsobení vstupu, která zahrnuje řeč, rukopis a psaní. Automatické učení umožňuje shromažďování vzorů řeči a rukopisu, historie psaní, kontaktů a nedávných informací kalendáře. Vyžaduje se pro použití Cortany. Některé z těchto shromážděných informací mohou být uloženy na OneDrivu uživatele v případě rukopisu a psaní; některé z těchto informací se nahrají do Microsoftu, aby se přizpůsobila řeč. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\InputPersonalization\AllowInputPersonalization
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní naDisabled: Konfigurace počítače\Zásady\Správa istrativní šablony\Ovládací panely\Místní a jazykové možnosti\Povolit uživatelům povolit online služby rozpoznávání řeči Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje šablonu zásad skupiny Globalization.admx/adml, která je součástí microsoft Windows 10 RTM (release 1507) Správa istrativní šablony (nebo novější). Poznámka č. 2: Ve starších šablonách systému Microsoft Windows Správa istrativní šablony se toto nastavení původně jmenovalo Povolit přizpůsobení vstupu, ale bylo přejmenováno na Povolit uživatelům povolit online služby rozpoznávání řeči počínaje windows 10 R1809 a Serverem 2019 Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.1.2.2
 = 0
(Registr)		 Upozorňující

Správa istrativní šablony – Průvodce zabezpečením MS

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Zakázání klienta SMB v1 (odebrání závislosti na lanmanWorkstation)
(AZ-WIN-00122)		 Popis: SMBv1 je starší protokol, který používá algoritmus MD5 jako součást protokolu SMB. MD5 je známo, že je zranitelná vůči řadě útoků, jako jsou kolize a předběžné útoky a také nedodržování standardu FIPS.
Cesta ke klíči: SYSTEM\CurrentControlSet\Services\LanmanWorkstation\DependOnService
Operační systém: WS2008, WS2008R2, WS2012
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Konfigurace počítače\Správa istrativní šablony\Průvodce zabezpečením MS\Konfigurace klientského ovladače SMBv1
Standardní mapování dodržování předpisů:
 Neexistuje nebo = Bowser\0MRxSmb20\0NSI\0\0\0
(Registr)		 Kritické
Ověřování WDigest
(AZ-WIN-73497)		 Popis: Pokud je povoleno ověřování WDigest, Lsass.exe uchovává kopii hesla prostého textu uživatele v paměti, kde může být ohroženo krádeží. Pokud toto nastavení není nakonfigurované, ověřování WDigest je zakázané ve Windows 8.1 a v systému Windows Server 2012 R2; ve výchozím nastavení je povolen ve starších verzích Windows a Windows Serveru. Další informace o místníchúčtech Další informace o službě Microsoft Knowledge Base naleznete v UseLogonCredentialčlánku 2871997: Aktualizace poradce pro zabezpečení společnosti Microsoft ke zlepšení ochrany a správy přihlašovacích údajů 13. května 2014. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest\UseLogonCredential
Operační systém: WS2016, WS2019
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\Průvodce zabezpečením MS\WDigest Authentication (zakázání může vyžadovat KB2871997)
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.3.7
        CIS WS2019 18.3.7
 = 0
(Registr)		 Důležité

Správa istrativní šablony – MSS

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
MSS: (DisableIPSourceRouting IPv6) Úroveň ochrany zdrojového směrování IP adres (chrání před falšováním identity paketů)
(AZ-WIN-202213)		 Popis: Směrování zdroje IP adres je mechanismus, který odesílateli umožňuje určit trasu PROTOKOLU IP, kterou má datagram sledovat přes síť. Doporučený stav pro toto nastavení je: Enabled: Highest protection, source routing is completely disabled.
Cesta ke klíči: System\CurrentControlSet\Services\Tcpip6\Parameters\DisableIPSourceRouting
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta zásad skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\MSS (starší verze)\MSS: (DisableIPSourceRouting IPv6) úroveň ochrany zdrojového směrování ip adresy (chrání před falšováním identity paketů)
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.4.2
        CIS WS2019 18.4.2
 = 2
(Registr)		 Informační
MSS: (DisableIPSourceRouting) Úroveň ochrany zdrojového směrování IP (chrání před falšováním identity paketů)
(AZ-WIN-202244)		 Popis: Směrování zdroje IP adres je mechanismus, který odesílateli umožňuje určit trasu PROTOKOLU IP, kterou má datagram projít sítí. Doporučujeme nakonfigurovat toto nastavení tak, aby nebylo definováno pro podniková prostředí a na nejvyšší ochranu pro prostředí s vysokým zabezpečením, aby bylo možné zcela zakázat směrování zdroje. Doporučený stav pro toto nastavení je: Enabled: Highest protection, source routing is completely disabled.
Cesta ke klíči: System\CurrentControlSet\Services\Tcpip\Parameters\DisableIPSourceRouting
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\MSS (starší verze)\MSS: (DisableIPSourceRouting) úroveň ochrany zdroje ip zdroje (chrání před falšováním identity paketů)
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.4.3
        CIS WS2019 18.4.3
 = 2
(Registr)		 Informační
MSS: (NoNameReleaseOnDemand) Umožňuje počítači ignorovat požadavky na vydání názvu Rozhraní NetBIOS s výjimkou serverů WINS.
(AZ-WIN-202214)		 Popis: Rozhraní NetBIOS přes PROTOKOL TCP/IP je síťový protokol, který mimo jiné poskytuje způsob, jak snadno přeložit názvy rozhraní NetBIOS zaregistrované v systémech Windows na IP adresy nakonfigurované v těchto systémech. Toto nastavení určuje, jestli počítač vydá název rozhraní NetBIOS, když obdrží požadavek na vydání verze. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: System\CurrentControlSet\Services\Netbt\Parameters\NoNameReleaseOnDemand
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\MSS (starší verze)\MSS: (NoNameReleaseOnDemand) Umožňuje počítači ignorovat požadavky na vydání názvu NetBIOS s výjimkou serverů WINS.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.4.6
        CIS WS2019 18.4.6
 = 1
(Registr)		 Informační
MSS: (Sejf DllSearchMode) Povolení Sejf režimu vyhledávání knihovny DLL (doporučeno)
(AZ-WIN-202215)		 Popis: Pořadí hledání knihovny DLL lze nakonfigurovat tak, aby hledaly knihovny DLL, které jsou požadovány spuštěním procesů jedním ze dvou způsobů: - Složky vyhledávání zadané v systémové cestě nejprve a pak prohledávat aktuální pracovní složku. - Nejprve vyhledejte aktuální pracovní složku a pak vyhledejte složky zadané v systémové cestě. Pokud je tato možnost povolená, hodnota registru je nastavená na hodnotu 1. Při nastavení 1 systém nejprve prohledá složky zadané v systémové cestě a pak prohledá aktuální pracovní složku. Pokud je zakázaná hodnota registru nastavena na hodnotu 0 a systém nejprve prohledá aktuální pracovní složku a pak prohledá složky zadané v systémové cestě. Aplikace budou nejprve nuceny hledat knihovny DLL v systémové cestě. U aplikací, které vyžadují jedinečné verze těchto knihoven DLL, které jsou součástí aplikace, by tato položka mohla způsobit problémy s výkonem nebo stabilitou. Doporučený stav pro toto nastavení je: Enabled. Poznámka: Další informace o tom, jak funguje režim vyhledávání knihovny DLL Sejf, je k dispozici na tomto odkazu: Pořadí hledání knihovny Dynamic-Link - Aplikace systému Windows | Microsoft Docs
Cesta ke klíči: SYSTEM\CurrentControlSet\Control\Session Manager\Sejf DllSearchMode
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\MSS (starší verze)\MSS: (Sejf DllSearchMode) Povolit režim hledání knihovny DLL Sejf (doporučeno)
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.4.8
        CIS WS2019 18.4.8
 = 1
(Registr)		 Upozorňující
MSS: (WarningLevel) Procentuální prahová hodnota pro protokol událostí zabezpečení, ve kterém systém vygeneruje upozornění
(AZ-WIN-202212)		 Popis: Toto nastavení může vygenerovat audit zabezpečení v protokolu událostí zabezpečení, když protokol dosáhne prahové hodnoty definované uživatelem. Doporučený stav pro toto nastavení je: Enabled: 90% or less. Poznámka: Pokud jsou nastavení protokolu nakonfigurována tak, aby přepsala události podle potřeby nebo přepsat události starší než x dní, tato událost se nevygeneruje.
Cesta ke klíči: SYSTEM\CurrentControlSet\Services\Eventlog\Security\WarningLevel
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta zásad skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\MSS (starší verze)\MSS: (WarningLevel) Procentuální prahová hodnota pro protokol událostí zabezpečení, ve kterém systém vygeneruje upozornění
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.4.12
        CIS WS2019 18.4.12
 <= 90
(Registr)		 Informační
Systém Windows Server musí být nakonfigurovaný tak, aby zabránil přesměrování protokolu ICMP (Internet Control Message Protocol) v přepsání tras generovaných protokolem OSPF (Open Shortest Path First).
(AZ-WIN-73503)		 Popis: Přesměrování protokolu ICMP (Internet Control Message Protocol) způsobí, že zásobník IPv4 přepíná na trasy hostitele. Tyto trasy přepisují generované trasy Open Shortest Path First (OSPF). Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\EnableICMPRedirect
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta zásad skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\MSS (starší verze)\MSS: (EnableICMPRedirect) Povolit přesměrování PROTOKOLU ICMP k přepsání tras generovaných protokolem OSPF
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.4.4
        CIS WS2019 18.4.4
 = 0
(Registr)		 Informační

Správa istrativní šablony – síť

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Povolení nezabezpečených přihlášení hostů
(AZ-WIN-00171)		 Popis: Toto nastavení zásad určuje, jestli klient SMB povolí nezabezpečené přihlášení hosta k serveru SMB. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\LanmanWorkstation\AllowInsecureGuestAuth
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Správa istrativní šablony
etwork\Lanman Workstation\Enable insecure guest logons
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje šablonu zásad skupiny LanmanWorkstation.admx/adml, která je součástí microsoft Windows 10 Release 1511 Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93239
        STIG WS2016 V-73507
        CIS WS2019 18.5.8.1
        CIS WS2022 18.5.8.1
 = 0
(Registr)		 Kritické
Posílené cesty UNC – NETLOGON
(AZ_WIN_202250)		 Popis: Toto nastavení zásad konfiguruje zabezpečený přístup k cestám UNC.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\NetworkProvider\HardenedPaths? ValueName=\*\NETLOGON
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Správa istrativní šablony\Síť\Poskytovatel sítě\Posílené cesty UNC
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.5.14.1
 = RequireMutualAuthentication=1, RequireIntegrity=1
(Registr)		 Upozorňující
Posílené cesty UNC – SYSVOL
(AZ_WIN_202251)		 Popis: Toto nastavení zásad konfiguruje zabezpečený přístup k cestám UNC.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\NetworkProvider\HardenedPaths? ValueName=\*\SYSVOL
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Správa istrativní šablony\Síť\Poskytovatel sítě\Posílené cesty UNC
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.5.14.1
 = RequireMutualAuthentication=1, RequireIntegrity=1
(Registr)		 Upozorňující
Minimalizace počtu souběžných připojení k internetu nebo doméně Windows
(CCE-38338-0)		 Popis: Toto nastavení zásad brání počítačům v připojení k síti založené na doméně i k síti bez domény současně. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\WcmSvc\GroupPolicy\fMinimize Připojení ions
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled: 3 = Prevent Wi-Fi when on Ethernet:
Konfigurace počítače\Zásady\Správa istrativní šablony
etwork\Windows Připojení ion Manager\Minimalizovat počet souběžných připojení k internetu nebo doméně Systému Windows
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje šablonu zásad skupiny WCM.admx/adml, která je součástí microsoft Windows 8.0 &Server 2012 (jiné než R2) Správa istrativní šablony. Aktualizovalo se nové dílčí nastavení Minimalizovat možnosti zásad od verze Windows 10 Release 1903 Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.5.21.1
 Neexistuje nebo = 1
(Registr)		 Upozorňující
Zakázání instalace a konfigurace síťového mostu v síti domény DNS
(CCE-38002-2)		 Popis: Pomocí tohoto postupu můžete řídit schopnost uživatele instalovat a konfigurovat síťový most. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\Network Připojení ions\NC_AllowNetBridge_NLA
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Network\Network Připojení ions\Zakázat instalaci a konfiguraci síťového mostu v síti domény DNS
Poznámka: Tato cesta k zásadám skupiny je poskytována šablonou NetworkConnections.admx/adml zásad skupiny, která je součástí všech verzí systému Microsoft Windows Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.5.11.2
        CIS WS2022 18.5.11.2
 = 0
(Registr)		 Upozorňující
Zakázání používání sdílení internetových Připojení ve vaší doméně DNS
(AZ-WIN-00172)		 Popis: I když se toto nastavení "starší verze" tradičně používá pro použití sdílení internetových Připojení ionů (ICS) ve Windows 2000, Windows XP & Server 2003, toto nastavení se nyní nově nově vztahuje na funkci Mobilní hotspot ve Windows 10 a Serveru 2016. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\Network Připojení ions\NC_ShowSharedAccessUI
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrativní šablony
etwork
etwork Připojení ions\Zakázat používání sdílení internetových Připojení ion ve vaší síti domény DNS
Poznámka: Tuto cestu k zásadám skupiny poskytuje šablona Zásad skupiny Network Připojení ions.admx/adml, která je součástí všech verzí microsoft Windows Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.5.11.3
 = 0
(Registr)		 Upozorňující
Vypnutí překladu názvů vícesměrového vysílání
(AZ-WIN-00145)		 Popis: LLMNR je sekundární protokol překladu ip adres. S LLMNR se dotazy odesílají pomocí vícesměrového vysílání přes propojení místní sítě v jedné podsíti z klientského počítače do jiného klientského počítače ve stejné podsíti, která má také povolenou funkci LLMNR. LLMNR nevyžaduje konfiguraci serveru DNS nebo klienta DNS a poskytuje překlad názvů ve scénářích, ve kterých není možné konvenční překlad názvů DNS. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\systém Windows NT\DNSClient\EnableMulticast
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrativní šablony
etwork\DNS Client\Turn off multicast name resolution
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje šablonu zásad skupiny DnsClient.admx/adml, která je součástí microsoft Windows 8.0 &Server 2012 (jiné než R2) Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.5.4.2
 = 0
(Registr)		 Upozorňující

Správa istrativní šablony – Průvodce zabezpečením

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Povolení ochrany proti přepsání strukturovaného zpracování výjimek (SEHOP)
(AZ-WIN-202210)		 Popis: Systém Windows obsahuje podporu pro ochranu proti přepsání strukturovaného zpracování výjimek (SEHOP). Doporučujeme povolit tuto funkci, aby se zlepšil profil zabezpečení počítače. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SYSTEM\CurrentControlSet\Control\Session Manager\kernel\DisableExceptionChainValidation
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\Průvodce zabezpečením MS\Povolení ochrany proti přepsání strukturovaného zpracování výjimek (SEHOP)
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.3.4
        CIS WS2019 18.3.4
 = 0
(Registr)		 Kritické
Konfigurace NetBT NodeType
(AZ-WIN-202211)		 Popis: Toto nastavení určuje, která metoda NetBIOS přes PROTOKOL TCP/IP (NetBT) používá k registraci a překladu názvů. Dostupné metody jsou: – Metoda B-node (všesměrové vysílání) používá pouze všesměrové vysílání. – Metoda P-node (point-to-point) používá pouze názvové dotazy na názvový server (WINS). – Nejprve se vysílala metoda M-node (smíšený) a potom se dotazuje názvového serveru (WINS), pokud se vysílání nezdařilo. – H-node (hybridní) metoda nejprve dotazuje názvový server (WINS), pak se vysílaje, pokud dotaz selhal. Doporučený stav pro toto nastavení je: Enabled: P-node (recommended) (point-to-point). Poznámka: Překlad prostřednictvím LMHOSTS nebo DNS se řídí těmito metodami. NodeType Pokud existuje hodnota registru, přepíše všechny DhcpNodeType hodnoty registru. NodeTypeDhcpNodeType Pokud ani není k dispozici, počítač použije B-node (všesměrové vysílání), pokud pro síť nejsou nakonfigurované žádné servery WINS, nebo H-node (hybridní), pokud je nakonfigurovaný alespoň jeden server WINS.
Cesta ke klíči: SYSTEM\CurrentControlSet\Services\NetBT\Parameters\NodeType
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta zásad skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\Průvodce zabezpečením MS\Konfigurace NetBT NodeType
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.3.6
        CIS WS2019 18.3.6
 = 2
(Registr)		 Upozorňující

Správa istrativní šablony – systém

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Blokování zobrazování podrobností o účtu při přihlášení
(AZ-WIN-00138)		 Popis: Tato zásada brání uživateli v zobrazení podrobností účtu (e-mailová adresa nebo uživatelské jméno) na přihlašovací obrazovce. Pokud toto nastavení zásad povolíte, uživatel se nemůže rozhodnout zobrazit podrobnosti účtu na přihlašovací obrazovce. Pokud toto nastavení zásad zakážete nebo nenakonfigurujete, uživatel se může rozhodnout zobrazit podrobnosti účtu na přihlašovací obrazovce.
Cesta ke klíči: Software\Policies\Microsoft\Windows\System\BlockUserFromShowingAccountDetailsOnSignin
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\System\Logon\Blokovat zobrazení podrobností o účtu při přihlášení
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje šablonu zásad skupiny Logon.admx/adml, která je součástí microsoft Windows 10 Release 1607 & Server 2016 Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.8.28.1
 = 1
(Registr)		 Upozorňující
Zásady inicializace ovladačů spouštění
(CCE-37912-3)		 Popis: Toto nastavení zásad umožňuje určit, které ovladače spouštění jsou inicializovány na základě klasifikace určené ovladačem spuštění antimalwarového spuštění systému Early Launch. Ovladač spuštění antimalwarového spuštění systému Early Launch může vrátit následující klasifikace pro každý spouštěcí ovladač: - Dobré: Ovladač byl podepsán a nebyl manipulován. - Chybný: Ovladač byl identifikován jako malware. Doporučujeme nepovolit inicializaci známých chybných ovladačů. - Špatná, ale požadovaná pro spuštění: Ovladač byl identifikován jako malware, ale počítač nelze úspěšně spustit bez načtení tohoto ovladače. - Neznámý: Tento ovladač nebyl potvrzen vaší aplikací pro detekci malwaru a nebyl klasifikován ovladačem Early Launch Antimalware boot-start. Pokud povolíte toto nastavení zásad, budete moct zvolit, které spouštěcí ovladače se mají inicializovat při příštím spuštění počítače. Pokud toto nastavení zásad zakážete nebo nenakonfigurujete, spouštěcí ovladače se určí jako Dobré, Neznámé nebo Chybné, ale inicializace ovladačů, které jsou určené jako Chybná, se přeskočí. Pokud vaše aplikace pro detekci malwaru neobsahuje ovladač spuštění antimalwarového spuštění systému Early Launch nebo pokud je váš ovladač early Launch Antimalware boot-start zakázán, toto nastavení nemá žádný vliv a všechny ovladače spouštění jsou inicializovány.
Cesta ke klíči: SYSTEM\CurrentControlSet\Policies\EarlyLaunch\DriverLoadPolicy
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:Good, unknown and bad but critical:
Konfigurace počítače\Zásady\Správa istrativní šablony\System\Early Launch Antimalware\Boot-Start Driver Initialization Policy
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje šablonu zásad skupiny EarlyLaunchAM.admx/adml, která je součástí microsoft Windows 8.0 & Server 2012 (jiné než R2) Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.8.14.1
 Neexistuje nebo = 3
(Registr)		 Upozorňující
Konfigurace vzdálené pomoci nabídky
(CCE-36388-7)		 Popis: Toto nastavení zásad umožňuje zapnout nebo vypnout nabídku (nevyžádanou) vzdálenou pomoc na tomto počítači. Pracovníci helpdesku a podpory nebudou moct proaktivně nabídnout pomoc, i když můžou dál reagovat na žádosti o pomoc uživatelů. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\systém Windows NT\Terminal Services\fAllowUnsolicited
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Systém\Vzdálená pomoc\Konfigurace nabídky Vzdálená pomoc
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje ji šablona RemoteAssistance.admx/adml zásad skupiny, která je součástí microsoft Windows 8.0 & Server 2012 (jiné než R2) Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.8.36.1
        CIS WS2022 18.8.36.1
 Neexistuje nebo = 0
(Registr)		 Upozorňující
Konfigurace vyžádané vzdálené pomoci
(CCE-37281-3)		 Popis: Toto nastavení zásad umožňuje zapnout nebo vypnout na tomto počítači vzdálenou pomoc (Požádat o pomoc). Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\systém Windows NT\Terminal Services\fAllowToGetHelp
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Systém\Vzdálená pomoc\Konfigurace vyžádané vzdálené pomoci
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje ji šablona RemoteAssistance.admx/adml zásad skupiny, která je součástí microsoft Windows 8.0 & Server 2012 (jiné než R2) Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.8.36.2
        CIS WS2022 18.8.36.2
 = 0
(Registr)		 Kritické
Nezobrazovat uživatelské rozhraní pro výběr sítě
(CCE-38353-9)		 Popis: Toto nastavení zásad umožňuje řídit, jestli kdokoli může pracovat s dostupným uživatelským rozhraním sítí na přihlašovací obrazovce. Pokud povolíte toto nastavení zásad, stav síťového připojení počítače se nedá změnit bez přihlášení k Windows. Pokud toto nastavení zásad zakážete nebo nenakonfigurujete, každý uživatel může počítač odpojit od sítě nebo může počítač připojit k jiným dostupným sítím bez přihlášení k Windows.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\System\DontDisplayNetworkSelectionUI
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\System\Logon\Nezobrazovat uživatelské rozhraní pro výběr sítě
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje šablonu zásad skupiny Logon.admx/adml, která je součástí microsoft Windows 8.1 & Server 2012 R2 Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.8.28.2
 = 1
(Registr)		 Upozorňující
Nevyčtujte připojené uživatele na počítačích připojených k doméně
(AZ-WIN-202216)		 Popis: Toto nastavení zásad zabraňuje zobrazení výčtu připojených uživatelů na počítačích připojených k doméně. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: Software\Policies\Microsoft\Windows\System\DontEnumerate Připojení edUsers
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\System\Logon\Nevyčtujte připojené uživatele na počítačích připojených k doméně
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.8.28.3
        CIS WS2019 18.8.28.3
 = 1
(Registr)		 Upozorňující
Povolení ověřování klienta mapovače koncového bodu RPC
(CCE-37346-4)		 Popis: Toto nastavení zásad určuje, jestli se klienti RPC ověřují ve službě Endpoint Mapper, když volání, které provádí, obsahuje ověřovací informace. Služba Mapování koncového bodu na počítačích se systémem systém Windows NT 4 (všechny aktualizace Service Pack) nemůže tímto způsobem zpracovávat ověřovací informace. Pokud toto nastavení zásad zakážete, klienti RPC se nebudou ověřovat ve službě Endpoint Mapper, ale budou moct komunikovat se službou Endpoint Mapper na systém Windows NT 4 Serveru. Pokud povolíte toto nastavení zásad, klienti RPC se budou ověřovat ve službě Endpoint Mapper pro volání, která obsahují ověřovací informace. Klienti provádějící taková volání nebudou moct komunikovat se službou mapovače koncového bodu serveru systém Windows NT 4. Pokud toto nastavení zásad nenakonfigurujete, zůstane zakázané. Klienti RPC se nebudou ověřovat ve službě Mapper koncového bodu, ale budou moct komunikovat se službou mapovače koncového bodu serveru systém Windows NT 4. Poznámka: Tato zásada se nepoužije, dokud se systém nerestartuje.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\systém Windows NT\Rpc\EnableAuthEpResolution
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\System\Vzdálené volání procedury\Povolení ověřování klienta mapovače koncového bodu RPC
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje šablonu zásad skupiny RPC.admx/adml, která je součástí microsoft Windows 8.0 &Server 2012 (jiné než R2) Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.8.37.1
 = 1
(Registr)		 Kritické
Povolení klienta systém Windows NT P
(CCE-37843-0)		 Popis: Toto nastavení zásady určuje, jestli je povolený klient systém Windows NT P. Povolení klienta systém Windows NT P umožňuje počítači synchronizovat hodiny počítače s jinými servery NTP. Tuto službu můžete chtít zakázat, pokud se rozhodnete použít jiného poskytovatele času. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpClient\Enabled
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\System\Windows Time Service\Time Providers\Enable systém Windows NT P Client
Poznámka: Tuto cestu k zásadám skupiny poskytuje šablona zásad skupiny W32Time.admx/adml, která je součástí všech verzí microsoft Windows Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.8.53.1.1
 = 1
(Registr)		 Kritické
Šifrování Oracle Náprava pro protokol CredSSP
(AZ-WIN-201910)		 Popis: Některé verze protokolu CredSSP používaného některými aplikacemi (například Připojení ion vzdálené plochy) jsou ohroženy útokem oracle šifrování proti klientovi. Tato zásada řídí kompatibilitu s ohroženými klienty a servery a umožňuje nastavit požadovanou úroveň ochrany pro ohrožení zabezpečení šifrování oracle. Doporučený stav pro toto nastavení je: Enabled: Force Updated Clients.
Cesta ke klíči: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters\AllowEncryptionOracle
Operační systém: WS2016, WS2019
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\System\Credentials Delegation\Encryption Oracle Náprava
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.8.4.1
        CIS WS2019 18.8.4.1
 = 0
(Registr)		 Kritické
Ujistěte se, že je při pravidelném zpracování na pozadí nastavená možnost Konfigurovat zpracování zásad registru: Nepoužádejte se na hodnotu Povoleno: NEPRAVDA.
(CCE-36169-1)		 Popis: Možnost "Nepoužívat během pravidelného zpracování na pozadí" brání systému v aktualizaci ovlivněných zásad na pozadí, když se počítač používá. Pokud jsou aktualizace na pozadí zakázané, změny zásad se projeví až po příštím přihlášení uživatele nebo restartování systému. Doporučený stav pro toto nastavení je: Enabled: FALSE (nezaškrtnuto).
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\Zásady skupiny{35378EAC-683F-11D2-A89A-00C04FBBCFA2}\NoBackgroundPolicy
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabledhodnotu a pak nastavte Process even if the Group Policy objects have not changed možnost TRUE (zaškrtnuto):
Konfigurace počítače\Zásady\Správa istrativní šablony\Systém\Zásady skupiny\Konfigurace zpracování zásad registru
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje ji šablona GroupPolicy.admx/adml zásad skupiny, která je součástí microsoft Windows 8.0 & Server 2012 (jiné než R2) Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.8.21.2
        CIS WS2022 18.8.21.2
 = 0
(Registr)		 Kritické
Ujistěte se, že konfigurace zpracování zásad registru: Proces i v případě, že se objekty zásad skupiny nezměnily, nastaveny na Povoleno: PRAVDA.
(CCE-36169-1a)		 Popis: Možnost Zpracovat i v případě, že se objekty zásad skupiny nezměnily, aktualizuje a znovu zobrazí zásady, i když se zásady nezměnily. Doporučený stav pro toto nastavení je: Enabled: TRUE (zaškrtnuto).
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\Zásady skupiny{35378EAC-683F-11D2-A89A-00C04FBBCFA2}\NoGPOListChanges
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabledhodnotu , a pak nastavte možnost Proces, i když se objekty zásad skupiny nezměnily na hodnotu TRUE (zaškrtnuto):
Konfigurace počítače\Zásady\Správa istrativní šablony\Systém\Zásady skupiny\Konfigurace zpracování zásad registru
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje šablonu zásad skupiny GroupPolicy.admx/adml, která je součástí microsoft Windows 8.0 &Server 2012 (ne R2) Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.8.21.3
 = 0
(Registr)		 Kritické
Ujistěte se, že je možnost Pokračovat v tomto zařízení nastavená na Zakázáno.
(AZ-WIN-00170)		 Popis: Toto nastavení zásad určuje, jestli se zařízení s Windows může účastnit prostředí mezi zařízeními (pokračovat v prostředí). Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\System\EnableCdp
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Systém\Zásady skupiny\Pokračovat v prostředí na tomto zařízení
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje šablonu zásad skupiny GroupPolicy.admx/adml, která je součástí microsoft Windows 10 Release 1607 & Server 2016 Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.8.21.4
 Neexistuje nebo = 0
(Registr)		 Upozorňující
Zobrazení výčtu místních uživatelů na počítačích připojených k doméně
(AZ_WIN_202204)		 Popis: Toto nastavení zásad umožňuje místním uživatelům vytvořit výčet na počítačích připojených k doméně. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\System\EnumerateLocalUsers
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\System\Logon\Enumerate místní uživatele na počítačích připojených k doméně
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.8.28.4
        CIS WS2019 18.8.28.4
 Neexistuje nebo = 0
(Registr)		 Upozorňující
Zahrnutí příkazového řádku do událostí vytváření procesů
(CCE-36925-6)		 Popis: Toto nastavení zásad určuje, jaké informace se protokolují v událostech auditu zabezpečení při vytvoření nového procesu. Toto nastavení platí jenom v případě, že je povolená zásada vytváření procesů auditu. Pokud tuto zásadu povolíte, budou informace příkazového řádku pro každý proces protokolovány ve formátu prostého textu v protokolu událostí zabezpečení jako součást události vytváření procesu auditování 4688, "byl vytvořen nový proces" na pracovních stanicích a serverech, na kterých je toto nastavení zásad použito. Pokud toto nastavení zásad zakážete nebo nenakonfigurujete, nebudou informace příkazového řádku procesu zahrnuty do událostí vytváření procesu auditování. Výchozí: Nenakonfigurováno: Pokud je toto nastavení zásad povolené, bude moct každý uživatel s přístupem ke čtení událostí zabezpečení přečíst argumenty příkazového řádku pro jakýkoli úspěšně vytvořený proces. Argumenty příkazového řádku můžou obsahovat citlivé nebo soukromé informace, jako jsou hesla nebo uživatelská data.
Cesta ke klíči: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Audit\ProcessCreationIncludeCmdLine_Enabled
Operační systém: WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\System\Audit Process Creation\Include příkazový řádek v událostech vytváření procesů
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje šablonu zásad skupiny Audit Nastavení.admx/adml, která je součástí microsoft Windows 8.1 & Server 2012 R2 Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.8.3.1
 = 1
(Registr)		 Kritické
Zabránění načítání metadat zařízení z internetu
(AZ-WIN-202251)		 Popis: Toto nastavení zásad umožňuje zabránit systému Windows v načítání metadat zařízení z internetu. Doporučený stav pro toto nastavení je: Enabled. Poznámka: Tím nezabráníte instalaci základních hardwarových ovladačů, ale zabráníte tomu, aby se přidružený software nástroje třetích stran automaticky instaloval v kontextu SYSTEM účtu.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\Device Metadata\PreventDeviceMetadataFromNetwork
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta zásad skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\System\Device Installation\Prevent device metadata retrieval from the Internet
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.8.7.2
        CIS WS2019 18.8.7.2
 = 1
(Registr)		 Informační
Vzdálený hostitel umožňuje delegování neexportovatelných přihlašovacích údajů.
(AZ-WIN-20199)		 Popis: Vzdálený hostitel umožňuje delegování neexportovatelných přihlašovacích údajů. Při použití delegování přihlašovacích údajů zařízení poskytují vzdálenému hostiteli exportovatelnou verzi přihlašovacích údajů. To zpřístupňuje uživatelům riziko krádeže přihlašovacích údajů útočníkům na vzdáleném hostiteli. Funkce Restricted Správa Mode a Windows Defender Remote Credential Guard jsou dvě možnosti, které pomáhají chránit před tímto rizikem. Doporučený stav pro toto nastavení je: Enabled. Poznámka: Podrobnější informace o vzdálené ochraně credential Guard v programu Windows Defender a jeho porovnání s režimem Restricted Správa najdete na tomto odkazu: Ochrana přihlašovacích údajů vzdálené plochy pomocí vzdálené ochrany přihlašovacích údajů v programu Windows Defender (Windows 10) | Microsoft Docs
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\CredentialsDelegation\AllowProtectedCreds
Operační systém: WS2016, WS2019
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\System\Credentials Delegation\Vzdálený hostitel umožňuje delegování neexportovatelných přihlašovacích údajů.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.8.4.2
        CIS WS2019 18.8.4.2
 = 1
(Registr)		 Kritické
Vypnutí oznámení aplikací na zamykací obrazovce
(CCE-35893-7)		 Popis: Toto nastavení zásad umožňuje zabránit zobrazování oznámení aplikací na zamykací obrazovce. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\System\DisableLockScreenAppNotifications
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\System\Logon\Vypnout oznámení aplikací na zamykací obrazovce
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje šablonu zásad skupiny Logon.admx/adml, která je součástí microsoft Windows 8.0 &Server 2012 (jiné než R2) Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.8.28.5
 = 1
(Registr)		 Upozorňující
Vypnutí aktualizace zásad skupiny na pozadí
(CCE-14437-8)		 Popis: Toto nastavení zásad zabraňuje aktualizaci zásad skupiny v době, kdy se počítač používá. Toto nastavení zásad platí pro zásady skupiny pro počítače, uživatele a řadiče domény. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableBkGndGroupPolicy
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta zásad skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\Systém\Zásady skupiny\Vypnout aktualizaci zásad skupiny na pozadí
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.8.21.5
        CIS WS2019 18.8.21.5
 = 0
(Registr)		 Upozorňující
Vypnutí stahování ovladačů tisku přes HTTP
(CCE-36625-2)		 Popis: Toto nastavení zásad určuje, zda může počítač stahovat balíčky ovladačů tisku přes protokol HTTP. Chcete-li nastavit tisk HTTP, je možné, že ovladače tiskárny, které nejsou k dispozici ve standardní instalaci operačního systému, muset stáhnout přes protokol HTTP. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\systém Windows NT\Printers\DisableWebPnPDownload
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Systém\Správa internetové komunikace\Nastavení internetové komunikace\Vypnutí stahování ovladačů tisku přes HTTP
Poznámka: Tuto cestu k zásadám skupiny poskytuje šablona zásad skupiny ICM.admx/adml, která je součástí všech verzí microsoft Windows Správa istrativních šablon.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.8.22.1.1
 = 1
(Registr)		 Upozorňující
Vypnutí Průvodce internetovým Připojení ionem, pokud připojení URL odkazuje na Microsoft.com
(CCE-37163-3)		 Popis: Toto nastavení zásad určuje, jestli se Průvodce internetem Připojení ion může připojit k Microsoftu a stáhnout seznam poskytovatelů internetových služeb (ISP). Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\Průvodce Připojení ion\ExitOnMSICW
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Systém\Správa internetové komunikace\Nastavení internetové komunikace\Průvodce vypnutím internetového Připojení ionu, pokud připojení URL odkazuje na Microsoft.com
Poznámka: Tuto cestu k zásadám skupiny poskytuje šablona zásad skupiny ICM.admx/adml, která je součástí všech verzí microsoft Windows Správa istrativních šablon.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.8.22.1.4
 = 1
(Registr)		 Upozorňující
Zapnutí usnadnění přihlašování pomocí PIN kódu
(CCE-37528-7)		 Popis: Toto nastavení zásad umožňuje řídit, jestli se uživatel domény může přihlásit pomocí pohodlného KÓDU PIN. Ve Windows 10 byl kód PIN pro pohodlí nahrazen Passportem, který má silnější vlastnosti zabezpečení. Chcete-li nakonfigurovat Passport pro uživatele domény, použijte zásady v části Konfigurace počítače\Správa istrativní šablony\Součásti systému Windows\Microsoft Passport for Work. Poznámka: Heslo domény uživatele se při použití této funkce uloží do mezipaměti v trezoru systému. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\System\AllowDomainPINLogon
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\System\Logon\Turn on convenience PIN sign-in
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje ji šablona CredentialProviders.admx/adml zásad skupiny, která je součástí microsoft Windows 8.0 &Server 2012 (jiné než R2) Správa istrativní šablony (nebo novější).Poznámka 2: Ve starších šablonách systému Microsoft Windows Správa istrativní šablony se toto nastavení původně jmenovalo Zapnout přihlášení pomocí kódu PIN, ale bylo přejmenováno od windows 10 Release 1511 Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.8.28.7
        CIS WS2022 18.8.28.7
 Neexistuje nebo = 0
(Registr)		 Upozorňující

Správa istrativní šablony – komponenta systému Windows

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Vypnutí obsahu stavu účtu příjemce cloudu
(AZ-WIN-202217)		 Popis: Toto nastavení zásad určuje, jestli je ve všech prostředích s Windows povolený obsah stavu účtu příjemce cloudu. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\CloudContent\DisableConsumerAccountStateContent
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Cloud Content\Vypnout obsah stavu účtu příjemce cloudu
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.9.14.1
        CIS WS2019 18.9.14.1
 = 1
(Registr)		 Upozorňující

Správa istrativní šablony – součásti systému Windows

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Nepovolit přesměrování jednotky
(AZ-WIN-73569)		 Popis: Toto nastavení zásad brání uživatelům ve sdílení místních jednotek na klientských počítačích se servery vzdálené plochy, ke kterým přistupují. Mapované jednotky se zobrazují ve stromu složek relace v Průzkumníku Windows v následujícím formátu: \\TSClient\<driveletter>$ Pokud jsou místní jednotky sdíleny, jsou ohroženy útočníky, kteří chtějí zneužít data uložená na nich. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\systém Windows NT\Terminal Services\fDisableCdm
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta zásad skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Vzdálená plocha\Hostitel relace vzdálené plochy\Zařízení a přesměrování prostředků\Nepovolit přesměrování jednotky
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.9.65.3.3.3
        CIS WS2019 18.9.65.3.3.2
 = 1
(Registr)		 Upozorňující
Zapnutí přepisu PowerShellu
(AZ-WIN-202208)		 Popis: Toto nastavení zásad umožňuje zachytit vstup a výstup příkazů Windows PowerShellu do textových přepisů. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\PowerShell\Přepis\EnableTranscripting
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Windows PowerShell\Zapnout přepis PowerShellu
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.9.100.2
        CIS WS2019 18.9.100.2
 = 0
(Registr)		 Upozorňující

Správa istrativní šablony – Zabezpečení Windows

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Zabránit uživatelům v úpravě nastavení
(AZ-WIN-202209)		 Popis: Toto nastavení zásad brání uživatelům v provádění změn v oblasti nastavení ochrany Exploit v nastavení Zabezpečení Windows. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows Defender Security Center\Ochrana aplikací a prohlížečů\DisallowExploitProtectionOverride
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta zásad skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Zabezpečení Windows\Ochrana aplikací a prohlížečů\Zabránit uživatelům v úpravách nastavení
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.9.105.2.1
        CIS WS2019 18.9.105.2.1
 = 1
(Registr)		 Upozorňující

Správa istrativní šablona – Windows Defender

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Konfigurace pravidel redukce prostoru pro útoky
(AZ_WIN_202205)		 Popis: Toto nastavení zásad řídí stav pravidel asR (Attack Surface Reduction). Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\ExploitGuard_ASR_Rules
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Antivirová ochrana v programu Microsoft Defender\Ochrana Exploit Guard v programu Microsoft Defender\Snížení počtu možností útoku\Configure Pravidla omezení prostoru útoku
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.9.47.5.1.1
        CIS WS2019 18.9.47.5.1.1
 = 1
(Registr)		 Upozorňující
Zabránění uživatelům a aplikacím v přístupu k nebezpečným webům
(AZ_WIN_202207)		 Popis: Toto nastavení zásad řídí Ochrana Exploit Guard v programu Microsoft Defender ochranu sítě. Doporučený stav pro toto nastavení je: Enabled: Block.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\Network Protection\EnableNetworkProtection
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Antivirová ochrana v programu Microsoft Defender\Ochrana Exploit Guard v programu Microsoft Defender\Ochrana sítě\Zabránit uživatelům a aplikace z přístupu k nebezpečným webům
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.9.47.5.3.1
        CIS WS2019 18.9.47.5.3.1
 = 1
(Registr)		 Upozorňující

Auditovat správu účtů počítače

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Auditovat správu účtů počítače
(CCE-38004-8)		 Popis: Tato podkategorie hlásí každou událost správy účtů počítače, například při vytvoření, změně, odstranění, přejmenování, zakázání nebo povolení. Události pro tuto podkategorii zahrnují: - 4741: Byl vytvořen účet počítače. - 4742: Účet počítače byl změněn. - 4743: Účet počítače byl odstraněn. Doporučeným stavem tohoto nastavení je: Success.
Cesta klíče: {0CCE9236-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény
Cesta zásad skupiny: Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Konfigurace zásad rozšířeného auditu\Zásady auditu\Správa účtů účtu\Audit správy účtů počítače
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 17.2.2
        CIS WS2019 17.2.2
 = Úspěch
(Audit)		 Kritické

Zabezpečené jádro

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Povolení ochrany DMA při spouštění
(AZ-WIN-202250)		 Popis: Servery podporující zabezpečené jádro podporují systémový firmware, který zajišťuje ochranu proti škodlivým a nezamýšleným útokům s přímým přístupem do paměti (DMA) pro všechna zařízení podporující DMA během procesu spouštění.
Cesta ke klíči: BootDMAProtection
OSEx: WSASHCI22H2
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: NA
Standardní mapování dodržování předpisů:
 = 1
(OsConfig)		 Kritické
Povolení integrity kódu vynucené hypervisorem
(AZ-WIN-202246)		 Popis: HVCI a VBS zlepšují model hrozeb systému Windows a poskytují silnější ochranu před malwarem, který se snaží zneužít jádro Systému Windows. HVCI je kritická komponenta, která chrání a chrání izolované virtuální prostředí vytvořené službou VBS spuštěním integrity kódu režimu jádra a omezením přidělení paměti jádra, která by mohla být použita k ohrožení systému.
Klíčová cesta: HypervisorEnforcedCodeIntegrityStatus
OSEx: WSASHCI22H2
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: NA
Standardní mapování dodržování předpisů:
 = 0
(OsConfig)		 Kritické
Povolení zabezpečeného spouštění
(AZ-WIN-202248)		 Popis: Zabezpečené spouštění je standard zabezpečení vyvinutý členy počítačového průmyslu, aby bylo zajištěno, že zařízení spouští pouze software, který je důvěryhodný výrobcem OEM (Original Equipment Manufacturer).
Cesta ke klíči: SecureBootState
OSEx: WSASHCI22H2
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: NA
Standardní mapování dodržování předpisů:
 = 1
(OsConfig)		 Kritické
Povolení ochrany systému
(AZ-WIN-202247)		 Popis: Použití podpory procesoru pro technologii DRTM (Dynamic Root of Trust of Measurement) Ochrana System Guard umístit firmware do hardwarového sandboxu, který pomáhá omezit dopad ohrožení zabezpečení v milionech řádků vysoce privilegovaného kódu firmwaru.
Cesta ke klíči: SystemGuardStatus
OSEx: WSASHCI22H2
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: NA
Standardní mapování dodržování předpisů:
 = 0
(OsConfig)		 Kritické
Povolení zabezpečení na základě virtualizace
(AZ-WIN-202245)		 Popis: Zabezpečení na základě virtualizace nebo VBS používá funkce virtualizace hardwaru k vytvoření a izolaci zabezpečené oblasti paměti od normálního operačního systému. To pomáhá zajistit, aby servery zůstaly věnované spouštění kritických úloh a chránily související aplikace a data před útoky a exfiltrací. Služba VBS je ve výchozím nastavení povolená a uzamčená ve službě Azure Stack HCI.
Cesta ke klíči: VirtualizationBasedSecurityStatus
OSEx: WSASHCI22H2
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: NA
Standardní mapování dodržování předpisů:
 = 0
(OsConfig)		 Kritické
Nastavení verze TPM
(AZ-WIN-202249)		 Popis: Technologie TPM (Trusted Platform Module) je navržená tak, aby poskytovala hardwarové funkce související se zabezpečením. Čip TPM2.0 se vyžaduje pro zabezpečené základní funkce.
Cesta ke klíči: TPMVersion
OSEx: WSASHCI22H2
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: NA
Standardní mapování dodržování předpisů:
 Obsahuje hodnotu 2.0.
(OsConfig)		 Kritické

Možnosti zabezpečení – Účty

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Účty: Blokovat účty Microsoft
(AZ-WIN-202201)		 Popis: Toto nastavení zásad brání uživatelům v přidávání nových účtů Microsoft do tohoto počítače. Doporučený stav pro toto nastavení je: Users can't add or log on with Microsoft accounts.
Cesta ke klíči: Software\Microsoft\Windows\CurrentVersion\Policies\System\No Připojení edUser
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta zásad skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Účty: Blokovat účty Microsoft
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 2.3.1.2
        CIS WS2019 2.3.1.2
 = 3
(Registr)		 Upozorňující
Účty: Stav účtu hosta
(CCE-37432-2)		 Popis: Toto nastavení zásad určuje, jestli je účet hosta povolený nebo zakázaný. Účet Host umožňuje neověřeným uživatelům sítě získat přístup k systému. Doporučený stav pro toto nastavení je: Disabled. Poznámka: Toto nastavení nebude mít žádný vliv při použití na organizační jednotku řadiče domény prostřednictvím zásad skupiny, protože řadiče domény nemají žádnou databázi místního účtu. Dá se nakonfigurovat na úrovni domény prostřednictvím zásad skupiny, podobně jako nastavení uzamčení účtu a zásad hesel.
Cesta ke klíči: [Systémový přístup]EnableGuestAccount
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Účty: Stav účtu hosta
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93497
        STIG WS2016 V-73809
        CIS WS2019 2.3.1.3
        CIS WS2022 2.3.1.3
 = 0
(Zásady)		 Kritické
Účty: Omezit použití prázdného hesla místního účtu pouze pro přihlášení ke konzole
(CCE-37615-2)		 Popis: Toto nastavení zásad určuje, jestli se místní účty, které nejsou chráněné heslem, dají použít k přihlášení z jiných umístění než z konzoly fyzického počítače. Pokud povolíte toto nastavení zásad, místní účty s prázdnými hesly se nebudou moct přihlásit k síti ze vzdálených klientských počítačů. Tyto účty se budou moct přihlásit jenom na klávesnici počítače. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SYSTEM\CurrentControlSet\Control\Lsa\LimitBlankPasswordUse
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Účty: Omezení použití prázdných hesel pouze pro přihlášení ke konzole

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93279
        STIG WS2016 V-73621
        CIS WS2019 2.3.1.4
        CIS WS2022 2.3.1.4
 Neexistuje nebo = 1
(Registr)		 Kritické
Účty: Přejmenovat účet hosta
(AZ-WIN-202255)		 Popis: Předdefinovaný místní účet hosta je dalším známým názvem útočníků. Doporučujeme tento účet přejmenovat na něco, co neuvádí jeho účel. I když tento účet zakážete, což se doporučuje, ujistěte se, že ho přejmenujete pro lepší zabezpečení. Na řadičích domény, protože nemají vlastní místní účty, toto pravidlo odkazuje na předdefinovaný účet hosta, který byl vytvořen při prvním vytvoření domény.
Cesta ke klíči: [Systémový přístup]NewGuestName
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Účty: Přejmenování účtu hosta
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 2.3.1.6
        CIS WS2019 2.3.1.6
 != Host
(Zásady)		 Upozorňující
Přístup k síti: Povolení anonymního překladu identifikátorů SID nebo názvu
(CCE-10024-8)		 Popis: Toto nastavení zásad určuje, zda anonymní uživatel může požadovat atributy identifikátoru zabezpečení (SID) pro jiného uživatele, nebo pomocí identifikátoru SID získat odpovídající uživatelské jméno. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: [Přístup k systému]LSAAnonymousNameLookup
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Přístup k síti: Povolit anonymní překlad identifikátorů SID/názvů
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 2.3.10.1
        CIS WS2019 2.3.10.1
 = 0
(Zásady)		 Upozorňující

Možnosti zabezpečení – Audit

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Audit: Vynutit přednost nastavení podkategorie zásad auditu (Windows Vista nebo novější) před nastavením kategorie zásad auditu
(CCE-37850-5)		 Popis: Toto nastavení zásad umožňuje správcům povolit přesnější možnosti auditování v systému Windows Vista. Nastavení zásad auditu dostupná ve službě Active Directory systému Windows Server 2003 ještě neobsahuje nastavení pro správu nových podkategorií auditování. Aby bylo možné správně použít zásady auditování předepsané v tomto směrném plánu, musí být nastavení podkategorie zásad auditu (Windows Vista nebo novější) vynuceno tak, aby se nastavení kategorií zásad auditu přepsaly na Povoleno.
Cesta ke klíči: SYSTEM\CurrentControlSet\Control\Lsa\SCENoApplyLegacyAuditPolicy
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Security Nastavení\Local Policies\Security Options\Audit: Vynucení nastavení podkategorie zásad auditu (Windows Vista nebo novější) k přepsání nastavení kategorie zásad auditu
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.3.2.1
 Neexistuje nebo = 1
(Registr)		 Kritické
Audit: Není-li možno protokolovat audity zabezpečení, vypnout okamžitě systém
(CCE-35907-5)		 Popis: Toto nastavení zásad určuje, jestli se systém vypne, pokud nemůže protokolovat události zabezpečení. Je to požadavek na kritéria hodnocení důvěryhodného počítačového systému (TCSEC)-C2 a certifikace společných kritérií, aby se zabránilo auditovatelným událostem, pokud je systém auditu nemůže protokolovat. Společnost Microsoft se rozhodla tento požadavek splnit zastavením systému a zobrazením zprávy stop, pokud systém auditování dojde k selhání. Pokud je toto nastavení zásad povolené, systém se vypne, pokud se z nějakého důvodu nedá protokolovat audit zabezpečení. Pokud je povolená možnost Audit: Okamžitě vypněte systém, pokud není možné protokolovat nastavení auditů zabezpečení, může dojít k neplánovaným selháním systému. Administrativní zátěž může být významná, zejména pokud také nakonfigurujete metodu uchovávání pro protokol zabezpečení tak, aby nepřepisoval události (vymazat protokol ručně). Tato konfigurace způsobí, že se ohrožení zabezpečení v podobě odepření služby (doS) může operátor zálohování odepřít, že zálohovaná nebo obnovená data, protože server může být nucen vypnout, pokud je zahlcený událostmi přihlášení a dalšími událostmi zabezpečení, které se zapisují do protokolu zabezpečení. Vzhledem k tomu, že vypnutí není řádné, je také možné, že by mohlo dojít k nenapravitelnému poškození operačního systému, aplikací nebo dat. I když systém souborů NTFS zaručuje jeho integritu, když dojde k nepřístupnému vypnutí počítače, nemůže zaručit, že každý datový soubor pro každou aplikaci bude při restartování počítače stále v použitelné podobě. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SYSTEM\CurrentControlSet\Control\Lsa\CrashOnAuditFail
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Security Nastavení\Local Policies\Security Options\Audit: Pokud nelze protokolovat audity zabezpečení, vypněte systém okamžitě.

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.3.2.2
        CIS WS2022 2.3.2.2
 Neexistuje nebo = 0
(Registr)		 Kritické

Možnosti zabezpečení – Zařízení

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Zařízení: Povoleno formátování a vysunutí vyměnitelných médií
(CCE-37701-0)		 Popis: Toto nastavení zásad určuje, kdo smí formátovat a vysunout vyměnitelné médium. Pomocí tohoto nastavení zásad můžete zabránit neoprávněným uživatelům v odebrání dat na jednom počítači, aby k nim měli přístup na jiném počítači, na kterém mají oprávnění místního správce.
Cesta ke klíči: SOFTWARE\Microsoft\systém Windows NT\CurrentVersion\Winlogon\AllocateDASD
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Administrators:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Zařízení: Povoleno formátovat a vysunout vyměnitelné médium
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.3.4.1
 Neexistuje nebo = 0
(Registr)		 Upozorňující
Zařízení: Zabránit uživatelům instalovat ovladače tiskáren
(CCE-37942-0)		 Popis: Aby se počítač vytiskl na sdílenou tiskárnu, musí být na místním počítači nainstalován ovladač pro danou sdílenou tiskárnu. Toto nastavení zabezpečení určuje, kdo může nainstalovat ovladač tiskárny jako součást připojení ke sdílené tiskárně. Doporučený stav pro toto nastavení je: Enabled. Poznámka: Toto nastavení nemá vliv na možnost přidat místní tiskárnu. Toto nastavení nemá vliv na Správa istrátory.
Cesta ke klíči: SYSTEM\CurrentControlSet\Control\Print\Providers\LanMan Print Services\Servers\AddPrinterDrivers
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Zařízení: Zabránit uživatelům v instalaci ovladačů tiskárny

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.3.4.2
        CIS WS2022 2.3.4.2
 Neexistuje nebo = 1
(Registr)		 Upozorňující
Omezení instalace ovladače tisku na Správa istrátory
(AZ_WIN_202202)		 Popis: Toto nastavení zásad určuje, jestli uživatelé, kteří nejsou Správa istrátory, mohou v systému instalovat ovladače tisku. Doporučený stav pro toto nastavení je: Enabled. Poznámka: 10. srpna 2021 společnost Microsoft oznámila změnu výchozího chování point and print, která upraví výchozí nastavení instalace ovladače point and Print a chování aktualizace tak, aby vyžadovalo Správa istrator oprávnění. Toto je popsané v tématu KB5005652 Správa chování při instalaci výchozího ovladače typu Point and Print (CVE-2021-34481).
Cesta ke klíči: Software\Policies\Microsoft\systém Windows NT\Printers\PointAndPrint\RestrictDriverInstallationTo Správa istrators
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\Průvodce zabezpečením MS\Omezení instalace ovladače tisku na Správa istrátory
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.3.5
        CIS WS2019 18.3.5
 = 1
(Registr)		 Upozorňující

Možnosti zabezpečení – člen domény

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Ujistěte se, že člen domény: Digitálně šifrovat nebo podepsat data zabezpečeného kanálu (vždy) je nastavená na Povoleno.
(CCE-36142-8)		 Popis: Toto nastavení zásad určuje, jestli musí být podepsaný nebo zašifrovaný veškerý provoz zabezpečeného kanálu iniciovaný členem domény. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\RequireSignOrSeal
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta zásad skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Člen domény: Digitální šifrování nebo podepisování dat zabezpečeného kanálu (vždy)
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 2.3.6.1
        CIS WS2019 2.3.6.1
 Neexistuje nebo = 1
(Registr)		 Kritické
Ujistěte se, že člen domény: Digitální šifrování dat zabezpečeného kanálu (pokud je to možné) je nastavené na Povoleno.
(CCE-37130-2)		 Popis: Toto nastavení zásad určuje, jestli se člen domény má pokusit vyjednat šifrování pro veškerý provoz zabezpečeného kanálu, který zahájí. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\SealSecureChannel
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Člen domény: Digitální šifrování dat zabezpečených kanálů (pokud je to možné)
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 2.3.6.2
        CIS WS2019 2.3.6.2
 Neexistuje nebo = 1
(Registr)		 Kritické
Ujistěte se, že člen domény: Digitálně podepsat data zabezpečeného kanálu (pokud je to možné) je nastaveno na Povoleno.
(CCE-37222-7)		 Popis:

Toto nastavení zásad určuje, jestli se člen domény má pokusit vyjednat, jestli musí být digitálně podepsán veškerý provoz zabezpečeného kanálu, který iniciuje. Digitální podpisy chrání provoz před tím, aby ho upravoval každý, kdo při procházení sítě zachytává data. Doporučený stav pro toto nastavení je: Povoleno.


Cesta ke klíči: SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\SignSecureChannel
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Policies\Windows Nastavení\Security Nastavení\Local Policies\Security Options\Domain member: Digitálně podepsat data zabezpečeného kanálu (pokud je to možné)

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93551
        STIG WS2016 V-73637
        CIS WS2019 2.3.6.3
        CIS WS2022 2.3.6.3
 Neexistuje nebo = 1
(Registr)		 Kritické
Ujistěte se, že je u člena domény: Zakázání změn hesla účtu počítače nastaveno na Zakázáno.
(CCE-37508-9)		 Popis:

Toto nastavení zásad určuje, jestli člen domény může pravidelně měnit heslo účtu počítače. Počítače, které nemůžou automaticky měnit hesla účtu, mohou být ohroženy, protože útočník může zjistit heslo pro účet domény systému. Doporučený stav pro toto nastavení je: Zakázáno.


Cesta ke klíči: SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\DisablePasswordChange
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Člen domény: Zakázání změn hesla účtu počítače

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93273
        STIG WS2016 V-73631
        CIS WS2019 2.3.6.4
        CIS WS2022 2.3.6.4
 Neexistuje nebo = 0
(Registr)		 Kritické
Ujistěte se, že člen domény: Maximální stáří hesla účtu počítače je nastavené na 30 nebo méně dní, ale ne na 0.
(CCE-37431-4)		 Popis: Toto nastavení zásad určuje maximální povolený věk hesla účtu počítače. Ve výchozím nastavení členové domény automaticky mění hesla k doméně každých 30 dnů. Pokud tento interval výrazně zvýšíte tak, aby počítače přestaly měnit hesla, útočník by měl více času na provedení útoku hrubou silou na jeden z účtů počítače. Doporučený stav pro toto nastavení je: 30 or fewer days, but not 0. Poznámka: Hodnota 0 neodpovídá srovnávacímu testu, protože zakazuje maximální stáří hesla.
Cesta ke klíči: System\CurrentControlSet\Services\Netlogon\Parameters\MaximumPasswordAge
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na 30 or fewer days, but not 0:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Člen domény: Maximální stáří hesla účtu počítače

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93285
        STIG WS2016 V-73641
        CIS WS2019 2.3.6.5
        CIS WS2022 2.3.6.5
 V 1–30
(Registr)		 Kritické
Ujistěte se, že je pro člena domény nastaven silný klíč relace (Windows 2000 nebo novější) nastaven na Povoleno.
(CCE-37614-5)		 Popis: Pokud je toto nastavení zásad povolené, je možné vytvořit zabezpečený kanál pouze s řadiči domény, které můžou šifrovat data zabezpečeného kanálu pomocí silného (128bitového) klíče relace. Chcete-li povolit toto nastavení zásad, musí být všechny řadiče domény v doméně schopné šifrovat zabezpečená data kanálu silným klíčem, což znamená, že všechny řadiče domény musí používat systém Microsoft Windows 2000 nebo novější. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\RequireStrongKey
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta zásad skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Člen domény: Vyžadovat silný klíč relace (Windows 2000 nebo novější)
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 2.3.6.6
        CIS WS2019 2.3.6.6
 Neexistuje nebo = 1
(Registr)		 Kritické

Možnosti zabezpečení – Interaktivní přihlášení

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Ukládání do mezipaměti přihlašovacích údajů musí být omezené.
(AZ-WIN-73651)		 Popis: Toto nastavení zásad určuje, jestli se uživatel může přihlásit k doméně Windows pomocí informací o účtu uloženém v mezipaměti. Přihlašovací informace pro účty domény se dají ukládat do mezipaměti místně, aby se uživatelé mohli přihlásit, i když se řadič domény nedá kontaktovat. Toto nastavení zásad určuje počet jedinečných uživatelů, pro které se přihlašovací informace ukládají místně do mezipaměti. Pokud je tato hodnota nastavená na hodnotu 0, je funkce mezipaměti přihlášení zakázaná. Útočník, který má přístup k systému souborů serveru, může najít tyto informace uložené v mezipaměti a pomocí útoku hrubou silou určit hesla uživatelů. Doporučený stav pro toto nastavení je: 4 or fewer logon(s).
Cesta ke klíči: SOFTWARE\Microsoft\systém Windows NT\CurrentVersion\Winlogon\CachedLogonsCount
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Interaktivní přihlášení: Počet předchozích přihlášení k mezipaměti (v případě, že řadič domény není k dispozici)
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 2.3.7.6
        CIS WS2019 2.3.7.6
 V 1-4
(Registr)		 Informační
Interaktivní přihlašování: Nezobrazovat naposledy použité uživatelské jméno
(CCE-36056-0)		 Popis: Toto nastavení zásad určuje, jestli se název účtu posledního uživatele, který se má přihlásit k klientským počítačům ve vaší organizaci, se zobrazí na příslušné přihlašovací obrazovce každého počítače. Povolte toto nastavení zásad, abyste zabránili útočníkům vizuálně shromažďovat názvy účtů z obrazovek stolních nebo přenosných počítačů ve vaší organizaci. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DontDisplayLastUserName
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Interaktivní přihlášení: Nezobrazovat poslední přihlášení
Poznámka: Ve starších verzích Systému Microsoft Windows bylo toto nastavení pojmenováno Interaktivní přihlášení: Nezobrazovat příjmení, ale bylo přejmenováno od Windows Serveru 2019.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.3.7.2
        CIS WS2022 2.3.7.2
 = 1
(Registr)		 Kritické
Interaktivní přihlašování: Nevyžadovat stisknutí kláves Ctrl+Alt+Del
(CCE-37637-6)		 Popis: Toto nastavení zásad určuje, jestli uživatelé musí před přihlášením stisknout kombinaci kláves CTRL+ALT+DEL. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableCAD
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Interaktivní přihlášení: Nevyžadují kombinaci kláves CTRL+ALT+DEL

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.3.7.1
        CIS WS2022 2.3.7.1
 Neexistuje nebo = 0
(Registr)		 Kritické
Interaktivní přihlášení: Limit pro nečinnost počítače
(AZ-WIN-73645)		 Popis: Systém Windows si všimne nečinnosti přihlašovací relace a pokud doba nečinnosti překročí limit nečinnosti, spustí se spořič obrazovky a zamkne relaci. Doporučený stav pro toto nastavení je: 900 or fewer second(s), but not 0. Poznámka: Hodnota 0 neodpovídá srovnávacímu testu, protože zakazuje limit nečinnosti počítače.
Cesta ke klíči: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\InactivityTimeoutSecs
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Interaktivní přihlášení: Limit nečinnosti počítače
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 2.3.7.3
        CIS WS2019 2.3.7.3
 V 1-900
(Registr)		 Důležité
Interaktivní přihlašování: Text zprávy pro uživatele pokoušející se přihlásit
(AZ-WIN-202253)		 Popis: Toto nastavení zásad určuje textovou zprávu, která se uživatelům zobrazí při přihlášení. Toto nastavení nakonfigurujte způsobem, který je konzistentní se zabezpečením a provozními požadavky vaší organizace.
Cesta ke klíči: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\LegalNoticeText
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Interaktivní přihlášení: Text zprávy pro uživatele, kteří se pokoušejí přihlásit
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 2.3.7.4
        CIS WS2019 2.3.7.4
 !=
(Registr)		 Upozorňující
Interaktivní přihlašování: Nadpis zprávy pro uživatele pokoušející se přihlásit
(AZ-WIN-202254)		 Popis: Toto nastavení zásad určuje text zobrazený v záhlaví okna, které uživatelé uvidí při přihlášení k systému. Toto nastavení nakonfigurujte způsobem, který je konzistentní se zabezpečením a provozními požadavky vaší organizace.
Cesta ke klíči: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\LegalNoticeCaption
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Interaktivní přihlášení: Název zprávy pro uživatele, kteří se pokoušejí přihlásit
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 2.3.7.5
        CIS WS2019 2.3.7.5
 !=
(Registr)		 Upozorňující
Interaktivní přihlašování: Vyzvat uživatele ke změně hesla před jeho vypršením
(CCE-10930-6)		 Popis: Toto nastavení zásad určuje, jak daleko budou uživatelé upozorněni, že platnost hesla vyprší. Doporučujeme nakonfigurovat toto nastavení zásad na nejméně 5 dní, ale ne více než 14 dní, aby uživatelé dostatečně upozorňovali, kdy jejich hesla vyprší. Doporučený stav pro toto nastavení je: between 5 and 14 days.
Cesta ke klíči: Software\Microsoft\systém Windows NT\CurrentVersion\Winlogon\PasswordExpiryWarning
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Interaktivní přihlášení: Před vypršením platnosti výzvy uživatele ke změně hesla
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 2.3.7.7
        CIS WS2019 2.3.7.7
 V 5-14
(Registr)		 Informační

Možnosti zabezpečení – Klient sítě Microsoft

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Klient sítě Microsoft: Vždy digitálně podepsat komunikaci
(CCE-36325-9)		 Popis:

Toto nastavení zásad určuje, jestli je podepisování paketů vyžadováno komponentou klienta SMB. Poznámka: Pokud mají počítače se systémem Windows Vista povolené toto nastavení zásad a připojují se k souborům nebo tiskovým sdíleným složkám na vzdálených serverech, je důležité, aby se nastavení synchronizovalo s doprovodným nastavením, síťový server Společnosti Microsoft: Digitálně podepsat komunikaci (vždy) na těchto serverech. Další informace o těchtonastaveních Doporučený stav pro toto nastavení je: Povoleno.


Cesta ke klíči: SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters\RequireSecuritySignature
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Klient sítě Microsoft: Digitálně podepsat komunikaci (vždy)

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93555
        STIG WS2016 V-73653
        CIS WS2019 2.3.8.1
        CIS WS2022 2.3.8.1
 = 1
(Registr)		 Kritické
Klient sítě Microsoft: Digitálně podepsat komunikaci (pokud server souhlasí)
(CCE-36269-9)		 Popis: Toto nastavení zásad určuje, jestli se klient SMB pokusí vyjednat podepisování paketů SMB. Poznámka: Povolením tohoto nastavení zásad pro klienty SMB ve vaší síti je plně efektivní pro podepisování paketů se všemi klienty a servery ve vašem prostředí. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters\EnableSecuritySignature
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Klient sítě Microsoft: Digitálně podepsat komunikaci (pokud server souhlasí)

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93557
        STIG WS2016 V-73655
        CIS WS2019 2.3.8.2
        CIS WS2022 2.3.8.2
 Neexistuje nebo = 1
(Registr)		 Kritické
Klient sítě Microsoft: Serverům SMB třetích stran odesílat nezašifrované heslo
(CCE-37863-8)		 Popis:

Toto nastavení zásad určuje, jestli bude přesměrovač SMB odesílat hesla ve formátu prostého textu během ověřování na servery SMB třetích stran, které nepodporují šifrování hesla. Toto nastavení zásad se doporučuje zakázat, pokud není k dispozici silný obchodní případ, který ho povolí. Pokud je toto nastavení zásad povolené, budou v síti povolena nešifrovaná hesla. Doporučený stav pro toto nastavení je: Zakázáno.


Cesta ke klíči: SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters\EnablePlainTextPassword
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Klient sítě Microsoft: Odesílání nešifrovaného hesla serverům SMB třetích stran

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93469
        STIG WS2016 V-73657
        CIS WS2019 2.3.8.3
        CIS WS2022 2.3.8.3
 Neexistuje nebo = 0
(Registr)		 Kritické
Server sítě Microsoft: Doba nečinnosti před přechodem relace do režimu spánku
(CCE-38046-9)		 Popis: Toto nastavení zásad umožňuje určit dobu nepřetržité nečinnosti, která musí předat relaci SMB před pozastavením relace kvůli nečinnosti. Správa istrátory mohou toto nastavení zásad použít k řízení, kdy počítač pozastaví neaktivní relaci SMB. Pokud se aktivita klienta obnoví, relace se automaticky znovu obnoví. Zdá se, že hodnota 0 umožňuje, aby relace trvaly neomezeně dlouho. Maximální hodnota je 99999, což je více než 69 dnů; tato hodnota zakáže nastavení. Doporučený stav pro toto nastavení je: 15 or fewer minute(s), but not 0.
Cesta ke klíči: SYSTEM\CurrentControlSet\Services\LanManServer\Parameters\AutoDisconnect
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na 15 or fewer minute(s):
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Síťový server Microsoftu: Doba nečinnosti požadovaná před pozastavením relace
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.3.9.1
 V 1-15
(Registr)		 Kritické
Server sítě Microsoft: Vždy digitálně podepsat komunikaci
(CCE-37864-6)		 Popis: Toto nastavení zásad určuje, jestli je podepisování paketů vyžadováno komponentou serveru SMB. Povolte toto nastavení zásad ve smíšeném prostředí, aby podřízení klienti nemohli pracovní stanici používat jako síťový server. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SYSTEM\CurrentControlSet\Services\LanManServer\Parameters\RequireSecuritySignature
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Server sítě Microsoft: Digitálně podepsat komunikaci (vždy)

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93559
        STIG WS2016 V-73661
        CIS WS2019 2.3.9.2
        CIS WS2022 2.3.9.2
 = 1
(Registr)		 Kritické
Server sítě Microsoft: Digitálně podepsat komunikaci (pokud klient souhlasí)
(CCE-35988-5)		 Popis: Toto nastavení zásad určuje, jestli server SMB vyjedná podepisování paketů SMB s klienty, kteří ji požadují. Pokud z klienta nepochází žádná žádost o podepsání, připojení se povolí bez podpisu, pokud síťový server Microsoftu : Nastavení digitálně podepsat komunikaci (vždy) není povolené. Poznámka: Povolte toto nastavení zásad pro klienty SMB ve vaší síti, aby byly plně efektivní pro podepisování paketů se všemi klienty a servery ve vašem prostředí. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SYSTEM\CurrentControlSet\Services\LanManServer\Parameters\EnableSecuritySignature
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Server sítě Microsoft: Digitálně podepsat komunikaci (pokud klient souhlasí)

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93561
        STIG WS2016 V-73663
        CIS WS2019 2.3.9.3
        CIS WS2022 2.3.9.3
 = 1
(Registr)		 Kritické
Server sítě Microsoft: Po vypršení doby přihlášení odpojit klienty
(CCE-37972-7)		 Popis: Toto nastavení zabezpečení určuje, jestli se mají odpojit uživatele, kteří jsou připojení k místnímu počítači mimo platnou dobu přihlášení svého uživatelského účtu. Toto nastavení má vliv na komponentu SMB (Server Message Block). Pokud povolíte toto nastavení zásad, měli byste také povolit zabezpečení sítě: Vynutit odhlášení při vypršení doby přihlášení (pravidlo 2.3.11.6). Pokud vaše organizace konfiguruje dobu přihlášení pro uživatele, je toto nastavení zásad nezbytné k zajištění jejich účinnosti. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SYSTEM\CurrentControlSet\Services\LanManServer\Parameters\EnableForcedLogoff
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Security Nastavení\Local Policies\Security Options\Microsoft Network Server: Odpojení klientů po vypršení doby přihlášení

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.3.9.4
        CIS WS2022 2.3.9.4
 Neexistuje nebo = 1
(Registr)		 Kritické
Server sítě Microsoft: Úroveň ověření cílového názvu hlavního názvu služby (SPN) serveru
(CCE-10617-9)		 Popis: Toto nastavení zásad řídí úroveň ověřování počítače se sdílenými složkami nebo tiskárnami (server) s hlavním názvem služby (SPN), který poskytuje klientský počítač při vytváření relace pomocí protokolu SMB (Server Message Block). Protokol SMB (Server Message Block) poskytuje základ pro sdílení souborů a tisku a další síťové operace, jako je vzdálená správa systému Windows. Protokol SMB podporuje ověřování hlavního názvu služby serveru SMB (SPN) v objektu blob ověřování poskytovaném klientem SMB, aby se zabránilo třídě útoků na servery SMB, které se označují jako předávací útoky SMB. Toto nastavení ovlivní protokol SMB1 i SMB2. Doporučený stav pro toto nastavení je: Accept if provided by client. Konfigurace tohoto nastavení tak, aby Required from client odpovídala také srovnávacímu testu. Poznámka: Vzhledem k tomu, že vydání opravy zabezpečení MS KB3161561, může toto nastavení způsobit významné problémy (například problémy s replikací, problémy s úpravami zásad skupiny a chybové ukončení modré obrazovky) na řadičích domény při současném použití s posílením zabezpečení cesty UNC (tj. pravidlo 18.5.14.1). Cis proto doporučuje toto nastavení nasadit na řadiče domény.
Cesta ke klíči: System\CurrentControlSet\Services\LanManServer\Parameters\SMBServerNameHardeningLevel
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Člen domény
Cesta zásad skupiny: Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Síťový server Microsoft: Úroveň ověření cílového názvu služby serveru
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 2.3.9.5
        CIS WS2019 2.3.9.5
 = 1
(Registr)		 Upozorňující

Možnosti zabezpečení – Microsoft Network Server

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Zakázání serveru SMB v1
(AZ-WIN-00175)		 Popis: Zakázání tohoto nastavení zakáže zpracování protokolu SMBv1 na straně serveru. (Doporučeno.) Povolením tohoto nastavení povolíte zpracování protokolu SMBv1 na straně serveru. (Výchozí.) Změny tohoto nastavení vyžadují, aby se projevilo restartování. Další informace viz https://support.microsoft.com/kb/2696547.
Cesta ke klíči: SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters\SMB1
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Nejde použít
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.3.3
 Neexistuje nebo = 0
(Registr)		 Kritické

Možnosti zabezpečení – Přístup k síti

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Účty: Přejmenovat účet správce
(CCE-10976-9)		 Popis: Předdefinovaný účet místního správce je dobře známý název účtu, na který budou útočníci cílit. Doporučujeme zvolit pro tento účet jiný název a vyhnout se názvům, které označují účty pro správu nebo přístup se zvýšenými oprávněními. Nezapomeňte také změnit výchozí popis místního správce (prostřednictvím konzoly pro správu počítače). Na řadičích domény, protože nemají vlastní místní účty, toto pravidlo odkazuje na předdefinovaný účet Správa istrator, který byl vytvořen při prvním vytvoření domény.
Cesta ke klíči: [Přístup k systému]New Správa istratorName
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Účty: Přejmenovat účet správce
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 2.3.1.5
        CIS WS2019 2.3.1.5
 != Správa istrator
(Zásady)		 Upozorňující
Přístup k síti: Neumožnit anonymní výčet účtů SAM
(CCE-36316-8)		 Popis: Toto nastavení zásad řídí schopnost anonymních uživatelů vytvořit výčet účtů ve Správci účtů zabezpečení (SAM). Pokud povolíte toto nastavení zásad, uživatelé s anonymními připojeními nebudou moct vytvořit výčet uživatelských jmen účtů domény v systémech ve vašem prostředí. Toto nastavení zásad také umožňuje další omezení anonymních připojení. Doporučený stav pro toto nastavení je: Enabled. Poznámka: Tato zásada nemá žádný vliv na řadiče domény.
Cesta ke klíči: SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymousSAM
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení
etwork přístup: Nepovolit anonymní výčet účtů SAM
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.3.10.2
 Neexistuje nebo = 1
(Registr)		 Kritické
Přístup k síti: Neumožnit anonymní výčet účtů SAM a sdílení
(CCE-36077-6)		 Popis: Toto nastavení zásad řídí schopnost anonymních uživatelů vytvořit výčet účtů SAM a sdílených složek. Pokud povolíte toto nastavení zásad, anonymní uživatelé nebudou moct vytvořit výčet uživatelských jmen účtů domény a názvů sdílených síťových složek v systémech ve vašem prostředí. Doporučený stav pro toto nastavení je: Enabled. Poznámka: Tato zásada nemá žádný vliv na řadiče domény.
Cesta ke klíči: SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymous
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení
Přístup pro etwork: Nepovolit anonymní výčet účtů SAM a sdílených složek
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.3.10.3
 = 1
(Registr)		 Kritické
Přístup k síti: Použít oprávnění účtu Everyone pro anonymní uživatele
(CCE-36148-5)		 Popis: Toto nastavení zásad určuje, jaká další oprávnění jsou přiřazena pro anonymní připojení k počítači. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SYSTEM\CurrentControlSet\Control\Lsa\EveryoneIncludesAnonymous
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Přístup k síti: Povolit všem oprávnění pro anonymní uživatele

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93293
        STIG WS2016 V-73673
        CIS WS2019 2.3.10.5
        CIS WS2022 2.3.10.5
 Neexistuje nebo = 0
(Registr)		 Kritické
Přístup k síti: Vzdáleně přístupné cesty registru
(CCE-37194-8)		 Popis: Toto nastavení zásad určuje, které cesty registru budou po odkazování na klíč WinReg přístupné, aby bylo možné určit přístupová oprávnění k cestám. Poznámka: Toto nastavení v systému Windows XP neexistuje. V systému Windows XP došlo k nastavení s tímto názvem, ale v systému Windows Server 2003, Windows Vista a Windows Server 2008 se nazývá Přístup k síti: Vzdáleně přístupné cesty registru a dílčí cesty. Poznámka: Při konfiguraci tohoto nastavení zadáte seznam jednoho nebo více objektů. Oddělovač použitý při zadávání seznamu je spojnicový kanál nebo návrat na začátek řádku, tj. zadejte první objekt v seznamu, stiskněte tlačítko Enter, zadejte další objekt, znovu stiskněte Enter atd. Hodnota nastavení se uloží jako seznam oddělený čárkami v šablonách zabezpečení zásad skupiny. Zobrazuje se také jako seznam oddělený čárkami v podokně zobrazení Editoru zásad skupiny a v konzole Výsledná sada zásad. Zaznamenává se v registru jako seznam oddělený odřádkování v REG_MULTI_SZ hodnotě.
Cesta ke klíči: SYSTEM\CurrentControlSet\Control\SecurePipeServers\Winreg\AllowedExactPaths\Machine
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na:
System\CurrentControlSet\Control\ProductOptions
System\CurrentControlSet\Control\Server Applications
Software\Microsoft\systém Windows NT\CurrentVersion

Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Přístup k síti: Cesty registru vzdáleného přístupu
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.3.10.8
 Neexistuje nebo = System\CurrentControlSet\Control\ProductOptions\0System\CurrentControlSet\Control\Server Applications\0Software\Microsoft\systém Windows NT\CurrentVersion\0\0
(Registr)		 Kritické
Přístup k síti: Vzdáleně přístupné cesty registru a dílčí cesty
(CCE-36347-3)		 Popis: Toto nastavení zásad určuje, které cesty registru a dílčí cesty budou přístupné, když aplikace nebo proces odkazuje na klíč WinReg k určení přístupových oprávnění. Poznámka: V systému Windows XP se toto nastavení nazývá "Přístup k síti: Vzdáleně přístupné cesty registru", nastavení se stejným názvem v systémech Windows Vista, Windows Server 2008 a Windows Server 2003 v systému Windows XP neexistuje. Poznámka: Při konfiguraci tohoto nastavení zadáte seznam jednoho nebo více objektů. Oddělovač použitý při zadávání seznamu je spojnicový kanál nebo návrat na začátek řádku, tj. zadejte první objekt v seznamu, stiskněte tlačítko Enter, zadejte další objekt, znovu stiskněte Enter atd. Hodnota nastavení se uloží jako seznam oddělený čárkami v šablonách zabezpečení zásad skupiny. Zobrazuje se také jako seznam oddělený čárkami v podokně zobrazení Editoru zásad skupiny a v konzole Výsledná sada zásad. Zaznamenává se v registru jako seznam oddělený odřádkování v REG_MULTI_SZ hodnotě.
Cesta ke klíči: SYSTEM\CurrentControlSet\Control\SecurePipeServers\Winreg\AllowedPaths\Machine
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na:
System\CurrentControlSet\Control\Print\Printers
System\CurrentControlSet\Services\Eventlog
Software\Microsoft\OLAP Server
Software\Microsoft\systém Windows NT\CurrentVersion\Print
Software\Microsoft\systém Windows NT\CurrentVersion\Windows
System\CurrentControlSet\Control\ContentIndex
System\CurrentControlSet\Control\Terminal Server
System\CurrentControlSet\Control\Terminal Server\UserConfig
System\CurrentControlSet\Control\Terminal Server\DefaultUserConfiguration
Software\Microsoft\systém Windows NT\CurrentVersion\Perflib
System\CurrentControlSet\Services\SysmonLog

Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení
Etwork přístup: Vzdáleně přístupné cesty registru a dílčí cesty

Pokud server obsahuje roli služby Active Directory Certificate Services se službou role Certifikační autorita , měl by obsahovat i výše uvedený seznam: System\CurrentControlSet\Services\CertSvc.

Pokud má server nainstalovanou funkci serveru WINS, měl by výše uvedený seznam obsahovat také:
System\CurrentControlSet\Services\WINS
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.3.10.9
 Neexistuje nebo = System\CurrentControlSet\Control\Print\Printers\0System\CurrentControlSet\Services\Eventlog\0Software\Microsoft\OLAP Server\0Software\Microsoft\systém Windows NT\CurrentVersion\Print\0Software\Microsoft\systém Windows NT\CurrentVersion\Windows\0System\CurrentControlSet\Control\ContentIndex\0System\CurrentControlSet\Control\Control\Terminal Server\0System\ CurrentControlSet\Control\Terminal Server\UserConfig\0System\CurrentControlSet\Control\Terminal Server\DefaultUserConfiguration\0Software\Microsoft\systém Windows NT\CurrentVersion\Perflib\0System\CurrentControlSet\Services\SysmonLog\0\0
(Registr)		 Kritické
Přístup k síti: Omezení anonymního přístupu k pojmenovaným kanálům a sdíleným složkám
(CCE-36021-4)		 Popis: Pokud je toto nastavení zásady povolené, omezuje anonymní přístup jenom na tyto sdílené složky a kanály, které jsou v Network access: Named pipes that can be accessed anonymously nastavení Network access: Shares that can be accessed anonymously pojmenované. Toto nastavení zásad řídí přístup relace null ke sdíleným složkám ve vašich počítačích přidáním RestrictNullSessAccess hodnoty 1 v klíči HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LanManServer\Parameters registru. Tato hodnota registru přepíná sdílené složky relace s hodnotou null, aby bylo možné určit, jestli serverová služba omezuje neověřené klienty přístup k pojmenovaným prostředkům. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SYSTEM\CurrentControlSet\Services\LanManServer\Parameters\RestrictNullSessAccess
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Přístup k síti: Omezení anonymního přístupu k pojmenovaným kanálům a sdíleným složkám

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93539
        STIG WS2016 V-73675
        CIS WS2019 2.3.10.10
        CIS WS2022 2.3.10.10
 Neexistuje nebo = 1
(Registr)		 Kritické
Přístup k síti: Omezení klientů provádět vzdálená volání SAM
(AZ-WIN-00142)		 Popis: Toto nastavení zásad umožňuje omezit vzdálená připojení RPC k SAM. Pokud není vybraný, použije se výchozí popisovač zabezpečení. Tato zásada se podporuje alespoň ve Windows Serveru 2016.
Cesta ke klíči: SYSTEM\CurrentControlSet\Control\Lsa\RestrictRemoteSAM
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Administrators: Remote Access: Allow:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení
Etwork přístup: Omezení klientů, kteří mohou provádět vzdálená volání do SAM
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.3.10.11
 Neexistuje nebo = O:BAG:BAD:(A;; RC;;; BA)
(Registr)		 Kritické
Přístup k síti: Sdílené složky, ke kterým lze přistupovat anonymně
(CCE-38095-6)		 Popis: Toto nastavení zásad určuje, ke kterým síťovým sdíleným složkám mají přístup anonymní uživatelé. Výchozí konfigurace tohoto nastavení zásad má malý vliv, protože všichni uživatelé musí být ověřeni předtím, než budou mít přístup ke sdíleným prostředkům na serveru. Poznámka: Přidání dalších sdílených složek do tohoto nastavení zásad skupiny může být velmi nebezpečné. Každý uživatel sítě má přístup ke všem uvedeným sdíleným složkám, které by mohly způsobit nebo poškodit citlivá data. Poznámka: Při konfiguraci tohoto nastavení zadáte seznam jednoho nebo více objektů. Oddělovač použitý při zadávání seznamu je spojnicový kanál nebo návrat na začátek řádku, tj. zadejte první objekt v seznamu, stiskněte tlačítko Enter, zadejte další objekt, znovu stiskněte Enter atd. Hodnota nastavení se uloží jako seznam oddělený čárkami v šablonách zabezpečení zásad skupiny. Zobrazuje se také jako seznam oddělený čárkami v podokně zobrazení Editoru zásad skupiny a v konzole Výsledná sada zásad. Zaznamenává se v registru jako seznam oddělený odřádkování v REG_MULTI_SZ hodnotě.
Cesta ke klíči: SYSTEM\CurrentControlSet\Services\LanManServer\Parameters\NullSessionShares
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na <blank> hodnotu (tj. Žádná):
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení
Etwork access: Sdílené složky, ke kterým je možné přistupovat anonymně
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.3.10.12
 Neexistuje nebo =
(Registr)		 Kritické
Přístup k síti: Model sdílení a zabezpečení místních účtů
(CCE-37623-6)		 Popis: Toto nastavení zásad určuje, jak se ověřují přihlášení k síti, která používají místní účty. Možnost Classic umožňuje přesnou kontrolu nad přístupem k prostředkům, včetně možnosti přiřazovat různé typy přístupu různým uživatelům pro stejný prostředek. Možnost Pouze host vám umožňuje zacházet se všemi uživateli stejně. V tomto kontextu se všichni uživatelé ověřují jako host, aby obdrželi stejnou úroveň přístupu k danému prostředku. Doporučený stav pro toto nastavení je: Classic - local users authenticate as themselves. Poznámka: Toto nastavení nemá vliv na interaktivní přihlášení, která se provádějí vzdáleně pomocí takových služeb, jako je Telnet nebo Vzdálená plocha (dříve označovaná jako Terminálová služba).
Cesta ke klíči: SYSTEM\CurrentControlSet\Control\Lsa\ForceGuest
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Classic - local users authenticate as themselves:
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Přístup k síti: Sdílení a model zabezpečení pro místní účty

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.3.10.13
        CIS WS2022 2.3.10.13
 Neexistuje nebo = 0
(Registr)		 Kritické

Možnosti zabezpečení – Zabezpečení sítě

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Zabezpečení sítě: Povolit místnímu systému používat identitu počítače pro protokol NTLM
(CCE-38341-4)		 Popis: Pokud je toto nastavení zásad povolené, způsobí to, že místní systémové služby, které používají negotiate používat identitu počítače, když je při vyjednávání vybráno ověřování NTLM. Tato zásada se podporuje alespoň ve Windows 7 nebo Windows Serveru 2008 R2.
Cesta ke klíči: SYSTEM\CurrentControlSet\Control\Lsa\UseMachineId
Operační systém: WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení
zabezpečení etwork: Povolit místnímu systému používat identitu počítače pro NTLM
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.3.11.1
 = 1
(Registr)		 Kritické
Zabezpečení sítě: Povolit návrat k prázdné relaci místního systému
(CCE-37035-3)		 Popis: Toto nastavení zásad určuje, zda má ntLM povoleno vrátit se k relaci NULL při použití s LocalSystem. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0\AllowNullSessionFallback
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Zabezpečení sítě: Povolit záložní relaci LocalSystem NULL

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93297
        STIG WS2016 V-73681
        CIS WS2019 2.3.11.2
        CIS WS2022 2.3.11.2
 Neexistuje nebo = 0
(Registr)		 Kritické
Zabezpečení sítě: Povolit žádostem o ověřování PKU2U odeslaným do tohoto počítače používat online identity
(CCE-38047-7)		 Popis: Toto nastavení určuje, jestli se online identity můžou ověřit v tomto počítači. Kryptografický protokol PKU2U (Public Key Cryptography Based User-to-User) zavedený v systémech Windows 7 a Windows Server 2008 R2 je implementován jako zprostředkovatel podpory zabezpečení (SSP). Zprostředkovatel sdílených služeb umožňuje ověřování mezi dvěma účastníky, zejména prostřednictvím funkce sdílení médií a souborů systému Windows 7 s názvem Domácí skupina, která umožňuje sdílení mezi počítači, které nejsou členy domény. S PKU2U, nové rozšíření bylo zavedeno v negotiate ověřovací balíček , Spnego.dll. V předchozích verzích systému Windows se vyjednávat rozhodl, zda k ověřování použít Protokol Kerberos nebo NTLM. Zprostředkovatel sdílených služeb rozšíření pro Negotiate, Negoexts.dllkterý je považován za ověřovací protokol systému Windows, podporuje SSP společnosti Microsoft včetně PKU2U. Pokud jsou počítače nakonfigurované tak, aby přijímaly žádosti o ověření pomocí online ID, Negoexts.dll volá zprostředkovatel zabezpečení PKU2U na počítači, který se používá k přihlášení. Poskytovatel sdílených služeb PKU2U získá místní certifikát a vyměňuje zásady mezi partnerskými počítači. Po ověření na partnerském počítači se certifikát v metadatech odešle do přihlašovacího partnerského uzlu k ověření a přidruží certifikát uživatele k tokenu zabezpečení a proces přihlášení se dokončí. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SYSTEM\CurrentControlSet\Control\Lsa\pku2u\AllowOnlineID
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Zabezpečení sítě: Povolit žádostem o ověření PKU2U na tento počítač používat online identity

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93299
        STIG WS2016 V-73683
        CIS WS2019 2.3.11.3
        CIS WS2022 2.3.11.3
 Neexistuje nebo = 0
(Registr)		 Upozorňující
Zabezpečení sítě: Konfigurace typů šifrování povolených pro Protokol Kerberos
(CCE-37755-6)		 Popis: Toto nastavení zásad umožňuje nastavit typy šifrování, které smí protokol Kerberos používat. Tato zásada se podporuje alespoň ve Windows 7 nebo Windows Serveru 2008 R2.
Cesta ke klíči: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters\SupportedEncryptionTypes
Operační systém: WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta zásad skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Zabezpečení sítě: Konfigurace typů šifrování povolených pro Protokol Kerberos
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.3.11.4
 Neexistuje nebo = 2147483640
(Registr)		 Kritické
Zabezpečení sítě: Neukládat hodnotu hash programu LAN Manager při příští změně hesla
(CCE-36326-7)		 Popis: Toto nastavení zásad určuje, jestli se při změně hesla uloží hodnota hash LAN Manageru (LM) pro nové heslo. Hodnota hash LM je relativně slabá a náchylná k útoku v porovnání s kryptograficky silnější hodnotou hash microsoft systém Windows NT hash. Vzhledem k tomu, že hodnoty hash LM jsou uložené v místním počítači v databázi zabezpečení, může být hesla v případě útoku databáze snadno ohrožena. Poznámka: Pokud je toto nastavení zásad povolené, může dojít k selhání starších operačních systémů a některých aplikací třetích stran. Nezapomeňte také, že po povolení tohoto nastavení bude nutné změnit heslo pro všechny účty, abyste získali správnou výhodu. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SYSTEM\CurrentControlSet\Control\Lsa\NoLMHash
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Zabezpečení\Zabezpečení: Při příští změně hesla neukládejte hodnotu hash lan Manageru

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93467
        STIG WS2016 V-73687
        CIS WS2019 2.3.11.5
        CIS WS2022 2.3.11.5
 Neexistuje nebo = 1
(Registr)		 Kritické
Zabezpečení sítě: Úroveň ověřování pro systém LAN Manager
(CCE-36173-3)		 Popis: LAN Manager (LM) je řada raných klientských a serverových softwaru Microsoftu, který umožňuje uživatelům propojit osobní počítače v jedné síti. Mezi možnosti sítě patří transparentní sdílení souborů a tisku, funkce zabezpečení uživatelů a nástroje pro správu sítě. V doménách služby Active Directory je protokol Kerberos výchozím ověřovacím protokolem. Pokud však protokol Kerberos není z nějakého důvodu vyjednán, služba Active Directory bude používat protokol LM, NTLM nebo NTLMv2. Ověřování lan Manageru zahrnuje LM, Varianty NTLM a NTLM verze 2 (NTLMv2) a je protokol, který se používá k ověřování všech klientů Systému Windows při provádění následujících operací: – Připojení k doméně – Ověření mezi doménovými strukturami služby Active Directory – Ověřování domén na nižší úrovni – Ověřování na počítačích, na kterých není spuštěn systém Windows 2000, Windows Server 2003 nebo Windows XP) – Ověřte počítače, které nejsou v doméně, možné hodnoty zabezpečení sítě: Nastavení na úrovni ověřování LAN Manageru jsou: - Odesílání odpovědí LM &NTLM - Odeslat LM &NTLMM — použít zabezpečení relace NTLM2, pokud je vyjednáno - Odeslat pouze odpovědi NTLMv2 - Odeslat pouze odpovědi NTLMv2\odmítnout LM - Odeslat pouze odpovědi NTLMv2\odmítnout LM & NTLM - Nedefinované zabezpečení sítě: Nastavení úrovně ověřování LAN Manager určuje, který protokol ověřování výzvy a odpovědi se používá pro přihlášení k síti. Tato volba má vliv na úroveň ověřovacího protokolu, kterou klienti používají, úroveň zabezpečení relace, kterou počítače vyjednávají, a úroveň ověřování, kterou servery přijímají následujícím způsobem: – Odesílat odpovědi LM &NTLM. Klienti používají ověřování LM a NTLM a nikdy nepoužívají zabezpečení relace NTLMv2. Řadiče domény přijímají ověřování LM, NTLM a NTLMv2. - Odeslat LM & NTLM — použít zabezpečení relace NTLMv2, pokud je vyjednáno. Klienti používají ověřování LM a NTLM a používají zabezpečení relace NTLMv2, pokud ho server podporuje. Řadiče domény přijímají ověřování LM, NTLM a NTLMv2. - Odeslat pouze odpověď NTLM. Klienti používají pouze ověřování NTLM a používají zabezpečení relace NTLMv2, pokud ho server podporuje. Řadiče domény přijímají ověřování LM, NTLM a NTLMv2. - Odeslat pouze odpověď NTLMv2. Klienti používají pouze ověřování NTLMv2 a používají zabezpečení relace NTLMv2, pokud ho server podporuje. Řadiče domény přijímají ověřování LM, NTLM a NTLMv2. - Odeslat odpověď NTLMv2 pouze\odmítnout LM. Klienti používají pouze ověřování NTLMv2 a používají zabezpečení relace NTLMv2, pokud ho server podporuje. Řadiče domény odmítnou LM (přijímají pouze ověřování NTLM a NTLMv2). - Odeslat odpověď NTLMv2 pouze\odmítnout LM & NTLM. Klienti používají pouze ověřování NTLMv2 a používají zabezpečení relace NTLMv2, pokud ho server podporuje. Řadiče domény odmítnou ověřování LM a NTLM (přijímají pouze ověřování NTLMv2). Tato nastavení odpovídají úrovním probíraným v jiných dokumentech Společnosti Microsoft následujícím způsobem: – úroveň 0 – odeslání LM a odpovědi NTLM; nikdy nepoužívejte zabezpečení relace NTLMv2. Klienti používají ověřování LM a NTLM a nikdy nepoužívají zabezpečení relace NTLMv2. Řadiče domény přijímají ověřování LM, NTLM a NTLMv2. - Úroveň 1 – Pokud je vyjednáno, použijte zabezpečení relace NTLMv2. Klienti používají ověřování LM a NTLM a používají zabezpečení relace NTLMv2, pokud ho server podporuje. Řadiče domény přijímají ověřování LM, NTLM a NTLMv2. - Úroveň 2 – Odeslat pouze odpověď NTLM. Klienti používají pouze ověřování NTLM a používají zabezpečení relace NTLMv2, pokud ho server podporuje. Řadiče domény přijímají ověřování LM, NTLM a NTLMv2. - Úroveň 3 – odeslat pouze odpověď NTLMv2. Klienti používají ověřování NTLMv2 a používají zabezpečení relace NTLMv2, pokud ho server podporuje. Řadiče domény přijímají ověřování LM, NTLM a NTLMv2. - Úroveň 4 – Řadiče domény odmítnou odpovědi LM. Klienti používají ověřování NTLM a používají zabezpečení relace NTLMv2, pokud ho server podporuje. Řadiče domény odmítnou ověřování LM, tj. přijímají protokoly NTLM a NTLMv2. - Úroveň 5 – Řadiče domény odmítnou odpovědi LM a NTLM (přijímají pouze protokol NTLMv2). Klienti používají ověřování NTLMv2, používají a zabezpečení relace NTLMv2, pokud ho server podporuje. Řadiče domény odmítnou ověřování NTLM a LM (přijímají pouze protokol NTLMv2).
Cesta ke klíči: SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevel
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta zásad skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím gp, nastavte následující cestu uživatelského rozhraní na: "Odeslat pouze odpověď NTLMv2. Odmítnout LM & NTLM':
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení
zabezpečení etwork: Úroveň ověřování LAN Manageru
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.3.11.7
 = 5
(Registr)		 Kritické
Zabezpečení sítě: Požadavky na podepisování klienta LDAP
(CCE-36858-9)		 Popis: Toto nastavení zásad určuje úroveň podepisování dat, které je požadováno jménem klientů, kteří vydávají požadavky LDAP BIND. Poznámka: Toto nastavení zásad nemá žádný vliv na jednoduchou vazbuldap_simple_bind PROTOKOLU LDAP nebo jednoduchou vazbu protokolu LDAP prostřednictvím protokolu SSL (ldap_simple_bind_s). Žádní klienti Microsoft LDAP, kteří jsou součástí systému Windows XP Professional, používají ke komunikaci s řadičem domény ldap_simple_bind nebo ldap_simple_bind_s. Doporučený stav pro toto nastavení je: Negotiate signing. Konfigurace tohoto nastavení tak, aby Require signing odpovídala také srovnávacímu testu.
Cesta ke klíči: SYSTEM\CurrentControlSet\Services\LDAP\LDAPClientIntegrity
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní ( Negotiate signing nakonfigurujete tak, aby Require signing vyhovovala také srovnávacímu testu):
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Zabezpečení sítě: Požadavky na podepisování klientů LDAP

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93303
        STIG WS2016 V-73693
        CIS WS2019 2.3.11.8
        CIS WS2022 2.3.11.8
 Neexistuje nebo = 1
(Registr)		 Kritické
Zabezpečení sítě: Minimální zabezpečení relace pro klienty založené na NTLM SSP (včetně zabezpečeného vzdáleného volání procedur)
(CCE-37553-5)		 Popis: Toto nastavení zásad určuje, které chování jsou klienty povoleny pro aplikace pomocí zprostředkovatele podpory zabezpečení NTLM (SSP). Rozhraní SSP (SSPI) používají aplikace, které potřebují ověřovací služby. Nastavení nemění způsob fungování sekvence ověřování, ale vyžaduje určité chování v aplikacích, které používají SSPI. Doporučený stav pro toto nastavení je: Require NTLMv2 session security, Require 128-bit encryption. Poznámka: Tyto hodnoty jsou závislé na zabezpečení sítě: Hodnota zabezpečení na úrovni ověřování LAN Manageru.
Cesta ke klíči: SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0\NTLMMinClientSec
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta zásad skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní naRequire NTLMv2 session security, Require 128-bit encryption: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Zabezpečení: Minimální zabezpečení relace pro klienty založené na zprostředkovateli zabezpečení protokolu NTLM (včetně zabezpečeného RPC)
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.3.11.9
 = 537395200
(Registr)		 Kritické
Zabezpečení sítě: Minimální zabezpečení relace pro servery založené na NTLM SSP (včetně zabezpečeného vzdáleného volání procedur)
(CCE-37835-6)		 Popis: Toto nastavení zásad určuje, které chování jsou servery povoleny pro aplikace pomocí zprostředkovatele podpory zabezpečení NTLM (SSP). Rozhraní SSP (SSPI) používají aplikace, které potřebují ověřovací služby. Nastavení nemění způsob fungování sekvence ověřování, ale vyžaduje určité chování v aplikacích, které používají SSPI. Doporučený stav pro toto nastavení je: Require NTLMv2 session security, Require 128-bit encryption. Poznámka: Tyto hodnoty jsou závislé na zabezpečení sítě: Hodnota zabezpečení na úrovni ověřování LAN Manageru.
Cesta ke klíči: SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0\NTLMMinServerSec
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta zásad skupiny: Nakonfigurujte hodnotu zásad pro konfiguraci počítače\Windows Nastavení\Security Nastavení\Local Policies\Security\Security\Security\Network security: Minimální zabezpečení relací pro servery založené na zprostředkovateli zabezpečení protokolu NTLM (včetně zabezpečeného RPC) pro vyžadování zabezpečení relace NTLMv2 a vyžadování 128bitového šifrování (všechny vybrané možnosti).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.3.11.10
 = 537395200
(Registr)		 Kritické

Možnosti zabezpečení – Vypnutí

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Vypnutí: Povolit vypnutí systému bez nutnosti přihlášení
(CCE-36788-8)		 Popis: Toto nastavení zásad určuje, jestli se počítač dá vypnout, když uživatel není přihlášený. Pokud je toto nastavení zásad povolené, je příkaz pro vypnutí k dispozici na přihlašovací obrazovce windows. Doporučujeme zakázat toto nastavení zásad, abyste omezili možnost vypnout počítač uživatelům s přihlašovacími údaji v systému. Doporučený stav pro toto nastavení je: Disabled. Poznámka: V serverech 2008 R2 a starších verzích toto nastavení nemělo žádný vliv na relace vzdálené plochy (RDP) / Terminálové služby – to ovlivnilo pouze místní konzolu. Společnost Microsoft však změnila chování v systému Windows Server 2012 (jiné než R2) a vyšší, kde pokud je nastavena na Povoleno, relace protokolu RDP mohou také vypnout nebo restartovat server.
Cesta ke klíči: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ShutdownWithoutLogon
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Windows Nastavení\Security Nastavení\Local Policies\Security Options\Shutdown: Povolit vypnutí systému bez nutnosti přihlášení

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.3.13.1
        CIS WS2022 2.3.13.1
 Neexistuje nebo = 0
(Registr)		 Upozorňující
Vypnutí: Vymazat stránkovací soubor virtuální paměti
(AZ-WIN-00181)		 Popis: Toto nastavení zásad určuje, zda je stránkovací soubor virtuální paměti při vypnutí systému vymazán. Pokud je toto nastavení zásad povolené, systémový stránkovací soubor se vymaže pokaždé, když se systém správně vypne. Pokud povolíte toto nastavení zabezpečení, soubor hibernace (Hiberfil.sys) se vynuluje, když je hibernace zakázána v přenosném počítačovém systému. Vypnutí a restartování počítače bude trvat déle a bude zvlášť patrné na počítačích s velkými stránkovacími soubory.
Cesta ke klíči: System\CurrentControlSet\Control\Session Manager\Memory Management\ClearPageFileAtShutdown
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Člen domény, člen pracovní skupiny
Cesta zásad skupiny: Nakonfigurujte hodnotu zásad pro konfiguraci počítače\Windows Nastavení\Security Nastavení\Local Policies\Security Options\Shutdown: Clear virtual memory pagefile to Disabled.
Standardní mapování dodržování předpisů:
 Neexistuje nebo = 0
(Registr)		 Kritické

Možnosti zabezpečení – Kryptografie systému

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Uživatelé musí být povinni zadat heslo pro přístup k privátním klíčům uloženým v počítači.
(AZ-WIN-73699)		 Popis: Pokud se privátní klíč zjistí, útočník ho může použít k ověření jako autorizovaný uživatel a získat přístup k síťové infrastruktuře. Základním kamenem infrastruktury veřejných klíčů je privátní klíč, který slouží k šifrování nebo digitálnímu podepisování informací. Pokud dojde k odcizení privátního klíče, povede to k ohrožení ověřování a neporušování identity získané prostřednictvím infrastruktury veřejných klíčů, protože útočník může pomocí privátního klíče digitálně podepsat dokumenty a předstírat, že je autorizovaným uživatelem. Držitelé digitálního certifikátu i vydávající autority musí chránit počítače, úložné zařízení nebo cokoli, co používají k uchovávání privátních klíčů.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Cryptography\ForceKeyProtection
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta zásad skupiny: Konfigurace počítače\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Kryptografie systému: Vynucení silné ochrany klíčů pro uživatelské klíče uložené v počítači
Standardní mapování dodržování předpisů:
 = 2
(Registr)		 Důležité
Windows Server musí být nakonfigurovaný tak, aby používal algoritmy kompatibilní se standardem FIPS pro šifrování, hashování a podepisování.
(AZ-WIN-73701)		 Popis: Toto nastavení zajišťuje, že systém používá algoritmy, které jsou kompatibilní se standardem FIPS pro šifrování, hashování a podepisování. Algoritmy kompatibilní se standardem FIPS splňují specifické standardy stanovené vládou USA a musí se jednat o algoritmy používané pro všechny funkce šifrování operačního systému.
Cesta ke klíči: SYSTEM\CurrentControlSet\Control\Lsa\FIPSAlgorithmPolicy\Enabled
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Kryptografie systému: Šifrování, hashování a podepisování pomocí algoritmů kompatibilních se standardem FIPS
Standardní mapování dodržování předpisů:
 = 1
(Registr)		 Důležité

Možnosti zabezpečení – Systémové objekty

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Systémové objekty: Nevyžadovat rozlišování malých a velkých písmen pro podsystémy nepatřící pod systém Windows
(CCE-37885-1)		 Popis: Toto nastavení zásad určuje, jestli se u všech subsystémů vynucuje rozlišování velkých a malých písmen. Subsystém Microsoft Win32 nerozlišuje velká a malá písmena. Jádro však podporuje citlivost písmen u jiných subsystémů, jako je přenosné rozhraní operačního systému pro systém UNIX (POSIX). Vzhledem k tomu, že systém Windows nerozlišuje velká a malá písmena (ale subsystém POSIX bude podporovat citlivost písmen), může uživatel subsystému POSIX vytvořit soubor se stejným názvem jako jiný soubor pomocí smíšeného případu, aby ho označil. Taková situace může blokovat přístup k těmto souborům jiným uživatelem, který používá typické nástroje Win32, protože bude k dispozici pouze jeden ze souborů. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: System\CurrentControlSet\Control\Session Manager\Kernel\ObCaseInsensitive
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Systémové objekty: Vyžadovat nerozlišování případů pro subsystémy mimo Windows

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.3.15.1
        CIS WS2022 2.3.15.1
 Neexistuje nebo = 1
(Registr)		 Upozorňující
Systémové objekty: Posílit výchozí oprávnění interních systémových objektů (například symbolických odkazů)
(CCE-37644-2)		 Popis: Toto nastavení zásad určuje sílu výchozího volitelného seznamu řízení přístupu (DACL) pro objekty. Služba Active Directory udržuje globální seznam sdílených systémových prostředků, jako jsou názvy zařízení SYSTÉMU DOS, mutexy a semafory. Tímto způsobem se objekty dají nacházet a sdílet mezi procesy. Každý typ objektu se vytvoří s výchozím seznamem DACL, který určuje, kdo má k objektům přístup a jaká oprávnění jsou udělena. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SYSTEM\CurrentControlSet\Control\Session Manager\ProtectionMode
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta zásad skupiny: Konfigurace zásady pro konfiguraci počítače\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Systémové objekty: Posílení výchozích oprávnění interních systémových objektů (např. symbolické odkazy) naEnabled
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.3.15.2
 = 1
(Registr)		 Kritické

Možnosti zabezpečení – Nastavení systému

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Nastavení systému: Použít pravidla certifikátu u spustitelných souborů systému Windows pro zásady omezení softwaru
(AZ-WIN-00155)		 Popis: Toto nastavení zásad určuje, zda se digitální certifikáty zpracovávají, když jsou povoleny zásady omezení softwaru a uživatel nebo proces se pokusí spustit software s příponou souboru .exe. Povolí nebo zakáže pravidla certifikátů (typ pravidla zásad omezení softwaru). Pomocí zásad omezení softwaru můžete vytvořit pravidlo certifikátu, které povolí nebo zakáže spuštění softwaru podepsaného službou Authenticode ® na základě digitálního certifikátu přidruženého k softwaru. Aby se pravidla certifikátů projevila v zásadách omezení softwaru, musíte toto nastavení zásad povolit.
Cesta ke klíči: Software\Policies\Microsoft\Windows\Sejf r\CodeIdentifiers\AuthenticodeEnabled
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Člen domény, člen pracovní skupiny
Cesta zásad skupiny: Konfigurace počítače\Windows Nastavení\Security Nastavení\Local Policies\Security Options\System settings: Use Certificate Rules on Windows Executables for Software Restriction Policies
Standardní mapování dodržování předpisů:
 = 1
(Registr)		 Upozorňující

Možnosti zabezpečení – Řízení uživatelských účtů

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Řízení uživatelských účtů: Režim schválení správce pro integrovaný účet správce
(CCE-36494-3)		 Popis: Toto nastavení zásad řídí chování režimu schválení Správa pro předdefinovaný účet Správa istrator. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Filter Správa istratorToken
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Řízení uživatelských účtů: Správa režim schválení pro předdefinovaný účet Správa istrator

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93431
        STIG WS2016 V-73707
        CIS WS2019 2.3.17.1
        CIS WS2022 2.3.17.1
 = 1
(Registr)		 Kritické
Řízení uživatelských účtů: Povolit aplikacím UIAccess zobrazení výzvy ke zvýšení oprávnění bez použití zabezpečené plochy
(CCE-36863-9)		 Popis: Toto nastavení zásad určuje, jestli programy usnadnění uživatelského rozhraní (UIAccess nebo UIA) můžou automaticky zakázat zabezpečenou plochu pro výzvy ke zvýšení oprávnění používané standardním uživatelem. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableUIADesktopToggle
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Konfigurace počítače\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Řízení uživatelských účtů: Povolit aplikacím UIAccess zobrazit výzvu ke zvýšení oprávnění bez použití zabezpečené plochy
Standardní mapování dodržování předpisů:
 = 0
(Registr)		 Kritické
Řízení uživatelských účtů: Chování výzvy ke zvýšení oprávnění pro správce v Režimu schválení správce
(CCE-37029-6)		 Popis: Toto nastavení zásad řídí chování výzvy ke zvýšení oprávnění pro správce. Doporučený stav pro toto nastavení je: Prompt for consent on the secure desktop.
Cesta ke klíči: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ConsentPromptBehavior Správa
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Prompt for consent on the secure desktop:
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Řízení uživatelských účtů: Chování výzvy ke zvýšení oprávnění pro správce v režimu schválení Správa

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93523
        STIG WS2016 V-73711
        CIS WS2019 2.3.17.2
        CIS WS2022 2.3.17.2
 = 2
(Registr)		 Kritické
Řízení uživatelských účtů: Chování výzvy ke zvýšení oprávnění pro standardní uživatele
(CCE-36864-7)		 Popis: Toto nastavení zásad řídí chování výzvy ke zvýšení oprávnění pro standardní uživatele. Doporučený stav pro toto nastavení je: Automatically deny elevation requests.
Cesta ke klíči: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ConsentPromptBehaviorUser
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Automatically deny elevation requests:
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Řízení uživatelských účtů: Chování výzvy ke zvýšení oprávnění pro standardní uživatele

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93433
        STIG WS2016 V-73713
        CIS WS2019 2.3.17.3
        CIS WS2022 2.3.17.3
 = 0
(Registr)		 Kritické
Řízení uživatelských účtů: Zjistit instalace aplikací a zobrazit výzvu ke zvýšení oprávnění
(CCE-36533-8)		 Popis: Toto nastavení zásad řídí chování detekce instalace aplikace pro počítač. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableInstallerDetection
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Řízení uživatelských účtů: Zjištění instalací aplikací a zobrazení výzvy ke zvýšení oprávnění

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93525
        STIG WS2016 V-73715
        CIS WS2019 2.3.17.4
        CIS WS2022 2.3.17.4
 = 1
(Registr)		 Kritické
Řízení uživatelských účtů: Zvýšit oprávnění pouze u aplikací UIAccess, které jsou nainstalovány v zabezpečených umístěních
(CCE-37057-7)		 Popis: Toto nastavení zásad určuje, jestli se aplikace, které požadují spuštění s úrovní integrity uiAccess (User Interface Accessibility), musí nacházet v zabezpečeném umístění v systému souborů. Zabezpečená umístění jsou omezena na následující položky: – …\Program Files\včetně podsložek – …\Windows\system32\…\Program Files (x86)\ - včetně podsložek pro 64bitové verze Systému Windows Poznámka: Systém Windows vynucuje kontrolu podpisu infrastruktury veřejných klíčů (PKI) u jakékoli interaktivní aplikace, která požaduje spuštění s úrovní integrity UIAccess bez ohledu na stav tohoto nastavení zabezpečení. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableSecureUIAPaths
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Řízení uživatelských účtů: Pouze zvýšit úroveň aplikací UIAccess nainstalovaných v zabezpečených umístěních

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93527
        STIG WS2016 V-73717
        CIS WS2019 2.3.17.5
        CIS WS2022 2.3.17.5
 = 1
(Registr)		 Kritické
Řízení uživatelských účtů: Spustit všechny správce v Režimu schválení správce
(CCE-36869-6)		 Popis: Toto nastavení zásad řídí chování všech nastavení zásad řízení uživatelských účtů (UAC) pro počítač. Pokud toto nastavení zásad změníte, musíte restartovat počítač. Doporučený stav pro toto nastavení je: Enabled. Poznámka: Pokud je toto nastavení zásad zakázané, Security Center vás upozorní, že došlo ke snížení celkového zabezpečení operačního systému.
Cesta ke klíči: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLUA
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Řízení uživatelských účtů: Spuštění všech správců v režimu schválení Správa

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93435
        STIG WS2016 V-73719
        CIS WS2019 2.3.17.6
        CIS WS2022 2.3.17.6
 = 1
(Registr)		 Kritické
Řízení uživatelských účtů: Při zobrazení výzvy ke zvýšení oprávnění přepnout na zabezpečenou plochu
(CCE-36866-2)		 Popis: Toto nastavení zásad určuje, jestli se výzva k žádosti o zvýšení oprávnění zobrazí na ploše interaktivního uživatele nebo na zabezpečené ploše. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\PromptOnSecureDesktop
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Řízení uživatelských účtů: Při zobrazení výzvy ke zvýšení oprávnění přepněte na zabezpečenou plochu.

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93521
        STIG WS2016 V-73709
        CIS WS2019 2.3.17.7
        CIS WS2022 2.3.17.7
 = 1
(Registr)		 Kritické
Řízení uživatelských účtů: Virtualizovat chyby zápisu do souboru a registru do umístění jednotlivých uživatelů
(CCE-37064-3)		 Popis: Toto nastavení zásad určuje, jestli se chyby zápisu aplikace přesměrují do definovaných umístění registru a systému souborů. Toto nastavení zásad zmírní aplikace, které běží jako správce, a zapisuje data aplikací za běhu do: , %ProgramFiles%- %Windir%, - , nebo %Windir%\system32- HKEY_LOCAL_MACHINE\Software. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableVirtualization
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Možnosti zabezpečení\Řízení uživatelských účtů: Virtualizace selhání zápisu souborů a registru do umístění pro jednotlivé uživatele

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93529
        STIG WS2016 V-73721
        CIS WS2019 2.3.17.8
        CIS WS2022 2.3.17.8
 = 1
(Registr)		 Kritické

Nastavení zabezpečení – Zásady účtu

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Prahová hodnota uzamčení účtu
(AZ-WIN-73311)		 Popis: Toto nastavení zásad určuje počet neúspěšných pokusů o přihlášení před uzamčením účtu. Nastavení této zásady tak, aby 0 nevyhovuje srovnávacímu testu, protože tím zakáže prahovou hodnotu uzamčení účtu. Doporučený stav pro toto nastavení je: 5 or fewer invalid logon attempt(s), but not 0. Poznámka: Nastavení zásad hesel (oddíl 1.1) a nastavení zásad uzamčení účtu (oddíl 1.2) se musí použít prostřednictvím objektu zásad skupiny výchozích zásad domény, aby se jako výchozí chování globálně projevily uživatelské účty domény . Pokud jsou tato nastavení nakonfigurovaná v jiném objektu zásad skupiny, ovlivní pouze místní uživatelské účty v počítačích, které objekt zásad skupiny obdrží. Vlastní výjimky výchozích zásad hesel a pravidel zásad uzamčení účtu pro konkrétní uživatele domény nebo skupiny je však možné definovat pomocí objektů pro Nastavení hesla (PSO), které jsou zcela oddělené od zásad skupiny a nejsnápadněji konfigurují pomocí služby Active Directory Správa istrative Center.
Cesta ke klíči: [Přístup k systému]LockoutBadCount
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta zásad skupiny: Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Zásady účtu\Zásady uzamčení účtu\Prahová hodnota uzamčení účtu
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 1.2.2
        CIS WS2019 1.2.2
 1–3
(Zásady)		 Důležité
Vynucení historie hesel
(CCE-37166-6)		 Popis:

Toto nastavení zásad určuje počet obnovených jedinečných hesel, která musí být přidružena k uživatelskému účtu, abyste mohli znovu použít staré heslo. Hodnota tohoto nastavení zásad musí být mezi 0 a 24 hesly. Výchozí hodnota pro Windows Vista je 0 hesel, ale výchozí nastavení v doméně je 24 hesel. Pokud chcete zachovat efektivitu tohoto nastavení zásad, použijte nastavení Minimální stáří hesla, abyste uživatelům zabránili v opakované změně hesla. Doporučený stav pro toto nastavení je: 24 nebo více hesel.


Cesta ke klíči: [Přístup k systému]PasswordHistorySize
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na 24 or more password(s):
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Zásady účtu\Zásady hesel\Vynutit historii hesel
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 1.1.1
 >= 24
(Zásady)		 Kritické
Maximální stáří hesla
(CCE-37167-4)		 Popis: Toto nastavení zásad definuje, jak dlouho může uživatel použít heslo před vypršením jeho platnosti. Hodnoty pro toto nastavení zásad jsou v rozsahu od 0 do 999 dnů. Pokud nastavíte hodnotu na 0, heslo nikdy nevyprší. Vzhledem k tomu, že útočníci můžou prolomit hesla, tím častěji heslo změníte tím méně příležitostí, než bude útočník muset použít prolomené heslo. Čím nižší je ale tato hodnota nastavená, tím vyšší je potenciál pro zvýšení počtu hovorů na podporu helpdesku kvůli tomu, že uživatelé musí změnit heslo nebo zapomenout, které heslo je aktuální. Doporučený stav pro toto nastavení je 60 or fewer days, but not 0.
Cesta ke klíči: [Systémový přístup]MaximumPasswordAge
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na 365 or fewer days, but not 0:
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Zásady účtu\Zásady hesel\Maximální stáří hesla
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 1.1.2
 V 1-70
(Zásady)		 Kritické
Minimální stáří hesla
(CCE-37073-4)		 Popis: Toto nastavení zásad určuje počet dní, po které musíte použít heslo, než ho budete moct změnit. Rozsah hodnot pro toto nastavení zásad je mezi 1 a 999 dny. (Můžete také nastavit hodnotu 0, aby se povolily okamžité změny hesla.) Výchozí hodnota tohoto nastavení je 0 dní. Doporučený stav pro toto nastavení je: 1 or more day(s).
Cesta ke klíči: [Přístup systému]MinimumPasswordAge
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na 1 or more day(s):
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Zásady účtu\Zásady hesel\Minimální stáří hesla
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 1.1.3
 >= 1
(Zásady)		 Kritické
Minimální délka hesla
(CCE-36534-6)		 Popis: Toto nastavení zásad určuje nejmenší počet znaků, které tvoří heslo pro uživatelský účet. Existuje mnoho různých teorie o tom, jak určit nejlepší délku hesla pro organizaci, ale možná "pass phrase" je lepší termín než "heslo". V systému Microsoft Windows 2000 nebo novější můžou být předávací fráze poměrně dlouhé a můžou obsahovat mezery. Proto fráze jako "Chci pít $5 milkshake" je platná heslo; je to výrazně silnější heslo než 8 nebo 10místný řetězec náhodných čísel a písmen, a přesto je jednodušší si zapamatovat. Uživatelé musí být poučit o správném výběru a údržbě hesel, zejména pokud jde o délku hesla. V podnikových prostředích je ideální hodnota pro nastavení minimální délky hesla 14 znaků, ale tuto hodnotu byste měli upravit tak, aby vyhovovala obchodním požadavkům vaší organizace. Doporučený stav pro toto nastavení je: 14 or more character(s).
Cesta ke klíči: [Systémový přístup]MinimumPasswordLength
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na 14 or more character(s):
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Zásady účtu\Zásady hesel\Minimální délka hesla
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 1.1.4
 >= 14
(Zásady)		 Kritické
Heslo musí splňovat požadavky na složitost.
(CCE-37063-5)		 Popis: Toto nastavení zásad kontroluje všechna nová hesla, aby zajistila, že splňují základní požadavky na silná hesla. Pokud je tato zásada povolená, musí hesla splňovat následující minimální požadavky: – Neobsahuje název účtu uživatele nebo části celého jména uživatele, které překračují dva po sobě jdoucí znaky – Musí obsahovat alespoň šest znaků – obsahují znaky ze tří z následujících čtyř kategorií: – anglické velké znaky (A až Z) – Anglické malá písmena (a až z) – Základní 10 číslice (0 až 9) – Jiné než abecední znaky (například !, $, #, %) – kategorie zachytávání všech znaků Unicode, která nepatří do předchozích čtyř kategorií. Tato pátá kategorie může být specifická pro jednotlivé oblasti. Každý další znak v hesle zvyšuje jeho složitost exponenciálně. Například sedmiznakové, všechna malá písmena abecední heslo by měla 267 (přibližně 8 x 109 nebo 8 miliard) možných kombinací. Při 1 000 000 pokusech za sekundu (schopnost mnoha nástrojů pro prolomení hesla) by to trvalo jen 133 minut. Sedmiznakové abecední heslo s citlivostí písmen má 527 kombinací. Alfanumerické heslo s rozlišováním sedmi znaků bez interpunkce má 627 kombinací. Heslo s osmi znaky má možné kombinace 268 (nebo 2 x 1011). I když se může zdát, že se jedná o velké číslo, při 1 000 000 pokusech za sekundu může trvat jen 59 hodin, než zkusí všechna možná hesla. Mějte na paměti, že tyto časy se výrazně zvýší pro hesla, která používají znaky ALT a další speciální znaky klávesnice, například "!" nebo "@". Správné použití nastavení hesla může pomoct ztížit připojení útoku hrubou silou. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: [Systémový přístup]Složitost hesla
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Zásady účtu\Zásady hesel\Heslo musí splňovat požadavky na složitost

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93459
        STIG WS2016 V-73323
        CIS WS2019 1.1.5
        CIS WS2022 1.1.5
 = 1
(Zásady)		 Kritické
Resetování čítače uzamčení účtu po
(AZ-WIN-73309)		 Popis: Toto nastavení zásad určuje dobu, po kterou se prahová hodnota uzamčení účtu resetuje na nulu. Výchozí hodnota pro toto nastavení zásad není definována. Pokud je definována prahová hodnota uzamčení účtu, musí být tento čas resetování menší nebo roven hodnotě pro nastavení doby trvání uzamčení účtu. Pokud toto nastavení zásad ponecháte na výchozí hodnotě nebo nakonfigurujete hodnotu na interval, který je příliš dlouhý, může být vaše prostředí ohroženo útokem DoS. Útočník může se zlými úmysly provést řadu neúspěšných pokusů o přihlášení u všech uživatelů v organizaci, což zamkne jejich účty. Pokud nebyly stanoveny žádné zásady pro resetování uzamčení účtu, jednalo by se o ruční úlohu pro správce. Naopak pokud je pro toto nastavení zásad nakonfigurovaná přiměřenou časovou hodnotu, budou uživatelé uzamčeni po nastavené období, dokud nebudou všechny účty automaticky odemknuty. Doporučený stav pro toto nastavení je: 15 or more minute(s). Poznámka: Nastavení zásad hesel (oddíl 1.1) a nastavení zásad uzamčení účtu (oddíl 1.2) se musí použít prostřednictvím objektu zásad skupiny výchozích zásad domény, aby se jako výchozí chování globálně projevily uživatelské účty domény . Pokud jsou tato nastavení nakonfigurovaná v jiném objektu zásad skupiny, ovlivní pouze místní uživatelské účty v počítačích, které objekt zásad skupiny obdrží. Vlastní výjimky výchozích zásad hesel a pravidel zásad uzamčení účtu pro konkrétní uživatele domény nebo skupiny je však možné definovat pomocí objektů pro Nastavení hesla (PSO), které jsou zcela oddělené od zásad skupiny a nejsnápadněji konfigurují pomocí služby Active Directory Správa istrative Center.
Cesta ke klíči: [Systémový přístup]ResetLockoutCount
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta zásad skupiny: Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Zásady účtu\Zásady uzamčení účtu\Resetování čítače uzamčení účtu po
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 1.2.3
        CIS WS2019 1.2.3
 >= 15
(Zásady)		 Důležité
Ukládání hesel pomocí reverzibilního šifrování
(CCE-36286-3)		 Popis: Toto nastavení zásad určuje, zda operační systém ukládá hesla způsobem, který používá reverzibilní šifrování, což poskytuje podporu aplikačních protokolů, které vyžadují znalosti hesla uživatele pro účely ověřování. Hesla uložená s reverzibilním šifrováním jsou v podstatě stejná jako verze hesel ve formátu prostého textu. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: [Systémový přístup]ClearTextPassword
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Zásady účtu\Zásady hesel\Ukládání hesel pomocí reverzibilního šifrování

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93465
        STIG WS2016 V-73325
        CIS WS2019 1.1.7
        CIS WS2022 1.1.7
 = 0
(Zásady)		 Kritické

Nastavení zabezpečení – Brána Windows Firewall

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Brána Windows Firewall: Doména: Povolit odpověď jednosměrového vysílání
(AZ-WIN-00088)		 Popis:

Tato možnost je užitečná, pokud potřebujete řídit, zda tento počítač přijímá jednosměrové odpovědi na odchozí zprávy vícesměrového vysílání nebo všesměrové vysílání.  

Pro profily privátních a domén doporučujeme toto nastavení nastavit na ano. Tím se nastaví hodnota registru na hodnotu 0.


Cesta ke klíči: Software\Policies\Microsoft\WindowsFirewall\DomainProfile\DisableUnicastResponsesToMulticastBroadcast
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace zásady pro konfiguraci počítače\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall (tento odkaz bude v pravém podokně)\Karta Profilu domény\Nastavení (vyberte Přizpůsobit)\Odpověď Jednosměrové vysílání, Povolit odpověď jednosměrového vysílání
Standardní mapování dodržování předpisů:
 = 0
(Registr)		 Upozorňující
Brána Windows Firewall: Doména: Stav brány firewall
(CCE-36062-8)		 Popis: Pokud chcete, aby brána Windows Firewall s pokročilým zabezpečením používala nastavení pro tento profil k filtrování síťového provozu, vyberte zapnuto (doporučeno). Pokud vyberete Možnost Vypnuto, brána Windows Firewall s pokročilým zabezpečením nebude pro tento profil používat žádná pravidla brány firewall ani pravidla zabezpečení připojení.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile\EnableFirewall
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na On (recommended):
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Profil domény\Stav brány firewall
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 9.1.1
 = 1
(Registr)		 Kritické
Brána Windows Firewall: Doména: Příchozí připojení
(AZ-WIN-202252)		 Popis: Toto nastavení určuje chování příchozích připojení, která neodpovídají pravidlu příchozí brány firewall. Doporučený stav pro toto nastavení je: Block (default).
Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile\DefaultInboundAction
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Profil domény\Příchozí připojení
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 9.1.2
        CIS WS2019 9.1.2
 = 1
(Registr)		 Kritické
Brána Windows Firewall: Doména: Protokolování: Zahozené pakety protokolu
(AZ-WIN-202226)		 Popis: Tuto možnost použijte k protokolování, když brána Windows Firewall s pokročilým zabezpečením z jakéhokoli důvodu zahodí příchozí paket. Protokol zaznamenává důvod a ukončení paketu. Vyhledejte položky se slovem DROP ve sloupci akce protokolu. Doporučený stav pro toto nastavení je: Yes.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile\Logging\LogDroppedPackets
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta zásad skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Domain Profile\Logging Customize\Log zahozené pakety
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 9.1.7
        CIS WS2019 9.1.7
 = 1
(Registr)		 Informační
Brána Windows Firewall: Doména: Protokolování: Protokolování úspěšných připojení
(AZ-WIN-202227)		 Popis: Tuto možnost použijte k protokolování, když brána Windows Firewall s pokročilým zabezpečením umožňuje příchozí připojení. Protokol zaznamenává, proč a kdy bylo připojení vytvořeno. Vyhledejte položky se slovem ALLOW ve sloupci akce protokolu. Doporučený stav pro toto nastavení je: Yes.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile\Logging\LogSuccessful Připojení ions
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Profil domény\Protokolování Přizpůsobení\Úspěšné připojení protokolu
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 9.1.8
        CIS WS2019 9.1.8
 = 1
(Registr)		 Upozorňující
Brána Windows Firewall: Doména: Protokolování: Název
(AZ-WIN-202224)		 Popis: Tuto možnost použijte k určení cesty a názvu souboru, do kterého brána Windows Firewall zapíše informace o protokolu. Doporučený stav pro toto nastavení je: %SystemRoot%\System32\logfiles\firewall\domainfw.log.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile\Logging\LogFilePath
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Profil domény\Logging Customize\Name
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 9.1.5
        CIS WS2019 9.1.5
 = %SystemRoot%\System32\logfiles\firewall\domainfw.log
(Registr)		 Informační
Brána Windows Firewall: Doména: Protokolování: Limit velikosti (KB)
(AZ-WIN-202225)		 Popis: Tuto možnost použijte k určení limitu velikosti souboru, do kterého brána Windows Firewall zapíše informace o protokolu. Doporučený stav pro toto nastavení je: 16,384 KB or greater.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile\Logging\LogFileSize
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Profil domény\Protokolování Přizpůsobení\Limit velikosti (KB)
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 9.1.6
        CIS WS2019 9.1.6
 >= 16384
(Registr)		 Upozorňující
Brána Windows Firewall: Doména: Odchozí připojení
(CCE-36146-9)		 Popis: Toto nastavení určuje chování odchozích připojení, která neodpovídají pravidlu odchozí brány firewall. Ve Windows Vista je výchozím chováním povolit připojení, pokud neexistují pravidla brány firewall, která blokují připojení.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile\DefaultOutboundAction
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Allow (default):
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Profil domény\Odchozí připojení
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 9.1.3
 = 0
(Registr)		 Kritické
Brána Windows Firewall: Doména: Nastavení: Použití pravidel zabezpečení místního připojení
(CCE-38040-2)		 Popis:

Toto nastavení určuje, jestli mohou místní správci vytvářet pravidla místního připojení, která se vztahují společně s pravidly brány firewall nakonfigurovanými zásadami skupiny. Doporučený stav pro toto nastavení je Ano, nastaví se hodnota registru na hodnotu 1.


Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile\AllowLocalIPsecPolicyMerge
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Nakonfigurujte hodnotu zásad pro konfiguraci počítače\Windows Nastavení\Security Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall (tento odkaz bude v pravém podokně)\Domain Profile Tab\Nastavení (vyberte Přizpůsobit)\Slučování pravidel místního připojení, Použití pravidel zabezpečení místního připojení
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 9.3.6
 = 1
(Registr)		 Kritické
Brána Windows Firewall: Doména: Nastavení: Použití místních pravidel brány firewall
(CCE-37860-4)		 Popis:

Toto nastavení určuje, jestli můžou místní správci vytvářet místní pravidla brány firewall, která se vztahují společně s pravidly brány firewall nakonfigurovanými zásadami skupiny.

Doporučený stav pro toto nastavení je Ano, nastaví se hodnota registru na hodnotu 1.


Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile\AllowLocalPolicyMerge
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall (tento odkaz bude v pravém podokně)\Karta Profilu domény\Nastavení (vyberte Přizpůsobit)\Slučování pravidel, Použití místních pravidel brány firewall
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 9.3.5
 Neexistuje nebo = 1
(Registr)		 Kritické
Brána Windows Firewall: Doména: Nastavení: Zobrazení oznámení
(CCE-38041-0)		 Popis:

Výběrem této možnosti se uživateli nezobrazí žádné oznámení, pokud je program blokován příjmem příchozích připojení. V serverovém prostředí nejsou automaticky otevírané okno užitečné, protože uživatelé nejsou přihlášení, automaticky otevírané okno není nutné a může správce zaměňovat.  

Nakonfigurujte toto nastavení zásad na Hodnotu Ne. Tím se nastaví hodnota registru na hodnotu 1.  Brána Windows Firewall nezobrazí oznámení, pokud je program blokován příjmem příchozích připojení.


Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile\DisableNotifications
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na No:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Profil domény\Nastavení Přizpůsobit\Zobrazit oznámení
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 9.1.4
 = 1
(Registr)		 Upozorňující
Brána Windows Firewall: Privátní: Povolit odpověď jednosměrového vysílání
(AZ-WIN-00089)		 Popis:

Tato možnost je užitečná, pokud potřebujete řídit, zda tento počítač přijímá jednosměrové odpovědi na odchozí zprávy vícesměrového vysílání nebo všesměrové vysílání.  

Pro profily privátních a domén doporučujeme toto nastavení nastavit na ano. Tím se nastaví hodnota registru na hodnotu 0.


Cesta ke klíči: Software\Policies\Microsoft\WindowsFirewall\PrivateProfile\DisableUnicastResponsesToMulticastBroadcast
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Konfigurace počítače\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall (tento odkaz bude v pravém podokně)\Karta Privátní profil\Nastavení (vyberte Přizpůsobit)\Odpověď jednosměrového vysílání, Povolit odpověď jednosměrového vysílání
Standardní mapování dodržování předpisů:
 = 0
(Registr)		 Upozorňující
Brána Windows Firewall: Privátní: Stav brány firewall
(CCE-38239-0)		 Popis: Pokud chcete, aby brána Windows Firewall s pokročilým zabezpečením používala nastavení pro tento profil k filtrování síťového provozu, vyberte zapnuto (doporučeno). Pokud vyberete Možnost Vypnuto, brána Windows Firewall s pokročilým zabezpečením nebude pro tento profil používat žádná pravidla brány firewall ani pravidla zabezpečení připojení.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile\EnableFirewall
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na On (recommended):
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Privátní profil\Stav brány firewall
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 9.2.1
 = 1
(Registr)		 Kritické
Brána Windows Firewall: Privátní: Příchozí připojení
(AZ-WIN-202228)		 Popis: Toto nastavení určuje chování příchozích připojení, která neodpovídají pravidlu příchozí brány firewall. Doporučený stav pro toto nastavení je: Block (default).
Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile\DefaultInboundAction
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta zásad skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Privátní profil\Příchozí připojení
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 9.2.2
        CIS WS2019 9.2.2
 = 1
(Registr)		 Kritické
Brána Windows Firewall: Privátní: Protokolování: Zahozené pakety protokolu
(AZ-WIN-202231)		 Popis: Tuto možnost použijte k protokolování, když brána Windows Firewall s pokročilým zabezpečením z jakéhokoli důvodu zahodí příchozí paket. Protokol zaznamenává důvod a ukončení paketu. Vyhledejte položky se slovem DROP ve sloupci akce protokolu. Doporučený stav pro toto nastavení je: Yes.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile\Logging\LogDroppedPackets
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta zásad skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Private Profile\Logging Customize\Protokol vynechané pakety
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 9.2.7
        CIS WS2019 9.2.7
 = 1
(Registr)		 Informační
Brána Windows Firewall: Privátní: Protokolování: Protokolování úspěšných připojení
(AZ-WIN-202232)		 Popis: Tuto možnost použijte k protokolování, když brána Windows Firewall s pokročilým zabezpečením umožňuje příchozí připojení. Protokol zaznamenává, proč a kdy bylo připojení vytvořeno. Vyhledejte položky se slovem ALLOW ve sloupci akce protokolu. Doporučený stav pro toto nastavení je: Yes.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile\Logging\LogSuccessful Připojení ions
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Soukromý profil\Protokolování Přizpůsobení\Úspěšné připojení protokolu
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 9.2.8
        CIS WS2019 9.2.8
 = 1
(Registr)		 Upozorňující
Brána Windows Firewall: Privátní: Protokolování: Název
(AZ-WIN-202229)		 Popis: Tuto možnost použijte k určení cesty a názvu souboru, do kterého brána Windows Firewall zapíše informace o protokolu. Doporučený stav pro toto nastavení je: %SystemRoot%\System32\logfiles\firewall\privatefw.log.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile\Logging\LogFilePath
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Private Profile\Logging Customize\Name
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 9.2.5
        CIS WS2019 9.2.5
 = %SystemRoot%\System32\logfiles\firewall\privatefw.log
(Registr)		 Informační
Brána Windows Firewall: Privátní: Protokolování: Limit velikosti (KB)
(AZ-WIN-202230)		 Popis: Tuto možnost použijte k určení limitu velikosti souboru, do kterého brána Windows Firewall zapíše informace o protokolu. Doporučený stav pro toto nastavení je: 16,384 KB or greater.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile\Logging\LogFileSize
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Privátní profil\Logging Customize\Size limit (KB)
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 9.2.6
        CIS WS2019 9.2.6
 >= 16384
(Registr)		 Upozorňující
Brána Windows Firewall: Privátní: Odchozí připojení
(CCE-38332-3)		 Popis: Toto nastavení určuje chování odchozích připojení, která neodpovídají pravidlu odchozí brány firewall. Výchozí chování je povolit připojení, pokud neexistují pravidla brány firewall, která blokují připojení. Důležité: Pokud nastavíte odchozí připojení na Blokovat a pak nasadíte zásadu brány firewall pomocí objektu zásad skupiny, počítače, které obdrží nastavení objektu zásad skupiny, nemůžou přijímat další aktualizace zásad skupiny, pokud nevytváříte a nasadíte odchozí pravidlo, které umožňuje fungování zásad skupiny. Předdefinovaná pravidla pro základní sítě zahrnují odchozí pravidla, která umožňují fungování zásad skupiny. Před nasazením se ujistěte, že jsou tato odchozí pravidla aktivní, a důkladně otestujte profily brány firewall.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile\DefaultOutboundAction
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Allow (default):
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Privátní profil\Odchozí připojení
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 9.2.3
 = 0
(Registr)		 Kritické
Brána Windows Firewall: Privátní: Nastavení: Použití pravidel zabezpečení místního připojení
(CCE-36063-6)		 Popis:

Toto nastavení určuje, jestli mohou místní správci vytvářet pravidla místního připojení, která se vztahují společně s pravidly brány firewall nakonfigurovanými zásadami skupiny. Doporučený stav pro toto nastavení je Ano, nastaví se hodnota registru na hodnotu 1.


Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile\AllowLocalIPsecPolicyMerge
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Konfigurace počítače\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall (tento odkaz bude v pravém podokně)\Karta Privátní profil\Nastavení (vyberte Přizpůsobit)\Slučování pravidel, Použití pravidel zabezpečení místního připojení
Standardní mapování dodržování předpisů:
 = 1
(Registr)		 Kritické
Brána Windows Firewall: Privátní: Nastavení: Použití místních pravidel brány firewall
(CCE-37438-9)		 Popis:

Toto nastavení určuje, jestli můžou místní správci vytvářet místní pravidla brány firewall, která se vztahují společně s pravidly brány firewall nakonfigurovanými zásadami skupiny.

Doporučený stav pro toto nastavení je Ano, nastaví se hodnota registru na hodnotu 1.


Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile\AllowLocalPolicyMerge
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Nakonfigurujte hodnotu zásad pro konfiguraci počítače\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall (tento odkaz bude v pravém podokně)\Karta Privátní profil\Nastavení (vyberte Přizpůsobit)\Slučování pravidel místní brány firewall, použití místních pravidel brány firewall
Standardní mapování dodržování předpisů:
 Neexistuje nebo = 1
(Registr)		 Kritické
Brána Windows Firewall: Privátní: Nastavení: Zobrazení oznámení
(CCE-37621-0)		 Popis:

Výběrem této možnosti se uživateli nezobrazí žádné oznámení, pokud je program blokován příjmem příchozích připojení. V serverovém prostředí nejsou automaticky otevírané okno užitečné, protože uživatelé nejsou přihlášení, automaticky otevírané okno není nutné a může správce zaměňovat.  

 Nakonfigurujte toto nastavení zásad na Hodnotu Ne. Tím se nastaví hodnota registru na hodnotu 1.  Brána Windows Firewall nezobrazí oznámení, pokud je program blokován příjmem příchozích připojení.


Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\PrivateProfile\DisableNotifications
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na No:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Soukromý profil\Nastavení Přizpůsobit\Zobrazit oznámení
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 9.2.4
 = 1
(Registr)		 Upozorňující
Brána Windows Firewall: Veřejná: Povolit odpověď jednosměrového vysílání
(AZ-WIN-00090)		 Popis:

Tato možnost je užitečná, pokud potřebujete řídit, zda tento počítač přijímá jednosměrové odpovědi na odchozí zprávy vícesměrového vysílání nebo všesměrové vysílání. To lze provést změnou stavu tohoto nastavení na Ne. Tím se nastaví hodnota registru na hodnotu 1.


Cesta ke klíči: Software\Policies\Microsoft\WindowsFirewall\PublicProfile\DisableUnicastResponsesToMulticastBroadcast
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Nakonfigurujte hodnotu zásad pro konfiguraci počítače\Windows Nastavení\Security Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall (tento odkaz bude v pravém podokně)\Karta Veřejného profilu\Nastavení (vyberte Přizpůsobit)\Odpověď Jednosměrové vysílání, Povolit odpověď jednosměrového vysílání
Standardní mapování dodržování předpisů:
 = 1
(Registr)		 Upozorňující
Brána Windows Firewall: Veřejný: Stav brány firewall
(CCE-37862-0)		 Popis: Pokud chcete, aby brána Windows Firewall s pokročilým zabezpečením používala nastavení pro tento profil k filtrování síťového provozu, vyberte zapnuto (doporučeno). Pokud vyberete Možnost Vypnuto, brána Windows Firewall s pokročilým zabezpečením nebude pro tento profil používat žádná pravidla brány firewall ani pravidla zabezpečení připojení.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile\EnableFirewall
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na On (recommended):
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Veřejný profil\Stav brány firewall
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 9.3.1
 = 1
(Registr)		 Kritické
Brána Windows Firewall: Veřejná: Příchozí připojení
(AZ-WIN-202234)		 Popis: Toto nastavení určuje chování příchozích připojení, která neodpovídají pravidlu příchozí brány firewall. Doporučený stav pro toto nastavení je: Block (default).
Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile\DefaultInboundAction
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta zásad skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Veřejný profil\Příchozí připojení
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 9.3.2
        CIS WS2019 9.3.2
 = 1
(Registr)		 Kritické
Brána Windows Firewall: Veřejné: Protokolování: Zahozené pakety protokolu
(AZ-WIN-202237)		 Popis: Tuto možnost použijte k protokolování, když brána Windows Firewall s pokročilým zabezpečením z jakéhokoli důvodu zahodí příchozí paket. Protokol zaznamenává důvod a ukončení paketu. Vyhledejte položky se slovem DROP ve sloupci akce protokolu. Doporučený stav pro toto nastavení je: Yes.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile\Logging\LogDroppedPackets
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta zásad skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Veřejný profil\Protokolování Přizpůsobení\Vynechané pakety protokolu
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 9.3.9
        CIS WS2019 9.3.9
 = 1
(Registr)		 Informační
Brána Windows Firewall: Veřejné: Protokolování: Protokolování: Protokolování úspěšných připojení
(AZ-WIN-202233)		 Popis: Tuto možnost použijte k protokolování, když brána Windows Firewall s pokročilým zabezpečením umožňuje příchozí připojení. Protokol zaznamenává, proč a kdy bylo připojení vytvořeno. Vyhledejte položky se slovem ALLOW ve sloupci akce protokolu. Doporučený stav pro toto nastavení je: Yes.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile\Logging\LogSuccessful Připojení ions
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Veřejný profil\Protokolování Přizpůsobení\Úspěšné připojení protokolu
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 9.3.10
        CIS WS2019 9.3.10
 = 1
(Registr)		 Upozorňující
Brána Windows Firewall: Veřejné: Protokolování: Název
(AZ-WIN-202235)		 Popis: Tuto možnost použijte k určení cesty a názvu souboru, do kterého brána Windows Firewall zapíše informace o protokolu. Doporučený stav pro toto nastavení je: %SystemRoot%\System32\logfiles\firewall\publicfw.log.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile\Logging\LogFilePath
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Veřejný profil\Logging Customize\Name
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 9.3.7
        CIS WS2019 9.3.7
 = %SystemRoot%\System32\logfiles\firewall\publicfw.log
(Registr)		 Informační
Brána Windows Firewall: Veřejné: Protokolování: Limit velikosti (KB)
(AZ-WIN-202236)		 Popis: Tuto možnost použijte k určení limitu velikosti souboru, do kterého brána Windows Firewall zapíše informace o protokolu. Doporučený stav pro toto nastavení je: 16,384 KB or greater.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile\Logging\LogFileSize
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Veřejný profil\Logging Customize\Size limit (KB)
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 9.3.8
        CIS WS2019 9.3.8
 >= 16384
(Registr)		 Informační
Brána Windows Firewall: Veřejná: Odchozí připojení
(CCE-37434-8)		 Popis: Toto nastavení určuje chování odchozích připojení, která neodpovídají pravidlu odchozí brány firewall. Výchozí chování je povolit připojení, pokud neexistují pravidla brány firewall, která blokují připojení. Důležité: Pokud nastavíte odchozí připojení na Blokovat a pak nasadíte zásadu brány firewall pomocí objektu zásad skupiny, počítače, které obdrží nastavení objektu zásad skupiny, nemůžou přijímat další aktualizace zásad skupiny, pokud nevytváříte a nasadíte odchozí pravidlo, které umožňuje fungování zásad skupiny. Předdefinovaná pravidla pro základní sítě zahrnují odchozí pravidla, která umožňují fungování zásad skupiny. Před nasazením se ujistěte, že jsou tato odchozí pravidla aktivní, a důkladně otestujte profily brány firewall.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile\DefaultOutboundAction
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Allow (default):
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Veřejný profil\Odchozí připojení
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 9.3.3
 = 0
(Registr)		 Kritické
Brána Windows Firewall: Veřejné: Nastavení: Použití pravidel zabezpečení místního připojení
(CCE-36268-1)		 Popis:

Toto nastavení určuje, jestli mohou místní správci vytvářet pravidla místního připojení, která se vztahují společně s pravidly brány firewall nakonfigurovanými zásadami skupiny. Doporučený stav pro toto nastavení je Ano, nastaví se hodnota registru na hodnotu 1.


Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile\AllowLocalIPsecPolicyMerge
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na No:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Veřejný profil\Nastavení Přizpůsobit\Použít pravidla zabezpečení místního připojení
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 9.3.6
 = 1
(Registr)		 Kritické
Brána Windows Firewall: Veřejná: Nastavení: Použití místních pravidel brány firewall
(CCE-37861-2)		 Popis:

Toto nastavení určuje, jestli můžou místní správci vytvářet místní pravidla brány firewall, která se vztahují společně s pravidly brány firewall nakonfigurovanými zásadami skupiny.

Doporučený stav pro toto nastavení je Ano, nastaví se hodnota registru na hodnotu 1.


Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile\AllowLocalPolicyMerge
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na No:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Veřejný profil\Nastavení Přizpůsobit\Použít místní pravidla brány firewall
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 9.3.5
 Neexistuje nebo = 1
(Registr)		 Kritické
Brána Windows Firewall: Veřejná: Nastavení: Zobrazení oznámení
(CCE-38043-6)		 Popis:

Výběrem této možnosti se uživateli nezobrazí žádné oznámení, pokud je program blokován příjmem příchozích připojení. V serverovém prostředí nejsou automaticky otevírané okno užitečné, protože uživatelé nejsou přihlášení, automaticky otevírané okno není nutné a může správce zaměňovat.  

Nakonfigurujte toto nastavení zásad na Hodnotu Ne. Tím se nastaví hodnota registru na hodnotu 1.  Brána Windows Firewall nezobrazí oznámení, pokud je program blokován příjmem příchozích připojení.


Cesta ke klíči: SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile\DisableNotifications
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na No:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Brána Windows Firewall s pokročilým zabezpečením\Brána Windows Firewall s pokročilým zabezpečením\Vlastnosti brány Windows Firewall\Veřejný profil\Nastavení Přizpůsobit\Zobrazit oznámení
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 9.3.4
 = 1
(Registr)		 Upozorňující

Zásady auditu systému – Přihlášení k účtu

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Auditovat ověřování pověření
(CCE-37741-6)		 Popis:

Tato podkategorie hlásí výsledky ověřovacích testů na přihlašovacích údajích odeslaných pro žádost o přihlášení k uživatelskému účtu. K těmto událostem dochází v počítači, který je autoritativní pro přihlašovací údaje. U účtů domény je řadič domény autoritativní, zatímco pro místní účty je místní počítač autoritativní. V doménových prostředích dochází k většině událostí přihlášení k účtu v protokolu zabezpečení řadičů domény, které jsou autoritativní pro účty domény. Tyto události ale můžou nastat v jiných počítačích v organizaci, když se k přihlášení používají místní účty. Události pro tuto podkategorii zahrnují: - 4774: Účet byl namapován pro přihlášení. - 4775: Účet nelze namapovat pro přihlášení. - 4776: Řadič domény se pokusil ověřit přihlašovací údaje pro účet. - 4777: Řadič domény se nepodařilo ověřit přihlašovací údaje pro účet. Doporučený stav pro toto nastavení je: Úspěch a selhání.


Cesta ke klíči: {0CCE923F-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Success and Failure:
Konfigurace počítače\Policies\Windows Nastavení\Security Nastavení\Advanced Audit Policy Configuration\Audit Policies\Account Logon\Audit Credential Validation

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93153
        STIG WS2016 V-73413
        CIS WS2019 17.1.1
        CIS WS2022 17.1.1
 = Úspěch a selhání
(Audit)		 Kritické
Auditovat ověřovací službu protokolu Kerberos
(AZ-WIN-00004)		 Popis: Tato podkategorie hlásí výsledky událostí vygenerovaných po požadavku TGT ověřování kerberos. Kerberos je distribuovaná ověřovací služba, která umožňuje klientovi spuštěným jménem uživatele prokázat svou identitu serveru bez odesílání dat přes síť. To pomáhá zmírnit útočníka nebo server zosobnění uživatele. - 4768: Byl požadován lístek ověřování Kerberos (TGT). – 4771: Předběžné ověřování protokolu Kerberos se nezdařilo. – 4772: Žádost o lístek ověřování Kerberos se nezdařila. Doporučený stav pro toto nastavení je: Success and Failure.
Cesta klíče: {0CCE9242-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Konfigurace zásad rozšířeného auditu\Zásady auditu\Přihlášení účtu\Audit ověřovací služby Kerberos
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 17.1.2
        CIS WS2019 17.1.2
 >= Úspěch a selhání
(Audit)		 Kritické

Zásady auditu systému – Správa účtů

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Auditovat správu skupin distribuce
(CCE-36265-7)		 Popis: Tato podkategorie hlásí každou událost správy distribuční skupiny, například při vytvoření, změně nebo odstranění distribuční skupiny nebo při přidání nebo odebrání člena z distribuční skupiny. Pokud povolíte toto nastavení zásad auditu, můžou správci sledovat události, které detekují škodlivé, náhodné a autorizované vytváření skupinových účtů. Události pro tuto podkategorii zahrnují: - 4744: Byla vytvořena místní skupina zakázaná zabezpečením. - 4745: Místní skupina zakázaná zabezpečení se změnila. - 4746: Člen byl přidán do místní skupiny se zakázaným zabezpečením. - 4747: Člen byl odebrán z místní skupiny se zakázaným zabezpečením. - 4748: Místní skupina zakázaná zabezpečení byla odstraněna. - 4749: Byla vytvořena globální skupina zakázaná zabezpečením. - 4750: Globální skupina zakázaná zabezpečení se změnila. - 4751: Člen byl přidán do globální skupiny se zakázaným zabezpečením. - 4752: Člen byl odebrán z globální skupiny zakázané zabezpečení. - 4753: Byla odstraněna globální skupina zakázaná zabezpečením. - 4759: Byla vytvořena univerzální skupina zakázaná zabezpečením. - 4760: Byla změněna univerzální skupina zakázaná zabezpečením. - 4761: Člen byl přidán do univerzální skupiny se zakázaným zabezpečením. - 4762: Člen byl odebrán z univerzální skupiny se zakázaným zabezpečením. - 4763: Byla odstraněna univerzální skupina se zakázaným zabezpečením. Doporučeným stavem tohoto nastavení je: Success.
Cesta ke klíči: {0CCE9238-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény
Cesta zásad skupiny: Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Konfigurace zásad rozšířeného auditu\Zásady auditu\Správa účtů\Audit správy distribuční skupiny
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 17.2.3
        CIS WS2019 17.2.3
 >= Úspěch
(Audit)		 Kritické
Auditovat jiné události správy účtu
(CCE-37855-4)		 Popis: Tato podkategorie hlásí další události správy účtů. Události pro tuto podkategorii zahrnují: — 4782: Hodnota hash hesla, ke které byl účet přistupovat. — 4793: Bylo volána rozhraní API pro kontrolu zásad hesel. Nejnovější informace o tomto nastavení naleznete v článku znalostní báze Microsoft KnowledgeBase Popis událostí zabezpečení v systému Windows Vista a Windows Server 2008: https://support.microsoft.com/topic/ms16-014-description-of-the-security-update-for-windows-vista-windows-server-2008-windows-7-windows-server-2008-r2-windows-server-2012-windows-8-1-and-windows-server-2012-r2-february-9-2016-1ff344d3-cd1c-cdbd-15b4-9344c7a7e6bd.
Cesta ke klíči: {0CCE923A-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní tak, aby zahrnovala Success:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Konfigurace zásad rozšířeného auditu\Zásady auditu\Správa účtů\Auditovat další události správy účtů
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 17.2.4
 >= Úspěch
(Audit)		 Kritické
Auditovat správu skupiny zabezpečení
(CCE-38034-5)		 Popis: Tato podkategorie hlásí každou událost správy skupin zabezpečení, například při vytvoření, změně nebo odstranění skupiny zabezpečení nebo při přidání nebo odebrání člena ze skupiny zabezpečení. Pokud povolíte toto nastavení zásad auditu, můžou správci sledovat události, které detekují škodlivé, náhodné a autorizované vytváření účtů skupin zabezpečení. Události pro tuto podkategorii zahrnují: - 4727: Byla vytvořena globální skupina s povoleným zabezpečením. - 4728: Člen byl přidán do globální skupiny s podporou zabezpečení. - 4729: Člen byl odebrán z globální skupiny s povoleným zabezpečením. - 4730: Byla odstraněna globální skupina s podporou zabezpečení. - 4731: Byla vytvořena místní skupina s povoleným zabezpečením. - 4732: Člen byl přidán do místní skupiny s povoleným zabezpečením. - 4733: Člen byl odebrán z místní skupiny s povoleným zabezpečením. - 4734: Byla odstraněna místní skupina s povoleným zabezpečením. - 4735: Místní skupina s povoleným zabezpečením byla změněna. - 4737: Globální skupina s podporou zabezpečení byla změněna. - 4754: Byla vytvořena univerzální skupina s podporou zabezpečení. - 4755: Byla změněna univerzální skupina s podporou zabezpečení. - 4756: Člen byl přidán do univerzální skupiny s podporou zabezpečení. - 4757: Člen byl odebrán z univerzální skupiny s podporou zabezpečení. - 4758: Byla odstraněna univerzální skupina s podporou zabezpečení. - 4764: Typ skupiny byl změněn. Doporučený stav pro toto nastavení je: Success and Failure.
Cesta klíče: {0CCE9237-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní tak, aby zahrnovala Success:
Konfigurace počítače\Zásady\Windows Nastavení\Security Nastavení\Advanced Audit Policy Configuration\Audit Policies\Account Management\Audit Security Group Management
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 17.2.5
 >= Úspěch
(Audit)		 Kritické
Auditovat správu účtů uživatelů
(CCE-37856-2)		 Popis: Tato podkategorie hlásí každou událost správy uživatelských účtů, například při vytvoření, změně nebo odstranění uživatelského účtu, přejmenování, zakázání nebo povolení uživatelského účtu nebo nastavení nebo změna hesla. Pokud povolíte toto nastavení zásad auditu, můžou správci sledovat události, které detekují škodlivé, náhodné a autorizované vytváření uživatelských účtů. Události pro tuto podkategorii zahrnují: - 4720: Byl vytvořen uživatelský účet. - 4722: Byl povolen uživatelský účet. - 4723: Došlo k pokusu o změnu hesla účtu. - 4724: Došlo k pokusu o resetování hesla účtu. - 4725: Uživatelský účet byl zakázán. - 4726: Byl odstraněn uživatelský účet. - 4738: Uživatelský účet byl změněn. - 4740: Uživatelský účet byl uzamčen. - 4765: Historie identifikátorů SID byla přidána do účtu. - 4766: Pokus o přidání historie identifikátorů SID do účtu se nezdařil. - 4767: Uživatelský účet byl odemknut. - 4780: Seznam ACL byl nastaven na účty, které jsou členy skupin správců. - 4781: Název účtu byl změněn: - 4794: Došlo k pokusu o nastavení režimu obnovení adresářových služeb. - 5376: Přihlašovací údaje správce přihlašovacích údajů byly zálohovány. - 5377: Přihlašovací údaje Správce přihlašovacích údajů byly obnoveny ze zálohy. Doporučený stav pro toto nastavení je: Success and Failure.
Cesta ke klíči: {0CCE9235-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Success and Failure:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Konfigurace zásad rozšířeného auditu\Zásady auditu\Správa účtů\Audit správy uživatelských účtů

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-92981
        STIG WS2016 V-73427
        CIS WS2019 17.2.6
        CIS WS2022 17.2.6
 = Úspěch a selhání
(Audit)		 Kritické

Zásady auditu systému – podrobné sledování

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Auditování aktivity PNP
(AZ-WIN-00182)		 Popis: Toto nastavení zásad umožňuje auditovat, když modul plug and play detekuje externí zařízení. Doporučený stav pro toto nastavení je: Success. Poznámka: Pro přístup a nastavení této hodnoty v zásadách skupiny se vyžaduje operační systém Windows 10, Server 2016 nebo vyšší.
Cesta klíče: {0CCE9248-69AE-11D9-BED3-505054503030}
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Security Nastavení\Local Policies\Security Options\Audit: Vynucení nastavení podkategorie zásad auditu (Windows Vista nebo novější) k přepsání nastavení kategorie zásad auditu

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 17.3.1
        CIS WS2022 17.3.1
 >= Úspěch
(Audit)		 Kritické
Auditovat vytvoření procesu
(CCE-36059-4)		 Popis: Tato podkategorie hlásí vytvoření procesu a název programu nebo uživatele, který ho vytvořil. Události pro tuto podkategorii zahrnují: - 4688: Byl vytvořen nový proces. – 4696: Proces byl přiřazen primární token. Nejnovější informace o tomto nastavení najdete v článku znalostní báze Microsoft Knowledge Base 947226. Doporučený stav pro toto nastavení je: Success.
Cesta ke klíči: {0CCE922B-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní tak, aby zahrnovala Success:
Konfigurace počítače\Zásady\Windows Nastavení\Security Nastavení\Advanced Audit Policy Configuration\Audit Policies\Detailed Tracking\Audit Process Creation

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93173
        STIG WS2016 V-73433
        CIS WS2019 17.3.2
        CIS WS2022 17.3.2
 >= Úspěch
(Audit)		 Kritické

Zásady auditu systému – Přístup k ds

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Auditovat přístup k adresářové službě
(CCE-37433-0)		 Popis: Tato podkategorie sestavy při přístupu k objektu AD DS. Generování událostí auditu způsobují pouze objekty s seznamy SACLs, a to pouze v případě, že se k nim přistupuje způsobem, který odpovídá jejich SACL. Tyto události jsou podobné událostem přístupu k adresářové službě v předchozích verzích Windows Serveru. Tato podkategorie se vztahuje pouze na řadiče domény. Události pro tuto podkategorii zahrnují: - 4662: Operace byla provedena u objektu. Doporučeným stavem tohoto nastavení je: Failure.
Cesta ke klíči: {0CCE923B-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Konfigurace rozšířených zásad auditu\Zásady auditu\Přístup k adresářové službě DS\Audit Directory Service
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 17.4.1
        CIS WS2019 17.4.1
 >= Selhání
(Audit)		 Kritické
Auditovat změny adresářové služby
(CCE-37616-0)		 Popis: Tato podkategorie hlásí změny objektů ve službě Doména služby Active Directory Services (AD DS). Typy ohlášených změn jsou operace vytvoření, úpravy, přesunutí a odstranění, které se provádějí u objektu. Auditování změn DS tam, kde je to vhodné, označuje staré a nové hodnoty změněných vlastností objektů, které byly změněny. Generování událostí auditu způsobují pouze objekty s seznamy SACLs, a to pouze v případě, že se k nim přistupuje způsobem, který odpovídá jejich SACL. Některé objekty a vlastnosti nezpůsobí generování událostí auditu z důvodu nastavení třídy objektu ve schématu. Tato podkategorie se vztahuje pouze na řadiče domény. Události pro tuto podkategorii zahrnují: - 5136: Objekt adresářové služby byl změněn. - 5137: Byl vytvořen objekt adresářové služby. - 5138 : Objekt adresářové služby nebyl zrušen. - 5139: Objekt adresářové služby byl přesunut. Doporučeným stavem tohoto nastavení je: Success.
Cesta klíče: {0CCE923C-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Konfigurace zásad rozšířeného auditu\Zásady auditu\Zásady auditu\Zásady přístupu DS\Audit změny adresářové služby
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 17.4.2
        CIS WS2019 17.4.2
 >= Úspěch
(Audit)		 Kritické
Auditovat replikaci adresářové služby
(AZ-WIN-00093)		 Popis: Tato podkategorie hlásí, když začne a končí replikace mezi dvěma řadiči domény. Mezi události této podkategorie patří: - 4932: Synchronizace repliky kontextu pojmenování služby Active Directory začala. – 4933: Synchronizace repliky kontextu pojmenování služby Active Directory skončila. Nejnovější informace o tomto nastavení: http:--support.microsoft.com-default.aspx-kb-947226 naleznete v článku znalostní báze Microsoft KnowledgeBase popis událostí zabezpečení v systému Windows Vista a Windows Server 2008.
Cesta ke klíči: {0CCE923D-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény
Cesta zásad skupiny: Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Konfigurace zásad rozšířeného auditu\Zásady auditu\Zásady auditu\Replikace adresářové služby DS Access\Audit
Standardní mapování dodržování předpisů:
 >= Bez auditování
(Audit)		 Kritické

Zásady auditu systému – Přihlášení – Odhlášení

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Auditovat uzamčení účtu
(CCE-37133-6)		 Popis: Tato podkategorie hlásí, když je účet uživatele uzamčen v důsledku příliš mnoha neúspěšných pokusů o přihlášení. Události pro tuto podkategorii zahrnují: — 4625: Účet se nepodařilo přihlásit. Nejnovější informace o tomto nastavení naleznete v článku znalostní báze Microsoft KnowledgeBase Popis událostí zabezpečení v systému Windows Vista a Windows Server 2008: https://support.microsoft.com/topic/ms16-014-description-of-the-security-update-for-windows-vista-windows-server-2008-windows-7-windows-server-2008-r2-windows-server-2012-windows-8-1-and-windows-server-2012-r2-february-9-2016-1ff344d3-cd1c-cdbd-15b4-9344c7a7e6bd.
Cesta klíče: {0CCE9217-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní tak, aby zahrnovala Failure:
Konfigurace počítače\Policies\Windows Nastavení\Security Nastavení\Advanced Audit Policy Configuration\Audit Policies\Logon/Logoff\Audit Account Lockout
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 17.5.1
 >= Selhání
(Audit)		 Kritické
Auditovat členství ve skupině
(AZ-WIN-00026)		 Popis: Auditování členství ve skupině umožňuje auditovat členství ve skupinách při jejich vytváření v klientském počítači. Tato zásada umožňuje auditovat informace o členství ve skupině v přihlašovacím tokenu uživatele. Události v této podkategorii se generují v počítači, na kterém je vytvořena přihlašovací relace. Pro interaktivní přihlášení se vygeneruje událost auditu zabezpečení v počítači, ke kterému se uživatel přihlásil. Pro přihlášení k síti, jako je například přístup ke sdílené složce v síti, se vygeneruje událost auditu zabezpečení v počítači, který je hostitelem prostředku. Musíte také povolit podkategorii auditování přihlášení. Pokud se informace o členství ve skupině nevejdou do jedné události auditu zabezpečení, vygeneruje se více událostí. Mezi auditované události patří: - 4627(S): Informace o členství ve skupině.
Cesta ke klíči: {0CCE9249-69AE-11D9-BED3-505054503030}
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní tak, aby zahrnovala Success:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Konfigurace zásad rozšířeného auditu\Zásady auditu\Přihlášení/Logff\Audit členství ve skupině
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 17.5.2
 >= Úspěch
(Audit)		 Kritické
Auditovat odhlášení
(CCE-38237-4)		 Popis:

Tato podkategorie hlásí, když se uživatel odhlásí ze systému. K těmto událostem dochází na přístupovém počítači. U interaktivních přihlášení dojde k generování těchto událostí v počítači, ke kterému je přihlášen. Pokud se pro přístup ke sdílené složce provede přihlášení k síti, vygenerují se tyto události v počítači, který je hostitelem přístupového prostředku. Pokud toto nastavení nakonfigurujete na žádné auditování, je obtížné nebo nemožné určit, ke kterému uživateli došlo nebo se pokusil o přístup k počítačům organizace. Události pro tuto podkategorii zahrnují: - 4634: Účet byl odhlášený. - 4647: Přihlášení iniciované uživatelem. Doporučený stav pro toto nastavení je: Úspěch.


Cesta ke klíči: {0CCE9216-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní tak, aby zahrnovala Success:
Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Konfigurace zásad rozšířeného auditu\Zásady auditu\Přihlášení/Logoff\Audit Logoff

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93171
        STIG WS2016 V-73449
        CIS WS2019 17.5.3
        CIS WS2022 17.5.3
 >= Úspěch
(Audit)		 Kritické
Auditovat přihlášení
(CCE-38036-0)		 Popis:

Tato podkategorie hlásí, když se uživatel pokusí přihlásit k systému. K těmto událostem dochází na přístupovém počítači. U interaktivních přihlášení dojde k generování těchto událostí v počítači, ke kterému je přihlášen. Pokud se pro přístup ke sdílené složce provede přihlášení k síti, vygenerují se tyto události v počítači, který je hostitelem přístupového prostředku. Pokud toto nastavení nakonfigurujete na žádné auditování, je obtížné nebo nemožné určit, ke kterému uživateli došlo nebo se pokusil o přístup k počítačům organizace. Události pro tuto podkategorii zahrnují: - 4624: Účet byl úspěšně přihlášen. - 4625: Účet se nepodařilo přihlásit. - 4648: Došlo k pokusu o přihlášení pomocí explicitních přihlašovacích údajů. - 4675: Identifikátory SID byly filtrovány. Doporučený stav pro toto nastavení je: Úspěch a selhání.


Cesta ke klíči: {0CCE9215-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Success and Failure:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Konfigurace zásad rozšířeného auditu\Zásady auditu\Přihlášení/Logff\Audit Logon

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-92967
        STIG WS2016 V-73451
        CIS WS2019 17.5.4
        CIS WS2022 17.5.4
 = Úspěch a selhání
(Audit)		 Kritické
Auditovat další události přihlášení nebo odhlášení
(CCE-36322-6)		 Popis: Tato podkategorie hlásí další události související s přihlášením nebo logffem, jako je například relace terminálové služby, odpojí a znovu připojí, pomocí RunAs spustí procesy pod jiným účtem a uzamkne a odemkne pracovní stanici. Události pro tuto podkategorii zahrnují: — 4649: Byl zjištěn útok přehrání. — 4778: Relace byla znovu připojena k stanici okna. — 4779: Relace byla odpojena od stanice Windows. — 4800: Pracovní stanice byla uzamčena. — 4801: Pracovní stanice byla odemknutá. — 4802: Spořič obrazovky byl vyvolán. — 4803: Spořič obrazovky byl zamítnut. — 5378: Požadovaná delegování přihlašovacích údajů byla zakázána zásadami. — 5632: Byla provedena žádost o ověření v bezdrátové síti. — 5633: Byla provedena žádost o ověření v kabelové síti. Nejnovější informace o tomto nastavení naleznete v článku znalostní báze Microsoft KnowledgeBase Popis událostí zabezpečení v systému Windows Vista a Windows Server 2008: https://support.microsoft.com/topic/ms16-014-description-of-the-security-update-for-windows-vista-windows-server-2008-windows-7-windows-server-2008-r2-windows-server-2012-windows-8-1-and-windows-server-2012-r2-february-9-2016-1ff344d3-cd1c-cdbd-15b4-9344c7a7e6bd.
Cesta ke klíči: {0CCE921C-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Success and Failure:
Konfigurace počítače\Zásady\Windows Nastavení\Security Nastavení\Advanced Audit Policy Configuration\Audit Policies\Logon/Logoff\Audit Other Logon/Logoff
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 17.5.5
 = Úspěch a selhání
(Audit)		 Kritické
Auditovat zvláštní přihlášení
(CCE-36266-5)		 Popis: Tato podkategorie hlásí, když se použije speciální přihlášení. Speciální přihlášení je přihlášení, které má oprávnění ekvivalentní správci a lze ho použít ke zvýšení úrovně procesu na vyšší úroveň. Události pro tuto podkategorii zahrnují: - 4964: Zvláštní skupiny byly přiřazeny k novému přihlášení. Doporučený stav pro toto nastavení je: Success.
Cesta klíče: {0CCE921B-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní tak, aby zahrnovala Success:
Konfigurace počítače\Policies\Windows Nastavení\Security Nastavení\Advanced Audit Policy Configuration\Audit Policies\Logon/Logoff\Audit Special Logon

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93161
        STIG WS2016 V-73455
        CIS WS2019 17.5.6
        CIS WS2022 17.5.6
 >= Úspěch
(Audit)		 Kritické

Zásady auditu systému – Přístup k objektům

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Auditovat podrobnou sdílenou složku
(AZ-WIN-00100)		 Popis: Tato podkategorie umožňuje auditovat pokusy o přístup k souborům a složkám ve sdílené složce. Události pro tuto podkategorii zahrnují: - 5145: objekt sdílené síťové složky byl zkontrolován, abyste zjistili, zda lze klientovi udělit požadovaný přístup. Doporučeným stavem tohoto nastavení je zahrnout: Failure
Cesta klíče: {0CCE9244-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta zásad skupiny: Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Konfigurace zásad rozšířeného auditu\Zásady auditu\Přístup k objektům\Auditovat podrobnou sdílenou složku
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 17.6.1
        CIS WS2019 17.6.1
 >= Selhání
(Audit)		 Kritické
Auditovat sdílenou složku
(AZ-WIN-00102)		 Popis: Toto nastavení zásad umožňuje auditovat pokusy o přístup ke sdílené složce. Doporučený stav pro toto nastavení je: Success and Failure. Poznámka: Pro sdílené složky neexistují žádné seznamy řízení přístupu (SACLs) systému. Pokud je toto nastavení zásad povolené, je auditován přístup ke všem sdíleným složkám v systému.
Cesta ke klíči: {0CCE9224-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta zásad skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Konfigurace zásad rozšířeného auditu\Zásady auditu\Přístup k objektům\Sdílená složka auditování
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 17.6.2
        CIS WS2019 17.6.2
 = Úspěch a selhání
(Audit)		 Kritické
Auditovat jiné události přístupu k objektu
(AZ-WIN-00113)		 Popis: Tato podkategorie hlásí další události související s přístupem k objektům, jako jsou úlohy plánovače úloh a objekty MODELU COM+. Události pro tuto podkategorii zahrnují: — 4671: Aplikace se pokusila získat přístup k blokované řadové sadě prostřednictvím tbS. — 4691: Byl požadován nepřímý přístup k objektu. — 4698: Byl vytvořen naplánovaný úkol. — 4699: Byl odstraněn naplánovaný úkol. — 4700: Byl povolen naplánovaný úkol. — 4701: Naplánovaný úkol byl zakázán. — 4702: Byl aktualizován naplánovaný úkol. — 5888: Objekt v katalogu COM+ byl změněn. — 5889: Objekt byl odstraněn z katalogu COM+. — 5890: Objekt byl přidán do katalogu COM+. Nejnovější informace o tomto nastavení naleznete v článku znalostní báze Microsoft KnowledgeBase Popis událostí zabezpečení v systému Windows Vista a Windows Server 2008: https://support.microsoft.com/topic/ms16-014-description-of-the-security-update-for-windows-vista-windows-server-2008-windows-7-windows-server-2008-r2-windows-server-2012-windows-8-1-and-windows-server-2012-r2-february-9-2016-1ff344d3-cd1c-cdbd-15b4-9344c7a7e6bd.
Cesta ke klíči: {0CCE9227-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Success and Failure:
Konfigurace počítače\Policies\Windows Nastavení\Security Nastavení\Advanced Audit Policy Configuration\Audit Policies\Object Access\Audit Other Object Access Events
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 17.6.3
 = Úspěch a selhání
(Audit)		 Kritické
Auditovat vyměnitelné úložiště
(CCE-37617-8)		 Popis: Toto nastavení zásad umožňuje auditovat pokusy uživatelů o přístup k objektům systému souborů na vyměnitelném úložném zařízení. Událost auditu zabezpečení se generuje pouze pro všechny objekty pro všechny typy požadovaných přístupů. Pokud toto nastavení zásad nakonfigurujete, vygeneruje se událost auditu pokaždé, když účet přistupuje k objektu systému souborů v vyměnitelném úložišti. Úspěšné audity zaznamenávají úspěšné pokusy a neúspěšné pokusy o auditování záznamů. Pokud toto nastavení zásad nenakonfigurujete, nevygeneruje se žádná událost auditu, když účet přistupuje k objektu systému souborů v vyměnitelném úložišti. Doporučený stav pro toto nastavení je: Success and Failure. Poznámka: Pro přístup a nastavení této hodnoty v zásadách skupiny se vyžaduje operační systém Windows 8, Server 2012 (jiný než R2) nebo novější.
Cesta klíče: {0CCE9245-69AE-11D9-BED3-505054503030}
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Success and Failure:
Konfigurace počítače\Zásady\Windows Nastavení\Security Nastavení\Advanced Audit Policy Configuration\Audit Policies\Object Access\Audit Removable Storage

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93167
        STIG WS2016 V-73457
        CIS WS2019 17.6.4
        CIS WS2022 17.6.4
 = Úspěch a selhání
(Audit)		 Kritické

Zásady auditu systému – Změna zásad

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Auditovat změnu zásad ověřování
(CCE-38327-3)		 Popis: Tato podkategorie hlásí změny v zásadách ověřování. Události pro tuto podkategorii zahrnují: — 4706: Byl vytvořen nový vztah důvěryhodnosti pro doménu. — 4707: Byl odebrán vztah důvěryhodnosti k doméně. — 4713: Došlo ke změně zásad protokolu Kerberos. — 4716: Informace o důvěryhodné doméně byly změněny. — 4717: Přístup k zabezpečení systému byl udělen účtu. — 4718: Přístup k zabezpečení systému byl odebrán z účtu. — 4739: Zásady domény byly změněny. — 4864: Byla zjištěna kolize oboru názvů. — 4865: Byla přidána položka informací o důvěryhodné doménové struktuře. — 4866: Byla odebrána položka informací o důvěryhodné doménové struktuře. — 4867: Byla změněna položka informací o důvěryhodné doménové struktuře. Nejnovější informace o tomto nastavení naleznete v článku znalostní báze Microsoft KnowledgeBase Popis událostí zabezpečení v systému Windows Vista a Windows Server 2008: https://support.microsoft.com/topic/ms16-014-description-of-the-security-update-for-windows-vista-windows-server-2008-windows-7-windows-server-2008-r2-windows-server-2012-windows-8-1-and-windows-server-2012-r2-february-9-2016-1ff344d3-cd1c-cdbd-15b4-9344c7a7e6bd.
Cesta klíče: {0CCE9230-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní tak, aby zahrnovala Success:
Konfigurace počítače\Policies\Windows Nastavení\Security Nastavení\Advanced Audit Policy Configuration\Audit Policies\Policy Change\Audit Authentication Policy Change
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 17.7.2
 >= Úspěch
(Audit)		 Kritické
Auditovat změnu zásad autorizace
(CCE-36320-0)		 Popis: Tato podkategorie hlásí změny v zásadách autorizace. Události pro tuto podkategorii zahrnují: - 4704: Bylo přiřazeno právo uživatele. - 4705: Byla odebrána práva uživatele. - 4706: Pro doménu byl vytvořen nový vztah důvěryhodnosti. - 4707: Byl odebrán vztah důvěryhodnosti k doméně. - 4714: Byly změněny zásady obnovení šifrovaných dat. Doporučeným stavem tohoto nastavení je: Success.
Cesta ke klíči: {0CCE9231-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta zásad skupiny: Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Konfigurace zásad rozšířeného auditu\Zásady auditu\Změna zásad auditu\Změna zásad autorizace auditování
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 17.7.3
        CIS WS2019 17.7.3
 >= Úspěch
(Audit)		 Kritické
Auditovat změnu zásad úrovně pravidla MPSSVC
(AZ-WIN-00111)		 Popis: Tato podkategorie hlásí změny v pravidlech zásad používaných službou Microsoft Protection Service (MPSSVC.exe). Tuto službu používá brána Windows Firewall a Microsoft OneCare. Mezi události pro tuto podkategorii patří: — 4944: Při spuštění brány Windows Firewall byla aktivní následující zásada. — 4945: Pravidlo bylo uvedeno při spuštění brány Windows Firewall. — 4946: V seznamu výjimek brány Windows Firewall byla provedena změna. Bylo přidáno pravidlo. — 4947: V seznamu výjimek brány Windows Firewall byla provedena změna. Pravidlo bylo změněno. — 4948: V seznamu výjimek brány Windows Firewall byla provedena změna. Pravidlo bylo odstraněno. — 4949: Nastavení brány Windows Firewall bylo obnoveno na výchozí hodnoty. — 4950: Nastavení brány Windows Firewall se změnilo. — 4951: Pravidlo bylo ignorováno, protože brána Windows Firewall nerozpoznala jeho hlavní číslo verze. — 4952: Části pravidla byly ignorovány, protože brána Windows Firewall nerozpoznala číslo podverze. Ostatní části pravidla se vynutí. — 4953: Brána Windows Firewall ignorovala pravidlo, protože pravidlo nebylo možné analyzovat. — 4954: Nastavení zásad skupiny brány Windows Firewall se změnilo. Použili jsme nová nastavení. — 4956: Brána Windows Firewall změnila aktivní profil. — 4957: Brána Windows Firewall nepoužila následující pravidlo: — 4958: Brána Windows Firewall nepoužila následující pravidlo, protože pravidlo odkazované na položky nenakonfigurované v tomto počítači: Přečtěte si článek znalostní báze Microsoft KnowledgeBase Popis událostí zabezpečení v systému Windows Vista a Windows Server 2008 pro nejnovější informace o tomto nastavení: https://support.microsoft.com/topic/ms16-014-description-of-the-security-update-for-windows-vista-windows-server-2008-windows-7-windows-server-2008-r2-windows-server-2012-windows-8-1-and-windows-server-2012-r2-february-9-2016-1ff344d3-cd1c-cdbd-15b4-9344c7a7e6bd.
Cesta klíče: {0CCE9232-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Success and Failure:
Konfigurace počítače\Policies\Windows Nastavení\Security Nastavení\Advanced Audit Policy Configuration\Audit Policies\Policy Change\Audit MPSSVC Rule-Level Change
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 17.7.4
 = Úspěch a selhání
(Audit)		 Kritické
Auditovat jiné události změny zásad
(AZ-WIN-00114)		 Popis: Tato podkategorie obsahuje události týkající se změn zásad agenta obnovení dat EFS, změny ve filtru platformy Filtrování systému Windows, stav aktualizací nastavení zásad zabezpečení pro místní nastavení zásad skupiny, změny zásad centrálního přístupu a podrobné události řešení potíží s operacemi kryptografické další generace (CNG). - 5063: Došlo k pokusu o operaci kryptografického zprostředkovatele. - 5064: Došlo k pokusu o operaci kryptografického kontextu. - 5065: Došlo k pokusu o změnu kryptografického kontextu. - 5066: Došlo k pokusu o operaci kryptografické funkce. - 5067: Došlo k pokusu o úpravu kryptografické funkce. - 5068: Došlo k pokusu o operaci zprostředkovatele kryptografických funkcí. - 5069: Došlo k pokusu o operaci vlastnosti kryptografické funkce. - 5070: Došlo k pokusu o změnu vlastnosti kryptografické funkce. - 6145: Při zpracování zásad zabezpečení v objektech zásad skupiny došlo k jedné nebo více chybám. Doporučeným stavem tohoto nastavení je: Failure.
Cesta ke klíči: {0CCE9234-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta zásad skupiny: Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Konfigurace zásad rozšířeného auditu\Zásady auditu\Změna zásad\Auditovat jiné události změn zásad
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 17.7.5
        CIS WS2019 17.7.5
 >= Selhání
(Audit)		 Kritické
Změna zásad auditu
(CCE-38028-7)		 Popis: Tato podkategorie hlásí změny v zásadách auditu, včetně změn SACL. Události pro tuto podkategorii zahrnují: — 4715: Zásady auditu (SACL) u objektu byly změněny. — 4719: Zásady auditu systému byly změněny. — 4902: Byla vytvořena tabulka zásad auditu pro jednotlivé uživatele. — 4904: Došlo k pokusu o registraci zdroje událostí zabezpečení. — 4905: Došlo k pokusu o zrušení registrace zdroje událostí zabezpečení. — 4906: Hodnota CrashOnAuditFail se změnila. — 4907: Nastavení auditování objektu bylo změněno. — 4908: Změněna tabulka Pro přihlášení ke speciálním skupinám. — 4912: Zásady auditu jednotlivých uživatelů byly změněny. Nejnovější informace o tomto nastavení naleznete v článku znalostní báze Microsoft KnowledgeBase Popis událostí zabezpečení v systému Windows Vista a Windows Server 2008: https://support.microsoft.com/topic/ms16-014-description-of-the-security-update-for-windows-vista-windows-server-2008-windows-7-windows-server-2008-r2-windows-server-2012-windows-8-1-and-windows-server-2012-r2-february-9-2016-1ff344d3-cd1c-cdbd-15b4-9344c7a7e6bd.
Cesta ke klíči: {0CCE922F-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Zásady\Windows Nastavení\Zabezpečení Nastavení\Konfigurace zásad rozšířeného auditu\Zásady auditu\Změna zásad auditu\Změna zásad auditu
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 17.7.1
 >= Úspěch
(Audit)		 Kritické

Zásady auditu systému – Použití oprávnění

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Auditovat použití citlivých oprávnění
(CCE-36267-3)		 Popis: Tato podkategorie hlásí, když uživatelský účet nebo služba používá citlivé oprávnění. Citlivá oprávnění zahrnují následující uživatelská práva: Jednat jako součást operačního systému, záložních souborů a adresářů, vytvořit objekt tokenu, Ladicí programy, Povolit, aby byly uživatelské účty důvěryhodné pro delegování, Generovat audity zabezpečení, zosobnit klienta po ověření, Načíst a uvolnit ovladače zařízení, Spravovat auditování a protokol zabezpečení, Upravit hodnoty prostředí firmwaru, Nahraďte token na úrovni procesu, obnovte soubory a adresáře a převezmejte vlastnictví souborů nebo jiných objektů. Auditování této podkategorie vytvoří velký objem událostí. Události pro tuto podkategorii zahrnují: — 4672: Zvláštní oprávnění přiřazená k novému přihlášení. — 4673: Byla volána privilegovaná služba. — 4674: Došlo k pokusu o operaci u privilegovaného objektu. Nejnovější informace o tomto nastavení naleznete v článku znalostní báze Microsoft KnowledgeBase Popis událostí zabezpečení v systému Windows Vista a Windows Server 2008: https://support.microsoft.com/topic/ms16-014-description-of-the-security-update-for-windows-vista-windows-server-2008-windows-7-windows-server-2008-r2-windows-server-2012-windows-8-1-and-windows-server-2012-r2-february-9-2016-1ff344d3-cd1c-cdbd-15b4-9344c7a7e6bd.
Cesta ke klíči: {0CCE9228-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Success and Failure:
Konfigurace počítače\Policies\Windows Nastavení\Security Nastavení\Advanced Audit Policy Configuration\Audit Policies\Privilege Use\Audit Sensitive Privilege Use
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 17.8.1
 = Úspěch a selhání
(Audit)		 Kritické

Zásady auditu systému – Systém

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Auditovat ovladač IPsec
(CCE-37853-9)		 Popis: Tato podkategorie hlásí aktivity ovladače IPsec (Internet Protocol Security). Události pro tuto podkategorii zahrnují: - 4960: Protokol IPsec zahodil příchozí paket, který selhal při kontrole integrity. Pokud tento problém přetrvává, může to znamenat problém se sítí nebo že se pakety upravují při přenosu do tohoto počítače. Ověřte, že pakety odeslané ze vzdáleného počítače jsou stejné jako pakety přijaté tímto počítačem. Tato chyba může také znamenat problémy s interoperabilitou s jinými implementacemi protokolu IPsec. - 4961: Protokol IPsec zahodil příchozí paket, který selhal při kontrole přehrávání. Pokud tento problém přetrvává, může to znamenat útok na přehrání proti tomuto počítači. - 4962: Protokol IPsec zahodil příchozí paket, který selhal při kontrole přehrání. Příchozí paket měl příliš nízké pořadové číslo, aby se zajistilo, že se nepřehrává. - 4963: Protokol IPsec zahodil příchozí nesmazatelný textový paket, který by měl být zabezpečený. Důvodem je obvykle změna zásad protokolu IPsec vzdáleného počítače bez informování tohoto počítače. Může to být také pokus o falšování identity útoku. - 4965: Protokol IPsec přijal paket ze vzdáleného počítače s nesprávným indexem parametrů zabezpečení (SPI). Příčinou je obvykle selhání hardwaru, který způsobuje poškození paketů. Pokud tyto chyby potrvají, ověřte, zda jsou pakety odeslané ze vzdáleného počítače stejné jako pakety přijaté tímto počítačem. Tato chyba může také znamenat problémy s interoperabilitou s jinými implementacemi protokolu IPsec. V takovém případě je možné tyto události ignorovat, pokud se připojení neohrožuje. - 5478: Služba IPsec byla úspěšně spuštěna. - 5479: Služba IPsec byla úspěšně vypnuta. Vypnutí služeb IPsec může počítač vystavit většímu riziku síťového útoku nebo vystavit počítač potenciálním bezpečnostním rizikům. - 5480: Službě IPsec se nepodařilo získat úplný seznam síťových rozhraní v počítači. To představuje potenciální bezpečnostní riziko, protože některá síťová rozhraní nemusí získat ochranu poskytovanou použitými filtry IPsec. K diagnostice problému použijte modul snap-in Monitorování zabezpečení protokolu IP. – 5483: Službě IPsec se nepodařilo inicializovat server RPC. Služby IPsec nelze spustit. - 5484: U služeb IPsec došlo k kritické chybě a byla vypnuta. Vypnutí služeb IPsec může počítač vystavit většímu riziku síťového útoku nebo vystavit počítač potenciálním bezpečnostním rizikům. - 5485: Službě IPsec se nepodařilo zpracovat některé filtry IPsec v události plug-and-play pro síťová rozhraní. To představuje potenciální bezpečnostní riziko, protože některá síťová rozhraní nemusí získat ochranu poskytovanou použitými filtry IPsec. K diagnostice problému použijte modul snap-in Monitorování zabezpečení protokolu IP. Doporučený stav pro toto nastavení je: Success and Failure.
Cesta ke klíči: {0CCE9213-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta zásad skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Konfigurace zásad rozšířeného auditu\Zásady auditu\Systém\Auditovat ovladač IPsec
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 17.9.1
        CIS WS2019 17.9.1
 >= Úspěch a selhání
(Audit)		 Kritické
Auditovat jiné systémové události
(CCE-38030-3)		 Popis: Tato podkategorie hlásí jiné systémové události. Události pro tuto podkategorii zahrnují: - 5024: Služba Brána Windows Firewall byla úspěšně spuštěna. - 5025: Služba Windows Firewall byla zastavena. - 5027: Služba Brány Windows Firewall nemohla načíst zásady zabezpečení z místního úložiště. Služba bude dál vynucovat aktuální zásady. - 5028: Služba Brány Windows Firewall nemohla analyzovat nové zásady zabezpečení. Služba bude pokračovat s aktuálně vynucenými zásadami. - 5029: Službě Windows Firewall se nepodařilo inicializovat ovladač. Služba bude dál vynucovat aktuální zásady. - 5030: Službu brány Windows Firewall se nepodařilo spustit. - 5032: Brána Windows Firewall nemohla uživatele upozornit, že aplikace nemohla přijímat příchozí připojení v síti. - 5033: Ovladač brány Windows Firewall byl úspěšně spuštěn. - 5034: Ovladač brány Windows Firewall byl zastaven. - 5035: Ovladač brány Windows Firewall se nepodařilo spustit. - 5037: Ovladač brány Windows Firewall zjistil kritickou chybu za běhu. Ukončení. - 5058: Operace souboru klíče. - 5059: Klíčová operace migrace. Doporučený stav pro toto nastavení je: Success and Failure.
Cesta klíče: {0CCE9214-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta zásad skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Konfigurace zásad rozšířeného auditu\Zásady auditu\Systém\Auditovat jiné systémové události
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 17.9.2
        CIS WS2019 17.9.2
 = Úspěch a selhání
(Audit)		 Kritické
Auditovat změnu stavu zabezpečení
(CCE-38114-5)		 Popis: Tato podkategorie hlásí změny ve stavu zabezpečení systému, například při spuštění a zastavení subsystému zabezpečení. Události pro tuto podkategorii zahrnují: — 4608: Windows se spouští. — 4609: Systém Windows se vypíná. — 4616: Systémový čas byl změněn. — 4621: Správa istrator obnovil systém z CrashOnAuditFail. Uživatelé, kteří nejsou správci, se teď budou moct přihlásit. Některá auditovatelná aktivita se možná nezaznamenala. Nejnovější informace o tomto nastavení naleznete v článku znalostní báze Microsoft KnowledgeBase Popis událostí zabezpečení v systému Windows Vista a Windows Server 2008: https://support.microsoft.com/topic/ms16-014-description-of-the-security-update-for-windows-vista-windows-server-2008-windows-7-windows-server-2008-r2-windows-server-2012-windows-8-1-and-windows-server-2012-r2-february-9-2016-1ff344d3-cd1c-cdbd-15b4-9344c7a7e6bd.
Cesta ke klíči: {0CCE9210-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní tak, aby zahrnovala Success:
Konfigurace počítače\Zásady\Windows Nastavení\Security Nastavení\Advanced Audit Policy Configuration\Audit Policies\System\Audit Security State Change
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 17.9.3
 >= Úspěch
(Audit)		 Kritické
Auditovat rozšíření systému zabezpečení
(CCE-36144-4)		 Popis: Tato podkategorie hlásí načítání kódu rozšíření, jako jsou ověřovací balíčky subsystému zabezpečení. Události pro tuto podkategorii zahrnují: — 4610: Ověřovací balíček byl načten místní autoritou zabezpečení. — 4611: Důvěryhodný proces přihlášení byl registrován u místní bezpečnostní autority. — 4614: Správce účtu zabezpečení načetl balíček oznámení. — 4622: Místní úřad zabezpečení načetl balíček zabezpečení. — 4697: V systému byla nainstalována služba. Nejnovější informace o tomto nastavení naleznete v článku znalostní báze Microsoft KnowledgeBase Popis událostí zabezpečení v systému Windows Vista a Windows Server 2008: https://support.microsoft.com/topic/ms16-014-description-of-the-security-update-for-windows-vista-windows-server-2008-windows-7-windows-server-2008-r2-windows-server-2012-windows-8-1-and-windows-server-2012-r2-february-9-2016-1ff344d3-cd1c-cdbd-15b4-9344c7a7e6bd.
Cesta klíče: {0CCE9211-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní tak, aby zahrnovala Success:
Konfigurace počítače\Zásady\Windows Nastavení\Security Nastavení\Advanced Audit Policy Configuration\Audit Policies\System\Audit Security System Extension
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 17.9.4
 >= Úspěch
(Audit)		 Kritické
Auditovat integritu systému
(CCE-37132-8)		 Popis: Tato podkategorie hlásí porušení integrity subsystému zabezpečení. Mezi události pro tuto podkategorii patří: — 4612: Interní zdroje přidělené ke frontě zpráv auditu byly vyčerpány, což vede ke ztrátě některých auditů. — 4615: Neplatné použití portu LPC. — 4618: Došlo k monitorovanému vzoru událostí zabezpečení. — 4816 : RPC zjistilo porušení integrity při dešifrování příchozí zprávy. — 5038: Integrita kódu zjistila, že hodnota hash obrázku souboru není platná. Soubor může být poškozený kvůli neoprávněné úpravě nebo neplatná hodnota hash může značit možnou chybu diskového zařízení. — 5056: Provedl se kryptografický samoobslužný test. — 5057: Kryptografická primitivní operace selhala. — 5060: Operace ověření selhala. — 5061: Kryptografická operace. — 5062: Byl proveden kryptografický samoobslužný test v režimu jádra. Nejnovější informace o tomto nastavení naleznete v článku znalostní báze Microsoft KnowledgeBase Popis událostí zabezpečení v systému Windows Vista a Windows Server 2008: https://support.microsoft.com/topic/ms16-014-description-of-the-security-update-for-windows-vista-windows-server-2008-windows-7-windows-server-2008-r2-windows-server-2012-windows-8-1-and-windows-server-2012-r2-february-9-2016-1ff344d3-cd1c-cdbd-15b4-9344c7a7e6bd.
Cesta ke klíči: {0CCE9212-69AE-11D9-BED3-505054503030}
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Úspěch a selhání:
Konfigurace počítače\Zásady\Windows Nastavení\Security Nastavení\Advanced Audit Policy Configuration\Audit Policies\System\Audit System\Audit System Integrity
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 17.9.5
 = Úspěch a selhání
(Audit)		 Kritické

Přiřazení uživatelských práv

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Získat přístup ke Správci pověření jako k důvěryhodnému volajícímu
(CCE-37056-9)		 Popis: Toto nastavení zabezpečení používá Správce přihlašovacích údajů během zálohování a obnovení. Žádné účty by neměly mít toto uživatelské právo, protože je přiřazeno pouze k Winlogonu. Uložené přihlašovací údaje uživatelů můžou být ohroženy, pokud je toto uživatelské právo přiřazené jiným entitě. Doporučený stav pro toto nastavení je: No One.
Cesta ke klíči: [Práva oprávnění]SeTrustedCredManAccessPrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na No One:
Konfigurace počítače\Zásady\Windows Nastavení\Security Nastavení\Local Policies\User Rights Assignment\Access Credential Manager jako důvěryhodný volající

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93049
        STIG WS2016 V-73729
        CIS WS2019 2.2.1
        CIS WS2022 2.2.1
 = Nikdo
(Zásady)		 Upozorňující
Přistupovat k tomuto počítači přes síť
(CCE-35818-4)		 Popis:

Toto nastavení zásad umožňuje ostatním uživatelům v síti připojit se k počítači a je vyžadováno různými síťovými protokoly, které zahrnují protokoly založené na protokolu SMB (Server Message Block), NetBIOS, Common Internet File System (CIFS) a component Object Model Plus (COM+). - Úroveň 1 – řadič domény Doporučený stav pro toto nastavení je: "Správa istrators, Authenticated Users, ENTERPRISE DOMAIN CONTROLLERS". - Úroveň 1 – členský server. Doporučený stav pro toto nastavení je: "Správa istrators, Authenticated Users".


Cesta ke klíči: [Práva oprávnění]SeNetworkLogonRight
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nakonfigurujte následující cestu uživatelského rozhraní:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Přístup k tomuto počítači ze sítě

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-92995
        STIG WS2016 V-73731
        CIS WS2019 2.2.3
        CIS WS2022 2.2.3
 <= Správa istrátory, ověřené uživatele
(Zásady)		 Kritické
Slouží jako součást operačního systému
(CCE-36876-1)		 Popis: Toto nastavení zásad umožňuje procesu předpokládat identitu libovolného uživatele a získat tak přístup k prostředkům, ke kterým má uživatel oprávnění přistupovat. Doporučený stav pro toto nastavení je: No One.
Cesta ke klíči: [Práva oprávnění]SeTcbPrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na No One:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Jednat jako součást operačního systému

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93051
        STIG WS2016 V-73735
        CIS WS2019 2.2.4
        CIS WS2022 2.2.4
 = Nikdo
(Zásady)		 Kritické
Povolit místní přihlášení
(CCE-37659-0)		 Popis: Toto nastavení zásad určuje, kteří uživatelé se můžou interaktivně přihlásit k počítačům ve vašem prostředí. Přihlášení iniciovaná stisknutím kombinace kláves CTRL+ALT+DEL na klávesnici klientského počítače vyžadují toto uživatelské právo. Uživatelé, kteří se pokusí přihlásit přes Terminálovou službu nebo službu IIS, vyžadují také toto uživatelské právo. Účet hosta je ve výchozím nastavení přiřazený tomuto uživateli. I když je tento účet ve výchozím nastavení zakázaný, Společnost Microsoft doporučuje toto nastavení povolit prostřednictvím zásad skupiny. Toto uživatelské právo by však mělo být obecně omezeno na skupiny Správa istrators a Users. Pokud vaše organizace vyžaduje, aby měla tuto funkci, přiřaďte toto uživatelské právo skupině Backup Operators. Při konfiguraci uživatelského práva v SCM zadejte čárkami oddělený seznam účtů. Účty můžou být buď místní, nebo umístěné ve službě Active Directory, můžou to být skupiny, uživatelé nebo počítače.
Cesta ke klíči: [Oprávnění Rights]SeInteractiveLogonRight
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nakonfigurujte následující cestu uživatelského rozhraní:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Povolit místní přihlášení
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.2.7
 = Správa istrátory
(Zásady)		 Kritické
Povolit přihlášení prostřednictvím Vzdálené plochy
(CCE-37072-6)		 Popis:

Toto nastavení zásad určuje, kteří uživatelé nebo skupiny mají právo se přihlásit jako klient terminálové služby. Uživatelé vzdálené plochy vyžadují toto uživatelské právo. Pokud vaše organizace používá vzdálenou pomoc jako součást strategie helpdesku, vytvořte skupinu a přiřaďte ji přímo prostřednictvím zásad skupiny. Pokud helpdesk ve vaší organizaci nepoužívá vzdálenou pomoc, přiřaďte toto uživatelské právo pouze skupině Správa istrators nebo použijte funkci omezené skupiny, aby se zajistilo, že žádné uživatelské účty nejsou součástí skupiny Uživatelé vzdálené plochy. Omezte toto uživatelské právo na skupinu Správa istrators a případně skupinu Uživatelé vzdálené plochy, abyste zabránili nežádoucím uživatelům v získání přístupu k počítačům ve vaší síti pomocí funkce Vzdálená pomoc. - Úroveň 1 – řadič domény Doporučený stav pro toto nastavení je: "Správa istrators". - Úroveň 1 – členský server. Doporučený stav pro toto nastavení je: "Správa istrators, Remote Desktop Users". Poznámka: Členský server, který obsahuje roli Vzdálená plocha se službou role Zprostředkovatele vzdálené plochy Připojení ion, bude vyžadovat zvláštní výjimku z tohoto doporučení, aby skupina Ověřených uživatelů mohla být udělena tomuto uživatelskému právu. Poznámka 2: Výše uvedené seznamy se považují za seznamy povolených, což znamená, že výše uvedené objekty zabezpečení nemusí být k posouzení tohoto doporučení k dispozici.


Cesta ke klíči: [Práva oprávnění]SeRemoteInteractiveLogonRight
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nakonfigurujte následující cestu uživatelského rozhraní:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Povolit přihlášení přes Vzdálenou plochu

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-92997
        STIG WS2016 V-73741
        CIS WS2019 2.2.8
        CIS WS2022 2.2.8
        CIS WS2019 2.2.9
        CIS WS2022 2.2.9
 <= Správa istrátory, uživatelé vzdálené plochy
(Zásady)		 Kritické
Zálohovat soubory a adresáře
(CCE-35912-5)		 Popis: Toto nastavení zásad umožňuje uživatelům obejít oprávnění k souborům a adresářům pro zálohování systému. Toto uživatelské právo je povoleno pouze v případě, že se aplikace (například NTBACKUP) pokusí získat přístup k souboru nebo adresáři prostřednictvím rozhraní API (File System Backup Application Programming Interface). V opačném případě se použijí přiřazená oprávnění k souboru a adresáři. Doporučený stav pro toto nastavení je: Administrators.
Cesta ke klíči: [Práva oprávnění]SeBackupPrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Administratorshodnotu .
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Zálohování souborů a adresářů

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93053
        STIG WS2016 V-73743
        CIS WS2019 2.2.10
        CIS WS2022 2.2.10
 <= Správa istrators, Backup Operators, Server Operators
(Zásady)		 Kritické
Vynechat kontrolu přecházení
(AZ-WIN-00184)		 Popis: Toto nastavení zásad umožňuje uživatelům, kteří nemají přístup ke složce procházet složky při procházení cesty k objektu v systému souborů NTFS nebo registru. Toto uživatelské právo neumožňuje uživatelům vypsat obsah složky. Při konfiguraci uživatelského práva v SCM zadejte čárkami oddělený seznam účtů. Účty můžou být buď místní, nebo umístěné ve službě Active Directory, můžou to být skupiny, uživatelé nebo počítače.
Cesta ke klíči: [Práva oprávnění]SeChangeNotifyPrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Nakonfigurujte hodnotu zásad pro konfiguraci počítače\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Obejít kontrolu procházení tak, aby zahrnovala pouze následující účty nebo skupiny:Administrators, Authenticated Users, Backup Operators, Local Service, Network Service
Standardní mapování dodržování předpisů:
 <= Správa istrátory, ověřené uživatele, operátory zálohování, místní služba, síťová služba
(Zásady)		 Kritické
Změnit systémový čas
(CCE-37452-0)		 Popis: Toto nastavení zásad určuje, kteří uživatelé a skupiny můžou změnit čas a datum v interních hodinách počítačů ve vašem prostředí. Uživatelé, kteří mají přiřazená tato uživatelská práva, můžou ovlivnit vzhled protokolů událostí. Když se změní nastavení času počítače, zaprotokolované události odrážejí nový čas, nikoli skutečný čas, kdy došlo k událostem. Při konfiguraci uživatelského práva v SCM zadejte čárkami oddělený seznam účtů. Účty můžou být buď místní, nebo umístěné ve službě Active Directory, můžou to být skupiny, uživatelé nebo počítače. Poznámka: Nesrovnalosti mezi časem místního počítače a řadiči domény ve vašem prostředí můžou způsobovat problémy s ověřovacím protokolem Kerberos, což může uživatelům znemožnit přihlášení k doméně nebo získání autorizace pro přístup k prostředkům domény po přihlášení. Při použití zásad skupiny na klientské počítače dojde také k problémům, pokud systémový čas není synchronizován s řadiči domény. Doporučený stav pro toto nastavení je: Administrators, LOCAL SERVICE.
Cesta ke klíči: [Práva oprávnění]SeSystemtimePrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Administrators, LOCAL SERVICE:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Změna systémového času

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.2.11
        CIS WS2022 2.2.11
 <= Správa istrators, Server Operators, LOCAL SERVICE
(Zásady)		 Kritické
Změnit časové pásmo
(CCE-37700-2)		 Popis: Toto nastavení určuje, kteří uživatelé mohou změnit časové pásmo počítače. Tato schopnost nemá pro počítač žádné velké nebezpečí a může být užitečná pro mobilní pracovníky. Doporučený stav pro toto nastavení je: Administrators, LOCAL SERVICE.
Cesta ke klíči: [Práva oprávnění]SeTimeZonePrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Administrators, LOCAL SERVICE:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Změna časového pásma

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.2.12
        CIS WS2022 2.2.12
 <= Správa istrátory, MÍSTNÍ SLUŽBA
(Zásady)		 Kritické
Vytvořit stránkovací soubor
(CCE-35821-8)		 Popis: Toto nastavení zásad umožňuje uživatelům změnit velikost stránkovacího souboru. Když vytvoří stránkovací soubor extrémně velký nebo extrémně malý, útočník by mohl snadno ovlivnit výkon ohroženého počítače. Doporučený stav pro toto nastavení je: Administrators.
Cesta ke klíči: [Oprávnění Rights]SeCreatePagefilePrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Administrators:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Vytvoření stránkovacího souboru

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93055
        STIG WS2016 V-73745
        CIS WS2019 2.2.13
        CIS WS2022 2.2.13
 = Správa istrátory
(Zásady)		 Kritické
Vytvořit objekt tokenu
(CCE-36861-3)		 Popis: Toto nastavení zásad umožňuje procesu vytvořit přístupový token, který může poskytovat zvýšená práva pro přístup k citlivým datům. Doporučený stav pro toto nastavení je: No One.
Cesta ke klíči: [Práva oprávnění]SeCreateTokenPrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na No One:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Vytvoření objektu tokenu

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93057
        STIG WS2016 V-73747
        CIS WS2019 2.2.14
        CIS WS2022 2.2.14
 = Nikdo
(Zásady)		 Upozorňující
Vytvořit globální objekty
(CCE-37453-8)		 Popis: Toto nastavení zásad určuje, jestli uživatelé mohou vytvářet globální objekty, které jsou k dispozici pro všechny relace. Uživatelé můžou i nadále vytvářet objekty specifické pro vlastní relaci, pokud nemají tato uživatelská práva. Uživatelé, kteří mohou vytvářet globální objekty, můžou ovlivnit procesy spuštěné v rámci relací jiných uživatelů. Tato funkce může vést k různým problémům, jako je selhání aplikace nebo poškození dat. Doporučený stav pro toto nastavení je: Administrators, LOCAL SERVICE, NETWORK SERVICE, SERVICE. Poznámka: Členský server s Microsoft SQL Serverem a nainstalovanou volitelnou komponentou Integrační služby bude vyžadovat zvláštní výjimku tohoto doporučení pro další položky generované SQL, které mají být uděleny tomuto uživatelskému právu.
Cesta ke klíči: [Práva oprávnění]SeCreateGlobalPrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Administrators, LOCAL SERVICE, NETWORK SERVICE, SERVICE:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Vytvoření globálních objektů

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93059
        STIG WS2016 V-73749
        CIS WS2019 2.2.15
        CIS WS2022 2.2.15
 <= Správa istrátory, SLUŽBA, MÍSTNÍ SLUŽBA, SÍŤOVÁ SLUŽBA
(Zásady)		 Upozorňující
Vytvořit trvale sdílené objekty
(CCE-36532-0)		 Popis: Toto uživatelské právo je užitečné pro komponenty režimu jádra, které rozšiřují obor názvů objektů. Komponenty, které běží v režimu jádra, však mají tento uživatel právo své podstaty. Proto obvykle není nutné přiřadit toto uživatelské právo. Doporučený stav pro toto nastavení je: No One.
Cesta ke klíči: [Práva oprávnění]SeCreatePermanentPrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na No One:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Vytvoření trvalých sdílených objektů

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93061
        STIG WS2016 V-73751
        CIS WS2019 2.2.16
        CIS WS2022 2.2.16
 = Nikdo
(Zásady)		 Upozorňující
Vytvořit symbolické odkazy
(CCE-35823-4)		 Popis:

Toto nastavení zásad určuje, kteří uživatelé mohou vytvářet symbolické odkazy. V systému Windows Vista lze k existujícím objektům systému souborů NTFS, jako jsou soubory a složky, přistupovat odkazem na nový typ objektu systému souborů označovaného jako symbolický odkaz. Symbolický odkaz je ukazatel (podobně jako zástupce nebo soubor .lnk) na jiný objekt systému souborů, což může být soubor, složka, zástupce nebo jiný symbolický odkaz. Rozdíl mezi zástupcem a symbolickým odkazem spočívá v tom, že zástupce funguje jenom v prostředí Windows. Pro jiné programy a aplikace jsou zkratky jen další soubor, zatímco s symbolickými odkazy je koncept zástupce implementován jako funkce systému souborů NTFS. Symbolické odkazy můžou potenciálně vystavit ohrožení zabezpečení v aplikacích, které nejsou určené k jejich použití. Z tohoto důvodu by se oprávnění k vytváření symbolických odkazů mělo přiřadit jenom důvěryhodným uživatelům. Ve výchozím nastavení můžou symbolické odkazy vytvářet jenom Správa istrátory. - Úroveň 1 – řadič domény Doporučený stav pro toto nastavení je: "Správa istrators". - Úroveň 1 – členský server. Doporučený stav pro toto nastavení je: "Správa istrators" a (při instalaci role Hyper-V) NT VIRTUAL MACHINE\Virtual Machines.


Cesta ke klíči: [Práva oprávnění]SeCreateSymbolicLinkPrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete implementovat doporučený stav konfigurace, nakonfigurujte následující cestu uživatelského rozhraní:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Vytvoření symbolických odkazů

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93063
        STIG WS2016 V-73753
        CIS WS2019 2.2.17
        CIS WS2022 2.2.17
        CIS WS2019 2.2.18
        CIS WS2022 2.2.18
 <= Správa istrátory, NT VIRTUAL MACHINE\Virtual Machines
(Zásady)		 Kritické
Ladit programy
(AZ-WIN-73755)		 Popis: Toto nastavení zásad určuje, které uživatelské účty budou mít právo připojit ladicí program k jakémukoli procesu nebo jádru, což poskytuje úplný přístup k citlivým a kritickým komponentám operačního systému. Vývojáři, kteří ladí své vlastní aplikace, nemusí být přiřazeno toto uživatelské právo; vývojáři, kteří ladí nové systémové komponenty, je však budou potřebovat. Doporučený stav pro toto nastavení je: Administrators. Poznámka: Toto uživatelské právo se považuje za "citlivé oprávnění" pro účely auditování.
Cesta ke klíči: [Práva oprávnění]SeDebugPrivilege
Operační systém: WS2016, WS2019
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Ladicí programy
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 2.2.19
        CIS WS2019 2.2.19
 = Správa istrátory
(Zásady)		 Kritické
Odepřít přístup k tomuto počítači ze sítě
(CCE-37954-5)		 Popis:

Toto nastavení zásad zakazuje uživatelům připojovat se k počítači z celé sítě, což by uživatelům umožnilo vzdálený přístup k datům a jejich případnou úpravu. V prostředích s vysokým zabezpečením by nemělo být nutné, aby vzdálení uživatelé měli přístup k datům v počítači. Místo toho by mělo být sdílení souborů provedeno pomocí síťových serverů. - Úroveň 1 – řadič domény Doporučeným stavem tohoto nastavení je: Hosté, místní účet. - Úroveň 1 – členský server. Doporučeným stavem tohoto nastavení je: Hosté, místní účet a člen skupiny Správa istrators. Upozornění: Konfigurace samostatného serveru (bez připojení k doméně), jak je popsáno výše, může vést k nemožnosti vzdáleně spravovat server. Poznámka: Konfigurace členového serveru nebo samostatného serveru, jak je popsáno výše, může nepříznivě ovlivnit aplikace, které vytvoří účet místní služby a umístí ho do skupiny Správa istrators – v takovém případě musíte aplikaci převést na použití účtu služby hostované v doméně, nebo odebrat místní účet a člen skupiny Správa istrators z tohoto přiřazení práva uživatele. Pokud je to možné, je použití účtu služby hostované v doméně důrazně upřednostňované před provedením výjimky z tohoto pravidla.


Cesta ke klíči: [Práva oprávnění]SeDenyNetworkLogonRight
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nakonfigurujte následující cestu uživatelského rozhraní:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Odepřít přístup k tomuto počítači ze sítě

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-92999
        STIG WS2016 V-73757
        CIS WS2019 2.2.20
        CIS WS2022 2.2.20
        CIS WS2019 2.2.21
        CIS WS2022 2.2.21
 >= Hosté
(Zásady)		 Kritické
Odepřít přihlášení se jako dávková úloha
(CCE-36923-1)		 Popis: Toto nastavení zásad určuje, které účty se nebudou moct přihlásit k počítači jako dávková úloha. Dávková úloha není soubor dávky (.bat), ale spíše dávkové fronty. Účty, které používají plánovač úloh k naplánování úloh, potřebují toto uživatelské právo. Přihlášení jako uživatel dávkové úlohy má přednost před právem uživatele dávkové úlohy , které by bylo možné použít k tomu, aby účty mohly plánovat úlohy, které spotřebovávají nadměrné systémové prostředky. Takový výskyt by mohl způsobit podmínku DoS. Selháním přiřazení tohoto uživatelského práva k doporučeným účtům může být bezpečnostní riziko. Doporučeným stavem tohoto nastavení je: Guests.
Cesta ke klíči: [Práva oprávnění]SeDenyBatchLogonRight
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní tak, aby zahrnovala Guests:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Odepřít přihlášení jako dávková úloha

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93001
        STIG WS2016 V-73761
        CIS WS2019 2.2.22
        CIS WS2022 2.2.22
 >= Hosté
(Zásady)		 Kritické
Odepřít přihlášení se jako služba
(CCE-36877-9)		 Popis: Toto nastavení zabezpečení určuje, které účty služeb se brání v registraci procesu jako služby. Toto nastavení zásad nahrazuje nastavení zásad přihlášení jako služby , pokud se na účet vztahují obě zásady. Doporučeným stavem tohoto nastavení je: Guests. Poznámka: Toto nastavení zabezpečení se nevztahuje na účty systému, místní služby nebo síťové služby.
Cesta ke klíči: [Práva oprávnění]SeDenyServiceLogonRight
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní tak, aby zahrnovala Guests:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Odepřít přihlášení jako služba

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93003
        STIG WS2016 V-73765
        CIS WS2019 2.2.23
        CIS WS2022 2.2.23
 >= Hosté
(Zásady)		 Kritické
Odepřít místní přihlášení
(CCE-37146-8)		 Popis: Toto nastavení zabezpečení určuje, kteří uživatelé nebudou přihlášení k počítači. Toto nastavení zásad nahrazuje nastavení Povolit přihlášení místně , pokud se na účet vztahují obě zásady. Důležité: Pokud tuto zásadu zabezpečení použijete pro skupinu Všichni, nikdo se nebude moct přihlásit místně. Doporučeným stavem tohoto nastavení je: Guests.
Cesta ke klíči: [Práva oprávnění]SeDenyInteractiveLogonRight
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní tak, aby zahrnovala Guests:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Místní přihlášení

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93017
        STIG WS2016 V-73739
        CIS WS2019 2.2.24
        CIS WS2022 2.2.24
 >= Hosté
(Zásady)		 Kritické
Zakázat přihlášení prostřednictvím Vzdálené plochy
(CCE-36867-0)		 Popis: Toto nastavení zásad určuje, jestli se uživatelé můžou přihlásit jako klienti Terminálové služby. Jakmile je členský server směrného plánu připojený k doménovému prostředí, není nutné pro přístup k serveru ze sítě používat místní účty. Účty domény mají přístup k serveru pro správu a zpracování koncových uživatelů. Doporučeným stavem tohoto nastavení je: Guests, Local account. Upozornění: Konfigurace samostatného serveru (bez připojení k doméně), jak je popsáno výše, může vést k nemožnosti vzdáleně spravovat server.
Cesta ke klíči: [Práva oprávnění]SeDenyRemoteInteractiveLogonRight
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nakonfigurujte následující cestu uživatelského rozhraní:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Odepřít přihlášení prostřednictvím služby Vzdálená plocha
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.2.26
 >= Hosté
(Zásady)		 Kritické
Povolit nastavení důvěryhodnosti pro delegování pro účty počítačů a uživatelů
(CCE-36860-5)		 Popis:

Toto nastavení zásad umožňuje uživatelům změnit nastavení Důvěryhodné pro delegování na objektu počítače ve službě Active Directory. Zneužití tohoto oprávnění by mohlo umožnit neoprávněným uživatelům zosobnit ostatní uživatele v síti. - Úroveň 1 – řadič domény Doporučeným stavem tohoto nastavení je: "Správa istrators" – úroveň 1 – členský server. Doporučeným stavem tohoto nastavení je: Nikdo.


Cesta ke klíči: [Práva oprávnění]SeEnableDelegationPrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nakonfigurujte následující cestu uživatelského rozhraní:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Povolení důvěryhodnosti počítačů a uživatelských účtů pro delegování

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93041
        STIG WS2016 V-73777
        CIS WS2019 2.2.28
        CIS WS2022 2.2.28
 = Nikdo
(Zásady)		 Kritické
Vynutit vypnutí ze vzdáleného systému
(CCE-37877-8)		 Popis: Toto nastavení zásad umožňuje uživatelům vypnout počítače se systémem Windows Vista ze vzdálených umístění v síti. Každý, kdo má toto uživatelské právo přiřazené, může způsobit podmínku odepření služby (DoS), která by způsobila nedostupnost počítače pro žádosti uživatelů služby. Proto se doporučuje přiřadit toto uživatelské právo pouze vysoce důvěryhodným správcům. Doporučený stav pro toto nastavení je: Administrators.
Cesta ke klíči: [Práva oprávnění]SeRemoteShutdownPrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Administrators:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Vynucení vypnutí ze vzdáleného systému

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93067
        STIG WS2016 V-73781
        CIS WS2019 2.2.29
        CIS WS2022 2.2.29
 = Správa istrátory
(Zásady)		 Kritické
Generovat audity zabezpečení
(CCE-37639-2)		 Popis: Toto nastavení zásad určuje, kteří uživatelé nebo procesy mohou generovat záznamy auditu v protokolu zabezpečení. Doporučený stav pro toto nastavení je: LOCAL SERVICE, NETWORK SERVICE. Poznámka: Členský server, který obsahuje roli webového serveru (IIS) se službou rolí webového serveru , bude vyžadovat zvláštní výjimku tohoto doporučení, aby bylo povoleno udělení tohoto uživatelského práva fondu aplikací služby IIS. Poznámka č. 2: Členský server, který obsahuje roli Active Directory Federation Services (AD FS), bude vyžadovat zvláštní výjimku tohoto doporučení, povolit a NT SERVICE\ADFSSrv služby a NT SERVICE\DRS také přidružené Active Directory Federation Services (AD FS) účet služby, který má být uděleno tomuto uživatelskému právu.
Cesta ke klíči: [Práva oprávnění]SeAuditPrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na LOCAL SERVICE, NETWORK SERVICE:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Generování auditů zabezpečení

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93069
        STIG WS2016 V-73783
        CIS WS2019 2.2.30
        CIS WS2022 2.2.30
 <= Local Service, Network Service, IIS APPPOOL\DefaultAppPool
(Zásady)		 Kritické
Zvýšit pracovní sadu procesu
(AZ-WIN-00185)		 Popis: Toto oprávnění určuje, které uživatelské účty mohou zvětšit nebo zmenšit velikost pracovní sady procesu. Pracovní sada procesu je sada paměťových stránek, které jsou aktuálně viditelné pro proces ve fyzické paměti RAM. Tyto stránky jsou rezidentní a jsou k dispozici pro aplikaci, která se má použít bez aktivace chyby stránky. Minimální a maximální velikost pracovní sady ovlivňuje chování stránkování virtuální paměti procesu. Při konfiguraci uživatelského práva v SCM zadejte čárkami oddělený seznam účtů. Účty můžou být buď místní, nebo umístěné ve službě Active Directory, můžou to být skupiny, uživatelé nebo počítače.
Cesta ke klíči: [Práva oprávnění]SeIncreaseWorkingSetPrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Konfigurace počítače\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Zvýšit pracovní sadu procesů
Standardní mapování dodržování předpisů:
 <= Správa istrátory, místní služba
(Zásady)		 Upozorňující
Zvýšit prioritu plánování
(CCE-38326-5)		 Popis: Toto nastavení zásad určuje, zda uživatelé mohou zvýšit základní třídu priority procesu. (Nejedná se o privilegovanou operaci ke zvýšení relativní priority v rámci třídy priority.) Tato uživatelská práva nevyžadují nástroje pro správu, které jsou dodávány s operačním systémem, ale mohou být vyžadovány nástroji pro vývoj softwaru. Doporučený stav pro toto nastavení je: Administrators.
Cesta ke klíči: [Práva oprávnění]SeIncreaseBasePriorityPrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Administrators, Window Manager\Window Manager Group:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Zvýšit prioritu plánování

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93073
        STIG WS2016 V-73787
        CIS WS2019 2.2.33
        CIS WS2022 2.2.33
 = Správa istrátory
(Zásady)		 Upozorňující
Načíst a odstranit z paměti ovladače zařízení
(CCE-36318-4)		 Popis: Toto nastavení zásad umožňuje uživatelům dynamicky načítat nový ovladač zařízení v systému. Útočník by mohl tuto funkci použít k instalaci škodlivého kódu, který vypadá jako ovladač zařízení. Toto uživatelské právo je vyžadováno, aby uživatelé přidali místní tiskárny nebo ovladače tiskárny v systému Windows Vista. Doporučený stav pro toto nastavení je: Administrators.
Cesta ke klíči: [Práva oprávnění]SeLoadDriverPrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Administrators:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Načtení a uvolnění ovladačů zařízení

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93075
        STIG WS2016 V-73789
        CIS WS2019 2.2.34
        CIS WS2022 2.2.34
 <= Správa istrátory, operátory tisku
(Zásady)		 Upozorňující
Uzamknout stránky v paměti
(CCE-36495-0)		 Popis: Toto nastavení zásad umožňuje procesu uchovávat data ve fyzické paměti, což systému brání stránkování dat do virtuální paměti na disku. Pokud je toto uživatelské právo přiřazeno, může dojít k významnému snížení výkonu systému. Doporučený stav pro toto nastavení je: No One.
Cesta ke klíči: [Práva oprávnění]SeLockMemoryPrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na No One:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Zamknout stránky v paměti

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93077
        STIG WS2016 V-73791
        CIS WS2019 2.2.35
        CIS WS2022 2.2.35
 = Nikdo
(Zásady)		 Upozorňující
Spravovat auditování a protokol zabezpečení
(CCE-35906-7)		 Popis:

Toto nastavení zásad určuje, kteří uživatelé můžou změnit možnosti auditování souborů a adresářů a vymazat protokol zabezpečení. V prostředích se systémem Microsoft Exchange Server musí mít skupina Exchange Servers toto oprávnění pro řadiče domény, aby správně fungovala. V takovém případě řadiče domény udělující skupině Exchange Servers toto oprávnění vyhovují tomuto srovnávacímu testu. Pokud prostředí nepoužívá Microsoft Exchange Server, mělo by být toto oprávnění omezeno pouze na "Správa istrátory" na řadičích domény. - Úroveň 1 – řadič domény Doporučený stav pro toto nastavení je: "Správa istrátory a (když exchange běží v prostředí) Exchange Servers. - Úroveň 1 – členský server. Doporučený stav pro toto nastavení je: "Správa istrators"


Cesta ke klíči: [Práva oprávnění]SeSecurityPrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nakonfigurujte následující cestu uživatelského rozhraní:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Správa auditování a protokolu zabezpečení

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93197
        STIG WS2016 V-73793
        CIS WS2019 2.2.37
        CIS WS2022 2.2.37
        CIS WS2019 2.2.38
        CIS WS2022 2.2.38
 = Správa istrátory
(Zásady)		 Kritické
Změnit označení objektu
(CCE-36054-5)		 Popis: Toto oprávnění určuje, které uživatelské účty mohou upravovat popisek integrity objektů, jako jsou soubory, klíče registru nebo procesy vlastněné jinými uživateli. Procesy spuštěné pod uživatelským účtem mohou upravit popisek objektu vlastněného tímto uživatelem na nižší úroveň bez tohoto oprávnění. Doporučený stav pro toto nastavení je: No One.
Cesta ke klíči: [Práva oprávnění]SeRelabelPrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na No One:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Úprava popisku objektu

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.2.39
        CIS WS2022 2.2.39
 = Nikdo
(Zásady)		 Upozorňující
Změnit hodnoty prostředí firmwaru
(CCE-38113-7)		 Popis: Toto nastavení zásad umožňuje uživatelům konfigurovat proměnné prostředí pro celý systém, které ovlivňují konfiguraci hardwaru. Tyto informace jsou obvykle uloženy v poslední známé dobré konfiguraci. Změna těchto hodnot a může vést k selhání hardwaru, které by vedlo k odepření stavu služby. Doporučený stav pro toto nastavení je: Administrators.
Cesta ke klíči: [Práva oprávnění]SeSystemEnvironmentPrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Administrators:
Konfigurace počítače\Policies\Windows Nastavení\Security Nastavení\Local Policies\User Rights Assignment\Modify firmware environment values

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93079
        STIG WS2016 V-73795
        CIS WS2019 2.2.40
        CIS WS2022 2.2.40
 = Správa istrátory
(Zásady)		 Upozorňující
Provést úlohy údržby svazku
(CCE-36143-6)		 Popis: Toto nastavení zásad umožňuje uživatelům spravovat konfiguraci svazku nebo disku systému, což může uživateli umožnit odstranit svazek a způsobit ztrátu dat a také podmínku odepření služby. Doporučený stav pro toto nastavení je: Administrators.
Cesta ke klíči: [Práva oprávnění]SeManageVolumePrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Administrators:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Provádění úloh údržby svazků

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93081
        STIG WS2016 V-73797
        CIS WS2019 2.2.41
        CIS WS2022 2.2.41
 = Správa istrátory
(Zásady)		 Upozorňující
Profilovat jediný proces
(CCE-37131-0)		 Popis: Toto nastavení zásad určuje, kteří uživatelé můžou používat nástroje ke sledování výkonu nesystémových procesů. Obvykle není nutné konfigurovat toto uživatelské právo pro použití modulu snap-in Výkon konzoly MMC (Microsoft Management Console). Toto uživatelské právo však potřebujete, pokud je nástroj Sledování systému nakonfigurovaný tak, aby shromažďoval data pomocí rozhraní WMI (Windows Management Instrumentation). Omezení uživatelského práva s jedním procesem profilu brání útočníkům v získání dalších informací, které by bylo možné použít k připojení útoku na systém. Doporučený stav pro toto nastavení je: Administrators.
Cesta ke klíči: [Práva oprávnění]SeProfileSingleProcessPrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Administrators:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Jeden proces profilu

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93083
        STIG WS2016 V-73799
        CIS WS2019 2.2.42
        CIS WS2022 2.2.42
 = Správa istrátory
(Zásady)		 Upozorňující
Profilovat výkon systému
(CCE-36052-9)		 Popis: Toto nastavení zásad umožňuje uživatelům používat nástroje k zobrazení výkonu různých systémových procesů, které by mohly být zneužity, aby útočníci mohli určit aktivní procesy systému a poskytnout přehled o potenciálním prostoru pro útok na počítač. Doporučený stav pro toto nastavení je: Administrators, NT SERVICE\WdiServiceHost.
Cesta ke klíči: [Práva oprávnění]SeSystemProfilePrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Administrators, NT SERVICE\WdiServiceHost:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Výkon systému profilu

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.2.43
        CIS WS2022 2.2.43
 <= Správa istrators, NT SERVICE\WdiServiceHost
(Zásady)		 Upozorňující
Nahradit token úrovně procesu
(CCE-37430-6)		 Popis: Toto nastavení zásad umožňuje jednomu procesu nebo službě spustit jinou službu nebo proces s jiným přístupovým tokenem zabezpečení, který lze použít k úpravě přístupového tokenu zabezpečení tohoto dílčího procesu a k eskalaci oprávnění. Doporučený stav pro toto nastavení je: LOCAL SERVICE, NETWORK SERVICE. Poznámka: Členský server, který obsahuje roli webového serveru (IIS) se službou rolí webového serveru , bude vyžadovat zvláštní výjimku tohoto doporučení, aby bylo povoleno udělení tohoto uživatelského práva fondu aplikací služby IIS. Poznámka č. 2: Členský server s nainstalovaným Microsoft SQL Serverem bude vyžadovat zvláštní výjimku tohoto doporučení pro udělení tohoto uživatelského práva dalším položkám vygenerovaným systémem SQL.
Cesta ke klíči: [Práva oprávnění]SeAssignPrimaryTokenPrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na LOCAL SERVICE, NETWORK SERVICE:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Nahrazení tokenu na úrovni procesu

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.2.44
        CIS WS2022 2.2.44
 <= MÍSTNÍ SLUŽBA, SÍŤOVÁ SLUŽBA
(Zásady)		 Upozorňující
Obnovit soubory a adresáře
(CCE-37613-7)		 Popis: Toto nastavení zásad určuje, kteří uživatelé mohou obejít oprávnění k souborům, adresáři, registru a dalším trvalým objektům při obnovování zálohovaných souborů a adresářů v počítačích se systémem Windows Vista ve vašem prostředí. Toto uživatelské právo také určuje, kteří uživatelé mohou nastavit platné objekty zabezpečení jako vlastníci objektů; podobá se uživatelskému právu Zálohovat soubory a adresáře. Doporučený stav pro toto nastavení je: Administrators.
Cesta ke klíči: [Práva oprávnění]SeRestorePrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Administrators:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Obnovení souborů a adresářů
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.2.45
 <= Správa istrátory, operátory zálohování
(Zásady)		 Upozorňující
Vypnout systém
(CCE-38328-1)		 Popis: Toto nastavení zásad určuje, kteří uživatelé jsou přihlášeni místně k počítačům ve vašem prostředí, mohou vypnout operační systém pomocí příkazu Vypnout. Zneužití tohoto práva uživatele může mít za následek odepření služby. Doporučený stav pro toto nastavení je: Administrators.
Cesta ke klíči: [Práva oprávnění]SeShutdownPrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Administrators:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Vypnout systém

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 2.2.46
        CIS WS2022 2.2.46
 <= Správa istrátory, operátory zálohování
(Zásady)		 Upozorňující
Převzít vlastnictví souborů a dalších objektů
(CCE-38325-7)		 Popis: Toto nastavení zásad umožňuje uživatelům převzít vlastnictví souborů, složek, klíčů registru, procesů nebo vláken. Toto uživatelské právo obchází všechna oprávnění, která jsou nastavená k ochraně objektů za účelem udělení vlastnictví zadanému uživateli. Doporučený stav pro toto nastavení je: Administrators.
Cesta ke klíči: [Práva oprávnění]SeTakeOwnershipPrivilege
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Administrators:
Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Převzetí vlastnictví souborů nebo jiných objektů

Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93087
        STIG WS2016 V-73803
        CIS WS2019 2.2.48
        CIS WS2022 2.2.48
 = Správa istrátory
(Zásady)		 Kritické
Zosobnění klienta po ověření uživatelského práva musí být přiřazeno pouze k Správa istrátory, službě, místní službě a síťové službě.
(AZ-WIN-73785)		 Popis: Nastavení zásad umožňuje programům, které běží jménem uživatele, zosobnit daného uživatele (nebo jiný zadaný účet), aby mohly jednat jménem uživatele. Pokud je pro tento druh zosobnění vyžadováno toto uživatelské právo, neoprávněný uživatel nebude moct přesvědčit klienta, aby se mohl připojit například vzdáleným voláním procedur (RPC) nebo pojmenovanými kanály do služby, kterou vytvořili k zosobnění tohoto klienta, což by mohlo zvýšit oprávnění neoprávněného uživatele na úroveň správy nebo systému. Služby, které spouští Správce řízení služeb, mají do přístupových tokenů ve výchozím nastavení přidanou integrovanou skupinu služeb. Servery com, které spouští infrastruktura modelu COM a jsou nakonfigurované tak, aby běžely v rámci konkrétního účtu, mají také přidanou skupinu služeb do svých přístupových tokenů. V důsledku toho se těmto procesům přiřazují tato uživatelská práva při spuštění. Uživatel může také zosobnit přístupový token, pokud existují některé z následujících podmínek: – přístupový token, který se zosobní, je pro tohoto uživatele. - Uživatel, v této přihlašovací relaci, přihlášen k síti s explicitními přihlašovacími údaji pro vytvoření přístupového tokenu. – Požadovaná úroveň je menší než zosobnění, například Anonymní nebo Identifikovat. Útočník s zosobněním klienta po ověření práva uživatele může vytvořit službu, zkomplikovat klienta, aby se připojil ke službě, a pak zosobnit tohoto klienta, aby zvýšil úroveň přístupu útočníka na úroveň přístupu klienta. Doporučený stav pro toto nastavení je: Administrators, LOCAL SERVICE, NETWORK SERVICE, SERVICE. Poznámka: Toto uživatelské právo se považuje za "citlivé oprávnění" pro účely auditování. Poznámka č. 2: Členský server s microsoft SQL Serverem a nainstalovanou volitelnou komponentou Integrační služby bude vyžadovat zvláštní výjimku z tohoto doporučení, aby se dalším položkám vygenerovaným jazykem SQL udělilo toto uživatelské právo.
Cesta ke klíči: [Práva oprávnění]SeImpersonatePrivilege
Operační systém: WS2016, WS2019
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Po ověření zosobnit klienta
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 2.2.31
        CIS WS2019 2.2.31
 <= Správa istrators,Service,Local Service,Network Service
(Zásady)		 Důležité

Součásti systému Windows

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Povolit základní ověřování
(CCE-36254-1)		 Popis: Toto nastavení zásad umožňuje spravovat, jestli služba Vzdálená správa systému Windows (WinRM) přijímá základní ověřování ze vzdáleného klienta. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\WinRM\Client\AllowBasic
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Vzdálená správa systému Windows (WinRM)\Služba WinRM\Povolit základní ověřování
Poznámka: Tato cesta k zásadám skupiny je poskytována šablonou WindowsRemoteManagement.admx/adml zásad skupiny, která je součástí všech verzí systému Microsoft Windows Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93507
        STIG WS2016 V-73599
        CIS WS2019 18.9.102.1.1
        CIS WS2022 18.9.102.2.1
 Neexistuje nebo = 0
(Registr)		 Kritické
Povolit diagnostická data
(AZ-WIN-00169)		 Popis: Toto nastavení zásad určuje množství diagnostických dat a dat o využití hlášených Microsoftu. Hodnota 0 odešle Microsoftu minimální data. Tato data zahrnují nástroj pro odebrání škodlivého softwaru (MSRT) a data programu Windows Defender, pokud jsou povolená, a nastavení klienta telemetrie. Nastavení hodnoty 0 se vztahuje pouze na podniková, EDU, IoT a serverová zařízení. Nastavení hodnoty 0 pro jiná zařízení odpovídá výběru hodnoty 1. Hodnota 1 odesílá pouze základní množství diagnostických dat a dat o využití. Všimněte si, že nastavení hodnot 0 nebo 1 sníží určité možnosti na zařízení. Hodnota 2 odesílá rozšířená diagnostická data a data o využití. Hodnota 3 odesílá stejná data jako hodnota 2 a navíc další diagnostická data, včetně souborů a obsahu, které mohly způsobit problém. Nastavení telemetrie Windows 10 platí pro operační systém Windows a některé aplikace první strany. Toto nastavení se nevztahuje na aplikace třetích stran běžící ve Windows 10. Doporučený stav pro toto nastavení je: Enabled: 0 - Security [Enterprise Only]. Poznámka: Pokud je nastavení Povolit telemetrii nakonfigurované na hodnotu 0 – Zabezpečení [Jenom enterprise], nebudou mít možnosti v služba Windows Update odložení upgradů a aktualizací žádný vliv.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\DataCollection\AllowTelemetry
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled: Diagnostic data off (not recommended) hodnotu nebo Enabled: Send required diagnostic data:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Shromažďování dat a buildy verze Preview\Povolit diagnostická data
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje šablonu zásad skupiny DataCollection.admx/adml, která je součástí microsoft Windows 11 Release 21H2 Správa istrativní šablony (nebo novější).
Poznámka č. 2: Ve starších šablonách systému Microsoft Windows Správa istrativní šablony se toto nastavení původně jmenovalo Povolit telemetrii, ale bylo přejmenováno na Povolit diagnostická data počínaje šablonami windows 11 Release 21H2 Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93257
        STIG WS2016 V-73551
        CIS WS2019 18.9.17.1
        CIS WS2022 18.9.17.1
 >= 1
(Registr)		 Upozorňující
Povolit indexování šifrovaných souborů
(CCE-38277-0)		 Popis: Toto nastavení zásad určuje, zda mají být šifrované položky indexovány. Po změně tohoto nastavení se index zcela znovu sestaví. Pro umístění indexu musí být použito úplné šifrování svazku (například BitLocker Drive Encryption nebo jiné řešení než Microsoft), aby se zachovalo zabezpečení šifrovaných souborů. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\Windows Search\AllowIndexingEncryptedStoresOrItems
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Search\Povolit indexování šifrovaných souborů
Poznámka: Tato cesta k zásadám skupiny je poskytována šablonou Search.admx/adml zásad skupiny, která je součástí všech verzí systému Microsoft Windows Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93415
        STIG WS2016 V-73581
        CIS WS2019 18.9.67.3
        CIS WS2022 18.9.67.3
 Neexistuje nebo = 0
(Registr)		 Upozorňující
Povolit, aby účty Microsoft byly volitelné
(CCE-38354-7)		 Popis: Toto nastavení zásad umožňuje určit, jestli jsou účty Microsoft volitelné pro aplikace pro Windows Store, které vyžadují přihlášení k účtu. Tato zásada má vliv jenom na aplikace pro Windows Store, které ji podporují. Pokud povolíte toto nastavení zásad, aplikace pro Windows Store, které obvykle vyžadují přihlášení k účtu Microsoft, umožní uživatelům přihlásit se pomocí podnikového účtu. Pokud toto nastavení zásad zakážete nebo nenakonfigurujete, uživatelé se budou muset přihlásit pomocí účtu Microsoft.
Cesta ke klíči: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\MSAOptional
Operační systém: WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrative Templates\Windows Components\App runtime\Allow Microsoft accounts to be optional
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje šablonu zásad skupiny AppXRuntime.admx/adml, která je součástí microsoft Windows 8.1 & Server 2012 R2 Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.6.1
 = 1
(Registr)		 Upozorňující
Povolit nešifrovaný provoz
(CCE-38223-4)		 Popis: Toto nastavení zásad umožňuje spravovat, jestli služba Vzdálená správa systému Windows (WinRM) odesílá a přijímá nešifrované zprávy přes síť. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\WinRM\Client\AllowUnencryptedTraffic
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Vzdálená správa systému Windows (WinRM)\Služba WinRM\Povolit nešifrovaný provoz
Poznámka: Tato cesta k zásadám skupiny je poskytována šablonou WindowsRemoteManagement.admx/adml zásad skupiny, která je součástí všech verzí systému Microsoft Windows Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93499
        STIG WS2016 V-73601
        CIS WS2019 18.9.102.1.2
        CIS WS2022 18.9.102.1.2
        CIS WS2019 18.9.102.2.3
        CIS WS2022 18.9.102.2.3
 Neexistuje nebo = 0
(Registr)		 Kritické
Povolit uživatelskou kontrolu nad instalacemi
(CCE-36400-0)		 Popis: Umožňuje uživatelům změnit možnosti instalace, které jsou obvykle k dispozici pouze správcům systému. Funkce zabezpečení Instalační služby systému Windows brání uživatelům měnit možnosti instalace, které jsou obvykle vyhrazeny pro správce systému, například určit adresář, do kterého jsou soubory nainstalovány. Pokud Instalační služba systému Windows zjistí, že instalační balíček povolil uživateli změnit chráněnou možnost, zastaví instalaci a zobrazí zprávu. Tyto funkce zabezpečení fungují pouze v případech, kdy instalační program běží v privilegovaném kontextu zabezpečení, ve kterém má přístup k adresářům odepřen uživateli. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\Installer\EnableUserControl
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Instalační služba systému Windows\Povolit uživatelskou kontrolu nad instalacemi
Poznámka: Tato cesta k zásadám skupiny je poskytována šablonou MSI.admx/adml zásad skupiny, která je součástí všech verzí systému Microsoft Windows Správa istrativní šablony. Poznámka č. 2: Ve starších Správa istrativních šablonách systému Microsoft Windows bylo toto nastavení pojmenováno Povolit uživatelskou kontrolu nad instalacemi, ale bylo přejmenováno počínaje šablonami windows 8.0 & Server 2012 (bez R2) Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93199
        STIG WS2016 V-73583
        CIS WS2019 18.9.90.1
        CIS WS2022 18.9.90.1
 Neexistuje nebo = 0
(Registr)		 Kritické
Vždy instalovat se zvýšenými oprávněními
(CCE-37490-0)		 Popis: Toto nastavení určuje, jestli má instalační služba systému Windows používat systémová oprávnění při instalaci libovolného programu v systému. Poznámka: Toto nastavení se zobrazí ve složkách Konfigurace počítače i Konfigurace uživatele. Pokud chcete toto nastavení nastavit jako efektivní, musíte toto nastavení povolit v obou složkách. Upozornění: Pokud je tato možnost povolená, můžou zkušení uživatelé využít oprávnění, která toto nastavení udělí, změnit svá oprávnění a získat trvalý přístup k souborům a složkám s omezeným přístupem. Všimněte si, že verze konfigurace uživatele tohoto nastavení není zaručená, že je zabezpečená. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\Installer\AlwaysInstallElevated
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace uživatele\Zásady\Správa istrativní šablony\Součásti systému Windows\Instalační služba systému Windows\Vždy nainstalovat se zvýšenými oprávněními
Poznámka: Tato cesta k zásadám skupiny je poskytována šablonou MSI.admx/adml zásad skupiny, která je součástí všech verzí systému Microsoft Windows Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93201
        STIG WS2016 V-73585
        CIS WS2019 18.9.90.2
        CIS WS2022 18.9.90.2
 Neexistuje nebo = 0
(Registr)		 Upozorňující
Vždy se při připojení zobrazovat výzva k zadání hesla
(CCE-37929-7)		 Popis: Toto nastavení zásad určuje, jestli terminálová služba při připojení vždy vyzve klientský počítač k zadání hesla. Toto nastavení zásad můžete použít k vynucení výzvy k zadání hesla pro uživatele, kteří se přihlašují k Terminálové službě, i když už zadali heslo v klientovi Připojení ion vzdálené plochy. Terminálová služba ve výchozím nastavení umožňuje uživatelům automaticky se přihlásit, pokud zadají heslo do klienta vzdálené plochy Připojení ion. Poznámka: Pokud toto nastavení zásad nenakonfigurujete, může správce místního počítače pomocí nástroje Konfigurace terminálové služby povolit nebo zabránit automatickému odesílání hesel.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\systém Windows NT\Terminal Services\fPromptForPassword
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Vzdálená plocha\Hostitel relace vzdálené plochy\Zabezpečení\Při připojení vždy zobrazit výzvu k zadání hesla
Poznámka: Tuto cestu k zásadám skupiny poskytuje šablona Zásad skupiny TerminalServer.admx/adml, která je součástí všech verzí microsoft Windows Správa istrativní šablony.
Poznámka č. 2: V systému Microsoft Windows Vista Správa istrativní šablony bylo toto nastavení pojmenováno Vždy vyzvat klienta k zadání hesla při připojení, ale bylo přejmenováno počínaje systémem Windows Server 2008 (bez R2) Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.65.3.9.1
 = 1
(Registr)		 Kritické
Aplikace: Řízení chování protokolu událostí, když soubor protokolu dosáhne maximální velikosti
(CCE-37775-4)		 Popis: Toto nastavení zásad řídí chování protokolu událostí, když soubor protokolu dosáhne maximální velikosti. Pokud povolíte toto nastavení zásad a soubor protokolu dosáhne maximální velikosti, nebudou do protokolu zapsány nové události a budou ztraceny. Pokud toto nastavení zásad zakážete nebo nenakonfigurujete a soubor protokolu dosáhne maximální velikosti, nové události přepíší staré události. Poznámka: Staré události mohou nebo nemusí být zachovány v závislosti na nastavení zásad "Protokol zálohování automaticky při úplném" nastavení.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\EventLog\Application\Retention
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Služba protokolu událostí\Aplikace\Řízení chování protokolu při dosažení maximální velikosti souboru protokolu
Poznámka: Tuto cestu k zásadám skupiny poskytuje šablona zásad skupiny EventLog.admx/adml, která je součástí všech verzí microsoft Windows Správa istrativní šablony.
Poznámka č. 2: Ve starších šablonách systému Microsoft Windows Správa istrativní šablony se toto nastavení původně jmenovalo Zachovat staré události, ale bylo přejmenováno od windows 8.0 & Server 2012 (jiné než R2) Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.27.1.1
 Neexistuje nebo = 0
(Registr)		 Kritické
Aplikace: Zadejte maximální velikost souboru protokolu (kB).
(CCE-37948-7)		 Popis: Toto nastavení zásad určuje maximální velikost souboru protokolu v kilobajtech. Pokud povolíte toto nastavení zásad, můžete v přírůstcích kilobajtů nakonfigurovat maximální velikost souboru protokolu na 1 megabajt (1024 kilobajtů) a 2 terabajty (2147483647 kilobajtů). Pokud toto nastavení zásad zakážete nebo nenakonfigurujete, nastaví se maximální velikost souboru protokolu na místně nakonfigurovanou hodnotu. Tuto hodnotu může změnit místní správce pomocí dialogového okna Vlastnosti protokolu a výchozí hodnota je 20 megabajtů.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\EventLog\Application\MaxSize
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled: 32,768 or greater:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Služba protokolu událostí\Aplikace\Zadejte maximální velikost souboru protokolu (KB)
Poznámka: Tuto cestu k zásadám skupiny poskytuje šablona zásad skupiny EventLog.admx/adml, která je součástí všech verzí microsoft Windows Správa istrativní šablony.
Poznámka č. 2: Ve starších šablonách systému Microsoft Windows Správa istrativní šablony se toto nastavení původně jmenovalo Maximální velikost protokolu (KB), ale bylo přejmenováno počínaje šablonami windows 8.0 & Server 2012 (bez Správa R2).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.27.1.2
 >= 32768
(Registr)		 Kritické
Blokování veškerého ověřování uživatelů účtu Microsoft pro uživatele
(AZ-WIN-20198)		 Popis: Toto nastavení určuje, jestli aplikace a služby v zařízení můžou využívat ověřování nového účtu Microsoft pro uživatele prostřednictvím rozhraní Windows OnlineID a WebAccountManager rozhraní API. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\MicrosoftAccount\DisableUserAuth
Operační systém: WS2016, WS2019
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Účty Microsoft\Blokovat ověřování uživatele účtu Microsoft pro všechny uživatele
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.9.46.1
        CIS WS2019 18.9.46.1
 = 1
(Registr)		 Kritické
Konfigurace přepsání místního nastavení pro generování sestav do Microsoft MAPS
(AZ-WIN-00173)		 Popis: Toto nastavení zásad konfiguruje místní přepsání konfigurace pro připojení k Microsoft MAPS. Toto nastavení lze nastavit pouze podle zásad skupiny. Pokud toto nastavení povolíte, nastavení místní předvolby bude mít přednost před zásadami skupiny. Pokud toto nastavení zakážete nebo nenakonfigurujete, budou mít zásady skupiny přednost před místním nastavením předvoleb.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows Defender\SpyNet\LocalSettingOverrideSpynetReporting
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Antivirová ochrana v programu Windows Defender\MAPS\Konfigurace přepsání místního nastavení pro vytváření sestav do služby Microsoft MAPS
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje ji šablona WindowsDefender.admx/adml zásad skupiny, která je součástí microsoft Windows 8.1 & Server 2012 R2 Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.47.4.1
        CIS WS2022 18.9.47.4.1
 Neexistuje nebo = 0
(Registr)		 Upozorňující
Konfigurace filtru SmartScreen pro Windows
(CCE-35859-8)		 Popis: Toto nastavení zásad umožňuje spravovat chování filtru Windows SmartScreen. Filtr Windows SmartScreen pomáhá udržovat počítače v bezpečí tím, že uživatele upozorní před spuštěním nerozpoznaných programů stažených z internetu. Některé informace se odesílají do Microsoftu o souborech a programech spuštěných na počítačích s povolenou funkcí. Pokud povolíte toto nastavení zásad, chování filtru Windows SmartScreen může být řízeno nastavením jedné z následujících možností: * Před spuštěním staženého neznámého softwaru dejte uživateli upozornění * Pokud toto nastavení zásad zakážete nebo nenakonfigurujete, chování filtru Windows SmartScreen spravuje správci na počítači pomocí filtru Windows SmartScreen Nastavení v oblasti Zabezpečení a údržba. Možnosti: * Dát uživateli upozornění před spuštěním staženého neznámého softwaru * Vypnout Filtr SmartScreen
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\System\EnableSmartScreen
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní naEnabled: Upozornit a zabránit obejití: Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Filtr SmartScreen v programu Windows Defender\Explorer\Configure Windows Defender SmartScreen Note: Tato cesta zásad skupiny ve výchozím nastavení neexistuje. Poskytuje šablonu zásad skupiny WindowsExplorer.admx/adml, která je součástí microsoft Windows 8.0 &Server 2012 (jiné než R2) Správa istrativní šablony (nebo novější). Poznámka č. 2: Ve starších šablonách systému Microsoft Windows Správa istrativní šablony bylo toto nastavení původně pojmenováno Konfigurovat filtr SmartScreen systému Windows, ale bylo přejmenováno počínaje windows 10 release 1703 Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.85.1.1
 = 1
(Registr)		 Upozorňující
Zjištění změny z výchozího portu RDP
(AZ-WIN-00156)		 Popis: Toto nastavení určuje, jestli byl síťový port, který naslouchá Připojení vzdálené ploše, změněn z výchozí verze 3389.
Cesta ke klíči: System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumber
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Nejde použít
Standardní mapování dodržování předpisů:
 = 3389
(Registr)		 Kritické
Zakázání služby Windows Search
(AZ-WIN-00176)		 Popis: Toto nastavení registru zakáže službu Windows Search.
Cesta ke klíči: System\CurrentControlSet\Services\Wsearch\Start
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Nejde použít
Standardní mapování dodržování předpisů:
 Neexistuje nebo = 4
(Registr)		 Kritické
Zakázat automatické přehrání pro zařízení bez svazků
(CCE-37636-8)		 Popis: Toto nastavení zásad zakáže automatické přehrávání pro zařízení MTP, jako jsou kamery nebo telefony. Pokud povolíte toto nastavení zásad, automatické přehrání není povolené pro zařízení MTP, jako jsou kamery nebo telefony. Pokud toto nastavení zásad zakážete nebo nenakonfigurujete, povolí se automatické přehrání pro zařízení bez svazků.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\Explorer\NoAutoplayfornonVolume
Operační systém: WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Zásady automatického přehrávání\Zakázat automatické přehrání pro zařízení bez svazků
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje šablonu zásad skupiny AutoPlay.admx/adml, která je součástí microsoft Windows 8.0 &Server 2012 (jiné než R2) Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.8.1
 = 1
(Registr)		 Kritické
Zakázat ověřování hodnotou hash
(CCE-38318-2)		 Popis: Toto nastavení zásad umožňuje spravovat, jestli klient vzdálené správy systému Windows (WinRM) nebude používat ověřování hodnotou hash. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\WinRM\Client\AllowDigest
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Vzdálená správa systému Windows (WinRM)\Klient WinRM\Disallow Ověřování hodnotou hash
Poznámka: Tato cesta k zásadám skupiny je poskytována šablonou WindowsRemoteManagement.admx/adml zásad skupiny, která je součástí všech verzí systému Microsoft Windows Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93505
        STIG WS2016 V-73597
        CIS WS2019 18.9.102.1.3
        CIS WS2022 18.9.102.1.3
 = 0
(Registr)		 Kritické
Zákaz ukládání přihlašovacích údajů Spustit jako pro WinRM
(CCE-36000-8)		 Popis: Toto nastavení zásad umožňuje spravovat, jestli služba Vzdálená správa systému Windows (WinRM) neumožňuje ukládání přihlašovacích údajů Spustit jako pro žádné moduly plug-in. Pokud toto nastavení zásad povolíte, služba WinRM nepovolí nastavení konfiguračních hodnot RunAsUser ani RunAsPassword pro všechny moduly plug-in. Pokud modul plug-in již nastavil konfigurační hodnoty RunAsUser a RunAsPassword, hodnota konfigurace RunAsPassword se vymaže z úložiště přihlašovacích údajů v tomto počítači. Pokud toto nastavení zásad zakážete nebo nenakonfigurujete, služba WinRM povolí nastavení konfiguračních hodnot RunAsUser a RunAsPassword pro moduly plug-in a hodnota RunAsPassword se bezpečně uloží. Pokud toto nastavení zásad povolíte a potom zakážete, bude potřeba resetovat všechny hodnoty, které byly dříve nakonfigurované pro RunAsPassword.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\WinRM\Service\DisableRunAs
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Vzdálená správa systému Windows (WinRM)\Služba WinRM\Disallow WinRM z ukládání přihlašovacích údajů Spustit jako
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje šablona zásad skupiny WindowsRemoteManagement.admx/adml, která je součástí microsoft Windows 8.0 & Server 2012 (jiné než R2) Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.102.2.4
 = 1
(Registr)		 Kritické
Nepovolit ukládání hesel
(CCE-36223-6)		 Popis: Toto nastavení zásad pomáhá zabránit klientům Terminálové služby v ukládání hesel do počítače. Poznámka: Pokud bylo toto nastavení zásad dříve nakonfigurováno jako Zakázáno nebo Nenakonfigurováno, odstraní se všechna dříve uložená hesla při prvním odpojení klienta Terminálové služby od jakéhokoli serveru.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\systém Windows NT\Terminal Services\DisablePasswordSaving
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Vzdálená plocha\Klient Připojení ion Klient\Nepovolit ukládání hesel
Poznámka: Tuto cestu k zásadám skupiny poskytuje šablona Zásad skupiny TerminalServer.admx/adml, která je součástí všech verzí microsoft Windows Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.65.2.2
 = 1
(Registr)		 Kritické
Při ukončení neodstraňovat dočasné složky
(CCE-37946-1)		 Popis: Toto nastavení zásad určuje, jestli služba Vzdálená plocha uchovává dočasné složky uživatele pro relaci při odhlášení. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\systém Windows NT\Terminal Services\DeleteTempDirsOnExit
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Vzdálená plocha\Hostitel relace vzdálené plochy\Dočasné složky\Při ukončení neodstraňovat dočasné složky
Poznámka: Tuto cestu k zásadám skupiny poskytuje šablona Zásad skupiny TerminalServer.admx/adml, která je součástí všech verzí microsoft Windows Správa istrativní šablony.
Poznámka č. 2: Ve starších šablonách systému Microsoft Windows Správa istrativní šablony bylo toto nastavení pojmenováno Neodstraňovat dočasnou složku po ukončení, ale byla přejmenována počínaje šablonami windows 8.0 & Server 2012 (ne R2) Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.65.3.11.1
 Neexistuje nebo = 1
(Registr)		 Upozorňující
Nezobrazovat tlačítko pro zobrazení hesla
(CCE-37534-5)		 Popis: Toto nastavení zásad umožňuje konfigurovat zobrazení tlačítka pro zobrazení hesla v uživatelských prostředích pro zadávání hesel. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\CredUI\DisablePasswordReveal
Operační systém: WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Uživatelské rozhraní pověření\Nezobrazovat tlačítko pro zobrazení hesla
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Je poskytována šablonou zásad skupiny CredUI.admx/adml, která je součástí microsoft Windows 8.0 &Server 2012 (ne R2) Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.16.1
 = 1
(Registr)		 Upozorňující
Nezobrazovat oznámení zpětné vazby
(AZ-WIN-00140)		 Popis: Toto nastavení zásad umožňuje organizaci zabránit v zobrazování dotazů na zpětnou vazbu od Microsoftu. Pokud toto nastavení zásad povolíte, nebudou se uživatelům zobrazovat oznámení zpětné vazby prostřednictvím aplikace Windows Feedback. Pokud toto nastavení zásad zakážete nebo nenakonfigurujete, můžou se uživatelům zobrazovat oznámení prostřednictvím aplikace Windows Feedback, která uživatele požádá o zpětnou vazbu. Poznámka: Pokud toto nastavení zásad zakážete nebo nenakonfigurujete, můžou uživatelé řídit, jak často můžou dostávat otázky ke zpětné vazbě.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\DataCollection\DoNotShowFeedbackNotifications
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Shromažďování dat a buildy verze Preview\Nezobrazovat oznámení zpětné vazby
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje šablonu zásad skupiny FeedbackNotifications.admx/adml, která je součástí microsoft Windows 10 Release 1511 Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.17.4
 = 1
(Registr)		 Kritické
Nepoužívejte dočasné složky na relaci.
(CCE-38180-6)		 Popis: Služba Vzdálená plocha ve výchozím nastavení vytvoří samostatnou dočasnou složku na serveru hostitele relace VP pro každou aktivní relaci, kterou uživatel udržuje na serveru hostitele relace VP. Dočasná složka se vytvoří na serveru hostitele relace VP ve složce Temp ve složce profilu uživatele a má název "sessionid". Tato dočasná složka se používá k ukládání jednotlivých dočasných souborů. Pokud chcete uvolnit místo na disku, dočasná složka se odstraní, když se uživatel odhlásí z relace. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\systém Windows NT\Terminal Services\PerSessionTempDir
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Vzdálená plocha\Hostitel relace vzdálené plochy\Dočasné složky\Nepoužívat dočasné složky na relaci
Poznámka: Tuto cestu k zásadám skupiny poskytuje šablona Zásad skupiny TerminalServer.admx/adml, která je součástí všech verzí microsoft Windows Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.65.3.11.2
 Neexistuje nebo = 1
(Registr)		 Kritické
Vytvoření výčtu účtů správce při zvýšení oprávnění
(CCE-36512-2)		 Popis: Toto nastavení zásad určuje, jestli se účty správců zobrazí, když se uživatel pokusí zvýšit úroveň spuštěné aplikace. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\CredUI\Enumerate Správa istrators
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Správa istrative Templates\Windows Components\Credential User Interface\Enumerate účty správce při zvýšení oprávnění
Poznámka: Tato cesta k zásadám skupiny je poskytována šablonou CredUI.admx/adml zásad skupiny, která je součástí všech verzí systému Microsoft Windows Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93517
        STIG WS2016 V-73487
        CIS WS2019 18.9.16.2
        CIS WS2022 18.9.16.2
 Neexistuje nebo = 0
(Registr)		 Upozorňující
Zabránit stahování skříní
(CCE-37126-0)		 Popis: Toto nastavení zásad brání uživateli ve stahování příloh (příloh souborů) z informačního kanálu do počítače uživatele. Doporučený stav pro toto nastavení je: Enabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Internet Explorer\Feeds\DisableEnclosureDownload
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Informační kanály RSS\Zabránit stahování skříní
Poznámka: Tuto cestu k zásadám skupiny poskytuje šablona zásad skupiny InetRes.admx/adml, která je součástí všech verzí microsoft Windows Správa istrativní šablony.
Poznámka č. 2: Ve starších šablonách systému Microsoft Windows Správa istrativní šablony bylo toto nastavení pojmenováno Vypnout stahování skříní, ale bylo přejmenováno počínaje šablonami pro Windows 8.0 a Server 2012 (jiné než R2) Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.66.1
 = 1
(Registr)		 Upozorňující
Vyžadovat zabezpečenou komunikaci RPC
(CCE-37567-5)		 Popis: Určuje, jestli server hostitele relace vzdálené plochy vyžaduje zabezpečenou komunikaci RPC se všemi klienty nebo umožňuje nezabezpečenou komunikaci. Toto nastavení můžete použít k posílení zabezpečení komunikace RPC s klienty tím, že povolíte pouze ověřené a šifrované požadavky. Pokud je stav nastaven na Povoleno, vzdálená plocha přijímá požadavky od klientů RPC, které podporují zabezpečené požadavky, a neumožňuje nezabezpečenou komunikaci s nedůvěryhodnými klienty. Pokud je stav vypnutý, Služba Vzdálená plocha vždy požaduje zabezpečení pro veškerý provoz RPC. Nezabezpečená komunikace je však povolená pro klienty RPC, kteří na požadavek nereagují. Pokud je stav nastaven na Nenakonfigurováno, je povolená nezabezpečená komunikace. Poznámka: Rozhraní RPC slouží ke správě a konfiguraci služby Vzdálená plocha.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\systém Windows NT\Terminal Services\fEncryptRPCTraffic
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Vzdálená plocha\Hostitel relace vzdálené plochy\Zabezpečení\Vyžadovat zabezpečenou komunikaci RPC
Poznámka: Tuto cestu k zásadám skupiny poskytuje šablona Zásad skupiny TerminalServer.admx/adml, která je součástí všech verzí microsoft Windows Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.65.3.9.2
 = 1
(Registr)		 Kritické
Vyžadování ověřování uživatelů pro vzdálená připojení pomocí ověřování na úrovni sítě
(AZ-WIN-00149)		 Popis: Vyžadování ověřování uživatelů pro vzdálená připojení pomocí ověřování na úrovni sítě
Cesta ke klíči: SOFTWARE\Policies\Microsoft\systém Windows NT\Terminal Services\UserAuthentication
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Hostitel relace vzdálené plochy\Zabezpečení\Vyžadovat ověřování uživatelů pro vzdálená připojení pomocí ověřování na úrovni sítě
Poznámka: Tuto cestu k zásadám skupiny poskytuje šablona Zásad skupiny TerminalServer.admx/adml, která je součástí všech verzí microsoft Windows Správa istrativní šablony.
Poznámka č. 2: V systému Microsoft Windows Vista Správa istrativní šablony bylo toto nastavení původně pojmenováno Vyžadovat ověření uživatele pomocí protokolu RDP 6.0 pro vzdálená připojení, ale bylo přejmenováno od systému Windows Server 2008 (bez R2) Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.65.3.9.4
 Neexistuje nebo = 1
(Registr)		 Kritické
Skenování vyměnitelných jednotek
(AZ-WIN-00177)		 Popis: Toto nastavení zásad umožňuje spravovat, zda při spuštění úplné kontroly prohledávat škodlivý software a nežádoucí software v obsahu vyměnitelných disků, jako jsou usb flash disky. Pokud povolíte toto nastavení vyměnitelných jednotek, zkontroluje se během jakéhokoli typu kontroly. Pokud toto nastavení zakážete nebo nenakonfigurujete, nebudou při úplné kontrole zkontrolovány vyměnitelné jednotky. Vyměnitelné jednotky se můžou během rychlé kontroly a vlastní kontroly stále kontrolovat.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows Defender\Scan\DisableRemovableDriveScanning
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Antivirová ochrana v programu Windows Defender\Scan\Scan vyměnitelné jednotky
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje ji šablona WindowsDefender.admx/adml zásad skupiny, která je součástí microsoft Windows 8.1 & Server 2012 R2 Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.47.12.1
        CIS WS2022 18.9.47.12.1
 = 0
(Registr)		 Kritické
Zabezpečení: Řízení chování protokolu událostí, když soubor protokolu dosáhne maximální velikosti
(CCE-37145-0)		 Popis: Toto nastavení zásad řídí chování protokolu událostí, když soubor protokolu dosáhne maximální velikosti. Pokud povolíte toto nastavení zásad a soubor protokolu dosáhne maximální velikosti, nebudou do protokolu zapsány nové události a budou ztraceny. Pokud toto nastavení zásad zakážete nebo nenakonfigurujete a soubor protokolu dosáhne maximální velikosti, nové události přepíší staré události. Poznámka: Staré události mohou nebo nemusí být zachovány v závislosti na nastavení zásad "Protokol zálohování automaticky při úplném" nastavení.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\EventLog\Security\Retention
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Služba protokolu událostí\Zabezpečení\Řízení chování protokolu při dosažení maximální velikosti souboru protokolu
Poznámka: Tuto cestu k zásadám skupiny poskytuje šablona zásad skupiny EventLog.admx/adml, která je součástí všech verzí microsoft Windows Správa istrativní šablony.
Poznámka č. 2: Ve starších šablonách systému Microsoft Windows Správa istrativní šablony se toto nastavení původně jmenovalo Zachovat staré události, ale bylo přejmenováno od windows 8.0 & Server 2012 (jiné než R2) Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.27.2.1
 Neexistuje nebo = 0
(Registr)		 Kritické
Zabezpečení: Zadejte maximální velikost souboru protokolu (KB)
(CCE-37695-4)		 Popis: Toto nastavení zásad určuje maximální velikost souboru protokolu v kilobajtech. Pokud povolíte toto nastavení zásad, můžete nakonfigurovat maximální velikost souboru protokolu na 1 megabajt (1024 kilobajtů) a 2 terabajty (2 147 483 647 kilobajtů) v přírůstcích kilobajtů. Pokud toto nastavení zásad zakážete nebo nenakonfigurujete, nastaví se maximální velikost souboru protokolu na místně nakonfigurovanou hodnotu. Tuto hodnotu může změnit místní správce pomocí dialogového okna Vlastnosti protokolu a výchozí hodnota je 20 megabajtů.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\EventLog\Security\MaxSize
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled: 196,608 or greater:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Služba protokolu událostí\Zabezpečení\Zadejte maximální velikost souboru protokolu (KB)
Poznámka: Tuto cestu k zásadám skupiny poskytuje šablona zásad skupiny EventLog.admx/adml, která je součástí všech verzí microsoft Windows Správa istrativní šablony.
Poznámka č. 2: Ve starších šablonách systému Microsoft Windows Správa istrativní šablony se toto nastavení původně jmenovalo Maximální velikost protokolu (KB), ale bylo přejmenováno počínaje šablonami windows 8.0 & Server 2012 (bez Správa R2).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.27.2.2
 >= 196608
(Registr)		 Kritické
Odeslání ukázek souborů v případě, že je vyžadována další analýza
(AZ-WIN-00126)		 Popis: Toto nastavení zásad konfiguruje chování odesílání ukázek při nastavení výslovného souhlasu s telemetrií MAPS. Možné možnosti jsou: (0x0) Vždy zobrazit výzvu (0x1) Automaticky odesílat bezpečné vzorky (0x2) Nikdy neodesílat (0x3) Automaticky odesílat všechny vzorky
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows Defender\SpyNet\SubmitSamplesConsent
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Konfigurace počítače\Správa istrativní šablony\Součásti systému Windows\Antivirová ochrana v programu Microsoft Defender\MAPS\Odeslat ukázky souborů, pokud je vyžadována další analýza
Standardní mapování dodržování předpisů:
 = 1
(Registr)		 Upozorňující
Nastavení úrovně šifrování připojení klienta
(CCE-36627-8)		 Popis: Toto nastavení zásad určuje, jestli počítač, který se chystá hostovat vzdálené připojení, bude vynucovat úroveň šifrování pro všechna data odesílaná mezi ním a klientským počítačem pro vzdálenou relaci.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\systém Windows NT\Terminal Services\MinEncryptionLevel
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled: High Level:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Vzdálená plocha\Hostitel relace vzdálené plochy\Zabezpečení\Nastavit úroveň šifrování připojení klienta
Poznámka: Tuto cestu k zásadám skupiny poskytuje šablona Zásad skupiny TerminalServer.admx/adml, která je součástí všech verzí microsoft Windows Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.65.3.9.5
 Neexistuje nebo = 3
(Registr)		 Kritické
Nastavení výchozího chování automatického spuštění
(CCE-38217-6)		 Popis: Toto nastavení zásad nastavuje výchozí chování pro příkazy Autorun. Příkazy autorun jsou obecně uložené v souborech autorun.inf. Často spouští instalační program nebo jiné rutiny. Před systémem Windows Vista se při vložení média obsahujícího příkaz autorun automaticky spustí program bez zásahu uživatele. Tím se vytvoří velký problém se zabezpečením, protože kód se může spustit bez znalostí uživatele. Výchozí chování začínající systémem Windows Vista je vyzvat uživatele, zda má být spuštěn příkaz autorun. Příkaz autorun je reprezentován jako obslužná rutina v dialogovém okně automatického přehrávání. Pokud povolíte toto nastavení zásad, může Správa istrator změnit výchozí chování systému Windows Vista nebo novější pro autorun na: a) Zcela zakázat příkazy automatického spuštění nebo b) Vrátit zpět k chování před Windows Vista automatického spuštění příkazu autorun. Pokud toto nastavení zásad zakážete nebo nenakonfigurujete, systém Windows Vista nebo novější zobrazí výzvu uživateli, zda má být spuštěn příkaz autorun.
Cesta ke klíči: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoAutorun
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled: Do not execute any autorun commands:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Zásady automatického přehrávání\Nastavení výchozího chování pro automatické spuštění
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje šablonu zásad skupiny AutoPlay.admx/adml, která je součástí microsoft Windows 8.0 &Server 2012 (jiné než R2) Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.8.2
 = 1
(Registr)		 Kritické
Nastavení: Řízení chování protokolu událostí, když soubor protokolu dosáhne maximální velikosti
(CCE-38276-2)		 Popis: Toto nastavení zásad řídí chování protokolu událostí, když soubor protokolu dosáhne maximální velikosti. Pokud povolíte toto nastavení zásad a soubor protokolu dosáhne maximální velikosti, nebudou do protokolu zapsány nové události a budou ztraceny. Pokud toto nastavení zásad zakážete nebo nenakonfigurujete a soubor protokolu dosáhne maximální velikosti, nové události přepíší staré události. Poznámka: Staré události mohou nebo nemusí být zachovány v závislosti na nastavení zásad "Protokol zálohování automaticky při úplném" nastavení.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\EventLog\Setup\Retention
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Služba protokolu událostí\Nastavení\Řízení chování protokolu událostí, když soubor protokolu dosáhne maximální velikosti
Poznámka: Tuto cestu k zásadám skupiny poskytuje šablona zásad skupiny EventLog.admx/adml, která je součástí všech verzí microsoft Windows Správa istrativní šablony.
Poznámka č. 2: Ve starších šablonách systému Microsoft Windows Správa istrativní šablony se toto nastavení původně jmenovalo Zachovat staré události, ale bylo přejmenováno od windows 8.0 & Server 2012 (jiné než R2) Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.27.3.1
 Neexistuje nebo = 0
(Registr)		 Kritické
Nastavení: Zadejte maximální velikost souboru protokolu (KB)
(CCE-37526-1)		 Popis: Toto nastavení zásad určuje maximální velikost souboru protokolu v kilobajtech. Pokud povolíte toto nastavení zásad, můžete nakonfigurovat maximální velikost souboru protokolu na 1 megabajt (1024 kilobajtů) a 2 terabajty (2 147 483 647 kilobajtů) v přírůstcích kilobajtů. Pokud toto nastavení zásad zakážete nebo nenakonfigurujete, nastaví se maximální velikost souboru protokolu na místně nakonfigurovanou hodnotu. Tuto hodnotu může změnit místní správce pomocí dialogového okna Vlastnosti protokolu a výchozí hodnota je 20 megabajtů.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\EventLog\Setup\MaxSize
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled: 32,768 or greater:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Služba protokolu událostí\Setup\Zadejte maximální velikost souboru protokolu (KB)
Poznámka: Tuto cestu k zásadám skupiny poskytuje šablona zásad skupiny EventLog.admx/adml, která je součástí všech verzí microsoft Windows Správa istrativní šablony.
Poznámka č. 2: Ve starších šablonách systému Microsoft Windows Správa istrativní šablony se toto nastavení původně jmenovalo Maximální velikost protokolu (KB), ale bylo přejmenováno počínaje šablonami windows 8.0 & Server 2012 (bez Správa R2).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.27.3.2
 >= 32768
(Registr)		 Kritické
Přihlášení posledního interaktivního uživatele automaticky po restartování zahájeném systémem
(CCE-36977-7)		 Popis: Toto nastavení zásad určuje, jestli se zařízení po služba Windows Update restartuje systém automaticky při přihlášení posledního interaktivního uživatele. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableAutomaticRestartSignOn
Operační systém: WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Pokud chcete vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Možnosti přihlášení systému Windows\Přihlásit se poslední interaktivní uživatel automaticky po restartování zahájeném systémem
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje ji šablona WinLogon.admx/adml zásad skupiny, která je součástí microsoft Windows 8.1 & Server 2012 R2 Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93269
        STIG WS2016 V-73589
        CIS WS2019 18.9.86.1
        CIS WS2022 18.9.86.1
 = 1
(Registr)		 Kritické
Zadejte interval pro kontrolu aktualizací definic.
(AZ-WIN-00152)		 Popis: Toto nastavení zásad umožňuje zadat interval, ve kterém se mají kontrolovat aktualizace definic. Hodnota času je reprezentována jako počet hodin mezi kontrolami aktualizace. Platné hodnoty jsou v rozsahu od 1 (každou hodinu) do 24 (jednou za den). Pokud toto nastavení povolíte, bude kontrola aktualizací definic probíhat v zadaném intervalu. Pokud toto nastavení zakážete nebo nenakonfigurujete, bude kontrola aktualizací definic probíhat ve výchozím intervalu.
Cesta ke klíči: SOFTWARE\Microsoft\Microsoft Antimalware\Signature Aktualizace\SignatureUpdateInterval
Operační systém: WS2008, WS2008R2, WS2012, WS2012R2
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Konfigurace počítače\Správa istrativní šablony\Součásti systému Windows\Antivirová ochrana v programu Microsoft Defender\Security Intelligence Aktualizace\Zadejte interval pro kontrolu aktualizací analýzy zabezpečení.
Standardní mapování dodržování předpisů:
 8=
(Registr)		 Kritické
Systém: Řízení chování protokolu událostí, když soubor protokolu dosáhne maximální velikosti
(CCE-36160-0)		 Popis: Toto nastavení zásad řídí chování protokolu událostí, když soubor protokolu dosáhne maximální velikosti. Pokud povolíte toto nastavení zásad a soubor protokolu dosáhne maximální velikosti, nebudou do protokolu zapsány nové události a budou ztraceny. Pokud toto nastavení zásad zakážete nebo nenakonfigurujete a soubor protokolu dosáhne maximální velikosti, nové události přepíší staré události. Poznámka: Staré události mohou nebo nemusí být zachovány v závislosti na nastavení zásad "Protokol zálohování automaticky při úplném" nastavení.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\EventLog\System\Retention
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Služba protokolu událostí\Systém\Řízení chování protokolu, když soubor protokolu dosáhne maximální velikosti
Poznámka: Tuto cestu k zásadám skupiny poskytuje šablona zásad skupiny EventLog.admx/adml, která je součástí všech verzí microsoft Windows Správa istrativní šablony.
Poznámka č. 2: Ve starších šablonách systému Microsoft Windows Správa istrativní šablony se toto nastavení původně jmenovalo Zachovat staré události, ale bylo přejmenováno od windows 8.0 & Server 2012 (jiné než R2) Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.27.4.1
 Neexistuje nebo = 0
(Registr)		 Kritické
Systém: Zadejte maximální velikost souboru protokolu (KB)
(CCE-36092-5)		 Popis: Toto nastavení zásad určuje maximální velikost souboru protokolu v kilobajtech. Pokud povolíte toto nastavení zásad, můžete nakonfigurovat maximální velikost souboru protokolu na 1 megabajt (1024 kilobajtů) a 2 terabajty (2 147 483 647 kilobajtů) v přírůstcích kilobajtů. Pokud toto nastavení zásad zakážete nebo nenakonfigurujete, nastaví se maximální velikost souboru protokolu na místně nakonfigurovanou hodnotu. Tuto hodnotu může změnit místní správce pomocí dialogového okna Vlastnosti protokolu a výchozí hodnota je 20 megabajtů.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\EventLog\System\MaxSize
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled: 32,768 or greater:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Služba protokolu událostí\Systém\Zadejte maximální velikost souboru protokolu (KB)
Poznámka: Tuto cestu k zásadám skupiny poskytuje šablona zásad skupiny EventLog.admx/adml, která je součástí všech verzí microsoft Windows Správa istrativní šablony.
Poznámka č. 2: Ve starších šablonách systému Microsoft Windows Správa istrativní šablony se toto nastavení původně jmenovalo Maximální velikost protokolu (KB), ale bylo přejmenováno počínaje šablonami windows 8.0 & Server 2012 (bez Správa R2).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.27.4.2
 >= 32768
(Registr)		 Kritické
Inventář programu kompatibility aplikací musí být znemožněno shromažďování dat a odesílání informací společnosti Microsoft.
(AZ-WIN-73543)		 Popis: Některé funkce můžou komunikovat s dodavatelem, odesílat informace o systému nebo stahovat data nebo komponenty pro tuto funkci. Vypnutím této funkce zabráníte odesílání potenciálně citlivých informací mimo podnik a zabráníte nekontrolovatelným aktualizacím systému. Toto nastavení zabrání inventarizaci programu ve shromažďování dat o systému a odesílání informací společnosti Microsoft.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\AppCompat\DisableInventory
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Správa istrativní šablony\Součásti systému Windows\Kompatibilita aplikací\Vypnout kolekci inventáře
Standardní mapování dodržování předpisů:
 = 1
(Registr)		 Informační
Vypnutí automatického přehrávání
(CCE-36875-3)		 Popis: Automatické přehrávání začne číst z jednotky hned po vložení média do jednotky, což způsobí okamžité spuštění instalačního souboru pro programy nebo zvukové médium. Útočník by tuto funkci mohl použít ke spuštění programu, který by poškodil počítač nebo data v počítači. Pokud chcete funkci automatického přehrávání zakázat, můžete povolit nastavení Vypnout automatické přehrávání. Automatické přehrání je ve výchozím nastavení zakázané u některých vyměnitelných typů jednotek, například diskety a síťových jednotek, ale ne na jednotkách CD-ROM. Poznámka: Toto nastavení zásad nelze použít k povolení automatického přehrávání na počítačových jednotkách, ve kterých je ve výchozím nastavení zakázána, například diskety a síťové jednotky.
Cesta ke klíči: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveTypeAutoRun
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled: All drives:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Zásady automatického přehrávání\Vypnout automatické přehrávání
Poznámka: Tuto cestu k zásadám skupiny poskytuje šablona Zásad skupiny AutoPlay.admx/adml, která je součástí všech verzí microsoft Windows Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.8.3
 = 255
(Registr)		 Kritické
Vypnutí prevence spouštění dat pro Průzkumníka
(CCE-37809-1)		 Popis: Zakázání prevence spuštění dat může určitým starším aplikacím plug-in umožnit fungování bez ukončení Průzkumníka. Doporučený stav pro toto nastavení je: Disabled. Poznámka: Některé starší aplikace modulů plug-in a jiný software nemusí fungovat s zabráněním spuštění dat a budou vyžadovat výjimku, která se má definovat pro tento konkrétní modul plug-in nebo software.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\Explorer\NoDataExecutionPrevention
Operační systém: WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Průzkumník souborů\Vypnutí prevence spouštění dat pro Průzkumníka
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje ji šablona Explorer.admx/adml zásad skupiny, která je součástí microsoft Windows 7 & Server 2008 R2 Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93563
        STIG WS2016 V-73561
        CIS WS2019 18.9.31.2
        CIS WS2022 18.9.31.2
 Neexistuje nebo = 0
(Registr)		 Kritické
Vypnutí ukončení haldy při poškození
(CCE-36660-9)		 Popis: Bez ukončení haldy při poškození můžou starší aplikace plug-in nadále fungovat, když dojde k poškození Průzkumník souborů relace. Zajistěte, aby ukončení haldy při poškození bylo aktivní, zabrání tomu. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\Explorer\NoHeapTerminationOnCorruption
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Průzkumník souborů\Vypnout ukončení haldy při poškození
Poznámka: Tato cesta k zásadám skupiny je poskytována šablonou Explorer.admx/adml zásad skupiny, která je součástí všech verzí systému Microsoft Windows Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93261
        STIG WS2016 V-73563
        CIS WS2019 18.9.31.3
        CIS WS2022 18.9.31.3
 Neexistuje nebo = 0
(Registr)		 Kritické
Vypnutí uživatelských prostředí Microsoftu
(AZ-WIN-00144)		 Popis: Toto nastavení zásad vypne možnosti, které uživatelům pomůžou využívat zařízení a účet Microsoft na maximum. Pokud toto nastavení zásad povolíte, uživatelé už neuvidí přizpůsobená doporučení od Microsoftu a oznámení o svém účtu Microsoft. Pokud toto nastavení zásad zakážete nebo nenakonfigurujete, můžou se uživatelům zobrazovat návrhy od Microsoftu a oznámení o svém účtu Microsoft. Poznámka: Toto nastavení platí jenom pro skladové položky Enterprise a Education.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\CloudContent\DisableWindowsConsumerFeatures
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Cloud Content\Vypnout uživatelské prostředí Microsoftu
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje šablonu zásad skupiny CloudContent.admx/adml, která je součástí microsoft Windows 10 Release 1511 Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.14.2
 Neexistuje nebo = 1
(Registr)		 Upozorňující
Vypnutí režimu chráněného protokolem prostředí
(CCE-36809-2)		 Popis: Toto nastavení zásad umožňuje nakonfigurovat množství funkcí, které může mít protokol prostředí. Při použití úplné funkce této aplikace protokolu mohou otevírat složky a spouštět soubory. Chráněný režim snižuje funkčnost tohoto protokolu, což umožňuje aplikacím otevírat pouze omezenou sadu složek. Aplikace nemůžou otevírat soubory s tímto protokolem, pokud jsou v chráněném režimu. Doporučujeme nechat tento protokol v chráněném režimu, aby se zvýšilo zabezpečení Systému Windows. Doporučený stav pro toto nastavení je: Disabled.
Cesta ke klíči: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\PreXPSP2ShellProtocolBehavior
OS: WS2008, WS2008R2, WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Disabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Průzkumník souborů\Vypnutí režimu chráněného protokolem prostředí
Poznámka: Tato cesta k zásadám skupiny je poskytována šablonou WindowsExplorer.admx/adml zásad skupiny, která je součástí všech verzí systému Microsoft Windows Správa istrativní šablony.
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        STIG WS2019 V-93263
        STIG WS2016 V-73565
        CIS WS2019 18.9.31.4
        CIS WS2022 18.9.31.4
 Neexistuje nebo = 0
(Registr)		 Upozorňující
Zapnutí monitorování chování
(AZ-WIN-00178)		 Popis: Toto nastavení zásad umožňuje konfigurovat monitorování chování. Pokud povolíte nebo nenakonfigurujete toto monitorování chování nastavení, bude povoleno. Pokud toto nastavení zakážete, bude monitorování chování zakázané.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows Defender\Ochrana v reálném čase\DisableBehaviorMonitoring
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Chcete-li vytvořit doporučenou konfiguraci prostřednictvím zásad skupiny, nastavte následující cestu uživatelského rozhraní na Enabled:
Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Antivirová ochrana v programu Windows Defender\Ochrana v reálném čase\Zapnout monitorování chování
Poznámka: Tato cesta zásad skupiny nemusí ve výchozím nastavení existovat. Poskytuje ji šablona WindowsDefender.admx/adml zásad skupiny, která je součástí microsoft Windows 8.1 & Server 2012 R2 Správa istrativní šablony (nebo novější).
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2019 18.9.47.9.3
        CIS WS2022 18.9.47.9.3
 Neexistuje nebo = 0
(Registr)		 Upozorňující
Zapnutí protokolování bloku skriptu PowerShellu
(AZ-WIN-73591)		 Popis: Toto nastavení zásad umožňuje protokolování veškerého vstupu skriptu PowerShellu Applications and Services Logs\Microsoft\Windows\PowerShell\Operational do kanálu protokolu událostí. Doporučený stav pro toto nastavení je: Enabled. Poznámka: Pokud je protokolování událostí spuštění/zastavení bloku skriptu povolené (zaškrtnuto políčko s možností), PowerShell zaznamená další události při vyvolání příkazu, bloku skriptu, funkce nebo spuštění nebo zastavení skriptu. Povolením této možnosti se vygeneruje velký objem protokolů událostí. CIS záměrně nevyvolila doporučení pro tuto možnost, protože generuje velký objem událostí. Pokud se organizace rozhodne povolit volitelné (zaškrtnuté) nastavení, odpovídá také srovnávacímu testu.
Cesta ke klíči: SOFTWARE\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging\EnableScriptBlockLogging
Operační systém: WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény, člen pracovní skupiny
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Správa istrativní šablony\Součásti systému Windows\Windows PowerShell\Zapnout protokolování bloku skriptu PowerShellu
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 18.9.100.1
        CIS WS2019 18.9.100.1
 = 1
(Registr)		 Důležité

Windows Nastavení – zabezpečení Nastavení

Název
(ID)		 Detaily Očekávaná hodnota
(Typ)		 Závažnost
Upravit kvóty paměti pro proces
(CCE-10849-8)		 Popis: Toto nastavení zásad umožňuje uživateli upravit maximální velikost paměti, která je k dispozici pro proces. Schopnost upravit kvóty paměti je užitečná pro ladění systému, ale může být zneužita. V nesprávných rukou by se dal použít ke spuštění útoku doS (DoS). Doporučený stav pro toto nastavení je: Administrators, LOCAL SERVICE, NETWORK SERVICE. Poznámka: Členský server, který obsahuje roli webového serveru (IIS) se službou rolí webového serveru , bude vyžadovat zvláštní výjimku tohoto doporučení, aby bylo povoleno udělení tohoto uživatelského práva fondu aplikací služby IIS. Poznámka č. 2: Členský server s nainstalovaným Microsoft SQL Serverem bude vyžadovat zvláštní výjimku tohoto doporučení pro udělení tohoto uživatelského práva dalším položkám vygenerovaným systémem SQL.
Cesta ke klíči: [Práva oprávnění]SeIncreaseQuotaPrivilege
OS: WS2012, WS2012R2, WS2016, WS2019, WS2022
Typ serveru: Řadič domény, člen domény
Cesta k zásadám skupiny: Konfigurace počítače\Zásady\Windows Nastavení\Zabezpečení Nastavení\Místní zásady\Přiřazení uživatelských práv\Úprava kvót paměti pro proces
Standardní mapování dodržování předpisů:
        ID názvovéplatformy
        CIS WS2022 2.2.6
        CIS WS2019 2.2.6
 <= Správa istrators, Local Service, Network Service
(Zásady)		 Upozorňující

Poznámka:

Dostupnost konkrétních nastavení konfigurace hosta služby Azure Policy se může lišit v Azure Government a dalších národních cloudech.

Další kroky

Další články o službě Azure Policy a konfiguraci hosta: