(NG) Ensure 'Turn On Virtualization Based Security: Secure Launch Configuration' is set to 'Enabled'

ВысокийУровень 1Автоматическаяwindows

Описание

Secure Launch protects the Virtualization Based Security environment from exploited vulnerabilities in device firmware. The recommended state for this setting is: Enabled. Note: Credential Guard and Device Guard are not currently supported when using Azure IaaS VMs.

Как проверяется

Метод проверки: Реестр Windows

registry

$bad = @(); $v = (Get-ItemProperty -Path 'Registry::HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureSystemGuardLaunch' -ErrorAction SilentlyContinue).'ConfigureSystemGuardLaunch'; if (-not ($null -ne $v -and @(1) -contains [int64]$v)) { $bad += 'ConfigureSystemGuardLaunch=' + $v }; if ($bad.Count -eq 0) { 'compliant' } else { 'non-compliant: ' + ($bad -join ', ') }

Ожидаемый вывод: compliant

Как исправляется

Метод исправления: Команда оболочки

shell

if (-not (Test-Path 'Registry::HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard')) { New-Item -Path 'Registry::HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null }; New-ItemProperty -Path 'Registry::HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureSystemGuardLaunch' -Value 1 -PropertyType DWord -Force | Out-Null

Свойства

Операционные системы: windows-10
Теги: cis-convertedregistrywindows
Источник: CIS Microsoft Windows 10 Enterprise Benchmark v4.0.0 - 18.9.5.6

Проверить этот хост

Выполните команду на компьютере, аудит которого вам разрешён. Сканирование работает только на чтение.

shell

tmaegis scan --target windows