মাইক্রোসফট সিকিউরিটি বেসলাইন ব্যবহার করে উইন্ডোজ হার্ডেনিং

মাইক্রোসফট সিকিউরিটি বেসলাইন উইন্ডোজ ওয়ার্কস্টেশন এবং সার্ভারের জন্য মাইক্রোসফট প্রস্তাবিত সেটিংস সমুহ যা সুরক্ষিত কনফিগারেশন প্রদান করে এবং ডোমেন কন্ট্রোলার, সার্ভার, কম্পিউটার এবং ব্যবহারকারীদের রক্ষা করে। মাইক্রোসফট সিকিউরিটি বেসলাইন GPO-এর উপর ভিত্তি করে রেফারেন্স গ্রুপ পলিসি অবজেক্ট এবং টেমপ্লেট তৈরি করেছে। অ্যাডমিনিস্ট্রেটররা তাদের AD ডোমেনে এগুলো প্রয়োগ করতে পারেন। মাইক্রোসফট সিকিউরিটি বেসলাইন GPO-এর সিকিউরিটি সেটিংস অ্যাডমিনিস্ট্রেটরদের লেটেস্ট গ্লোবাল সিকিউরিটি বেস্ট প্র্যাক্টিস অনুযায়ী উইন্ডোজ ইনফ্রাস্ট্রাকচার রক্ষা করতে সহায়তা করে। এই আর্টিকেলে আমরা দেখব কীভাবে আপনার ডোমেনে মাইক্রোসফট সিকিউরিটি বেসলাইন GPO বাস্তবায়ন করতে হয়।

রেফারেন্স মাইক্রোসফট সিকিউরিটি বেসলাইন গ্রুপ পলিসিগুলো মাইক্রোসফট সিকিউরিটি কম্প্লায়েন্স ম্যানেজার (SCM)-এর অংশ। SCM একটি ফ্রি প্রোডাক্ট যাতে উইন্ডোজ এবং অন্যান্য মাইক্রোসফট প্রোডাক্টের জন্য বেস্ট প্র্যাক্টিস এবং বর্তমান সিকিউরিটি সুপারিশগুলো বিশ্লেষণ, টেস্ট এবং প্রয়োগ করার জন্য একাধিক টুল রয়েছে।

মাইক্রোসফট সিকিউরিটি কম্প্লায়েন্স টুলকিট এই লিংক থেকে পাওয়া যায়: https://www.microsoft.com/en-us/download/details.aspx?id=55319। আজ সিকিউরিটি কম্প্লায়েন্স টুলকিটে নিচের প্রোডাক্টগুলোর বেসলাইন উপলব্ধ:

Windows 10 Version 20H2 এবং Windows Server Version 20H2
Windows 10 Version 2004 এবং Windows Server Version 2004
Windows 10 Version 1909 এবং Windows Server Version 1909
Windows 10 Version 1903 এবং Windows Server Version 1903
Windows 10 Version 1809 এবং Windows Server 2019
Windows 10 Version 1607 এবং Windows Server 2016
Microsoft Edge v88
Office365 ProPlus
Windows Server 2012 R2

আপনি এছাড়া এই টুলগুলোও ডাউনলোড করতে পারেন:

LGPO লোকাল GPO সেটিংস ম্যানেজ করতে ব্যবহৃত হয়;
PolicyAnalyzer বিদ্যমান গ্রুপ পলিসিগুলো বিশ্লেষণ করতে এবং সিকিউরিটি বেসলাইনের রেফারেন্স পলিসিগুলোর সাথে তুলনা করতে ব্যবহৃত হয়;
SetObjectSecurity

প্রতিটি উইন্ডোজ ভার্সনের সিকিউরিটি বেসলাইন আর্কাইভে কিছু ফোল্ডার থাকে:

Documentation – সিকিউরিটি বেসলাইনে প্রয়োগ করা সেটিংসের বিস্তারিত বর্ণনা সহ XLSX এবং PDF ফাইল;
GP Reports – প্রয়োগ করা GPO সেটিংসের HTML রিপোর্ট;
GPOs – বিভিন্ন সিনেরিওর জন্য GPO অবজেক্ট। আপনি গ্রুপ পলিসি ম্যানেজমেন্ট (GPMC) কনসোলে পলিসিগুলো ইম্পোর্ট করতে পারেন;
Scripts – ডোমেন বা লোকাল পলিসিতে GPO সেটিংস সহজে ইম্পোর্ট করার জন্য পাওয়ারশেল স্ক্রিপ্ট: Baseline-ADImport.ps1, Baseline-LocalInstall.ps1, Remove-EPBaselineSettings.ps1, MapGuidsToGpoNames.ps1
Templates – অতিরিক্ত ADMX/ADML GPO টেমপ্লেট (উদাহরণস্বরূপ, AdmPwd.admx LAPS-এর জন্য লোকাল পাসওয়ার্ড ম্যানেজমেন্ট সেটিংস ধারণ করে, MSS-legacy.admx, SecGuide.admx)

অ্যাক্টিভ ডিরেক্টরি ডোমেন পরিবেশে, GPO ব্যবহার করে সিকিউরিটি বেসলাইন বাস্তবায়ন করা সহজ (ওয়ার্কগ্রুপে, আপনি LGPO.exe টুল ব্যবহার করে লোকাল গ্রুপ পলিসির মাধ্যমে প্রস্তাবিত সিকিউরিটি সেটিংস প্রয়োগ করতে পারেন)।

বিভিন্ন উইন্ডোজ ইনফ্রাস্ট্রাকচার এলিমেন্টের জন্য GPO সিকিউরিটি বেসলাইন টেমপ্লেট রয়েছে: কম্পিউটার, ব্যবহারকারী, ডোমেন সার্ভার, ডোমেন কন্ট্রোলার (ভার্চুয়াল DC-এর জন্য আলাদা পলিসি), ইন্টারনেট এক্সপ্লোরার, বিটলকার, ক্রেডেনশিয়াল গার্ড, উইন্ডোজ ডিফেন্ডার অ্যান্টিভাইরাস সেটিংস। বিভিন্ন সিনেরিওর জন্য কনফিগার্ড করা গ্রুপ পলিসিগুলো GPOs ফোল্ডারে থাকে (নিচে উইন্ডোজ সার্ভার ২০১৯ এবং উইন্ডোজ ১০ ১৯০৯-এর জন্য GPO তালিকা দেখানো হয়েছে):

MSFT Internet Explorer 11 — Computer
MSFT Internet Explorer 11 — User
MSFT Windows 10 1909 — BitLocker
MSFT Windows 10 1909 — Computer
MSFT Windows 10 1909 — User
MSFT Windows 10 1909 and Server 1909 — Defender Antivirus
MSFT Windows 10 1909 and Server 1909 — Domain Security
MSFT Windows 10 1909 and Server 1909 Member Server — Credential Guard
MSFT Windows Server 1909 — Domain Controller Virtualization Based Security
MSFT Windows Server 1909 — Domain Controller
MSFT Windows Server 1909 — Member Server

দ্রষ্টব্য: প্রতিটি উইন্ডোজ সার্ভার ভার্সন বা উইন্ডোজ ১০ বিল্ডের জন্য আলাদা সিকিউরিটি বেসলাইন সেট থাকে।

আপনার উইন্ডোজ ভার্সন মিলে যাওয়া সিকিউরিটি বেসলাইন ভার্সনের আর্কাইভ এক্সট্র্যাক্ট করুন এবং গ্রুপ পলিসি ম্যানেজমেন্ট (gpmc.msc) কনসোল খুলুন।

ADMX টেমপ্লেট SYSVOL PolicyDefinitions ফোল্ডারে (GPO সেন্ট্রাল স্টোর) আপনার DC-তে কপি করুন;
Windows 10 2004 Security Baseline নামে একটি নতুন GPO তৈরি করুন;
GPO-র ওপর রাইট-ক্লিক করুন এবং Import Settings সিলেক্ট করুন;
আপনার উইন্ডোজ ভার্সনের সিকিউরিটি বেসলাইন ফাইলের পথ Backup Location হিসেবে দিন (উদাহরণস্বরূপ, C:\Tools\SCM\Windows 10 Version 2004 and Windows Server Version 2004 Security Baseline\Windows-10-Windows Server-v2004-Security-Baseline-FINAL\GPOs);
পলিসি টেমপ্লেটের তালিকা দেখবেন। আমার কেসে, আমি কম্পিউটার সেটিংসের পলিসি ইম্পোর্ট করব। MSFT Windows 10 2004 – Computer সিলেক্ট করুন ( View Settings বাটন দিয়ে gpresult রিপোর্টের রূপে পলিসি সেটিংস দেখতে পারেন);
তারপর আপনাকে রেফারেন্স সিকিউরিটি অবজেক্ট এবং UNC পথ মাইগ্রেট করার পদ্ধতি বেছে নিতে বলা হবে। যেহেতু পলিসিটি নতুন, Copying them identically from the source সিলেক্ট করুন;
তারপর উইন্ডোজ ১০ ২০০৪ চলমান কম্পিউটারদের জন্য রেফারেন্স সিকিউরিটি বেসলাইন পলিসি সেটিংস আপনার GPO-তে ইম্পোর্ট হবে।

গ্রুপ পলিসি অবজেক্টটি শুধু নির্দিষ্ট উইন্ডোজ বিল্ড চলমান কম্পিউটারগুলোর জন্য প্রয়োগ করতে GPO WMI ফিল্টার ব্যবহার করুন। উদাহরণস্বরূপ, উইন্ডোজ ১০ ২০০৪-এর জন্য নিচের WMI ফিল্টার ব্যবহার করা যায়:

Select Version,ProductType from Win32_OperatingSystem WHERE Version LIKE "10.0.19041%" and ProductType = "1"

ফিল্টারটি আপনার পলিসিতে প্রয়োগ করুন এবং পলিসিটিকে আপনার প্রয়োজনীয় Organizational Unit-এ লিংক করুন।

একই পদ্ধতিতে, আপনি ব্যবহারকারী, ডোমেন কন্ট্রোলার, ডোমেন মেম্বার সার্ভার ইত্যাদির জন্য সিকিউরিটি বেসলাইন ইম্পোর্ট করতে পারেন।

ব্যবহারকারীর কম্পিউটারে সিকিউরিটি বেসলাইন প্রয়োগ করার আগে, প্রস্তাবিত সেটিংসগুলো ভালোভাবে চেক করুন এবং প্রথমে টেস্ট ব্যবহারকারী বা কম্পিউটারের OU-তে প্রয়োগ করুন। প্রয়োজনে, সিকিউরিটি বেসলাইন দ্বারা প্রস্তাবিত কিছু সেটিংস অক্ষম করুন। টেস্ট কম্পিউটার/সার্ভারে সিকিউরিটি বেসলাইন সেটিংস সফলভাবে টেস্ট হয়ে গেলে, আপনি আপনার ডোমেনের সকল কম্পিউটার/সার্ভারে এগুলো প্রয়োগ করতে পারেন।

সিকিউরিটি বেসলাইনে দर्जন বা শতাধিক সেটিংস থাকে। একটি আর্টিকেলে সেগুলো আলোচনা করা সম্ভব নয়। আমরা woshub.com-এ অন্যান্য আর্টিকেলে যেসব সিকিউরিটি সেটিংস আলোচনা করেছি সেগুলো বিবেচনা করি:

প্রোগ্রাম স্টার্ট এবং ইনস্টলেশন নিয়ম ম্যানেজ করা: AppLocker (Software Restriction Policies), UAC এবং Windows Installer
ডোমেন পাসওয়ার্ড এবং অ্যাকাউন্ট লকআউট পলিসি
প্রিভিলেজড অ্যাকাউন্ট সীমাবদ্ধতা
অ্যানোনিমাস অ্যাক্সেস সীমাবদ্ধতা
সকল ইভেন্ট এবং ব্যবহারকারী লগ অন ইতিহাস পেতে অডিট পলিসি সেটিংস
LSA মেমরি সুরক্ষা
পেরিফেরাল অ্যাক্সেস (প্রিন্টার এবং USB ইনস্টলেশন পলিসি সহ)
NetBIOS এবং NTLM প্রোটোকল নিষিদ্ধ করা
Remote Assistance, শ্যাডো কানেকশন, RDS টাইমআউট, CredSSP Oracle Remediation সেটিংস
পাওয়ারশেল এক্সিকিউশন পলিসি
Windows Error Reporting কনফিগারেশন
Windows Firewall নিয়ম ম্যানেজমেন্ট
WinRM সেটিংস
বিল্ট-ইন অ্যাডমিনিস্ট্রেটর অ্যাকাউন্ট নিষিদ্ধ করা
Hardened UNC paths পলিসি
SMBv1 নিষিদ্ধ করা

যদি আপনি উইন্ডোজ ১০ চলমান আপনার হোম কম্পিউটার রক্ষা করতে চান, তবে রেডি পাওয়ারশেল স্ক্রিপ্ট ব্যবহার করে সিকিউরিটি বেসলাইন সেটিংস প্রয়োগ করতে পারেন।

অনসাইনড স্ক্রিপ্ট চালানোর অনুমতি দিন:

Set-ExecutionPolicy -Scope Process Unrestricted

পলিসি প্রয়োগ করুন:

Baseline-LocalInstall.ps1 -Win10NonDomainJoined

মাইক্রোসফট সিকিউরিটি বেসলাইন সেটিংস আপনার উইন্ডোজ ইনফ্রাস্ট্রাকচারের সিকিউরিটি বাড়াতে পারে এবং নিশ্চিত করতে সাহায্য করে যে একই সেটিংস আপনার কর্পোরেট নেটওয়ার্কের সকল কম্পিউটারে (নতুনদের সহ) প্রয়োগ করা হয়েছে।