การเสริมความปลอดภัยให้กับ Windows 11 ด้วยเครื่องมือจากผู้พัฒนาภายนอก

Windows 11 (และ Windows 10) เป็นระบบที่ใช้งานสะดวกมาก แต่มาจากโรงงานในรูปแบบ "เปิด" (open) เพื่อให้เกือบทุกอย่างใช้งานได้ตั้งแต่ครั้งแรก: โปรโตคอลแบบเก่า บริการที่คุณไม่ได้ใช้ ตัวช่วยตั้งค่า ระบบเก็บข้อมูลการใช้งาน PowerShell พร้อมเครื่องมือครบครัน... ความสะดวกสบายแบบเดียวกันนี้เองที่เป็นสิ่งที่ผู้โจมตีและมัลแวร์ใช้ประโยชน์ในการเข้าถึง เคลื่อนที่ไปมาในเครือข่าย และยกระดับสิทธิ์ได้อย่างง่ายดาย หากคุณเพียงแค่ติดตั้งโปรแกรมป้องกันไวรัสและภาวนาให้ทุกอย่างเป็นไปด้วยดี

การเสริมความแข็งแกร่งของหน้าต่างหมายถึงการปิดประตูที่ไม่จำเป็นเหล่านั้นซึ่งรวมถึงการเปิดใช้งานระบบป้องกันเริ่มต้น การควบคุมแอปพลิเคชันที่สามารถทำงานได้ และการตรวจสอบอย่างต่อเนื่องเพื่อให้แน่ใจว่าการกำหนดค่าความปลอดภัยจะไม่เสื่อมลงเมื่อเวลาผ่านไป แม้ว่าหลายงานสามารถทำได้ด้วยตนเอง แต่ในปัจจุบันแทบเป็นไปไม่ได้เลยที่จะดำเนินการโครงการเสริมความแข็งแกร่งด้านความปลอดภัยอย่างจริงจังโดยไม่พึ่งพาเครื่องมือของบุคคลที่สามที่ทำการทดสอบ การปรับใช้ และการตรวจสอบโดยอัตโนมัติ

การรักษาความปลอดภัยใน Windows 10 และ 11 คืออะไร และเหตุใดจึงจำเป็นต้องให้ความสำคัญกับเรื่องนี้?

การเสริมความแข็งแกร่ง หรือการสร้างป้อมปราการ หมายถึงการลดพื้นที่เสี่ยงต่อการถูกโจมตีของระบบ การปรับแต่งการตั้งค่าระบบปฏิบัติการ แอปพลิเคชัน และบริการให้เป็นไปตามมาตรฐานความปลอดภัย (CIS, DISA STIG, แนวทางของ Microsoft เป็นต้น) แนวคิดนั้นง่ายมาก: ทุกฟังก์ชันที่ไม่จำเป็น ทุกบริการที่ทำงานอยู่เบื้องหลัง ทุกสคริปต์ที่เปิดใช้งานโดยไม่มีเหตุผล ล้วนเป็นช่องทางโจมตีอีกช่องทางหนึ่ง

ผู้ผลิตหลายราย รวมถึง Microsoft ให้ความสำคัญกับฟังก์ชันการใช้งานมากกว่าความปลอดภัยพวกเขาต้องการให้ Windows สามารถใช้งานได้กับคอมพิวเตอร์เกือบทุกเครื่องและในทุกสภาพแวดล้อม ดังนั้นพวกเขาจึงเปิดใช้งานคุณสมบัติการใช้งานร่วมกัน โปรโตคอลแบบเก่า และส่วนประกอบต่างๆ ที่ผู้ใช้ส่วนใหญ่ไม่รู้ด้วยซ้ำว่ามีอยู่จริง ทั้งหมดนี้ดีเยี่ยมจนกระทั่งผู้โจมตีใช้ประโยชน์จาก "ส่วนเสริม" เหล่านั้นที่คุณไม่ต้องการเลย

การเสริมความแข็งแรงได้กลายเป็นข้อกำหนดที่ชัดเจนในข้อบังคับและมาตรฐานต่างๆ (มาตรฐาน ISO 27001, ENS, PCI-DSS, CIS, STIG ฯลฯ) นี่ไม่ใช่สิ่งที่ "ควรมี" อีกต่อไปแล้ว องค์กรต่างๆ ต้องกำหนดนโยบายการรักษาความปลอดภัยที่เฉพาะเจาะจงตามประเภทของระบบ บทบาท เวอร์ชัน สภาพแวดล้อม (การผลิต การทดสอบก่อนการผลิต ห้องปฏิบัติการ เวิร์กสเตชันของผู้ใช้ เซิร์ฟเวอร์ ตู้คีออสก์ VDI...) และต้องกำหนดรายละเอียดให้มากที่สุดเท่าที่จะเป็นไปได้

การใช้สารเพิ่มความแข็งโดยไม่มีวิธีการที่เหมาะสม เป็นสูตรสำเร็จที่จะทำให้การผลิตล้มเหลวกระบวนการที่จริงจังมักประกอบด้วยสามขั้นตอนเสมอ ได้แก่ ขั้นแรก การทดสอบ ขั้นที่สอง การดำเนินการอย่างมีระบบ และขั้นสุดท้าย การตรวจสอบอย่างต่อเนื่อง นี่คือจุดที่เครื่องมือจากภายนอกเข้ามามีบทบาท เพราะหากไม่มีเครื่องมือเหล่านี้ ความผิดพลาดของมนุษย์และความประหลาดใจที่เกิดขึ้นระหว่างการผลิตย่อมเกิดขึ้นอย่างแน่นอน

สามขั้นตอนของโครงการเสริมความปลอดภัยใน Windows

1. ขั้นตอนการทดสอบ: ทำความเข้าใจผลกระทบของแต่ละกฎ

หากคุณนำเกณฑ์พื้นฐานที่ "ตายตัว" มาใช้โดยตรงกับระบบการผลิต มักจะทำให้เกิดปัญหาขึ้นคู่มือหลายฉบับแนะนำให้ปิดใช้งานทุกอย่างที่ดูเหมือนจะมีความเสี่ยง แต่ในความเป็นจริง คุณอาจพบแอปพลิเคชันรุ่นเก่า การผสานรวมจากบุคคลที่สาม บริการที่ใช้โปรโตคอลเก่า และผู้ใช้ที่ทำงานกับมาโครหรือส่วนประกอบ ActiveX

วิธีการทดสอบที่ถูกต้องคือการจำลองเครือข่ายจริงในสภาพแวดล้อมห้องปฏิบัติการ นำนโยบายการรักษาความปลอดภัยไปใช้ให้ใกล้ชิดที่สุดเท่าที่จะเป็นไปได้ และสังเกตดูว่าอะไรผิดพลาดบ้าง เช่น แอปพลิเคชันหยุดทำงาน บริการเชื่อมต่อไม่ได้ การพิมพ์ล้มเหลว งานที่กำหนดไว้ไม่ทำงานอีกต่อไป เป็นต้น ขั้นตอนนี้เป็นขั้นตอนที่ใช้เวลานานที่สุด แพงที่สุด และละเอียดอ่อนที่สุดของโครงการทั้งหมด

การเปลี่ยนแปลงการกำหนดค่าแต่ละครั้งควรได้รับการประเมินในแง่ของผลกระทบด้านความปลอดภัยเทียบกับประโยชน์มีกฎบางข้อที่ไม่สามารถโต้แย้งได้ (เช่น การปิดใช้งานโปรโตคอลที่ล้าสมัยหรือแฮช LM) และบางข้อที่คุณต้องยอมรับความเสี่ยงในระดับหนึ่ง เนื่องจากทางเลือกอื่นนั้นไม่สามารถใช้งานได้จริง ผลลัพธ์ของขั้นตอนนี้มักจะเป็นพื้นฐานที่ "ปรับ" ให้เข้ากับสภาพแวดล้อมของคุณ โดยได้มาจากเอกสารอ้างอิง เช่น CIS หรือ STIG แต่ปรับให้เข้ากับความเป็นจริง

2. ขั้นตอนการประยุกต์ใช้และการใช้งานอย่างเป็นระบบ

เมื่อกำหนดนโยบายเสร็จสมบูรณ์แล้ว จะต้องนำไปใช้กับทุกส่วนประกอบของเครือข่ายเวิร์กสเตชัน แล็ปท็อป เซิร์ฟเวอร์แอปพลิเคชัน เซิร์ฟเวอร์ฐานข้อมูล ตัวควบคุมโดเมน เซิร์ฟเวอร์ไฟล์ ฯลฯ การทำเช่นนี้ด้วยตนเองหรือใช้สคริปต์ที่ควบคุมไม่ได้นั้น จะนำไปสู่ความวุ่นวายอย่างแน่นอน

เครื่องมือการจัดการการกำหนดค่าและการเสริมความปลอดภัยช่วยให้สามารถจัดการการปรับใช้ได้อย่างมีประสิทธิภาพ จากการควบคุมจากจุดเดียว ทำให้มั่นใจได้ว่าระบบแต่ละประเภทจะได้รับโปรไฟล์ที่เหมาะสม และกฎต่างๆ จะถูกนำไปใช้ตรงตามที่ทดสอบไว้ นี่คือจุดที่เทคโนโลยีต่างๆ เช่น GPO, System Center Configuration Manager, Ansible, Puppet, Chef หรือโซลูชันการรักษาความปลอดภัยเฉพาะทาง เข้ามามีบทบาท

ข้อได้เปรียบที่สำคัญอีกประการหนึ่งคือ การตรวจสอบย้อนกลับได้ใครเปลี่ยนแปลงอะไร เมื่อไหร่ และบนระบบใดบ้าง? หากไม่มีข้อมูลเหล่านั้น เมื่อการอัปเดตความปลอดภัยหรือการเปลี่ยนแปลงแอปพลิเคชันทำให้เกิดพฤติกรรมที่ผิดปกติ ก็จะเป็นเรื่องยากมากที่จะวินิจฉัยว่าปัญหาเกิดจากการเสริมความปลอดภัย การแก้ไขข้อบกพร่อง หรือการตั้งค่าที่ไม่ถูกต้องในเครื่อง

3. ขั้นตอนการตรวจสอบและบำรุงรักษาอย่างต่อเนื่อง

เครือข่ายองค์กรคือสภาพแวดล้อมที่มีชีวิตชีวามีการติดตั้งแอปพลิเคชันใหม่ ปลดระวางอุปกรณ์ เปลี่ยนบทบาทของเซิร์ฟเวอร์ เพิ่มผู้ใช้ที่มีระดับสิทธิ์แตกต่างกัน ฯลฯ หากคุณไม่ตรวจสอบการปฏิบัติตามมาตรฐานพื้นฐาน ในอีกไม่กี่เดือนข้างหน้า คุณจะกลับไปสู่สถานะที่ไม่ปลอดภัยคล้ายกับสถานะเริ่มต้นอีกครั้ง

การตรวจสอบอย่างต่อเนื่องหมายถึงการตรวจจับความเบี่ยงเบนจากรูปแบบที่คาดไว้ข้อผิดพลาดเหล่านี้อาจเกิดขึ้นโดยไม่ได้ตั้งใจ (เช่น ช่างเทคนิคเปิดใช้งานบางอย่างชั่วคราวแล้วลืม) หรือโดยเจตนา (เช่น มีคนพยายามเปิดประตูที่ถูกปิดล็อกไว้) เครื่องมือบางอย่างยังสามารถแก้ไขข้อผิดพลาดเหล่านี้โดยอัตโนมัติและบันทึกไว้ในบันทึกส่วนกลางได้อีกด้วย

เครื่องสแกนตรวจสอบการปฏิบัติตามกฎระเบียบมีบทบาทสำคัญในเรื่องนี้พวกเขานำระบบแต่ละระบบไปเปรียบเทียบกับข้อมูลอ้างอิง (CIS, STIG, คู่มือของ Microsoft, ฐานข้อมูลภายในองค์กร) และสร้างรายงานเกี่ยวกับสถานะการเสริมความแข็งแกร่งและการพัฒนาเมื่อเวลาผ่านไป ซึ่งเป็นสิ่งสำคัญสำหรับการตรวจสอบและการจัดลำดับความสำคัญของมาตรการปรับปรุง

การเสริมความแข็งแกร่งให้กับเครื่องมืออัตโนมัติ: แนวทางแบบ “ครบวงจร”

เครื่องมือที่ครอบคลุมที่สุดคือเครื่องมือที่ออกแบบมาโดยเฉพาะเพื่อเพิ่มความปลอดภัยให้กับระบบอัตโนมัติเนื่องจากครอบคลุมทั้งสามขั้นตอน ได้แก่ การทดสอบผลกระทบของกฎ การปรับใช้การกำหนดค่า และการตรวจสอบความผิดปกติ ทั้งหมดนี้สามารถทำได้จากคอนโซลส่วนกลาง

จุดแข็งที่สำคัญที่สุดคือการวิเคราะห์ผลกระทบแบบอัตโนมัติแทนที่ทีมระบบของคุณจะต้องทำการทดสอบทีละรายการ โซลูชันเหล่านี้จะเรียนรู้พฤติกรรมของเซิร์ฟเวอร์และจำลองสิ่งที่อาจเกิดขึ้นเมื่อใช้ นโยบายเฉพาะ โดยจะระบุว่าบริการใดบ้างที่จะได้รับผลกระทบ ก่อนที่จะนำไปใช้ในระบบการผลิตจริง

ในบรรดาโซลูชันที่เน้นเซิร์ฟเวอร์นั้น โซลูชันต่อไปนี้โดดเด่น::

• โซลูชันการเสริมความแข็งแกร่งเซิร์ฟเวอร์ของ CalCom (CHS)แพลตฟอร์มนี้ได้รับการออกแบบมาเพื่อเสริมความแข็งแกร่งให้กับเซิร์ฟเวอร์ Windows ลดการหยุดชะงักของบริการให้น้อยที่สุด โดยจะวิเคราะห์ผลกระทบของแต่ละกฎ ช่วยปรับค่าพื้นฐาน และนำการเปลี่ยนแปลงไปใช้ในลักษณะที่มีการควบคุม นอกจากนี้ยังตรวจสอบอย่างต่อเนื่องว่าเซิร์ฟเวอร์ยังคงสอดคล้องกับนโยบายความปลอดภัยที่ได้รับการอนุมัติหรือไม่
• โซลูชันด้านความปลอดภัยของ CalCom สำหรับ IISแนวทางที่คล้ายกัน แต่เน้นที่เว็บเซิร์ฟเวอร์ IIS โดยจะจัดการกับการกำหนดค่าความปลอดภัยของมิดเดิลแวร์ (ส่วนหัว การเข้ารหัส โมดูล สิทธิ์การเข้าถึง ฯลฯ) ซึ่งเป็นประเด็นถกเถียงกันมาโดยตลอด และทำให้กระบวนการวิเคราะห์ผลกระทบ การดำเนินการ และการตรวจสอบการกำหนดค่าความปลอดภัยเป็นไปโดยอัตโนมัติ

เครื่องมือประเภทนี้มักอาศัยมาตรฐานที่เป็นที่ยอมรับ (CIS, STIG) และคู่มือของ Microsoft เป็นหลักอย่างไรก็ตาม กฎเหล่านี้อนุญาตให้คุณปรับแต่งแต่ละกฎได้อย่างละเอียด เพื่อให้เหมาะสมกับบริบทเฉพาะขององค์กร ซึ่งเป็นสิ่งสำคัญอย่างยิ่งเมื่อทำงานกับแอปพลิเคชันขององค์กรที่มีความสำคัญสูง

เครื่องมือจัดการการกำหนดค่า: Ansible, Chef, Puppet, SCCM…

แพลตฟอร์มการจัดการการกำหนดค่า (SCM) ไม่ได้ถูกออกแบบมาเพื่อการรักษาความปลอดภัยโดยเฉพาะ แต่เหมาะอย่างยิ่งสำหรับการนำวิธีการรักษาความปลอดภัยมาใช้ ในระดับใหญ่: ระบบเหล่านี้ช่วยให้คุณกำหนด "วิธีการทำงานของระบบแต่ละประเภท" และผลักดันการกำหนดค่าดังกล่าวไปยังโครงสร้างพื้นฐานทั้งหมดได้อย่างเป็นระบบและทำซ้ำได้

จากมุมมองด้านความปลอดภัย ระบบควบคุมห่วงโซ่อุปทาน (SCM) มีข้อดีหลายประการ:

• ใช้นโยบายการกำหนดค่าที่ซับซ้อนทั้งหมดในคราวเดียว (กฎไฟร์วอลล์ บริการ สิทธิ์การเข้าถึง นโยบายภายในเครื่อง…) ไปยังคอมพิวเตอร์หลายพันเครื่องโดยไม่ต้องแก้ไขอะไรด้วยตนเอง
• เวอร์ชันการกำหนดค่าคุณสามารถตรวจสอบเวอร์ชันของนโยบายที่กำลังใช้งานอยู่ได้ตลอดเวลา และสามารถย้อนกลับไปใช้เวอร์ชันก่อนหน้าได้หากเกิดปัญหาขึ้น
• ตรวจสอบและอนุมัติการเปลี่ยนแปลงไม่มีสิ่งใดถูกนำออกสู่การผลิตโดยไม่ผ่านกระบวนการตรวจสอบ ซึ่งจะช่วยลดความเสี่ยงจาก "ความบ้าบิ่น" ของบุคคล
• การตรวจสอบและบันทึกทุกการเปลี่ยนแปลงจะถูกบันทึกไว้ ซึ่งมีความสำคัญอย่างยิ่งในสภาพแวดล้อมที่มีการควบคุม

ตัวอย่างทั่วไปของเครื่องมือประเภทนี้ ได้แก่:

• เบิ้ลนิยมใช้กันอย่างแพร่หลายในสภาพแวดล้อม Linux แต่ก็สามารถจัดการ Windows ได้เช่นกัน สถานะที่ต้องการของระบบจะถูกกำหนดผ่าน playbook และนำไปใช้ซ้ำได้โดยไม่เปลี่ยนแปลงผลลัพธ์
• พ่อครัว: ออกแบบมาเพื่อรองรับ DevSecOps โดยเฉพาะ ช่วยให้สามารถจัดการทั้งการส่งมอบแอปพลิเคชัน การกำหนดค่าโครงสร้างพื้นฐานที่ปลอดภัย และการตรวจสอบการปฏิบัติตามข้อกำหนดได้
• หุ่นเชิด: อีกหนึ่งแพลตฟอร์มสำหรับการจัดการโครงสร้างพื้นฐานอัตโนมัติ ซึ่งสามารถใช้บังคับใช้นโยบายความปลอดภัยบน Windows และระบบอื่นๆ ได้เช่นกัน
• Microsoft System Center Configuration Manager (SCCM/ConfigMgr): เป็นเครื่องมือคลาสสิกในสภาพแวดล้อม Windows ขององค์กร โดยรวมการแจกจ่ายซอฟต์แวร์ การจัดการแพทช์ การตรวจสอบสินค้าคงคลัง และการควบคุมการกำหนดค่าระบบปฏิบัติการเข้าไว้ด้วยกัน

แม้ว่าโซลูชันเหล่านี้จะไม่ได้มาพร้อมกับ "การเสริมความแข็งแกร่งเป็นมาตรฐาน"ระบบเหล่านี้ช่วยให้คุณสามารถแปลงมาตรฐานพื้นฐาน (CIS, STIG, แม่แบบของ Microsoft) เป็นโค้ดและนำไปใช้งานได้อย่างสม่ำเสมอทั่วทั้งอุทยาน ซึ่งช่วยลดข้อผิดพลาดจากมนุษย์ได้อย่างมาก

เครื่องสแกนตรวจสอบความปลอดภัย: วัดระดับความปลอดภัยของ Windows ของคุณ

เครื่องมือสแกนตรวจสอบการปฏิบัติตามข้อกำหนดไม่ได้ทำการตั้งค่าใดๆ แต่ทำหน้าที่เป็นเหมือนเครื่องวัดอุณหภูมิของมาตรการรักษาความปลอดภัยของคุณพวกเขาประเมินคอมพิวเตอร์หรือเซิร์ฟเวอร์แต่ละเครื่องโดยเทียบกับมาตรฐานอ้างอิง (ตัวอย่างเช่น CIS Benchmark สำหรับ Windows 11, STIG ของ DISA หรือเทมเพลตของตนเอง) และส่งรายงานว่า "มีอะไรขาดหายไป" หรือ "มีอะไรเพิ่มเติมเข้ามา"

หน้าที่หลักของมันคือการติดตามและรวบรวมหลักฐาน สำหรับการตรวจสอบภายในและภายนอก: การตรวจสอบเหล่านี้ช่วยให้คุณสามารถแสดงให้เห็นด้วยข้อมูลที่เป็นกลางถึงระดับการปฏิบัติตามกฎระเบียบหรือมาตรฐานที่กำหนด และยังช่วยในการจัดลำดับความสำคัญของมาตรการแก้ไขอีกด้วย

ตัวอย่างเครื่องมือประเภทนี้ที่พบได้ทั่วไป ได้แก่:

• ตัวจัดการการกำหนดค่า Tripwireระบบนี้ช่วยให้คุณมองเห็นภาพรวมของการกำหนดค่าและสถานะการปฏิบัติตามข้อกำหนดของสินทรัพย์ทั้งหมดได้อย่างครบถ้วน พร้อมความสามารถในการตรวจจับการเปลี่ยนแปลงที่ไม่ได้รับอนุญาต
• Qualy'sเป็นที่รู้จักในด้านการสแกนช่องโหว่ และยังมีโมดูลวิเคราะห์การกำหนดค่าและการปฏิบัติตามข้อกำหนดในหลายเทคโนโลยี รวมถึง Windows ด้วย
• NNT SecureOpsระบบนี้เน้นการควบคุมการเปลี่ยนแปลงอย่างชาญฉลาดและการทำงานอัตโนมัติ การตรวจสอบการกำหนดค่า การตรวจจับความผิดปกติแบบเรียลไทม์ และช่วยรักษาการปฏิบัติตามข้อกำหนดอย่างต่อเนื่อง
• ผู้ประเมิน CIS-CAT Pro: เครื่องมือจากศูนย์ความปลอดภัยทางอินเทอร์เน็ต (Center for Internet Security - CIS) ที่ใช้เปรียบเทียบระบบของคุณกับมาตรฐานของ CIS และสร้างรายงานโดยละเอียดว่าระบบของคุณตรงตามมาตรฐานใดบ้าง และไม่ตรงตามมาตรฐานใดบ้าง

ในระบบที่มีความเสถียรแล้ว การผสมผสานเครื่องมือ SCM/การเสริมความแข็งแกร่งเพื่อบังคับใช้นโยบาย และเครื่องมือสแกนการปฏิบัติตามข้อกำหนดเพื่อตรวจสอบและวัดผลลัพธ์ ถือเป็นเรื่องปกติจึงเป็นการปิดวงจรระหว่างการกำหนด การนำไปใช้ และการควบคุม

เครื่องมือโอเพนซอร์สและยูทิลิตี้ฟรีสำหรับเพิ่มความปลอดภัยให้กับ Windows

นอกเหนือจากโซลูชันเชิงพาณิชย์แล้ว ยังมีระบบนิเวศที่หลากหลายของเครื่องมือโอเพนซอร์สและฟรีที่มุ่งเน้นการเสริมความแข็งแกร่งและการประเมินความปลอดภัยในระบบปฏิบัติการ Windows อีกด้วยโดยทั่วไปแล้วแพลตฟอร์มเหล่านี้อาจดูไม่ "สวยงาม" เท่ากับแพลตฟอร์มแบบเสียเงิน แต่มีประโยชน์อย่างยิ่งสำหรับการวิเคราะห์เฉพาะด้านและในสภาพแวดล้อมที่มีงบประมาณจำกัด

บางส่วนที่น่าสนใจที่สุด ได้แก่:

• โครงการเกลือเฟรมเวิร์กสำหรับการทำงานอัตโนมัติที่ช่วยให้คุณสามารถจัดการโครงสร้างพื้นฐาน ดำเนินการคำสั่งจากระยะไกล และจัดการการกำหนดค่าต่างๆ สามารถใช้เพื่อบังคับใช้พารามิเตอร์ด้านความปลอดภัยใน Windows และดูแลรักษาพารามิเตอร์เหล่านั้นได้ตลอดเวลา
• ชุดเครื่องมือการปฏิบัติตามข้อกำหนดด้านความปลอดภัยของ Microsoft (SCT)แพ็กเกจอย่างเป็นทางการของ Microsoft ที่มาพร้อมกับเกณฑ์มาตรฐานการกำหนดค่าความปลอดภัย สคริปต์ และเครื่องมือสำหรับวิเคราะห์ ทดสอบ และเปรียบเทียบกับสถานะจริงของคอมพิวเตอร์ของคุณ
• ผู้ตรวจสอบการเสริมความแข็งแกร่ง: ชุดสคริปต์ที่มุ่งตรวจสอบความสอดคล้องของระบบ Windows กับแนวทางการรักษาความปลอดภัยเฉพาะด้าน (ตัวอย่างเช่น แนวทางของหน่วยงาน ASD ของออสเตรเลียสำหรับ Windows 10 และ Office)
• โปรแกรมแนะนำช่องโหว่ของ Windows – รุ่นใหม่ (WES-NG): โปรแกรมนี้สร้างรายการช่องโหว่ที่ส่งผลกระทบต่อระบบและช่องทางการโจมตีที่เป็นไปได้ โดยอิงจากผลลัพธ์ของ systeminfo.exe ซึ่งมีประโยชน์มากในการตรวจสอบว่าแพทช์สำคัญใดบ้างที่ขาดหายไป
• สิทธิ์พิเศษ (PowerShell) y การตรวจสอบสิทธิ์ของ Windows: สคริปต์ที่วิเคราะห์ระบบเพื่อหาการตั้งค่าที่ไม่ถูกต้อง ซึ่งอาจนำไปสู่การยกระดับสิทธิ์ (เช่น สิทธิ์ที่ไม่รัดกุม บริการที่ตั้งค่าไม่ถูกต้อง เส้นทางที่มีช่องโหว่ เป็นต้น)

เครื่องมือประเภทนี้มีประโยชน์อย่างยิ่งในขั้นตอนการทดสอบและการตรวจสอบทางเทคนิคช่วยให้ค้นพบจุดอ่อนที่การตรวจสอบ GPO หรือแม่แบบแบบง่ายๆ อาจมองข้ามไป

การเสริมความปลอดภัยเฉพาะด้านบนเวิร์กสเตชัน Windows 10 และ 11: ตั้งแต่ระดับพื้นฐานจนถึงระดับขั้นสูง

นอกเหนือจากเลเยอร์ "กระบวนการ" และเครื่องมือโดยรวมแล้ว ยังมีการตั้งค่าเฉพาะอีกมากมายในระดับเวิร์กสเตชันของผู้ใช้ ซึ่งเป็นปัจจัยสำคัญที่ทำให้เกิดความแตกต่างอย่างมากบางส่วนมาจากทาง Microsoft เอง บางส่วนมาจากแนวทางของรัฐบาล และบางส่วนมาจากประสบการณ์ที่ได้รับจากเหตุการณ์ในโลกแห่งความเป็นจริง

การใช้งานเวอร์ชันที่อัปเดตและแพทช์ต่างๆ

ประเด็นแรก ชัดเจนแต่หลายองค์กรยังไม่ปฏิบัติตาม: ควรใช้เวอร์ชันที่รองรับ x64 เสมอ และอัปเดตแพทช์อย่างสม่ำเสมอระบบปฏิบัติการ Windows 10/11 แบบ 64 บิต มีมาตรการป้องกันต่างๆ เช่น DEP ระดับเคอร์เนล, PatchGuard, การลงนามไดรเวอร์ที่บังคับใช้ และการไม่รองรับไดรเวอร์ 32 บิต ทำให้การโจมตีช่องโหว่บางประเภททำได้ยากขึ้นมาก

การจัดการแพทช์ควรทำจากส่วนกลางไม่ว่าจะใช้ WSUS, ConfigMgr, Windows Update for Business หรือโซลูชันที่คล้ายกัน ร่วมกับ Wake-on-LAN เพื่ออัปเดตแพทช์นอกช่วงเวลาสำคัญให้มากที่สุดเท่าที่จะเป็นไปได้ การโจมตีแบบ "วันเดย์" (การโจมตีทันทีหลังจากปล่อยแพทช์) เพิ่มสูงขึ้นอย่างมาก ดังนั้นการลดช่วงเวลาที่เสี่ยงต่อการถูกโจมตีจึงเป็นสิ่งสำคัญ

การควบคุมบัญชี ข้อมูลประจำตัว และสิทธิ์

การปฏิบัติต่อบัญชีที่มีสิทธิพิเศษเป็นหนึ่งในเสาหลักของการทำให้สถานการณ์แข็งกระด้างขึ้นการนำมาตรการทางเทคนิคทั้งหมดมาใช้ก็ไม่มีประโยชน์อะไร หากผู้ใช้ยังคงทำงานทั้งวันด้วยบัญชีผู้ดูแลระบบในเครื่องหรือโดเมนอยู่ดี

แนวปฏิบัติที่ดีขั้นพื้นฐานในเรื่องนี้:

• ใช้ บัญชีมาตรฐานสำหรับการทำงานประจำวัน และสงวนบัญชีพิเศษไว้สำหรับงานบริหารเฉพาะบางอย่างเท่านั้น
• แยก บัญชีผู้ใช้และผู้ดูแลระบบโดยใช้ข้อมูลประจำตัวที่แตกต่างกัน และหากเป็นไปได้ ควรปิดการเข้าถึงอินเทอร์เน็ต/การส่งข้อความในบัญชีผู้ดูแลระบบ
• รากเทียม LAPS (โซลูชันรหัสผ่านผู้ดูแลระบบภายใน) หรือรุ่นต่อจากนี้ เพื่อให้มั่นใจได้ว่ารหัสผ่านของบัญชีผู้ดูแลระบบในเครื่องนั้นมีความเป็นเอกลักษณ์และแข็งแกร่ง ป้องกันการใช้ "รหัสผ่านเดียว" ที่อนุญาตให้มีการเคลื่อนย้ายข้อมูลในวงกว้างได้
• จำกัดการใช้งาน สิทธิ์การเข้าถึงพิเศษในสถานีที่มีความเสี่ยงสูง (อุปกรณ์ผู้ใช้มาตรฐาน เครื่องคอมพิวเตอร์ที่ใช้ร่วมกัน ฯลฯ)
• กระตุ้น Credential Guard เมื่อฮาร์ดแวร์เอื้ออำนวย สามารถแยกข้อมูลประจำตัวที่ LSASS จัดการไว้ในหน่วยความจำลับได้

นอกจากนี้ ขอแนะนำให้จำกัดแคชข้อมูลประจำตัวอย่างเข้มงวด (ตัวอย่างเช่น สำหรับการเข้าสู่ระบบครั้งก่อนหน้าเพียงครั้งเดียว) และปิดใช้งานเทคโนโลยีที่มีปัญหาในอดีต เช่น WDigest หรือการจัดเก็บแฮช LM ซึ่งเป็นแหล่งข้อมูลสำคัญในการโจมตีแบบ Brute-force แบบออฟไลน์

การตั้งค่าความปลอดภัยของแอปพลิเคชันและ Windows

การบุกรุกหลายครั้งเริ่มต้นจากการใช้ประโยชน์จากแอปพลิเคชันของ "ผู้ใช้" ที่ได้รับการตั้งค่าไม่ถูกต้อง โดยค่าเริ่มต้น: โปรแกรม Office อนุญาตให้ใช้มาโครโดยไม่มีข้อจำกัด โปรแกรมอ่านไฟล์ PDF ยอมรับ JavaScript หรือการเรียกใช้งานแบบฝังตัว โปรแกรม Java ที่มีสิทธิ์การใช้งานกว้างเกินไป เบราว์เซอร์ที่ไม่มีนโยบายปลั๊กอิน เป็นต้น

มาตรการสำคัญบางประการในด้านนี้:

• นำเกณฑ์ความปลอดภัยมาใช้กับ Microsoft Office, โปรแกรมอ่านไฟล์ PDF, Java และเว็บเบราว์เซอร์รวมถึงการปิดใช้งานมาโครที่ไม่ได้ลงชื่อ เนื้อหาแอคทีฟที่ไม่จำเป็น และปลั๊กอินที่ล้าสมัย
• แสดงผล Microsoft Defender Exploit Guard ใน Windows 10/11 (หรือระบบปฏิบัติการที่เทียบเท่าจากผู้ผลิตรายอื่น) เพื่อเปิดใช้งานมาตรการบรรเทาการโจมตีทั่วไป (DEP, CFG, ASLR, SEHOP, การป้องกันฮีป) และมาตรการบรรเทาการโจมตีเฉพาะแอปพลิเคชัน
• เปิดใช้งาน กฎการลดพื้นที่โจมตี (Attack Surface Reduction Rules - ASR) ในโปรแกรมป้องกันไวรัส Defender หรือเทคโนโลยีที่คล้ายคลึงกันในผลิตภัณฑ์ของบริษัทอื่น โดยเฉพาะอย่างยิ่งผลิตภัณฑ์ที่มุ่งเน้นไปที่โปรแกรม Office และสคริปต์
• บังคับให้ดำเนินการ Microsoft Edge พร้อม Application Guard เพื่อแยกการท่องเว็บจากเว็บไซต์ที่ไม่น่าเชื่อถือไว้ในคอนเทนเนอร์ ลดผลกระทบจากการโจมตีทางเว็บ

สำหรับระบบปฏิบัติการ Windows เองนั้น มีชุดการปรับแต่งที่จำเป็นเกือบทั้งหมดอยู่: เสริมความแข็งแกร่งให้กับ UAC เพื่อให้การดำเนินการที่สำคัญทั้งหมดต้องใช้ข้อมูลประจำตัวใน Secure Desktop บังคับใช้การใช้ Secure Desktop สำหรับการป้อนรหัสผ่าน ปิดใช้งานบริการที่ไม่จำเป็น (เช่น บริการจัดการคิวงานพิมพ์บนคอมพิวเตอร์ที่ไม่พิมพ์ บริการระยะไกลที่ไม่ใช้งาน ฯลฯ) และเปิดใช้งานคุณสมบัติต่างๆ เช่น Early Launch AntiMalware (ELAM) การบูตที่ปลอดภัย การบูตแบบวัดผล และการแยกเคอร์เนล เมื่อฮาร์ดแวร์รองรับ

การควบคุมการเรียกใช้โค้ด: AppLocker, SRP และโซลูชันขั้นสูง

การควบคุมแอปพลิเคชันน่าจะเป็นหนึ่งในวิธีการป้องกันที่มีประสิทธิภาพมากที่สุดสำหรับเวิร์กสเตชันของผู้ใช้แนวคิดคือ: เฉพาะสิ่งที่คุณระบุเท่านั้นที่จะถูกเรียกใช้งาน จะไม่มีไฟล์ EXE, สคริปต์ หรือ DLL ที่ไม่ได้มาตรฐานจากไฟล์ดาวน์โหลด, ไดรฟ์ USB หรือเส้นทางที่ไม่สามารถควบคุมได้

ในสภาพแวดล้อมโดเมนของ Windows มีตัวเลือกพื้นฐานหลายอย่างให้เลือกใช้:

• AppLockerโปรแกรมนี้ช่วยให้คุณกำหนดกฎเกณฑ์ตามผู้เผยแพร่ (ลายเซ็น) เส้นทาง หรือแฮช สำหรับไฟล์ปฏิบัติการ สคริปต์ โปรแกรมติดตั้ง และแอปพลิเคชันแบบแพ็กเกจ เมื่อกำหนดค่าอย่างถูกต้องและผสานรวมกับรายการที่อนุญาต (whitelist) ที่สมจริง จะช่วยลดความเสี่ยงในการเรียกใช้โค้ดโดยไม่ได้รับอนุญาตได้อย่างมาก
• นโยบายการจำกัดการใช้งานซอฟต์แวร์ (SRP): แม้จะเก่าแล้ว แต่ก็ยังคงมีประโยชน์ในบางสถานการณ์ โดยอนุญาตให้บล็อกการทำงานนอกเส้นทางที่ "ได้รับอนุญาต" และรายการที่อนุญาตอย่างง่ายได้
• การควบคุมการเข้าถึงโฟลเดอร์ (Defender): เน้นการปกป้องไดเร็กทอรีสำคัญจากการแก้ไขโดยไม่ได้รับอนุญาต โดยเฉพาะอย่างยิ่งการลดผลกระทบจากแรนซัมแวร์

ในช่วงไม่กี่ปีที่ผ่านมา มีเครื่องมือจากบริษัทภายนอกเกิดขึ้นมา ซึ่งช่วยอำนวยความสะดวกให้กับแนวทางนี้มากยิ่งขึ้นโดยเฉพาะอย่างยิ่งสำหรับผู้ใช้งานขั้นสูง และสภาพแวดล้อมการทำงานที่บ้านหรือสำนักงานขนาดเล็ก:

• ฮาร์เดนทูลส์โปรแกรมยูทิลิตี้ขนาดเล็กที่สามารถปิดใช้งานส่วนประกอบของ Windows ที่มีความเสี่ยงสูงต่อการถูกนำไปใช้ในทางที่ผิดได้ทันที (เช่น Windows Script Host, การทำงานร่วมกันของ PowerShell บางอย่าง, มาโคร, ActiveX และ OLE ใน Office, JavaScript ที่ฝังอยู่ในไฟล์ PDF เป็นต้น) เหมาะอย่างยิ่งสำหรับการ "กันไม่ให้ผู้ใช้ทั่วไปเข้าถึง" ฟังก์ชันการทำงานที่ผู้ใช้ทั่วไปไม่จำเป็นต้องใช้
• ตัวกำหนดค่าฮาร์ดเครื่องมือทรงประสิทธิภาพที่ทำหน้าที่เป็นอินเทอร์เฟซสำหรับนโยบาย SRP, SmartScreen และข้อจำกัดของสคริปต์ ช่วยให้คุณสามารถตั้งค่าไวท์ลิสต์ตามเส้นทางหรือแฮช เปิดใช้งานโหมดตรวจสอบความถูกต้องของไบนารีอย่างเข้มงวด ปิดใช้งานการทำงานบนไดรฟ์ภายนอก ปกป้องพื้นที่ระบบเฉพาะ และสร้างจุดคืนค่าโดยอัตโนมัติ
• Harden System Security เทียบกับ AppControl Manager (โปรเจกต์มีให้ใช้งานบน GitHub): โปรเจกต์แรกมี GUI ที่ชัดเจนมากสำหรับการเพิ่มความปลอดภัยให้กับ Windows โดยการปิดใช้งานส่วนประกอบที่ใช้งานน้อย (PowerShell v2, Windows Media Player, การส่งข้อมูลทางไกลที่มากเกินไป ฯลฯ) และปรับแต่งไฟร์วอลล์และบริการต่างๆ โปรเจกต์ที่สองมุ่งเน้นไปที่การกำหนดนโยบายควบคุมแอปพลิเคชันที่เข้าใจง่าย (เช่น การบล็อกทุกอย่างที่พยายามเรียกใช้จากโฟลเดอร์ดาวน์โหลด) โดยสร้างการกำหนดค่าในรูปแบบ XML เพื่อให้ระบบตรวจสอบความสมบูรณ์ของโค้ด Windows สามารถนำไปใช้ได้

เป้าหมายของเครื่องมือเหล่านี้ทั้งหมดเหมือนกัน คือ เพื่อให้ผู้ดูแลระบบสามารถตัดสินใจได้ว่าอะไรสามารถเรียกใช้งานได้ จากที่ใด และด้วยสิทธิ์ใดบ้างแทนที่จะปล่อยให้ไฟล์ที่ดาวน์โหลดมามีอิสระอย่างเต็มที่

ความปลอดภัยของเครือข่าย การเข้ารหัส และการตั้งค่าที่สำคัญอื่นๆ

ส่วนสำคัญของการเสริมความปลอดภัยให้กับ Windows 11 ด้วยเครื่องมือจากผู้พัฒนาภายนอกนั้นเกี่ยวข้องกับวิธีการที่ระบบสื่อสารกับส่วนอื่นๆ ของโลกภายนอก: เครือข่ายภายใน, อินเทอร์เน็ต, อุปกรณ์ภายนอก และบริการคลาวด์

ไฟร์วอลล์, SMB, RPC และโปรโตคอลแบบดั้งเดิม

ไฟร์วอลล์ของ Windows ที่ตั้งค่าอย่างถูกต้องนั้นดีกว่าไฟร์วอลล์ภายนอกหลายๆ ตัวเสียอีกเพราะมันเป็นตัวกำหนดว่าแอปพลิเคชันใดบ้างที่สามารถสื่อสารได้ ไม่ใช่แค่พอร์ตเท่านั้น การเสริมความปลอดภัยจึงเกี่ยวข้องกับการกำหนดกฎขาเข้าและขาออกที่ชัดเจน จำกัดบริการที่เปิดเผย และเปิดใช้งานตัวเลือกต่างๆ เช่น โหมดซ่อนตัว เพื่อลดการมองเห็นของโฮสต์

ในบริการการแชร์ไฟล์และการตรวจสอบสิทธิ์มีประเด็นสำคัญหลายประการ:

• ลงนามและเข้ารหัสอย่างถูกต้อง เซสชัน SMB เพื่อป้องกันการโจรกรรมเซสชันและการเปลี่ยนแปลงรูปแบบการรับส่งข้อมูล
• จำกัดการใช้งาน ใช้ NTLMv2 เฉพาะเมื่อจำเป็นอย่างยิ่งเท่านั้น และให้ความสำคัญกับ Kerberos ทุกครั้งที่เป็นไปได้
• บังคับให้ การตรวจสอบสิทธิ์ไคลเอ็นต์ RPC เพื่อป้องกันการสื่อสารแบบไม่ระบุตัวตนที่เปิดเผยข้อมูลมากเกินไปบนเครือข่าย
• ปิดการใช้งาน NetBIOS ผ่าน TCP/IP ยกเว้นในสถานการณ์ที่มีการควบคุมอย่างเข้มงวดในระบบเดิม

นอกจากนี้ ยังควรป้องกันพื้นผิวที่เปิดโล่งผ่านพอร์ต "รีโมทคอนโทรล" ด้วยจำกัดการใช้งาน Remote Desktop เฉพาะผู้ใช้และคอมพิวเตอร์ที่จำเป็นเท่านั้น เสริมความแข็งแกร่งให้กับคิวการพิมพ์ ปิดใช้งาน Remote Assistance หากไม่ได้ใช้งาน และปกป้อง WinRM ด้วยการตรวจสอบสิทธิ์และการเข้ารหัสที่เหมาะสม

การเข้ารหัสดิสก์ อุปกรณ์ภายนอก และ DMA

การเข้ารหัสฮาร์ดดิสก์แบบเต็มรูปแบบด้วย BitLocker หรือโปรแกรมที่เทียบเท่า ถือเป็นสิ่งจำเป็นอย่างยิ่ง ในแล็ปท็อปและสภาพแวดล้อมที่ฮาร์ดไดรฟ์อาจตกไปอยู่ในมือของบุคคลที่สาม การเข้ารหัสไดรฟ์ด้วย AES และการปกป้องคีย์ด้วย TPM (และอาจใช้ PIN หรือปัจจัยรักษาความปลอดภัยเพิ่มเติม) จะช่วยลดความเสี่ยงในการเข้าถึงข้อมูลในกรณีที่อุปกรณ์ถูกขโมยหรือสูญหายได้อย่างมาก

นอกเหนือจากการเข้ารหัสแล้ว การควบคุมอุปกรณ์ภายนอกก็เป็นอีกประเด็นสำคัญเช่นกัน:

• จำกัดหรือบล็อกการใช้งาน แฟลชไดรฟ์ USB และอุปกรณ์จัดเก็บข้อมูลอื่นๆ ผ่านนโยบายกลุ่มหรือโซลูชันควบคุมอุปกรณ์ โดยอนุญาตเฉพาะอุปกรณ์ที่จำเป็นอย่างยิ่งเท่านั้น
• ปิดใช้งาน การดำเนินการอัตโนมัติและการเล่นอัตโนมัติ ทั้งบนสื่อออปติคัลและ USB เพื่อป้องกันไม่ให้ไฟล์ปฏิบัติการถูกเรียกใช้งานโดยไม่ได้รับการแทรกแซงจากผู้ใช้
• ปิดใช้งานหรือปกป้องอินเทอร์เฟซการเข้าถึง DMA (FireWire, Thunderbolt)เนื่องจากเทคโนโลยีนี้อนุญาตให้มีการอ่าน/เขียนข้อมูลไปยังหน่วยความจำโดยตรงและหลีกเลี่ยงการป้องกันบางอย่างของระบบปฏิบัติการ

นอกจากนี้ เราไม่ควรลืมการบันทึก CD/DVD (ซึ่งยังคงมีอยู่)หากผู้ใช้มีสิทธิ์เข้าถึงอย่างไม่จำกัด อาจทำให้เกิดการรั่วไหลของข้อมูลได้ ในกรณีส่วนใหญ่ การจำกัดสิทธิ์ผ่านนโยบายกลุ่ม หรือการเปลี่ยนเครื่องบันทึกเป็นเครื่องอ่านการ์ดแบบธรรมดา ก็เพียงพอแล้ว

ระบบส่งข้อมูลทางไกล, ระบบนำทางร่วม และการค้นหาข้อมูลบนเว็บ: ลดการรั่วไหลของข้อมูล

Windows 10 และ 11 มีคุณสมบัติหลายอย่างที่แชร์ข้อมูลกับบริการของ Microsoftการตรวจสอบข้อผิดพลาด, การตรวจสอบแอป, การค้นหาเว็บจากเมนูเริ่มต้น, การผสานรวม OneDrive, Copilot กับ Bing Chat เป็นต้น จากมุมมองด้านความปลอดภัยและความเป็นส่วนตัว จึงควรประเมินอย่างรอบคอบว่าควรเปิดใช้งานอะไรบ้าง

แนวปฏิบัติที่ดีที่สมเหตุสมผลในสภาพแวดล้อมขององค์กร:

• เปลี่ยนเส้นทาง ข้อมูลข้อผิดพลาดและการวินิจฉัย โดยจะส่งไปยังเซิร์ฟเวอร์รายงานของบริษัทแทนที่จะส่งไปยัง Microsoft เว้นแต่จะมีการลงนามในข้อตกลงเฉพาะไว้แล้ว
• ปิดการใช้งาน การค้นหาเว็บแบบบูรณาการ ในเมนูเริ่มต้นเพื่อป้องกันไม่ให้ข้อมูลสำคัญถูกส่งไปยังระบบคลาวด์โดยไม่จำเป็น
• ปิดกั้นหรือเลื่อนการใช้งาน นักบิน Windows ในสภาพแวดล้อมขององค์กร จนกว่าจะมีการตัดสินใจอย่างรอบคอบโดยพิจารณาจากความเสี่ยง โดยให้ความสำคัญกับการกำหนดค่าด้วย Bing Chat Enterprise เมื่อได้รับอนุญาต
• หลีกเลี่ยง การเชื่อมโยงบัญชี Microsoft ส่วนบุคคลกับบัญชีโดเมน เพื่อป้องกันไม่ให้การตั้งค่าและไฟล์ขององค์กรถูกซิงโครไนซ์กับอุปกรณ์ที่ไม่สามารถควบคุมได้

การปรับแต่งการเสริมความแข็งแกร่งด้านความปลอดภัย: นโยบายความปลอดภัย การตรวจสอบ และประสบการณ์ผู้ใช้

ส่วนที่ทำให้การเสริมประสิทธิภาพ Windows 11 ด้วยเครื่องมือจากผู้พัฒนาภายนอกสมบูรณ์แบบยิ่งขึ้นก็คือรายละเอียดเล็กๆ น้อยๆ นั่นเอง: นโยบายการบล็อก การตรวจสอบ การจัดการพลังงาน ส่วนติดต่อผู้ใช้...สิ่งเล็กๆ น้อยๆ เหล่านี้ เมื่อปรับแต่งอย่างเหมาะสม จะช่วยลดช่องโหว่และปรับปรุงการตรวจจับเหตุการณ์ได้

ตัวอย่างบางส่วน:

• การกำหนดค่า นโยบายการบล็อกบัญชีที่สมเหตุสมผล (ตัวอย่างเช่น พยายามเข้าสู่ระบบล้มเหลว 5 ครั้ง และลองใหม่อีกครั้งหลังจาก 15 นาที) เพื่อป้องกันการโจมตีแบบ Brute Force โดยไม่ปิดกั้นผู้ใช้งานที่ถูกต้องทุกๆ สองวัน
• ปิดการใช้งาน การเข้าสู่ระบบด้วยบัญชีผู้เยี่ยมชมแบบบูรณาการ และเปลี่ยนชื่อหากข้อกำหนดด้านความเข้ากันได้ทำให้ไม่สามารถลบออกได้อย่างสมบูรณ์
• ปิดใช้งาน โหมดปลอดภัยสำหรับบัญชีที่ไม่ใช่ผู้ดูแลระบบทำให้ผู้ใช้ทั่วไปยากที่จะข้ามขั้นตอนการควบคุมโดยการบูตเข้าสู่ Safe Mode
• ทำให้สามารถ เซสชันจะถูกล็อกโดยอัตโนมัติหลังจากไม่มีการใช้งานเป็นระยะเวลาที่เหมาะสม (10-15 นาที) และจำกัดข้อมูลที่ละเอียดอ่อนที่แสดงบนหน้าจอล็อก
• ป้องกันผู้ใช้มาตรฐาน สามารถเปิด regedit, cmd หรือ PowerShell ได้โดยไม่ได้รับการควบคุมเว้นแต่จะมีเหตุผลอันสมควรอย่างชัดเจน
• บังคับให้ ระดับความซับซ้อนและความยาวขั้นต่ำของรหัสผ่านโดยแยกแยะความแตกต่างระหว่างการใช้เป็นปัจจัยเดี่ยวหรือการใช้ร่วมกับ MFA
• ปิดการใช้งาน การจำศีลและระบบกันสะเทือนแบบไฮบริด บนอุปกรณ์ที่มีความไวสูง การลดการเปิดเผยข้อมูลสำคัญในหน่วยความจำหรือไฟล์จำศีล

ควบคู่ไปกับการออกแบบนโยบายการตรวจสอบที่รอบคอบควรบันทึกเหตุการณ์อะไรบ้าง เก็บไว้นานแค่ไหน ควรจัดเก็บข้อมูลไว้ที่ใด (SIEM, เซิร์ฟเวอร์บันทึก) และจะเชื่อมโยงเหตุการณ์เหล่านั้นเข้าด้วยกันได้อย่างไร ระบบปฏิบัติการ Windows นั้นไร้ประโยชน์หากสร้างบันทึกจำนวนมากโดยไม่มีใครตรวจสอบ หรือหากบันทึกเหล่านั้นไม่สามารถนำไปใช้ในการตรวจสอบทางนิติวิทยาศาสตร์ได้

สุดท้ายแล้ว ประสบการณ์ของผู้ใช้มีความสำคัญมากกว่าที่คิดหากการเพิ่มมาตรการรักษาความปลอดภัยทำให้เวิร์กสเตชันใช้งานยาก ผู้ใช้จะมองหาทางเลือกอื่น (เช่น ไดรฟ์ USB ส่วนตัว พื้นที่จัดเก็บข้อมูลบนคลาวด์ที่ไม่ได้รับอนุญาต อุปกรณ์พกพา ฯลฯ) เครื่องมือจากบริษัทภายนอกที่มีอินเทอร์เฟซที่ดี เช่น Harden System Security หรือ AppControl Manager ในสภาพแวดล้อมขนาดเล็ก หรือโซลูชันระดับองค์กรที่ผสานรวมอย่างดี จะช่วยให้เกิดความสมดุลที่เหมาะสมระหว่างความปลอดภัยและการใช้งานได้

ใช้มาตรการรักษาความปลอดภัยที่เข้มงวดใน Windows 11 โดยใช้เครื่องมือจากผู้พัฒนาภายนอก นี่หมายความว่าเราต้องยอมรับว่าการรักษาความปลอดภัยไม่ใช่การตรวจสอบเพียงครั้งเดียว แต่เป็นกระบวนการต่อเนื่องของการออกแบบนโยบาย การทดสอบผลกระทบ การใช้งานอย่างมีระบบ และการตรวจสอบอย่างสม่ำเสมอ โดยการผสานรวมความสามารถพื้นฐานของ Windows (Defender, BitLocker, AppLocker, Exploit Guard, Application Guard, Sandbox, Credential Guard…) เข้ากับแพลตฟอร์มอัตโนมัติ เครื่องมือสแกนการปฏิบัติตามข้อกำหนด และยูทิลิตี้เฉพาะทาง จะทำให้สามารถเปลี่ยนทั้งเซิร์ฟเวอร์และคอมพิวเตอร์ของผู้ใช้ให้เป็นระบบที่มีความทนทานต่อมัลแวร์ การตั้งค่าที่ไม่ถูกต้อง และการบุกรุกได้มากขึ้น โดยไม่กระทบต่อประสิทธิภาพการทำงานในแต่ละวัน