Mehr Sicherheit für Windows Server 2025 und Windows 11 Neue Gruppenrichtlinien und Security Baselines für Windows 11 24H2

Anbieter zum Thema

ALE Deutschland GmbH

Mit Windows 11 24H2 und Windows Server 2025 stellt Microsoft neue Gruppenrichtlinienvorlagen und neue Vorlagen für Security Baselines zur Verfügung. Dieser Beitrag gibt einen Überblick dazu.

Microsoft stellt auch für Windows 11 24H2 neue Gruppenrichtlinienvorlagen zur Verfügung. Diese ermöglichen auch Einstellungen für Windows Server 2025, lassen sich aber auch in Netzwerken mit Windows Server 2019/2022 einbinden. Die Vorlagen stehen als ADMX- und ADML-Dateien zur Verfügung, die auf die Domänencontroller oder den gemeinsamen Speicher für Gruppenrichtlinienvorlagen kopiert werden müssen. Neu in Windows Server 2025 sind auch die delegierten verwalteten Dienstkonten (dMSA). Diese lassen sich per Gruppenrichtlinie in den neuen 24H2-Vorlagen über die Einstellung "Anmeldungen für delegierte verwaltete Dienstkonten aktivieren" bei "Computerkonfiguration -> Administrative Vorlagen -> System -> Kerberos" steuern. Es gibt aber noch zahlreiche weitere Einstellungen in diesem Bereich.

Security Compliance Toolkit mit Vorlagen für Windows Server 2025 und Windows 11 24H2

Neben neuen Gruppenrichtlinienvorlagen für Windows 11 24H2 und Windows Server 2025, stellt Microsoft auch neue Vorlagen für das Security Compliance Toolkit zur Verfügung. Wir haben uns mit dem SCT bereits in eigenen Beiträgen für Windows Server 2022 und für Windows 11 23H2 beschäftigt. Innerhalb des SCT hat Microsoft nicht nur Vorlagen für Windows Server 2025 integriert, sondern mit "Windows 11 v24H2 Security Baseline.zip" auch eine Vorlage, mit der die neuen Funktionen von Windows 11 24H2 ebenfalls über Gruppenrichtlinien aktiviert und in Active Directory gesichert werden können.

Bildergalerie

Bildergalerie mit 5 Bildern

Grundsätzlich sollen Admins für Windows 11 24H2 und für Windows Server 2025 die Virtual Based Security (VBS) aktivieren. Um Hotpatching mit Windows Server 2025 zu nutzen, ist das sogar eine grundlegende Notwendigkeit. Die Einstellungen dazu sind bei "Computerkonfiguration -> Richtlinien -> Administrative Vorlagen -> System -> Device Guard" zu finden.

Windows Protected Print-Modus aktivieren

Windows Protected Print (WPP) ist eine neue Funktion, die Microsoft in Zukunft zentral für Windows vorgeben will. Dabei handelt es sich um ein neues Protokoll, das keine Treiber von externen Anbietern mehr braucht, sondern Treiber von Microsoft nutzt. WPP soll eine einheitliche Drucklösung darstellen. Bis 2027 soll WPP der Standard in Windows-Umgebungen darstellen. Über den Pfad "Administrative Vorlagen -> Drucker" steht dazu "Konfigurieren des geschützten Windows-Drucks" zur Verfügung. Damit lässt sich die neue Funktion bereits jetzt aktivieren, wenn die eingesetzten Drucker das unterstützen. Weitere Informationen zum Modus sind in der Microsoft-Dokumentation zu finden.

SMB absichern und NTLM vermeiden

Mit Windows 11 24H2 und Windows Server 2025 will Microsoft SMB noch sicherer betreiben. Dazu lassen sich auf dem Server und auf dem Client SMB-Verschlüsselung oder zumindest Signierung nutzen. Die Einstellungen dazu sind bei "Administrative Vorlagen -> Netzwerk -> LanMan-Server" und "LanMan-Arbeitsstation" zu finden. Einstellungen dazu befinden sich in den Gruppenrichtlinien von Windows 11 24H2 unter "Enable remote mailslots", "SMB over QUIC wurde aktiviert", "Alternative Ports aktivieren" und "Alternative Portzuordnungen".

Die Richtlinien "Maximale Version von SMB vorgeben" und "Mindestversion von SMB vorgeben" erzwingen spezifische SMB-Protokollversionen sowohl auf Servern mit Windows Server 2025 als auch auf Clients mit Windows 11. Die Richtlinie "Verschlüsselung erforderlich" stellt sicher, dass SMB-Verbindungen ausschließlich verschlüsselt ablaufen. Für die Sicherheitskonfiguration stehen die Optionen "NTLM blockieren (LM NTLM NTLMv2)" und "NTLM-Server­ausnahme­liste blockieren" zur Verfügung, um das veraltete Authentifizierungsverfahren NTLM im Netzwerk zu blockieren.

Windows-Updates werden in Windows 24H2 und Windows Server 2025 verbessert

Wir haben uns bereits in anderen Beiträgen mit den Thema Updates in Windows 11 24H2 und Windows Server 2025 beschäftigt, auch mit dem Thema Hotpatching in Windows 11 und Windows Server 2025 sowie der richtigen Konfiguration dieser Funktion.

Für Updates in Windows 11 und Windows Server 2025 hat Microsoft bei "Computereinstellungen -> Administrative Vorlagen -> Windows-Komponenten-> Windows Update" neue Einstellungen integriert: "Specify deadline for automatic updates and restarts for feature update" und "Specify deadline for automatic updates and restarts for quality update" sind zwei neue Richtlinien, die auf Basis einer vorhandenen Einstellung entwickelt wurden. Seit Windows 10 1903 steht die Richtlinie "Stichtage für automatische Updates und Neustarts angeben" zur Verfügung, mit der festgelegt wird, ab wann Updates automatisch installiert werden und Systeme neu starten.

Sudo deaktivieren und steuern

Mit Windows 11 24H2 integriert Microsoft auch endgültig den Linux-Befehl "sudo" in Windows. Dieser funktioniert allerdings nicht auf die gleiche Weise, sodass viele Admins den Befehl den Anwendern nicht zur Verfügung stellen wollen. Aktivieren können Anwender selbst bei "System -> Für Entwickler" bei "Sudo aktivieren" in den Windows-Einstellungen. . Über die Einstellung "Konfigurieren des Verhaltens des Sudo-Befehls" bei "Computerkonfiguration -> Administrative Vorlagen -> System" lässt sich Sudo deaktivieren, oder auch zentral für einzelne Rechner aktivieren, zum Beispiel auf Arbeitsstationen von Admins.

Microsoft Defender steuern

Immer mehr Unternehmen nutzen Microsoft Defender als internen Virenscanner. Zentral steuern und überwachen lässt sich der Malware-Schutz zum Beispiel über Microsoft Intune. Parallel dazu lassen sich aber auch Richtlinieneinstellungen über GPOs vorgeben. Die Einstellungen dazu sind bei "Administrative Vorlagen -> Windows-Komponenten -> Microsoft Defender Antivirus" zu finden. Neu dabei in Windows 24H2 sind an dieser Stelle zum Beispiel:

• Steuern, ob Ausschlüsse für lokale Benutzer sichtbar sind

• Azure AD Aktualisierungsrate festlegen

• Datenduplizierungslimit (MB) festlegen

• Richtlinienaktualisierungsrate festlegen

• Aufbewahrungsdauer für Dateien im lokalen Gerätesteuerungscache festlegen

• Supportlink für Gerätesteuerungsbenachrichtigungen einrichten

• Gerätesteuerung für bestimmte Gerätetypen aktivieren ("Turn on device control for specific device types")

• EDR im Sperrmodus aktivieren

• Intel TDT-Integrationsstufe ("Intel TDT Integration Level")

• Anwenden einer Liste von Ausschlüssen auf bestimmte Regeln zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR)

• Konfigurieren der Brute-Force-Schutzaggressivität

• Blockierungszeit für Brute-Force-Schutz konfigurieren

(ID:50433925)