Allineamento delle immagini Windows del servizio Azure Kubernetes con il benchmark CIS (Center for Internet Security)

Come servizio protetto, il servizio Azure Kubernetes è conforme agli standard SOC, ISO, PCI DSS e HIPAA. Questo articolo illustra la configurazione del sistema operativo di sicurezza applicata all'immagine di Windows usata dal servizio Azure Kubernetes. Questa configurazione di sicurezza si basa sulla baseline di sicurezza di Azure X, allineata al benchmark CIS. Per altre informazioni sulla sicurezza del servizio Azure Kubernetes, vedere Concetti di sicurezza per applicazioni e cluster nel servizio Azure Kubernetes. Per altre informazioni sulla sicurezza del servizio Azure Kubernetes, vedere Concetti di sicurezza per applicazioni e cluster nel servizio Azure Kubernetes. Per ulteriori informazioni sui benchmark CIS, vedere Center for Internet Security (CIS) Benchmarks. Per altre informazioni sulle baseline di sicurezza di Azure per Windows, vedere Baseline di sicurezza di Windows.

Windows Server 2022

I cluster del servizio Azure Kubernetes vengono distribuiti in macchine virtuali host, che eseguono un sistema operativo con configurazioni protette predefinite. Questo sistema operativo viene usato per i contenitori in esecuzione nel servizio Azure Kubernetes. Questo sistema operativo host si basa su un'immagine di Windows Server 2022 con configurazioni di sicurezza applicate.

Come parte del sistema operativo ottimizzato per la sicurezza:

  • Per impostazione predefinita, il servizio Azure Kubernetes offre un sistema operativo host ottimizzato per la sicurezza, ma non è possibile selezionare un sistema operativo alternativo.
  • Il sistema operativo host ottimizzato per la sicurezza viene compilato e gestito in modo specifico per il servizio Azure Kubernetes e non è supportato all'esterno della piattaforma del servizio Azure Kubernetes.
  • Alcuni dei driver del modulo kernel non necessari sono stati disabilitati nel sistema operativo per ridurre la superficie di attacco.

Nota

Non essendo correlato ai benchmark CIS, Azure applica patch giornaliere, incluse le patch di sicurezza, agli host di macchine virtuali del servizio Azure Kubernetes.

L'obiettivo della configurazione protetta integrata nel sistema operativo host è ridurre la superficie di attacco e ottimizzare la distribuzione dei contenitori in modo sicuro.

Di seguito sono riportati i risultati delle raccomandazioni CIS Azure Compute Microsoft Windows Server 2022 Benchmark v1.0.0 - 01-26-2023 .

Le raccomandazioni possono avere uno dei motivi seguenti:

  • Potenziale impatto sulle operazioni : la raccomandazione non è stata applicata perché avrebbe un effetto negativo sul servizio.
  • Coperto altrove - La raccomandazione è coperta da un altro controllo nel calcolo cloud di Azure.

Di seguito sono riportate le regole CIS implementate:

Numero del paragrafo CIS Descrizione della raccomandazione stato Motivo
1.1.1 Assicurarsi che l’opzione 'Imponi cronologia delle password' sia impostata su '24 o più password' Errore
1.1.2 Assicurarsi che l’opzione ‘Validità massima password’ sia impostata su ‘365 o meno giorni, ma non su 0’ Riuscito
1.1.3 Assicurarsi che l'opzione ‘Validità minima password’ sia impostata su ‘1 o più giorni’ Errore
1.1.4 Assicurarsi che l’opzione ‘Lunghezza minima password’ sia impostata su ‘14 o più caratteri’ Errore
1.1.5 Assicurarsi che l’opzione ‘Le password devono essere conformi ai requisiti di complessità’ sia impostata su ‘Abilitato’ Riuscito
1.1.6 Assicurarsi che ‘Archivia password mediante crittografia reversibile’ sia impostata su ‘Disabilitato’ Riuscito
2.2.1 Assicurarsi che l’opzione ‘Accedi a Gestione credenziali come chiamante affidabile’ sia impostata su ‘Nessuno’ Riuscito
2.2.2 Assicurarsi che l’opzione ‘Accesso al computer dalla rete’ sia impostata su ‘Amministratori, utenti autenticati, CONTROLLER DI DOMINIO ORGANIZZAZIONE’ (solo controller di dominio) Errore
2.2.4 Assicurarsi che l’opzione ‘Agisci come parte del sistema operativo’ sia impostata su ‘Nessuno’ Riuscito
2.2.5 Assicurarsi che l’opzione ‘Aggiungi workstation al dominio’ sia impostata su ‘Amministratori’ (solo controller di dominio) N/D
2.2.6 Assicurarsi che l’opzione 'Regola le quote di memoria per un processo' sia impostata su ‘Amministratori, SERVIZIO LOCALE, SERVIZIO DI RETE’ Riuscito
2.2.7 Assicurarsi che l'opzione ‘Consenti accesso locale’ sia impostata su ‘Amministratori’ Errore
2.2.8 Assicurarsi che l’opzione ‘Consenti accesso tramite desktop remoto’ sia impostata su ‘Amministratori’ (solo controller di dominio) Riuscito
2.2.10 Assicurarsi che l’opzione ‘Esegui backup di file e directory’ sia impostata su ‘Amministratori, operatori di backup’ Riuscito
2.2.11 Assicurarsi che l’opzione ‘Modifica l’ora di sistema’ sia impostata su ‘Amministratori, SERVIZIO LOCALE’ Riuscito
2.2.12 Assicurarsi che l’opzione ‘Modifica il fuso orario’ sia impostata su ‘Amministratori, SERVIZIO LOCALE’ Riuscito
2.2.13 Assicurarsi che l’opzione ‘Crea un file di paging’ sia impostata su ‘Amministratori’ Riuscito
2.2.14 Assicurarsi che l’opzione ‘Crea un oggetto token’ sia impostata su ‘Nessuno’ Riuscito
2.2.15 Assicurarsi che l’opzione ‘Crea oggetti globali’ sia impostata su ‘Amministratori, SERVIZIO LOCALE, SERVIZIO DI RETE, SERVIZIO’ Riuscito
2.2.16 Assicurarsi che l’opzione ‘Crea oggetti condivisi permanenti’ sia impostata su ‘Nessuno’ Riuscito
2.2.17 Assicurarsi che l’opzione ‘Crea collegamenti simbolici’ sia impostata su ‘Amministratori’ (solo controller di dominio) Riuscito
2.2.19 Assicurarsi che l’opzione ‘Esegui debug dei programmi’ sia impostata su ‘Amministratori’ Riuscito
2.2.20 Assicurarsi che l’opzione ‘Nega accesso al computer dalla rete’ includa ‘Guest’ Errore
2.2.21 Assicurarsi che l’opzione ‘Nega accesso come processo batch’ includa ‘Guest’ Errore
2.2.22 Assicurarsi che l’opzione ‘Nega accesso come servizio’ includa ‘Guest’ Errore
2.2.23 Assicurarsi che l’opzione ‘Nega accesso locale’ includa ‘Guest’ Errore
2.2.24 Assicurarsi che l’opzione ‘Nega accesso tramite Servizi desktop remoto’ includa ‘Guest’ Errore
2.2.25 Assicurarsi che l'opzione ‘Abilita account computer e utente come attendibili per la delega’ sia impostata su ‘Amministratori’ (solo controller di dominio) Riuscito
2.2.27 Assicurarsi che l'opzione ‘Forza arresto da un sistema remoto’ sia impostata su ‘Amministratori’ Riuscito
2.2.28 Assicurarsi che l’opzione ‘Genera controlli di sicurezza’ sia impostata su ‘SERVIZIOI LOCALE, SERVIZIO DI RETE’ N/D
2.2.29 Assicurarsi che l’opzione ‘Rappresenta un client dopo l’autenticazione’ sia impostata su ‘Amministratori, SERVIZIO LOCALE, SERVIZIO DI RETE, SERVIZIO’ (solo controller di dominio) Riuscito
2.2.31 Assicurarsi che l’opzione 'Aumenta priorità di pianificazione' sia impostata su 'Amministratori' Errore
2.2.32 Assicurarsi che l’opzione ‘Carica e scarica driver dispositivo’ sia impostata su ‘Amministratori’ Riuscito
2.2.33 Assicurarsi che l’opzione ‘Blocca le pagine in memoria’ sia impostata su ‘Nessuno’ Riuscito
2.2.34 Assicurarsi che l’opzione ‘Gestici il controllo e i log di sicurezza’ sia impostata su ‘Amministratori’ e su ‘Server di Exchange’ quando Exchange è in esecuzione nell’ambiente (solo controller di dominio) Riuscito
2.2.36 Assicurarsi che l’opzione ‘Modica un’etichetta oggetto’ sia impostata su ‘Nessuno’ Riuscito
2.2.37 Assicurarsi che l’opzione ‘Modifica i valori dell’ambiente firmware’ sia impostata su ‘Amministratori’ Riuscito
2.2.38 Assicurarsi che l'opzione ‘Esegui attività di manutenzione volume‘ sia impostata su ‘Amministratori‘ Riuscito
2.2.39 Assicurarsi che l’opzione ‘Processo singolo del processo‘ sia impostata su ‘Amministratori‘ Riuscito
2.2.40 Assicurarsi che l’opzione 'Prestazioni del sistema del profilo’ sia impostata su ‘Amministratori, SERVIZIO NT\WdiServiceHost‘ Riuscito
2.2.41 Assicurarsi che l’opzione 'Sostituisci un token a livello di processo’ sia impostata su ‘SERVIZIO LOCALE, SERVIZIO DI RETE’ Riuscito
2.2.42 Assicurarsi che l’opzione 'Ripristina file e directory' sia impostata su 'Amministratori, Operatori di backup' Riuscito
2.2.43 Assicurarsi che l’opzione ‘Arresta il sistema‘ sia impostata su ‘Amministratori, Operatori di backup‘ Riuscito
2.2.44 Assicurarsi che l’opzione‘Sincronizza i dati del servizio directory’ sia impostata su ‘Nessuno‘ (solo controller di dominio) N/D
2.2.45 Assicurarsi che l’opzione 'Acquisisci la proprietà dei file o di altri oggetti’ sia impostata su ‘Amministratori‘ Riuscito
2.3.1.1 Assicurarsi che l’opzione ‘Account: Blocca account Microsoft‘ sia impostata su ‘Gli utenti non possono aggiungere o accedere con account Microsoft‘ Riuscito
2.3.1.3 Assicurarsi che l’opzione 'Account: Limita l’uso di account locali con password vuote solo per l’accesso alla console’ sia impostata su ‘Abilitato’ Riuscito
2.3.1.4 Configurare ‘Account: Rinomina l'account amministratore‘ Riuscito
2.3.1.5 Configurare ‘Account: Rinomina l'account guest‘ Riuscito
2.3.2.1 Assicurarsi che l’opzione ‘Controllo: Forza le impostazioni della sottocategoria dei criteri di controllo (Windows Vista o versione successiva) per eseguire l'override delle impostazioni della categoria dei criteri di controllo‘ sia impostata su ‘Abilitato‘ Riuscito
2.3.2.2 Assicurarsi che l’opzione ‘Controllo: Arresta immediatamente il sistema se non è possibile registrare i controlli di sicurezza’ sia impostata su ‘Disabilitato‘ Riuscito
2.3.4.1 Assicurarsi che l’opzione ‘Dispositivi: Consenti la formattazione e l’espulsione di supporti rimovibili‘ sia impostata su ‘Amministratori‘ Riuscito
2.3.4.2 Assicurarsi che l’opzione ‘Dispositivi: Impedisci agli utenti di installare i driver della stampante‘ sia impostata su ‘Abilitato‘ Riuscito
2.3.5.1 Assicurarsi che l’opzione ‘Controller di dominio: Consenti agli operatori server di pianificare le attività‘ sia impostata su ‘Disabilitato‘ (solo controller di dominio) N/D
2.3.5.2 Assicurarsi che l’opzione ‘Controller di dominio: Consenti connessioni di canale protette Netlogon vulnerabili‘ sia impostata su ‘Non configurato‘ (solo controller di dominio) N/D
2.3.5.3 Assicurarsi che l’opzione ‘Controller di dominio: requisiti del token di associazione del canale del server LDAP‘ sia impostata su ‘Sempre‘ (solo controller di dominio) N/D
2.3.5.4 Assicurarsi che l’opzione ‘Controller di dominio: requisiti di firma del server LDAP‘ sia impostata su ‘Richiedi firma‘ (solo controller di dominio) N/D
2.3.5.5 Assicurarsi che l’opzione ‘Controller di dominio: Rifiuta modifiche alla password dell'account computer‘ sia impostata su ‘Disabilitato‘ (solo controller di dominio) N/D
2.3.6.1 Assicurarsi che l’opzione ‘Membro di dominio: Crittografa digitalmente o firmar i dati del canale protetto (sempre)‘ sia impostata su ‘Abilitato‘ Riuscito
2.3.6.2 Assicurarsi che l’opzione ‘Membro di dominio: Crittografa digitalmente i dati del canale protetto (quando possibile)‘ sia impostata su ‘Abilitato‘ Riuscito
2.3.6.3 Assicurarsi che l’opzione ‘Membro di dominio: Firma digitalmente i dati del canale protetto (quando possibile)‘ sia impostata su ‘Abilitato‘ Riuscito
2.3.6.4 Assicurarsi che l’opzione ‘Membro di dominio: Disabilita le modifiche alla password dell'account del computer‘ sia impostata su ‘Disabilitato‘ Riuscito
2.3.6.5 Assicurarsi che l’opzione ‘Membro di dominio: Validità massima della password dell'account computer‘ sia impostata su ‘30 o meno giorni, ma non su 0‘ Riuscito
2.3.7.1 Assicurarsi che l’opzione ‘Accesso interattivo: Limite di inattività del computer‘ sia impostata su ‘900 o meno secondi, ma non su 0’ Riuscito
2.3.7.2 Configurare ‘Accesso interattivo: Testo del messaggio per gli utenti che tentano l’accesso’ Errore
2.3.7.3 Configurare ‘Accesso interattivo: Titolo del messaggio per gli utenti che tentano l’accesso’ Errore
2.3.7.4 Assicurarsi che l'opzione ‘Accesso interattivo: Richiedi all'utente di modificare la password prima della scadenza‘ sia impostata su ‘tra 5 e 14 giorni‘ Riuscito
2.3.8.1 Assicurarsi che l’opzione ‘Client di rete Microsoft: Firma digitalmente le comunicazioni (sempre)‘ sia impostata su ‘Abilitato‘ Errore
2.3.8.2 Assicurarsi che l’opzione ‘Client di rete Microsoft: Firma digitalmente le comunicazioni (se il server accetta)‘ sia impostata su ‘Abilitato‘ Riuscito
2.3.8.3 Assicurarsi che l’opzione ‘Client di rete Microsoft: Invia una password non crittografata ai server SMB di terze parti‘ sia impostata su ‘Disabilitato‘ Riuscito
2.3.9.1 Assicurarsi che l’opzione ‘Server di rete Microsoft: Tempo di inattività necessario prima della sospensione della sessione‘ sia impostata su ‘15 o meno minuti‘ Riuscito
2.3.9.2 Assicurarsi che l’opzione ‘Server di rete Microsoft: Firma digitalmente le comunicazioni (sempre)‘ sia impostata su ‘Abilitato‘ Errore
2.3.9.3 Assicurarsi che l’opzione ‘Server di rete Microsoft: Firma digitalmente le comunicazioni (se il client accetta)‘ sia impostata su ‘Abilitato‘ Errore
2.3.9.4 Assicurarsi che l’opzione ‘Server di rete Microsoft: Disconnette i client alla scadenza dell'orario di accesso‘ sia impostata su ‘Abilitato‘ Riuscito
2.3.10.1 Assicurarsi che l'opzione ‘Accesso di rete: Consenti traduzione SID/Nome anonima‘ sia impostata su ‘Disabilitato‘ Riuscito
2.3.10.4 Assicurarsi che l'opzione ‘Accesso di rete: Consenti a tutti gli utenti anonimi di applicare le autorizzazioni‘ sia impostata su ‘Disabilitato‘ Riuscito
2.3.10.5 Configurare ‘Accesso di rete: Named pipe a cui è possibile accedere in modo anonimo’ (solo controller di dominio) Riuscito
2.3.10.7 Assicurarsi che l’opzione ‘Accesso di rete: I percorsi del Registro di sistema accessibili in remoto’ sia configurata Riuscito
2.3.10.8 Assicurarsi che l’opzione ‘Accesso di rete: Percorsi e percorsi secondari del Registro di sistema accessibili in remoto’ sia configurata Riuscito
2.3.10.9 Assicurarsi che l’opzione ‘Accesso di rete: Limita l'accesso anonimo alle named pipe e alle condivisioni‘ sia impostata su ‘Abilitato‘ Riuscito
2.3.10.11 Assicurarsi che l’opzione ‘Accesso di rete: Condivisioni a cui è possibile accedere in modo anonimo‘ sia impostata su ‘Nessuno‘ N/D
2.3.10.12 Assicurarsi che l’opzione ‘Accesso di rete: Condivisione e modello di sicurezza per gli account locali‘ sia impostata su ‘Classico - Gli utenti locali eseguono l'autenticazione come se stessi‘ Riuscito
2.3.11.1 Assicurarsi che l’opzione ‘Sicurezza di rete: Consenti al sistema locale di usare l'identità del computer per NTLM‘ sia impostata su ‘Abilitato‘ Errore
2.3.11.2 Assicurarsi che l’opzione ‘Sicurezza di rete: Consenti fallback sessione LocalSystem NULL‘ sia impostata su ‘Disabilitato‘ Riuscito
2.3.11.3 Assicurarsi che l’opzione ‘Sicurezza di rete: Consenti le richieste di autenticazione di PKU2U a questo computer di usare le identità online’ sia impostata su ‘Abilitato’ Riuscito
2.3.11.4 Assicurarsi che l’opzione ‘Sicurezza di rete: Configura i tipi di crittografia consentiti per Kerberos‘ sia impostata su ‘AES128_HMAC_SHA1, AES256_HMAC_SHA1, Tipi di crittografia futuri‘ Riuscito
2.3.11.5 Assicurarsi che l’opzione ‘Sicurezza di rete: Non archiviare il valore hash di LAN Manager alla modifica della password successiva‘ sia impostata su ‘Abilitato‘ Riuscito
2.3.11.6 Assicurarsi che l’opzione ‘Sicurezza di rete: Livello di autenticazione LAN Manager‘ sia impostata su ‘Invia solo risposta NTLMv2. Rifiuta LM & NTLM' Errore
2.3.11.7 Assicurarsi che l’opzione ‘Sicurezza di rete: Requisiti di firma del client LDAP‘ sia impostata su ‘Firma negoziata‘ o versione successiva Riuscito
2.3.11.8 Assicurarsi che l’opzione ‘Sicurezza di rete: Sicurezza minima della sessione per i client NTLM SSP (inclusi i client RPC protetti)’ sia impostata su ‘Richiedi sicurezza sessione NTLMv2, Richiedi crittografia a 128 bit‘ Errore
2.3.11.9 Assicurarsi che l’opzione ‘Sicurezza di rete: Sicurezza minima della sessione per i server NTLM SSP (inclusi i server RPC protetti)’ sia impostata su ‘Richiedi sicurezza sessione NTLMv2, Richiedi crittografia a 128 bit‘ Errore
2.3.13.1 Assicurarsi che l’opzione ‘Arresto: Consenti l'arresto del sistema senza l’accesso’ sia impostata su 'Disabilitato' Riuscito
2.3.15.1 Assicurarsi che l’opzione 'Oggetti di sistema: Richiedi distinzione tra maiuscole e minuscole per sottosistemi non Windows' sia impostata su 'Abilitato' Riuscito
2.3.15.2 Assicurarsi che l’opzione ‘Oggetti di sistema: Rafforza le autorizzazioni predefinite degli oggetti di sistema interni (ad esempio, collegamenti simbolici)‘ sia impostata su ‘Abilitato‘ Riuscito
2.3.17.1 Assicurarsi che l’opzione ‘Controllo account utente: Modalità approvazione amministratore per l'account amministratore predefinito‘ sia impostata su ‘Abilitato‘ Errore
2.3.17.2 Assicurarsi che l’opzione ‘Controllo account utente: Comportamento della richiesta di elevazione dei privilegi per gli amministratori in modalità Approvazione amministratore’ sia impostata su ‘Richiedi consenso sul desktop protetto’ Errore
2.3.17.3 Assicurarsi che l’opzione ‘Controllo account utente: Comportamento della richiesta di elevazione dei privilegi per gli utenti standard‘ sia impostata su ‘Nega automaticamente le richieste di elevazione dei privilegi‘ Errore
2.3.17.4 Assicurarsi che l’opzione ‘Controllo account utente: Rileva le installazioni delle applicazioni e richiedi l'elevazione dei privilegi‘ sia impostata su ‘Abilitato‘ Riuscito
2.3.17.5 Assicurarsi che l’opzione ‘Controllo account utente: Solo le applicazioni UIAccess elevate installate in posizioni protette‘ sia impostata su ‘Abilitato‘ Riuscito
2.3.17.6 Assicurarsi che l’opzione ‘Controllo account utente: Esegui tutti gli amministratori in modalità approvazione amministratore‘ sia impostata su ‘Abilitato‘ Riuscito
2.3.17.7 Assicurarsi che l’opzione ‘Controllo account utente: Passa al desktop protetto quando viene richiesta l'elevazione dei privilegi‘ sia impostata su ‘Abilitato‘ Riuscito
2.3.17.8 Assicurarsi che l’opzione ‘Controllo account utente: Virtualizza gli errori di scrittura del file e del Registro di sistema in percorsi per utente‘ sia impostata su ‘Abilitato‘ Riuscito
5.1 Assicurarsi che ‘Spooler di stampa (Spooler)‘ sia impostata su ‘Disabilitato‘ (solo controller di dominio) N/D
9.1.1 Assicurarsi che l’opzione ‘Windows Firewall: Dominio: Stato del firewall‘ sia impostata su ‘Attivato (scelta consigliata)‘ Errore
9.1.2 Assicurarsi che l’opzione ‘Windows Firewall: Dominio: Connessioni in ingresso‘ sia impostata su ‘Blocca (impostazione predefinita)‘ Riuscito
9.1.3 Assicurarsi che l’opzione ‘Windows Firewall: Dominio: Connessioni in uscita‘ sia impostata su ‘Consenti (impostazione predefinita)‘ Riuscito
9.1.4 Assicurarsi che l’opzione 'Windows Firewall: Dominio: Registrazione: Nome' sia impostata su '%SystemRoot%\System32\logfiles\firewall\domainfw.log' Riuscito
9.1.5 Assicurarsi che l’opzione ‘Windows Firewall: Dominio: Registrazione: Limite di dimensioni (KB)‘ sia impostata su ‘16.384 KB o superiore‘ Riuscito
9.1.6 Assicurarsi che l’opzione ‘Windows Firewall: Dominio: Registrazione: Pacchetti eliminati dal log‘ sia impostata su ‘Sì‘ Riuscito
9.1.7 Assicurarsi che l’opzione ‘Windows Firewall: Dominio: Registrazione: Connessioni riuscite al log‘ sia impostata su ‘Sì‘ Errore
9.2.1 Assicurarsi che l’opzione ‘Windows Firewall: Privato: Stato del firewall‘ sia impostata su ‘Attivato (scelta consigliata)‘ Errore
9.2.2 Assicurarsi che l’opzione ‘Windows Firewall: Privato: Connessioni in ingresso‘ sia impostata su ‘Blocca (impostazione predefinita)‘ Riuscito
9.2.3 Assicurarsi che l’opzione ‘Windows Firewall: Privato: Connessioni in uscita‘ sia impostata su ‘Consenti (impostazione predefinita)‘ Errore
9.2.4 Assicurarsi che l’opzione 'Windows Firewall: Privato: Registrazione: Nome' sia impostata su '%SystemRoot%\System32\logfiles\firewall\privatefw.log' Riuscito
9.2.5 Assicurarsi che l’opzione ‘Windows Firewall: Privato: Registrazione: Limite dimensioni (KB)‘ sia impostata su ‘16.384 KB o superiore‘ Riuscito
9.2.6 Assicurarsi che l’opzione ‘Windows Firewall: Privato: Registrazione: Pacchetti eliminati dal log’ sia impostata su ‘Sì‘ Riuscito
9.2.7 Assicurarsi che l’opzione ‘Windows Firewall: Privato: Registrazione: Connessioni riuscite al log‘ sia impostata su ‘Sì‘ Riuscito
9.3.1 Assicurarsi che l’opzione ‘Windows Firewall: Pubblico: Stato del firewall‘ sia impostata su ‘Attivato (scelta consigliata)‘ Errore
9.3.2 Assicurarsi che l’opzione ‘Windows Firewall: Pubblico: Connessioni in ingresso’ sia impostata su ‘Blocca (impostazione predefinita)‘ Riuscito
9.3.3 Assicurarsi che l’opzione ‘Windows Firewall: Pubblico: Connessioni in uscita‘ sia impostata su ‘Consenti (impostazione predefinita)‘ Errore
9.3.4 Assicurarsi che l’opzione 'Windows Firewall: Pubblico: Registrazione: Nome' sia impostata su '%SystemRoot%\System32\logfiles\firewall\publicfw.log' Riuscito
9.3.5 Assicurarsi che l’opzione ‘Windows Firewall: Pubblico: Registrazione: Limite dimensioni (KB)‘ sia impostata su ‘16.384 KB o superiore‘ Errore
9.3.6 Assicurarsi che l’opzione ‘Windows Firewall: Pubblico: Registrazione: Pacchetti eliminati dal log’ sia impostata su ‘Sì‘ Riuscito
9.3.7 Assicurarsi che l’opzione ‘Windows Firewall: Pubblico: Registrazione: Connessioni riuscite al log’ sia impostata su ‘Sì‘ Riuscito
17.1.1 Assicurarsi che l’opzione 'Convalida della credenziale di controllo' sia impostata su 'Operazione riuscita ed errore' Riuscito
17.1.2 Assicurarsi che l’opzione ‘Controlla il servizio di autenticazione Kerberos‘ sia impostata su ‘Operazione riuscita ed errore‘ (solo controller di dominio) Riuscito
17.2.1 Assicurarsi che l’opzione ‘Controlla gestione degli account computer’ sia impostata per includere 'Operazione riuscita ed errore' (solo controller di dominio) Riuscito
17.2.2 Assicurarsi che l’opzione 'Controlla gestione di gruppi di distribuzione’ sia impostata per includere 'Operazione riuscita ed errore' (solo controller di dominio) Riuscito
17.2.3 Assicurarsi che l’opzione ‘Controlla altri eventi di gestione account’ sia impostata per includere ‘Operazione riuscita‘ (solo controller di dominio) Riuscito
17.2.4 Assicurarsi che l’opzione 'Controllo gestione del gruppo di sicurezza’ sia impostata per includere ‘Operazione riuscita’ Riuscito
17.2.5 Assicurarsi che l’opzione 'Controlla gestione degli account utente’ sia impostata su 'Operazione riuscita ed errore' Riuscito
17.3.1 Assicurarsi che l'opzione 'Controlla attività PNP' sia impostata per includere 'Operazione riuscita' Riuscito
17.3.2 Assicurarsi che l’opzione 'Controlla creazione del processo' sia impostata per includere 'Operazione riuscita' Riuscito
17.5.1 Assicurarsi che l’opzione 'Controlla blocco dell’account' sia impostata per includere 'Operazione riuscita ed errore' Riuscito
17.5.2 Assicurarsi che l'opzione 'Controlla appartenenza al gruppo’ sia impostata per includere 'Operazione riuscita' Riuscito
17.5.3 Assicurarsi che l’opzione 'Controlla disconnessione' sia impostata per includere 'Operazione riuscita' Riuscito
17.5.4 Assicurarsi che l'opzione ‘Controlla accesso‘ sia impostata su ‘Operazione riuscita ed errore‘ Riuscito
17.5.5 Assicurarsi che l’opzione 'Controlla altri eventi di accesso/disconnessione’ sia impostata su ‘Operazione riuscita ed errore‘ Riuscito
17.5.6 Assicurarsi che l'opzione 'Controlla accesso speciale' sia impostata per includere 'Operazione riuscita' Riuscito
17.6.1 Assicurarsi che l’opzione ‘Controlla altri eventi di accesso agli oggetti’ sia impostata su ‘Operazione riuscita ed errore‘ Errore
17.6.2 Assicurarsi che l’opzione 'Controlla archiviazione rimovibile' sia impostata su 'Operazione riuscita ed errore' Errore
17.7.1 Assicurarsi che l’opzione 'Controlla modifica dei criteri’ sia impostata per includere ‘Operazione riuscita‘ Riuscito
17.7.2 Assicurarsi che l’opzione ‘Controlla modifica dei criteri di autenticazione’ sia impostata per includere ‘Operazione riuscita’ Riuscito
17.7.3 Assicurarsi che l’opzione ‘Controlla modifica dei criteri a livello di regola MPSSVC’ sia impostata su ‘Operazione riuscita ed errore‘ Errore
17.8.1 Assicurarsi che l'opzione 'Controlla uso privilegi sensibili' sia impostata su 'Operazione riuscita ed errore' Riuscito
17.9.1 Assicurarsi che l’opzione 'Controlla modifica dello stato di sicurezza’ sia impostata per includere 'Operazione riuscita' Errore
17.9.2 Assicurarsi che l'opzione 'Controlla estensione del sistema di sicurezza' sia impostata per includere 'Operazione riuscita' Riuscito
17.9.3 Assicurarsi che l’opzione ‘Controlla l’integrità del sistema’ sia impostata su ‘Operazione riuscita ed errore‘ Riuscito
18.1.2.2 Assicurarsi che l’opzione ‘Consenti agli utenti di abilitare i servizi di riconoscimento vocale online‘ sia impostata su ‘Disabilitato‘ Errore
18.3.1 Assicurarsi che l’opzione 'Configura driver client SMB v1’ sia impostata su ‘Abilitato: Disabilita driver (scelta consigliata)‘ Riuscito
18.3.2 Assicurarsi che l’opzione ‘Configura server SMB v1’ sia impostata su ‘Disabilitato‘ Riuscito
18.3.3 Assicurarsi che l’opzione 'Abilita protezione sovrascrittura della gestione delle eccezioni strutturata (SEHOP)’ sia impostata su 'Abilitato' Riuscito
18.3.4 Assicurarsi che l’opzione ‘Configurazione del tipo di nodo NetBT‘ sia impostata su ‘Abilitato: P-node (scelta consigliata)‘ Riuscito
18.3.5 Assicurarsi che l’opzione 'Autenticazione WDigest' sia impostata su 'Disabilitato' Riuscito
18.4.1 Assicurarsi che l’opzione ‘MSS: (DisableIPSourceRouting IPv6) livello di protezione del routing IP (protegge dallo spoofing dei pacchetti)‘ sia impostata su ‘Abilitato: Protezione massima, il routing delle origini è completamente disabilitato‘ Riuscito
18.4.2 Assicurarsi che l’opzione ‘MSS: (DisableIPSourceRouting) livello di protezione del routing IP (protegge dallo spoofing dei pacchetti)‘ sia impostata su ‘Abilitato: Protezione massima, il routing di origine è completamente disabilitato‘ Riuscito
18.4.3 Assicurarsi che ‘MSS: (EnableICMPRedirect) Consenti reindirizzamenti ICMP per eseguire l'override delle route generate da OSPF‘ sia impostata su ‘Disabled‘ Errore
18.4.4 Assicurarsi che l’opzione ‘MSS: (NoNameReleaseOnDemand) Consenti al computer di ignorare le richieste di rilascio del nome NetBIOS ad eccezione dei server WINS‘ sia impostata su ‘Abilitato‘ Riuscito
18.5.4.1 Assicurarsi che l’opzione ‘Disattiva risoluzione dei nomi multicast‘ sia impostata su ‘Abilitato‘ Errore
18.5.8.1 Assicurarsi che l'opzione ‘Abilita accessi guest non sicuri‘ sia impostata su ‘Disabilitato‘ Errore
18.5.11.2 Assicurarsi che l'opzione ‘Impedisci l'installazione e la configurazione di Network Bridge nella rete di dominio DNS‘ sia impostata su ‘Abilitato‘ Errore
18.5.11.3 Assicurarsi che l’opzione ‘Impedisci l'uso della condivisione connessione Internet nella rete di dominio DNS‘ sia impostata su ‘Abilitato‘ Errore
18.5.14.1 Assicurarsi che l’opzione 'Percorsi UNC avanzati’ sia impostata su 'Abilitato' con “Richiedi autenticazione reciproca” e ‘”Richiedi integrità”‘ impostate per tutte le condivisioni NETLOGON e SYSVOL’ Riuscito
18.5.21.1 Assicurarsi che l’opzione ‘Riduci al minimo il numero di connessioni simultanee a Internet o a un dominio Windows‘ sia impostata su ‘Abilitato: 1 = Riduci al minimo le connessioni simultanee‘ Riuscito
18.8.3.1 Assicurarsi che l’opzione 'Includi riga di comando negli eventi di creazione del processo' sia impostata su ‘Abilitato' Errore
18.8.4.1 Assicurarsi che l’opzione 'Correzione crittografia Oracle’ sia impostata su 'Abilitato: Forza client aggiornati' Riuscito
18.8.4.2 Assicurarsi che l'opzione 'L’host remoto consente la delega di credenziali non esportabili' sia impostata su 'Abilitato' Riuscito
18.8.14.1 Assicurarsi che 'Criterio di inizializzazione driver di esecuzione avvio’ sia impostata su 'Abilitato: Buono, sconosciuto ed errato ma critico' Riuscito
18.8.21.2 Assicurarsi che l'opzione 'Configura l’elaborazione dei criteri del Registro di sistema: Non applicare durante l'elaborazione in background periodica' sia impostata su 'Abilitato: FALSE' Riuscito
18.8.21.3 Assicurarsi che l'opzione ‘Configura l’elaborazione dei criteri del Registro di sistema: Elabora anche se gli oggetti Criteri di gruppo non sono stati modificati‘ sia impostata su ‘Abilitato: TRUE‘ Riuscito
18.8.21.4 Assicurarsi che l'opzione ‘Continua esperienze nel dispositivo’ sia impostata su ‘Disabilitato‘ Riuscito
18.8.21.5 Assicurarsi che l’opzione ‘Disattiva aggiornamento in background di Criteri di gruppo‘ sia impostata su ‘Disabilitato‘ Riuscito
18.8.22.1.1 Assicurarsi che l’opzione ‘Disattiva il download dei driver di stampa su HTTP‘ sia impostata su ‘Abilitato‘ Errore
18.8.28.1 Assicurarsi che l'opzione ‘Impedisci all'utente di visualizzare i dettagli dell'account all'accesso‘ sia impostata su ‘Abilitato‘ Errore
18.8.28.2 Assicurarsi che l’opzione 'Non visualizzare l'interfaccia utente di selezione rete' sia impostata su 'Abilitato' Errore
18.8.36.1 Assicurarsi che l'opzione ‘Configura assistenza remota offerta‘ sia impostata su ‘Disabilitato‘ Riuscito
18.8.36.2 Assicurarsi che l'opzione 'Configura assistenza remota su richiesta' sia impostata su 'Disabilitato' Errore
18.8.40.1 Assicurarsi che l’opzione ‘Configurar la convalida delle chiavi WHfB vulnerabili a ROCA durante l'autenticazione‘ sia impostata su ‘Abilitato: Controllo‘ o versione successiva (solo controller di dominio) N/D
18.9.6.1 Assicurarsi che l'opzione ‘Consenti agli account Microsoft di essere facoltativi‘ sia impostata su ‘Abilitato‘ Errore
18.9.14.1 Assicurarsi che l’opzione ‘Disattiva il contenuto dello stato dell'account consumer cloud‘ sia impostata su ‘Abilitato‘ Riuscito
18.9.14.2 Assicurarsi che l’opzione ‘Disattiva esperienze consumer Microsoft‘ sia impostata su ‘Abilitato‘ Riuscito
18.9.16.1 Assicurarsi che l’opzione ‘Non visualizzare il pulsante di visualizzazione della password‘ sia impostata su ‘Abilitato‘ Errore
18.9.16.2 Assicurarsi che l'opzione 'Enumera gli account amministratore per l'elevazione dei privilegi' sia impostata su 'Disabilitato' Riuscito
18.9.17.1 Assicurarsi che l'opzione ‘Consenti dati di diagnostica‘ sia impostata su ‘Abilitato: Invia dati di diagnostica richiesti’ Errore
18.9.27.1.1 Assicurarsi che ‘Applicazione: Controlla il comportamento del registro eventi quando il file di log raggiunge le dimensioni massime’ sia impostata su ‘Disabilitato‘ Riuscito
18.9.27.1.2 Assicurarsi che l’opzione ‘Applicazione: Specifica le dimensioni massime del file di log (KB)‘ sia impostata su ‘Abilitato: 32.768 o versione successiva‘ Errore
18.9.27.2.1 Assicurarsi che l’opzione ‘Sicurezza: Controlla il comportamento del registro eventi quando il file di log raggiunge le dimensioni massime‘ sia impostata su ‘Disabilitato‘ Riuscito
18.9.27.2.2 Assicurarsi che l’opzione ‘Sicurezza: Specifica le dimensioni massime del file di log (KB)‘ sia impostata su ‘Abilitato: 196.608 o superiore‘ Errore
18.9.27.3.1 Assicurarsi che l’opzione ‘Configurazione: Controlla il comportamento del registro eventi quando il file di log raggiunge le dimensioni massime’ sia impostata su ‘Disabilitato’ Riuscito
18.9.27.3.2 Assicurarsi che l’opzione 'Configurazione: Specifica le dimensioni massime del file di log (KB)’ sia impostata su ‘Abilitato:32.768 o superiore' Errore
18.9.27.4.1 Assicurarsi che l’opzione ‘Sistema: Controlla il comportamento del registro eventi quando il file di log raggiunge le dimensioni massime’ sia impostata su ‘Disabilitato‘ Riuscito
18.9.27.4.2 Assicurarsi che l’opzione ‘Sistema: Specifica le dimensioni massime del file di log (KB)' sia impostata su 'Abilitato: 32.768 o superiore' Errore
18.9.31.2 Assicurarsi che l’opzione ‘Disattiva prevenzione esecuzione dati per Explorer‘ sia impostata su ‘Disabilitato‘ Riuscito
18.9.31.3 Assicurarsi che l'opzione ‘Disattiva terminazione dell'heap in caso di danneggiamento‘ sia impostata su ‘Disabilitato‘ Riuscito
18.9.31.4 Assicurarsi che l’opzione ‘Disattiva la modalità protetta del protocollo shell‘ sia impostata su ‘Disabilitato‘ Riuscito
18.9.46.1 Assicurarsi che l'opzione 'Blocca tutte le autenticazioni utente dell'account Microsoft consumer' sia impostata su 'Abilitato' Riuscito
18.9.47.15 Assicurarsi che l’opzione ‘Configura il rilevamento di applicazioni potenzialmente indesiderate‘ sia impostata su ‘Abilitato: Blocca‘ Riuscito
18.9.47.16 Assicurarsi che l’opzione ‘Disattiva Microsoft Defender AntiVirus‘ sia impostata su ‘Disabilitato‘ Riuscito
18.9.47.4.1 Assicurarsi che l'opzione ‘Configura override delle impostazioni locali per la creazione di report per Microsoft MAPS‘ sia impostata su ‘Disabilitato‘ Riuscito
18.9.47.5.1.1 Assicurarsi che l’opzione 'Configura regole di riduzione della superficie di attacco’ sia impostata su ‘Abilitato‘ Riuscito
18.9.47.5.1.2 Assicurarsi che l’opzione ‘Configura le regole di riduzione della superficie di attacco:Imposta lo stato per ogni regola ASR‘ sia configurata Riuscito
18.9.47.5.3.1 Assicurarsi che l’opzione ‘Impedisci agli utenti e alle app di accedere a siti Web pericolosi‘ sia impostata su ‘Abilitato: Blocca‘ Riuscito
18.9.47.9.1 Assicurarsi che l’opzione ‘Analizza tutti i file e gli allegati scaricati‘ sia impostata su ‘Abilitato‘ Riuscito
18.9.47.9.2 Assicurarsi che l’opzione ‘Disattiva protezione in tempo reale‘ sia impostata su ‘Disabilitato‘ Riuscito
18.9.47.9.3 Assicurarsi che l’opzione ‘Attiva monitoraggio comportamento‘ sia impostata su ‘Abilitato‘ Riuscito
18.9.47.9.4 Assicurarsi che l’opzione ‘Attiva analisi script‘ sia impostata su ‘Abilitato‘ Riuscito
18.9.47.12.1 Assicurarsi che l’opzione ‘Attiva analisi posta elettronica‘ sia impostata su ‘Abilitato‘ Errore
18.9.65.2.2 Assicurarsi che l’opzione ‘Non consentire il salvataggio delle password‘ sia impostata su ‘Abilitato‘ Errore
18.9.65.3.3.1 Assicurarsi che l’opzione 'Non consentire il reindirizzamento dell’unità' sia impostata su 'Abilitato' Riuscito
18.9.65.3.9.1 Assicurarsi che l’opzione ‘Richiedi sempre la password al momento della connessione‘ sia impostata su ‘Abilitato‘ Errore
18.9.65.3.9.2 Assicurarsi che l’opzione ‘Richiedi comunicazione RPC protetta‘ sia impostata su ‘Abilitato‘ Errore
18.9.65.3.9.3 Assicurarsi che l’opzione ‘Imposta il livello di crittografia della connessione client’ sia impostata su ‘Abilitato: Alto livello‘ Riuscito
18.9.65.3.11.1 Assicurarsi che l’opzione ‘Non eliminare le cartelle temporanee all'uscita‘ sia impostata su ‘Disabilitato‘ Riuscito
18.9.65.3.11.2 Assicurarsi che l’opzione ‘Non usare cartelle temporanee per sessione‘ sia impostata su ‘Disabilitato‘ Riuscito
18.9.66.1 Assicurarsi che l’opzione 'Impedisci il download di enclosure' sia impostata su 'Abilitato' Errore
18.9.67.2 Assicurarsi che l'opzione ‘Consenti l'indicizzazione dei file crittografati‘ sia impostata su ‘Disabilitato‘ Riuscito
18.9.85.1.1 Assicurarsi che l’opzione ‘Configura Windows Defender SmartScreen‘ sia impostata su ‘Abilitato: Avvisa e impedisci bypass‘ Errore
18.9.90.1 Assicurarsi che l’opzione ‘Consenti il controllo utente sulle installazioni‘ sia impostata su ‘Disabilitato‘ Riuscito
18.9.90.2 Assicurarsi che l'opzione 'Installa sempre con privilegi elevati’ sia impostata su ‘Disabilitato‘ Riuscito
18.9.91.1 Assicurarsi che l’opzione “Consenti accesso e blocca l'ultimo utente interattivo dopo un riavvio’ sia impostata su ‘Disabilitato‘ Riuscito
18.9.100.1 Assicurarsi che l’opzione 'Attiva registrazione blocco script di PowerShell' sia impostata su 'Abilitato' Errore
18.9.100.2 Assicurarsi che l’opzione 'Attiva trascrizione PowerShell' sia impostata su 'Disabilitato' Riuscito
18.9.102.1.1 Assicurarsi che l'opzione ‘Consenti autenticazione di base‘ sia impostata su ‘Disabilitato‘ Riuscito
18.9.102.1.2 Assicurarsi che l’opzione ‘Consenti traffico non crittografato‘ sia impostata su ‘Disabilitato‘ Riuscito
18.9.102.1.3 Assicurarsi che l'opzione 'Non consentire l'autenticazione digest' sia impostata su 'Abilitato' Errore
18.9.102.2.1 Assicurarsi che l'opzione ‘Consenti autenticazione di base‘ sia impostata su ‘Disabilitato‘ Riuscito
18.9.102.2.2 Assicurarsi che l’opzione ‘Consenti traffico non crittografato‘ sia impostata su ‘Disabilitato‘ Riuscito
18.9.102.2.3 Assicurarsi che l’opzione ‘Non consentire a WinRM di archiviare le credenziali RunAs‘ sia impostata su ‘Abilitato‘ Errore
18.9.105.2.1 Assicurarsi che l’opzione ‘Impedisci agli utenti di modificare le impostazioni‘ sia impostata su ‘Abilitato‘ Riuscito

Passaggi successivi

Per altre informazioni sulla sicurezza del servizio Azure Kubernetes, vedere gli articoli seguenti:

  • Ultimo aggiornamento: