home

หน้าแรก
 Computer >> บทช่วยสอนคอมพิวเตอร์ >  >> ระบบ >> Windows Server

การแข็งแกรง Windows ด้วย Microsoft Security Baselines

Microsoft Security Baseline ประกอบด้วยการตั้งค่าที่แนะนำจาก Microsoft สำหรับเวิร์กสเตชันและเซิร์ฟเวอร์ Windows เพื่อให้การกำหนดค่าที่ปลอดภัยและปกป้องโดเมนคอนโทรลเลอร์ เซิร์ฟเวอร์ คอมพิวเตอร์ และผู้ใช้ Microsoft ได้พัฒนา Group Policy Objects และเทมเพลตอ้างอิงตาม Security Baselines ผู้ดูแลระบบสามารถนำไปใช้ในโดเมน AD ของตนได้ การตั้งค่าความปลอดภัยใน Microsoft Security Baseline GPO ช่วยให้ผู้ดูแลระบบปกป้องโครงสร้างพื้นฐาน Windows ตามแนวทางปฏิบัติที่ดีที่สุดด้านความปลอดภัยทั่วโลก ในบทความนี้เราจะแสดงวิธีนำ Microsoft Security Baseline GPOs ไปใช้ในโดเมนของคุณ

Microsoft Security Compliance Toolkit

Reference Microsoft Security Baseline Group Policies เป็นส่วนหนึ่งของ Microsoft Security Compliance Manager (SCM) SCM เป็นผลิตภัณฑ์ฟรีที่มีเครื่องมือหลายอย่างสำหรับวิเคราะห์ ทดสอบ และนำแนวทางปฏิบัติที่ดีที่สุดและคำแนะนำด้านความปลอดภัยปัจจุบันสำหรับ Windows และผลิตภัณฑ์ Microsoft อื่นๆ ไปใช้

Microsoft Security Compliance Toolkit พร้อมดาวน์โหลดที่: https://www.microsoft.com/en-us/download/details.aspx?id=55319 ปัจจุบัน Baselines สำหรับผลิตภัณฑ์ต่อไปนี้พร้อมใช้งานใน Security Compliance Toolkit:

  • Windows 10 Version 20H2 และ Windows Server Version 20H2
  • Windows 10 Version 2004 และ Windows Server Version 2004
  • Windows 10 Version 1909 และ Windows Server Version 1909
  • Windows 10 Version 1903 และ Windows Server Version 1903
  • Windows 10 Version 1809 และ Windows Server 2019
  • Windows 10 Version 1607 และ Windows Server 2016
  • Microsoft Edge v88
  • Office365 ProPlus
  • Windows Server 2012 R2

คุณยังสามารถดาวน์โหลดเครื่องมือเหล่านี้ได้:

  • LGPO ใช้จัดการการตั้งค่า Local GPO;
  • PolicyAnalyzer เครื่องมือวิเคราะห์ Group Policies ที่มีอยู่และเปรียบเทียบกับนโยบายอ้างอิงใน Security Baseline;
  • SetObjectSecurity

โครงสร้างของ Security Baseline Archive

ไอเดีย Security Baseline สำหรับแต่ละเวอร์ชัน Windows มีโฟลเดอร์หลายโฟลเดอร์:

  • Documentation มีไฟล์ XLSX และ PDF ที่มีรายละเอียดการตั้งค่าที่ใช้ใน Security Baseline;
  • GP Reports มีรายงาน HTML พร้อมการตั้งค่า GPO ที่จะนำไปใช้;
  • GPOs – มีวัตถุ GPO สำหรับสถานการณ์ต่างๆ คุณสามารถนำเข้านโยบายไปยังคอนโซล Group Policy Management (GPMC);
  • Scripts มีสคริปต์ PowerShell เพื่อนำเข้าการตั้งค่า GPO ไปยังนโยบายโดเมนหรือท้องถิ่นอย่างง่ายดาย: Baseline-ADImport.ps1, Baseline-LocalInstall.ps1, Remove-EPBaselineSettings.ps1, MapGuidsToGpoNames.ps1
  • Templates – เทมเพลต ADMX/ADML GPO เพิ่มเติม (เช่น AdmPwd.admx มีการตั้งค่าการจัดการรหัสผ่านท้องถิ่นสำหรับ LAPS, MSS-legacy.admx, SecGuide.admx)

การนำ Security Baseline ไปใช้ผ่าน GPO

ในสภาพแวดล้อมโดเมน Active Directory ง่ายกว่าที่จะนำ Security Baseline ไปใช้ผ่าน GPO (ใน Workgroup คุณสามารถนำการตั้งค่าความปลอดภัยที่แนะนำไปใช้ผ่าน Local Group Policy โดยใช้ LGPO.exe)

มีเทมเพลต GPO Security Baseline สำหรับองค์ประกอบโครงสร้างพื้นฐาน Windows ต่างๆ: นโยบายสำหรับคอมพิวเตอร์, ผู้ใช้, เซิร์ฟเวอร์โดเมน, โดเมนคอนโทรลเลอร์ (มีนโยบายแยกสำหรับ Virtual DCs), รวมถึงการตั้งค่า Internet Explorer, BitLocker, Credential Guard, Windows Defender Antivirus Group Policies ที่กำหนดค่าไว้สำหรับสถานการณ์ต่างๆ อยู่ในโฟลเดอร์ GPOs (คุณสามารถดูรายการ GPOs สำหรับ Windows Server 2019 และ Windows 10 1909 ได้ด้านล่าง):

  • MSFT Internet Explorer 11 — Computer
  • MSFT Internet Explorer 11 — User
  • MSFT Windows 10 1909 — BitLocker
  • MSFT Windows 10 1909 — Computer
  • MSFT Windows 10 1909 — User
  • MSFT Windows 10 1909 and Server 1909 — Defender Antivirus
  • MSFT Windows 10 1909 and Server 1909 — Domain Security
  • MSFT Windows 10 1909 and Server 1909 Member Server — Credential Guard
  • MSFT Windows Server 1909 — Domain Controller Virtualization Based Security
  • MSFT Windows Server 1909 — Domain Controller
  • MSFT Windows Server 1909 — Member Server
⚠ หมายเหตุ: มีชุด Security Baseline แยกสำหรับแต่ละเวอร์ชัน Windows Server หรือ Windows 10 Build

ขั้นตอนการนำเข้า Security Baseline GPO

  1. คัดลอกเทมเพลต ADMX ไปยังโฟลเดอร์ SYSVOL PolicyDefinitions (GPO Central Store) บน DC ของคุณ;
  2. สร้าง GPO ใหม่ชื่อ Windows 10 2004 Security Baseline;
  3. คลิกขวาที่ GPO และเลือก Import Settings;
  4. ระบุเส้นทางไปยังไฟล์ Security Baseline สำหรับเวอร์ชัน Windows ของคุณเป็น Backup Location (เช่น C:\Tools\SCM\Windows 10 Version 2004 and Windows Server Version 2004 Security Baseline\Windows-10-Windows Server-v2004-Security-Baseline-FINAL\GPOs);
  5. คุณจะเห็นรายการเทมเพลตนโยบาย ในกรณีนี้ ฉันจะนำเข้านโยบายที่มีการตั้งค่าคอมพิวเตอร์ เลือก MSFT Windows 10 2004 – Computer (โดยใช้ปุ่ม View Settings คุณสามารถดูการตั้งค่านโยบายในรูปแบบรายงาน gpresult);
  6. จากนั้นคุณจะได้รับแจ้งให้เลือกวิธีย้ายการอ้างอิงถึงวัตถุความปลอดภัยและเส้นทาง UNC เนื่องจากนโยบายเป็นใหม่ ให้เลือก Copying them identically from the source;
  7. การตั้งค่านโยบาย Security Baseline อ้างอิงสำหรับคอมพิวเตอร์ที่รัน Windows 10 2004 จะถูกนำเข้าไปยัง GPO ของคุณ

การใช้ WMI Filters เพื่อกำหนดเป้าหมาย

เพื่อนำ Group Policy object ไปใช้กับคอมพิวเตอร์ที่รัน Windows Build เฉพาะ ให้ใช้ GPO WMI Filters ตัวอย่างเช่น สำหรับ Windows 10 2004 คุณสามารถใช้ WMI Filter ต่อไปนี้:

Select Version,ProductType from Win32_OperatingSystem WHERE Version LIKE "10.0.19041%" and ProductType = "1"

นำ Filter ไปใช้กับนโยบายของคุณและเชื่อมโยงนโยบายกับ Organizational Unit ที่คุณต้องการ

⚠ ข้อควรระวัง: ก่อนนำ Security Baseline ไปใช้กับคอมพิวเตอร์ของผู้ใช้ ให้ตรวจสอบการตั้งค่าที่แนะนำอย่างละเอียด และนำไปใช้กับ OU ที่มีผู้ใช้หรือคอมพิวเตอร์ทดสอบก่อน หากจำเป็น คุณสามารถปิดใช้งานบางการตั้งค่าที่ Security Baseline แนะนำ ได้ เฉพาะหลังจากทดสอบการตั้งค่า Security Baseline บนคอมพิวเตอร์ทดสอบสำเร็จแล้ว คุณจึงควรนำไปใช้กับคอมพิวเตอร์/เซิร์ฟเวอร์ทั้งหมดในโดเมนของคุณ

การตั้งค่าความปลอดภัยสำคัญใน Security Baseline

Security Baseline มีการตั้งค่าจำนวนสิบหรือร้อยรายการ เราไม่สามารถอภิปรายทั้งหมดในบทความเดียวได้ มาดูการตั้งค่าความปลอดภัยที่เราได้กล่าวถึงในบทความอื่นๆ บน woshub.com:

  • การจัดการกฎการเริ่มต้นและติดตั้งโปรแกรม: AppLocker (Software Restriction Policies), UAC และ Windows Installer
  • นโยบายรหัสผ่านโดเมนและการล็อกบัญชี
  • ข้อจำกัดบัญชีผู้ใช้ที่มีสิทธิ์สูง
  • การจำกัดการเข้าถึงแบบไม่ระบุตัวตน (Anonymous access)
  • การตั้งค่านโยบายตรวจสอบ (Audit Policy) เพื่อรับข้อมูลเกี่ยวกับเหตุการณ์ทั้งหมดและประวัติการล็อกอินของผู้ใช้
  • การป้องกันหน่วยความจำ LSA
  • การเข้าถึงอุปกรณ์ต่อพ่วง (รวมถึงนโยบายการติดตั้งเครื่องพิมพ์และ USB)
  • การปิดใช้งานโปรโตคอล NetBIOS และ NTLM
  • การตั้งค่า Remote Assistance, Shadow Connections, RDS Timeouts, CredSSP Oracle Remediation
  • PowerShell Execution Policy
  • การกำหนดค่า Windows Error Reporting
  • การจัดการกฎ Windows Firewall
  • การตั้งค่า WinRM
  • การปิดใช้งานบัญชี Administrator บิ้นอิน
  • นโยบาย Hardened UNC Paths
  • การปิดใช้งาน SMBv1

การใช้งานบนคอมพิวเตอร์ส่วนตัว

หากคุณต้องการปกป้องคอมพิวเตอร์ส่วนตัวที่รัน Windows 10 คุณสามารถนำการตั้งค่า Security Baseline ไปใช้บนมันโดยใช้สคริปต์ PowerShell สำเร็จรูป

อนุญาตให้รันสคริปต์ที่ไม่ได้ลงนาม:

Set-ExecutionPolicy -Scope Process Unrestricted

นำโนยบายไปใช้:

Baseline-LocalInstall.ps1 -Win10NonDomainJoined

การตั้งค่า Microsoft Security Baseline สามารถเพิ่มความปลอดภัยของโครงสร้างพื้นฐาน Windows ของคุณ และช่วยให้แน่ใจว่าการตั้งค่าเดียวกันถูกนำไปใช้กับคอมพิวเตอร์ทั้งหมด (รวมถึงคอมพิวเตอร์ใหม่) บนเครือข่ายองค์กรของคุณ