Windows Secure Host Baseline

Windows Secure 호스트 기준선

Windows 보안 호스트 기준선 정보

Windows Secure Host Baseline (SHB)은 DoD가 모든 크기의 조직에서 소비 할 수있는 프레임 워크를 사용하여 최신 Windows 10 릴리스를 배포 할 때 자동화되고 유연한 접근 방식을 제공합니다.

DoD CIO는 2015 년 11 월 20 일에 2017 년 11 월 말까지 전투원 사령부, 서비스, 대행사 및 현장 활동 (CC/S/AS)을 지시하는 메모를 2017 년 1 월 말까지 배치를 완료하는 목표를 달성하기 위해 Windows 10 운영 체제를 신속하게 배치했습니다. 2016 년 2 월 26 일에 DoD를 통해 DoD를 통해 Memo를 전달하여 Memo를 전환하여 Memo를 전달하여 Memo를 전달했습니다. 2017 년 1 월 말. [1]

공식 제품 평가는 또한 Windows 10으로의 이동을 지원합니다. NIAP (National Information Assurance Partnership) 및 NIST (National Information Assurance Partnership) 및 NIST (National Information Institute of Standards and Technology)는 국가 안보 시스템에서 사용하기위한 상업용 IT 제품의 평가를 감독합니다.

• 일반적인 운영 체제에 대한 NIAP 보호 프로파일에 대한 Windows 10의 일반적인 기준 평가 2016 년 4 월 5 일에 완료되었으며 2017 년 2 월 2 일 Windows Server 2016을 포함하도록 업데이트되었습니다.
• 모바일 장치 기초에 대한 NIAP 보호 프로파일에 대한 Windows 10의 일반적인 기준 평가 2016 년 1 월 29 일에 완료되었으며 2017 년 4 월 12 일 Windows Server 2016을 포함하도록 업데이트되었습니다.
• IPSEC 가상 개인 네트워크 (VPN) 클라이언트에 대한 NIAP 보호 프로파일에 대한 Windows 10의 일반적인 기준 평가 2016 년 11 월 10 일 완료되고 2016 년 12 월 29 일 Windows Server 2016을 포함하도록 업데이트되었습니다.
• NIST FIPS 140-2 Windows 10 암호화 모듈의 검증은 2016 년 6 월 2 일에 완료되었습니다 (인증서 번호 2600, 2601, 2602, 2603, 2604, 2605, 2606 및 2607 참조).

보안 호스트 기준을 사용하는 것은 NSA 정보 보증 상위 10 가지 완화 전략 중 하나입니다. DoD Secure Host Baseline은 또한 애플리케이션 화이트리스트 사용, 방지 방지 기능 활성화 및 최신 버전의 운영 체제 및 응용 프로그램과 같은 다른 IAD 상위 10 가지 완화 전략을 보여줍니다.

이 저장소에 대해

이 저장소는 Windows 10을위한 DoD Secure Host Baseline (SHB) 프레임 워크를 지원하는 그룹 정책 객체, 준수 검사 및 구성 도구를 호스트합니다. 방어 산업 기반의 일부인 국가 보안 시스템 관리자는 공통 액세스 카드 (CAC) 또는 개인 식별 카드에 대한 DoD SHB 프레임 워크에 대한 대신 에이 저장소를 활용할 수 있습니다.

CAC 또는 PIV 스마트 카드에 액세스 해야하는 소프트웨어 Forge의 Windows 10 Secure Host Baseline Project Forum에 질문이나 의견을 제출하거나 Windows 10 Secure Host Baseline Project Forum에 게시 할 수 있습니다.

저장소 컨텐츠

그룹 정책 개체

• ActiveClient 폴더에는 ActiveClient Software와 함께 스마트 카드 로그온을 사용하는 사람들을위한 ActiveClient 컴퓨터 정책이 포함되어 있습니다.
• Adobe Reader 폴더에는 Adobe Reader DC 컴퓨터와 Adobe Reader DC의 최신 버전에 대한 사용자 정책이 포함되어 있습니다.
• Applocker 폴더에는 Windows 10의 최신 버전에 대한 Applocker 컴퓨터 정책이 포함되어 있습니다.
• 인증서 폴더에는 DoD 루트 및 중간 인증 기관을 배포하기위한 컴퓨터 정책이 포함되어 있습니다.
• Chrome 폴더에는 최신 버전의 Chrome에 대한 Chrome 브라우저 컴퓨터 정책이 포함되어 있습니다.
• Internet Explorer 폴더에는 Windows 10의 최신 버전에 대한 Internet Explorer 11 컴퓨터 및 사용자 정책이 포함되어 있습니다.
• 사무실 폴더에는 Office 2013 및 Office 2016 정책이 포함되어 있습니다.
• Windows 폴더에는 최신 버전의 Windows 10에 대한 Windows 10 사용자 및 컴퓨터 정책이 포함되어 있습니다.
• Windows 방화벽 폴더에는 최신 버전의 Windows 10에 대한 Windows 방화벽 컴퓨터 정책이 포함되어 있습니다.

스크립트 및 도구

SHB를 사용하여 사용자를 돕기위한 스크립트는 각 구성 요소의 스크립트 서브 폴더에 있습니다. 지금까지 사용할 수있는 스크립트 :

• Adobe Reader
• 인증서
• 크롬
• 일반적인
• 창

준수 점검

Nessus (일명 DoD의 ACA) 감사 파일 이이 저장소에 포함되어 있습니다. 준수 점검은 다음과 같습니다.

• Adobe Reader DC
• 크롬
• 인터넷 익스플로러
• 창
• Windows 방화벽

도메인 또는 독립형 환경에서 규정 준수 검사를 실행하는 지침은 규정 준수 페이지에서 찾을 수 있습니다.

시작하기

도구 사용을 시작하려면 :

1. 저장소를 zip 파일로 다운로드하십시오
2. PowerShell을 구성하십시오
3. 코드를로드하십시오
4. 정책을 적용하십시오
5. 준수를 확인하십시오

저장소 다운로드

현재 코드를 다운로드 폴더로 다운로드하십시오. 기본적으로 Windows-Secure-Host-Baseline-Master.zip 으로 저장됩니다.

PowerShell 환경 구성

PowerShell 명령은 최소한 PowerShell 3.0이 설치된 시스템에서 실행됩니다. PowerShell은 명령을 실행하려면 구성해야 할 수도 있습니다.

PowerShell 실행 정책 변경

사용자는 기본 PowerShell 실행 정책을 변경해야 할 수도 있습니다. 이것은 여러 가지 방법으로 달성 할 수 있습니다.

• 명령 프롬프트를 열고 PowerShell.exe -ExecutionPolicy 무제한을 실행하고 해당 PowerShell 세션에서 스크립트를 실행하십시오.
• PowerShell 프롬프트를 열고 Set -ExecutionPolicy 무제한 스코프 프로세스를 실행하고 현재 PowerShell 세션에서 스크립트를 실행하십시오.
• 행정 PowerShell 프롬프트를 열고 SET-EXECUTIONPOLICY UNRESTRESTIVES를 실행하고 모든 PowerShell 세션에서 스크립트를 실행하십시오.

PowerShell 스크립트를 차단 해제합니다

PowerShell이 ​​기본적으로 실행되는 것을 차단하는 인터넷에서 다운로드 된 것으로 표시되므로 다운로드 된 zip 파일을 차단 해제해야합니다. PowerShell 프롬프트를 열고 다음 명령을 실행하여 ZIP 파일에서 PowerShell 코드를 차단 해제하십시오.

1. cd $env:USERPROFILE
2. cd Downloads
3. Unblock-File -Path '.Windows-Secure-Host-Baseline-master.zip'

파일을 차단하지 않고 ZIP 파일 내부에서 PowerShell 스크립트를 실행하면 다음 경고가 발생합니다.

보안 경고는 신뢰하는 스크립트 만 실행합니다. 인터넷의 스크립트는 유용 할 수 있지만이 스크립트는 컴퓨터에 잠재적으로 해를 끼칠 수 있습니다. 이 스크립트를 신뢰하는 경우 차단 파일 CMDLET를 사용 하여이 경고 메시지없이 스크립트를 실행할 수 있습니다. c : user user downloads script.ps1을 실행 하시겠습니까? [d] [r] 실행하지 않으면 [s] 삭감 [?] 도움말 (기본값은 "d") :

다운로드 된 zip 파일이 추출되기 전에 차단되지 않은 경우 Zip 파일에 있던 모든 개별 PowerShell 파일은 차단 해제되어야합니다. 코드로드 섹션에서 5 단계 후 다음 명령을 실행해야합니다.

 Get-ChildItem -Path '.Windows-Secure-Host-Baseline' -Recurse -Include '*.ps1','*.psm1' | Unblock-File -Verbose

사용 방법에 대한 자세한 내용은 차단 파일 명령의 문서를 참조하십시오.

코드로드

이제 다운로드 된 zip 파일을 추출하고 정책을 적용하는 데 사용되는 PowerShell 코드를로드하십시오.

1. 지퍼 파일을 마우스 오른쪽 버튼으로 클릭하고 모두 추출을 선택하십시오.
2. 대화 상자에서 기본적으로 Windows-Secure-Host-Baseline-Master 폴더로 파일을 추출하기 때문에 경로 끝에서 Windows-Secure-Host-Baseline-Master를 제거합니다.
3. 추출 버튼을 클릭하십시오
4. Wind​
5. PowerShell 프롬프트를 관리자로 엽니 다
6. 그룹 정책 PowerShell 모듈을 가져 오려면 코드를 PowerShell 세션에로드합니다 Import-Module -Name .Windows-Secure-Host-BaselineScriptsGroupPolicy.psm1

정책 적용

Group Policy PowerShell 모듈에있는 Invoke-ApplySecureHostBaseline 명령은 정책을 적용하기위한 주요 명령입니다. 기본적 으로이 명령은 다음과 같습니다.

• 컴퓨터 및 사용자 정책을 모두 가져옵니다. -policyscopes 옵션을 사용하고 사용자 또는 컴퓨터 정책 만 가져 오려면 '사용자' 또는 '컴퓨터' 값 만 지정하십시오.
• 감사 모드에서 감사 옵션 (예 : Applocker)이있는 수입 정책. 시행 모드에서 해당 정책을 가져 오려면 -policymode 옵션을 사용하고 '강제' 값을 지정하십시오.
• 존재하는 경우 기존 수입 SHB 그룹 정책 개체 (및 그룹 정책 템플릿)의 백업 사본을 작성하십시오. 백업은 명령이 실행 된 시간에 해당하는 %uerprofile % backup_yyyymmddhhhmmss 에 위치한 디렉토리에 있습니다. 이 위치를 변경하려면 -backuppath 옵션을 사용하고 Backup_yyyymmdhhmmss가 생성되는 기존 폴더로가는 경로를 지정하십시오.
• 응용 그룹 정책 개체에 해당하는 그룹 정책 템플릿 파일을 업데이트 하지 마십시오 . -updatetemplates 옵션을 사용하여 그룹 정책 템플릿을 업데이트하십시오.

명령 옵션은 다음과 같습니다.

• -Path- 필수. 다운로드 및 추출 된 GitHub SHB 저장소가 포함 된 폴더로가는 경로.
• -PolicyNames- 필수. 적용 할 정책의 이름. 1 개 이상의 정책 이름 일 수 있습니다. 사용 가능한 이름 : 'ActiveClient', 'Adobe Reader', 'Applocker', 'Certificates', 'Chrome', 'Internet Explorer', 'Office 2013', 'Office 2016', 'Windows', 'Windows Firewall'.
• -PolicyScopes- 선택 사항. 적용 할 정책의 범위. 사용 가능한 범위 : '컴퓨터', '사용자'. 기본값은 '컴퓨터', '사용자'로 나타납니다.
• -PolicyType- 선택 사항. 적용 할 정책 유형. 사용 가능한 유형 : '도메인', '로컬'. 도메인에 결합 할 때 기본값은 '도메인'으로 표시됩니다. 도메인에 합류하지 않을 때는 기본값이 '로컬'으로 나타납니다.
• -PolicyMode- 선택 사항. 특정 정책에 의해 뒷받침되는 경우 적용 할 정책 모드. 예를 들어, Applocker는 감사 및 집행 모드를 지원합니다. 사용 가능한 모드 : '감사', '시행'. 기본값은 '감사'입니다.
• -BackupPath- 선택 사항. 롤백이 필요한 경우 존재하는 경우 기존 수입 SHB 그룹 정책 개체 (및 그룹 정책 템플릿)의 백업을 저장하는 폴더로가는 경로. 기본값은 $ env : userprofile desktop backup_yyyymmdhhhmmss 스크립트가 실행되었을 때에 해당합니다.
• -ToolPath- 선택 사항. LGPO 도구의 경로. PolicyType가 '로컬'인 경우 필요합니다.
• -updatetemplates- 선택 사항. 응용 그룹 정책 개체에 해당하는 그룹 정책 템플릿 업데이트.

유형 MAN MAN은 PowerShell 프롬프트에서 인 ApplySecureHostBaseline을 유형하여 더 많은 도움과 예제를 보장하거나 리포지토리 문제 추적기에 질문을 제출하십시오.

SHB 정책을 독립형 시스템에 적용합니다

SHB 정책을 독립형 시스템 (예 : 도메인에 결합하지 않음)에 적용하는 경우이 Microsoft 블로그 게시물에서 LGPO 도구를 다운로드하고 실행 파일을 추출하십시오.

 Invoke-ApplySecureHostBaseline -Path '.Windows-Secure-Host-Baseline' -PolicyNames 'Adobe Reader','AppLocker','Certificates','Chrome','Internet Explorer','Office 2013','Office 2016','Windows','Windows Firewall' -ToolPath '.LGPOlgpo.exe'

SHB 정책을 도메인에 적용합니다

SHB 정책을 도메인에 적용하는 경우 그룹 정책 개체는 Active Directory에만로드됩니다. 정책은 OUS에 연결되어 있지 않으므로 설정이 자동으로 영향을 미치지 않습니다.

 Invoke-ApplySecureHostBaseline -Path '.Windows-Secure-Host-Baseline' -PolicyNames 'Adobe Reader','AppLocker','Certificates','Chrome','Internet Explorer','Office 2013','Office 2016','Windows','Windows Firewall'

준수 확인

정책이 적용되고 (도메인 케이스에서 적절한 OU에 연결됨) 정책 준수를 확인하는 방법에 대한 지침은 규정 준수 페이지를 참조하십시오.

특허

라이센스를 참조하십시오.

부인 성명

면책 조항을 참조하십시오.