Hardening Windows: безопасная настройка станций и серверов

Большинство взломов Windows-сетей использует не редкие уязвимости, а типовые слабости настройки: общий пароль локального администратора, включённый старый протокол SMB, открытый RDP, отключённые обновления. Ниже базовый набор мер для рабочих станций и серверов небольшой компании, с командами PowerShell для проверки каждого пункта. Это минимум, который стоит закрыть до перехода к продвинутым средствам.

Статья опирается на логику направления «Безопасность конечных устройств» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. Перед применением проверьте команды на тестовой машине, изменения вносите по процессу управления изменениями. Для Linux есть парный материал: hardening Linux.

Что должно получиться

Уровень	Что это значит на практике
1. Базовый	Серверы и рабочие станции обновляются, есть антивирусная защита и базовая настройка
2. Гигиенический	Есть эталонная конфигурация и проверка отклонений, диски ноутбуков зашифрованы, обновления под контролем

Критерии сформулированы нами по мотивам методики, это ориентир, а не оценка соответствия.

Эталон: на что опираться

Не изобретайте настройки сами. Основа — готовые базовые конфигурации: Microsoft Security Baselines (набор Security Compliance Toolkit с шаблонами групповых политик и инструментом сравнения) и CIS Benchmarks для вашей версии Windows. Для российских систем используйте требования ФСТЭК в своей области применения. Выберите один эталон, примените его через групповые политики или систему управления и сверяйте отклонения. Ниже базовые пункты, которые есть почти в любом эталоне.

1. Учётные записи и привилегии

Уникальный пароль локального администратора на каждом узле. Используйте Windows LAPS (встроен в современные сборки Windows 10/11 и Windows Server) или другое решение; общий пароль образа — прямой путь к быстрому распространению атаки.
Отдельные административные учётные записи. Администраторы работают в повседневной почте и браузере под обычной учётной записью, а для задач управления используют отдельную.
Минимум членов в привилегированных группах. Состав групп администраторов проверяйте регулярно: аудит Active Directory.
Встроенная учётная запись Administrator и гостевая запись отключены или переименованы по политике.

Get-LocalGroupMember -Group "Administrators"
Get-LocalUser | Select-Object Name, Enabled, LastLogon

Ожидаемый результат: в группе администраторов только нужные учётные записи; неиспользуемые отключены.

2. Обновления

Автоматическая установка обновлений безопасности через WSUS или аналог либо Windows Update для бизнеса, с группами тестирования.
Для серверов определите окно перезагрузки, но не откладывайте критичные обновления дольше срока из процесса управления уязвимостями: сроки закрытия.

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 10

Ожидаемый результат: свежие обновления за последний месяц. Если список пуст или старый, узел не обновляется.

3. Защита от вредоносного ПО

Включите Microsoft Defender Antivirus или другое защитное средство и убедитесь, что оно обновляется и не отключено локально.

Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated

Ожидаемый результат: служба и защита в реальном времени включены, сигнатуры обновлены в последние дни. Если у вас другое средство, проверяйте его статусом в его консоли.

4. Межсетевой экран узла

Встроенный Windows Firewall включён для всех профилей, входящие подключения по умолчанию блокируются, исключения заводятся явно.

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction

Ожидаемый результат: Enabled True и DefaultInboundAction Block для доменного, частного и публичного профилей. Сегментацию между узлами делайте на сетевом уровне: сегментация сети.

5. Старые протоколы и общий доступ

Отключите SMBv1: он нужен только очень старому оборудованию и использовался в массовых эпидемиях.
Ограничьте NTLM там, где возможно, и включите подпись SMB на серверах.
Закройте анонимный доступ к общим папкам и проверьте права на общие ресурсы.

Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol, RequireSecuritySignature
Get-SmbShare

Ожидаемый результат: EnableSMB1Protocol равно False; список общих ресурсов совпадает с тем, что вы ожидаете. Чтобы отключить протокол: Set-SmbServerConfiguration -EnableSMB1Protocol $false. Риск: старые устройства (МФУ, сканеры) могут перестать подключаться, проверьте до массового применения.

6. Удалённый доступ по RDP

RDP не должен быть открыт в интернет. Доступ только через VPN с MFA: MFA для SSH и WireGuard показывает принцип.
Включите проверку подлинности на уровне сети (NLA), ограничьте пользователей группой, включите блокировку при подборе пароля.

Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name UserAuthentication

Ожидаемый результат: UserAuthentication равно 1 (NLA требуется).

7. Шифрование дисков

На ноутбуках и мобильных устройствах включите BitLocker, ключи восстановления храните в каталоге или в защищённом хранилище, но не на самом устройстве.

Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, ProtectionStatus

Ожидаемый результат: ProtectionStatus равно On для системного диска ноутбука.

8. Журналирование и аудит

Без журналов расследовать нечего. Включите расширенную политику аудита (входы, изменения учётных записей, использование привилегий), журналирование PowerShell и отправляйте события на сервер сбора: принципы сбора логов и Wazuh (поддерживает агент для Windows).

auditpol /get /category:*
Get-ItemProperty "HKLM:\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging" -ErrorAction SilentlyContinue

Ожидаемый результат: для входа в систему и управления учётными записями включён аудит успехов и отказов; журналирование блоков сценариев включено политикой.

9. Прочие базовые меры

Права пользователей: стандартные пользователи без прав администратора на рабочих станциях.
Автозапуск со съёмных носителей отключён, использование USB-накопителей ограничено политикой там, где это оправдано.
Сервер выполняет минимум ролей; неиспользуемые роли и службы удалены.
Резервные копии проверены и недоступны для записи с рабочих станций: копирование 3-2-1.

Как внедрять

Выберите эталон и сравните с текущей конфигурацией инструментом сравнения (Policy Analyzer из Security Compliance Toolkit).
Примените настройки к тестовой группе, соберите жалобы и разберите исключения.
Расширьте на пилотную группу, затем на всех поэтапно через групповые политики.
Раз в квартал проверяйте отклонения и фиксируйте принятые исключения.

Диагностика

Симптом	Причина и что делать
После отключения SMBv1 не работает сканер или МФУ	Устройство поддерживает только старый протокол. Обновите прошивку или изолируйте устройство в отдельной сети
Политики не применяются на части узлов	Узлы вне домена или не получают групповые политики. Проверьте `gpresult /r` и связь с контроллером домена
Пользователи жалуются на ограничения	Слишком жёсткий эталон. Фиксируйте исключения письменно, снижайте строгость постепенно, оставляя критичные меры
Отчёты показывают разный результат на узлах	Нет единой точки применения. Централизуйте настройку политиками

Где это в модели зрелости

Материал относится к направлению «Безопасность конечных устройств» (материалы направления, карта зрелости). Уровень 1 закрывают обновления и базовая защита, уровень 2 добавляет эталонную конфигурацию и проверку отклонений, шифрование дисков ноутбуков и контроль обновлений.

Как проверить

Команды из разделов выше выполнены на выборке из пяти узлов, результат соответствует ожидаемому.
Пароль локального администратора уникален для каждого узла (LAPS или аналог).
На ноутбуках BitLocker включён, ключи восстановления найдены в каталоге.
Журналы с Windows-узлов попадают на сервер сбора и по ним работают оповещения.

Источники

Методика оценки уровня зрелости кибербезопасности компании, Группа Сбер: sberbank.ru.
Microsoft Security Compliance Toolkit и Security Baselines: документация Microsoft Learn (learn.microsoft.com).
CIS Benchmarks для Microsoft Windows: cisecurity.org. Международная практика, не российский норматив.