Porównanie obrazów usługi Azure Kubernetes Service (AKS) z usługą Center for Internet Security (CIS)

Jako bezpieczna usługa usługa Azure Kubernetes Service (AKS) jest zgodna ze standardami SOC, ISO, PCI DSS i HIPAA. W tym artykule opisano konfigurację systemu operacyjnego zabezpieczeń zastosowaną do obrazu systemu Windows używanego przez usługę AKS. Ta konfiguracja zabezpieczeń jest oparta na punkcie odniesienia zabezpieczeń usługi Azure X, który jest zgodny z testem porównawczym CIS. Aby uzyskać więcej informacji na temat zabezpieczeń usługi AKS, zobacz Pojęcia dotyczące zabezpieczeń aplikacji i klastrów w usłudze Azure Kubernetes Service (AKS). Aby uzyskać więcej informacji na temat zabezpieczeń usługi AKS, zobacz Pojęcia dotyczące zabezpieczeń aplikacji i klastrów w usłudze Azure Kubernetes Service (AKS). Aby uzyskać więcej informacji na temat testu porównawczego CIS, zobacz Centrum testów porównawczych zabezpieczeń internetowych (CIS). Aby uzyskać więcej informacji na temat punktów odniesienia zabezpieczeń platformy Azure dla systemu Windows, zobacz Punkt odniesienia zabezpieczeń systemu Windows.

Windows Server 2022

Klastry AKS są wdrażane na maszynach wirtualnych hosta, które uruchamiają system operacyjny z wbudowanymi bezpiecznymi konfiguracjami. Ten system operacyjny jest używany w przypadku kontenerów działających w usłudze AKS. Ten system operacyjny hosta jest oparty na obrazie systemu Windows Server 2022 z zastosowanymi konfiguracjami zabezpieczeń.

W ramach systemu operacyjnego zoptymalizowanego pod kątem zabezpieczeń:

  • Usługa AKS domyślnie zapewnia system operacyjny hosta zoptymalizowany pod kątem zabezpieczeń, ale nie ma opcji wybrania alternatywnego systemu operacyjnego.
  • System operacyjny hosta zoptymalizowany pod kątem zabezpieczeń jest kompilowany i obsługiwany specjalnie dla usługi AKS i nie jest obsługiwany poza platformą AKS.
  • Niektóre niepotrzebne sterowniki modułów jądra zostały wyłączone w systemie operacyjnym, aby zmniejszyć obszar powierzchni podatnej na ataki.

Uwaga

Niezwiązane z testami porównawczymi CIS platforma Azure stosuje codzienne poprawki, w tym poprawki zabezpieczeń, do hostów maszyn wirtualnych usługi AKS.

Celem bezpiecznej konfiguracji wbudowanej w system operacyjny hosta jest zmniejszenie obszaru podatnego na ataki i zoptymalizowanie pod kątem bezpiecznego wdrażania kontenerów.

Poniżej przedstawiono wyniki rekomendacji CIS Azure Compute Microsoft Windows Server 2022 Benchmark v1.0.0 - 01-26-2023 .

Zalecenia mogą mieć jedną z następujących przyczyn:

  • Potencjalny wpływ operacji — zalecenie nie zostało zastosowane, ponieważ miałoby to negatywny wpływ na usługę.
  • Omówione w innym miejscu — zalecenie jest objęte inną kontrolą w obliczeniach w chmurze platformy Azure.

Poniżej przedstawiono zaimplementowane reguły ciągłej integracji:

Numer akapitu ciS Opis rekomendacji Stan Przyczyna
1.1.1 Upewnij się, że dla ustawienia "Wymuszaj historię haseł" ustawiono wartość "24 lub więcej haseł" Niepowodzenie
1.1.2 Upewnij się, że wartość "Maksymalny wiek hasła" jest ustawiona na wartość "365 lub mniej dni, ale nie 0" Zdane
1.1.3 Upewnij się, że wartość "Minimalny wiek hasła" jest ustawiona na wartość "1 lub więcej dni" Niepowodzenie
1.1.4 Upewnij się, że wartość "Minimalna długość hasła" jest ustawiona na "14 lub więcej znaków" Niepowodzenie
1.1.5 Upewnij się, że opcja "Hasło musi spełniać wymagania dotyczące złożoności" jest ustawiona na wartość "Włączone" Zdane
1.1.6 Upewnij się, że ustawienie "Przechowywanie haseł przy użyciu szyfrowania odwracalnego" ma wartość "Wyłączone" Zdane
2.2.1 Upewnij się, że ustawienie "Access Credential Manager as a trusted caller" (Menedżer poświadczeń dostępu jako zaufany obiekt wywołujący) ma wartość "No One" Zdane
2.2.2 Upewnij się, że ustawienie "Dostęp do tego komputera z sieci" ma wartość "Administratorzy, uwierzytelnieni użytkownicy, KONTROLERY DOMENY PRZEDSIĘBIORSTWA" (tylko kontrolery domeny przedsiębiorstwa) Niepowodzenie
2.2.4 Upewnij się, że ustawienie "Działanie jako część systemu operacyjnego" ma wartość "Nikt" Zdane
2.2.5 Upewnij się, że opcja "Dodawanie stacji roboczych do domeny" jest ustawiona na wartość "Administratorzy" (tylko kontroler domeny) Nie dotyczy
2.2.6 Upewnij się, że ustawienie "Dostosowywanie przydziałów pamięci dla procesu" jest ustawione na "Administratorzy, USŁUGA LOKALNA, USŁUGA SIECIOWA" Zdane
2.2.7 Upewnij się, że opcja "Zezwalaj na logowanie lokalne" jest ustawiona na wartość "Administratorzy" Niepowodzenie
2.2.8 Upewnij się, że opcja "Zezwalaj na logowanie za pośrednictwem usług pulpitu zdalnego" jest ustawiona na wartość "Administratorzy" (tylko kontroler domeny) Zdane
2.2.10 Upewnij się, że ustawienie "Tworzenie kopii zapasowych plików i katalogów" jest ustawione na "Administratorzy, Operatorzy kopii zapasowych" Zdane
2.2.11 Upewnij się, że dla ustawienia "Zmień czas systemowy" ustawiono wartość "Administratorzy, USŁUGA LOKALNA" Zdane
2.2.12 Upewnij się, że dla ustawienia "Zmień strefę czasową" ustawiono wartość "Administratorzy, USŁUGA LOKALNA" Zdane
2.2.13 Upewnij się, że dla ustawienia "Tworzenie pliku stronicowania" ustawiono wartość "Administratorzy" Zdane
2.2.14 Upewnij się, że dla opcji "Tworzenie obiektu tokenu" ustawiono wartość "Nikt" Zdane
2.2.15 Upewnij się, że ustawienie "Tworzenie obiektów globalnych" ma wartość "Administratorzy, USŁUGA LOKALNA, USŁUGA SIECIOWA, USŁUGA" Zdane
2.2.16 Upewnij się, że ustawienie "Tworzenie stałych obiektów udostępnionych" ma wartość "Nikt" Zdane
2.2.17 Upewnij się, że opcja "Tworzenie linków symbolicznych" jest ustawiona na wartość "Administratorzy" (tylko kontroler domeny) Zdane
2.2.19 Upewnij się, że dla opcji "Debugowanie programów" ustawiono wartość "Administratorzy" Zdane
2.2.20 Upewnij się, że "Odmowa dostępu do tego komputera z sieci", aby uwzględnić "Gości" Niepowodzenie
2.2.21 Upewnij się, że "Odmowa logowania jako zadanie wsadowe", aby uwzględnić "Gości" Niepowodzenie
2.2.22 Upewnij się, że "Odmowa logowania jako usługa", aby uwzględnić "Gości" Niepowodzenie
2.2.23 Upewnij się, że "Odmowa logowania lokalnego", aby uwzględnić "Gości" Niepowodzenie
2.2.24 Upewnij się, że "Odmowa logowania za pośrednictwem usług pulpitu zdalnego", aby uwzględnić "Gości" Niepowodzenie
2.2.25 Upewnij się, że opcja "Włącz konta komputerów i użytkowników, które mają być zaufane dla delegowania", jest ustawiona na wartość "Administratorzy" (tylko kontroler domeny) Zdane
2.2.27 Upewnij się, że opcja "Wymuś zamknięcie z systemu zdalnego" jest ustawiona na "Administratorzy" Zdane
2.2.28 Upewnij się, że ustawienie "Generowanie inspekcji zabezpieczeń" ma wartość "USŁUGA LOKALNA, USŁUGA SIECIOWA" Nie dotyczy
2.2.29 Upewnij się, że opcja "Personifikuj klienta po uwierzytelnieniu" jest ustawiona na "Administratorzy, USŁUGA LOKALNA, USŁUGA SIECIOWA, USŁUGA" (tylko kontroler domeny) Zdane
2.2.31 Upewnij się, że ustawienie "Zwiększ priorytet planowania" ma wartość "Administratorzy" Niepowodzenie
2.2.32 Upewnij się, że ustawienie "Załaduj i zwolnij sterowniki urządzeń" ma wartość "Administratorzy" Zdane
2.2.33 Upewnij się, że ustawienie "Zablokuj strony w pamięci" ma wartość "Nikt" Zdane
2.2.34 Upewnij się, że opcja "Zarządzanie dziennikiem inspekcji i zabezpieczeń" jest ustawiona na "Administratorzy" i (gdy program Exchange jest uruchomiony w środowisku) "Serwery Exchange" (tylko kontroler domeny) Zdane
2.2.36 Upewnij się, że właściwość "Modyfikuj etykietę obiektu" jest ustawiona na wartość "Nikt" Zdane
2.2.37 Upewnij się, że ustawienie "Modyfikuj wartości środowiska oprogramowania układowego" ma wartość "Administratorzy" Zdane
2.2.38 Upewnij się, że ustawienie "Wykonywanie zadań konserwacji woluminu" ma wartość "Administratorzy" Zdane
2.2.39 Upewnij się, że dla opcji "Profil pojedynczy proces" ustawiono wartość "Administratorzy" Zdane
2.2.40 Upewnij się, że dla ustawienia "Wydajność systemu profilu" ustawiono wartość "Administratorzy, NT SERVICE\WdiServiceHost" Zdane
2.2.41 Upewnij się, że opcja "Zamień token poziomu procesu" jest ustawiona na "USŁUGA LOKALNA, USŁUGA SIECIOWA" Zdane
2.2.42 Upewnij się, że ustawienie "Przywracanie plików i katalogów" ma wartość "Administratorzy, operatorzy kopii zapasowych" Zdane
2.2.43 Upewnij się, że ustawienie "Zamknij system" ma wartość "Administratorzy, operatorzy kopii zapasowych" Zdane
2.2.44 Upewnij się, że opcja "Synchronizuj dane usługi katalogowej" jest ustawiona na wartość "Nikt" (tylko kontroler domeny) Nie dotyczy
2.2.45 Upewnij się, że ustawienie "Przejęcie własności plików lub innych obiektów" ma wartość "Administratorzy" Zdane
2.3.1.1 Upewnij się, że ustawienie "Konta: blokuj konta Microsoft" ma wartość "Użytkownicy nie mogą dodawać ani logować się przy użyciu kont Microsoft" Zdane
2.3.1.3 Upewnij się, że ustawienie "Konta: ograniczenie użycia pustych haseł do logowania do konsoli" jest ustawione na wartość "Włączone" Zdane
2.3.1.4 Konfigurowanie konta "Konta: zmienianie nazwy konta administratora" Zdane
2.3.1.5 Konfigurowanie konta "Konta: zmienianie nazwy konta gościa" Zdane
2.3.2.1 Upewnij się, że ustawienie "Inspekcja: wymuszanie ustawień podkategorii zasad inspekcji (Windows Vista lub nowszych) w celu zastąpienia ustawień kategorii zasad inspekcji" jest ustawiona na wartość "Włączone" Zdane
2.3.2.2 Upewnij się, że opcja "Inspekcja: zamknij system natychmiast, jeśli nie można rejestrować inspekcji zabezpieczeń" jest ustawiona na wartość "Wyłączone" Zdane
2.3.4.1 Upewnij się, że ustawienie "Urządzenia: dozwolone do formatowania i wysuwania nośnika wymiennego" jest ustawione na "Administratorzy" Zdane
2.3.4.2 Upewnij się, że opcja "Urządzenia: uniemożliwianie użytkownikom instalowania sterowników drukarek" jest ustawiona na wartość "Włączone" Zdane
2.3.5.1 Upewnij się, że ustawienie "Kontroler domeny: zezwalaj operatorom serwerów na planowanie zadań" jest ustawiona na wartość "Wyłączone" (tylko kontroler domeny) Nie dotyczy
2.3.5.2 Upewnij się, że dla ustawienia "Kontroler domeny: zezwalaj na podatne na zagrożenia połączenia kanału netlogon" jest ustawiona na wartość "Nieskonfigurowane" (tylko kontroler domeny) Nie dotyczy
2.3.5.3 Upewnij się, że wartość "Kontroler domeny: wymagania dotyczące tokenu powiązania kanału serwera LDAP" jest ustawiona na wartość "Zawsze" (tylko kontroler domeny) Nie dotyczy
2.3.5.4 Upewnij się, że wartość "Kontroler domeny: wymagania dotyczące podpisywania serwera LDAP" jest ustawiona na wartość "Wymagaj podpisywania" (tylko kontroler domeny) Nie dotyczy
2.3.5.5 Upewnij się, że wartość "Kontroler domeny: odrzucanie zmian haseł konta komputera" jest ustawiona na wartość "Wyłączone" (tylko kontroler domeny) Nie dotyczy
2.3.6.1 Upewnij się, że wartość "Członek domeny: cyfrowo szyfruj lub podpisz dane bezpiecznego kanału (zawsze)" jest ustawiona na wartość "Włączone" Zdane
2.3.6.2 Upewnij się, że opcja "Członek domeny: szyfruj cyfrowo dane bezpiecznego kanału (jeśli jest to możliwe)" jest ustawiona na wartość "Włączone" Zdane
2.3.6.3 Upewnij się, że ustawienie "Członek domeny: cyfrowe podpisywanie bezpiecznych danych kanału (jeśli jest to możliwe)" ma wartość "Włączone" Zdane
2.3.6.4 Upewnij się, że opcja "Członek domeny: wyłącz zmiany hasła konta komputera" jest ustawiona na wartość "Wyłączone" Zdane
2.3.6.5 Upewnij się, że ustawienie "Członek domeny: maksymalny wiek hasła konta komputera" ma wartość "30 lub mniej dni, ale nie 0" Zdane
2.3.7.1 Upewnij się, że wartość "Logowanie interakcyjne: limit braku aktywności maszyny" ma wartość "900 lub mniej sekund, ale nie 0" Zdane
2.3.7.2 Konfigurowanie logowania interakcyjnego: tekst wiadomości dla użytkowników próbujących się zalogować" Niepowodzenie
2.3.7.3 Konfigurowanie logowania interakcyjnego: tytuł komunikatu dla użytkowników próbujących się zalogować" Niepowodzenie
2.3.7.4 Upewnij się, że opcja "Logowanie interakcyjne: monituj użytkownika o zmianę hasła przed wygaśnięciem" jest ustawiona na wartość "od 5 do 14 dni" Zdane
2.3.8.1 Upewnij się, że ustawienie "Klient sieci firmy Microsoft: podpisz cyfrowo komunikację (zawsze)" na wartość "Włączone" Niepowodzenie
2.3.8.2 Upewnij się, że opcja "Klient sieci firmy Microsoft: podpisz cyfrowo komunikację (jeśli serwer zgadza się)" jest ustawiona na wartość "Włączone" Zdane
2.3.8.3 Upewnij się, że ustawienie "Klient sieci firmy Microsoft: wysyłanie niezaszyfrowanego hasła do serwerów SMB innych firm" jest ustawione na wartość "Wyłączone" Zdane
2.3.9.1 Upewnij się, że wartość "Serwer sieci microsoft: wymagana ilość czasu bezczynności przed wstrzymaniem sesji" jest ustawiona na wartość "15 lub mniej minut" Zdane
2.3.9.2 Upewnij się, że wartość "Serwer sieci Microsoft: podpisz cyfrowo komunikację (zawsze)" jest ustawiona na wartość "Włączone" Niepowodzenie
2.3.9.3 Upewnij się, że wartość "Serwer sieci Microsoft: podpisz cyfrowo komunikację (jeśli klient zgadza się)" jest ustawiona na wartość "Włączone" Niepowodzenie
2.3.9.4 Upewnij się, że opcja "Serwer sieci microsoft: rozłącz klientów po wygaśnięciu godzin logowania" jest ustawiona na wartość "Włączone" Zdane
2.3.10.1 Upewnij się, że opcja "Dostęp sieciowy: zezwalaj na anonimowe tłumaczenie identyfikatora SID/nazwy" jest ustawiona na wartość "Wyłączone" Zdane
2.3.10.4 Upewnij się, że opcja "Dostęp sieciowy: zezwalaj wszystkim na stosowanie uprawnień do użytkowników anonimowych" jest ustawiona na wartość "Wyłączone" Zdane
2.3.10.5 Skonfiguruj "Dostęp do sieci: nazwane potoki, do których można uzyskać dostęp anonimowo" (tylko kontroler domeny) Zdane
2.3.10.7 Konfigurowanie dostępu do sieci: skonfigurowano ścieżki rejestru zdalnego dostępu Zdane
2.3.10.8 Skonfigurowano konfigurację "Dostęp sieciowy: ścieżki rejestru i ścieżki podrzędne dostępne zdalnie" Zdane
2.3.10.9 Upewnij się, że opcja "Dostęp do sieci: ograniczanie dostępu anonimowego do nazwanych potoków i udziałów" jest ustawiona na wartość "Włączone" Zdane
2.3.10.11 Upewnij się, że opcja "Dostęp sieciowy: udziały, do których można uzyskać dostęp anonimowo" jest ustawiona na wartość "Brak" Nie dotyczy
2.3.10.12 Upewnij się, że opcja "Dostęp sieciowy: udostępnianie i model zabezpieczeń dla kont lokalnych" jest ustawiona na "Klasyczny — użytkownicy lokalni uwierzytelniają się jako sami" Zdane
2.3.11.1 Upewnij się, że opcja "Zabezpieczenia sieci: pozycja Zezwalaj systemowi lokalnemu na używanie tożsamości komputera dla protokołu NTLM" jest ustawiona na wartość "Włączone" Niepowodzenie
2.3.11.2 Upewnij się, że ustawienie "Zabezpieczenia sieciowe: opcja Zezwalaj na powrót sesji null systemu lokalnego" jest ustawiona na wartość "Wyłączone" Zdane
2.3.11.3 Upewnij się, że opcja "Zabezpieczenia sieciowe: zezwalaj na żądania uwierzytelniania PKU2U do tego komputera w celu korzystania z tożsamości online" jest ustawiona na wartość "Wyłączone" Zdane
2.3.11.4 Upewnij się, że ustawienie "Zabezpieczenia sieciowe: konfigurowanie typów szyfrowania dozwolonych dla protokołu Kerberos" jest ustawione na wartość "AES128_HMAC_SHA1, AES256_HMAC_SHA1, przyszłe typy szyfrowania" Zdane
2.3.11.5 Upewnij się, że opcja "Zabezpieczenia sieciowe: nie przechowuj wartości skrótu programu LAN Manager przy następnej zmianie hasła" jest ustawiona na wartość "Włączone" Zdane
2.3.11.6 Upewnij się, że wartość "Zabezpieczenia sieciowe: poziom uwierzytelniania programu LAN Manager" jest ustawiona na wartość "Wyślij tylko odpowiedź NTLMv2. Odrzucanie protokołu LM i NTLM Niepowodzenie
2.3.11.7 Upewnij się, że opcja "Zabezpieczenia sieci: wymagania dotyczące podpisywania klienta LDAP" jest ustawiona na wartość "Negocjuj podpisywanie" lub nowszą Zdane
2.3.11.8 Upewnij się, że ustawienie "Zabezpieczenia sieci: minimalne zabezpieczenia sesji dla klientów opartych na protokole SSP NTLM (w tym bezpiecznego protokołu RPC) jest ustawiona na wartość "Wymagaj zabezpieczeń sesji NTLMv2, Wymagaj szyfrowania 128-bitowego" Niepowodzenie
2.3.11.9 Upewnij się, że ustawienie "Zabezpieczenia sieci: minimalne zabezpieczenia sesji dla serwerów opartych na protokole SSP NTLM (w tym bezpiecznego protokołu RPC) jest ustawiona na wartość "Wymagaj zabezpieczeń sesji NTLMv2, Wymagaj szyfrowania 128-bitowego" Niepowodzenie
2.3.13.1 Upewnij się, że opcja "Zamknij: zezwalaj na zamykanie systemu bez konieczności logowania" jest ustawiona na wartość "Wyłączone" Zdane
2.3.15.1 Upewnij się, że opcja "Obiekty systemowe: wymagaj braku uwzględniania wielkości liter dla podsystemów innych niż Windows" jest ustawiona na wartość "Włączone" Zdane
2.3.15.2 Upewnij się, że ustawienie "Obiekty systemowe: wzmocnienie domyślnych uprawnień do wewnętrznych obiektów systemowych (np. linków symbolicznych)" jest ustawione na wartość "Włączone" Zdane
2.3.17.1 Upewnij się, że opcja "Kontrola konta użytkownika: Tryb zatwierdzania przez administratora dla wbudowanego konta administratora" jest ustawiona na wartość "Włączone" Niepowodzenie
2.3.17.2 Upewnij się, że opcja "Kontrola konta użytkownika: zachowanie monitu o podniesienie uprawnień dla administratorów w trybie zatwierdzania przez administratora" jest ustawione na wartość "Monituj o zgodę na bezpiecznym pulpicie" Niepowodzenie
2.3.17.3 Upewnij się, że opcja "Kontrola konta użytkownika: zachowanie monitu o podniesienie uprawnień dla użytkowników standardowych" jest ustawione na wartość "Automatycznie odrzucaj żądania podniesienia uprawnień" Niepowodzenie
2.3.17.4 Upewnij się, że opcja "Kontrola konta użytkownika: wykrywanie instalacji aplikacji i monitowanie o podniesienie uprawnień" jest ustawiona na wartość "Włączone" Zdane
2.3.17.5 Upewnij się, że dla ustawienia "Kontrola konta użytkownika: ustawiono opcję "Włączono tylko aplikacje interfejsu użytkownika, które są zainstalowane w bezpiecznych lokalizacjach" Zdane
2.3.17.6 Upewnij się, że opcja "Kontrola konta użytkownika: uruchom wszystkich administratorów w trybie zatwierdzania przez administratora" jest ustawiona na wartość "Włączone" Zdane
2.3.17.7 Upewnij się, że opcja "Kontrola konta użytkownika: przełącz się na bezpieczny pulpit podczas monitowania o podniesienie uprawnień" jest ustawiona na wartość "Włączone" Zdane
2.3.17.8 Upewnij się, że opcja "Kontrola konta użytkownika: wirtualizacja błędów zapisu plików i rejestru w lokalizacjach poszczególnych użytkowników" jest ustawiona na wartość "Włączone" Zdane
5,1 Upewnij się, że bufor wydruku (bufor)" jest ustawiony na wartość "Wyłączone" (tylko kontroler domeny) Nie dotyczy
9.1.1 Upewnij się, że opcja "Zapora systemu Windows: domena: stan zapory" jest ustawiona na wartość "Włączone (zalecane)" Niepowodzenie
9.1.2 Upewnij się, że opcja "Zapora systemu Windows: domena: połączenia przychodzące" jest ustawiona na wartość "Blokuj (wartość domyślna)" Zdane
9.1.3 Upewnij się, że opcja "Zapora systemu Windows: domena: połączenia wychodzące" jest ustawiona na wartość "Zezwalaj (wartość domyślna)" Zdane
9.1.4 Upewnij się, że wartość "Zapora systemu Windows: domena: rejestrowanie: nazwa" jest ustawiona na wartość "%SystemRoot%\System32\logfiles\firewall\domainfw.log" Zdane
9.1.5 Upewnij się, że wartość "Zapora systemu Windows: domena: rejestrowanie: limit rozmiaru (KB)" jest ustawiona na wartość "16 384 KB lub nowsza" Zdane
9.1.6 Upewnij się, że opcja "Zapora systemu Windows: domena: rejestrowanie: porzucone pakiety dziennika" ma ustawioną wartość "Tak" Zdane
9.1.7 Upewnij się, że ustawienie "Zapora systemu Windows: domena: rejestrowanie: rejestrowanie pomyślnych połączeń" ma wartość "Tak" Niepowodzenie
9.2.1 Upewnij się, że opcja "Zapora systemu Windows: prywatny: stan zapory" jest ustawiona na wartość "Włączone (zalecane)" Niepowodzenie
9.2.2 Upewnij się, że opcja "Zapora systemu Windows: prywatne: połączenia przychodzące" jest ustawiona na wartość "Blokuj (wartość domyślna)" Zdane
9.2.3 Upewnij się, że opcja "Zapora systemu Windows: prywatne: połączenia wychodzące" jest ustawiona na wartość "Zezwalaj (wartość domyślna)" Niepowodzenie
9.2.4 Upewnij się, że ustawienie "Zapora systemu Windows: prywatne: rejestrowanie: nazwa" ma ustawioną wartość "%SystemRoot%\System32\logfiles\firewall\privatefw.log" Zdane
9.2.5 Upewnij się, że ustawienie "Zapora systemu Windows: prywatne: rejestrowanie: limit rozmiaru (KB)" ma wartość "16 384 KB lub nowszą" Zdane
9.2.6 Upewnij się, że opcja "Zapora systemu Windows: prywatne: rejestrowanie: porzucone pakiety dziennika" jest ustawiona na wartość "Tak" Zdane
9.2.7 Upewnij się, że opcja "Zapora systemu Windows: prywatne: rejestrowanie: rejestrowanie zakończonych powodzeniem połączeń" ma ustawioną wartość "Tak" Zdane
9.3.1 Upewnij się, że opcja "Zapora systemu Windows: publiczny: stan zapory" jest ustawiona na wartość "Włączone (zalecane)" Niepowodzenie
9.3.2 Upewnij się, że opcja "Zapora systemu Windows: publiczne: połączenia przychodzące" jest ustawiona na wartość "Blokuj (wartość domyślna)" Zdane
9.3.3 Upewnij się, że opcja "Zapora systemu Windows: publiczne: połączenia wychodzące" jest ustawiona na wartość "Zezwalaj (wartość domyślna)" Niepowodzenie
9.3.4 Upewnij się, że wartość "Zapora systemu Windows: publiczna: rejestrowanie: nazwa" jest ustawiona na wartość "%SystemRoot%\System32\logfiles\firewall\publicfw.log" Zdane
9.3.5 Upewnij się, że wartość "Zapora systemu Windows: publiczne: rejestrowanie: limit rozmiaru (KB)" ma ustawioną wartość "16 384 KB lub nowszą" Niepowodzenie
9.3.6 Upewnij się, że opcja "Zapora systemu Windows: publiczne: rejestrowanie: porzucone pakiety dziennika" ma ustawioną wartość "Tak" Zdane
9.3.7 Upewnij się, że opcja "Zapora systemu Windows: publiczne: rejestrowanie: rejestrowanie zakończonych powodzeniem połączeń" ma ustawioną wartość "Tak". Zdane
17.1.1 Upewnij się, że dla opcji "Sprawdzanie poprawności poświadczeń inspekcji" ustawiono wartość "Powodzenie i niepowodzenie" Zdane
17.1.2 Upewnij się, że dla opcji "Przeprowadź inspekcję usługi uwierzytelniania Kerberos" ustawiono wartość "Powodzenie i niepowodzenie" (tylko kontroler domeny) Zdane
17.2.1 Upewnij się, że opcja "Przeprowadź inspekcję zarządzania kontem komputera" ma wartość "Powodzenie i niepowodzenie" (tylko kontroler domeny) Zdane
17.2.2 Upewnij się, że ustawienie "Audit Distribution Group Management" ma wartość "Success and Failure" (Tylko kontroler domeny) Zdane
17.2.3 Upewnij się, że opcja "Przeprowadź inspekcję innych zdarzeń zarządzania kontami" jest ustawiona na wartość "Powodzenie" (tylko kontroler domeny) Zdane
17.2.4 Upewnij się, że ustawienie "Audit Security Group Management" (Inspekcja zarządzania grupami zabezpieczeń) ma wartość "Success" (Powodzenie) Zdane
17.2.5 Upewnij się, że ustawienie "Audit User Account Management" (Inspekcja zarządzania kontami użytkowników) ma wartość "Success and Failure" (Powodzenie i niepowodzenie) Zdane
17.3.1 Upewnij się, że ustawienie "Audit PNP Activity" (Inspekcja działania PNP) ma wartość "Success" (Powodzenie) Zdane
17.3.2 Upewnij się, że ustawienie "Audit Process Creation" (Tworzenie procesu inspekcji) ma wartość "Success" (Powodzenie) Zdane
17.5.1 Upewnij się, że ustawienie "Audit Account Lockout" (Inspekcja blokady konta) ma wartość "Success and Failure" (Powodzenie i niepowodzenie) Zdane
17.5.2 Upewnij się, że ustawienie "Audit Group Membership" (Inspekcja członkostwa w grupie) ma wartość "Success" (Powodzenie) Zdane
17.5.3 Upewnij się, że opcja "Inspekcja wylogowania" jest ustawiona na wartość "Powodzenie" Zdane
17.5.4 Upewnij się, że dla ustawienia "Logowanie inspekcji" ustawiono wartość "Powodzenie i niepowodzenie" Zdane
17.5.5 Upewnij się, że opcja "Przeprowadź inspekcję innych zdarzeń logowania/wylogowania" jest ustawiona na wartość "Powodzenie i niepowodzenie" Zdane
17.5.6 Upewnij się, że ustawienie "Przeprowadź inspekcję logowania specjalnego" ma wartość "Powodzenie" Zdane
17.6.1 Upewnij się, że ustawienie "Audit Other Object Access Events" (Inspekcja innych zdarzeń dostępu do obiektów) ma wartość "Success and Failure" (Powodzenie i niepowodzenie) Niepowodzenie
17.6.2 Upewnij się, że dla ustawienia "Przeprowadź inspekcję magazynu wymiennego" ustawiono wartość "Powodzenie i niepowodzenie" Niepowodzenie
17.7.1 Upewnij się, że ustawienie "Inspekcja zmian zasad inspekcji" ma wartość "Powodzenie" Zdane
17.7.2 Upewnij się, że dla ustawienia "Przeprowadź inspekcję zmiany zasad uwierzytelniania" ustawiono wartość "Powodzenie" Zdane
17.7.3 Upewnij się, że ustawienie "Audit MPSSVC Rule-Level Policy Change" (Przeprowadź inspekcję zmian zasad na poziomie reguły MPSSVC) ma wartość "Powodzenie i niepowodzenie" Niepowodzenie
17.8.1 Upewnij się, że ustawienie "Przeprowadź inspekcję poufnego użycia uprawnień" na wartość "Powodzenie i niepowodzenie" Zdane
17.9.1 Upewnij się, że dla ustawienia "Przeprowadź inspekcję zmiany stanu zabezpieczeń" ustawiono wartość "Powodzenie" Niepowodzenie
17.9.2 Upewnij się, że ustawienie "Audit Security System Extension" (Przeprowadź inspekcję rozszerzenia systemu zabezpieczeń) ma wartość "Success" (Powodzenie) Zdane
17.9.3 Upewnij się, że właściwość "Inspekcja integralności systemu" jest ustawiona na wartość "Powodzenie i niepowodzenie" Zdane
18.1.2.2 Upewnij się, że opcja "Zezwalaj użytkownikom na włączanie usług rozpoznawania mowy online" jest ustawiona na wartość "Wyłączone" Niepowodzenie
18.3.1 Upewnij się, że opcja "Konfigurowanie sterownika klienta SMB v1" jest ustawiona na wartość "Włączone: wyłącz sterownik (zalecane)" Zdane
18.3.2 Upewnij się, że dla ustawienia "Konfigurowanie serwera SMB v1" ustawiono wartość "Wyłączone" Zdane
18.3.3 Upewnij się, że opcja "Włącz ochronę wyjątków strukturalnych (SEHOP)" jest ustawiona na wartość "Włączone" Zdane
18.3.4 Upewnij się, że opcja "Konfiguracja netBT NodeType" jest ustawiona na wartość "Włączone: węzeł P (zalecane)" Zdane
18.3.5 Upewnij się, że dla ustawienia "Uwierzytelnianie wdigest" ustawiono wartość "Wyłączone" Zdane
18.4.1 Upewnij się, że poziom ochrony źródła adresów IP "MSS: (DisableIPSourceRouting IPv6) (chroni przed fałszowaniem pakietów)" jest ustawiony na wartość "Włączone: najwyższa ochrona, routing źródłowy jest całkowicie wyłączony" Zdane
18.4.2 Upewnij się, że poziom ochrony źródła adresów IP "MSS: (DisableIPSourceRouting) (chroni przed fałszowaniem pakietów)" jest ustawiony na wartość "Włączone: najwyższa ochrona, routing źródłowy jest całkowicie wyłączony" Zdane
18.4.3 Upewnij się, że opcja "MSS: (EnableICMPRedirect) Zezwalaj na przekierowania ICMP w celu zastąpienia tras wygenerowanych przez system OSPF" jest ustawiona na wartość "Wyłączone" Niepowodzenie
18.4.4 Upewnij się, że opcja "MSS: (NoNameReleaseOnDemand) Zezwalaj komputerowi na ignorowanie żądań wydania nazw NetBIOS z wyjątkiem serwerów WINS" jest ustawiona na wartość "Włączone" Zdane
18.5.4.1 Upewnij się, że opcja "Wyłącz rozpoznawanie nazw multiemisji" jest ustawiona na wartość "Włączone" Niepowodzenie
18.5.8.1 Upewnij się, że opcja "Włącz niezabezpieczone logowania gościa" jest ustawiona na wartość "Wyłączone" Niepowodzenie
18.5.11.2 Upewnij się, że opcja "Zakaz instalacji i konfiguracji mostka sieciowego w sieci domeny DNS" jest ustawiona na wartość "Włączone" Niepowodzenie
18.5.11.3 Upewnij się, że ustawienie "Zakaz korzystania z udostępniania połączeń internetowych w sieci domeny DNS" jest ustawione na wartość "Włączone" Niepowodzenie
18.5.14.1 Upewnij się, że dla wszystkich udziałów NETLOGON i SYSVOL ustawiono opcję "Wymagaj wzajemnego uwierzytelniania" i "Wymagaj integralności". Zdane
18.5.21.1 Upewnij się, że opcja "Minimalizuj liczbę równoczesnych połączeń z Internetem lub domeną systemu Windows" jest ustawiona na wartość "Włączone: 1 = Minimalizuj jednoczesne połączenia" Zdane
18.8.3.1 Upewnij się, że opcja "Uwzględnij wiersz polecenia w zdarzeniach tworzenia procesu" jest ustawiona na wartość "Włączone" Niepowodzenie
18.8.4.1 Upewnij się, że opcja "Korygowanie oracle szyfrowania" jest ustawiona na wartość "Włączone: wymuszanie zaktualizowania klientów" Zdane
18.8.4.2 Upewnij się, że opcja "Host zdalny zezwala na delegowanie poświadczeń nieeksportowalnych" jest ustawiona na wartość "Włączone" Zdane
18.8.14.1 Upewnij się, że dla opcji "Zasady inicjowania sterownika rozruchu" ustawiono wartość "Włączone: dobra, nieznana i zła, ale krytyczna" Zdane
18.8.21.2 Upewnij się, że ustawienie "Konfigurowanie przetwarzania zasad rejestru: nie należy stosować podczas okresowego przetwarzania w tle" jest ustawiona na wartość "Włączone: FAŁSZ" Zdane
18.8.21.3 Upewnij się, że ustawienie "Konfigurowanie przetwarzania zasad rejestru: przetwarzanie, nawet jeśli obiekty zasad grupy nie zostały zmienione" jest ustawione na wartość "Włączone: PRAWDA" Zdane
18.8.21.4 Upewnij się, że ustawienie "Kontynuuj środowisko na tym urządzeniu" ma wartość "Wyłączone" Zdane
18.8.21.5 Upewnij się, że ustawienie "Wyłącz odświeżanie w tle zasad grupy" jest ustawione na wartość "Wyłączone" Zdane
18.8.22.1.1 Upewnij się, że opcja "Wyłącz pobieranie sterowników wydruku za pośrednictwem protokołu HTTP" jest ustawiona na wartość "Włączone" Niepowodzenie
18.8.28.1 Upewnij się, że opcja "Blokuj użytkownikowi wyświetlanie szczegółów konta podczas logowania" jest ustawiona na wartość "Włączone" Niepowodzenie
18.8.28.2 Upewnij się, że pozycja "Nie wyświetlaj interfejsu użytkownika wyboru sieci" jest ustawiona na wartość "Włączone" Niepowodzenie
18.8.36.1 Upewnij się, że ustawienie "Konfigurowanie pomocy zdalnej oferty" ma wartość "Wyłączone" Zdane
18.8.36.2 Upewnij się, że dla ustawienia "Konfigurowanie żądanej pomocy zdalnej" ustawiono wartość "Wyłączone" Niepowodzenie
18.8.40.1 Upewnij się, że opcja "Konfigurowanie weryfikacji kluczy WHfB narażonych na funkcję ROCA podczas uwierzytelniania" jest ustawiona na wartość "Włączone: inspekcja" lub nowsza (tylko kontroler domeny) Nie dotyczy
18.9.6.1 Upewnij się, że opcja "Zezwalaj na opcjonalne konta Microsoft" jest ustawiona na wartość "Włączone" Niepowodzenie
18.9.14.1 Upewnij się, że opcja "Wyłącz zawartość stanu konta konsumenta w chmurze" jest ustawiona na wartość "Włączone" Zdane
18.9.14.2 Upewnij się, że opcja "Wyłącz środowiska konsumentów firmy Microsoft" jest ustawiona na wartość "Włączone" Zdane
18.9.16.1 Upewnij się, że opcja "Nie wyświetlaj przycisku ujawniania hasła" jest ustawiona na wartość "Włączone" Niepowodzenie
18.9.16.2 Upewnij się, że ustawienie "Wyliczanie kont administratorów w przypadku podniesienia uprawnień" ma wartość "Wyłączone" Zdane
18.9.17.1 Upewnij się, że ustawienie "Zezwalaj na dane diagnostyczne" ma wartość "Włączone: Wysyłanie wymaganych danych diagnostycznych" Niepowodzenie
18.9.27.1.1 Upewnij się, że ustawienie "Aplikacja: kontrolowanie zachowania dziennika zdarzeń, gdy plik dziennika osiągnie maksymalny rozmiar" jest ustawiony na wartość "Wyłączone" Zdane
18.9.27.1.2 Upewnij się, że wartość "Aplikacja: określ maksymalny rozmiar pliku dziennika (KB)" jest ustawiona na wartość "Włączone: 32,768 lub nowsze" Niepowodzenie
18.9.27.2.1 Upewnij się, że ustawienie "Zabezpieczenia: kontrolowanie zachowania dziennika zdarzeń, gdy plik dziennika osiągnie maksymalny rozmiar" jest ustawiony na wartość "Wyłączone" Zdane
18.9.27.2.2 Upewnij się, że wartość "Zabezpieczenia: określ maksymalny rozmiar pliku dziennika (KB)" jest ustawiona na wartość "Włączone: 196 608 lub nowsze" Niepowodzenie
18.9.27.3.1 Upewnij się, że ustawienie "Setup: Control Event Log behavior when the log file reaches its maximum size" (Konfiguracja: kontrolowanie zachowania dziennika zdarzeń, gdy plik dziennika osiągnie maksymalny rozmiar) jest ustawiony na wartość "Disabled" Zdane
18.9.27.3.2 Upewnij się, że ustawienie "Instalator: określ maksymalny rozmiar pliku dziennika (KB)" jest ustawiony na wartość "Włączone: 32,768 lub nowsze" Niepowodzenie
18.9.27.4.1 Upewnij się, że ustawienie "System: Kontrolowanie zachowania dziennika zdarzeń, gdy plik dziennika osiągnie maksymalny rozmiar" jest ustawiony na wartość "Wyłączone" Zdane
18.9.27.4.2 Upewnij się, że parametr "System: określ maksymalny rozmiar pliku dziennika (KB)" jest ustawiony na wartość "Włączone: 32,768 lub nowsze" Niepowodzenie
18.9.31.2 Upewnij się, że ustawienie "Wyłącz zapobieganie wykonywaniu danych dla Eksploratora" ma wartość "Wyłączone" Zdane
18.9.31.3 Upewnij się, że ustawienie "Wyłącz kończenie sterty w przypadku uszkodzenia" jest ustawione na wartość "Wyłączone" Zdane
18.9.31.4 Upewnij się, że ustawienie "Wyłącz tryb chroniony protokołem powłoki" ma wartość "Wyłączone" Zdane
18.9.46.1 Upewnij się, że ustawienie "Blokuj wszystkie uwierzytelnianie użytkownika konta Microsoft konsumenta" jest ustawione na wartość "Włączone" Zdane
18.9.47.15 Upewnij się, że opcja "Konfigurowanie wykrywania potencjalnie niechcianych aplikacji" jest ustawiona na wartość "Włączone: blokuj" Zdane
18.9.47.16 Upewnij się, że ustawienie "Wyłącz program Microsoft Defender AntiVirus" ma wartość "Wyłączone" Zdane
18.9.47.4.1 Upewnij się, że ustawienie "Konfigurowanie ustawienia lokalnego zastąpienia na potrzeby raportowania do usługi Microsoft MAPS" jest ustawione na wartość "Wyłączone" Zdane
18.9.47.5.1.1 Upewnij się, że dla ustawienia "Konfigurowanie reguł zmniejszania obszaru podatnego na ataki" ustawiono wartość "Włączone" Zdane
18.9.47.5.1.2 Upewnij się, że skonfigurowano reguły zmniejszania obszaru ataków: ustaw stan dla każdej reguły usługi ASR" Zdane
18.9.47.5.3.1 Upewnij się, że opcja "Uniemożliwiaj użytkownikom i aplikacjom uzyskiwanie dostępu do niebezpiecznych witryn internetowych" jest ustawiona na wartość "Włączone: blokuj" Zdane
18.9.47.9.1 Upewnij się, że opcja "Skanuj wszystkie pobrane pliki i załączniki" jest ustawiona na wartość "Włączone" Zdane
18.9.47.9.2 Upewnij się, że ustawienie "Wyłącz ochronę w czasie rzeczywistym" ma wartość "Wyłączone" Zdane
18.9.47.9.3 Upewnij się, że opcja "Włącz monitorowanie zachowania" jest ustawiona na wartość "Włączone" Zdane
18.9.47.9.4 Upewnij się, że opcja "Włącz skanowanie skryptów" jest ustawiona na wartość "Włączone" Zdane
18.9.47.12.1 Upewnij się, że opcja "Włącz skanowanie poczty e-mail" jest ustawiona na wartość "Włączone" Niepowodzenie
18.9.65.2.2 Upewnij się, że opcja "Nie zezwalaj na zapisywanie haseł" jest ustawiona na wartość "Włączone" Niepowodzenie
18.9.65.3.3.1 Upewnij się, że opcja "Nie zezwalaj na przekierowywanie dysku" jest ustawiona na wartość "Włączone" Zdane
18.9.65.3.9.1 Upewnij się, że opcja "Zawsze monituj o hasło podczas połączenia" jest ustawiona na wartość "Włączone" Niepowodzenie
18.9.65.3.9.2 Upewnij się, że opcja "Wymagaj bezpiecznej komunikacji RPC" jest ustawiona na wartość "Włączone" Niepowodzenie
18.9.65.3.9.3 Upewnij się, że opcja "Ustaw poziom szyfrowania połączenia klienta" jest ustawiona na wartość "Włączone: wysoki poziom" Zdane
18.9.65.3.11.1 Upewnij się, że ustawienie "Nie usuwaj folderów tymczasowych po zakończeniu" ma wartość "Wyłączone" Zdane
18.9.65.3.11.2 Upewnij się, że dla opcji "Nie używaj folderów tymczasowych na sesję" ustawiono wartość "Wyłączone" Zdane
18.9.66.1 Upewnij się, że opcja "Zapobiegaj pobieraniu obudów" jest ustawiona na wartość "Włączone" Niepowodzenie
18.9.67.2 Upewnij się, że opcja "Zezwalaj na indeksowanie zaszyfrowanych plików" jest ustawiona na wartość "Wyłączone" Zdane
18.9.85.1.1 Upewnij się, że opcja "Konfigurowanie filtru SmartScreen w usłudze Windows Defender" jest ustawiona na wartość "Włączone: ostrzegaj i uniemożliwiaj obejście" Niepowodzenie
18.9.90.1 Upewnij się, że opcja "Zezwalaj użytkownikowi na kontrolę nad instalacjami" jest ustawiona na wartość "Wyłączone" Zdane
18.9.90.2 Upewnij się, że ustawienie "Zawsze instaluj z podwyższonym poziomem uprawnień" ma wartość "Wyłączone" Zdane
18.9.91.1 Upewnij się, że ustawienie "Logowanie i blokowanie ostatniego interakcyjnego użytkownika po ponownym uruchomieniu" jest ustawione na wartość "Wyłączone" Zdane
18.9.100.1 Upewnij się, że opcja "Włącz rejestrowanie bloków skryptów programu PowerShell" jest ustawiona na wartość "Włączone" Niepowodzenie
18.9.100.2 Upewnij się, że dla opcji "Włącz transkrypcję programu PowerShell" ustawiono wartość "Wyłączone" Zdane
18.9.102.1.1 Upewnij się, że opcja "Zezwalaj na uwierzytelnianie podstawowe" jest ustawiona na wartość "Wyłączone" Zdane
18.9.102.1.2 Upewnij się, że opcja "Zezwalaj na niezaszyfrowany ruch" jest ustawiona na wartość "Wyłączone" Zdane
18.9.102.1.3 Upewnij się, że opcja "Nie zezwalaj na uwierzytelnianie szyfrowane" jest ustawiona na wartość "Włączone" Niepowodzenie
18.9.102.2.1 Upewnij się, że opcja "Zezwalaj na uwierzytelnianie podstawowe" jest ustawiona na wartość "Wyłączone" Zdane
18.9.102.2.2 Upewnij się, że opcja "Zezwalaj na niezaszyfrowany ruch" jest ustawiona na wartość "Wyłączone" Zdane
18.9.102.2.3 Upewnij się, że opcja "Nie zezwalaj usłudze WinRM na przechowywanie poświadczeń Uruchom jako" jest ustawiona na wartość "Włączone" Niepowodzenie
18.9.105.2.1 Upewnij się, że opcja "Uniemożliwiaj użytkownikom modyfikowanie ustawień" jest ustawiona na wartość "Włączone" Zdane

Następne kroki

Aby uzyskać więcej informacji na temat zabezpieczeń usługi AKS, zobacz następujące artykuły:

  • Ostatnia aktualizacja o