Härda Windows 11 med SecPol och GPO: En komplett guide

När man börjar fördjupa sig i säkerhetshemligheterna för Windows 11 når man oundvikligen samma punkt: användarnas datorer är den svaga länken. Ett nyinstallerat Windows 11-system, utan korrekt säkerhetskonfiguration, är ett enkelt mål för skadlig kod , ransomware och angripare som rör sig i sidled över nätverket.

Den goda nyheten är att Windows 11 har en enorm arsenal av förstärkningsfunktioner , av vilka många kan styras med SecPol (lokal säkerhetspolicy) och gruppolicyobjekt (GPO). Utmaningen ligger i att veta vad man ska ändra, hur man kombinerar det med Microsofts säkerhetsbaslinjer och hur man inte förstör halva verksamheten i processen. Här hittar du en omfattande guide för att stärka Windows 10 och särskilt Windows 11 med SecPol, GPO:er, Defender och officiella verktyg som Security Compliance Toolkit.

Vad är Windows 11-härdning och varför ska du göra det nu?

När vi pratar om att stärka Windows 11 menar vi att minimera systemets attackyta: inaktivera onödiga komponenter, konfigurera säkert endast det som behövs och stärka autentiseringsuppgifter, nätverk, applikationer och startprocesser. Allt detta görs med hjälp av SecPol.msc, Gpedit.msc, GPMC och verktyg som RSAT, Intune eller Configuration Manager.

Windows 10- och 11-arbetsstationer är ett favoritmål för angripare eftersom det är där användare surfar på webben, öppnar e-postmeddelanden, ansluter USB-enheter, installerar programvara och kör makron. Effektiv härdning minskar drastiskt risken för utnyttjande, men det kräver planering, testning och en tydlig policy för vad som är och inte är tillåtet.

Att bara aktivera ditt antivirusprogram räcker inte. En seriös härdningsmetod kombinerar programkontroll, attackytreducering (ASR), skydd av autentiseringsuppgifter, kryptering, brandväggar, loggning, stark autentisering och en sund uppdateringsstrategi. Och, mycket viktigt, allt detta måste hanteras centralt via domänens GPO:er eller MDM-policyer , inte manuellt genom att klicka på varje dator.

Utöver de tekniska aspekterna finns det en tankegång: ett "funktionellt" Windows är inte nödvändigtvis ett "säkert" Windows. Många funktioner som är aktiverade som standard gör livet enklare för användaren men även för angriparen , så härdning handlar om att hitta rätt balans för din miljö.

SecPol, Gpedit och GPMC: vägen till härdning

Det första steget i att stärka Windows 11 innebär att man noggrant förstår dess inbyggda verktyg: SecPol.msc (lokal säkerhetspolicy), Gpedit.msc (grupprincipredigerare) och GPMC (grupppolicyhanteringskonsol) . Dessa verktyg låter dig kontrollera nästan alla aspekter av systemsäkerheten.

På domänanslutna datorer sker praktisk hantering med Group Policy Management Console (GPMC) från en server eller klient med RSAT installerat . För att öppna den, gå helt enkelt till Start, sök efter "Grupprinciphantering" och starta konsolen. Därifrån kan du skapa grupprincipobjekt (GPO:er), länka dem till webbplatser, domäner eller organisationsenheter (OU:er) och styra redigerings- och länkningsbehörigheter.

På lokal nivå är Gpedit.msc och SecPol.msc dina allierade för testning eller för datorer som inte är anslutna till en domän. Du kommer åt dem genom att skriva gpedit.msc eller secpol.msc i sökrutan eller i Kör. Om du stöter på behörighetsfel eller meddelanden om att programmet inte kan öppnas, kontrollera ditt medlemskap i administratörsgruppen och, i vissa fall, reparera mappen C:\Windows\System32\GroupPolicy (till exempel genom att byta namn på Machine till Machine.old och generera om konfigurationen).

Observera att för att använda GPMC måste du ha funktionen för gruppolicyhantering (RSAT) installerad och lämpliga behörigheter för gruppolicyobjekt och organisationsenheter. Som standard kan endast domän- och företagsadministratörer skapa och länka gruppolicyobjekt, även om kontroll kan delegeras till specifika grupper.

Skapa ett grundläggande härdande GPO för Windows 11 med PowerShell

Ett mycket effektivt sätt att distribuera härdning i bulk är att kombinera GPO och PowerShell . Från GroupPolicy-modulen kan du skapa och fylla i policyer utan att använda en mus, vilket gör att du kan versionsskriva, replikera miljöer och automatisera processer.

Installera först RSAT från Inställningar > Appar > Valfria funktioner > Lägg till en funktion och sök efter "RSAT: Verktyg för grupprinciphantering". Importera sedan modulen till en PowerShell-session med administratörsbehörighet.

Ett typiskt arbetsflöde för ett härdande GPO kan vara:

• Skapa ett bas-GPO, till exempel "Härdning-W11", enbart tillägnad säkerhet.
• Tillämpa Ange-GPRegistryValue för att skriva kritiska nycklar: USB-lås, PowerShell-policyer, Office-makron, CMD, AutoRun, Edge, RDP, SMB, etc.
• Länka grupprincipobjektet till den organisationsenhet som innehåller måldatorerna och tvinga fram dess tillämpning med Ny GPLink - Tvingad Ja.

Med den här metoden kan du till exempel inaktivera USB- lagring genom att ändra startvärdet för USBSTOR-tjänsten till 4, kräva att PowerShell endast kör signerade skript (ExecutionPolicy=AllSigned), blockera otillförlitliga makron i Office (VBAWarnings), förhindra användningen av CMD (DisableCMD) eller inaktivera SMBv1 för att bli av med en mängd äldre sårbarheter.

Nyckeln är att varje ändring dokumenteras och testas i en laboratoriemiljö eller pilot-OU innan den distribueras till hela organisationen, eftersom vissa policyer kan störa arbetsflöden eller äldre applikationer.

Microsofts verktygslåda för säkerhetsefterlevnad och säkerhetsbaslinjer

Istället för att uppfinna hjulet på nytt är det mycket mer meningsfullt att utnyttja Microsofts officiella säkerhetsbaslinjer . Allt detta distribueras i Security Compliance Toolkit (SCT) , ett paket som innehåller förkonfigurerade GPO:er, analysverktyg och dokumentation.

SCT inkluderar baslinjer för Windows 11 (21H2, 22H2, 23H2, 24H2), Windows 10, Windows Server 2016/2019/2022/2025, Microsoft 365 -appar och Edge . Den innehåller även verktyg som:

Det inkluderar även verktyg som:

• Policy AnalyzerJämför gruppolicyobjekt med varandra eller mot en dators faktiska konfiguration, upptäcker redundanser, konflikter och avvikelser.
• LGPO.exeTillämpar lokala policyer från Registry.pol-filer, säkerhetsmallar eller GPO-säkerhetskopior, perfekt för datorer som inte är domäner.
• SetObjectSecurity.exejusterar säkerhetsbeskrivningar för filer, registernycklar, tjänster, SMB-delningar etc.
• GPO2-policyregler: konverterar GPO-säkerhetskopior till .PolicyRules-filer som kan analyseras med Policy Analyzer utan att behöva använda det grafiska användargränssnittet.

Baslinjerna följer tydliga principer: de är utformade för välskötta organisationer där standardanvändare inte har administratörsrättigheter , endast konfigurationer som mildrar aktuella hot ändras, och målet är att undvika att fler problem uppstår än de åtgärdar. Till exempel tillämpas inte ett alternativ om risken det mildrar är låg och den operativa påverkan är hög.

Dessa baslinjer är tillgängliga för Windows Pro, Enterprise, Education och Pro Education/SE , och kan tillämpas med både traditionella GPO:er och MDM-policyer (Intune innehåller specifika säkerhetsbaslinjemallar för Windows 10/11).

Autentiseringsskydd och LSASS-härdning

En av de viktigaste komponenterna i Windows är LSASS (Local Security Authority Subsystem Service) , den process som lagrar inloggningsuppgifter i minnet så att användaren inte behöver autentisera sig hela tiden. Om en angripare lyckas dumpa LSASS kan de stjäla lösenordshash, Kerberos-biljetter eller till och med klartextlösenord om WDigest är aktivt.

För att minska denna risk finns det flera rekommenderade åtgärder du kan implementera med SecPol eller GPO:

• Begränsa cachelagring av autentiseringsuppgifterminska antalet cachade inloggningar eller inaktivera dem helt på kritiska arbetsstationer, vilket förhindrar att domänadministratörsuppgifter finns i SAM.
• Inaktivera WDigestDetta förhindrar att lösenfrasen lagras i klartext i LSASS.
• Aktivera Credential GuardI Windows 10/11 Enterprise isolerar den inloggningsuppgifter i en virtualiserad miljö, oåtkomliga för processer med färre behörigheter.
• Aktivera minnesintegritet (HVCI): stärker ytterligare koden som kan laddas i LSASS-kontexten.

Allt detta styrs genom avancerade säkerhetspolicyer och MS Security Guide-policyer , som ingår i Security Compliance Toolkit. Det kräver kompatibel hårdvara (UEFI, lämplig TPM , virtualiseringsstöd), men säkerhetsförbättringen är betydande, särskilt mot Pass-the-Hash- eller Pass-the-Ticket-attacker.

Programkontroll: AppLocker, ASR och körningsbegränsningar

En typisk attackvektor är en användare som kör vad som helst: bilagor, GitHub-binärfiler, skript från vem vet var och portabla applikationer. Programkontroll i Windows 10/11 hanteras med flera komponenter: AppLocker, Defender ASR-regler och skriptkörningspolicyer (särskilt PowerShell).

Med AppLocker kan du definiera vilka körbara filer, MSI-installationsprogram, skript och paketerade program som kan köras, baserat på utgivare, sökväg eller hash. Det konfigureras via Gpedit eller grupprincip i Datorkonfiguration > Windows-inställningar > Säkerhetsinställningar > Programkontrollprinciper > AppLocker . Helst bör du starta i granskningsläge, granska effekterna och sedan växla till programläge.

Slutligen, styr PowerShell med exekveringspolicyer: kräv AllSigned eller, i mycket krävande miljöer, blockera direkt exekveringen av användarskript och tillåt endast företagssignerade skript. Dessutom kan du logga transkript och blockera äldre versioner av PowerShell för att minska kringgående vektorer.

Skydd mot ransomware: Kontrollerad åtkomst till mappar och säkerhetskopior

Ransomware attackerar direkt användarfiler och delade resurser. För att mildra detta inkluderar Windows 10/11 Kontrollerad mappåtkomst i Microsoft Defender Exploit Guard. Den här funktionen förhindrar att obehöriga processer ändrar vissa sökvägar (dokument, skrivbord etc.).

Från Windows-säkerhet kan du aktivera Ransomware-skydd > Kontrollerad mappåtkomst , lägga till skyddade mappar och tillåta betrodda program. På företagsnivå konfigureras det bäst med hjälp av grupprincipobjekt (GPO:er) eller Intune för att säkerställa att alla datorer tillämpar samma princip.

Dessutom kräver bästa praxis en robust 3-2-1-säkerhetskopieringsplan : minst tre kopior, på två olika lagringsmedier, och en extern kopia eller i ett oföränderligt arkiv. Oavsett hur robust din härdning är, om ransomware krypterar data och det inte finns någon verifierad säkerhetskopia, blir incidenten kritisk.

Det rekommenderas att schemalägga täta säkerhetskopior, testa regelbundna återställningar och säkerställa att de inloggningsuppgifter som används för säkerhetskopiering inte exponeras på samma arbetsstationer som kan komprometteras.

Säker start, ELAM och diskkryptering med BitLocker

En annan kritisk säkerhetsnivå ligger i själva systemstartprocessen och diskskyddet. Det är här UEFI, Secure Boot, TPM, ELAM och BitLocker kommer in i bilden.

Med säker start aktiverad i UEFI tillåter den inbyggda programvaran endast signerade och validerade bootloaders att laddas, vilket gör det svårt att installera bootkits som låser sig på operativsystemet innan det laddas. ELAM (Early Launch Anti-Malware) låter dig registrera en drivrutin mot skadlig kod som laddas före drivrutiner från tredje part och klassificerar vilka drivrutiner som kan initieras.

Mätt uppstart , i kombination med TPM, genererar en logg över vilka komponenter som laddas under startprocessen, vilket kan granskas av säkerhetslösningar för att upptäcka manipulering. Detta minskar sannolikheten för att en skadlig ändring i startkedjan förblir oupptäckt.

När det gäller data erbjuder BitLocker fullständig diskkryptering med AES , vilket skyddar information om datorn förloras, blir stulen eller om disken tas bort. Helst bör BitLocker användas med en TPM och, om nödvändigt, en PIN-kod vid start. Grupprincipobjekt (GPO:er) låter dig standardisera krypteringsalgoritmen, framtvinga kryptering på alla enheter, kontrollera lagring av återställningsnycklar och förhindra svaga konfigurationer.

Kontohantering, behörigheter och autentisering

Kontohantering är ytterligare en pelare i arbetet med att stärka systemet. Det första steget är att eliminera dåliga metoder som att använda det inbyggda administratörskontot för allt eller att lämna samma lösenord på alla enheter. Detta konto bör bytas namn, inaktiveras om möjligt och hanteras med en lösning som LAPS , som tilldelar unika lösenord per enhet och roterar dem.

Lika viktigt är att separera användarkonton från administratörskonton. En administratör bör inte surfa på internet eller läsa e-post med ett privilegierat konto. En modell med dubbla konton rekommenderas : ett standardkonto för dagligt bruk och ett annat administrativt konto enbart för övergripande uppgifter, helst med begränsningar för webb- och e-poståtkomst.

För känslig åtkomst (VPN, fjärråtkomst, ändringar i kritisk infrastruktur, åtkomst till konfidentiell data) rekommenderas det starkt att kräva hårdvarubaserad flerfaktorsautentisering : Windows Hello för företag (PIN-kod eller biometri som stöds av TPM), FIDO2-nycklar, smartkort etc. Detta minskar avsevärt effekterna av stöld av autentiseringsuppgifter.

På protokollnivå är det lämpligt att framtvinga användningen av Kerberos och NTLMv2 , inaktivera NTLMv1 och, där det är möjligt, undvika äldre mekanismer. Det är också viktigt att aktivera NoLMHash -policyn för att förhindra lagring av extremt svaga LM-hashar.

Nätverk, brandvägg, äldre tjänster och protokoll

Ett härdat Windows-system styr också vad som kan komma in i och ut ur nätverket och vilka öppna nätverksportar som exponeras. Windows-brandväggen bör vara aktiverad för domän-, privata och offentliga profiler, med explicita regler för inkommande och utgående trafik. Vanligtvis bör endast strikt nödvändig trafik som är kopplad till kända tjänster och applikationer tillåtas.

På nätverkslagret är det lämpligt att:

• Signera och kryptera säkra kanaler mellan arbetsstationer och domänkontrollanter, vilket förhindrar man-in-the-middle-attacker.
• Signera SMB-kommunikation och inaktivera SMBv1.
• deactivate NetBIOS över TCP/IP i moderna gränssnitt, eftersom det bara medför risker i äldre miljöer.
• låsa anonyma anslutningar som tillåter lista över användare, delningar eller policyer.

Vi måste också beakta högriskgränssnitt som FireWire eller Thunderbolt, vilka tillåter direkt DMA-åtkomst till minne . Om möjligt bör dessa inaktiveras i UEFI eller via gruppolicy, eller åtminstone bör kärnans DMA-skydd som finns tillgängligt i Windows 10/11 vara aktiverat.

När det gäller tjänster är regeln tydlig: allt som inte är nödvändigt bör tas bort eller inaktiveras . Granska tjänster som startar automatiskt, installerade roller och Windows-funktioner. Begränsa även RDP-användningen till ett absolut minimum på kritiska servrar och arbetsstationer, skyddat av VPN, MFA och specifika GPO:er som förstärker tjänstsäkerheten.

Lokala säkerhetspolicyer, MSS och borttagning av onödiga funktioner

SecPol.msc grupperar en stor del av lokala säkerhetspolicyer: lösenordspolicyer, kontoutelåsningar, användarrättigheter och säkerhetsalternativ . Samma alternativ hanteras vanligtvis av gruppolicyobjekt (GPO:er) på domän- eller organisationsenhetsnivå (OU-nivå), men det är viktigt att tydligt skilja mellan vad som tillämpas lokalt och vad som kommer från domänen. AccessChk kan användas för att granska behörigheter och kontrollera tilldelningar.

Microsoft definierar också en serie specialinställningar som kallas MSS (Microsoft Security Settings) , som exponeras via ytterligare administrativa mallar i Security Compliance Toolkit. Medan vissa har blivit föråldrade, fortsätter andra att ge ytterligare förstärkning: anslutningstider för utgång, TCP-pakethantering, standardnätverksbeteenden etc.

En viktig del av härdningen är att ta bort eller inaktivera funktioner som inte kommer att användas : valfria Windows-komponenter, lokala fil- och skrivardelningstjänster, CD-bränning om det inte behövs, Telnet, okrypterad FTP, Windows Remote Shell, experimentella eller lite använda funktioner som Copilot i företagsmiljöer där risken ännu inte har bedömts, och även att rensa upp tillhörande föråldrade registerposter.

Ju färre komponenter det finns i systemet, desto mindre attackyta exponeras och desto lättare är det att hålla konfigurationen under kontroll och granskad.

Granskning, centraliserad loggning och blockering av farliga uppräkningar

Du kan inte försvara det du inte kan se. En viktig del av att stärka säkerheten är att definiera en robust revisionspolicy och säkerställa att relevanta händelser lagras på ett tillförlitligt sätt, helst i ett centralt arkiv.

I Windows 10/11 tillåter avancerade granuleringsprinciper granularitet per kategori (inloggning, objektåtkomst, policyändringar, behörighetsanvändning etc.). Det rekommenderas att aktivera granskning för kritiska åtgärder, konfigurera en lämplig loggstorlek och förhindra att loggar skriver över senaste händelser utan att arkivera dem.

Dessutom är det en bra idé att skicka enhetsloggar till en central händelseserver, SIEM eller motsvarande lösning , så att en angripare inte bara kan radera spåret på den komprometterade arbetsstationen. Detta gör det enklare att upptäcka mönster, korrelera händelser och genomföra utredningar efter incidenter.

Parallellt är det nödvändigt att begränsa den information som en standardanvändare kan hämta från systemet: blockera genereringen av RSOP-rapporter av icke-privilegierade användare, dölj säkerhetsegenskaper för filer och mappar från användare i onödan och förhindra att för mycket information exponeras på låsskärmen.

Strömhantering, viloläge och dvala i känsliga miljöer

På vanliga användardatorer hjälper funktionerna för viloläge, viloläge och hybridviloläge till att spara energi, men i mycket känsliga miljöer kan de också exponera data: innehållet i minnet antingen behålls eller dumpas till disk i hiberfil.sys, där krypteringsnycklar eller annan känslig information kan finnas kvar.

Därför är det vanligt att inaktivera dessa energitillstånd via grupprincip i miljöer med hög säkerhet och konfigurera strikta sessionslåsningspolicyer (till exempel låsning efter 15 minuters inaktivitet och aktivering av en lösenordsskyddad skärmsläckare). Detta minskar risken för att någon utnyttjar en upplåst och obevakad dator.

Kombinationen av automatisk låsning , rimliga vilotider och inaktiveringstillstånd som bevarar minnesinnehållet är ett ytterligare lager av fysiskt skydd, särskilt användbart på bärbara datorer eller utrustning i delade utrymmen.

Patchning, x64-versioner och kontinuerliga uppdateringar

All denna konfigurationsansträngning är bortkastad om systemet inte är korrekt uppdaterat. Windows- och programuppdateringar åtgärdar sårbarheter som ofta snabbt utnyttjas i endagsattacker, så det är avgörande att ha en regelbunden uppdateringsstrategi och kontrollera för tidiga automatiska uppdateringar.

I företagsmiljöer innebär detta att man använder WSUS, Configuration Manager eller Windows Update for Business , i kombination med Wake-on-LAN, för att tillämpa uppdateringar utanför normal kontorstid. Det är viktigt att definiera underhållsfönster, prioritera kritiska patchar och ha en tydlig återställningsprocedur om en patch orsakar problem med något väsentligt.

Dessutom är det lämpligt att standardisera på x64-versioner av Windows , vilket inkluderar ytterligare säkerhetsåtgärder (hårdvarubaserad kärn-DEP, PatchGuard, obligatorisk drivrutinssignering etc.) som inte finns i x86-versioner. På samma sätt minskar exponeringen för tekniker som redan har minskats i dessa versioner om man håller sig till nyare versioner av Windows 10/11.

Samma principer gäller för applikationer: Office, webbläsare, Java, .NET, PDF- läsare , e-postklienter… allt som öppnar otillförlitligt innehåll bör alltid ha den senaste versionen som stöds med patchar , helst genom att följa leverantörsspecifika hårdhetsguider (t.ex. säkerhetsbaslinjer för Office eller säkra webbläsarkonfigurationsgränssnitt).

Med allt ovanstående väl orkestrerat – Microsofts baslinjer, intelligent användning av SecPol och GPO, skyddade autentiseringsuppgifter, säker start, kryptering, tunn brandvägg, applikationskontroll, robust loggning och strikt patchningsdisciplin – går Windows 11 från att vara ett enkelt funktionellt system till en verkligt härdad slutpunkt , mycket mer motståndskraftig mot vardagliga attacker och redo att integreras i en lager-på-lager-säkerhetsstrategi inom organisationen.