Azure Kubernetes Service (AKS) Windows-installatiekopieën uitlijnen met Cis-benchmark (Center for Internet Security)

Azure Kubernetes Service (AKS) voldoet als een veilige service aan SOC-, ISO-, PCI DSS- en HIPAA-standaarden. In dit artikel wordt de beveiligingsconfiguratie van het besturingssysteem beschreven die wordt toegepast op de Windows-installatiekopieën die door AKS worden gebruikt. Deze beveiligingsconfiguratie is gebaseerd op de Azure X-beveiligingsbasislijn, die overeenkomt met CIS-benchmark. Zie Beveiligingsconcepten voor toepassingen en clusters in Azure Kubernetes Service (AKS) voor meer informatie over AKS-beveiliging. Zie Beveiligingsconcepten voor toepassingen en clusters in Azure Kubernetes Service (AKS) voor meer informatie over AKS-beveiliging. Zie Center for Internet Security (CIS) Benchmarks voor meer informatie over de CIS-benchmark. Zie de Windows-beveiligingsbasislijn voor meer informatie over de Azure-beveiligingsbasislijnen voor Windows.

Windows Server 2022

AKS-clusters worden geïmplementeerd op virtuele hostmachines, waarop een besturingssysteem met ingebouwde beveiligde configuraties wordt uitgevoerd. Dit besturingssysteem wordt gebruikt voor containers die worden uitgevoerd op AKS. Dit hostbesturingssysteem is gebaseerd op een Installatiekopie van Windows Server 2022 waarop beveiligingsconfiguraties zijn toegepast.

Als onderdeel van het besturingssysteem dat is geoptimaliseerd voor beveiliging:

  • AKS biedt standaard een voor beveiliging geoptimaliseerd hostbesturingssysteem, maar geen optie om een alternatief besturingssysteem te selecteren.
  • Het voor beveiliging geoptimaliseerde hostbesturingssysteem wordt speciaal voor AKS gebouwd en onderhouden en wordt niet ondersteund buiten het AKS-platform.
  • Sommige onnodige kernelmodulestuurprogramma's zijn uitgeschakeld in het besturingssysteem om het kwetsbaarheid voor aanvallen te verminderen.

Notitie

Azure is niet gerelateerd aan de CIS-benchmarks en past dagelijkse patches, inclusief beveiligingspatches, toe op AKS-hosts voor virtuele machines.

Het doel van de beveiligde configuratie die is ingebouwd in het host-besturingssysteem is om het oppervlak van aanvallen te verminderen en te optimaliseren voor de implementatie van containers op een veilige manier.

Hieronder volgen de resultaten van de aanbevelingen van CIS Azure Compute Microsoft Windows Server 2022 Benchmark v1.0.0 - 01-26-2023 .

Aanbevelingen kunnen een van de volgende redenen hebben:

  • Mogelijke impact op bewerkingen : aanbeveling is niet toegepast omdat deze een negatief effect op de service zou hebben.
  • Elders behandeld: aanbeveling wordt gedekt door een ander besturingselement in Azure Cloud Compute.

Hier volgen CIS-regels die zijn geïmplementeerd:

CIS-alineanummer Beschrijving van aanbeveling Toestand Reden
1.1.1 Zorg ervoor dat 'Wachtwoordgeschiedenis afdwingen' is ingesteld op '24 of meer wachtwoorden'. Mislukt
1.1.2 Zorg ervoor dat de maximale wachtwoordduur is ingesteld op 365 of minder dagen, maar niet op 0 Geslaagd
1.1.3 Zorg ervoor dat de minimale wachtwoordduur is ingesteld op '1 of meer dagen'. Mislukt
1.1.4 Zorg ervoor dat de minimale wachtwoordlengte is ingesteld op '14 of meer tekens'. Mislukt
1.1.5 Zorg ervoor dat wachtwoord moet voldoen aan complexiteitsvereisten, is ingesteld op Ingeschakeld Geslaagd
1.1.6 Zorg ervoor dat 'Wachtwoorden opslaan met omkeerbare versleuteling' is ingesteld op Uitgeschakeld Geslaagd
2.2.1 Zorg ervoor dat Access Credential Manager als vertrouwde beller is ingesteld op Niemand Geslaagd
2.2.2 Zorg ervoor dat Toegang tot deze computer vanuit het netwerk is ingesteld op 'Administrators, Geverifieerde gebruikers, ENTERPRISE-DOMEINCONTROLLERs' (alleen DC) Mislukt
2.2.4 Zorg ervoor dat 'Fungeren als onderdeel van het besturingssysteem' is ingesteld op 'Niemand' Geslaagd
2.2.5 Zorg ervoor dat 'Werkstations toevoegen aan domein' is ingesteld op 'Administrators' (alleen DC) N.v.t.
2.2.6 Zorg ervoor dat 'Geheugenquota aanpassen voor een proces' is ingesteld op 'Administrators, LOCAL SERVICE, NETWORK SERVICE' Geslaagd
2.2.7 Zorg ervoor dat 'Aanmelden lokaal toestaan' is ingesteld op 'Administrators' Mislukt
2.2.8 Zorg ervoor dat aanmelden via Extern bureaublad-services is ingesteld op 'Administrators' (alleen DC) Geslaagd
2.2.10 Zorg ervoor dat back-ups maken van bestanden en mappen is ingesteld op 'Beheerders, back-upoperators' Geslaagd
2.2.11 Zorg ervoor dat 'De systeemtijd wijzigen' is ingesteld op 'Administrators, LOCAL SERVICE' Geslaagd
2.2.12 Zorg ervoor dat 'De tijdzone wijzigen' is ingesteld op 'Administrators, LOCAL SERVICE' Geslaagd
2.2.13 Zorg ervoor dat 'Een paginabestand maken' is ingesteld op 'Administrators' Geslaagd
2.2.14 Zorg ervoor dat 'Een tokenobject maken' is ingesteld op 'Niemand' Geslaagd
2.2.15 Zorg ervoor dat Globale objecten maken is ingesteld op 'Administrators, LOCAL SERVICE, NETWORK SERVICE, SERVICE' Geslaagd
2.2.16 Zorg ervoor dat permanente gedeelde objecten maken is ingesteld op Niemand Geslaagd
2.2.17 Zorg ervoor dat Symbolische koppelingen maken is ingesteld op 'Administrators' (alleen DC) Geslaagd
2.2.19 Zorg ervoor dat 'Fouten opsporen in programma's' is ingesteld op 'Administrators' Geslaagd
2.2.20 Zorg ervoor dat 'Toegang tot deze computer vanuit het netwerk weigeren' is om 'Gasten' op te nemen Mislukt
2.2.21 Zorg ervoor dat 'Aanmelden als batchtaak weigeren' 'Gasten' bevat Mislukt
2.2.22 Zorg ervoor dat 'Aanmelden als een service weigeren' 'Gasten' bevat Mislukt
2.2.23 Zorg ervoor dat 'Aanmelden lokaal weigeren' is om gasten op te nemen Mislukt
2.2.24 Zorg ervoor dat aanmelden via Extern bureaublad-services weigeren om gasten op te nemen Mislukt
2.2.25 Zorg ervoor dat 'Computer- en gebruikersaccounts moeten worden vertrouwd voor delegatie' is ingesteld op 'Administrators' (alleen DC) Geslaagd
2.2.27 Zorg ervoor dat afsluiten van een extern systeem is ingesteld op 'Administrators' Geslaagd
2.2.28 Zorg ervoor dat 'Beveiligingscontroles genereren' is ingesteld op 'LOCAL SERVICE, NETWORK SERVICE' N.v.t.
2.2.29 Zorg ervoor dat 'Een client imiteren na verificatie' is ingesteld op 'Administrators, LOCAL SERVICE, NETWORK SERVICE, SERVICE' (alleen DC) Geslaagd
2.2.31 Zorg ervoor dat 'Planningsprioriteit verhogen' is ingesteld op 'Administrators' Mislukt
2.2.32 Zorg ervoor dat 'Apparaatstuurprogramma's laden en laden' is ingesteld op 'Administrators' Geslaagd
2.2.33 Zorg ervoor dat 'Pagina's in het geheugen vergrendelen' is ingesteld op Niemand Geslaagd
2.2.34 Zorg ervoor dat 'Controle- en beveiligingslogboek beheren' is ingesteld op 'Administrators' en (wanneer Exchange wordt uitgevoerd in de omgeving) 'Exchange-servers' (alleen DC) Geslaagd
2.2.36 Zorg ervoor dat 'Een objectlabel wijzigen' is ingesteld op 'Niemand' Geslaagd
2.2.37 Zorg ervoor dat 'Omgevingswaarden voor firmware wijzigen' is ingesteld op 'Administrators' Geslaagd
2.2.38 Zorg ervoor dat 'Volumeonderhoudstaken uitvoeren' is ingesteld op 'Administrators' Geslaagd
2.2.39 Zorg ervoor dat 'Profiel voor één proces' is ingesteld op 'Administrators' Geslaagd
2.2.40 Zorg ervoor dat de prestaties van het profielsysteem zijn ingesteld op 'Administrators, NT SERVICE\WdiServiceHost' Geslaagd
2.2.41 Zorg ervoor dat 'Een token op procesniveau vervangen' is ingesteld op 'LOCAL SERVICE, NETWORK SERVICE' Geslaagd
2.2.42 Zorg ervoor dat 'Bestanden en mappen herstellen' is ingesteld op 'Beheerders, back-upoperators' Geslaagd
2.2.43 Zorg ervoor dat 'Het systeem afsluiten' is ingesteld op 'Beheerders, back-upoperators' Geslaagd
2.2.44 Zorg ervoor dat 'Adreslijstservicegegevens synchroniseren' is ingesteld op 'Niemand' (alleen DC) N.v.t.
2.2.45 Zorg ervoor dat 'Eigenaar worden van bestanden of andere objecten' is ingesteld op 'Beheerders' Geslaagd
2.3.1.1 Zorg ervoor dat Accounts: Microsoft-accounts blokkeren is ingesteld op 'Gebruikers kunnen niet toevoegen of aanmelden met Microsoft-accounts' Geslaagd
2.3.1.3 Zorg ervoor dat Accounts: Het gebruik van lege wachtwoorden voor het lokale account beperken tot alleen aanmelden bij de console is ingesteld op Ingeschakeld Geslaagd
2.3.1.4 'Accounts: naam van administratoraccount wijzigen' configureren Geslaagd
2.3.1.5 Accounts configureren: naam van gastaccount wijzigen Geslaagd
2.3.2.1 Controleren: subcategorieinstellingen voor controlebeleid afdwingen (Windows Vista of hoger) om instellingen voor controlebeleidscategorie te overschrijven, is ingesteld op Ingeschakeld Geslaagd
2.3.2.2 Controleren: systeem onmiddellijk afsluiten als beveiligingscontroles niet kunnen worden geregistreerd, is ingesteld op 'Uitgeschakeld' Geslaagd
2.3.4.1 Zorg ervoor dat 'Apparaten: Verwisselbare media kunnen opmaken en uitwerpen' is ingesteld op 'Administrators' Geslaagd
2.3.4.2 Zorg ervoor dat 'Apparaten: voorkomen dat gebruikers printerstuurprogramma's installeren' is ingesteld op Ingeschakeld Geslaagd
2.3.5.1 Zorg ervoor dat 'Domeincontroller: Serveroperators toestaan taken te plannen' is ingesteld op Uitgeschakeld (alleen DC) N.v.t.
2.3.5.2 Zorg ervoor dat 'Domeincontroller: kwetsbare Netlogon-beveiligde kanaalverbindingen toestaan' is ingesteld op 'Niet geconfigureerd' (alleen DC) N.v.t.
2.3.5.3 Zorg ervoor dat 'Domeincontroller: bindingstokenvereisten voor LDAP-serverkanaal' is ingesteld op Altijd (alleen DC) N.v.t.
2.3.5.4 Zorg ervoor dat 'Domeincontroller: ldap-serverondertekeningsvereisten' is ingesteld op 'Vereisen ondertekening' (alleen DC) N.v.t.
2.3.5.5 Zorg ervoor dat 'Domeincontroller: wachtwoordwijzigingen voor computeraccount weigeren' is ingesteld op Uitgeschakeld (alleen DC) N.v.t.
2.3.6.1 Zorg ervoor dat domeinlid: gegevens van beveiligde kanalen digitaal versleutelen of ondertekenen (altijd)' is ingesteld op Ingeschakeld Geslaagd
2.3.6.2 Zorg ervoor dat domeinlid: gegevens van beveiligde kanalen digitaal versleutelen (indien mogelijk)' is ingesteld op Ingeschakeld Geslaagd
2.3.6.3 Zorg ervoor dat domeinlid: gegevens van beveiligde kanalen digitaal ondertekenen (indien mogelijk)' is ingesteld op Ingeschakeld Geslaagd
2.3.6.4 Zorg ervoor dat domeinlid: wachtwoordwijzigingen voor computeraccount uitschakelen is ingesteld op Uitgeschakeld Geslaagd
2.3.6.5 Zorg ervoor dat domeinlid: maximale wachtwoordduur voor computeraccounts is ingesteld op '30 of minder dagen, maar niet op 0' Geslaagd
2.3.7.1 Zorg ervoor dat de limiet voor interactieve aanmelding: inactiviteit van de machine is ingesteld op '900 of minder seconde(n), maar niet op 0' Geslaagd
2.3.7.2 'Interactieve aanmelding: berichttekst voor gebruikers die zich proberen aan te melden' configureren Mislukt
2.3.7.3 'Interactieve aanmelding: berichttitel voor gebruikers die zich proberen aan te melden' configureren Mislukt
2.3.7.4 Zorg ervoor dat 'Interactieve aanmelding: gebruiker vragen om wachtwoord te wijzigen voordat het verloopt' is ingesteld op 'tussen 5 en 14 dagen' Geslaagd
2.3.8.1 Zorg ervoor dat 'Microsoft-netwerkclient: Communicatie digitaal ondertekenen (altijd)' is ingesteld op Ingeschakeld Mislukt
2.3.8.2 Zorg ervoor dat 'Microsoft-netwerkclient: communicatie digitaal ondertekenen (als de server hiermee akkoord gaat)' is ingesteld op 'Ingeschakeld' Geslaagd
2.3.8.3 Zorg ervoor dat 'Microsoft-netwerkclient: Niet-versleuteld wachtwoord verzenden naar SMB-servers van derden' is ingesteld op Uitgeschakeld Geslaagd
2.3.9.1 Zorg ervoor dat 'Microsoft-netwerkserver: Hoeveelheid niet-actieve tijd vereist voordat sessie wordt onderbroken' is ingesteld op '15 of minder minuten'. Geslaagd
2.3.9.2 Zorg ervoor dat 'Microsoft-netwerkserver: communicatie digitaal ondertekenen (altijd)' is ingesteld op Ingeschakeld Mislukt
2.3.9.3 Zorg ervoor dat 'Microsoft-netwerkserver: communicatie digitaal ondertekenen (als de client hiermee akkoord gaat)' is ingesteld op 'Ingeschakeld' Mislukt
2.3.9.4 Zorg ervoor dat 'Microsoft-netwerkserver: Clients verbreken wanneer aanmeldingsuren verlopen' is ingesteld op Ingeschakeld Geslaagd
2.3.10.1 Zorg ervoor dat 'Netwerktoegang: Anonieme SID/Naamomzetting toestaan' is ingesteld op 'Uitgeschakeld' Geslaagd
2.3.10.4 Zorg ervoor dat 'Netwerktoegang: Iedereen machtigingen toepassen op anonieme gebruikers' is ingesteld op Uitgeschakeld Geslaagd
2.3.10.5 Netwerktoegang configureren: Named Pipes die anoniem kunnen worden geopend (alleen DC) Geslaagd
2.3.10.7 Netwerktoegang configureren: extern toegankelijke registerpaden is geconfigureerd Geslaagd
2.3.10.8 Netwerktoegang configureren: extern toegankelijke registerpaden en subpaden is geconfigureerd Geslaagd
2.3.10.9 Zorg ervoor dat 'Netwerktoegang: Anonieme toegang tot Named Pipes en Shares beperken' is ingesteld op Ingeschakeld Geslaagd
2.3.10.11 Zorg ervoor dat 'Netwerktoegang: shares die anoniem kunnen worden geopend' is ingesteld op 'Geen' N.v.t.
2.3.10.12 Zorg ervoor dat 'Netwerktoegang: delen en beveiligingsmodel voor lokale accounts' is ingesteld op 'Klassiek - lokale gebruikers verifiëren als zichzelf' Geslaagd
2.3.11.1 Zorg ervoor dat 'Netwerkbeveiliging: Lokaal systeem toestaan computeridentiteit voor NTLM te gebruiken' is ingesteld op Ingeschakeld Mislukt
2.3.11.2 Zorg ervoor dat 'Netwerkbeveiliging: LocalSystem NULL-sessie terugval toestaan' is ingesteld op Uitgeschakeld Geslaagd
2.3.11.3 Zorg ervoor dat 'Netwerkbeveiliging: PKU2U-verificatieaanvragen voor deze computer toestaan om online-identiteiten te gebruiken' is ingesteld op Uitgeschakeld Geslaagd
2.3.11.4 Zorg ervoor dat 'Netwerkbeveiliging: Versleutelingstypen configureren die zijn toegestaan voor Kerberos' is ingesteld op 'AES128_HMAC_SHA1, AES256_HMAC_SHA1, Toekomstige versleutelingstypen' Geslaagd
2.3.11.5 Zorg ervoor dat 'Netwerkbeveiliging: Sla de hashwaarde van LAN Manager niet op bij volgende wachtwoordwijziging' is ingesteld op Ingeschakeld Geslaagd
2.3.11.6 Zorg ervoor dat netwerkbeveiliging: LAN Manager-verificatieniveau is ingesteld op Alleen NTLMv2-antwoord verzenden. LM & NTLM weigeren' Mislukt
2.3.11.7 Zorg ervoor dat 'Netwerkbeveiliging: LDAP-clientondertekeningsvereisten' is ingesteld op 'Onderhandelen over ondertekening' of hoger Geslaagd
2.3.11.8 Zorg ervoor dat 'Netwerkbeveiliging: minimale sessiebeveiliging voor NTLM SSP-clients (inclusief beveiligde RPC)-clients' is ingesteld op 'NTLMv2-sessiebeveiliging vereisen, 128-bits versleuteling vereisen' Mislukt
2.3.11.9 Zorg ervoor dat 'Netwerkbeveiliging: minimale sessiebeveiliging voor NTLM SSP-servers (inclusief beveiligde RPC)-servers' is ingesteld op 'NTLMv2-sessiebeveiliging vereisen, 128-bits versleuteling vereisen' Mislukt
2.3.13.1 Zorg ervoor dat afsluiten: toestaan dat het systeem wordt afgesloten zonder dat u zich hoeft aan te melden, is ingesteld op 'Uitgeschakeld' Geslaagd
2.3.15.1 Zorg ervoor dat systeemobjecten: hoofdlettergevoeligheid vereisen voor niet-Windows-subsystemen is ingesteld op Ingeschakeld Geslaagd
2.3.15.2 Zorg ervoor dat systeemobjecten: standaardmachtigingen van interne systeemobjecten (bijvoorbeeld Symbolische koppelingen) zijn ingesteld op Ingeschakeld Geslaagd
2.3.17.1 Zorg ervoor dat 'Gebruikersaccountbeheer: modus Door beheerder goedkeuren voor het ingebouwde beheerdersaccount' is ingesteld op 'Ingeschakeld' Mislukt
2.3.17.2 Zorg ervoor dat 'Gebruikersaccountbeheer: gedrag van de vragen om benodigde bevoegdheden voor beheerders in de modus Door administrator goedkeuren' is ingesteld op 'Vragen om toestemming op het beveiligde bureaublad' Mislukt
2.3.17.3 Zorg ervoor dat 'Gebruikersaccountbeheer: gedrag van de vragen om benodigde bevoegdheden voor standaardgebruikers' is ingesteld op 'Aanvragen voor benodigde bevoegdheden automatisch weigeren' Mislukt
2.3.17.4 Zorg ervoor dat 'Gebruikersaccountbeheer: installatie van toepassingen detecteren en vragen om benodigde bevoegdheden' is ingesteld op Ingeschakeld Geslaagd
2.3.17.5 Zorg ervoor dat 'Gebruikersaccountbeheer: alleen UIAccess-toepassingen die zijn geïnstalleerd op beveiligde locaties verhogen' is ingesteld op Ingeschakeld Geslaagd
2.3.17.6 Zorg ervoor dat 'Gebruikersaccountbeheer: alle beheerders uitvoeren in de modus Door administrator goedkeuren' is ingesteld op Ingeschakeld Geslaagd
2.3.17.7 Zorg ervoor dat Gebruikersaccountbeheer: overschakelen naar het beveiligde bureaublad wanneer u om benodigde bevoegdheden wordt gevraagd, is ingesteld op 'Ingeschakeld' Geslaagd
2.3.17.8 Zorg ervoor dat 'Gebruikersaccountbeheer: schrijffouten van bestanden en registers naar locaties per gebruiker virtualiseren' is ingesteld op Ingeschakeld Geslaagd
5.1 Zorg ervoor dat Print Spooler (Spooler) is ingesteld op Uitgeschakeld (alleen DC) N.v.t.
9.1.1 Zorg ervoor dat Windows Firewall: Domein: Firewallstatus is ingesteld op Aan (aanbevolen)' Mislukt
9.1.2 Zorg ervoor dat Windows Firewall: Domein: Binnenkomende verbindingen is ingesteld op Blokkeren (standaard) Geslaagd
9.1.3 Zorg ervoor dat Windows Firewall: Domein: Uitgaande verbindingen is ingesteld op Toestaan (standaard) Geslaagd
9.1.4 Zorg ervoor dat Windows Firewall: Domein: Logboekregistratie: Naam is ingesteld op %SystemRoot%\System32\logfiles\firewall\domainfw.log Geslaagd
9.1.5 Zorg ervoor dat Windows Firewall: Domein: Logboekregistratie: Groottelimiet (KB) is ingesteld op '16.384 kB of hoger' Geslaagd
9.1.6 Zorg ervoor dat Windows Firewall: Domein: Logboekregistratie: verwijderde pakketten in logboeken is ingesteld op Ja Geslaagd
9.1.7 Zorg ervoor dat 'Windows Firewall: Domein: Logboekregistratie: geslaagde logboekverbindingen' is ingesteld op Ja Mislukt
9.2.1 Zorg ervoor dat Windows Firewall: Privé: Firewallstatus is ingesteld op Aan (aanbevolen) Mislukt
9.2.2 Zorg ervoor dat Windows Firewall: Privé: Binnenkomende verbindingen is ingesteld op Blokkeren (standaard)' Geslaagd
9.2.3 Zorg ervoor dat Windows Firewall: Privé: uitgaande verbindingen is ingesteld op Toestaan (standaard) Mislukt
9.2.4 Zorg ervoor dat Windows Firewall: Privé: Logboekregistratie: Naam is ingesteld op %SystemRoot%\System32\logfiles\firewall\privatefw.log Geslaagd
9.2.5 Zorg ervoor dat Windows Firewall: Privé: Logboekregistratie: Groottelimiet (KB) is ingesteld op '16.384 kB of hoger' Geslaagd
9.2.6 Zorg ervoor dat Windows Firewall: Privé: Logboekregistratie: verwijderde pakketten in logboeken is ingesteld op Ja Geslaagd
9.2.7 Zorg ervoor dat Windows Firewall: Privé: Logboekregistratie: Geslaagde logboekverbindingen is ingesteld op Ja Geslaagd
9.3.1 Zorg ervoor dat Windows Firewall: Openbaar: Firewallstatus is ingesteld op Aan (aanbevolen)' Mislukt
9.3.2 Zorg ervoor dat Windows Firewall: Openbaar: Binnenkomende verbindingen is ingesteld op Blokkeren (standaard)' Geslaagd
9.3.3 Zorg ervoor dat Windows Firewall: Openbaar: Uitgaande verbindingen is ingesteld op Toestaan (standaard) Mislukt
9.3.4 Zorg ervoor dat Windows Firewall: Openbaar: Logboekregistratie: Naam is ingesteld op %SystemRoot%\System32\logfiles\firewall\publicfw.log Geslaagd
9.3.5 Zorg ervoor dat Windows Firewall: Openbaar: Logboekregistratie: Groottelimiet (KB) is ingesteld op '16.384 kB of hoger' Mislukt
9.3.6 Zorg ervoor dat Windows Firewall: Openbaar: Logboekregistratie: verwijderde pakketten in logboeken is ingesteld op Ja Geslaagd
9.3.7 Zorg ervoor dat Windows Firewall: Openbaar: Logboekregistratie: Geslaagde logboekverbindingen is ingesteld op Ja Geslaagd
17.1.1 Zorg ervoor dat Validatie van controlereferenties is ingesteld op Geslaagd en Mislukt Geslaagd
17.1.2 Zorg ervoor dat Kerberos Authentication Service controleren is ingesteld op Geslaagd en Mislukt (alleen DC) Geslaagd
17.2.1 Zorg ervoor dat Accountbeheer voor computer controleren is ingesteld op Geslaagd en Mislukt (alleen DC) Geslaagd
17.2.2 Zorg ervoor dat Beheer van controledistributiegroepen is ingesteld op Geslaagd en Mislukt (alleen DC) Geslaagd
17.2.3 Zorg ervoor dat 'Andere accountbeheergebeurtenissen controleren' is ingesteld op Geslaagd (alleen DC) Geslaagd
17.2.4 Zorg ervoor dat 'Controlebeveiligingsgroepsbeheer' is ingesteld op Geslaagd Geslaagd
17.2.5 Controleren of Gebruikersaccountbeheer controleren is ingesteld op Geslaagd en Mislukt Geslaagd
17.3.1 Zorg ervoor dat PNP-activiteit controleren is ingesteld op Geslaagd Geslaagd
17.3.2 Zorg ervoor dat 'Controleproces maken' is ingesteld op Geslaagd Geslaagd
17.5.1 Zorg ervoor dat Accountvergrendeling controleren is ingesteld op Geslaagd en Mislukt Geslaagd
17.5.2 Zorg ervoor dat 'Groepslidmaatschap controleren' is ingesteld op Geslaagd Geslaagd
17.5.3 Zorg ervoor dat 'Afmelden controleren' is ingesteld op Geslaagd Geslaagd
17.5.4 Zorg ervoor dat 'Aanmelding controleren' is ingesteld op Geslaagd en Mislukt Geslaagd
17.5.5 Zorg ervoor dat 'Andere aanmeldings-/afmeldingsgebeurtenissen controleren' is ingesteld op Geslaagd en Mislukt Geslaagd
17.5.6 Zorg ervoor dat 'Speciale aanmelding controleren' is ingesteld op Geslaagd Geslaagd
17.6.1 Zorg ervoor dat 'Andere objecttoegangsgebeurtenissen controleren' is ingesteld op Geslaagd en Mislukt Mislukt
17.6.2 Zorg ervoor dat Verwisselbare opslag controleren is ingesteld op Geslaagd en Mislukt Mislukt
17.7.1 Zorg ervoor dat Controlebeleidswijziging is ingesteld op Geslaagd Geslaagd
17.7.2 Zorg ervoor dat Wijzigingen in verificatiebeleid controleren is ingesteld op Geslaagd Geslaagd
17.7.3 Zorg ervoor dat de beleidswijziging op MPSSVC-regelniveau controleren is ingesteld op Geslaagd en Mislukt Mislukt
17.8.1 Zorg ervoor dat Het gebruik van gevoelige bevoegdheden is ingesteld op Geslaagd en Mislukt Geslaagd
17.9.1 Zorg ervoor dat 'Controle van beveiligingsstatuswijziging' is ingesteld op Geslaagd Mislukt
17.9.2 Zorg ervoor dat de beveiligingssysteemextensie controleren is ingesteld op Geslaagd Geslaagd
17.9.3 Zorg ervoor dat 'Systeemintegriteit controleren' is ingesteld op Geslaagd en Mislukt Geslaagd
18.1.2.2 Zorg ervoor dat 'Toestaan dat gebruikers online spraakherkenningsservices inschakelen' is ingesteld op Uitgeschakeld Mislukt
18.3.1 Zorg ervoor dat SMB v1-clientstuurprogramma configureren is ingesteld op Ingeschakeld: Stuurprogramma uitschakelen (aanbevolen)' Geslaagd
18.3.2 Zorg ervoor dat SMB v1-server configureren is ingesteld op Uitgeschakeld Geslaagd
18.3.3 Zorg ervoor dat 'Structured Exception Handling Overwrite Protection (SEHOP) inschakelen' is ingesteld op Ingeschakeld Geslaagd
18.3.4 Zorg ervoor dat 'NetBT NodeType-configuratie' is ingesteld op Ingeschakeld: P-node (aanbevolen)' Geslaagd
18.3.5 Zorg ervoor dat WDigest Authentication is ingesteld op Uitgeschakeld Geslaagd
18.4.1 Zorg ervoor dat 'MSS: (DisableIPSourceRouting IPv6) IP-bronrouteringsniveau (beschermt tegen pakketvervalsing)' is ingesteld op 'Ingeschakeld: Hoogste beveiliging, bronroutering is volledig uitgeschakeld' Geslaagd
18.4.2 Zorg ervoor dat 'MSS: (DisableIPSourceRouting) IP-bronrouteringsniveau (beschermt tegen pakketvervalsing)' is ingesteld op 'Ingeschakeld: Hoogste beveiliging, bronroutering is volledig uitgeschakeld' Geslaagd
18.4.3 Zorg ervoor dat MSS: (EnableICMPRedirect) ICMP-omleidingen toestaan om door OSPF gegenereerde routes te overschrijven, is ingesteld op Uitgeschakeld Mislukt
18.4.4 Zorg ervoor dat MSS: (NoNameReleaseOnDemand) Toestaan dat de computer releaseaanvragen voor NetBIOS-naam negeert, behalve van WINS-servers, is ingesteld op Ingeschakeld Geslaagd
18.5.4.1 Zorg ervoor dat Multicast-naamomzetting uitschakelen is ingesteld op Ingeschakeld Mislukt
18.5.8.1 Zorg ervoor dat 'Onveilige gastaanmeldingen inschakelen' is ingesteld op 'Uitgeschakeld' Mislukt
18.5.11.2 Zorg ervoor dat 'Installatie en configuratie van Network Bridge op uw DNS-domeinnetwerk verbieden' is ingesteld op Ingeschakeld Mislukt
18.5.11.3 Zorg ervoor dat 'Gebruik van delen van internetverbinding op uw DNS-domeinnetwerk verbieden' is ingesteld op Ingeschakeld Mislukt
18.5.14.1 Zorg ervoor dat 'Vaste UNC-paden' is ingesteld op Ingeschakeld, met 'Wederzijdse verificatie vereisen' en 'Integriteit vereisen' ingesteld voor alle NETLOGON- en SYSVOL-shares' Geslaagd
18.5.21.1 Zorg ervoor dat 'Het aantal gelijktijdige verbindingen met internet of een Windows-domein minimaliseren' is ingesteld op 'Ingeschakeld: 1 = Gelijktijdige verbindingen minimaliseren' Geslaagd
18.8.3.1 Zorg ervoor dat 'Opdrachtregel opnemen in proces maken gebeurtenissen' is ingesteld op Ingeschakeld Mislukt
18.8.4.1 Zorg ervoor dat 'Versleuteling oracle-herstel' is ingesteld op Ingeschakeld: Bijgewerkte clients geforceerd afdwingen Geslaagd
18.8.4.2 Zorg ervoor dat 'Externe host overdracht van niet-exporteerbare referenties toestaat' is ingesteld op Ingeschakeld Geslaagd
18.8.14.1 Zorg ervoor dat initialisatiebeleid voor opstartstuurprogramma's is ingesteld op Ingeschakeld: Goed, onbekend en slecht, maar kritiek' Geslaagd
18.8.21.2 Zorg ervoor dat 'Registerbeleidsverwerking configureren: Niet van toepassing tijdens periodieke achtergrondverwerking' is ingesteld op 'Ingeschakeld: ONWAAR' Geslaagd
18.8.21.3 Zorg ervoor dat 'Verwerking van registerbeleid configureren: proces zelfs als de groepsbeleidsobjecten niet zijn gewijzigd' is ingesteld op 'Ingeschakeld: TRUE' Geslaagd
18.8.21.4 Zorg ervoor dat Continue ervaringen op dit apparaat is ingesteld op Uitgeschakeld Geslaagd
18.8.21.5 Zorg ervoor dat 'Achtergrond vernieuwen van groepsbeleid uitschakelen' is ingesteld op Uitgeschakeld Geslaagd
18.8.22.1.1 Zorg ervoor dat downloaden van printerstuurprogramma's via HTTP uitschakelen is ingesteld op Ingeschakeld Mislukt
18.8.28.1 Zorg ervoor dat 'Blokkeren dat de gebruiker accountgegevens weergeeft bij aanmelding' is ingesteld op 'Ingeschakeld' Mislukt
18.8.28.2 Zorg ervoor dat de gebruikersinterface voor netwerkselectie niet wordt weergegeven op Ingeschakeld Mislukt
18.8.36.1 Zorg ervoor dat Hulp op afstand configureren is ingesteld op Uitgeschakeld Geslaagd
18.8.36.2 Zorg ervoor dat 'Geconfigureerde hulp op afstand' is ingesteld op Uitgeschakeld Mislukt
18.8.40.1 Zorg ervoor dat 'Validatie van kwetsbare WHfB-sleutels configureren tijdens verificatie' is ingesteld op Ingeschakeld: Controle of hoger (alleen DC) N.v.t.
18.9.6.1 Zorg ervoor dat 'Toestaan dat Microsoft-accounts optioneel zijn' is ingesteld op Ingeschakeld Mislukt
18.9.14.1 Zorg ervoor dat statusinhoud van cloudconsumeraccount uitschakelen is ingesteld op Ingeschakeld Geslaagd
18.9.14.2 Zorg ervoor dat Microsoft-consumentenervaringen uitschakelen is ingesteld op Ingeschakeld Geslaagd
18.9.16.1 Zorg ervoor dat 'De knop Voor het weergeven van wachtwoorden niet weergeven' is ingesteld op Ingeschakeld Mislukt
18.9.16.2 Zorg ervoor dat 'Beheerdersaccounts op benodigde bevoegdheden opsommen' is ingesteld op Uitgeschakeld Geslaagd
18.9.17.1 Zorg ervoor dat Diagnostische gegevens toestaan is ingesteld op Ingeschakeld: Vereiste diagnostische gegevens verzenden Mislukt
18.9.27.1.1 Zorg ervoor dat 'Toepassing: Gedrag van gebeurtenislogboek beheren wanneer het logboekbestand de maximale grootte bereikt' is ingesteld op 'Uitgeschakeld' Geslaagd
18.9.27.1.2 Zorg ervoor dat 'Toepassing: geef de maximale grootte van het logboekbestand (KB) op' is ingesteld op 'Ingeschakeld: 32.768 of hoger' Mislukt
18.9.27.2.1 Zorg ervoor dat 'Beveiliging: gedrag van gebeurtenislogboek beheren wanneer het logboekbestand de maximale grootte bereikt' is ingesteld op 'Uitgeschakeld' Geslaagd
18.9.27.2.2 Zorg ervoor dat 'Beveiliging: de maximale grootte van logboekbestanden (KB) opgeven' is ingesteld op 'Ingeschakeld: 196.608 of hoger' Mislukt
18.9.27.3.1 Zorg ervoor dat 'Setup: Gedrag van gebeurtenislogboek beheren wanneer het logboekbestand de maximale grootte bereikt' is ingesteld op 'Uitgeschakeld' Geslaagd
18.9.27.3.2 Zorg ervoor dat Setup: Geef de maximale grootte van het logboekbestand (KB) op Ingeschakeld: 32.768 of hoger is ingesteld Mislukt
18.9.27.4.1 Zorg ervoor dat 'Systeem: Gedrag van gebeurtenislogboek beheren wanneer het logboekbestand de maximale grootte bereikt' is ingesteld op 'Uitgeschakeld' Geslaagd
18.9.27.4.2 Zorg ervoor dat 'Systeem: geef de maximale grootte van logboekbestanden (KB) op' is ingesteld op 'Ingeschakeld: 32.768 of hoger' Mislukt
18.9.31.2 Zorg ervoor dat Preventie van gegevensuitvoering uitschakelen voor Explorer is ingesteld op Uitgeschakeld Geslaagd
18.9.31.3 Zorg ervoor dat heap-beëindiging uitschakelen op corruptie is ingesteld op Uitgeschakeld Geslaagd
18.9.31.4 Zorg ervoor dat de beveiligde modus 'Shell-protocol uitschakelen' is ingesteld op Uitgeschakeld Geslaagd
18.9.46.1 Zorg ervoor dat alle gebruikersverificatie van het Microsoft-account voor consumenten blokkeren is ingesteld op Ingeschakeld Geslaagd
18.9.47.15 Zorg ervoor dat detectie configureren voor mogelijk ongewenste toepassingen is ingesteld op Ingeschakeld: Blokkeren Geslaagd
18.9.47.16 Zorg ervoor dat Microsoft Defender AntiVirus uitschakelen is ingesteld op Uitgeschakeld Geslaagd
18.9.47.4.1 Zorg ervoor dat 'Overschrijving van lokale instelling configureren voor rapportage aan Microsoft MAPS' is ingesteld op Uitgeschakeld Geslaagd
18.9.47.5.1.1 Zorg ervoor dat 'Regels voor het verminderen van kwetsbaarheid voor aanvallen configureren' is ingesteld op Ingeschakeld Geslaagd
18.9.47.5.1.2 Zorg ervoor dat regels voor het verminderen van kwetsbaarheid voor aanvallen configureren: de status voor elke ASR-regel instellen is geconfigureerd Geslaagd
18.9.47.5.3.1 Zorg ervoor dat 'Voorkomen dat gebruikers en apps toegang krijgen tot gevaarlijke websites' is ingesteld op Ingeschakeld: Blokkeren Geslaagd
18.9.47.9.1 Zorg ervoor dat alle gedownloade bestanden en bijlagen scannen is ingesteld op Ingeschakeld Geslaagd
18.9.47.9.2 Zorg ervoor dat realtime-beveiliging uitschakelen is ingesteld op Uitgeschakeld Geslaagd
18.9.47.9.3 Zorg ervoor dat 'Gedragscontrole inschakelen' is ingesteld op Ingeschakeld Geslaagd
18.9.47.9.4 Zorg ervoor dat scannen van scripts is ingesteld op Ingeschakeld Geslaagd
18.9.47.12.1 Zorg ervoor dat 'Scannen op e-mail inschakelen' is ingesteld op 'Ingeschakeld' Mislukt
18.9.65.2.2 Zorg ervoor dat Wachtwoorden niet mogen worden opgeslagen, is ingesteld op Ingeschakeld Mislukt
18.9.65.3.3.1 Zorg ervoor dat 'Stationomleiding niet toestaan' is ingesteld op Ingeschakeld Geslaagd
18.9.65.3.9.1 Zorg ervoor dat 'Altijd vragen om wachtwoord bij verbinding' is ingesteld op Ingeschakeld Mislukt
18.9.65.3.9.2 Zorg ervoor dat beveiligde RPC-communicatie vereisen is ingesteld op Ingeschakeld Mislukt
18.9.65.3.9.3 Zorg ervoor dat versleutelingsniveau voor clientverbindingen is ingesteld op Ingeschakeld: Hoog niveau Geslaagd
18.9.65.3.11.1 Zorg ervoor dat 'Tijdelijke mappen niet verwijderen bij afsluiten' is ingesteld op 'Uitgeschakeld' Geslaagd
18.9.65.3.11.2 Zorg ervoor dat 'Tijdelijke mappen per sessie niet gebruiken' is ingesteld op 'Uitgeschakeld' Geslaagd
18.9.66.1 Zorg ervoor dat downloaden van bijlagen voorkomen is ingesteld op Ingeschakeld Mislukt
18.9.67.2 Zorg ervoor dat indexering van versleutelde bestanden is ingesteld op Uitgeschakeld Geslaagd
18.9.85.1.1 Zorg ervoor dat Windows Defender SmartScreen configureren is ingesteld op Ingeschakeld: Waarschuwen en bypass voorkomen Mislukt
18.9.90.1 Zorg ervoor dat 'Gebruikerscontrole over installaties toestaan' is ingesteld op Uitgeschakeld Geslaagd
18.9.90.2 Zorg ervoor dat Altijd installeren met verhoogde bevoegdheden is ingesteld op Uitgeschakeld Geslaagd
18.9.91.1 Zorg ervoor dat 'Aanmelden en laatste interactieve gebruiker automatisch vergrendelen nadat opnieuw opstarten is ingesteld op Uitgeschakeld' Geslaagd
18.9.100.1 Zorg ervoor dat Logboekregistratie van PowerShell-scriptblokkering is ingesteld op Ingeschakeld Mislukt
18.9.100.2 Zorg ervoor dat PowerShell-transcriptie inschakelen is ingesteld op Uitgeschakeld Geslaagd
18.9.102.1.1 Zorg ervoor dat Basisverificatie toestaan is ingesteld op Uitgeschakeld Geslaagd
18.9.102.1.2 Zorg ervoor dat niet-versleuteld verkeer toestaan is ingesteld op Uitgeschakeld Geslaagd
18.9.102.1.3 Zorg ervoor dat 'Digest-verificatie niet is toegezet' is ingesteld op Ingeschakeld Mislukt
18.9.102.2.1 Zorg ervoor dat Basisverificatie toestaan is ingesteld op Uitgeschakeld Geslaagd
18.9.102.2.2 Zorg ervoor dat niet-versleuteld verkeer toestaan is ingesteld op Uitgeschakeld Geslaagd
18.9.102.2.3 Zorg ervoor dat WinRM niet toekent dat RunAs-referenties worden opgeslagen, is ingesteld op Ingeschakeld Mislukt
18.9.105.2.1 Zorg ervoor dat 'Voorkomen dat gebruikers instellingen wijzigen' is ingesteld op Ingeschakeld Geslaagd

Volgende stappen

Zie de volgende artikelen voor meer informatie over AKS-beveiliging:

  • Laatst bijgewerkt om