Computer >> Hướng Dẫn Máy Tính >  >> Hệ Thống >> Máy Chủ Windows

Tăng Cường Bảo Mật Windows Sử Dụng Microsoft Security Baselines

Microsoft Security Baseline chứa các thiết lập được Microsoft khuyến nghị cho máy trạm và máy chủ Windows để cung cấp cấu hình bảo mật và bảo vệ bộ điều khiển miền, máy chủ, máy tính và người dùng. Microsoft đã phát triển các Đối Tượng Chính Sách Nhóm (GPO) tham chiếu và mẫu dựa trên Security Baselines. Quản trị viên có thể áp dụng chúng trong miền AD của họ. Các thiết lập bảo mật trong GPO Microsoft Security Baseline cho phép quản trị viên bảo vệ cơ sở hạ tầng Windows theo các phương pháp hay nhất về bảo mật toàn cầu mới nhất. Trong bài viết này, chúng tôi sẽ chỉ cách triển khai GPO Microsoft Security Baseline trong miền của bạn.

Chính Sách Nhóm Tham Chiếu Microsoft Security Baseline là một phần của Microsoft Security Compliance Manager (SCM). SCM là một sản phẩm miễn phí chứa nhiều công cụ để phân tích, kiểm tra và áp dụng các phương pháp hay nhất và khuyến nghị bảo mật hiện tại cho Windows và các sản phẩm Microsoft khác.

Microsoft Security Compliance Toolkit có sẵn tại: https://www.microsoft.com/en-us/download/details.aspx?id=55319. Hiện tại, Baselines cho các sản phẩm sau có sẵn trong Security Compliance Toolkit:

  • Windows 10 Version 20H2 và Windows Server Version 20H2
  • Windows 10 Version 2004 và Windows Server Version 2004
  • Windows 10 Version 1909 và Windows Server Version 1909
  • Windows 10 Version 1903 và Windows Server Version 1903
  • Windows 10 Version 1809 và Windows Server 2019
  • Windows 10 Version 1607 và Windows Server 2016
  • Microsoft Edge v88
  • Office365 ProPlus
  • Windows Server 2012 R2

Bạn cũng có thể tải xuống các công cụ này:

  • LGPO dùng để quản lý cài đặt GPO cục bộ;
  • PolicyAnalyzer là công cụ phân tích Chính Sách Nhóm hiện có và so sánh chúng với các chính sách tham chiếu trong Security Baseline;
  • SetObjectSecurity

Kho lưu trữ Security Baseline cho mỗi phiên bản Windows chứa một số thư mục:

  • Documentation chứa file XLSX và PDF với mô tả chi tiết các thiết lập được áp dụng trong Security Baseline;
  • GP Reports có báo cáo HTML với các thiết lập GPO sẽ được áp dụng;
  • GPOs – chứa các đối tượng GPO cho các kịch bản khác nhau. Bạn có thể nhập các chính sách vào bảng điều khiển Quản Lý Chính Sách Nhóm (GPMC);
  • Scripts chứa script PowerShell để dễ dàng nhập cài đặt GPO vào chính sách miền hoặc cục bộ: Baseline-ADImport.ps1, Baseline-LocalInstall.ps1, Remove-EPBaselineSettings.ps1, MapGuidsToGpoNames.ps1
  • Templates – các mẫu ADMX/ADML GPO bổ sung (ví dụ, AdmPwd.admx chứa cài đặt quản lý mật cục bộ cho LAPS, MSS-legacy.admx, SecGuide.admx)

Trong môi trường miền Active Directory, việc triển khai Security Baseline bằng GPO dễ dàng hơn (trong workgroup, bạn có thể áp dụng các thiết lập bảo mật được khuyến nghị thông qua Chính Sách Nhóm Cục bộ bằng công cụ LGPO.exe).

Có các mẫu GPO Security Baseline cho các yếu tố cơ sở hạ tầng Windows khác nhau: chính sách cho máy tính, người dùng, máy chủ miền, bộ điều khiển miền (có chính sách riêng cho DC ảo), cũng như cài đặt Internet Explorer, BitLocker, Credential Guard, Windows Defender Antivirus. Các Chính Sách Nhóm được cấu hình cho các kịch bản khác nhau nằm trong thư mục GPOs (bạn có thể thấy danh sách GPO cho Windows Server 2019 và Windows 10 1909 bên dưới):

  • MSFT Internet Explorer 11 — Computer
  • MSFT Internet Explorer 11 — User
  • MSFT Windows 10 1909 — BitLocker
  • MSFT Windows 10 1909 — Computer
  • MSFT Windows 10 1909 — User
  • MSFT Windows 10 1909 and Server 1909 — Defender Antivirus
  • MSFT Windows 10 1909 and Server 1909 — Domain Security
  • MSFT Windows 10 1909 and Server 1909 Member Server — Credential Guard
  • MSFT Windows Server 1909 — Domain Controller Virtualization Based Security
  • MSFT Windows Server 1909 — Domain Controller
  • MSFT Windows Server 1909 — Member Server

Lưu ý rằng có một bộ Security Baseline riêng cho mỗi phiên bản Windows Server hoặc bản build Windows 10.

Giải nén kho lưu trữ với phiên bản Security Baseline phù hợp với phiên bản Windows của bạn và mở bảng điều khiển Quản Lý Chính Sách Nhóm (gpmc.msc).

  1. Sao chép mẫu ADMX vào thư mục SYSVOL PolicyDefinitions (GPO Central Store) trên DC của bạn;
  2. Tạo GPO mới với tên Windows 10 2004 Security Baseline;
  3. Chuột phải vào GPO và chọn Import Settings;
  4. Chỉ định đường dẫn đến file Security Baseline cho phiên bản Windows của bạn làm Backup Location (ví dụ, C:\Tools\SCM\Windows 10 Version 2004 and Windows Server Version 2004 Security Baseline\Windows-10-Windows Server-v2004-Security-Baseline-FINAL\GPOs);
  5. Bạn sẽ thấy danh sách các mẫu chính sách. Trong trường hợp này, tôi sẽ nhập chính sách với cài đặt máy tính. Chọn MSFT Windows 10 2004 – Computer (sử dụng nút View Settings, bạn có thể xem các thiết lập chính sách dưới dạng báo cáo gpresult);
  6. Sau đó, bạn được nhắc chọn cách di chuyển các tham chiếu đến đối tượng bảo mật và đường dẫn UNC. Vì chính sách là mới, hãy chọn Copying them identically from the source;
  7. Sau đó, các thiết lập chính sách tham chiếu Security Baseline cho máy tính chạy Windows 10 2004 sẽ được nhập vào GPO của bạn.

Để áp dụng Đối Tượng Chính Sách Nhóm chỉ cho máy tính chạy bản build Windows cụ thể, hãy sử dụng bộ lọc WMI GPO. Ví dụ, cho Windows 10 2004, bạn có thể sử dụng bộ lọc WMI sau:

Select Version,ProductType from Win32_OperatingSystem WHERE Version LIKE "10.0.19041%" and ProductType = "1"

Áp dụng bộ lọc cho chính sách của bạn và liên kết chính sách với Organizational Unit bạn cần.

Tương tự, bạn có thể nhập Security Baselines cho người dùng, bộ điều khiển miền, máy chủ thành viên miền, v.v.

Trước khi áp dụng Security Baseline cho máy tính người dùng, hãy kiểm tra kỹ các thiết lập được đề xuất và áp dụng chúng trước cho OU với người dùng hoặc máy tính thử nghiệm. Nếu cần, bạn có thể tắt một số thiết lập được đề xuất bởi Security Baseline. Chỉ sau khi kiểm tra thành công các thiết lập Security Baseline trên máy tính thử nghiệm, bạn mới áp dụng chúng cho tất cả máy tính/máy chủ trong miền của bạn.

Security Baseline chứa hàng chục thậm chí hàng trăm thiết lập. Chúng tôi không thể thảo luận chúng trong một bài viết. Hãy xem xét các thiết lập bảo mật chúng tôi đã đề cập trong các bài viết khác trên woshub.com:

  • Quản lý quy tắc khởi động và cài đặt chương trình: AppLocker (Software Restriction Policies), UAC và Windows Installer
  • Chính sách mật khẩu miền và khóa tài khoản
  • Hạn chế tài khoản đặc quyền
  • Hạn chế truy cập ẩn danh
  • Cài đặt chính sách kiểm toán để lấy thông tin về tất cả sự kiện và lịch sử đăng nhập người dùng
  • Bảo vệ bộ nhớ LSA
  • Truy cập thiết bị ngoại vi (bao gồm chính sách cài đặt máy in và USB)
  • Vô hiệu hóa giao thức NetBIOS và NTLM
  • Cài đặt Remote Assistance, kết nối shadow, thời gian chờ RDS, CredSSP Oracle Remediation
  • Chính sách thực thi PowerShell
  • Cấu hình Windows Error Reporting
  • Quản lý quy tắc Windows Firewall
  • Cài đặt WinRM
  • Vô hiệu hóa tài khoản administrator tích hợp
  • Chính sách Hardened UNC paths
  • Vô hiệu hóa SMBv1

Nếu bạn muốn bảo vệ máy tính cá nhân chạy Windows 10, bạn có thể áp dụng cài đặt Security Baseline trên nó bằng script PowerShell có sẵn.

Cho phép chạy script không được ký:

Set-ExecutionPolicy -Scope Process Unrestricted
Áp dụng chính sách:
Baseline-LocalInstall.ps1 -Win10NonDomainJoined

Cài đặt Microsoft Security Baseline có thể tăng cường bảo mật cơ sở hạ tầng Windows của bạn và giúp đảm bảo rằng các cùng một thiết lập được áp dụng cho tất cả máy tính (bao gồm cả máy mới) trên mạng doanh nghiệp của bạn.