Tiefer Einblick in die Microsoft Security Baselines
Einleitung
In meinen Blog-Posts erwähne ich oft die Microsoft Security Baselines und das Microsoft Security Configuration Framework. Beide sind zentral, wenn es um Endpoint Security unter Windows geht. Dieser Post dreht sich um Security Baselines, ihre Anpassung, Konfiguration und ihren Betrieb.
Security-Konfiguration ist komplex. Frameworks bieten einen strukturierten Ansatz, um Sicherheitseinstellungen über verschiedene Systeme und Technologien hinweg zu bewerten, zu konfigurieren und zu verwalten. Wer ihnen folgt, kann das Sicherheitsniveau insgesamt verbessern, Risiken senken und die eigene Security an Industriestandards und Best Practices ausrichten.
Unser Ziel ist es, die Umgebung vor böswilligen Aktionen zu schützen und sie für Angreifer finanziell unattraktiv zu machen (den ROI, den Return on Investment, ruinieren). Dazu gehört, Schwachstellen zu beseitigen, die bei allgemeinen und breit gestreuten Angriffen ausgenutzt werden könnten, und einen gezielten Angriff so komplex und zeitaufwendig zu machen, dass Angreifer deine Infrastruktur lieber meiden.
Heute wollen wir die Endpoint Security in verschiedenen Kategorien stärken. Die technische Umsetzung geschieht mit Microsoft Intune, für das volle Erlebnis brauchen wir aber weitere Tools.
Microsoft Security Configuration Framework
Das Microsoft Security Configuration Framework enthält kostenlose Ressourcen zur Konfiguration von Hardware, Policies, Controls und Verhalten.
Das Framework beschreibt 5 Stufen der Unternehmenssicherheit. Je höher die Stufe, desto mehr Security-Konfiguration ist nötig und desto sicherer ist das Gerät. Ich werde Stufe 3 (Enterprise High Security) anstreben. Das ist die höchste Stufe für «normale» Arbeitsgeräte.
Es gibt auch andere Security-Frameworks wie CIS, NIST/STIG, BSI, ACSC und weitere.
Microsoft Security Baselines
Microsoft hat kürzlich aktualisierte Security Baselines für Microsoft 365 Apps und Edge veröffentlicht.
Die Microsoft Security Baselines sind Konfigurationen, die aus dem Security Configuration Framework stammen. Die Quellen kannst du im Microsoft Security Compliance Toolkit herunterladen. Es enthält:
- Baseline-Dateien für aktuelle Versionen von Windows, Edge und Microsoft 365 Apps for Enterprise
- GPOs und GP Reports (inklusive .admx-Dateien)
- Excel-Dokumentation (teils auch PDF-Dokumente mit weiteren Informationen)
- Skripte für den Import und die lokale Installation
- PolicyAnalyzer, um Baselines mit dem lokalen Stand zu vergleichen
Aktualisierung
Beachte, dass Microsoft die Security Baselines regelmässig mit neuen Einstellungen aktualisiert. So bleiben die Sicherheitskonfigurationen aktuell und auf dem Stand der neuesten Sicherheitsstandards und Praktiken von Microsoft. Der Rhythmus sieht so aus:
- Windows OS: einmal im Jahr, wenn die neue Hauptversion des Betriebssystems erscheint
- Microsoft 365 Apps: in der Regel zweimal im Jahr
- Edge: mit jeder neuen Hauptversion, in der Regel einmal im Monat
Neue Versionen findest du im Microsoft Tech Community Blog.
Deployment-Methoden
Bevor wir die Security Baselines tatsächlich ausrollen, müssen wir klären, was das bedeutet.
- Ein Institut veröffentlicht Security Framework und Baselines
- Der Admin prüft die Security Baselines und importiert sie ins Management-System
Hardware-Sicherheit lässt sich nicht einfach «ausrollen»: Die Hardware muss die Funktionen und Voraussetzungen ebenfalls bieten. - Das Management-System (Intune oder GPO) verteilt die Einstellungen an die Geräte
- Die Geräte wenden die Einstellungen an
Endpoint Security
Um einen Eindruck davon zu geben, was im Microsoft Security Configuration Framework steckt, stelle ich kurz einige Windows-Sicherheitsfunktionen vor, die darin vorkommen. Kennst du sie schon, kannst du diesen Teil überspringen.
| Feature | Beschreibung |
|---|---|
| Local Admin Password Solution (LAPS) | Lokale Administratorkennwörter verwalten, sichern und rotieren |
| Defender for Endpoint | Extended Detection and Response, Threat and Vulnerability Management, Threat Intelligence |
| Credential Guard | Isolierung durch Virtualization Based Security |
| Microsoft Defender Application Guard (deprecated) | Anwendungen (Edge und Office) in einem virtualisierten Kontext ausführen |
| SmartScreen | Reputationsbasierte Filterung von Websites, Downloads und Apps |
| AppLocker | Policies für die Ausführung von Anwendungen definieren und durchsetzen |
| App Control for Business (formerly Windows Defender Application Control) | Nachfolger von AppLocker mit mehr Funktionen |
| Smart App Control | Potenziell unerwünschte Apps auf Basis von Microsoft Intelligence blockieren |
| Trusted Platform Module (TPM) | Physischer Sicherheitschip auf dem Mainboard zum Schutz von Secrets und Schlüsseln |
| BitLocker drive encryption | Verschlüsselung von Laufwerken |
| UEFI Secure Boot | UEFI-Sicherheit, die die Signatur der Boot-Komponenten prüft |
| Virtualization Based Security (VBS) | Nutzt Hardware-Virtualisierung und den Windows-Hypervisor, um eine isolierte virtuelle Umgebung zu schaffen, die zur Root of Trust des Betriebssystems wird |
| Memory integrity (formerly Hypervisor-Protected Code Integrity (HVCI) and formerly part of Device Guard) | Läuft innerhalb der isolierten virtuellen Umgebung von VBS und schützt Windows, indem es die Code Integrity im Kernel Mode durchsetzt und unbefugte Änderungen verhindert |
| Windows Hello for Business | Passwortlos arbeiten, die Sicherheit erhöhen und die Benutzerfreundlichkeit mit PIN und Biometrie steigern |
| Kernel Direct Memory Access (DMA) I/O protection | Schützt davor, dass externe Peripheriegeräte unbefugt auf den Arbeitsspeicher zugreifen |
| Exploit Protection | Speicherschutz für Kontrollen auf OS-Ebene durchsetzen (enthält weitere Teilfunktionen) |
| Attack Surface Reduction (ASR) | Policies, die Aktionen und Apps verhindern, wie sie typischerweise von Malware auf der Suche nach Exploits genutzt werden |
| Controlled Folder Access | Wertvolle Daten vor schädlichen Apps und Bedrohungen wie Ransomware schützen |
| Modern Standby | Ermöglicht ein Ein- und Ausschalten ohne Wartezeit (Gerätesperre und Ruhezustand) |
Deployment
Das Deployment konzentriert sich auf Intune, auch wenn ich die Parallelen zu Active Directory und GPOs erwähne. Kurz zusammengefasst sieht der Ablauf so aus:
- Lade das Microsoft Security Compliance Toolkit herunter
- Dort findest du die GPOs und die gesamte Dokumentation. Ich empfehle dir sehr, einen Blick in die Dokumentation zu werfen
- Importiere die GPO- oder Einstellungsdateien
- Erstelle das Intune-Profil und weise es zu bzw. verknüpfe die GPO mit der Organizational Unit
Intune
Built-in Security Baselines
Microsoft liefert die Security Baselines als ein Profil pro Produkt direkt in Intune mit. Du findest sie unter «Endpoint Security > Security Baselines». Folgendes ist möglich:
- Profil mit den aktuellen Baseline-Einstellungen erstellen und zuweisen
- Policy exportieren
- Version ändern (auf die neueste aktualisieren): Microsoft sollte diese in Intune regelmässig aktualisieren
- Einstellungen lassen sich nicht aus der Baseline entfernen, nur auf «Not configured» setzen
Endpoint Security Profiles und Settings Catalog
Wenn du die Built-in-Profile nicht verwenden willst, kannst du die Einstellungen auch einzeln konfigurieren. Dafür nutzt du Configuration Profiles (Settings Catalog) und Endpoint Security Profiles. Sie decken ab:
- Antivirus
- Disk encryption
- Firewall
- Endpoint Privilege Management (für Baselines nicht relevant)
- Endpoint detection and response (nur für das MDE-Onboarding)
- Attack surface reduction
- Account protection
Um GPOs in Intune zu importieren, kannst du Group Policy analytics verwenden. Im Prinzip importierst du gpreport.xml-Dateien, die Intune dann daraufhin analysiert, ob die Einstellungen in Intune verfügbar sind:
Wie du siehst, deckt Intune nicht alle Einstellungen ab 😥. Welche Einstellungen genau betroffen sind, siehst du mit einem Klick auf «MDM support».
Jetzt fragst du dich vielleicht, was du mit den Einstellungen machst, die sich nicht über Intune verwalten lassen. Eine einfache Lösung gibt es dafür leider bisher nicht. Du musst diese Einstellungen über Konfigurationen in der Registry abdecken, und wenn das nicht geht, einen anderen Weg finden (das hängt stark vom Anwendungsfall ab).
Weitere Informationen zu den Einstellungen findest du generell hier:
- In der Excel-Dokumentation (mit Infotext, Registry-Pfad und unterstützter OS-Version)
- In den GPO-Einstellungen oder gpresults
- In der Client-Konfiguration auf den Geräten
- In weiteren Tools, mehr dazu im Kapitel Bewertung und Validierung
Empfehlung
Mein persönlicher Rat für das Intune-Deployment: Verwende die Built-in Baselines. Wenn ein Produkt oder einzelne Einstellungen nicht abgedeckt sind, musst du die Einstellungen manuell konfigurieren oder mit Remediations automatisieren.
Das Ziel von Endpoint Security ist, Profile für Sicherheitseinstellungen nach dem Security Framework zu konfigurieren, dem du folgst.
Betrieb
Sind die Baselines und Configuration Profiles importiert, beginnt der Betrieb. Dieses Thema möchte ich besonders hervorheben, weil es oft vergessen wird oder das Bewusstsein dafür zu gering ist. Einige bekannte Prozesse sind:
- Abweichungen und Änderungen: wenn Baseline-Einstellungen aus irgendeinem Grund nicht erfüllt werden können
Wenn eine Sicherheitseinstellung möglicherweise das Betriebssystem (OS), Anwendungen oder das Verhalten eines Endbenutzer-Prozesses beeinflusst, ist ein systematisches Vorgehen wichtig. Beginne damit, die Einstellung zu identifizieren, die für die Auswirkung verantwortlich ist, und validiere dann ihre Wirkung auf einem Testgerät. Dabei beobachtest und verstehst du das normale Verhalten, bevor du die Einstellung änderst. So gewinnst du wertvolle Erkenntnisse darüber, wie sich das Verhalten bei geänderter Einstellung zeigen soll.
Jetzt musst du diese Einstellung breit ändern und von der Baseline abweichen. Damit bist du nicht mehr konform zum Configuration Framework. Das ist nicht direkt ein Problem, aber du solltest immer:
-Eine klare Freigabe der verantwortlichen Stelle im Business für diese Abweichung haben
-Die Änderungen dokumentieren
- Dokumentation: wo du Abweichungen oder weitere Informationen findest
Wenn du das Microsoft Security Compliance Toolkit herunterlädst, erhältst du auch Excel-Tabellen, in denen jede einzelne Einstellung dokumentiert ist. Das umfasst den Namen der Einstellung (Intune oder GPO), Pfad, Kategorie, empfohlenen Wert, Registry-Schlüssel (falls zutreffend) und Infotext.
Hebe die Werte, von denen du abgewichen bist, klar hervor und dokumentiere sie. Das erleichtert auch das Update auf eine neue Version 😉
Bewertung und Validierung
Nachdem du die Settings-Profile angewendet hast, kann als Nächstes eine Bewertung folgen. Sie ist wichtig, um zu prüfen, ob alle Einstellungen erfolgreich auf das System angewendet wurden und das Gerät jetzt zum Framework konform ist. Dafür gibt es mehrere Möglichkeiten:
- Das Policy Analyzer-Tool von Microsoft, das mit dem Microsoft Security Compliance Toolkit kommt
- HardeningKitty von Michael Schneider, ein kostenloses Tool eines Drittanbieters, das Client-Einstellungen mit einer Vorlage vergleicht
- Weitere Tools von Drittanbietern (oft von Security-Herstellern, frag deine Security-Abteilung 😉)
Policy Analyzer
- Starte die Anwendung PolicyAnalyzer
- Füge Policy-Dateien hinzu und wähle die aus dem Security Configuration Framework
-
Jetzt kannst du die Dateien importieren und siehst die Baselines. Anschliessend kannst du sie mit dem effektiven Stand auf deinem Gerät vergleichen (erfordert lokale Adminrechte)
-
Vergleiche die Werte
- Gelb markiert bedeutet, dass die Client-Einstellung von der Baseline abweicht
- Ausgegraut bedeutet, dass die Einstellung nicht validiert werden konnte (kein Registry-Schlüssel gefunden)
HardeningKitty
Verwendete Module
- Bcdedit.exe: Windows Boot Manager/Loader
- Secedit.exe
- Get-Computerinfo: allgemeine Daten zum Computersystem
- Get-BitLockerVolume: BitLocker-Verschlüsselungsstatus
- Get-MPPreference: Konfiguration und Infos von Defender Antivirus
- Get-ProcessMitigation
Was heisst das für Schweizer Firmen?
- Für KMU und IT-Dienstleister mit Intune sind die Built-in Baselines der schlanke Einstieg: Microsoft pflegt die Einstellungen, du brauchst nur Pilotgruppen und eine Abnahme pro Version
- Die Dokumentation der Abweichungen und die Freigabe durch das Business helfen auch beim Nachweis, dass technische Massnahmen gewählt und begründet wurden. Das revDSG (Art. 8) verlangt für die Datensicherheit geeignete technische und organisatorische Massnahmen, die dem Risiko angemessen sind
- Bei mehreren Kunden als IT-Dienstleister lohnt sich eine einheitliche Baseline-Version mit einer klar geführten Liste der Abweichungen pro Kunde
Verwandte Beiträge
