Domyślna instalacja systemu Windows jest skonfigurowana pod kątem wygody, nie bezpieczeństwa. Hardening to proces wzmacniania konfiguracji systemu poprzez wyłączenie niepotrzebnych funkcji, wymuszenie silnych ustawień bezpieczeństwa i ograniczenie powierzchni ataku. GPO i Intune to główne narzędzia do realizacji hardeningu w skali firmy.
Group Policy Objects (GPO): hardening on-premise
GPO pozwala centralnie wymuszać ustawienia konfiguracyjne na wszystkich komputerach w domenie Active Directory. Kluczowe polityki bezpieczeństwa:
Polityki haseł i kont
- Minimalna długość hasła: 12+ znaków.
- Złożoność: wielkie/małe litery, cyfry, znaki specjalne.
- Historię haseł: 24 ostatnie hasła.
- Blokada konta po 5 nieudanych próbach logowania.
- Wymuszenie zmiany hasła dla kont tymczasowych.
Zabezpieczenie systemu
- Wyłączenie AutoRun/AutoPlay dla nośników wymiennych.
- Zakaz instalacji oprogramowania przez użytkowników standardowych (Software Restriction Policies / AppLocker).
- Wyłączenie PowerShell v2 (podatne na ataki), wymuszenie Constrained Language Mode.
- Audytowanie logowań, zmian polityk, użycia uprawnień.
- Szyfrowanie dysków BitLocker z kluczami zarządzanymi centralnie.
Microsoft Intune: hardening w chmurze i hybrydzie
Intune rozszerza możliwości GPO o zarządzanie urządzeniami poza siecią firmową – co jest krytyczne w erze pracy zdalnej. Kluczowe funkcje:
- Security Baselines – gotowe zestawy ustawień bezpieczeństwa rekomendowane przez Microsoft, aktualizowane wraz z nowymi zagrożeniami.
- Compliance Policies – definicja wymagań dla urządzeń (szyfrowanie, wersja OS, antywirus). Urządzenia niezgodne tracą dostęp do zasobów firmowych (Conditional Access).
- Endpoint Security – zarządzanie Microsoft Defender, firewallem i ochroną kont z poziomu Intune.
CIS Benchmarks i DISA STIG
Standardy CIS (Center for Internet Security) Benchmarks i DISA STIG to zbiory rekomendacji hardeningu dla systemów Windows, publikowane i regularnie aktualizowane przez uznane organizacje bezpieczeństwa. Stanowią doskonały punkt odniesienia dla budowania własnych polityk.
Zahardowany system to nie utrudnienie dla użytkownika – to środowisko, które jest trudniejsze do skompromitowania, a w razie incydentu łatwiejsze do analizy.
IT44 wdraża kompleksowy hardening systemów Windows w oparciu o GPO i Intune. Skontaktuj się z nami, aby ocenić poziom zabezpieczeń Twojego środowiska.