Nota
O acesso a esta página requer autorização. Pode tentar iniciar sessão ou alterar os diretórios.
O acesso a esta página requer autorização. Pode tentar alterar os diretórios.
Como um serviço seguro, o Serviço Kubernetes do Azure (AKS) está em conformidade com os padrões SOC, ISO, PCI DSS e HIPAA. Este artigo aborda a configuração do sistema operacional de segurança aplicada à imagem do Windows usada pelo AKS. Essa configuração de segurança é baseada na linha de base de segurança do Azure X, que se alinha com a referência CIS. Para obter mais informações sobre segurança AKS, consulte Conceitos de segurança para aplicativos e clusters no Serviço Kubernetes do Azure (AKS). Para obter mais informações sobre a segurança do AKS, consulte Conceitos de segurança para aplicativos e clusters no Serviço Kubernetes do Azure (AKS). Para obter mais informações sobre o benchmark CIS, consulte Center for Internet Security (CIS) Benchmarks. Para obter mais informações sobre as linhas de base de segurança do Azure para Windows, consulte Linha de base de segurança do Windows.
Windows Server 2022
Os clusters AKS são implantados em máquinas virtuais host, que executam um sistema operacional com configurações seguras integradas. Este sistema operacional é usado para contêineres executados no AKS. Este sistema operacional host é baseado em uma imagem do Windows Server 2022 com configurações de segurança aplicadas.
Como parte do sistema operacional otimizado para segurança:
- O AKS fornece um sistema operacional host otimizado para segurança por padrão, mas nenhuma opção para selecionar um sistema operacional alternativo.
- O sistema operacional host otimizado para segurança é construído e mantido especificamente para o AKS e não é suportado fora da plataforma AKS.
- Alguns drivers de módulo do kernel desnecessários foram desativados no sistema operacional para reduzir a área da superfície de ataque.
Nota
Sem relação com os benchmarks do CIS, o Azure aplica patches diários, incluindo patches de segurança, a hosts de máquinas virtuais AKS.
O objetivo da configuração segura incorporada ao sistema operacional host é reduzir a área de superfície de ataque e otimizar a implantação de contêineres de forma segura.
A seguir estão os resultados das recomendações do CIS Azure Compute Microsoft Windows Server 2022 Benchmark v1.0.0 - 26-01-2023 .
As recomendações podem ter uma das seguintes razões:
- Potencial impacto da operação - A recomendação não foi aplicada porque teria um efeito negativo no serviço.
- Coberto em outro lugar - A recomendação é coberta por outro controle na computação em nuvem do Azure.
As regras do SIA aplicadas são as seguintes:
| Número do parágrafo do SIA | Descrição da recomendação | Situação | Razão |
|---|---|---|---|
| 1.1.1 | Verifique se 'Impor histórico de senhas' está definido como '24 ou mais senha(s)' | Reprovado | |
| 1.1.2 | Certifique-se de que 'Idade máxima da palavra-passe' está definido como '365 ou menos dias, mas não 0' | Aprovação | |
| 1.1.3 | Certifique-se de que 'Idade mínima da palavra-passe' está definido como '1 ou mais dia(s)' | Reprovado | |
| 1.1.4 | Verifique se 'Comprimento mínimo da senha' está definido como '14 ou mais caractere(s)' | Reprovado | |
| 1.1.5 | Verifique se 'A senha deve atender aos requisitos de complexidade' está definido como 'Habilitado' | Aprovação | |
| 1.1.6 | Verifique se 'Armazenar senhas usando criptografia reversível' está definido como 'Desativado' | Aprovação | |
| 2.2.1 | Verifique se 'Access Credential Manager as a trusted caller' está definido como 'No One' | Aprovação | |
| 2.2.2 | Certifique-se de que 'Aceder a este computador a partir da rede' está definido como 'Administradores, Utilizadores Autenticados, CONTROLADORES DE DOMÍNIO EMPRESARIAIS' (apenas DC) | Reprovado | |
| 2.2.4 | Verifique se 'Agir como parte do sistema operacional' está definido como 'Ninguém' | Aprovação | |
| 2.2.5 | Verifique se 'Adicionar estações de trabalho ao domínio' está definido como 'Administradores' (somente DC) | N/A | |
| 2.2.6 | Verifique se 'Ajustar cotas de memória para um processo' está definido como 'Administradores, SERVIÇO LOCAL, SERVIÇO DE REDE' | Aprovação | |
| 2.2.7 | Verifique se 'Permitir logon localmente' está definido como 'Administradores' | Reprovado | |
| 2.2.8 | Certifique-se de que 'Permitir início de sessão através dos Serviços de Ambiente de Trabalho Remoto' está definido como 'Administradores' (apenas DC) | Aprovação | |
| 2.2.10 | Verifique se 'Fazer backup de arquivos e diretórios' está definido como 'Administradores, operadores de backup' | Aprovação | |
| 2.2.11 | Certifique-se de que 'Alterar a hora do sistema' está definido como 'Administradores, SERVIÇO LOCAL' | Aprovação | |
| 2.2.12 | Verifique se 'Alterar o fuso horário' está definido como 'Administradores, SERVIÇO LOCAL' | Aprovação | |
| 2.2.13 | Verifique se 'Criar um arquivo de paginação' está definido como 'Administradores' | Aprovação | |
| 2.2.14 | Verifique se 'Criar um objeto de token' está definido como 'Ninguém' | Aprovação | |
| 2.2.15 | Verifique se 'Criar objetos globais' está definido como 'Administradores, SERVIÇO LOCAL, SERVIÇO DE REDE, SERVIÇO' | Aprovação | |
| 2.2.16 | Verifique se 'Criar objetos compartilhados permanentes' está definido como 'Ninguém' | Aprovação | |
| 2.2.17 | Verifique se 'Criar links simbólicos' está definido como 'Administradores' (somente DC) | Aprovação | |
| 2.2.19 | Verifique se 'Depurar programas' está definido como 'Administradores' | Aprovação | |
| 2.2.20 | Certifique-se de que 'Negar acesso a este computador a partir da rede' inclua 'Convidados' | Reprovado | |
| 2.2.21 | Certifique-se de 'Negar logon como um trabalho em lote' para incluir 'Convidados' | Reprovado | |
| 2.2.22 | Certifique-se de "Negar logon como um serviço" para incluir "Convidados" | Reprovado | |
| 2.2.23 | Certifique-se de "Negar logon localmente" para incluir "Convidados" | Reprovado | |
| 2.2.24 | Certifique-se de que 'Negar início de sessão através dos Serviços de Ambiente de Trabalho Remoto' inclua 'Convidados' | Reprovado | |
| 2.2.25 | Verifique se 'Habilitar contas de computador e usuário confiáveis para delegação' está definido como 'Administradores' (somente DC) | Aprovação | |
| 2.2.27 | Verifique se 'Forçar desligamento de um sistema remoto' está definido como 'Administradores' | Aprovação | |
| 2.2.28 | Certifique-se de que 'Gerar auditorias de segurança' está definido como 'SERVIÇO LOCAL, SERVIÇO DE REDE' | N/A | |
| 2.2.29 | Verifique se 'Representar um cliente após autenticação' está definido como 'Administradores, SERVIÇO LOCAL, SERVIÇO DE REDE, SERVIÇO' (somente DC) | Aprovação | |
| 2.2.31 | Verifique se 'Aumentar prioridade de agendamento' está definido como 'Administradores' | Reprovado | |
| 2.2.32 | Verifique se 'Carregar e descarregar drivers de dispositivo' está definido como 'Administradores' | Aprovação | |
| 2.2.33 | Certifique-se de que 'Bloquear páginas na memória' está definido como 'Ninguém' | Aprovação | |
| 2.2.34 | Verifique se 'Gerenciar auditoria e log de segurança' está definido como 'Administradores' e (quando o Exchange estiver em execução no ambiente) 'Exchange Servers' (somente DC) | Aprovação | |
| 2.2.36 | Verifique se 'Modificar um rótulo de objeto' está definido como 'Ninguém' | Aprovação | |
| 2.2.37 | Certifique-se de que 'Modificar valores do ambiente de firmware' está definido como 'Administradores' | Aprovação | |
| 2.2.38 | Verifique se 'Executar tarefas de manutenção de volume' está definido como 'Administradores' | Aprovação | |
| 2.2.39 | Verifique se 'Processo único de perfil' está definido como 'Administradores' | Aprovação | |
| 2.2.40 | Verifique se 'Desempenho do sistema de perfil' está definido como 'Administradores, NT SERVICE\WdiServiceHost' | Aprovação | |
| 2.2.41 | Verifique se 'Substituir um token de nível de processo' está definido como 'SERVIÇO LOCAL, SERVIÇO DE REDE' | Aprovação | |
| 2.2.42 | Verifique se 'Restaurar arquivos e diretórios' está definido como 'Administradores, operadores de backup' | Aprovação | |
| 2.2.43 | Verifique se 'Desligar o sistema' está definido como 'Administradores, operadores de backup' | Aprovação | |
| 2.2.44 | Verifique se 'Sincronizar dados do serviço de diretório' está definido como 'Ninguém' (somente DC) | N/A | |
| 2.2.45 | Verifique se 'Assumir a propriedade de arquivos ou outros objetos' está definido como 'Administradores' | Aprovação | |
| 2.3.1.1 | Verifique se 'Contas: bloquear contas da Microsoft' está definido como 'Os usuários não podem adicionar ou fazer logon com contas da Microsoft' | Aprovação | |
| 2.3.1.3 | Verifique se 'Contas: limitar o uso de senhas em branco da conta local apenas para logon no console' está definido como 'Habilitado' | Aprovação | |
| 2.3.1.4 | Configurar 'Contas: Renomear conta de administrador' | Aprovação | |
| 2.3.1.5 | Configurar 'Contas: Renomear conta de convidado' | Aprovação | |
| 2.3.2.1 | Verifique se 'Auditoria: forçar configurações de subcategoria de política de auditoria (Windows Vista ou posterior) para substituir as configurações de categoria de política de auditoria' está definido como 'Habilitado' | Aprovação | |
| 2.3.2.2 | Certifique-se de que 'Auditoria: Desligue o sistema imediatamente se não for possível registrar auditorias de segurança' esteja definido como 'Desativado' | Aprovação | |
| 2.3.4.1 | Verifique se 'Dispositivos: Permitido formatar e ejetar mídia removível' está definido como 'Administradores' | Aprovação | |
| 2.3.4.2 | Verifique se 'Dispositivos: impedir que os usuários instalem drivers de impressora' esteja definido como 'Habilitado' | Aprovação | |
| 2.3.5.1 | Verifique se 'Controlador de domínio: permitir que os operadores de servidor programem tarefas' está definido como 'Desativado' (somente DC) | N/A | |
| 2.3.5.2 | Verifique se 'Controlador de domínio: permitir conexões de canal seguro Netlogon vulneráveis' está definido como 'Não configurado' (somente DC) | N/A | |
| 2.3.5.3 | Verifique se 'Controlador de domínio: requisitos de token de vinculação de canal do servidor LDAP' está definido como 'Sempre' (somente DC) | N/A | |
| 2.3.5.4 | Verifique se 'Controlador de domínio: requisitos de assinatura do servidor LDAP' está definido como 'Exigir assinatura' (somente DC) | N/A | |
| 2.3.5.5 | Verifique se 'Controlador de domínio: Recusar alterações de senha da conta da máquina' está definido como 'Desativado' (somente DC) | N/A | |
| 2.3.6.1 | Verifique se 'Membro do domínio: criptografar digitalmente ou assinar dados de canal seguro (sempre)' está definido como 'Habilitado' | Aprovação | |
| 2.3.6.2 | Verifique se 'Membro do domínio: criptografar digitalmente os dados do canal seguro (quando possível)' está definido como 'Habilitado' | Aprovação | |
| 2.3.6.3 | Verifique se 'Membro do domínio: assinar digitalmente dados de canal seguros (quando possível)' está definido como 'Ativado' | Aprovação | |
| 2.3.6.4 | Verifique se 'Membro do domínio: desativar alterações de senha da conta da máquina' está definido como 'Desativado' | Aprovação | |
| 2.3.6.5 | Verifique se 'Membro do domínio: idade máxima da senha da conta da máquina' está definido como '30 ou menos dias, mas não 0' | Aprovação | |
| 2.3.7.1 | Verifique se 'Logon interativo: limite de inatividade da máquina' está definido como '900 ou menos segundo(s), mas não 0' | Aprovação | |
| 2.3.7.2 | Configurar 'Logon interativo: texto da mensagem para usuários que tentam fazer logon' | Reprovado | |
| 2.3.7.3 | Configurar 'Logon interativo: título da mensagem para usuários que tentam fazer logon' | Reprovado | |
| 2.3.7.4 | Verifique se 'Logon interativo: Solicitar que o usuário altere a senha antes da expiração' esteja definido como 'entre 5 e 14 dias' | Aprovação | |
| 2.3.8.1 | Verifique se 'Cliente de rede Microsoft: Assinar comunicações digitalmente (sempre)' está definido como 'Habilitado' | Reprovado | |
| 2.3.8.2 | Verifique se 'Cliente de rede Microsoft: assinar comunicações digitalmente (se o servidor concordar)' está definido como 'Habilitado' | Aprovação | |
| 2.3.8.3 | Verifique se 'Cliente de rede Microsoft: Enviar senha não criptografada para servidores SMB de terceiros' está definido como 'Desativado' | Aprovação | |
| 2.3.9.1 | Verifique se 'Servidor de rede Microsoft: quantidade de tempo ocioso necessário antes de suspender a sessão' está definido como '15 ou menos minuto(s)' | Aprovação | |
| 2.3.9.2 | Verifique se 'Servidor de rede Microsoft: Assinar comunicações digitalmente (sempre)' está definido como 'Habilitado' | Reprovado | |
| 2.3.9.3 | Verifique se 'Servidor de rede Microsoft: assinar comunicações digitalmente (se o cliente concordar)' está definido como 'Habilitado' | Reprovado | |
| 2.3.9.4 | Verifique se 'Servidor de rede Microsoft: Desconectar clientes quando as horas de logon expirarem' está definido como 'Habilitado' | Aprovação | |
| 2.3.10.1 | Verifique se 'Acesso à rede: permitir tradução anônima de SID/nome' está definido como 'Desativado' | Aprovação | |
| 2.3.10.4 | Verifique se 'Acesso à rede: permitir que todas as permissões se apliquem a usuários anônimos' está definido como 'Desativado' | Aprovação | |
| 2.3.10.5 | Configurar 'Acesso à rede: pipes nomeados que podem ser acessados anonimamente' (somente DC) | Aprovação | |
| 2.3.10.7 | Configurar 'Acesso à rede: caminhos de registro acessíveis remotamente' está configurado | Aprovação | |
| 2.3.10.8 | Configurar 'Acesso à rede: caminhos e subcaminhos do Registro acessíveis remotamente' está configurado | Aprovação | |
| 2.3.10.9 | Verifique se 'Acesso à rede: restringir o acesso anônimo a pipes e compartilhamentos nomeados' está definido como 'Habilitado' | Aprovação | |
| 2.3.10.11 | Verifique se 'Acesso à rede: compartilhamentos que podem ser acessados anonimamente' está definido como 'Nenhum' | N/A | |
| 2.3.10.12 | Verifique se 'Acesso à rede: modelo de compartilhamento e segurança para contas locais' está definido como 'Clássico - usuários locais se autenticam como eles mesmos' | Aprovação | |
| 2.3.11.1 | Verifique se 'Segurança de rede: Permitir que o sistema local use a identidade do computador para NTLM' está definido como 'Habilitado' | Reprovado | |
| 2.3.11.2 | Verifique se 'Segurança de rede: Permitir fallback de sessão NULL LocalSystem' está definido como 'Desativado' | Aprovação | |
| 2.3.11.3 | Verifique se 'Segurança de rede: permitir que solicitações de autenticação PKU2U para este computador usem identidades online' está definido como 'Desativado' | Aprovação | |
| 2.3.11.4 | Verifique se 'Segurança de rede: configurar tipos de criptografia permitidos para Kerberos' está definido como 'AES128_HMAC_SHA1, AES256_HMAC_SHA1, Tipos de criptografia futuros' | Aprovação | |
| 2.3.11.5 | Certifique-se de que 'Segurança de rede: Não armazene o valor de hash do LAN Manager na próxima alteração de senha' está definido como 'Ativado' | Aprovação | |
| 2.3.11.6 | Certifique-se de que 'Segurança de rede: nível de autenticação do LAN Manager' está definido como 'Enviar apenas resposta NTLMv2. Recusar LM & NTLM' | Reprovado | |
| 2.3.11.7 | Verifique se 'Segurança de rede: requisitos de assinatura do cliente LDAP' está definido como 'Negociar assinatura' ou superior | Aprovação | |
| 2.3.11.8 | Certifique-se de que 'Segurança de rede: segurança mínima de sessão para clientes baseados em SSP NTLM (incluindo RPC seguro)' está definido como 'Exigir segurança de sessão NTLMv2, Exigir criptografia de 128 bits' | Reprovado | |
| 2.3.11.9 | Verifique se 'Segurança de rede: segurança mínima de sessão para servidores baseados em SSP NTLM (incluindo RPC seguro)' está definido como 'Exigir segurança de sessão NTLMv2, Exigir criptografia de 128 bits' | Reprovado | |
| 2.3.13.1 | Verifique se 'Desligamento: permitir que o sistema seja desligado sem ter que fazer logon' está definido como 'Desativado' | Aprovação | |
| 2.3.15.1 | Verifique se 'Objetos do sistema: exigir insensibilidade a maiúsculas e minúsculas para subsistemas que não sejam do Windows' está definido como 'Habilitado' | Aprovação | |
| 2.3.15.2 | Verifique se 'Objetos do sistema: fortalecer as permissões padrão de objetos internos do sistema (por exemplo, links simbólicos)' está definido como 'Habilitado' | Aprovação | |
| 2.3.17.1 | Verifique se 'Controle de Conta de Usuário: Modo de Aprovação de Administrador para a conta de Administrador Incorporada' está definido como 'Habilitado' | Reprovado | |
| 2.3.17.2 | Verifique se 'Controle de Conta de Usuário: Comportamento do prompt de elevação para administradores no Modo de Aprovação de Administrador' está definido como 'Solicitar consentimento na área de trabalho segura' | Reprovado | |
| 2.3.17.3 | Verifique se 'Controle de Conta de Usuário: Comportamento do prompt de elevação para usuários padrão' está definido como 'Negar solicitações de elevação automaticamente' | Reprovado | |
| 2.3.17.4 | Verifique se 'Controle de Conta de Usuário: Detetar instalações de aplicativos e solicitar elevação' está definido como 'Habilitado' | Aprovação | |
| 2.3.17.5 | Verifique se 'Controle de Conta de Usuário: Somente elevar os aplicativos UIAccess instalados em locais seguros' está definido como 'Habilitado' | Aprovação | |
| 2.3.17.6 | Verifique se 'Controle de Conta de Usuário: Executar todos os administradores no Modo de Aprovação de Administrador' está definido como 'Habilitado' | Aprovação | |
| 2.3.17.7 | Verifique se 'Controle de Conta de Usuário: Alternar para a área de trabalho segura ao solicitar elevação' está definido como 'Habilitado' | Aprovação | |
| 2.3.17.8 | Verifique se 'Controle de Conta de Usuário: Virtualizar falhas de gravação de arquivo e registro em locais por usuário' está definido como 'Habilitado' | Aprovação | |
| 5.1 | Certifique-se de que 'Spooler de Impressão (Spooler)' está definido como 'Desativado' (apenas DC) | N/A | |
| 9.1.1 | Verifique se 'Firewall do Windows: Domínio: estado do firewall' está definido como 'Ativado (recomendado)' | Reprovado | |
| 9.1.2 | Verifique se 'Firewall do Windows: Domínio: Conexões de entrada' está definido como 'Bloquear (padrão)' | Aprovação | |
| 9.1.3 | Verifique se 'Firewall do Windows: Domínio: Conexões de saída' está definido como 'Permitir (padrão)' | Aprovação | |
| 9.1.4 | Verifique se 'Firewall do Windows: Domínio: Logging: Name' está definido como '%SystemRoot%\System32\logfiles\firewall\domainfw.log' | Aprovação | |
| 9.1.5 | Verifique se 'Firewall do Windows: Domínio: Log: limite de tamanho (KB)' está definido como '16.384 KB ou superior' | Aprovação | |
| 9.1.6 | Verifique se 'Firewall do Windows: Domínio: Log: Log de pacotes descartados' está definido como 'Sim' | Aprovação | |
| 9.1.7 | Verifique se 'Firewall do Windows: Domínio: Log: Registrar conexões bem-sucedidas' está definido como 'Sim' | Reprovado | |
| 9.2.1 | Verifique se 'Firewall do Windows: Privado: estado do firewall' está definido como 'Ativado (recomendado)' | Reprovado | |
| 9.2.2 | Verifique se 'Firewall do Windows: Privado: Conexões de entrada' está definido como 'Bloquear (padrão)' | Aprovação | |
| 9.2.3 | Verifique se 'Firewall do Windows: Privado: Conexões de saída' está definido como 'Permitir (padrão)' | Reprovado | |
| 9.2.4 | Verifique se 'Firewall do Windows: Private: Logging: Name' está definido como '%SystemRoot%\System32\logfiles\firewall\privatefw.log' | Aprovação | |
| 9.2.5 | Verifique se 'Firewall do Windows: Privado: Log: limite de tamanho (KB)' está definido como '16.384 KB ou superior' | Aprovação | |
| 9.2.6 | Verifique se 'Firewall do Windows: Privado: Log: Log drop packets' está definido como 'Sim' | Aprovação | |
| 9.2.7 | Verifique se 'Firewall do Windows: Privado: Log: Registrar conexões bem-sucedidas' está definido como 'Sim' | Aprovação | |
| 9.3.1 | Verifique se 'Firewall do Windows: Público: estado do firewall' está definido como 'Ativado (recomendado)' | Reprovado | |
| 9.3.2 | Verifique se 'Firewall do Windows: Público: Conexões de entrada' está definido como 'Bloquear (padrão)' | Aprovação | |
| 9.3.3 | Verifique se 'Firewall do Windows: Público: Conexões de saída' está definido como 'Permitir (padrão)' | Reprovado | |
| 9.3.4 | Verifique se 'Firewall do Windows: Público: Log: Nome' está definido como '%SystemRoot%\System32\logfiles\firewall\publicfw.log' | Aprovação | |
| 9.3.5 | Verifique se 'Firewall do Windows: Público: Log: limite de tamanho (KB)' está definido como '16.384 KB ou superior' | Reprovado | |
| 9.3.6 | Verifique se 'Firewall do Windows: Público: Log: Log de pacotes descartados' está definido como 'Sim' | Aprovação | |
| 9.3.7 | Verifique se 'Firewall do Windows: Público: Log: Registrar conexões bem-sucedidas' está definido como 'Sim' | Aprovação | |
| 17.1.1 | Verifique se 'Validação de credenciais de auditoria' está definido como 'Sucesso e falha' | Aprovação | |
| 17.1.2 | Verifique se 'Serviço de autenticação Kerberos de auditoria' está definido como 'Êxito e falha' (somente DC) | Aprovação | |
| 17.2.1 | Certifique-se de que 'Auditar Gerenciamento de Conta de Computador' esteja definido para incluir 'Sucesso e Falha' (somente DC) | Aprovação | |
| 17.2.2 | Certifique-se de que 'Gerenciamento de Grupo de Distribuição de Auditoria' esteja definido para incluir 'Sucesso e Fracasso' (somente DC) | Aprovação | |
| 17.2.3 | Verifique se 'Auditar outros eventos de gerenciamento de contas' está definido para incluir 'Sucesso' (somente DC) | Aprovação | |
| 17.2.4 | Garantir que 'Gerenciamento do Grupo de Segurança de Auditoria' esteja definido para incluir 'Sucesso' | Aprovação | |
| 17.2.5 | Certifique-se de que 'Gerenciamento de conta de usuário de auditoria' esteja definido como 'Sucesso e fracasso' | Aprovação | |
| 17.3.1 | Garantir que a 'Atividade de Auditoria PNP' esteja definida para incluir 'Sucesso' | Aprovação | |
| 17.3.2 | Garantir que 'Criação do Processo de Auditoria' esteja definido para incluir 'Sucesso' | Aprovação | |
| 17.5.1 | Verifique se 'Bloqueio de conta de auditoria' está definido para incluir 'Sucesso e fracasso' | Aprovação | |
| 17.5.2 | Garantir que a opção «Membros do Grupo de Auditoria» inclui «Êxito» | Aprovação | |
| 17.5.3 | Certifique-se de que 'Logoff de auditoria' está definido para incluir 'Sucesso' | Aprovação | |
| 17.5.4 | Verifique se 'Logon de auditoria' está definido como 'Sucesso e fracasso' | Aprovação | |
| 17.5.5 | Verifique se 'Auditar outros eventos de logon/logoff' está definido como 'Êxito e falha' | Aprovação | |
| 17.5.6 | Certifique-se de que 'Audit Special Logon' está definido para incluir 'Success' | Aprovação | |
| 17.6.1 | Verifique se 'Auditar outros eventos de acesso a objetos' está definido como 'Êxito e falha' | Reprovado | |
| 17.6.2 | Verifique se 'Audit Removable Storage' está definido como 'Success and Failure' | Reprovado | |
| 17.7.1 | Garantir que 'Alteração da Política de Auditoria de Auditoria' esteja definido para incluir 'Sucesso' | Aprovação | |
| 17.7.2 | Certifique-se de que 'Alteração da política de autenticação de auditoria' esteja definido para incluir 'Êxito' | Aprovação | |
| 17.7.3 | Certifique-se de que 'Auditar a alteração da política no nível de regra do MPSSVC' esteja definido como 'Sucesso e fracasso' | Reprovado | |
| 17.8.1 | Verifique se 'Uso de privilégios sensíveis à auditoria' está definido como 'Sucesso e falha' | Aprovação | |
| 17.9.1 | Certifique-se de que 'Auditar Alteração de Estado de Segurança' está definido para incluir 'Sucesso' | Reprovado | |
| 17.9.2 | Certifique-se de que a 'Extensão do Sistema de Segurança de Auditoria' está definida para incluir 'Sucesso' | Aprovação | |
| 17.9.3 | Garantir que 'Integridade do Sistema de Auditoria' esteja definido como 'Sucesso e Fracasso' | Aprovação | |
| 18.1.2.2 | Certifique-se de que 'Permitir que os utilizadores ativem os serviços de reconhecimento de voz online' está definido como 'Desativado' | Reprovado | |
| 18.3.1 | Verifique se 'Configurar driver de cliente SMB v1' está definido como 'Ativado: Desativar driver (recomendado)' | Aprovação | |
| 18.3.2 | Verifique se 'Configurar servidor SMB v1' está definido como 'Desativado' | Aprovação | |
| 18.3.3 | Certifique-se de que 'Enable Structured Exception Handling Overwrite Protection (SEHOP)' esteja definido como 'Enabled' | Aprovação | |
| 18.3.4 | Verifique se 'NetBT NodeType configuration' está definido como 'Enabled: P-node (recomendado)' | Aprovação | |
| 18.3.5 | Verifique se 'WDigest Authentication' está definido como 'Disabled' | Aprovação | |
| 18.4.1 | Verifique se 'MSS: (DisableIPSourceRouting IPv6) nível de proteção de roteamento de origem IP (protege contra falsificação de pacotes)' está definido como 'Habilitado: a maior proteção, o roteamento de origem está completamente desativado' | Aprovação | |
| 18.4.2 | Verifique se 'MSS: (DisableIPSourceRouting) nível de proteção de roteamento de origem IP (protege contra falsificação de pacotes)' está definido como 'Habilitado: proteção mais alta, o roteamento de origem está completamente desativado' | Aprovação | |
| 18.4.3 | Verifique se 'MSS: (EnableICMPRedirect) Allow ICMP redirects to replace OSPF generated routes' está definido como 'Disabled' | Reprovado | |
| 18.4.4 | Verifique se 'MSS: (NoNameReleaseOnDemand) Allow the computer to ignore as solicitações de liberação de nome NetBIOS, exceto de servidores WINS' está definido como 'Enabled' | Aprovação | |
| 18.5.4.1 | Verifique se 'Desativar resolução de nomes de multicast' está definido como 'Ativado' | Reprovado | |
| 18.5.8.1 | Verifique se 'Ativar logons de convidado inseguros' está definido como 'Desativado' | Reprovado | |
| 18.5.11.2 | Certifique-se de que 'Proibir a instalação e configuração da Ponte de Rede na sua rede de domínio DNS' está definido como 'Ativado' | Reprovado | |
| 18.5.11.3 | Certifique-se de que 'Proibir a utilização da Partilha de Ligação à Internet na sua rede de domínio DNS' está definido como 'Ativado' | Reprovado | |
| 18.5.14.1 | Verifique se 'Hardened UNC Paths' está definido como 'Enabled, com "Require Mutual Authentication" e "Require Integrity" definidos para todos os compartilhamentos NETLOGON e SYSVOL' | Aprovação | |
| 18.5.21.1 | Verifique se 'Minimizar o número de conexões simultâneas com a Internet ou um domínio do Windows' está definido como 'Habilitado: 1 = Minimizar conexões simultâneas' | Aprovação | |
| 18.8.3.1 | Verifique se 'Incluir linha de comando em eventos de criação de processos' está definido como 'Habilitado' | Reprovado | |
| 18.8.4.1 | Verifique se 'Encryption Oracle Remediation' está definido como 'Enabled: Force Updated Clients' | Aprovação | |
| 18.8.4.2 | Verifique se 'Host remoto permite delegação de credenciais não exportáveis' está definido como 'Habilitado' | Aprovação | |
| 18.8.14.1 | Verifique se 'Política de inicialização do driver de inicialização' está definida como 'Habilitado: bom, desconhecido e ruim, mas crítico' | Aprovação | |
| 18.8.21.2 | Verifique se 'Configurar o processamento da política do Registro: Não aplicar durante o processamento periódico em segundo plano' está definido como 'Habilitado: FALSO' | Aprovação | |
| 18.8.21.3 | Verifique se 'Configurar o processamento da política do Registro: Processar mesmo que os objetos da Diretiva de Grupo não tenham sido alterados' esteja definido como 'Habilitado: VERDADEIRO' | Aprovação | |
| 18.8.21.4 | Certifique-se de que 'Continuar experiências neste dispositivo' está definido como 'Desativado' | Aprovação | |
| 18.8.21.5 | Verifique se 'Desativar atualização em segundo plano da Diretiva de Grupo' está definido como 'Desabilitado' | Aprovação | |
| 18.8.22.1.1 | Verifique se 'Desativar o download de drivers de impressão por HTTP' está definido como 'Ativado' | Reprovado | |
| 18.8.28.1 | Certifique-se de que 'Bloquear o utilizador de mostrar os detalhes da conta ao iniciar sessão' está definido como 'Ativado' | Reprovado | |
| 18.8.28.2 | Verifique se 'Não exibir interface do usuário de seleção de rede' está definido como 'Habilitado' | Reprovado | |
| 18.8.36.1 | Verifique se 'Configurar Assistência Remota de Oferta' está definido como 'Desativado' | Aprovação | |
| 18.8.36.2 | Verifique se 'Configurar Assistência Remota Solicitada' está definido como 'Desativado' | Reprovado | |
| 18.8.40.1 | Verifique se 'Configurar a validação de chaves WHfB vulneráveis ao ROCA durante a autenticação' está definido como 'Habilitado: Auditoria' ou superior (somente DC) | N/A | |
| 18.9.6.1 | Verifique se 'Permitir que as contas da Microsoft sejam opcionais' está definido como 'Habilitado' | Reprovado | |
| 18.9.14.1 | Verifique se 'Desativar conteúdo de estado da conta de consumidor na nuvem' está definido como 'Ativado' | Aprovação | |
| 18.9.14.2 | Verifique se 'Desativar experiências do consumidor da Microsoft' está definido como 'Habilitado' | Aprovação | |
| 18.9.16.1 | Verifique se 'Não exibir o botão de revelação de senha' está definido como 'Ativado' | Reprovado | |
| 18.9.16.2 | Verifique se 'Enumerar contas de administrador na elevação' está definido como 'Desativado' | Aprovação | |
| 18.9.17.1 | Verifique se 'Permitir dados de diagnóstico' está definido como 'Ativado: enviar dados de diagnóstico necessários' | Reprovado | |
| 18.9.27.1.1 | Verifique se 'Aplicativo: controlar o comportamento do log de eventos quando o arquivo de log atingir seu tamanho máximo' está definido como 'Desativado' | Aprovação | |
| 18.9.27.1.2 | Verifique se 'Aplicativo: especificar o tamanho máximo do arquivo de log (KB)' está definido como 'Habilitado: 32.768 ou superior' | Reprovado | |
| 18.9.27.2.1 | Verifique se 'Segurança: controlar o comportamento do log de eventos quando o arquivo de log atingir seu tamanho máximo' está definido como 'Desativado' | Aprovação | |
| 18.9.27.2.2 | Verifique se 'Segurança: especificar o tamanho máximo do arquivo de log (KB)' está definido como 'Habilitado: 196.608 ou superior' | Reprovado | |
| 18.9.27.3.1 | Verifique se 'Configuração: controlar o comportamento do log de eventos quando o arquivo de log atingir seu tamanho máximo' está definido como 'Desativado' | Aprovação | |
| 18.9.27.3.2 | Verifique se 'Configuração: especificar o tamanho máximo do arquivo de log (KB)' está definido como 'Habilitado: 32.768 ou superior' | Reprovado | |
| 18.9.27.4.1 | Verifique se 'Sistema: Controlar o comportamento do log de eventos quando o arquivo de log atingir seu tamanho máximo' está definido como 'Desativado' | Aprovação | |
| 18.9.27.4.2 | Verifique se 'Sistema: especificar o tamanho máximo do arquivo de log (KB)' está definido como 'Habilitado: 32.768 ou superior' | Reprovado | |
| 18.9.31.2 | Verifique se 'Desativar a Prevenção de Execução de Dados para o Explorer' está definido como 'Desativado' | Aprovação | |
| 18.9.31.3 | Verifique se 'Desativar terminação de pilha em caso de corrupção' está definido como 'Desativado' | Aprovação | |
| 18.9.31.4 | Verifique se 'Desativar o modo protegido do protocolo shell' está definido como 'Desativado' | Aprovação | |
| 18.9.46.1 | Verifique se 'Bloquear toda a autenticação de usuário da conta Microsoft do consumidor' está definido como 'Habilitado' | Aprovação | |
| 18.9.47.15 | Certifique-se de que 'Configurar deteção para aplicações potencialmente indesejadas' está definido como 'Ativado: Bloquear' | Aprovação | |
| 18.9.47.16 | Verifique se 'Desativar o Microsoft Defender AntiVirus' está definido como 'Desativado' | Aprovação | |
| 18.9.47.4.1 | Verifique se 'Configurar substituição de configuração local para relatórios ao Microsoft MAPS' está definido como 'Desabilitado' | Aprovação | |
| 18.9.47.5.1.1 | Certifique-se de que 'Configurar regras de Redução de Superfície de Ataque' está definido como 'Ativado' | Aprovação | |
| 18.9.47.5.1.2 | Verifique se 'Configurar regras de redução de superfície de ataque: definir o estado para cada regra ASR' está configurado | Aprovação | |
| 18.9.47.5.3.1 | Certifique-se de que "Impedir que utilizadores e aplicações acedam a Web sites perigosos" está definido como "Ativado: Bloquear" | Aprovação | |
| 18.9.47.9.1 | Verifique se 'Verificar todos os arquivos e anexos baixados' está definido como 'Ativado' | Aprovação | |
| 18.9.47.9.2 | Certifique-se de que 'Desativar proteção em tempo real' está definido como 'Desativado' | Aprovação | |
| 18.9.47.9.3 | Verifique se 'Ativar monitoramento de comportamento' está definido como 'Ativado' | Aprovação | |
| 18.9.47.9.4 | Verifique se 'Ativar verificação de script' está definido como 'Ativado' | Aprovação | |
| 18.9.47.12.1 | Verifique se 'Ativar varredura de e-mail' está definido como 'Habilitado' | Reprovado | |
| 18.9.65.2.2 | Certifique-se de que 'Não permitir que as palavras-passe sejam guardadas' está definido como 'Ativado' | Reprovado | |
| 18.9.65.3.3.1 | Verifique se 'Não permitir redirecionamento de unidade' está definido como 'Ativado' | Aprovação | |
| 18.9.65.3.9.1 | Verifique se 'Sempre solicitar senha após a conexão' está definido como 'Ativado' | Reprovado | |
| 18.9.65.3.9.2 | Verifique se 'Exigir comunicação RPC segura' está definido como 'Habilitado' | Reprovado | |
| 18.9.65.3.9.3 | Verifique se 'Definir nível de criptografia de conexão do cliente' está definido como 'Habilitado: Alto Nível' | Aprovação | |
| 18.9.65.3.11.1 | Verifique se 'Não excluir pastas temporárias ao sair' está definido como 'Desativado' | Aprovação | |
| 18.9.65.3.11.2 | Verifique se 'Não usar pastas temporárias por sessão' está definido como 'Desativado' | Aprovação | |
| 18.9.66.1 | Verifique se 'Impedir o download de invólucros' está definido como 'Ativado' | Reprovado | |
| 18.9.67.2 | Certifique-se de que 'Permitir indexação de ficheiros encriptados' está definido como 'Desativado' | Aprovação | |
| 18.9.85.1.1 | Verifique se 'Configurar o Windows Defender SmartScreen' está definido como 'Habilitado: avisar e evitar desvio' | Reprovado | |
| 18.9.90.1 | Verifique se 'Permitir controle do usuário sobre instalações' está definido como 'Desativado' | Aprovação | |
| 18.9.90.2 | Verifique se 'Sempre instalar com privilégios elevados' está definido como 'Desativado' | Aprovação | |
| 18.9.91.1 | Certifique-se de que 'Iniciar sessão e bloquear o último utilizador interativo automaticamente após um reinício' está definido como 'Desativado' | Aprovação | |
| 18.9.100.1 | Verifique se 'Ativar log de bloco de script do PowerShell' está definido como 'Habilitado' | Reprovado | |
| 18.9.100.2 | Verifique se 'Ativar transcrição do PowerShell' está definido como 'Desabilitado' | Aprovação | |
| 18.9.102.1.1 | Verifique se 'Permitir autenticação básica' está definido como 'Desativado' | Aprovação | |
| 18.9.102.1.2 | Verifique se 'Permitir tráfego não criptografado' está definido como 'Desativado' | Aprovação | |
| 18.9.102.1.3 | Verifique se 'Não permitir autenticação digest' está definido como 'Habilitado' | Reprovado | |
| 18.9.102.2.1 | Verifique se 'Permitir autenticação básica' está definido como 'Desativado' | Aprovação | |
| 18.9.102.2.2 | Verifique se 'Permitir tráfego não criptografado' está definido como 'Desativado' | Aprovação | |
| 18.9.102.2.3 | Verifique se 'Não permitir que o WinRM armazene credenciais RunAs' esteja definido como 'Habilitado' | Reprovado | |
| 18.9.105.2.1 | Certifique-se de que 'Impedir que os utilizadores modifiquem as definições' está definido como 'Ativado' | Aprovação |
Próximos passos
Para obter mais informações sobre a segurança do AKS, consulte os seguintes artigos: