{"id":458,"date":"2023-04-18T11:31:10","date_gmt":"2023-04-18T09:31:10","guid":{"rendered":"http:\/\/www.tippex.net\/?p=458"},"modified":"2023-04-19T14:26:26","modified_gmt":"2023-04-19T12:26:26","slug":"windows-clients-absichern-via-security-compliance-toolkit-sct","status":"publish","type":"post","link":"https:\/\/www.tippex.net\/?p=458","title":{"rendered":"Windows Clients absichern via Security Compliance Toolkit (SCT)"},"content":{"rendered":"\n

Installiert man Windows, ob 10 oder 11, sind viele Funktionen und Einstellungen aktiv, die dem User zwar die Arbeit erleichtern, aber auch gewissen Risiken in Bezug auf Sicherheit und Integrit\u00e4t des Systems mit sich bringen. Im privaten Umfeld mag dies nicht weiter problematisch sein, jedoch gelten im Unternehmensumfeld andere Pr\u00e4missen. Dort es ist es um so wichtiger, Sch\u00e4dlinge oder sch\u00e4dliches Verhalten fernzuhalten. Der erste Schritt dies zu erreichen ist es, den Einzelplatzsystemen so wenig Rechte wie m\u00f6glich, aber auch so viele Rechte wie n\u00f6tig einzur\u00e4umen. Dabei kommt das Microsoft Compliance Toolkit<\/a> ( SCT ) zum Einsatz.<\/p>\n\n\n\n

Das SCT bringt neben Tools zum Vergleich diverser GPO Einstellungen auch schon fertige GPOs mit. Diese GPOs werden auch als Security Baselines<\/a> Bezeichnet. Sie Stellen die Grundlage f\u00fcr ein sicheres Betriebssystem dar. Diese Baselines gelten als Industriestandard und wurden ausgiebig getestet.<\/p>\n\n\n\n

In diesem Howto zeige ich euch, wie Ihr die Baselines zu euren Windows Clients via GPO bringt.<\/p>\n\n\n\n

Das SCT l\u00e4sst sich von folgender Microsoft Seiter herunterladen -> Link<\/a><\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Der Klick auf den Download Button f\u00fchrt uns zu einer \u00dcbersicht der w\u00e4hlbaren Komponenten.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Nach dem Download entpacken wir alle Archive in ein Verzeichnis.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Wer sich die GPO vorab anschauen m\u00f6chte bzw. diese mit schon vorhanden Einstellungen vergleichen m\u00f6chte, der kann f\u00fcr diese Aufgabe den Policy Analyzer verwenden. F\u00fcr meine Testumgebung lade ich die WIN 10 Baseline in den Policy Analyzer. Diesen finde wir im zugeh\u00f6rigen Verzeichnis.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Nach dem Starten des Policy Analyzers erhalten wir folgende \u00dcbersicht.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Wir w\u00e4hlen „Add“ aus.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Unter „File“ w\u00e4hlen wir „Add files from GPO(s)“. <\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Dort geben wir das Verzeichnis an, in dem sich die Baseline GPOs f\u00fcr z.B. WIN 10 befinden.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

<\/p>\n\n\n\n

Es werden dann alle Einstellungen geladen. Nun markieren wir alle Policies und best\u00e4tigen mit einem Klick auf „Import“.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Nun markieren wir alle Policies und best\u00e4tigen mit einem Klick auf „Import“.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Nach dem Klick auf OK werden wir aufgefordert, die Policy Rules abzuspeichern.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Sollte der Speicherort der Policy Rules noch nicht richtig eingetragen sein, kann man diesen unter „Reset“ \u00e4ndern.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Anschlie\u00dfend markieren wir unsere Baseline und w\u00e4hlen „View\/Compare“<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Hier sind wir in der Lage alle Einstellungen, die in der Baseline enthalten sind, einzusehen. Wir k\u00f6nnen die Baseline auch mit dem Ist-Zustand des ausf\u00fchrenden Systems vergleichen, Dazu lediglich auf die Schaltfl\u00e4che „Compare to effective State“ klicken.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Im darauf folgenden Fenster sind alle Unterschiede in gelb markiert.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Nachdem wir nun jede einzelne Einstellung \u00fcberpr\u00fcft habe ( hihi, nur Spa\u00df ) wird es Zeit, diese in AD zu laden, damit wir diese dann im gro\u00dfen Umfang an die Clients ausrollen k\u00f6nnen.<\/p>\n\n\n\n

Auf dem AD Controller habe ich eine PowerShell mit administrativen Rechten gestartet. Wir m\u00fcssen f\u00fcr den Import der GPOs ein Skript ausf\u00fchren. Dieses Skript ist nicht signiert, daher \u00e4ndern wir die Ausf\u00fchrungsrichtlinie tempor\u00e4r auf „unrestricted“. Damit wir die Richtlinie im Nachgang wieder auf den urspr\u00fcnglichen Wert einstellen k\u00f6nnen, fragen wir ihn mit „Get-ExecutionPolicy“ ab<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

In dem Fall steht die Policy auf „AllSigned“<\/p>\n\n\n\n

Zum Import der GPOs sind die Schritte, wie im folgenden Screenshot zu erkennen, auszuf\u00fchren.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Wie schon weiter oben geschrieben m\u00fcssen wir unsignierte Skripte erlauben(1). Anschlie\u00dfend wechseln wir in das Verzeichnis der jeweiligen Baseline, die das Import-Skript enth\u00e4lt(2).<\/p>\n\n\n\n

Nachdem das Skript ohne Fehler durchgelaufen ist sehen wir das Ergebnis im Gruppenlinieneditor.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Nun k\u00f6nnen wir je nach Bed\u00fcrfnis die Objekte an die gew\u00fcnschte OU verlinken.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

<\/p>\n\n\n\n

Bevor Ihr diese neuen GPOs nun in eure Produktivumgebung einbringt empfehle ich, diese erst in einer Testumgebung auszuprobieren, um zu ermitteln, ob die gemachten Einstellungen in eurer Umgebung auch funktionieren.<\/p>\n\n\n\n

Das soll es nun gewesen. Ihr wisst nun, wie Security Baselines geladen und via GPO verteilt werden.<\/p>\n","protected":false},"excerpt":{"rendered":"

Installiert man Windows, ob 10 oder 11, sind viele Funktionen und Einstellungen aktiv, die dem User zwar die Arbeit erleichtern, aber auch gewissen Risiken in Bezug auf Sicherheit und Integrit\u00e4t des Systems mit sich bringen. Im privaten Umfeld mag dies nicht weiter problematisch sein, jedoch gelten im Unternehmensumfeld andere Pr\u00e4missen. Dort es ist es um […]<\/p>\n","protected":false},"author":1,"featured_media":48,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[17,6,7,5,39],"tags":[42,46,41,29,45,43,12,44],"class_list":["post-458","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security","category-win10","category-win11","category-windows","category-windows-server","tag-compliance","tag-microsoft","tag-sct","tag-security","tag-server","tag-toolkit","tag-win10","tag-win11","wpbf-post"],"_links":{"self":[{"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/posts\/458","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.tippex.net\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=458"}],"version-history":[{"count":20,"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/posts\/458\/revisions"}],"predecessor-version":[{"id":515,"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/posts\/458\/revisions\/515"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/media\/48"}],"wp:attachment":[{"href":"https:\/\/www.tippex.net\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=458"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.tippex.net\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=458"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.tippex.net\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=458"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}