Endurecimento de Endpoints Windows com o CIS Benchmark

Quando Usar

Use esta habilidade quando:

• Implantar novos endpoints Windows 10/11 ou Server 2019/2022 que exigem endurecimento de segurança
• Estabelecer linhas de base de segurança em toda a organização usando perfis CIS Nível 1 ou Nível 2
• Corrigir descobertas de auditorias de conformidade (PCI DSS, HIPAA, SOC 2) que referenciam benchmarks CIS
• Validar configurações de endpoints existentes em relação às versões atuais do benchmark CIS

Não use esta habilidade para endpoints Linux (use hardening-linux-endpoint-with-cis-benchmark) ou para cargas de trabalho nativas da nuvem que exigem benchmarks CIS para nuvem.

Pré-requisitos

• Endpoints de destino Windows 10/11 Enterprise ou Windows Server 2019/2022
• Console de Gerenciamento de Política de Grupo do Active Directory (GPMC) para implantação corporativa
• CIS-CAT Pro Assessor ou CIS-CAT Lite para avaliação automatizada de benchmark
• Acesso administrativo aos endpoints de destino ou ao controlador de domínio
• PDF do CIS Benchmark atual para a versão do Windows de destino (baixe de cisecurity.org)

Fluxo de Trabalho

Etapa 1: Selecionar o Nível do Perfil do CIS Benchmark

O CIS oferece dois níveis de perfil para endpoints Windows:

Nível 1 (L1) - Ambiente Corporativo/Empresarial:

• Configurações práticas de endurecimento que podem ser aplicadas à maioria das organizações
• Impacto mínimo na funcionalidade e na experiência do usuário
• Abrange: política de senha, política de auditoria, direitos do usuário, opções de segurança, Firewall do Windows

Nível 2 (L2) - Alta Segurança/Dados Sensíveis:

• Inclui todas as configurações L1 mais restrições adicionais
• Pode impactar a usabilidade (desabilitar autorun, restringir área de trabalho remota, log de auditoria aprimorado)
• Adequado para sistemas que lidam com PII, PHI, dados PCI ou informações classificadas

Selecione o perfil com base na classificação de dados e na tolerância ao risco do endpoint.

Etapa 2: Importar Linhas de Base do GPO do CIS

O CIS fornece modelos de GPO pré-construídos (Build Kits) para cada versão do benchmark:

# Download CIS Build Kit from CIS WorkBench (requires CIS SecureSuite membership)
# Extract the GPO backup to a staging directory

# Import the CIS GPO into Active Directory
Import-GPO -BackupGpoName "CIS Microsoft Windows 11 Enterprise v3.0.0 L1" `
  -TargetName "CIS-Win11-L1-Baseline" `
  -Path "C:\CIS-GPO-Backups\Win11-Enterprise" `
  -CreateIfNeeded

# Link GPO to target OU
New-GPLink -Name "CIS-Win11-L1-Baseline" `
  -Target "OU=Workstations,DC=corp,DC=example,DC=com" `
  -LinkEnabled Yes

Etapa 3: Aplicar Categorias Chave do CIS Benchmark

Políticas de Conta (Seção 1):

Password Policy:
  - Minimum password length: 14 characters (1.1.4)
  - Maximum password age: 365 days (1.1.3)
  - Password complexity: Enabled (1.1.5)
  - Store passwords using reversible encryption: Disabled (1.1.6)

Account Lockout Policy:
  - Account lockout threshold: 5 invalid logon attempts (1.2.1)
  - Account lockout duration: 15 minutes (1.2.2)
  - Reset account lockout counter after: 15 minutes (1.2.3)

Políticas Locais - Política de Auditoria (Seção 17):

Audit Policy Configuration:
  - Audit Credential Validation: Success and Failure (17.1.1)
  - Audit Security Group Management: Success (17.2.5)
  - Audit Logon: Success and Failure (17.5.1)
  - Audit Process Creation: Success (17.6.1)
  - Audit Removable Storage: Success and Failure (17.6.4)

Opções de Segurança (Seção 2.3):

  - Interactive logon: Do not display last user name: Enabled (2.3.7.1)
  - Interactive logon: Machine inactivity limit: 900 seconds (2.3.7.3)
  - Network access: Do not allow anonymous enumeration of SAM accounts: Enabled (2.3.10.2)
  - Network security: LAN Manager authentication level: Send NTLMv2 response only (2.3.11.7)
  - UAC: Run all administrators in Admin Approval Mode: Enabled (2.3.17.6)

Firewall do Windows (Seção 9):

  - Domain Profile: Firewall state: On (9.1.1)
  - Domain Profile: Inbound connections: Block (9.1.2)
  - Private Profile: Firewall state: On (9.2.1)
  - Public Profile: Firewall state: On (9.3.1)
  - Public Profile: Inbound connections: Block (9.3.2)

Etapa 4: Validar com Avaliação CIS-CAT

# Run CIS-CAT Pro Assessor against target endpoint
# CIS-CAT produces an HTML/XML report with pass/fail per recommendation

.\Assessor-CLI.bat `
  -b "benchmarks\CIS_Microsoft_Windows_11_Enterprise_Benchmark_v3.0.0-xccdf.xml" `
  -p "Level 1 (L1) - Corporate/Enterprise Environment" `
  -rd "C:\CIS-Reports" `
  -nts

# Review report for failed controls
# Score target: 95%+ for L1, 90%+ for L2 (due to operational exceptions)

…