Примеры групповой политики: самые полезные GPO для безопасности

Это список общих политик групповой политики (GPO), которые должны быть реализованы в среде Active Directory для обеспечения безопасности и упрощения администрирования. Обратите внимание, что не все эти настройки могут подойти для вашей среды, поэтому внимательно рассмотрите каждую из них. Как и с любыми настройками GPO, тестируйте на небольшой группе пользователей и компьютеров перед развертыванием.

1. Включить журналы аудита

Включение журналов аудита помогает отслеживать активность в вашей сети и является отличным инструментом безопасности для выявления угроз в вашей инфраструктуре.

По меньшей мере, вы должны включить аудит системных событий. Эта политика находится в Конфигурации компьютера -> Настройки Windows -> Настройки безопасности -> Политика аудита.

Измените "События аудита системы" на Успех, Ошибка.

Смотрите статью Политика аудита Windows Server для лучших практик аудита.

2. Время блокировки экрана

Включите время блокировки при бездействии на своих компьютерных устройствах для защиты данных и конфиденциальности. Общее принятое время составляет 10-15 минут, но его можно сократить, если необходимо. Обучение ваших пользователей блокировать свои компьютеры, когда они отходят от своих столов, является отличной практикой. Однако резервный план всегда является идеальным.

Эта настройка находится в Конфигурации компьютера -> Настройки Windows -> Настройки безопасности -> Локальные политики -> Параметры безопасности.

Измените время для интерактивного входа: предел неактивности машины.

Смотрите статью о блокировке экрана GPO для получения дополнительных сведений.

3. Политика паролей

Применение строгой политики паролей критически важно для безопасности вашего домена.

Эти настройки находятся в Конфигурации компьютера -> Настройки Windows -> Настройки безопасности -> Политики учётных записей -> Политика паролей.

Смотрите статью о политике паролей Active Directory для получения дополнительных сведений.

4. Политика блокировки учетной записи

Применение политики блокировки учетной записи поможет обеспечить безопасность ваших доменных компьютеров. Злоумышленник может попытаться угадать пароли для учетной записи домена.

Эти настройки находятся в Конфигурации компьютера -> Настройки Windows -> Настройки безопасности -> Политики учетных записей -> Политика блокировки учетной записи.

Смотрите статью о политике блокировки учетных записей Active Directory для получения дополнительных сведений.

5. Съемные носители

Разрешение пользователям подключать USB-накопители, внешние жесткие диски или вставлять CD, DVD должно быть отключено. Вы открываете дверь для заражения вашей сети вирусами или вредоносным ПО.

Эти настройки находятся в Конфигурации пользователя -> Политики -> Административные шаблоны -> Система -> Доступ к съемным устройствам хранения

Вы можете отключить чтение и выполнение на определенных устройствах или включить все классы съемного хранения: "Запретить весь доступ" для блокировки всех устройств.

6. Ограничьте доступ к командной строке и PowerShell

Ограничьте доступ к командной строке и PowerShell, чтобы предотвратить выполнение команд обычными учетными записями пользователей. Если система скомпрометирована, командная строка или PowerShell могут быть использованы для повышения привилегий учетной записи пользователя. Кроме того, PowerShell может использоваться для выполнения вредоносных скриптов и часто используется для распространения программ-вымогателей.

Чтобы предотвратить доступ к командной строке, включите настройку «Предотвратить доступ к командной строке».

Настройка находится в Конфигурации пользователя → Административные шаблоны → Система.

Чтобы отключить PowerShell, см. статью отключение PowerShell GPO.

7. Ограничить доступ к параметрам панели управления

Вам следует ограничить доступ к тому, что пользователи могут изменять в Панели управления. Пользователи могут изменять множество системных настроек в Панели управления, таких как настройки сети, добавление и удаление программного обеспечения, а также добавление и удаление пользователей. Все эти действия могут открыть двери для нарушения безопасности.

Чтобы заблокировать доступ к панели управления, вы хотите включить «Запретить доступ к панели управления и настройкам ПК».

Эта настройка расположена в Конфигурации пользователя -> Административные шаблоны -> Панель управления

8. Ограничить кто может устанавливать программное обеспечение

Все программное обеспечение должно быть протестировано и одобрено перед установкой в сеть. Также обычным учетным записям пользователей не должно быть разрешено устанавливать программное обеспечение. Это необходимо как для безопасности, так и для предотвращения проблем, которые может вызвать программное обеспечение.

Эта настройка находится в Конфигурации компьютера -> Административные шаблоны -> Компоненты Windows -> Установщик Windows.

Нажмите на «Запретить установку пользователями» и включите политику.

9. Настройки учетной записи гостя

Гостевые аккаунты предоставляют доступ к компьютеру без использования пароля. Это является проблемой безопасности, а также проблемой доступа к данным. Лучше всего отключить гостевой доступ.

Эта настройка находится в Конфигурации компьютера -> Настройки Windows -> Параметры безопасности -> Локальные политики -> Параметры безопасности

Нажмите на «Учетные записи: Статус гостевой учетной записи» и выберите отключено.

10. Предотвратить хранение хэша LAN Manager

LAN Manager хранит пароли учетных записей в виде хешей в локальной базе данных SAM. Хеш является слабым и очень подвержен взлому. Это должно быть отключено.

Настройка находится в Конфигурации компьютера -> Настройки Windows -> Параметры безопасности -> Локальные политики -> Параметры безопасности.

Установите политику «Сетевая безопасность: не сохранять значение хеша LAN Manager при следующей смене пароля» в положение «Включено».

11. Ограничьте использование локальной учетной записи с пустым паролем только консолью.

Пустые пароли представляют собой высокую угрозу безопасности. В случае, если администратор случайно создаёт локальную учётную запись без пароля, прежде чем она будет добавлена в домен, вы можете заблокировать возможность использования этой учётной записи через RDP, Telnet и FTP.

Эта настройка находится в Конфигурации компьютера -> Параметры Windows -> Параметры безопасности -> Локальные политики -> Опции безопасности.

Установите «Учетные записи: Ограничить использование локальных учетных записей с пустым паролем только для консольного входа» в положение Включено.

12. Выключить принудительные перезагрузки

Если вы используете Центр обновления Windows, отключите автоматические перезагрузки, когда пользователи вошли в систему. Это предотвратит множество гневных писем и телефонных звонков.

Эта настройка находится в Конфигурации компьютера -> Административные шаблоны -> Компоненты Windows -> Обновления Windows.

Включите политику «Не перезапускать с вошедшими пользователями для запланированных автоматических установок обновлений».

13. Мониторинг изменений настроек GPO

Отслеживание изменений в настройках вашего объекта групповой политики очень полезно, когда у вас есть несколько администраторов, вносящих изменения.

Эта настройка находится в Конфигурации компьютера -> Политики -> Настройки Windows -> Настройки безопасности -> Настройка дополнительной политики аудита -> Политики аудита/Доступ к DS.

Выберите Изменения службы каталогов аудита и нажмите Успех.

14. Заблокировать Microsoft Store

Пользователи могут увлекаться запуском приложений из Microsoft Store. Это создает кошмар для администраторов.

Чтобы заблокировать Microsoft Store, включите настройку "Отключить приложение магазина".

Эта настройка находится в Конфигурации компьютера → Административные шаблоны → Компоненты Windows → Магазин

Есть некоторые приложения, которые все еще требуют обновления через Microsoft Store, вы можете разрешить это, перейдя в Конфигурацию компьютера -> Административные шаблоны -> Компоненты Windows -> Магазин.

Выберите политику «Отключить автоматическую загрузку и установку обновлений» и выберите отключить.

15. Отключить перевод анонимных SID/имен

Если эта опция включена, с помощью SID можно получить имя встроенной учетной записи администратора, даже если имя учетной записи администратора было изменено.

Измените политику "Доступ к сети: Разрешить анонимный перевод SID/имени" на Отключено.

16. Ограничить доступ к Реестру

Изменение настроек реестра всегда является большой проблемой для администраторов. Вы можете заблокировать реестр, чтобы пользователи не могли его изменять.

Эта настройка находится в Конфигурации пользователя → Административные шаблоны → Система.

Выберите политику «Запретить доступ к инструментам редактирования реестра» и установите ее в положение Включено.

Затем в разделе "Отключить запуск regedit в фоновом режиме" измените на "Да".

17. Удалить анонимных пользователей из разрешений для всех

Это должно быть отключено по умолчанию. Я бы перепроверил. Если это включено, анонимные пользователи могут получить доступ к любым ресурсам, к которым имеют доступ все.

«Доступ к сети: разрешения должны применяться ко всем анонимным пользователям» должно быть отключено.

18. Включите аудит для NTLM, чтобы убедиться, что вы не используете его.

NTLM — это устаревший протокол аутентификации, который имеет несколько уязвимостей, и был заменён на Kerberos в Windows 2000. Прежде чем отключать его, убедитесь, что у вас нет устаревших клиентов, которые всё еще используют эти методы аутентификации.

Аудит использования NTLM

Выберите политику «Безопасность сети: Ограничить NTLM: Аудит аутентификации NTLM в этом домене» и включите все.

Вы можете просмотреть Просмотр событий в разделе Журнал приложений и служб - Microsoft - Windows - NTLM, чтобы узнать, используется ли NTLM. Ищите NTLM в значении Пакет аутентификации. Название пакета покажет вам, какая версия NTLM используется.

Убедившись, что ваш домен не использует NTLM, вы можете отключить его.

Отключить NTLM (Убедитесь, что вы сначала провели аудит вашей сети)

Выберите политику "Сетевую безопасность: Ограничить NTLM: NTLM-аутентификация в этом домене" и выберите Запретить все.

19. Отключить LLMNR

Ссылка локального разрешения имен многоадресной рассылки (LLMNR) — это протокол, используемый для разрешения IP-адресов в имена хостов. По сути, он выполняет запросы доменных имен без сервера DNS. Он работает, отправляя широковещательный запрос в сеть в поисках адреса, и любые устройства в сети могут ответить. Это может быть легко использовано злоумышленником для того, чтобы ответить на эти широковещательные запросы и подключиться к машинам. В корпоративной сети ваши устройства должны использовать сервер DNS, который вы контролируете или одобряете.

Вы можете отключить LLMNR с помощью этой настройки политики.

Конфигурация компьютера -> Административные шаблоны -> Сеть -> ДНС-клиентВключите отключение политики многокастового разрешения имен, изменив ее значение на "Включено"

20. Контролируйте группу локальных администраторов

Если вы не ограничите доступ к группе локальных администраторов, как вы узнаете, какие учетные записи обладают полными правами администратора? Со временем сотрудники создадут и добавят существующие учетные записи в группу локальных администраторов на рабочих станциях и ноутбуках. Это даст учетной записи полные права на компьютер, позволяя устанавливать программное обеспечение, драйверы, вносить изменения в систему и так далее. Это плохая практика безопасности, и ни один пользователь не должен выполнять свою повседневную работу с полными правами администратора.

Вы можете использовать групповую политику, чтобы контролировать, какие пользователи являются членами этой группы, и предотвратить внесение изменений другими сотрудниками.

Смотрите руководство по удалению прав локального администратора для пошаговых инструкций.

21. Брандмауэр Windows

Я рекомендую вам централизованно управлять брандмауэром Windows с помощью групповых политик. Это похоже на проблему с правами локального администратора: если вы не управляете этим централизованно, правила могут выйти из-под контроля. Если пользователю будет предложено разрешить или отказать в чем-либо через брандмауэр, он может легко нажать 'Разрешить' каждый раз. Любые запросы на разблокировку чего-либо должны проходить через команду ИТ/Безопасности.

Смотрите статью о лучших методах настройки брандмауэра Windows для получения дополнительной информации.

22. Включите контроль учетных записей пользователей (UAC)

С помощью UAC приложения работают в контексте безопасности обычного пользователя (не администраторской учетной записи) и запрашивают разрешения, когда приложению необходим доступ на уровне администратора.

Это еще один уровень безопасности, который помогает защитить пользователей, компьютеры и вашу сеть. Это еще одно настройка, которую пользователи или другие сотрудники могут отключить. Используйте групповую политику, чтобы централизованно заставить UAC быть включенным и предотвратить его отключение.

Политики UAC находятся в следующем:

Конфигурация компьютера -> Политики -> Параметры Windows -> Параметры безопасности -> Локальные политики -> Опции безопасности.

23. Applocker или политики ограничения программного обеспечения

Applocker — это функция, которая позволяет контролировать, какие приложения и файлы могут запускаться. Это может помочь предотвратить запуск неподтвержденного программного обеспечения и файлов. Например, если пользователь загружает программное обеспечение из интернета, и оно не одобрено в политике Applocker, программное обеспечение будет заблокировано.

Это также может помочь предотвратить установку и распространение программ-вымогателей и других вредоносных вирусов в вашей сети. Applocker доступен только в версиях Windows Enterprise. Если вы используете Windows Pro, тогда обратите внимание на политики ограничения программного обеспечения.

Политики ограничения программного обеспечения находятся в следующем.

Конфигурация компьютера -> Политики -> Настройки Windows -> Настройки безопасности -> Политики ограничений программного обеспечения

Надеюсь, вам понравилась эта статья. Какие GPO вы используете для повышения безопасности?