Quartz 5

GPO для DC1

3 min read

Baseline Security Policy for Servers

  1. NTLMv2 only:
    • Параметр: Network security: LAN Manager authentication level
    • Значение: Send NTLMv2 response only. Refuse LM & NTLM
  2. Kerberos (AES256):
    • Параметр: Network security: Configure encryption types allowed for Kerberos
    • Значение: Выставить галочку только на AES256_HMAC_SHA1 и “Future encryption types”.
  3. Do not store LM hash on next password change
    • Параметр: Network security: Do not store LAN Manager hash value on next password change
    • Значение: Enabled
  4. Audit success+failure logons
    • Параметр: Computer Configuration -> Policies -> Windows Settings -> Security Settings -> Advanced Audit Policy Configuration -> Audit Policies -> Logon/Logoff -> Audit Logon
    • Значение: Success and Failure
  5. Disable WinRM basic auth and unencrypted traffic (server+client)
    • Параметр Computer Configuration -> Policies -> Administrative Templates -> Windows Components -> Windows Remote Management (WinRM)
    • WinRM Service (Server):
      • Allow Basic authentication: Disabled
      • Allow unencrypted traffic: Disabled
    • WinRM Client:
      • Allow Basic authentication: Disabled
      • Allow unencrypted traffic: Disabled
  6. RDP: high encryption + secure RPC
    • Параметр Computer Configuration -> Policies -> Administrative Templates -> Windows Components -> Remote Desktop Services -> Remote Desktop Session Host -> Security
    • Шифрование:
      • Параметр: Set client connection encryption level
      • Значение: High Level
    • Secure RPC:
      • Параметр: Require secure RPC communication
      • Значение: Enabled

Для Client’ов нужно ещё 7) Turn off Microsoft consumer experiences - Параметр: Computer Configuration -> Policies -> Administrative Templates -> Windows Components -> Cloud Content -> Turn off Microsoft consumer experiences - Значение: Enabled

  1. Turn off Autoplay on all drives
    • Параметр: Computer Configuration -> Policies -> Administrative Templates -> Windows Components -> AutoPlay Policies -> Turn off Autoplay
      • Значение: Enabled
      • All drives.

Administrative Accounts

  • Создайте GPO Computer_Admins_Tech и привяжите к OU с десктопами.

  • Computer Configuration -> Policies -> Windows Settings -> Security Settings -> Restricted Groups.

  • Нажмите “Add Group” -> впишите Administrators (это локальная группа на ПК).

  • В поле “Members of this group” добавьте вашу группу G_Tech.

Users – Restrict Tools

  • Registry: User Configuration -> Policies -> Administrative Templates -> System -> Prevent access to registry editing tools -> Enabled.

  • CMD: Там же -> Prevent access to the command prompt -> Enabled (выберите “Yes” в запрете выполнения скриптов).

  • PowerShell: User Configuration -> Policies -> Administrative Templates -> System -> Don’t run specified Windows applications. Добавьте powershell.exe и powershell_ise.exe.

Contractors – Customization

  • Путь: Computer Configuration -> Policies -> Windows Settings -> Security Settings -> Local Policies -> Security Options

    • Interactive logon: Message text… -> Вставьте ваш текст.

    • Interactive logon: Message title… -> Введите заголовок (например, “Warning”).

Folder Redirection

  • User Configuration -> Policies -> Windows Settings -> Folder Redirection.

  • Правой кнопкой на “Documents” -> Properties -> Basic - Redirect everyone's folder to the same location.

  • Root Path: \\srv1.auroracorp.eu\Users\ (папка должна иметь права доступа для пользователей).

  • Повторите для Desktop, Pictures и т.д.

Disk Encryption

  • Computer Configuration -> Policies -> Administrative Templates -> Windows Components -> BitLocker Drive Encryption -> Fixed Data Drives

  • Choose how BitLocker-protected… can be recovered -> Enabled.

  • Поставьте галочку “Save BitLocker recovery information to AD DS”.

AppLocker

  • Computer Configuration -> Policies -> Windows Settings -> Security Settings -> Application Control Policies -> AppLocker.

  • Сначала создайте правила по умолчанию (Executable Rules -> Create Default Rules), чтобы не «окирпичить» систему.

  • Create New Rule: Deny -> Publisher.

  • Нажмите “Browse” и выберите файл wordpad.exe (обычно в C:\Program Files\Windows NT\Accessories\wordpad.exe).

  • Важно: Убедитесь, что служба Application Identity (AppIDSvc) на клиентах настроена на автоматический запуск, иначе AppLocker не заработает.

Graph View