Csoportházirend-példák: A biztonság szempontjából leghasznosabb csoportházirend-objektumok
Ez az általános Active Directory csoportházirendek (GPO) listája, amelyeket a biztonság és az adminisztrációs kényelem érdekében Active Directory környezetben kell megvalósítani. Kérjük, vegye figyelembe, hogy ezek a beállítások nem feltétlenül felelnek meg az Ön környezetének, ezért mindegyiket alaposan fontolja meg. Mint minden csoportházirend-objektum-beállításnál, tesztelje a felhasználók egy kis csoportján és a számítógépeken, mielőtt közzéteszi.
1. Engedélyezze az auditnaplókat
Az ellenőrzési naplók engedélyezése segít a hálózaton végzett tevékenységek nyomon követésében, és nagyszerű biztonsági eszköz az infrastruktúra fenyegetéseinek azonosításához.
Legalább engedélyeznie kell a Rendszeresemények naplózását. Ez a házirend a Számítógép konfigurációja -> Windows-beállítások -> Biztonsági beállítások -> Ellenőrzési házirend menüpontban található.
Módosítsa az „Audit System Events” elemet a Siker, hiba értékre.
Tekintse meg a Windows Server naplózási szabályzata című cikket a bevált módszerek naplózásához.
2. Képernyőzárási idő
Az adatok és a magánélet védelme érdekében engedélyezze a tartományi számítógépeken az inaktivitás miatti kizárási időt. Az általánosan elfogadott idő 10-15 perc, de szükség esetén rövidebb is lehet. Nagyszerű megtanítani a felhasználókat, hogy zárják le számítógépeiket, amikor elmennek az asztaluktól. De a tartalék terv mindig ideális.
Ez a beállítás a Számítógép konfigurációja -> Windows beállítások -> Biztonsági beállítások -> Helyi házirendek -> Biztonsági beállítások menüpontban található.
Módosítsa az Interaktív bejelentkezés idejét: A gép inaktivitási korlátja.
További részletekért tekintse meg a GPO-zárolási képernyő című cikket.
3. Jelszóházirend
Az erős jelszószabályok betartatása kritikus fontosságú a domain biztonsága szempontjából.
Ezek a beállítások a Számítógép konfigurációja -> Windows beállítások -> Biztonsági beállítások -> Fiókházirendek -> Jelszóházirend menüpontban találhatók.
További részletekért tekintse meg az Active Directory jelszóházirend című cikket.
4. Fiókzárolási szabályzat
A fiókzárolási szabályzat betartatása segít megőrizni a tartományi számítógépek biztonságát. Egy rosszindulatú szereplő megpróbálhatja kitalálni a jelszavakat egy tartományfiókhoz.
Ezek a beállítások a Számítógép konfigurációja -> Windows beállításai -> Biztonsági beállítások -> Fiókházirendek -> Fiókzárolási szabályzat menüpontban találhatók.
További részletekért tekintse meg az Active Directory fiókzárolási szabályzatát.
5. Cserélhető adathordozó
Ki kell kapcsolni, hogy a felhasználók USB-meghajtókat, külső merevlemez-meghajtókat csatlakoztassanak, vagy CD-ket, DVD-ket helyezzenek be. Megnyitja az ajtót a hálózat vírusokkal vagy rosszindulatú programokkal való megfertőződése előtt.
Ezek a beállítások a Felhasználói konfiguráció -> Házirendek -> Felügyeleti sablonok -> Rendszer -> Cserélhető tárhely hozzáférés menüpontban találhatók.
Engedélyezheti az olvasás és végrehajtás megtagadása bizonyos eszközökön vagy az Összes cserélhető tárolóosztály engedélyezése: Minden hozzáférés tiltása ” lehetőséget az összes eszköz letiltásához.
6. Korlátozza a hozzáférést a parancssorhoz és a PowerShellhez
Korlátozza a hozzáférést a parancssorhoz és a PowerShellhez, hogy megakadályozza a parancsok normál felhasználói fiókok általi futtatását. Ha a rendszer feltört, a parancssor vagy a PowerShell használható a felhasználói fiók emelésére. Ezenkívül a PowerShell rosszindulatú szkriptek futtatására is használható, és gyakran használják zsarolóvírusok terjesztésére.
A parancssorhoz való hozzáférés megakadályozásához engedélyezze a „Parancssorhoz való hozzáférés megakadályozása” beállítást.
A beállítás a Felhasználói konfiguráció -> Felügyeleti sablonok -> Rendszer menüpontban található.
A PowerShell letiltásához tekintse meg a PowerShell GPO letiltása című cikket.
7. Korlátozza a hozzáférést a Vezérlőpult opcióihoz
Korlátozza a hozzáférést arra, hogy a felhasználók mit módosíthatnak a Vezérlőpulton. A felhasználók számos rendszerbeállítást módosíthatnak a Vezérlőpulton, például a hálózati beállításokat, a szoftverek hozzáadását és eltávolítását, valamint a felhasználók hozzáadását és eltávolítását. Mindezek a tevékenységek megnyithatják a kaput a biztonság megsértése előtt.
A vezérlőpulthoz való hozzáférés zárolásához engedélyezni kell a „Vezérlőpulthoz és a számítógép beállításaihoz való hozzáférés tiltása” lehetőséget.
Ez a beállítás a Felhasználói konfiguráció -> Felügyeleti sablonok -> Vezérlőpult menüpontban található
8. Korlátozza, hogy ki telepíthet szoftvert
Minden szoftvert tesztelni és jóvá kell hagyni, mielőtt hálózatra telepítenék. Ezenkívül a szokásos felhasználói fiókok nem telepíthetnek szoftvereket. Ez mind a biztonság, mind a szoftver által okozott problémák enyhítése érdekében szolgál.
Ez a beállítás a Számítógép konfigurációja -> Felügyeleti sablonok -> Windows-összetevők -> Windows Installer menüpontban található.
Kattintson a „Felhasználói telepítések tiltása” lehetőségre, és engedélyezze a házirendet.
9. Vendégfiók beállításai
A vendégfiókok jelszó használata nélkül biztosítanak hozzáférést a számítógéphez. Ez egyrészt biztonsági, másrészt adathozzáférési aggály. A legjobb, ha letiltja a vendég hozzáférést.
Ez a beállítás a Számítógép konfigurációja -> Windows beállítások -> Biztonsági beállítások -> Helyi házirendek -> Biztonsági beállítások menüpontban található
Kattintson a „Fiókok: Vendégfiók állapota” elemre, és válassza a letiltott lehetőséget.
10. A LAN Manager Hash tárolásának megakadályozása
A LAN Manager a fiókjelszavakat kivonatokban tárolja a helyi SAM-adatbázisban. A hash gyenge és nagyon érzékeny a hackelésre. Ezt ki kell kapcsolni.
A beállítás a Számítógép konfigurációja -> Windows beállításai -> Biztonsági beállítások -> Helyi házirendek -> Biztonsági beállítások menüpontban található.
Állítsa a „Network Security: Ne tárolja a LAN Manager hash értékét a következő jelszómódosításkor” házirendet Engedélyezve értékre.
11. Az üres jelszó helyi fiókok használatát csak a konzolra korlátozza
Az üres jelszavak magas szintű biztonsági fenyegetést jelentenek. Abban az esetben, ha egy adminisztrátor véletlenül létrehoz egy helyi fiókot jelszó nélkül, mielőtt hozzáadná a tartományhoz, letilthatja a fiók RDP-n, Telneten és FTP-n keresztüli használatát.
Ez a beállítás a Számítógép konfigurációja -> Windows beállítások -> Biztonsági beállítások -> Helyi házirendek -> Biztonsági beállítások menüpontban található.
Állítsa a „Fiókok: Az üres jelszó helyi fiókhasználatának korlátozása csak a konzolbejelentkezésre” beállítást Engedélyezve.
12. Kapcsolja ki a kényszerített újraindítást
Ha a Windows Update szolgáltatást használja, tiltsa le az automatikus újraindítást, amikor a felhasználók bejelentkeznek. Ezzel elkerülhető a sok dühös e-mail és telefonhívás.
Ez a beállítás a Számítógép konfigurációja -> Felügyeleti sablonok -> Windows-összetevők -> Windows-frissítések menüpontban található.
Engedélyezze a „Nincs automatikus újraindítás bejelentkezett felhasználókkal az ütemezett automatikus frissítések telepítéséhez” házirendet.
13. Figyelje a GPO-beállítások változásait
A csoportházirendobjektum-beállítások változásainak nyomon követése nagyon hasznos, ha több adminisztrátor hajt végre módosításokat.
Ez a beállítás a Számítógép konfigurációja -> Házirendek -> Windows-beállítások -> Biztonsági beállítások -> Speciális ellenőrzési házirend-konfiguráció -> Vizsgálati házirendek/DS-hozzáférés menüpontban található.
Válassza a Címtárszolgáltatás módosításainak ellenőrzése lehetőséget, majd kattintson a Sikeres gombra.
14. A Microsoft Store letiltása
A felhasználók elragadtathatják az alkalmazásokat a Microsoft Store-ból. Ez egy adminisztrátori rémálmot generál.
A Microsoft Store letiltásához engedélyezze a „Kapcsolja ki az áruház alkalmazást” beállítást.
Ez a beállítás a Számítógép konfigurációja -> Felügyeleti sablonok -> Windows-összetevők -> Áruház menüpontban található
Vannak olyan alkalmazások, amelyeket továbbra is frissíteni kell a Microsoft Store-on keresztül, ezt a Számítógép konfigurációja -> Felügyeleti sablonok -> Windows-összetevők -> Áruház menüpontban engedélyezheti.
Válassza ki a „Frissítések automatikus letöltésének és telepítésének kikapcsolása” házirendet, majd válassza a letiltást.
15. Tiltsa le a névtelen SID/névfordítást
Ha ez az opció engedélyezve van, akkor a SID segítségével lekérheti a beépített rendszergazdai fiók nevét még akkor is, ha az adminisztrátori fiókot más névre változtatták.
A beállítás a Számítógép konfigurációja -> Windows beállításai -> Biztonsági beállítások -> Helyi házirendek -> Biztonsági beállítások menüpontban található.
Módosítsa a „Hálózati hozzáférés: Névtelen SID/névfordítás engedélyezése” házirendet Letiltva értékre.
16. Korlátozza a Nyilvántartáshoz való hozzáférést
A rendszerleíró adatbázis beállításainak módosítása mindig komoly gondot okoz a rendszergazdáknak. Lezárhatja a rendszerleíró adatbázist, hogy a felhasználók ne módosíthassák azt.
Ez a beállítás a Felhasználói konfiguráció -> Felügyeleti sablonok -> Rendszer menüpontban található.
Válassza ki a „Hozzáférés megakadályozása a beállításjegyzék-szerkesztő eszközökhöz” házirendet, és állítsa be Engedélyezve értékre.
Ezután a Regedit csendes futtatásának letiltása alatt váltson Igen értékre.
17. Távolítsa el a névtelen felhasználókat a Mindenki engedélyei közül
Ezt alapértelmezés szerint ki kell kapcsolni. még egyszer ellenőrizném. Ha ez be van kapcsolva, a névtelen felhasználók hozzáférhetnek minden olyan erőforráshoz, amelyhez mindenki jogosult.
Ez a beállítás a Számítógép konfigurációja -> Windows beállítások -> Biztonsági beállítások -> Helyi házirendek -> Biztonsági beállítások menüpontban található
A „Hálózati hozzáférés: Engedélyezze, hogy mindenki jogosult legyen a névtelen felhasználókra” értéket Letiltva értékre kell állítani.
18. Kapcsolja be az NTLM auditálását, hogy megbizonyosodjon arról, hogy nem használja.
Az NTLM egy örökölt hitelesítési protokoll, és számos sebezhetősége van, ezért a Windows 2000 rendszerben Kerberosra cserélték. Mielőtt letiltja, győződjön meg arról, hogy nincs-e olyan régi kliens, amely továbbra is használja ezeket a hitelesítési módszereket.
NTLM-használat ellenőrzése
Ez a beállítás a Számítógép konfigurációja -> Windows beállítások -> Biztonsági beállítások -> Helyi házirendek -> Biztonsági beállítások menüpontban található.
Válassza ki a „Hálózati biztonság: NTLM korlátozása: NTLM hitelesítés ellenőrzése ebben a tartományban” házirendet, és engedélyezze az összeset.
Megtekintheti az Eseménynaplót az Alkalmazások és szolgáltatások naplója - Microsoft - Windows - NTLM alatt, hogy megtudja, használatban van-e az NTLM. Keresse meg az NTLM-et az Authentication Package értékben. A csomag neve megmutatja, hogy az NTLM melyik verzióját használja.
Miután meggyőződött arról, hogy domainje nem használ NTLM-et, letilthatja azt.
NTLM letiltása (Először ellenőrizze a hálózatot)
Ez a beállítás a Számítógép konfigurációja -> Windows beállítások -> Biztonsági beállítások -> Helyi házirendek -> Biztonsági beállítások menüpontban található.
Válassza ki a „Hálózati biztonság: NTLM: NTLM-hitelesítés korlátozása ebben a tartományban” házirendet, majd válassza az Összes elutasítása lehetőséget.
19. Az LLMNR letiltása
Link local Multicast Name Resolution (LLMNR) az IP-címek hosztnevekké történő feloldására használt protokoll. Alapvetően DNS-kiszolgáló nélkül hajt végre tartománynév-kereséseket. Úgy működik, hogy üzenetet küld a hálózaton címet keresve, és a hálózat bármely eszköze válaszolni tud. Ezt a támadó könnyen felhasználhatja arra, hogy válaszoljon ezekre az adásokra, és csatlakozzon a gépekhez. Egy üzleti hálózatban az eszközöknek az Ön által felügyelt vagy jóváhagyott DNS-kiszolgálót kell használniuk.
Ezzel a házirend-beállítással letilthatja az LLMNR-t.
Számítógép konfigurációja -> Felügyeleti sablonok -> Hálózat -> DNS-kliens engedélyezése Kapcsolja ki a Multicast névfeloldási házirendet az értékének Enabled értékre történő módosításával
20. Irányítsd a Helyi rendszergazdák csoportját
Ha nem korlátozza a hozzáférést a helyi rendszergazdai csoporthoz, akkor honnan tudja, hogy mely fiókok rendelkeznek teljes rendszergazdai jogokkal? Idővel a személyzet létrehozza és hozzáadja a meglévő fiókokat a helyi rendszergazdai csoporthoz a munkaállomásokon és laptopokon. Ez teljes jogot biztosít a fióknak a számítógéphez, lehetővé téve számukra szoftverek és illesztőprogramok telepítését, rendszermódosításokat stb. Ez rossz biztonsági gyakorlat, és egyetlen felhasználó sem végezheti napi munkáját teljes rendszergazdai jogokkal.
A csoportházirend segítségével szabályozhatja, hogy mely felhasználók legyenek tagjai ennek a csoportnak, és megakadályozhatja, hogy más munkatársak változtatásokat hajtsanak végre.
Lépésről lépésre tekintse meg a helyi rendszergazdai jogok eltávolításának útmutatóját.
21. Windows tűzfal
Azt javaslom, hogy központilag kezelje a Windows tűzfalat csoportházirend segítségével. Ez hasonló a helyi rendszergazdai jogokkal kapcsolatos problémához, ha nem központilag kezeli, a szabályok kikerülhetnek az ellenőrzés alól. Ha a felhasználó tűzfal arra kéri, hogy engedélyezzen vagy megtagadjon valamit, akkor könnyen rákattinthat az engedélyezésre mindig. Bármilyen blokkolás feloldására irányuló kérésnek az informatikai/biztonsági csapaton keresztül kell érkeznie.
További részletekért tekintse meg a Windows tűzfal bevált gyakorlatai című cikket.
22. Engedélyezze a felhasználói fiókok felügyeletét (UAC)
Az UAC használatával az alkalmazások egy normál felhasználó (nem rendszergazdai fiók) biztonsági környezetében futnak, és engedélyeket kér, ha az alkalmazásnak rendszergazdai szintű hozzáférésre van szüksége.
Ez egy másik biztonsági réteg, amely segít megvédeni a felhasználókat, a számítógépeket és a hálózatot. Ez egy másik beállítás, amelyet a felhasználók vagy más munkatársak letilthatnak. A csoportházirend használatával központilag kényszerítheti az UAC engedélyezését, és megakadályozhatja annak letiltását.
Az UAC-irányelvek a következőkben találhatók:
Számítógép konfigurációja -> Házirendek -> Windows beállítások -> Biztonsági beállítások -> Helyi házirendek -> Biztonsági beállítások.
23. Applocker vagy szoftverkorlátozási irányelvek
Az Applocker egy olyan funkció, amely lehetővé teszi annak szabályozását, hogy mely alkalmazások és fájlok futhatnak. Ez segíthet megakadályozni a nem jóváhagyott szoftverek és fájlok futtatását. Például, ha egy felhasználó letölt egy szoftvert az internetről, és azt az Applocker szabályzat nem hagyja jóvá, a szoftver blokkolva lesz.
Ez segíthet megelőzni a zsarolóvírusok és más rosszindulatú vírusok telepítését és terjedését a hálózaton. Az Applocker csak a Windows vállalati kiegészítésen érhető el. Ha Windows pro-t futtat, nézze meg a szoftverkorlátozási házirendeket.
A szoftverkorlátozási szabályzatok az alábbiakban találhatók.
Számítógép konfigurációja -> Házirendek -> Windows beállítások -> Biztonsági beállítások -> Szoftverkorlátozási házirendek
Remélem tetszett ez a cikk. Milyen csoportházirend-objektumokat használ a biztonság javítására?