माइक्रोसॉफ्ट सिक्योरिटी बेसलाइन्स का उपयोग करके विंडोज को हार्डन करना

माइक्रोसॉफ्ट सिक्योरिटी बेसलाइन में विंडोज वर्कस्टेशन्स और सर्वर्स के लिए माइक्रोसॉफ्ट द्वारा सुझाई गई सेटिंग्स शामिल हैं जो सुरक्षित कॉन्फिगरेशन प्रदान करने और डोमेन कंट्रोलर्स, सर्वर्स, कंप्यूटर्स, और यूजर्स की सुरक्षा करने के लिए हैं। माइक्रोसॉफ्ट ने सिक्योरिटी बेसलाइन्स के आधार पर रेफरेंस ग्रुप पॉलिसी ऑब्जेक्ट्स और टेम्पलेट्स विकसित किए हैं। एडमिनिस्ट्रेटर्स उन्हें अपने AD डोमेन्स में लागू कर सकते हैं। माइक्रोसॉफ्ट सिक्योरिटी बेसलाइन GPO में सुरक्षा सेटिंग्स एडमिनिस्ट्रेटर्स को नवीनतम वैश्विक सुरक्षा सर्वोत्तम प्रथाओं के अनुसार विंडोज इंफ्रास्ट्रक्चर की रक्षा करने में सक्षम बनाती हैं। इस लेख में हम दिखाएंगे कि अपने डोमेन में माइक्रोसॉफ्ट सिक्योरिटी बेसलाइन GPOs को कैसे लागू किया जाए।

रेफरेंस माइक्रोसॉफ्ट सिक्योरिटी बेसलाइन ग्रुप पॉलिसीज माइक्रोसॉफ्ट सिक्योरिटी कम्प्लायंस मैनेजर (SCM) का हिस्सा हैं। SCM एक फ्री प्रोडक्ट है जिसमें विंडोज और अन्य माइक्रोसॉफ्ट प्रोडक्ट्स के लिए सर्वोत्तम प्रथाओं और वर्तमान सुरक्षा सिफारिशों का विश्लेषण, परीक्षण और लागू करने के लिए कई टूल्स शामिल हैं।

माइक्रोसॉफ्ट सिक्योरिटी कम्प्लायंस टूलकिट इस लिंक पर उपलब्ध है: https://www.microsoft.com/en-us/download/details.aspx?id=55319। आज सिक्योरिटी कम्प्लायंस टूलकिट में निम्न प्रोडक्ट्स के लिए बेसलाइन्स उपलब्ध हैं:

• विंडोज 10 वर्जन 20H2 और विंडोज सर्वर वर्जन 20H2
• विंडोज 10 वर्जन 2004 और विंडोज सर्वर वर्जन 2004
• विंडोज 10 वर्जन 1909 और विंडोज सर्वर वर्जन 1909
• विंडोज 10 वर्जन 1903 और विंडोज सर्वर वर्जन 1903
• विंडोज 10 वर्जन 1809 और विंडोज सर्वर 2019
• विंडोज 10 वर्जन 1607 और विंडोज सर्वर 2016
• माइक्रोसॉफ्ट एज v88
• Office365 ProPlus
• विंडोज सर्वर 2012 R2

आप इन टूल्स को भी डाउनलोड कर सकते हैं:

• LGPO का उपयोग लोकल GPO सेटिंग्स को प्रबंधित करने के लिए किया जाता है;
• PolicyAnalyzer मौजूदा ग्रुप पॉलिसीज का विश्लेषण करने और उनकी तुलना सिक्योरिटी बेसलाइन में रेफरेंस पॉलिसीज से करने का एक टूल है;
• SetObjectSecurity

प्रत्येक विंडोज वर्जन के लिए सिक्योरिटी बेसलाइन आर्काइव में कई फोल्डर्स होते हैं:

• Documentation में XLSX और PDF फाइलें होती हैं जिनमें सिक्योरिटी बेसलाइन में लागू सेटिंग्स का विस्तृत विवरण होता है;
• GP Reports में GPO सेटिंग्स के साथ HTML रिपोर्ट्स होती हैं जिन्हें लागू किया जाना है;
• GPOs – विभिन्न परिदृश्यों के लिए GPO ऑब्जेक्ट्स शामिल हैं। आप पॉलिसीज को अपने ग्रुप पॉलिसी मैनेजमेंट (GPMC) कंसोल में इम्पोर्ट कर सकते हैं;
• Scripts में GPO सेटिंग्स को डोमेन या लोकल पॉलिसीज में आसानी से इम्पोर्ट करने के लिए पावरशेल स्क्रिप्ट्स होती हैं: Baseline-ADImport.ps1, Baseline-LocalInstall.ps1, Remove-EPBaselineSettings.ps1, MapGuidsToGpoNames.ps1
• Templates – अतिरिक्त ADMX/ADML GPO टेम्पलेट्स (उदाहरण के लिए, AdmPwd.admx में LAPS के लिए लोकल पासवर्ड मैनेजमेंट सेटिंग्स होती हैं, MSS-legacy.admx, SecGuide.admx)

एक्टिव डायरेक्टरी डोमेन वातावरण में, GPO का उपयोग करके सिक्योरिटी बेसलाइन को लागू करना आसान है (वर्कग्रुप में, आप LGPO.exe टूल का उपयोग करके लोकल ग्रुप पॉलिसी के माध्यम से अनुशंसित सुरक्षा सेटिंग्स लागू कर सकते हैं)।

विभिन्न विंडोज इंफ्रास्ट्रक्चर एलिमेंट्स के लिए GPO सिक्योरिटी बेसलाइन टेम्पलेट्स हैं: कंप्यूटर्स, यूजर्स, डोमेन सर्वर्स, डोमेन कंट्रोलर्स (वर्चुअल DCs के लिए एक अलग पॉलिसी है), साथ ही इंटरनेट एक्सप्लोरर, बिटलॉकर, क्रेडेंशियल गार्ड, विंडोज डिफेंडर एंटीवायरस सेटिंग्स। विभिन्न परिदृश्यों के लिए कॉन्फिगर्ड ग्रुप पॉलिसीज GPOs फोल्डर में स्थित हैं (आप नीचे विंडोज सर्वर 2019 और विंडोज 10 1909 के लिए GPOs की सूची देख सकते हैं):

• MSFT इंटरनेट एक्सप्लोरर 11 — कंप्यूटर
• MSFT इंटरनेट एक्सप्लोरर 11 — यूजर
• MSFT विंडोज 10 1909 — बिटलॉकर
• MSFT विंडोज 10 1909 — कंप्यूटर
• MSFT विंडोज 10 1909 — यूजर
• MSFT विंडोज 10 1909 और सर्वर 1909 — डिफेंडर एंटीवायरस
• MSFT विंडोज 10 1909 और सर्वर 1909 — डोमेन सिक्योरिटी
• MSFT विंडोज 10 1909 और सर्वर 1909 मेंबर सर्वर — क्रेडेंशियल गार्ड
• MSFT विंडोज सर्वर 1909 — डोमेन कंट्रोलर वर्चुअलाइजेशन बेस्ड सिक्योरिटी
• MSFT विंडोज सर्वर 1909 — डोमेन कंट्रोलर
• MSFT विंडोज सर्वर 1909 — मेंबर सर्वर

ध्यान दें कि प्रत्येक विंडोज सर्वर वर्जन या विंडोज 10 बिल्ड के लिए एक अलग सिक्योरिटी बेसलाइन सेट है।

अपने विंडोज वर्जन से मेल खाने वाले सिक्योरिटी बेसलाइन वर्जन के साथ आर्काइव निकालें और ग्रुप पॉलिसी मैनेजमेंट (gpmc.msc) कंसोल खोलें।

1. ADMX टेम्पलेट्स को अपने DC पर SYSVOL PolicyDefinitions फोल्डर (GPO सेंट्रल स्टोर) में कॉपी करें;
2. विंडोज 10 2004 सिक्योरिटी बेसलाइन नाम से एक नया GPO बनाएं;
3. GPO पर राइट-क्लिक करें और सेटिंग्स इम्पोर्ट करें चुनें;
4. अपने विंडोज वर्जन के लिए सिक्योरिटी बेसलाइन फाइल का पथ बैकअप लोकेशन के रूप में निर्दिष्ट करें (उदाहरण के लिए, C:\Tools\SCM\Windows 10 Version 2004 and Windows Server Version 2004 Security Baseline\Windows-10-Windows Server-v2004-Security-Baseline-FINAL\GPOs);
5. आप पॉलिसी टेम्पलेट्स की एक सूची देखेंगे। हमारे मामले में, मैं कंप्यूटर सेटिंग्स वाली पॉलिसी इम्पोर्ट करूंगा। MSFT विंडोज 10 2004 – कंप्यूटर चुनें (व्यू सेटिंग्स बटन का उपयोग करके, आप gpresult रिपोर्ट के रूप में पॉलिसी सेटिंग्स देख सकते हैं);
6. फिर आपको रेफरेंस लिंक्स को सिक्योरिटी ऑब्जेक्ट्स और UNC पथ्स पर कैसे माइग्रेट करना है, यह चुनने के लिए कहा जाएगा। चूंकि पॉलिसी नई है, उन्हें स्रोत से समान रूप से कॉपी करना चुनें;
7. फिर विंडोज 10 2004 चलाने वाले कंप्यूटर्स के लिए रेफरेंस सिक्योरिटी बेसलाइन पॉलिसी सेटिंग्स आपके GPO में इम्पोर्ट हो जाएंगी।

ग्रुप पॉलिसी ऑब्जेक्ट को केवल विशिष्ट विंडोज बिल्ड चलाने वाले कंप्यूटर्स पर लागू करने के लिए, GPO WMI फिल्टर्स का उपयोग करें। उदाहरण के लिए, विंडोज 10 2004 के लिए आप निम्न WMI फिल्टर का उपयोग कर सकते हैं:

Select Version,ProductType from Win32_OperatingSystem WHERE Version LIKE "10.0.19041%" and ProductType = "1"

फिल्टर को अपनी पॉलिसी पर लागू करें और पॉलिसी को आवश्यक ऑर्गनाइजेशनल यूनिट से लिंक करें।

इसी तरह, आप यूजर्स, डोमेन कंट्रोलर्स, डोमेन मेंबर सर्वर्स, आदि के लिए सिक्योरिटी बेसलाइन्स इम्पोर्ट कर सकते हैं।

यूजर कंप्यूटर्स पर सिक्योरिटी बेसलाइन लागू करने से पहले, सुझाई गई सेटिंग्स को अच्छी तरह से जांचें और पहले उन्हें टेस्ट यूजर्स या कंप्यूटर्स वाले OU पर लागू करें। यदि आवश्यक हो, तो आप सिक्योरिटी बेसलाइन द्वारा सुझाई गई कुछ सेटिंग्स को अक्षम कर सकते हैं। टेस्ट कंप्यूटर्स पर सिक्योरिटी बेसलाइन सेटिंग्स को सफलतापूर्वक टेस्ट करने के बाद ही, आप उन्हें अपने डोमेन के सभी कंप्यूटर्स/सर्वर्स पर लागू कर सकते हैं।

सिक्योरिटी बेसलाइन में दर्जनों या सैकड़ों सेटिंग्स होती हैं। हम एक लेख में उन पर चर्चा नहीं कर सकते। आइए उन सुरक्षा सेटिंग्स पर विचार करें जिन्हें हमने woshub.com पर अन्य लेखों में कवर किया है:

• प्रोग्राम स्टार्ट और इंस्टॉलेशन नियमों का प्रबंधन: AppLocker (सॉफ्टवेयर प्रतिबंध नीतियां), UAC और विंडोज इंस्टॉलर
• डोमेन पासवर्ड और अकाउंट लॉकआउट पॉलिसीज
• विशेषाधिकार प्राप्त खातों पर प्रतिबंध
• अनाम एक्सेस प्रतिबंध
• सभी घटनाओं और यूजर लॉगऑन हिस्ट्री के बारे में जानकारी प्राप्त करने के लिए ऑडिट पॉलिसी सेटिंग्स
• LSA मेमोरी सुरक्षा
• पेरिफेरल्स तक पहुंच (प्रिंटर और USB इंस्टॉलेशन पॉलिसीज सहित)
• NetBIOS और NTLM प्रोटोकॉल अक्षम करना
• रिमोट असिस्टेंस, शैडो कनेक्शन्स, RDS टाइमआउट्स, CredSSP Oracle Remediation की सेटिंग्स
• पावरशेल एक्जीक्यूशन पॉलिसी
• विंडोज एरर रिपोर्टिंग का कॉन्फिगरेशन
• विंडोज फायरवॉल नियमों का प्रबंधन
• WinRM सेटिंग्स
• बिल्ट-इन एडमिनिस्ट्रेटर अकाउंट अक्षम करना
• हार्डन्ड UNC पथ पॉलिसी
• SMBv1 अक्षम करना

यदि आप विंडोज 10 चलाने वाले अपने होम कंप्यूटर की रक्षा करना चाहते हैं, तो आप रेडी पावरशेल स्क्रिप्ट का उपयोग करके उस पर सिक्योरिटी बेसलाइन सेटिंग्स लागू कर सकते हैं।

अनसाइन्ड स्क्रिप्ट्स को चलाने की अनुमति दें:

Set-ExecutionPolicy -Scope Process Unrestricted
पॉलिसी लागू करें:
Baseline-LocalInstall.ps1 -Win10NonDomainJoined

माइक्रोसॉफ्ट सिक्योरिटी बेसलाइन सेटिंग्स आपके विंडोज इंफ्रास्ट्रक्चर की सुरक्षा को बढ़ा सकती हैं और यह सुनिश्चित करने में मदद कर सकती हैं कि वही सेटिंग्स आपके कॉर्पोरेट नेटवर्क पर सभी कंप्यूटर्स (नए वाले सहित) पर लागू हों।