Windows 365 for Agents 的 Microsoft Intune 安全性基準設定參考

本文列出適用於 Microsoft Intune 的 Windows 365 for Agents 安全性基準中的設定和預設值。 IT 系統管理員可以使用此參考資料來檢閱 Windows 11、Microsoft Edge 和 適用於端點的 Microsoft Defender 設定。 這些設定適用於執行代理程式工作負載的雲端電腦。 部署或自訂基準之前，請先檢閱設定。

Windows 365 for Agents 安全性基準是原則範本，您可以使用 Microsoft Intune 部署，以設定及強制執行建議的安全性設定。 它們包括版本控制功能，可協助您將原則更新為最新版本，而且您可以自訂它們以滿足您的業務需求。

關於本參考性文章

每個安全性基準都是一組預先設定的 Windows 設定，可協助您套用及強制執行相關安全性小組建議的精細安全性設定。 您也可以自訂部署的每個基準，以僅強制執行所需的設定和值。 當您在 Intune 中建立安全性基準設定檔時，您會建立包含多個裝置組態設定的範本。

本文顯示：

  • 每個設定及其組態的清單，可在基準版本的預設執行個體中找到。
  • 如果可用，基礎設定服務提供者的連結 (CSP) 相關產品群組的文件或其他相關內容，提供有關設定使用的內容和其他詳細資料。

當基準線有新版本可用時，它會取代先前的版本。 您在新版本可用之前建立的設定檔執行個體：

  • 變成唯讀。 您可以繼續使用這些設定檔，但無法編輯它們以變更其設定。
  • 可以更新到目前的版本。 將設定檔更新至目前的基準版本之後，您可以編輯設定檔以修改設定。

若要深入了解使用安全性基準，請參閱：

Windows 365 for Agents 安全性基準版本 24H1

此基準中的設定適用於執行代理程式工作負載並透過 Intune 管理的雲端電腦。 如果可用，設定名稱會連結到來源設定服務提供者 (CSP) ，後面接著基準中設定的預設設定。

系統管理範本

控制台>個人化

  • 防止啟用鎖定畫面相機
    比較基準預設值： 已啟用
    深入了解

  • 防止啟用鎖定畫面投影片放映
    比較基準預設值： 已啟用
    深入了解

MS 安全性指南

  • 在網路登入時將 UAC 限制套用至本機帳戶
    比較基準預設值： 已啟用
    深入了解

  • 設定 SMB v1 用戶端驅動程式
    比較基準預設值： 已啟用
    深入了解

    • 設定 MrxSmb10 驅動程式
      基準預設值： 停用驅動程式 (建議)

  • 設定 SMB v1 伺服器
    基準預設值： 已停用
    深入了解

  • 啟用結構化例外狀況處理覆寫保護 (SEHOP)
    比較基準預設值： 已啟用
    深入了解

  • 停用 WDigest 驗證 (可能需要KB2871997)
    基準預設值： 已停用
    深入了解

MSS (舊版)

  • MSS： (DisableIPSourceRouting IPv6) IP 來源路由保護層級 (可防範封包詐騙)
    比較基準預設值： 已啟用
    深入了解

    • DisableIPSourceRouting IPv6 (裝置)
      基準預設值： 最高保護，來源路由完全停用

  • MSS： (DisableIPSourceRouting) IP 來源路由保護層級 (可防範封包詐騙)
    比較基準預設值： 已啟用
    深入了解

    • DisableIPSourceRouting (裝置)
      基準預設值： 已啟用最高保護，來源路由完全停用

  • MSS： (EnableCMPRedirect) 允許 ICMP 重新導向覆寫 OSPF 產生的路由
    基準預設值： 已停用
    深入了解

  • MSS： (NoNameReleaseOnDemand) 允許電腦忽略 NetBIOS 名稱釋放要求，但來自 WINS 伺服器的要求除外
    比較基準預設值： 已啟用
    深入了解

網路 > DNS 用戶端

  • 關閉多點傳送名稱解析
    比較基準預設值： 已啟用
    深入了解

網路 > 網路連線

  • 禁止在 DNS 網域網路上使用網際網路連線共用功能
    比較基準預設值： 已啟用
    深入了解

網路 > 網路提供者

  • 強化的 UNC 路徑
    比較基準預設值： 已啟用
    深入了解

    • 強化 UNC 路徑： (裝置)
      基準預設值：

      名稱 值
      \\*\SYSVOL RequireMutualAuthentication=1，RequireIntegrity=1
      \\*\NETLOGON RequireMutualAuthentication=1，RequireIntegrity=1

網路 > Windows 連線管理員

  • 連線到網域驗證網路時，禁止連線到非網域網路
    比較基準預設值： 已啟用
    深入了解

系統 > 認證委派

  • 加密 Oracle 補救
    比較基準預設值： 已啟用
    深入了解

    • 保護層級： (裝置)
      基準預設值： 強制更新的用戶端

  • 遠端主機允許委派不可匯出的認證
    比較基準預設值： 已啟用
    深入了解

系統 > 裝置安裝裝置 > 安裝限制

  • 防止使用符合這些裝置設定類別的驅動程式來安裝裝置
    比較基準預設值： 已啟用
    深入了解

    • 禁止的類別
      比較基準預設值： {d48179be-ec20-11d1-b6b8-00c04fa372a7}

    • 也適用於已安裝的相符裝置
      比較基準預設值： True

系統 > 早期啟動反惡意程式碼

  • 開機/啟動驅動程式初始化原則
    比較基準預設值： 已啟用
    深入了解
    • 選擇可初始化的開機/啟動驅動程式：
      比較基準預設值： 良好、未知和不良但重大

系統>群組原則

  • 設定登錄原則處理
    比較基準預設值： 已啟用
    深入了解

    • 不在定期背景處理期間套用 (裝置)
      比較基準預設值： False
    • 即使 群組原則 物件並未變更 (裝置) ，仍會進行處理
      比較基準預設值： True

系統 > 網際網路通訊管理 > 網際網路通訊設定

  • 關閉透過 HTTP 下載列印驅動程式
    比較基準預設值： 已啟用
    深入了解

  • 關閉 Web 發佈和線上訂購精靈的網際網路下載
    比較基準預設值： 已啟用
    深入了解

系統 > 遠端協助

  • 設定請求的遠端協助
    基準預設值： 已停用
    深入了解

系統 > 遠端程序呼叫

  • 限制未經驗證的 RPC 用戶端
    比較基準預設值： 已啟用
    深入了解
    • RPC 執行階段未驗證的用戶端適用限制：
      基準預設值： 已驗證

Windows 元件應用程式 > 執行階段

  • 允許 Microsoft 帳戶為選用
    比較基準預設值： 已啟用
    深入了解

Windows 元件 > 自動播放原則

  • 不允許非音量裝置自動播放
    比較基準預設值： 已啟用
    深入了解

  • 設定自動執行的預設行為
    比較基準預設值： 已啟用
    深入了解

    • 預設自動執行行為
      基準預設值： 不執行任何自動執行命令

  • 關閉自動播放
    比較基準預設值： 已啟用
    深入了解

    • 關閉自動播放開啟：
      基準預設值： 所有磁碟機

Windows 元件 > 認證使用者介面

  • 列舉提升權限的系統管理員帳戶
    基準預設值： 已停用
    深入了解

Windows 元件事件 > 記錄檔服務 > 應用程式

  • 指定記錄檔大小上限 (KB)
    比較基準預設值： 已啟用
    深入了解
    • 記錄大小上限 (KB)
      比較基準預設值： 32768

Windows 元件事件 > 記錄服務 > 安全性

  • 指定記錄檔大小上限 (KB)
    比較基準預設值： 已啟用
    深入了解
    • 記錄大小上限 (KB)
      比較基準預設值： 196608

Windows 元件事件 > 記錄服務 > 系統

  • 指定記錄檔大小上限 (KB)
    比較基準預設值： 已啟用
    深入了解
    • 記錄大小上限 (KB)
      比較基準預設值： 32768

Windows 元件>檔案總管

  • 設定 Windows Defender SmartScreen
    比較基準預設值： 已啟用
    深入了解

    • 選擇下列其中一個設定： (裝置)
      基準預設值： 警告並防止略過

  • 關閉檔案總管的資料執行防止
    基準預設值： 已停用
    深入了解

  • 關閉損毀時的堆積終止
    基準預設值： 已停用
    深入了解

Windows 元件 > Internet Explorer > 網際網路控制台>進階頁面

  • 即使簽章無效，也允許軟體執行或安裝
    基準預設值： 已停用
    深入了解

  • 檢查伺服器憑證撤銷
    比較基準預設值： 已啟用
    深入了解

  • 檢查下載程式上的簽章
    比較基準預設值： 已啟用
    深入了解

  • 啟用增強型保護模式時，不允許 ActiveX 控制項在受保護模式中執行
    比較基準預設值： 已啟用
    深入了解

  • 關閉加密支援
    比較基準預設值： 已啟用
    深入了解

    • 安全通訊協定組合
      基準預設值： 使用 TLS 1.1 和 TLS 1.2

  • 在 64 位元版本的 Windows 上以增強保護模式執行時開啟 64 位元索引標籤處理程序
    比較基準預設值： 已啟用
    深入了解

  • 開啟增強型保護模式
    比較基準預設值： 已啟用
    深入了解

Windows 元件 > Internet Explorer > 網際網路控制台

  • 防止忽略憑證錯誤
    比較基準預設值： 已啟用
    深入了解

Windows 元件 > Internet Explorer > 網際網路控制台>安全性頁面 > 網際網路區域

  • 存取跨網域的資料來源
    比較基準預設值： 已啟用
    深入了解

    • 存取跨網域的資料來源
      基準預設值： 停用

  • 允許透過指令碼從剪貼簿進行剪下、複製或貼上作業
    比較基準預設值： 已啟用
    深入了解

    • 允許透過指令碼貼上作業
      基準預設值： 停用

  • 允許拖放或複製並貼上檔案
    比較基準預設值： 已啟用
    深入了解

    • 允許拖放或複製並貼上檔案
      基準預設值： 停用

  • 允許載入 XAML 檔案
    比較基準預設值： 已啟用
    深入了解

    • XAML Files
      基準預設值： 停用

  • 只允許獲核准的網域在沒有提示的情況下使用 ActiveX 控制項
    比較基準預設值： 已啟用
    深入了解

    • 只允許核准的網域在沒有提示的情況下使用 ActiveX 控制項
      比較基準預設值： 啟用

  • 僅允許已核准的網域使用 TDC ActiveX 控制項
    比較基準預設值： 已啟用
    深入了解

    • 只允許核准的網域使用 TDC ActiveX 控制項
      比較基準預設值： 啟用

  • 允許指令碼啟動的視窗，沒有大小或位置限制
    比較基準預設值： 已啟用
    深入了解

    • 允許指令碼啟動的視窗，沒有大小或位置限制
      基準預設值： 停用

  • 允許撰寫 Internet Explorer WebBrowser 控制項的指令碼
    比較基準預設值： 已啟用
    深入了解

    • Internet Explorer 網頁瀏覽器控制項
      基準預設值： 停用

  • 允許 scriptlet
    比較基準預設值： 已啟用
    深入了解

    • Scriptlet
      基準預設值： 停用

  • 允許透過指令碼更新狀態列
    比較基準預設值： 已啟用
    深入了解

    • 透過指令碼更新狀態列
      基準預設值： 停用

  • 允許 VBScript 在 Internet Explorer 中執行
    比較基準預設值： 已啟用
    深入了解

    • 允許 VBScript 在 Internet Explorer 中執行
      基準預設值： 停用

  • 自動提示檔案下載系統
    比較基準預設值： 已啟用
    深入了解

    • 自動提示檔案下載系統
      基準預設值： 停用

  • 不要針對 ActiveX 控制項執行反惡意程式碼程式
    比較基準預設值： 已啟用
    深入了解

    • 不要針對 ActiveX 控制項執行反惡意程式碼程式
      基準預設值： 停用

  • 下載已簽署的 ActiveX 控制項
    比較基準預設值： 已啟用
    深入了解

    • 下載已簽署的 ActiveX 控制項
      基準預設值： 停用

  • 下載未簽署的 ActiveX 控制項
    比較基準預設值： 已啟用
    深入了解

    • 下載未簽署的 ActiveX 控制項
      基準預設值： 停用

  • 啟用跨視窗從不同網域拖曳內容
    比較基準預設值： 已啟用
    深入了解

    • 啟用跨視窗從不同網域拖曳內容
      基準預設值： 停用

  • 啟用在視窗內從不同網域拖曳內容的功能
    比較基準預設值： 已啟用
    深入了解

    • 啟用在視窗內從不同網域拖曳內容的功能
      基準預設值： 停用

  • 當使用者上傳檔案至伺服器時包含本機路徑
    比較基準預設值： 已啟用
    深入了解

    • 將檔案上傳到伺服器時包含本機目錄路徑
      基準預設值： 停用

  • 初始化和指令碼 未標示為安全的 ActiveX 控制項
    比較基準預設值： 已啟用
    深入了解

    • 初始化和指令碼 未標示為安全的 ActiveX 控制項
      基準預設值： 停用

  • Java 權限
    比較基準預設值： 已啟用
    深入了解

    • Java 權限
      基準預設值： 停用 Java

  • 在 IFRAME 中啟動應用程式和檔案
    比較基準預設值： 已啟用
    深入了解

    • 在 IFRAME 中啟動應用程式和檔案
      基準預設值： 停用

  • 登入選項
    比較基準預設值： 已啟用
    深入了解

    • 登入選項
      基準預設值： 提示輸入使用者名稱和密碼

  • 跨不同網域瀏覽視窗和框架
    比較基準預設值： 已啟用
    深入了解

    • 跨不同網域瀏覽視窗和框架
      基準預設值： 停用

  • 執行未使用 Authenticode 簽署的依賴 .NET Framework 的元件
    比較基準預設值： 已啟用
    深入了解

    • 執行未使用 Authenticode 簽署的依賴 .NET Framework 的元件
      基準預設值： 停用

  • 執行使用 Authenticode 簽署的依賴 .NET Framework 的元件
    比較基準預設值： 已啟用
    深入了解

    • 執行使用 Authenticode 簽署的依賴 .NET Framework 的元件
      基準預設值： 停用

  • 顯示可能不安全檔案的安全性警告
    比較基準預設值： 已啟用
    深入了解

    • 啟動程式和不安全的檔案
      比較基準預設值： 提示

  • 開啟跨網站指令碼篩選器
    比較基準預設值： 已啟用
    深入了解

    • 開啟跨網站指令碼 (XSS) 篩選器
      比較基準預設值： 啟用

  • 開啟保護模式
    比較基準預設值： 已啟用
    深入了解

    • 受保護模式
      比較基準預設值： 啟用

  • 開啟 SmartScreen 篩選掃描
    比較基準預設值： 已啟用
    深入了解

    • 使用 SmartScreen 篩選工具
      比較基準預設值： 啟用

  • 使用彈跳視窗封鎖程式
    比較基準預設值： 已啟用
    深入了解

    • 使用彈跳視窗封鎖程式
      比較基準預設值： 啟用

  • Userdata 持續性
    比較基準預設值： 已啟用
    深入了解

    • Userdata 持續性
      基準預設值： 停用

  • 位於較不特殊權限的網頁內容區域中的網站可以瀏覽到此區域
    比較基準預設值： 已啟用
    深入了解

    • 位於較不特殊權限的網頁內容區域中的網站可以瀏覽到此區域
      基準預設值： 停用

Windows 元件 > Internet Explorer > 網際網路控制台>安全性頁面

  • 內部網路網站：包括 UNC (所有網路路徑)
    基準預設值： 已停用
    深入了解

  • 開啟憑證位址不相符警告
    比較基準預設值： 已啟用
    深入了解

Windows 元件 > Internet Explorer > 網際網路控制台 > 安全性頁面 > 內部網路區域

  • 不要針對 ActiveX 控制項執行反惡意程式碼程式
    比較基準預設值： 已啟用
    深入了解

    • 不要針對 ActiveX 控制項執行反惡意程式碼程式
      基準預設值： 停用

  • 初始化和指令碼 未標示為安全的 ActiveX 控制項
    比較基準預設值： 已啟用
    深入了解

    • 初始化和指令碼 未標示為安全的 ActiveX 控制項
      基準預設值： 停用

  • Java 權限
    比較基準預設值： 已啟用
    深入了解

    • Java 權限
      基準預設值： 高安全性

Windows 元件 > Internet Explorer > 網際網路控制台 > 安全性頁面 > 本機電腦區域

  • 不要針對 ActiveX 控制項執行反惡意程式碼程式
    比較基準預設值： 已啟用
    深入了解

    • 不要針對 ActiveX 控制項執行反惡意程式碼程式
      基準預設值： 停用

  • Java 權限
    比較基準預設值： 已啟用
    深入了解

    • Java 權限
      基準預設值： 停用 Java

Windows 元件 > Internet Explorer > 網際網路控制台 > 安全性頁面 > 鎖定網際網路區域

  • 開啟 SmartScreen 篩選掃描
    比較基準預設值： 已啟用
    深入了解
    • 使用 SmartScreen 篩選工具
      比較基準預設值： 啟用

Windows 元件 > Internet Explorer > 網際網路控制台 > 安全性頁面 > 鎖定內部網路區域

  • Java 權限
    比較基準預設值： 已啟用
    深入了解
    • Java 權限
      基準預設值： 停用 Java

Windows 元件 > Internet Explorer > 網際網路控制台 > 安全性頁面 > 鎖定 本機電腦區域

  • Java 權限
    比較基準預設值： 已啟用
    深入了解
    • Java 權限
      基準預設值： 停用 Java

Windows 元件 > Internet Explorer > 網際網路控制台 > 安全性頁面 > 鎖定的限制網站區域

  • Java 權限
    比較基準預設值： 已啟用
    深入了解

    • Java 權限
      基準預設值： 停用 Java

  • 開啟 SmartScreen 篩選掃描
    比較基準預設值： 已啟用
    深入了解

    • 使用 SmartScreen 篩選工具
      比較基準預設值： 啟用

Windows 元件 > Internet Explorer > 網際網路控制台 > 安全性頁面 > 鎖定的信任的網站區域

  • Java 權限
    比較基準預設值： 已啟用
    深入了解
    • Java 權限
      基準預設值： 停用 Java

Windows 元件 > Internet Explorer > 網際網路控制台 > 安全性頁面 > 限制的網站區域

  • 存取跨網域的資料來源
    比較基準預設值： 已啟用
    深入了解

    • 存取跨網域的資料來源
      基準預設值： 停用

  • 允許使用式指令碼處理
    比較基準預設值： 已啟用
    深入了解

    • 允許使用式指令碼處理
      基準預設值： 停用

  • 允許二進位和指令碼行為
    比較基準預設值： 已啟用
    深入了解

    • 允許二進位和指令碼行為
      基準預設值： 停用

  • 允許透過指令碼從剪貼簿進行剪下、複製或貼上作業
    比較基準預設值： 已啟用
    深入了解

    • 允許透過指令碼貼上作業
      基準預設值： 停用

  • 允許拖放或複製並貼上檔案
    比較基準預設值： 已啟用
    深入了解

    • 允許拖放或複製並貼上檔案
      基準預設值： 停用

  • 允許檔案下載
    比較基準預設值： 已啟用
    深入了解

    • 允許檔案下載
      基準預設值： 停用

  • 允許載入 XAML 檔案
    比較基準預設值： 已啟用
    深入了解

    • XAML Files
      基準預設值： 停用

  • 允許 META 重新整理
    比較基準預設值： 已啟用
    深入了解

    • 允許 META 重新整理
      基準預設值： 停用

  • 只允許獲核准的網域在沒有提示的情況下使用 ActiveX 控制項
    比較基準預設值： 已啟用
    深入了解

    • 只允許核准的網域在沒有提示的情況下使用 ActiveX 控制項
      比較基準預設值： 啟用

  • 僅允許已核准的網域使用 TDC ActiveX 控制項
    比較基準預設值： 已啟用
    深入了解

    • 只允許核准的網域使用 TDC ActiveX 控制項
      比較基準預設值： 啟用

  • 允許指令碼啟動的視窗，沒有大小或位置限制
    比較基準預設值： 已啟用
    深入了解

    • 允許指令碼啟動的視窗，沒有大小或位置限制
      基準預設值： 停用

  • 允許撰寫 Internet Explorer WebBrowser 控制項的指令碼
    比較基準預設值： 已啟用
    深入了解

    • Internet Explorer 網頁瀏覽器控制項
      基準預設值： 停用

  • 允許 scriptlet
    比較基準預設值： 已啟用
    深入了解

    • Scriptlet
      基準預設值： 停用

  • 允許透過指令碼更新狀態列
    比較基準預設值： 已啟用
    深入了解

    • 透過指令碼更新狀態列
      基準預設值： 停用

  • 允許 VBScript 在 Internet Explorer 中執行
    比較基準預設值： 已啟用
    深入了解

    • 允許 VBScript 在 Internet Explorer 中執行
      基準預設值： 停用

  • 自動提示檔案下載系統
    比較基準預設值： 已啟用
    深入了解

    • 自動提示檔案下載系統
      基準預設值： 停用

  • 不要針對 ActiveX 控制項執行反惡意程式碼程式
    比較基準預設值： 已啟用
    深入了解

    • 不要針對 ActiveX 控制項執行反惡意程式碼程式
      基準預設值： 停用

  • 下載已簽署的 ActiveX 控制項
    比較基準預設值： 已啟用
    深入了解

    • 下載已簽署的 ActiveX 控制項
      基準預設值： 停用

  • 下載未簽署的 ActiveX 控制項
    比較基準預設值： 已啟用
    深入了解

    • 下載未簽署的 ActiveX 控制項
      基準預設值： 停用

  • 啟用跨視窗從不同網域拖曳內容
    比較基準預設值： 已啟用
    深入了解

    • 啟用跨視窗從不同網域拖曳內容
      基準預設值： 停用

  • 啟用在視窗內從不同網域拖曳內容的功能
    比較基準預設值： 已啟用
    深入了解

    • 啟用在視窗內從不同網域拖曳內容的功能
      基準預設值： 停用

  • 當使用者上傳檔案至伺服器時包含本機路徑
    比較基準預設值： 已啟用
    深入了解

    • 將檔案上傳到伺服器時包含本機目錄路徑
      基準預設值： 停用

  • 初始化和指令碼 未標示為安全的 ActiveX 控制項
    比較基準預設值： 已啟用
    深入了解

    • 初始化和指令碼 未標示為安全的 ActiveX 控制項
      基準預設值： 停用

  • Java 權限
    比較基準預設值： 已啟用
    深入了解

    • Java 權限
      基準預設值： 停用 Java

  • 在 IFRAME 中啟動應用程式和檔案
    比較基準預設值： 已啟用
    深入了解

    • 在 IFRAME 中啟動應用程式和檔案
      基準預設值： 停用

  • 登入選項
    比較基準預設值： 已啟用
    深入了解

    • 登入選項
      基準預設值： 匿名登入

  • 跨不同網域瀏覽視窗和框架
    比較基準預設值： 已啟用
    深入了解

    • 跨不同網域瀏覽視窗和框架
      基準預設值： 停用

  • 執行未使用 Authenticode 簽署的依賴 .NET Framework 的元件
    比較基準預設值： 已啟用
    深入了解

    • 執行未使用 Authenticode 簽署的依賴 .NET Framework 的元件
      基準預設值： 停用

  • 執行使用 Authenticode 簽署的依賴 .NET Framework 的元件
    比較基準預設值： 已啟用
    深入了解

    • 執行使用 Authenticode 簽署的依賴 .NET Framework 的元件
      基準預設值： 停用

  • 執行 ActiveX 控制項和外掛程式
    比較基準預設值： 已啟用
    深入了解

    • 執行 ActiveX 控制項和外掛程式
      基準預設值： 停用

  • 指令碼 標示為安全用於指令碼處理的 ActiveX 控制項
    比較基準預設值： 已啟用
    深入了解

    • 指令碼 標示為安全用於指令碼處理的 ActiveX 控制項
      基準預設值： 停用

  • Java 小程式的指令碼處理
    比較基準預設值： 已啟用
    深入了解

    • Java 小程式的指令碼處理
      基準預設值： 停用

  • 顯示可能不安全檔案的安全性警告
    比較基準預設值： 已啟用
    深入了解

    • 啟動程式和不安全的檔案
      基準預設值： 停用

  • 開啟跨網站指令碼篩選器
    比較基準預設值： 已啟用
    深入了解

    • 開啟跨網站指令碼 (XSS) 篩選器
      比較基準預設值： 已啟用

  • 開啟保護模式
    比較基準預設值： 已啟用
    深入了解

    • 受保護模式
      比較基準預設值： 已啟用

  • 開啟 SmartScreen 篩選掃描
    比較基準預設值： 已啟用
    深入了解

    • 使用 SmartScreen 篩選工具
      比較基準預設值： 已啟用

  • 使用彈跳視窗封鎖程式
    比較基準預設值： 已啟用
    深入了解

    • 使用彈跳視窗封鎖程式
      比較基準預設值： 已啟用

  • Userdata 持續性
    比較基準預設值： 已啟用
    深入了解

    • Userdata 持續性
      基準預設值： 停用

  • 位於較不特殊權限的網頁內容區域中的網站可以瀏覽到此區域
    比較基準預設值： 已啟用
    深入了解

    • 位於較不特殊權限的網頁內容區域中的網站可以瀏覽到此區域
      基準預設值： 停用

Windows 元件 > Internet Explorer > 網際網路控制台 > 安全性頁面 > 信任的網站區域

  • 不要針對 ActiveX 控制項執行反惡意程式碼程式
    比較基準預設值： 已啟用
    深入了解

    • 不要針對 ActiveX 控制項執行反惡意程式碼程式
      基準預設值： 停用

  • 初始化和指令碼 未標示為安全的 ActiveX 控制項
    比較基準預設值： 已啟用
    深入了解

    • 初始化和指令碼 未標示為安全的 ActiveX 控制項
      基準預設值： 停用

  • Java 權限
    比較基準預設值： 已啟用
    深入了解

    • Java 權限
      基準預設值： 高安全性

Windows 元件 Internet Explorer >

  • 防止略過 SmartScreen 篩選警告
    比較基準預設值： 已啟用
    深入了解

  • 防止略過 SmartScreen 篩選器關於不常從網際網路下載之檔案的警告
    比較基準預設值： 已啟用
    深入了解

  • 防止管理 SmartScreen 篩選工具
    比較基準預設值： 已啟用
    深入了解

    • 選取 SmartScreen 篩選模式
      比較基準預設值： 開啟

  • 防止每位使用者安裝 ActiveX 控制項
    比較基準預設值： 已啟用
    深入了解

  • 安全性區域：不允許使用者新增/刪除網站
    比較基準預設值： 已啟用
    深入了解

  • 安全性區域： 不允許使用者變更原則
    比較基準預設值： 已啟用
    深入了解

  • 安全性區域：只使用電腦設定
    比較基準預設值： 已啟用
    深入了解

  • 指定使用 ActiveX 安裝程式服務來安裝 ActiveX 控制項
    比較基準預設值： 已啟用
    深入了解

  • 關閉當機偵測
    比較基準預設值： 已啟用
    深入了解

  • 關閉安全性設定檢查功能
    基準預設值： 已停用
    深入了解

Windows 元件 > Internet Explorer > 安全性功能 > 附加元件管理

  • 移除 Internet Explorer 中過時 ActiveX 控制項的 [執行本次] 按鈕
    比較基準預設值： 已啟用
    深入了解

  • 關閉封鎖 Internet Explorer 的過時 ActiveX 控制項
    基準預設值： 已停用
    深入了解

Windows 元件 > Internet Explorer > 安全性功能

  • 允許在 Internet Explorer) (SSL 3.0 遞補
    比較基準預設值： 已啟用
    深入了解
    • 允許不安全的遞補：
      基準預設值： 無網站

Windows 元件 > Internet Explorer > 安全性功能 > 一致的 MIME 處理

  • Internet Explorer 處理序
    比較基準預設值： 已啟用
    深入了解

Windows 元件、 > Internet Explorer > 安全性功能 > 、MIME 探查、安全功能

  • Internet Explorer 處理序
    比較基準預設值： 已啟用
    深入了解

Windows 元件 > Internet Explorer > 安全性功能 > MK 通訊協定安全性限制

  • Internet Explorer 處理序
    比較基準預設值： 已啟用
    深入了解

Windows 元件 > Internet Explorer > 安全性功能 > 通知列

  • Internet Explorer 處理序
    比較基準預設值： 已啟用
    深入了解

Windows 元件 > Internet Explorer > 安全性功能 > 防止區域提高權限

  • Internet Explorer 處理序
    比較基準預設值： 已啟用
    深入了解

Windows 元件 > Internet Explorer > 安全性功能 > 限制 ActiveX 安裝

  • Internet Explorer 處理序
    比較基準預設值： 已啟用
    深入了解

Windows 元件 > Internet Explorer > 安全性功能 > 限制檔案下載

  • Internet Explorer 處理序
    比較基準預設值： 已啟用
    深入了解

Windows 元件 > Internet Explorer > 安全性功能 > 指令碼化視窗 安全性限制

  • Internet Explorer 處理序
    比較基準預設值： 已啟用
    深入了解

Windows 元件 > Microsoft Defender 防毒軟體>地圖

  • 設定「第一次看見時封鎖」功能
    比較基準預設值： 已啟用
    深入了解

Windows 元件 > Microsoft Defender 防毒軟體>即時保護

  • 啟用即時保護時開啟處理程序掃描
    比較基準預設值： 已啟用
    深入了解

Windows 元件 > Microsoft Defender 防毒軟體>掃描

  • 掃描已封裝的可執行檔
    比較基準預設值： 已啟用
    深入了解

Windows 元件 > Microsoft Defender 防毒軟體

  • 關閉例行補救
    基準預設值： 已停用
    深入了解

Windows 元件 > 遠端桌面服務 > 遠端桌面連線用戶端

  • 不允許儲存密碼
    比較基準預設值： 已啟用
    深入了解

Windows 元件、 > 遠端桌面服務 > 、遠端桌面工作階段主機 > 、裝置及資源重新導向

  • 不允許磁碟機重新導向
    比較基準預設值： 已啟用
    深入了解

Windows 元件 > 遠端桌面服務 > 遠端桌面工作階段主機 > 安全性

  • 連線時一律提示輸入密碼
    比較基準預設值： 已啟用
    深入了解

  • 需要安全的 RPC 通訊
    比較基準預設值： 已啟用
    深入了解

  • 設定用戶端連線加密層級
    比較基準預設值： 已啟用
    深入了解

    • 加密層級
      比較基準預設值： 高層級

Windows 元件 > RSS 摘要

  • 防止下載機箱
    比較基準預設值： 已啟用
    深入了解

Windows 元件 > Windows 登入選項

  • 重新啟動後自動登入並鎖定最後一個互動使用者
    基準預設值： 已停用
    深入了解

Windows 元件 > Windows PowerShell

  • 開啟 PowerShell 指令碼封鎖記錄
    比較基準預設值： 已啟用
    深入了解
    • 記錄指令碼區塊叫用啟動/停止事件：
      比較基準預設值： False

Windows 元件 > WinRM) > WinRM 用戶端 (Windows 遠端管理

  • 允許基本驗證
    基準預設值： 已停用
    深入了解

  • 允許未加密的流量
    基準預設值： 已停用
    深入了解

  • 不允許摘要式驗證
    比較基準預設值： 已啟用
    深入了解

Windows 元件 > Windows 遠端管理 (WinRM) > WinRM 服務

  • 允許基本驗證
    基準預設值： 已停用
    深入了解

  • 允許未加密的流量
    基準預設值： 已停用
    深入了解

  • 禁止 WinRM 儲存 RunAs 認證
    比較基準預設值： 已啟用
    深入了解

稽核

  • 帳戶登入稽核認證驗證
    基準預設值： 成功 + 失敗
    深入了解

  • 帳戶登入 登出稽核 帳戶鎖定
    比較基準預設值 ：失敗
    深入了解

  • 帳戶 登入 登出 稽核群組成員資格
    比較基準預設值： 成功
    深入了解

  • 帳戶 登入 登出稽核 登入
    基準預設值： 成功 + 失敗
    深入了解

  • 稽核驗證原則變更
    比較基準預設值： 成功
    深入了解

  • 稽核變更稽核原則
    比較基準預設值： 成功
    深入了解

  • 稽核檔案共用存取權
    基準預設值： 成功 + 失敗
    深入了解

  • 稽核其他登入登出事件
    基準預設值： 成功 + 失敗
    深入了解

  • 稽核安全性群組管理
    比較基準預設值： 成功
    深入了解

  • 稽核安全性系統延伸
    比較基準預設值： 成功
    深入了解

  • 稽核特殊登入
    比較基準預設值： 成功
    深入了解

  • 稽核使用者帳戶管理
    基準預設值： 成功 + 失敗
    深入了解

  • 詳細追蹤稽核 PNP 活動
    比較基準預設值： 成功
    深入了解

  • 詳細追蹤稽核程序建立
    比較基準預設值： 成功
    深入了解

  • 物件存取稽核詳細檔案共用
    比較基準預設值 ：失敗
    深入了解

  • 物件存取稽核其他物件存取事件
    基準預設值： 成功 + 失敗
    深入了解

  • 物件存取稽核抽取式存放裝置
    基準預設值： 成功 + 失敗
    深入了解

  • 原則變更稽核 MPSSVC 規則層級 原則變更
    基準預設值： 成功 + 失敗
    深入了解

  • 原則變更稽核其他原則變更事件
    比較基準預設值 ：失敗
    深入了解

  • 特殊權限使用稽核機密特殊權限使用
    比較基準預設值： 成功
    深入了解

  • 系統稽核其他系統事件
    基準預設值： 成功 + 失敗
    深入了解

  • 系統稽核安全性狀態變更
    比較基準預設值： 成功
    深入了解

  • 系統稽核 系統整合性
    基準預設值： 成功 + 失敗
    深入了解

資料保護

  • 允許直接記憶體存取
    比較基準預設值 ：封鎖
    深入了解

守衛者

  • 允許封存掃描
    比較基準預設值： 已允許。掃描封存檔案。
    深入了解

  • 允許行為監視
    比較基準預設值： 已允許。開啟即時行為監視。
    深入了解

  • 允許雲端保護
    比較基準預設值： 已允許。開啟雲端保護。
    深入了解

  • 允許完整掃描抽取式磁碟機掃描
    比較基準預設值： 已允許。掃描抽取式磁碟機。
    深入了解

  • 允許存取保護
    比較基準預設值： 已允許。
    深入了解

  • 允許即時監控
    比較基準預設值： 已允許。開啟並執行即時監視服務。
    深入了解

  • 允許掃描所有下載的檔案和附件
    比較基準預設值： 已允許。
    深入了解

  • 允許指令碼掃描
    比較基準預設值： 已允許。
    深入了解

    • 封鎖可能經過模糊化的指令碼的執行
      比較基準預設值 ：封鎖
      深入了解

    • 封鎖來自 Office 巨集的 Win32 API 呼叫
      比較基準預設值 ：封鎖
      深入了解

    • 封鎖 Office 通訊應用程式使其無法建立子程序
      比較基準預設值 ：封鎖
      深入了解

    • 封鎖所有 Office 應用程式使其無法建立子程序
      比較基準預設值 ：封鎖
      深入了解

    • 封鎖 Adobe Reader 使其無法建立子程序
      比較基準預設值 ：封鎖
      深入了解

    • 封鎖從 Windows 本機安全性授權子系統竊取認證
      比較基準預設值 ：封鎖
      深入了解

    • 封鎖 JavaScript 或 VBScript 使其無法啟動下載的可執行內容
      比較基準預設值 ：封鎖
      深入了解

    • 封鎖從 USB 執行的未受信任與未簽署程序
      比較基準預設值 ：封鎖
      深入了解

    • 封鎖 Office 應用程式使其無法建立可執行的內容
      比較基準預設值 ：封鎖
      深入了解

    • 封鎖 Office 應用程式使其無法將程式碼插入其他程序
      比較基準預設值 ：封鎖
      深入了解

    • 封鎖來自電子郵件用戶端和 Web 郵件的可執行內容
      比較基準預設值 ：封鎖
      深入了解

  • 雲端封鎖層級
    比較基準預設值： 高
    深入了解

  • 雲端延伸逾時
    基準預設值： 已設定
    值： 50
    深入了解

  • 停用本機管理員合併
    基準預設值：停用本機管理員合併
    深入了解

  • 啟用檔案雜湊計算
    比較基準預設值： 啟用
    深入了解

  • 啟用網路保護
    基準預設值： 已啟用 (封鎖模式)
    深入了解

  • 向本機系統管理員隱藏排除項目
    基準預設值： 如果您啟用此設定，本機系統管理員將無法再透過 Windows 安全性應用程式或透過 PowerShell 看到排除清單。
    深入了解

  • PUA 保護
    基準預設值： PUA 保護開啟。偵測到的項目會被封鎖。它們將與其他威脅一起出現在歷史中。
    深入了解

  • 即時掃描方向
    基準預設值： (雙向) 監視所有檔案。
    深入了解

  • 提交樣本同意
    基準預設值： 自動傳送所有樣本。
    深入了解

Device Guard

  • 設定系統防護啟動
    基準預設值： 非受控 如果硬體支援，則會啟用安全啟動
    深入了解

  • Credential Guard
    基準預設值： (啟用並使用 UEFI 鎖定) 使用 UEFI 鎖定開啟 Credential Guard。
    深入了解

  • 啟用虛擬化型安全性
    基準預設值： 啟用虛擬化型安全性。
    深入了解

  • 需要平台安全性功能
    基準預設值： 開啟具有安全開機的 VBS。
    深入了解

裝置鎖定

  • 已啟用裝置密碼
    比較基準預設值： 已啟用
    深入了解

    • 裝置密碼歷程記錄
      基準預設值： 已設定
      值： 24
      深入了解

    • 裝置密碼長度下限
      基準預設值： 已設定
      值： 14
      深入了解

Dma Guard

  • 裝置列舉原則
    比較基準預設值： 封鎖所有 (最嚴格的)
    深入了解

防火牆

  • 啟用網域網路防火牆
    比較基準預設值： True
    深入了解

    • 啟用記錄丟棄的封包
      基準預設值： 啟用丟棄封包的記錄
      深入了解

    • 預設輸出動作
      比較基準預設值： 允許
      深入了解

    • 停用輸入通知
      比較基準預設值： True
      深入了解

    • 記錄檔大小上限
      基準預設值： 已設定
      值： 16384
      深入了解

    • 網域設定檔的預設輸入動作
      比較基準預設值 ：封鎖
      深入了解

    • 啟用記錄成功連線
      基準預設值： 啟用成功連線的記錄
      深入了解

  • 啟用私人網路防火牆
    比較基準預設值： True
    深入了解

    • 記錄檔大小上限
      基準預設值： 已設定
      值： 16384
      深入了解

    • 私人設定檔的預設輸入動作
      比較基準預設值 ：封鎖
      深入了解

    • 啟用記錄成功連線
      基準預設值： 啟用成功連線的記錄
      深入了解

    • 啟用記錄丟棄的封包
      基準預設值： 啟用丟棄封包的記錄
      深入了解

    • 停用輸入通知
      比較基準預設值： True
      深入了解

    • 預設輸出動作
      比較基準預設值： 允許
      深入了解

  • 啟用公用網路防火牆
    比較基準預設值： True
    深入了解

    • 啟用記錄丟棄的封包
      基準預設值： 啟用丟棄封包的記錄
      深入了解

    • 記錄檔大小上限
      基準預設值： 已設定
      值： 16384
      深入了解

    • 預設輸出動作
      比較基準預設值： 允許
      深入了解

    • 停用輸入通知
      比較基準預設值： True
      深入了解

    • 允許本機原則合併
      比較基準預設值： False
      深入了解

    • 公開設定檔的預設輸入動作
      比較基準預設值 ：封鎖
      深入了解

    • 啟用記錄成功連線
      基準預設值： 啟用成功連線的記錄
      深入了解

    • 允許本機 IPsec 原則合併
      比較基準預設值： False
      深入了解

Lanman 工作站

  • 啟用不安全的訪客登入
    基準預設值： 已停用
    深入了解

本機安全性授權單位

  • 設定 Lsa 保護的處理程序
    基準預設值： 使用 UEFI 鎖定啟用。LSA 會以受保護的處理程序方式執行，且此設定已鎖定 UEFI。
    深入了解

Microsoft App Store

  • 允許遊戲 DVR
    比較基準預設值 ：封鎖
    深入了解

  • MSI 允許使用者控制安裝
    基準預設值： 已停用
    深入了解

  • MSI 一律以提升的權限安裝
    基準預設值： 已停用
    深入了解

Microsoft Edge

內容設定

  • 預設 Adobe Flash 設定
    基準預設值： 已停用

  • 已啟用最低 TLS 版本
    比較基準預設值： 已啟用

    • 裝置) 已啟用 (最低 TLS 版本
      基準預設值： TlS 1.2

SmartScreen 設定

  • 設定 Microsoft Defender SmartScreen
    比較基準預設值： 已啟用

  • 防止略過網站的 Microsoft Defender SmartScreen 提示
    比較基準預設值： 已啟用

隱私權

  • 讓應用程式透過鎖定上方語音來啟用
    基準預設值： 強制拒絕。螢幕鎖定時，無法透過語音啟用 Windows 應用程式，且使用者無法變更。
    深入了解
  • 允許為加密的商店或項目編製索引
    比較基準預設值 ：封鎖
    深入了解

智慧螢幕

  • 在殼層中啟用智慧螢幕
    比較基準預設值： 已啟用
    深入了解

  • 防止覆寫 Shell 中的 Files
    比較基準預設值： 已啟用
    深入了解

增強型網路釣魚防護

  • 通知惡意
    比較基準預設值： 已啟用

  • 通知密碼重複使用
    比較基準預設值： 已啟用

  • 通知不安全的應用程式
    比較基準預設值： 已啟用

  • 服務已啟用
    比較基準預設值： 已啟用

使用者權限

  • 從網路存取
    基準預設值： 已設定
    值

  • 允許本機登入
    基準預設值： 已設定
    值

  • Backup Files And Directories
    基準預設值： 已設定
    值：

  • 建立通用物件
    基準預設值： 已設定
    值

  • 建立分頁檔
    基準預設值： 已設定
    值：

  • 偵錯程式
    基準預設值： 已設定
    值：

  • 拒絕來自網路的存取
    基準預設值： 已設定
    值：

  • 拒絕遠端桌面服務登入
    基準預設值： 已設定
    值：

  • 模擬用戶端
    基準預設值： 已設定
    值

  • 載入解除載入裝置驅動程式
    基準預設值： 已設定
    值：

  • 管理稽核及安全性記錄檔
    基準預設值： 已設定
    值：

  • 管理磁碟區
    基準預設值： 已設定
    值：

  • 修改韌體環境
    基準預設值： 已設定
    值：

  • 監視單一處理程序
    基準預設值： 已設定
    值：

  • 遠端關機
    基準預設值： 已設定
    值：

  • Restore Files And Directories
    基準預設值： 已設定
    值：

  • 取得主權
    基準預設值： 已設定
    值：

以虛擬化為基礎的技術

  • Hypervisor 強制執行程式碼完整性
    基準預設值：使用 UEFI 鎖定啟用 () 使用 UEFI 鎖定開啟 Hypervisor-Protected 程式碼完整性。
    深入了解

Windows Ink 工作區

  • 允許 Windows Ink 工作區
    基準預設值： 已啟用筆跡工作區 (功能已開啟) ，但使用者無法在鎖定畫面上方存取它。
    深入了解

本機原則安全性選項

  • 帳戶限制使用空白密碼的本機帳戶僅能登入到主控台
    比較基準預設值： 已啟用
    深入了解

  • 互動式登入機未使用時間限制
    基準預設值： 已設定
    值： 900
    深入了解

  • 互動式登入智慧卡移除行為
    比較基準預設值： 鎖定工作站
    深入了解

  • Microsoft 網路用戶端一律數位簽章通訊
    比較基準預設值： 啟用
    深入了解

  • Microsoft 網路用戶端傳送未加密的密碼到協力廠商 SMB 伺服器
    基準預設值： 停用
    深入了解

  • Microsoft 網路伺服器數位簽章通訊一律
    比較基準預設值： 啟用
    深入了解

  • 網路存取不允許 SAM 帳戶的匿名列舉
    比較基準預設值： 已啟用
    深入了解

  • 網路存取不允許匿名列舉 Sam 帳戶和共用
    比較基準預設值： 已啟用
    深入了解

  • 網路存取： 限制匿名存取具名管道和共用
    比較基準預設 值：啟用
    深入了解

  • 網路存取限制允許遠端呼叫 SAM 的用戶端
    基準預設值： 已設定
    Value： O：BAG：BAD： (A;;RC;;;BA)
    深入了解

  • 網路安全性：下次密碼變更時不儲存 LAN Manager 雜湊數值
    比較基準預設值： 啟用
    深入了解

  • 網路安全性 LAN Manager 驗證層級
    基準預設值： 僅傳送 LM 和 NTLMv2 回應。拒絕 LM 及 NTLM
    深入了解

  • 網路安全性：NTLMSSP 用戶端的最小工作階段安全性
    基準預設值： 需要 NTLM 和 128 位元加密
    深入了解

  • NTLMSSP 伺服器的網路安全性最小工作階段安全性
    基準預設值： 需要 NTLM 和 128 位元加密
    深入了解

  • 管理員之提高權限提示的使用者帳戶控制行為
    基準預設值： 在安全桌面上提示同意
    深入了解

  • Standard Users 提高權限提示的使用者帳戶控制行為
    基準預設值： 自動拒絕提高權限要求
    深入了解

  • 使用者帳戶控制：偵測應用程式安裝，並提示提升權限
    比較基準預設值： 啟用
    深入了解

  • 使用者帳戶控制只會提升 UI 存取在安全位置安裝的應用程式
    基準預設值： 已啟用：只有在應用程式位於安全位置時，才會以 UIAccess 完整性執行。
    深入了解

  • 使用者帳戶控制 所有系統管理員都以管理員核准模式執行
    比較基準預設值： 已啟用
    深入了解

  • 使用者帳戶控制 使用管理員核准模式
    比較基準預設值： 啟用
    深入了解

  • 使用者帳戶控制 虛擬化檔案和登錄 寫入每個使用者位置
    比較基準預設值： 已啟用
    深入了解

  • Last updated on