Alinhamento de imagem do Windows do AKS (Serviço de Kubernetes do Azure) com o parâmetro de comparação DO CIS (Center for Internet Security)

Como um serviço seguro, o AKS (Serviço de Kubernetes do Azure) está em conformidade com os padrões SOC, ISO, PCI DSS e HIPAA. Este artigo aborda a configuração do sistema operacional de segurança aplicada à imagem do Windows usada pelo AKS. Essa configuração de segurança se baseia na linha de base de segurança do Azure, que se alinha com o parâmetro de comparação CIS. Para saber mais sobre a segurança do AKS, confira Conceitos de segurança para aplicativos e clusters no AKS (Serviço de Kubernetes do Azure). Para saber mais sobre a segurança do AKS, confira Conceitos de segurança para aplicativos e clusters no AKS (Serviço de Kubernetes do Azure). Para obter mais informações sobre o benchmark do CIS, consulte Benchmarks do CIS (Center for Internet Security). Para obter mais informações sobre as linhas de base de segurança do Azure para Windows, consulte Linha de base de segurança do Windows.

Windows Server 2022

Os clusters do AKS são implantados em máquinas virtuais do host, que executam um sistema operacional com configurações seguras internas. Esse sistema operacional é usado para contêineres em execução no AKS. Esse sistema operacional do host é baseado em uma imagem do Windows Server 2022 com configurações de segurança aplicadas.

Como parte do sistema operacional com otimização de segurança:

  • O AKS fornece um sistema operacional de host com otimização de segurança por padrão, mas nenhuma opção para selecionar um sistema operacional alternativo.
  • O sistema operacional do host otimizado para segurança é criado e mantido especificamente para o AKS e não tem suporte fora da plataforma AKS.
  • Alguns drivers de módulo de kernel desnecessários foram desabilitados no sistema operacional para reduzir a área de superfície de ataque.

Observação

Não relacionado aos parâmetros de comparação CIS, Azure aplica patches diários (incluindo patches de segurança) a hosts de máquina virtual do AKS.

O objetivo da configuração segura criada no sistema operacional do host é reduzir a área de ataque e otimizar para a implantação de contêineres de maneira segura.

Veja a seguir os resultados das recomendações do Parâmetro de comparação do CIS para o Microsoft Windows Server 2022 da Computação do Azure v1.0.0 – 01-26-2023.

As recomendações podem ter um dos seguintes motivos:

  • Impacto potencial da operação – A recomendação não foi aplicada porque teria um efeito negativo sobre o serviço.
  • Coberto em outro lugar – A recomendação é coberta por outro controle na computação em nuvem do Azure.

Veja a seguir as regras de CIS implementadas:

Número de parágrafo CIS Descrição da recomendação Status Motivo
1.1.1 Verifique se “Impor histórico de senhas” está definido como “24 ou mais senhas” Falha
1.1.2 Verifique se “Idade máxima da senha” está definido como “365 ou menos dias, mas não 0” Aprovado
1.1.3 Verifique se “Idade mínima da senha” está definido como “1 ou mais dias” Falha
1.1.4 Verifique se “Comprimento mínimo da senha” está definido como “14 ou mais caracteres” Falha
1.1.5 Verifique se “Senha deve atender aos requisitos de complexidade” está definido como “Habilitado” Aprovado
1.1.6 Verifique se “Armazenar senhas usando criptografia reversível” está definido como “Desabilitado” Aprovado
2.2.1 Verifique se “Gerenciador de Credenciais de acesso como um chamador confiável” está definido como “Ninguém” Aprovado
2.2.2 Verifique se “Acessar este computador da rede” está definido como “Administradores, Usuários Autenticados, CONTROLADORES DE DOMÍNIO ENTERPRISE” (somente DC) Falha
2.2.4 Verifique se “Agir como parte do sistema operacional” está definido como “Ninguém” Aprovado
2.2.5 Verifique se “Adicionar estações de trabalho ao domínio” está definido como “Administradores” (somente DC) N/D
2.2.6 Verifique se “Ajustar cotas de memória para um processo” está definido como “Administradores, SERVIÇO LOCAL, SERVIÇO DE REDE” Aprovado
2.2.7 Verifique se “Permitir logon localmente” está definido como “Administradores” Falha
2.2.8 Verifique se “Permitir logon por meio dos Serviços de Área de Trabalho Remota” está definido como “Administradores” (somente DC) Aprovado
2.2.10 Verifique se “Fazer backup de arquivos e diretórios” está definido como “Administradores, Operadores de Backup” Aprovado
2.2.11 Verifique se “Alterar a hora do sistema” está definido como “Administradores, SERVIÇO LOCAL” Aprovado
2.2.12 Verifique se “Alterar fuso horário” está definido como “Administradores, SERVIÇO LOCAL” Aprovado
2.2.13 Verifique se “Criar um pagefile” está definido como “Administradores” Aprovado
2.2.14 Verifique se “Criar um objeto de token” está definido como “Ninguém” Aprovado
2.2.15 Verifique se “Criar objetos globais” está definido como “Administradores, SERVIÇO LOCAL, SERVIÇO DE REDE, SERVIÇO” Aprovado
2.2.16 Verifique se “Criar objetos compartilhados permanentes” está definido como “Ninguém” Aprovado
2.2.17 Verifique se “Criar links simbólicos” está definido como “Administradores” (somente DC) Aprovado
2.2.19 Verifique se “Programas de depuração” está definido como “Administradores” Aprovado
2.2.20 Verifique se “Negar acesso a este computador da rede” inclui “Convidados” Falha
2.2.21 Verifique se “Negar logon como um trabalho em lote” inclui “Convidados” Falha
2.2.22 Verifique se “Negar logon como um serviço” inclui “Convidados” Falha
2.2.23 Verifique se “Negar logon localmente” inclui “Convidados” Falha
2.2.24 Verifique se “Negar logon por meio dos Serviços de Área de Trabalho Remota” inclui “Convidados” Falha
2.2.25 Verifique se “Habilitar contas de computador e de usuário para serem confiáveis para delegação” está definido como “Administradores” (somente DC) Aprovado
2.2.27 Verifique se “Forçar desligamento de um sistema remoto” está definido como “Administradores” Aprovado
2.2.28 Verifique se “Gerar auditorias de segurança” está definido como “SERVIÇO LOCAL, SERVIÇO DE REDE” N/D
2.2.29 Verifique se “Representar um cliente após a autenticação” está definido como “Administradores, SERVIÇO LOCAL, SERVIÇO DE REDE, SERVIÇO” (somente DC) Aprovado
2.2.31 Verifique se “Aumentar a prioridade de agendamento” está definido como “Administradores” Falha
2.2.32 Verifique se “Carregar e descarregar drivers de dispositivo” está definido como “Administradores” Aprovado
2.2.33 Verifique se “Bloquear páginas na memória” está definido como “Ninguém” Aprovado
2.2.34 Verifique se “Gerenciar log de auditoria e segurança” está definido como “Administradores” e (quando o Exchange estiver em execução no ambiente) “Servidores do Exchange” (somente DC) Aprovado
2.2.36 Verifique se “Modificar um rótulo de objeto” está definido como “Ninguém” Aprovado
2.2.37 Verifique se “Modificar valores de ambiente de firmware” está definido como “Administradores” Aprovado
2.2.38 Verifique se “Executar tarefas de manutenção de volume” está definido como “Administradores” Aprovado
2.2.39 Verifique se “Processo único de perfil” está definido como “Administradores” Aprovado
2.2.40 Verifique se “Desempenho do sistema de perfil” está definido como “Administradores, NT SERVICE\WdiServiceHost” Aprovado
2.2.41 Verifique se “Substituir um token de nível de processo” está definido como “SERVIÇO LOCAL, SERVIÇO DE REDE” Aprovado
2.2.42 Verifique se “Restaurar arquivos e diretórios” está definido como “Administradores, Operadores de Backup” Aprovado
2.2.43 Verifique se “Desligar o sistema” está definido como “Administradores, Operadores de Backup” Aprovado
2.2.44 Verifique se “Sincronizar dados de serviço de diretório” está definido como “Ninguém” (somente DC) N/D
2.2.45 Verifique se “Assumir a propriedade de arquivos ou outros objetos” está definido como “Administradores” Aprovado
2.3.1.1 Verifique se “Contas: bloquear contas da Microsoft” está definido como “Os usuários não podem adicionar ou fazer logon com contas da Microsoft” Aprovado
2.3.1.3 Verifique se “Contas: limitar o uso da conta local de senhas em branco somente para logon de console” está definido como “Habilitado” Aprovado
2.3.1.4 Configurar “Contas: renomear conta de administrador” Aprovado
2.3.1.5 Configurar “Contas: renomear conta de convidado” Aprovado
2.3.2.1 Verifique se “Auditoria: forçar configurações de subcategorias de política de auditoria (Windows Vista ou superior) para substituir configurações de categorias de política de auditoria” está definido como “Habilitado” Aprovado
2.3.2.2 Verifique se “Auditoria: desligar o sistema imediatamente se não for possível registrar auditorias de segurança” está definido como “Desabilitado” Aprovado
2.3.4.1 Verifique se “Dispositivos: permissão para formatar e ejetar mídia removível” está definido como “Administradores” Aprovado
2.3.4.2 Verifique se “Dispositivos: impedir que os usuários instalem drivers de impressora” está definido como “Habilitado” Aprovado
2.3.5.1 Verifique se “Controlador de domínio: permitir que os operadores de servidor agendem tarefas” está definido como “Desabilitado” (somente DC) N/D
2.3.5.2 Verifique se “Controlador de domínio: permitir conexões de canal seguro do Netlogon vulnerável” está definido como “Não Configurado” (somente DC) N/D
2.3.5.3 Verifique se “Controlador de domínio: requisitos de token de associação do canal do servidor LDAP” está definido como “Sempre” (somente DC) N/D
2.3.5.4 Verifique se “Controlador de domínio: requisitos de assinatura do servidor LDAP” está definido como “Exigir assinatura” (somente DC) N/D
2.3.5.5 Verifique se “Controlador de domínio: recusar alterações de senha da conta do computador” está definido como “Desabilitado” (somente DC) N/D
2.3.6.1 Verifique se a opção 'Membro do domínio: criptografar ou assinar digitalmente os dados de canal seguro (sempre)' está definida como 'Habilitada' Aprovado
2.3.6.2 Verifique se a opção 'Membro do domínio: criptografar digitalmente os dados de canal seguro (quando possível)' está definida como 'Habilitada' Aprovado
2.3.6.3 Verifique se a opção 'Membro do domínio: assinar digitalmente os dados de canal seguro (quando possível)' está definida como 'Habilitada' Aprovado
2.3.6.4 Verifique se a opção 'Membro do domínio: desabilitar alterações de senha da conta do computador' está definida como 'Desabilitada' Aprovado
2.3.6.5 Verifique se a opção 'Membro do domínio: idade máxima da senha da conta do computador' está definida como '30 ou menos dias, mas não 0' Aprovado
2.3.7.1 Verifique se “Logon interativo: limite de inatividade do computador” está definido como “900 ou menos segundos, mas não 0” Aprovado
2.3.7.2 Configure “Logon interativo: texto da mensagem para usuários que tentam fazer logon” Falha
2.3.7.3 Configure “Logon interativo: título da mensagem para usuários tentando fazer logon” Falha
2.3.7.4 Verifique se “Logon interativo: solicitar que o usuário altere a senha antes da expiração” está definido como “Entre 5 e 14 dias” Aprovado
2.3.8.1 Verifique se “Cliente de rede da Microsoft: assinar comunicações digitalmente (sempre)” está definido como “Habilitado” Falha
2.3.8.2 Verifique se “Cliente de rede da Microsoft: assinar comunicações digitalmente (se o servidor concordar)” está definido como “Habilitado” Aprovado
2.3.8.3 Verifique se “Cliente de rede da Microsoft: enviar senha não criptografada para servidores SMB de terceiros” está definido como “Desabilitado” Aprovado
2.3.9.1 Verifique se “Servidor de rede da Microsoft: tempo ocioso necessário antes de suspender a sessão” está definido como “15 minutos ou menos”. Aprovado
2.3.9.2 Verifique se “Servidor de rede da Microsoft: assinar comunicações digitalmente (sempre)” está definido como “Habilitado” Falha
2.3.9.3 Verifique se “Servidor de rede da Microsoft: assinar comunicações digitalmente (se o cliente concordar)” está definido como “Habilitado” Falha
2.3.9.4 Verifique se “Servidor de rede da Microsoft: desconectar clientes quando o horário de logon expirar” está definido como “Habilitado” Aprovado
2.3.10.1 Verifique se “Acesso à rede: permitir tradução de SID/Nome anônimo” está definido como “Desabilitado” Aprovado
2.3.10.4 Verifique se “Acesso à rede: permitir que as permissões Todos se apliquem a usuários anônimos” está definido como “Desabilitado” Aprovado
2.3.10.5 Configure “Acesso à rede: pipes nomeados que podem ser acessados anonimamente” (somente DC) Aprovado
2.3.10.7 Verifique se “Acesso à rede: caminhos de registro acessíveis remotamente” está configurado Aprovado
2.3.10.8 Verifique se “Acesso à rede: caminhos e subcaminhos do registro acessíveis remotamente” está configurado Aprovado
2.3.10.9 Verifique se “Acesso à rede: restringir o acesso anônimo a Pipes e Compartilhamentos Nomeados” está definido como “Habilitado” Aprovado
2.3.10.11 Verifique se “Acesso à rede: compartilhamentos que podem ser acessados anonimamente” está definido como “Nenhum” N/D
2.3.10.12 Verifique se “Acesso à rede: compartilhamento e modelo de segurança para contas locais” está definido como “Clássico – usuários locais se autenticam como eles mesmos” Aprovado
2.3.11.1 Verifique se “Segurança de rede: permitir que o sistema local use a identidade do computador para NTLM” está definido como “Habilitado” Falha
2.3.11.2 Verifique se “Segurança de rede: permitir fallback da sessão NULL do LocalSystem” está definido como “Desabilitado” Aprovado
2.3.11.3 Verifique se “Segurança de rede: permitir que solicitações de autenticação PKU2U para este computador usem identidades online” está definido como “Desabilitado” Aprovado
2.3.11.4 Verifique se “Segurança de rede: configurar tipos de criptografia permitidos para Kerberos” está definido como “AES128_HMAC_SHA1, AES256_HMAC_SHA1, tipos de criptografia futuros” Aprovado
2.3.11.5 Verifique se “Segurança de rede: não armazenar o valor de hash do LAN Manager na próxima alteração de senha” está definido como “Habilitado” Aprovado
2.3.11.6 Verifique se “Segurança de rede: nível de autenticação do Gerenciador de LAN” está definido como “Enviar apenas resposta NTLMv2. Recusar LM e NTLM” Falha
2.3.11.7 Verifique se “Segurança de rede: requisitos de assinatura do cliente LDAP” está definido como “Negociar assinatura” ou superior Aprovado
2.3.11.8 Verifique se “Segurança de rede: segurança mínima da sessão para clientes baseados em SSP NTLM (incluindo RPC seguro)” está definido como “Exigir segurança de sessão NTLMv2, exigir criptografia de 128 bits” Falha
2.3.11.9 Verifique se “Segurança de rede: segurança mínima da sessão para servidores baseados em SSP NTLM (incluindo RPC seguro)” está definido como “Exigir segurança de sessão NTLMv2, exigir criptografia de 128 bits” Falha
2.3.13.1 Verifique se “Desligamento: permitir que o sistema seja desligado sem precisar fazer logon” está definido como “Desabilitado” Aprovado
2.3.15.1 Verifique se “Objetos do sistema: exigir não diferenciação de maiúsculas e minúsculas para subsistemas não Windows” está definido como “Habilitado” Aprovado
2.3.15.2 Verifique se “Objetos do sistema: fortalecer permissões padrão de objetos internos do sistema (por exemplo, Links Simbólicos)” está definido como “Habilitado” Aprovado
2.3.17.1 Verifique se “Controle de Conta de Usuário: Modo de Aprovação do Administrador para a Conta de administrador interno” está definido como “Habilitado” Falha
2.3.17.2 Verifique se “Controle de Conta de Usuário: comportamento da solicitação de elevação de administradores no Modo de Aprovação de Administrador” está definido como “Solicitar consentimento na área de trabalho protegida” Falha
2.3.17.3 Verifique se “Controle de Conta de Usuário: o comportamento do prompt de elevação para usuários padrão” está definido como “Negar solicitações de elevação automaticamente” Falha
2.3.17.4 Verifique se “Controle de Conta de Usuário: detectar instalações do aplicativo e solicitar elevação” está definido como “Habilitado” Aprovado
2.3.17.5 Verifique se “Controle de Conta de Usuário: elevar apenas aplicativos UIAccess que estejam instalados em locais seguros” está definido como “Habilitado” Aprovado
2.3.17.6 Verifique se “Controle de Conta de Usuário: executar todos os administradores no Modo de Aprovação do Administrador” está definido como “Habilitado” Aprovado
2.3.17.7 Verifique se “Controle de Conta de Usuário: alternar para a área de trabalho segura ao solicitar elevação” está definido como “Habilitado” Aprovado
2.3.17.8 Verifique se “Controle de Conta de Usuário: virtualizar falhas de gravação de arquivos e registros para locais por usuário” está definido como “Habilitado” Aprovado
5.1 Verifique se “Spooler de Impressão (Spooler)” está definido como “Desabilitado” (somente DC) N/D
9.1.1 Verifique se “Firewall do Windows: domínio: estado de firewall” está definido como “Ativado (recomendado)” Falha
9.1.2 Verifique se “Firewall do Windows: domínio: conexões de entrada” está definido como “Bloquear (padrão)” Aprovado
9.1.3 Verifique se “Firewall do Windows: domínio: conexões de saída” está definido como “Permitir (padrão)” Aprovado
9.1.4 Verifique se “Firewall do Windows: domínio: registrar em log: nome” está definido como “%SystemRoot%\System32\logfiles\firewall\domainfw.log” Aprovado
9.1.5 Verifique se “Firewall do Windows: domínio: registrar em log: limite de tamanho (KB)” está definido como “16.384 KB ou superior” Aprovado
9.1.6 Verifique se “Firewall do Windows: domínio: registrar em log: registrar pacotes descartados em log” está definido como “Sim” Aprovado
9.1.7 Verifique se “Firewall do Windows: domínio: registrar em log: registrar conexões bem-sucedidas em log” está definido como “Sim” Falha
9.2.1 Verifique se “Firewall do Windows: privado: estado de firewall” está definido como “Ativado (recomendado)” Falha
9.2.2 Verifique se “Firewall do Windows: privado: conexões de entrada” está definido como “Bloquear (padrão)” Aprovado
9.2.3 Verifique se “Firewall do Windows: privado: conexões de saída” está definido como “Permitir (padrão)” Falha
9.2.4 Verifique se “Firewall do Windows: privado: registrar em log: nome” está definido como “%SystemRoot%\System32\logfiles\firewall\privatefw.log” Aprovado
9.2.5 Verifique se “Firewall do Windows: privado: registrar em log: limite de tamanho (KB)” está definido como “16.384 KB ou superior” Aprovado
9.2.6 Verifique se “Firewall do Windows: privado: registrar em log: registrar pacotes descartados em log” está definido como “Sim” Aprovado
9.2.7 Verifique se “Firewall do Windows: privado: registrar em log: registrar conexões bem-sucedidas em log” está definido como “Sim” Aprovado
9.3.1 Verifique se “Firewall do Windows: público: estado de firewall” está definido como “Ativado (recomendado)” Falha
9.3.2 Verifique se “Firewall do Windows: público: conexões de entrada” está definido como “Bloquear (padrão)” Aprovado
9.3.3 Verifique se “Firewall do Windows: público: conexões de saída” está definido como “Permitir (padrão)” Falha
9.3.4 Verifique se “Firewall do Windows: público: registrar em log: nome” está definido como “%SystemRoot%\System32\logfiles\firewall\publicfw.log” Aprovado
9.3.5 Verifique se “Firewall do Windows: público: registrar em log: limite de tamanho (KB)” está definido como “16.384 KB ou superior” Falha
9.3.6 Verifique se “Firewall do Windows: público: registrar em log: registrar pacotes descartados em log” está definido como “Sim” Aprovado
9.3.7 Verifique se “Firewall do Windows: público: registrar em log: registrar conexões bem-sucedidas em log” está definido como “Sim” Aprovado
17.1.1 Verifique se “Validação de Credencial de Auditoria” está definido como “Sucesso e Falha” Aprovado
17.1.2 Verifique se “Auditoria do serviço de autenticação Kerberos” está definido como “Êxito e falha” (somente DC) Aprovado
17.2.1 Verifique se “Auditoria do gerenciamento da conta de computador” está definido para incluir “Êxito e falha” (somente DC) Aprovado
17.2.2 Verifique se “Auditoria do gerenciamento do grupo de distribuição” está definido para incluir “Êxito e falha” (somente DC) Aprovado
17.2.3 Verifique se “Auditoria de outros eventos de gerenciamento de conta” está definido para incluir “Êxito” (somente DC) Aprovado
17.2.4 Verifique se “Auditoria do gerenciamento do grupo de segurança” está definido para incluir “Êxito” Aprovado
17.2.5 Verifique se “Auditoria do gerenciamento da conta de usuário” está definido como “Êxito e falha” Aprovado
17.3.1 Verifique se “Atividade de Auditoria PNP” está definido como incluir “Êxito” Aprovado
17.3.2 Verifique se “Criação do Processo de Auditoria” está definido para incluir “Êxito” Aprovado
17.5.1 Verifique se “Auditoria de bloqueio de conta” está definido para incluir “Êxito e falha” Aprovado
17.5.2 Verifique se “Associação ao Grupo de Auditoria” está definido para incluir “Êxito” Aprovado
17.5.3 Verifique se “Auditoria de logoff” está definido para incluir “Êxito” Aprovado
17.5.4 Verifique se o “Auditoria de logon” está definido como “Êxito e Falha” Aprovado
17.5.5 Verifique se “Auditoria de outros eventos de logon/logoff” está definido como “Êxito e falha” Aprovado
17.5.6 Verifique se “Auditoria de logon especial” está definido para incluir “Êxito” Aprovado
17.6.1 Verifique se “Auditoria de outros eventos de acesso a objetos” está definido como “Êxito e falha” Falha
17.6.2 Verifique se “Auditoria de armazenamento removível” está definido como “Êxito e falha” Falha
17.7.1 Verifique se “Auditoria de alteração da política de auditoria” está definido para incluir “Êxito” Aprovado
17.7.2 Verifique se “Alteração da Política de Autenticação de Auditoria” está definido para incluir “Êxito” Aprovado
17.7.3 Verifique se “Auditoria de alteração de política no nível de regra do MPSSVC” está definido como “Êxito e falha” Falha
17.8.1 Verifique se “Auditoria do uso de privilégios confidenciais” está definido como “Êxito e falha” Aprovado
17.9.1 Verifique se “Auditoria da alteração do estado de segurança” está definido para incluir “Êxito” Falha
17.9.2 Verifique se “Extensão do Sistema de Segurança de Auditoria” está definido para incluir “Êxito” Aprovado
17.9.3 Verifique se “Integridade do Sistema de Auditoria” está definido como “Êxito e falha” Aprovado
18.1.2.2 Verifique se “Permitir que os usuários habilitem serviços de reconhecimento de fala online” está definido como “Desabilitado” Falha
18.3.1 Verifique se “Configurar driver de cliente SMB v1” está definido como “Habilitado: desabilitar driver (recomendado)” Aprovado
18.3.2 Verifique se “Configurar servidor SMB v1” está definido como “Desabilitado” Aprovado
18.3.3 Verifique se “Habilitar a SEHOP (proteção contra substituição no tratamento de exceção estruturado)” está definido como “Habilitado” Aprovado
18.3.4 Verifique se “Configuração do NetBT NodeType” está definido como “Habilitado: P-node (recomendado)” Aprovado
18.3.5 Verifique se “Autenticação WDigest” está definido como “Desabilitado” Aprovado
18.4.1 Verifique se “MSS: (DisableIPSourceRouting IPv6) nível de proteção de roteamento de origem IP (protege contra falsificação de pacotes)” está definido como “Habilitado: proteção mais alta, o roteamento de origem está completamente desabilitado” Aprovado
18.4.2 Verifique se “MSS: (DisableIPSourceRouting) nível de proteção de roteamento de origem IP (protege contra falsificação de pacotes)” está definido como “Habilitado: a proteção mais alta, o roteamento de origem está completamente desabilitado” Aprovado
18.4.3 Verifique se “MSS: (EnableICMPRedirect) permitir redirecionamentos do ICMP para substituir rotas geradas pelo OSPF” está definido como “Desabilitado” Falha
18.4.4 Verifique se “MSS: (NoNameReleaseOnDemand) permitir que o computador ignore solicitações de versão de nome do NetBIOS, exceto de servidores WINS” está definido como “Habilitado” Aprovado
18.5.4.1 Verifique se “Desativar resolução de nomes multicast” está definido como “Habilitado” Falha
18.5.8.1 Verifique se “Habilitar logons não seguros de convidado” está definido como “Desabilitado” Falha
18.5.11.2 Verifique se “Proibir a instalação e a configuração da ponte de rede em sua rede de domínio DNS” está definido como “Habilitado” Falha
18.5.11.3 Verifique se “Proibir o uso do compartilhamento de conexão de Internet em sua rede de domínio DNS” está definido como “Habilitado” Falha
18.5.14.1 Verifique se “Caminhos UNC protegidos” está definido como “Habilitado, com ‘Exigir autenticação mútua’ e ‘Exigir integridade’ definidos para todos os compartilhamentos NETLOGON e SYSVOL” Aprovado
18.5.21.1 Verifique se “Minimizar o número de conexões simultâneas com a Internet ou um Domínio do Windows” está definido como “Habilitado: 1 = Minimizar conexões simultâneas” Aprovado
18.8.3.1 Verifique se “Incluir linha de comando em eventos de criação de processo” está definido como “Habilitado” Falha
18.8.4.1 Verifique se “Correção do Oracle de Criptografia” está definido como “Habilitado: Forçar Clientes Atualizados” Aprovado
18.8.4.2 Verifique se “O host remoto permite a delegação de credenciais não exportáveis” está definido como “Habilitado” Aprovado
18.8.14.1 Verifique se “Política de Inicialização do driver inicializador” está definido como “Habilitada: boa, desconhecida e ruim, mas crítica” Aprovado
18.8.21.2 Verifique se a opção 'Configurar o processamento de política do Registro: não aplicar durante o processamento periódico em segundo plano' está definida como 'Habilitada: FALSE' Aprovado
18.8.21.3 Verifique se a opção 'Configurar o processamento de política do Registro: processar mesmo se os objetos Política de Grupo não tiverem sido alterados' está definida como 'Habilitada: TRUE' Aprovado
18.8.21.4 Verifique se “Continuar experiências neste dispositivo” está definido como “Desabilitado” Aprovado
18.8.21.5 Verifique se “Desativar atualização em segundo plano da Política de Grupo” está definido como “Desabilitado” Aprovado
18.8.22.1.1 Verifique se “Desativar o download de drivers de impressão por HTTP” está definido como “Habilitado” Falha
18.8.28.1 Verifique se “Impedir que o usuário mostre detalhes da conta na entrada” está definido como “Habilitado” Falha
18.8.28.2 Verifique se “Não exibir a interface do usuário de seleção de rede” está definido como “Habilitado” Falha
18.8.36.1 Verifique se “Configurar assistência remota de oferta” está definido como “Desabilitado” Aprovado
18.8.36.2 Verifique se “Configurar assistência remota solicitada” está definido como “Desabilitado” Falha
18.8.40.1 Verifique se “Configurar a validação de chaves WHfB vulneráveis a ROCA durante a autenticação” está definido como “Habilitado: Auditoria” ou superior (somente DC) N/D
18.9.6.1 Verifique se “Permitir que as contas da Microsoft sejam opcionais” está definido como “Habilitado” Falha
18.9.14.1 Verifique se “Desativar o conteúdo do estado da conta do consumidor de nuvem” está definido como “Habilitado” Aprovado
18.9.14.2 Verifique se “Desativar experiências do consumidor da Microsoft” está definido como “Habilitado” Aprovado
18.9.16.1 Verifique se “Não exibir o botão de revelação de senha” está definido como “Habilitado” Falha
18.9.16.2 Verifique se “Enumerar contas de administrador na elevação” está definido como “Desabilitado” Aprovado
18.9.17.1 Verifique se “Permitir dados de diagnóstico” está definido como “Habilitado: enviar dados de diagnóstico necessários” Falha
18.9.27.1.1 Verifique se “Aplicativo: controlar o comportamento do log de eventos quando o arquivo de log atingir seu tamanho máximo” está definido como “Desabilitado” Aprovado
18.9.27.1.2 Verifique se “Aplicativo: especificar o tamanho máximo do arquivo de log (KB)” está definido como “Habilitado: 32.768 ou maior” Falha
18.9.27.2.1 Verifique se “Segurança: controlar o comportamento do log de eventos quando o arquivo de log atingir seu tamanho máximo” está definido como “Desabilitado” Aprovado
18.9.27.2.2 Verifique se “Segurança: especificar o tamanho máximo do arquivo de log (KB)” está definido como “Habilitado: 196.608 ou maior” Falha
18.9.27.3.1 Verifique se “Configuração: controlar o comportamento do log de eventos quando o arquivo de log atingir seu tamanho máximo” está definido como “Desabilitado” Aprovado
18.9.27.3.2 Verifique se “Configuração: especificar o tamanho máximo do arquivo de log (KB)” está definido como “Habilitado: 32.768 ou maior” Falha
18.9.27.4.1 Verifique se “Sistema: controlar o comportamento do log de eventos quando o arquivo de log atingir seu tamanho máximo” está definido como “Desabilitado” Aprovado
18.9.27.4.2 Verifique se “Sistema: especificar o tamanho máximo do arquivo de log (KB)” está definido como “Habilitado: 32.768 ou maior” Falha
18.9.31.2 Verifique se “Desativar a prevenção de execução de dados para Explorer” está definido como “Desabilitado” Aprovado
18.9.31.3 Verifique se “Desativar o encerramento do heap em corrupção” está definido como “Desabilitado” Aprovado
18.9.31.4 Verifique se “Desativar o modo protegido pelo protocolo shell” está definido como “Desabilitado” Aprovado
18.9.46.1 Verifique se “Bloquear toda a autenticação de usuário da conta Microsoft do consumidor” está definido como “Habilitado” Aprovado
18.9.47.15 Verifique se “Configurar a detecção para aplicativos potencialmente indesejados” está definido como “Habilitado: bloquear” Aprovado
18.9.47.16 Verifique se “Desativar o antivírus Microsoft Defender” está definido como “Desabilitado” Aprovado
18.9.47.4.1 Verifique se “Definir a substituição da configuração local para relatórios no Microsoft MAPS” está definido como “Desabilitado” Aprovado
18.9.47.5.1.1 Verifique se “Configurar regras de redução da superfície de ataque” está definido como “Habilitado” Aprovado
18.9.47.5.1.2 Verifique se “Configurar regras de redução da superfície de ataque: definir o estado para cada regra ASR” está configurado Aprovado
18.9.47.5.3.1 Verifique se “Impedir que usuários e aplicativos acessem sites perigosos” está definido como “Habilitado: bloquear” Aprovado
18.9.47.9.1 Verifique se “Verificar todos os arquivos e anexos baixados” está definido como “Habilitado” Aprovado
18.9.47.9.2 Verifique se “Desativar proteção em tempo real” está definido como “Desabilitado” Aprovado
18.9.47.9.3 Verifique se “Ativar o monitoramento de comportamento” está definido como “Habilitado” Aprovado
18.9.47.9.4 Verifique se “Ativar verificação de script” está definido como “Habilitado” Aprovado
18.9.47.12.1 Verifique se “Ativar verificação de email” está definido como “Habilitado” Falha
18.9.65.2.2 Verifique se “Não permitir que senhas sejam salvas” está definido como “Habilitado” Falha
18.9.65.3.3.1 Verifique se “Não permitir redirecionamento de unidade” está definido como “Habilitado” Aprovado
18.9.65.3.9.1 Verifique se “Sempre solicitar senha na conexão” está definido como “Habilitado” Falha
18.9.65.3.9.2 Verifique se “Exigir comunicação de RPC segura” está definido como “Habilitado” Falha
18.9.65.3.9.3 Verifique se “Definir o nível de criptografia de conexão do cliente” está definido como “Habilitado: alto nível” Aprovado
18.9.65.3.11.1 Verifique se “Não excluir pastas temporárias após a saída” está definido como “Desabilitado” Aprovado
18.9.65.3.11.2 Verifique se “Não usar pastas temporárias por sessão” está definido como “Desabilitado” Aprovado
18.9.66.1 Verifique se “Impedir o download de compartimentos” está definido como “Habilitado” Falha
18.9.67.2 Verifique se “Permitir indexação de arquivos criptografados” está definido como “Desabilitado” Aprovado
18.9.85.1.1 Verifique se “Configurar o Windows Defender SmartScreen” está definido como “Habilitado: avisar e impedir bypass” Falha
18.9.90.1 Verifique se “Permitir controle do usuário sobre instalações” está definido como “Desabilitado” Aprovado
18.9.90.2 Verifique se “Sempre instalar com privilégios elevados” está definido como “Desabilitado” Aprovado
18.9.91.1 Verifique se “Entrar e bloquear o último usuário interativo automaticamente após uma reinicialização” está definido como “Desabilitado” Aprovado
18.9.100.1 Verifique se “Ativar o log de blocos de script do PowerShell” está definido como “Habilitado” Falha
18.9.100.2 Verifique se “Ativar transcrição do PowerShell” está definido como “Desabilitado” Aprovado
18.9.102.1.1 Verifique se “Permitir autenticação básica” está definido como “Desabilitado” Aprovado
18.9.102.1.2 Verifique se “Permitir tráfego não criptografado” está definido como “Desabilitado” Aprovado
18.9.102.1.3 Verifique se “Não permitir autenticação Digest” está definido como “Habilitado” Falha
18.9.102.2.1 Verifique se “Permitir autenticação básica” está definido como “Desabilitado” Aprovado
18.9.102.2.2 Verifique se “Permitir tráfego não criptografado” está definido como “Desabilitado” Aprovado
18.9.102.2.3 Verifique se “Não permitir que o WinRM armazene credenciais de RunAs” está definido como “Habilitado” Falha
18.9.105.2.1 Verifique se “Impedir que os usuários modifiquem as configurações” está definido como “Habilitado” Aprovado

Próximas etapas

Para saber mais sobre a segurança do AKS, confira os seguintes artigos:

  • Última atualização em