Microsoft Security Baseline für Windows 11 23H2 Security-Verbesserungen von Microsoft für Windows 11

Mit Windows 11 23H2 bietet Microsoft neue Funktionen im Bereich Sicherheit, neue Gruppenrichtlinien und auch neue Baselines. Damit können Anwender und Admins ihre Windows-PCs kostenlos und ohne Zusatztools besser absichern. Es lohnt sich, die neuen Funktionen zu nutzen.

In Windows 11 hat Microsoft schon vor 23H2 den Schutz lokaler Adminkonten direkt in das Betriebssystem integriert, aber mit Windows 11 23H2 deutlich verbessert. Bisher waren hier noch zusätzliche Installationen notwendig. Das entfällt mit Windows 11 23H2. Alles was LAPS braucht ist im Betriebssystem enthalten und lässt sich mit den neuen ADMX-Dateien für Windows 11 23H2 auch in Active Directory steuern. Wir haben LAPS bereits umfassend in dem Beitrag „Lokale Kennwörter in AD mit Microsoft LAPS schützen“ behandelt. Die Gruppenrichlinien-Einstellungen für LAPS sind über „Computerkonfiguration -> Richtlinien -> Administrative Vorlagen -> System -> LAPS“ zu finden. Darüber hinaus stellt Microsoft aber auch Empfehlungen als „Security Baselines“ für Windows 11 23H2 zur Verfügung. Mit diesen lassen sich PCs mit der aktuellen Windows-Version besser absichern und zwar nach Empfehlungen von Microsoft.

Microsoft Sicherheits-Empfehlungen umsetzen

Die Microsoft Security Baselines für Windows 11 23H2 umfassen neben LAPS noch zahlreiche weitere Einstellungen zur Verbesserung der Sicherheit in Windows 11 23H2. Dazu gehört auch die Anpassung von Microsoft Defender. Wir haben uns bereits in der Vergangenheit in Beiträgen damit beschäftigt, wie Admins die Sicherheitseinstellungen in Windows 11 und auch in Windows Server 2022 umsetzen können. Die aktuelle Version des Security Baseline Toolkits kann bei Microsoft heruntergeladen werden. Die Umsetzung der Baseline erfolgt in der neuen Version genauso, wie im oben verlinkten Beitrag gezeigt. In den nächsten Abschnitten gehen wir darauf ein, welche Neuerungen es in Version 23H2 gibt, und warum es sich lohnt diese umzusetzen.

Bildergalerie

Im Rahmen der Umsetzung der aktuellen Baselines für Windows 11 23H2 kommen Verbesserungen für LAPS dazu und Optimierungen für den Defender. Microsoft hat dazu einen eigenen Blog-Beitrag für die Baselines von Windows 11 23H2 erstellt. Bei der Umsetzung der aktuellen Security Baseline, die wir im oben verlinkten Beitrag am Beispiel der Vorgängerversion in der Praxis zeigen, setzt die Baseline neue Einstellungen für LAPS um. Diese sind im oben gezeigten Pfad zu finden.

LAPS wird mit den Microsoft Security Baselines in Windows 11 23H2 sicherer

Zunächst nutzt LAPS das Active Directory nach der Umsetzung der Baseline bei „Kennwortschutzverzeichnis konfigurieren“ die Einstellung „Active Directory“. Als Kennwortsicherung für DSRM-Konten setzt die Baseline die Einstellung in den Richtlinien auf „Aktiviert“. Außerdem aktiviert die Baseline die Einstellung “Kennwortverschlüsselung aktivieren“. Diese Einstellungen sorgen dafür, dass beim Einsatz von LAPS die lokalen Kennwörter noch besser abgesichert werden.

Microsoft Defender wird mit Microsoft Security Baselines in Windows 11 23H2 optimiert

Neben LAPS verbessert die neue Security Baseline auch Einstellungen beim Microsoft Defender. Die Optionen dazu sind in den Gruppenrichtlinien bei „Computerkonfiguration -> Administrative Vorlagen -> Windows-Komponenten -> Microsoft Defender Antivirus“ zu finden. Die Optionen können auch ohne Security Baselines manuell umgesetzt werden. Das ist bei vielen Arbeitsstationen aber natürlich aufwändige Aktionen. Hier ist die Verwendung der Baseline besser geeignet.

Bezüglich Microsoft Defender setzt die Baseline die drei Einstellungen „Konfigurieren der Überwachung für eingehende und ausgehende Datei- und Programmaktivitäten“, „Aktivieren von Prozessscans, wenn Echtzeitschutz aktiviert ist“ und „Überprüfen der Aktivitäten von Dateien und Programmen auf Ihrem Computer“. Hier sind keine weiteren Einstellungen notwendig, sondern über die Baseline werden die Optionen auf „Aktiviert“ gesetzt.

Diese Optionen sind aber in vielen Fällen nicht ausreichend. Hier ist es sinnvoll die Einstellungen von Microsoft Defender anzupassen. Neben den Einstellungen im Hauptordner sind noch weitere Ordner mit Einstellungen bei „Computerkonfiguration -> Administrative Vorlagen -> Windows-Komponenten -> Microsoft Defender Antivirus“ zu finden. Hier hat Microsoft auch neue Einstellungen integriert. Dazu gehört zum Beispiel „Scannen von gepackten ausführbaren Dateien“ im Unterordner „Scans“. Grundsätzlich ist es sinnvoll alle Einstellungen für Microsoft Defender durchzugehen und an die eigenen Anforderungen anzupassen.

Überwachter Ordnerzugriff aktivieren

Außerdem empfiehlt Microsoft den überwachen Ordnerzugriff in Windows 11 zu aktivieren. Dadurch lässt sich feststellen, welche Anwendungen mit bestimmten Rechten auf Dateien in Windows 11 zugreifen. Die Einstellungen sind in den Gruppenrichtlinien bei „Windows-Komponenten > Microsoft Defender Antivirus > Microsoft Defender Exploit Guard > Überwachter Ordnerzugriff“ zu finden. Hier ist es aber sinnvoll die Einstellung „Überwachungsmodus“ zu verwenden. In diesem Fall lässt sich feststellen, welche Apps zugreifen. Bei Verwendung von „Blockieren“ kann es bei False Positives dazu führen, dass der Dienst Anwendungen blockiert, die Benutzer brauchen. Der Dienst kann auch in der Windows-Sicherheits-App im Bereich „Viren- und Bedrohungsschutz -> Ransomware-Schutz verwalten“ aktiviert werden. Microsoft beschreibt die Technologie auf seiner Webseite.

(ID:49905080)