Базовые параметры безопасности Windows Windows security baselines

Относится к: Applies to

• Windows 10. Windows 10
• Windows Server Windows Server
• Приложения Microsoft 365 для предприятия Microsoft 365 Apps for enterprise
• Microsoft Edge Microsoft Edge

Использование базовых параметров безопасности в вашей организации Using security baselines in your organization

Microsoft стремится предоставить своим клиентам защищенные операционные системы, такие как Windows 10 и Windows Server, а также предложить им безопасные приложения, например Microsoft Edge. Microsoft is dedicated to providing its customers with secure operating systems, such as Windows 10 and Windows Server, and secure apps, such as Microsoft Edge. Помимо гарантии безопасности своих продуктов, Microsoft также позволяет точно управлять средой с помощью различных возможностей конфигурации. In addition to the security assurance of its products, Microsoft also enables you to have fine control over your environments by providing various configuration capabilities.

Несмотря на то, что в Windows и Windows Server реализованы встроенные средства безопасности, многим организациям все же требуется более тщательный контроль над конфигурациями безопасности. Even though Windows and Windows Server are designed to be secure out-of-the-box, many organizations still want more granular control over their security configurations. Для ориентации в различных элементах управления организациям необходимы рекомендации по настройке различных функций безопасности. To navigate the large number of controls, organizations need guidance on configuring various security features. Microsoft предоставляет такие рекомендации в виде базовых параметров безопасности. Microsoft provides this guidance in the form of security baselines.

Рекомендуется отказаться от самостоятельного создания конфигураций в пользу развертывания распространенных и тщательно протестированных стандартных конфигураций, например базовых параметров безопасности Microsoft. We recommend that you implement an industry-standard configuration that is broadly known and well-tested, such as Microsoft security baselines, as opposed to creating a baseline yourself. Это обеспечивает большую гибкость и снижает затраты. This helps increase flexibility and reduce costs.

Что такое базовые параметры безопасности? What are security baselines?

Каждая организация сталкивается с угрозами безопасности. Every organization faces security threats. Однако типы угроз безопасности, актуальных для одной организации, могут быть совершенно иными для другой. However, the types of security threats that are of most concern to one organization can be completely different from another organization. Например, для Интернет-магазина приоритетной задачей может быть защита веб-приложений, работающих через Интернет, тогда как для больницы — защита конфиденциальных данных пациентов. For example, an e-commerce company may focus on protecting its Internet-facing web apps, while a hospital may focus on protecting confidential patient information. Все эти организации объединяет одно: им необходимо обеспечить безопасность своих приложений и устройств. The one thing that all organizations have in common is a need to keep their apps and devices secure. Устройства должны соответствовать стандартам (или базовым параметрам) безопасности, определяемым организацией. These devices must be compliant with the security standards (or security baselines) defined by the organization.

Базовые параметры безопасности — это группа рекомендуемых корпорацией Майкрософт параметров конфигурации с пояснением их влияния на безопасность. A security baseline is a group of Microsoft-recommended configuration settings that explains their security impact. Эти параметры основаны на отзывах специалистов по обеспечению безопасности Microsoft, групп развития продуктов, партнеров и клиентов. These settings are based on feedback from Microsoft security engineering teams, product groups, partners, and customers.

Для чего нужны базовые параметры безопасности? Why are security baselines needed?

Базовые параметры безопасности предоставляют пользователям важные преимущества, поскольку сочетают в себе глубокие знания специалистов Microsoft, ее партнеров и клиентов. Security baselines are an essential benefit to customers because they bring together expert knowledge from Microsoft, partners, and customers.

Например, для Windows 10 доступно более 3000 параметров групповой политики, а также более 1800 параметров для Internet Explorer 11. For example, there are over 3,000 Group Policy settings for Windows 10, which does not include over 1,800 Internet Explorer 11 settings. Из этих 4800 параметров только некоторые связаны с безопасностью. Of these 4,800 settings, only some are security-related. Хотя Microsoft предоставляет комплексные рекомендации по различным функциям безопасности, изучение каждой из них может занять много времени. Although Microsoft provides extensive guidance on different security features, exploring each one can take a long time. Необходимо самостоятельно определить влияние каждого параметра на безопасность. You would have to determine the security impact of each setting on your own. Затем по-прежнему необходимо определить подходящее значение для каждого параметра. Then, you would still need to determine the appropriate value for each setting.

В современных организациях угрозы безопасности постоянно видоизменяются, а ИТ-специалисты и разработчики политик должны быть в курсе этих угроз и вносить необходимые изменения в параметры безопасности Windows. In modern organizations, the security threat landscape is constantly evolving, and IT pros and policy-makers must keep up with security threats and make required changes to Windows security settings to help mitigate these threats. Чтобы обеспечить более быстрое развертывание и упростить управление Windows, Корпорация Майкрософт предоставляет клиентам базовые показатели безопасности, доступные в расходных форматах, таких как резервное копирование объектов групповой политики. To enable faster deployments and make managing Windows easier, Microsoft provides customers with security baselines that are available in consumable formats, such as Group Policy Objects Backups.

Как использовать базовые параметры безопасности? How can you use security baselines?

Базовые параметры безопасности можно использовать следующим образом: You can use security baselines to:

• для обеспечения соответствия параметрам конфигурации пользователей и устройств; Ensure that user and device configuration settings are compliant with the baseline.
• для настройки параметров конфигурации. Set configuration settings. Например, можно использовать групповую политику, Microsoft Endpoint Configuration Manager или Microsoft Intune для настройки устройства со значениями параметров, указанными в базовой линии. For example, you can use Group Policy, Microsoft Endpoint Configuration Manager, or Microsoft Intune to configure a device with the setting values specified in the baseline.

Где можно получить базовые параметры безопасности? Where can I get the security baselines?

Вы можете скачать базовые параметры безопасности из Центра загрузки Майкрософт. You can download the security baselines from the Microsoft Download Center. Это страница загрузки набора средств обеспечения соответствия требованиям безопасности (SCT), который включает в себя средства, помогающие администраторам управлять базовыми параметрами, включая базовые параметры безопасности. This download page is for the Security Compliance Toolkit (SCT), which comprises tools that can assist admins in managing baselines in addition to the security baselines.

Базовые параметры безопасности включены в набор средств обеспечения соответствия требованиям безопасности (SCT), который можно загрузить из Центра загрузки Майкрософт. The security baselines are included in the Security Compliance Toolkit (SCT), which can be downloaded from the Microsoft Download Center. SCT также включает средства, помогающие администраторам управлять базовыми параметры безопасности. The SCT also includes tools to help admins manage the security baselines.

Сообщество Community

Видео по теме Related Videos

Вас также может заинтересовать следующее видео на канале msdn 9: You may also be interested in this msdn channel 9 video:

Руководство по безопасности Windows 10 для начинающих

Безопасность Windows — это встроенная служба Windows 10, которая предлагает удобный интерфейс и инструменты для управления общими функциями безопасности операционной системы. Сюда относится «Защитник Windows», который предлагает защиту компьютера в реальном времени от вирусов и других вредоносных программ.

В этом руководстве мы расскажем, как начать работу с настройками безопасности Windows 10 и выполнять повседневные задачи с помощью встроенного антивируса, чтобы защитить свой компьютер от вредоносных программ и хакеров.

Безопасность Windows и Windows Defender

Прежде чем углубиться в руководство, необходимо понять разницу между терминами «Защитник Windows» (он же Windows Defender) и «Безопасность Windows»:

• Безопасность Windows — это служба, которая предлагает единый интерфейс для просмотра состояния и управления функциями безопасности, такими как антивирус, брандмауэр, производительность и прочие.
• Защитник Windows — это встроенное ПО, которое в реальном времени предлагает защиту от вредоносных программ, вирусов, шпионского ПО, программ-вымогатели и так далее.

Установка стороннего антивируса автоматически отключает Защитника, но не влияет на работоспособность службы «Безопасность Windows». Точно так же отключение встроенного антивируса или брандмауэра, не приведёт к отключению «Безопасности Windows».

Обзор возможностей безопасности Windows 10

Безопасность Windows — это простое интуитивно понятное приложение. Вы можете открыть его из меню «Пуск» или дважды щёлкнув значок щита в области уведомлений на панели задач.

Источник: WinNOTE

На домашней странице можно смотреть состояние безопасности всех функций защиты, доступных по умолчанию в Windows 10. Здесь же отображаются предупреждения обо всех действиях, которые необходимо предпринять для обеспечения безопасности вашего компьютера.

Значок щита в области уведомлений панели задач также может предупредить вас, когда необходимо выполнить действие. Если имеется более одного предупреждения, отображается только самое серьёзное предупреждение.

Безопасность Windows включает семь областей защиты, которыми вы можете управлять:

• Защита от вирусов и угроз — содержит настройки встроенного антивируса. Он позволяет отслеживать защиту от вредоносных программ, сканировать устройство на наличие угроз, запускать автономное сканирование, настраивать расширенную функцию защиты от программ-вымогателей.
• Защита учётных записей — позволяет настаивать защиту своей учётную запись в Windows 10.
• Брандмауэр и безопасность сети — позволяет отслеживать сетевые подключения и настраивать различные параметры встроенного брандмауэра.
• Управление приложениями и браузером — помогает защититься от вредоносного кода, скрытого в приложениях, файлах или сайтах.
• Безопасность устройства — содержит функции безопасности на уровне оборудования, такие как изоляция ядра для защиты компьютера от атак.
• Производительность и работоспособность устройства — отчёт о работоспособности вашего компьютера.
• Параметры для семьи — предлагает лёгкий доступ к управлению устройствами семьи с помощью учётной записи Microsoft.

Как проверить компьютер на наличие вредоносных программ

Windows 10 автоматически обновляет базы вредоносного ПО и регулярно сканирует устройство на наличие вредоносных программ. Но вы можете выполнять все эти проверки вручную.

Быстрая проверка на вирусы

Быстрое сканирование занимает меньше минуты и проверяет только те части системы, в которых наиболее вероятно могут скрываться вредоносные программы.

Чтобы запустить проверку на вирусы с помощью Microsoft Defender, выполните следующие действия:

1. Щёлкните Защита от вирусов и угроз.
2. Нажмите кнопку Быстрая проверка.

Источник: WinNOTE

После выполнения этих шагов начнётся сканирование системы, а в разделе «Текущие угрозы» будут показаны обнаруженные угрозы, а также время, необходимое для завершения сканирования, и количество просканированных файлов.

Если вы подозреваете, что на вашем компьютере есть вирус, попробуйте выполнить полное сканирование.

Полная проверка на вирусы

Полная проверка на вирусы занимает больше времени, но при этом проверяются все файлы, папки и приложения.

Чтобы запустить полную проверку на вирусы с помощью Microsoft Defender, выполните следующие действия:

1. Щёлкните Защита от вирусов и угроз.
2. В разделе «Текущие угрозы» щёлкните ссылку Параметры сканирования .
3. Выберите опцию Полная проверка, нажмите кнопку Выполнить сканирование сейчас.

Источник: WinNOTE

После выполнения этих шагов можно продолжить использование устройства, антивирус выполнит полное сканирование для обнаружения любых потенциальных вредоносных программ в фоновом режиме.

Настраиваемое сканирование на вирусы

Если вы хотите сканировать только определённую папку или файл, антивирус Windows 10 предоставляет возможность выполнить насраиваемое сканирование.

Для запуска настраиваемого сканирования на вирусы, выполните следующие действия:

1. Щёлкните Защита от вирусов и угроз.
2. В разделе «Текущие угрозы» щёлкните ссылку Параметры сканирования.
3. Выберите вариант Выборочное сканирование, нажмите кнопку Выполнить сканирование сейчас.
4. Выберите место для сканирования и нажмите кнопку «Выбор папки».

Источник: WinNOTE

Вы можете щёлкнуть правой кнопкой мыши диск, папку или файл и выбрать параметр «Проверка с использованием Microsoft Defender» в контекстном меню, чтобы выполнить выборочное сканирование.

Проверка на вирусы автономным модулем

Иногда, если вы имеете дело с серьёзным вирусом или другим типом вредоносного ПО, антивирус может не удалить его во время работы Windows 10. В этом случае можно использовать Microsoft Defender для автономного сканирования.

При использовании функции автономного модуля компьютер автоматически перезагружается в среде восстановления и выполняет полное сканирование перед запуском Windows 10.

Чтобы запустить проверку на вирусы автономным модулем, выполните следующие действия:

1. Щёлкните Защита от вирусов и угроз.
2. В разделе «Текущие угрозы» щёлкните ссылку Параметры сканирования.
3. Выберите опцию Проверка автономным модулем Microsoft Defender.
4. Нажмите кнопку Выполнить сканирование сейчас.
5. В открывшемся окне щёлкните кнопку Проверка.

Источник: WinNOTE

После того, как вы выполните эти шаги, устройство перезагрузится и загрузится с автономным модулем антивируса Microsoft Defender, которая просканирует весь ПК. Если вредоносный код обнаружен, он будет автоматически удалён или помещён в карантин.

После сканирования устройство автоматически загрузит Windows 10, и вы сможете просмотреть отчёт в приложении «Безопасность Windows».

Как просмотреть журнал защиты

В антивирусе Microsoft Defender есть область, в которой вы можете просматривать последние действия и рекомендации по защите.

Чтобы просмотреть журнал защиты, выполните следующие действия:

1. Щёлкните Защита от вирусов и угроз.
2. Щёлкните параметр Журнал защиты.
3. Щёлкните раскрывающееся меню «Фильтры» и выберите что хотите посмотреть: рекомендации, помещённые в карантин, удалённые или заблокированные файлы.

После выполнения этих шагов вы увидите отчёт с файлами, которые были удалены, очищены или всё ещё ждут вашего действия.

Как временно отключить антивирус Windows 10

Не рекомендуется использовать компьютер без защиты от вредоносных программ, но иногда антивирус может мешать установке приложения или обновления программного обеспечения. В этом случае вы можете временно отключить антивирус Windows 10, чтобы завершить установку своего ПО.

Чтобы отключить антивирус Microsoft Defender, выполните следующие действия:

1. Щёлкните Защита от вирусов и угроз.
2. В разделе «Параметры защиты от вирусов и угроз» выберите параметр «Управление настройками».
3. Выключите ползунок Защита в режиме реального времени.

Источник: WinNOTE

Выполнив эти шаги, вы сможете выполнить задачи, которые конфликтовали с антивирусом.

Если не включить антивирус повторно, он будет автоматически активирован при перезагрузке компьютера.

Как включить защиту от программ-вымогателей

Windows 10 включает функцию контролируемого доступа к папкам, предназначенную для мониторинга и защиты ваших данных от атак программ-вымогателей или нежелательных изменений со стороны вредоносных программ.

Поскольку эта функция может вызывать ложные срабатывания, она по умолчанию неактивна. Вам нужно включить её вручную с помощью приложения безопасности Windows.

Чтобы включить контролируемый доступ к папкам в Windows 10, выполните следующие действия:

1. Щелкните Защита от вирусов и угроз.
2. В разделе «Параметры защиты от вирусов и угроз» выберите параметр «Управление параметрами».
3. В разделе «Контролируемый доступ к папкам» выберите опцию Управление контролируемым доступом к файлам.
4. Активируйте ползунок.

Источник: WinNOTE

После выполнения этих шагов функция безопасности будет отслеживать приложения, пытающиеся внести изменения в файлы в защищённых папках.

Если приложение помечено как вредоносное или неизвестное, контролируемый доступ к папке заблокирует попытку внесения изменений, а вы получите уведомление об этом.

Как исключить файлы и папки для сканирования

Если у вас есть папка с файлами, которую вы не хотите проверять на вирусы, можно исключить её из процесса сканирования.

Чтобы антивирус не сканировал определённые папки, выполните следующие действия:

1. Щёлкните Защита от вирусов и угроз.
2. В разделе «Параметры защиты от вирусов и других угроз» выберите «Управление настройками».
3. В разделе «Исключения» выберите параметр «Добавление или удаление исключений».
4. Нажмите кнопку Добавить исключение.
5. Выберите тип исключения, который вы хотите настроить: файл, папка, тип файла, процесс и его расположение.

Источник: WinNOTE

После того, как вы выполните эти шаги, антивирус не будет сканировать указанный файл, папку, тип файла или процесс.

За один раз можно добавить одно исключение. Чтобы добавить больше исключений, повторите шаги выше несколько раз.

Рекомендуем ознакомиться со статьёй про то, как сканировать на вирусы сетевые файлы в Windows 10.

Как проверить защиту учётной записи

Функция защиты учётной записи Windows 10 предназначена для отслеживания и уведомления о любых проблемах с вашей учётной записью.

Чтобы проверить защиту учётной записи в Windows 10, выполните следующие действия:

1. Щёлкните Защита учётных записей.
2. Убедитесь, что учётная запись Microsoft, Windows Hello и динамическая блокировка имеют зелёную отметку, указывающую на то, что всё работает правильно.

Источник: WinNOTE

Если один из элементов защиты учётной записи требует вашего внимания, вы увидите предупреждение о необходимости принять меры по устранению проблемы.

Если вы используете пароль для входа в систему, система порекомендует настроить учётную запись с помощью одного из доступных методов проверки подлинности Windows Hello, таких как отпечаток пальца, распознавания лица или PIN-кода.

Как управлять сетевой безопасностью с помощью брандмауэра

В приложении есть область для мониторинга и управления настройками брандмауэра Microsoft Defender.

Просмотр статуса брандмауэра

Чтобы получить доступ к настройкам брандмауэра с помощью безопасности Windows, выполните следующие действия:

1. Щёлкните Брандмауэр и безопасность сети.

На странице вы можете увидеть, какой сетевой профиль включён в данный момент. Тот, что отмечен как активный — это текущий сетевой профиль, который используется.

Источник: WinNOTE

На странице также отображаются настройки параметров брандмауэра, позволяющие приложениям проходить через брандмауэр. Однако эти параметры являются ссылками для изменения конфигурации через Панель управления.

Включить или отключить брандмауэр

Чтобы включить или отключить брандмауэр Защитника Windows, выполните следующие действия:

1. Щёлкните Брандмауэр и безопасность сети.
2. Щёлкните активный брандмауэр. Например, Частная сеть.
3. Включите или выключите тумблер брандмауэра защитника Microsoft.

Источник: WinNOTE

Здесь же можно установить флажок, заблокировав все входящие подключения, включая те, что указаны в списке разрешённых приложений.

После того, как вы выполните эти шаги, на вашем компьютере отключится брандмауэр.

Если вы отключаете брандмауэр для тестирования приложения, не забудьте снова включить его после теста. Если проблема была в брандмауэре, лучше всего создать правило исключения, а не полностью отключать функцию безопасности.

Как защитить устройство от вредоносного кода

На странице «Управление приложениями/браузером» можно настроить защиту приложений и параметры безопасности в интернете, которые помогут защитить компьютер от сайтов, приложений и файлов с вредоносным кодом.

Параметры по умолчанию — это рекомендуемая конфигурация, которую вы должны использовать (их можно изменить в любой момент).

Защита репутации

Чтобы защитить устройство с помощью защиты на основе репутации, выполните следующие действия:

1. Откройте Безопасность Windows .
2. Щёлкните Управление приложениями и браузером .
3. Выберите Параметры защиты на основе репутации.
4. Включите или выключите нужные параметры в соответствии с вашими предпочтениями.

Источник: WinNOTE

Доступны несколько вариантов:

• Проверять приложения и файлы — защита от нераспознанных приложений и файлов из Интернета.
• SmartScreen для Microsoft Edge — защищает устройство от вредоносных загрузок и сайтов.
• Блокировка потенциально нежелательных приложений блокирует приложения с низкой репутацией.
• SmartScreen для приложений Microsoft Store — проверяет веб-контент, который используют приложения из магазина Microsoft Store.

Примечание: Windows 10 по умолчанию имеет оптимальные настройки этой функции. Вы можете выборочно включать или отключать их в зависимости от личных предпочтений.

После выполнения этих действий антивирус Microsoft Defender защитит ваше устройство от нежелательных приложений, файлов и сайтов.

Изолированный просмотр

Изолированный просмотр — это возможность редакций Windows 10 Pro, Education и Enterprise, которая разработана для изоляции браузера Microsoft Edge на аппаратном уровне, чтобы защитить устройство и данные от вредоносных программ или атак нулевого дня.

Если этот параметр доступен, вы можете получить доступ к его настройкам в Защитнике Microsoft, выполнив следующие действия:

1. Щёлкните Управление приложениями и браузером.
2. Щёлкните параметр Изменить параметры Application Guard.

Если вы используете поддерживаемую версию Windows 10, то сможете получить доступ к настройкам, если компонент «Microsoft Defender Application Guard» включён с помощью функции «Включение или отключение компонентов Windows».

Выполнив эти шаги, вы можете начать новый сеанс безопасного просмотра, открыв новый браузер Microsoft Edge на базе движка Chromium, нажав кнопку главного меню (трехточечную) и выбрав параметр «Новое окно Application Guard».

Защита от эксплойтов

Защита от эксплойтов — это расширенная функция, которая может помочь уменьшить количество вредоносных программ и уязвимостей.

Windows 10 включает наиболее оптимальные настройки для защиты от эксплойтов. Не следует вносить какие-либо изменения в них, если вы не знаете, что делаете.

Чтобы настроить параметры защиты от эксплойтов, выполните следующие действия:

1. Щёлкните Управление приложениями и браузером.
2. Щёлкните параметр Параметры защиты от эксплойтов.
3. Выберите вкладку Системные параметры и настройте параметры в соответствии с личными предпочтениями.
4. Аналогично настройте вкладку Параметры программы.

Источник: WinNOTE

После выполнения этих шагов защита от эксплойтов будет работать на устройстве в соответствии с вашими настройками.

Как включить изоляцию ядра в Windows Security

Изоляция ядра — это технология виртуализации, которая добавляет дополнительный уровень защиты от сложных атак.

Как правило, не нужно беспокоиться об этой функции, но вы можете включить её, выполнив следующие действия:

1. Щёлкните Безопасность устройства.
2. Щёлкните параметр Сведения об изоляции ядра.
3. Включите ползунок целостности памяти.

Источник: WinNOTE

После выполнения этих действий необходимо перезагрузить компьютер, чтобы изменения вступили в силу.

Если вы не видите этот параметр, скорее всего, виртуализация не включена в базовой системе ввода-вывода (BIOS) или унифицированном расширяемом интерфейсе микропрограмм (UEFI).

Как просмотреть отчёт о работоспособности и производительности

Служба безопасности Windows включает информацию о состоянии и производительности компьютера.

Чтобы просмотреть отчёт о работоспособности и производительности устройства, выполните следующие действия:

1. Щёлкните Производительность и работоспособность устройств.

Источник: WinNOTE

В отчёт включены статусы Центра обновления Windows, хранилища, драйвера устройства и аккумулятора. Если необходимо предпринять какие-то действия, вы увидите предупреждение с рекомендациями по устранению проблемы.

Вот значения для каждого возможного состояния статуса:

• Зелёный: всё работает правильно.
• Жёлтый: рекомендация доступна.
• Красный: предупреждение, требующее немедленного внимания.

Как управлять родительским контролем и отслеживать устройства

Раздел «Параметры для семьи» — это не то место, где можно управлять какими-либо настройками. Здесь предлагается доступ к учётной записи Microsoft для управления родительским контролем и другими устройствами, подключёнными к учётной записи.

Чтобы получить доступ к семейным параметрам, выполните следующие действия:

1. Щёлкните Параметры семьи.
2. В разделе «Родительский контроль» выберите параметр « Просмотр параметров семьи», чтобы открыть эти параметры в своей учётной записи Microsoft в Интернете.
3. В разделе «Быстрый обзор устройств семьи» выберите «Просмотр устройств», чтобы открыть эти настройки в своей учётной записи Microsoft в Интернете.

Источник: WinNOTE

Настройка уведомлений безопасности Windows

Есть страница настроек, которая позволяет управлять сторонним антивирусом и файерволом, а также настройками уведомлений.

1. Нажмите кнопку «Параметры» в левом нижнем углу окна.
2. В разделе «Уведомления» выберите параметр «Управление уведомлениями».
3. Настройте уведомления в соответствии со своими предпочтениями.

Источник: WinNOTE

После выполнения этих шагов уведомления будут вести себя в соответствии с вашей конфигурацией.

На странице настроек вы также заметите раздел «Обновления системы безопасности», который отображает список установленных сторонних решений безопасности — веб-защита, брандмауэр и антивирус. Здесь нельзя настраивать какие-либо параметры, но можно использовать эту страницу, чтобы открыть настройки в самом приложении.

Подводя итог стоит отметить, что вы можете использовать сторонние решения от популярных компаний, таких как Norton, AVG, Kaspersky, Avast, Bitdefender, но стандартные возможности Windows 10 предлагают хороший набор инструментов с простым интерфейсом, которые работают быстро и могут конкурировать с любым другим решением.