微软发布Win10 2004安全基准

8月7日消息，近日，微软宣布了适用于Win10 2004和Windows Server版本2004的安全配置基准设置的最终版本，今天可以使用Microsoft安全合规性工具包进行下载。

正如6月3日发布的Windows 10 20H1安全基准草案发布时所宣布的那样，Microsoft对Win10 2004建议的安全设置进行了一些更改，其中包括新的帐户密码长度安全策略，新的Defender功能以及增强的LDAP身份验证保护脱颖而出。

访问：

 Msdn Win10专业版官网          Win10 2004正式版(免激活)     

Windows 10安全基准使企业安全管理员可以使用Microsoft推荐的组策略对象(GPO)基准来改善Win10系统在其环境中的总体安全状态并减少其受攻击面。

微软联邦客户成功部(CSU)顾问瑞克·蒙克(Rick Munck)昨天说：“这些基准是为管理良好，注重安全性的组织而设计的，在这些组织中，标准最终用户没有管理权限。”

新帐户密码长度政策

根据Microsoft的说法，新的``放宽最小密码长度限制''和``最小密码长度审核''安全设置将在Win10 (Server)2004中的``帐户策略\密码策略''下提供：

•最小密码长度审核：此安全设置确定发出密码长度审核警告事件的最小密码长度。此设置的配置范围是1到128。

•放宽最小密码长度的旧限制：此设置控制最小密码长度设置是否可以增加到超过旧限制14。

第一项策略将允许管理员要求用户使用14到128个字符之间的密码，直到通过实施多因素身份验证(MFA)策略适当地保护其组织环境为止;第二个策略将使管理员能够发现现有流程之间的兼容性问题。和系统。

Munck说：“此设置不会添加到基线中，因为在广泛实施之前，应审核最小密码长度，”。“但是，我们敦促组织考虑这两种设置。”

由于使用长密码或密码短语与提高安全性没有直接关系，因此还建议管理员还启用Azure AD密码保护功能，该功能会自动拒绝常用或已泄露的密码，从而大大减少密码喷雾攻击所带来的风险。

微软还于今年早些时候向Azure Active Directory发布了称为“安全默认值”的新安全默认设置，这些默认设置是一组Microsoft推荐的基本身份安全机制，其中包括预配置的安全设置，旨在防止常见的攻击，例如密码喷雾，重播和网络钓鱼。

通过启用安全默认值，要求所有管理员和用户注册多因素身份验证(MFA)，使用MFA挑战他们的关键角色和任务，并且如果不支持MFA，则将禁用来自传统身份验证客户端的身份验证。

Defender的新功能和LDAP身份验证保护

在Windows 10 2004中，Microsoft Defender防病毒提供了一个称为“启用文件哈希计算功能”的新设置，旨在允许管理员强制反恶意软件解决方案“为以前未扫描的每个可执行文件计算文件哈希”计算”以“改善对Microsoft Defender高级威胁防护(Microsoft Defender ATP)中的自定义指标的阻止”。

但是，雷德蒙德(Redmond)警告说，在某些情况下(例如，当用户频繁更新或安装应用程序时)，此新功能可能会带来性能损失。

微软说：“如果选择启用此设置，我们建议限制部署，以确保评估对用户计算机的影响。”

Windows Server 2004还添加了“ LDAP身份验证扩展保护”自定义MS安全指南设置(仅适用于AD域控制器)，以帮助使通过SSL / TLS的LDAP身份验证更加安全。

作为ADV190023安全公告Microsoft在2020年3月发布解释的那样，该公司通过Windows更新为管理员添加了组策略和选项，以“加强Active Directory域控制器上LDAP通道绑定的配置”。

新的Win10 2004策略设置

Win10 2004和Windows Server版本2004安全基准的最终版本可从Win10专业版官网下载。，它包括用于将设置应用于本地GPO，GPO备份和报告以及Policy Analyzer规则文件的脚本。

“使用该工具包，管理员可以将其当前GPO与Microsoft推荐的GPO基准或其他基准进行比较，对其进行编辑，将它们存储为GPO备份文件格式，并通过域控制器应用它们，或将它们直接注入测试床主机中以测试其效果。 ”，微软解释说。

下表嵌入了Windows 10和Windows Server 2004版中所有添加的策略设置的完整列表。

此前，微软移除了密码过期策略和具体的BitLocker加密方法和加密强度设置的Windows 10 1903年安全基准，它下跌开拓从加入域的设备30天的帐户密码过期的保护设置，明确执法的Windows 10 1909年的安全基准。

Microsoft的安全性和合规性博客发布了该版本，发布了基准的最终版本中实现的所有更改的列表。