การตั้งค่านโยบายกลุ่มที่สำคัญสำหรับการป้องกันการละเมิดความปลอดภัย

ตัวแก้ไขนโยบายกลุ่มสามารถเป็นเพื่อนที่ดีที่สุดของคุณเมื่อคุณต้องการเปิดหรือปิดใช้งานคุณสมบัติหรือตัวเลือกบางอย่างที่ไม่มีให้ในรูปแบบ GUI ไม่ว่าจะเป็นเพื่อความปลอดภัย การปรับแต่งส่วนบุคคล การปรับแต่ง หรือสิ่งอื่นใด นั่นคือเหตุผลที่เราได้รวมการตั้งค่านโยบายกลุ่มที่สำคัญที่สุดบางส่วนไว้เพื่อป้องกันการละเมิดความปลอดภัยบนคอมพิวเตอร์ Windows 11/10

ก่อนที่จะเริ่มรายการฉบับเต็ม คุณควรรู้ว่าเราจะพูดถึงเรื่องอะไร มีบางด้านที่จำเป็นต้องได้รับการคุ้มครองเมื่อคุณต้องการสร้างคอมพิวเตอร์ที่บ้านที่มีคุณสมบัติครบถ้วนสำหรับคุณหรือสมาชิกในครอบครัว พวกเขาคือ:

• การติดตั้งซอฟต์แวร์
• ข้อ จำกัด ของรหัสผ่าน
• การเข้าถึงเครือข่าย
• บันทึก
• รองรับยูเอสบี
• การดำเนินการสคริปต์บรรทัดคำสั่ง
• คอมพิวเตอร์ปิดและรีสตาร์ท
• ความปลอดภัยของวินโดวส์

จำเป็นต้องเปิดการตั้งค่าบางอย่าง ในขณะที่บางส่วนต้องการสิ่งที่ตรงกันข้าม

การตั้งค่านโยบายกลุ่มที่สำคัญที่สุดสำหรับการป้องกันการละเมิดความปลอดภัย

การตั้งค่านโยบายกลุ่มที่สำคัญที่สุดในการป้องกันการละเมิดความปลอดภัยคือ:

1. ปิดตัวติดตั้ง Windows
2. ห้ามใช้ Restart Manager
3. ติดตั้งด้วยสิทธิ์ระดับสูงเสมอ
4. เรียกใช้เฉพาะแอปพลิเคชัน Windows ที่ระบุเท่านั้น
5. รหัสผ่านต้องเป็นไปตามข้อกำหนดด้านความซับซ้อน
6. เกณฑ์การล็อกบัญชีและระยะเวลา
7. ความปลอดภัยเครือข่าย: อย่าเก็บค่าแฮชของ LAN Manager ในการเปลี่ยนรหัสผ่านครั้งถัดไป
8. การเข้าถึงเครือข่าย: ไม่อนุญาตให้ระบุบัญชี SAM และการแชร์โดยไม่ระบุชื่อ
9. ความปลอดภัยเครือข่าย: จำกัด NTLM: ตรวจสอบการรับรองความถูกต้อง NTLM ในโดเมนนี้
10. บล็อก NTLM
11. เหตุการณ์ของระบบการตรวจสอบ
12. คลาสพื้นที่เก็บข้อมูลแบบถอดได้ทั้งหมด: ปฏิเสธการเข้าถึงทั้งหมด
13. ที่เก็บข้อมูลแบบถอดได้ทั้งหมด: อนุญาตการเข้าถึงโดยตรงในเซสชันระยะไกล
14. เปิดการดำเนินการสคริปต์
15. ป้องกันการเข้าถึงเครื่องมือแก้ไขรีจิสทรี
16. ป้องกันการเข้าถึงพรอมต์คำสั่ง
17. เปิดการสแกนสคริปต์
18. ไฟร์วอลล์ Windows Defender: ไม่อนุญาตให้มีข้อยกเว้น

หากต้องการเรียนรู้เพิ่มเติมเกี่ยวกับการตั้งค่าเหล่านี้ โปรดอ่านต่อ

1. ปิดตัวติดตั้ง Windows

การกำหนดค่าคอมพิวเตอร์ > เทมเพลตการดูแลระบบ > ส่วนประกอบของ Windows > ตัวติดตั้ง Windows

เป็นการตั้งค่าความปลอดภัยที่สำคัญที่สุดที่คุณต้องตรวจสอบเมื่อคุณมอบคอมพิวเตอร์ให้กับลูกของคุณหรือบุคคลที่ไม่ทราบวิธีการตรวจสอบว่าโปรแกรมหรือแหล่งที่มาของโปรแกรมนั้นถูกกฎหมายหรือไม่ มันจะบล็อกการติดตั้งซอฟต์แวร์ทุกประเภทบนคอมพิวเตอร์ของคุณทันที คุณต้องเลือกตัวเลือก เปิดใช้งาน และ เสมอ จากรายการแบบเลื่อนลง

อ่าน:วิธีบล็อกผู้ใช้ไม่ให้ติดตั้งหรือรันโปรแกรมใน Windows

2. ห้ามใช้ Restart Manager

การกำหนดค่าคอมพิวเตอร์ > เทมเพลตการดูแลระบบ > ส่วนประกอบของ Windows > ตัวติดตั้ง Windows

บางโปรแกรมจำเป็นต้องรีสตาร์ทเพื่อเริ่มทำงานบนคอมพิวเตอร์ของคุณอย่างสมบูรณ์หรือดำเนินการติดตั้งให้เสร็จสิ้น หากคุณไม่ต้องการใช้โปรแกรมที่ไม่ได้รับอนุญาตเพื่อใช้งานบนคอมพิวเตอร์ของคุณโดยบุคคลที่สาม คุณสามารถใช้การตั้งค่านี้เพื่อปิดการใช้งาน Restart Manager สำหรับ Windows Installer คุณต้องเลือกตัวเลือก Restart Manager Off จากเมนูแบบเลื่อนลง

3. ติดตั้งด้วยสิทธิ์ระดับสูงเสมอ

การกำหนดค่าคอมพิวเตอร์ > เทมเพลตการดูแลระบบ > ส่วนประกอบของ Windows > ตัวติดตั้ง Windows

การกำหนดค่าผู้ใช้> เทมเพลตการดูแลระบบ> ส่วนประกอบของ Windows> ตัวติดตั้ง Windows

ไฟล์ปฏิบัติการบางไฟล์ต้องได้รับอนุญาตจากผู้ดูแลระบบจึงจะติดตั้งได้ ในขณะที่ไฟล์อื่น ๆ ไม่ต้องการสิ่งนั้น ผู้โจมตีมักใช้โปรแกรมดังกล่าวเพื่อแอบติดตั้งแอปบนคอมพิวเตอร์ของคุณจากระยะไกล นั่นคือเหตุผลที่คุณต้องเปิดการตั้งค่านี้ สิ่งสำคัญประการหนึ่งที่ควรทราบคือคุณต้องเปิดใช้งานการตั้งค่านี้จากการกำหนดค่าคอมพิวเตอร์รวมถึงการใช้การกำหนดค่า

4. เรียกใช้เฉพาะแอปพลิเคชัน Windows ที่ระบุเท่านั้น

การกำหนดค่าผู้ใช้ > เทมเพลตการดูแลระบบ > ระบบ

หากคุณไม่ต้องการเรียกใช้แอปในพื้นหลังโดยไม่ได้รับอนุญาตจากคุณล่วงหน้า การตั้งค่านี้เหมาะสำหรับคุณ คุณอนุญาตให้ผู้ใช้คอมพิวเตอร์เรียกใช้เฉพาะแอปที่กำหนดไว้ล่วงหน้าในคอมพิวเตอร์ของคุณได้ เพื่อดำเนินการดังกล่าว คุณสามารถเปิดใช้งานการตั้งค่านี้แล้วคลิกปุ่ม แสดง เพื่อรับสมัครแอปทั้งหมดที่คุณต้องการเรียกใช้

5. รหัสผ่านต้องเป็นไปตามข้อกำหนดที่ซับซ้อน

การกำหนดค่าคอมพิวเตอร์ > การตั้งค่า Windows > การตั้งค่าความปลอดภัย > นโยบายบัญชี > นโยบายรหัสผ่าน

การมีรหัสผ่านที่รัดกุมเป็นสิ่งแรกที่คุณต้องใช้เพื่อปกป้องคอมพิวเตอร์ของคุณจากการละเมิดความปลอดภัย ตามค่าเริ่มต้น ผู้ใช้ Windows 11/10 สามารถใช้เกือบทุกอย่างเป็นรหัสผ่าน อย่างไรก็ตาม หากคุณได้เปิดใช้งานข้อกำหนดเฉพาะบางประการสำหรับรหัสผ่าน คุณสามารถเปิดการตั้งค่านี้เพื่อบังคับใช้ได้

อ่าน:วิธีปรับแต่งนโยบายรหัสผ่านใน Windows

6. เกณฑ์การล็อคบัญชีและระยะเวลา

การกำหนดค่าคอมพิวเตอร์ > การตั้งค่า Windows > การตั้งค่าความปลอดภัย > นโยบายบัญชี > นโยบายการล็อกบัญชี

มีการตั้งค่าสองรายการชื่อ เกณฑ์การล็อกบัญชี และ ระยะเวลาการล็อกบัญชี ที่ควรเปิดใช้งาน วิธีแรกช่วยให้คุณล็อคคอมพิวเตอร์ของคุณหลังจากการเข้าสู่ระบบล้มเหลวตามจำนวนที่กำหนด การตั้งค่าที่สองช่วยให้คุณกำหนดระยะเวลาการล็อกได้

7. ความปลอดภัยของเครือข่าย: อย่าเก็บค่าแฮชของ LAN Manager ในการเปลี่ยนรหัสผ่านครั้งถัดไป

การกำหนดค่าคอมพิวเตอร์ > การตั้งค่า Windows > การตั้งค่าความปลอดภัย > นโยบายท้องถิ่น > ตัวเลือกความปลอดภัย

เนื่องจาก LAN Manager หรือ LM ค่อนข้างอ่อนแอในแง่ของความปลอดภัย คุณจึงต้องเปิดใช้งานการตั้งค่านี้เพื่อไม่ให้คอมพิวเตอร์ของคุณเก็บค่าแฮชของรหัสผ่านใหม่ โดยทั่วไปแล้ว Windows 11/10 จะจัดเก็บค่าไว้ในเครื่องคอมพิวเตอร์ และนั่นคือเหตุผลว่าทำไมจึงเพิ่มโอกาสของการละเมิดความปลอดภัย ตามค่าเริ่มต้น ระบบจะเปิดอยู่ และจำเป็นต้องเปิดใช้งานตลอดเวลาเพื่อความปลอดภัย

8. การเข้าถึงเครือข่าย: ไม่อนุญาตให้ระบุบัญชี SAM และการแชร์โดยไม่ระบุชื่อ

การกำหนดค่าคอมพิวเตอร์ > การตั้งค่า Windows > การตั้งค่าความปลอดภัย > นโยบายท้องถิ่น > ตัวเลือกความปลอดภัย

ตามค่าเริ่มต้น Windows 11/10 อนุญาตให้ผู้ใช้ที่ไม่รู้จักหรือไม่ระบุชื่อสามารถดำเนินการสิ่งต่าง ๆ ได้ หากคุณไม่ต้องการอนุญาตบนคอมพิวเตอร์ของคุณในฐานะผู้ดูแลระบบ คุณสามารถเปิดการตั้งค่านี้ได้โดยเลือกค่า เปิดใช้งาน สิ่งหนึ่งที่ต้องจำไว้ก็คืออาจส่งผลกระทบต่อไคลเอนต์และแอปบางตัว

9. ความปลอดภัยเครือข่าย: จำกัด NTLM: ตรวจสอบการรับรองความถูกต้อง NTLM ในโดเมนนี้

การกำหนดค่าคอมพิวเตอร์ > การตั้งค่า Windows > การตั้งค่าความปลอดภัย > นโยบายท้องถิ่น > ตัวเลือกความปลอดภัย

การตั้งค่านี้ช่วยให้คุณเปิดใช้งาน ปิดใช้งาน และปรับแต่งการตรวจสอบการตรวจสอบสิทธิ์โดย NTLM เนื่องจาก NTML เป็นสิ่งจำเป็นในการรับรู้และปกป้องความลับของเครือข่ายที่ใช้ร่วมกันและผู้ใช้เครือข่ายระยะไกล คุณจึงต้องแก้ไขการตั้งค่านี้ สำหรับการปิดใช้งาน ให้เลือกตัวเลือก ปิดใช้งาน อย่างไรก็ตาม ตามประสบการณ์ของเรา คุณควรเลือกเปิดใช้งานสำหรับบัญชีโดเมนหากคุณมีคอมพิวเตอร์ที่บ้าน

10] บล็อก NTLM

การกำหนดค่าคอมพิวเตอร์ > เทมเพลตการดูแลระบบ > เครือข่าย > Lanman Workstation

การตั้งค่าความปลอดภัยนี้ช่วยให้คุณบล็อกการโจมตี NTLM บน SMB หรือ Server Message Block ซึ่งเป็นเรื่องปกติในปัจจุบัน แม้ว่าคุณจะสามารถเปิดใช้งานได้โดยใช้ PowerShell แต่ Local Group Policy Editor ก็มีการตั้งค่าเดียวกันเช่นกัน คุณต้องเลือกตัวเลือก เปิดใช้งาน เพื่อให้งานสำเร็จลุล่วง

11] เหตุการณ์ของระบบการตรวจสอบ

การกำหนดค่าคอมพิวเตอร์ > การตั้งค่า Windows > การตั้งค่าความปลอดภัย > นโยบายท้องถิ่น > นโยบายการตรวจสอบ

ตามค่าเริ่มต้น คอมพิวเตอร์ของคุณจะไม่บันทึกเหตุการณ์ต่างๆ เช่น การเปลี่ยนแปลงเวลาของระบบ การปิดเครื่อง/การเริ่มต้นระบบ การสูญหายของไฟล์การตรวจสอบระบบ และความล้มเหลว เป็นต้น หากคุณต้องการจัดเก็บเหตุการณ์ทั้งหมดไว้ในบันทึก คุณต้องเปิดใช้งานการตั้งค่านี้ ช่วยให้คุณวิเคราะห์ว่าโปรแกรมของบุคคลที่สามมีสิ่งเหล่านั้นหรือไม่

12] คลาสการจัดเก็บข้อมูลแบบถอดได้ทั้งหมด: ปฏิเสธการเข้าถึงทั้งหมด

การกำหนดค่าคอมพิวเตอร์ > เทมเพลตการดูแลระบบ > ระบบ > การเข้าถึงที่เก็บข้อมูลแบบถอดได้

การตั้งค่านโยบายกลุ่มนี้ช่วยให้คุณปิดคลาส USB และพอร์ตทั้งหมดในคราวเดียว หากคุณทิ้งคอมพิวเตอร์ส่วนบุคคลไว้ในสำนักงานบ่อยครั้ง คุณต้องตรวจสอบการตั้งค่านี้เพื่อไม่ให้ผู้อื่นใช้อุปกรณ์ USB เพื่อเข้าถึงการอ่านหรือเขียน

13] ที่เก็บข้อมูลแบบถอดได้ทั้งหมด: อนุญาตการเข้าถึงโดยตรงในเซสชันระยะไกล

การกำหนดค่าคอมพิวเตอร์ > เทมเพลตการดูแลระบบ > ระบบ > การเข้าถึงที่เก็บข้อมูลแบบถอดได้

เซสชันระยะไกลเป็นสิ่งที่เสี่ยงที่สุดเมื่อคุณไม่มีความรู้และเชื่อมต่อคอมพิวเตอร์ของคุณกับบุคคลที่ไม่รู้จัก การตั้งค่านี้ช่วยให้คุณปิดใช้การเข้าถึงอุปกรณ์แบบถอดได้โดยตรงทั้งหมดในเซสชันระยะไกลทั้งหมด ในกรณีนั้น คุณจะมีตัวเลือกในการอนุมัติหรือปฏิเสธการเข้าถึงที่ไม่ได้รับอนุญาต เพื่อเป็นข้อมูลของคุณ การตั้งค่านี้จะต้องปิดใช้งาน

14] เปิดการดำเนินการสคริปต์

การกำหนดค่าคอมพิวเตอร์ > เทมเพลตการดูแลระบบ > ส่วนประกอบของ Windows > Windows PowerShell

หากคุณเปิดใช้งานการตั้งค่านี้ คอมพิวเตอร์ของคุณจะสามารถรันสคริปต์ผ่าน Windows PowerShell ได้ ในกรณีนั้น คุณควรเลือกตัวเลือก อนุญาตเฉพาะสคริปต์ที่ลงนามเท่านั้น อย่างไรก็ตาม จะเป็นการดีที่สุดหากคุณไม่อนุญาตให้เรียกใช้สคริปต์หรือเลือกตัวเลือก ปิดใช้งาน

อ่าน:วิธีเปิดหรือปิดการเรียกใช้สคริปต์ PowerShell

15] ป้องกันการเข้าถึงเครื่องมือแก้ไขรีจิสทรี

การกำหนดค่าผู้ใช้ > เทมเพลตการดูแลระบบ > ระบบ

Registry Editor เป็นสิ่งที่สามารถเปลี่ยนการตั้งค่าเกือบทุกอย่างบนคอมพิวเตอร์ของคุณได้ แม้ว่าจะไม่มีร่องรอยของตัวเลือก GUI ในการตั้งค่า Windows หรือแผงควบคุมก็ตาม ผู้โจมตีบางรายมักจะเปลี่ยนไฟล์ Registry เพื่อแพร่กระจายมัลแวร์ นั่นคือเหตุผลที่คุณต้องเปิดใช้งานการตั้งค่านี้เพื่อบล็อกผู้ใช้ไม่ให้เข้าถึง Registry Editor

16] ป้องกันการเข้าถึงพรอมต์คำสั่ง

การกำหนดค่าผู้ใช้ > เทมเพลตการดูแลระบบ > ระบบ

เช่นเดียวกับสคริปต์ Windows PowerShell คุณสามารถเรียกใช้สคริปต์ต่างๆ ผ่าน Command Prompt ได้เช่นกัน นั่นคือเหตุผลที่คุณต้องเปิดการตั้งค่านโยบายกลุ่มนี้ หลังจากเลือกตัวเลือก เปิดใช้งาน แล้ว ให้ขยายเมนูแบบเลื่อนลงและเลือกตัวเลือก ใช่ มันจะปิดการใช้งานการประมวลผลสคริปต์พร้อมรับคำสั่งด้วย

อ่าน:เปิดหรือปิดใช้งานพร้อมท์คำสั่งโดยใช้นโยบายกลุ่มหรือรีจิสทรี

17] เปิดการสแกนสคริปต์

การกำหนดค่าคอมพิวเตอร์ > เทมเพลตการดูแลระบบ > ส่วนประกอบของ Windows > โปรแกรมป้องกันไวรัสของ Microsoft Defender > การป้องกันแบบเรียลไทม์

ตามค่าเริ่มต้น Windows Security จะไม่สแกนสคริปต์ทุกประเภทเพื่อหามัลแวร์ นั่นคือเหตุผลที่แนะนำให้เปิดใช้งานการตั้งค่านี้เพื่อให้ระบบรักษาความปลอดภัยของคุณสามารถสแกนสคริปต์ทั้งหมดที่จัดเก็บไว้ในคอมพิวเตอร์ของคุณได้ เนื่องจากสคริปต์สามารถใช้เพื่อแทรกโค้ดที่เป็นอันตรายลงในคอมพิวเตอร์ของคุณได้ การตั้งค่านี้จึงมีความสำคัญอยู่ตลอดเวลา

18] ไฟร์วอลล์ Windows Defender: ไม่อนุญาตให้มีข้อยกเว้น

การกำหนดค่าคอมพิวเตอร์ > เทมเพลตการดูแลระบบ > เครือข่าย > การเชื่อมต่อเครือข่าย > ไฟร์วอลล์ Windows Defender > โปรไฟล์โดเมน

Computer Configuration > Administrative Templates > Network > Network Connections > Windows Defender Firewall > Standard Profile

ไฟร์วอลล์ Windows Defender มักจะอนุญาตการรับส่งข้อมูลขาเข้าและขาออกต่างๆ ตามความต้องการของผู้ใช้ อย่างไรก็ตาม ไม่แนะนำให้ทำเช่นนั้นเว้นแต่หรือจนกว่าคุณจะรู้จักโปรแกรมเป็นอย่างดี หากคุณไม่แน่ใจ 100% เกี่ยวกับปริมาณข้อมูลขาออกหรือขาเข้า คุณสามารถเปิดการตั้งค่านี้ได้

แจ้งให้เราทราบหากคุณมีคำแนะนำอื่นๆ

อ่าน: นโยบายกลุ่มพื้นหลังเดสก์ท็อปไม่สามารถใช้ใน Windows

แนวทางปฏิบัติที่ดีที่สุด 3 ข้อสำหรับ GPO คืออะไร

แนวทางปฏิบัติที่ดีที่สุดสามประการสำหรับ GPO คือ ประการแรก คุณไม่ควรปรับแต่งการตั้งค่า เว้นแต่หรือจนกว่าคุณจะรู้ว่าคุณกำลังทำอะไรอยู่ ประการที่สอง ห้ามปิดใช้งานหรือเปิดใช้งานการตั้งค่าไฟร์วอลล์ใดๆ เนื่องจากอาจต้อนรับการรับส่งข้อมูลที่ไม่ได้รับอนุญาต ประการที่สาม คุณควรบังคับอัปเดตการเปลี่ยนแปลงด้วยตนเองเสมอหากไม่ได้ใช้เอง

คุณควรกำหนดค่าการตั้งค่า Group Policy ใด

ตราบใดที่คุณมีความรู้และประสบการณ์เพียงพอ คุณสามารถกำหนดการตั้งค่าใดๆ ในตัวแก้ไขนโยบายกลุ่มภายในเครื่องได้ หากไม่มีความรู้เช่นนั้นก็ปล่อยให้เป็นไปตามที่เป็นอยู่ อย่างไรก็ตาม หากคุณต้องการเพิ่มความปลอดภัยให้กับคอมพิวเตอร์ของคุณ คุณสามารถอ่านคำแนะนำนี้ได้ เนื่องจากนี่คือการตั้งค่าความปลอดภัยของ Group Policy ที่สำคัญที่สุดบางส่วน

อ่าน: วิธีรีเซ็ตการตั้งค่า Local Group Policy ทั้งหมดเป็นค่าเริ่มต้นใน Windows