Jak zabezpieczyć środowisko Windows: 10 najlepszych sposobów

Windows 10 zadebiutował w lipcu i od tego czasu zebrał ogólnie pozytywne recenzje, chociaż wydanie nie obyło się bez luk w zabezpieczeniach. Dla IT i operacji oznacza to (niechętnie) ciągłe wspieranie/wzmacnianie innego wariantu systemu operacyjnego Windows. Nawet w jednorodnych środowiskach tylko z systemem Windows zarządzanie lukami w zabezpieczeniach i poprawkami w różnych wersjach systemu operacyjnego może być zniechęcające. Poniższe informacje mogą służyć jako praktyczny punkt wyjścia do ochrony dzisiejszej infrastruktury opartej na systemie Windows przed cyberatakami.

10 sposobów na zabezpieczenie środowiska Windows

1. Zidentyfikuj nieprzetestowane/zabezpieczone oprogramowanie układowe i modyfikacje oprogramowania układowego innych firm

Jak być może pamiętasz, fiasko złośliwego oprogramowania Silverfish firmy Lenovo wykoleiło długoterminowe aspiracje firmy jako zaufanego producenta sprzętu Windows - jeśli rzeczywiście miała takie aspiracje na początku. Wkrótce po tym wydarzeniu Lenovo ponownie zostało przyłapane na potajemnej instalacji oprogramowania - tym razem w postaci trudnej do usunięcia aplikacji umieszczonej w oprogramowaniu układowym urządzeń. Te modyfikacje oprogramowania układowego prawie nigdy nie są dobre i - jak w przypadku Lenovo - wprowadzają do komputerów i urządzeń luki w zabezpieczeniach niskiego poziomu.

Nowoczesne wersje systemu Windows (7, 8, 10 i Windows Server) używają tak zwanego standardu oprogramowania układowego UEFI zamiast standardowego systemu BIOS komputera/urządzenia. Ponieważ Windows Binary Loader korzysta z UEFI, a implementacja UEFI jest w rękach dostawców sprzętu (np. IBM, Lenovo, Dell) - mniej skrupulatne marki mogą być skłonne do wprowadzania "dodatkowych" modyfikacji. Dlatego tak ważne jest, aby komputery/urządzenia produkowane przez podejrzane marki były identyfikowane i dokładnie analizowane pod kątem ich potencjalnego wpływu na bezpieczeństwo IT.

2. Napraw niezałatane/niekompatybilne sterowniki

Niezliczone ilości urządzeń i usług sprzętowych są używane przez dzisiejsze komputery, co niezmiennie powoduje ciągłe obawy związane z niekompatybilnością i podatnością sterowników. Coraz częściej kierowcy są częstym źródłem nowych luk w zabezpieczeniach wprowadzanych do środowiska. Zaledwie kilka miesięcy temu Microsoft wprowadził poprawkę dla systemu Windows, aby usunąć luki w sterownikach czcionek. Wykrywanie luk w zabezpieczeniach powinno zatem obejmować zarówno pakiety oprogramowania, jak i dyskretne, samodzielne komponenty, takie jak sterowniki. Przestarzałe i/lub nieobsługiwane sterowniki powinny zostać całkowicie usunięte z systemów.

3. Usuwanie luk w zabezpieczeniach wprowadzanych przez oprogramowanie firm innych niż Microsoft

Microsoft byłby bardziej niż zachwycony, gdyby mógł zaspokoić wszystkie Twoje potrzeby w zakresie oprogramowania za pomocą aplikacji zatwierdzonych przez Redmond wraz z solidną historią poprawek - ale najwyraźniej rzadko wystarczy to do całkowitego zaspokojenia potrzeb organizacji. Rzeczywistość jest taka, że oprogramowanie innych firm zostanie w pewnym momencie wprowadzone do środowiska, co sprawia, że zrozumienie kluczowych luk w zabezpieczeniach każdego pakietu ma kluczowe znaczenie dla oceny ich wpływu na stan bezpieczeństwa firmy.

4. Usuwanie luk w zabezpieczeniach oprogramowania dołączonego do systemu Windows

System Windows 10 jest dostarczany z kilkoma dołączonymi aplikacjami, takimi jak między innymi Zdjęcia, Muzyka Groove i Skype. Te elementy są preinstalowane na każdym koncie użytkownika w systemie Windows 10, ale podobnie jak każde oprogramowanie — podlegają własnym specyficznym lukom w zabezpieczeniach i wadom. Skanowanie luk w zabezpieczeniach oprogramowania powinno obejmować zarówno system operacyjny Windows, jak i dołączone aplikacje, które są z nim dostarczane.

5. Egzekwuj szyfrowanie danych

Naruszenia danych mogą być nieuniknione, ale skradzione dane mogą być nadal chronione — nawet gdy znajdują się w rękach atakujących. Szyfrowanie ma swoje wady i zalety, ale w większości przypadków jest to stosunkowo przejrzysty i łatwy sposób zapobiegania ujawnieniu danych przed i po ich kradzieży. BitLocker to rozwiązanie firmy Microsoft do szyfrowania plików i jest dostarczane z nowszymi wersjami systemu Windows. Wadą funkcji BitLocker jest to, że każda maszyna z systemem Windows, która go używa, ma również obsługujący system BIOS, a także włączony układ Trusted Platform Module (TPM).

6. Zaciemnij konta administratorów lokalnych

Częściej złośliwe programy i hakerzy będą atakować domyślne konta administratorów lokalnych jako wiszące owoce do wykorzystania. Prosta zmiana nazwy konta administratora dodaje prostą, ale skuteczną warstwę ochrony przed atakami brute force. Wybranie mniej popularnej nazwy sprawia, że konto jest mniej podatne na próby włamań, chociaż w nowszych wersjach systemu Windows konta administratorów lokalnych są domyślnie wyłączone.

7. Wyłącz konta gości/anonimowe

Dotyczy to zarówno systemu Windows, jak i usług związanych z systemem Windows, dlatego konta gości/anonimowe używane przez system Windows, a także inne usługi związane z systemem Windows (np. MS SQL, Exchange) powinny być wyłączone. Upewnij się, że uwzględniasz wszystkie pakiety związane z systemem Windows, w tym wdrożenia programu SharePoint i wystąpienia usług IIS.

8. Sprawdź, jak wygląda sytuacja w LAN Manager

Przestarzałe protokoły uwierzytelniania LM (LAN Manager) i NTLMv1 mają luki w zabezpieczeniach i powinny zostać wyłączone. Przechowywanie skrótów LM również powinno być wyłączone, ponieważ skróty haseł LM można łatwo przekonwertować z powrotem na zwykły tekst.

9. Wprowadź właściwe zarządzanie hasłami

W dziedzinie zabezpieczeń systemu Windows 12 znaków to absolutne minimum dla marginalnie silnego hasła. Jako dodatkowy środek ostrożności wystarczy wymaganie od użytkowników wybrania haseł składających się z co najmniej 15 znaków — przy zwykłych wymaganiach dotyczących asortymentu symboli i wielkości liter.

10. Zapoznaj się z podstawami (zapora ogniowa, IDS/IDPS, program antywirusowy/antymalware)

Wreszcie, co z pewnością nie mniej ważne, powinny istnieć podstawowe mechanizmy bezpieczeństwa IT: zapory sieciowe, IDS/IDPS, oprogramowanie antywirusowe/antymalware oraz ciągłe monitorowanie i walidacja integralności. Dzisiejszy krajobraz zagrożeń jest zbyt złożony, aby monolityczne rozwiązanie zabezpieczające mogło sobie z nim poradzić samodzielnie. Skuteczne zabezpieczenia przedsiębiorstwa wymagają warstwowego podejścia do zabezpieczeń, które łączy tradycyjne narzędzia zabezpieczeń IT z zaawansowanymi rozwiązaniami zapewniającymi ciągłe bezpieczeństwo.

Krótko mówiąc, wiele z powyższych elementów jest podstawowych, ale może być uciążliwe do rozwiązania po kawałku. Co powiesz na jedną zasadę, która może zarządzać wszystkimi tymi rzeczami za pomocą zaledwie kilku kliknięć myszką? Polityka UpGuard dotycząca bezpieczeństwa środowiska Windows może właśnie to zrobić — przetestuj go już dziś, jest bezpłatny.

Źródeł

https://searchwindowsserver.techtarget.com/tip/Pros-and-cons-of-Windows-Server-drive-encryption

https://www.csoonline.com/article/3212948/the-10-windows-group-policy-settings-you-need-to-get-right.html