Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
Служба Azure Kubernetes (AKS), будучи защищенной службой, соответствует стандартам SOC, ISO, PCI DSS и HIPAA. В этой статье описывается конфигурация ОС безопасности, применяемая к образу Windows, используемому AKS. Эта конфигурация безопасности основана на базовой конфигурации безопасности Azure X, которая соответствует тесту CIS. Дополнительные сведения о безопасности AKS см. в статье Основные понятия безопасности приложений и кластеров в Службе Azure Kubernetes (AKS). Дополнительные сведения о безопасности AKS см. в разделе "Основные понятия безопасности" для приложений и кластеров в службе Azure Kubernetes (AKS). Дополнительные сведения об эталоне CIS см. в Центре Интернет-безопасности (CIS) Benchmarks. Дополнительные сведения о базовых показателях безопасности Azure для Windows см. в разделе "Базовые показатели безопасности Windows".
Windows Server 2022
Кластеры AKS развертываются на виртуальных машинах узла, где выполняется операционная система со встроенными безопасными конфигурациями. Эта операционная система используется для контейнеров, работающих в AKS. Эта операционная система узла основана на образе Windows Server 2022 с примененными конфигурациями безопасности.
В рамках оптимизированной для безопасности операционной системы:
- AKS по умолчанию предоставляет оптимизированную для безопасности ОС узла, но не возможность выбора альтернативную операционную систему.
- Операционная система узла, оптимизированная для безопасности, создается и поддерживается специально для AKS и не поддерживается за пределами платформы AKS.
- Чтобы еще больше сократить возможные направления атак, в ОС были отключены некоторые ненужные драйверы модуля ядра.
Примечание.
Вне связи с эталонами CIS Azure применяет ежедневные исправления (включая обновления системы безопасности) к узлам виртуальных машин AKS.
Целью безопасной конфигурации, встроенной в ОС узла, является сокращение площади поверхности атаки и оптимизация развертывания контейнеров безопасным образом.
Ниже приведены результаты рекомендаций CIS Azure Compute Microsoft Windows Server 2022 Benchmark версии 1.0.0 – 01-26-2023 .
Рекомендации могут быть обусловлены одной из следующих причин:
- Потенциальное влияние операции — рекомендация не была применена, так как она окажет негативное влияние на службу.
- Освещено в другом месте — рекомендации охватываются другим контролем в облачных вычислениях Azure.
Далее показаны примененные правила CIS.
| Номер абзаца СНГ | Описание рекомендации | Состояние | Причина |
|---|---|---|---|
| 1.1.1 | Убедитесь, что параметр "Принудительное применение журнала паролей" имеет значение "24 или более паролей" | Сбой | |
| 1.1.2 | Убедитесь, что параметр "Максимальный возраст пароля" имеет значение "365 или меньше дней, но не 0" | Пройдено | |
| 1.1.3 | Убедитесь, что для минимального возраста пароля задано значение "1 или более дней", | Сбой | |
| 1.1.4 | Убедитесь, что для параметра "Минимальная длина пароля" задано значение "14 или более символов", | Сбой | |
| 1.1.5 | Убедитесь, что для параметра "Пароль должен соответствовать требованиям сложности" задано значение "Включено" | Пройдено | |
| 1.1.6 | Убедитесь, что для параметра "Сохранить пароли с использованием обратимого шифрования" задано значение "Отключено". | Пройдено | |
| 2.2.1 | Убедитесь, что "Access Credential Manager как доверенное лицо" установлен на "Никто" | Пройдено | |
| 2.2.2 | Убедитесь, что для параметра "Доступ к этому компьютеру из сети" задано значение "Администраторы, прошедшие проверку подлинности пользователи, контроллеры домена ПРЕДПРИЯТИЯ" (только контроллер домена) | Сбой | |
| 2.2.4 | Убедитесь, что "Act как часть операционной системы" имеет значение "Нет" | Пройдено | |
| 2.2.5 | Убедитесь, что параметр "Добавление рабочих станций в домен" имеет значение "Администраторы" (только для доменных контроллеров) | Н/П | |
| 2.2.6 | Убедитесь, что для параметра "Настройте квоты памяти для процесса" установлены значения "Администраторы, LOCAL SERVICE, NETWORK SERVICE" | Пройдено | |
| 2.2.7 | Убедитесь, что для параметра "Разрешить вход локально" задано значение "Администраторы" | Сбой | |
| 2.2.8 | Убедитесь, что для параметра "Разрешить вход через службы удаленных рабочих столов" задано значение "Администраторы" (только контроллер домена) | Пройдено | |
| 2.2.10 | Убедитесь, что для резервного копирования файлов и каталогов задано значение "Администраторы, операторы резервного копирования" | Пройдено | |
| 2.2.11 | Убедитесь, что параметр "Изменить системное время" имеет значение "Администраторы, LOCAL SERVICE" | Пройдено | |
| 2.2.12 | Убедитесь, что параметр "Изменить часовой пояс" имеет значение "Администраторы, LOCAL SERVICE" | Пройдено | |
| 2.2.13 | Убедитесь, что для параметра Create a pagefile задано значение "Администраторы" | Пройдено | |
| 2.2.14 | Убедитесь, что для свойства "Create a token object" (Создать объект токена) задано значение "Никто" | Пройдено | |
| 2.2.15 | Убедитесь, что для команды "Создание глобальных объектов" задано значение "Администраторы, ЛОКАЛЬНАЯ СЛУЖБА, СЕТЕВАЯ СЛУЖБА, СЛУЖБА" | Пройдено | |
| 2.2.16 | Убедитесь, что для создания постоянных общих объектов задано значение "Нет" | Пройдено | |
| 2.2.17 | Убедитесь, что для параметра "Создание символических ссылок" установлено значение "Администраторы" (только для контроллера домена) | Пройдено | |
| 2.2.19 | Убедитесь, что для "Отладочные программы" задано значение "Администраторы" | Пройдено | |
| 2.2.20 | Убедитесь, что параметр "Запретить доступ к этому компьютеру из сети" включает "Гости". | Сбой | |
| 2.2.21 | Убедитесь, что в параметр "Запретить вход в качестве пакетного задания" включены "Гости" | Сбой | |
| 2.2.22 | Убедитесь, что в параметре "Запретить вход в систему как услуга" указаны "Гости". | Сбой | |
| 2.2.23 | Убедитесь, что в параметре "Запретить вход локально" включены "Гости". | Сбой | |
| 2.2.24 | Убедитесь, что в параметр "Запретить вход через службы удаленных рабочих столов" включены "Гости". | Сбой | |
| 2.2.25 | Убедитесь, что параметр "Разрешить считать доверенными для делегирования учётные записи компьютеров и пользователей" установлен на "Администраторы" (только для контроллеров домена) | Пройдено | |
| 2.2.27 | Убедитесь, что для параметра "Принудительное завершение работы из удаленной системы" задано значение "Администраторы". | Пройдено | |
| 2.2.28 | Убедитесь, что параметр "Создать аудит безопасности" имеет значение "LOCAL SERVICE, NETWORK SERVICE". | Н/П | |
| 2.2.29 | Убедитесь, что параметр "Олицетворение клиента после проверки подлинности" установлен на "Администраторы, LOCAL SERVICE, NETWORK SERVICE, SERVICE" (только для контроллеров домена) | Пройдено | |
| 2.2.31 | Убедитесь, что параметр "Увеличить приоритет планирования" имеет значение "Администраторы" | Сбой | |
| 2.2.32 | Убедитесь, что параметр 'Загрузка и выгрузка драйверов устройств' установлен на 'Администраторы' | Пройдено | |
| 2.2.33 | Убедитесь, что для "Блокировка страниц в памяти" задано значение "Нет одного" | Пройдено | |
| 2.2.34 | Убедитесь, что параметр "Управление аудитом и безопасностью" имеет значение "Администраторы" и (когда Exchange работает в среде) "Серверы Exchange" (только контроллер домена) | Пройдено | |
| 2.2.36 | Убедитесь, что параметр "Изменить метку объекта" имеет значение "Нет" | Пройдено | |
| 2.2.37 | Убедитесь, что для параметра "Изменить значения среды встроенного ПО" задано значение "Администраторы" | Пройдено | |
| 2.2.38 | Убедитесь, что для "Выполнение задач обслуживания томов" задано значение "Администраторы" | Пройдено | |
| 2.2.39 | Убедитесь, что для "Профилировать один процесс" задано значение "Администраторы" | Пройдено | |
| 2.2.40 | Убедитесь, что параметр "Производительность системы профиля" имеет значение "Администраторы, NT SERVICE\WdiServiceHost" | Пройдено | |
| 2.2.41 | Убедитесь, что для "Замена маркера уровня процесса" задано значение LOCAL SERVICE, NETWORK SERVICE. | Пройдено | |
| 2.2.42 | Убедитесь, что для параметра "Восстановить файлы и каталоги" задано значение "Администраторы, операторы резервного копирования" | Пройдено | |
| 2.2.43 | Убедитесь, что параметр "Завершение работы системы" имеет значение "Администраторы, операторы резервного копирования" | Пройдено | |
| 2.2.44 | Убедитесь, что параметр "Синхронизация данных службы каталогов" имеет значение "Никто" (только для DC) | Н/П | |
| 2.2.45 | Убедитесь, что для свойства "Права владения файлами или другими объектами" задано значение "Администраторы" | Пройдено | |
| 2.3.1.1 | Убедитесь, что параметр "Учетные записи: блокировка учетных записей Майкрософт" имеет значение "Пользователи не могут добавлять или входить в систему с помощью учетных записей Майкрософт" | Пройдено | |
| 2.3.1.3 | Убедитесь, что "Учетные записи: ограничить использование локальных учетных записей пустыми паролями только для входа в консоль" установлено значение "Включено". | Пройдено | |
| 2.3.1.4 | Настройка "Учетные записи: переименование учетной записи администратора" | Пройдено | |
| 2.3.1.5 | Настройка "Учетные записи: переименование гостевой учетной записи" | Пройдено | |
| 2.3.2.1 | Убедитесь, что "Аудит: принудительное изменение параметров подкатегории политики аудита (Windows Vista или более поздней версии) для переопределения параметров категории политики аудита" имеет значение "Включено". | Пройдено | |
| 2.3.2.2 | Убедитесь, что "Аудит: немедленно завершить работу системы, если не удается записать аудит безопасности" имеет значение "Отключено". | Пройдено | |
| 2.3.4.1 | Убедитесь, что параметр "Устройства: разрешено форматировать и удалять съёмные носители" установлен на "Администраторы". | Пройдено | |
| 2.3.4.2 | Убедитесь, что "Устройства: запретить пользователям устанавливать драйверы принтера" установлено значение "Включено" | Пройдено | |
| 2.3.5.1 | Убедитесь, что для параметра "Контроллер домена: разрешить операторам сервера планировать задачи" установлено значение "Отключено" (только для контроллера домена). | Н/П | |
| 2.3.5.2 | Убедитесь, что для контроллера домена: разрешены подключения к защищенному каналу Netlogon установлено значение "Не настроено" (только для контроллера домена) | Н/П | |
| 2.3.5.3 | Убедитесь, что для "Контроллер домена: требования к привязке канала LDAP" установлено значение "Всегда" (только для контроллера домена) | Н/П | |
| 2.3.5.4 | Убедитесь, что для контроллера домена установлено значение "Требовать подпись" в разделе "Требования подписи сервера LDAP" (только для контроллера домена). | Н/П | |
| 2.3.5.5 | Убедитесь, что параметр "Контроллер домена: запрет на изменение пароля учетной записи машины" установлен на "Отключено" (только для DC). | Н/П | |
| 2.3.6.1 | Убедитесь, что для параметра "Член домена: цифровое шифрование или подпись данных безопасного канала (всегда)" установлено значение "Включено" | Пройдено | |
| 2.3.6.2 | Убедитесь, что для параметра "Член домена: шифрование данных безопасного канала (если возможно)" установлено значение "Включено" | Пройдено | |
| 2.3.6.3 | Убедитесь, что для опции "Член домена: подписание данных защищенного канала (если возможно)" установлено значение "Включено." | Пройдено | |
| 2.3.6.4 | Убедиться, что для параметра "Член домена: отключение изменений пароля учетной записи компьютера" установлено значение "Отключено" | Пройдено | |
| 2.3.6.5 | Убедиться, что "Член домена: Максимальный срок действия пароля учетной записи компьютера" имеет значение "30 или меньше дней, но не 0" | Пройдено | |
| 2.3.7.1 | Убедитесь, что "Интерактивный вход: ограничение бездействия компьютера" имеет значение "900 или меньше секунд", но не 0" | Пройдено | |
| 2.3.7.2 | Настройка интерактивного входа: текст сообщения для пользователей, пытающихся войти в систему. | Сбой | |
| 2.3.7.3 | Настройка интерактивного входа: заголовок сообщения для пользователей, пытающихся войти в систему. | Сбой | |
| 2.3.7.4 | Убедитесь, что "Интерактивный вход: запрос пользователя на изменение пароля до истечения срока действия" имеет значение "от 5 до 14 дней". | Пройдено | |
| 2.3.8.1 | Убедитесь, что для параметра "Клиент сети Майкрософт: обмен данными с цифровыми подписями (всегда)" задано значение "Включено". | Сбой | |
| 2.3.8.2 | Убедитесь, что для параметра "Клиент сети Майкрософт: Подписывать данные цифровой подписью (если сервер согласен)" установлен на "Включено". | Пройдено | |
| 2.3.8.3 | Убедитесь, что "Клиент сети Майкрософт: отправка незашифрованного пароля на сторонние серверы SMB" имеет значение "Отключено". | Пройдено | |
| 2.3.9.1 | Убедитесь, что "Сетевой сервер Майкрософт: время простоя, необходимое перед приостановкой сеанса", установлено значение "15 или меньше минут". | Пройдено | |
| 2.3.9.2 | Убедитесь, что для параметра "Сетевой сервер Microsoft: цифровая подпись обмена данными (всегда)" задано значение "Включено". | Сбой | |
| 2.3.9.3 | Убедитесь, что для параметра "Сетевой сервер Microsoft: цифровая подпись при обмене данными (если клиент согласен)" установлено значение "Включено". | Сбой | |
| 2.3.9.4 | Убедитесь, что "Сетевой сервер Майкрософт: отключение клиентов при истечении срока действия входа" имеет значение "Включено". | Пройдено | |
| 2.3.10.1 | Убедитесь, что параметр "Сетевой доступ: разрешить анонимный перевод SID/Name" установлен на "Отключено" | Пройдено | |
| 2.3.10.4 | Убедитесь, что "Сетевой доступ: Разрешить всем разрешениям применяться к анонимным пользователям" задано значение "Отключено". | Пройдено | |
| 2.3.10.5 | Настроить "Сетевой доступ: именованные каналы, к которым можно получить анонимный доступ" (только контроллер домена) | Пройдено | |
| 2.3.10.7 | Настройка "Сетевой доступ: пути к удаленному доступу к реестру" настроена. | Пройдено | |
| 2.3.10.8 | "Настроено 'Сетевой доступ: доступные удаленно пути реестра и вложенные пути'" | Пройдено | |
| 2.3.10.9 | Убедитесь, что параметр "Сетевой доступ: ограничить анонимный доступ к именованным каналам и общим ресурсам" установлен в значение "Включено". | Пройдено | |
| 2.3.10.11 | Убедитесь, что "Сетевой доступ: общие папки, к которым можно получить анонимный доступ", задано значение "Нет". | Н/П | |
| 2.3.10.12 | Убедитесь, что для параметра "Сетевой доступ: общий доступ и модель безопасности для локальных учетных записей" установлено значение "Классический — локальные пользователи проходят аутентификацию как сами". | Пройдено | |
| 2.3.11.1 | Убедитесь, что параметр "Безопасность сети: разрешить локальной системе использовать удостоверение компьютера для NTLM" имеет значение "Включено". | Сбой | |
| 2.3.11.2 | Убедитесь, что параметр "Безопасность сети: разрешить резервный сеанс LocalSystem NULL" имеет значение "Отключено" | Пройдено | |
| 2.3.11.3 | Убедитесь, что "Сетевая безопасность: разрешить запросы проверки подлинности PKU2U на этот компьютер использовать сетевые удостоверения" имеет значение "Отключено". | Пройдено | |
| 2.3.11.4 | Убедитесь, что параметр "Безопасность сети: настройка типов шифрования, разрешенных для Kerberos", имеет значение "AES128_HMAC_SHA1, AES256_HMAC_SHA1, будущие типы шифрования". | Пройдено | |
| 2.3.11.5 | Убедитесь, что "Безопасность сети: не хранить хэш-значение LAN Manager при следующем изменении пароля" имеет значение "Включено". | Пройдено | |
| 2.3.11.6 | Убедитесь, что для параметра "Безопасность сети: уровень проверки подлинности LAN Manager" установлено значение "Отправить только ответ NTLMv2". Отказаться от использования LM и NTLM | Сбой | |
| 2.3.11.7 | Убедитесь, что "Безопасность сети: требования к подписи клиента LDAP" заданы как "Согласование подписывания" или более поздней версии. | Пройдено | |
| 2.3.11.8 | Убедитесь, что "Безопасность сети: минимальная безопасность сеанса для клиентов NTLM SSP (включая безопасный RPC)" установлено на "Требовать безопасность сеанса NTLMv2, требовать 128-разрядное шифрование". | Сбой | |
| 2.3.11.9 | Убедитесь, что "Безопасность сети: минимальная безопасность сеансов для серверов, использующих NTLM SSP (включая безопасные RPC), установлена на "Требовать безопасность сеанса NTLMv2, требовать 128-разрядное шифрование". | Сбой | |
| 2.3.13.1 | Убедитесь, что для параметра «Завершение работы: разрешить завершение работы системы без входа» установлено значение «Отключено». | Пройдено | |
| 2.3.15.1 | Убедитесь, что параметр 'Системные объекты: требовать нечувствительность к регистру для подсистем не Windows' установлен на 'Включено'. | Пройдено | |
| 2.3.15.2 | Убедитесь, что "Системные объекты: укрепление разрешений по умолчанию для внутренних системных объектов (например, символических ссылок)" имеет значение "Включено". | Пройдено | |
| 2.3.17.1 | Убедитесь, что параметр "Управление учетными записями пользователей: режим утверждения администратора для встроенной учетной записи администратора" имеет значение "Включено". | Сбой | |
| 2.3.17.2 | Убедитесь, что параметр "Управление учетными записями пользователей: поведение запроса на повышение прав для администраторов в режиме утверждения администратора" имеет значение "Запрос на согласие на безопасном рабочем столе". | Сбой | |
| 2.3.17.3 | Убедитесь, что для параметра "Управление учетными записями пользователей: поведение запроса на повышение прав для стандартных пользователей" установлено значение "Автоматическое отклонение запросов на повышение прав". | Сбой | |
| 2.3.17.4 | Убедитесь, что параметр "Управление учетными записями пользователей: обнаружение установок приложений и запрос на повышение прав" имеет значение "Включено". | Пройдено | |
| 2.3.17.5 | Убедитесь, что "Управление учетными записями пользователей: только приложения UIAccess, установленные в безопасных расположениях", имеют значение "Включено". | Пройдено | |
| 2.3.17.6 | Убедитесь, что для параметра "Управление учетными записями пользователей: запуск всех администраторов в режиме утверждения администратора" имеет значение "Включено". | Пройдено | |
| 2.3.17.7 | Убедитесь, что параметр "Контроль учетных записей пользователей: переключение на безопасный рабочий стол при появлении запроса на повышение прав" имеет значение "Включено". | Пройдено | |
| 2.3.17.8 | Убедитесь, что параметр "Управление учетными записями пользователей: виртуализировать проблемы записи в файлы и реестр в расположения, принадлежащие пользователю" имеет значение "Включено". | Пройдено | |
| 5.1 | Убедитесь, что параметр "Диспетчер очереди печати (Spooler)" установлен в значение "Отключено" (только для контроллеров домена) | Н/П | |
| 9.1.1 | Убедитесь, что "Брандмауэр Windows: домен: состояние брандмауэра" имеет значение "Включено (рекомендуется)" | Сбой | |
| 9.1.2 | Убедитесь, что "Брандмауэр Windows: домен: входящий трафик" имеет значение "Блокировать (по умолчанию)" | Пройдено | |
| 9.1.3 | Убедитесь, что "Брандмауэр Windows: домен: исходящие подключения" имеет значение "Разрешить (по умолчанию)" | Пройдено | |
| 9.1.4 | Убедитесь, что для параметра "Брандмауэр Windows: Домен: Ведение журнала: Имя" установлено значение "%SystemRoot%\System32\logfiles\firewall\domainfw.log" | Пройдено | |
| 9.1.5 | Убедитесь, что "Брандмауэр Windows: домен: ведение журнала: ограничение размера (КБ)" имеет значение "16 384 КБ или больше". | Пройдено | |
| 9.1.6 | Убедитесь, что "Брандмауэр Windows: домен: ведение журнала: удаленные пакеты" имеет значение "Да" | Пройдено | |
| 9.1.7 | Убедитесь, что "Брандмауэр Windows: Домен: Логирование: Успешные подключения" имеет значение "Да" | Сбой | |
| 9.2.1 | Убедитесь, что "Брандмауэр Windows: частный: состояние брандмауэра" имеет значение "Включено (рекомендуется)" | Сбой | |
| 9.2.2 | Убедитесь, что "Брандмауэр Windows: частные: входящие подключения" имеет значение "Блокировать (по умолчанию)" | Пройдено | |
| 9.2.3 | Убедитесь, что "Брандмауэр Windows: частный: исходящие подключения" имеет значение "Разрешить (по умолчанию)" | Сбой | |
| 9.2.4 | Убедитесь, что "Брандмауэр Windows: для частной сети: ведение журнала: имя" имеет значение "%SystemRoot%\System32\logfiles\firewall\privatefw.log" | Пройдено | |
| 9.2.5 | Убедитесь, что "Брандмауэр Windows: частный: ведение журнала: ограничение размера (КБ)" имеет значение "16 384 КБ или больше". | Пройдено | |
| 9.2.6 | Убедитесь, что "Брандмауэр Windows: частный: ведение журнала: отклоненные пакеты" имеет значение "Да" | Пройдено | |
| 9.2.7 | Убедитесь, что "Брандмауэр Windows: частная сеть: ведение журнала: логировать успешные подключения" имеет значение "Да" | Пройдено | |
| 9.3.1 | Убедитесь, что "Брандмауэр Windows: общедоступное: состояние брандмауэра" имеет значение "Включено (рекомендуется)" | Сбой | |
| 9.3.2 | Убедитесь, что "Брандмауэр Windows: общедоступный: входящий трафик" имеет значение "Блокировать (по умолчанию)" | Пройдено | |
| 9.3.3 | Убедитесь, что "Брандмауэр Windows: общедоступные: исходящие подключения" имеет значение "Разрешить (по умолчанию)" | Сбой | |
| 9.3.4 | Убедитесь, что "Брандмауэр Windows: общедоступный: ведение журнала: имя" имеет значение "%SystemRoot%\System32\logfiles\firewall\publicfw.log" | Пройдено | |
| 9.3.5 | Убедитесь, что для параметра "Брандмауэр Windows: общедоступный: ведение журнала: лимит размера (КБ)" установлено значение "16 384 КБ или больше". | Сбой | |
| 9.3.6 | Убедитесь, что "Брандмауэр Windows: общедоступный: ведение журнала: удаленные пакеты" имеет значение "Да" | Пройдено | |
| 9.3.7 | Убедитесь, что в настройках "Брандмауэр Windows: общедоступный" функция "Запись в журнал: успешные подключения" установлена на "Да". | Пройдено | |
| 17.1.1 | Убедитесь, что для параметра "Проверка удостоверений аудита" установлено значение "Success and Failure". | Пройдено | |
| 17.1.2 | Убедитесь, что для параметра Audit Kerberos Authentication Service задано значение Success and Failure (Только контроллер домена) | Пройдено | |
| 17.2.1 | Убедитесь, что для управления аудитом учетных записей компьютеров установлено значение "Успех и Неудача" (только контроллер домена). | Пройдено | |
| 17.2.2 | Убедитесь, что для настройки "Управление группами рассылки аудита" задано значение "Успех и Неудача" (только контроллер домена) | Пройдено | |
| 17.2.3 | Убедитесь, что параметр "Аудит других событий управления учетными записями" установлен на "Успех" (только контроллер домена) | Пройдено | |
| 17.2.4 | Убедитесь, что для "Управление группами безопасности аудита" установлено значение "Успех". | Пройдено | |
| 17.2.5 | Убедитесь, что параметр "Аудит управления учетными записями пользователей" имеет значение "Успех и ошибка". | Пройдено | |
| 17.3.1 | Убедитесь, что для свойства "Аудит действия PNP" задано значение "Success" (Успешное выполнение) | Пройдено | |
| 17.3.2 | Убедитесь, что для создания процесса аудита задано значение "Success" (Успешное создание процесса аудита) | Пройдено | |
| 17.5.1 | Убедитесь, что для параметра "Блокировка учетной записи: аудит" установлено значение "Успех и неудача". | Пройдено | |
| 17.5.2 | Убедитесь, что параметр "Членство в группах аудита" имеет значение "Успешно". | Пройдено | |
| 17.5.3 | Убедитесь, что в параметре "Аудит выхода из системы" включено значение "Успешно" | Пройдено | |
| 17.5.4 | Убедитесь, что для "Аудит входа" задано значение "Успешно и Неудачно". | Пройдено | |
| 17.5.5 | Убедитесь, что для параметра "Аудит других событий входа и выхода" задано значение "Успех и Сбой". | Пройдено | |
| 17.5.6 | Убедитесь, что "Аудит специального входа" имеет значение "Успех". | Пройдено | |
| 17.6.1 | Убедитесь, что "Аудит событий доступа к другим объектам" имеет значение "Success and Failure" (Аудит событий доступа к другим объектам). | Сбой | |
| 17.6.2 | Убедитесь, что "Аудит съемных носителей" установлен на "Успех и Неудача". | Сбой | |
| 17.7.1 | Убедитесь, что для изменения политики аудита задано значение "Success" (Успешное изменение политики аудита). | Пройдено | |
| 17.7.2 | Убедитесь, что для параметра "Изменение политики проверки подлинности аудита" задано значение "Success" (Успешное изменение политики проверки подлинности). | Пройдено | |
| 17.7.3 | Убедитесь, что в параметре "Аудит изменений политики на уровне правил MPSSVC" установлено значение "успех и неудача". | Сбой | |
| 17.8.1 | Убедитесь, что для параметра "Аудит использования конфиденциальных привилегий" задано значение "Успех и сбой". | Пройдено | |
| 17.9.1 | Убедитесь, что параметр "Изменение состояния безопасности аудита" установлен на "Успешно". | Сбой | |
| 17.9.2 | Убедитесь, что для расширения системы безопасности аудита задано значение "Success" (Успешное выполнение) | Пройдено | |
| 17.9.3 | Убедитесь, что для "Целостность системы аудита" задано значение "Успех и Неудача". | Пройдено | |
| 18.1.2.2 | Убедитесь, что "Разрешить включение служб распознавания речи в Сети" установлено в значение "Отключено". | Сбой | |
| 18.3.1 | Убедитесь, что для параметра "Настройка драйвера клиента SMB версии 1" задано значение "Включено: отключить драйвер (рекомендуется)" | Пройдено | |
| 18.3.2 | Убедитесь, что для параметра "Настройка сервера SMB версии 1" задано значение "Отключено" | Пройдено | |
| 18.3.3 | Убедитесь, что параметр "Включить защиту от перезаписи структурированной обработки исключений (SEHOP)" установлен на "Включено". | Пройдено | |
| 18.3.4 | Убедитесь, что для параметра "Конфигурация Узла NetBT" задано значение "Включено: P-node (рекомендуется)" | Пройдено | |
| 18.3.5 | Убедитесь, что для проверки подлинности WDigest задано значение "Отключено" | Пройдено | |
| 18.4.1 | Убедитесь, что "MSS: (DisableIPSourceRouting IPv6) Уровень защиты маршрутизации источника IP-адресов (защищает от спуфингов пакетов)" имеет значение "Включено: максимальная защита, маршрутизация источника полностью отключена". | Пройдено | |
| 18.4.2 | Убедитесь, что для параметра "MSS: (DisableIPSourceRouting) уровень защиты от маршрутизации источников IP-адресов (защита от спуфинги пакетов)" задано значение "Включено: высокая защита, маршрутизация источника полностью отключена". | Пройдено | |
| 18.4.3 | Убедитесь, что значение параметра MSS: (EnableICMPRedirect) "Разрешить перенаправления ICMP для переопределения маршрутов, созданных OSPF", установлено на "Отключено". | Сбой | |
| 18.4.4 | Убедитесь, что для параметра "MSS: (NoNameReleaseOnDemand) Разрешить компьютеру игнорировать запросы на выпуск имени NetBIOS, за исключением серверов WINS" установлено значение "Включено". | Пройдено | |
| 18.5.4.1 | Убедитесь, что параметр "Отключить разрешение имен многоадресной рассылки" имеет значение "Включено" | Сбой | |
| 18.5.8.1 | Убедитесь, что параметр "Включить небезопасный гостевой вход" имеет значение "Отключено" | Сбой | |
| 18.5.11.2 | Убедитесь, что для параметра "Запрет установки и настройки сетевого моста в сети домена DNS" задано значение "Включено". | Сбой | |
| 18.5.11.3 | Убедитесь, что для параметра "Запрет использования общего доступа к Интернету в сети домена DNS" задано значение "Включено". | Сбой | |
| 18.5.14.1 | Убедитесь, что для параметра "Защищенные UNC-пути" задано значение "Включено" с установками "Требовать взаимную проверку подлинности" и "Требовать целостность" для всех общих папок NETLOGON и SYSVOL. | Пройдено | |
| 18.5.21.1 | Убедитесь, что для параметра "Свести к минимуму количество одновременных подключений к Интернету или домену Windows" задано значение "Включено: 1 = Свернуть одновременные подключения". | Пройдено | |
| 18.8.3.1 | Убедитесь, что для параметра "Включить командную строку в события создания процесса" задано значение "Включено" | Сбой | |
| 18.8.4.1 | Убедитесь, что для параметра "Исправление Oracle для шифрования" задано значение "Включено: принудительно обновлены клиенты" | Пройдено | |
| 18.8.4.2 | Убедитесь, что "Удаленный хост разрешает делегирование неэкспортируемых учетных данных" установлено в "Включено" | Пройдено | |
| 18.8.14.1 | Убедитесь, что для политики инициализации драйвера начальной загрузки задано значение "Включено: хорошо, неизвестно и плохо, но критически важно". | Пройдено | |
| 18.8.21.2 | Убедитесь, что для параметра "Настройка обработки политики реестра: не применяется во время периодической фоновой обработки" установлено значение "Отключено: FALSE" | Пройдено | |
| 18.8.21.3 | Убедиться, что для параметра "Настройка обработки политики реестра: обрабатывать, даже если объекты групповой политики не изменились" имеет значение "Включено: TRUE" | Пройдено | |
| 18.8.21.4 | Убедитесь, что для параметра "Продолжить работу на этом устройстве" задано значение "Отключено" | Пройдено | |
| 18.8.21.5 | Убедитесь, что параметр "Отключить фоновое обновление групповой политики" имеет значение "Отключено" | Пройдено | |
| 18.8.22.1.1 | Убедитесь, что для параметра "Отключить загрузку драйверов печати по протоколу HTTP" задано значение "Включено" | Сбой | |
| 18.8.28.1 | Убедитесь, что параметр "Блокировать отображение сведений о учетной записи при входе" имеет значение "Включено". | Сбой | |
| 18.8.28.2 | Убедитесь, что для параметра "Не отображать пользовательский интерфейс выбора сети" задано значение "Включено" | Сбой | |
| 18.8.36.1 | Убедитесь, что для параметра "Конфигурация удалённого доступа для оказания помощи" задано значение "Отключено" | Пройдено | |
| 18.8.36.2 | Убедитесь, что для параметра "Настройка запрошенной удаленной помощи" задано значение "Отключено" | Сбой | |
| 18.8.40.1 | Убедитесь, что для параметра "Настройка проверки ключей WHfB, уязвимых к ROCA во время проверки подлинности", задано значение "Включено: аудит" или выше (только для контроллера домена) | Н/П | |
| 18.9.6.1 | Убедитесь, что для параметра "Разрешить учетные записи Майкрософт быть необязательными" задано значение "Включено" | Сбой | |
| 18.9.14.1 | Убедитесь, что для параметра "Отключить содержимое облачной учетной записи потребителя" задано значение "Включено" | Пройдено | |
| 18.9.14.2 | Убедитесь, что параметр "Отключить взаимодействие с потребителями Майкрософт" имеет значение "Включено" | Пройдено | |
| 18.9.16.1 | Убедитесь, что для параметра "Не отображать кнопку отображения пароля" задано значение "Включено" | Сбой | |
| 18.9.16.2 | Убедитесь, что для параметра "Перечисление учетных записей администратора при повышении прав" установлено значение "Отключено". | Пройдено | |
| 18.9.17.1 | Убедитесь, что параметр "Разрешить диагностические данные" имеет значение "Включено: отправка необходимых диагностических данных" | Сбой | |
| 18.9.27.1.1 | Убедитесь, что "Приложение: управление поведением журнала событий, когда файл журнала достигает максимального размера" имеет значение "Отключено". | Пройдено | |
| 18.9.27.1.2 | Убедитесь, что "Приложение: укажите максимальный размер файла журнала (КБ)" имеет значение "Включено: 32 768 или больше". | Сбой | |
| 18.9.27.2.1 | Убедитесь, что параметр "Безопасность: управление поведением журнала событий при достижении максимального размера файла журнала" имеет значение "Отключено". | Пройдено | |
| 18.9.27.2.2 | Убедитесь, что для параметра "Безопасность: указать максимальный размер файла журнала (КБ)" задано значение "Включено: 196 608 или больше". | Сбой | |
| 18.9.27.3.1 | Убедитесь, что параметр "Настройка: управление поведением журнала, когда файл журнала достигает максимального размера" имеет значение "Отключено". | Пройдено | |
| 18.9.27.3.2 | Убедитесь, что параметр "Настройка: укажите максимальный размер файла журнала (КБ)" имеет значение "Включено: 32 768 или больше". | Сбой | |
| 18.9.27.4.1 | Убедитесь, что "Система: управление поведением журнала событий, когда файл журнала достигает максимального размера" имеет значение "Отключено". | Пройдено | |
| 18.9.27.4.2 | Убедитесь, что "Система: укажите максимальный размер файла журнала (КБ)" имеет значение "Включено: 32 768 или больше". | Сбой | |
| 18.9.31.2 | Убедитесь, что параметр "Отключить предотвращение выполнения данных для обозревателя" имеет значение "Отключено" | Пройдено | |
| 18.9.31.3 | Убедитесь, что параметр "Отключить завершение кучи при повреждении" имеет значение "Отключено" | Пройдено | |
| 18.9.31.4 | Убедитесь, что параметр "Отключить защищенный режим протоколов оболочки" установлен на "Отключено" | Пройдено | |
| 18.9.46.1 | Убедитесь, что для параметра "Блокировать проверку подлинности всех пользователей учетной записи Майкрософт" задано значение "Включено" | Пройдено | |
| 18.9.47.15 | Убедитесь, что параметр "Настройка обнаружения для потенциально нежелательных приложений" имеет значение "Включено: Блокировать" | Пройдено | |
| 18.9.47.16 | Убедитесь, что параметр "Отключить антивирус Microsoft Defender" имеет значение "Отключено" | Пройдено | |
| 18.9.47.4.1 | Убедитесь, что локальная настройка переопределения для отправки отчетов в Microsoft MAPS установлена в "Отключено" | Пройдено | |
| 18.9.47.5.1.1 | Убедитесь, что для параметра "Настройка правил сокращения поверхностей атак" задано значение "Включено" | Пройдено | |
| 18.9.47.5.1.2 | Убедитесь, что настроены правила уменьшения площади атаки: установите состояние для каждого правила ASR. | Пройдено | |
| 18.9.47.5.3.1 | Убедитесь, что параметр "Запретить пользователям и приложениям получать доступ к опасным веб-сайтам" имеет значение "Включено: Блокировать" | Пройдено | |
| 18.9.47.9.1 | Убедитесь, что для параметра "Сканирование всех скачанных файлов и вложений" задано значение "Включено" | Пройдено | |
| 18.9.47.9.2 | Убедитесь, что параметр "Отключить защиту в режиме реального времени" имеет значение "Отключено" | Пройдено | |
| 18.9.47.9.3 | Убедитесь, что для параметра "Включить мониторинг поведения" задано значение "Включено" | Пройдено | |
| 18.9.47.9.4 | Убедитесь, что для параметра "Включить сканирование скриптов" задано значение "Включено" | Пройдено | |
| 18.9.47.12.1 | Убедитесь, что для параметра "Включить сканирование электронной почты" задано значение "Включено" | Сбой | |
| 18.9.65.2.2 | Убедитесь, что параметр "Не разрешать сохранение паролей" имеет значение "Включено" | Сбой | |
| 18.9.65.3.3.1 | Убедитесь, что параметр "Не разрешать перенаправление диска" имеет значение "Включено" | Пройдено | |
| 18.9.65.3.9.1 | Убедитесь, что параметр "Всегда запрашивать пароль при подключении" имеет значение "Включено" | Сбой | |
| 18.9.65.3.9.2 | Убедитесь, что для параметра "Требовать безопасное взаимодействие RPC" задано значение "Включено" | Сбой | |
| 18.9.65.3.9.3 | Убедитесь, что для параметра "Задать уровень шифрования подключения клиента" задано значение "Включено: высокий уровень" | Пройдено | |
| 18.9.65.3.11.1 | Убедитесь, что параметр "Не удалять временные папки при выходе" имеет значение "Отключено" | Пройдено | |
| 18.9.65.3.11.2 | Убедитесь, что параметр "Не использовать временные папки на сеанс" имеет значение "Отключено" | Пройдено | |
| 18.9.66.1 | Убедитесь, что для параметра "Запрет загрузки корпусов" задано значение "Включено" | Сбой | |
| 18.9.67.2 | Убедитесь, что для параметра "Разрешить индексирование зашифрованных файлов" задано значение "Отключено" | Пройдено | |
| 18.9.85.1.1 | Убедитесь, что для параметра "Настройка SmartScreen Защитника Windows" задано значение "Включено: предупреждать и предотвращать обход" | Сбой | |
| 18.9.90.1 | Убедитесь, что параметр Allow user control over installs (Разрешить управление пользователями над установками) имеет значение "Отключено". | Пройдено | |
| 18.9.90.2 | Убедитесь, что параметр "Всегда устанавливать с повышенными привилегиями" имеет значение "Отключено" | Пройдено | |
| 18.9.91.1 | Убедитесь, что параметр "Вход и блокировка последнего интерактивного пользователя автоматически после перезагрузки" имеет значение "Отключено". | Пройдено | |
| 18.9.100.1 | Убедитесь, что параметр "Включить ведение журнала блоков скриптов PowerShell" имеет значение "Включено" | Сбой | |
| 18.9.100.2 | Убедитесь, что параметр "Включить транскрибирование PowerShell" имеет значение "Отключено" | Пройдено | |
| 18.9.102.1.1 | Убедитесь, что параметр "Разрешить обычную проверку подлинности" имеет значение "Отключено" | Пройдено | |
| 18.9.102.1.2 | Убедитесь, что параметр "Разрешить незашифрованный трафик" имеет значение "Отключено" | Пройдено | |
| 18.9.102.1.3 | Убедитесь, что параметр "Запретить проверку подлинности дайджеста" имеет значение "Включено" | Сбой | |
| 18.9.102.2.1 | Убедитесь, что параметр "Разрешить обычную проверку подлинности" имеет значение "Отключено" | Пройдено | |
| 18.9.102.2.2 | Убедитесь, что параметр "Разрешить незашифрованный трафик" имеет значение "Отключено" | Пройдено | |
| 18.9.102.2.3 | Убедитесь, что параметр "Запретить WinRM от хранения учетных данных запуска" имеет значение "Включено". | Сбой | |
| 18.9.105.2.1 | Убедитесь, что параметр "Запретить пользователям изменять параметры" имеет значение "Включено" | Пройдено |
Следующие шаги
Дополнительные сведения о безопасности AKS см. в следующих статьях: